第10章 危害分析与风险评估(HARA)：HARA方法论、高压系统危害识别、风险等级评估(ASIL)

好，咱们进入这门课最核心的环节之一——HARA。

说实话，很多工程师觉得HARA就是走个过场，填几张表就完事了。但我告诉你，这玩意儿要是做不好，后面所有的安全机制设计都是在沙滩上盖楼。我在博世做项目时，就见过一个团队因为HARA漏了一个高压电池的过温场景，结果测试阶段烧了三个模组，那叫一个惨。

10.1 HARA方法论：从场景到风险的逻辑链

HARA的全称是Hazard Analysis and Risk Assessment。说白了，就是回答三个问题：

• 什么东西会坏？（危害）
• 在什么情况下坏？（运行场景）
• 坏了会怎样？（风险等级）

我个人习惯把HARA分成四步走：

1. 功能定义——搞清楚系统到底要干什么
2. 危害识别——找出所有可能的故障模式
3. 场景分析——结合车辆的实际使用场景
4. ASIL定级——根据严重度、暴露率、可控性打分

你想想看，如果连功能都没定义清楚，后面分析出来的危害能靠谱吗？我见过一个项目，功能定义里写着“电池管理系统”，结果连是管理电压还是管理温度都没说清楚，最后HARA做了三版才通过审核。

10.2 高压系统危害识别：别漏了这些“隐形杀手”

高压系统跟普通12V系统最大的区别是什么？

一个字——电。但不仅仅是电击。

我在做某国产SUV的HARA时，团队一开始只关注了“高压触电”和“电池起火”。结果呢？忽略了几个关键点：

• 高压电弧——维修时如果没做好放电，插拔高压连接器会产生电弧，轻则烧毁端子，重则伤人
• 电解液泄漏——电池包受挤压后，电解液泄漏可能腐蚀低压线束，导致信号短路
• 高压互锁失效——HVIL回路断了，但系统还认为连接正常，维修人员可能误操作
• 预充电回路故障——预充电阻短路，直接闭合主继电器，瞬间大电流冲击可能损坏逆变器

嗯，这里要注意：高压系统的危害往往不是单一的，而是连锁反应。比如一个绝缘故障，可能先导致漏电流增大，然后触发电池管理系统误判，最后导致车辆突然断电——这在高速上可是要命的。

10.3 风险等级评估(ASIL)：别把C级打成D级，也别把D级打成C级

ASIL定级是HARA里最“艺术”的部分。ISO 26262给了三个参数：

参数	全称	等级范围	含义
S	Severity（严重度）	S0~S3	对人员的伤害程度
E	Exposure（暴露率）	E0~E4	危险场景发生的概率
C	Controllability（可控性）	C0~C3	驾驶员能否避免伤害

最终ASIL等级 = f(S, E, C)。具体查表就行，但难点在于——你怎么判断S是S2还是S3？

举个例子：高压电池热失控导致起火。

• S（严重度）：如果起火后人员有足够时间逃生，S2；如果瞬间爆燃，S3。我建议你参考实际事故数据，别拍脑袋。
• E（暴露率）：车辆每天在路上跑，E4没跑。但如果是“充电时起火”，暴露率可能降到E3，因为不是所有人每天充电。
• C（可控性）：如果起火前有预警（比如烟雾报警），驾驶员可以停车逃生，C1~C2；如果毫无征兆直接爆燃，C3。

我曾经在一个项目里，把“高压继电器粘连”这个危害的ASIL定成了C级。后来审核专家问我：“如果继电器粘连导致电池无法断开，车辆在碰撞后持续高压输出，你觉得救援人员的安全可控吗？”我当场就懵了。最后改成了D级。

10.4 实战案例：一个高压DC-DC的HARA片段

咱们拿一个高压DC-DC转换器来练练手。假设功能是：将400V高压电池转换为12V，给低压系统供电。

危害：DC-DC输出过压（12V输出端电压飙到18V以上）

参数	评估	理由
S	S2	过压可能导致低压电子模块损坏，严重时引发短路起火，但人员有逃生时间
E	E3	车辆行驶中持续使用DC-DC，但过压故障不是一直发生
C	C2	驾驶员可能通过仪表盘报警发现异常，但无法直接控制DC-DC输出

查表得：ASIL B。

那这个B级意味着什么？意味着你需要设计相应的安全机制，比如：

• 输出过压检测电路（硬件冗余）
• 看门狗监控MCU是否跑飞
• 故障时切断高压输入或拉低12V输出

你看，一个HARA分析，直接决定了后面要花多少成本做安全设计。所以，千万别糊弄。