L'espressione si usa di continuo, ma non indica una qualifica unica — ne indica quattro, indipendenti tra loro. Confonderle porta a conclusioni come «questo chip è di grado automotive, quindi può prendere la decisione di frenata». Non può.
Quando un chip viene definito «di grado automotive», quell'affermazione può coprire soltanto uno dei quattro punti seguenti.
La finestra tra freddo e caldo entro cui funziona ancora correttamente.
Migliaia di ore di invecchiamento, cicli termici, vibrazioni e umidità.
Cultura zero difetti, tracciabilità di lotto, notifica delle modifiche, disponibilità decennale.
Se il sistema è in grado di contenere le conseguenze quando il componente si guasta.
I due più spesso confusi sono il secondo e il quarto.
AEC-Q100 risponde a «si guasterà?». ISO 26262 risponde a «che cosa succede quando si guasta?». Sono qualifiche del tutto distinte. Un chip può superare integralmente AEC-Q100 e non possedere alcuna capacità ASIL.
Il più concreto dei quattro. I gradi differiscono soltanto per quanto calore il componente sopporta — perché la sua posizione nel veicolo decide ciò che deve reggere.
Posizioni diverse nel veicolo impongono carichi termici molto diversi:
Un caso reale. Un documento di progetto di un fornitore riportava un componente come «non automotive, ma specificato da −30 a +85 °C». Sembra sufficiente — finché non si ricorda che il veicolo viene consegnato nel Nord Europa, dove il requisito a livello veicolo è da −40 a +85 °C.
Quei dieci gradi non sono margine. Decidono se il camion parte nell'inverno norvegese. E il componente non raggiunge nemmeno il Grade 3, il livello automotive più basso — la cui soglia inferiore è esattamente −40 °C.
È il grosso di AEC-Q100: oltre quaranta prove di sollecitazione, migliaia di ore, centinaia di campioni. Lo scopo è forzare in pochi mesi la comparsa di difetti che altrimenti emergerebbero al decimo anno.
Che cosa si ottiene superandolo? Un impegno sul tasso di guasto — normalmente espresso in PPM (parti per milione) o FIT (guasti per miliardo di ore) — insieme a rapporti di prova tracciabili.
I componenti consumer saltano quasi tutto questo, o ne eseguono solo alcune prove. «Funziona» e «funziona ancora fra dieci anni» sono affermazioni diverse. Un telefono si sostituisce dopo due anni; un camion viaggia per quindici.
Il più trascurato dei quattro, e il più punitivo per un veicolo industriale con quindici anni di vita utile.
Detto chiaramente: un componente consumer può uscire di produzione mentre il nostro camion è ancora in garanzia. Ciò significa niente ricambi — oppure una riprogettazione della scheda. E una riprogettazione significa nuova certificazione.
I primi tre chiedono quanto sia buono il chip. Il quarto chiede che cosa accade alle persone quando si guasta.
Affidabilità. Riduce la probabilità di guasto. Mette alla prova il componente in sé — invecchiamento, temperatura, vibrazioni, scarica elettrostatica.
Sicurezza funzionale. Governa le conseguenze del guasto. Mette alla prova l'intero sistema — esiste un secondo canale che se ne accorge, e il sistema può raggiungere uno stato sicuro?
L'ASIL non è una classifica di qualità. Si calcola a partire dal pericolo. La ISO 26262 valuta tre dimensioni:
S ha tre valori utilizzabili, E quattro, C tre. Sono 36 combinazioni — un numero finito. E queste 36 danno solo cinque esiti, perché la tabella della ISO 26262 si comporta come una semplice addizione: valutare S, E e C con 1, 2, 3 (E fino a 4), sommare e leggere il livello.
Su 36 combinazioni, esattamente una raggiunge l'ASIL-D: S3 × E4 × C3. Il danno più grave, nella situazione di guida più comune, senza possibilità per il conducente di rimediare. Tutte e tre le dimensioni devono essere al massimo contemporaneamente. Metà della tabella — 18 caselle — non richiede alcun processo di sicurezza funzionale.
E i livelli sono solo cinque perché l'ASIL non descrive il rischio con precisione — stabilisce quanto lavoro va fatto. Ogni livello porta con sé un insieme completo di requisiti di sviluppo: obiettivi di copertura, metodi di verifica, indipendenza di processo, hardware in lockstep. Con 36 livelli la norma sarebbe inutilizzabile. È un metro volutamente grossolano.
Che cosa separa l'ASIL-B dall'ASIL-D:
| Indicatore | ASIL-B | ASIL-D |
|---|---|---|
| Indicatorea dei guasti a punto singolo | ≥ 90 % | ≥ 99 % |
| Indicatorea dei guasti latenti | ≥ 60 % | ≥ 90 % |
| Tasso di guasto casuale dell'hardware | < 10⁻⁷ / ora | < 10⁻⁸ / oraDieci volte più severo |
| Architettura hardware | Di norma basta un core con watchdog | Di norma servono core in lockstep |
| Indipendenza di processo | Attenuata | Riesame, audit e valutazione indipendenti |
Che cos'è un core in lockstep? Due core della CPU eseguono lo stesso codice in sincronia mentre l'hardware confronta le loro uscite in tempo reale. Qualsiasi discordanza genera un guasto immediato. È il modo più efficace di rilevare guasti hardware casuali — ed è per questo che gli ASIL elevati raramente ne fanno a meno.
Raggiungere l'ASIL-D senza lockstep significa compensare con estesi autotest software e calcolo ridondante: costoso e difficile da sostenere davanti a un servizio tecnico.
Gli esempi che seguono sono illustrativi, non normativi. L'ASIL è una proprietà di un pericolo specifico, non di un tipo di componente — la stessa funzione può ricadere in una casella diversa nell'analisi dei pericoli di un altro costruttore.
ASIL-D — una combinazione
| S × E × C | Somma | Funzioni tipiche |
|---|---|---|
| S3 × E4 × C3 | 10 | Guasto del servosterzo elettrico · frenata indesiderata ESC / EBS · attivazione indesiderata dell'airbag · accelerazione piena indesiderata (monitoraggio della coppia) · frenata indesiderata dell'AEB · sterzo e freno by-wireDanno mortale, nella situazione di guida più comune, senza possibilità di rimedio da parte del conducente. |
ASIL-C — tre combinazioni
| S × E × C | Somma | Funzioni tipiche |
|---|---|---|
| S2 × E4 × C3 | 9 | Variazione brusca dell'assistenza allo sterzo durante la guida normale (degradata, non persa) |
| S3 × E3 × C3 | 9 | La batteria ad alta tensione non si scollega dopo un urto · perdita di isolamento AT |
| S3 × E4 × C2 | 9 | Perdita parziale della forza frenante durante la guida normale (altri circuiti ancora disponibili) |
L'ASIL-C è raro nella pratica — la maggior parte dei team progetta direttamente a D, oppure ricorre alla decomposizione ASIL.
ASIL-B — sei combinazioni
| S × E × C | Somma | Funzioni tipiche |
|---|---|---|
| S1 × E4 × C3 | 8 | Guasto delle luci posteriori e di ingombro — esposizione costante, e il conducente non vede le proprie luci posteriori |
| S2 × E3 × C3 | 8 | Guasto totale dei proiettori — nessuna illuminazione di notte |
| S2 × E4 × C2 | 8 | Guasto delle luci di stop — il veicolo che segue non sa che state frenando |
| S3 × E2 × C3 | 8 | Assenza di monitoraggio dell'isolamento ad alta tensione — rischio di folgorazione che una persona non può percepire |
| S3 × E3 × C2 | 8 | Accelerazione indesiderata del cruise control o dell'ACC |
| S3 × E4 × C1 | 8 | Perdita di propulsione durante la guida normale — il veicolo può ancora accostare per inerzia |
Tipicamente ASIL-B anche: indicazione della velocità sul quadro, monitoraggio della pressione degli pneumatici e il livello di percezione di radar e telecamere.
ASIL-A — otto combinazioni
| S × E × C | Somma | Funzioni tipiche |
|---|---|---|
| S1 × E3 × C3 | 7 | La telecamera di retromarcia si spegne — collisione a bassa velocità durante la manovra |
| S1 × E4 × C2 | 7 | Illuminazione interna bloccata accesa, che degrada la visione notturna |
| S2 × E2 × C3 | 7 | Guasto totale dei tergicristalli sotto la pioggia — perdita di visibilità anteriore |
| S2 × E3 × C2 | 7 | Guasto di un singolo proiettore |
| S2 × E4 × C1 | 7 | Errore di lettura del tachimetro — il conducente può ancora stimare la velocità dal traffico e dalla marcia |
| S3 × E1 × C3 | 7 | Perdita dell'avviso di fuga termica in una condizione di esercizio rara |
| S3 × E2 × C2 | 7 | Anomalia del coordinamento della frenata del rimorchio in determinate condizioni |
| S3 × E3 × C1 | 7 | Perdita di propulsione a esposizione moderata — il veicolo può accostare |
QM — diciotto combinazioni
| Gravità | Combinazioni | Funzioni tipiche |
|---|---|---|
| S1 · nove caselle | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Illuminazione del vano di carico, riscaldamento sedile, luci di lettura, antipizzicamento del finestrino, tendina del tetto, ventilatore del climatizzatore, sbrinamento degli specchi, luminosità del quadro.L'unità di infotainment, la navigazione, il Bluetooth, la ricarica wireless e l'illuminazione ambientale si trovano tutte in questa fascia. |
| S2 · sei caselle | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Regolazione del sedile fuori controllo in condizioni rare, anomalie dell'illuminazione del rimorchio, guasto della velocità lenta del tergicristallo (la veloce resta disponibile), anomalia dell'assistenza alla partenza in salita, avviso di pressione pneumatici non emesso |
| S3 · tre caselle | E1C1 · E1C2 · E2C1 | Pericoli di gravità mortale in condizioni rare che il conducente controlla pienamente; anomalie di propulsione a bassa esposizione che la frenata può contenere |
Tre regolarità da interiorizzare.
La controllabilità è la leva più forte. Un errore del tachimetro a S2 × E4 × C1 è ASIL-A; un guasto delle luci di stop a S2 × E4 × C2 è ASIL-B. Stessa gravità, stessa esposizione — tutta la differenza sta nella possibilità del conducente di accorgersene e compensare.
La gravità da sola non decide nulla. S3 compare in QM (tre caselle), A (tre), B (tre), C (due) e D (una) — attraversa tutti i livelli. Mortale non significa ASIL elevato.
Solo il massimo su tutti e tre gli assi raggiunge D. S3 × E4 × C3 è l'unica casella. Ecco perché su un veicolo gli elementi ASIL-D sono così pochi: sterzo, freno, airbag, monitoraggio della coppia — e poco altro.
Applicata alla frenata automatica di emergenza, l'asimmetria è tutto l'argomento.
Frenata indesiderata — frenare quando non si dovrebbe — ricade in S3 × E4 × C3. È l'ASIL-D, l'unica casella.
Mancata frenata — non frenare quando si dovrebbe — ricade intorno a S3 × E3–E4 × C1, cioè ASIL-A o B. Il riferimento è un camion senza AEB: dal conducente ci si è sempre attesi che frenasse da sé.
Ogni requisito ASIL-D di un sistema AEB esiste per impedire una frenata che non dovrebbe avvenire — non per garantire una frenata che dovrebbe.
Ogni combinazione è possibile. Conoscerne una delle quattro non dice nulla sulle altre.
| Chip | Temperatura | Affidabilità | Sicurezza funzionale | Idoneo a una decisione di frenata AEB? |
|---|---|---|---|---|
| SoC consumer | 0 to 70 °C | Nessun AEC-Q100 | Nessun ASIL | No |
| SoC industriale | −40 to 85 °C | Nessun AEC-Q100 | Nessun ASIL | NoSolo la temperatura; nient'altro |
| SoC qualificato automotive | −40 to 105 °C | Grade 2 | Può comunque non averne alcuno | Solo percezioneNon la decisione di sicurezza |
| MCU di sicurezza, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, senza lockstep | Richiede ulteriore argomentazione |
| MCU di sicurezza, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, core in lockstep | Sì |
La terza riga è la trappola. «Usiamo la versione qualificata automotive» suona rassicurante, ma quella frase risponde soltanto a temperatura e affidabilità. Sulla sicurezza funzionale non dice assolutamente nulla.
Quale grado AEC-Q100? Chiedete il certificato stesso, con il codice esatto e il grado.
Esiste un certificato AEC-Q100? «Progettato secondo standard automotive» e «qualificato secondo essi» sono affermazioni diverse.
Quale ASIL? Con o senza lockstep? Pretendete un certificato di prodotto — un certificato di processo non vale.
Quanti anni di fornitura sono garantiti? Dietro c'è una disciplina PCN ed EOL?
Tre affermazioni comuni e ciò che significano davvero: