Sicherheitsnachweis – Strukturierte Argumentation zur Nachweisführung der Sicherheit

Einführung

Ein Sicherheitsnachweis ist eine umfassende, strukturierte und dokumentierte Argumentation – gestützt durch eine Vielzahl von Belegen –, dass ein System, Produkt oder Prozess im jeweiligen Kontext akzeptabel sicher betrieben werden kann. Er ist ein zentrales Werkzeug in hochintegritätskritischen Domänen wie Luftfahrt, Kernenergie, Bahn, Verteidigung und Medizintechnik und gewinnt zunehmend an Bedeutung in neuen Bereichen wie künstlicher Intelligenz und autonomen Systemen.

Ein Sicherheitsnachweis ist mehr als nur ein einzelner Bericht; er ist eine lebendige, sich entwickelnde Sammlung von Analysen, Begründungen und Nachweisen, die im Verlauf des Projekts verfolgt und aktualisiert werden. Sein Hauptzweck ist es, alle sicherheitsrelevanten Entscheidungen zu kommunizieren, zu begründen und zu dokumentieren und die Gewissheit zu geben, dass Risiken identifiziert, bewertet und auf ein Maß reduziert wurden, das „so niedrig wie vernünftigerweise erreichbar“ (ALARP) ist.

Zentrale Konzepte und Struktur

Ein Sicherheitsnachweis vereint mehrere grundlegende Bausteine:

• Ansprüche: Oberste Aussagen zur Sicherheit des Systems (z. B. „Alle Gefährdungen sind auf ALARP kontrolliert“).
• Argumente: Die logische Verknüpfung zwischen Nachweisen und Ansprüchen (z. B. „Alle glaubhaften Gefährdungen wurden mittels HAZOP, FMEA und Betriebsfeedback identifiziert“).
• Nachweise: Konkrete Daten zur Stützung des Arguments (z. B. Testergebnisse, Analyseberichte, Konformitätsmatrizen).

Dieses Claims-Arguments-Evidence (CAE)-Rahmenwerk wird häufig mit der Goal Structuring Notation (GSN) visualisiert, einem grafischen Ansatz, bei dem übergeordnete Ziele in Teilziele, Strategien, Lösungen (Nachweise) und Kontext-Elemente zerlegt werden.

Tabelle: Zentrale Begriffe im Sicherheitsnachweis

Ziele und Begründung

Der Hauptzweck des Sicherheitsnachweises ist es, durch strukturierte Argumentation und unterstützende Nachweise zu zeigen, dass ein System für seinen beabsichtigten Zweck und seine Umgebung akzeptabel sicher ist. Zentrale Ziele sind:

• Nachweise dokumentieren: Sämtliche Gefährdungsanalysen, Konstruktionsdaten, Testergebnisse und Betriebserfahrungen prüfbar sammeln.
• Sicherheit begründen: Klar aufzeigen, wie Risiken identifiziert, bewertet und mitigiert werden.
• Regulatorische Zulassung unterstützen: Die Dokumentations- und Argumentationsanforderungen von Normengremien und Behörden erfüllen.
• Risikomanagement erleichtern: Ein logisches Rahmenwerk zur Nachverfolgung und Steuerung von Gefährdungen über den gesamten Lebenszyklus bereitstellen.
• Wissensweitergabe sichern: Kontinuität und Nachverfolgbarkeit über wechselnde Teams und Organisationen gewährleisten.
• Kontinuierliche Verbesserung ermöglichen: Sicherheitsargumentation anpassen, wenn neue Risiken oder Gegenmaßnahmen erkannt werden.

Methodik und Muster

Moderne Sicherheitsnachweise werden mit einer hierarchischen Struktur aufgebaut:

• Oberster Sicherheitsanspruch: Z. B. „Das Flugzeug ist für den Personentransport akzeptabel sicher.“
• Zwischenargumente: Abdeckung von Gefährdungsidentifikation, Risikobewertung und Gegenmaßnahmen.
• Unterstützende Nachweise: Gefährdungsprotokolle, Testergebnisse, technische Berichte, Konformitätserklärungen.

Muster (wiederverwendbare Vorlagen) für Sicherheitsnachweise helfen, Konsistenz und Effizienz zu wahren. Beispielsweise ordnet ein Requirements Breakdown Pattern die Sicherheitsanforderungen des Systems bis hin zu Nachweisen auf Komponentenebene zu, während ein Hazard-Directed Pattern die Argumentation um identifizierte Gefährdungen organisiert.

GSN-Beispiel:

Argumentationsstruktur und Vertrauenswürdigkeit

Sicherheitsnachweise verwenden induktive Argumentation, indem Belege gesammelt werden, um Ansprüche zu stützen. Das Toulmin-Modell strukturiert jedes Argument als:

• Daten/Nachweise: Faktische Grundlage (Testergebnisse, Analysen)
• Anspruch: Behauptung, die aufgestellt wird
• Begründung: Logische Verknüpfung zwischen Nachweis und Anspruch
• Untermauerung: Weitere Stützung der Begründung
• Widerlegung: Bekannte Ausnahmen oder Schwächen
• Einschränkung: Grad der Gewissheit (Wahrscheinlichkeit, Vertrauen)

Argumenttypen

• Risiko-Argumente: Zeigen, dass Gefährdungen identifiziert und Risiken auf ALARP reduziert wurden.
• Vertrauensargumente: Begründen die Verlässlichkeit von Methoden, Werkzeugen, Daten und Personal.
• Betriebsargumente: Decken die Sicherheit im Betrieb, in der Wartung und im Bereich Human Factors ab.

Assurance Claim Points (ACP) werden verwendet, um Teile der Argumentation zu kennzeichnen, an denen zusätzliche Absicherung oder Nachweise erforderlich sind – etwa an Schnittstellen zwischen Hard- und Software oder zwischen Entwicklung und Betrieb.

Anwendungsbereiche

Sicherheitsnachweise sind unerlässlich in:

• Luft- und Raumfahrt: Für die Zulassung und Modifikation von Flugzeugen (FAA, EASA, ARP4761/4754A).
• Kernenergie: Zulassung und Betrieb von Anlagen (ONR, SAPs, ALARP).
• Bahn/Automotive: Für neue Zugsysteme, Signaltechnik und Fahrzeugautomatisierung (EN 50126/8/9, ISO 26262).
• Medizintechnik: Risikomanagement und regulatorische Einreichungen (FDA, EMA, ISO 14971).
• KI/Autonome Systeme: Für Hochrisiko-KI, Robotik und autonome Fahrzeuge.

Beispiel: Sicherheitsnachweis für autonome Drohne

• Oberster Anspruch: „Die Drohne ist für den kontrollierten Luftraum akzeptabel sicher.“
• Unterstützende Argumente: Betriebliche Grenzen sind definiert; Gefährdungen identifiziert; Gegenmaßnahmen und Nachweise bereitgestellt (Flugdaten, Risikobewertung, unabhängige Audits).

KI-Beispiel:
Ein KI-Sicherheitsnachweis kann ein „Unfähigkeitsargument“ enthalten – z. B. „Das KI-System kann keine unbefugte Datenexfiltration durchführen“, gestützt durch Konstruktionsanalysen, Penetrationstests und formale Verifikation.

Nutzen, Fallstricke und Best Practices

Nutzen

Typische Fallstricke

Best Practices

• Ansprüche auf dem richtigen Detaillierungsgrad setzen.
• Argumentationsmuster und Vorlagen nutzen.
• Risiko-, Vertrauens- und Betriebsargumente trennen.
• Widerlegungen und Unsicherheiten dokumentieren.
• Iterativ aktualisieren, während sich das System entwickelt.
• Alle Stakeholder, einschließlich unabhängiger Prüfer, einbinden.
• Für effizientes externes Audit strukturieren.

Grafische und tabellarische Darstellungen

Beispiel für ein GSN-Diagramm (beschrieben):
Ein GSN-Diagramm beginnt mit dem Ziel „System ist akzeptabel sicher“, das in Teilziele für verschiedene Betriebsphasen (Reise, Start, Landung) aufgeteilt wird, jeweils gestützt durch Nachweise und verbunden mit Kontexten und Annahmen.

CAE-Tabellenbeispiel:

Regulatorische und normative Einordnung

• Def Stan 00-056 (UK MOD): Schreibt den Einsatz von Sicherheitsnachweisen in Verteidigungssystemen vor.
• ONR Safety Assessment Principles: Definieren Erwartungen an Sicherheitsnachweise im Nuklearbereich.
• ICAO Annex 19, EASA CS-25: Sicherheitsmanagement und Zertifizierung in der Luftfahrt.
• IEC 61508, ISO 26262, ISO 14971: Funktionale Sicherheit für Industrie, Automotive und Medizintechnik.

Fazit

Ein Sicherheitsnachweis ist essenziell, um die Sicherheit komplexer, hochsicherheitskritischer Systeme zu demonstrieren, zu dokumentieren und dauerhaft zu gewährleisten. Durch eine logische, belegbasierte Argumentation erfüllt der Sicherheitsnachweis nicht nur regulatorische Anforderungen, sondern fördert auch Best Practices im Risikomanagement, in der Technik und im organisatorischen Lernen.

Für Organisationen, die robuste Sicherheit, Konformität und kontinuierliche Verbesserung anstreben, ist die Investition in einen hochwertigen Sicherheitsnachweis nicht nur eine regulatorische Pflicht – sondern ein strategischer Vorteil.