Nivel de integridad de seguridad automotriz

El Nivel de Integridad de Seguridad Automotriz (ASIL) es un esquema de clasificación de riesgos definido por la norma ISO 26262 - Seguridad Funcional para Vehículos de Carretera. Se trata de una adaptación del Nivel de Integridad de Seguridad (SIL) utilizado en la norma IEC 61508 para la industria automotriz . Esta clasificación ayuda a definir los requisitos de seguridad necesarios para cumplir con la norma ISO 26262. El ASIL se establece mediante un análisis de riesgos de un peligro potencial, considerando la gravedad, la exposición y la controlabilidad del escenario operativo del vehículo. El objetivo de seguridad para dicho peligro, a su vez, determina los requisitos del ASIL.

La norma identifica cuatro niveles ASIL: ASIL A, ASIL B, ASIL C y ASIL D. El nivel ASIL D establece los requisitos de integridad más altos para el producto, mientras que el nivel ASIL A establece los más bajos. ^{[ 1 ]} Los peligros identificados como QM no establecen requisitos de seguridad.

Debido a la referencia a SIL y a que ASIL incorpora 4 niveles de peligro con un quinto nivel no peligroso, es común en las descripciones de ASIL comparar sus niveles con los niveles SIL y los niveles de garantía de diseño DO-178C , respectivamente.

La determinación del ASIL es el resultado del análisis de peligros y la evaluación de riesgos . ^{[ 2 ]} En el contexto de la norma ISO 26262, un peligro se evalúa en función del impacto relativo de los efectos peligrosos relacionados con un sistema, ajustado según las probabilidades relativas de que el peligro manifieste dichos efectos. Es decir, cada peligro se evalúa en términos de la gravedad de las posibles lesiones en función del tiempo que un vehículo está expuesto a la posibilidad de que ocurra el peligro (véase la definición de exposición de la norma ISO 26262 ), así como de la probabilidad relativa de que un conductor típico pueda actuar para prevenir la lesión (véanse las definiciones de gravedad y controlabilidad de la norma ISO 26262 ). ^{[ 3 ]}

En resumen, ASIL se refiere tanto al riesgo como a los requisitos dependientes del riesgo (tratamiento mínimo estándar de riesgo para un riesgo dado). Mientras que el riesgo puede expresarse generalmente como

${\displaystyle {\text{Riesgo}}=({\text{pérdida esperada en caso de accidente}})\times ({\text{probabilidad de que ocurra el accidente}})}$

o

${\displaystyle {\text{Riesgo}}={\text{Gravedad}}\times ({\text{Exposición}}\times {\text{Probabilidad}})}$^{[ 4 ] [ 5 ]}

ASIL puede expresarse de manera similar como

${\displaystyle {\text{ASIL}}={\text{Gravedad}}\times ({\text{Exposición}}\times {\text{Controlabilidad}})}$^{[ 6 ] [ 7 ] [ 8 ]}

ilustrando el papel de la Exposición y la Controlabilidad en el establecimiento de la probabilidad relativa, que se combina con la Gravedad para formar una expresión de riesgo.

La clasificación ASIL abarca desde ASIL D, que representa el grado más alto de riesgo automotriz y el mayor rigor aplicado para garantizar el cumplimiento de los requisitos de seguridad resultantes, hasta QM, que representa una aplicación sin riesgos automovilísticos y, por lo tanto, sin requisitos de seguridad que gestionar según los procesos de seguridad de la norma ISO 26262. Los niveles intermedios constituyen simplemente una gama de grados intermedios de riesgo y de garantía de seguridad.

Diseñar un sistema completo según los rigurosos estándares de los niveles superiores de ASIL puede resultar complejo, por lo que la norma ISO 26262 permite la "descomposición": los subcomponentes redundantes, cada uno diseñado para un nivel ASIL inferior, pueden combinarse en un diseño de nivel ASIL superior mediante metodologías de nivel superior. Los subcomponentes utilizados de esta manera deben contener características que permitan la integración de nivel superior. La notación más utilizada para un componente de nivel ASIL X que puede utilizarse como parte de un sistema de nivel ASIL Y es X(Y). Por ejemplo, un componente A(B) se diseña según los requisitos del nivel ASIL A, pero se adapta a diseños ASIL B (este subcomponente se describe coloquialmente como "listo para B"). La norma ISO 26262 contiene varios ejemplos de escenarios de descomposición permitidos, por ejemplo, ASIL B = A(B) + A(B), es decir, dos subcomponentes ASIL A redundantes listos para B pueden combinarse en un diseño ASIL B. Los faros delanteros constituyen un ejemplo natural de dicha descomposición: al haber al menos dos, pueden diseñarse con un nivel de seguridad ASIL A y combinarse en un sistema ASIL B siempre que la combinación se realice correctamente (por ejemplo, no debe introducir un punto de fallo común). ^{[ 24 ]}

Dado que ASIL es un desarrollo relativamente reciente, los debates sobre ASIL suelen comparar sus niveles con los definidos en otros sistemas de gestión de seguridad o calidad bien establecidos. En particular, los niveles ASIL se comparan con los niveles de reducción de riesgo SIL definidos en la norma IEC 61508 y los niveles de garantía de diseño utilizados en el contexto de las normas DO-178C y DO-254 . Si bien existen algunas similitudes, es importante comprender también las diferencias.

• ISO 26262
• SAE J2980

• Precisión ASIL
• ARP4761
• ARP4754
• DO-178C
• DO-254
• IEC 61508

• Pimentel, J. (2019). El papel de la norma ISO 26262. Seguridad de vehículos automatizados. SAE International. ISBN 978-0-7680-0275-1. Consultado el 28 de julio de 2023 .
• Xie, G.; Zhang, Y.; Li, R.; Li, K.; Li, K. (2023). Seguridad funcional para sistemas embebidos . CRC Press. ISBN 978-1-000-88131-8. Consultado el 28 de julio de 2023 .
• Frigerio, Alessandro; Vermeulen, Bart; Goossens, Kees (2019). Descomposición ASIL a nivel de componentes para arquitecturas automotrices . 49.ª Conferencia Internacional Anual IEEE/IFIP sobre Talleres de Sistemas y Redes Confiables (DSN-W) de 2019. IEEE. doi : 10.1109/dsn-w.2019.00021 .
• Nakagawa, EY; Antonino, PO (2023). Arquitecturas de referencia para dominios críticos: usos e impactos industriales . Springer International Publishing. ISBN 978-3-031-16957-1. Consultado el 28 de julio de 2023 .