Definition
Risikoklassifikation in der zivilen Luftfahrt-Entwicklung mit fünf Stufen: DAL A (katastrophaler Ausfall, < 10⁻⁹/Flugstunde), DAL B (gefährlich), DAL C (groß), DAL D (klein), DAL E (vernachlässigbar). Die Zuordnung erfolgt im Rahmen der Safety Assessment (ARP 4761), das DAL bestimmt dann die Anzahl und Strenge der Entwicklungs- und Verifikationsobjektive in DO-178C bzw. DO-254.
In der Praxis
Beim DAL erlebe ich zwei Fehlerbilder. Das erste ist die Begriffsverwechslung: DAL wird mit ASIL aus der ISO 26262 oder SIL aus der IEC 61508 gleichgesetzt — gleiche Grundlogik, aber andere Skalen, andere Nachweise, andere Industrien. Wer einem Luftfahrt-Auditor mit ASIL-Argumenten kommt, signalisiert, dass er das Regelwerk nicht verstanden hat. Das zweite Fehlerbild ist gefährlicher: Der DAL wird aus Kostengründen niedriger angesetzt, als die Safety Assessment hergibt — DAL B statt DAL A spart enormen Verifikationsaufwand, und genau deshalb fragen Behörden und Kunden die Herleitung besonders scharf ab. Die Zuordnung gehört zur Safety Assessment nach ARP 4761, nicht ins Entwicklungsbudget. Praktisch heißt das für Ihre Organisation: Der DAL steuert die Anzahl und Strenge der Entwicklungs- und Verifikationsziele in DO-178C und DO-254, inklusive der geforderten Unabhängigkeit der Verifikation. Er ist die Schraube, an der die gesamte Entwicklungsökonomie hängt — und genau deshalb darf ihn niemand „optimieren".
Häufige Fragen zu DAL
Was ist der Unterschied zwischen DAL, ASIL und SIL?
Alle drei sind Kritikalitätsklassifikationen mit derselben Grundidee: Je schwerer die Folgen eines Versagens, desto strenger die Entwicklungs- und Nachweisanforderungen. Der DAL stammt aus der zivilen Luftfahrt und hat fünf Stufen von A bis E, abgeleitet aus der Safety Assessment nach ARP 4761; er steuert die Ziele in DO-178C und DO-254. Der ASIL gehört zur ISO 26262 im Straßenfahrzeug und klassifiziert von QM bis D auf Basis von Schwere, Exposition und Beherrschbarkeit. Der SIL kommt aus der IEC 61508 beziehungsweise IEC 61511 der Prozessindustrie und wird über geforderte Risikoreduktionsfaktoren definiert. Die Skalen sind nicht eins zu eins übertragbar — ein „SIL 3 entspricht DAL B" ist Unsinn. Wer in mehreren Domänen arbeitet, braucht je Domäne den eigenen Nachweisprozess.
Was bedeutet DAL A konkret in Zahlen?
DAL A ist die Stufe für Funktionen, deren Versagen katastrophale Ausfallbedingungen verursachen kann — also Szenarien mit Verlust des Luftfahrzeugs oder mehrfachen Todesfällen. Die quantitative Logik dahinter stammt aus AC 25.1309-1: Katastrophale Ausfallbedingungen müssen als äußerst unwahrscheinlich gelten, das heißt, ihre Wahrscheinlichkeit muss kleiner als 10 hoch minus 9 pro Flugstunde sein. Weil Software-Fehler systematisch entstehen und nicht zufällig, kann diese Wahrscheinlichkeit für Software nicht statistisch nachgewiesen werden — genau deshalb ersetzt die Luftfahrt den Wahrscheinlichkeitsnachweis durch Prozessstrenge: DAL A fordert die vollständige Erfüllung aller DO-178C- beziehungsweise DO-254-Ziele mit der höchsten Unabhängigkeit der Verifikation. Die Zahl erklärt also das „Warum" der Strenge, der Nachweis selbst läuft über den Prozess.
Unser Kunde hat den DAL für unsere Komponente vorgegeben — was müssen wir damit tun?
Zuerst die Herleitung anfordern und verstehen: Der DAL sollte aus der Safety Assessment des Kunden nach ARP 4761 kommen, und Sie sollten die zugehörige Systemanforderung kennen, aus der Ihre Zuordnung folgt. Dann übersetzen Sie den DAL in Ihren Entwicklungsprozess: Er bestimmt, welche Ziele aus DO-178C oder DO-254 für Ihr Element gelten, mit welcher Unabhängigkeit verifiziert werden muss und welche Lebenszyklus-Daten zu erzeugen sind. Legen Sie das in Ihren Planungsdokumenten fest und stimmen Sie es mit dem Kunden ab — eine stillschweigend abweichende Interpretation des DAL ist ein klassischer Konflikt im Zulassungsendspiel. Prüfen Sie außerdem, ob Ihre Werkzeuge und Ihr Personal der Stufe gewachsen sind: DAL A und B verlangen eine Verifikationsunabhängigkeit, die kleine Teams organisatorisch erst herstellen müssen. Und dokumentieren Sie die Zuordnung — sie ist Teil Ihrer Compliance-Kette.