4. 危害分析与风险评估
危害分析与风险评估是功能安全生命周期的起点，也是决定后续安全完整性目标的核心环节。它的任务不是“证明系统安全”，而是系统性地识别危害、分析原因与后果、评估风险等级，并为安全目标（Safety Goal）与安全完整性等级（SIL/ASIL）的确定提供可追溯依据。本章围绕HAZOP、FMEA、FTA、风险矩阵与SIL/ASIL定级方法展开，并结合实战案例说明如何把分析结果落到工程参数上。
一、核心原理：从危害到安全目标的闭环
危害（Hazard）是可能导致伤害的潜在状态；风险（Risk）是危害发生概率与后果严重度的组合。功能安全的核心逻辑是：先识别危害，再分析其因果链，最后通过风险矩阵确定可接受风险与所需完整性等级。常用方法各有侧重：
- HAZOP：以引导词（如无、多、少、反向、早、晚）系统偏离设计意图，适合工艺与系统级危害识别。
- FMEA：自下而上分析部件失效模式、影响与检测措施，适合硬件与子系统级。
- FTA：自上而下从顶事件追溯最小割集，适合复杂逻辑与共因失效分析。
- 风险矩阵：将严重度、暴露率、可控性等参数映射为风险等级，是定级决策的量化工具。
关键原则：HAZOP负责“找危害”，FMEA/FTA负责“找原因”，风险矩阵负责“定等级”，SIL/ASIL负责“定目标”。四者不是替代关系，而是递进与互补关系。
二、方法流程：五步完成一次完整风险评估
- 定义范围与边界：明确系统功能、运行模式、环境条件与接口，形成分析边界图。
- 危害识别：用HAZOP引导词逐节点偏离，记录偏差、原因、后果与现有防护。
- 因果分析：对高后果危害用FTA展开顶事件，对硬件失效用FMEA补充失效模式与诊断覆盖率。
- 风险定级：用风险矩阵确定风险等级，再按IEC 61508或ISO 26262映射为SIL/ASIL。
- 安全目标与验证：输出安全目标、安全状态、FTTI与验证指标，形成可追溯矩阵。
下面用一张关系图展示从HAZOP到SIL/ASIL定级的完整数据流与决策路径：
三、风险矩阵与SIL/ASIL定级参数
风险矩阵通常由三个维度构成：严重度（S）、暴露率（E）与可控性（C）。IEC 61508将三者组合映射为SIL等级；ISO 26262则用严重度（S0~S3）、暴露率（E0~E4）与可控性（C0~C3）组合确定ASIL A~D。下表给出典型参数与定级示例：
| 参数 | 取值示例 | 含义 | 对定级的影响 |
|---|---|---|---|
| 严重度 S | S1 / S2 / S3 | 伤害程度：轻伤、重伤、致命 | S越高，SIL/ASIL越高 |
| 暴露率 E | E1 / E2 / E3 / E4 | 处于危险场景的频率 | E越高，风险越大 |
| 可控性 C | C1 / C2 / C3 | 驾驶员或系统避免伤害的可能性 | C越低，等级越高 |
| 诊断覆盖率 DC | 60% / 90% / 99% | 安全机制检测失效的能力 | DC越高，可达SIL越高 |
| FTTI | 100 ms / 20 ms | 故障容忍时间间隔 | FTTI越短，实时性要求越高 |
四、实战案例：电池管理系统过充危害分析
以电动汽车BMS过充保护为例。HAZOP分析发现“充电电流过多”偏差，后果为电芯热失控，严重度S3、暴露率E3、可控性C2，风险矩阵判定为不可接受。FTA以“电芯过充”为顶事件，最小割集包括：电压采样失效、比较器失效、继电器粘连、软件逻辑错误。FMEA进一步识别电压采样通道的失效模式，计算诊断覆盖率。最终定级为ASIL C，安全目标为“在过充发生前切断充电回路”，FTTI为200 ms。
安全目标 SG-01：防止电池过充导致热失控
ASIL 等级：C
安全状态：断开主继电器，停止充电
FTTI：200 ms
诊断覆盖率目标：≥ 90%
验证指标：单点故障度量 SPFM ≥ 97%，潜伏故障度量 LFM ≥ 80%实战提示：定级不是一次性的。当FMEA发现新的失效模式或FTA新增割集时，必须回到风险矩阵重新评估，确保安全目标与ASIL等级始终与最新分析结果一致。
五、常见误区与复盘
- 误区一：只做FMEA不做HAZOP。FMEA自下而上，容易漏掉系统级功能偏离与人为因素，HAZOP可弥补这一盲区。
- 误区二：风险矩阵参数拍脑袋。S/E/C必须有场景数据、事故统计或仿真支撑，否则定级结果不可追溯。
- 误区三：忽略共因失效。FTA中若未考虑共因失效，最小割集会被低估，导致SIL/ASIL定级偏低。
- 误区四：定级后不验证。安全目标必须落到SPFM、LFM、FTTI等可测量指标，并通过测试用例闭环验证。
复盘要点：危害分析不是文档交付物，而是贯穿设计、验证与运行的安全论证链条。每一次设计变更都应触发危害分析的增量更新，确保风险始终处于可接受范围。
综上，HAZOP、FMEA、FTA与风险矩阵构成了一套从识别到定级的完整方法链。掌握它们的分工与衔接，才能为后续安全需求分解、硬件/软件设计与验证提供可靠输入。