1. 课程导入
欢迎进入《HARA跨系统项目实战工程》。在真实的整车与复杂电子电气系统开发中，危害分析与风险评估（HARA）从来不是一张孤立的表格，而是一条贯穿系统边界、功能定义、整车集成、供应商协同与安全论证的主线。本课程的目标，是帮助你把 ISO 26262 中关于 HARA 的方法论，转化为可以在跨系统项目中落地执行、可评审、可追溯、可复用的工程能力。
本课程的核心命题：当 HARA 的对象从单一 ECU 扩展到跨域、跨系统、跨组织的项目时，如何保证危害识别不遗漏、风险评估一致、ASIL 分配可辩护、安全目标可传递？
一、学习目标：从“会填表”到“能主导跨系统 HARA”
很多工程师第一次接触 HARA 时，关注的是“这张表怎么填”。但跨系统项目的难点不在表格格式，而在于：系统边界如何切分、功能抽象到什么层级、整车级危害如何分解到子系统、不同供应商的评估尺度如何统一。因此，本课程设定四个递进的学习目标。
- 目标一：建立跨系统 HARA 的全局视角。理解 HARA 在安全生命周期中的位置，明确它与 FSC、TSC、安全分析、验证确认之间的关系。
- 目标二：掌握可操作的 HARA 方法链。从相关项定义、功能与场景分析、危害识别、S/E/C 参数评估，到 ASIL 定级与安全目标输出，形成完整闭环。
- 目标三：具备跨系统协同与争议处理能力。能够处理边界模糊、ASIL 降级争议、供应商评估差异、多系统耦合危害等典型工程问题。
- 目标四：形成可交付、可评审、可追溯的工程产物。包括 HARA 报告、危害清单、安全目标、追溯矩阵与评审检查单。
二、核心价值：为什么跨系统 HARA 是安全工程的“第一道闸门”
HARA 决定了后续所有安全活动的强度与方向。如果 HARA 阶段漏掉一个整车级危害，后面再严谨的 FMEA、再完整的测试，都无法弥补这个缺口。跨系统项目的价值尤其体现在三个方面。
第一，它是成本与周期的杠杆点。在 HARA 阶段发现的问题，修改成本最低；一旦进入系统开发甚至样车阶段，ASIL 等级变化可能引发架构重构、芯片选型变更和供应商重新谈判。
第二，它是跨组织协同的共同语言。整车厂、Tier 1、Tier 2 对同一功能的边界理解往往不同。HARA 输出的危害、场景、安全目标，是各方对齐责任与接口的基准文件。
第三，它是安全论证的起点。没有可追溯的 HARA，就无法证明“安全目标覆盖了所有合理可预见的危害”，安全案例也就失去了根基。
三、整体知识框架：五层结构，一条主线
本课程的知识框架可以概括为“五层结构、一条主线”。主线是：相关项定义 → 危害识别 → 风险评估 → ASIL 定级 → 安全目标与追溯。五层结构则从输入、方法、协同、工具到复盘逐层展开。
| 层级 | 核心内容 | 关键产物 |
|---|---|---|
| 输入层 | 相关项定义、系统边界、功能清单、运行场景 | Item Definition、边界图 |
| 方法层 | 危害识别、S/E/C 评估、ASIL 定级、安全目标 | HARA 报告、危害清单 |
| 协同层 | 跨系统接口、供应商分工、评审与争议处理 | 接口安全需求、评审记录 |
| 工具层 | HARA 模板、追溯矩阵、检查单、数据管理 | 模板库、追溯矩阵 |
| 复盘层 | 典型误区、变更影响分析、经验沉淀 | 复盘报告、经验库 |
需要特别强调的是，这五层不是线性瀑布，而是迭代关系。当系统边界调整、功能新增或法规更新时，HARA 必须回到输入层重新审视。
四、实战路线图：从单系统到跨系统的四阶段推进
为了让学习路径清晰，本课程把实战路线划分为四个阶段，每个阶段都有明确的输入、活动和输出。
- 阶段一：单系统 HARA 打基础。选择一个边界清晰的系统，完整走通相关项定义到安全目标输出的流程，建立方法肌肉记忆。
- 阶段二：跨系统危害识别。引入两个以上系统的交互场景，重点训练耦合危害、级联失效和接口失效的识别能力。
- 阶段三：ASIL 一致性与争议处理。面对不同团队、不同供应商的评估差异，练习用证据和场景论证达成一致。
- 阶段四：追溯与安全论证。把 HARA 输出与 FSC、TSC、测试用例打通，形成可评审的安全论证链。
学习建议：每学完一个方法模块，立即用你当前项目中的一个真实系统做一次小范围演练。HARA 是实践性极强的技能，只看不练，很难形成判断力。
五、典型场景：一个跨系统 HARA 的缩影
假设一个整车项目涉及自适应巡航、电子稳定控制和动力扭矩管理三个系统。单看每个系统，危害分析可能都不复杂；但当一个系统请求减速、另一个系统正在干预扭矩、第三个系统处于故障降级状态时，整车级危害就可能出现。此时 HARA 必须回答：这个危害属于哪个相关项？S/E/C 如何评估？ASIL 如何分配？安全目标由谁承接？
场景示例：ACC 请求减速 + ESC 介入 + 扭矩管理降级
危害候选：整车非预期减速或减速不足
评估维度：S3（可能造成严重伤害）
E4（高速巡航场景高频暴露）
C3（多系统耦合，可控性低）
ASIL 结果：D
安全目标：避免多系统协同下产生非预期纵向控制冲突这个例子说明，跨系统 HARA 的关键不是把表格填得更长，而是把系统之间的交互关系看清楚。
六、常见误区与复盘要点
在课程开始前，先建立对误区的警觉，能显著提升后续学习效果。
- 误区一：把 HARA 当成一次性文档任务。实际上它是随系统演进而持续更新的活文件。
- 误区二：只关注单点故障，忽略系统交互。跨系统项目中最危险的往往是耦合危害。
- 误区三：ASIL 定级凭经验拍脑袋。缺少场景和证据支撑的定级，在评审中很难站住脚。
- 误区四：安全目标写得过于抽象。无法向下分解为可验证的系统需求。
- 误区五：忽视追溯。危害、安全目标、系统需求、测试用例之间断链，安全论证就会失效。
复盘提醒：每次 HARA 评审后，建议记录三类信息——被否决的危害及原因、ASIL 争议的解决依据、边界调整的触发条件。这些记录是团队能力沉淀的核心资产。
七、本节知识框架总览
下面的图示把本节的学习目标、核心价值、知识框架与实战路线整合为一张关系图，帮助你在进入后续章节前建立整体认知地图。