Udtrykket bruges konstant, men det betegner ikke én kvalifikation — det betegner fire, uafhængige af hinanden. At forveksle dem fører til slutninger som «denne chip er automotive grade, altså kan den træffe bremsebeslutningen». Det kan den ikke.
Når en chip kaldes «automotive grade», dækker den påstand måske kun ét af de fire punkter nedenfor.
Vinduet mellem koldt og varmt, hvor den stadig fungerer korrekt.
Tusindvis af timers ældning, temperaturcykling, vibration og fugtbelastning.
Nulfejlskultur, batchsporbarhed, ændringsmeddelelse, ti års tilgængelighed.
Om systemet kan rumme konsekvenserne, når komponenten svigter.
De to, der oftest forveksles, er den anden og den fjerde.
AEC-Q100 svarer på «vil den svigte?». ISO 26262 svarer på «hvad sker der, når den svigter?». Det er helt adskilte kvalifikationer. En chip kan bestå AEC-Q100 fuldt ud og alligevel savne enhver ASIL-evne.
Den mest konkrete af de fire. Graderne adskiller sig kun i, hvor meget varme komponenten tåler — for dens placering i køretøjet afgør, hvad den skal udholde.
Forskellige placeringer i køretøjet giver meget forskellig termisk belastning:
Et virkeligt tilfælde. I et konstruktionsdokument fra en leverandør stod en komponent anført som «ikke automotive grade, men specificeret −30 til +85 °C». Det ser lige akkurat tilstrækkeligt ud — indtil man husker, at køretøjet leveres til Norden, hvor kravet på køretøjsniveau er −40 til +85 °C.
De ti grader er ingen margin. De afgør, om lastbilen starter i den norske vinter. Og komponenten når ikke engang Grade 3, det laveste automotive-niveau — hvis nedre grænse netop er −40 °C.
Dette er hovedparten af AEC-Q100: over fyrre belastningsprøver, tusindvis af timer, hundredvis af prøveemner. Formålet er på få måneder at fremtvinge fejl, der ellers først ville vise sig i år ti.
Hvad får man, når den består? Et tilsagn om fejlrate — normalt udtrykt i PPM (dele pr. million) eller FIT (fejl pr. milliard timer) — sammen med sporbare prøverapporter.
Forbrugerkomponenter springer det meste af dette over eller kører kun få prøver. «Den virker» og «den virker også om ti år» er forskellige påstande. En telefon udskiftes efter to år; en lastbil kører i femten.
Den mest oversete af de fire og den hårdeste for et erhvervskøretøj med femten års levetid.
Sagt ligeud: en forbrugerkomponent kan udgå, mens vores lastbil stadig er inden for garantien. Det betyder ingen reservedele — eller en omkonstruktion af printet. Og en omkonstruktion betyder ny certificering.
De tre første spørger, hvor god chippen er. Den fjerde spørger, hvad der sker med mennesker, når den svigter.
Pålidelighed. Sænker sandsynligheden for svigt. Prøver komponenten selv — ældning, temperatur, vibration, elektrostatisk udladning.
Funktionel sikkerhed. Håndterer konsekvenserne af svigt. Prøver hele systemet — findes der en anden kanal, der opdager det, og kan systemet nå en sikker tilstand?
ASIL er ingen kvalitetsrangordning. Den beregnes ud fra faren. ISO 26262 giver point på tre dimensioner:
S har tre brugbare værdier, E fire, C tre. Det giver 36 kombinationer — ikke et ubegrænset antal. Og de 36 giver kun fem udfald, fordi tabellen i ISO 26262 opfører sig som en simpel addition: giv S, E og C point 1, 2, 3 (E op til 4), læg sammen og aflæs niveauet.
Ud af 36 kombinationer når præcis én ASIL-D: S3 × E4 × C3. Den alvorligste skade, i den mest almindelige køresituation, uden mulighed for føreren at redde den. Alle tre dimensioner skal være maksimeret samtidig. Halvdelen af tabellen — 18 felter — kræver slet ingen funktionssikkerhedsproces.
Og der er kun fem niveauer, fordi ASIL ikke beskriver risikoen præcist — den afgør, hvor meget arbejde der skal udføres. Hvert niveau bærer et komplet sæt udviklingskrav: dækningsmål, verifikationsmetoder, procesuafhængighed, lockstep-hardware. Med 36 niveauer ville standarden være ubrugelig. Det er en bevidst grov målestok.
Hvad der adskiller ASIL-B fra ASIL-D:
| Nøgletal | ASIL-B | ASIL-D |
|---|---|---|
| Mål for enkeltfejl | ≥ 90 % | ≥ 99 % |
| Mål for latente fejl | ≥ 60 % | ≥ 90 % |
| Tilfældig hardwarefejlrate | < 10⁻⁷ / time | < 10⁻⁸ / timeTi gange strengere |
| Hardwarearkitektur | Én kerne med watchdog er som regel nok | Lockstep-kerner kræves normalt |
| Procesuafhængighed | Lempeligere | Uafhængig gennemgang, audit og vurdering |
Hvad er en lockstep-kerne? To CPU-kerner udfører samme kode i takt, mens hardwaren sammenligner deres udgange i realtid. Enhver afvigelse udløser straks en fejl. Det er den mest effektive måde at opdage tilfældige hardwarefejl på — derfor klarer høje ASIL sig sjældent uden.
At nå ASIL-D uden lockstep betyder at kompensere med omfattende softwareselvtests og redundant beregning: dyrt og svært at forsvare over for en teknisk tjeneste.
Eksemplerne nedenfor er illustrative, ikke normative. ASIL er en egenskab ved en konkret fare, ikke ved en komponenttype — samme funktion kan lande i et andet felt i en anden producents fareanalyse.
ASIL-D — én kombination
| S × E × C | Sum | Typiske funktioner |
|---|---|---|
| S3 × E4 × C3 | 10 | Svigt i den elektriske servostyring · utilsigtet bremsning fra ESC / EBS · utilsigtet udløsning af airbag · utilsigtet fuldgasacceleration (momentovervågning) · utilsigtet AEB-bremsning · steer-by-wire og brake-by-wireDødelig skade, i den mest almindelige køresituation, uden mulighed for føreren at redde den. |
ASIL-C — tre kombinationer
| S × E × C | Sum | Typiske funktioner |
|---|---|---|
| S2 × E4 × C3 | 9 | Brat ændring i styreservoen under normal kørsel (forringet, ikke bortfaldet) |
| S3 × E3 × C3 | 9 | Højspændingsbatteriet frakobler ikke efter et sammenstød · tab af HV-isolation |
| S3 × E4 × C2 | 9 | Delvist tab af bremsekraft under normal kørsel (øvrige kredse stadig tilgængelige) |
ASIL-C er sjælden i praksis — de fleste team konstruerer direkte mod D eller bruger ASIL-dekomponering.
ASIL-B — seks kombinationer
| S × E × C | Sum | Typiske funktioner |
|---|---|---|
| S1 × E4 × C3 | 8 | Svigt i bag- og markeringslygter — konstant eksponering, og føreren ser ikke sine egne baglygter |
| S2 × E3 × C3 | 8 | Totalt svigt i forlygterne — ingen belysning om natten |
| S2 × E4 × C2 | 8 | Svigt i bremselygterne — køretøjet bagved ved ikke, at du bremser |
| S3 × E2 × C3 | 8 | Manglende overvågning af højspændingsisolation — risiko for elektrisk stød, som et menneske ikke kan opfatte |
| S3 × E3 × C2 | 8 | Utilsigtet acceleration fra fartpilot eller ACC |
| S3 × E4 × C1 | 8 | Tab af fremdrift under normal kørsel — køretøjet kan stadig rulle ud i nødsporet |
Også typisk ASIL-B: hastighedsvisning i instrumentgruppen, dæktryksovervågning og perceptionslaget i radar- og kamerasystemer.
ASIL-A — otte kombinationer
| S × E × C | Sum | Typiske funktioner |
|---|---|---|
| S1 × E3 × C3 | 7 | Bakkameraet slukker — kollision ved lav hastighed under manøvrering |
| S1 × E4 × C2 | 7 | Kabinelyset står tændt og forringer nattesynet |
| S2 × E2 × C3 | 7 | Totalt svigt i vinduesviskerne i regn — tabt udsyn fremad |
| S2 × E3 × C2 | 7 | Svigt i en enkelt forlygte |
| S2 × E4 × C1 | 7 | Aflæsningsfejl på speedometeret — føreren kan stadig vurdere farten ud fra trafik og gear |
| S3 × E1 × C3 | 7 | Tabt advarsel om termisk løbskhed under sjældne driftsforhold |
| S3 × E2 × C2 | 7 | Afvigelse i påhængskøretøjets bremsekoordinering under bestemte forhold |
| S3 × E3 × C1 | 7 | Tab af fremdrift ved moderat eksponering — køretøjet kan køre til siden |
QM — atten kombinationer
| Alvorlighed | Kombinationer | Typiske funktioner |
|---|---|---|
| S1 · ni felter | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Belysning i lastrummet, sædevarme, læselamper, klemsikring til rude, tagrullegardin, kabineblæser, spejlvarme, lysstyrke i instrumentgruppen.Infotainmentenheden, navigationen, Bluetooth, trådløs opladning og stemningsbelysning ligger alle i dette bånd. |
| S2 · seks felter | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Løbsk sædeindstilling under sjældne forhold, afvigelser i påhængskøretøjets lygter, svigt i viskernes langsomme trin (det hurtige er stadig til rådighed), afvigelse i bakkestartassistenten, udeblevet dæktryksadvarsel |
| S3 · tre felter | E1C1 · E1C2 · E2C1 | Farer med dødelig alvorlighed under sjældne forhold, som føreren fuldt ud behersker; fremdriftsafvigelser ved lav eksponering, som bremsning kan rumme |
Tre mønstre værd at gøre til sine egne.
Kontrollerbarhed er den stærkeste løftestang. En speedometerfejl ved S2 × E4 × C1 er ASIL-A; svigt i bremselygter ved S2 × E4 × C2 er ASIL-B. Samme alvorlighed, samme eksponering — hele forskellen ligger i, om føreren kan bemærke det og kompensere.
Alvorligheden alene afgør intet. S3 optræder i QM (tre felter), A (tre), B (tre), C (to) og D (ét) — den spænder over alle niveauer. Dødelig betyder ikke høj ASIL.
Kun fuldt udslag når D. S3 × E4 × C3 er det eneste felt. Derfor er der så få ASIL-D-elementer i et køretøj: styring, bremser, airbag, momentovervågning — og næppe mere.
Anvendt på automatisk nødbremsning er asymmetrien hele argumentet.
Utilsigtet bremsning — at bremse, når man ikke bør — lander på S3 × E4 × C3. Det er ASIL-D, det eneste felt.
Udeblevet bremsning — ikke at bremse, når man burde — lander omkring S3 × E3–E4 × C1, altså ASIL-A eller B. Udgangspunktet er en lastbil uden AEB: det har altid været forventet, at føreren selv bremser.
Ethvert ASIL-D-krav i et AEB-system findes for at forhindre en bremsning, der ikke bør ske — ikke for at garantere en bremsning, der bør ske.
Enhver kombination er mulig. At kende én af de fire siger intet om de andre.
| Chip | Temperatur | Pålidelighed | Funktionel sikkerhed | Egnet til en AEB-bremsebeslutning? |
|---|---|---|---|---|
| Forbruger-SoC | 0 to 70 °C | Ingen AEC-Q100 | Ingen ASIL | Nej |
| Industriel SoC | −40 to 85 °C | Ingen AEC-Q100 | Ingen ASIL | NejKun temperaturen; intet andet |
| Automotive-kvalificeret SoC | −40 to 105 °C | Grade 2 | Kan stadig mangle helt | Kun perceptionIkke sikkerhedsbeslutningen |
| Sikkerheds-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, uden lockstep | Kræver yderligere begrundelse |
| Sikkerheds-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep-kerner | Ja |
Tredje række er fælden. «Vi bruger den automotive-kvalificerede version» lyder betryggende, men den sætning svarer kun på temperatur og pålidelighed. Om funktionel sikkerhed siger den intet som helst.
Hvilken AEC-Q100-grad? Bed om selve certifikatet med præcist varenummer og grad.
Findes der et AEC-Q100-certifikat? «Konstrueret efter automotive-standarder» og «kvalificeret efter dem» er forskellige påstande.
Hvilken ASIL? Med eller uden lockstep? Kræv et produktcertifikat — et procescertifikat tæller ikke.
Hvor mange års levering er lovet? Ligger der PCN- og EOL-disciplin bag?
Tre gængse påstande og hvad de faktisk betyder: