ASIL简介

ASIL是Automotive Safety Integrity Level的缩写，中文意为“汽车安全完整性等级”，是国际标准ISO 26262中用于衡量汽车电子电气系统功能安全要求的核心分类体系。

1. 等级划分

ASIL等级将汽车电子系统的安全风险划分为A、B、C、D四个等级，其中D级为最高等级，代表最高风险和最严苛的安全要求。该等级划分基于危害分析与风险评估（HARA），综合考虑功能失效的严重性（Severity）、暴露概率（Exposure）和可控性（Controllability）等因素，确保关键安全功能（如制动、转向、动力控制等）达到极低的故障概率（如ASIL-D要求随机硬件失效率低于10⁻⁸/h）。ASIL等级直接影响产品开发流程的严格程度：等级越高，开发、验证和文档化要求越复杂，例如ASIL-D级强制要求冗余设计、多轮验证和更严格的体系管理。通过ISO 26262 ASIL认证（如流程认证或产品认证）是汽车供应链企业进入高安全领域（如智能驾驶、底盘控制）的关键门槛。

2. 各个等级的差异

从 ASIL-A 到 ASIL-D，随着安全等级的提升，ISO 26262 标准对产品的开发流程、硬件设计、软件验证以及项目管理都提出了呈指数级增长的严苛要求。以下是各等级在核心维度的具体差异梳理：

2.1 软件开发与测试验证强度

ASIL 等级直接决定了软件测试的覆盖率和验证方法的复杂性：
ASIL-A：要求相对较低，通常仅需进行系统级测试，不一定强制要求单元测试，代码覆盖率无强制要求。
ASIL-B：开始要求单元测试，代码需达到 100% 的语句覆盖率，并需要进行故障注入测试。
ASIL-C：要求更加严格，除了 100% 语句覆盖率外，还必须达到 100% 的分支覆盖率，且需进行独立性验证。
ASIL-D：要求最为严苛。除了 100% 语句覆盖率和 100% 分支覆盖率外，还强制要求达到 100% 的 MC/DC（修正条件判定覆盖）测试。此外，ASIL-D 级的开发在代码层面也有极严格的约束，例如禁用动态内存分配（malloc）、递归和位域，且函数调用栈深度（含内联展开）不得超过3层。

2.2 硬件设计与随机失效指标

在硬件层面，等级越高，对故障的容忍度越低，诊断覆盖率要求越高：
ASIL-B：要求单点故障度量（SPFM）≥ 90%，潜在故障度量（LFM）≥ 80%（注：部分资料中 LFM 指标表述为 ≥ 60%），每小时概率危险失效（PMHF）< 10⁻⁷/h。
ASIL-C：SPFM 提升至 ≥ 97%，LFM ≥ 90%，PMHF 需维持在 < 10⁻⁷/h。
ASIL-D：达到最高硬件安全准则，要求 SPFM ≥ 99%，LFM ≥ 99%，且 PMHF 必须 < 10⁻⁸/h。这意味着 ASIL-D 级的硬件通常需要采用异构冗余设计，以确保单一故障不会导致系统失效。

2.3 开发流程与项目管理

ASIL-A 至 ASIL-B：开发流程相对常规，侧重于基础的风险控制、设计审查和标准验证方法。
ASIL-C 至 ASIL-D：需要高级别的开发流程。特别是 ASIL-D，要求实施先进的安全措施、系统化的错误检测和诊断。其项目管理贯穿完整的产品生命周期，文档审核极其严谨，且通常需要引入独立的第三方审核方按照最高要求进行审计。

2.4 典型应用场景

ASIL-A：后雾灯等低风险部件。
ASIL-B：尾灯、电动车窗、自动泊车系统等。
ASIL-C：自适应巡航（ACC）、自动紧急制动（AEB）等。
ASIL-D：刹车系统、转向系统、安全气囊系统等直接关乎生命安全的最高风险部件。
总体而言，从 A 到 D，ASIL 等级的提升意味着开发周期显著延长、成本大幅上升，但这是为了将系统失效带来的潜在致命风险降至可接受的最低水平。