Engineering of safety in automated safety-critical systems through design-time verification and runtime validation of environment assumptions

Automatisierte Systeme kommen häufig in sicherheits- und missionskritischen Anwendungen zum Einsatz. Ein Ausfall solcher Systeme kann nicht nur zum Scheitern der Mission führen, sondern auch Menschenleben gefährden. Aufgrund ihrer Komplexität und Kritikalität erfordern automatisierte sicherheitskritische Systeme einen strukturierten und rigorosen Entwicklungsprozess mit klar definierten Aufgaben für Verifikation und Validierung, um ihre Sicherheit zu gewährleisten. Formale Verifikationsmethoden in der Entwurfsphase können die Korrektheit eines Systems im Hinblick auf Sicherheitsanforderungen mathematisch nachweisen. Allerdings sind diese Methoden auf die Informationen beschränkt, die den Systemingenieuren zum Zeitpunkt der Entwicklung zur Verfügung stehen. Zudem stoßen sie aufgrund von Skalierbarkeitsproblemen an Grenzen, sodass die Größe der Systeme, die überprüft werden können, begrenzt ist. Um diese Einschränkungen zu überwinden, werden Tests eingesetzt, die die Verifikation in der Entwurfsphase ergänzen. Während des Systemtests prüfen Testorakel in Form von Eigenschaftsmonitoren, ob das Systemverhalten die vorgegebenen Anforderungen erfüllt.
Während des Betriebs können jedoch unvorhergesehene Ereignisse in der Umgebung auftreten, die Sicherheitsrisiken verursachen. Diese Gefahren entstehen nicht durch Systemfehler, sondern weil Annahmen über die Betriebsumgebung, die während der Entwicklung getroffen wurden, nicht mehr gültig sind. Die für die Verifikation der Systemanforderungen entwickelten Eigenschaftsmonitore können solche Annahmeverletzungen nicht erkennen, da die Umgebungsannahmen zur Entwurfszeit nicht explizit definiert werden.
Um diese Einschränkungen zu adressieren, schlägt diese Arbeit einen ingenieurwissenschaftlichen Ansatz vor, der die Qualitätssicherung automatisierter sicherheitskritischer Systeme um die Verifikation und Validierung von Umgebungsannahmen erweitert. Bereits während der Entwicklung werden diese Annahmen explizit festgelegt und darauf basierende Monitore abgeleitet. Während der Testphase liegt der Fokus der Qualitätssicherung sowohl auf der Überprüfung der Umgebungsannahmen-Monitore als auch auf der Validierung des implementierten Systems. Die Anforderungsvalidierung umfasst dabei sowohl die Sicherheitsanforderungen des Systems als auch die Überprüfung der Umgebungsannahmen. Der vorgeschlagene Ansatz ist in den Entwicklungsprozess integriert und wird anhand zweier Anwendungsfälle evaluiert: eines mobilen Serviceroboters sowie einer Automobilfunktion zur präzisen Ermittlung der Fahrzeuggeschwindigkeit.