Bu ifade sürekli kullanılıyor, ama tek bir yeterliliği değil, birbirinden bağımsız dört yeterliliği anlatıyor. Bunları karıştırmak «bu yonga otomotiv sınıfı, o hâlde fren kararını verebilir» gibi sonuçlara götürür. Veremez.
Bir yonga için «otomotiv sınıfı» dendiğinde, bu iddia aşağıdaki dört maddeden yalnızca birini karşılıyor olabilir.
Soğukla sıcak arasında hâlâ doğru çalıştığı pencere.
Binlerce saatlik yaşlandırma, sıcaklık çevrimi, titreşim ve nem yükü.
Sıfır hata kültürü, parti izlenebilirliği, değişiklik bildirimi, on yıllık bulunabilirlik.
Parça arızalandığında sistemin sonuçları kontrol altına alıp alamadığı.
En sık karıştırılanlar ikinci ile dördüncüdür.
AEC-Q100 «arızalanacak mı?» sorusunu yanıtlar. ISO 26262 «arızalandığında ne olur?» sorusunu yanıtlar. Bunlar tümüyle ayrı yeterliliklerdir. Bir yonga AEC-Q100'ü baştan sona geçebilir ve yine de hiçbir ASIL yetkinliği taşımayabilir.
Dördünün en somutu. Sınıflar yalnızca parçanın ne kadar sıcağa dayandığı bakımından ayrışır — çünkü araçtaki konumu, neye katlanacağını belirler.
Araçtaki farklı konumlar çok farklı ısıl yük anlamına gelir:
Gerçek bir örnek. Bir tedarikçinin tasarım belgesinde bir parça «otomotiv sınıfı değil, ancak −30 ile +85 °C için belirtilmiş» olarak geçiyordu. Kıl payı yeterli görünüyor — ta ki aracın Kuzey Avrupa'ya teslim edildiği ve araç seviyesindeki gerekliliğin −40 ile +85 °C olduğu hatırlanana kadar.
O on derece pay değildir. Kamyonun Norveç kışında çalışıp çalışmayacağını belirler. Üstelik parça, otomotivin en alt kademesi olan Grade 3'e bile ulaşmıyor — ki onun alt sınırı tam olarak −40 °C'dir.
AEC-Q100'ün asıl gövdesi budur: kırktan fazla zorlama testi, binlerce saat, yüzlerce numune. Amaç, aksi hâlde onuncu yılda ortaya çıkacak kusurları birkaç ay içinde açığa çıkarmaktır.
Geçtiğinde ne elde edilir? Bir arıza oranı taahhüdü — genellikle PPM (milyonda parça) ya da FIT (milyar saatte arıza) olarak ifade edilir — ve izlenebilir test raporları.
Tüketici parçaları bunun büyük bölümünü atlar veya yalnızca birkaç testi uygular. «Çalışıyor» ile «on yıl sonra da çalışıyor» farklı iddialardır. Bir telefon iki yılda değişir; bir kamyon on beş yıl yol yapar.
Dördü içinde en çok gözden kaçanı ve on beş yıllık ömre sahip bir ticari araç için en acımasızı.
Açıkça söylemek gerekirse: bir tüketici parçası, kamyonumuz hâlâ garanti kapsamındayken üretimden kalkabilir. Bu, yedek parça bulunmaması — ya da kartın yeniden tasarlanması demektir. Yeniden tasarım ise yeniden belgelendirme demektir.
İlk üçü yonganın ne kadar iyi olduğunu sorar. Dördüncüsü, arızalandığında insanlara ne olduğunu sorar.
Güvenilirlik. Arıza olasılığını düşürür. Parçanın kendisini sınar — yaşlanma, sıcaklık, titreşim, elektrostatik boşalma.
Fonksiyonel güvenlik. Arızanın sonuçlarını yönetir. Tüm sistemi sınar — bunu fark eden ikinci bir kanal var mı ve sistem güvenli bir duruma geçebiliyor mu?
ASIL bir kalite sıralaması değildir. Tehlikeden hesaplanır. ISO 26262 üç boyutu puanlar:
S'nin üç kullanılabilir değeri, E'nin dört, C'nin üç değeri var. Bu 36 bileşim eder — sınırsız bir sayı değil. Ve bu 36 bileşim yalnızca beş sonuç verir; çünkü ISO 26262 tablosu basit bir toplama gibi davranır: S, E ve C'yi 1, 2, 3 (E için 4'e kadar) puanlayın, toplayın ve seviyeyi okuyun.
36 bileşimden tam olarak biri ASIL-D'ye ulaşır: S3 × E4 × C3. En ağır zarar, en sık karşılaşılan sürüş durumunda, sürücünün toparlama imkânı olmadan. Üç boyutun da aynı anda azami olması gerekir. Tablonun yarısı — 18 hücre — hiçbir fonksiyonel güvenlik süreci gerektirmez.
Ve yalnızca beş seviye vardır; çünkü ASIL riski hassas biçimde tanımlamaz — ne kadar iş yapılacağını belirler. Her seviye eksiksiz bir geliştirme gereksinimleri kümesi getirir: kapsama hedefleri, doğrulama yöntemleri, süreç bağımsızlığı, lockstep donanım. 36 seviyeyle standart kullanılamaz olurdu. Bilinçli olarak kaba bir cetveldir.
ASIL-B'yi ASIL-D'den ayıran nedir:
| Gösterge | ASIL-B | ASIL-D |
|---|---|---|
| Tekil hata ölçütü | ≥ 90 % | ≥ 99 % |
| Gizli hata ölçütü | ≥ 60 % | ≥ 90 % |
| Rastgele donanım arıza oranı | < 10⁻⁷ / saat | < 10⁻⁸ / saatOn kat daha katı |
| Donanım mimarisi | Bekçi köpekli tek çekirdek genellikle yeter | Genellikle lockstep çekirdekler gerekir |
| Süreç bağımsızlığı | Gevşetilmiş | Bağımsız gözden geçirme, denetim ve değerlendirme |
Lockstep çekirdek nedir? İki CPU çekirdeği aynı kodu adım adım birlikte yürütürken donanım çıkışlarını gerçek zamanlı karşılaştırır. Herhangi bir uyuşmazlık anında hata verir. Rastgele donanım arızalarını yakalamanın en etkili yoludur — yüksek ASIL'in ondan nadiren vazgeçmesinin nedeni budur.
Lockstep olmadan ASIL-D'ye ulaşmak, bunu kapsamlı yazılım öz testleri ve yedekli hesaplamayla telafi etmek demektir: pahalı ve teknik servis önünde savunulması zor.
Aşağıdaki örnekler açıklayıcıdır, bağlayıcı değildir. ASIL, belirli bir tehlikenin özelliğidir; bir bileşen tipinin değil — aynı işlev, başka bir üreticinin tehlike analizinde farklı bir hücreye düşebilir.
ASIL-D — bir bileşim
| S × E × C | Toplam | Tipik işlevler |
|---|---|---|
| S3 × E4 × C3 | 10 | Elektrikli direksiyon desteğinin devre dışı kalması · ESC / EBS istem dışı frenleme · hava yastığının istem dışı açılması · istem dışı tam gaz hızlanma (tork izleme) · AEB istem dışı frenleme · steer-by-wire ve brake-by-wireÖlümcül zarar, en sık karşılaşılan sürüş durumunda, sürücünün toparlama imkânı olmadan. |
ASIL-C — üç bileşim
| S × E × C | Toplam | Tipik işlevler |
|---|---|---|
| S2 × E4 × C3 | 9 | Normal sürüşte direksiyon desteğinin ani değişmesi (zayıflamış, tümüyle kaybolmamış) |
| S3 × E3 × C3 | 9 | Yüksek gerilim bataryası çarpışmadan sonra ayrılmıyor · YG yalıtımının kaybı |
| S3 × E4 × C2 | 9 | Normal sürüşte fren kuvvetinin kısmen kaybı (diğer devreler hâlâ kullanılabilir) |
ASIL-C uygulamada nadirdir — ekiplerin çoğu ya doğrudan D'ye tasarlar ya da ASIL ayrıştırması kullanır.
ASIL-B — altı bileşim
| S × E × C | Toplam | Tipik işlevler |
|---|---|---|
| S1 × E4 × C3 | 8 | Arka ve gabari lambalarının arızası — sürekli maruziyet ve sürücü kendi arka lambalarını göremez |
| S2 × E3 × C3 | 8 | Farların tümüyle arızalanması — gece hiç aydınlatma yok |
| S2 × E4 × C2 | 8 | Fren lambalarının arızası — arkadaki araç fren yaptığınızı bilmez |
| S3 × E2 × C3 | 8 | Yüksek gerilim yalıtım izlemesinin bulunmaması — insanın algılayamayacağı elektrik çarpması riski |
| S3 × E3 × C2 | 8 | Hız sabitleyici veya ACC kaynaklı istem dışı hızlanma |
| S3 × E4 × C1 | 8 | Normal sürüşte tahrikin kaybı — araç yine de banketе süzülebilir |
Genellikle ASIL-B olanlar arasında ayrıca: gösterge panelindeki hız göstergesi, lastik basıncı izleme ve radar ile kamera sistemlerinin algılama katmanı.
ASIL-A — sekiz bileşim
| S × E × C | Toplam | Tipik işlevler |
|---|---|---|
| S1 × E3 × C3 | 7 | Geri görüş kamerasının sönmesi — manevra sırasında düşük hızlı çarpışma |
| S1 × E4 × C2 | 7 | İç aydınlatmanın açık kalması ve gece görüşünü bozması |
| S2 × E2 × C3 | 7 | Yağmurda siliceklerin tümüyle arızalanması — ileri görüşün kaybı |
| S2 × E3 × C2 | 7 | Tek bir farın arızalanması |
| S2 × E4 × C1 | 7 | Hız göstergesinde okuma hatası — sürücü hızı trafikten ve vitesten yine de kestirebilir |
| S3 × E1 × C3 | 7 | Nadir bir çalışma koşulunda termal kaçış uyarısının kaybı |
| S3 × E2 × C2 | 7 | Belirli koşullarda römork fren uyumunda sapma |
| S3 × E3 × C1 | 7 | Orta düzey maruziyette tahrikin kaybı — araç kenara çekilebilir |
QM — on sekiz bileşim
| Şiddet | Bileşimler | Tipik işlevler |
|---|---|---|
| S1 · dokuz hücre | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | Yük bölmesi aydınlatması, koltuk ısıtma, okuma lambaları, cam sıkıştırma koruması, tavan perdesi, kalorifer fanı, ayna ısıtma, gösterge parlaklığı.Bilgi-eğlence ünitesi, navigasyon, Bluetooth, kablosuz şarj ve ortam aydınlatması hepsi bu bantta yer alır. |
| S2 · altı hücre | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | Nadir koşullarda koltuk ayarının kontrolden çıkması, römork aydınlatmasında sapmalar, siliceklerin yavaş kademesinin arızalanması (hızlı kademe hâlâ var), yokuş kalkış desteğinde sapma, lastik basıncı uyarısının verilmemesi |
| S3 · üç hücre | E1C1 · E1C2 · E2C1 | Sürücünün tümüyle kontrol edebildiği nadir koşullardaki ölümcül şiddetteki tehlikeler; frenlemenin dizginleyebileceği düşük maruziyetli tahrik sapmaları |
İçselleştirilmeye değer üç örüntü.
Kontrol edilebilirlik en güçlü kaldıraçtır. S2 × E4 × C1'de hız göstergesi hatası ASIL-A'dır; S2 × E4 × C2'de fren lambası arızası ASIL-B'dir. Aynı şiddet, aynı maruziyet — bütün fark, sürücünün bunu fark edip telafi edip edemeyeceğindedir.
Şiddet tek başına hiçbir şeyi belirlemez. S3, QM'de (üç hücre), A'da (üç), B'de (üç), C'de (iki) ve D'de (bir) görünür — tüm seviyelere yayılır. Ölümcül olması yüksek ASIL demek değildir.
D'ye yalnızca üçü birden azami olduğunda ulaşılır. S3 × E4 × C3 tek hücredir. Bir araçta ASIL-D öğelerinin bu kadar az olmasının nedeni budur: direksiyon, fren, hava yastığı, tork izleme — ve pek fazlası değil.
Otomatik acil frenlemeye uygulandığında bütün savı bu asimetri oluşturur.
İstem dışı frenleme — yapılmaması gerekirken fren yapmak — S3 × E4 × C3'e düşer. Bu, o tek hücre olan ASIL-D'dir.
Frenleme yapılmaması — yapılması gerekirken fren yapmamak — yaklaşık S3 × E3–E4 × C1'e düşer, yani ASIL-A ya da B. Referans, AEB'siz bir kamyondur: sürücünün kendisinin fren yapması zaten hep beklenmiştir.
Bir AEB sistemindeki her ASIL-D gereksinimi, olmaması gereken bir frenlemeyi önlemek için vardır — olması gereken bir frenlemeyi garanti etmek için değil.
Her bileşim mümkündür. Dördünden birini bilmek diğerleri hakkında hiçbir şey söylemez.
| Yonga | Sıcaklık | Güvenilirlik | Fonksiyonel güvenlik | AEB fren kararı için uygun mu? |
|---|---|---|---|---|
| Tüketici SoC | 0 to 70 °C | AEC-Q100 yok | ASIL yok | Hayır |
| Endüstriyel SoC | −40 to 85 °C | AEC-Q100 yok | ASIL yok | HayırYalnızca sıcaklık; başka hiçbir şey |
| Otomotiv yeterlilikli SoC | −40 to 105 °C | Grade 2 | Yine de hiç taşımıyor olabilir | Yalnızca algılamaGüvenlik kararı değil |
| Güvenlik MCU'su, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, lockstep yok | Ek gerekçe ister |
| Güvenlik MCU'su, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, lockstep çekirdekler | Evet |
Üçüncü satır tuzaktır. «Otomotiv yeterlilikli sürümü kullanıyoruz» güven verici gelir, ama bu cümle yalnızca sıcaklığı ve güvenilirliği yanıtlar. Fonksiyonel güvenlik hakkında hiçbir şey söylemez.
Hangi AEC-Q100 sınıfı? Belgenin kendisini isteyin; üzerinde tam parça numarası ve sınıf yazsın.
AEC-Q100 belgesi var mı? «Otomotiv standartlarına göre tasarlandı» ile «onlara göre yeterlilik aldı» farklı iddialardır.
Hangi ASIL? Lockstep var mı, yok mu? Ürün seviyesinde belge isteyin — süreç belgesi sayılmaz.
Kaç yıllık tedarik taahhüt ediliyor? Arkasında PCN ve EOL disiplini var mı?
Sık duyulan üç iddia ve gerçekte ne anlama geldikleri: