Der Begriff wird ständig verwendet, doch er bezeichnet keine einzelne Qualifikation — sondern vier voneinander unabhängige. Wer sie verwechselt, kommt zu Schlüssen wie „dieser Chip ist Automotive Grade, also kann er die Bremsentscheidung treffen“. Das kann er nicht.
Wenn ein Chip als „Automotive Grade“ bezeichnet wird, deckt diese Aussage möglicherweise nur einen der vier folgenden Punkte ab.
Das Fenster zwischen kalt und heiß, in dem er noch korrekt arbeitet.
Tausende Stunden Alterung, Temperaturwechsel, Vibration und Feuchtebelastung.
Null-Fehler-Kultur, Chargenrückverfolgung, Änderungsmitteilung, zehn Jahre Verfügbarkeit.
Ob das System die Folgen auffangen kann, wenn das Bauteil ausfällt.
Am häufigsten verwechselt werden der zweite und der vierte Punkt.
AEC-Q100 beantwortet: „Wird es ausfallen?“ ISO 26262 beantwortet: „Was passiert, wenn es ausfällt?“ Das sind vollständig getrennte Qualifikationen. Ein Chip kann AEC-Q100 vollständig bestehen und dennoch keinerlei ASIL-Fähigkeit besitzen.
Der konkreteste der vier Punkte. Die Grade unterscheiden sich nur darin, wie viel Hitze das Bauteil übersteht — denn sein Einbauort im Fahrzeug entscheidet, was es aushalten muss.
Unterschiedliche Einbauorte im Fahrzeug bedeuten völlig unterschiedliche thermische Belastung:
Ein realer Fall. In einem Lieferantendokument war ein Bauteil als „nicht Automotive Grade, aber spezifiziert für −30 bis +85 °C“ aufgeführt. Das wirkt knapp ausreichend — bis man sich erinnert, dass das Fahrzeug nach Nordeuropa geliefert wird und die Fahrzeuganforderung −40 bis +85 °C lautet.
Diese zehn Grad sind keine Reserve. Sie entscheiden, ob der Lkw im norwegischen Winter startet. Und das Bauteil erreicht nicht einmal Grade 3, die niedrigste Automotive-Stufe — deren Untergrenze genau −40 °C beträgt.
Das ist der Hauptteil von AEC-Q100: über vierzig Belastungstests, tausende Stunden, hunderte Proben. Ziel ist es, Fehler, die sonst erst im zehnten Jahr aufträten, innerhalb weniger Monate zu erzwingen.
Was erhält man beim Bestehen? Eine Zusage zur Ausfallrate — üblicherweise als PPM (Teile pro Million) oder FIT (Ausfälle pro Milliarde Stunden) — zusammen mit rückverfolgbaren Prüfberichten.
Konsumbauteile durchlaufen das meist nicht oder nur teilweise. „Es funktioniert“ und „es funktioniert auch in zehn Jahren“ sind zwei verschiedene Aussagen. Ein Telefon wird nach zwei Jahren ersetzt; ein Lkw läuft fünfzehn Jahre.
Der am häufigsten übersehene der vier Punkte — und der härteste für ein Nutzfahrzeug mit fünfzehn Jahren Lebensdauer.
Klar gesagt: ein Konsumbauteil kann abgekündigt werden, während unser Lkw noch in der Gewährleistung ist. Das bedeutet keine Ersatzteile — oder ein Platinen-Redesign. Und ein Redesign bedeutet Neuzertifizierung.
Die ersten drei fragen, wie gut der Chip ist. Der vierte fragt, was mit Menschen passiert, wenn er ausfällt.
Zuverlässigkeit. Senkt die Wahrscheinlichkeit eines Ausfalls. Prüft das Bauteil selbst — Alterung, Temperatur, Vibration, elektrostatische Entladung.
Funktionale Sicherheit. Beherrscht die Folgen eines Ausfalls. Prüft das Gesamtsystem — gibt es einen zweiten Kanal, der es bemerkt, und kann das System einen sicheren Zustand erreichen?
ASIL ist keine Qualitätsrangfolge. Es wird aus der Gefährdung berechnet. ISO 26262 bewertet drei Dimensionen:
S hat drei verwendbare Werte, E vier, C drei. Das ergibt 36 Kombinationen — keine unbegrenzte Zahl. Und diese 36 führen zu nur fünf Ergebnissen, denn die Tabelle der ISO 26262 verhält sich wie eine einfache Addition: S, E und C mit 1, 2, 3 bewerten (E bis 4), addieren und die Stufe ablesen.
Von 36 Kombinationen erreicht genau eine ASIL-D: S3 × E4 × C3. Der schwerste Schaden, in der häufigsten Fahrsituation, ohne Möglichkeit für den Fahrer einzugreifen. Alle drei Dimensionen müssen gleichzeitig ausgereizt sein. Die Hälfte der Tabelle — 18 Felder — benötigt überhaupt keinen Sicherheitsprozess.
Und es gibt nur fünf Stufen, weil ASIL das Risiko nicht präzise beschreibt — es legt fest, wie viel Arbeit zu leisten ist. Jede Stufe bringt einen vollständigen Satz von Entwicklungsanforderungen mit: Abdeckungsziele, Verifikationsmethoden, Prozessunabhängigkeit, Lockstep-Hardware. Mit 36 Stufen wäre die Norm unbrauchbar. Sie ist ein bewusst grobes Maß.
Was ASIL-B von ASIL-D unterscheidet:
| Kenngröße | ASIL-B | ASIL-D |
|---|---|---|
| Einzelfehler-Metrik | ≥ 90 % | ≥ 99 % |
| Latentfehler-Metrik | ≥ 60 % | ≥ 90 % |
| Zufällige Hardware-Ausfallrate | < 10⁻⁷ / Stunde | < 10⁻⁸ / StundeZehnmal strenger |
| Hardware-Architektur | Ein Kern mit Watchdog genügt meist | Lockstep-Kerne in der Regel erforderlich |
| Prozessunabhängigkeit | Gelockert | Unabhängige Prüfung, Audit und Bewertung |
Was ist ein Lockstep-Kern? Zwei CPU-Kerne führen denselben Code im Gleichtakt aus, während Hardware ihre Ausgaben in Echtzeit vergleicht. Jede Abweichung löst sofort einen Fehler aus. Es ist das wirksamste Mittel, zufällige Hardwarefehler zu erkennen — deshalb kommt hohes ASIL selten ohne aus.
ASIL-D ohne Lockstep zu erreichen bedeutet, dies durch umfangreiche Software-Selbsttests und redundante Berechnung zu kompensieren: teuer und vor einem technischen Dienst schwer zu begründen.
Die folgenden Beispiele sind illustrativ, nicht normativ. ASIL ist eine Eigenschaft einer konkreten Gefährdung, nicht eines Bauteiltyps — dieselbe Funktion kann in der Gefährdungsanalyse eines anderen Herstellers in einem anderen Feld landen.
ASIL-D — eine Kombination
| S × E × C | Summe | Typische Funktionen |
|---|---|---|
| S3 × E4 × C3 | 10 | Ausfall der elektrischen Servolenkung · ESC / EBS unbeabsichtigte Bremsung · unbeabsichtigte Airbag-Auslösung · unbeabsichtigte Volllastbeschleunigung (Momentenüberwachung) · AEB unbeabsichtigte Bremsung · Steer-by-Wire und Brake-by-WireTödlicher Schaden, in der häufigsten Fahrsituation, ohne Möglichkeit für den Fahrer einzugreifen. |
ASIL-C — drei Kombinationen
| S × E × C | Summe | Typische Funktionen |
|---|---|---|
| S2 × E4 × C3 | 9 | Abrupte Änderung der Lenkunterstützung im normalen Fahrbetrieb (reduziert, nicht ausgefallen) |
| S3 × E3 × C3 | 9 | Hochvoltbatterie trennt nach einem Unfall nicht ab · Verlust der HV-Isolation |
| S3 × E4 × C2 | 9 | Teilweiser Verlust der Bremskraft im normalen Fahrbetrieb (weitere Kreise noch verfügbar) |
ASIL-C kommt in der Praxis selten vor — die meisten Teams entwickeln direkt auf D oder nutzen ASIL-Dekomposition.
ASIL-B — sechs Kombinationen
| S × E × C | Summe | Typische Funktionen |
|---|---|---|
| S1 × E4 × C3 | 8 | Ausfall von Schluss- und Begrenzungsleuchten — ständige Exposition, und der Fahrer sieht seine eigenen Rückleuchten nicht |
| S2 × E3 × C3 | 8 | Totalausfall der Scheinwerfer — keine Ausleuchtung bei Nacht |
| S2 × E4 × C2 | 8 | Ausfall der Bremsleuchten — das nachfolgende Fahrzeug weiß nicht, dass Sie bremsen |
| S3 × E2 × C3 | 8 | Fehlende Hochvolt-Isolationsüberwachung — Stromschlaggefahr, die ein Mensch nicht wahrnehmen kann |
| S3 × E3 × C2 | 8 | Unbeabsichtigte Beschleunigung durch Tempomat oder ACC |
| S3 × E4 × C1 | 8 | Verlust des Antriebs im normalen Fahrbetrieb — das Fahrzeug kann noch auf den Seitenstreifen ausrollen |
Ebenfalls typischerweise ASIL-B: Geschwindigkeitsanzeige im Kombiinstrument, Reifendrucküberwachung und die Wahrnehmungsebene von Radar- und Kamerasystemen.
ASIL-A — acht Kombinationen
| S × E × C | Summe | Typische Funktionen |
|---|---|---|
| S1 × E3 × C3 | 7 | Rückfahrkamera fällt aus — Kollision bei niedriger Geschwindigkeit beim Rangieren |
| S1 × E4 × C2 | 7 | Innenbeleuchtung bleibt an und beeinträchtigt die Nachtsicht |
| S2 × E2 × C3 | 7 | Totalausfall der Scheibenwischer bei Regen — Verlust der Sicht nach vorn |
| S2 × E3 × C2 | 7 | Ausfall eines einzelnen Scheinwerfers |
| S2 × E4 × C1 | 7 | Fehler der Geschwindigkeitsanzeige — der Fahrer kann die Geschwindigkeit noch aus Verkehr und Gang abschätzen |
| S3 × E1 × C3 | 7 | Verlust der Warnung vor thermischem Durchgehen in einem seltenen Betriebszustand |
| S3 × E2 × C2 | 7 | Anomalie der Anhänger-Bremsabstimmung unter bestimmten Bedingungen |
| S3 × E3 × C1 | 7 | Antriebsverlust bei mittlerer Exposition — das Fahrzeug kann anhalten |
QM — achtzehn Kombinationen
| Schwere | Kombinationen | Typische Funktionen |
|---|---|---|
| S1 · neun Felder | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Laderaumbeleuchtung, Sitzheizung, Leseleuchten, Fensterheber-Einklemmschutz, Dachrollo, Gebläse, Spiegelheizung, Displayhelligkeit.Infotainment-Einheit, Navigation, Bluetooth, kabelloses Laden und Ambientebeleuchtung liegen alle in diesem Bereich. |
| S2 · sechs Felder | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Unkontrollierte Sitzverstellung unter seltenen Bedingungen, Anomalien der Anhängerbeleuchtung, Ausfall der langsamen Wischerstufe (schnelle Stufe weiter verfügbar), Anomalie der Berganfahrhilfe, ausbleibende Reifendruckwarnung |
| S3 · drei Felder | E1C1 · E1C2 · E2C1 | Gefährdungen mit tödlicher Schwere unter seltenen Bedingungen, die der Fahrer vollständig beherrschen kann; Antriebsanomalien bei geringer Exposition, die durch Bremsen aufgefangen werden |
Drei Muster, die man verinnerlichen sollte.
Beherrschbarkeit ist der stärkste Hebel. Ein Tachofehler bei S2 × E4 × C1 ist ASIL-A; ein Bremsleuchtenausfall bei S2 × E4 × C2 ist ASIL-B. Gleiche Schwere, gleiche Exposition — der ganze Unterschied liegt darin, ob der Fahrer es bemerken und ausgleichen kann.
Die Schwere allein entscheidet nichts. S3 erscheint in QM (drei Felder), A (drei), B (drei), C (zwei) und D (eines) — es erstreckt sich über alle Stufen. Tödlich bedeutet nicht hohes ASIL.
Nur ein voller Ausschlag erreicht D. S3 × E4 × C3 ist das einzige Feld. Deshalb gibt es so wenige ASIL-D-Elemente im Fahrzeug: Lenkung, Bremse, Airbag, Momentenüberwachung — und kaum mehr.
Angewandt auf den Notbremsassistenten ist die Asymmetrie die gesamte Argumentation.
Unbeabsichtigte Bremsung — Bremsen, wenn nicht gebremst werden soll — liegt bei S3 × E4 × C3. Das ist ASIL-D, das einzige Feld.
Ausbleibende Bremsung — nicht bremsen, wenn gebremst werden sollte — liegt etwa bei S3 × E3–E4 × C1, also ASIL-A oder B. Die Grundlinie ist ein Lkw ohne AEB: vom Fahrer wurde immer erwartet, dass er selbst bremst.
Jede ASIL-D-Anforderung in einem AEB-System dient dazu, eine Bremsung zu verhindern, die nicht stattfinden soll — nicht dazu, eine Bremsung zu garantieren, die stattfinden soll.
Jede Kombination ist möglich. Kennt man eine der vier, weiß man nichts über die anderen.
| Chip | Temperatur | Zuverlässigkeit | Funktionale Sicherheit | Geeignet für eine AEB-Bremsentscheidung? |
|---|---|---|---|---|
| Konsum-SoC | 0 to 70 °C | Kein AEC-Q100 | Kein ASIL | Nein |
| Industrie-SoC | −40 to 85 °C | Kein AEC-Q100 | Kein ASIL | NeinNur Temperatur; sonst nichts |
| Automotive-qualifiziertes SoC | −40 to 105 °C | Grade 2 | Kann dennoch keines haben | Nur WahrnehmungNicht die Sicherheitsentscheidung |
| Sicherheits-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, kein Lockstep | Erfordert weitere Begründung |
| Sicherheits-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, Lockstep-Kerne | Ja |
Die dritte Zeile ist die Falle. „Wir verwenden die Automotive-qualifizierte Version“ klingt beruhigend, doch dieser Satz beantwortet nur Temperatur und Zuverlässigkeit. Zur funktionalen Sicherheit sagt er überhaupt nichts.
Welcher AEC-Q100-Grad? Verlangen Sie das Zertifikat selbst, mit exakter Teilenummer und Grad.
Gibt es ein AEC-Q100-Zertifikat? „Nach Automotive-Standards entwickelt“ und „danach qualifiziert“ sind zwei verschiedene Aussagen.
Welches ASIL? Lockstep oder nicht? Verlangen Sie ein produktbezogenes Zertifikat — ein Prozesszertifikat zählt nicht.
Wie viele Jahre Lieferung sind zugesagt? Steht dahinter eine PCN- und EOL-Disziplin?
Drei verbreitete Aussagen und was sie tatsächlich bedeuten: