第三讲：运行场景与运行模式

好，咱们接着聊。上一讲我们讲了危害识别，这一讲要深入一个关键问题：危害到底在什么情况下才会发生？

说白了，你识别出一个危害，比如「刹车失灵」。但刹车失灵在什么场景下才会导致人员伤亡？是在高速公路上，还是在停车场里？车辆是上电状态还是下电状态？这些条件不同，风险等级可能天差地别。

这就是我今天要讲的核心——运行场景与运行模式。

1. 运行场景：到底是个啥？

先给个定义。运行场景，就是车辆在特定时间、特定环境下，执行特定功能时的外部条件集合。

我个人的理解更直白：车在哪儿？在干嘛？周围有啥？

举个例子：

• 场景A：车辆在高速公路上以120km/h巡航，天气晴朗，车道线清晰。
• 场景B：车辆在市区拥堵路段走走停停，下着大雨，行人乱穿。
• 场景C：车辆在停车场里，正在自动泊车，周围有小孩蹲着玩。

你看，同样是「自动紧急制动」这个功能，在场景A下失效，可能直接追尾大货车；在场景C下失效，最多蹭到路沿。所以，不定义场景，就没法谈风险。

2. 怎么定义运行场景？

这个问题，我当年刚入行时也困惑过。场景那么多，难道要把所有可能性都列出来？

嗯，理论上是的。但实际项目中，我们有个套路——场景参数化。

我习惯把场景拆成几个维度：

维度	典型取值	我的经验
道路类型	高速、城市、乡村、停车场	城市道路场景最复杂，建议优先覆盖
天气条件	晴天、雨天、雪天、雾天、夜间	雨天和夜间是传感器失效的高发区
车速范围	0-30km/h, 30-80km/h, 80-120km/h	低速场景往往被忽视，但事故率不低
交通参与者	无、行人、自行车、车辆、动物	儿童和老人要单独考虑，反应时间不同
路面状况	干燥、湿滑、结冰、碎石	结冰路面制动距离增加3-5倍

有了这个表格，定义场景就变成了「排列组合」的工作。但注意，不是所有组合都有意义。比如「高速公路上有行人横穿」，这种场景概率极低，可以排除。

3. 运行模式：上电、运行、下电、维护

说完场景，咱们聊聊模式。模式是车辆自身的状态，跟外部环境无关。

ISO 26262里虽然没有强制要求，但实际项目中，我们通常把车辆模式分为四类：

• 上电模式：车辆刚通电，系统自检，还没进入正常行驶状态。
• 运行模式：车辆正常行驶，所有功能都可用。
• 下电模式：车辆熄火，但部分系统还在工作（比如防盗系统）。
• 维护模式：车辆在维修车间，由技师操作。

你可能会问：这跟危害有啥关系？

关系大了。同一个危害，在不同模式下，后果完全不同。

4. 模式对危害的影响——我踩过的坑

我讲个真实案例。有一次我们分析「电动转向系统失效」这个危害。

在运行模式下，车辆高速行驶，转向失效意味着驾驶员无法控制方向，后果是灾难性的——ASIL D。

但在维护模式下，车辆被举升机架起来，四个轮子悬空。这时候转向失效，最多是技师多费点力气，不会有人受伤——ASIL A，甚至QM都行。

你看，同一个危害，模式不同，风险等级差了好几个级别。

再举个例子。车辆下电模式下，如果电池管理系统还在工作，但通信总线已经休眠了。这时候如果电池过温，系统无法上报故障，就可能引发火灾。这个危害在运行模式下反而不明显，因为驾驶员能及时发现。

所以，我的建议是：每个危害都要单独问一句——这个危害在哪个模式下最危险？

5. 实战中怎么操作？

好了，理论讲完了，咱们说说具体怎么做。

我个人习惯用一张表来记录：

危害	运行场景	运行模式	潜在后果	风险等级
制动助力失效	高速道路，雨天，车流密集	运行模式	追尾，多人伤亡	ASIL D
制动助力失效	停车场，低速，无人	运行模式	轻微碰撞	ASIL A
电池过温	地下车库，夜间	下电模式	火灾，财产损失	ASIL B
转向失效	维修车间，举升机	维护模式	无人员受伤	QM

你看，同一个「制动助力失效」，因为场景和模式不同，风险等级从ASIL D降到了ASIL A。这就是我们做HARA分析的意义——把有限的资源用在最危险的地方。

好，这一讲就到这里。下一讲我们聊聊「严重度、暴露率、可控性」这三个参数到底怎么打分。说实话，这部分最容易吵架，我到时候分享几个「摆平争论」的实战技巧。