Uttrycket används ständigt, men det avser inte en enda kvalificering — det avser fyra, oberoende av varandra. Att blanda ihop dem leder till slutsatser som «det här chippet är automotive grade, alltså kan det fatta bromsbeslutet». Det kan det inte.
När ett chip kallas «automotive grade» kan påståendet täcka bara en av de fyra punkterna nedan.
Fönstret mellan kallt och varmt där det fortfarande fungerar korrekt.
Tusentals timmar av åldring, temperaturväxling, vibration och fuktbelastning.
Nollfelskultur, batchspårbarhet, ändringsmeddelande, tio års tillgänglighet.
Om systemet kan hantera konsekvenserna när komponenten fallerar.
De två som oftast blandas ihop är den andra och den fjärde.
AEC-Q100 svarar på «kommer det att gå sönder?». ISO 26262 svarar på «vad händer när det går sönder?». Det är helt skilda kvalificeringar. Ett chip kan klara AEC-Q100 fullt ut och ändå sakna all ASIL-förmåga.
Den mest konkreta av de fyra. Graderna skiljer sig endast i hur mycket värme komponenten tål — eftersom dess placering i fordonet avgör vad den utsätts för.
Olika placeringar i fordonet innebär mycket olika termisk belastning:
Ett verkligt fall. I ett konstruktionsdokument från en leverantör angavs en komponent som «inte automotive grade, men specificerad −30 till +85 °C». Det ser nätt och jämnt tillräckligt ut — tills man minns att fordonet levereras till Norden, där fordonskravet är −40 till +85 °C.
De tio graderna är ingen marginal. De avgör om lastbilen startar i den norska vintern. Och komponenten når inte ens Grade 3, den lägsta automotive-nivån — vars undre gräns är exakt −40 °C.
Detta är huvuddelen av AEC-Q100: över fyrtio belastningsprov, tusentals timmar, hundratals provexemplar. Syftet är att på några månader framtvinga fel som annars skulle visa sig först det tionde året.
Vad får man när det godkänns? Ett åtagande om felfrekvens — vanligtvis uttryckt i PPM (delar per miljon) eller FIT (fel per miljard timmar) — tillsammans med spårbara provrapporter.
Konsumentkomponenter hoppar över det mesta av detta, eller gör bara några få prov. «Det fungerar» och «det fungerar även om tio år» är olika påståenden. En telefon byts efter två år; en lastbil rullar i femton.
Den mest förbisedda av de fyra, och den hårdaste för ett nyttofordon med femton års livslängd.
Rakt på sak: en konsumentkomponent kan utgå medan vår lastbil fortfarande är inom garantin. Det betyder inga reservdelar — eller en omkonstruktion av kortet. Och en omkonstruktion betyder ny certifiering.
De tre första frågar hur bra chippet är. Den fjärde frågar vad som händer med människor när det fallerar.
Tillförlitlighet. Sänker sannolikheten för fel. Provar komponenten i sig — åldring, temperatur, vibration, elektrostatisk urladdning.
Funktionssäkerhet. Hanterar konsekvenserna av fel. Provar hela systemet — finns det en andra kanal som märker det, och kan systemet nå ett säkert tillstånd?
ASIL är ingen kvalitetsrangordning. Den beräknas ur faran. ISO 26262 poängsätter tre dimensioner:
S har tre användbara värden, E fyra, C tre. Det blir 36 kombinationer — inget obegränsat antal. Och dessa 36 ger bara fem utfall, eftersom tabellen i ISO 26262 beter sig som en enkel addition: poängsätt S, E och C med 1, 2, 3 (E upp till 4), addera och läs av nivån.
Av 36 kombinationer når exakt en ASIL-D: S3 × E4 × C3. Den svåraste skadan, i den vanligaste körsituationen, utan möjlighet för föraren att rädda den. Alla tre dimensionerna måste vara maximerade samtidigt. Halva tabellen — 18 rutor — kräver ingen funktionssäkerhetsprocess alls.
Och det finns bara fem nivåer eftersom ASIL inte beskriver risken exakt — den avgör hur mycket arbete som måste utföras. Varje nivå bär med sig en fullständig uppsättning utvecklingskrav: täckningsmål, verifieringsmetoder, processoberoende, lockstep-hårdvara. Med 36 nivåer skulle standarden vara oanvändbar. Det är en medvetet grov måttstock.
Vad som skiljer ASIL-B från ASIL-D:
| Nyckeltal | ASIL-B | ASIL-D |
|---|---|---|
| Mått för enkelfel | ≥ 90 % | ≥ 99 % |
| Mått för latenta fel | ≥ 60 % | ≥ 90 % |
| Slumpmässig hårdvarufelfrekvens | < 10⁻⁷ / timme | < 10⁻⁸ / timmeTio gånger strängare |
| Hårdvaruarkitektur | En kärna med watchdog räcker oftast | Lockstep-kärnor krävs normalt |
| Processoberoende | Mildare | Oberoende granskning, revision och bedömning |
Vad är en lockstep-kärna? Två CPU-kärnor kör samma kod i takt medan hårdvaran jämför deras utdata i realtid. Varje avvikelse utlöser omedelbart ett fel. Det är det effektivaste sättet att upptäcka slumpmässiga hårdvarufel — därför klarar sig höga ASIL sällan utan det.
Att nå ASIL-D utan lockstep innebär att kompensera med omfattande självtester i mjukvara och redundant beräkning: dyrt, och svårt att försvara inför en teknisk tjänst.
Exemplen nedan är illustrativa, inte normativa. ASIL är en egenskap hos en specifik fara, inte hos en komponenttyp — samma funktion kan hamna i en annan ruta i en annan tillverkares faroanalys.
ASIL-D — en kombination
| S × E × C | Summa | Typiska funktioner |
|---|---|---|
| S3 × E4 × C3 | 10 | Bortfall av elektrisk servostyrning · oavsiktlig bromsning från ESC / EBS · oavsiktlig utlösning av krockkudde · oavsiktlig fullgasacceleration (momentövervakning) · oavsiktlig AEB-bromsning · steer-by-wire och brake-by-wireDödlig skada, i den vanligaste körsituationen, utan möjlighet för föraren att rädda den. |
ASIL-C — tre kombinationer
| S × E × C | Summa | Typiska funktioner |
|---|---|---|
| S2 × E4 × C3 | 9 | Abrupt förändring av styrservon under normal körning (försämrad, inte borta) |
| S3 × E3 × C3 | 9 | Högvoltsbatteriet kopplar inte bort efter en krock · förlust av HV-isolation |
| S3 × E4 × C2 | 9 | Delvis förlust av bromskraft under normal körning (övriga kretsar fortfarande tillgängliga) |
ASIL-C är ovanligt i praktiken — de flesta team konstruerar direkt mot D, eller använder ASIL-dekomposition.
ASIL-B — sex kombinationer
| S × E × C | Summa | Typiska funktioner |
|---|---|---|
| S1 × E4 × C3 | 8 | Bortfall av bak- och breddmarkeringsljus — ständig exponering, och föraren ser inte sina egna bakljus |
| S2 × E3 × C3 | 8 | Totalt bortfall av strålkastare — ingen belysning i mörker |
| S2 × E4 × C2 | 8 | Bortfall av bromsljus — fordonet bakom vet inte att du bromsar |
| S3 × E2 × C3 | 8 | Saknad övervakning av högspänningsisolation — elchocksrisk som en människa inte kan uppfatta |
| S3 × E3 × C2 | 8 | Oavsiktlig acceleration från farthållare eller ACC |
| S3 × E4 × C1 | 8 | Förlust av framdrivning under normal körning — fordonet kan fortfarande rulla ut till vägrenen |
Också vanligen ASIL-B: hastighetsvisning i instrumentpanelen, däcktrycksövervakning och perceptionsskiktet i radar- och kamerasystem.
ASIL-A — åtta kombinationer
| S × E × C | Summa | Typiska funktioner |
|---|---|---|
| S1 × E3 × C3 | 7 | Backkameran slocknar — kollision i låg fart under manövrering |
| S1 × E4 × C2 | 7 | Innerbelysningen står tänd och försämrar mörkerseendet |
| S2 × E2 × C3 | 7 | Totalt bortfall av vindrutetorkarna i regn — förlorad sikt framåt |
| S2 × E3 × C2 | 7 | Bortfall av en enskild strålkastare |
| S2 × E4 × C1 | 7 | Avläsningsfel på hastighetsmätaren — föraren kan fortfarande bedöma farten utifrån trafik och växel |
| S3 × E1 × C3 | 7 | Förlorad varning för termisk rusning under sällsynta driftförhållanden |
| S3 × E2 × C2 | 7 | Avvikelse i släpvagnens bromssamordning under vissa förhållanden |
| S3 × E3 × C1 | 7 | Förlust av framdrivning vid måttlig exponering — fordonet kan köra åt sidan |
QM — arton kombinationer
| Svårighetsgrad | Kombinationer | Typiska funktioner |
|---|---|---|
| S1 · nio rutor | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Lastutrymmesbelysning, stolvärme, läslampor, klämskydd för ruta, takgardin, kupéfläkt, spegelvärme, instrumentpanelens ljusstyrka.Infotainmentenheten, navigationen, Bluetooth, trådlös laddning och stämningsbelysning ligger alla i detta band. |
| S2 · sex rutor | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Skenande stolinställning under sällsynta förhållanden, avvikelser i släpvagnsbelysningen, bortfall av torkarnas låga hastighet (den höga finns kvar), avvikelse i backstartshjälpen, utebliven däcktrycksvarning |
| S3 · tre rutor | E1C1 · E1C2 · E2C1 | Faror med dödlig svårighetsgrad under sällsynta förhållanden som föraren helt behärskar; framdrivningsavvikelser vid låg exponering som bromsning kan hantera |
Tre mönster värda att befästa.
Kontrollerbarhet är den starkaste hävstången. Ett hastighetsmätarfel vid S2 × E4 × C1 är ASIL-A; bortfall av bromsljus vid S2 × E4 × C2 är ASIL-B. Samma svårighetsgrad, samma exponering — hela skillnaden ligger i om föraren kan märka det och kompensera.
Svårighetsgraden ensam avgör ingenting. S3 förekommer i QM (tre rutor), A (tre), B (tre), C (två) och D (en) — den sträcker sig över alla nivåer. Dödlig betyder inte hög ASIL.
Endast fullt utslag når D. S3 × E4 × C3 är den enda rutan. Därför finns det så få ASIL-D-poster i ett fordon: styrning, bromsar, krockkudde, momentövervakning — och knappt något mer.
Tillämpad på automatisk nödbromsning är asymmetrin hela argumentet.
Oavsiktlig bromsning — att bromsa när man inte borde — hamnar på S3 × E4 × C3. Det är ASIL-D, den enda rutan.
Utebliven bromsning — att inte bromsa när man borde — hamnar kring S3 × E3–E4 × C1, alltså ASIL-A eller B. Utgångsläget är en lastbil utan AEB: det har alltid förväntats att föraren bromsar själv.
Varje ASIL-D-krav i ett AEB-system finns för att förhindra en bromsning som inte borde ske — inte för att garantera en bromsning som borde ske.
Varje kombination är möjlig. Att känna till en av de fyra säger ingenting om de andra.
| Chip | Temperatur | Tillförlitlighet | Funktionssäkerhet | Lämplig för ett AEB-bromsbeslut? |
|---|---|---|---|---|
| Konsument-SoC | 0 to 70 °C | Ingen AEC-Q100 | Ingen ASIL | Nej |
| Industriell SoC | −40 to 85 °C | Ingen AEC-Q100 | Ingen ASIL | NejEndast temperaturen; inget annat |
| Automotive-kvalificerad SoC | −40 to 105 °C | Grade 2 | Kan ändå sakna helt | Endast perceptionInte säkerhetsbeslutet |
| Säkerhets-MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, ingen lockstep | Kräver ytterligare underbyggnad |
| Säkerhets-MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep-kärnor | Ja |
Tredje raden är fällan. «Vi använder den automotive-kvalificerade versionen» låter betryggande, men den meningen svarar bara på temperatur och tillförlitlighet. Om funktionssäkerhet säger den ingenting alls.
Vilken AEC-Q100-grad? Begär själva certifikatet, med exakt artikelnummer och grad.
Finns det ett AEC-Q100-certifikat? «Konstruerad enligt automotive-standarder» och «kvalificerad enligt dem» är olika påståenden.
Vilken ASIL? Med eller utan lockstep? Kräv ett produktcertifikat — ett processcertifikat räknas inte.
Hur många års leverans utlovas? Finns PCN- och EOL-disciplin bakom?
Tre vanliga påståenden och vad de faktiskt betyder: