4. HARA入门

做功能安全分析，第一步不是看电路图，而是搞清楚一件事：这辆车在什么情况下会出问题？

我个人习惯，拿到一个新项目，先拉一张清单，把车辆所有可能的状态列出来。你想想看，一辆电动车，它可能在高速上跑，也可能在充电桩上插着，还可能停在车库里安安静静。这三种场景下，电驱系统的风险完全不一样。

4.1 车辆运行场景：驾驶、充电、驻车

我们把场景分成三大类。这不是我瞎编的，ISO 26262 里也强调要基于场景做危害分析。

场景	典型状态	电驱系统状态	风险特征
驾驶	行驶、加速、减速、滑行	电机输出扭矩，逆变器高频开关	非预期加速/减速，失去动力
充电	交流慢充、直流快充	电机静止，逆变器部分工作	高压触电，电池过充，热失控
驻车	停车熄火、长时间停放	高压下电，控制器休眠	意外上电，溜车，静态电流异常

这里有个坑，我踩过。有一次做危害分析，团队只考虑了「驾驶」场景，结果在充电场景下，一个继电器粘连导致高压回路无法断开。嗯，从那以后，我要求每个场景必须单独过一遍 HARA。

4.2 系统运行模式：上电、运行、故障、下电

场景是外部环境，模式是系统内部的状态机。我习惯把电驱系统的生命周期切成四个阶段。

4.2.1 上电模式

从低压上电到高压就绪。这个过程最怕什么？预充电失败。

我记得有一次，预充电回路里的限流电阻选型偏小，连续几次上电后直接烧断。结果就是高压继电器硬合，瞬间大电流把接触器触点焊死了。

• 预充电完成：母线电压达到电池电压的 90% 以上，主继电器才能闭合。
• 绝缘检测：上电过程中必须检测高压对地绝缘电阻，低于阈值直接报故障。
• 互锁检测：高压连接器没插到位，系统不允许上电。

4.2.2 运行模式

这是电驱系统正常干活的状态。电机转，逆变器工作，扭矩输出。

运行模式下，功能安全关注的核心是：扭矩监控。

• 实际扭矩 vs 需求扭矩：偏差超过阈值，必须降级或关断。
• 旋变信号有效性：旋变故障会导致位置丢失，扭矩输出失控。
• 母线电压波动：电压过高或过低，IGBT 可能损坏。

说白了，运行模式下的安全机制，就是一套「看门狗」—— 你正常干活我不打扰，你敢越界我就咬你。

4.2.3 故障模式

系统检测到异常，进入故障处理流程。这里有个设计原则：故障分级。

故障等级	典型故障	系统响应
一级	旋变信号丢失、过流	立即关断 PWM，切断高压
二级	温度过高、电压偏低	降功率运行，同时报警
三级	通信超时、传感器漂移	维持当前状态，请求驾驶员干预

我个人的经验是，故障模式里最容易忽略的是「故障恢复」。有些故障是瞬态的，比如通信偶发丢包，系统降级后，什么时候允许恢复？恢复条件是什么？这些必须在状态机里写清楚。

4.2.4 下电模式

从高压断开到低压休眠。下电不是简单地把继电器断开就完事了。

• 主动放电：母线电容上的高压电必须在规定时间内泄放到安全电压（通常 60V 以下）。
• 放电电阻监控：放电电阻开路，电容上的电放不掉，维修人员一碰就出事。
• 休眠唤醒：下电后，控制器进入低功耗模式，但必须能响应唤醒信号。

4.3 场景与模式的组合分析

把场景和模式组合起来，才是完整的分析框架。我画了一张图，帮你理清思路。

你看，同样的「上电模式」，在驾驶场景下，预充电失败可能只是报个故障；但在充电场景下，预充电失败可能导致继电器粘连，充电枪拔不下来，甚至引发高压电弧。

所以，做危害分析时，一定要把场景和模式组合起来看。我习惯用一张矩阵表，横轴是场景，纵轴是模式，每个交叉点写一个危害事件。这样，漏掉的可能性就小多了。