4. 危害分析与风险评估
危害分析与风险评估（HARA）是 ISO 26262 功能安全流程的起点，也是电驱系统安全确认与验证的“需求源头”。HARA 的核心任务不是消除危害，而是把整车层面的危险事件转化为可量化、可追溯的安全目标与 ASIL 等级，为后续安全机制设计、验证用例和确认测试提供依据。对电驱系统而言，HARA 必须覆盖高压动力、扭矩输出、能量回收、热管理与通信交互等特有场景。
一、HARA 的核心原理与执行流程
HARA 以“危害事件”为分析对象，通过三个维度参数评估风险：严重度 S（Severity）、暴露率 E（Exposure）、可控性 C（Controllability）。三者组合后查表得到 ASIL 等级（A/B/C/D，D 最高，QM 表示仅需质量管理）。其基本逻辑是：后果越严重、场景越常发生、驾驶员越难控制，安全等级越高。
标准流程通常包括以下步骤：
- 定义分析范围：明确电驱系统的功能边界、运行模式（驱动、能量回收、充电、驻车）及接口。
- 功能识别：列出电驱相关功能，如扭矩输出、转速控制、高压上下电、热管理、扭矩协调。
- 危害识别：对每个功能分析功能失效或非预期行为，形成危害事件。
- S/E/C 评估：对每个危害事件逐项打分，并给出评估理由。
- ASIL 定级：查表确定 ASIL，形成安全目标。
- 安全目标与安全状态：定义可验证的安全目标，如“避免非预期扭矩输出”。
关键原则：HARA 评估的是“危害事件”而非“故障本身”。同一故障在不同场景下可能对应不同 ASIL，因此必须绑定运行场景与驾驶工况。
二、S/E/C 参数评估要点
S、E、C 的取值必须基于真实工程证据，而非主观感觉。电驱系统常见评估要点如下：
| 参数 | 含义 | 电驱典型取值示例 | 评估依据 |
|---|---|---|---|
| S（严重度） | 危害对人员伤害的程度 | S3：高速非预期扭矩导致失控碰撞 | 伤害类型、车速、碰撞能量 |
| E（暴露率） | 运行场景发生的概率 | E4：城市道路频繁起步与能量回收 | 行驶工况统计、场景持续时间 |
| C（可控性） | 驾驶员或其他人员避免伤害的难易 | C3：扭矩突变且无预警，难以纠正 | 反应时间、车辆动力学、报警提示 |
评估时需注意：E 关注的是“场景暴露”，不是故障发生概率；C 关注的是“人能否控制”，不是系统能否检测。二者常被混淆，是 HARA 评审中的高频问题。
三、ASIL 定级与电驱典型危害事件
ASIL 由 S、E、C 组合查表确定。例如 S3 + E4 + C3 通常对应 ASIL D；S2 + E3 + C2 可能对应 ASIL B。定级结果直接决定后续开发流程的严格程度、验证覆盖率和确认测试深度。
电驱系统典型危害事件包括：
- 非预期扭矩输出：车辆意外加速或窜动，常见于扭矩请求解析错误、旋变信号异常。
- 扭矩丢失：行驶中动力中断，可能由逆变器关断、通信丢失引起。
- 非预期能量回收：松油门后产生过强制动，导致后车追尾或低附路面失稳。
- 高压触电风险：碰撞或绝缘失效后高压未及时断开。
- 热失控与过热降额：冷却失效导致功率器件过热，可能引发起火。
- 驻车扭矩异常：驻车状态下电机输出扭矩，造成车辆移动。
以“非预期扭矩输出”为例，其安全目标可定义为：在驱动模式下，应避免电机输出超过驾驶员请求的扭矩，安全状态为主动短路或扭矩归零，ASIL 通常为 D。对应的验证需覆盖扭矩监控、信号冗余、执行器关断路径等。
四、案例与常见误区复盘
某电驱项目在 HARA 评审中发现，团队最初将“旋变信号丢失”直接定为 ASIL D，但未区分场景：在低速泊车时，扭矩丢失的严重度较低，可控性较高，实际可能为 ASIL B；而在高速超车时，非预期扭矩输出则可能达到 ASIL D。这说明 HARA 必须按场景拆分，不能“一故障一等级”。
常见误区：① 用故障概率代替 E 值；② 忽略能量回收与驻车等非驱动模式；③ 安全目标写成“避免故障”而非“避免危害事件”；④ 未记录 S/E/C 评分理由，导致评审无法追溯。
建议在 HARA 输出中保留完整的评估记录，包括场景描述、参数取值、评分理由、安全目标与 ASIL。该记录将直接作为安全需求、验证用例和确认测试的输入，是电驱功能安全确认与验证工程中不可省略的追溯链条。