La expresión se usa constantemente, pero no designa una única cualificación — designa cuatro, independientes entre sí. Confundirlas lleva a conclusiones como «este chip es de grado automoción, así que puede tomar la decisión de frenado». No puede.
Cuando se dice que un chip es «de grado automoción», esa afirmación puede cubrir solo uno de los cuatro puntos siguientes.
La ventana entre frío y calor en la que sigue funcionando correctamente.
Miles de horas de envejecimiento, ciclado térmico, vibración y humedad.
Cultura de cero defectos, trazabilidad de lote, notificación de cambios, disponibilidad a diez años.
Si el sistema puede contener las consecuencias cuando el componente falla.
Los dos que más se confunden son el segundo y el cuarto.
AEC-Q100 responde a «¿fallará?». ISO 26262 responde a «¿qué ocurre cuando falla?». Son cualificaciones totalmente independientes. Un chip puede superar íntegramente AEC-Q100 y no tener capacidad ASIL alguna.
El más concreto de los cuatro. Los grados se diferencian únicamente en cuánto calor soporta el componente — porque su ubicación en el vehículo decide lo que debe aguantar.
Distintas ubicaciones en el vehículo imponen cargas térmicas muy distintas:
Un caso real. Un documento de diseño de un proveedor recogía un componente como «no de grado automoción, pero especificado de −30 a +85 °C». Parece suficiente — hasta que se recuerda que el vehículo se entrega en el norte de Europa, donde el requisito a nivel de vehículo es de −40 a +85 °C.
Esos diez grados no son margen. Deciden si el camión arranca en el invierno noruego. Y el componente ni siquiera alcanza el Grado 3, el nivel de automoción más bajo — cuyo suelo es exactamente −40 °C.
Este es el grueso de AEC-Q100: más de cuarenta ensayos de esfuerzo, miles de horas, cientos de muestras. El objetivo es forzar en unos meses la aparición de defectos que de otro modo surgirían en el décimo año.
¿Qué se obtiene al superarlo? Un compromiso de tasa de fallo — expresado normalmente en PPM (partes por millón) o FIT (fallos por mil millones de horas) — junto con informes de ensayo trazables.
Los componentes de consumo se saltan casi todo esto, o realizan solo unos pocos ensayos. «Funciona» y «sigue funcionando dentro de diez años» son afirmaciones distintas. Un teléfono se sustituye a los dos años; un camión rueda quince.
El más olvidado de los cuatro, y el más severo para un vehículo industrial con quince años de vida útil.
Dicho claramente: un componente de consumo puede descatalogarse mientras nuestro camión sigue en garantía. Eso significa quedarse sin recambios — o rediseñar la placa. Y un rediseño implica volver a certificar.
Los tres primeros preguntan si el chip es bueno. El cuarto pregunta qué le ocurre a las personas cuando falla.
Fiabilidad. Reduce la probabilidad de fallo. Ensaya el componente en sí — envejecimiento, temperatura, vibración, descarga electrostática.
Seguridad funcional. Gestiona las consecuencias del fallo. Ensaya el sistema completo — ¿hay un segundo canal que lo detecte y puede el sistema alcanzar un estado seguro?
ASIL no es una clasificación de calidad. Se calcula a partir del peligro. ISO 26262 puntúa tres dimensiones:
S tiene tres valores utilizables, E cuatro y C tres. Son 36 combinaciones — un número finito. Y esas 36 dan solo cinco resultados, porque la tabla de ISO 26262 se comporta como una suma sencilla: puntuar S, E y C con 1, 2, 3 (E hasta 4), sumar y leer el nivel.
De 36 combinaciones, exactamente una alcanza ASIL-D: S3 × E4 × C3. El daño más grave, en la situación de conducción más frecuente, sin posibilidad de que el conductor lo evite. Las tres dimensiones deben estar al máximo a la vez. La mitad de la tabla — 18 casillas — no exige ningún proceso de seguridad funcional.
Y hay solo cinco niveles porque ASIL no describe el riesgo con precisión — decide cuánto trabajo hay que hacer. Cada nivel arrastra un conjunto completo de requisitos de desarrollo: objetivos de cobertura, métodos de verificación, independencia del proceso, hardware en lockstep. Con 36 niveles la norma sería inservible. Es una regla deliberadamente gruesa.
Qué separa a ASIL-B de ASIL-D:
| Indicador | ASIL-B | ASIL-D |
|---|---|---|
| Métrica de fallo de causa única | ≥ 90 % | ≥ 99 % |
| Métrica de fallo latente | ≥ 60 % | ≥ 90 % |
| Tasa de fallo aleatorio del hardware | < 10⁻⁷ / hora | < 10⁻⁸ / horaDiez veces más estricto |
| Arquitectura de hardware | Suele bastar un núcleo con perro guardián | Normalmente se exigen núcleos en lockstep |
| Independencia del proceso | Relajada | Revisión, auditoría y evaluación independientes |
¿Qué es un núcleo en lockstep? Dos núcleos de CPU ejecutan el mismo código al mismo compás mientras el hardware compara sus salidas en tiempo real. Cualquier discrepancia genera un fallo inmediato. Es la forma más eficaz de detectar fallos aleatorios de hardware — por eso los ASIL altos rara vez prescinden de él.
Alcanzar ASIL-D sin lockstep obliga a compensar con abundantes autopruebas de software y cálculo redundante: caro y difícil de defender ante un servicio técnico.
Los ejemplos siguientes son ilustrativos, no normativos. El ASIL es una propiedad de un peligro concreto, no de un tipo de componente — la misma función puede caer en otra casilla en el análisis de peligros de otro fabricante.
ASIL-D — una combinación
| S × E × C | Suma | Funciones típicas |
|---|---|---|
| S3 × E4 × C3 | 10 | Fallo de la dirección asistida eléctrica · frenado no deseado de ESC / EBS · despliegue no deseado del airbag · aceleración plena no deseada (vigilancia del par) · frenado no deseado del AEB · dirección y freno por cableDaño mortal, en la situación de conducción más frecuente, sin posibilidad de que el conductor lo evite. |
ASIL-C — tres combinaciones
| S × E × C | Suma | Funciones típicas |
|---|---|---|
| S2 × E4 × C3 | 9 | Cambio brusco de la asistencia de dirección en conducción normal (degradada, no perdida) |
| S3 × E3 × C3 | 9 | La batería de alta tensión no se desconecta tras un choque · pérdida de aislamiento de AT |
| S3 × E4 × C2 | 9 | Pérdida parcial de la fuerza de frenado en conducción normal (otros circuitos siguen disponibles) |
ASIL-C es raro en la práctica — la mayoría de los equipos diseñan directamente a D o recurren a la descomposición ASIL.
ASIL-B — seis combinaciones
| S × E × C | Suma | Funciones típicas |
|---|---|---|
| S1 × E4 × C3 | 8 | Fallo de pilotos traseros y de gálibo — exposición permanente, y el conductor no ve sus propias luces traseras |
| S2 × E3 × C3 | 8 | Fallo total de los faros — sin iluminación de noche |
| S2 × E4 × C2 | 8 | Fallo de las luces de freno — el vehículo que sigue no sabe que está frenando |
| S3 × E2 × C3 | 8 | Falta de vigilancia del aislamiento de alta tensión — riesgo de electrocución que una persona no puede percibir |
| S3 × E3 × C2 | 8 | Aceleración no deseada del control de crucero o del ACC |
| S3 × E4 × C1 | 8 | Pérdida de propulsión en conducción normal — el vehículo aún puede alcanzar el arcén |
También suelen ser ASIL-B: la indicación de velocidad en el cuadro, la vigilancia de presión de neumáticos y la capa de percepción de radares y cámaras.
ASIL-A — ocho combinaciones
| S × E × C | Suma | Funciones típicas |
|---|---|---|
| S1 × E3 × C3 | 7 | La cámara de marcha atrás se apaga — colisión a baja velocidad durante la maniobra |
| S1 × E4 × C2 | 7 | Iluminación interior encendida de forma permanente, degradando la visión nocturna |
| S2 × E2 × C3 | 7 | Fallo total del limpiaparabrisas bajo lluvia — pérdida de visibilidad frontal |
| S2 × E3 × C2 | 7 | Fallo de un solo faro |
| S2 × E4 × C1 | 7 | Error de indicación del velocímetro — el conductor aún puede estimar la velocidad por el tráfico y la marcha |
| S3 × E1 × C3 | 7 | Pérdida del aviso de fuga térmica en una condición de uso poco frecuente |
| S3 × E2 × C2 | 7 | Anomalía en la coordinación del freno del remolque en determinadas condiciones |
| S3 × E3 × C1 | 7 | Pérdida de propulsión con exposición moderada — el vehículo puede detenerse en el arcén |
QM — dieciocho combinaciones
| Severidad | Combinaciones | Funciones típicas |
|---|---|---|
| S1 · nueve casillas | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Iluminación de la caja de carga, calefacción de asiento, luces de lectura, antipinzamiento de ventanilla, cortinilla del techo, soplante de climatización, desempañado de retrovisores, brillo del cuadro.La unidad de infoentretenimiento, la navegación, el Bluetooth, la carga inalámbrica y la iluminación ambiental están todas en esta franja. |
| S2 · seis casillas | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Descontrol del ajuste de asiento en condiciones poco frecuentes, anomalías del alumbrado del remolque, fallo de la velocidad lenta del limpiaparabrisas (la rápida sigue disponible), anomalía de la ayuda al arranque en pendiente, aviso de presión de neumáticos no emitido |
| S3 · tres casillas | E1C1 · E1C2 · E2C1 | Peligros de severidad mortal en condiciones poco frecuentes que el conductor controla por completo; anomalías de propulsión con exposición baja que el frenado puede contener |
Tres pautas que conviene interiorizar.
La controlabilidad es la palanca más potente. Un error de velocímetro en S2 × E4 × C1 es ASIL-A; un fallo de luces de freno en S2 × E4 × C2 es ASIL-B. Misma severidad, misma exposición — toda la diferencia está en si el conductor puede advertirlo y compensarlo.
La severidad por sí sola no decide nada. S3 aparece en QM (tres casillas), A (tres), B (tres), C (dos) y D (una) — abarca todos los niveles. Mortal no significa ASIL alto.
Solo el máximo en los tres ejes llega a D. S3 × E4 × C3 es la única casilla. Por eso hay tan pocos elementos ASIL-D en un vehículo: dirección, freno, airbag, vigilancia del par — y poco más.
Aplicada al frenado de emergencia automático, la asimetría es todo el argumento.
Frenado no deseado — frenar cuando no se debe — cae en S3 × E4 × C3. Eso es ASIL-D, la única casilla.
Ausencia de frenado — no frenar cuando se debería — cae en torno a S3 × E3–E4 × C1, es decir ASIL-A o B. La referencia es un camión sin AEB: siempre se esperó que el conductor frenase por sí mismo.
Todo requisito ASIL-D de un sistema AEB existe para impedir un frenado que no debería producirse — no para garantizar un frenado que sí debería.
Cualquier combinación es posible. Conocer una de las cuatro no dice nada de las otras tres.
| Chip | Temperatura | Fiabilidad | Seguridad funcional | ¿Apto para una decisión de frenado AEB? |
|---|---|---|---|---|
| SoC de consumo | 0 to 70 °C | Sin AEC-Q100 | Sin ASIL | No |
| SoC industrial | −40 to 85 °C | Sin AEC-Q100 | Sin ASIL | NoSolo la temperatura; nada más |
| SoC cualificado para automoción | −40 to 105 °C | Grade 2 | Puede seguir sin tener ninguno | Solo percepciónNo la decisión de seguridad |
| MCU de seguridad, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, sin lockstep | Requiere argumentación adicional |
| MCU de seguridad, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, núcleos en lockstep | Sí |
La tercera fila es la trampa. «Usamos la versión cualificada para automoción» suena tranquilizador, pero esa frase solo responde a temperatura y fiabilidad. No dice absolutamente nada sobre seguridad funcional.
¿Qué grado AEC-Q100? Pida el certificado en sí, con la referencia exacta y el grado.
¿Existe certificado AEC-Q100? «Diseñado según normas de automoción» y «cualificado según ellas» son afirmaciones distintas.
¿Qué ASIL? ¿Con lockstep o sin él? Exija un certificado de producto — un certificado de proceso no cuenta.
¿Cuántos años de suministro se comprometen? ¿Hay detrás disciplina de PCN y EOL?
Tres afirmaciones habituales y lo que significan en realidad: