这个词天天在用，但它不是一项资质，而是四项互相独立的资质。搞混了就会得出“这颗芯片是车规的，所以能做刹车决策”这种错误结论——它不能。
一颗芯片说自己“车规”，可能只说对了下面四件事里的一件。
能在多冷到多热之间正常工作。
几千小时的老化、温度循环、振动、湿热应力测试。
零缺陷文化、批次追溯、变更通知、十年供货。
失效之后，系统能不能兜住后果。
最容易搞混的是第二件和第四件。
AEC-Q100 管的是“会不会坏”，ISO 26262 管的是“坏了之后会怎样”。这是两套完全独立的资质——一颗完整通过 AEC-Q100 的芯片，可以完全没有任何 ASIL 能力。
这是四件里最具体、最好懂的一条。等级之间只差在能扛多热——因为芯片装在车上什么位置，决定了它要受多少罪。
车上不同位置，受的罪完全不同：
一个真实的例子。某供应商的方案书里写某颗芯片“非车规，但满足耐温 −30 至 +85 °C”。看着好像够用——直到你想起这台车要卖到北欧，而整车要求是 −40 至 +85 °C。
差的这 10 °C 不是余量问题，而是这台车能不能在挪威的冬天启动的问题。而且这颗料连车规最低的 Grade 3 都够不着——Grade 3 的下限就正好是 −40 °C。
这才是 AEC-Q100 的主体：四十多项应力测试，几千小时，几百颗样品。目的是把“十年后才会暴露的缺陷”在几个月里逼出来。
通过之后拿到的是什么？一个失效率承诺——通常用 PPM（百万分之几）或 FIT（十亿小时失效数）表达——外加可追溯的测试报告。
消费级器件不做这些，或者只做很少几项。“能用”和“十年不坏”是两回事。手机用两年就换，卡车要跑十五年。
四件里最容易被忽略的一条，而对我们这种十五年寿命的商用车又最要命。
换句话说：一颗消费级芯片，可能在我们的车还在保修期内就停产了。那意味着售后没有备件，或者要重新设计电路板——而重新设计就要重新认证。
前三件都在问“这颗芯片好不好”。第四件问的是：它坏了之后，会不会害死人。
可靠性。降低失效的概率。考的是这颗料本身——老化、温度、振动、静电。
功能安全。管理失效的后果。考的是整个系统——有没有第二条通道发现它坏了，坏了能不能进入安全状态。
ASIL 等级不是“好坏”排序，而是按危害后果算出来的。ISO 26262 用三个维度打分：
S 只有三个可用值，E 有四个，C 有三个，一共 36 种组合——不是无穷多。而这 36 格只对应五种结果，因为 ISO 26262 的查表其实等价于一次简单的加法：把 S、E、C 各按 1、2、3 记分（E 最高到 4），求和，再读出等级。
36 种组合里，只有一格到 ASIL-D：S3 × E4 × C3。最严重的伤害、最常见的工况、司机根本救不回来——三个维度必须同时踩满。而整张表的一半（18 格）根本不需要功能安全流程。
而之所以只有五档，是因为 ASIL 不是用来精确描述风险的，它是用来决定“要做多少工作”的。每一档背后是一整套开发要求：覆盖率目标、验证方法、流程独立性、要不要锁步硬件。如果分成 36 档，这个标准就没法执行了。它是一把故意做粗的尺子。
ASIL-B 和 ASIL-D 具体差在哪：
| 指标 | ASIL-B | ASIL-D |
|---|---|---|
| 单点故障覆盖率 | ≥ 90 % | ≥ 99 % |
| 潜伏故障覆盖率 | ≥ 60 % | ≥ 90 % |
| 随机硬件失效率 | < 10⁻⁷ / 小时 | < 10⁻⁸ / 小时严十倍 |
| 硬件架构 | 单核加看门狗通常够用 | 通常需要锁步核 |
| 流程独立性 | 较宽 | 独立评审、审核与评估 |
什么是锁步核？两个 CPU 核同步执行同一段代码，硬件实时比对两边的结果，一旦不一致立刻报错。这是发现随机硬件故障最有效的手段——也正是为什么高 ASIL 通常离不开它。
没有锁步核而要冲 ASIL-D，就得靠大量软件自检和冗余计算来凑覆盖率：代价高，而且在 Technical Service 面前很难论证。
下面的例子是典型示例，不是标准规定。ASIL 是“某个具体危害”的属性，不是零件类型的属性——同一个功能在不同整车厂的危害分析里，可能落在不同的格子。
ASIL-D —— 1 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S3 × E4 × C3 | 10 | 电子助力转向 EPS 失效 · ESC / EBS 误制动 · 安全气囊误起爆 · 非预期全力加速（扭矩安全监控）· AEB 非预期制动 · 线控转向、线控制动致命伤害 × 最常见的行驶工况 × 司机根本救不回来。 |
ASIL-C —— 3 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S2 × E4 × C3 | 9 | 常态行驶中转向助力突变（助力异常，但未完全失效） |
| S3 × E3 × C3 | 9 | 碰撞后高压电池未能安全断开 · 高压绝缘失效 |
| S3 × E4 × C2 | 9 | 常态行驶中部分制动力丧失（其他回路仍可用） |
ASIL-C 在实际工程里用得少——多数团队要么直接做到 D，要么用 ASIL 分解拆开。
ASIL-B —— 6 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S1 × E4 × C3 | 8 | 尾灯 / 示廓灯失效——常态行驶，而且司机看不见自己的尾灯 |
| S2 × E3 × C3 | 8 | 前照灯全部失效——夜间完全无照明 |
| S2 × E4 × C2 | 8 | 制动灯失效——后车不知道你在刹车 |
| S3 × E2 × C3 | 8 | 缺少高压绝缘监测——触电致命，且人无法察觉 |
| S3 × E3 × C2 | 8 | 巡航 / ACC 异常加速 |
| S3 × E4 × C1 | 8 | 常态行驶中动力中断——车辆仍可滑行靠边 |
通常也定在 ASIL-B 的还有：仪表车速显示、胎压监测 TPMS，以及雷达与摄像头的感知层。
ASIL-A —— 8 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S1 × E3 × C3 | 7 | 倒车影像黑屏——挪车时的低速碰撞 |
| S1 × E4 × C2 | 7 | 车内照明常亮，影响夜间视线 |
| S2 × E2 × C3 | 7 | 雨天雨刮完全失效——丧失前方视野 |
| S2 × E3 × C2 | 7 | 前照灯单侧失效 |
| S2 × E4 × C1 | 7 | 车速表显示偏差——司机仍可靠路况和挡位判断车速 |
| S3 × E1 × C3 | 7 | 罕见工况下丧失热失控预警 |
| S3 × E2 × C2 | 7 | 特定工况下挂车制动协调异常 |
| S3 × E3 × C1 | 7 | 中等暴露率下的动力中断——车辆可靠边停车 |
QM —— 18 格
| 严重度 | 组合 | 典型功能 |
|---|---|---|
| S1 · 9 格 | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | 货箱照明、座椅加热、阅读灯、电动车窗夹手、天窗遮阳帘、空调鼓风机、后视镜加热、仪表亮度调节。娱乐主机、导航、蓝牙、无线充电、氛围灯全都落在这一片。 |
| S2 · 6 格 | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | 罕见工况下座椅调节失控、拖挂灯光异常、雨刮低速档失效（高速档仍可用）、电子驻车坡道辅助异常、胎压偏低未报警 |
| S3 · 3 格 | E1C1 · E1C2 · E2C1 | 罕见工况下的致命危害，但司机完全可控；低暴露率下的动力异常，可用制动兜住 |
三个值得记住的规律。
可控性是最强的杠杆。车速表偏差 S2 × E4 × C1 是 ASIL-A；制动灯失效 S2 × E4 × C2 是 ASIL-B。严重度相同、暴露率相同——全部差别只在于司机能不能自己发现并补救。
严重度单独决定不了等级。S3 在 QM 出现 3 格、A 出现 3 格、B 出现 3 格、C 出现 2 格、D 出现 1 格——横跨全部五级。致命并不等于高 ASIL。
只有三项全部踩满才到 D。S3 × E4 × C3 是唯一一格。这就是为什么整车上 ASIL-D 的件其实很少：转向、制动、气囊、扭矩安全监控——基本就这几样。
用到自动紧急制动上，这个不对称就是全部论证的核心。
非预期制动——不该刹却刹了——落在 S3 × E4 × C3，也就是 ASIL-D 那唯一一格。
未能制动——该刹却没刹——大致落在 S3 × E3–E4 × C1，属于 ASIL-A 或 B。因为基线是一台没有 AEB 的卡车：司机本来就该自己刹车。
AEB 系统里所有的 ASIL-D 要求，都是为了防止“不该发生的制动”，而不是为了保证“该发生的制动一定发生”。
四个维度可以任意组合。知道其中一个，推不出另外三个。
| 芯片 | 温度 | 可靠性 | 功能安全 | 能做 AEB 刹车决策吗 |
|---|---|---|---|---|
| 某消费级 SoC | 0 ~ 70 °C | 无 AEC-Q100 | 无 ASIL | 不行 |
| 某工规 SoC | −40 ~ 85 °C | 无 AEC-Q100 | 无 ASIL | 不行只有温度够了，其余都没有 |
| 车规版 SoC | −40 ~ 105 °C | Grade 2 | 仍可能完全没有 | 只能做感知不能做安全决策 |
| 安全 MCU（ASIL-B） | −40 to 125 °C | Grade 1 | ASIL-B，不带锁步 | 需要额外论证 |
| 安全 MCU（ASIL-D） | −40 to 125 °C | Grade 1 | ASIL-D，带锁步核 | 可以 |
第三行是最容易踩的坑。“我们用的是车规版芯片”听起来很稳，但这句话只回答了温度和可靠性，对功能安全只字未提。
AEC-Q100 是 Grade 几？要证书原件，上面有确切料号和 Grade。
到底有没有 AEC-Q100 证书？“按车规设计”和“通过车规认证”是两回事。
ASIL 几级？带不带锁步核？要产品级证书——流程体系证书不算。
承诺供货多少年？背后有没有 PCN 与 EOL 机制？
三句最常见的话术，以及它们的真实含义：