この語は絶えず使われますが、単一の認定を指してはいません——互いに独立した四つを指します。混同すると「このチップは車載グレードだから制動判断を担える」といった結論に至ります。担えません。
あるチップが「車載グレード」と呼ばれるとき、その主張は以下の四項目のうち一つしか満たしていないことがあります。
寒さと暑さの間で、なお正常に動作する窓。
数千時間に及ぶ加速劣化、温度サイクル、振動、湿度ストレス。
ゼロ欠陥文化、ロットトレーサビリティ、変更通知、十年の供給可能性。
部品が故障したとき、システムがその結果を抑え込めるか。
最も混同されやすいのは二つ目と四つ目です。
AEC-Q100 は「壊れるか」に答えます。ISO 26262 は「壊れたらどうなるか」に答えます。まったく別個の認定です。あるチップが AEC-Q100 を完全に通過していても、ASIL 能力を一切持たないことがあります。
四つのうち最も具体的な項目です。グレードの違いは、部品がどれだけの熱に耐えるかだけ——車両内のどこに載るかが、何に耐えねばならないかを決めるからです。
車両内の位置によって、熱負荷はまったく異なります：
実例。あるサプライヤーの設計文書には、ある部品が「車載グレードではないが −30 ～ +85 °C で規定」と記されていました。ぎりぎり足りるように見えます——この車両が北欧に納車され、車両レベル要件が −40 ～ +85 °C であることを思い出すまでは。
この 10 °C は余裕ではありません。ノルウェーの冬にトラックが始動するかどうかを分けます。しかもこの部品は、車載の最下位である Grade 3 にすら届いていません——Grade 3 の下限がまさに −40 °C だからです。
これが AEC-Q100 の本体です：四十を超えるストレス試験、数千時間、数百個のサンプル。目的は、本来なら十年目に現れる欠陥を数か月で炙り出すことです。
合格すると何が得られるのか。故障率のコミットメント——通常は PPM（百万分率）または FIT（十億時間あたりの故障数）で表され——加えて追跡可能な試験報告書が得られます。
民生部品はこの大半を省くか、ごく一部の試験しか行いません。「動く」と「十年後も動く」は別の主張です。スマートフォンは二年で買い替えますが、トラックは十五年走ります。
四つのうち最も見落とされ、十五年の寿命をもつ商用車にとって最も厳しい項目です。
端的に言えば：民生部品は、当社のトラックがまだ保証期間内にあるうちに生産終了になり得ます。それは補給部品がないということ、あるいは基板を再設計するということです。そして再設計は再認証を意味します。
最初の三つは「このチップはどれだけ良いか」を問います。四つ目は「それが壊れたとき、人はどうなるか」を問います。
信頼性。故障の確率を下げます。部品そのものを試験します——加速劣化、温度、振動、静電気放電。
機能安全。故障の結果を管理します。システム全体を試験します——それに気づく第二の経路はあるか、システムは安全状態に移行できるか。
ASIL は品質の順位付けではありません。ハザードから算出されます。ISO 26262 は三つの次元を採点します：
S には使える値が三つ、E には四つ、C には三つあります。すなわち 36 通りの組合せ——無限ではありません。そしてこの 36 通りは五つの結果しか生みません。ISO 26262 の表が単純な足し算のように振る舞うからです：S、E、C を 1、2、3（E は 4 まで）で採点し、足し合わせ、等級を読み取る。
36 通りのうち、ASIL-D に達するのはただ一つ：S3 × E4 × C3。最も重い被害が、最も一般的な走行状況で、運転者に回避の余地なく生じる場合です。三つの次元が同時に最大でなければなりません。表の半分——18 マス——は機能安全プロセスをまったく必要としません。
そして段階が五つしかないのは、ASIL がリスクを精密に記述するものではなく、どれだけの作業を行うかを決めるものだからです。各段階は開発要求一式を丸ごと伴います：カバレッジ目標、検証手法、プロセスの独立性、ロックステップ・ハードウェア。36 段階では規格として使い物になりません。意図的に目盛りの粗い物差しなのです。
ASIL-B と ASIL-D を分けるもの：
| 指標 | ASIL-B | ASIL-D |
|---|---|---|
| 単一点故障メトリック | ≥ 90 % | ≥ 99 % |
| 潜在故障メトリック | ≥ 60 % | ≥ 90 % |
| ランダムハードウェア故障率 | < 10⁻⁷ / 時間 | < 10⁻⁸ / 時間十倍厳しい |
| ハードウェア構成 | ウォッチドッグ付き単一コアで足りることが多い | 通常はロックステップ・コアが必要 |
| プロセスの独立性 | 緩和される | 独立したレビュー、監査、アセスメント |
ロックステップ・コアとは。二つの CPU コアが同じコードを同じ拍で実行し、ハードウェアが両者の出力をリアルタイムに比較します。不一致があれば直ちに故障として扱われます。ランダムハードウェア故障を捉える最も有効な手段であり——高い ASIL がこれを手放せない理由です。
ロックステップなしで ASIL-D に到達するには、大量のソフトウェア自己診断と冗長演算で補う必要があります：高コストであり、技術サービスの前で論証するのも困難です。
以下の例は説明のためのものであり、規範ではありません。ASIL は特定のハザードの属性であって、部品の種類の属性ではありません——同じ機能でも、別のメーカーのハザード分析では別のマスに置かれ得ます。
ASIL-D — 組合せは一つ
| S × E × C | 合計 | 代表的な機能 |
|---|---|---|
| S3 × E4 × C3 | 10 | 電動パワーステアリングの喪失 · ESC / EBS の意図しない制動 · エアバッグの意図しない展開 · 意図しない全開加速（トルク安全監視）· AEB の意図しない制動 · ステアバイワイヤおよびブレーキバイワイヤ最も一般的な走行状況で生じる致命的被害であり、運転者に回避の余地がありません。 |
ASIL-C — 組合せは三つ
| S × E × C | 合計 | 代表的な機能 |
|---|---|---|
| S2 × E4 × C3 | 9 | 通常走行中の操舵アシストの急変（低下であり、喪失ではない） |
| S3 × E3 × C3 | 9 | 衝突後に高電圧バッテリーが遮断されない · 高電圧絶縁の喪失 |
| S3 × E4 × C2 | 9 | 通常走行中の制動力の部分喪失（他系統はなお使用可能） |
ASIL-C は実務では稀です——多くのチームは初めから D で設計するか、ASIL 分解を用います。
ASIL-B — 組合せは六つ
| S × E × C | 合計 | 代表的な機能 |
|---|---|---|
| S1 × E4 × C3 | 8 | 尾灯・車幅灯の故障——暴露が常時であり、運転者は自車の尾灯を見られない |
| S2 × E3 × C3 | 8 | 前照灯の全灯故障——夜間に照明がない |
| S2 × E4 × C2 | 8 | 制動灯の故障——後続車が制動を認識できない |
| S3 × E2 × C3 | 8 | 高電圧絶縁監視の欠如——人が知覚できない感電リスク |
| S3 × E3 × C2 | 8 | クルーズコントロールまたは ACC による意図しない加速 |
| S3 × E4 × C1 | 8 | 通常走行中の駆動力喪失——車両はなお惰行で路肩に寄せられる |
通常 ASIL-B とされるもの：メーターの車速表示、タイヤ空気圧監視、レーダーおよびカメラの認識層。
ASIL-A — 組合せは八つ
| S × E × C | 合計 | 代表的な機能 |
|---|---|---|
| S1 × E3 × C3 | 7 | 後退時カメラの画面消失——取り回し中の低速衝突 |
| S1 × E4 × C2 | 7 | 室内灯が点灯したままとなり夜間視界が低下 |
| S2 × E2 × C3 | 7 | 降雨時のワイパー全故障——前方視界の喪失 |
| S2 × E3 × C2 | 7 | 前照灯片側の故障 |
| S2 × E4 × C1 | 7 | 速度計の表示誤差——運転者は交通の流れとギヤから速度を推し量れる |
| S3 × E1 × C3 | 7 | 稀な運転条件下での熱暴走警告の喪失 |
| S3 × E2 × C2 | 7 | 特定条件下でのトレーラ制動協調の異常 |
| S3 × E3 × C1 | 7 | 中程度の暴露頻度における駆動力喪失——車両は路肩に停車できる |
QM — 組合せは十八
| 深刻度 | 組合せ | 代表的な機能 |
|---|---|---|
| S1 · 九マス | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | 荷室照明、シートヒーター、読書灯、ウィンドウ挟み込み防止、ルーフブラインド、送風ファン、ミラーヒーター、メーター輝度。インフォテインメント本体、ナビゲーション、Bluetooth、ワイヤレス充電、アンビエント照明はいずれもこの帯にあります。 |
| S2 · 六マス | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | 稀な条件下でのシート調整の暴走、トレーラ照明の異常、ワイパー低速段の故障（高速段は使用可）、坂道発進補助の異常、タイヤ空気圧警告の未発報 |
| S3 · 三マス | E1C1 · E1C2 · E2C1 | 運転者が完全に制御できる稀な条件下の致命的深刻度のハザード；制動で抑え込める低暴露の駆動異常 |
身につけておくべき三つの規則性。
制御可能性が最も強い梃子です。S2 × E4 × C1 の速度計誤差は ASIL-A、S2 × E4 × C2 の制動灯故障は ASIL-B。深刻度も暴露頻度も同じ——違いはひとえに、運転者が気づいて補えるかどうかにあります。
深刻度だけでは何も決まりません。S3 は QM（三マス）、A（三）、B（三）、C（二）、D（一）に現れます——全段階にまたがります。致命的であることが高 ASIL を意味するわけではありません。
三軸すべてが振り切れて初めて D に達します。S3 × E4 × C3 が唯一のマスです。車両に ASIL-D の項目がこれほど少ない理由がここにあります：操舵、制動、エアバッグ、トルク安全監視——ほかにはほとんどありません。
自動緊急ブレーキに当てはめると、この非対称性こそが論証のすべてです。
意図しない制動——踏むべきでないときに踏むこと——は S3 × E4 × C3 に位置します。唯一のマス、すなわち ASIL-D です。
制動の失敗——踏むべきときに踏まないこと——は概ね S3 × E3–E4 × C1 に位置し、ASIL-A または B です。基準線は AEB を持たないトラックであり、運転者が自ら制動することは常に前提とされてきました。
AEB システムにおけるすべての ASIL-D 要求は、起こるべきでない制動を防ぐために存在します——起こるべき制動を保証するためではありません。
どの組合せもあり得ます。四つのうち一つを知っても、他の三つについては何もわかりません。
| チップ | 温度 | 信頼性 | 機能安全 | AEB の制動判断に適するか |
|---|---|---|---|---|
| 民生用 SoC | 0 to 70 °C | AEC-Q100 なし | ASIL なし | 不可 |
| 工業用 SoC | −40 to 85 °C | AEC-Q100 なし | ASIL なし | 不可温度のみ、他は何もない |
| 車載認定済み SoC | −40 to 105 °C | Grade 2 | それでも持たない場合がある | 認識のみ安全判断は担えない |
| 安全 MCU、ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B、ロックステップなし | 追加の論証が必要 |
| 安全 MCU、ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D、ロックステップ・コア | 可 |
三行目が落とし穴です。「車載認定済みの版を使っています」は安心感を与えますが、その一文が答えているのは温度と信頼性だけです。機能安全については何も述べていません。
AEC-Q100 のグレードは。正確な品番とグレードが記載された認証書そのものを求めてください。
AEC-Q100 の認証書はあるか。「車載基準に沿って設計した」と「その基準で認定された」は別の主張です。
ASIL はいくつか。ロックステップの有無は。製品レベルの証書を求めてください——プロセス証書は数えません。
何年の供給を約束するか。その裏に PCN と EOL の規律はあるか。
よくある三つの言い回しと、その実際の意味：