Uttrykket brukes hele tiden, men det betegner ikke én kvalifikasjon — det betegner fire, uavhengige av hverandre. Å blande dem sammen fører til slutninger som «denne brikken er automotive grade, altså kan den ta bremsebeslutningen». Det kan den ikke.
Når en brikke kalles «automotive grade», kan den påstanden dekke bare ett av de fire punktene nedenfor.
Vinduet mellom kaldt og varmt der den fortsatt virker korrekt.
Tusenvis av timer med aldring, temperatursykling, vibrasjon og fuktbelastning.
Nullfeilskultur, batchsporbarhet, endringsvarsel, ti års tilgjengelighet.
Om systemet kan håndtere konsekvensene når komponenten svikter.
De to som oftest blandes sammen, er den andre og den fjerde.
AEC-Q100 svarer på «kommer den til å svikte?». ISO 26262 svarer på «hva skjer når den svikter?». Dette er helt atskilte kvalifikasjoner. En brikke kan bestå AEC-Q100 fullt ut og likevel mangle all ASIL-evne.
Den mest konkrete av de fire. Gradene skiller seg bare i hvor mye varme komponenten tåler — for plasseringen i kjøretøyet avgjør hva den må utstå.
Ulike plasseringer i kjøretøyet gir svært ulik termisk belastning:
Et virkelig tilfelle. I et konstruksjonsdokument fra en leverandør sto en komponent oppført som «ikke automotive grade, men spesifisert −30 til +85 °C». Det ser akkurat tilstrekkelig ut — helt til man husker at kjøretøyet leveres til Norden, der kravet på kjøretøynivå er −40 til +85 °C.
De ti gradene er ingen margin. De avgjør om lastebilen starter i norsk vinter. Og komponenten når ikke engang Grade 3, det laveste automotive-nivået — hvis nedre grense er nøyaktig −40 °C.
Dette er hoveddelen av AEC-Q100: over førti belastningsprøver, tusenvis av timer, hundrevis av prøveeksemplarer. Hensikten er å tvinge fram feil som ellers først ville vist seg i år ti, i løpet av noen måneder.
Hva får man når den består? En forpliktelse om feilrate — vanligvis uttrykt i PPM (deler per million) eller FIT (feil per milliard timer) — sammen med sporbare prøverapporter.
Forbrukerkomponenter hopper over det meste av dette, eller gjør bare noen få prøver. «Den virker» og «den virker fortsatt om ti år» er ulike påstander. En telefon byttes etter to år; en lastebil går i femten.
Den mest oversette av de fire, og den hardeste for et nyttekjøretøy med femten års levetid.
Rett fram: en forbrukerkomponent kan utgå mens lastebilen vår fortsatt er innenfor garantien. Det betyr ingen reservedeler — eller en omkonstruksjon av kortet. Og en omkonstruksjon betyr ny sertifisering.
De tre første spør hvor god brikken er. Den fjerde spør hva som skjer med mennesker når den svikter.
Pålitelighet. Senker sannsynligheten for svikt. Prøver komponenten selv — aldring, temperatur, vibrasjon, elektrostatisk utladning.
Funksjonell sikkerhet. Håndterer konsekvensene av svikt. Prøver hele systemet — finnes det en andre kanal som merker det, og kan systemet nå en sikker tilstand?
ASIL er ingen kvalitetsrangering. Den beregnes ut fra faren. ISO 26262 gir poeng på tre dimensjoner:
S har tre brukbare verdier, E fire, C tre. Det blir 36 kombinasjoner — ikke et ubegrenset antall. Og disse 36 gir bare fem utfall, fordi tabellen i ISO 26262 oppfører seg som en enkel addisjon: gi S, E og C poeng 1, 2, 3 (E opp til 4), legg sammen og les av nivået.
Av 36 kombinasjoner når nøyaktig én ASIL-D: S3 × E4 × C3. Den alvorligste skaden, i den vanligste kjøresituasjonen, uten mulighet for føreren til å redde det. Alle tre dimensjonene må være maksimert samtidig. Halve tabellen — 18 ruter — krever ingen funksjonssikkerhetsprosess i det hele tatt.
Og det finnes bare fem nivåer fordi ASIL ikke beskriver risikoen presist — den avgjør hvor mye arbeid som må gjøres. Hvert nivå bærer med seg et fullstendig sett utviklingskrav: dekningsmål, verifikasjonsmetoder, prosessuavhengighet, lockstep-maskinvare. Med 36 nivåer ville standarden vært ubrukelig. Det er en bevisst grov målestokk.
Hva som skiller ASIL-B fra ASIL-D:
| Nøkkeltall | ASIL-B | ASIL-D |
|---|---|---|
| Mål for enkeltfeil | ≥ 90 % | ≥ 99 % |
| Mål for latente feil | ≥ 60 % | ≥ 90 % |
| Tilfeldig maskinvarefeilrate | < 10⁻⁷ / time | < 10⁻⁸ / timeTi ganger strengere |
| Maskinvarearkitektur | Én kjerne med watchdog holder som regel | Lockstep-kjerner kreves normalt |
| Prosessuavhengighet | Lempeligere | Uavhengig gjennomgang, revisjon og vurdering |
Hva er en lockstep-kjerne? To CPU-kjerner utfører samme kode i takt mens maskinvaren sammenligner utgangene deres i sanntid. Ethvert avvik utløser umiddelbart en feil. Det er den mest effektive måten å oppdage tilfeldige maskinvarefeil på — derfor klarer høye ASIL seg sjelden uten.
Å nå ASIL-D uten lockstep betyr å kompensere med omfattende selvtester i programvare og redundant beregning: dyrt, og vanskelig å forsvare overfor en teknisk tjeneste.
Eksemplene nedenfor er illustrerende, ikke normative. ASIL er en egenskap ved en konkret fare, ikke ved en komponenttype — samme funksjon kan havne i en annen rute i en annen produsents fareanalyse.
ASIL-D — én kombinasjon
| S × E × C | Sum | Typiske funksjoner |
|---|---|---|
| S3 × E4 × C3 | 10 | Bortfall av elektrisk servostyring · utilsiktet bremsing fra ESC / EBS · utilsiktet utløsning av kollisjonspute · utilsiktet fullgassakselerasjon (dreiemomentovervåking) · utilsiktet AEB-bremsing · steer-by-wire og brake-by-wireDødelig skade, i den vanligste kjøresituasjonen, uten mulighet for føreren til å redde det. |
ASIL-C — tre kombinasjoner
| S × E × C | Sum | Typiske funksjoner |
|---|---|---|
| S2 × E4 × C3 | 9 | Brå endring i styreservoen under normal kjøring (redusert, ikke bortfalt) |
| S3 × E3 × C3 | 9 | Høyspenningsbatteriet kobler ikke fra etter en kollisjon · tap av HV-isolasjon |
| S3 × E4 × C2 | 9 | Delvis tap av bremsekraft under normal kjøring (andre kretser fortsatt tilgjengelige) |
ASIL-C er sjelden i praksis — de fleste team konstruerer direkte mot D, eller bruker ASIL-dekomponering.
ASIL-B — seks kombinasjoner
| S × E × C | Sum | Typiske funksjoner |
|---|---|---|
| S1 × E4 × C3 | 8 | Bortfall av bak- og markeringslys — konstant eksponering, og føreren ser ikke sine egne baklys |
| S2 × E3 × C3 | 8 | Totalt bortfall av frontlys — ingen belysning om natten |
| S2 × E4 × C2 | 8 | Bortfall av bremselys — kjøretøyet bak vet ikke at du bremser |
| S3 × E2 × C3 | 8 | Manglende overvåking av høyspenningsisolasjon — fare for elektrisk støt som et menneske ikke kan oppfatte |
| S3 × E3 × C2 | 8 | Utilsiktet akselerasjon fra cruisekontroll eller ACC |
| S3 × E4 × C1 | 8 | Tap av framdrift under normal kjøring — kjøretøyet kan fortsatt rulle ut i veiskulderen |
Også vanligvis ASIL-B: hastighetsvisning i instrumentpanelet, dekktrykkovervåking og persepsjonslaget i radar- og kamerasystemer.
ASIL-A — åtte kombinasjoner
| S × E × C | Sum | Typiske funksjoner |
|---|---|---|
| S1 × E3 × C3 | 7 | Ryggekameraet slukner — kollisjon i lav fart under manøvrering |
| S1 × E4 × C2 | 7 | Innvendig belysning står på og svekker nattsynet |
| S2 × E2 × C3 | 7 | Totalt bortfall av vindusviskerne i regn — tapt sikt framover |
| S2 × E3 × C2 | 7 | Bortfall av én enkelt frontlykt |
| S2 × E4 × C1 | 7 | Avlesningsfeil på speedometeret — føreren kan fortsatt anslå farten ut fra trafikk og gir |
| S3 × E1 × C3 | 7 | Tapt varsel om termisk løpsk reaksjon under sjeldne driftsforhold |
| S3 × E2 × C2 | 7 | Avvik i tilhengerens bremsesamordning under bestemte forhold |
| S3 × E3 × C1 | 7 | Tap av framdrift ved moderat eksponering — kjøretøyet kan kjøre til siden |
QM — atten kombinasjoner
| Alvorlighet | Kombinasjoner | Typiske funksjoner |
|---|---|---|
| S1 · ni ruter | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Belysning i lasterommet, setevarme, leselys, klemsikring for vindu, takgardin, kupévifte, speilvarme, lysstyrke i instrumentpanelet.Infotainmentenheten, navigasjonen, Bluetooth, trådløs lading og stemningsbelysning ligger alle i dette båndet. |
| S2 · seks ruter | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Løpsk seteinnstilling under sjeldne forhold, avvik i tilhengerbelysningen, bortfall av viskernes lave hastighet (den høye er fortsatt tilgjengelig), avvik i bakkestarthjelpen, uteblitt dekktrykkvarsel |
| S3 · tre ruter | E1C1 · E1C2 · E2C1 | Farer med dødelig alvorlighet under sjeldne forhold som føreren fullt ut behersker; framdriftsavvik ved lav eksponering som bremsing kan håndtere |
Tre mønstre verdt å feste seg ved.
Kontrollerbarhet er den sterkeste vektstangen. En speedometerfeil ved S2 × E4 × C1 er ASIL-A; bortfall av bremselys ved S2 × E4 × C2 er ASIL-B. Samme alvorlighet, samme eksponering — hele forskjellen ligger i om føreren kan merke det og kompensere.
Alvorlighet alene avgjør ingenting. S3 opptrer i QM (tre ruter), A (tre), B (tre), C (to) og D (én) — den strekker seg over alle nivåer. Dødelig betyr ikke høy ASIL.
Bare fullt utslag når D. S3 × E4 × C3 er den eneste ruten. Derfor finnes det så få ASIL-D-elementer i et kjøretøy: styring, bremser, kollisjonspute, dreiemomentovervåking — og knapt mer.
Anvendt på automatisk nødbrems er asymmetrien hele argumentet.
Utilsiktet bremsing — å bremse når man ikke skal — havner på S3 × E4 × C3. Det er ASIL-D, den eneste ruten.
Uteblitt bremsing — å ikke bremse når man skulle — havner rundt S3 × E3–E4 × C1, altså ASIL-A eller B. Utgangspunktet er en lastebil uten AEB: det har alltid vært forventet at føreren bremser selv.
Ethvert ASIL-D-krav i et AEB-system finnes for å hindre en bremsing som ikke skulle skje — ikke for å garantere en bremsing som skulle skje.
Enhver kombinasjon er mulig. Å kjenne én av de fire sier ingenting om de andre.
| Brikke | Temperatur | Pålitelighet | Funksjonell sikkerhet | Egnet for en AEB-bremsebeslutning? |
|---|---|---|---|---|
| Forbruker-SoC | 0 to 70 °C | Ingen AEC-Q100 | Ingen ASIL | Nei |
| Industriell SoC | −40 to 85 °C | Ingen AEC-Q100 | Ingen ASIL | NeiBare temperaturen; ingenting annet |
| Automotive-kvalifisert SoC | −40 to 105 °C | Grade 2 | Kan likevel mangle helt | Bare persepsjonIkke sikkerhetsbeslutningen |
| Sikkerhets-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, uten lockstep | Krever ytterligere begrunnelse |
| Sikkerhets-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep-kjerner | Ja |
Tredje rad er fella. «Vi bruker den automotive-kvalifiserte versjonen» høres betryggende ut, men den setningen svarer bare på temperatur og pålitelighet. Om funksjonell sikkerhet sier den ingenting.
Hvilken AEC-Q100-grad? Be om selve sertifikatet, med nøyaktig artikkelnummer og grad.
Finnes det et AEC-Q100-sertifikat? «Konstruert etter automotive-standarder» og «kvalifisert etter dem» er ulike påstander.
Hvilken ASIL? Med eller uten lockstep? Krev et produktsertifikat — et prosessertifikat teller ikke.
Hvor mange års leveranse er lovet? Ligger det PCN- og EOL-disiplin bak?
Tre vanlige påstander og hva de faktisk betyr: