這個詞天天在用，但它不是一項資質，而是四項互相獨立的資質。搞混了就會得出“這顆晶片是車規的，所以能做剎車決策”這種錯誤結論——它不能。
一顆晶片說自己“車規”，可能只說對了下面四件事裡的一件。
能在多冷到多熱之間正常工作。
幾千小時的老化、溫度循環、振動、溼熱應力測試。
零缺陷文化、批次追溯、變更通知、十年供貨。
失效之後，系統能不能兜住後果。
最容易搞混的是第二件和第四件。
AEC-Q100 管的是“會不會壞”，ISO 26262 管的是“壞了之後會怎樣”。這是兩套完全獨立的資質——一顆完整通過 AEC-Q100 的晶片，可以完全沒有任何 ASIL 能力。
這是四件裡最具體、最好懂的一條。等級之間只差在能扛多熱——因為晶片裝在車上什麼位置，決定了它要受多少罪。
車上不同位置，受的罪完全不同：
一個真實的例子。某供應商的方案書裡寫某顆晶片“非車規，但滿足耐溫 −30 至 +85 °C”。看著好像夠用——直到你想起這台車要賣到北歐，而整車要求是 −40 至 +85 °C。
差的這 10 °C 不是餘量問題，而是這台車能不能在挪威的冬天啟動的問題。而且這顆料連車規最低的 Grade 3 都夠不著——Grade 3 的下限就正好是 −40 °C。
這才是 AEC-Q100 的主體：四十多項應力測試，幾千小時，幾百顆樣品。目的是把“十年後才會暴露的缺陷”在幾個月裡逼出來。
通過之後拿到的是什麼？一個失效率承諾——通常用 PPM（百萬分之幾）或 FIT（十億小時失效數）表達——外加可追溯的測試報告。
消費級器件不做這些，或者只做很少幾項。“能用”和“十年不壞”是兩回事。手機用兩年就換，卡車要跑十五年。
四件裡最容易被忽略的一條，而對我們這種十五年壽命的商用車又最要命。
換句話說：一顆消費級晶片，可能在我們的車還在保修期內就停產了。那意味著售後沒有備件，或者要重新設計電路板——而重新設計就要重新認證。
前三件都在問“這顆晶片好不好”。第四件問的是：它壞了之後，會不會害死人。
可靠性。降低失效的機率。考的是這顆料本身——老化、溫度、振動、靜電。
功能安全。管理失效的後果。考的是整個系統——有沒有第二條通道發現它壞了，壞了能不能進入安全狀態。
ASIL 等級不是“好壞”排序，而是按危害後果算出來的。ISO 26262 用三個維度打分：
S 只有三個可用值，E 有四個，C 有三個，一共 36 種組合——不是無窮多。而這 36 格只對應五種結果，因為 ISO 26262 的查表其實等價於一次簡單的加法：把 S、E、C 各按 1、2、3 記分（E 最高到 4），求和，再讀出等級。
36 種組合裡，只有一格到 ASIL-D：S3 × E4 × C3。最嚴重的傷害、最常見的工況、司機根本救不回來——三個維度必須同時踩滿。而整張表的一半（18 格）根本不需要功能安全流程。
而之所以只有五檔，是因為 ASIL 不是用來精確描述風險的，它是用來決定“要做多少工作”的。每一檔背後是一整套開發要求：覆蓋率目標、驗證方法、流程獨立性、要不要鎖步硬體。如果分成 36 檔，這個標準就沒法執行了。它是一把故意做粗的尺子。
ASIL-B 和 ASIL-D 具體差在哪：
| 指標 | ASIL-B | ASIL-D |
|---|---|---|
| 單點故障覆蓋率 | ≥ 90 % | ≥ 99 % |
| 潛伏故障覆蓋率 | ≥ 60 % | ≥ 90 % |
| 隨機硬體失效率 | < 10⁻⁷ / 小時 | < 10⁻⁸ / 小時嚴十倍 |
| 硬體架構 | 單核加看門狗通常夠用 | 通常需要鎖步核 |
| 流程獨立性 | 較寬 | 獨立評審、稽核與評估 |
什麼是鎖步核？兩個 CPU 核同步執行同一段程式碼，硬體即時比對兩邊的結果，一旦不一致立刻報錯。這是發現隨機硬體故障最有效的手段——也正是為什麼高 ASIL 通常離不開它。
沒有鎖步核而要衝 ASIL-D，就得靠大量軟體自檢和冗餘計算來湊覆蓋率：代價高，而且在 Technical Service 面前很難論證。
下面的例子是典型示例，不是標準規定。ASIL 是“某個具體危害”的屬性，不是零件型別的屬性——同一個功能在不同整車廠的危害分析裡，可能落在不同的格子。
ASIL-D —— 1 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S3 × E4 × C3 | 10 | 電子助力轉向 EPS 失效 · ESC / EBS 誤制動 · 安全氣囊誤起爆 · 非預期全力加速（扭矩安全監控）· AEB 非預期制動 · 線控轉向、線控制動致命傷害 × 最常見的行駛工況 × 司機根本救不回來。 |
ASIL-C —— 3 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S2 × E4 × C3 | 9 | 常態行駛中轉向助力突變（助力異常，但未完全失效） |
| S3 × E3 × C3 | 9 | 碰撞後高壓電池未能安全斷開 · 高壓絕緣失效 |
| S3 × E4 × C2 | 9 | 常態行駛中部分制動力喪失（其他迴路仍可用） |
ASIL-C 在實際工程裡用得少——多數團隊要麼直接做到 D，要麼用 ASIL 分解拆開。
ASIL-B —— 6 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S1 × E4 × C3 | 8 | 尾燈 / 示廓燈失效——常態行駛，而且司機看不見自己的尾燈 |
| S2 × E3 × C3 | 8 | 前照燈全部失效——夜間完全無照明 |
| S2 × E4 × C2 | 8 | 制動燈失效——後車不知道你在剎車 |
| S3 × E2 × C3 | 8 | 缺少高壓絕緣監測——觸電致命，且人無法察覺 |
| S3 × E3 × C2 | 8 | 巡航 / ACC 異常加速 |
| S3 × E4 × C1 | 8 | 常態行駛中動力中斷——車輛仍可滑行靠邊 |
通常也定在 ASIL-B 的還有：儀表車速顯示、胎壓監測 TPMS，以及雷達與攝像頭的感知層。
ASIL-A —— 8 格
| S × E × C | 和 | 典型功能 |
|---|---|---|
| S1 × E3 × C3 | 7 | 倒車影像黑屏——挪車時的低速碰撞 |
| S1 × E4 × C2 | 7 | 車內照明常亮，影響夜間視線 |
| S2 × E2 × C3 | 7 | 雨天雨刮完全失效——喪失前方視野 |
| S2 × E3 × C2 | 7 | 前照燈單側失效 |
| S2 × E4 × C1 | 7 | 車速表顯示偏差——司機仍可靠路況和擋位判斷車速 |
| S3 × E1 × C3 | 7 | 罕見工況下喪失熱失控預警 |
| S3 × E2 × C2 | 7 | 特定工況下掛車制動協調異常 |
| S3 × E3 × C1 | 7 | 中等暴露率下的動力中斷——車輛可靠邊停車 |
QM —— 18 格
| 嚴重度 | 組合 | 典型功能 |
|---|---|---|
| S1 · 9 格 | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | 貨箱照明、座椅加熱、閱讀燈、電動車窗夾手、天窗遮陽簾、空調鼓風機、後視鏡加熱、儀表亮度調節。娛樂主機、導航、藍芽、無線充電、氛圍燈全都落在這一片。 |
| S2 · 6 格 | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | 罕見工況下座椅調節失控、拖掛燈光異常、雨刮低速檔失效（高速檔仍可用）、電子駐車坡道輔助異常、胎壓偏低未報警 |
| S3 · 3 格 | E1C1 · E1C2 · E2C1 | 罕見工況下的致命危害，但司機完全可控；低暴露率下的動力異常，可用制動兜住 |
三個值得記住的規律。
可控性是最強的槓桿。車速表偏差 S2 × E4 × C1 是 ASIL-A；制動燈失效 S2 × E4 × C2 是 ASIL-B。嚴重度相同、暴露率相同——全部差別只在於司機能不能自己發現並補救。
嚴重度單獨決定不了等級。S3 在 QM 出現 3 格、A 出現 3 格、B 出現 3 格、C 出現 2 格、D 出現 1 格——橫跨全部五級。致命並不等於高 ASIL。
只有三項全部踩滿才到 D。S3 × E4 × C3 是唯一一格。這就是為什麼整車上 ASIL-D 的件其實很少：轉向、制動、氣囊、扭矩安全監控——基本就這幾樣。
用到自動緊急制動上，這個不對稱就是全部論證的核心。
非預期制動——不該剎卻剎了——落在 S3 × E4 × C3，也就是 ASIL-D 那唯一一格。
未能制動——該剎卻沒剎——大致落在 S3 × E3–E4 × C1，屬於 ASIL-A 或 B。因為基線是一台沒有 AEB 的卡車：司機本來就該自己剎車。
AEB 系統裡所有的 ASIL-D 要求，都是為了防止“不該發生的制動”，而不是為了保證“該發生的制動一定發生”。
四個維度可以任意組合。知道其中一個，推不出另外三個。
| 晶片 | 溫度 | 可靠性 | 功能安全 | 能做 AEB 剎車決策嗎 |
|---|---|---|---|---|
| 某消費級 SoC | 0 ~ 70 °C | 無 AEC-Q100 | 無 ASIL | 不行 |
| 某工規 SoC | −40 ~ 85 °C | 無 AEC-Q100 | 無 ASIL | 不行只有溫度夠了，其餘都沒有 |
| 車規版 SoC | −40 ~ 105 °C | Grade 2 | 仍可能完全沒有 | 只能做感知不能做安全決策 |
| 安全 MCU（ASIL-B） | −40 to 125 °C | Grade 1 | ASIL-B，不帶鎖步 | 需要額外論證 |
| 安全 MCU（ASIL-D） | −40 to 125 °C | Grade 1 | ASIL-D，帶鎖步核 | 可以 |
第三行是最容易踩的坑。“我們用的是車規版晶片”聽起來很穩，但這句話只回答了溫度和可靠性，對功能安全隻字未提。
AEC-Q100 是 Grade 幾？要證書原件，上面有確切料號和 Grade。
到底有沒有 AEC-Q100 證書？“按車規設計”和“通過車規認證”是兩回事。
ASIL 幾級？帶不帶鎖步核？要產品級證書——流程體系證書不算。
承諾供貨多少年？背後有沒有 PCN 與 EOL 機制？
三句最常見的話術，以及它們的真實含義：