A expressão é usada constantemente, mas não designa uma qualificação única — designa quatro, independentes entre si. Confundi-las leva a conclusões como «este chip é de grau automóvel, logo pode tomar a decisão de travagem». Não pode.
Quando se diz que um chip é «de grau automóvel», essa afirmação pode cobrir apenas um dos quatro pontos seguintes.
A janela entre o frio e o calor em que ainda funciona corretamente.
Milhares de horas de envelhecimento, ciclos térmicos, vibração e humidade.
Cultura de zero defeitos, rastreabilidade de lote, notificação de alterações, disponibilidade a dez anos.
Se o sistema consegue conter as consequências quando o componente falha.
Os dois mais frequentemente confundidos são o segundo e o quarto.
A AEC-Q100 responde a «vai falhar?». A ISO 26262 responde a «o que acontece quando falha?». São qualificações inteiramente distintas. Um chip pode cumprir integralmente a AEC-Q100 e não possuir qualquer capacidade ASIL.
O mais concreto dos quatro. Os graus diferem apenas na quantidade de calor que o componente suporta — porque a sua localização no veículo decide o que tem de aguentar.
Diferentes localizações no veículo impõem cargas térmicas muito diferentes:
Um caso real. Um documento de projeto de um fornecedor indicava um componente como «não automóvel, mas especificado de −30 a +85 °C». Parece suficiente — até nos lembrarmos de que o veículo é entregue no Norte da Europa, onde o requisito ao nível do veículo é de −40 a +85 °C.
Esses dez graus não são margem. Decidem se o camião arranca no inverno norueguês. E o componente nem sequer atinge o Grade 3, o nível automóvel mais baixo — cujo limite inferior é exatamente −40 °C.
É o grosso da AEC-Q100: mais de quarenta ensaios de esforço, milhares de horas, centenas de amostras. O objetivo é forçar em poucos meses o aparecimento de defeitos que de outro modo só surgiriam ao décimo ano.
O que se obtém ao ser aprovado? Um compromisso de taxa de falhas — normalmente expresso em PPM (partes por milhão) ou FIT (falhas por mil milhões de horas) — acompanhado de relatórios de ensaio rastreáveis.
Os componentes de consumo dispensam quase tudo isto, ou realizam apenas alguns ensaios. «Funciona» e «continua a funcionar daqui a dez anos» são afirmações diferentes. Um telemóvel substitui-se ao fim de dois anos; um camião roda quinze.
O mais esquecido dos quatro, e o mais severo para um veículo industrial com quinze anos de vida útil.
Dito de forma clara: um componente de consumo pode ser descontinuado enquanto o nosso camião ainda está na garantia. Isso significa ficar sem peças de substituição — ou redesenhar a placa. E redesenhar significa voltar a certificar.
Os três primeiros perguntam se o chip é bom. O quarto pergunta o que acontece às pessoas quando ele falha.
Fiabilidade. Reduz a probabilidade de falha. Ensaia o próprio componente — envelhecimento, temperatura, vibração, descarga eletrostática.
Segurança funcional. Gere as consequências da falha. Ensaia o sistema completo — existe um segundo canal que a deteta e o sistema consegue atingir um estado seguro?
O ASIL não é uma classificação de qualidade. É calculado a partir do perigo. A ISO 26262 pontua três dimensões:
O S tem três valores utilizáveis, o E quatro e o C três. São 36 combinações — um número finito. E essas 36 dão apenas cinco resultados, porque a tabela da ISO 26262 comporta-se como uma soma simples: pontuar S, E e C com 1, 2, 3 (E até 4), somar e ler o nível.
Em 36 combinações, exatamente uma atinge o ASIL-D: S3 × E4 × C3. O dano mais grave, na situação de condução mais comum, sem possibilidade de o condutor recuperar. As três dimensões têm de estar no máximo em simultâneo. Metade da tabela — 18 casas — não exige qualquer processo de segurança funcional.
E há apenas cinco níveis porque o ASIL não descreve o risco com precisão — decide quanto trabalho tem de ser feito. Cada nível traz consigo um conjunto completo de requisitos de desenvolvimento: metas de cobertura, métodos de verificação, independência do processo, hardware em lockstep. Com 36 níveis a norma seria inutilizável. É uma régua deliberadamente grosseira.
O que separa o ASIL-B do ASIL-D:
| Indicador | ASIL-B | ASIL-D |
|---|---|---|
| Métrica de falhas de ponto único | ≥ 90 % | ≥ 99 % |
| Métrica de falhas latentes | ≥ 60 % | ≥ 90 % |
| Taxa de falha aleatória do hardware | < 10⁻⁷ / hora | < 10⁻⁸ / horaDez vezes mais rigoroso |
| Arquitetura de hardware | Um núcleo com watchdog costuma bastar | Núcleos em lockstep normalmente exigidos |
| Independência do processo | Atenuada | Revisão, auditoria e avaliação independentes |
O que é um núcleo em lockstep? Dois núcleos de CPU executam o mesmo código em sincronia enquanto o hardware compara as suas saídas em tempo real. Qualquer discrepância gera de imediato uma falha. É a forma mais eficaz de detetar falhas aleatórias de hardware — daí que os ASIL elevados raramente prescindam dele.
Atingir o ASIL-D sem lockstep obriga a compensar com extensos autotestes de software e cálculo redundante: caro e difícil de defender perante um serviço técnico.
Os exemplos seguintes são ilustrativos, não normativos. O ASIL é uma propriedade de um perigo concreto, não de um tipo de componente — a mesma função pode recair noutra casa na análise de perigos de outro fabricante.
ASIL-D — uma combinação
| S × E × C | Soma | Funções típicas |
|---|---|---|
| S3 × E4 × C3 | 10 | Falha da direção assistida elétrica · travagem indesejada ESC / EBS · acionamento indesejado do airbag · aceleração plena indesejada (monitorização do binário) · travagem indesejada do AEB · direção e travagem por caboDano mortal, na situação de condução mais comum, sem possibilidade de o condutor recuperar. |
ASIL-C — três combinações
| S × E × C | Soma | Funções típicas |
|---|---|---|
| S2 × E4 × C3 | 9 | Variação brusca da assistência à direção em condução normal (degradada, não perdida) |
| S3 × E3 × C3 | 9 | A bateria de alta tensão não se desliga após um embate · perda de isolamento de AT |
| S3 × E4 × C2 | 9 | Perda parcial da força de travagem em condução normal (outros circuitos ainda disponíveis) |
O ASIL-C é raro na prática — a maioria das equipas projeta diretamente para D ou recorre à decomposição ASIL.
ASIL-B — seis combinações
| S × E × C | Soma | Funções típicas |
|---|---|---|
| S1 × E4 × C3 | 8 | Falha das luzes traseiras e de delimitação — exposição constante, e o condutor não vê as suas próprias luzes traseiras |
| S2 × E3 × C3 | 8 | Falha total dos faróis — sem iluminação à noite |
| S2 × E4 × C2 | 8 | Falha das luzes de travagem — o veículo que segue atrás não sabe que está a travar |
| S3 × E2 × C3 | 8 | Ausência de monitorização do isolamento de alta tensão — risco de eletrocussão que uma pessoa não consegue percecionar |
| S3 × E3 × C2 | 8 | Aceleração indesejada do controlo de velocidade ou do ACC |
| S3 × E4 × C1 | 8 | Perda de propulsão em condução normal — o veículo ainda consegue encostar por inércia |
Também tipicamente ASIL-B: indicação de velocidade no quadrante, monitorização da pressão dos pneus e a camada de perceção de radares e câmaras.
ASIL-A — oito combinações
| S × E × C | Soma | Funções típicas |
|---|---|---|
| S1 × E3 × C3 | 7 | A câmara de marcha-atrás apaga-se — colisão a baixa velocidade durante a manobra |
| S1 × E4 × C2 | 7 | Iluminação interior permanentemente acesa, degradando a visão noturna |
| S2 × E2 × C3 | 7 | Falha total dos limpa-para-brisas à chuva — perda de visibilidade frontal |
| S2 × E3 × C2 | 7 | Falha de um único farol |
| S2 × E4 × C1 | 7 | Erro de leitura do velocímetro — o condutor ainda consegue estimar a velocidade pelo trânsito e pela mudança |
| S3 × E1 × C3 | 7 | Perda do aviso de fuga térmica numa condição de utilização rara |
| S3 × E2 × C2 | 7 | Anomalia na coordenação da travagem do reboque em determinadas condições |
| S3 × E3 × C1 | 7 | Perda de propulsão com exposição moderada — o veículo consegue encostar |
QM — dezoito combinações
| Severidade | Combinações | Funções típicas |
|---|---|---|
| S1 · nove casas | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Iluminação da caixa de carga, aquecimento do banco, luzes de leitura, antientalamento do vidro, cortina do tejadilho, ventilador da climatização, desembaciamento dos espelhos, luminosidade do quadrante.A unidade de infoentretenimento, a navegação, o Bluetooth, o carregamento sem fios e a iluminação ambiente situam-se todos nesta faixa. |
| S2 · seis casas | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Descontrolo do ajuste do banco em condições raras, anomalias da iluminação do reboque, falha da velocidade lenta do limpa-para-brisas (a rápida continua disponível), anomalia do assistente de arranque em subida, aviso de pressão dos pneus não emitido |
| S3 · três casas | E1C1 · E1C2 · E2C1 | Perigos de severidade mortal em condições raras que o condutor controla totalmente; anomalias de propulsão com baixa exposição que a travagem consegue conter |
Três padrões a interiorizar.
A controlabilidade é a alavanca mais forte. Um erro do velocímetro em S2 × E4 × C1 é ASIL-A; uma falha das luzes de travagem em S2 × E4 × C2 é ASIL-B. Mesma severidade, mesma exposição — toda a diferença está em o condutor conseguir dar por isso e compensar.
A severidade por si só não decide nada. O S3 aparece em QM (três casas), A (três), B (três), C (duas) e D (uma) — abrange todos os níveis. Mortal não significa ASIL elevado.
Só o máximo nos três eixos chega a D. S3 × E4 × C3 é a única casa. É por isso que há tão poucos elementos ASIL-D num veículo: direção, travagem, airbag, monitorização do binário — e pouco mais.
Aplicada à travagem automática de emergência, a assimetria é todo o argumento.
Travagem indesejada — travar quando não se deve — recai em S3 × E4 × C3. É o ASIL-D, a única casa.
Ausência de travagem — não travar quando se devia — recai em torno de S3 × E3–E4 × C1, ou seja ASIL-A ou B. A referência é um camião sem AEB: sempre se esperou que o condutor travasse por si.
Todo o requisito ASIL-D de um sistema AEB existe para impedir uma travagem que não deveria ocorrer — não para garantir uma travagem que deveria.
Qualquer combinação é possível. Conhecer uma das quatro nada diz sobre as outras.
| Chip | Temperatura | Fiabilidade | Segurança funcional | Adequado a uma decisão de travagem AEB? |
|---|---|---|---|---|
| SoC de consumo | 0 to 70 °C | Sem AEC-Q100 | Sem ASIL | Não |
| SoC industrial | −40 to 85 °C | Sem AEC-Q100 | Sem ASIL | NãoApenas a temperatura; mais nada |
| SoC qualificado para automóvel | −40 to 105 °C | Grade 2 | Pode continuar sem nenhum | Apenas perceçãoNão a decisão de segurança |
| MCU de segurança, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, sem lockstep | Exige argumentação adicional |
| MCU de segurança, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, núcleos em lockstep | Sim |
A terceira linha é a armadilha. «Usamos a versão qualificada para automóvel» soa tranquilizador, mas essa frase responde apenas à temperatura e à fiabilidade. Sobre segurança funcional não diz absolutamente nada.
Qual o grau AEC-Q100? Peça o próprio certificado, com a referência exata e o grau.
Existe certificado AEC-Q100? «Concebido segundo normas automóveis» e «qualificado segundo elas» são afirmações diferentes.
Qual o ASIL? Com lockstep ou sem? Exija um certificado de produto — um certificado de processo não conta.
Quantos anos de fornecimento estão garantidos? Há por trás disciplina de PCN e EOL?
Três afirmações comuns e o que significam na realidade: