Ilmaisua käytetään jatkuvasti, mutta se ei tarkoita yhtä pätevyyttä — se tarkoittaa neljää toisistaan riippumatonta. Niiden sekoittaminen johtaa päätelmiin kuten «tämä piiri on automotive grade, joten se voi tehdä jarrutuspäätöksen». Se ei voi.
Kun piiriä kutsutaan «automotive gradeksi», väite saattaa kattaa vain yhden alla olevista neljästä kohdasta.
Ikkuna kylmän ja kuuman välillä, jossa se yhä toimii oikein.
Tuhansia tunteja ikäytystä, lämpötilasyklejä, tärinää ja kosteusrasitusta.
Nollavirhekulttuuri, eräjäljitettävyys, muutosilmoitus, kymmenen vuoden saatavuus.
Pystyykö järjestelmä hallitsemaan seuraukset, kun komponentti vikaantuu.
Useimmin sekoitetaan toinen ja neljäs.
AEC-Q100 vastaa kysymykseen «vikaantuuko se?». ISO 26262 vastaa kysymykseen «mitä tapahtuu, kun se vikaantuu?». Nämä ovat täysin erillisiä pätevyyksiä. Piiri voi läpäistä AEC-Q100:n kokonaan eikä silti omata mitään ASIL-kykyä.
Neljästä konkreettisin. Luokat eroavat vain siinä, kuinka paljon kuumuutta komponentti kestää — sillä sen sijoituspaikka ajoneuvossa ratkaisee, mitä sen on kestettävä.
Eri sijoituspaikat ajoneuvossa aiheuttavat hyvin erilaisen lämpökuorman:
Todellinen tapaus. Erään toimittajan suunnitteludokumentissa komponentti oli merkitty «ei automotive grade, mutta määritelty −30…+85 °C». Se näyttää juuri ja juuri riittävältä — kunnes muistaa, että ajoneuvo toimitetaan Pohjoismaihin, joissa ajoneuvotason vaatimus on −40…+85 °C.
Nuo kymmenen astetta eivät ole marginaali. Ne ratkaisevat, käynnistyykö rekka Norjan talvessa. Eikä komponentti yllä edes Grade 3:een, alimpaan automotive-tasoon — jonka alaraja on täsmälleen −40 °C.
Tämä on AEC-Q100:n pääosa: yli neljäkymmentä rasitustestiä, tuhansia tunteja, satoja näytteitä. Tarkoitus on pakottaa muutamassa kuukaudessa esiin viat, jotka muuten ilmenisivät vasta kymmenentenä vuotena.
Mitä saa läpäisystä? Sitoumuksen vikataajuudesta — ilmaistuna tavallisesti PPM:nä (osaa miljoonasta) tai FIT:nä (vikaa miljardissa tunnissa) — sekä jäljitettävät testiraportit.
Kuluttajakomponentit ohittavat suurimman osan tästä tai tekevät vain muutaman testin. «Se toimii» ja «se toimii vielä kymmenen vuoden päästä» ovat eri väitteitä. Puhelin vaihdetaan kahden vuoden jälkeen; rekka ajaa viisitoista.
Neljästä useimmin sivuutettu — ja ankarin viisitoista vuotta kestävälle hyötyajoneuvolle.
Suoraan sanottuna: kuluttajakomponentti voi poistua tuotannosta, kun rekkamme on yhä takuussa. Se tarkoittaa, ettei varaosia ole — tai että piirilevy on suunniteltava uudelleen. Ja uudelleensuunnittelu tarkoittaa uutta sertifiointia.
Kolme ensimmäistä kysyvät, kuinka hyvä piiri on. Neljäs kysyy, mitä ihmisille tapahtuu, kun se vikaantuu.
Luotettavuus. Pienentää vikaantumisen todennäköisyyttä. Testaa komponenttia itseään — ikäytys, lämpötila, tärinä, sähköstaattinen purkaus.
Toiminnallinen turvallisuus. Hallitsee vikaantumisen seuraukset. Testaa koko järjestelmää — onko toista kanavaa, joka huomaa sen, ja pääseekö järjestelmä turvalliseen tilaan?
ASIL ei ole laatuluokitus. Se lasketaan vaarasta. ISO 26262 pisteyttää kolme ulottuvuutta:
S:llä on kolme käyttökelpoista arvoa, E:llä neljä, C:llä kolme. Se tekee 36 yhdistelmää — ei rajatonta määrää. Ja nämä 36 tuottavat vain viisi lopputulosta, koska ISO 26262:n taulukko käyttäytyy kuin yksinkertainen yhteenlasku: pisteytä S, E ja C arvoilla 1, 2, 3 (E aina neljään), laske yhteen ja lue taso.
36 yhdistelmästä täsmälleen yksi yltää ASIL-D:hen: S3 × E4 × C3. Vakavin vahinko, yleisimmässä ajotilanteessa, ilman että kuljettaja voi pelastaa tilannetta. Kaikkien kolmen ulottuvuuden on oltava yhtä aikaa maksimissa. Puolet taulukosta — 18 ruutua — ei vaadi lainkaan toiminnallisen turvallisuuden prosessia.
Ja tasoja on vain viisi, koska ASIL ei kuvaa riskiä tarkasti — se ratkaisee, kuinka paljon työtä on tehtävä. Jokainen taso tuo mukanaan täyden joukon kehitysvaatimuksia: kattavuustavoitteet, todennusmenetelmät, prosessin riippumattomuus, lockstep-laitteisto. Kolmellakymmenelläkuudella tasolla standardi olisi käyttökelvoton. Se on tarkoituksella karkea mittatikku.
Mikä erottaa ASIL-B:n ASIL-D:stä:
| Tunnusluku | ASIL-B | ASIL-D |
|---|---|---|
| Yksittäisvian mittari | ≥ 90 % | ≥ 99 % |
| Piilevän vian mittari | ≥ 60 % | ≥ 90 % |
| Satunnainen laitteistovikataajuus | < 10⁻⁷ / tunti | < 10⁻⁸ / tuntiKymmenen kertaa tiukempi |
| Laitteistoarkkitehtuuri | Yksi ydin vahtikoiran kanssa yleensä riittää | Lockstep-ytimet yleensä vaaditaan |
| Prosessin riippumattomuus | Lievempi | Riippumaton katselmus, auditointi ja arviointi |
Mikä on lockstep-ydin? Kaksi suoritinydintä suorittaa samaa koodia tahdissa, kun laitteisto vertaa niiden tuloksia reaaliajassa. Jokainen poikkeama laukaisee välittömästi vian. Se on tehokkain tapa havaita satunnaisia laitteistovikoja — siksi korkeat ASIL-tasot tulevat harvoin toimeen ilman sitä.
ASIL-D:hen yltäminen ilman lockstepiä tarkoittaa kompensointia laajoilla ohjelmiston itsetesteillä ja redundantilla laskennalla: kallista ja vaikea perustella tekniselle tutkimuslaitokselle.
Alla olevat esimerkit ovat havainnollistavia, eivät normatiivisia. ASIL on tietyn vaaran ominaisuus, ei komponenttityypin — sama toiminto voi osua eri ruutuun toisen valmistajan vaara-analyysissä.
ASIL-D — yksi yhdistelmä
| S × E × C | Summa | Tyypilliset toiminnot |
|---|---|---|
| S3 × E4 × C3 | 10 | Sähköisen ohjaustehostimen vikaantuminen · ESC / EBS -järjestelmän tahaton jarrutus · turvatyynyn tahaton laukeaminen · tahaton täyskaasukiihdytys (momentin valvonta) · AEB:n tahaton jarrutus · steer-by-wire ja brake-by-wireKuolemaan johtava vahinko yleisimmässä ajotilanteessa, ilman että kuljettaja voi pelastaa tilannetta. |
ASIL-C — kolme yhdistelmää
| S × E × C | Summa | Tyypilliset toiminnot |
|---|---|---|
| S2 × E4 × C3 | 9 | Ohjaustehostuksen äkillinen muutos normaalissa ajossa (heikentynyt, ei menetetty) |
| S3 × E3 × C3 | 9 | Suurjänniteakku ei kytkeydy irti törmäyksen jälkeen · HV-eristyksen menetys |
| S3 × E4 × C2 | 9 | Jarruvoiman osittainen menetys normaalissa ajossa (muut piirit yhä käytettävissä) |
ASIL-C on käytännössä harvinainen — useimmat tiimit suunnittelevat suoraan D:hen tai käyttävät ASIL-dekompositiota.
ASIL-B — kuusi yhdistelmää
| S × E × C | Summa | Tyypilliset toiminnot |
|---|---|---|
| S1 × E4 × C3 | 8 | Taka- ja äärivalojen vikaantuminen — jatkuva altistuminen, eikä kuljettaja näe omia takavalojaan |
| S2 × E3 × C3 | 8 | Ajovalojen täydellinen vikaantuminen — ei valaistusta pimeällä |
| S2 × E4 × C2 | 8 | Jarruvalojen vikaantuminen — takana tuleva ajoneuvo ei tiedä, että jarrutat |
| S3 × E2 × C3 | 8 | Suurjännite-eristyksen valvonnan puuttuminen — sähköiskun vaara, jota ihminen ei voi havaita |
| S3 × E3 × C2 | 8 | Vakionopeussäätimen tai ACC:n aiheuttama tahaton kiihdytys |
| S3 × E4 × C1 | 8 | Voimansiirron menetys normaalissa ajossa — ajoneuvo pystyy yhä rullaamaan pientareelle |
Tyypillisesti ASIL-B myös: nopeuden näyttö mittaristossa, rengaspaineen valvonta sekä tutka- ja kamerajärjestelmien havainnointikerros.
ASIL-A — kahdeksan yhdistelmää
| S × E × C | Summa | Tyypilliset toiminnot |
|---|---|---|
| S1 × E3 × C3 | 7 | Peruutuskamera sammuu — matalan nopeuden törmäys peruutettaessa |
| S1 × E4 × C2 | 7 | Sisävalaistus jää päälle ja heikentää yönäköä |
| S2 × E2 × C3 | 7 | Pyyhkimien täydellinen vikaantuminen sateessa — näkyvyyden menetys eteenpäin |
| S2 × E3 × C2 | 7 | Yhden ajovalon vikaantuminen |
| S2 × E4 × C1 | 7 | Nopeusmittarin lukemavirhe — kuljettaja pystyy yhä arvioimaan nopeuden liikenteestä ja vaihteesta |
| S3 × E1 × C3 | 7 | Lämpökarkaamisvaroituksen menetys harvinaisessa käyttötilanteessa |
| S3 × E2 × C2 | 7 | Perävaunun jarrutuksen yhteensovituksen poikkeama tietyissä olosuhteissa |
| S3 × E3 × C1 | 7 | Voimansiirron menetys kohtalaisella altistumisella — ajoneuvo voi ajaa sivuun |
QM — kahdeksantoista yhdistelmää
| Vakavuus | Yhdistelmät | Tyypilliset toiminnot |
|---|---|---|
| S1 · yhdeksän ruutua | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Kuormatilan valaistus, istuinlämmitys, lukuvalot, ikkunan jumiutumissuoja, kattoverho, puhallin, peililämmitys, mittariston kirkkaus.Infotainment-yksikkö, navigointi, Bluetooth, langaton lataus ja tunnelmavalaistus ovat kaikki tällä kaistalla. |
| S2 · kuusi ruutua | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Istuimen säädön karkaaminen harvinaisissa olosuhteissa, perävaunun valojen poikkeamat, pyyhkimien hitaan nopeuden vikaantuminen (nopea yhä käytettävissä), mäkilähtöavustimen poikkeama, rengaspainevaroituksen puuttuminen |
| S3 · kolme ruutua | E1C1 · E1C2 · E2C1 | Kuolemaan johtavan vakavuuden vaarat harvinaisissa olosuhteissa, jotka kuljettaja hallitsee täysin; voimansiirron poikkeamat matalalla altistumisella, jotka jarrutus pystyy hallitsemaan |
Kolme säännönmukaisuutta, jotka kannattaa sisäistää.
Hallittavuus on vahvin vipu. Nopeusmittarin virhe kohdassa S2 × E4 × C1 on ASIL-A; jarruvalojen vikaantuminen kohdassa S2 × E4 × C2 on ASIL-B. Sama vakavuus, sama altistuminen — koko ero on siinä, voiko kuljettaja huomata sen ja kompensoida.
Vakavuus yksinään ei ratkaise mitään. S3 esiintyy QM:ssä (kolme ruutua), A:ssa (kolme), B:ssä (kolme), C:ssä (kaksi) ja D:ssä (yksi) — se ulottuu kaikille tasoille. Kuolemaan johtava ei tarkoita korkeaa ASIL-tasoa.
Vain täysi ääriarvo yltää D:hen. S3 × E4 × C3 on ainoa ruutu. Siksi ajoneuvossa on niin vähän ASIL-D-kohteita: ohjaus, jarrut, turvatyyny, momentin valvonta — eikä juuri muuta.
Hätäjarrutukseen sovellettuna epäsymmetria on koko argumentti.
Tahaton jarrutus — jarruttaminen silloin kun ei pitäisi — osuu kohtaan S3 × E4 × C3. Se on ASIL-D, tuo ainoa ruutu.
Jarrutuksen puuttuminen — jarruttamatta jättäminen silloin kun pitäisi — osuu kohtaan S3 × E3–E4 × C1, eli ASIL-A tai B. Lähtötaso on rekka ilman AEB:tä: kuljettajan on aina oletettu jarruttavan itse.
Jokainen AEB-järjestelmän ASIL-D-vaatimus on olemassa estämään jarrutus, jota ei pitäisi tapahtua — ei takaamaan jarrutusta, jonka pitäisi tapahtua.
Mikä tahansa yhdistelmä on mahdollinen. Yhden neljästä tunteminen ei kerro mitään muista.
| Piiri | Lämpötila | Luotettavuus | Toiminnallinen turvallisuus | Soveltuuko AEB:n jarrutuspäätökseen? |
|---|---|---|---|---|
| Kuluttaja-SoC | 0 to 70 °C | Ei AEC-Q100:aa | Ei ASIL-tasoa | Ei |
| Teollinen SoC | −40 to 85 °C | Ei AEC-Q100:aa | Ei ASIL-tasoa | EiVain lämpötila; ei mitään muuta |
| Automotive-kelpuutettu SoC | −40 to 105 °C | Grade 2 | Voi silti puuttua kokonaan | Vain havainnointiEi turvallisuuspäätöstä |
| Turva-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, ei lockstepiä | Vaatii lisäperustelut |
| Turva-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep-ytimet | Kyllä |
Kolmas rivi on ansa. «Käytämme automotive-kelpuutettua versiota» kuulostaa rauhoittavalta, mutta tuo lause vastaa vain lämpötilaan ja luotettavuuteen. Toiminnallisesta turvallisuudesta se ei kerro yhtään mitään.
Mikä AEC-Q100-luokka? Pyydä itse sertifikaatti, jossa näkyy tarkka tuotenumero ja luokka.
Onko AEC-Q100-sertifikaattia? «Suunniteltu automotive-standardien mukaan» ja «kelpuutettu niiden mukaan» ovat eri väitteitä.
Mikä ASIL? Lockstep vai ei? Vaadi tuotetason sertifikaatti — prosessisertifikaatti ei kelpaa.
Kuinka moneksi vuodeksi toimitus on sitouduttu? Onko taustalla PCN- ja EOL-kuri?
Kolme yleistä väitettä ja mitä ne todella tarkoittavat: