ASIL等级的确定基于三个主要因素S（Severity，严重性）、E（Exposure，暴露概率）、C（Controllability，可控性） 评估风险参数，再分配相应失效下的ASIL等级。

        ● 严重性（Severity, S）：衡量故障可能导致的伤害或损伤的严重程度。

        ● 暴露率（Exposure, E）：衡量人员在特定操作条件下暴露于危险中的可能性。

        ● 可控性（Controllability, C）：衡量驾驶员或其他涉险人员避免事故或伤害的可能性。

图1 ASIL等级确定流程

        其实ASIL等级的确定方法HARA与FMEA中前几个步骤很相似，两者均属于安全分析方法，我理解它们可以在系统安全工程中相互补充，二者分别通过风险量化和失效分析的方式协同工作，共同支撑产品的安全设计。ASIL 的确定弥补了FMEA在侧重单一失效模式、缺乏系统性风险评估方面的不足，同样ASIL等级的确定可以系统性地量化风险，确保高风险场景被优先处理。

        针对两者交集部分，例如，S严重度或严重性的确定，可以充分考虑双方对失效模式的分析方法，同时分别关注安全合规性与其他法规符合性要求；又例如，在暴露概率E与发生概率O的评估中，需明确其评分准则的对应关系等。

        ● 通过ASIL确定FMEA范围，在项目初期进行ASIL等级确定后，针对高等级的ASIL，如C、D，需要开展更深入的FMEA，如硬件FMEA、软件FMEA等；

        ● 针对新版FMEA，可以结合ASIL中S/E/C的评估准则，参考补充FMEA中的S/O/D评分说明；

        ● FMEA中输出的纠正措施需要与相应的ASIL等级要求一致，例如ASIL D需要故障注入测试，在FMEA的纠正措施中就不能只有简单的测试措施；

        ●ASIL等级适当地修订AP值，针对新版FMEA，虽然AP的评分已经比老版更加注重了高风险项的处理，但是针对自动驾驶感知系统的某些功能失效，例如未识别前方行人，在FMEA中需要确保该失效是高优先级；

        ●FMEA是ASIL的具体实践类工具，可以在FMEA中适当增加安全目标、ASIL等级、诊断覆盖率等信息，提供具体的实施方案。

        ASIL等级反映产品安全底线要求，与产品实际安全水平无必然关联。高等级ASIL表明产品可能会带来比较高的安全风险，需在全生命周期内实施更严格的开发流程和管理规范，需要按照标准满足更为严苛的技术和管理要求。

功能安全入门系列课程（799元）：