6.5.4 Fehlerbaumananalyse

• Verfahren zum Ermitteln verschiedener (paralleler und sequentieller) Fehlerkombinationen (Hard- und Software, Fehlbedienung, ...) die zum Auftreten eines bestimmten unerwünschten Ereignisses (top event) führen
• Ziel: Bestimmen der Wahrscheinlichkeit des Eintritts des top events durch analytische und/oder statistische Methoden
• berücksichtigt quantitative Angaben zur Zuverlässigkeit, wie Fehlerwahrscheinlichkeiten, Fehlerraten, MTTR

Konzepte und Definitionen

• Komponentenfehler (component fault)

  • primärer Fehler (primary fault)
    Fehler einer Komponente, die innerhalb der Spezifikation arbeitet
    Web-Server ist ausgelegt für 50 TPS und versagt bei 30 TPS
  • sekundärer Fehler (secondary fault)
    Fehler einer Komponente, die außerhalb der Spezifikation arbeitet
    Web-Server ist ausgelegt für 50 TPS und versagt bei 90 TPS
  • angewiesener Fehler (command fault)
    korrektes Verhalten der Komponente, jedoch zur falschen Zeit oder am falschen Ort
    Sprenkleranlage funktioniert korrekt, jedoch: es brennt nicht, der Brandmelder hat Sprenkleranlage ausgelöst

• Systemfehler (system fault)

  • verursacht durch externe Ereignisse
  • erfordern "intelligente" Dekomposition

• top event
• primary event

  Typ	Bedeutung	Symbol
  basic event	atomar, wird nicht weiter untersucht
  undeveloped event	nicht atomar, wird nicht weiter untersucht
  conditioning event	enthält Bedingung, die eine Verknüpfung betrifft
  external event	externes, übliches Ereignis, kein Fehler

• intermediate event

  Typ	Symbol
  intermediate event

Verknüpfung	Bedeutung	Symbol
AND	logisches UND
OR	logisches ODER
XOR	exklusives ODER
M-OF-N	m aus n
PRIORITY-AND	logisches UND, Reihenfolge der Eingangsereignisse
INHIBIT	Sperre, logisches UND, zusätzliche Bedingung
TRANSFER	Konnektor, Aufteilen eines Graphen

• Menge von basic events, deren gleichzeitiges Eintreten zum top event führt
• minimale Schnittmenge (minimal cutset) enthält keine anderen Schnittmengen
• Entfernen eines basic events aus einer minimalen Schnittmenge löst diese auf
  die Garantie für das Eintreten des top event besteht nicht mehr

Ablauf der Fehlerbaumanalyse

1. top events definieren (möglicherweise mit ETA)
2. beteiligte Komponenten identifizieren, Detailtiefe festlegen
3. für jedes top event Fehlerbaum konstruieren
4. qualitative Analyse: Fehlerbaum auf minimale Schnittmengen untersuchen
5. quantitative Analyse: Wahrscheinlichkeiten für jede minimale Schnittmenge berechnen

Regeln für die Fehlerbaumkonstruktion

1. Ereignis als Fehler beschreiben, exakte Angaben machen
2. Komponentenfehler: mittels ODER-Verknüpfung primäre, sekundäre oder angewiesene Fehler als Ursache angeben
   Systemfehler: mittels UND/ODER/Sperr-Verknüpfung weiter untersetzen, ggf. keine Verknüpfung
3. keine Wunder: wenn durch normale Funktion einer Komponente ein Fehler propagiert wird, dann ist das kein Fehler dieser Komponente
   Beispiel: durch das normale Funktionieren des Netzes wird ggf. ein Fehler propagiert, wenn das Netz nicht funktioniert hätte, hätte sich der Fehler nicht ausgebreitet
4. Verknüpfungen vollständigen (breadth first): zuerst alle Eingangsereignisse für eine bestimmte Verknüpfung festhalten
5. Verknüpfungen nicht mit Verknüpfungen verbinden

Betrachtetes Teil-Szenarium

• top event: eingehende Mail geht verloren
  klar und direkt formulieren, was passiert; Fehlerbaum erklärt, wie es passiert
• System definieren
  Ausschnitt aus Anfangsszenarium, konzentrieren auf MX1

  

  Bild 6.5.4-1: MTA's im Subnetz mx.sample.org

Konstruktion des Fehlerbaums

Bild 6.5.4-2: Fehlerbaum 1: erste Analyse

• E1 ist ein Systemfehler: Ursachen: E2 ODER E3

  E1 = or( E2 , E3 )

Bild 6.5.4-3: Fehlerbaum 2: Ursachen für E2

• E2 ist ein Systemfehler: Ursachen: E4 ODER e5

  E2 = or( E4 , e5 )

• E4 ist ein Komponentenfehler: Ursachen: zwei primäre Fehler: e8 und e9, zwei sekundäre Fehler: e10 und e11 und ein angewiesener Fehler: e12

  E4 = or( e8 , e9 , e10 , e11 , e12 )

• intermediate event E2 ist vollständig untersetzt: Kombination aus primary events

Bild 6.5.4-4: Fehlerbaum 3: Ursachen für E3

• E3 ist ein Systemfehler: Ursache E6 ODER e7

  E3 = or( E6 , e7 )

• E6 ist ein Systemfehler: Ursachen: E13 UND E14

  E6 = and( E13 , E14 )

• e7 ist ein common-cause Fehler: eine gemeinsame Ursache führt zum Ausfall beider MTAs gleichzeitig (z.B. Umgebungsbedingungen: Klimaanlage fällt aus; Hersteller: systematischer Fehler in allen Geräten des Herstellers; automatisches Upgrade-Verfahren: Fehler im Verfahren macht alle Systeme unbrauchbar, etc.)

Bild 6.5.4-5: Fehlerbaum 4: Ursachen für E13

Bild 6.5.4-6: Fehlerbaum 5: Ursachen für E14

• Fehlerbäume 4 und 5 ähneln sich (nicht verwunderlich: beide Maschinen sind identisch)
• E13/E14 sind Systemfehler

  E13 = or( E15 , e16 ) E14 = or( E17 , e18 )

• E15/E17 sind Komponentenfehler

  E15 = or( e19 , e20 , e21 , e22 , e23 ) E17 = or( e24 , e25 , e26 , e27 , e28 )

• Modell ist vollständig, alle Blattknoten sind primary events

Ermitteln der minimalen Schnittmengen

• top event E₁ auf primary events zurückführen
• in logischem Ausdruck intermediate events E_i ersetzen bis nur noch primary events e_i vorkommen

  E1 = or( e5 , e7 , e8 , e9 , e10 , e11 , e12 ,       and( or( e16 , e19 , e20 , e21 , e22 , e23) ,        or( e18 , e24 , e25 , e26 , e27 , e28 ) ) )

• logischen Ausdruck umformen (Achtung: boolsche Algebra ;-)

  Hinweis: eaeb = and ( ea , eb) E1 = or( e5 , e7 , e8 , e9 , e10 , e11 , e12 ,     e16e18 , e16e24 , e16e25 , e16e26 , e16e27 , e16e28 ,     e19e18 , e19e24 , e19e25 , e19e26 , e19e27 , e19e28 ,     e20e18 , e20e24 , e20e25 , e20e26 , e20e27 , e20e28 ,     e21e18 , e21e24 , e21e25 , e21e26 , e21e27 , e21e28 ,     e22e18 , e22e24 , e22e25 , e22e26 , e22e27 , e22e28 ,     e23e18 , e23e24 , e23e25 , e23e26 , e23e27 , e23e28 )

  dieser Ausdruck enthält die Schnittmengen des Modells
  es sind nicht alle Schnittmengen: einige der Ereignisse sind keine basic events
  es ist nicht die Menge der minimalen Schnittmengen
• Menge der minimal Schnittmengen bestimmen durch Entfernen aller Schnittmengen, die Schnittmengen enthalten
• Annahme: eine gemeinsame Stromquelle (USV) für alle Geräte: e₁₁, e₂₂ und e₂₇ sind identisch

  E1 = or( e5 , e7 , e8 , e9 , e10 , e11 , e12 ,     e16e18 , e16e24 , e16e25 , e16e26 , e16e28 ,     e19e18 , e19e24 , e19e25 , e19e26 , e19e28 ,     e20e18 , e20e24 , e20e25 , e20e26 , e20e28 ,     e21e18 , e21e24 , e21e25 , e21e26 , e21e28 ,     e23e18 , e23e24 , e23e25 , e23e26 , e23e28 )

  Menge der minimale Schnittmengen

Qualitative Auswertung

• sieben Single Point Of Failure (SPOF) und 25 Zweier-Kombinationen von Ereignissen führen zum top event
• verschiedene Ursachen (Hardware, Software, Konfiguration)
• teilweise durch organisatorische Maßnahmen lösbar

  • die Wartung an beiden Maschinen sollte nicht gleichzeitig stattfinden
  • Konfigurationsänderungen zuerst an smtp1, wenn dort ok, dann an smtp2 übernehmen

• kritische Hardware: Router

  • fünf SPOF beziehen sich direkt auf den Router

• ein SPOF bezieht sich auf die Stromversorgung
• ein SPOF ist ein common-cause Fehler der MTAs

  • ggf. weiter untersuchen (undeveloped event)

Quantitative Auswertung

• Fehlerraten ermitteln

  • Mean Time Between Failure (MTBF)

    • Angaben der Herstellers
    • ermittelt unter einer Reihe von Annahmen (z.B. "Lebenszeit") und unter genau spezifizierten Betriebsbedingungen (Umgebungstemperatur, etc.)
    • Quotient aus akkumulierter Laufzeit einer Gruppe von Geräten innerhalb eines definierten Zeitraums und Anzahl der Fehler in diesem Zeitraum
    • MTBF ist unabhängig von der Nutzungsintensität
    • besser: selbst ermitteln (installations-spezifisch, Umgebungsbedingungen, Lastverhalten, ...)

  • Methoden der Wahrscheinlichkeitsrechnung (Wahrscheinlichkeitsverteilung)

• Berechnen der Verfügbarkeit einzelner Komponenten

  • ausgehend von Fehlerraten und Abschätzungen (durchschnittliche Dauer von Software-Upgrades, MTTR, etc.)
  • Ausfallzeit pro Komponente (K) und Jahr (in Minuten/Jahr)

    AusfallzeitK [min/a] = Anzahl_eventsK [events/a]     * Dauer_pro_eventK [min/event]

  • Verfügbarkeitsbedarf pro Komponenten und Jahr (in Minuten/pro Jahr)

    BedarfK [min/a] = BedarfK [min/h] * BedarfK [h/d] * BedarfK [d/a]

  • Ausfallwahrscheinlichkeit der Komponente

    PAusfall_von_K = AusfallzeitK [min/a] / BedarfK [min/a]

  • Verfügbarkeit der Komponente

    VerfügbarkeitK = 1 - PAusfall_von_K

• Berechnen der Verfügbarkeit des Gesamtsystems

  • Berechnen der Ausfallwahrscheinlichkeit aller Komponenten
    erfordert ggf. genauere Untersuchungen einzelner undeveloped events, z.B. common-cause Fehler
  • ggf. Vereinfachen des Modells (Wahrscheinlichkeit einiger Ereignisse mit Null annehmen)
  • Kombination der Ausfallwahrscheinlichkeiten entsprechend

    • den Verknüpfungen des Modells
    • Verfahren aus der Mengentheorie, Boolschen Algebra und Wahrscheinlichkeitsrechnung

      Beispiel: ODER-Verknüpfung Q = or( A , B ) P(Q) = P(A) + P(B) - P(A) * P(B|A)   = P(A) + P(B) - P(B) * P(A|B) wobei P(B|A) die bedingte Wahrscheinlichkeit für das Eintreten von B ist, unter der Voraussetzung, dass A bereits eingetreten ist

      Beispiel: UND-Verknüpfung Q = and ( A , B ) P(Q) = P(A) * P(B|A)   = P(B) * P(A|B) wobei P(B|A) die bedingte Wahrscheinlichkeit für das Eintreten von B ist, unter der Voraussetzung, dass A bereits eingetreten ist

      Besonderheiten ergeben sich jeweils aus dem Verhältnis der betrachteten Ereignisse (Abhängigkeiten, gegenseitiger Ausschluß, etc.)

• Importance Ranking

  • Verfahren zur Vergleich der Bedeutung/Wichtigkeit einzelner Ereignisse
  • Ermitteln: "Welches Ereignis (Risiko) hat den größten Einfluß auf die Zuverlässigkeit des Gesamtsystems?"
  • Birnbaum: Welchen Einfluß hat die Änderung der Zuverlässigkeit einer Komponente auf das Gesamtrisiko?
  • Fussel-Vesely: Welche Komponente trägt in welchem Maße zum Gesamtrisiko bei?
  • risk achievement worth (RAW): Wie kann man am effektivsten der Erhöhung des Risikos entgegenwirken?
  • risk reduction worth (RRW): Wie kann man am effektivsten das Risiko reduzieren?

Frage 6.5.4.1: Was bedeutet die Angabe von 500000 Stunden MTBF für ein Gerät (z.B. Harddisk)? Verändert sich die MTBF, wenn man zwei derartige Geräte unter identischen Bedingungen einsetzt? Wenn ja, wie?

Moore, D.; Voelker, G.M.; Savage, S.:
Inferring Internet Denial-Of-Service Activity
in Proceedings of the 10th USENIX Security Symposium, Usenix Assoc., 2001, ISBN 1-880446-07-3
http://www.usenix.org/events/sec01/moore.html
backscatter analysis: Quantifizieren von Daten zu Denial-Of-Service Angriffen im Internet

iSixSigma: Measurement System Analysis (MSA) and Gage R&R
[http://www.isixsigma.com/st/msa/]

Hardwaregroup: FAQ - MTBF
[http://www.hardwaregroup.com/faq/gen_mtbf.htm]