ISO 26262 ASIL 评级为什么 D 只有 S3E4C3 这一个组合先说结论ISO 26262-3 Table 4 一共 36 格只有S3E4C3得出 ASIL D。S3E4C2、S3E3C3、S2E4C3都只比 D 差一格但结果全是 C。S0、E0、C0 不在表里——这三个等级无需分配 ASIL。三个最高档的锚点S3AIS 5–6 10%、E4场景时间 平均运行时间 10%、C3 90% 驾驶员能避免伤害。唯一“出表”路径6.4.3.11若干 unlikely 场景组合使暴露低于 E1可论证 QM。QM 不是最低 ASIL也不等于没有安全后果。HARA 评估不含内部安全机制外部措施如 ESC是例外。有疑问保守取高不许取平均不因详细设计未定而推迟。ASIL 分解动的是安全需求安全目标等级不变9-5.4.8 c。1. 36 个格子D 只出现一次Table 4 的行是 S1–S3 各配 E1–E4列是 C1–C33×4×3 36 格。6.4.3.10 要求按表给每个危害事件定 ASIL。图 1 · 依据 ISO 26262-3:2018 Table 4顺带说明S0/E0/C0 不进表因为这三个等级无需分配 ASIL6.4.3.4 / 6.4.3.7 / 6.4.3.9。2. 三个“只差一格”的组合组合结果S3 E4 C3ASIL DS3 E4 C2ASIL CS3 E3 C3ASIL CS2 E4 C3ASIL C图 2 · 依据 ISO 26262-3:2018 Table 4在 E4/C3 这一列上严重度每降一级ASIL 跟着降一级S3→D、S2→C、S1→B。表上没有“降半级”的格子也不允许取相邻等级的平均值。3. 三个最高档的锚点S3Table B.1AIS 5–6 概率 10%。S2 是 AIS 3–6S1 是 AIS 1–6阈值都是 10%区别只在 AIS 起始级别。E4Table B.2场景时间 平均运行时间 10%。相邻等级差一个数量级6.4.3.5 NOTE 1。C3Table B.6 90% 平均驾驶员能避免伤害。图 3 · 依据 ISO 26262-3:2018 Table B.1 / B.2 / B.6注意S 和 E 看的是 10%C 看的是 90%这两组数最容易被记反。4. 唯一能出表的路6.4.3.11若干不太可能的场景组合在一起使暴露概率低于 E1则对 S3、C3 的危害事件可论证为 QM。标准示例高压系统误供电——碰撞后气囊展开 车辆部分浸水 高压部件部分裸露且未内部短路。图 4 · 依据 ISO 26262-3:2018 6.4.3.11QM 表示无需符合 ISO 26262但既不是“最低的 ASIL”也不等于没有安全后果。5. 两条走不通的捷径5.1 靠项目自己的安全机制降等级6.4.1.2 要求 HARA 评估的是不含内部安全机制的项目。拟实现的、预开发项目中已实现的机制都不能计入 HARA它们属于功能安全概念那一侧。图 5 · 依据 ISO 26262-3:2018 6.4.1.2外部措施为例外标准示例是 ESC——那是外部措施不是项目自己的机制。5.2 先模糊着以后再定6.4.3.1 NOTES、E、C 难以判定时保守分级存在合理疑问就选更高的等级。等级之间不允许取平均值也不能因为详细设计还没定就往后拖——HARA 基于的是功能行为。图 6 · 依据 ISO 26262-3:2018 6.4.3.16. ASIL 定下来就一路往下传6.4.4.1每个评定过 ASIL 的危害事件确定安全目标。6.4.4.2相似安全目标合并时取最高的 ASIL。7.4.2.2每个安全目标至少导出一条功能安全需求。9-5.4.8 c)ASIL 分解动的是安全需求的 ASIL安全目标等级不变标注写成 ASIL B(D) 形式括号内为安全目标原等级。7. 检查清单评 ASIL 之前先过这几句是不是只有 S3E4C3 才能出 DS3E4C2 / S3E3C3 / S2E4C3 是否被误写成 DS0 / E0 / C0 是否被错误地放进 Table 4S3/E4/C3 三档是否有依据AIS 5–6 / 10% 运行时间 / 90% 驾驶员是否有 6.4.3.11 的组合场景论证支撑 QM是否把内部安全机制计入了 HARA是否存在合理疑问却取了较低等级ASIL 分解标注是否写成了安全目标等级说到底ASIL D 难拿不是因为门槛含糊恰恰是因为它不含糊三个参数全部顶格36 个格子里只此一格。真正该争的不是“这格是不是 D”而是每个参数那一档给得有没有依据。在它们吵出结论之前表的输出是确定的。