L'expression est employée en permanence, mais elle ne désigne pas une qualification unique — elle en désigne quatre, indépendantes. Les confondre mène à des conclusions du type « cette puce est de grade automobile, donc elle peut prendre la décision de freinage ». Elle ne le peut pas.
Lorsqu'une puce est dite « de grade automobile », cette affirmation ne couvre peut-être qu'un seul des quatre points ci-dessous.
La fenêtre entre le froid et le chaud dans laquelle elle fonctionne encore correctement.
Des milliers d'heures de vieillissement, de cycles thermiques, de vibrations et de contrainte d'humidité.
Culture zéro défaut, traçabilité des lots, notification de modification, disponibilité sur dix ans.
La capacité du système à contenir les conséquences lorsque le composant défaille.
Les deux plus souvent confondus sont le deuxième et le quatrième.
L'AEC-Q100 répond à « va-t-elle défaillir ? ». L'ISO 26262 répond à « que se passe-t-il quand elle défaille ? » Ce sont des qualifications entièrement distinctes. Une puce peut satisfaire intégralement l'AEC-Q100 et ne porter aucune capacité ASIL.
Le plus concret des quatre. Les grades ne diffèrent que par la chaleur que le composant supporte — car son emplacement dans le véhicule décide de ce qu'il endure.
Selon leur emplacement dans le véhicule, les composants subissent des charges thermiques très différentes :
Un cas réel. Un document de conception fournisseur indiquait un composant comme « non automobile, mais spécifié de −30 à +85 °C ». Cela paraît suffisant — jusqu'à ce qu'on se rappelle que le véhicule est livré en Europe du Nord, où l'exigence au niveau véhicule est de −40 à +85 °C.
Ces dix degrés ne sont pas une marge. Ils décident si le camion démarre dans l'hiver norvégien. Et le composant n'atteint même pas le Grade 3, le niveau automobile le plus bas — dont le plancher est précisément −40 °C.
C'est l'essentiel de l'AEC-Q100 : plus de quarante essais de contrainte, des milliers d'heures, des centaines d'échantillons. L'objectif est de forcer en quelques mois l'apparition de défauts qui ne se manifesteraient qu'à la dixième année.
Qu'obtient-on à l'issue ? Un engagement sur le taux de défaillance — exprimé habituellement en PPM (parties par million) ou en FIT (défaillances par milliard d'heures) — accompagné de rapports d'essai traçables.
Les composants grand public sautent l'essentiel de ces essais, ou n'en font que quelques-uns. « Ça marche » et « ça marche encore dans dix ans » sont deux affirmations différentes. Un téléphone se remplace au bout de deux ans ; un camion roule quinze ans.
Le plus négligé des quatre, et le plus punitif pour un véhicule industriel dont la durée de vie est de quinze ans.
Autrement dit : un composant grand public peut être arrêté alors que notre camion est encore sous garantie. Cela signifie pas de pièces de rechange — ou une refonte de la carte. Et une refonte signifie une nouvelle certification.
Les trois premiers demandent si la puce est bonne. Le quatrième demande ce qui arrive aux personnes quand elle défaille.
Fiabilité. Réduit la probabilité de défaillance. Éprouve le composant lui-même — vieillissement, température, vibrations, décharge électrostatique.
Sécurité fonctionnelle. Maîtrise les conséquences de la défaillance. Éprouve l'ensemble du système — existe-t-il un second canal qui s'en aperçoit, et le système peut-il atteindre un état sûr ?
L'ASIL n'est pas un classement de qualité. Il se calcule à partir du danger. L'ISO 26262 note trois dimensions :
S a trois valeurs utilisables, E en a quatre, C en a trois. Cela fait 36 combinaisons — un nombre fini. Et ces 36 ne donnent que cinq résultats, car la table de l'ISO 26262 se comporte comme une simple addition : noter S, E et C par 1, 2, 3 (E jusqu'à 4), additionner, puis lire le niveau.
Sur 36 combinaisons, une seule atteint l'ASIL-D : S3 × E4 × C3. Le dommage le plus grave, dans la situation de conduite la plus courante, sans possibilité pour le conducteur de rattraper. Les trois dimensions doivent être poussées au maximum simultanément. La moitié de la table — 18 cases — n'exige aucun processus de sécurité fonctionnelle.
Et il n'y a que cinq niveaux parce que l'ASIL ne décrit pas le risque avec précision — il fixe la quantité de travail à fournir. Chaque niveau emporte un jeu complet d'exigences de développement : objectifs de couverture, méthodes de vérification, indépendance du processus, matériel en lockstep. Avec 36 niveaux, la norme serait inutilisable. C'est une règle volontairement grossière.
Ce qui sépare l'ASIL-B de l'ASIL-D :
| Indicateur | ASIL-B | ASIL-D |
|---|---|---|
| Métrique de défaillance à cause unique | ≥ 90 % | ≥ 99 % |
| Métrique de défaillance latente | ≥ 60 % | ≥ 90 % |
| Taux de défaillance matérielle aléatoire | < 10⁻⁷ / heure | < 10⁻⁸ / heureDix fois plus strict |
| Architecture matérielle | Un cœur avec chien de garde suffit généralement | Cœurs en lockstep généralement exigés |
| Indépendance du processus | Assouplie | Revue, audit et évaluation indépendants |
Qu'est-ce qu'un cœur en lockstep ? Deux cœurs de processeur exécutent le même code en cadence pendant que le matériel compare leurs sorties en temps réel. Tout écart déclenche immédiatement un défaut. C'est le moyen le plus efficace de détecter les défaillances matérielles aléatoires — d'où sa présence quasi systématique aux ASIL élevés.
Atteindre l'ASIL-D sans lockstep suppose de compenser par de nombreux autotests logiciels et du calcul redondant : coûteux, et difficile à défendre devant un service technique.
Les exemples ci-dessous sont illustratifs et non normatifs. L'ASIL est une propriété d'un danger précis, non d'un type de composant — la même fonction peut se ranger dans une autre case selon l'analyse de dangers d'un autre constructeur.
ASIL-D — une combinaison
| S × E × C | Somme | Fonctions typiques |
|---|---|---|
| S3 × E4 × C3 | 10 | Défaillance de la direction assistée électrique · freinage intempestif ESC / EBS · déploiement intempestif d'airbag · accélération pleine charge intempestive (surveillance du couple) · freinage intempestif de l'AEB · direction et freinage par filDommage mortel, dans la situation de conduite la plus courante, sans possibilité de rattrapage par le conducteur. |
ASIL-C — trois combinaisons
| S × E × C | Somme | Fonctions typiques |
|---|---|---|
| S2 × E4 × C3 | 9 | Variation brutale de l'assistance de direction en conduite normale (dégradée, non perdue) |
| S3 × E3 × C3 | 9 | La batterie haute tension ne se déconnecte pas après un choc · perte d'isolement HT |
| S3 × E4 × C2 | 9 | Perte partielle de l'effort de freinage en conduite normale (autres circuits encore disponibles) |
L'ASIL-C est rare en pratique — la plupart des équipes conçoivent directement en D, ou recourent à la décomposition ASIL.
ASIL-B — six combinaisons
| S × E × C | Somme | Fonctions typiques |
|---|---|---|
| S1 × E4 × C3 | 8 | Défaillance des feux arrière et de gabarit — exposition permanente, et le conducteur ne voit pas ses propres feux |
| S2 × E3 × C3 | 8 | Défaillance totale des projecteurs — aucun éclairage de nuit |
| S2 × E4 × C2 | 8 | Défaillance des feux stop — le véhicule suiveur ignore que vous freinez |
| S3 × E2 × C3 | 8 | Absence de surveillance de l'isolement haute tension — risque d'électrocution qu'une personne ne peut percevoir |
| S3 × E3 × C2 | 8 | Accélération intempestive du régulateur de vitesse ou de l'ACC |
| S3 × E4 × C1 | 8 | Perte de propulsion en conduite normale — le véhicule peut encore rejoindre la bande d'arrêt |
Également ASIL-B en général : affichage de la vitesse au combiné, surveillance de la pression des pneus, et la couche de perception des radars et caméras.
ASIL-A — huit combinaisons
| S × E × C | Somme | Fonctions typiques |
|---|---|---|
| S1 × E3 × C3 | 7 | La caméra de recul s'éteint — collision à basse vitesse pendant une manœuvre |
| S1 × E4 × C2 | 7 | Éclairage intérieur bloqué allumé, dégradant la vision nocturne |
| S2 × E2 × C3 | 7 | Défaillance totale des essuie-glaces sous la pluie — perte de visibilité vers l'avant |
| S2 × E3 × C2 | 7 | Défaillance d'un seul projecteur |
| S2 × E4 × C1 | 7 | Erreur d'affichage du compteur de vitesse — le conducteur peut encore estimer sa vitesse d'après le trafic et le rapport engagé |
| S3 × E1 × C3 | 7 | Perte de l'alerte d'emballement thermique dans une condition d'usage rare |
| S3 × E2 × C2 | 7 | Anomalie de coordination du freinage de la remorque dans certaines conditions |
| S3 × E3 × C1 | 7 | Perte de propulsion à exposition modérée — le véhicule peut se ranger |
QM — dix-huit combinaisons
| Gravité | Combinaisons | Fonctions typiques |
|---|---|---|
| S1 · neuf cases | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Éclairage de soute, chauffage de siège, liseuses, anti-pincement de vitre, store de toit, pulseur de climatisation, dégivrage de rétroviseur, luminosité du combiné.L'unité d'infodivertissement, la navigation, le Bluetooth, la charge sans fil et l'éclairage d'ambiance se situent tous dans cette bande. |
| S2 · six cases | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Emballement du réglage de siège dans des conditions rares, anomalies d'éclairage de remorque, défaillance de la petite vitesse d'essuie-glace (grande vitesse encore disponible), anomalie de l'aide au démarrage en côte, alerte de pression des pneus non émise |
| S3 · trois cases | E1C1 · E1C2 · E2C1 | Dangers de gravité mortelle dans des conditions rares que le conducteur maîtrise entièrement ; anomalies de propulsion à faible exposition que le freinage peut contenir |
Trois régularités à retenir.
La contrôlabilité est le levier le plus puissant. Une erreur de compteur en S2 × E4 × C1 donne ASIL-A ; une défaillance de feux stop en S2 × E4 × C2 donne ASIL-B. Gravité identique, exposition identique — toute la différence tient à la capacité du conducteur à s'en apercevoir et à compenser.
La gravité seule ne décide de rien. S3 apparaît en QM (trois cases), A (trois), B (trois), C (deux) et D (une) — il couvre tous les niveaux. Mortel ne signifie pas ASIL élevé.
Seul un maximum sur les trois axes atteint D. S3 × E4 × C3 est l'unique case. C'est pourquoi il y a si peu d'éléments ASIL-D sur un véhicule : direction, freinage, airbag, surveillance du couple — et guère plus.
Appliquée au freinage d'urgence automatique, l'asymétrie constitue tout l'argument.
Freinage intempestif — freiner alors qu'il ne le faut pas — se range en S3 × E4 × C3. C'est l'ASIL-D, l'unique case.
Absence de freinage — ne pas freiner alors qu'il le faudrait — se range vers S3 × E3–E4 × C1, soit ASIL-A ou B. La référence est un camion sans AEB : il a toujours été attendu du conducteur qu'il freine lui-même.
Toute exigence ASIL-D dans un système AEB existe pour empêcher un freinage qui ne devrait pas avoir lieu — non pour garantir un freinage qui devrait avoir lieu.
Toute combinaison est possible. Connaître l'une des quatre ne dit rien des trois autres.
| Puce | Température | Fiabilité | Sécurité fonctionnelle | Apte à une décision de freinage AEB ? |
|---|---|---|---|---|
| SoC grand public | 0 to 70 °C | Pas d'AEC-Q100 | Pas d'ASIL | Non |
| SoC industriel | −40 to 85 °C | Pas d'AEC-Q100 | Pas d'ASIL | NonLa température seule ; rien d'autre |
| SoC qualifié automobile | −40 to 105 °C | Grade 2 | Peut n'en porter aucun | Perception seulementPas la décision de sécurité |
| MCU de sécurité, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, sans lockstep | Nécessite une argumentation |
| MCU de sécurité, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, cœurs en lockstep | Oui |
La troisième ligne est le piège. « Nous utilisons la version qualifiée automobile » paraît rassurant, mais cette phrase ne répond qu'à la température et à la fiabilité. Elle ne dit absolument rien de la sécurité fonctionnelle.
Quel grade AEC-Q100 ? Exigez le certificat lui-même, portant la référence exacte et le grade.
Existe-t-il un certificat AEC-Q100 ? « Conçu selon les standards automobiles » et « qualifié selon ces standards » sont deux affirmations différentes.
Quel ASIL ? Lockstep ou non ? Exigez un certificat de produit — un certificat de processus ne compte pas.
Combien d'années d'approvisionnement sont engagées ? Y a-t-il derrière une discipline PCN et EOL ?
Trois affirmations courantes, et ce qu'elles signifient réellement :