Socio-technical approaches for SafetySocio-technical approaches for SafetySTAMP/STPASTAMP/STPA

25.08.2014

Ricardo Moraes dos SantosProduct Development Engineer – Embraer S/A.

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

AGENDAAGENDA

• Introduction

• Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT

• Embraer Experience

• Conclusions

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

THREE BASIC APPROACHES TO THREE BASIC APPROACHES TO SAFETY ENGINEERINGSAFETY ENGINEERING

Civil Aviation Nuclear Power

Defense

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

SYSTEM THEORYSYSTEM THEORY

• Developed for biology (von Bertalanffy) and engineering (Norbert Weiner).

• Basis of systems engineering and system safety.

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

• Focuses on systems taken as a whole, not on parts taken separately

– Some properties can only be treated adequately in their entirety, taking into account all social and technical aspects

– These properties derive from relationships among the parts of the system How they interact and fit together

• Pairs of ideas

1. Hierarchy and emergence2. Communication and control

SYSTEM THEORYSYSTEM THEORY

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

Failures are often Failures are often System EmergenceSystem Emergence

• What is the formal structure?• What is the functional interaction?

• How did failure emerge?

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

• Introduction

• Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT

• Embraer Experience

• Conclusions

AGENDAAGENDA

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

STAMP (System-Theoretic Accident STAMP (System-Theoretic Accident Model and Processes) – Nancy Leveson Model and Processes) – Nancy Leveson

View PointView Point

Vs

Systems Theory

Reliability Theory

Powerful

Dynamic Control Problem

Vs

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

Includes

Human Error

Software and Systems Design Error

Component Interaction Error

Entire socio-technical system (not just technical part)

STAMP (System-Theoretic Accident STAMP (System-Theoretic Accident Model and Processes) – Nancy Leveson Model and Processes) – Nancy Leveson

View PointView Point

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

STAMP VS. TRADITIONAL APPROACHES STAMP VS. TRADITIONAL APPROACHES Nancy Leveson View PointNancy Leveson View Point

• A systems engineering (top-down) approach to safety

• A more comprehensive view of causality

– Examines inter-relationships rather than just linear cause-effect chains.

– Includes what do now but more

• Treats accidents as dynamic processes

– Looks at the processes behind the events

• Includes organizational, social, and cultural aspects of risk

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

• Includes software and system design errors

• Includes human error and human decision-making

• Includes behavioral dynamics (changes over time)

– Want to understand why controls drift toward ineffectiveness over time and

• Change those factors if possible

• Detect the drift before accidents occur

• Handles much more complex systems than traditional safety analysis approaches

STAMP VS. TRADITIONAL APPROACHES STAMP VS. TRADITIONAL APPROACHES

Nancy Leveson View PointNancy Leveson View Point

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

STAMP: Theoretical Causality Model

Hazard AnalysisSTPA

Specification ToolsSpecTRM

Security Analysis

Accident/Event AnalysisCAST

System Engineering(e.g., Specification,

Safety-Guided Design, Design Principles)

Risk Management

Operations

Management Principles/Organizational Design

Identifying LeadingIndicators

Organizational/CulturalRisk Analysis

Tools

Processes

Regulation

*Nancy Leveson View Point*Nancy Leveson View Point

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

• Introduction

• Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT

• Embraer Experience

• Conclusions

AGENDAAGENDA

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

Embraer is evaluating if STAMP is a viable methodology to be used as a complementary or alternative means to the current methodologies used in the Aerospace Industry. Particulary for Highly Integrated, complex and Software based systems.

Another point is that STAMP is now starting to address the Cybersecurity issues.

EMBRAER EXPERIENCEEMBRAER EXPERIENCE

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

EMBRAER EXPERIENCEEMBRAER EXPERIENCE

LANDING GEAR

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

EMBRAER EXPERIENCEEMBRAER EXPERIENCE

Accident Concept: STAMP MODEL An accidentis an undesired and unplanned event that resultsin a loss, including a loss of human life or humaninjury, property damage, environmental pollution,mission loss, financial loss, etc

Hazard Concept: A system state or set ofconditions that together with a worst-case set of environmental conditions, will lead to an accident (loss).

Concept: The requirements and constraints are derived from ananalysis of the potential failure modes, dysfunctional interactionsor unhandled environmental conditions in the controlled systemthat could lead to the hazard.

*Nancy Leveson definitions*Nancy Leveson definitions

L

G-C

ON

TR

OL

ST

RU

CT

UR

E

LG

-CO

NT

RO

L S

TR

UC

TU

RE

CONTROL STRUCTURE: CONTROL STRUCTURE: Landing Landing GearGear – Bird Strike Analysis– Bird Strike Analysis – E – E22

LG

- CO

NT

RO

L S

TR

UC

TU

RE

CONTROL STRUCTURE: Landing Gear – Bird Strike Analysis – E2

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

FORMAL PROCEDURES TO SUPPORT STPA

Context Tables: Provide Table

context

Context Variables

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

EMBRAER EXPERIENCEEMBRAER EXPERIENCE

S1

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

EMBRAER EXPERIENCEEMBRAER EXPERIENCE

S1

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

EMBRAER EXPERIENCEEMBRAER EXPERIENCE

S1

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

• Introduction

• Stamp (System-Theoretic Accident Model and Processes) By Nancy Leveson - MIT

• Embraer Experience

• Conclusions

AGENDAAGENDA

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

CONCLUSIONSCONCLUSIONS

Embraer is just starting this evaluation. The initial cases are very simple, but the results are promissing.Next step is to apply this methodology for the Fly By Wire Systems (FBW).

ERJ 145 FCS

LEGACY 500 FCS

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

Think about it:Think about it:

• How the software affects the traditional Safety Methodologies?.

• How to consider the increase of the Integration an Complexty of the Systems?

• Cybersecurity?

Esta informação é propriedade da Embraer e não pode ser usada ou reproduzida sem autorização por escrito.

Contact:Contact:rimdsantos@embraer.com.br