第三讲：HARA实战演练——以BMS过充场景为例
各位工程师朋友，欢迎来到实战环节。
前两讲我们把HARA的理论框架搭好了。今天咱们直接上手，拿BMS最典型的危险场景——过充，完整走一遍HARA流程。
我个人习惯是，做HARA之前先问自己三个问题：
- 这个场景下，最坏的情况是什么？
- 它怎么发生的？
- 一旦发生，后果有多严重？
带着这三个问题，我们开始。
3.1 场景定义：过充到底指什么？
先统一一下口径。我说的过充，是指电池电压超过制造商规定的最高允许电压，并且持续一定时间。
举个例子：一块三元锂电池，厂家规定最高4.2V。你充到4.3V还在充，这就是过充。充到4.5V？那已经是严重过充了。
我在项目中遇到过一种情况：某款BMS的电压采样线接触不良，单体电压显示3.9V，实际已经4.35V了。结果呢？电池包直接鼓包，幸亏没起火。
所以，过充场景的HARA，核心要抓住三点：
- 触发条件：充电过程中，BMS失效或采样异常
- 危害事件：电池电压超过安全阈值
- 后果：热失控、起火、爆炸
3.2 危害识别：找出所有可能的危险
危害识别这一步，说白了就是「头脑风暴+结构化分析」。我一般用功能失效分析法，从每个功能出发，问自己「如果这个功能坏了会怎样」。
以过充场景为例，我们列出BMS相关的功能：
| 功能 | 失效模式 | 危害描述 |
|---|---|---|
| 电压采样 | 采样值偏低 | 实际电压已超限，但BMS认为正常，继续充电 |
| 充电控制 | MOS管短路 | 充电回路无法切断，持续充电 |
| 温度监测 | 传感器失效 | 电池已发热，但BMS未检测到，无法降流 |
| 通信模块 | CAN总线中断 | 充电机收不到停止指令，继续大电流充电 |
| 均衡电路 | 均衡失效 | 单体间压差增大，个别电芯被过充 |
嗯，这里要注意：危害识别不要只盯着「最直接的失效」。你想想看，有时候是多个小故障叠加才酿成大祸。
3.3 风险评估：用S/E/C三个维度打分
危害识别完了，接下来就是给每个危害「定级」。ISO 26262给了三个维度：
- S（Severity）：严重度——伤人多重？
- E（Exposure）：暴露概率——这种情况常见吗？
- C（Controllability）：可控性——驾驶员或系统能补救吗？
咱们拿「电压采样偏低导致过充」这个危害来打分。
3.3.1 严重度（S）评估
过充导致热失控，电池起火。车内人员可能被烧伤，甚至引发爆炸。按照ISO 26262的标准：
- S0：无伤害
- S1：轻伤（可治疗）
- S2：重伤（可能危及生命，但可存活）
- S3：致命伤
我个人认为，过充起火属于S3。为什么？因为锂电池热失控后，火势蔓延极快，车内人员逃生时间很短。我在项目评审时，有同事觉得「起火不一定死人」想打S2。我反问了一句：「你愿意坐在一辆随时可能起火的车上吗？」大家沉默了。最后一致同意S3。
3.3.2 暴露概率（E）评估
暴露概率看的是「车辆在充电状态下的时间占比」。一般家用车：
- 每天充电1-2小时
- 一年约365-730小时
- 占全年总时间的4%-8%
按ISO 26262的E分级：
- E1：极低（<1%时间）
- E2：低（1%-10%时间）
- E3：中（10%-50%时间）
- E4：高（>50%时间）
4%-8%落在E2区间。但注意，如果是运营车辆（出租车、物流车），充电时间可能翻倍，那就接近E3了。我们按普通乘用车算，取E2。
3.3.3 可控性（C）评估
可控性是最容易扯皮的一项。说白了就是：出事了，人能反应过来吗？
过充场景下：
- 驾驶员在车内？可能闻到焦味，但来不及反应
- 驾驶员不在车内？更没人控制
- 充电过程中，BMS已经失效，系统自身无法恢复
所以，可控性很差。按ISO 26262：
- C1：容易控制（如：仪表盘报警，驾驶员能停车）
- C2：一般可控（如：需要驾驶员特定操作）
- C3：难以控制（如：系统已失效，无有效干预手段）
过充起火，我打C3。你想想看，电池都开始冒烟了，你能做什么？跑都来不及。
3.4 ASIL等级确定：查表法
三个维度打完了：S3、E2、C3。接下来查ISO 26262的ASIL等级表：
| S | E | C | ASIL |
|---|---|---|---|
| 3 | 2 | 3 | ASIL C |
没错，过充场景下，「电压采样偏低导致过充」这个危害，最终定级为ASIL C。
3.5 避坑指南：我踩过的三个坑
做HARA这么多年，我总结了几条血泪教训，分享给大家：
我曾经在一个项目里，把过充的严重度打了S2。理由是「电池包有防火材料，不会烧到人」。后来被功能安全审核员怼了：「防火材料能防多久？5分钟？10分钟？如果车门打不开呢？」最后乖乖改回S3。
教训：严重度评估要假设最坏情况，不要依赖「保护措施」来降级。
有一次我评估一个快充场景，觉得充电时间短，E只打了E1。后来发现，这辆车是共享汽车，每天被不同用户快充3-4次。实际暴露概率远高于我的估算。
教训：暴露概率要考虑使用场景，不能只看单次时长。
很多人觉得「驾驶员能拔充电枪」就算可控。但你想过没有，BMS都失效了，充电枪可能已经锁死拔不出来。而且高压电下，谁敢徒手去拔？
教训：可控性评估要区分「人为控制」和「系统控制」，BMS失效后，系统自身控制能力才是关键。
3.6 小结：HARA不是走过场
好了，这一讲的内容就到这里。我们完整走了一遍过充场景的HARA：
- 先做了危害识别，列出了5种失效模式
- 然后以「电压采样偏低」为例，打了S3、E2、C3
- 最终查表得到ASIL C
说实话，HARA这个环节，很多公司做得不够认真。觉得「反正最后都是ASIL C/D，随便打打分就行了」。但我想说，HARA是功能安全的地基。地基歪了，后面所有的安全机制设计都是空中楼阁。
下一讲，我们会基于今天确定的ASIL C等级，开始设计安全机制。到时候我会分享一个实际项目中的「过充保护架构」，敬请期待。
我是蓝海，咱们下期见。
公众号：蓝海资料掘金营，微信deep3321