備忘のために表題の「2nd SMのASILの引き下げ」について記します。ISO 26262ではセレクトハイ原則やFFI等の原則で、低ASILエレメントが高ASILエレメントに影響を及ぼすことが禁止されています。そのような場合は低ASILエレメントはASILを引き上げるべきです。

一方その原則の例外があり、有名なものは「ASILデコンポジション」です。ところでこの用語は厳密には正しくなく、本来は「要求分割(デコンポジション)により結果的にASILが分割される」ものであり、ASILを任意に分割するものではありません。

この他に表記の場合の例外があります。Part 4 6.4.2はシステム設計における安全機構の要件を示したもので、6.4.2.1及び6.4.2.2が「フォールトを検出及び機能安全要求を侵害するシステムの出力に存在する故障を防止又は緩和する安全機構」、つまり1st SMについての要件です。さらに6.4.2.3～6.4.2.5が「フォールトがレイテント状態になるのを防止する安全機構」、つまり2nd SMについての要件です。

ここで6.4.2.5において、2nd SMとしてのみ働くエレメントのASILは以下のように引き下げることが可能と書かれています。以下は規格に書かれていない文言をカッコ内に補って記述しています。

Part 4 - 6.4.2.5

• (IFまたは1st SMに)割りつけられた安全要求のASILがASIL-Dのとき、その2nd SMはASIL-B
• (IFまたは1st SMに)割りつけられた安全要求のASILがASIL-BまたはASIL-Cのとき、その2nd SMはASIL-A
• (IFまたは1st SMに)割りつけられた安全要求のASILがASIL-Aのとき、その2nd SMはQM

すなわち、ASIL-Bを除きASILを2段階引き下げることが可能です。ASIL-Bの時は1段階となります。

前のブログ 次のブログ