4. 危害分析与风险评估

危害分析与风险评估（HARA）是ISO 26262功能安全开发流程的起点，也是决定后续安全目标与ASIL等级的关键环节。对于BMS（电池管理系统）而言，HARA需要回答三个核心问题：什么可能出错（危害识别）、出错的后果有多严重（风险评价）、需要多高的安全完整性（ASIL分配）。本章围绕HAZOP、FMEA、FTA三种分析方法，结合BMS典型危害事件，给出可落地的分析路径与ASIL分配逻辑。

一、三种分析方法的定位与互补关系

HAZOP、FMEA、FTA并非互相替代，而是从不同维度切入同一系统的安全分析工具。理解它们的定位差异，是正确组合使用的前提。

  • HAZOP（危险与可操作性分析）：以“引导词+工艺参数”为驱动，系统性遍历设计意图的偏离。例如对“电池电压”施加引导词“过高”，得到“电池电压过高”这一偏离，再追溯原因与后果。适合在概念与系统设计早期发现功能层面的危害。
  • FMEA（失效模式与影响分析）：自下而上，从零部件或功能的失效模式出发，推导其对上层的影响。适合在硬件与软件详细设计阶段识别单点失效与共因失效。
  • FTA（故障树分析）：自上而下，从顶事件（如“过充未被切断”）出发，用逻辑门逐层分解至底事件。适合对高ASIL安全目标进行定量与定性验证，确认安全机制是否充分。
实践建议：HAZOP用于“找全危害”，FMEA用于“找全失效”，FTA用于“验证安全目标是否被充分分解”。三者输出应相互追溯，形成完整的危害-失效-安全目标链路。

二、BMS典型危害事件与ASIL等级分配

BMS的核心安全职责是防止电池包进入危险状态。以下四类危害事件在工程实践中最为典型，其ASIL等级需结合严重度（S）、暴露率（E）、可控性（C）三个参数综合判定。

危害事件典型原因潜在后果SECASIL
过充充电控制失效、电压采样偏差、继电器粘连热失控、起火S3E4C3ASIL D
过放放电截止失效、SOC估算错误电池永久损伤、后续充电析锂S2E4C2ASIL B
过温冷却失效、温度采样失效、大电流持续热失控、功率骤降S3E3C2ASIL C
短路绝缘失效、外部短路、内部微短路瞬间大电流、起火爆炸S3E2C3ASIL C

需要强调的是，ASIL等级并非固定不变。同一危害事件在不同整车架构、不同电池化学体系、不同使用场景下，S/E/C取值可能变化，最终ASIL等级也随之调整。例如，若过充后果被整车碰撞结构或泄压设计缓解，严重度可能从S3降为S2，ASIL等级相应下降。

三、从危害事件到安全目标的推导流程

HARA的输出不是一张危害清单，而是一组可验证的安全目标（Safety Goal）。以“过充”为例，其推导路径如下：

  1. 识别危害事件：电池包在充电过程中电压超过安全上限且未被切断。
  2. 分析危害原因：充电控制逻辑失效、电压采样通道失效、主继电器无法断开。
  3. 评估风险参数：S3（可能起火）、E4（每次充电均暴露）、C3（驾驶员无法控制），判定为ASIL D。
  4. 定义安全目标：防止电池包过充，安全状态为切断充电回路并触发报警。
  5. 分配ASIL等级：该安全目标继承ASIL D，并向下分解到电压采样、充电控制、继电器驱动等子系统。
安全目标是功能安全开发的“宪法”，后续所有技术安全需求、硬件/软件安全机制都必须可追溯到对应的安全目标。ASIL等级决定了开发过程的严格程度，包括验证方法、工具置信度、独立性要求等。

四、三种方法在BMS HARA中的协同应用

下面通过一个简化的信号链视角，展示HAZOP、FMEA、FTA如何围绕BMS过充保护形成闭环分析。

BMS过充保护HARA协同分析视图 HAZOP 偏离分析 引导词：过高 / 过低 / 反向 参数：电压、电流、温度、SOC 偏离：电池电压过高 原因：充电控制失效 后果：热失控 → S3 输出：危害事件清单 FMEA 失效模式分析 电压采样电阻开路 AFE通信CRC校验失效 主继电器触点粘连 充电控制MCU死机 影响：过充未被切断 输出：失效模式与影响表 FTA 故障树分析 顶事件：过充未被切断 OR门：采样失效 ∨ 控制失效 ∨ 执行器失效 底事件：电阻开路、MCU死机 底事件：继电器粘连 输出：最小割集与安全目标验证 安全目标：防止电池包过充 安全状态：切断充电回路 + 触发报警 + 进入安全状态 ASIL等级：ASIL D（S3 + E4 + C3） 电压采样子系统 ASIL D / 冗余采样 充电控制子系统 ASIL D / 独立监控 继电器驱动子系统 ASIL D / 诊断覆盖

上图展示了从HAZOP偏离识别、FMEA失效模式分析到FTA故障树验证的完整链路，最终收敛为安全目标与ASIL D等级，并向下分解到电压采样、充电控制、继电器驱动三个子系统。这种“三方法协同”的分析结构，能够有效避免单一方法的盲区。

五、常见误区与复盘要点

误区一：ASIL等级越高越好。ASIL D意味着最高的开发成本与验证要求。若危害事件实际可控性较好，应如实评估，避免过度设计导致项目资源浪费。

误区二：HAZOP只做一次。HAZOP应在概念设计、系统设计、详细设计阶段迭代进行，每次设计变更后都需重新评估偏离。

误区三：FMEA与FTA脱节。FMEA识别的失效模式应作为FTA底事件的输入，FTA的最小割集应反馈到FMEA中确认是否已覆盖。

误区四：忽略共因失效。BMS中电压采样与温度采样若共用同一AFE芯片，共因失效可能导致多个安全机制同时失效，需在FTA中通过AND门或共因因子建模。

复盘时建议检查以下清单：危害事件是否覆盖所有运行模式（行车、充电、驻车、碰撞）；S/E/C取值是否有整车场景数据支撑；安全目标是否可测量、可验证；ASIL分解是否满足独立性要求；FTA最小割集是否已全部对应到具体安全机制。

HARA输出物检查清单（示例）：
[ ] 危害事件清单（含运行模式、危害描述、后果）
[ ] 风险参数评估表（S/E/C取值及理由）
[ ] ASIL等级分配表
[ ] 安全目标清单（含安全状态、故障容错时间）
[ ] FTA故障树（顶事件、逻辑门、最小割集）
[ ] FMEA失效模式表（含S/O/D评分与改进措施）
[ ] 追溯矩阵（危害→安全目标→技术安全需求）
← 上一章 📖 返回目录 下一章 →