Erforschung von Ausbreitungswegen von Softwarefehlern in softwarebasierter Leittechnik in Kernkraftwerken

Abstract

This report presents results that have been developed within the framework of a BMU funded research project (Promotion Code 4717R01331). The focus of this project was to systematically investigate the effects and the propagation of software faults/errors within software-based I&C systems. For this purpose, a concept for performing a software failure mode and effects analysis (FMEA), in short Software-FMEA (SFMEA), on a software-based I&C system was devel oped with the aim to identify potential failures due to latent software errors in a software based I&C system and to investigate their effects on the I&C functions (failure on de mand, faulty operation, etc.). Such latent errors result, for example, from errors during operation, maintenance and modification of the system as well as signal paths that have not been tested during system tests. Since I&C functions of software-based I&C systems are typically specified on the basis of interconnected elementary function blocks (EFBs), the EFBs are defined in this project as the lowest level of abstraction for performing an FMEA. Consequently, in the SFMEA concept developed in the course of this work, the elementary function blocks are subjected to an FMEA in order to systematically identify their relevant failure modes. The effects of the identified failure modes of the elementary function blocks on the underlying I&C function can then be evaluated by means of dy namic simulation or fault tree analysis. For this purpose, an automation of the developed SFMEA method by means of dynamic simulations was elaborated within the framework of this project. On the basis of some selected application examples of the developed SFMEA concept, it was shown within the scope of the work that particular faulty states of the input signals (undetected failures of input signals or input signals identified as faulty but correct) es sentially determine the identified failure modes of the elementary function blocks and consequently also co-determine the propagation of faulty states in a software-based I&C system and their effects on the correct functioning of the I&C system. Furthermore, the suitability of the developed SFMEA concept for determining the failure behaviour of I&C functions in the presence of faulty input signals (signal status and signal value) was tested using an example of an I&C function consisting of several elementary function blocks. Dynamic simulations performed to this end have shown that undetected input signal failures or incorrectly identified correct input signals can lead to faulty execution of the I&C function or non-execution of the I&C function. Der vorliegende Bericht umfasst Ergebnisse, die im Rahmen des vom BMU geförderten Forschungsvorhabens "Erforschung von Ausbreitungswegen von Softwarefehlern in softwarebasierter Leittechnik in Kernkraftwerken" (Förderkennzeichen 4717R01331), erarbeitet wurden. Der Schwerpunkt dieses Vorhabens lag darin, die Auswirkungen und die Ausbreitung von Softwarefehlern innerhalb von softwarebasierten Leittechniksystemen systematisch zu untersuchen. Hierfür wurde im Rahmen dieses Vorhabens ein Konzept zur Durchführung einer Software- Fehlerart- und Auswirkungsanalyse (FMEA–Failure Mode and Effects Analysis), kurz Software-FMEA (SFMEA), an einem softwarebasierten Leittechniksystem mit dem Ziel entwickelt, potenzielle Ausfälle aufgrund latenter Softwarefehler in einem softwarebasierten Leittechniksystem zu identifizieren und deren Auswirkungen auf die Leittechnikfunktionen (Ausfall bei Anforderung, Fehlanregung usw.) zu untersuchen. Derartige latente Fehler resultieren beispielsweise aus Fehlern bei Betrieb, Instandhaltung und Modifikation des Systems sowie aus nicht im Rahmen von Systemtests erprobten Signalpfaden. Da Leittechnikfunktionen softwarebasierter Leittechniksysteme typischerweise anhand von miteinander verknüpften elementaren Funktionsbausteinen (EFBs) spezifiziert werden, werden in diesem Vorhaben die EFBs als die niedrigste Abstraktionsebene zur Durchführung einer FMEA definiert. Folglich werden bei dem im Rahmen der Arbeit entwickelten SFMEA-Konzept die elementaren Funktionsblöcken einer FMEA unterzogen, um die relevanten Ausfallmodi der elementaren Funktionsblöcke systematisch zu identifizieren. Die Auswirkungen der identifizierten Ausfallarten der elementaren Funktionsblöcke auf die zu untersuchende Leittechnikfunktion können anschließend mittels dynamischer Simulation oder Fehlerbaumanalyse evaluiert werden. Hierfür wurde im Rahmen dieses Projektes eine Automatisierung der entwickelten SFMEA-Methode mittels dynamischer Simulationen erarbeitet. Anhand einiger ausgewählter Anwendungsbeispiele des entwickelten SFMEA Konzeptes konnte im Rahmen der durchgeführten Arbeiten gezeigt werden, dass insbesondere fehlerhafte Zustände der Eingangssignale (nicht erkannte Ausfälle von Eingangssignalen bzw. als fehlerhaft identifizierte aber korrekte Eingangssignale) die identifizierten Ausfallmodi der elementaren Funktionsblöcke wesentlich bestimmen und demzufolge die Ausbreitung fehlerhafter Zustände in einem softwarebasierten Leittechniksystem und deren Auswirkungen auf die korrekte Funktion des Leittechniksystems ebenfalls mitbestimmen. Am Beispiel einer aus mehreren elementaren Funktionsbausteinen bestehenden Leittechnikfunktion, wurde die Eignung des entwickelten SFMEA-Konzeptes zur Bestimmung des Ausfallverhaltens von Leittechnikfunktionen bei Vorliegen fehlerhafter Eingangssignale (Signalstatus und Signalwert) erprobt. Hierbei konnte anhand durchgeführter dynamischer Simulationen gezeigt werden, dass nicht erkannte Ausfälle von Eingangssignalen bzw. fehlerhaft als ausgefallen identifizierte korrekte Eingangssignale zur fehlerhaften Ausführung bzw. zur Nichtausführung der Leittechnikfunktion führen können.