← Alle Kapitel Kapitel 18

Sicherheitsmaßnahmen und Anforderungsdekomposition

Jede Sicherheitsmaßnahme ist ein UND-Gatter, gesetzt dort, wo sie wirkt.

Eine Maßnahme geht nicht als Beschreibung in den Baum ein, sondern als ihr eigenes Ausfallereignis, mit UND verknüpft an der Stelle, an der sie in der Fehler-Fehlzustand-Ausfall-Kette wirkt — aus einem Einzelfehler wird ein Doppelfehler. Wohin das UND kommt, zählt mehr als das UND selbst. Die Anforderungsdekomposition ist derselbe Zug eine Ebene höher, gültig nur, wo die beiden Teile wirklich unabhängig sind, und sie lockert nie die Integration, Verifikation oder FMEDA, die das ursprüngliche ASIL verlangt.