Verifizierung
Verifizierung ist ein systematischer Prozess, um durch objektive Nachweise zu bestätigen, dass Produkte, Systeme oder Prozesse festgelegte Anforderungen erfülle...
8 Min. Lesezeit
Quality Assurance
Process Control
+1
Sicherheitsnachweis – Strukturierte Argumentation zur Nachweisführung der Sicherheit
Einführung
Ein Sicherheitsnachweis ist eine umfassende, strukturierte und dokumentierte Argumentation – gestützt durch eine Vielzahl von Belegen –, dass ein System, Produkt oder Prozess im jeweiligen Kontext akzeptabel sicher betrieben werden kann. Er ist ein zentrales Werkzeug in hochintegritätskritischen Domänen wie Luftfahrt, Kernenergie, Bahn, Verteidigung und Medizintechnik und gewinnt zunehmend an Bedeutung in neuen Bereichen wie künstlicher Intelligenz und autonomen Systemen.
Ein Sicherheitsnachweis ist mehr als nur ein einzelner Bericht; er ist eine lebendige, sich entwickelnde Sammlung von Analysen, Begründungen und Nachweisen, die im Verlauf des Projekts verfolgt und aktualisiert werden. Sein Hauptzweck ist es, alle sicherheitsrelevanten Entscheidungen zu kommunizieren, zu begründen und zu dokumentieren und die Gewissheit zu geben, dass Risiken identifiziert, bewertet und auf ein Maß reduziert wurden, das „so niedrig wie vernünftigerweise erreichbar“ (ALARP) ist.
Zentrale Konzepte und Struktur
Ein Sicherheitsnachweis vereint mehrere grundlegende Bausteine:
- Ansprüche: Oberste Aussagen zur Sicherheit des Systems (z. B. „Alle Gefährdungen sind auf ALARP kontrolliert“).
- Argumente: Die logische Verknüpfung zwischen Nachweisen und Ansprüchen (z. B. „Alle glaubhaften Gefährdungen wurden mittels HAZOP, FMEA und Betriebsfeedback identifiziert“).
- Nachweise: Konkrete Daten zur Stützung des Arguments (z. B. Testergebnisse, Analyseberichte, Konformitätsmatrizen).
Dieses Claims-Arguments-Evidence (CAE)-Rahmenwerk wird häufig mit der Goal Structuring Notation (GSN) visualisiert, einem grafischen Ansatz, bei dem übergeordnete Ziele in Teilziele, Strategien, Lösungen (Nachweise) und Kontext-Elemente zerlegt werden.
Tabelle: Zentrale Begriffe im Sicherheitsnachweis
| Begriff | Definition / Rolle |
|---|---|
| Sicherheitsnachweis | Strukturierte Argumentation und Nachweise für die Systemsicherheit |
| Sicherheitsbericht | Zusammenfassendes Dokument der Argumente und Nachweise |
| Anspruch | Übergeordnete Behauptung zur Sicherheit |
| Argument | Begründung, die Nachweise mit Ansprüchen verknüpft |
| Nachweis | Daten, die das Argument untermauern |
| GSN | Grafische Notation der Argumentstruktur |
| Assurance Case | Argumentation für kritische Attribute (z. B. Sicherheit, Security) |
| SMS | Systematischer Ansatz zum Sicherheitsmanagement |
| Muster | Wiederverwendbare Argumentationsstruktur |
| ACP | Punkt, an dem zusätzliche Absicherung im Argument erforderlich ist |
Ziele und Begründung
Der Hauptzweck des Sicherheitsnachweises ist es, durch strukturierte Argumentation und unterstützende Nachweise zu zeigen, dass ein System für seinen beabsichtigten Zweck und seine Umgebung akzeptabel sicher ist. Zentrale Ziele sind:
- Nachweise dokumentieren: Sämtliche Gefährdungsanalysen, Konstruktionsdaten, Testergebnisse und Betriebserfahrungen prüfbar sammeln.
- Sicherheit begründen: Klar aufzeigen, wie Risiken identifiziert, bewertet und mitigiert werden.
- Regulatorische Zulassung unterstützen: Die Dokumentations- und Argumentationsanforderungen von Normengremien und Behörden erfüllen.
- Risikomanagement erleichtern: Ein logisches Rahmenwerk zur Nachverfolgung und Steuerung von Gefährdungen über den gesamten Lebenszyklus bereitstellen.
- Wissensweitergabe sichern: Kontinuität und Nachverfolgbarkeit über wechselnde Teams und Organisationen gewährleisten.
- Kontinuierliche Verbesserung ermöglichen: Sicherheitsargumentation anpassen, wenn neue Risiken oder Gegenmaßnahmen erkannt werden.
Methodik und Muster
Moderne Sicherheitsnachweise werden mit einer hierarchischen Struktur aufgebaut:
- Oberster Sicherheitsanspruch: Z. B. „Das Flugzeug ist für den Personentransport akzeptabel sicher.“
- Zwischenargumente: Abdeckung von Gefährdungsidentifikation, Risikobewertung und Gegenmaßnahmen.
- Unterstützende Nachweise: Gefährdungsprotokolle, Testergebnisse, technische Berichte, Konformitätserklärungen.
Muster (wiederverwendbare Vorlagen) für Sicherheitsnachweise helfen, Konsistenz und Effizienz zu wahren. Beispielsweise ordnet ein Requirements Breakdown Pattern die Sicherheitsanforderungen des Systems bis hin zu Nachweisen auf Komponentenebene zu, während ein Hazard-Directed Pattern die Argumentation um identifizierte Gefährdungen organisiert.
GSN-Beispiel:
Argumentationsstruktur und Vertrauenswürdigkeit
Sicherheitsnachweise verwenden induktive Argumentation, indem Belege gesammelt werden, um Ansprüche zu stützen. Das Toulmin-Modell strukturiert jedes Argument als:
- Daten/Nachweise: Faktische Grundlage (Testergebnisse, Analysen)
- Anspruch: Behauptung, die aufgestellt wird
- Begründung: Logische Verknüpfung zwischen Nachweis und Anspruch
- Untermauerung: Weitere Stützung der Begründung
- Widerlegung: Bekannte Ausnahmen oder Schwächen
- Einschränkung: Grad der Gewissheit (Wahrscheinlichkeit, Vertrauen)
Argumenttypen
- Risiko-Argumente: Zeigen, dass Gefährdungen identifiziert und Risiken auf ALARP reduziert wurden.
- Vertrauensargumente: Begründen die Verlässlichkeit von Methoden, Werkzeugen, Daten und Personal.
- Betriebsargumente: Decken die Sicherheit im Betrieb, in der Wartung und im Bereich Human Factors ab.
Assurance Claim Points (ACP) werden verwendet, um Teile der Argumentation zu kennzeichnen, an denen zusätzliche Absicherung oder Nachweise erforderlich sind – etwa an Schnittstellen zwischen Hard- und Software oder zwischen Entwicklung und Betrieb.
Anwendungsbereiche
Sicherheitsnachweise sind unerlässlich in:
- Luft- und Raumfahrt: Für die Zulassung und Modifikation von Flugzeugen (FAA, EASA, ARP4761/4754A).
- Kernenergie: Zulassung und Betrieb von Anlagen (ONR, SAPs, ALARP).
- Bahn/Automotive: Für neue Zugsysteme, Signaltechnik und Fahrzeugautomatisierung (EN 50126/8/9, ISO 26262).
- Medizintechnik: Risikomanagement und regulatorische Einreichungen (FDA, EMA, ISO 14971).
- KI/Autonome Systeme: Für Hochrisiko-KI, Robotik und autonome Fahrzeuge.
Beispiel: Sicherheitsnachweis für autonome Drohne
- Oberster Anspruch: „Die Drohne ist für den kontrollierten Luftraum akzeptabel sicher.“
- Unterstützende Argumente: Betriebliche Grenzen sind definiert; Gefährdungen identifiziert; Gegenmaßnahmen und Nachweise bereitgestellt (Flugdaten, Risikobewertung, unabhängige Audits).
KI-Beispiel:
Ein KI-Sicherheitsnachweis kann ein „Unfähigkeitsargument“ enthalten – z. B. „Das KI-System kann keine unbefugte Datenexfiltration durchführen“, gestützt durch Konstruktionsanalysen, Penetrationstests und formale Verifikation.
Nutzen, Fallstricke und Best Practices
Nutzen
| Nutzen | Beschreibung |
|---|---|
| Klarheit | Verbessert die Kommunikation zwischen Stakeholdern. |
| Nachverfolgbarkeit | Explizite Verknüpfung von Ansprüchen und Nachweisen unterstützt Audit und Änderungsmanagement. |
| Regulatorische Konformität | Erfüllt Anforderungen der Behörden (FAA, EASA, ONR, MOD etc.). |
| Risikomanagement | Systematische Identifikation, Bewertung und Minderung von Risiken. |
| Wissensweitergabe | Unterstützt Kontinuität in Teams und Organisationen. |
| Effizienz | Muster/Vorlagen steigern Produktivität und Zuverlässigkeit. |
| Bewertung | Erleichtert unabhängige Prüfung und Freigabe. |
Typische Fallstricke
| Fallstrick | Beschreibung |
|---|---|
| Ansprüche auf falscher Ebene | Zu breite/enge Ansprüche mindern den Nutzen. |
| Wortklauberei | Fokussierung auf Formulierungen statt Substanz schwächt die Argumentation. |
| Bestätigungsfehler | Ausblendung von Schwächen oder gegenteiligen Nachweisen untergräbt Glaubwürdigkeit. |
| Papierübung | Den Nachweis nur als Formalität und nicht als echtes Sicherheitswerkzeug behandeln. |
| Fehlende Nachverfolgbarkeit | Nicht verknüpfte Nachweise erschweren die Prüfung. |
| Komplexität | Übermäßig komplexe Nachweise sind schwer zu handhaben. |
| Veraltete Dokumentation | Nicht aktualisierte Nachweise verlieren an Relevanz. |
Best Practices
- Ansprüche auf dem richtigen Detaillierungsgrad setzen.
- Argumentationsmuster und Vorlagen nutzen.
- Risiko-, Vertrauens- und Betriebsargumente trennen.
- Widerlegungen und Unsicherheiten dokumentieren.
- Iterativ aktualisieren, während sich das System entwickelt.
- Alle Stakeholder, einschließlich unabhängiger Prüfer, einbinden.
- Für effizientes externes Audit strukturieren.
Grafische und tabellarische Darstellungen
Beispiel für ein GSN-Diagramm (beschrieben):
Ein GSN-Diagramm beginnt mit dem Ziel „System ist akzeptabel sicher“, das in Teilziele für verschiedene Betriebsphasen (Reise, Start, Landung) aufgeteilt wird, jeweils gestützt durch Nachweise und verbunden mit Kontexten und Annahmen.
CAE-Tabellenbeispiel:
| Anspruch | Argument | Nachweis |
|---|---|---|
| Sicher bei jedem Wetter | Betriebliche Verfahren vorhanden | Verfahren, Schulungen, Simulator-Testaufzeichnungen |
| Avionik-Software erfüllt DO-178C | Vollständige Verifikation und Validierung abgeschlossen | Testberichte, Code-Reviews, Coverage-Analysen |
Regulatorische und normative Einordnung
- Def Stan 00-056 (UK MOD): Schreibt den Einsatz von Sicherheitsnachweisen in Verteidigungssystemen vor.
- ONR Safety Assessment Principles: Definieren Erwartungen an Sicherheitsnachweise im Nuklearbereich.
- ICAO Annex 19, EASA CS-25: Sicherheitsmanagement und Zertifizierung in der Luftfahrt.
- IEC 61508, ISO 26262, ISO 14971: Funktionale Sicherheit für Industrie, Automotive und Medizintechnik.
Fazit
Ein Sicherheitsnachweis ist essenziell, um die Sicherheit komplexer, hochsicherheitskritischer Systeme zu demonstrieren, zu dokumentieren und dauerhaft zu gewährleisten. Durch eine logische, belegbasierte Argumentation erfüllt der Sicherheitsnachweis nicht nur regulatorische Anforderungen, sondern fördert auch Best Practices im Risikomanagement, in der Technik und im organisatorischen Lernen.
Für Organisationen, die robuste Sicherheit, Konformität und kontinuierliche Verbesserung anstreben, ist die Investition in einen hochwertigen Sicherheitsnachweis nicht nur eine regulatorische Pflicht – sondern ein strategischer Vorteil.