4. HARA实战：危害事件分类与S/E/C评估
好，咱们进入正题。HARA，全称是Hazard Analysis and Risk Assessment。说白了，就是找出系统在什么情况下会出危险，然后评估这个危险有多严重。
我见过不少新手，一上来就对着表格发呆。其实没那么玄乎。你只要记住三个字母：S、E、C。严重度、暴露概率、可控性。把这三点搞明白，HARA就完成了一大半。
4.1 危害事件的分类逻辑
先说说怎么给危害事件分类。我个人习惯，先画一张功能清单，然后逐个问自己：这个功能如果出故障，会导致什么后果？
举个例子。你设计一个电子助力转向系统。功能是“根据方向盘转角提供助力”。那危害事件是什么？
- 危害1：助力突然丢失 → 方向盘变重，驾驶员需要用力打方向
- 危害2：助力反向输出 → 方向盘自动朝反方向转，车辆失控
- 危害3：助力卡滞 → 方向盘转不动，无法避障
你看，同一个功能，不同的故障模式，危害完全不一样。所以分类的时候，要按故障模式 + 运行场景来分。
核心原则：一个危害事件 = 一个故障模式 × 一个运行场景 × 一个车辆状态
比如：EPS助力反向输出 × 高速变道 × 路面湿滑
4.2 严重度（S）评估：别光看车速
严重度评估，很多人第一反应就是看车速。车速高就严重，车速低就不严重。嗯，这个思路对了一半。
我踩过这个坑。有一次评估一个自动紧急制动系统，我按最高车速120km/h给了S3。结果评审的时候，安全经理问我：如果前面没人呢？如果系统只是误触发呢？
所以，严重度要看的是对人员的伤害程度，不是车速本身。
| S等级 | 伤害描述 | 典型场景举例 |
|---|---|---|
| S0 | 无伤害 | 信息娱乐系统死机，不影响驾驶 |
| S1 | 轻伤（可自行处理） | 低速（<20km/h）追尾，轻微擦伤 |
| S2 | 重伤（需送医） | 城市道路（50km/h）碰撞，骨折 |
| S3 | 致命伤 | 高速（>80km/h）正面碰撞，死亡 |
评估的时候，我建议你问自己三个问题：
- 这个故障发生后，最坏情况下会伤到谁？
- 伤到什么程度？
- 有没有可能避免或减轻伤害？
记住，取最坏情况，但不要取极端情况。比如你评估一个雨刮器故障，最坏情况是下雨天看不清路撞车。但你不能直接给S3，因为雨刮器故障本身不直接导致碰撞，它只是增加了风险。
4.3 暴露概率（E）评估：场景有多常见？
暴露概率，说白了就是这个危险场景出现的频率。你想想看，一个场景如果一年都遇不到一次，那风险自然就低。
E等级的划分，ISO 26262给了明确的定义：
| E等级 | 暴露概率 | 典型场景 |
|---|---|---|
| E0 | 几乎不可能 | 车辆被陨石击中 |
| E1 | 很低（<1%的驾驶时间） | 车辆涉水行驶 |
| E2 | 低（1%~10%的驾驶时间） | 夜间行驶、雨雪天气 |
| E3 | 中（10%~50%的驾驶时间） | 城市拥堵、高速公路巡航 |
| E4 | 高（>50%的驾驶时间） | 正常城市道路行驶 |
这里有个容易搞混的地方。E评估的是场景的暴露概率，不是故障的发生概率。比如，你评估“高速公路上EPS助力丢失”，E值看的是“车辆在高速公路上行驶的时间占比”，而不是“EPS助力丢失的概率”。
我的经验：如果你不确定某个场景的暴露概率，可以查一下车辆使用统计数据。比如，中国乘用车平均每年行驶1.5万公里，其中高速占比约30%。那高速场景的E值就是E3。
4.4 可控性（C）评估：驾驶员能救回来吗？
可控性，是HARA里最主观、也最容易吵架的一项。它评估的是：当故障发生时，驾驶员或其他人员有没有能力避免伤害？
我曾经在一个项目里，跟功能安全经理吵了整整一下午。他坚持认为“只要驾驶员反应够快，什么都能控制”。我说，你让一个普通驾驶员在高速上遇到爆胎试试？
所以，可控性评估要基于普通驾驶员，不是赛车手，也不是你这种工程师。
| C等级 | 可控性描述 | 典型场景 |
|---|---|---|
| C0 | 完全可控 | 空调出风方向错误，不影响驾驶 |
| C1 | 简单可控（>99%的驾驶员能控制） | 仪表盘背光熄灭，仍可看清车速 |
| C2 | 一般可控（>90%的驾驶员能控制） | 刹车助力丢失，用力踩仍能刹停 |
| C3 | 难以控制（<90%的驾驶员能控制） | 高速爆胎、转向完全失效 |
评估可控性时，我通常会做一个小实验：找几个非汽车行业的同事，给他们描述场景，看他们能不能理解并给出应对方案。如果连工程师都说不清楚怎么应对，那普通驾驶员更没戏。
注意：C3并不等于“一定会出事故”。它只是说，大部分驾驶员在那种情况下很难避免伤害。但安全目标还是要定到ASIL D，因为我们要保护的是那10%的弱势群体——比如新手、老年人、分心的驾驶员。
4.5 HARA实战流程：一张图说清楚
说了这么多，咱们来画个流程图。这是我做HARA的标准流程，你可以直接拿去用。
4.6 实战案例：EPS转向系统HARA
光说不练假把式。咱们拿EPS转向系统走一遍完整的HARA。
功能描述：EPS根据方向盘转角传感器信号，控制电机输出助力扭矩，辅助驾驶员转向。
故障模式：助力反向输出（电机输出与驾驶员意图相反的扭矩）。
运行场景：车辆以80km/h在高速公路上行驶，驾驶员准备变道超车。
好，开始评估：
- S评估：助力反向输出会导致车辆突然朝反方向转向，驾驶员来不及修正，很可能与相邻车道车辆碰撞。80km/h的碰撞，死亡率很高。→ S3
- E评估：高速公路变道场景，对于经常跑高速的驾驶员来说，每天都会遇到。按驾驶时间占比，约10%~30%。→ E3
- C评估：普通驾驶员在高速上遇到方向盘自动反转，第一反应是抓紧方向盘，但很难在1秒内判断出是故障还是路面颠簸。大部分驾驶员无法控制。→ C3
查ASIL等级表：S3 + E3 + C3 = ASIL D。
安全目标：EPS系统必须防止助力反向输出，当检测到该故障时，应在100ms内切断助力并发出报警。
对应的ASIL等级：ASIL D
4.7 避坑指南：我踩过的那些坑
最后，分享几个我亲身踩过的坑，你遇到了可以绕开走。
坑1：S评估只看车速
我曾经评估一个自动泊车系统，觉得车速才5km/h，给了S1。结果评审时被怼：如果泊车过程中撞到行人脚踝呢？老人小孩怎么办？后来我改成S2了。
坑2：E评估混淆了故障概率和场景概率
这个坑我见过好几个人踩。记住，E评估的是场景，不是故障。你评估的是“这个场景多常见”，不是“这个故障多常见”。
坑3：C评估高估了驾驶员能力
我自己是工程师，觉得什么故障都能应对。但普通驾驶员不是。评估C值时，请把自己想象成一个刚拿驾照、第一次上高速的新手。
好了，HARA的S/E/C评估就讲到这里。记住，HARA不是一次性的工作。随着项目推进，你会发现新的场景、新的故障模式。到时候，回头重新评估一下，很正常。