Ein komplettes Fahrzeug-Betriebssystem nach ASIL-D zu entwickeln ist wirtschaftlich untragbar: Jede Codezeile verlangt 100 % MC/DC-Testabdeckung. Die ASIL-Dekomposition erlaubt die Kapselung der Sicherheitslogik in einem kompakten, formell beweisbaren Monitor.
Im Doer-Checker-Muster berechnet der 'Doer' auf Linux/QNX komplexe Fahrzeugdynamik gemaess ASIL-B. Der 'Checker' ist ein schlanker Sicherheitsmonitor auf einem getrennten Cortex-R52-Lockstep-Kern (ebenfalls ASIL-B). Kommandiert der Doer unzulaessige Lenkwinkel, ueberstimmt der Checker diesen in 5 ms.