Socio-technical approaches for Safety STAMP/STPA

Apresentação em tema: "Socio-technical approaches for Safety STAMP/STPA"— Transcrição da apresentação:

1 Socio-technical approaches for Safety STAMP/STPA
Ricardo Moraes dos Santos Product Development Engineer – Embraer S/A.

2 AGENDA Introduction Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT Embraer Experience Conclusions Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

3 THREE BASIC APPROACHES TO SAFETY ENGINEERING
Nuclear Power Civil Aviation Defense Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

4 SYSTEM THEORY Developed for biology (von Bertalanffy) and engineering (Norbert Weiner). Basis of systems engineering and system safety. Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

5 SYSTEM THEORY Focuses on systems taken as a whole, not on parts taken separately Some properties can only be treated adequately in their entirety, taking into account all social and technical aspects These properties derive from relationships among the parts of the system How they interact and fit together Pairs of ideas Hierarchy and emergence Communication and control Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

6 Failures are often System Emergence
What is the formal structure? What is the functional interaction? How did failure emerge? Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

7 AGENDA Introduction Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT Embraer Experience Conclusions Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

8 STAMP (System-Theoretic Accident Model and Processes) – Nancy Leveson View Point
Vs Powerful Systems Theory Reliability Theory Dynamic Control Problem Vs Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

9 STAMP (System-Theoretic Accident Model and Processes) – Nancy Leveson View Point
Includes Entire socio-technical system (not just technical part) Component Interaction Error Software and Systems Design Error Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito. Human Error 9

10 STAMP VS. TRADITIONAL APPROACHES Nancy Leveson View Point
A systems engineering (top-down) approach to safety A more comprehensive view of causality Examines inter-relationships rather than just linear cause-effect chains. Includes what do now but more Treats accidents as dynamic processes Looks at the processes behind the events Includes organizational, social, and cultural aspects of risk Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

11 STAMP VS. TRADITIONAL APPROACHES Nancy Leveson View Point
Includes software and system design errors Includes human error and human decision-making Includes behavioral dynamics (changes over time) Want to understand why controls drift toward ineffectiveness over time and Change those factors if possible Detect the drift before accidents occur Handles much more complex systems than traditional safety analysis approaches Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

12 *Nancy Leveson View Point
Processes *Nancy Leveson View Point System Engineering (e.g., Specification, Safety-Guided Design, Design Principles) Risk Management Management Principles/ Organizational Design Operations Regulation Tools Accident/Event Analysis CAST Hazard Analysis STPA Specification Tools SpecTRM Organizational/Cultural Risk Analysis Identifying Leading Indicators Security Analysis Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito. STAMP: Theoretical Causality Model

13 AGENDA Introduction Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT Embraer Experience Conclusions Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

14 EMBRAER EXPERIENCE Embraer is evaluating if STAMP is a viable methodology to be used as a complementary or alternative means to the current methodologies used in the Aerospace Industry. Particulary for Highly Integrated, complex and Software based systems. Another point is that STAMP is now starting to address the Cybersecurity issues. Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

15 EMBRAER EXPERIENCE LANDING GEAR
Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

16 EMBRAER EXPERIENCE Accident Concept: STAMP MODEL An accident
is an undesired and unplanned event that results in a loss, including a loss of human life or human injury, property damage, environmental pollution, mission loss, financial loss, etc Hazard Concept: A system state or set of conditions that together with a worst-case set of environmental conditions, will lead to an accident (loss). Concept: The requirements and constraints are derived from an analysis of the potential failure modes, dysfunctional interactions or unhandled environmental conditions in the controlled system that could lead to the hazard. Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito. *Nancy Leveson definitions

17 CONTROL STRUCTURE: Landing Gear – Bird Strike Analysis – E2
LG-CONTROL STRUCTURE

18 CONTROL STRUCTURE: Landing Gear – Bird Strike Analysis – E2
LG- CONTROL STRUCTURE

19 FORMAL PROCEDURES TO SUPPORT STPA
Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

20 Context Tables: Provide Table
Context Variables

21 EMBRAER EXPERIENCE S1 Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

22 EMBRAER EXPERIENCE S1 Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

23 EMBRAER EXPERIENCE S1 Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

24 AGENDA Introduction Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT Embraer Experience Conclusions Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

25 CONCLUSIONS Embraer is just starting this evaluation. The initial cases are very simple, but the results are promissing. Next step is to apply this methodology for the Fly By Wire Systems (FBW). ERJ 145 FCS LEGACY 500 FCS Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito. 25

26 Think about it: How the software affects the traditional Safety Methodologies?. How to consider the increase of the Integration an Complexty of the Systems? Cybersecurity? Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

27 Contact: rimdsantos@embraer.com.br
Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito. Contact: