GB-T 34590-2022 ASIL 等级评估与分解指南（官方编写组版）

GB/T34590-2022ASIL等级评估与分解指南（官方编写组版）【编写说明】本文依据GB/T34590-2022《道路车辆功能安全》全套标准编制释义，结合国标编写组统一技术口径、第三方认证审核规则及主机厂量产落地经验编写。旨在统一行业ASIL等级评估、风险定级、等级分解、等级继承的标准化执行规范，解决当前行业普遍存在的定级随意、分解误用、保守原则滥用、独立性判定模糊等共性问题。本指南可直接用于企业功能安全体系建设、项目定级评审、认证迎审、技术方案合规校核，为车载E/E系统、硬件、软件、芯片的安全等级管控提供唯一合规执行依据。ASIL（汽车安全完整性等级）是GB/T34590-2022功能安全体系的核心分级基准，所有硬件开发、软件开发、流程管控、测试验证、失效量化指标均围绕ASIL等级差异化落地。整套标准中，GB/T34590.3-2022规定ASIL等级风险评估与定级规则，GB/T34590.9-2022统一等级分解、分配与降级管控要求。相较于2017版，2022版国标进一步收紧了分解边界、明确了保守分级原则、细化了安全机制等级分配规则，彻底杜绝行业“随意降级、过度定级、无效分解”的不合规行为。一、核心概述与标准适用边界1.1核心定义（官方标准释义）1.ASIL等级评估：属于整车概念阶段顶层风险活动，通过危险分析与风险评估（HARA），基于车辆运行场景、危害后果、暴露概率、可控性，对整车安全相关项进行风险量化，判定A/B/C/D四个安全完整性等级，等级越高代表风险越高、安全管控要求越严苛。2.ASIL等级分解：针对同一安全目标，将高等级安全需求分配至多个具备充分独立性的软硬件要素，通过冗余安全架构实现风险分摊，合法降低单条链路的安全等级，是国标唯一认可的高等级系统轻量化落地方式。3.等级继承：未经过分解、复用的安全相关软硬件组件，直接继承所属系统、相关项的顶层ASIL等级，无自主降级权限。1.2适用与禁止场景适用范围：所有道路车辆（不含轻便摩托车）的安全相关E/E系统，涵盖动力、制动、转向、车身安全、自动驾驶感知/决策/执行、高压电控、车载安全芯片等所有涉及行车安全的软硬件产品。禁止适用场景：非安全相关车载部件、纯机械结构、车身外观件、娱乐影音等非功能安全系统，不参与ASIL等级评估与分解；人为驾驶失误、道路不可抗力等非系统失效风险，不纳入定级范围。1.3核心管控原则（编写组强制口径）1.保守分级原则：任意分级维度存在合理争议、无法精准判定时，必须采用更高等级定级，禁止主观降档放宽风险。2.不可随意降级原则：ASIL等级仅可通过标准合规分解实现降级，禁止以成本、工艺、开发难度为由直接降级。3.独立性前置原则：无充分软硬件独立性的冗余架构，不允许开展等级分解，分解无效且审核不予通过。4.安全机制优先高等级原则：分解后的安全监控、故障诊断、容错机制，必须分配更高或等同安全等级，不得低于主功能等级。二、ASIL等级评估全流程官方规范（HARA定级）国标明确规定，所有ASIL等级必须通过危险分析与风险评估（HARA）标准化流程输出，禁止经验定级、对标定级、默认定级。完整流程分为：相关项定义→运行场景识别→危害识别→危害事件构建→三参数评定→风险矩阵定级→安全目标生成。2.1三大核心评定参数（官方分级细则）ASIL等级由严重度S、暴露率E、可控性C三个独立参数共同决定，国标对各参数分级定义、判定边界、典型场景做出明确限定，为行业统一判定依据。2.1.1严重度S（Severity）：危害后果严重程度用于评定危害事件发生后，对车内乘员、行人、道路车辆人员的伤害严重等级，分为S0/S1/S2/S3四档，S3为最高风险等级。S0（无伤害）：系统失效仅导致功能异常，不会造成任何人员伤害，不判定ASIL等级，按非安全件管控。S1（轻微伤害）：失效仅导致轻微剐蹭、轻度不适，无重伤、致死风险，车辆可正常受控。S2（重度伤害）：失效易导致人员重伤，存在极低概率致死风险，车辆操控性明显下降。S3（致命伤害）：失效极易引发车辆失控、碰撞、侧翻，大概率导致人员重伤或死亡，是高等级系统核心定级依据。2.1.2暴露率E（Exposure）：危险场景出现概率用于评定车辆危险运行场景在日常行驶中的出现频率，分为E0/E1/E2/E3/E4五档，E4暴露概率最高。E0：几乎不会出现的极端场景，无需安全定级；E1：极低概率特殊场景；E2：低概率常规场景；E3：中高频行驶场景；E4：高频日常行驶场景（高速、城市道路常规工况）。2.1.3可控性C（Controllability）：驾驶员风险规避能力用于评定危害发生后，驾驶员通过人为操作规避事故、降低伤害的能力，分为C0/C1/C2/C3四档，C3可控性最差、风险最高。C0：完全可控，无风险；C1：简单操作即可规避危害；C2：需驾驶员快速精准操作才可规避；C3：驾驶员无法有效控制，危害不可避免。2.2官方标准定级矩阵（唯一合规判定依据）结合国标标准矩阵，公开权威ASIL等级判定规则，所有项目定级必须严格匹配下表，无自定义调整空间：严重度暴露率可控性C1可控性C2可控性C3S1E1/E2QMQMQME3QMQMAE4QMABS2E1/E2QMABE3ABCE4BCDS3E1/E2ABCE3BCDE4CDD补充释义：QM（质量管理）等级代表仅需遵循常规质量管理流程，无功能安全专项约束，不属于ASIL安全等级；S0、E0、C0场景统一判定为QM。2.3定级合规硬性要求（编写组审核红线）1.场景全覆盖要求：HARA分析必须覆盖车辆所有运行模式，包含正常行驶、启动、熄火、降级、休眠、测试、故障工况，遗漏场景导致的低定级一律无效。2.保守定级落地：多场景叠加风险时，以最高风险场景的定级结果作为最终ASIL等级，禁止取平均、取低值。3.危害事件唯一性：单一功能失效对应多条危害事件时，逐条独立定级，以最高等级作为相关项最终等级。4.文档溯源要求：所有S/E/C参数判定必须附详细判定理由、场景说明、风险依据，无依据定级视为不合规。三、ASIL等级分解官方合规规范（GB/T34590.9-2022）等级分解是高ASIL等级系统轻量化开发的唯一合法方式，2022版国标严格收紧分解条件，明确独立性为分解前置必要条件，无独立性的冗余设计不支持任何等级降级。本节为编写组统一分解执行口径，所有企业自定义分解规则均需以此为准。3.1分解核心前置条件（缺一不可）1.同源安全目标：待分解的所有软硬件单元，必须服务于同一个顶层安全目标、规避同一类危害风险。2.充分独立性：各冗余单元需实现硬件电气隔离、软件逻辑隔离、资源调度隔离、故障传播隔离，无共因失效、无级联失效风险。3.冗余容错架构：必须具备完整的故障探测、故障切换、安全降级机制，单一单元失效不会导致整体安全目标失效。4.可验证性：分解后的架构、独立性、容错逻辑均可通过测试、分析手段验证，无不可验证设计。3.2国标允许的四类合法分解模式结合标准条款与官方释义，仅以下四种分解模式合规，可用于项目落地与认证审核：模式一：双链路冗余分解（最常用）：顶层ASILD安全目标，通过两路完全独立的软硬件冗余链路实现，两路链路可同步降级为ASILB，配套的安全监控机制保留ASILD等级，为主流EPS、制动系统分解方案。模式二：功能与安全机制分离分解：主功能单元承担常规功能，安全监控、故障诊断、冗余校验单元承担安全防护，主功能可适度降级，安全机制必须保留高等级，符合“安全机制优先高等级”原则。模式三：多通道并联分解：三路及以上独立冗余通道分摊顶层风险，单通道等级可按风险占比合规降级，多用于自动驾驶多重感知系统。模式四：场景差异化分解：针对不同行驶场景风险差异，对场景化安全需求进行分级分解，仅高风险场景保留高等级，低风险场景合规降级。3.3分解强制性约束规则（官方红线）1.安全机制不降级规则：故障检测、故障隔离、安全状态切换、冗余校验等安全机制，禁止通过分解降级，等级必须高于或等于主功能单元。2.共因失效抑制规则：存在共因失效、共模故障的冗余架构，独立性不满足要求，禁止任何等级分解，此为审核高频否决点。3.分解幅度约束：高等级分解降级幅度有限，ASILD不可直接降级为QM，必须保留基础安全等级，杜绝过度降级。4.分解唯一性规则：同一安全目标的分解方案唯一，禁止多套分解规则混用，分解方案需固化入安全计划。3.4绝对禁止的违规分解场景1.仅做软件冗余、无硬件隔离，声称完成等级分解；2.为降低开发成本，无冗余架构、无安全机制，直接高等级转低等级；3.分解后安全监控单元等级低于主功能单元；4.存在共用电源、共用时钟、共用存储的共模架构，开展等级分解；5.非同源安全目标的跨功能、跨系统等级分解。四、ASIL等级继承、复用与裁剪官方规则4.1等级继承规则1.未参与分解的软硬件组件、底层驱动、基础电路、通用接口，直接全额继承所属系统顶层ASIL等级，无自主降级权限。2.分层开发架构中，上层高等级需求覆盖下层组件，下层组件必须匹配上层最高等级，禁止下层等级低于上层。3.整车级安全目标逐级传递至系统、硬件、软件、芯片，等级传递无衰减、无错配、无遗漏。4.2成熟器件等级复用规则针对车规成熟芯片、标准化元器件、通用模块，国标允许合规等级复用，但需满足：器件原厂提供完整功能安全手册、失效数据、认证报告；复用场景与原厂适配场景一致；复用后完成风险评估，无新增安全风险。禁止直接套用外部等级、无评估复用。4.3流程裁剪等级约束ASIL等级越高，流程裁剪权限越小：ASILC/D级禁止核心安全流程、验证项目、文档裁剪；ASILA/B级可适度裁剪非核心流程，但等级判定、失效量化、故障诊断等核心环节不可裁剪；QM等级可按常规质量流程管控。五、行业高频误区与官方权威纠错结合国标编写组审核经验，汇总行业最易出错的定级与分解误区，统一纠正，规避审核驳回风险：误区1：主观经验定级、对标竞品定级。官方纠错：所有ASIL等级必须基于HARA风险评估输出，无HARA分析的定级全部无效，竞品对标仅可作为参考，不可作为定级依据。误区2：保守原则无限滥用。官方纠错：保守原则仅适用于参数模糊场景，禁止无依据过度定级、抬高项目成本，定级必须贴合真实风险场景。误区3：双软件冗余即可实现等级分解。官方纠错：分解核心是软硬件全维度独立性，仅软件逻辑冗余、硬件共模共用，不满足分解条件，禁止降级。误区4：安全机制可同步降级。官方纠错：安全监控、故障诊断、容错降级机制是风险兜底核心，必须保持高等级，是标准强制条款，无例外场景。误区5：分解后可免除高等级量化指标。官方纠错：分解后的单元需严格匹配自身降级后的ASIL量化指标（SPFM/LFM/PMHF），不可沿用原高等级指标，也不可低于现有等级阈值。六、典型车载系统ASIL定级与分解实操案例6.1电动助力转向系统EPS风险定级：高速行驶转向失效（S3+E4+C3），顶层判定ASILD。合规分解方案：采用双路独立采样、双路电源、双控制芯片冗余架构，两路功能链路独立无共模故障，功能链路分解降级为ASILB；整车故障监控、转向失效容错机制保留ASILD等级，完全符合国标分解规则。6.2电池管理系统BMS风险定级：高压过充、过温、短路引发热失控（S3+E3+C2），顶层判定ASILC。合规分解方案：电池数据采集链路冗余分解为ASILA，高压安全保护、故障预警、断电保护机制保留ASILC，实现风险分摊与轻量化开发。6.3自动驾驶横向控制系统风险定级：高速车道保持失效、横向偏移碰撞（S3+E4+C2），顶层判定ASILD。合规分解方案：视觉感知、雷达感知多通道独立冗余，各感知通道降级为ASILB，决策控制与安全兜底机制保留ASILD，满足独立性与容错要求。七、合规落地审核必备文档清单依据国标编写组审核要求，ASIL定级与分解全流程必须具备完整文档追溯，缺一不可：1.相关项定义报告、车辆运行场景库、危害分析清单；2.HARA风险评估报告（含S/E/C参数判定依据、定级矩阵、风险汇总）；3.安全目标清单、顶层技术安全需求规范；4.ASIL等级分解方案、独立性分析报告、共因失效分析报告；5.分解后各单元等级分配清单、安全机制等级管控说明；6.等级变更、迭代评估记录与评审文件。八、