车载雷达功能安全 ISO 26262 ASIL 等级怎么定
摘要：车载雷达功能安全按 ISO 26262 定 ASIL 等级，由严重度、暴露率与可控性推导，雷达失效模式、自检与冗余都要纳入，不能只标一个等级名词。
关键词：ISO 26262, ASIL, 功能安全, 车载雷达, 失效模式
一、ASIL 等级是怎么从风险推导出来的？
ASIL 不是厂家自封标签，而是按 ISO 26262 用严重度、暴露概率与可控性三要素推导。严重度看失效是否致命，暴露率看发生频率，可控性看驾驶员能否救回，三项相乘落到 A/B/C/D 与 QM。
二、雷达常见的失效模式有哪些？
雷达会面临天线失效、通道失配、目标漏检与误检、时间同步丢失等失效。每种对感知影响不同，有的让目标消失，有的制造虚警。功能安全分析要列全，才能正确评估对整车风险的贡献。
三、自检和监控为什么是 ASIL 前提？
高阶 ASIL 要求雷达能在线发现自身退化，如通道幅相漂移、温度越界、通信中断。没有自检，失效就静默发生、风险不可控。选型要看诊断覆盖率与故障响应时间，而非峰值参数。
四、冗余该怎么设计才有效？
冗余不是简单装两颗一样雷达，而是让任一单点失效后仍有可用感知。前向 4D 与角雷达互为备份、时间同步融合是常见拓扑，要定义切换与降级策略，否则冗余只是成本。
五、ASIL D 和 ASIL B 差在哪里？
差在可接受失效概率与所需诊断覆盖率，D 级远高于 B 级。并非所有功能都要 D，前向制动相关才需高等级，泊车辅助可低一些。按功能分配等级，避免全员 ASIL D 推高成本。
六、怎么判断标的 ASIL 是否可信？
看是否给出失效模式与影响分析、诊断覆盖率与认证机构证据，而非一句口号。没有可核查安全档案，等级名词没有意义，选型阶段应把它作为硬交付物。
七、时间同步失效算哪一级风险？
组网雷达若同步丢失，融合后目标跳变，对 L3 是高风险事件。同步监控应纳入安全机制，并按其对整车可控性的影响参与 ASIL 推导，不能当成纯通信问题。
八、怎样把 ASIL 落进验收？
把目标 ASIL、诊断覆盖率、故障响应时间与降级路径写进需求与验收卡，逐项核对证据。只标等级无档案的方案，在功能安全审核里会直接被否。
九、危害分析与风险评估怎么做才扎实？
扎实的安全档案从场景库出发：把目标市场的高速、城市、泊车工况逐一列出，对每个工况假设失效，按严重度、暴露率与可控性打分。打分要有依据，暴露率引用事故统计或里程数据，可控性参考驾驶员模型。切忌直接照搬同行结论，因为车型定位与运行域不同，同一功能的等级可能完全不同。评估结果要与整车安全目标对齐，形成从整车到雷达的分解链条，审核时才有说服力。
十、诊断覆盖率怎么算够？
诊断覆盖率不是越高越好，而是与目标等级匹配。计算时把雷达功能拆成探测、跟踪、输出三层，每层列出失效模式与对应诊断机制，按标准给出的方法估算覆盖率。常见误区是只统计硬件诊断而漏掉时间同步与输出合理性检查，导致实际覆盖低于宣称。覆盖率还要在量产硬件上验证，抽检注入典型故障，确认诊断真的能报出来。文档与实测一致，功能安全审核才能通过。
十一、安全状态与降级怎么定义？
安全状态指雷达失效后系统进入的确定状态，例如降级输出、标记置信度或请求接管。定义时要回答三个问题：哪些失效触发哪种安全状态、进入安全状态的时限多长、退出条件是什么。降级不能让下游感知断崖式失明，要有过渡策略。把安全状态写进接口协议，域控与规划层才能据此设计兜底。安全状态定义模糊是高级别项目评审中最常被退回的问题，值得在架构期多花时间。
十二、功能安全证据链怎么维护？
证据链覆盖需求、设计、实现、验证四个环节，每一环都要能追溯到上一环。维护的关键是变更管理：任何硬件改版、算法升级都要评估对安全分析的影响并更新档案。证据链不是一次性交付物，而是伴随产品全生命周期的活文档。建议指定专人负责，按版本归档，审核前做一次内部演练。证据链松散的供应商，即便参数再好，也应在一票否决之列。
十三、把本节方法落到项目里还要注意什么？
围绕「车载雷达功能安全 ISO 26262 ASIL 等级怎么定」这一主题，落地时建议把场景指标、器件规格、验收方法与供应链窗口四件事串成闭环：先用可量化的工况把需求钉死，再据此反推通道规模与接口定义，最后在真实整车场景里复测确认指标真正兑现。该方向的项目尤其要盯紧车规一致性与长期供货节奏，避免样机阶段表现好、量产后却漂移。把前述各节给出的判断方法沉淀为项目检查单，能显著降低跨车型复用时团队间的沟通成本，也便于把一次性的选型经验变成可继承的资产。另外，建议在项目早期就把跨部门的验收口径统一，避免后期因标准不一反复扯皮。若条件允许，把本页结论同步进车型需求清单，让射频、系统与采购在同一版本上对齐，减少后续反复确认的往返成本。
| 要素 | 含义 | 对雷达要求 |
|---|---|---|
| 严重度 | 失效后果 | 漏检/误检量化 |
| 暴露率 | 发生频率 | 按场景统计 |
| 可控性 | 驾驶员补救 | 降级策略 |
| 诊断覆盖 | 自检能力 | 通道/同步监控 |
取值一律写可验证区间；查不到就写「需按实际送检/实测确认」，禁编数字。
结论： 当目标为前向制动时取高 ASIL，泊车可降为 B。 当厂家只标等级无档案时不可信，需补证据。 当设计冗余时先定义切换与降级，否则无效。
相关阅读
常见问题
一、ASIL 等级是怎么从风险推导出来的？
ASIL 不是厂家自封标签，而是按 ISO 26262 用严重度、暴露概率与可控性三要素推导
二、雷达常见的失效模式有哪些？
雷达会面临天线失效、通道失配、目标漏检与误检、时间同步丢失等失效
三、自检和监控为什么是 ASIL 前提？
高阶 ASIL 要求雷达能在线发现自身退化，如通道幅相漂移、温度越界、通信中断
四、冗余该怎么设计才有效？
冗余不是简单装两颗一样雷达，而是让任一单点失效后仍有可用感知
五、ASIL D 和 ASIL B 差在哪里？
差在可接受失效概率与所需诊断覆盖率，D 级远高于 B 级
六、怎么判断标的 ASIL 是否可信？
看是否给出失效模式与影响分析、诊断覆盖率与认证机构证据，而非一句口号
七、时间同步失效算哪一级风险？
组网雷达若同步丢失，融合后目标跳变，对 L3 是高风险事件
八、怎样把 ASIL 落进验收？
把目标 ASIL、诊断覆盖率、故障响应时间与降级路径写进需求与验收卡，逐项核对证据
