车载雷达做功能安全要满足哪个 ASIL 等级

摘要：ASIL 等级不是雷达自身的属性，而是由整车功能经危害分析导出的安全要求。雷达作为传感器通常按 ASIL B 开发，当参与 AEB 这类高后果功能时，系统层可能达到 ASIL D，需要配套安全机制与诊断覆盖率论证。本文面向做雷达功能安全开发的工程人员。

关键词：ISO 26262、ASIL、功能安全、车载雷达、AEB

一、ASIL 等级是怎么定出来的？

ASIL（汽车安全完整性等级）由三个因素共同决定：暴露度（S 场景出现的概率）、可控性（C 驾驶员或其他方避免伤害的可能）、严重度（E 后果的严重程度）。三者组合后导出 QM、A、B、C、D 五个等级。

关键在于等级是「功能」的属性而非「零件」的属性。同一个雷达用于盲区监测与用于自动紧急制动，导出的等级可能完全不同，因为后果严重度与暴露度不同。

二、雷达单独能定 ASIL 等级吗？

严格说不能。雷达作为传感器件，其安全要求来自上层功能分配的「安全需求」。业内常说的「雷达按 ASIL B 开发」指的是它作为安全相关元素，按能支撑系统 ASIL B 要求的流程与机制来开发。

这意味着供应商提供的安全手册（safety manual）必须写清：支持哪些系统等级、有哪些安全机制、使用时应遵守哪些假设条件（assumptions of use）。采购方据此做系统集成论证。

三、AEB 与 ACC 分别对应什么等级？

自动紧急制动（AEB）涉及高速下的主动制动，失控后果严重度高，系统层通常要求较高的 ASIL 等级；自适应巡航（ACC）以舒适性为主，但在失效时可能导致非预期加速，也需要安全论证。

需要强调：具体等级由整车厂基于自身功能定义与危害分析确定，不同车型、不同功能策略下结论可能不同，不存在一个通用答案。拿别的项目结论直接套用是常见错误。

等级需按具体功能定义与危害分析确定，本表仅为关注点示意。

四、雷达作为传感器通常按什么等级开发？

量产雷达传感器件常见按能支撑 ASIL B 的方式开发，即具备基本的自检、故障诊断与安全状态输出能力，能对内部失效（如电源异常、时钟失锁、通道故障）给出确定响应。

要达到更高等级，仅靠传感器内部机制往往不够，需要系统层引入异构冗余或合理性校验——这也是为什么高阶功能普遍采用多传感器融合，而不是单靠一颗雷达提升等级。

五、安全机制要在哪一层实现？

安全机制分三层：传感器内部（自检、诊断、安全状态）、系统层（交叉校验、合理性检查、冗余）、整车层（驾驶员接管、降级策略）。

雷达能提供的主要是第一层：把内部故障以确定性方式暴露出来，而不是静默输出错误数据。目标漏检这类「性能不足」通常不属于随机硬件失效，归入预期功能安全范畴，靠场景库与触发条件识别解决。

六、诊断覆盖率要怎么算？

诊断覆盖率指安全机制能检测到的失效占相关失效的比例，通常按失效模式分布加权计算。对雷达而言，相关失效模式包括射频链路失效、时钟失锁、供电异常、处理单元死机、通信错误等。

计算时要区分「能检测」与「能进入安全状态」：只报错而不进入确定状态，覆盖率论证是不完整的。安全手册应明确每个机制的检测能力与响应时间。

七、随机失效与系统性失效分别怎么应对？

随机硬件失效靠诊断机制与架构度量（单点故障度量、潜在故障度量）来约束，通常用量化指标证明。系统性失效则靠开发流程、评审、验证与确认来避免，无法靠运行时机制覆盖。

雷达开发中容易被低估的是系统性失效：需求误解、标定错误、场景覆盖不足都属于这一类，往往在量产后期才暴露。这也是流程合规与文档可追溯性被反复强调的原因。

八、验证与确认要覆盖什么？

验证回答「是否按需求实现」，包括单元测试、集成测试与故障注入测试；确认回答「是否解决了安全问题」，包括整车级的功能测试与场景覆盖。

对雷达而言，故障注入测试是关键一环：人为注入通道故障、通信错误、时钟异常，确认系统能按设计进入安全状态且响应时间满足要求。缺少这一项，安全论证通常无法通过评审。

结论： 1. 当雷达参与 AEB 等高后果功能时，不能只按传感器件等级论证，需在系统层做危害分析并补足异构校验，单传感器直接支撑高等级的做法风险偏高。 2. 当安全手册未写明假设使用条件时，不得直接采纳其等级声明，缺失假设条件会导致系统集成论证无法闭环。 3. 当只做故障检测而不定义安全状态时，诊断覆盖率论证不完整，未定义安全状态的机制不应计入覆盖率。

九、安全手册应该包含哪些内容？

一份可用的安全手册至少包含四部分：适用的系统等级与前提条件、已实现的安全机制清单、每种机制的诊断覆盖率与响应时间、以及使用假设（assumptions of use）。

使用假设是最容易被忽略却最关键的部分。它说明集成方必须做什么才能保证手册声明的等级成立，例如需要几帧确认、是否需要异构校验、以及允许的降级行为。缺少使用假设时，集成方无法完成系统层论证。

手册还应写明已知局限，尤其是那些不属于随机失效的性能边界，例如小 RCS 目标的检测能力。这些内容属于预期功能安全范畴，但把它们写进手册可以显著减少集成阶段的反复沟通。

相关阅读

• 76到79GHz车载雷达发射功率限值按哪个标准判 — 频段合规与功能安全是两条独立主线，需并行满足
• 车载雷达 EMC 测试按 CISPR 25 还是 ISO 11452 判 — 本文关注功能安全，那篇关注电磁兼容判定