PDF-Ausgabe herunterladen (28.5 MB) - elektronikJOURNAL

Safety
Bild 3: Der gleiche Erfüllungsgrad kann zu unterschiedlichen Gesamtbewertungen
führen, wie diese drei Maßnahmen aus ISO 26262 bei ASIL A zeigen.
Qualicat berechnet von unten nach oben die Bewertung der
Knoten der Zwischenebenen im Baum bis hinauf zur Wurzel, die
der Gesamtbewertung aller Maßnahmen entspricht. Falls die Gesamtbewertung
die Konformität eines Produkts zu einem Standard
darstellt, ergibt sich das Gesamtergebnis durch den Vergleich des
errechneten Werts mit einem vorgegebenen Ziel. Der Zielwert
hängt von der Kritikalität des Produkts ab, also von der zu erreichenden
Sicherheitsstufe (SIL). Er liegt zwischen 0 und 1; bei IEC
61508 beispielsweise verlangt Qualicat für SIL 2 den Zielwert 0,7.
Das Werkzeug zeigt errechnete Bewertungen und zugehörige
Zielwerte an (Bild 5). Beispielsweise gilt für die Maßnahme „Use of
naming conventions" der Zielwert 0,42; die erreichte Bewertung
liegt wegen „major deficiencies" bei 0,3. Trotzdem ist die errechnete
Gesamtbewertung für alle drei Maßnahmen mit dem Wert 0,81
besser als der vorgegebene Zielwert von 0,6. Dies liegt an den guten
Bewertungen der anderen beiden Maßnahmen.
Kein Teufelskreis
Die Bewertung der Maßnahmen und Maßnahmenmengen präsentiert
Qualicat zudem als farbiges Kreisdiagramm (Bild 4). Im äußersten
Ring sind die Maßnahmen und ihre Bewertung aufgeführt,
die inneren Ringe stehen für gebündelte Maßnahmen (also die
Knoten der Zwischenebenen des Baums), der Kreis in der Mitte
symbolisiert die Gesamtbewertung. Die verwendeten Farbschattierungen
reichen von rot (nicht erfüllt, Bewertung kleiner als Zielwert)
über orange und gelb (Bewertung entspricht Zielwert) nach
grün (erfüllt, Bewertung größer als Zielwert). Grau bedeutet
(noch) nicht bewertet. Die Farbsymbolik zeigt auf einen Blick den
Zustand des Gesamtprojekts und hebt Problemstellen hervor.
Bild 4: Das farbige Kreisdiagramm schlüsselt die Bewertung eines Projekts
(hier: nach ISO 26262) in Maßnahmengruppen und einzelne Maßnahmen
(äußerster Ring) auf.
Das Beispiel in Bild 3 zeigt, wie sich Änderungen an den drei
Maßnahmen aus Bild 2 auswirken: Gleiche Erfüllungsrade bei unterschiedlichen
Maßnahmen führen zu unterschiedlichen Gesamtbewertungen.
Wie in Bild 2 bezieht sich das Beispiel auf ISO 26262,
ASIL A. Qualicat setzt den Zielwert der Gesamtbewertung auf 0,6.
Zunächst sind alle Maßnahmen mit „kaum erfüllt" (Major Deficiencies)
bewertet, woraus Qualicat die Gesamtbewertung 0,6 errechnet
(oberer linker Teil von Bild 5). Die rechte Spalte in Bild 3
zeigt die graphische Bewertung: Der äußere Ring des Kreises ist in
drei Segmente unterteilt, welche den drei Maßnahmen entsprechen
(links oben Defensive Implementation in grün; rechts oben
Naming Conventions in orange; unten Style Guides in gelb).
Gleiche Ursache, unterschiedliche Folge
Obwohl alle drei Maßnahmen gleich schlecht erfüllt sind, unterscheiden
sich ihre Farben: Das resultiert aus der unterschiedlichen
Verbindlichkeit (Possible, Recommended, Highly Recommended)
auf ASIL A. Die inneren Ringe des Kreisdiagramms sind nicht segmentiert,
da im Beispiel nur die Maßnahmen des Knotens „Design
& Coding Guidelines" betrachtet werden. Die Farbe der inneren
Bild 5: Der
Anwender
bewertet den
Erfüllungsgrad
einzelner
Maßnahmen in
Qualicat isoliert
voneinander.
Das Beispiel
hier zeigt
einen Teil der
ISO 26262.
50 elektronikJOURNAL 01/2012
www.elektronikjournal.com