4. 危害分析与风险评估（HARA）实战

HARA（Hazard Analysis and Risk Assessment）是ISO 26262概念阶段的核心活动，它决定了后续功能安全开发的目标等级与投入强度。对ADAS功能而言，HARA的难点不在于流程本身，而在于如何把“感知—决策—执行”链路中的功能异常，准确映射为整车层面的危害事件，并给出经得起评审的S/E/C评分。本节以AEB（自动紧急制动）与LKA（车道保持辅助）为对象，展开可操作的HARA实战方法。

一、从功能异常到危害事件：危害识别的正确起点

危害识别不能从“传感器坏了”出发，而应从“车辆行为偏离了安全意图”出发。标准做法是：先定义功能的安全意图，再对功能进行失效模式分析，最后把失效模式放到具体运行场景中，形成危害事件（Hazardous Event）。

以AEB为例，其安全意图是“在驾驶员未及时制动时，对真实碰撞风险实施减速以避免或减轻碰撞”。由此可导出典型功能异常：

• 漏制动（Fault of omission）：存在真实碰撞风险却未触发制动，导致追尾或碰撞行人。
• 误制动（Fault of commission）：无碰撞风险时错误触发全力制动，导致后车追尾或本车失控。
• 制动不足：触发了制动但减速度不够，未能避免碰撞。
• 非预期制动时序错误：制动过晚或过早，前者无法避免碰撞，后者干扰驾驶员意图。

危害事件必须包含“车辆状态+场景条件”两个要素。例如“AEB漏制动”本身不是危害事件，“AEB漏制动 + 本车以60 km/h接近静止前车 + 驾驶员未制动”才是可评分的危害事件。场景要素通常包括：道路类型、车速区间、目标类型（车辆/行人/两轮车）、天气与光照、驾驶员状态。

二、S/E/C评分：ADAS场景下的取值逻辑

严重度S描述危害事件对人员的伤害程度，取值S0～S3。ADAS场景中，S的判定要结合碰撞对象与相对速度：与行人碰撞在30 km/h以上通常可达S3（危及生命）；与车辆追尾在低速下可能为S1（轻伤），高速下为S2或S3。S0仅用于无伤害可能的情形，实际ADAS危害事件极少取S0。

暴露度E描述场景发生的概率，取值E0～E4。E的评估依据是“该运行场景在车辆生命周期内出现的频率与持续时间”。例如高速公路跟车场景暴露度极高，常取E4；而“夜间雨天无照明路段遇静止障碍物”可能取E2或E3。E的取值必须给出场景定义依据，不能凭感觉。

可控性C描述驾驶员或其他交通参与者能否及时避免伤害，取值C0～C3。C0表示完全可控，C3表示几乎不可能控制。误制动场景中，若驾驶员能通过踩油门或转向轻易覆盖，C可较低；但若发生在高速弯道且制动导致车辆失稳，C可能升至C3。可控性评估必须说明“由谁控制、有多少反应时间、控制手段是否有效”。

三、ASIL定级与裁剪

ASIL由S、E、C组合查表得到，分为A、B、C、D四个等级，QM表示无需功能安全开发。基本规律是：S越高、E越高、C越高，ASIL越高。例如S3+E4+C3为ASIL D，S2+E3+C2为ASIL B。当组合结果超出D时仍按D处理。

ADAS功能常出现同一功能下多个危害事件对应不同ASIL的情况。此时应取最高ASIL作为该功能的安全目标等级，但允许对低ASIL危害事件采用较低完整性要求。定级后必须为每个危害事件定义安全目标（Safety Goal），安全目标应描述“要避免什么”，而不是“要怎么做”。例如：“避免AEB在无碰撞风险时触发导致车辆减速度超过4 m/s²的非预期制动”，对应ASIL B。

四、Bosch HARA模板的落地字段

Bosch在工程实践中使用的HARA模板，通常包含以下核心字段，便于评审与追溯：

五、评审中最容易被退回的几类问题

第一类是把失效模式直接当成危害事件。例如只写“雷达失效”，没有说明车辆在什么场景下会产生什么危险行为，评审无法评分。第二类是E值缺乏场景频率依据，仅凭“感觉常见”取E4。第三类是C值没有说明控制主体和可用反应时间，例如误制动场景中，驾驶员是否有足够时间踩油门覆盖，直接决定C是C1还是C3。第四类是安全目标写成实现方案，例如“安全目标：增加冗余雷达”，这属于技术方案而非安全目标。第五类是遗漏误触发方向，只分析漏制动而忽略误制动，导致ASIL定级不完整。

完成HARA后，每个危害事件都应形成“危害事件—安全目标—ASIL—功能安全概念”的追溯链。这条链是后续功能安全概念（FSC）和技术安全需求（TSR）的输入，也是评审时判断HARA是否真正闭环的关键依据。