Określenia używa się nieustannie, ale nie oznacza ono jednej kwalifikacji — oznacza cztery, niezależne od siebie. Mylenie ich prowadzi do wniosków w rodzaju «ten układ jest klasy motoryzacyjnej, więc może podjąć decyzję o hamowaniu». Nie może.
Gdy układ nazywa się «klasy motoryzacyjnej», stwierdzenie to może obejmować tylko jeden z czterech poniższych punktów.
Okno między zimnem a gorącem, w którym nadal działa poprawnie.
Tysiące godzin starzenia, cykli termicznych, drgań i obciążenia wilgocią.
Kultura zera defektów, identyfikowalność partii, powiadomienie o zmianach, dziesięcioletnia dostępność.
Czy system potrafi opanować skutki, gdy element ulegnie awarii.
Najczęściej mylone są punkt drugi i czwarty.
AEC-Q100 odpowiada na pytanie «czy ulegnie awarii?». ISO 26262 odpowiada na pytanie «co się stanie, gdy ulegnie?». To całkowicie odrębne kwalifikacje. Układ może w pełni przejść AEC-Q100 i nie mieć żadnej zdolności ASIL.
Najbardziej konkretny z czterech. Klasy różnią się wyłącznie tym, ile ciepła element wytrzyma — bo o tym, co musi znieść, decyduje jego miejsce w pojeździe.
Różne miejsca w pojeździe oznaczają bardzo różne obciążenie cieplne:
Prawdziwy przypadek. W dokumencie konstrukcyjnym dostawcy element figurował jako «nie klasy motoryzacyjnej, ale specyfikowany −30 do +85 °C». Wygląda to na ledwie wystarczające — dopóki nie przypomnimy sobie, że pojazd trafia do Europy Północnej, gdzie wymaganie na poziomie pojazdu wynosi −40 do +85 °C.
Te dziesięć stopni to nie zapas. Jeden decydują, czy ciężarówka odpali norweską zimą. A element nie osiąga nawet Grade 3, najniższego poziomu motoryzacyjnego — którego dolna granica wynosi dokładnie −40 °C.
To zasadnicza część AEC-Q100: ponad czterdzieści badań obciążeniowych, tysiące godzin, setki próbek. Celem jest wymuszenie w ciągu kilku miesięcy ujawnienia wad, które inaczej pojawiłyby się dopiero w dziesiątym roku.
Co się otrzymuje po zaliczeniu? Zobowiązanie co do wskaźnika awaryjności — zwykle wyrażone w PPM (części na milion) lub FIT (awarie na miliard godzin) — wraz z identyfikowalnymi raportami z badań.
Elementy konsumenckie pomijają większość tego lub wykonują tylko kilka badań. «Działa» i «nadal działa za dziesięć lat» to różne twierdzenia. Telefon wymienia się po dwóch latach; ciężarówka jeździ piętnaście.
Najczęściej pomijany z czterech i najbardziej dotkliwy dla pojazdu użytkowego o piętnastoletnim okresie eksploatacji.
Mówiąc wprost: element konsumencki może zniknąć z produkcji, gdy nasza ciężarówka jest jeszcze na gwarancji. To oznacza brak części zamiennych — albo przeprojektowanie płytki. A przeprojektowanie oznacza ponowną certyfikację.
Pierwsze trzy pytają, jak dobry jest układ. Czwarte pyta, co dzieje się z ludźmi, gdy ulega awarii.
Niezawodność. Obniża prawdopodobieństwo awarii. Bada sam element — starzenie, temperaturę, drgania, wyładowanie elektrostatyczne.
Bezpieczeństwo funkcjonalne. Panuje nad skutkami awarii. Bada cały system — czy istnieje drugi kanał, który to zauważy, i czy system osiągnie stan bezpieczny?
ASIL nie jest rankingiem jakości. Wylicza się go z zagrożenia. ISO 26262 punktuje trzy wymiary:
S ma trzy używane wartości, E cztery, C trzy. To 36 kombinacji — liczba skończona. A te 36 dają tylko pięć wyników, ponieważ tablica ISO 26262 zachowuje się jak proste dodawanie: przypisz S, E i C wartości 1, 2, 3 (E aż do 4), zsumuj i odczytaj poziom.
Spośród 36 kombinacji dokładnie jedna osiąga ASIL-D: S3 × E4 × C3. Najcięższa szkoda, w najczęstszej sytuacji drogowej, bez możliwości reakcji kierowcy. Wszystkie trzy wymiary muszą być jednocześnie na maksimum. Połowa tablicy — 18 pól — nie wymaga w ogóle procesu bezpieczeństwa funkcjonalnego.
A poziomów jest tylko pięć, ponieważ ASIL nie opisuje ryzyka precyzyjnie — rozstrzyga, ile pracy trzeba wykonać. Każdy poziom niesie pełny zestaw wymagań rozwojowych: cele pokrycia, metody weryfikacji, niezależność procesu, sprzęt w trybie lockstep. Przy 36 poziomach norma byłaby bezużyteczna. To celowo zgrubna miara.
Co dzieli ASIL-B od ASIL-D:
| Wskaźnik | ASIL-B | ASIL-D |
|---|---|---|
| Miara uszkodzeń pojedynczych | ≥ 90 % | ≥ 99 % |
| Miara uszkodzeń utajonych | ≥ 60 % | ≥ 90 % |
| Współczynnik losowych uszkodzeń sprzętu | < 10⁻⁷ / godzinę | < 10⁻⁸ / godzinęDziesięciokrotnie ostrzejszy |
| Architektura sprzętowa | Jeden rdzeń z układem nadzoru zwykle wystarcza | Zwykle wymagane rdzenie w trybie lockstep |
| Niezależność procesu | Złagodzona | Niezależny przegląd, audyt i ocena |
Czym jest rdzeń w trybie lockstep? Dwa rdzenie procesora wykonują ten sam kod w tym samym takcie, a sprzęt porównuje ich wyniki w czasie rzeczywistym. Każda rozbieżność natychmiast zgłasza błąd. To najskuteczniejszy sposób wykrywania losowych uszkodzeń sprzętu — dlatego wysokie ASIL rzadko się bez niego obywa.
Osiągnięcie ASIL-D bez lockstepu oznacza nadrabianie rozbudowanymi autotestami programowymi i obliczeniami nadmiarowymi: kosztownie i trudno obronić przed służbą techniczną.
Poniższe przykłady mają charakter ilustracyjny, nie normatywny. ASIL jest cechą konkretnego zagrożenia, a nie typu podzespołu — ta sama funkcja może trafić do innego pola w analizie zagrożeń innego producenta.
ASIL-D — jedna kombinacja
| S × E × C | Suma | Typowe funkcje |
|---|---|---|
| S3 × E4 × C3 | 10 | Awaria elektrycznego wspomagania kierownicy · niezamierzone hamowanie ESC / EBS · niezamierzone rozwinięcie poduszki · niezamierzone pełne przyspieszenie (nadzór momentu) · niezamierzone hamowanie AEB · steer-by-wire i brake-by-wireSzkoda śmiertelna, w najczęstszej sytuacji drogowej, bez możliwości reakcji kierowcy. |
ASIL-C — trzy kombinacje
| S × E × C | Suma | Typowe funkcje |
|---|---|---|
| S2 × E4 × C3 | 9 | Gwałtowna zmiana wspomagania kierownicy podczas normalnej jazdy (osłabione, nie utracone) |
| S3 × E3 × C3 | 9 | Akumulator wysokonapięciowy nie odłącza się po zderzeniu · utrata izolacji WN |
| S3 × E4 × C2 | 9 | Częściowa utrata siły hamowania podczas normalnej jazdy (pozostałe obwody nadal dostępne) |
ASIL-C jest w praktyce rzadki — większość zespołów projektuje od razu na D albo stosuje dekompozycję ASIL.
ASIL-B — sześć kombinacji
| S × E × C | Suma | Typowe funkcje |
|---|---|---|
| S1 × E4 × C3 | 8 | Awaria świateł tylnych i obrysowych — stała ekspozycja, a kierowca nie widzi własnych świateł tylnych |
| S2 × E3 × C3 | 8 | Całkowita awaria reflektorów — brak oświetlenia nocą |
| S2 × E4 × C2 | 8 | Awaria świateł stopu — pojazd z tyłu nie wie, że hamujesz |
| S3 × E2 × C3 | 8 | Brak nadzoru izolacji wysokonapięciowej — ryzyko porażenia, którego człowiek nie jest w stanie wyczuć |
| S3 × E3 × C2 | 8 | Niezamierzone przyspieszenie tempomatu lub ACC |
| S3 × E4 × C1 | 8 | Utrata napędu podczas normalnej jazdy — pojazd może jeszcze dotoczyć się na pobocze |
Zwykle również ASIL-B: wskazanie prędkości w zestawie wskaźników, nadzór ciśnienia w oponach oraz warstwa percepcji radarów i kamer.
ASIL-A — osiem kombinacji
| S × E × C | Suma | Typowe funkcje |
|---|---|---|
| S1 × E3 × C3 | 7 | Kamera cofania gaśnie — kolizja przy małej prędkości podczas manewrowania |
| S1 × E4 × C2 | 7 | Oświetlenie wnętrza pozostaje włączone i pogarsza widzenie nocne |
| S2 × E2 × C3 | 7 | Całkowita awaria wycieraczek w deszczu — utrata widoczności do przodu |
| S2 × E3 × C2 | 7 | Awaria pojedynczego reflektora |
| S2 × E4 × C1 | 7 | Błąd wskazania prędkościomierza — kierowca nadal oszacuje prędkość po ruchu i biegu |
| S3 × E1 × C3 | 7 | Utrata ostrzeżenia o niekontrolowanym wzroście temperatury w rzadkich warunkach pracy |
| S3 × E2 × C2 | 7 | Nieprawidłowość w koordynacji hamowania przyczepy w określonych warunkach |
| S3 × E3 × C1 | 7 | Utrata napędu przy umiarkowanej ekspozycji — pojazd może zjechać na bok |
QM — osiemnaście kombinacji
| Dotkliwość | Kombinacje | Typowe funkcje |
|---|---|---|
| S1 · dziewięć pól | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Oświetlenie przestrzeni ładunkowej, ogrzewanie fotela, lampki do czytania, zabezpieczenie szyby przed przytrzaśnięciem, roleta dachowa, dmuchawa, ogrzewanie lusterek, jasność zestawu wskaźników.Jednostka infotainment, nawigacja, Bluetooth, ładowanie bezprzewodowe i oświetlenie nastrojowe mieszczą się w tym paśmie. |
| S2 · sześć pól | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Niekontrolowana regulacja fotela w rzadkich warunkach, nieprawidłowości oświetlenia przyczepy, awaria wolnego biegu wycieraczek (szybki nadal dostępny), nieprawidłowość asystenta ruszania pod górę, brak ostrzeżenia o ciśnieniu w oponach |
| S3 · trzy pola | E1C1 · E1C2 · E2C1 | Zagrożenia o śmiertelnej dotkliwości w rzadkich warunkach, nad którymi kierowca w pełni panuje; nieprawidłowości napędu przy niskiej ekspozycji, które hamowanie jest w stanie opanować |
Trzy prawidłowości warte zapamiętania.
Sterowalność jest najsilniejszą dźwignią. Błąd prędkościomierza przy S2 × E4 × C1 to ASIL-A; awaria świateł stopu przy S2 × E4 × C2 to ASIL-B. Ta sama dotkliwość, ta sama ekspozycja — cała różnica tkwi w tym, czy kierowca zdoła to zauważyć i zrekompensować.
Sama dotkliwość niczego nie rozstrzyga. S3 występuje w QM (trzy pola), A (trzy), B (trzy), C (dwa) i D (jedno) — obejmuje wszystkie poziomy. Śmiertelny nie znaczy wysoki ASIL.
Tylko pełne wychylenie sięga D. S3 × E4 × C3 to jedyne pole. Dlatego w pojeździe jest tak niewiele elementów ASIL-D: układ kierowniczy, hamulce, poduszka powietrzna, nadzór momentu — i niewiele ponadto.
W zastosowaniu do automatycznego hamowania awaryjnego cała argumentacja opiera się na tej asymetrii.
Niezamierzone hamowanie — hamowanie wtedy, gdy nie należy — trafia na S3 × E4 × C3. To ASIL-D, owo jedyne pole.
Brak hamowania — niehamowanie wtedy, gdy należałoby — trafia w okolice S3 × E3–E4 × C1, czyli ASIL-A lub B. Punktem odniesienia jest ciężarówka bez AEB: od kierowcy zawsze oczekiwano, że zahamuje sam.
Każde wymaganie ASIL-D w systemie AEB istnieje po to, by zapobiec hamowaniu, do którego nie powinno dojść — nie po to, by zagwarantować hamowanie, do którego dojść powinno.
Możliwa jest dowolna kombinacja. Znajomość jednego z czterech nic nie mówi o pozostałych.
| Układ | Temperatura | Niezawodność | Bezpieczeństwo funkcjonalne | Nadaje się do decyzji o hamowaniu AEB? |
|---|---|---|---|---|
| SoC konsumencki | 0 to 70 °C | Brak AEC-Q100 | Brak ASIL | Nie |
| SoC przemysłowy | −40 to 85 °C | Brak AEC-Q100 | Brak ASIL | NieTylko temperatura; nic poza tym |
| SoC kwalifikowany motoryzacyjnie | −40 to 105 °C | Grade 2 | Może nadal nie mieć żadnego | Tylko percepcjaNie decyzja bezpieczeństwa |
| MCU bezpieczeństwa, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, bez lockstepu | Wymaga dodatkowego uzasadnienia |
| MCU bezpieczeństwa, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, rdzenie w lockstep | Tak |
Trzeci wiersz to pułapka. «Używamy wersji kwalifikowanej motoryzacyjnie» brzmi uspokajająco, ale to zdanie odpowiada wyłącznie na temperaturę i niezawodność. O bezpieczeństwie funkcjonalnym nie mówi zupełnie nic.
Który stopień AEC-Q100? Zażądaj samego certyfikatu, z dokładnym numerem katalogowym i stopniem.
Czy istnieje certyfikat AEC-Q100? «Zaprojektowany zgodnie z normami motoryzacyjnymi» i «kwalifikowany według nich» to różne twierdzenia.
Jaki ASIL? Z lockstepem czy bez? Żądaj certyfikatu na poziomie produktu — certyfikat procesowy się nie liczy.
Na ile lat zobowiązano się do dostaw? Czy stoi za tym dyscyplina PCN i EOL?
Trzy najczęstsze twierdzenia i co naprawdę znaczą: