直接回答：ISO26262 ASIL等级是什么？

ASIL（Automotive Safety Integrity Level，汽车安全完整性等级）是ISO26262里量化系统/功能安全风险等级的核心概念。它分QM、A、B、C、D五个等级，由严重度S、暴露率E、可控性C三个维度评估后确定，等级越高，安全要求越严苛，ASIL D为最高。

核心逻辑：为什么需要ASIL？

汽车功能千千万，不可能都按最高标准做（那样成本爆炸）。ASIL的作用是用统一方法给每个安全功能“评级”，让安全要求与风险成正比——风险大的严管，风险小的轻管。

ASIL由哪三个参数决定？

定级靠一张矩阵表（ISO 26262-3:2018 附录B），输入三个参数：

• 严重度 S（S0–S3）：故障造成伤害的严重程度，S3为危及生命/致命；
• 暴露率 E（E0–E4）：故障场景发生的概率，E4为高概率；
• 可控性 C（C0–C3）：驾驶员/人员避免伤害的能力，C3为难以控制。

ASIL定级矩阵（速查）

三参数组合通过标准查表得到QM或ASIL A–D。典型组合示例：S3+E4+C3 → ASIL D；S1+E3+C3 → ASIL A；任一维度为最低档且组合低于A阈值 → QM（无安全要求）。

各级别典型场景

等级越高，应用越关键：

• ASIL A：低风险，如部分舒适性电子；
• ASIL B：中等风险，如车身电子、部分底盘；
• ASIL C：高风险，如部分制动/转向子功能、自适应巡航；
• ASIL D：最高风险，如线控制动、线控转向、安全气囊、整车控制器；
• QM：无安全要求的功能，按常规质量管理（如IATF16949）开发即可。

一个定级实例：电动助力转向EPS

以EPS为例，若“转向助力失效”被判定为S3（致命）+E4（城市高频）+C3（难以控制），查表即 ASIL D；若仅“转向柱记忆位置丢失”，则多为QM。同一系统里不同功能定级可以完全不同。

ASIL D为什么最贵最难？

ASIL D要求硬件SPFM≥99%、LFM≥90%、PMHF≤10⁻⁸/h（依据 ISO 26262-5:2018），并需严格的软件过程与独立验证，开发成本与周期成倍于低等级。

进阶：ASIL分解

标准Part 9允许将高ASIL要求分解到具备足够技术独立性的冗余要素上（如ASIL D拆成两个ASIL B(C)），用冗余换成本与复杂度优化，是工程常用技巧。前提是要素间独立、不共因失效。

常见定级错误

新手最常犯三类错——①凭感觉拍等级而非走HARA；②为“显得安全”故意抬高等级，反而拖垮成本；③忽略“同一系统多等级”，对低风险功能过度设计。定级必须可追溯、可解释。

ASIL与功能安全目标的对应

每个ASIL等级都绑定一个或多个“安全目标”（如“避免非预期转向”），等级越高，对该目标的安全机制（冗余、诊断、监控）要求越严。理解“等级→目标→机制”的链条，才不会把ASIL当成孤立的字母标签。

常见问题（FAQ）

问：ASIL是给整个产品定级，还是给功能定级？ 答：给“安全功能/安全目标”定级，而非整个系统。一个系统里可能同时含A、B、C、D不同等级的功能。

问：QM是不用管安全吗？ 答：QM表示该项无功能安全要求，按常规质量管理开发即可，但并非可以粗制滥造，仍须正常工程实践。

问：ASIL定级能后期改吗？ 答：可以，但需重新走HARA并更新证据链，变更须留痕，可能影响已开展的设计。

问：电动车BMS一般定到哪级？ 答：电池管理系统关乎热失控等安全风险，常见中高等级（多为C/D区间），具体以HARA结论为准。

问：ASIL和SIL（IEC 61508）是一回事吗？ 答：SIL是工业通用功能安全的等级，ASIL是ISO26262专为汽车定义的对应概念，二者同源但适用域不同。

问：ASIL分解会降低安全性吗？ 答：不会。分解前提是要素间具备足够技术独立性（冗余），整体安全目标不降级，是合规的优化手段。