什么是asil

汽车功能安全领域的核心概念之一是汽车安全完整性等级（ASIL），它源自国际标准ISO 26262，是评估和管理车辆电子电气系统随机性硬件故障风险的关键框架。ASIL通过严谨的分析方法，将风险划分为从QM到D四个等级，直接指导着从系统设计到软硬件开发的全过程安全要求。理解其内涵、确定流程及在自动驾驶等新领域的应用演变，对于把握现代汽车安全开发至关重要。

       当我们谈论现代汽车，尤其是智能电动汽车的安全时，一个无法绕开的专业术语便是“汽车安全完整性等级”（ASIL）。它并非一个简单的性能指标，而是一套植根于国际标准《道路车辆 功能安全》（ISO 26262）的、用于量化和管理由电子电气系统故障所引发风险的完整方法论体系。这套体系如同一把精密的尺子，衡量着每一个可能危及驾乘人员安全的功能失效能带来多严重的后果，并据此规定必须采取何等严格的设计与验证措施。对于汽车工程师、产品经理、投资者乃至关注技术的消费者而言，深入理解汽车安全完整性等级（ASIL）的内涵、逻辑与应用，是洞察汽车产业，特别是智能驾驶领域技术深水区的关键钥匙。

       功能安全的基石：ISO 26262标准

       要透彻理解汽车安全完整性等级（ASIL），必须首先认识其诞生的土壤——ISO 26262标准。该标准脱胎于更广泛的工业功能安全标准IEC 61508，专门针对道路车辆上包含电子电气系统的量产乘用车进行定制。它的核心思想是“避免由电子电气系统故障行为引起的不可接受的风险”。请注意，这里强调的是“故障行为”导致的危险，而非交通事故本身。例如，车辆在正常行驶中，电子稳定程序（ESP）的控制单元因硬件随机失效而误触发，导致车辆突然制动或转向，这就构成了功能安全问题。ISO 26262标准提供了一整套覆盖车辆整个生命周期的流程、方法和管理要求，从概念设计、系统开发、软硬件实现，到生产、运营、服务乃至报废，旨在通过系统性的工程手段，将功能安全风险降低到可接受的水平。而汽车安全完整性等级（ASIL），正是这套方法论中用于“量化风险”和“定义安全要求严格度”的核心工具。

       风险量化：ASIL等级的确定逻辑

       汽车安全完整性等级（ASIL）并非随意指定，其确定过程是一个严谨的风险分析过程。标准定义了三个关键风险参数，通过对具体“功能”或“组件”在特定“运行场景”下发生故障可能导致危害的严重程度、暴露概率和可控性进行评估，最终综合得出等级。

       第一个参数是“严重度”（S），它衡量潜在危害对人员健康造成的伤害程度。通常分为S0（无伤害）、S1（轻度和中度伤害）、S2（严重和危及生命的伤害，生存概率高）、S3（危及生命的伤害，生存概率低，以及致命伤害）四个等级。例如，娱乐系统屏幕黑屏的严重度可能为S0或S1，而制动系统完全失效的严重度无疑是S3。

       第二个参数是“暴露概率”（E），它评估车辆运行在可能引发危害的场景下的频率或可能性。分为E1（非常低的概率）、E2（低的概率）、E3（中等概率）、E4（高的概率）。例如，车辆处于高速巡航状态（E4）的概率远高于进行赛道极限过弯（E1）的概率。

       第三个参数是“可控性”（C），它描述驾驶员或其他涉众通过及时反应避免特定危害的可能性。分为C1（简单可控）、C2（正常情况下可控）、C3（困难可控或不确定）、C4（难以控制或不可控）。例如，在低速泊车时动力突然小幅增强（C1或C2），与在高速公路上转向助力突然完全丧失（C3或C4），其可控性天差地别。

       将这三个参数按照标准提供的表格进行组合，便能得出初始的汽车安全完整性等级（ASIL），从低到高分别为：QM（质量管理）、A、B、C、D。其中，QM等级表示该功能的安全目标通过常规的质量管理流程即可满足，无需遵循特定的功能安全开发要求。而A级为最低安全完整性要求，D级则为最高、最严格的安全完整性要求。例如，一个典型的电子助力转向系统（EPS）的功能安全目标“避免非预期的转向助力”，在高速行驶场景下，其严重度（S3）、暴露概率（E4）和可控性（C3）组合后，通常会被确定为最高的汽车安全完整性等级 D（ASIL D）。

       从A到D：不同等级的内涵与要求差异

       汽车安全完整性等级（ASIL）的字母背后，代表着截然不同的安全目标和工程实践深度。这种差异是全方位的，渗透在开发的每一个环节。

       在系统层面，高等级（如D级）要求更严格的分析和验证。例如，必须进行更详尽的安全分析（如故障树分析、失效模式与影响分析），需要定义更完善的安全机制来检测和控制故障，并要求更高的覆盖度。对于软件层面，高等级意味着需要遵守更严格的编码准则（如MISRA C），要求更高的代码覆盖率（特别是修改条件判定覆盖），并进行更彻底的软件单元测试和集成测试。在硬件层面，差异尤为显著。标准对随机性硬件失效的量化指标有明确要求，主要包括：单点故障度量、潜伏故障度量和随机硬件失效概率度量。对于汽车安全完整性等级 D（ASIL D）的硬件，其单点故障度量要求必须高于99%，而潜伏故障度量也需高于90%，同时对随机硬件失效概率度量的目标值也设定得极为严苛（通常低于10的负8次方每小时）。这直接推动了硬件设计采用更高的诊断覆盖率、冗余架构（如双核锁步比较、多通道控制）和更可靠的元器件。

       简言之，从A到D，不仅仅是数字或字母的攀升，更是开发成本、周期、设计复杂度和验证工作量呈指数级增长的过程。一个被定为汽车安全完整性等级 D（ASIL D）的功能，其开发成本可能是QM等级功能的数十倍甚至更多。

       安全目标与功能安全概念

       汽车安全完整性等级（ASIL）的确定，始于“危害分析与风险评估”活动，其输出是一系列“安全目标”。每个安全目标都是一个顶层的安全声明，例如“防止车辆非预期加速”。每个安全目标都会被分配一个汽车安全完整性等级（ASIL）。随后，工程师需要将这些抽象的安全目标，转化为具体、可执行的技术方案，这个阶段被称为“功能安全概念”开发。在此阶段，需要定义实现安全目标所需的安全机制、故障检测和容错时间间隔等。例如，为实现“防止非预期加速”的安全目标，功能安全概念可能包括：对加速踏板位置信号进行双传感器冗余采集、在控制器内部进行合理性校验和互检、设置独立的监控单元，并规定从检测到故障到进入安全状态（如扭矩清零）的最大时间限制。所有这些具体要求的严格程度，都继承自其对应的安全目标的汽车安全完整性等级（ASIL）。

       分解与共存：ASIL的分配艺术

       在复杂的汽车系统中，一个高级别的安全目标往往需要由多个子系统、软硬件组件协同实现。这就引出了“汽车安全完整性等级（ASIL）分解”的概念。根据ISO 26262，在满足“充分独立性”的前提下，一个高等级的安全要求可以被分解到两个或多个相互独立的架构元素上，从而降低每个元素需要满足的等级。例如，一个汽车安全完整性等级 D（ASIL D）的要求，可以被分解为一个汽车安全完整性等级 C（ASIL C）的要求和一个汽车安全完整性等级 A（ASIL A）的要求，分配给两个独立且能相互监控的通道。这为系统架构设计提供了灵活性，可以平衡安全性与成本。但分解有严格条件，必须确保元素间的独立性（避免共因失效），并且分解后的等级不能低于QM。此外，系统中常存在不同等级的功能或组件“共存”于同一个物理控制器中的情况。此时，整个控制器必须按照其中最高的汽车安全完整性等级（ASIL）要求进行开发，或者通过严格的空间隔离、时间分区等技术，确保低等级功能不会干扰高等级功能的安全运行。

       随机硬件失效与系统失效

       ISO 26262将失效分为两大类：“系统失效”和“随机硬件失效”。理解这一区分对把握汽车安全完整性等级（ASIL）的应用至关重要。系统失效源于确定性的原因，如设计错误、规范错误、制造过程失误等。这类失效可以通过完善开发流程、采用正确的方法（如安全分析、系统化测试、代码审查）来避免。汽车安全完整性等级（ASIL）对开发流程的严格性要求，主要就是为了预防系统失效。而随机硬件失效则源于物理过程（如磨损、老化、宇宙射线导致的比特翻转等），在特定时间点以一定概率发生，无法通过设计完全消除，只能通过概率手段进行控制和管理。汽车安全完整性等级（ASIL）对硬件指标（如单点故障度量、随机硬件失效概率度量）的要求，正是为了将随机硬件失效导致危害的风险控制在可接受的低概率范围内。一个完整的功能安全方案，必须同时应对这两类失效。

       安全机制与故障处理

       为了实现安全目标，系统需要内置各种“安全机制”。它们是专门用于检测、控制或缓解故障的技术措施。常见的安全机制包括：信息冗余（如校验和、循环冗余校验）、硬件冗余（如双传感器、双微处理器）、程序流监控、看门狗定时器、合理性检查等。汽车安全完整性等级（ASIL）的高低，直接影响对安全机制“诊断覆盖率”和“故障处理时间间隔”的要求。高等级要求安全机制能够检测出更高比例的潜在故障（高诊断覆盖率），并且要求在更短的时间内识别故障并触发适当的应对措施（如进入安全状态、启用降级模式）。安全机制本身也需要按照其对应的等级进行开发和验证，确保其自身不会成为新的失效源。

       验证与确认：安全的试金石

       再完美的设计和分析，也需要通过实践的检验。验证与确认是功能安全开发的闭环。验证旨在证明“产品被正确无误地建造了出来”，即各个层级的产出物（如软件代码、硬件设计）是否符合其规范和要求。确认则旨在证明“建造出来的产品是正确的”，即最终的系统是否能满足顶层的安全目标，在实际或接近实际的环境中是否安全。汽车安全完整性等级（ASIL）越高，验证与确认活动的广度、深度和严格度就越高。这可能意味着需要更多的测试用例、更高的测试覆盖率要求、更严苛的环境测试（如电磁兼容性测试）、以及进行实车道路测试来确认整体功能安全。独立于开发团队的安全评估和审计，也常是高级别项目中的强制性要求。

       供应链中的ASIL管理

       现代汽车产业高度依赖全球供应链。一个整车厂的功能安全目标，最终需要层层分解到数十家甚至上百家供应商的零部件中。因此，汽车安全完整性等级（ASIL）的管理必须贯穿整个供应链。整车厂需要将明确的安全要求（包括分配的等级）传递给直接供应商（一级供应商），一级供应商再向下传递。供应商则需要提供证据，证明其提供的组件或软件满足相应的等级要求。这些证据通常以“安全案例”的形式呈现，是一套结构化的论证文档，汇集了所有相关的安全分析报告、测试报告、评估报告等，旨在向客户和评估机构证明产品达到了所需的安全完整性。清晰的接口定义、要求传递和证据管理，是确保供应链整体功能安全的关键。

       自动驾驶时代的挑战与演进

       随着自动驾驶技术的发展，传统的汽车安全完整性等级（ASIL）框架面临新的挑战。在高度自动驾驶场景下，驾驶员逐渐脱离控制回路，许多危害场景的可控性（C）参数趋于C4（难以控制或不可控）。同时，系统的复杂性和传感器、算法等新型失效模式的出现，使得安全分析更加困难。为此，ISO 26262标准本身也在不断修订，并衍生出新的互补标准。其中最重要的是《道路车辆 预期功能安全》（ISO 21448），它专注于解决因性能局限、误用或合理可预见的驾驶人误操作导致的，在没有故障发生情况下的安全问题，即“预期功能安全”。另一个是新兴的《道路车辆 网络安全工程》（ISO/SAE 21434），它关注的是恶意攻击引发的安全风险。在自动驾驶系统中，功能安全、预期功能安全和网络安全三者必须协同考虑，构成全方位的安全防护网。对于自动驾驶决策系统等复杂算法，如何论证其满足汽车安全完整性等级 D（ASIL D）这类最高等级的要求，是目前行业技术攻关的焦点之一。

       与其它安全标准的关联

       除了ISO 26262及其衍生标准，汽车安全完整性等级（ASIL）的理念也与其他汽车安全标准产生关联。例如，在汽车电子可靠性标准AEC-Q系列中，虽然主要关注元器件的可靠性和质量，但满足高级别汽车安全完整性等级（ASIL）的硬件设计通常会选用通过AEC-Q100或Q104认证的芯片。在功能安全认证层面，许多芯片供应商会提供已经过独立第三方评估、符合特定汽车安全完整性等级（ASIL）要求的“功能安全就绪”或“安全元件”，如微控制器、电源管理芯片、传感器等，这极大地降低了系统集成商的设计难度和认证风险。

       对产业与消费者的意义

       汽车安全完整性等级（ASIL）的广泛应用，深刻改变了汽车产业。它提升了整个行业对电子电气系统安全性的重视程度，推动了安全工程方法的普及，催生了对功能安全工程师、安全软件和硬件的大量需求，也提高了新车型研发的技术门槛和成本。对于消费者而言，汽车安全完整性等级（ASIL）虽然是一个隐藏在车辆背后的工程概念，但它切实影响着车辆的可靠性与安全性。一辆经过严格功能安全开发流程，并对关键系统（如制动、转向、电池管理）应用了高等级要求的车辆，其发生因电子系统故障导致严重事故的概率理论上被降到了极低的水平。当消费者看到厂商宣传其自动驾驶控制器或底盘域控制器满足“汽车安全完整性等级 D（ASIL D）”时，应理解这背后代表着巨额研发投入和极为严苛的验证过程，是产品安全能力的一种重要背书。

       总而言之，汽车安全完整性等级（ASIL）远不止是一个等级标签。它是一套基于风险管理的、贯穿汽车电子电气系统全生命周期的系统工程哲学和实践框架。从最初的风险分析到最终的产品确认，它用量化的方式将“安全”这一抽象概念，转化为具体、可执行、可验证的技术要求和管理活动。在汽车产业向电动化、智能化深度变革的今天，掌握汽车安全完整性等级（ASIL）的逻辑与应用，不仅是工程师的专业必修课，也是所有行业参与者洞察技术趋势、评估产品竞争力、理解安全本质的重要视角。它标志着汽车工业从依靠机械可靠性的传统时代，迈入了系统性地驾驭电子电气复杂性的新安全纪元。

       随着技术演进，围绕汽车安全完整性等级（ASIL）的讨论和实践也将不断深化，但其核心目标始终如一：让每一辆飞驰在道路上的汽车，其内部的数字神经网络都能可靠、安全地工作，守护每一次出行。这既是工程的挑战，也是技术的承诺。