[论文解读] An Approach to Maintaining Safety Case Evidence After A System Change

Omar Jaradat, Patrick Graydon+1 more|arXiv (Cornell University)|Apr 28, 2014

Safety Systems Engineering in Autonomy参考文献 2被引用 8

一句话总结

本文提出一种系统化方法，通过追踪安全声明、证据与系统组件之间的依赖关系，在安全关键系统发生变更后维护安全案例证据。利用追溯模型和影响分析，该方法使开发人员能够高效识别失效的证据并评估变更影响，显著降低维护开销，并提升变更后的安全案例完整性。

ABSTRACT

Developers of some safety critical systems construct a safety case. Developers changing a system during development or after release must analyse the change's impact on the safety case. Evidence might be invalidated by changes to the system design, operation, or environmental context. Assumptions valid in one context might be invalid elsewhere. The impact of change might not be obvious. This paper proposes a method to facilitate safety case maintenance by highlighting the impact of changes.

研究动机与目标

• 解决安全关键系统在开发或部署后发生变更时，维护安全案例证据的挑战。
• 识别系统设计、运行或环境变更如何使现有安全证据失效。
• 通过系统化分析变更影响，降低安全案例维护中出现疏漏的风险。
• 为开发人员提供一种结构化、可追溯的方法，以高效评估和更新安全案例。
• 通过自动化影响分析和证据依赖关系追踪，提升安全案例的完整性和可靠性。

提出的方法

• 该方法使用正式的追溯模型，将安全声明、支持证据与系统组件关联起来。
• 捕获安全论据、证据与系统工件之间的依赖关系，以支持影响分析。
• 通过遍历追溯图执行变更影响分析，识别受影响的安全声明和证据。
• 该方法支持安全案例完整性的变更前评估与变更后验证。
• 利用轻量级形式化技术建模假设及其在不同运行环境下的有效性。
• 将该框架集成到开发生命周期中，以支持持续的安全案例维护。

实验结果

研究问题

• RQ1 如何在安全关键系统发生变更后，系统化地维护安全案例证据？
• RQ2 哪些机制可以识别出因系统变更而失效的安全声明和证据？
• RQ3 如何在不需对安全案例进行全面重新评估的情况下分析变更影响？
• RQ4 追溯在实现高效安全案例维护中起到什么作用？
• RQ5 如何在变更后验证安全案例中假设在不同运行环境下的有效性？

主要发现

• 所提出的方法通过追溯分析，能够精确识别受系统变更影响的安全声明和证据。
• 与手动重新评估相比，影响分析显著加速，大幅降低维护开销。
• 该方法可早期检测出无效假设，从而提升安全案例的鲁棒性。
• 该框架支持安全关键系统在开发阶段和部署后的变更管理。
• 通过显式依赖关系追踪，增强了安全案例更新的透明度和可审计性。
• 该方法在案例研究中得到验证，展示了在真实世界安全关键系统中良好的可扩展性和实际适用性。