Systemarchitekturen für sicherheitskritische Systeme

Shutdown-Systeme

Wenn ein sicherheitskritisches System in einem unmittelbar sicheren Zustand ist, wie links in Abbildung 2 gezeigt, lässt sich eine gefährliche Situation sofort nach Erkennung mithilfe eines Shutdown-Systems beenden. Siehe hierzu Abbildung 7.

Das Shutdown-System ist eine spezielle Einheit zum Identifizieren gefährlicher Situationen. Sobald eine Gefährdung entdeckt wird, wird das gesamte System in einen sicheren Zustand gebracht (“OFF”), in dem es keine Gefährdung von Menschenleben verursacht. Das Shutdown-System ist unabhängig vom Primärsystem, welches normalerweise die Kontrolle hat, und arbeitet parallel dazu.

Bildergalerie

Bildergalerie mit 10 Bildern

Um sicherzustellen, dass das Shutdown-System komplett unabhängig ist, verfügt es über eigene Sensoren. Ein Diagnose-Subsystem gewährleistet die Integrität des Shutdown-Systembetriebs. Entdeckt das Diagnose-Subsystem, dass die Entscheidungen des Shutdown-Systems möglicherweise unzuverlässig sind, kann es das gesamte System sofort in einen sicheren Zustand bringen (“OFF”). So wird verhindert, dass das Primärsystem weiterläuft, wenn kein zuverlässiges Monitoring durch ein parallel laufendes Shutdown-System stattfindet.

Ein solcher Entwurf würde sich für ein Bestrahlungssystem zur Krebstherapie eignen. Das Primärsystem arbeitet als Nuklearteilchenbeschleuniger, der einen hochkonzentrierten Strahl auf einen streng eingegrenzten Bereich auf dem Körper des Patienten richtet. Die Sensoren im Primärsystem überwachen die Strahlendosis auf dem Target. Das Shutdown-System verwendet Strahlungssensoren an anderen Körperstellen und an verschiedenen Stellen im Behandlungsraum, und es überwacht auch die Strahlendosis auf dem Target. Das Shutdown-System selbst wird mithilfe eines eigenen Diagnose-Subsystems ausgewertet.

Wie wir noch sehen werden, sind für das Primärsystem in Abbildung 7 verschiedene Architekturentwürfe denkbar. Manche sind sehr komplex und beinhalten eine umfassende Redundanz. Für ein Shutdown-System selbst gibt es jedoch keine Redundanz; damit stellt es einen potentiellen Single Point of Failure dar. Ein einziges fehlerhaftes Shutdown-System könnte also den Betrieb in einer Bestrahlungspraxis komplett zum Erliegen bringen. Patienten würden auf andere Weise gefährdet - ihre medizinische Behandlung bliebe aus. Aus diesem Grund verfügen manche sicherheitskritischen Systeme über zweifache, parallel arbeitende Shutdown-Systeme (mit UND/ODER-Logik für die Entscheidung, wann das Primärsystem abzuschalten ist).

Es gibt sogar sicherheitskritische Systeme mit drei parallel arbeitenden Shutdown-Systemen; Entscheidungen werden dann auf Basis eines Votings in der Triple-Modular-Redundanz getroffen. Ein fehlerhaftes Shutdown-System kann so identifiziert und heruntergefahren werden. Die übrigen Shutdown-Systeme laufen zuverlässig als Redundanz weiter, und das Primärsystem erbringt weiter seinen Dienst.

Einkanal-Architektur mit Aktor-Monitoring

Die Idee eines Shutdown-Systems lässt sich in kleinerem Umfang auch innerhalb eines Primärsystems anwenden, wie in Abbildung 8 dargestellt. Die Ellipsen stehen für größere Systemaktivitäten, die je nach Systemumfang als Software-Tasks oder -Prozesse entweder auf separaten Prozessoren oder einem gemeinsam genutzten Prozessor implementiert werden können. Ein einfaches Primärsystem ist nach dem „Input-Process-Output“-Entwurfsmuster strukturiert. Dies entspricht der Sequenz “Data Acquisition --> Processing/Transformations --> Output/Control” (siehe Bild 8). Aus Kostengründen greifen hier das Primärsystem und das Shutdown-Monitoring für die Sensordaten-Integritätsprüfung (links unten) gemeinsam auf den-/dieselben Eingangssensor/en zu.

Das Prinzip des Shutdown-Monitoring lässt sich auch auf die Ausgangsseite eines Systems ausweiten; dies wird als Aktor-Monitoring bezeichnet (rechts in Abbildung 8 für ein sicherheitskritisches Medizinsystem). Aktor-Monitoring lässt sich auf verschiedene Weise implementieren, jeweils mit unterschiedlichem Kosten-/Nutzen-Verhältnis. Die einfachste Form ist dabei das sogenannte „End-around“ Monitoring. Hier werden einfach die Anweisungen an die Ausgangsaktoren auf Gültigkeit geprüft, bevor sie dort ankommen. „Wrap-around“ Monitoring ist anspruchsvoller. Hier wird überprüft, ob die Ausgangsaktoren tatsächlich gültige Ausgaben erzeugen, die dann beim zu behandelnden Patienten ankommen. Eine dritte und oft kostenintensivere Methode ist „Actuation Result“ Monitoring. Dabei verifizieren unabhängige Sensoren, ob das System tatsächlich die beabsichtigten Werte liefert.

Ein solcher Entwurf würde sich für einen Infusionspumpen-Regler eignen. Angenommen, ein Schrittmotor ist für das Pumpen der Flüssigkeit zuständig. Mithilfe von End-around Monitoring ließe sich überprüfen, ob der Schrittmotor die korrekten (oder zumindest „sinnvollen“) Anweisungen erhält. Beim Wrap-around Monitoring könnte ein Durchfluss-Sensor prüfen, ob dem Patienten die korrekte (oder zumindest „sinnvolle“) Flüssigkeitsmenge zugeführt wird. Und beim Actuation Results Monitoring wiederum ließe sich mithilfe einer invasiven Sonde in der Blutbahn des Patienten die Konzentration spezieller Medikamente oder anderer Stoffe messen, die die Infusionspumpe dorthin transportiert hat.

Architekturen mit Shutdown-System sowie auch mit Einkanal-Lösung haben eine signifikante Schwäche: Sie können nicht sicher weiterlaufen, wenn Fehler auftreten. Sie haben Single Points of Failure, diese sind oben in Abbildung 8 dargestellt. Das heißt, diese Architekturen eignen sich nur für sicherheitskritische Systeme mit einem unmittelbar sicheren Zustand (linker Bereich in Abbildung 2).

(ID:44853387)