ASIL详解

概念

随着汽车新四化的发展，整车E/E系统的复杂性也不断增加，功能安全正成为一种更主流的要求。汽车安全完整性等级（ASIL）分解为实现更高水平的诊断覆盖度提供了可靠而稳健的途径，并在开发具有更高ASIL等级的安全关键系统时为研发人员提供了更大的灵活性。
ASIL等级无疑是汽车功能安全最重要的概念之一，它是相关项潜在危害的风险量化指标，共包含四个等级，即A，B，C，D，和QM，其中A是最低的安全等级，D是最高的安全等级，ASIL等级越高，危害的风险越大，QM为符合正常质量管理即可。
ASIL分解本质是充分冗余，冗余的本质就是独立性，所以独立性是ASIL等级分解的前提，所谓的独立性就是分解后的两个需求，即不存在级联失效，也没有共因失效的问题。
ASIL等级贯穿整个相关项的开发，最初作为安全目标SG的安全属性要求，随着从概念，到系统，再到硬件和软件的开发，ASIL等级由后续每个安全要求来继承。
从本质上来讲，ASIL安全等级的高低直接决定了系统的安全性要求的高低，ASIL 等级越高，意味着为实现相应的安全需求，需要付出更高的代价，需要遵循更严格的开发流程，更高的硬件概率化度量指标，这会直接导致开发成本的增加、开发周期的延长，甚至有时候有时候因为技术原因，无法满足相应的ASIL等级。

功能安全标准

ISO 26262《道路车辆功能安全》脱胎于IEC 61508《电气/电子/可编程电子安全系统的功能安全》，主要定位在汽车行业（包含乘用车、商用车、卡车、特殊车辆、摩托车等）中特定的电子器件、电子设备等专门用于汽车领域的部件，目的是提高汽车电子电气产品的安全性。
ISO 26262从2005年起正式开始制定，历约6年于2011年正式颁布第一版，成为国际标准。第二版也于2018年正式发布。相应的国标版功能安全标准也于2017年正式发布——GB/T 34590。

专业名词浅析

故障（FAULT），错误（ERROR）， 失效（FAILURE）, 缺陷(DEFECT)这几个词的含义对于不了解功能安全的可能并不容易分清，但这些并不是ISO26262首创的，而是可靠性工程行业的一些基本概念，也是功能安全标准的基础。这些在ISO26262-1文档有很好的描述，我也做下简单的解读：

名词	ISO26262的解释	内涵
故障 （FAULT）	一种可能导致元器件或者功能失败或者失效的异常	FAULT是一种“因”。任何失效都来源于某种“因”
错误 (ERROR)	观察或测量到的和所期望的不一致	ERROR是观测到的FAULT。通常对于数据传输，系统繁忙等产生的不一致是难免的，这是常用ERROR一词。对于系统单元故障则是常用FAULT。
失效 (FAILURE)	一个单元或功能因为故障（FAULT）中止或者无法按预期达成目标	FAILURE是FAULT的结果。
缺陷 (DEFECT)	ISO26262常见术语不包含DEFECT，认为应该没有缺陷或者瑕疵	缺陷对于硬件来自于材料或者设计生产不完美，对于软件体现于BUG，任何软件BUG在ISO26262都认为是 系统级故障（Systematic Fault ）
单点故障(SPF, Single-Point Fault)	单个故障发生就会导致系统安全目标失败的异常	注意，这里系统安全目标失败指的是从整车的角度来看，所以增加系统冗余或者采用外加看门狗监控这个故障，避免系统安全目标失败的话，这个就不再是单点故障
残余故障(RF, Residual Fault)	单个硬件随机故障发生，但没有被系统安全机制所覆盖，而导致系统安全目标失败	注意，ISO26262的RF仅限于硬件随机失效。SPF和RF都是严重的，其发生率和ASIL级别直接相关。安全机制的设计应该尽可能覆盖各种已知的硬件随机故障
多点故障(MPF,Multi Point Fault)	某个故障，当和别的故障同时发生，而且都没有被检测或者察觉出来，而导致的系统安全目标失败	注意，检测或觉察出故障，采取相应措施，就可以减少或者避免多点故障。这同时也意味着多点故障单个发生的时候可能没有很大危害性，需要两个或更多发生才会体现。可检测出来的MPF也叫做MPF-DP
潜伏故障(LF, Latent Fault， MPF-LF)	在检测周期里，已经发生但是没有被检测或者觉察出来的多点故障	注意，这意味着扩大检测覆盖率，或者同时缩短检测周期，有可能减少LF。如果已经被检查出来并进行处理，这个MPF可能可以做到不影响系统安全目标

从上述列表分析来看，单点故障（SPF）和残余故障（RF）是最为致命的故障。不容易被发现和觉察的潜伏故障（LF）也会留下隐患。

ASIL的定义

◆通常在项目早期阶段进行，通过对系统/功能进行危害分析和风险评估（HARA）获得
◆每一个危险事件都被分配了一个ASIL等级 （从ASIL-A 到 ASIL-D，或QM）
◆QM不是一个功能安全等级，它意味着没有特殊性的安全要求，满足质量管理流程即可
◆ASIL的选择基于可控性（C）、严重程度（S）和暴露时间（E）

例如：安全气囊、防抱死制动器和动力转向等系统需要ASIL-D等级（适用于安全保证的最高等级，因为与此类故障相关的风险最高）；尾灯等组件通常只需要ASIL-A等级，前灯和刹车灯通常为ASIL-B，雨刷控制通常为ASIL-A；而巡航控制通常为ASIL-C。