Glossar

ASIL

ASIL (Automotive Safety Integrity Level) ist die Sicherheitseinstufung nach ISO 26262, die einem Sicherheitsziel in vier Stufen von A bis D zugeordnet wird und festlegt, wie streng die Anforderungen an Entwicklung, Absicherung und Nachweis eines elektronischen Fahrzeugsystems ausfallen.

Einschätzung anfragen Zum Inhalt

Entwicklungsbüro eines Automobilzulieferers

ASIL steht für Automotive Safety Integrity Level. Die Einstufung entsteht in der Gefährdungsanalyse und Risikobewertung am Anfang eines Projekts und bestimmt danach fast alles: welche Methoden verpflichtend sind, wie tief abgesichert wird, wie unabhängig geprüft werden muss und welche Nachweise am Ende im Sicherheitsnachweis stehen.

Drei Größen ergeben die Stufe

Bewertet wird nicht das Bauteil, sondern eine Fehlfunktion in einer konkreten Fahrsituation. Drei Fragen werden dafür beantwortet:

Schwere. Welcher Personenschaden ist zu erwarten, wenn die Gefährdung eintritt?
Exposition. Wie häufig tritt die Situation im normalen Fahrbetrieb überhaupt auf?
Beherrschbarkeit. Kann der Fahrer oder ein anderer Verkehrsteilnehmer die Situation noch abfangen?

Jede Größe wird in Stufen bewertet, die Kombination führt über eine festgelegte Zuordnung zum Ergebnis: QM oder ASIL A bis D. Führt eine der drei Größen bereits zum niedrigsten Wert — kein Personenschaden, praktisch nie auftretend, im Allgemeinen beherrschbar —, entfällt eine Einstufung nach ISO 26262.

Dieselbe Fehlfunktion kann in zwei Situationen sehr unterschiedlich ausfallen. Ein ungewollter Lenkeingriff bei Schrittgeschwindigkeit ist etwas anderes als derselbe Eingriff bei Autobahntempo. Deshalb wird nicht die Funktion pauschal bewertet, sondern jede Situation einzeln — und maßgeblich ist die schärfste.

Was QM tatsächlich bedeutet

QM ist keine fünfte Sicherheitsstufe, sondern die Feststellung, dass aus dieser Gefährdung keine Anforderungen der ISO 26262 folgen. Die Funktion wird weiter nach den üblichen Regeln des Qualitätsmanagements entwickelt, geprüft und freigegeben.

In frühen Projektphasen wird QM regelmäßig als Entwarnung gelesen. Das ist der teuerste Denkfehler in diesem Themenfeld, weil er dazu führt, dass Rückverfolgbarkeit, Änderungslenkung und Testabdeckung ausgedünnt werden — und die Einstufung sich nach einer Änderung am Fahrzeugkonzept doch verschiebt.

Dekomposition verteilt die Last

Eine hohe Einstufung lässt sich aufteilen. Eine Sicherheitsanforderung mit ASIL D kann auf zwei Elemente verteilt werden, die jeweils niedriger eingestuft entwickelt werden — vorausgesetzt, die Elemente sind ausreichend unabhängig voneinander. Dafür ist nachzuweisen, dass ein Fehler im einen Element das andere nicht mitreißt: getrennte Versorgung, getrennte Speicherbereiche, getrennte Signalpfade, keine gemeinsame Ursache.

Genau dieser Nachweis ist der Aufwand, den viele Projekte unterschätzen. Dekomposition auf dem Papier ist schnell entschieden. Der Beleg der Unabhängigkeit ist eine eigene Analyse, und wenn sie scheitert, fällt die ursprüngliche Einstufung auf beide Elemente zurück.

Woran es in der Praxis scheitert

Der häufigste Streitpunkt ist die Herkunft der Einstufung. Sie stammt aus der Gefährdungsanalyse des Fahrzeugherstellers, der den Kontext kennt. Ein Zulieferer bekommt sie mit dem Lastenheft und kann sie meist nicht selbst herleiten — er kann aber prüfen, ob die mitgelieferten Annahmen zu seinem Produkt passen.

Der zweite Punkt betrifft Änderungen. Wird die Funktion erweitert, ein Fahrzeugsegment ergänzt oder eine Assistenzfunktion aufgesetzt, ist die Bewertung zu wiederholen. Eine Einstufung aus der Vorgängergeneration ungeprüft zu übernehmen, ist verbreitet und im Zweifelsfall schwer zu verteidigen.

Wie die Einstufung im Gesamtverfahren einzuordnen ist, beschreibt die Seite zu ISO 26262; die Grundfrage dahinter behandelt der Eintrag funktionale Sicherheit.

Häufige Fragen

Ist ASIL D immer besser als ASIL B?

Nein, es ist nicht besser, sondern aufwendiger. Die Einstufung ergibt sich aus dem Risiko, das die betrachtete Fehlfunktion tatsächlich erzeugt. Ein System höher einzustufen, als die Analyse hergibt, kostet Entwicklungszeit, Rechenleistung und Bauteilkosten, ohne dass ein Sicherheitsgewinn entsteht. Umgekehrt ist eine zu niedrige Einstufung ein Nachweisproblem, das erst spät auffällt.

Was heißt eine Angabe wie ASIL B(D)?

Das ist das Ergebnis einer Dekomposition. Eine Anforderung mit ASIL D wurde auf zwei ausreichend unabhängige Elemente verteilt, die jeweils nach ASIL B entwickelt werden. Die Klammer hält fest, aus welcher ursprünglichen Einstufung die Anforderung stammt. Sie verschwindet nicht, weil die Rückführbarkeit auf das ursprüngliche Sicherheitsziel erhalten bleiben muss.

Kann ein Bauteil ASIL D sein?

Streng genommen nicht. Die Einstufung gehört zum Sicherheitsziel und damit zur Fahrzeugfunktion, nicht zum einzelnen Bauteil. Wenn ein Hersteller ein Bauteil als ASIL-D-fähig bewirbt, meint er, dass es unter bestimmten dokumentierten Annahmen in einem entsprechend eingestuften Kontext eingesetzt werden kann. Diese Annahmen muss der Integrator prüfen, sonst ist die Angabe wertlos.