Orðalagið er notað í sífellu, en það vísar ekki til einnar vottunar — það vísar til fjögurra, óháðra hver annarri. Að rugla þeim saman leiðir til ályktana á borð við «þessi kubbur er automotive grade, svo hann getur tekið hemlunarákvörðunina». Það getur hann ekki.
Þegar kubbur er sagður «automotive grade» getur sú fullyrðing aðeins náð yfir eitt af fjórum atriðum hér að neðan.
Bilið milli kulda og hita þar sem hann virkar enn rétt.
Þúsundir klukkustunda af öldrun, hitasveiflum, titringi og rakaálagi.
Núllgallamenning, rekjanleiki lota, tilkynning um breytingar, tíu ára framboð.
Hvort kerfið ráði við afleiðingarnar þegar íhluturinn bilar.
Þau tvö sem oftast er ruglað saman eru annað og fjórða.
AEC-Q100 svarar spurningunni «mun hann bila?». ISO 26262 svarar spurningunni «hvað gerist þegar hann bilar?». Þetta eru algerlega aðskildar vottanir. Kubbur getur staðist AEC-Q100 að fullu og samt haft enga ASIL-getu.
Það áþreifanlegasta af fjórum. Flokkarnir greinast einungis í því hversu mikinn hita íhluturinn þolir — því staðsetning hans í ökutækinu ræður því hvað hann þarf að þola.
Ólíkar staðsetningar í ökutækinu leggja mjög ólíkt hitaálag á íhluti:
Raunverulegt dæmi. Í hönnunarskjali birgja var íhlutur skráður sem «ekki automotive grade, en tilgreindur −30 til +85 °C». Það virðist rétt svo duga — þangað til maður man að ökutækið er afhent á Norðurlöndum, þar sem krafan á ökutækisstigi er −40 til +85 °C.
Þessar tíu gráður eru ekki svigrúm. Þær ráða því hvort vörubíllinn fer í gang í norskum vetri. Og íhluturinn nær ekki einu sinni Grade 3, lægsta stigi bílaiðnaðarins — þar sem neðri mörkin eru einmitt −40 °C.
Þetta er meginhluti AEC-Q100: yfir fjörutíu álagsprófanir, þúsundir klukkustunda, hundruð sýna. Markmiðið er að þvinga fram á fáeinum mánuðum galla sem annars kæmu ekki í ljós fyrr en á tíunda ári.
Hvað fæst þegar hann stenst? Skuldbinding um bilanatíðni — venjulega gefin upp í PPM (hlutar af milljón) eða FIT (bilanir á milljarð klukkustunda) — ásamt rekjanlegum prófunarskýrslum.
Neytendaíhlutir sleppa mestu af þessu, eða gangast aðeins undir fáeinar prófanir. «Hann virkar» og «hann virkar enn eftir tíu ár» eru ólíkar fullyrðingar. Síma er skipt út eftir tvö ár; vörubíll ekur í fimmtán.
Það sem oftast gleymist af fjórum, og það harðasta fyrir atvinnubifreið með fimmtán ára líftíma.
Berum orðum: neytendaíhlutur getur horfið úr framleiðslu meðan vörubíllinn okkar er enn í ábyrgð. Það þýðir enga varahluti — eða endurhönnun á rásaborði. Og endurhönnun þýðir nýja vottun.
Fyrstu þrjú spyrja hversu góður kubburinn sé. Það fjórða spyr hvað verði um fólk þegar hann bilar.
Áreiðanleiki. Lækkar líkurnar á bilun. Prófar íhlutinn sjálfan — öldrun, hita, titring, stöðurafmagnsafhleðslu.
Virknisöryggi. Stýrir afleiðingum bilunar. Prófar allt kerfið — er til önnur rás sem tekur eftir því, og kemst kerfið í öruggt ástand?
ASIL er ekki gæðaröðun. Það er reiknað út frá hættunni. ISO 26262 gefur stig á þremur víddum:
S hefur þrjú nothæf gildi, E fjögur, C þrjú. Það gera 36 samsetningar — ekki ótakmarkaðan fjölda. Og þessar 36 gefa aðeins fimm útkomur, því taflan í ISO 26262 hegðar sér eins og einföld samlagning: gefðu S, E og C stigin 1, 2, 3 (E upp í 4), leggðu saman og lestu stigið.
Af 36 samsetningum nær nákvæmlega ein ASIL-D: S3 × E4 × C3. Alvarlegasta tjónið, við algengustu akstursaðstæður, án þess að ökumaður geti bjargað því. Allar þrjár víddirnar verða að vera í hámarki samtímis. Helmingur töflunnar — 18 reitir — krefst alls engs virknisöryggisferlis.
Og stigin eru aðeins fimm vegna þess að ASIL lýsir ekki áhættunni nákvæmlega — það ræður hversu mikla vinnu þarf að inna af hendi. Hvert stig ber með sér heilt sett af þróunarkröfum: þekjumarkmið, sannprófunaraðferðir, óhæði ferlis, lockstep-vélbúnað. Með 36 stigum væri staðallinn ónothæfur. Þetta er vísvitandi gróf mælistika.
Hvað skilur ASIL-B frá ASIL-D:
| Mælikvarði | ASIL-B | ASIL-D |
|---|---|---|
| Mælikvarði stakra bilana | ≥ 90 % | ≥ 99 % |
| Mælikvarði duldra bilana | ≥ 60 % | ≥ 90 % |
| Tíðni tilviljanakenndra vélbúnaðarbilana | < 10⁻⁷ / klst. | < 10⁻⁸ / klst.Tífalt strangara |
| Vélbúnaðararkitektúr | Einn kjarni með varðhundi nægir yfirleitt | Lockstep-kjarnar yfirleitt nauðsynlegir |
| Óhæði ferlis | Mildara | Óháð rýni, úttekt og mat |
Hvað er lockstep-kjarni? Tveir örgjörvakjarnar keyra sama kóða í takt á meðan vélbúnaður ber saman úttak þeirra í rauntíma. Hvert misræmi kallar samstundis fram bilun. Þetta er árangursríkasta leiðin til að greina tilviljanakenndar vélbúnaðarbilanir — þess vegna komast há ASIL-stig sjaldan af án hans.
Að ná ASIL-D án lockstep þýðir að bæta það upp með umfangsmiklum sjálfsprófunum í hugbúnaði og margfaldri útreikningi: dýrt, og erfitt að verja frammi fyrir tækniþjónustu.
Dæmin hér að neðan eru til skýringar, ekki bindandi. ASIL er eiginleiki tiltekinnar hættu, ekki íhlutategundar — sama virkni getur lent í öðrum reit í hættugreiningu annars framleiðanda.
ASIL-D — ein samsetning
| S × E × C | Summa | Dæmigerð virkni |
|---|---|---|
| S3 × E4 × C3 | 10 | Bilun í rafknúnu stýrisátaki · óviljandi hemlun ESC / EBS · óviljandi útlausn loftpúða · óviljandi fullt inngjafarátak (vöktun vægis) · óviljandi hemlun AEB · steer-by-wire og brake-by-wireBanvænt tjón, við algengustu akstursaðstæður, án þess að ökumaður geti bjargað því. |
ASIL-C — þrjár samsetningar
| S × E × C | Summa | Dæmigerð virkni |
|---|---|---|
| S2 × E4 × C3 | 9 | Snögg breyting á stýrisátaki í venjulegum akstri (skert, ekki horfið) |
| S3 × E3 × C3 | 9 | Háspennurafhlaðan aftengist ekki eftir árekstur · tap á háspennueinangrun |
| S3 × E4 × C2 | 9 | Hlutatap á hemlunarkrafti í venjulegum akstri (aðrar rásir enn tiltækar) |
ASIL-C er sjaldgæft í reynd — flest teymi hanna beint að D eða beita ASIL-sundurliðun.
ASIL-B — sex samsetningar
| S × E × C | Summa | Dæmigerð virkni |
|---|---|---|
| S1 × E4 × C3 | 8 | Bilun í afturljósum og breiddarljósum — stöðug váhrif, og ökumaður sér ekki sín eigin afturljós |
| S2 × E3 × C3 | 8 | Alger bilun í aðalljósum — engin lýsing að næturlagi |
| S2 × E4 × C2 | 8 | Bilun í hemlaljósum — ökutækið fyrir aftan veit ekki að þú ert að hemla |
| S3 × E2 × C3 | 8 | Vöktun háspennueinangrunar vantar — hætta á raflosti sem maður getur ekki skynjað |
| S3 × E3 × C2 | 8 | Óviljandi hröðun frá hraðastilli eða ACC |
| S3 × E4 × C1 | 8 | Tap á aflframdrifi í venjulegum akstri — ökutækið getur enn runnið út í vegarkant |
Einnig yfirleitt ASIL-B: hraðavísun í mælaborði, þrýstivöktun hjólbarða og skynjunarlag ratsjár- og myndavélakerfa.
ASIL-A — átta samsetningar
| S × E × C | Summa | Dæmigerð virkni |
|---|---|---|
| S1 × E3 × C3 | 7 | Bakkmyndavél slokknar — árekstur á lágum hraða við snúning |
| S1 × E4 × C2 | 7 | Innilýsing stendur á og skerðir næturskyggni |
| S2 × E2 × C3 | 7 | Alger bilun í rúðuþurrkum í rigningu — tapað útsýni fram á við |
| S2 × E3 × C2 | 7 | Bilun í einu aðalljósi |
| S2 × E4 × C1 | 7 | Aflestrarvilla á hraðamæli — ökumaður getur enn metið hraða út frá umferð og gír |
| S3 × E1 × C3 | 7 | Tapaðar viðvaranir um hitaóstöðugleika við sjaldgæfar rekstraraðstæður |
| S3 × E2 × C2 | 7 | Frávik í samhæfingu hemlunar eftirvagns við tilteknar aðstæður |
| S3 × E3 × C1 | 7 | Tap á aflframdrifi við hófleg váhrif — ökutækið kemst út í kant |
QM — átján samsetningar
| Alvarleiki | Samsetningar | Dæmigerð virkni |
|---|---|---|
| S1 · níu reitir | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Lýsing í farmrými, sætishitun, leslampar, klemmuvörn rúðu, þaktjald, blásari, spegilhitun, birta mælaborðs.Afþreyingarkerfið, leiðsögnin, Bluetooth, þráðlaus hleðsla og stemningslýsing eru öll á þessu bili. |
| S2 · sex reitir | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Stjórnlaus sætisstilling við sjaldgæfar aðstæður, frávik í ljósum eftirvagns, bilun í hægum gangi rúðuþurrka (hraður enn tiltækur), frávik í brekkuaðstoð, viðvörun um hjólbarðaþrýsting berst ekki |
| S3 · þrír reitir | E1C1 · E1C2 · E2C1 | Hættur með banvænan alvarleika við sjaldgæfar aðstæður sem ökumaður hefur fullt vald á; frávik í aflframdrifi við lítil váhrif sem hemlun ræður við |
Þrjú mynstur sem vert er að tileinka sér.
Stjórnanleiki er sterkasta vogaraflið. Villa í hraðamæli við S2 × E4 × C1 er ASIL-A; bilun í hemlaljósum við S2 × E4 × C2 er ASIL-B. Sami alvarleiki, sömu váhrif — allur munurinn felst í því hvort ökumaður taki eftir því og geti bætt úr.
Alvarleiki einn og sér ræður engu. S3 birtist í QM (þrír reitir), A (þrír), B (þrír), C (tveir) og D (einn) — það nær yfir öll stig. Banvænt þýðir ekki hátt ASIL.
Aðeins fullur útslagur nær D. S3 × E4 × C3 er eini reiturinn. Þess vegna eru svo fáir ASIL-D þættir í ökutæki: stýri, hemlar, loftpúði, vægisvöktun — og varla meira.
Beitt á sjálfvirka neyðarhemlun er ósamhverfan öll röksemdafærslan.
Óviljandi hemlun — að hemla þegar ekki á að hemla — lendir á S3 × E4 × C3. Það er ASIL-D, þessi eini reitur.
Hemlun sem bregst — að hemla ekki þegar hemla ætti — lendir nálægt S3 × E3–E4 × C1, það er ASIL-A eða B. Viðmiðið er vörubíll án AEB: alltaf hefur verið ætlast til að ökumaður hemli sjálfur.
Sérhver ASIL-D krafa í AEB-kerfi er til þess að hindra hemlun sem á ekki að eiga sér stað — ekki til að tryggja hemlun sem á að eiga sér stað.
Hvaða samsetning sem er er möguleg. Að þekkja eina af fjórum segir ekkert um hinar.
| Kubbur | Hiti | Áreiðanleiki | Virknisöryggi | Hæfur í hemlunarákvörðun AEB? |
|---|---|---|---|---|
| Neytenda-SoC | 0 to 70 °C | Ekkert AEC-Q100 | Ekkert ASIL | Nei |
| Iðnaðar-SoC | −40 to 85 °C | Ekkert AEC-Q100 | Ekkert ASIL | NeiAðeins hitinn; ekkert annað |
| SoC vottaður fyrir bílaiðnað | −40 to 105 °C | Grade 2 | Getur samt haft ekkert | Aðeins skynjunEkki öryggisákvörðunin |
| Öryggis-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, án lockstep | Krefst frekari röksemda |
| Öryggis-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep-kjarnar | Já |
Þriðja línan er gildran. «Við notum útgáfuna sem er vottuð fyrir bílaiðnað» hljómar traustvekjandi, en sú setning svarar einungis um hita og áreiðanleika. Um virknisöryggi segir hún alls ekkert.
Hvaða AEC-Q100 flokkur? Biddu um vottorðið sjálft, með nákvæmu hlutanúmeri og flokki.
Er til AEC-Q100 vottorð? «Hannað eftir stöðlum bílaiðnaðarins» og «vottað eftir þeim» eru ólíkar fullyrðingar.
Hvaða ASIL? Með lockstep eða án? Krefstu vottorðs á vörustigi — ferlisvottorð telur ekki.
Hversu mörg ár er afhending tryggð? Stendur PCN- og EOL-agi þar að baki?
Þrjár algengar fullyrðingar og hvað þær þýða í raun: