4. 危害分析与风险评估 HARA 面试题
第 4 章 · 常规问答
危害分析与风险评估 HARA
场景识别 · 严重度/暴露度/可控性 · ASIL 定级 · 追问应对
HARA 是功能安全开发的起点，也是面试中区分“背概念”和“真做过”的分水岭。面试官会重点考察你对 S/E/C 参数的理解、ASIL 定级逻辑，以及面对追问时的工程判断力。以下 3 个问答卡片覆盖高频考点，配合回答框架图，帮你建立结构化应答思路。
请描述 HARA 中场景识别与危害事件的定义，并举例说明。
面试官考察点
是否理解“运行场景”与“危害事件”的区别；能否结合具体功能（如 AEB、EPS）举例；是否具备从整车层分解到系统层的能力。
回答框架
- 定义区分：运行场景 = 车辆状态 + 环境 + 驾驶员操作；危害事件 = 功能异常导致的潜在伤害。
- 举例：以 AEB 为例，运行场景“高速跟车”，危害事件“非预期制动导致后车追尾”。
- 关联：说明场景识别是 HARA 第一步，直接影响后续 S/E/C 评估。
简短示例回答
运行场景是车辆所处的具体工况，比如“高速公路 120km/h 跟车”；危害事件是该场景下功能异常造成的潜在伤害，比如 AEB 误触发导致后车追尾。我会先列出功能的所有运行场景，再逐一分析可能的危害事件，确保覆盖正常与故障状态。
可能追问
- 如何确保场景识别的完整性？—— 可提 HAZOP、场景库、专家评审。
- 危害事件和失效模式有什么区别？—— 危害事件关注整车伤害，失效模式关注部件。
避坑提醒
⚠️ 不要混淆“危害”与“故障”： 危害是伤害结果，故障是原因。面试中要明确区分，否则会被认为概念不清。
严重度（S）、暴露度（E）、可控性（C）如何评估？请结合实例说明 ASIL 定级过程。
面试官考察点
对 S/E/C 参数表的熟悉程度；能否根据具体场景合理取值；是否理解 ASIL 定级不是简单查表，而需要工程判断。
回答框架
- S 评估：按伤害程度分 S0~S3，如 S3 为致命伤。
- E 评估：按暴露概率分 E0~E4，如 E4 为高频率。
- C 评估：按可控性分 C0~C3，如 C3 为难以控制。
- ASIL 定级：查表得 QM/A/B/C/D，并说明工程修正（如增加诊断覆盖）。
简短示例回答
以 EPS 非预期助力为例：高速下助力反向可能导致车辆失控，严重度 S3；高速行驶暴露概率 E4；驾驶员难以在短时间内纠正，可控性 C3。查表得 ASIL D。实际项目中我们还会结合诊断覆盖率和安全机制，确认是否需降级或增加冗余。
可能追问
- 如果 S2、E4、C2，ASIL 是多少？—— 查表为 ASIL B，需确认是否满足安全目标。
- E 和 C 的取值边界如何确定？—— 参考 ISO 26262 表格，结合场景频率和驾驶员反应时间。
避坑提醒
⚠️ 避免“唯表格论”： 面试官更想听到你如何论证取值合理性，而不是只背出 ASIL 等级。
如果 ASIL 定级结果与预期不符，你会如何应对？请举例说明追问场景。
面试官考察点
面对质疑时的工程判断力；是否理解 ASIL 分解、安全目标与验证措施的关系；能否用数据或标准支撑结论。
回答框架
- 复核输入：检查场景、S/E/C 取值是否有误。
- 工程修正：考虑诊断覆盖率、安全机制，评估是否可降级。
- 沟通策略：用标准条款和项目数据说明，必要时组织评审。
简短示例回答
如果定级为 ASIL D 但团队认为过高，我会先复核 S/E/C 取值，比如暴露度是否真的达到 E4。若确认无误，则讨论是否可通过增加安全机制（如双核锁步）来降低对 ASIL 的依赖，但最终安全目标仍需满足。我会用 ISO 26262 表格和项目数据支撑结论。
可能追问
- ASIL 分解有哪些规则？—— 如 ASIL D 可分解为 ASIL B(D) + ASIL B(D) 等。
- 如何证明安全机制有效？—— 通过 FMEDA、故障注入测试等。
避坑提醒
⚠️ 不要直接说“改低等级”： ASIL 定级不能随意降低，必须基于标准和安全分析，否则会被认为不专业。
复习提示 HARA 面试的核心是“逻辑闭环”：场景 → 危害 → S/E/C → ASIL → 安全目标。每个环节都要能说出依据，并准备好应对追问。