工业设计动态：ISO26262功能安全ASIL定级

ASIL 不是贴在元器件上的等级标签，而是给危害事件评的风险等级——同一个电子件，装在不同位置、处在不同运行场景，等级可以从 QM 到 ASIL

现场落地要盯住哪几步？

• 三参数定级：严重度 S0–S3（S3 = 危及生命/致命，存活不确定）、暴露度 E0–E4（E4 = 高频）、可控性 C0–C3（C3 = 难以控制或不可控）
• 暴露度衡量的是「车辆处于该运行场景」的概率，不是器件故障率——这是最常答错的一项
• 组合定级（ISO 26262-3 判定表）：S3+E4+C3 → ASIL D；S3+E4+C2 / S2+E4+C3 → ASIL C；S1+E1+C1 → QM
• 索引法：三项索引相加，≤6 为 QM，7/8/9/10 依次为 ASIL A/B/C/D
• 硬件量化指标：ASIL A 无 SPFM/LFM/PMHF 量化目标（定性要求仍全量适用）；ASIL B：SPFM ≥90%、LFM ≥60%、PMHF ≤10⁻⁶/h
• ASIL C：SPFM ≥97%、LFM ≥80%、PMHF ≤10⁻⁷/h；ASIL D：SPFM ≥99%、LFM ≥90%、PMHF ≤10⁻⁸/h
• ASIL 分解（需证明独立性与共因失效防护）：ASIL D → C(D)+A(D)、B(D)+B(D)、D(D)+QM(D)；ASIL C → B(C)+A(C)
• 典型例：ASIL D 制动功能拆成两个独立 ASIL B(D) 控制器
• HARA（危害分析与风险评估）在概念阶段执行，输出安全目标与 ASIL，随设计迭代更新；ASIL 由安全目标继承到下层安全需求
• 三类常见失分：① 暴露度答成「器件多久坏一次」；② 可控性按「好司机能不能躲」；③ 严重度只算乘员（行人和其他道路使用者同样计入）
• 芯片侧：AEC-Q100 测试 ≠ 满足 ASIL；还须 FMEDA 报告、安全手册、HTOL/ELFR 可靠性数据与流程审计

哪些场景该用、哪些要避开？

• 整车厂、Tier1/Tier2 电子件（雷达、域控、电驱、制动/转向）、软件与开发工具链供应商的功能安全开发与符合性证明（Certificate of Compliance，非传统「认证证书」）。

落到交付标准上该怎么讲？

功能安全的等级属于「危害事件」，不属于「零件」。我们依据 ISO 26262 的三参数方法（严重度 S0–S3、暴露度 E0–E4、可控性 C0–C3）与客户共同完成危害分析与风险评估，确定安全目标与 ASIL 等级，并按等级对应的硬件指标开展设计——ASIL D 要求单点故障度量 SPFM ≥99%、潜在故障度量 LFM ≥90%、每小时随机硬件失效 PMHF ≤10⁻⁸。对无法单点达标的方案，我们配合完成 ASIL 分解与独立性论证，并输出与安全目标相关的机械失效分析，使结构件在整车的安全论证中具备可追溯的证据链。

验收清单与常见误区有哪些？

• 执行要点「三参数定级：严重度 S0–S3（S3 = 危及生命/致命，存活不确定）、暴露度 E0–E4（E4 = 高频）、可控性 C0–C3（C3 = 难以控制或不可控）」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「暴露度衡量的是「车辆处于该运行场景」的概率，不是器件故障率——这是最常答错的一项」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「组合定级（ISO 26262-3 判定表）：S3+E4+C3 → ASIL D；S3+E4+C2 / S2+E4+C3 → ASIL C；S1+E1+C1 → QM」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「索引法：三项索引相加，≤6 为 QM，7/8/9/10 依次为 ASIL A/B/C/D」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「硬件量化指标：ASIL A 无 SPFM/LFM/PMHF 量化目标（定性要求仍全量适用）；ASIL B：SPFM ≥90%、LFM ≥60%、PMHF ≤10⁻⁶/h」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「ASIL C：SPFM ≥97%、LFM ≥80%、PMHF ≤10⁻⁷/h；ASIL D：SPFM ≥99%、LFM ≥90%、PMHF ≤10⁻⁸/h」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「ASIL 分解（需证明独立性与共因失效防护）：ASIL D → C(D)+A(D)、B(D)+B(D)、D(D)+QM(D)；ASIL C → B(C)+A(C)」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「典型例：ASIL D 制动功能拆成两个独立 ASIL B(D) 控制器」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「HARA（危害分析与风险评估）在概念阶段执行，输出安全目标与 ASIL，随设计迭代更新；ASIL 由安全目标继承到下层安全需求」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「三类常见失分：① 暴露度答成「器件多久坏一次」；② 可控性按「好司机能不能躲」；③ 严重度只算乘员（行人和其他道路使用者同样计入）」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「芯片侧：AEC-Q100 测试 ≠ 满足 ASIL；还须 FMEDA 报告、安全手册、HTOL/ELFR 可靠性数据与流程审计」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。
• 执行要点「整车厂、Tier1/Tier2 电子件（雷达、域控、电驱、制动/转向）、软件与开发工具链供应商的功能安全开发与符合性证明（Certificate of Compliance，非传统「认证证书」）。」应在工艺 SOP 里单列为一行强制确认项，落地时最容易出错。

苏州工业设计知库站 · 点评

把工业设计动态从“能做出”推进到“能稳定量产、能讲清价值”，正是工业设计服务的核心增量。建议企业以量化指标（成本、减重、良率、周期）作为方案取舍的准绳，必要时联动逆向扫描与检测能力做闭环验证。