3、危害识别与分类：功能失效模式分析、危害事件的识别方法、危害分类（S、E、C）

好，咱们进入HARA分析最核心的一步——危害识别与分类。

说实话，很多工程师觉得HARA就是填个表。但我在项目里踩过坑，才明白：危害识别不准，后面ASIL等级全是错的。你想想看，那得多可怕？

3.1 功能失效模式分析

先聊功能失效模式。说白了，就是思考「这个功能如果坏了，会怎么坏？」

我个人习惯，从两个维度去切：

• 功能丧失：该干活的时候不干活。比如刹车踩下去，没反应。
• 功能误报：不该干活的时候瞎干活。比如没踩刹车，它自己刹停了。

我在做EPS（电动助力转向）项目时，遇到过一种情况：功能本身没坏，但扭矩传感器信号飘了。结果方向盘自己往一边打。嗯，这算不算失效？当然算。所以别只盯着「坏没坏」，还要看「对不对」。

常见的失效模式，我列个表给你参考：

失效类型	举例（ACC自适应巡航）
功能丧失	前车减速，ACC未响应
功能误报	前方无车，ACC突然急刹
功能过度	ACC输出扭矩过大，超出预期
功能不足	ACC制动减速度不够，追尾
功能反向	ACC本该减速，反而加速

你可能会问：「这么多模式，我全都要分析吗？」
我的建议是：先抓主要矛盾。把最危险、最可能发生的列出来。别一开始就钻牛角尖。

3.2 危害事件的识别方法

有了失效模式，下一步就是识别「危害事件」。注意，这里有个关键区别：

• 失效模式：功能怎么了？（比如ACC不刹车）
• 危害事件：对人和车造成了什么后果？（比如追尾）

我见过不少新手，把失效模式直接当危害事件写。结果ASIL等级全评低了。为什么？因为失效本身不伤人，伤人的是后果。

识别方法，我总结了三步走：

1. 场景化：把失效放到具体驾驶场景里。比如「高速上，前车急刹，ACC失效未响应」。
2. 推演后果：这个场景下，最可能发生什么？追尾？偏离车道？
3. 判断可控性：驾驶员有没有机会补救？比如有足够时间接管吗？

举个例子，我做过一个线控制动项目。失效模式是「制动主缸压力丢失」。我们一开始只想到「刹车失灵」这个危害事件。后来讨论才发现：如果是在坡道上停车，压力丢失会导致溜车。这个场景的严重度完全不同。你看，场景一变，危害等级就变了。

3.3 危害分类：S、E、C

好，到了打分环节。ISO 26262给了三个参数：

• S（Severity）：严重度。伤多重？
• E（Exposure）：暴露概率。这种情况多常见？
• C（Controllability）：可控性。驾驶员能躲开吗？

我直接说干货，怎么评：

S（严重度）

等级	描述	举例
S0	无伤害	仪表盘误报警
S1	轻伤	轻微追尾，皮外伤
S2	重伤（可存活）	骨折，但无生命危险
S3	致命伤	高速碰撞，危及生命

注意：S3不是随便给的。我见过有人把「可能擦伤」也评成S3，那后面ASIL D就满天飞了。记住，S3对应的是「生命危险」。

E（暴露概率）

等级	描述	举例
E0	几乎不可能	车辆被陨石砸中
E1	很少发生	每年一次
E2	偶尔发生	每月几次
E3	频繁发生	每次驾驶都可能遇到
E4	几乎每次驾驶	每次开车都会遇到

这里有个坑：E值评的是「场景暴露」，不是「失效暴露」。比如「高速上跟车行驶」这个场景，E值很高。但「ACC失效」这个事件本身，不参与E值评估。我曾经搞混过，结果E值全评低了，后来被审核老师一顿批。

C（可控性）

等级	描述	举例
C0	完全可控	驾驶员轻松应对
C1	简单可控	多数驾驶员能应对
C2	一般可控	部分驾驶员能应对
C3	难以控制	几乎无法避免伤害

3.4 综合评定与ASIL等级

S、E、C都评完了，怎么合成ASIL？ISO 26262给了个矩阵：

S	E	C	ASIL
S1	E1	C1	QM
S2	E3	C2	ASIL B
S3	E3	C3	ASIL D
...	...	...	...

具体查表就行，我不展开。但我想说一句：ASIL等级不是越高越好。ASIL D的开发成本是QM的几十倍。我见过一个项目，把「车窗防夹」评成了ASIL D，结果开发周期翻了一倍，最后市场没赶上。你想想看，值吗？

好，这一节就到这。下一节我们聊ASIL分解，那才是真正考验功力的地方。