2. HARA基础概念
在功能安全工程中，HARA（Hazard Analysis and Risk Assessment，危害分析与风险评估）是安全生命周期的起点，也是决定后续安全目标、安全机制与验证策略的“源头活动”。如果HARA做得不充分，后续的ASIL等级、安全需求、测试覆盖都会建立在错误的前提上。本节从定义、目的、适用标准与关键术语四个维度，建立HARA的基础认知框架。
一、HARA的定义与本质
HARA是一种系统化的分析活动，用于识别由电子/电气系统功能异常所导致的危害，并评估这些危害可能造成的伤害风险。它的核心不是“找故障”，而是从“危害”出发，反向推导出系统必须达到的安全完整性要求。
在ISO 26262语境下，HARA的输出是每个危害事件对应的ASIL等级（Automotive Safety Integrity Level，汽车安全完整性等级）。ASIL由三个参数共同决定：严重度（Severity，S）、暴露率（Exposure，E）和可控性（Controllability，C）。这三个参数分别回答三个问题：伤害有多严重？场景出现有多频繁？驾驶员能否控制？
核心公式：ASIL = f(S, E, C)。其中S、E、C各自分为若干等级，通过标准中的查表规则确定最终ASIL等级，从QM（质量管理）到ASIL D逐级提高。
二、HARA的目的与工程价值
HARA的目的可以概括为四个层次：
- 识别危害：找出系统功能异常可能导致的整车级危害，如非预期加速、制动失效、转向锁死等。
- 评估风险：通过S/E/C参数量化风险，避免“凭感觉定安全等级”。
- 确定安全目标：为每个危害事件定义安全目标（Safety Goal），例如“防止非预期加速”。
- 分配ASIL：将安全目标分解到系统、硬件、软件层面，指导开发与验证。
从项目实战角度看，HARA还是跨系统协作的“共同语言”。整车、系统、软硬件、测试团队都围绕同一份HARA输出对齐安全需求，减少后期返工。
三、适用标准与法规背景
HARA并非ISO 26262独有，但ISO 26262是当前汽车电子功能安全最核心的参考标准。下表列出主要相关标准及其对HARA的要求侧重点：
| 标准/法规 | 适用范围 | 对HARA的要求侧重点 |
|---|---|---|
| ISO 26262 | 道路车辆电子/电气系统功能安全 | 定义S/E/C参数、ASIL等级、安全目标与功能安全概念 |
| ISO 21448 (SOTIF) | 预期功能安全 | 关注性能局限与可预见误用，与HARA互补 |
| IEC 61508 | 通用功能安全 | 提供基础方法论，汽车领域通过ISO 26262细化 |
| UN R155/R156 | 网络安全与软件更新 | 与HARA并行，关注威胁与更新风险 |
ISO 26262第3部分（概念阶段）明确要求：HARA必须在item定义之后、功能安全概念之前完成，且需记录危害事件、场景、S/E/C评分及ASIL等级。
四、关键术语解析
HARA涉及大量专业术语，理解这些术语是正确执行分析的前提。以下为最核心的术语清单：
- Item（分析对象）：被分析的系统或功能，如“自适应巡航控制系统”。
- Malfunction（功能异常）：系统未能按预期执行功能，如“制动请求未响应”。
- Hazard（危害）：功能异常可能导致的潜在伤害来源，如“车辆无法减速”。
- Hazardous Event（危害事件）：危害与具体驾驶场景的组合，如“高速公路上制动失效”。
- Severity（严重度）：伤害的严重程度，通常分为S0~S3。
- Exposure（暴露率）：危害事件发生的场景频率，分为E0~E4。
- Controllability（可控性）：驾驶员或其他人员避免伤害的能力，分为C0~C3。
- Safety Goal（安全目标）：针对危害事件的顶层安全要求，如“避免非预期制动”。
- ASIL（汽车安全完整性等级）：从QM到ASIL D，等级越高要求越严。
五、HARA执行流程与信号链示意
HARA的执行不是线性一次完成，而是“识别—评估—定级—验证”的迭代过程。下图以信号链视角展示从功能异常到安全目标的推导路径，帮助理解各环节的输入输出关系。
六、常见误区与复盘要点
误区一：把HARA当成FMEA。FMEA关注“失效模式”，HARA关注“危害事件”与整车风险。两者互补，但不可互相替代。
误区二：S/E/C评分凭经验拍脑袋。评分必须有场景数据、事故统计或专家共识支撑，否则ASIL等级不可信。
误区三：忽略场景组合。同一功能异常在不同场景下危害不同，必须逐一组合分析，不能只取最坏情况。
误区四：HARA一次完成不再更新。当系统功能、场景或法规变化时，HARA必须迭代更新。
复盘一个真实项目片段：某车型在HARA中将“非预期加速”评为ASIL D，但未区分低速泊车与高速巡航场景。后续评审发现，低速场景下驾驶员可控性更高，实际ASIL应为C。这说明场景细化与可控性论证是HARA质量的关键。
HARA 输出示例（简化）：
Hazardous Event: 高速巡航中非预期加速
S3（可能致命伤害）
E4（高速巡航频繁发生）
C2（驾驶员可部分控制但反应时间有限）
ASIL: D
Safety Goal: 防止非预期加速导致车辆失控