ADR-0067: 承認者2名の目的を定め、2人目に目隠しを課さないと決める
採用(2026-10-13)。ADR-0057を置き換えません。同 ADR の補足が「既存の規定」として扱った2名という値に、目的の記録を足します。
コンテキスト
Section titled “コンテキスト”#305 は、承認者を2名とする規定に目的が書かれていないことを指摘しました。指摘をそのまま条項にせず、調査・会議体・突合の順で扱いました。記録は research/302-310-deliberation/(survey-305.md、council-A-01〜05、decision.md の A-8〜A-10)にあります。
2名を課す箇所は4つあり、どれにも目的が無かった
Section titled “2名を課す箇所は4つあり、どれにも目的が無かった”第8章 軸C(規制業、品質「高」のコア機能)、第8章 軸E(CL3)、第4章 G-6、第7章 7.9.2 が、承認者を2名と定めています。入った時期と文脈は別々で、2名の理由を書いた記録は、どれにもありませんでした。規則データの理由の文は、CL3 の2名を「機能安全の枠組みが要求する独立性」に帰していました。調査が読めた範囲の機能安全の規格は、確認者の人数を求めていません。
標準は、検出率の主張を自分で否定していた
Section titled “標準は、検出率の主張を自分で否定していた”附属書C は、独立レビューの目的を統制と理解の分散の2つとし、欠陥の検出を挙げていません。附属書E E.10 と第3章 3.10.4 は、承認者の人数を増やしても判断の対象を小さくする効果は代替できないと書き、人数と検出の関係を測った資料が無いことを開示しています。
外部で「2」の理屈を文として書く原文は、単独の者の抑止の側にありました(調査が写しで照合)。2人目が検出を上げる直接の証拠は、別分野の実験が1件です。
本文と機械が、逆のことを言っていた
Section titled “本文と機械が、逆のことを言っていた”テンプレ4 は、2人目の挙動要約について「1人目の要約を写さない」と書いていました。機械は、同一の文の挙動要約2件を、要求を満たすと数えていました(会議体の品質保証の委員が実行して確認)。既存の試験も、同一の文で通していました。
共通ルール 1 は「判定者は1人」と定め、テンプレ4 は2人目を「2人目の判定者」と呼んでいました。
1. 軸C・軸E・G-6 の2名の目的は、単独の承認者による取り込みの抑止と、その記録である
Section titled “1. 軸C・軸E・G-6 の2名の目的は、単独の承認者による取り込みの抑止と、その記録である”承認者を2名とする目的は、1名の承認者の確認だけでは変更を取り込めない状態を作り、その記録を残すことです。
2名にすることによる欠陥の検出率の向上を、本標準は主張しません。
2名という値は変えません。CL3 の2名に根拠水準マーク(EV-0102。E0。見直し 2027-04)を付けます。規則データの理由の文から、機能安全への帰属を外します。
2. 第7章 7.9.2 の2名の目的は、検出能力の低下を検知された者の承認を、単独では数えないことである
Section titled “2. 第7章 7.9.2 の2名の目的は、検出能力の低下を検知された者の承認を、単独では数えないことである”7.9.2 の表の行の題は「単独での承認権限」です。2名にすることは、検出能力を回復させる措置ではありません。回復は 7.9.3 によります。
7.9.2 の2名は、準拠テンプレートに降りていません。実装マーク(IMPL-0118)に、降りていない規定として表示します。
3. 2人目の条件は現行を保ち、同一の文の挙動要約だけを数えない
Section titled “3. 2人目の条件は現行を保ち、同一の文の挙動要約だけを数えない”2人目に求める条件は、1人目と同じ4条件です(名簿の別の人、作成を指示した者でない、未達の体制では外部の確認者、本人の挙動要約)。
足すのは1つだけです。同一の変更で、先に数えた承認者の挙動要約と同一の文の挙動要約は、2件目に数えません。機械が見るのは文の同一だけです。言い換えた写しは検出しません。
2人目が1人目の承認・挙動要約・指摘を見る前に確認を終えること、確認の順序、観点の分担は、課しません。意図的な決定です。
4. 「判定者は1人」は、1件の判定を合議で決めないという意味である
Section titled “4. 「判定者は1人」は、1件の判定を合議で決めないという意味である”共通ルール 1 の単独判定は、判定会議を開かず、合議で決めないという規定です。承認者を2名とする体制でも、合議はしません。2件の承認は、2件の確認として数えます。合議の結論として1件に数えません。
テンプレ4 の「2人目の判定者」は、「2人目の承認者」へ改めます。第4章 G-6 の本文が「承認」の語を使うためです。ADR-0057 の補足に残る「2人目の判定者」は、2人目の承認者と読みます。旧い題で書かれた判定記録は、機械が読み続けます。
5. CL2 の承認者は、表のとおり1名である
Section titled “5. CL2 の承認者は、表のとおり1名である”第8章 軸E の表は、CL2 の独立レビューを1名とします。準拠テンプレートは、CL2 の構成に、承認2件を強制するルールセットを選んでいました。表を正とします。強制する承認の数は、構成の承認者の数から導きます。
ルールセットの2件目の承認は、4条件の対象でなく、出荷の証跡の集約の要求(1名)にも入っていませんでした。作成を指示した者の承認でも満たせました。CL2 が CL1 に足すのは、独立した安全性の評価です。
6. 個人の検出率を算出しない。附属書I I.11 の各人の検出数を外す
Section titled “6. 個人の検出率を算出しない。附属書I I.11 の各人の検出数を外す”第5章 5.6.2 は、欠陥注入の周知に「個人の検出率を算出しないこと」を含めると定めます。附属書I I.11 は、2名で見つける場合の各人の検出数を参考値として記録に出していました。5.6.2 を正とします。
指摘ごとの見つけた人の記録は残します。見つける者が離れたときに、残る者の指摘で値を読み直すためです。人ごとの件数と率は、算出しません。
検討した選択肢
Section titled “検討した選択肢”| 案 | 採らなかった理由 |
|---|---|
| 目的を検出の冗長と定め、2人目の独立(目隠し)を要求事項にする | 見ていないことを、証跡で示せない。原典の実験は目隠しと非目隠しを直接比べておらず、著者も目隠しを勧めていない。医療では、義務の二重確認の9割が独立に行われなかった。確かめられない要求は、守られないまま「課している」ことになる |
| 2人に別の観点を割り当てる | 観点ごとに見る人は1人になり、冗長ではなく分業になる。割り当てを守ったことを証跡で確かめられない |
| 目的を、条項ごとに分けて書く | 4か所のうち3か所は、同じ目的で書ける。構成の値は1つで、機械は目的を区別しない。7.9.2 だけを分けた |
| 測ってから決める | 目的を書かないまま、2名を課し続ける理由にならない |
| 人数ではなく、組織上の距離で強さを上げる | DO-178C と ISO 26262-2 表1 の原文を読めていない。先送りにする |
| CL2 の承認者を、ルールセットに合わせて2名へ改める | CL2 に2名を課すと決めた記録が無い。数えられない承認を要求事項にする根拠が無い |
| 5.6.2 を改め、参考値なら個人ごとに算出してよいとする | 周知で約束した事項を、測定の都合で後から狭めることになる |
- 目的と、課さないと決めたことを、第4章 G-6・第8章 軸C・軸E・第7章 7.9.2 に書いた
- 準拠テンプレートの G-5(
pr-rules)と出荷の証跡の集約は、同一の文の挙動要約を2件目に数えない(IMPL-0112)。空白・記号・見出し語を除いて比べる。同じ文で2名が承認していた変更は、承認者の数が要求を下回る変更として扱われる - CL2 の構成のルールセットは、承認2件(
regulated)から承認1件(safety)へ変わる(IMPL-0110)。強制する承認の数を下げる変更であり、準拠テンプレートは緩める向きの変更として扱う。コードオーナーの承認、署名、最後の push の後の承認は、変えていない - テンプレ4 の行の題を「2人目の承認者」へ改めた。準拠テンプレートは、旧い題の判定記録も読む
- 附属書I I.11 と準拠テンプレートの導入前の検証は、人ごとの検出数を出さない。記録に残るのは、人ごとの指摘の添字だけである
- 7.9.2 の2名は、降りていないままである(IMPL-0118)
- 2名という値の根拠は、E0 のままである。承認者が1名の変更と2名の変更を比べた測定は無い
- 2名が示し合わせる場合を、この規定は防がない