Seminar Gaphor: RAAML, STPA und Risikoanalyse

Risiko- und Sicherheitsanalysen gewinnen an Aussagekraft, wenn Begriffe, Systemgrenzen, Kontrollbeziehungen und Maßnahmen in einem gemeinsamen Modell nachvollziehbar bleiben. Der Kurs nutzt die in Gaphor verfügbare RAAML-Unterstützung und eine STPA-orientierte Vorgehensweise. Der Schwerpunkt liegt auf methodischer Klarheit, belastbarer Traceability und prüfbaren Szenarien, nicht auf einer unverbundenen Sammlung von Risikolisten.

Inhaltsübersicht

• Zielsetzung
• Fachliche Schwerpunkte
• Praxisprojekt
• Qualitätskriterien
• Zielgruppe und Voraussetzungen

Zielsetzung

• Risiko-, Gefährdungs- und Sicherheitsbegriffe konsistent im Modell verwenden.
• Systemgrenzen, Verluste, Gefährdungen und Annahmen strukturiert erfassen.
• Kontrollstrukturen und unsichere Steueraktionen nach einer STPA-orientierten Vorgehensweise modellieren.
• Verlustszenarien, Einschränkungen und Maßnahmen nachvollziehbar verknüpfen.
• Risikoanalysen auf Vollständigkeit, Konsistenz und Reviewfähigkeit prüfen.

Fachliche Schwerpunkte

1. Analyseauftrag und Risikokontext abgrenzen

Eine belastbare Analyse beginnt mit klaren Zielen, Systemgrenzen und Entscheidungskriterien.

1. Betrachtetes System, Betriebsumgebung und relevante Lebenszyklusphasen festlegen.
2. Schutzgüter, unerwünschte Verluste und betroffene Stakeholder erfassen.
3. Annahmen, Ausschlüsse und verfügbare Nachweise dokumentieren.
4. Bewertungsmaßstäbe und Verantwortlichkeiten für die Analyse definieren.

2. RAAML-orientierte Risikostruktur aufbauen

Begriffe und Beziehungen werden so strukturiert, dass Ursachen, Auswirkungen und Kontrollen nachvollziehbar bleiben.

1. Gefährdungen aus Verlusten und relevanten Systemzuständen ableiten.
2. Risikoursachen, Ereignisse, Auswirkungen und Kontrollen eindeutig unterscheiden.
3. Beziehungen zwischen Systemelementen, Risiken und Maßnahmen modellieren.
4. Doppelte, widersprüchliche oder zu allgemein formulierte Einträge bereinigen.

3. STPA-Kontrollstruktur modellieren

Steuerung, Rückmeldung und Verantwortungen werden als dynamisches Kontrollsystem betrachtet.

1. Controller, kontrollierte Prozesse, Steueraktionen und Rückmeldungen identifizieren.
2. Technische, organisatorische und menschliche Kontrollinstanzen einbeziehen.
3. Verzögerungen, Informationsverluste und unklare Zuständigkeiten sichtbar machen.
4. Kontrollstruktur mit Systemarchitektur und Betriebsannahmen abgleichen.

4. Unsichere Steueraktionen analysieren

Steueraktionen werden unter verschiedenen Kontextbedingungen auf ihr Gefährdungspotenzial geprüft.

1. Fehlende, falsche oder unangemessene Bereitstellung einer Steueraktion untersuchen.
2. Zeitpunkt, Reihenfolge, Dauer und Beendigung als mögliche Unsicherheitsdimensionen bewerten.
3. Kontextbedingungen und betroffene Gefährdungen explizit zuordnen.
4. Sicherheitsbezogene Einschränkungen aus den Befunden ableiten.

5. Verlustszenarien und Maßnahmen entwickeln

Aus unsicheren Steueraktionen werden konkrete Szenarien mit Ursachenketten und wirksamen Kontrollen abgeleitet.

1. Fehlerhafte Prozessmodelle, Rückmeldungen, Algorithmen und Interaktionen als Ursachen untersuchen.
2. Technische Ausfälle mit organisatorischen und menschlichen Faktoren kombinieren.
3. Präventive, detektive und reaktive Maßnahmen unterscheiden.
4. Maßnahmen mit Verantwortlichen, Nachweisen und Verifikationsbedarf verknüpfen.

6. Review und Nachverfolgbarkeit sichern

Die Analyse wird auf geschlossene Argumentationsketten und prüfbare Abdeckung untersucht.

1. Von Verlusten über Gefährdungen und Szenarien bis zu Maßnahmen rückwärts und vorwärts prüfen.
2. Unbehandelte Gefährdungen und nicht begründete Maßnahmen identifizieren.
3. Annahmen und Unsicherheiten als offene Prüfgegenstände kennzeichnen.
4. Reviewbefunde priorisieren und kontrolliert in das Modell einarbeiten.

Praxisprojekt

Ein automatisiertes Transportsystem dient als durchgängiger Fall. Verluste und Gefährdungen werden abgegrenzt, eine Kontrollstruktur mit technischer Steuerung, Bedienung und Überwachung wird modelliert, anschließend werden unsichere Steueraktionen und Verlustszenarien entwickelt. Die Analyse endet mit nachvollziehbaren Einschränkungen, Maßnahmen und einem strukturierten Review.

Qualitätskriterien

• Verluste, Gefährdungen, Ursachen, Kontrollen und Maßnahmen werden begrifflich sauber getrennt.
• Jedes Szenario bezieht sich auf einen konkreten Kontext und eine nachvollziehbare Gefährdung.
• Maßnahmen besitzen Verantwortlichkeit, erwartete Wirkung und einen geplanten Nachweis.
• Annahmen, Ausschlüsse und Restunsicherheiten bleiben sichtbar.

Zielgruppe und Voraussetzungen

Zielgruppe: Safety Engineering, Risk Management, Systementwicklung, Requirements Engineering, Architektur, Qualitätssicherung und technische Projektleitung.

Voraussetzungen: Grundverständnis von Systemarchitektur oder Sicherheits- und Risikoanalyse. Erfahrung mit Gaphor oder SysML ist hilfreich, aber nicht zwingend.