4、危险分析与风险评估：HARA方法、ASIL等级确定、安全目标定义及实例演练
在制动控制系统功能安全开发中，危险分析与风险评估（HARA）是连接系统定义与安全需求之间的关键桥梁。HARA 的核心目标并非简单地罗列“可能发生的故障”，而是基于车辆在实际运行场景中的系统行为，系统性地识别出可能导致人员伤害或财产损失的危险事件，并依据其严重度、暴露概率和可控性，确定相应的汽车安全完整性等级（ASIL）。这一过程直接决定了后续安全目标（Safety Goal）的表述形式、功能安全需求的分解策略以及硬件/软件开发的严格程度。若 HARA 执行不充分或 ASIL 等级评定不当，轻则导致安全目标定义模糊，重则引发系统性的设计缺陷，甚至造成召回或安全事故。本章将深入剖析 HARA 的完整执行路径、ASIL 的量化评定方法，并通过一个完整的制动防抱死系统（ABS）实例，演示从危险事件识别到安全目标输出的全过程。
上图展示了 HARA 从场景定义到安全目标输出的完整逻辑链路。值得注意的是，ASIL 等级并非孤立地分配给某个“部件”，而是针对“特定场景下的特定失效模式”所引发的危险事件进行评定。因此，同一个制动系统功能（如 ABS 介入）在不同场景下可能获得不同的 ASIL 等级，最终安全目标取其中的最高等级。
4.1 核心原理：从“功能失效”到“危险事件”的映射
HARA 的底层逻辑基于“危害是系统与场景交互的产物”这一理念。一个功能失效（例如制动压力传感器输出错误）只有在特定的运行场景（例如车辆以 120km/h 行驶在湿滑路面）中，才可能演变为危险事件（例如车辆失去制动力导致追尾）。因此，HARA 的第一步是建立“功能清单”与“场景清单”的笛卡尔积，并逐一分析其组合后的危害后果。
在制动控制系统中，典型的失效模式包括：功能丧失（如无制动助力）、功能错误（如制动力矩分配错误）、功能延迟（如制动响应时间超过 500ms）以及非预期功能（如无制动请求时车辆自行制动）。每一种失效模式都需要与至少一个代表性的场景进行组合分析。例如，“功能丧失”与“高速跟车场景”组合，可能产生“与前车碰撞”的危险事件；而“非预期功能”与“低速泊车场景”组合，则可能产生“驾驶员或行人被夹伤”的危险事件。
4.2 判断方法：ASIL 等级的量化评定流程
ASIL 等级的确定依据 ISO 26262-3:2018 标准，通过三个参数的综合评估得出：严重度（Severity, S）、暴露概率（Exposure, E）和可控性（Controllability, C）。每个参数分为 0-3 四个等级，最终 ASIL 等级由 S、E、C 的组合查表确定。
| 参数 | 等级 | 描述 | 制动系统示例 |
|---|---|---|---|
| 严重度 S | S0 | 无伤害 | 制动轻微异响，不影响性能 |
| S1 | 轻伤（可简单处理） | 制动距离增加 20%，未发生碰撞 | |
| S2 | 重伤（需住院） | 车辆失控撞向护栏，乘员骨折 | |
| S3 | 致命或危及生命 | 高速追尾导致乘员死亡 | |
| 暴露概率 E | E0 | 极罕见 | 在赛车场进行极限漂移时 |
| E1 | 低概率 | 每年仅数次在冰雪路面行驶 | |
| E2 | 中概率 | 每月数次在雨天高速行驶 | |
| E3 | 高概率 | 每次出行均经历城市拥堵跟车 | |
| 可控性 C | C0 | 完全可控 | 驾驶员可通过松开踏板避免误制动 |
| C1 | 简单可控 | 驾驶员可通过转向避让，但需一定技巧 | |
| C2 | 一般可控 | 驾驶员需在 1 秒内做出反应，多数人可做到 | |
| C3 | 难以控制 | 车辆在冰面上失去制动力，驾驶员无法干预 |
查表规则（ISO 26262-3 表 4）：ASIL 等级由 S、E、C 组合决定。例如，S2 + E3 + C2 对应 ASIL B；S3 + E3 + C3 对应 ASIL D；而 S1 + E2 + C1 则可能仅为 QM（质量管理范畴）。若任一参数为 0，则整体为 QM。需要特别注意的是，ASIL D 是最高等级，要求最严苛的开发流程（如形式化方法、硬件故障覆盖率 ≥99%）。
4.3 案例拆解：ABS 系统“无制动请求时车轮抱死”危险事件分析
下面通过一个完整的实例，演示 HARA 的执行过程。假设某车辆配备 ABS 系统，其功能为“在制动过程中调节轮缸压力，防止车轮抱死”。我们分析一个具体的失效模式：由于轮速传感器信号丢失，ABS 控制器误判车轮即将抱死，从而在驾驶员未踩制动踏板时主动建立制动压力，导致车辆非预期减速。
步骤 1：场景定义。选取典型高暴露场景：车辆以 100km/h 在高速公路最左侧车道巡航，驾驶员未踩制动踏板，双手握方向盘，车内乘员包括驾驶员和副驾乘客。该场景暴露概率 E3（每次高速出行均可能遇到）。
步骤 2：失效模式与危害分析。失效模式为“非预期制动介入”。危害后果：车辆突然减速，后方车辆可能追尾；同时驾驶员可能因惊吓而猛打方向，导致车辆失控。综合判断严重度 S2（可能造成重伤，但若后方车辆保持安全距离，也可能仅造成轻微财产损失，取保守值 S2）。
步骤 3：可控性评估。当车辆非预期减速时，驾驶员的第一反应是踩下加速踏板或检查仪表，但车辆已减速。若后方车辆距离较近，驾驶员无法通过操作避免碰撞。然而，大多数有经验的驾驶员在 1-2 秒内可意识到车辆异常并采取紧急避让措施。根据统计数据，该场景下约 70% 的驾驶员可避免碰撞，但仍有 30% 可能发生事故。因此，可控性评为 C2（一般可控）。
步骤 4：ASIL 等级确定。查表：S2 + E3 + C2 → ASIL B。若该失效模式发生在冰雪路面（E2），但严重度升至 S3（因车辆失控概率大增），可控性降为 C3，则可能评定为 ASIL D。因此，安全目标必须覆盖最严苛的组合。
步骤 5：安全目标定义。基于上述分析，定义安全目标：“防止 ABS 在无驾驶员制动请求时产生非预期的车轮制动压力，避免车辆非预期减速。”该安全目标继承 ASIL B 等级。进一步分解为功能安全需求：FSR_01：当检测到制动踏板位置传感器信号为“未踩下”且轮速传感器信号异常时，ABS 控制器应在 50ms 内禁止压力建立，并进入安全状态（如关闭增压阀）。该需求需满足 ASIL B 的硬件故障覆盖率要求。
4.4 常见误区与总结复盘
在 HARA 执行过程中，团队常陷入以下误区：
- 误区一：只分析单一故障，忽略多故障叠加。例如，仅考虑传感器失效，而未考虑传感器失效与电磁阀卡滞同时发生的情况。ISO 26262 要求对“双点故障”进行合理分析，但需避免过度分析导致开发成本失控。
- 误区二：将 ASIL 等级直接分配给部件而非功能。例如，错误地认为“ABS 泵电机必须是 ASIL D”，而实际上电机仅在特定场景下才需要 ASIL D，其他场景可能仅为 ASIL B。正确做法是：安全目标继承最高 ASIL，然后通过 ASIL 分解将需求分配给冗余架构。
- 误区三：可控性评分过于乐观。工程师常假设“驾驶员总能做出正确反应”，但实际交通环境中，驾驶员可能分心、疲劳或操作失误。建议参考 ISO 26262-3 附录 B 中的参考数据，或进行驾驶模拟器实验。
- 误区四：安全目标表述模糊。例如“确保制动系统可靠”是不可验证的。正确的安全目标应包含：触发条件（何时）、行为（做什么）、时间约束（多快）、以及可验证的量化指标（如压力阈值）。
总结复盘：HARA 是一个迭代过程，而非一次性活动。随着系统架构的细化（例如引入冗余传感器），原有的危险事件可能消失，也可能产生新的危险事件。因此，建议在概念阶段、系统设计阶段和硬件/软件设计阶段分别执行一次 HARA，并保持追溯性。最终输出的安全目标应形成一份清晰的清单，作为功能安全需求、硬件设计约束和测试用例设计的唯一输入源。在制动控制系统中，由于涉及液压、电控和驾驶员交互，HARA 的严谨性直接决定了车辆在极端工况下的安全底线。