ASIL (Automotive Safety Integrity Level)
ASIL (Automotive Safety Integrity Level) ist die Risikoeinstufung der ISO 26262 für sicherheitsrelevante elektrische und elektronische Systeme im Fahrzeug. Die vier Stufen ASIL A (niedrigste) bis ASIL D (höchste) legen fest, wie streng die Anforderungen an Entwicklung, Nachweisführung und Tests einer Fahrzeugfunktion sind. Funktionen ohne Sicherheitsrelevanz erhalten die Einstufung QM (Quality Management).
Wie wird der ASIL bestimmt?
Der ASIL wird in der Konzeptphase über die Gefährdungsanalyse und Risikobewertung (HARA) nach ISO 26262-3 ermittelt. Jede identifizierte Gefährdung wird anhand von drei Parametern bewertet:
| Parameter | Bedeutung | Stufen |
|---|---|---|
| S — Severity | Schwere der möglichen Verletzungen | S0 (keine) bis S3 (lebensbedrohlich/tödlich) |
| E — Exposure | Wahrscheinlichkeit der Fahrsituation | E0 (unvorstellbar) bis E4 (hohe Wahrscheinlichkeit) |
| C — Controllability | Beherrschbarkeit durch Fahrer oder andere | C0 (allgemein beherrschbar) bis C3 (schwer beherrschbar) |
Die Kombination der drei Werte ergibt die Einstufung: Erst die höchste Kombination (S3, E4, C3) führt zu ASIL D. Niedrigere Kombinationen führen zu ASIL C, B, A — oder zu QM, wenn kein unzumutbares Risiko besteht.
Was bedeuten die Stufen praktisch?
Je höher der ASIL, desto strenger die Vorgaben der ISO 26262 — etwa an Anforderungs-Nachverfolgbarkeit, Architekturmetriken, Testabdeckung und die Unabhängigkeit der Prüfinstanzen:
- QM: keine zusätzlichen Sicherheitsmaßnahmen über das normale Qualitätsmanagement hinaus — z.B. Komfortfunktionen wie Sitzheizung.
- ASIL A/B: moderate Anforderungen — z.B. Rückfahrkamera oder elektrische Fensterheber mit Einklemmschutz.
- ASIL C: erhöhte Anforderungen — z.B. Teilfunktionen des Antriebsstrangs.
- ASIL D: maximale Anforderungen an Nachweisführung, Redundanz und Testtiefe — z.B. Bremssystem, Lenkung, Airbag-Auslösung.
ASIL-Dekomposition
Die ISO 26262-9 erlaubt es, eine Sicherheitsanforderung mit hohem ASIL auf mehrere redundante, ausreichend unabhängige Elemente mit niedrigerem ASIL zu verteilen — etwa ASIL D in zweimal ASIL B(D). Die Notation in Klammern hält fest, von welcher Ursprungsstufe die Anforderung abstammt. Dekomposition reduziert den Aufwand pro Element erheblich, verlangt aber einen belastbaren Nachweis der Unabhängigkeit (Freedom from Interference) — in der Praxis eine der häufigsten Fehlerquellen in Safety-Audits.
ASIL in der Praxis: Nachverfolgbarkeit ist die halbe Miete
Die ASIL-Einstufung selbst ist nur der Anfang: Auditoren wollen lückenlos nachvollziehen können, wie jede Sicherheitsanforderung von der HARA über die Architektur bis in Implementierung und Test umgesetzt wurde — pro ASIL-Stufe mit unterschiedlicher Strenge. Genau diese durchgängige Traceability über Werkzeuggrenzen hinweg ist erfahrungsgemäß die größte praktische Hürde in ISO-26262-Projekten.