הביטוי מופיע כל הזמן, אבל הוא אינו הסמכה אחת — הוא ארבע נפרדות. הבלבול ביניהן מוביל למסקנות מסוג «השבב הזה מדורג לרכב, אז הוא יכול לקבל את החלטת הבלימה». הוא לא יכול.
כששבב מכונה «מדורג לרכב», ייתכן שהטענה מכסה רק אחד מארבעת הדברים שלהלן.
החלון שבין קור לחום שבו הוא עדיין פועל כשורה.
אלפי שעות של הזדקנות, מחזורי חום, רעידות ולחות.
תרבות אפס-פגמים, עקיבות אצווה, הודעה על שינויים, זמינות לעשר שנים.
האם המערכת מסוגלת להכיל את התוצאות כשהרכיב כושל.
השניים המבולבלים ביותר הם השני והרביעי.
AEC-Q100 עונה על «האם הוא ייכשל?» ISO 26262 עונה על «מה קורה כשהוא נכשל?» אלו הסמכות נפרדות לחלוטין. שבב יכול לעבור את AEC-Q100 במלואו ולא לשאת שום יכולת ASIL.
הקונקרטי מבין הארבעה. הדרגות נבדלות רק בכמות החום שהרכיב שורד — משום שמיקום ההתקנה ברכב קובע במה עליו לעמוד.
מיקומים שונים ברכב מטילים עומסי חום שונים מאוד:
מקרה אמיתי. מסמך תכן של ספק ציין רכיב כ«לא מדורג לרכב, אך מוגדר ל-−30 עד +85 °C». נראה בקושי מספיק — עד שנזכרים שהרכב הזה נמסר לצפון אירופה ושדרישת הרכב היא −40 עד +85 °C.
עשר המעלות האלה אינן מרווח ביטחון. הן קובעות אם המשאית מניעה בחורף נורווגי. ומעבר לכך, הרכיב אינו מגיע אפילו ל-Grade 3, הדרגה הנמוכה ביותר לרכב — שרצפתה היא בדיוק −40 °C.
זהו עיקרו של AEC-Q100: יותר מארבעים בדיקות עומס, אלפי שעות, מאות דגימות. המטרה היא לחלץ בתוך חודשים פגמים שהיו מתגלים רק בשנה העשירית.
מה מקבלים כשהוא עובר? התחייבות לשיעור תקלות — בדרך כלל ב-PPM (חלקים למיליון) או ב-FIT (תקלות למיליארד שעות) — ודוחות בדיקה בני מעקב.
רכיבים צרכניים מדלגים על רוב זה, או מריצים רק מקצת הבדיקות. «זה עובד» ו«זה עדיין עובד בעוד עשר שנים» הן טענות שונות. טלפון מוחלף אחרי שנתיים; משאית נוסעת חמש-עשרה שנה.
המוזנח מבין הארבעה, והקשה ביותר עבור רכב מסחרי עם חיי שירות של חמש-עשרה שנה.
בפשטות: רכיב צרכני עלול לצאת מייצור בעוד המשאית שלנו עדיין באחריות. זה אומר שאין חלקי חילוף, או שצריך לתכנן מחדש את הלוח. ותכנון מחדש פירושו הסמכה מחדש.
שלושת הראשונים שואלים כמה טוב השבב. הרביעי שואל מה קורה לאנשים כשהוא נכשל.
אמינות. מפחיתה את ההסתברות לכשל. בודקת את הרכיב עצמו — הזדקנות, טמפרטורה, רעידות, פריקה אלקטרוסטטית.
בטיחות תפקודית. מנהלת את התוצאה של הכשל. בודקת את המערכת כולה — האם יש נתיב שני שמבחין בכך, והאם המערכת יכולה להגיע למצב בטוח?
ASIL אינו דירוג איכות. הוא מחושב מתוך המפגע. ISO 26262 מנקד שלושה ממדים:
ל-S יש שלושה ערכים שמישים, ל-E ארבעה, ל-C שלושה. כלומר 36 צירופים — לא מספר אינסופי. ושלושים ושישה אלה מניבים חמש תוצאות בלבד, משום שהטבלה ב-ISO 26262 מתנהגת כחיבור פשוט: נקדו את S, E ו-C ב-1, 2, 3 (ו-E עד 4), חברו, וקראו את הרמה.
מתוך 36 צירופים, בדיוק אחד מגיע ל-ASIL-D: S3 × E4 × C3. הנזק החמור ביותר, במצב הנהיגה השכיח ביותר, ללא דרך שבה הנהג יכול להציל. שלושת הממדים חייבים להיות במקסימום בו-זמנית. מחצית הטבלה — 18 תאים — אינה דורשת תהליך בטיחות תפקודית כלל.
ויש רק חמש רמות משום ש-ASIL אינו מתאר סיכון במדויק — הוא מחליט כמה עבודה צריך לעשות. כל רמה גוררת עמה מערך שלם של דרישות פיתוח: יעדי כיסוי, שיטות אימות, עצמאות תהליכית, חומרת lockstep. עם 36 רמות התקן היה בלתי שמיש. זהו סרגל גס במכוון.
מה מפריד בין ASIL-B ל-ASIL-D:
| מדד | ASIL-B | ASIL-D |
|---|---|---|
| מדד תקלה חד-נקודתית | ≥ 90 % | ≥ 99 % |
| מדד תקלה סמויה | ≥ 60 % | ≥ 90 % |
| שיעור כשל חומרה אקראי | < 10⁻⁷ / שעה | < 10⁻⁸ / שעהמחמיר פי עשרה |
| ארכיטקטורת חומרה | ליבה בודדת עם watchdog מספיקה בדרך כלל | ליבות lockstep נדרשות בדרך כלל |
| עצמאות תהליכית | מקלה | סקירה, ביקורת והערכה עצמאיות |
מהי ליבת lockstep? שתי ליבות מעבד מריצות את אותו קוד בסנכרון בעוד החומרה משווה את שתי התוצאות בזמן אמת. אי-התאמה מטופלת מיד כתקלה. זהו האמצעי היעיל ביותר לתפוס כשלי חומרה אקראיים — ולכן רמות ASIL גבוהות כמעט אינן מוותרות עליו.
הגעה ל-ASIL-D ללא lockstep מחייבת פיצוי באמצעות בדיקות עצמיות תוכנתיות נרחבות וחישוב עודף: יקר, וקשה גם לנמק מול השירות הטכני.
הדוגמאות שלהלן להמחשה, לא כנורמה. ASIL הוא תכונה של מפגע מסוים, לא של סוג רכיב — אותה פונקציה עשויה לנחות בתא אחר בניתוח המפגעים של יצרן אחר.
ASIL-D — צירוף אחד
| S × E × C | סכום | פונקציות אופייניות |
|---|---|---|
| S3 × E4 × C3 | 10 | כשל היגוי כוח חשמלי · בלימה לא מכוונת של ESC / EBS · פריסת כרית אוויר שלא לצורך · האצה מלאה לא מכוונת (ניטור בטיחות מומנט) · בלימת AEB לא מכוונת · היגוי וbrake-by-wireנזק קטלני במצב הנהיגה השכיח ביותר, ללא דרך שבה הנהג יכול להציל. |
ASIL-C — שלושה צירופים
| S × E × C | סכום | פונקציות אופייניות |
|---|---|---|
| S2 × E4 × C3 | 9 | שינוי חד בסיוע ההיגוי בנהיגה רגילה (ירידה, לא אובדן) |
| S3 × E3 × C3 | 9 | מצבר מתח גבוה אינו מתנתק לאחר תאונה · אובדן בידוד מתח גבוה |
| S3 × E4 × C2 | 9 | אובדן חלקי של כוח הבלימה בנהיגה רגילה (מעגלים אחרים עדיין זמינים) |
ASIL-C נדיר בפועל — רוב הצוותים מתכננים ישר ל-D, או משתמשים בפירוק ASIL.
ASIL-B — שישה צירופים
| S × E × C | סכום | פונקציות אופייניות |
|---|---|---|
| S1 × E4 × C3 | 8 | כשל פנסי אחור וגבול — חשיפה מתמדת, והנהג אינו רואה את פנסיו האחוריים |
| S2 × E3 × C3 | 8 | כשל מוחלט של פנסי החזית — אין תאורה בלילה |
| S2 × E4 × C2 | 8 | כשל פנס בלימה — הרכב מאחור אינו יודע שאתם בולמים |
| S3 × E2 × C3 | 8 | היעדר ניטור בידוד מתח גבוה — סיכון התחשמלות שאדם אינו יכול לחוש |
| S3 × E3 × C2 | 8 | האצה לא מכוונת מבקרת שיוט או ACC |
| S3 × E4 × C1 | 8 | אובדן הנעה בנהיגה רגילה — הרכב עדיין יכול לגלוש לשוליים |
בדרך כלל ASIL-B גם: תצוגת המהירות בלוח המחוונים, ניטור לחץ אוויר בצמיגים, ושכבת התפיסה של מערכות מכ"ם ומצלמה.
ASIL-A — שמונה צירופים
| S × E × C | סכום | פונקציות אופייניות |
|---|---|---|
| S1 × E3 × C3 | 7 | מצלמת הרוורס נעלמת — התנגשות במהירות נמוכה בעת תמרון |
| S1 × E4 × C2 | 7 | תאורה פנימית נתקעת דלוקה ופוגמת בראיית לילה |
| S2 × E2 × C3 | 7 | כשל מוחלט של המגבים בגשם — אובדן ראות קדימה |
| S2 × E3 × C2 | 7 | כשל פנס חזית אחד |
| S2 × E4 × C1 | 7 | שגיאת קריאת מד מהירות — הנהג עדיין יכול להעריך מהירות מהתנועה ומההילוך |
| S3 × E1 × C3 | 7 | אובדן התרעת בריחה תרמית בתנאי הפעלה נדירים |
| S3 × E2 × C2 | 7 | תקלת תיאום בלימת נגרר בתנאים מסוימים |
| S3 × E3 × C1 | 7 | אובדן הנעה בחשיפה בינונית — הרכב יכול לעצור בצד |
QM — שמונה-עשר צירופים
| חומרה | צירופים | פונקציות אופייניות |
|---|---|---|
| S1 · תשעה תאים | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | תאורת תא מטען, חימום מושבים, מנורות קריאה, מנגנון מניעת צביטה בחלון, וילון גג, מפוח מיזוג, חימום מראות, בהירות לוח המחוונים.יחידת המולטימדיה, הניווט, Bluetooth, טעינה אלחוטית ותאורת אווירה — כולם ברצועה הזו. |
| S2 · שישה תאים | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | בריחת כוונון מושב בתנאים נדירים, תקלות תאורת נגרר, כשל מגבים במהירות נמוכה (המהירות הגבוהה זמינה), תקלת סיוע זינוק בעלייה, אי-התרעה על לחץ אוויר בצמיגים |
| S3 · שלושה תאים | E1C1 · E1C2 · E2C1 | מפגעים בחומרה קטלנית בתנאים נדירים שהנהג שולט בהם במלואם; תקלות הנעה בחשיפה נמוכה הניתנות להכלה בבלימה |
שלוש חוקיות ששווה להפנים.
השליטה היא המנוף החזק ביותר. שגיאת מד מהירות ב-S2 × E4 × C1 היא ASIL-A; כשל פנס בלימה ב-S2 × E4 × C2 הוא ASIL-B. אותה חומרה, אותה חשיפה — ההבדל הוא רק אם הנהג יכול להבחין ולפצות.
החומרה לבדה אינה קובעת דבר. S3 מופיע ב-QM (שלושה תאים), ב-A (שלושה), ב-B (שלושה), ב-C (שניים) וב-D (אחד) — לאורך כל הסולם. קטלני אינו שקול ל-ASIL גבוה.
רק מקסימום בכל שלושת הצירים מגיע ל-D. S3 × E4 × C3 הוא התא היחיד. לכן יש כל כך מעט פריטי ASIL-D ברכב: היגוי, בלימה, כריות אוויר, ניטור בטיחות מומנט — וכמעט לא מעבר לכך.
ביישום על בלימת חירום אוטומטית, האסימטריה היא כל הטיעון.
בלימה לא מכוונת — בלימה כשאסור — נוחתת על S3 × E4 × C3. זהו התא היחיד, כלומר ASIL-D.
אי-בלימה — היעדר בלימה כשצריך — נוחתת סביב S3 × E3–E4 × C1, כלומר ASIL-A או B. קו הבסיס הוא משאית ללא AEB: תמיד הונח שהנהג יבלום בעצמו.
כל דרישת ASIL-D במערכת AEB קיימת כדי למנוע בלימה שאסור שתקרה — לא כדי להבטיח בלימה שצריכה לקרות.
כל צירוף אפשרי. ידיעת אחד מהארבעה אינה אומרת דבר על האחרים.
| שבב | טמפרטורה | אמינות | בטיחות תפקודית | מתאים להחלטת בלימת AEB? |
|---|---|---|---|---|
| SoC צרכני | 0 to 70 °C | ללא AEC-Q100 | ללא ASIL | לא |
| SoC תעשייתי | −40 to 85 °C | ללא AEC-Q100 | ללא ASIL | לאטמפרטורה בלבד; דבר מלבדה |
| SoC מוסמך לרכב | −40 to 105 °C | Grade 2 | ייתכן שעדיין אין | תפיסה בלבדלא החלטת הבטיחות |
| בקר בטיחות, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, ללא lockstep | דורש נימוק נוסף |
| בקר בטיחות, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, ליבות lockstep | כן |
השורה השלישית היא המלכודת. «אנחנו משתמשים בגרסה המוסמכת לרכב» נשמע מרגיע, אך המשפט עונה רק על טמפרטורה ואמינות. הוא אינו אומר דבר על בטיחות תפקודית.
איזו דרגת AEC-Q100? בקשו את התעודה עצמה, המציגה את מספר החלק המדויק ואת הדרגה.
האם יש תעודת AEC-Q100? «תוכנן לפי תקני רכב» ו«הוסמך לפיהם» הן טענות שונות.
איזה ASIL? עם lockstep או בלי? דרשו תעודה ברמת המוצר — תעודת תהליך אינה נחשבת.
לכמה שנות אספקה מתחייבים? האם יש מאחוריה משמעת PCN ו-EOL?
שלוש טענות נפוצות, ומה הן באמת אומרות: