Realizing the benefits of safety-security co-analysis through effective tool support

Descrizione del progetto

Un innovativo strumento di supporto per la co-analisi della sicurezza e della protezione

Un adeguato supporto strumentale per l’analisi congiunta dei rischi per la sicurezza e la protezione è essenziale al fine di garantire un funzionamento affidabile della tecnologia. Un framework per l’analisi congiunta della sicurezza e della protezione è caratterizzato da un modello di rischio grafico e da algoritmi efficienti per il calcolo delle metriche di rischio; basandosi su di ciò, il progetto RUBICON, finanziato dal CER, creerà la prova di concetto di uno strumento software in grado di integrare metodi che ne migliorano la maturità tecnologica. Il progetto prevede di incrementare la portata dei metodi di analisi per affrontare sfide di dimensioni industriali, migliorare l’interpretabilità dei risultati e, utilizzando e facendo progredire l’analisi di Pareto, sviluppare tecniche di ottimizzazione multi-obiettivo. Inoltre, RUBICON si concentrerà sul bilanciamento di requisiti contrastanti e sulla commercializzazione della prova di concetto dello strumento in seguito alla conclusione del progetto.

Obiettivo

Effective tool support for the joint analysis of safety and security risks is long overdue.

Risk management is an important activity to ensure the reliable functioning of technology, such as power plants and self-driving cars. Risks include both safety (= accidental failures) and security aspects (= malicious attacks). Historically, safety and security risks have been analyzed in isolation, despite often conflicting with each other. Effective decision-making requires considering safety and security risks in combination, as measures that increase safety may decrease security and vice versa.

My Consolidator Grant CAESAR has laid out the groundwork for a safety-security co-analysis framework: (1) A graphical risk model, mapping how vulnerabilities and failures propagate and cause system-level disruptions; (2) efficient algorithms to compute risk metrics, indicating how well a system performs in terms of safety-security. (3) algorithms that quantify the uncertainty of the analysis algorithms.

In RUBICON, I will develop a PoC software tool that supports methods from CAESAR, advancing from TRL1 to TRL3. Key challenges to be tackled include:
• Scaling up analysis methods to handle industry-size problems, by tailoring algorithms to work with specific subclasses that appear in practice.
• Improve the interpretability of calculated outcomes. We will develop diagnostic feedback methods based on counter example analysis and importance factors.
• Multi-objective optimization techniques. When dealing with multiple, interdependent parameters, conflicting requirements often arise, due to resource constraints and varying priorities. RUBICON will develop optimal strategies to effectively balance such conflicts, exploiting and advancing Pareto-analysis.

The proof-of-concept tool will be tested and validated via lab and pilot studies across different industrial domains. A serious market analysis will lay out an actionable strategy to commercialize the PoC tool post-project.