ISO 26262 ASIL 评级：为什么 D 只有 S3+E4+C3 这一个组合
先说结论
- ISO 26262-3 Table 4 一共 36 格，只有S3+E4+C3得出 ASIL D。
- S3+E4+C2、S3+E3+C3、S2+E4+C3都只比 D 差一格，但结果全是 C。
- S0、E0、C0 不在表里——这三个等级无需分配 ASIL。
- 三个最高档的锚点：S3（AIS 5–6 > 10%）、E4（场景时间 > 平均运行时间 10%）、C3（< 90% 驾驶员能避免伤害）。
- 唯一“出表”路径：6.4.3.11，若干 unlikely 场景组合使暴露低于 E1，可论证 QM。
- QM 不是最低 ASIL，也不等于没有安全后果。
- HARA 评估不含内部安全机制；外部措施（如 ESC）是例外。
- 有疑问保守取高，不许取平均，不因详细设计未定而推迟。
- ASIL 分解动的是安全需求，安全目标等级不变（9-5.4.8 c）。
1. 36 个格子，D 只出现一次
Table 4 的行是 S1–S3 各配 E1–E4，列是 C1–C3，3×4×3 = 36 格。6.4.3.10 要求按表给每个危害事件定 ASIL。
图 1 · 依据 ISO 26262-3:2018 Table 4
顺带说明：S0/E0/C0 不进表，因为这三个等级无需分配 ASIL（6.4.3.4 / 6.4.3.7 / 6.4.3.9）。
2. 三个“只差一格”的组合
| 组合 | 结果 |
|---|---|
| S3 + E4 + C3 | ASIL D |
| S3 + E4 + C2 | ASIL C |
| S3 + E3 + C3 | ASIL C |
| S2 + E4 + C3 | ASIL C |
图 2 · 依据 ISO 26262-3:2018 Table 4
在 E4/C3 这一列上，严重度每降一级，ASIL 跟着降一级：S3→D、S2→C、S1→B。表上没有“降半级”的格子，也不允许取相邻等级的平均值。
3. 三个最高档的锚点
- S3：Table B.1，AIS 5–6 概率 > 10%。S2 是 AIS 3–6，S1 是 AIS 1–6；阈值都是 10%，区别只在 AIS 起始级别。
- E4：Table B.2，场景时间 > 平均运行时间 10%。相邻等级差一个数量级（6.4.3.5 NOTE 1）。
- C3：Table B.6，< 90% 平均驾驶员能避免伤害。
图 3 · 依据 ISO 26262-3:2018 Table B.1 / B.2 / B.6
注意：S 和 E 看的是 10%，C 看的是 90%，这两组数最容易被记反。
4. 唯一能出表的路：6.4.3.11
若干不太可能的场景组合在一起，使暴露概率低于 E1，则对 S3、C3 的危害事件可论证为 QM。标准示例：高压系统误供电——碰撞后气囊展开 + 车辆部分浸水 + 高压部件部分裸露且未内部短路。
图 4 · 依据 ISO 26262-3:2018 6.4.3.11
QM 表示无需符合 ISO 26262，但既不是“最低的 ASIL”，也不等于没有安全后果。
5. 两条走不通的捷径
5.1 靠项目自己的安全机制降等级
6.4.1.2 要求 HARA 评估的是不含内部安全机制的项目。拟实现的、预开发项目中已实现的机制，都不能计入 HARA；它们属于功能安全概念那一侧。
图 5 · 依据 ISO 26262-3:2018 6.4.1.2
外部措施为例外，标准示例是 ESC——那是外部措施，不是项目自己的机制。
5.2 先模糊着，以后再定
6.4.3.1 NOTE：S、E、C 难以判定时保守分级，存在合理疑问就选更高的等级。等级之间不允许取平均值，也不能因为详细设计还没定就往后拖——HARA 基于的是功能行为。
图 6 · 依据 ISO 26262-3:2018 6.4.3.1
6. ASIL 定下来就一路往下传
- 6.4.4.1：每个评定过 ASIL 的危害事件确定安全目标。
- 6.4.4.2：相似安全目标合并时取最高的 ASIL。
- 7.4.2.2：每个安全目标至少导出一条功能安全需求。
- 9-5.4.8 c)：ASIL 分解动的是安全需求的 ASIL，安全目标等级不变；标注写成 ASIL B(D) 形式，括号内为安全目标原等级。
7. 检查清单
评 ASIL 之前，先过这几句：
- 是不是只有 S3+E4+C3 才能出 D？
- S3+E4+C2 / S3+E3+C3 / S2+E4+C3 是否被误写成 D？
- S0 / E0 / C0 是否被错误地放进 Table 4？
- S3/E4/C3 三档是否有依据（AIS 5–6 / 10% 运行时间 / 90% 驾驶员）？
- 是否有 6.4.3.11 的组合场景论证支撑 QM？
- 是否把内部安全机制计入了 HARA？
- 是否存在合理疑问却取了较低等级？
- ASIL 分解标注是否写成了安全目标等级？
说到底
ASIL D 难拿，不是因为门槛含糊，恰恰是因为它不含糊：三个参数全部顶格，36 个格子里只此一格。真正该争的不是“这格是不是 D”，而是每个参数那一档给得有没有依据。在它们吵出结论之前，表的输出是确定的。
