Het Adviescollege ICT-toetsing is weinig te spreken over de wijze waarop Rijkswaterstaat de huidige geautomatiseerde besturing van de Maeslantkering (BESW) wil vervangen. De gekozen aanpak leidt tot schijnzekerheid over betrouwbaarheid en niet noodzakelijkerwijs tot een industriële automatiseringsoplossing (ot: operationele technologie) die aantoonbaar betrouwbaar is.
Dit meldt het adviescollege in een advies aan minister Vincent Karremans (Infrastructuur en Waterstaat). De noodzaak tot verbetering van BESW (Bediening- en Besturingssysteem Waterweg) wordt onderschreven. De huidige staat is onacceptabel als besturing van een veiligheidskritisch object als de Maeslantkering. Maar het nieuw voorgestelde systeem voldoet niet aan de eisen, oordeelt AcICT. Want:
• een kwantitatieve benadering van betrouwbaarheid is ongeschikt voor software;
• de beoogde aanbesteding is onvoldoende gericht op veiligheidskritische aspecten BESW;
• de stuurgroep stuurt onvoldoende op functionele veiligheid zoals de IEC 61508-norm voorschrijft.
Systematisch verbeteren
Het Adviescollege raadt aan om het systematisch verbeteren van de betrouwbaarheid van BESW centraal te stellen in plaats van het vooraf kwantificeren van de software-betrouwbaarheid:
• werk volgens de IEC 61508-norm, gericht op maatregelen die de betrouwbaarheid van software verbeteren;
• werk veiligheidseisen en systeemontwerp uit zodat hierop gestuurd kan worden;
• versterk inhoudelijke sturing, en benut intern en extern aanwezige kennis;
• werk ook na de vervanging doorlopend aan het verhogen van de betrouwbaarheid.
Internationale norm
Voor het realiseren van software-intensieve systemen die een hoge betrouwbaarheid vereisen, is de internationale norm IEC 61508 ontwikkeld. Deze basisnorm voor functionele veiligheid stelt dat softwarefalen zich anders gedraagt dan hardwarefalen. Softwarefalen laat zich maar moeilijk kwantificeren voor systemen met een lage vraagfrequentie en zeker niet vóór de ontwikkeling ervan.
Daarom beveelt de IEC 61508-norm activiteiten aan die de kans op softwarefalen zo ver verlagen als redelijk mogelijk is. En daarmee de betrouwbaarheid zo ver verhogen als redelijk mogelijk is. Dat vergroot het vertrouwen dat de vereiste veiligheidsniveaus bij indienststelling worden gehaald. De norm definieert activiteiten voor de hele ontwikkelcyclus en beheerfase, zoals het gebruik van formele methodes en modelgebaseerd testen.
Formele methodes werden dertig jaar geleden ook al toegepast bij de bouw van de Maeslantkering voor het ontwikkelen van het systeem BOS dat BESW aanstuurt.
Problemen
In de afgelopen periode heeft RWS het Keringenteam Industriële Automatisering opgezet waarin de eigen kennis en ervaring gebundeld is, en dat ingezet wordt voor de stormvloedkeringen. Hierdoor is op operationeel/tactisch niveau in het project veel kennis aanwezig, alleen ontbreekt het echter aan sturing en focus op functionele veiligheid, vindt AcICT.
De autoriteit constateert conform de IEC 61508-norm een aantal problemen:
• De stuurgroep stuurt dominant op een harde deadline in plaats van op een zo betrouwbaar mogelijk BESW;
• De stuurgroep past RWS-richtlijnen en -processen toe voor standaardprojecten. Zo moet er in de huidige aanpak onder meer voldaan worden aan een standaardproces voor het definiëren van de eisen. Daardoor zijn bijvoorbeeld veiligheidseisen van het systeem niet traceerbaar naar veiligheidseisen van de software. Het realiseren van een veiligheidskritisch besturingssysteem vraagt echter een aanpak gericht op betrouwbaarheid die van standaardprocedures kan afwijken;
• De stuurgroep heeft de kwaliteit van de eisen onvoldoende in beeld, terwijl de eisen de basis vormen voor de aanbesteding:
‒ De functionele eisen (klanteisen) zijn tot nu toe onvoldoende uitgewerkt. Dit kan leiden tot veiligheidsrisico’s en hoge herstelkosten;
‒ De niet-functionele eisen zijn onvoldoende vastgelegd. De softwarebetrouwbaarheidseisen zijn niet expliciet gemaakt. Er is alleen op basis van de eerder genoemde modellen een faalkans voor de software berekend;
‒ Het ontbreekt aan de inzet van externe kennishouders die goed kunnen bijdragen aan de juiste sturing en focus op functionele veiligheid.
Overigens vond het Adviescollege drie jaar geleden dat de software voor de vervanging van de software voor de besturing van twee grote stormvloedkeringen die samen de Europoortkering vormen (Hartelkering en de Maeslantkering), toen helemaal niet vervangen hoefde te worden.
