2、危害分析与风险评估（HARA）
好，咱们进入正题。HARA，全称是 Hazard Analysis and Risk Assessment。说白了，就是回答三个问题：车会不会出问题？出了多严重？我们该怎么定目标？
我个人习惯把HARA看作是功能安全的“地基”。地基没打好，后面做再多安全机制也是空中楼阁。我在TCU项目里见过太多因为HARA没做透，导致后期改架构改到崩溃的案例。嗯，咱们今天就把这块掰开揉碎了讲清楚。
2.1 HARA的基本流程
HARA的流程其实不复杂，但每一步都得较真。我把它拆成四个核心步骤：
- 功能定义：先搞清楚TCU到底要干什么。比如换挡、扭矩控制、离合器管理。
- 危害识别：功能失效了会怎样？比如“该升档时不升档”。
- 场景分析：在什么路况、什么车速下，这个危害会变成事故？
- 风险等级评定：根据严重度（S）、暴露率（E）、可控性（C）算出ASIL等级。
你可能会问：“这不就是走个过场吗？” 我告诉你，真不是。有一次我在做TCU的HARA时，发现一个看似不起眼的“离合器滑差过大”故障，在高速超车场景下，严重度直接飙到S3。如果当时漏掉了这个场景，后果不堪设想。
2.2 TCU相关的危害场景识别
TCU的特殊性在于，它直接控制动力总成。失效了不是“屏幕不亮”那么简单，而是车辆失控。我总结了几类典型的TCU危害场景：
2.2.1 非预期加速
场景：车辆在拥堵路段低速蠕行，TCU误判驾驶员意图，突然结合离合器导致急加速。
- 触发条件：油门踏板信号干扰、TCU软件跑飞、CAN总线数据错误。
- 后果：追尾前车，严重度S2~S3。
- 避坑指南：我曾经遇到过一款TCU，在低温环境下CAN收发器延迟增大，导致油门信号被错误解析。后来我们在HARA里专门加了一条“低温+信号延迟”的场景。
2.2.2 动力中断
场景：车辆正在高速超车，TCU突然断开离合器，发动机空转，动力瞬间丢失。
- 触发条件：液压系统泄压、传感器供电失效、看门狗超时复位。
- 后果：无法完成超车，与后方车辆碰撞，严重度S3。
- 个人经验：我记得有个项目，TCU的电源管理芯片选型时没考虑输出纹波，结果在发动机高转速振动下，芯片间歇性复位。嗯，从那以后我选电源芯片都先看纹波抑制比。
2.2.3 挡位错误
场景：驾驶员挂入P挡，但TCU实际执行了R挡。
- 触发条件：挡位传感器机械卡滞、软件状态机跑飞。
- 后果：车辆反向行驶，严重度S3。
- 注意：这种场景在ISO 26262里属于“违反驾驶员意图”，可控性通常评为C3（难以控制）。
2.3 ASIL等级的确定方法
ASIL，全称 Automotive Safety Integrity Level。分四个等级：A、B、C、D。D最高，A最低。还有一类叫QM，就是“质量管理即可，不用额外安全措施”。
确定ASIL等级，靠的是三个参数：
| 参数 | 含义 | 等级范围 |
|---|---|---|
| S (Severity) | 伤害的严重程度 | S0（无伤害）~ S3（致命） |
| E (Exposure) | 暴露在危害场景中的概率 | E0（几乎不）~ E4（非常高） |
| C (Controllability) | 驾驶员或其他人控制风险的能力 | C0（完全可控）~ C3（难以控制） |
然后查表：
| S | E | C1 | C2 | C3 |
|---|---|---|---|---|
| S1 | E1 | QM | QM | QM |
| S1 | E2 | QM | QM | A |
| S1 | E3 | QM | A | B |
| S1 | E4 | A | B | C |
| S2 | E1 | QM | QM | A |
| S2 | E2 | QM | A | B |
| S2 | E3 | A | B | C |
| S2 | E4 | B | C | D |
| S3 | E1 | A | B | C |
| S3 | E2 | A | B | C |
| S3 | E3 | B | C | D |
| S3 | E4 | C | D | D |
举个例子。咱们刚才说的“高速超车时动力中断”：
- S：可能造成严重碰撞，S3。
- E：高速超车场景，每天可能遇到1~2次，E3。
- C：动力突然中断，驾驶员很难瞬间反应，C3。
- 查表：S3+E3+C3 = ASIL D。
最后说一句，ASIL等级不是越高越好。ASIL D意味着你要付出巨大的开发成本（比如双核锁步、ECC全覆盖）。我见过一个团队，把TCU的换挡拨片功能定成了ASIL D，结果硬件成本翻了一倍，最后发现其实ASIL B就够用了。所以，合理定级，别过度设计。