在汽車功能安全領域里，你可能經常會聽到ASIL這個定義，很多人以為ASIL等級越高，就代表這個系統越安全，其實這是一個理解誤區，今天我們就來聊聊到底什么是ASIL等級，其實它代表的是風險等級，這是不是有點顛覆了你的認知呢。
ASIL 的全稱是Automotive Safety Integration level, 翻譯過來就是汽車安全完整性等級。ASIL分為 A、B、C、D 四個等級，A 是最低，D 是最高。但它可不是簡單的 "安全排行榜"，而是通過嚴重度 S、暴露度 E、可控性 C 三個維度，給汽車系統的潛在危害打分，用以評估這個危害的風險程度。
其中，嚴重度就是指這個危害事件所造成的傷害或損失的程度，它分為S0,S1,S2,S3四個等級，S0代表沒有傷害，S3代表傷害最嚴重。
暴露度就是指這個危害事件發生的可能性，它分為E0,E1,E2,E3,E4五個等級，E0代表可能性最低，幾乎不可能發生，E4代表發生的可能性最高。
可控性是指危害發生時駕駛員或其他人員可能對它的挽救難度，它分為C0,C1,C2,C3四個等級，C0代表可控性最高，通過人為操作完全可以挽救危害事件的發生，C3代表可控性最低，危害發生時，難以進行控制和挽救。
對于汽車系統中的某一個危害事件，通過評估它的嚴重度S、暴露度E和可控性C就可以通過查表確定它對應的ASIL等級了。其中QM代表沒有安全風險。
因為ASIL代表的是風險等級，風險等級越高的系統，就需要做出更多的安全防護措施來降低風險，避免危害事件的發生，所以這可能是很多人誤認為ASIL等級越高越安全的原因。實際ASIL等級高并不是說它更安全，而是說明它需要實現更多的安全措施才能將風險控制在可接受的水平。
此外，說到ASIL等級，你會發現它常常和安全目標綁定在一起，這又是怎么回事呢？因為為了避免一個危害事件的發生，就需要制定相應的安全目標，所以針對這個危害所制定的安全目標會繼承這個ASIL，用來表征這個安全目標所對應的風險。因此，ASIL是用來定義危害或者安全目標的一個屬性，而不是一個系統、一個零部件的屬性。如果有人和你說，某個系統是ASILD的，這種說法其實是錯誤的，既不嚴謹，也不科學。但是現實中，大家卻經常這么說，遇到這種情況，你可以粗略理解為在這個系統可能產生的危害中，最高風險等級是ASILD，除此之外，系統中也可能還包含ASILA，ASILB或ASILC的危害。
下面我們舉一個例子，以自動緊急制動系統AEB為例，帶你具象化理解一下如何定義ASIL等級。假設車輛在高速上行駛，經過對自動緊急制動系統開展危害分析，其中有一個危害是系統產生非預期制動，也就是誤制動，這種情況下，可能導致后方車輛來不及剎車，與本車發生碰撞，對人員造成嚴重傷害，所以嚴重度可以定義為S3；如果后方車輛保持正常的安全距離，碰撞事故就不會發生，所以危害可能發生的場景是后方車輛跟隨超車的情況，這種場景發生的可能性相對較低，所以暴露度定義為E2；一旦發生誤制動，在高速行駛且車距較近的狀態下，前車突然發生制動，后車駕駛員很難或幾乎不能控制車輛避免碰撞事故，所以可控性定義為C3，經過查表可知，非預期制動危害的嚴重度S3、暴露度E2、可控制C3所對應的風險等級為ASILB，其對應的安全目標為自動緊急制動系統應避免非預期制動，所以這是一個ASILB的安全目標。
危害 | 自動緊急制動系統AEB產生非預期制動 |
嚴重度S | S3 |
暴露度E | E2 |
可控性C | C3 |
安全目標 | 自動緊急制動系統AEB應避免非預期制動 |
ASIL | ASILB |
經過以上的講解和示例，相信你現在能夠明白啦，ASIL 不是說 "這個系統絕對安全"，而是告訴我們 "這個風險有多高，需要投入多少精力去應對"。就像醫生看病，感冒流鼻涕開點藥可能就行了，要是心臟有問題就得全力以赴去治療。同樣，通過ASIL的定義和劃分，明確不同系統的風險差異，車企可以把安全資源精準分配到最需要的地方，比如剎車、轉向這些關鍵系統，以此達到更高的 ASIL 等級。
下次看到ASIL 等級，別再糾結誰高誰低啦，它其實是在告訴你："這個系統的風險我們評估過，并且需要實現相應的安全措施。" 關注 ASIL，不是追求數字高低，而是衡量風險的大小，以及評估對安全的投入程度。畢竟，真正的安全，藏在每個風險評估的細節里。
文案：吳丹丹
視頻：Luki
附：吳丹丹著的《智能汽車軟件功能安全》
