De term wordt voortdurend gebruikt, maar hij duidt geen enkele kwalificatie aan — het zijn er vier, onderling onafhankelijk. Ze verwarren leidt tot conclusies als «deze chip is automotive grade, dus kan hij de rembeslissing nemen». Dat kan hij niet.
Wanneer een chip «automotive grade» wordt genoemd, dekt die uitspraak mogelijk slechts één van de vier onderstaande punten.
Het venster tussen koud en heet waarin hij nog correct werkt.
Duizenden uren veroudering, temperatuurwisseling, trillingen en vochtbelasting.
Nulfoutencultuur, batchtraceerbaarheid, wijzigingsmelding, tien jaar beschikbaarheid.
Of het systeem de gevolgen kan opvangen wanneer het onderdeel uitvalt.
De twee die het vaakst worden verward zijn de tweede en de vierde.
AEC-Q100 beantwoordt «gaat hij stuk?». ISO 26262 beantwoordt «wat gebeurt er als hij stukgaat?». Dat zijn volledig gescheiden kwalificaties. Een chip kan AEC-Q100 volledig doorstaan en toch geen enkele ASIL-capaciteit bezitten.
De concreetste van de vier. De grades verschillen alleen in hoeveel hitte het onderdeel doorstaat — want de inbouwplaats in het voertuig bepaalt wat het moet verduren.
Verschillende plaatsen in het voertuig leggen zeer verschillende thermische belasting op:
Een echt geval. In een ontwerpdocument van een leverancier stond een onderdeel vermeld als «niet automotive grade, maar gespecificeerd van −30 tot +85 °C». Dat lijkt net genoeg — tot je bedenkt dat het voertuig naar Noord-Europa gaat, waar de voertuigeis −40 tot +85 °C is.
Die tien graden zijn geen marge. Ze bepalen of de vrachtwagen in de Noorse winter start. En het onderdeel haalt niet eens Grade 3, het laagste automotive niveau — waarvan de ondergrens precies −40 °C is.
Dit is de kern van AEC-Q100: ruim veertig belastingsproeven, duizenden uren, honderden monsters. Het doel is fouten die anders pas in jaar tien opduiken, binnen enkele maanden af te dwingen.
Wat krijg je als hij slaagt? Een toezegging over het uitvalpercentage — doorgaans uitgedrukt in PPM (delen per miljoen) of FIT (uitvallen per miljard uur) — samen met traceerbare beproevingsrapporten.
Consumentenonderdelen slaan het meeste hiervan over, of doen slechts enkele proeven. «Het werkt» en «het werkt over tien jaar nog» zijn verschillende beweringen. Een telefoon wordt na twee jaar vervangen; een vrachtwagen rijdt vijftien jaar.
De meest over het hoofd geziene van de vier, en de zwaarste voor een bedrijfsvoertuig met vijftien jaar levensduur.
Ronduit gezegd: een consumentenonderdeel kan uit productie gaan terwijl onze vrachtwagen nog in garantie is. Dat betekent geen reserveonderdelen — of een herontwerp van de print. En een herontwerp betekent hercertificering.
De eerste drie vragen hoe goed de chip is. De vierde vraagt wat er met mensen gebeurt als hij uitvalt.
Betrouwbaarheid. Verlaagt de kans op uitval. Beproeft het onderdeel zelf — veroudering, temperatuur, trillingen, elektrostatische ontlading.
Functionele veiligheid. Beheerst de gevolgen van uitval. Beproeft het hele systeem — is er een tweede kanaal dat het opmerkt, en kan het systeem een veilige toestand bereiken?
ASIL is geen kwaliteitsrangschikking. Het wordt uit het gevaar berekend. ISO 26262 scoort drie dimensies:
S heeft drie bruikbare waarden, E vier, C drie. Dat zijn 36 combinaties — geen onbeperkt aantal. En die 36 leiden tot slechts vijf uitkomsten, want de tabel van ISO 26262 gedraagt zich als een eenvoudige optelling: S, E en C scoren met 1, 2, 3 (E tot 4), optellen en het niveau aflezen.
Van de 36 combinaties haalt er precies één ASIL-D: S3 × E4 × C3. De zwaarste schade, in de meest voorkomende rijsituatie, zonder mogelijkheid voor de bestuurder om in te grijpen. Alle drie de dimensies moeten tegelijk maximaal zijn. De helft van de tabel — 18 vakjes — vereist helemaal geen veiligheidsproces.
En er zijn maar vijf niveaus omdat ASIL het risico niet nauwkeurig beschrijft — het bepaalt hoeveel werk er verzet moet worden. Elk niveau brengt een volledig pakket ontwikkelingseisen mee: dekkingsdoelen, verificatiemethoden, procesonafhankelijkheid, lockstep-hardware. Met 36 niveaus zou de norm onbruikbaar zijn. Het is een bewust grove maatstaf.
Wat ASIL-B van ASIL-D scheidt:
| Kengetal | ASIL-B | ASIL-D |
|---|---|---|
| Enkelvoudige-foutmetriek | ≥ 90 % | ≥ 99 % |
| Latente-foutmetriek | ≥ 60 % | ≥ 90 % |
| Willekeurig hardware-uitvalpercentage | < 10⁻⁷ / uur | < 10⁻⁸ / uurTien keer strenger |
| Hardware-architectuur | Eén kern met watchdog volstaat meestal | Lockstep-kernen doorgaans vereist |
| Procesonafhankelijkheid | Versoepeld | Onafhankelijke review, audit en beoordeling |
Wat is een lockstep-kern? Twee CPU-kernen voeren dezelfde code gelijk op uit terwijl hardware hun uitvoer in real time vergelijkt. Elk verschil geeft onmiddellijk een fout. Het is de effectiefste manier om willekeurige hardwarefouten te detecteren — daarom komt hoge ASIL er zelden zonder.
ASIL-D halen zonder lockstep betekent compenseren met uitgebreide softwarezelftests en redundante berekening: duur, en lastig te verdedigen tegenover een technische dienst.
De onderstaande voorbeelden zijn illustratief, niet normatief. ASIL is een eigenschap van een specifiek gevaar, niet van een componenttype — dezelfde functie kan in de gevarenanalyse van een andere fabrikant in een ander vakje vallen.
ASIL-D — één combinatie
| S × E × C | Som | Typische functies |
|---|---|---|
| S3 × E4 × C3 | 10 | Uitval van de elektrische stuurbekrachtiging · onbedoeld remmen door ESC / EBS · onbedoeld activeren van de airbag · onbedoelde volgasversnelling (koppelbewaking) · onbedoeld remmen door AEB · steer-by-wire en brake-by-wireDodelijke schade, in de meest voorkomende rijsituatie, zonder mogelijkheid voor de bestuurder om in te grijpen. |
ASIL-C — drie combinaties
| S × E × C | Som | Typische functies |
|---|---|---|
| S2 × E4 × C3 | 9 | Abrupte verandering van de stuurbekrachtiging tijdens normaal rijden (verminderd, niet weggevallen) |
| S3 × E3 × C3 | 9 | Hoogspanningsaccu ontkoppelt niet na een botsing · verlies van HS-isolatie |
| S3 × E4 × C2 | 9 | Gedeeltelijk verlies van remkracht tijdens normaal rijden (andere circuits nog beschikbaar) |
ASIL-C komt in de praktijk weinig voor — de meeste teams ontwerpen meteen naar D, of gebruiken ASIL-decompositie.
ASIL-B — zes combinaties
| S × E × C | Som | Typische functies |
|---|---|---|
| S1 × E4 × C3 | 8 | Uitval van achter- en contourverlichting — constante blootstelling, en de bestuurder ziet zijn eigen achterlichten niet |
| S2 × E3 × C3 | 8 | Volledige uitval van de koplampen — geen verlichting bij nacht |
| S2 × E4 × C2 | 8 | Uitval van de remlichten — het achteropkomende voertuig weet niet dat u remt |
| S3 × E2 × C3 | 8 | Ontbrekende hoogspanningsisolatiebewaking — elektrocutiegevaar dat een mens niet kan waarnemen |
| S3 × E3 × C2 | 8 | Onbedoelde versnelling door cruise control of ACC |
| S3 × E4 × C1 | 8 | Verlies van aandrijving tijdens normaal rijden — het voertuig kan nog uitrollen naar de vluchtstrook |
Ook doorgaans ASIL-B: snelheidsweergave in het instrumentenpaneel, bandenspanningsbewaking en de waarnemingslaag van radar- en camerasystemen.
ASIL-A — acht combinaties
| S × E × C | Som | Typische functies |
|---|---|---|
| S1 × E3 × C3 | 7 | De achteruitrijcamera valt weg — botsing bij lage snelheid tijdens manoeuvreren |
| S1 × E4 × C2 | 7 | Binnenverlichting blijft aan en verslechtert het nachtzicht |
| S2 × E2 × C3 | 7 | Volledige uitval van de ruitenwissers bij regen — verlies van zicht naar voren |
| S2 × E3 × C2 | 7 | Uitval van één koplamp |
| S2 × E4 × C1 | 7 | Afleesfout van de snelheidsmeter — de bestuurder kan de snelheid nog inschatten aan verkeer en versnelling |
| S3 × E1 × C3 | 7 | Verlies van de waarschuwing voor thermische doorslag onder zeldzame bedrijfsomstandigheden |
| S3 × E2 × C2 | 7 | Afwijking in de remafstemming van de aanhanger onder bepaalde omstandigheden |
| S3 × E3 × C1 | 7 | Verlies van aandrijving bij matige blootstelling — het voertuig kan aan de kant |
QM — achttien combinaties
| Ernst | Combinaties | Typische functies |
|---|---|---|
| S1 · negen vakjes | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Laadruimteverlichting, stoelverwarming, leeslampjes, antiklem van het raam, dakscherm, kachelventilator, spiegelverwarming, helderheid van het instrumentenpaneel.De infotainmentunit, navigatie, Bluetooth, draadloos laden en sfeerverlichting bevinden zich alle in deze band. |
| S2 · zes vakjes | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Op hol geslagen stoelverstelling onder zeldzame omstandigheden, afwijkingen in de aanhangerverlichting, uitval van de langzame wisserstand (de snelle blijft beschikbaar), afwijking van de heuvelhulp, uitblijvende bandenspanningswaarschuwing |
| S3 · drie vakjes | E1C1 · E1C2 · E2C1 | Gevaren met dodelijke ernst onder zeldzame omstandigheden die de bestuurder volledig beheerst; aandrijfafwijkingen bij lage blootstelling die met remmen op te vangen zijn |
Drie patronen om te onthouden.
Beheersbaarheid is de sterkste hefboom. Een snelheidsmeterfout bij S2 × E4 × C1 is ASIL-A; uitval van remlichten bij S2 × E4 × C2 is ASIL-B. Dezelfde ernst, dezelfde blootstelling — het hele verschil zit erin of de bestuurder het kan opmerken en compenseren.
Ernst alleen beslist niets. S3 komt voor in QM (drie vakjes), A (drie), B (drie), C (twee) en D (één) — het beslaat alle niveaus. Dodelijk betekent niet hoog ASIL.
Alleen een volle uitslag haalt D. S3 × E4 × C3 is het enige vakje. Daarom zijn er zo weinig ASIL-D-elementen in een voertuig: sturen, remmen, airbag, koppelbewaking — en nauwelijks meer.
Toegepast op automatisch noodremmen is de asymmetrie het hele argument.
Onbedoeld remmen — remmen wanneer dat niet zou moeten — valt op S3 × E4 × C3. Dat is ASIL-D, het enige vakje.
Uitblijvend remmen — niet remmen wanneer dat wel zou moeten — valt rond S3 × E3–E4 × C1, dus ASIL-A of B. De basislijn is een vrachtwagen zonder AEB: van de bestuurder werd altijd verwacht dat hij zelf remde.
Elke ASIL-D-eis in een AEB-systeem bestaat om remmen te voorkomen dat niet zou mogen gebeuren — niet om remmen te garanderen dat wel zou moeten.
Elke combinatie is mogelijk. Eén van de vier kennen zegt niets over de andere drie.
| Chip | Temperatuur | Betrouwbaarheid | Functionele veiligheid | Geschikt voor een AEB-rembeslissing? |
|---|---|---|---|---|
| Consumenten-SoC | 0 to 70 °C | Geen AEC-Q100 | Geen ASIL | Nee |
| Industriële SoC | −40 to 85 °C | Geen AEC-Q100 | Geen ASIL | NeeAlleen de temperatuur; verder niets |
| Automotive-gekwalificeerde SoC | −40 to 105 °C | Grade 2 | Kan er alsnog geen hebben | Alleen waarnemingNiet de veiligheidsbeslissing |
| Veiligheids-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, geen lockstep | Vereist nadere onderbouwing |
| Veiligheids-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep-kernen | Ja |
De derde rij is de valkuil. «Wij gebruiken de automotive-gekwalificeerde versie» klinkt geruststellend, maar die zin beantwoordt alleen temperatuur en betrouwbaarheid. Over functionele veiligheid zegt hij helemaal niets.
Welke AEC-Q100-grade? Vraag het certificaat zelf, met het exacte artikelnummer en de grade.
Is er een AEC-Q100-certificaat? «Ontworpen volgens automotive normen» en «daarnaar gekwalificeerd» zijn verschillende beweringen.
Welke ASIL? Met of zonder lockstep? Eis een productcertificaat — een procescertificaat telt niet.
Hoeveel jaar levering wordt toegezegd? Zit daar PCN- en EOL-discipline achter?
Drie veelgehoorde beweringen en wat ze werkelijk betekenen: