3、危害分析与风险评估（HARA）：危害识别、风险评估方法、安全目标定义、ASIL等级确定
好，咱们进入TPMS功能安全设计中最核心的一步——HARA。
说实话，HARA做得好不好，直接决定了后续所有工作的方向。我见过不少项目，前期HARA草草了事，结果后期改安全目标改到崩溃。嗯，咱们今天就把这块掰开揉碎了讲清楚。
3.1 危害识别——先搞清楚“什么会坏”
危害识别，说白了就是回答一个问题：TPMS出故障时，最坏能造成什么后果？
我个人习惯，先拉一张清单，把TPMS所有可能的失效模式列出来。你想想看，一个胎压监测系统，能坏的地方其实不少：
- 传感器失效：不发送数据，或者发送错误数据
- 通信中断：RF信号被遮挡、干扰，接收器收不到
- 误报警：明明胎压正常，却报警说胎压低
- 漏报警：胎压真的低了，系统却没反应
- 显示错误：仪表盘显示的值和实际胎压不符
我在项目中遇到过最头疼的一种情况：传感器电池快没电了，它开始间歇性发送数据。接收器一会儿收到，一会儿收不到，系统就反复报警又取消报警。驾驶员被搞得很烦躁，最后干脆把报警关了——这才是真正的安全隐患。
3.2 风险评估方法——怎么量化“危险程度”
危害找到了，接下来要评估它有多危险。ISO 26262给了我们一套标准方法，看三个维度：
| 参数 | 全称 | 含义 | 等级范围 |
|---|---|---|---|
| S | Severity | 危害的严重度 | S0 ~ S3 |
| E | Exposure | 暴露概率（场景出现频率） | E0 ~ E4 |
| C | Controllability | 驾驶员能否控制/避免 | C0 ~ C3 |
举个例子，咱们分析“胎压过低但系统漏报警”这个危害：
- S（严重度）：胎压过低可能导致爆胎，高速爆胎可能造成严重事故。我个人觉得至少S2，如果车速高、路况差，可以到S3。
- E（暴露概率）：轮胎被扎、慢撒气，其实挺常见的。一年下来总得遇到一两次吧？E3或E4。
- C（可控性）：驾驶员能感觉到方向盘跑偏、车身抖动吗？说实话，很多新手根本感觉不到。C2或C3。
3.3 安全目标定义——把“危险”翻译成“要求”
评估完风险，就要定安全目标了。安全目标不是“系统要安全”这种空话，而是具体、可验证的技术要求。
举个例子，针对“漏报警”这个危害，安全目标可以写成：
安全目标：TPMS必须在轮胎气压低于标准值25%时，在60秒内向驾驶员发出报警。
ASIL等级：B
你看，这里明确了：
- 触发条件：气压低于标准值25%
- 响应时间：60秒内
- 输出行为：发出报警
- ASIL等级：B
为什么要定这么细？因为后面做系统设计、软件实现、测试验证，全都要靠这个目标来对齐。我曾经见过一个项目，安全目标写的是“及时报警”，结果开发团队和测试团队对“及时”的理解差了十万八千里——开发觉得30秒算及时，测试觉得5秒才算。嗯，这种坑踩一次就够了。
3.4 ASIL等级确定——给安全目标“定级”
ASIL（Automotive Safety Integrity Level）分为A、B、C、D四个等级，D最高，A最低。还有QM（Quality Management），表示不需要功能安全措施。
怎么定级？用前面评估的S、E、C查表：
| S | E | C1 | C2 | C3 |
|---|---|---|---|---|
| S1 | E1 | QM | QM | QM |
| S1 | E2 | QM | QM | A |
| S1 | E3 | QM | A | B |
| S1 | E4 | A | B | B |
| S2 | E1 | QM | QM | A |
| S2 | E2 | QM | A | B |
| S2 | E3 | A | B | C |
| S2 | E4 | B | C | C |
| S3 | E1 | A | B | C |
| S3 | E2 | A | B | C |
| S3 | E3 | B | C | D |
| S3 | E4 | C | C | D |
拿刚才的例子：S=2, E=3, C=2 → 查表得ASIL B。
为什么TPMS一般做到ASIL B或C就够了？因为爆胎虽然严重，但驾驶员多少还是能控制一点的（C值不会到3）。而且暴露概率虽然高，但严重度很少到S3（除非极端工况）。
3.5 实战案例：一个完整的HARA示例
咱们拿“高速行驶中左前轮胎压突降”这个场景，走一遍完整的HARA流程：
- 危害识别：胎压突降 → 车辆操控性下降 → 可能失控 → 碰撞风险
- 风险评估：
- S：高速失控 → 严重伤害 → S3
- E：轮胎被扎概率中等 → 每年可能遇到1次 → E3
- C：有经验的驾驶员能稳住方向 → C2
- 查表定级：S3+E3+C2 = ASIL C
- 安全目标：TPMS必须在胎压突降后10秒内，以声光方式向驾驶员报警，报警持续至驾驶员确认或胎压恢复。
你看，这样一步步走下来，每个决策都有依据。以后审核老师问起来，你也能说得清楚。
好了，HARA这块就讲到这里。下一章咱们聊聊怎么把安全目标分解到系统架构里——那又是另一门学问了。