A lo largo de los años, las exigencias en materia de seguridad en el sector aeronáutico han servido de modelo a seguir para otras industrias. Los niveles de criticidad o DALs (Developement Assurance Levels) tienen sus equivalentes en otros estándares sectoriales, como es el caso de la automoción, ferrocarril, industria aeroespacial y muchos otros.
En este artículo revisamos estas normas de seguridad pertenecientes a otros sectores para ver hasta qué punto son comparables o siguen los mismos principios, de forma que presenten una oportunidad para que empresas ya adaptadas a alguno de estos estándares puedan abrirse a nuevos mercados.
El sector aeronáutico y los DAL
Para poner un marco de referencia común vamos a comenzar hablando sobre los DALs en el sector aeronáutico. Ya hemos hablado antes en nuestro blog sobre este tema, por lo que si quieres profundizar más puedes ver este otro artículo en el que te hablamos sobre los niveles de criticidad según DAL.
La norma DO-178/ED-12 define 5 niveles de criticidad o DALs que van del nivel E al A. Estos niveles se establecen en base a las consecuencias que produciría el fallo en la aeronave, tripulación y pasajeros. A mayor nivel DAL, mayor rigor será necesario para demostrar que el sistema es confiable.
De esta forma, cualquier software que controle, comande y monitorice funciones críticas para la seguridad deberá tener el nivel DAL más alto, es decir, DAL A. A partir de este punto se sigue un camino top-down para asignar niveles DAL a subfunciones, continuando hasta llegar a los componentes de software (llamados IDAL).
La mitigación de los fallos se consigue mediante el establecimiento de independencia en las funciones de seguridad y del desarrollo de los componentes de software. También se aceptan mecanismos de control de propagación de errores y redundancia para disminuir los niveles DAL necesarios en algunos casos.
El sector del automóvil y los ASIL
En el sector del automóvil, la ISO 26262 define los diferentes niveles ASIL (Automotive Safety Integrity Level) que van de la A a la D, siendo este último el nivel más exigente. De forma paralela a DAL, los niveles de ASIL se establecen mediante un análisis de riesgos, teniendo en cuenta 3 factores: la severidad, la exposición y la controlabilidad.
La exposición (E) es la probabilidad que hay de que coincida la presencia de un riesgo junto con un fallo en el sistema. La controlabilidad (C) es la capacidad del conductor de reaccionar con antelación para mitigar el riesgo. La severidad (S) es la estimación del daño que puede causar el riesgo. La combinación de estos tres parámetros es lo que crea la escala de asignación de ASIL.
De forma paralela al DAL, según se baja de nivel y se va al detalle para la asignación de componentes, estos van heredando el ASIL del nivel superior. Todos los componentes deben desarrollarse con el ASIL asignado en sus requisitos, tomando el valor más elevado en caso de tener diferentes requisitos con diferentes ASILs.
Igualmente se permite cierta redundancia para reducir los niveles ASIL dependiendo de los casos.
Entrando a comparar los niveles ASIL con los DAL antes mencionados, se podría realizar la siguiente aproximación, siempre teniendo en cuenta que existen matices diferentes en cada estándar:
- ASIL D es comparable a DAL B
- ASIL C o B es comparable a DAL C
- ASIL A es comparable a DAL D
De este modo quedaría un nivel DAL A más exigente que no tiene su equivalente en automoción.
El sector ferrocarril y los SIL
El sector del ferrocarril cada vez incorpora software más complejo en su funcionamiento, lo que hace que los sistemas safety critical estén cada vez más presentes en este sector ante el riesgo de que un accidente provoque daños importantes a tripulación y pasajeros.
El estándar del ferrocarril está dividido por 3 partes: CENELEC EN 50126, CENELEC EN 50129 y CENELEC EN 50128. Este último está dedicado al desarrollo de software para el sector del ferrocarril. Este estándar se basa en los niveles SIL (Safety Integrity Level) que pasan a ser SSIL (Software SIL) con niveles que van desde el 0 al 4 (nivel crítico).
El riesgo estimado se define por el par severidad-frecuencia, siguiendo un patrón similar a las normas anteriores. De este modo aparecen diferentes niveles de riesgo: insignificante, tolerable, no deseado e intolerable. Todos los niveles “no deseados” e “intolerables” deben mitigarse.
Esta normativa no indica si se pueden reducir los niveles SIL, como en casos anteriores. Debido a esto, para alcanzar un nivel SIL dado mediante partes y componentes con un SIL inferior siempre se requerirá de una demostración que pruebe su eficacia.
Aproximando los niveles SIL a los DAL que hemos tomado como referencia en este artículo tendríamos lo siguiente:
- SIL 4 equivale a DAL A
- SIL 3 equivale a DAL B
- SIL 2 equivale a DAL C
- SIL 1 equivale a DAL D
El sector espacial y las Categorías
El estándar de referencia en este sector es el ECSS-Q-ST-80C, que tiene como característica distintiva la especial atención que dedica a la relación con los proveedores.
Como en casos anteriores, la asignación de las categorías de seguridad se realiza a nivel de función del sistema, bajando después a nivel de componentes. Siguiendo con las similitudes, cuando un componente debe realizar varias funciones de seguridad siempre deberá tomar la categoría más alta de todas. El nivel de las categorías en el sector espacial va de la Categoría E a la Categoría A.
Del mismo modo que ocurre en el sector ferroviario, para reducir los niveles de seguridad deberá demostrase caso por caso que la redundancia y los mecanismos de independencia y propagación son adecuados, ya que no se explicita de otra forma en la norma.
El nivel de equivalencia aproximado entre DAL y las categorías en el sector espacial sería:
- Categoría A equivale a DAL A
- Categoría B equivale a DAL B
- Categoría C equivale a DAL C
- Categoría D equivale a DAL D
- Categoría E equivale a DAL E
Como conclusión
Hemos visto que el concepto de nivel de integridad es muy similar en los diferentes estándares sectoriales. Organizaciones que ya estén trabajando bajo uno de estos estándar tienen la oportunidad de adaptarse a otros sectores. La principal necesidad es identificar el nivel de criticidad para entender cómo cumplir los requerimientos durante la fase de desarrollo del software para después obtener la aprobación del organismo correspondiente.
Todos estos sectores se basan de una forma u otra en los efectos finales de los fallos para realizar la categorización de la seguridad. En cuanto a los riesgos, existe también un paralelismo claro al medirse habitualmente en base a su ocurrencia y severidad, cada cual con sus matices.
Aunque hemos comparado los niveles de diferentes normas, siempre se debe tener en cuenta que hay detalles en cada sector que impiden que pueda hablarse de una equivalencia directa, aunque los niveles sean similares.
Si estás interesado en conocer más acerca de nuestros servicios de Ingeniería de Sistemas Críticos no dudes en ponerte en contacto con nosotros.
