3. 危害分析与风险评估实战
HARA（Hazard Analysis and Risk Assessment，危害分析与风险评估）是ISO 26262功能安全开发链条的起点，也是决定后续所有安全活动投入方向的“分水岭”。它要回答三个问题：整车层面可能出什么危害？这些危害在什么场景下有多严重？为了把风险压到可接受范围，系统必须达到什么安全目标？本节以制动失效、转向卡滞、驱动扭矩异常三个典型底盘失效为例，完整走一遍从整车危害到安全目标、再到功能安全概念的推导过程。
一、先明确HARA的输入与评估尺度
HARA的输入不是零部件故障清单，而是整车层面的功能失效。因此第一步要把底盘功能抽象为“整车意图”：制动功能对应“按驾驶员请求减速/停车”，转向功能对应“按驾驶员请求改变行驶方向”，驱动功能对应“按驾驶员请求输出扭矩”。HARA评估三个维度：
- S（Severity，严重度）：S0无伤害、S1轻中度、S2重度可能致命、S3致命。
- E（Exposure，暴露度）：E0极低、E1低、E2中、E3高、E4极高。
- C（Controllability，可控性）：C0完全可控、C1简单可控、C2一般可控、C3难以控制。
三者组合得到ASIL等级：QM、A、B、C、D，D为最高。需要强调，S/E/C的取值必须结合具体整车场景，不能凭感觉拍脑袋。例如同样是“制动失效”，在停车场低速与在高速公路120 km/h，E和S完全不同。
二、三个典型案例的HARA推导
案例1：制动失效（完全失去制动能力）。假设车辆在高速公路上以100 km/h行驶，前方出现缓行。此时驾驶员踩下制动踏板，但液压制动系统无响应。该场景暴露度E4（高速行驶是日常高频场景），严重度S3（高速无法减速极易导致致命碰撞），可控性C3（普通驾驶员几乎无法通过其他手段在短时间内安全停车）。组合得到ASIL D。安全目标应表述为：“防止在驾驶员请求制动时完全丧失制动能力”，ASIL D。
案例2：转向卡滞（方向盘被锁死或转向角无法回正）。假设车辆在弯道中以60 km/h行驶，转向系统突然卡滞在某一角度。暴露度E4（转向是持续使用的功能），严重度S3（弯道中转向卡滞会直接冲出车道或对向碰撞），可控性C3（驾驶员无法通过转向修正轨迹）。组合同样为ASIL D。安全目标：“防止转向系统在行驶中发生不可控卡滞”，ASIL D。
案例3：驱动扭矩异常（非预期加速或扭矩突然丢失）。假设车辆在湿滑路面起步或低速跟车时，驱动扭矩突然从请求值跳变到最大值。暴露度E3（起步/低速跟车常见，但并非所有工况），严重度S2（低速下可能造成碰撞或人员受伤，但致命概率低于高速），可控性C2（驾驶员可通过制动或换挡部分干预）。组合得到ASIL B。安全目标：“防止驱动扭矩输出显著偏离驾驶员请求”，ASIL B。
注意：以上S/E/C取值是教学示例中的合理假设，实际项目中必须由整车、系统、安全、测试多方评审确定，并记录在HARA工作表中。
三、从安全目标到功能安全概念
安全目标是“整车层面要避免什么”，功能安全概念则是“系统层面用什么功能来实现这个目标”。以制动失效ASIL D为例，安全目标“防止完全丧失制动能力”可以分解为功能安全概念：
- 制动系统应具备冗余的制动执行路径，例如主液压回路失效时，备份回路仍能提供至少0.3g的减速度。
- 系统应能检测主回路压力异常，并在100 ms内切换到备份回路。
- 切换过程中，驾驶员应收到明确的声光报警，提示制动能力降级。
转向卡滞ASIL D的功能安全概念则包括：转向系统应具备扭矩重叠或双绕组电机冗余；当检测到转向角传感器与电机位置信号不一致时，应在50 ms内进入安全状态（如降低助力、允许驾驶员用更大手力转向）；同时限制卡滞角度不超过某一阈值。驱动扭矩异常ASIL B的功能安全概念相对简单：扭矩监控层应独立于扭矩执行层，当实际扭矩与请求扭矩偏差超过标定阈值并持续超过100 ms时，切断扭矩输出或进入跛行模式。
四、HARA到功能安全概念的映射关系
下图展示了从整车危害到安全目标、再到功能安全概念的完整推导链路，并标注了三个案例的ASIL等级与关键安全机制。图中左侧为危害场景，中间为安全目标，右侧为功能安全概念，箭头方向表示推导关系。
五、实战中的关键判断与常见误区
第一，不要混淆“故障”与“危害”。制动管路泄漏是故障，但HARA关注的是“整车失去制动能力”这一危害。第二，可控性C的评估要区分驾驶员群体，普通驾驶员与专业驾驶员的C值可能不同，通常按普通驾驶员评估。第三，安全目标必须可验证，例如“防止完全丧失制动能力”比“提高制动可靠性”更可度量。第四，ASIL等级不是越高越好，过高的ASIL会带来不必要的开发成本，应基于真实场景合理定级。
建议在HARA工作表中至少记录：危害描述、整车场景、S/E/C取值及理由、ASIL等级、安全目标、功能安全概念、验证方法。这份表格是后续功能安全开发、测试和审核的核心依据。
完成HARA后，下一步是将安全目标分配给系统架构，并导出技术安全需求（TSR）。但在此之前，必须确保HARA的每一条推导都有据可查、可评审、可追溯。本节三个案例覆盖了ASIL D和ASIL B两个典型等级，读者可以据此理解不同风险等级下功能安全概念的深度差异。