4、危害分析与风险评估：HARA 方法、运行场景定义、危害事件识别与 ASIL 等级确定

危害分析与风险评估（HARA，Hazard Analysis and Risk Assessment）是功能安全开发流程的基石，也是连接系统定义与安全目标之间的关键桥梁。在ISO 26262标准中，HARA的核心目标并非简单地罗列“可能发生的故障”，而是通过系统化的方法，识别出由整车级危害事件所引发的潜在风险，并依据风险严重度（Severity）、暴露概率（Exposure）和可控性（Controllability）三大参数，科学地确定每一项危害事件所对应的汽车安全完整性等级（ASIL，Automotive Safety Integrity Level）。对于线控底盘系统而言，由于取消了传统机械连接，转向、制动与驱动信号完全依赖电子与软件链路，一旦发生非预期动作，其后果往往比传统底盘更为严重。因此，掌握HARA方法、精准定义运行场景、准确识别危害事件并合理定级，是线控底盘功能安全架构设计的首要前提。

4.1 核心原理：从“功能失效”到“危害事件”的转化逻辑

HARA 的核心原理在于将系统层面的功能失效（Function Failure）置于整车运行场景中，评估其可能引发的后果。这里需要严格区分三个概念：故障（Fault）、失效（Failure）与危害（Hazard）。故障是物理或逻辑层面的缺陷，例如传感器内部断路；失效是故障导致的功能表现异常，例如转向扭矩信号丢失；而危害则是失效在特定场景下引发的潜在伤害，例如高速行驶中转向助力突然丧失导致驾驶员无法完成变道避让。HARA 关注的是“危害事件（Hazardous Event）”，即“危害”与“运行场景”的组合。

在线控底盘系统中，由于转向、制动、驱动等执行机构不再有机械备份，任何电子信号链路的异常都可能直接导致整车级危害。因此，HARA 分析必须从系统边界出发，梳理所有可能的输入信号（方向盘转角、车速、横摆角速度、电机转速等）、控制逻辑（扭矩控制、滑移率控制、稳定性控制）与执行输出（前轮转角、制动力矩、驱动扭矩），并逐一分析这些信号在异常时的整车表现。

4.2 运行场景定义：HARA 的“时空坐标系”

运行场景（Operating Scenario）是 HARA 分析的基础维度。ISO 26262 要求对车辆的使用场景进行系统化定义，包括环境条件（道路类型、天气、光照、交通密度）、车辆状态（车速范围、负载、驾驶模式）、驾驶员状态（注意力、疲劳程度、操作意图）以及地理位置（高速公路、城市道路、停车场、隧道等）。场景定义的完备性直接决定了危害识别的覆盖率。

对于线控底盘系统，场景定义应特别关注以下维度：

• 车速区间：低速（0-30 km/h）、中速（30-80 km/h）、高速（80-120 km/h）、超高速（>120 km/h）。不同车速下同一失效的后果差异巨大。
• 路面附着系数：干燥沥青（μ≈0.8）、湿滑路面（μ≈0.4）、冰雪路面（μ≈0.2）。低附着路面下制动或转向失效的严重度显著升高。
• 交通参与者密度：空旷道路、稀疏车流、密集城市交通、行人/非机动车混行。
• 驾驶员操作状态：正常驾驶、紧急避障、泊车操作、自适应巡航跟车等。
• 系统工作模式：线控转向（SBW）主动模式、线控制动（BBW）再生制动模式、四轮独立驱动（4WID）差动转向模式等。

场景定义应形成结构化的场景库，每个场景包含“环境+车辆+驾驶员”三个维度的组合。例如：“车辆以80km/h行驶在干燥双向四车道城市快速路上，驾驶员处于正常跟车状态，前方200m处有车辆减速”。这种具体化的场景描述有助于后续危害事件识别时准确评估严重度与可控性。

4.3 危害事件识别：系统化分析与案例拆解

危害事件识别是 HARA 的核心步骤，其目标是将每一个功能失效与具体的运行场景结合，形成“危害事件描述”。一个完整的危害事件应包含三个要素：触发条件（什么失效）、运行场景（在什么情况下）、潜在后果（对人员或车辆造成什么伤害）。

以线控转向系统（SBW）为例，假设转向电机控制器（MCU）检测到转向角传感器信号异常，系统进入降级模式。此时可能产生的危害事件包括：

在识别危害事件时，应遵循“穷举但不冗余”的原则。穷举意味着要覆盖所有可能的失效模式与场景组合；不冗余则要求合并那些严重度、暴露度和可控性评估结果完全一致的组合，避免分析工作量失控。通常建议采用“失效模式×场景矩阵”的方法，将功能失效列表与场景库进行笛卡尔积，然后逐项筛选有物理意义的组合。

4.4 ASIL 等级确定：S/E/C 三参数评估与决策矩阵

ASIL 等级的确定基于三个风险参数的评估：严重度（Severity, S）、暴露概率（Exposure, E）和可控性（Controllability, C）。每个参数分为若干等级，最终通过 ISO 26262 提供的决策矩阵确定 ASIL 等级（A、B、C、D）或 QM（Quality Management，即无需按功能安全流程开发）。

4.4.1 严重度（S）评估

严重度评估的是危害事件对驾驶员、乘客、其他交通参与者（如行人、骑行者）或车辆本身可能造成的伤害程度。ISO 26262 将严重度分为 S0（无伤害）、S1（轻伤）、S2（重伤，可能危及生命但可存活）、S3（致命伤，危及生命）。评估时应考虑碰撞速度、碰撞类型（正面、侧面、追尾）、受害者类型（车内人员、行人、骑行者）等因素。

对于线控底盘系统，严重度评估应特别关注“二次伤害”的可能性。例如，线控制动失效不仅可能导致追尾碰撞，还可能因为车辆失控引发连环碰撞或翻滚。因此，在评估严重度时，应基于最合理的“最坏情况”进行判断，但不应过度悲观地假设所有最坏情况同时发生。

4.4.2 暴露概率（E）评估

暴露概率评估的是驾驶员或乘客处于危害事件所对应的运行场景中的频率。ISO 26262 将暴露概率分为 E0（几乎不可能）、E1（非常低）、E2（低）、E3（中等）、E4（高）。评估依据可以是统计数据、市场调研或工程判断。例如，“车辆以100km/h行驶在高速公路上”这一场景的暴露概率通常为 E3 或 E4，而“车辆在冰雪路面进行极限漂移”的暴露概率则可能为 E1 或 E2。

在线控底盘系统中，暴露概率的评估需要结合车辆的实际使用场景。例如，对于一款主打城市通勤的电动车，其“低速拥堵路况”的暴露概率远高于“高速长途巡航”。因此，同一功能失效在不同车型上的 ASIL 等级可能不同。

4.4.3 可控性（C）评估

可控性评估的是驾驶员或其他交通参与者能否通过及时、适当的反应来避免危害事件的发生或减轻其后果。ISO 26262 将可控性分为 C0（完全可控）、C1（简单可控）、C2（一般可控，多数驾驶员能应对）、C3（难以控制或不可控）。评估时应考虑驾驶员的反应时间、操作难度、可用的避让空间等因素。

对于线控底盘系统，可控性评估是一个极具挑战性的环节。以线控转向为例，当转向助力完全丧失时，虽然驾驶员仍可通过机械备份（如果存在）或加大手力进行转向，但在高速行驶或弯道中，这种操作可能超出普通驾驶员的能力范围。因此，可控性评估不能仅基于“理论上可操作”，而应基于“普通驾驶员在真实场景中的实际表现”。

4.4.4 ASIL 决策矩阵

在完成 S、E、C 三个参数的评估后，通过 ISO 26262-3 表4 的决策矩阵确定 ASIL 等级。矩阵的核心逻辑是：严重度越高、暴露概率越高、可控性越差，则 ASIL 等级越高（D 为最高）。例如，S3 + E4 + C3 的组合对应 ASIL D，而 S1 + E2 + C1 的组合则可能仅为 QM。

4.5 案例拆解：线控制动系统（BBW）HARA 实战

下面通过一个完整的案例，展示线控制动系统（BBW）的 HARA 分析过程。该案例基于某款量产电动 SUV 的前轮线控制动系统，系统采用“电子踏板+液压备份”的架构。

背景与约束：该车型定位为家用中大型 SUV，整备质量 2.2 吨，最高车速 180 km/h。线控制动系统由制动踏板位移传感器、制动控制单元（BCU）、电机驱动液压泵、轮端制动卡钳组成。系统设计目标为：在正常模式下提供线控制动（无机械连接），在失效模式下可切换至液压备份模式（通过传统制动管路实现基础制动）。

初始目标：完成 BBW 系统的 HARA 分析，确定各危害事件的 ASIL 等级，为后续安全目标制定和系统架构设计提供输入。

步骤一：运行场景定义

基于车型定位，定义以下典型场景：

• 场景 A：城市拥堵路况，车速 0-30 km/h，频繁启停，行人密集。
• 场景 B：城市快速路，车速 60-80 km/h，车流密度中等。
• 场景 C：高速公路，车速 100-120 km/h，车流稀疏。
• 场景 D：山区下坡路段，坡度 6%，车速 40-60 km/h，连续制动。
• 场景 E：冰雪路面，车速 20-40 km/h，低附着系数。

步骤二：危害事件识别

针对 BBW 系统的关键失效模式，结合上述场景，识别出以下危害事件：

步骤三：S/E/C 评估与 ASIL 定级

以“制动踏板位移传感器信号丢失”为例，进行详细评估：

• 严重度 S：在场景 C（高速公路 120 km/h）中，若制动完全丧失，追尾碰撞速度可能超过 50 km/h，对乘员造成致命伤害，因此 S3。
• 暴露概率 E：高速公路行驶是该车型的常见使用场景，暴露概率为 E4。
• 可控性 C：驾驶员发现制动失效后，可尝试松开油门、拉手刹（电子手刹）或转向避让，但在高速行驶中这些操作的成功率有限，因此 C3。
• ASIL 等级：根据矩阵，S3 + E4 + C3 → ASIL D。

同理，对“BCU 主控芯片失效”进行评估：虽然存在液压备份模式，但切换过程需要驾驶员感知并采取额外操作（如加大踏板力），在场景 C 中可控性为 C2，严重度为 S3，暴露概率为 E4，最终定级为 ASIL C。而“轮端制动卡钳压力传感器漂移”在场景 E 中，严重度为 S2（侧滑可能导致碰撞但速度较低），暴露概率为 E2（冰雪路面在部分北方地区出现频率中等），可控性为 C2（有经验的驾驶员可部分控制），最终定级为 ASIL B。

步骤四：结果复盘与经验总结

通过该案例可以发现，同一系统的不同失效模式可能对应不同的 ASIL 等级。ASIL D 的危害事件（如制动信号丢失）将驱动系统架构采用“双通道冗余+独立监控”的设计，而 ASIL B 的危害事件则可通过“单通道+诊断覆盖”来满足要求。此外，案例中“BCU 主控芯片失效”的 ASIL C 定级，实际上依赖于液压备份模式的可靠性。如果液压备份模式本身不可用（例如取消机械备份），则该危害事件的 ASIL 等级将上升至 D。这体现了 HARA 分析对系统架构设计的直接反馈作用。

4.6 常见误区与总结复盘

在 HARA 实践中，团队常陷入以下误区，需要特别警惕：

• 误区一：将 HARA 等同于 FMEA。FMEA 关注“部件失效对系统的影响”，而 HARA 关注“系统失效对整车和人员的影响”。两者分析对象和输出完全不同。
• 误区二：场景定义过于笼统。例如仅定义“车辆行驶中”而不区分车速、路况和交通密度，导致严重度和可控性评估缺乏依据。
• 误区三：可控性评估过于乐观。工程师往往基于“专业驾驶员”的操作能力进行评估，而忽略了普通驾驶员在突发情况下的反应延迟和操作失误。
• 误区四：忽略多失效叠加场景。例如，线控制动失效的同时，电子稳定程序（ESP）也因传感器共享而失效。虽然这种叠加概率极低，但在 ASIL D 级系统中应予以考虑。
• 误区五：ASIL 等级“一刀切”。将整个系统统一设定为最高 ASIL 等级，虽然安全但会导致开发成本急剧上升。正确的做法是“按危害事件定级，按安全目标分解”，实现安全与成本的平衡。