Software Safety Management secondo i requisiti IEC 61508

Per la IEC 61508 esistono due tipologie di software relativamente all’uso nei sistemi elettronici programmabili: il software system ed il software applicativo.

Software System vs. Software Applicativo

Per software system si intende la parte del software di un sistema elettronico programmabile che si riferisce al funzionamento e ai servizi forniti dal dispositivo programmabile stesso, ad esempio un PLC Embedded Software.
Il software applicativo è invece parte software di un sistema elettronico programmabile che specifica le funzioni che vengono svolte relativamente alla sicurezza dell’EUC (Equipment Under Control).
Nell’ambito della sicurezza funzionale del software, tutti i guasti software sono guasti di tipo sistematico.

Cosa sono i guasti sistematici

I guasti sistematici, tipici del software, sono guasti che si verificano quando non è possibile eseguire una funzione predeterminata oppure se le prestazioni sono al di fuori dei requisiti.
Altre caratteristiche dei guasti sistematici sono:

• Il guasto sistematico sarà sempre ripetuto quando è disponibile la condizione di attivazione
• I guasti sistematici possono essere introdotti in qualsiasi momento del ciclo di vita del dispositivo
• Il Guasto sistematico è causato da un errore in qualsiasi fase del ciclo di vita e di una determinata condizione. Il guasto è nascosto fino a quando non si verifica una condizione specifica
• I guasti sistematici sono eventi deterministici
• La capacità di evitare i guasti sistematici è chiamata capacità sistematica

Un esempio di guasto sistematico è l’errore umano, e qualsiasi altra condizione tale per cui il software non risponda.

Standard IEC 61508-3

Lo standard IEC 61508-3 si applica a:

• Software operativo e di sistema
• Software di comunicazione
• Funzioni di interfaccia uomo-macchina
• Strumenti di supporto allo sviluppo
• Firmware
• Software applicativo

In particolare, La conformità alla IEC 61508-3 è richiesta per il software che svolge funzione di sicurezza. Per la parte di software che non ha questo ruolo, non è richiesta la rispondenza ai requisiti.
Per quest’ultimo tipo di software è solo richiesta la proprietà di non-interferenza.

Software Safety Lifecycle

Gli obiettivi e i requisiti per le fasi del ciclo di vita complessivo della sicurezza sono contenuti nelle clausole IEC 61508-1 da 7.2 a 7.17.
Per ciò che riguarda il software, la norma IEC 61508 specifica che, laddove applicabile, la fase di realizzazione deve soddisfare i requisiti della IEC 61508-3.
I requisiti si applicano a qualsiasi software che faccia parte di un sistema legato alla sicurezza o utilizzato per sviluppare un sistema legato alla sicurezza nell’ambito della IEC 61508-1 e IEC 61508-2. In questo senso, si parla in generale di software di sicurezza, che può essere un sistema operativo, un software di sistema, un software nelle reti di comunicazione, una funzione di interfaccia uomo-macchina, un firmware o un software applicativo.
La norma suggerisce un modello di sviluppo del software chiamato Modello a V, che lavora su tre fasi:

• Definizione di requisiti per l’architettura, per il sistema e per ogni singolo modulo
• Sviluppo
• Testing, seguendo i requisiti definiti

All’interno del Software Safety Lifecycle, ricopre un ruolo cruciale la fase di verifica e validazione, dove:

• Verifica del software riguarda una serie di controlli intermedi per verificare la congruenza del prodotto semilavorato con quello avuto come punto di partenza
• Validazione del software, ovvero un controllo mirato per misurare la rispondenza ai requisiti richiesti

Requisiti per la gestione del software

La gestione della documentazione relativa al software deve essere trattata in accordo alla ISO 9001:2015.
Il primo obiettivo dei requisiti per la gestione del software è quello di specificare le responsabilità nella gestione della sicurezza funzionale di coloro che sono responsabili del software di sicurezza, o di una o più fasi del ciclo di vita.
Tutte le persone, i dipartimenti e le organizzazioni responsabili dello svolgimento di attività nelle fasi del ciclo di vita del software di sicurezza devono essere identificati ed esserne dimostrata la adeguata corrispondenza tra competenze e responsabilità/ruolo.
Così come in presenza di EUC di sola parte hardware, anche nella gestione della sicurezza del software deve essere svolta l’indagine di Functional Safety Assessment, al fine di determinare se la funzione di sicurezza oggetto di studio raggiunge il livello di sicurezza funzionale richiesto, tale per cui possa esserne certificata l’affidabilità in conformità ai requisiti IEC 61508 attraverso la certificazione SIL.

Software Safety Manual

Il Software Safety Manual è una integrazione del più generico Safety Manual, come da IEC 61508-2, allegato D.
Il manuale di sicurezza definisce le caratteristiche di un elemento; quindi, vincoli hardware e/o software di cui l’integratore deve essere a conoscenza e prendere in considerazione durante l’applicazione.
In particolare, i contenuti minimi del Software Safety Manual sono:

• Configurazione del Software
• Le configurazioni raccomandate;
• Competenze richieste per l’utilizzo
• Istruzioni di installazione
• Il motivo di un eventuale aggiornamento
• Anomalie che possono presentarsi
• Compatibilità con versioni precedenti
• Compatibilità con altri sistemi
• Vincoli vari
• Elementi Configurabili
• Misure di sicurezza contro attacchi