Beitrag zur dynamischen Fehlerbaumanalyse ohne Modulbildungund

14 2 Stand der Technik: Statische und dynamische Fehlerbaumanalyse
Einen umfassenderen Ansatz verfolgen die intervallbasierte temporale Logik der sogenannten
AND Then Gatter in [70], die Arbeiten in [71, 72] sowie die sogenannten Temporal Faulttrees
in [73]. Diese stammen aus dem Umfeld der formalen Fehlerbaumanalyse, die sich insbesondere
aus dem Wunsch motiviert, die Methodik der herkömmlichen FTA auch für die Modellierung
von Software-Systemen und deren Ausfällen zu verwenden. Ausfallbetrachtungen von Software-
Systemen unterscheiden sich grundsätzlich von den klassischen hardware-orientierten ZSA, insbesondere
wegen der andersartigen Ausfall-Mechanismen. Eine Übersicht über den Stand der
Technik der FTA in der Softwaretechnik ndet sich in [74]. Entsprechend der hohen Dynamik
von Software-Systemen gestalten sich auch die in oben genannten Arbeiten diskutierten zeitlichen
Logiken aufwändig und kompliziert, deren Anwendung zudem wegen der sehr strikten
Denitionen nur bedingt mit der klassischen FTA vergleichbar ist.
Bereits früher übertrug Heidtmann in [11] und [34] die ursprünglich aus der theoretischen
Philosophie stammende modale Logik [75] auf die Zuverlässigkeits-Modellierung. Seine temporale
Logik beschreibt Reihenfolgen von Ereignissen nicht direkt, sondern stellt sogenannte
Irgendwann- und Immer-Beziehungen zwischen den Ereignissen auf. Mit diesen lassen sich vielfältige
zeitliche Abhängigkeiten und Zusammenhänge abbilden, u. a. auch Reihenfolgen. Heidtmann
diskutiert sowohl die qualitative als auch die quantitative Anwendung seiner temporalen
Logik und beschränkt diese nicht ausschlieÿlich auf die Fehlerbaum-Methode. Allerdings erfordert
diese Logik gerade wegen ihrer Mächtigkeit auch vergleichsweise komplexe Modelle und
Berechnungen.
Ein der herkömmlichen FTA ähnliches, anwendbares Vorgehen zu entwickeln, ist das erklärte
Ziel des Pandora-Ansatzes in [76, 77]. Der Name Pandora ist ein Wortspiel, einerseits
ein Bezug auf die griechische Sagengur und andererseits zusammengesetzt aus Priority
AND und dem griechischen Wort ώρα (ora) für Zeit [76]. Die Erstellung und Analyse von
Pandora-Fehlerbäumen ähnelt der Vorgehensweise der herkömmlichen Booleschen FTA. Unter
Verwendung zusätzlicher temporaler Gatter (genannt PAND, SAND und POR) ergibt sich für
das TOP eine temporale Ausfallfunktion. Diese wird anhand von in [77] skizzierten temporalen
Logik-Regeln zur qualitativen Vereinfachung in eine minimale Form überführt. Kern dieser
temporalen Logik sind sogenannte Doublets. Ein Doublet beschreibt den zeitlichen Zusammenhang
zwischen genau zwei Ereignissen und wird wie ein eigenes Basisereignis behandelt. Es
werden ausschlieÿlich relative Zeitangaben verwendet, d. h. die absoluten Eintretenszeitpunkte
von Ereignissen werden nicht betrachtet. Diese Minimalform ist die Entsprechung der Minimalschnitte
in der herkömmlichen FTA und erlaubt die qualitative Analyse des Ausfallverhaltens
unter Berücksichtigung von Ereignissequenzen. Das Konzept der Doublets vereinfacht die Analyse
erheblich, limitiert andererseits jedoch den Pandora-Ansatz hinsichtlich einer quantitativen
Analyse, insbesondere wegen der nicht aufgelösten (zeitlichen) Abhängigkeiten zwischen den
Doublets. Beispielsweise ergibt der Ausdruck A tritt vor B und C ein nach Pandora [77] den
Term (es wird die Notation aus Kapitel 4 verwendet, nicht die originale Pandora-Notation, um
die Vergleichbarkeit der folgenden Ergebnisse zu vergröÿern)
A → ∧ (B ∧ C) =
[
(A → ∧ C) ∧ (B → ∧ C)
]
∨
[
(A → ∧ B) ∧ (B = ∧ C)
]
[
]
∨ (A ∧ → B) ∧ (C ∧ → B) . (2.1)
Die mit runden Klammern umfassten Ausdrücke der rechten Seite bezeichnen je ein Doublet.
Diese Doublets erlauben zwar die qualitative Analyse, lassen sich jedoch nicht einfach quantizieren,
wie die folgenden Überlegungen zeigen.
Ein Boolescher Konjunktions-Term z. B. (A ∧ C) ∧ (B ∧ C) kann im Allgemeinen nicht
direkt durch Multiplikation der Einzelwahrscheinlichkeiten quantiziert werden, also
F (A ∧ C) ∧ (B ∧ C) ≠ (F A · F C ) · (F B · F C ) , (2.2)