HARA Worked Example 深度 — 主驱意外加速 → ASIL D 全流程
本质与导读
本质 HARA 是 ISO 26262 V-cycle 的入口:没 HARA 就没 ASIL、没 ASIL 就没 Safety Goal。本例主驱意外加速经 S3×E4×C3 定为 ASIL D,锁死顶层安全约束——扭矩严格跟随驾驶员意图,单点失效不得多出 +50Nm,安全机制响应 ≤100ms。
1. HARA 6 步全流程
下图把主驱意外加速作为 worked example,把 HARA 6 步走完 — 从场景 → ASIL D 一步不落:
6 步分别:
- Situation — 描述使用场景(速度 / 道路 / 环境 / 模式)
- Hazard — 描述危害事件(整车级,非组件级)
- Severity (S) — 后果有多严重 (S0-S3)
- Exposure (E) — 发生频次 (E0-E4)
- Controllability (C) — 驾驶员能否避险 (C0-C3)
- ASIL 推导 — 正文 Table 4 查表,转 Safety Goal
2. ① Situation — 使用场景
Situation 是车辆层面的描述,不涉及组件:
- 操作模式:Drive(D 档)
- 道路类型:高速公路
- 速度:120 km/h
- 环境:湿滑路面
- 周边:30m 前有车
- 驾驶员状态:正常清醒
关键:不写"主驱控制器故障"—— 那是 failure mode,不是 situation。Situation 是 "如果故障发生时,车辆所处的客观环境"。
3. ② Hazard — 危害事件
Hazard 是整车级别的危害,不是组件故障。
主驱意外加速场景:
- Hazard:主驱意外加速 — 输出扭矩超出驾驶员意图
- 不是 hazard: "MCU SW bug" / "扭矩传感器读错"(这些是 root cause,在 FMEA 里)
ISO 26262 范围 vs SOTIF 范围:
本例完全在 ISO 26262 范围内:扭矩信号错误 = 故障。
4. ③ Severity (S) — 后果严重度
ISO 26262 Annex B Table B.1 把 S 分 4 档:
| S 等级 | 描述 | 例子 |
|---|---|---|
| S0 | 无伤 | 划伤,小擦痕 |
| S1 | 轻伤 | AIS 1-2,可恢复 |
| S2 | 重伤可逆 | AIS 3-4 |
| S3 | 致命 / 重伤不可逆 | AIS 5-6 |
本场景推导:
- 120 km/h + 前方 30m + 湿滑路面 → 假设主驱意外 +100% 扭矩
- 反应时间约 1s,车速增至 130-140 km/h
- 制动距离 80m+,几乎必撞前车
- 高速撞击 → 致命 / 重伤不可逆 → S3
5. ④ Exposure (E) — 暴露频次
ISO 26262 Annex B Table B.2 把 E 分 5 档:
| E 等级 | 时长占比(运行时间,Table B.3 判据) | 例子 |
|---|---|---|
| E0 | 不发生(incredible) | 极端罕见 |
| E1 | 很低(一年 <1 次 / 时长极小) | 越野 / 拖车 |
| E2 | 低(< 1%) | 雪地驾驶 |
| E3 | 中(1-10%) | 城市拥堵 |
| E4 | 高(> 10%) | 加速 / 巡航 |
注:ISO 26262-3 暴露有时…
注:ISO 26262-3 暴露有时长(Table B.3,上表)与频率(Table B.2)两套判据,需分别引;高速巡航按时长占比 >10% 即定 E4,无需 99%。
本场景推导:
- 高速公路 + 120 km/h 巡航 = 几乎每个司机每天都经历
- E = E4
6. ⑤ Controllability (C) — 可控性
ISO 26262 Annex B Table B.3 把 C 分 4 档:
| C 等级 | 描述 | 例子 |
|---|---|---|
| C0 | 可控 | 任何司机能避险 |
| C1 | 简单可控 | 99% 司机能避险 |
| C2 | 部分可控 | 90% 司机能避险 |
| C3 | 几乎不可控 | < 90% 司机能避险 |
本场景推导:
- 高速 120 km/h + 湿地 + 30m 间距 + 突发意外加速
- 司机反应时间 0.7-1.5s
- 期间车辆已加速到 130-140 km/h,跟前车间距 ≤ 10m
- 即使刹车,湿地刹车距离不够
- 绝大多数司机无法避险 → C3
7. ⑥ ASIL 推导
ISO 26262 正文 Table 4(Clause 6) 把 S × E × C 转 ASIL:
| S × E × C | ASIL |
|---|---|
| S3 × E4 × C3 | D |
| S3 × E3 × C3 | C |
| S3 × E2 × C3 | B |
| S2 × E4 × C3 | C |
| S2 × E4 × C2 | B |
| S1 × E4 × C2 | A |
本场景 S3 × E4 × C3 → ASIL D
三轴独立性 + 工况敏感性:S/E/C 必须各自独立打分(先描述完 hazard 再分别评,不能用目标 ASIL 反推)。同一 hazard"意外加速"换工况,ASIL 显著变:
| 工况 | S | E | C | ASIL |
|---|---|---|---|---|
| 高速 120 km/h(本例) | S3 | E4 | C3 | D |
| 城区 50 km/h 拥堵 | S2 | E3 | C2 | A |
| 停车场 < 10 km/h | S1 | E2 | C1 | QM/A |
因果:低速碰撞动能小(S↓)、该工况占行驶时间比例低(E↓)、驾驶员有时间避险(C↓),三轴同向回落 → ASIL 大幅降。所以 HARA 必须逐工况评,不能只取最恶劣一条代全部。
ASIL D = 最高安全等级,对应:
- SPFM ≥ 99% / LFM ≥ 90% / PMHF ≤ 10 FIT
- HW 必须 ISO 26262 cert
- SW 必须 MISRA C + 完整单元测试 + Coverage ≥ 90%
- 项目周期 18-24 个月
8. Safety Goal 转化
ASIL D 的 hazard 转 Safety Goal,SG 是顶层安全约束:
| SG 元素 | 内容 |
|---|---|
| SG ID | SG-001 |
| 描述 | 主驱扭矩输出严格跟随驾驶员意图 |
| 单点失效约束 | 任何单点失效不得产生 > +50Nm 意外扭矩(≈ 典型主驱额定的 ±10%;绝对 Nm 用于具体电机,±10% 额定为通用等价表述) |
| 安全机制响应 | ≤ 100 ms(FTTI ~700ms;100ms 是 SM 响应目标,非 FTTI 本身) |
| ASIL | D |
| 关联 Hazard | HZ-001 主驱意外加速 |
FTTI 与安全机制预算 怎么定的?
- FTTI ≈ 700ms — 故障(扭矩误差)到车辆失控的物理时间(vehicle dynamic 仿真),是危害的固有属性,不是被减出来的
- 约束:FDTI(检测)+ FRTI(反应,含进安全态)≤ FTTI —— driver detect → ECU response → STO/ASC 的总耗时必须塞进 700ms 预算内
- 本例设计目标:该总和 ≤ 100ms(对 700ms FTTI 留足裕度);SafeState 切换 200ms + 测试 buffer 是占用预算的分项,不是从 FTTI 里减
9. SG 拆解到 FSC + TSC
Safety Goal 拆到 Function Safety Concept (FSC):
- FSC-001-1:扭矩信号校验机制(双路冗余 + 投票)
- FSC-001-2:扭矩限制器(MAX = pedal + 50Nm)
- FSC-001-3:SafeState 切换(检测到偏差 → ASC 主动短路放电)
每个 FSC 再拆到 Technical Safety Concept (TSC):
- TSC-001-1-1:torque 传感器 SPI 双 CRC 校验
- TSC-001-1-2:扭矩仲裁运行在 lockstep 双核
- TSC-001-2-1:扭矩限制器在 SBC 硬件实现
- TSC-001-3-1:STO 由独立 hardware 实现(2nd-level safety)
链接:TSC + DIA 深度
10. 实战 — Bosch / 大众 HARA 范例
业界范例验证本例:
- Bosch ESI (Electric Safety Integrated) White Paper:主驱 + Brake combined HARA,5 大 hazard(意外加速 / 意外刹车 / 单轮锁死 / 制动失效 / 转向失效)全部 ASIL D
- 大众 MEB:主驱意外加速 → ASIL D,Safety Goal = "no unintended torque > 50Nm"
- Tesla:类似 framework,但内部 ASIL 分类略不同(用 SQAR Q1-Q4)
结论:EV 主驱意外加速 = ASIL D 是行业共识,新项目 HARA 可直接套用。
11. 常见错误 — Hazard 写法误区
新手 HARA 常犯 5 个错:
11.1 把 root cause 当 Hazard
把 root cause 当 Hazard 的工程特点 + 应用场景:
- ❌ "扭矩传感器读错"(组件故障)
- ✅ "主驱意外加速"(整车 hazard)
11.2 用 ASIL 反推 Hazard
用 ASIL 反推 Hazard 的工程特点 + 应用场景:
- ❌ "我们要 ASIL D,所以这是致命 hazard"
- ✅ Hazard 描述完毕,S/E/C 独立打分
11.3 漏 SOTIF 范围
漏 SOTIF 范围的工程特点 + 应用场景:
- ❌ HARA 把所有"危险"事件都列入
- ✅ 区分 ISO 26262 (故障) vs SOTIF (场景不当)
11.4 一个 Hazard 多个 ASIL
一个 Hazard 多个 ASIL 的工程特点 + 应用场景:
- 同一 hazard 在不同 situation 下可能 ASIL 不同
- e.g., 停车场低速意外加速 = ASIL B,高速 = ASIL D
11.5 漏 FTTI
漏 FTTI 的工程特点 + 应用场景:
- Safety Goal 必带 FTTI(单点失效到危害的时间预算)
- 没 FTTI 后续 SafeState 设计无从下手
核心要点
- HARA 输出 4 件:Hazard list / S/E/C / ASIL / Safety Goal
- S/E/C 三轴打分必有依据(车辆动力学 + 司机反应实验 + 事故统计)
- 区分 ISO 26262 (故障) vs SOTIF (场景不当)
- 主驱意外加速 = ASIL D 是行业共识
- Safety Goal 必带 FTTI,无 FTTI 后续 SafeState 设计无从下手
12. 一句话总结
HARA = ISO 26262 第一道工序 — 6 步 (Situation/Hazard/S/E/C/ASIL) 走完,主驱意外加速场景必然推到 S3 × E4 × C3 = ASIL D,SG = "扭矩跟随,SM 响应 ≤100ms(FTTI ~700ms)"。HARA 推导必须文档化,Polarion 内置模板;S/E/C 三轴打分必有依据(车辆动力学仿真 + 司机反应实验 + 实际事故统计),不能拍脑袋。新项目第一周做 HARA,后续 18 个月安全开发全部基于此推导。
缩写表
只列本页用到的工业标准缩写;通用英语…
只列本页用到的工业标准缩写;通用英语 / 单位 / 月份 / 我们的
层/Lxtag 不列。覆盖不到的术语见正文 inline 注释。
| 缩写 | 全称 | 中文 / 备注 |
|---|---|---|
| HARA | Hazard Analysis and Risk Assessment | 危害分析与风险评估,part 3 |
| ISO | International Organization for Standardization | 国际标准化组织 |
| ASIL | Automotive Safety Integrity Level | ISO 26262 安全完整性等级 QM→A→B→C→D |
| SAE | Society of Automotive Engineers | 美国汽车工程师学会 |
| SG | Safety Goal | 安全目标(ISO 26262-3) |
| QM | Quality Management | ISO 26262 最低等级,只走质量流程 |
| FTTI | Fault Tolerant Time Interval | 容错时间间隔 |
| VCU | Vehicle Control Unit | 整车控制器 |
| EV | Electric Vehicle | 电动车 |
| MCU | Microcontroller Unit | 微控制器(本页多指车规多核 MCU) |
| FMEA | Failure Mode and Effects Analysis | 失效模式与影响分析 |
| SPFM | Single-Point Fault Metric | 单点失效度量 |
| LFM | Latent Fault Metric | 潜伏故障度量 |
| PMHF | Probabilistic Metric for Hardware Failures | 硬件随机失效概率指标 |
| FIT | Failures In Time | 1e9 小时失效率单位 (1 FIT = 1 failure / 1e9 h) |
| ECU | Electronic Control Unit | 电子控制单元 |
| STO | Safe Torque Off | 安全转矩关闭 (IEC 61800-5-2) |
| FSC | Functional Safety Concept | 功能安全概念(part 3) |
| TSC | Technical Safety Concept | 技术安全概念(part 4) |
| SPI | Serial Peripheral Interface | 串行外设接口 |
| SBC | System Basis Chip | 系统基础芯片(电源 + 收发器 + 监控集成) |
| DIA | Development Interface Agreement | 开发接口协议(ISO 26262-8) |
Cross-references
- ← 索引
- 功能安全工程师指南 hub — V-cycle + 8 大主题
- HARA 浅入门 — 概念入门
- TSC + DIA 深度 — SG → FSC → TSC 链 + DIA 责任合同
- ISO 26262 V-cycle 全栈 — HARA 在 V-cycle 位置
- ASIL Decomposition 深度 — D = B(D) + B(D) 拆解
- Functional Safety 工具栈 — Polarion HARA 模板