FuSaCert · 功能安全学习
HARA 与 ASIL 怎么做：非预期驱动力教学示例
HARA 的核心不是先选一个 ASIL，而是把相关项、故障行为和具体运行场景说清楚。下面用“驾驶员希望减速时出现非预期正向驱动力”的简化例子，展示一条可以讨论和追溯的分析链。
依据 ISO 26262-3:2018 的概念阶段结构进行原创解释。车辆、场景和 S/E/C 评级均为教学假设；本例不构成任何实际车型或系统的安全评估。
1. 定义相关项与故障行为
教学相关项：依据驾驶员请求提供车辆正向驱动力的控制功能。简化边界包括请求输入、驱动力控制与输出接口；具体执行器、车辆动力学和其他系统需要在真实相关项定义中补齐。
故障行为：驾驶员要求减速时，控制功能仍产生非预期正向驱动力。这里只描述偏离预期功能的行为，不预先假设由某一个传感器、软件缺陷或硬件故障导致。
2. 将危害放进运行场景
教学运行场景：车辆在道路上跟随前车行驶，需要减速以保持车距。非预期正向驱动力使车辆难以维持安全间距，可能发生碰撞并伤及人员。
“非预期驱动力”是故障行为；“车辆运动导致人员受到伤害的潜在来源”涉及危害；结合跟车运行场景后，才形成待评估的危害事件。不同车速、距离、道路和参与者会改变分析条件。
3. 给出 S/E/C 假设及待验证依据
下表刻意选择一个高风险的教学组合，以演示分类到安全目标的链条。它不表示此功能在任何运行场景下都应选相同评级。
| 维度 | 教学假设 | 为什么这样假设 | 真实项目需要的依据 |
|---|---|---|---|
| 严重度 S | S3 | 假定该碰撞可造成危及生命或致命伤害。 | 碰撞条件、速度、受影响人员及伤害分析。 |
| 暴露度 E | E4 | 假定相关的道路跟车运行场景具有高暴露。 | 车辆用途与运行场景资料；不是控制器失效概率。 |
| 可控性 C | C3 | 假定危险发生后，受影响人员难以通过反应避免伤害。 | 驾驶员反应、可用控制、场景约束及分析或试验证据。 |
仅在以上教学假设成立时
S3 / E4 / C3 → ASIL D
查表结果；不是对真实车辆的统一评级
4. 从风险分类到安全目标
对上述教学组合，按 Part 3 表 4 得到 ASIL D。ASIL 来源于分类表，不能把 S、E、C 当作数字直接相乘。
教学安全目标草案：防止在驾驶员要求减速的指定运行条件下出现导致上述危害事件的非预期正向驱动力。该目标关联本例的 ASIL D；实际表述仍需结合完整 HARA 精化。
后续功能安全概念需要说明安全行为、职责分配、适用条件和时间约束。本例没有车辆数据，因此不编造安全状态、故障容错时间间隔（FTTI）或制动能力数值。
5. 三个常见误区
把 E 当作故障概率
先问车辆有多大机会处于相关运行场景，再判断暴露度；不要把芯片故障率直接代入。
用未落实的安全措施降低初始风险
不要因为“以后会增加监控”就提前降低本例评级。真实分析应按标准规定的边界和假设开展，并明确所考虑措施的条件。
只有评级，没有理由
S3/E4/C3 只是结论标记。可复核的场景定义、证据和不确定性处理，才让评审者理解这项判断。
常见问题
- 同一个功能为什么可能有不同 ASIL？
- 危害事件由危害与运行场景共同确定。运行场景、伤害可能性和可控性改变时，分类可能不同；分析不能只给功能贴一个固定等级。
- QM 是不是表示什么都不用做？
- QM 表示该分类未形成 ASIL 等级，不等于产品没有风险或可以取消常规质量管理。其他危害事件仍需要分别分析。
- HARA 与 FMEA 可以互相替代吗？
- 两者关注点不同。HARA 从相关项的故障行为和运行场景研究危害事件；FMEA 系统地研究对象的失效模式及影响，可支持进一步分析，但不能替代完整 HARA。
依据与范围
- ISO 26262-3:2018 · ISO 官方目录
转述依据：第 5 章相关项定义；第 6 章 HARA，特别是 6.4.3 分类、表 4 ASIL 确定及 6.4.4 安全目标。评级与安全目标措辞为教学示例。