Process HAZOP for 汽车 E/E 制造、充电与 HV 测试深度
本质与导读
本质 Bahr Chapter 6 的 HAZOP / what-if / checklist 不是化工行业专属模板,而是一种把"流程节点偏差"系统扫出来的方法。迁移到汽车 E/E 时,它保护的工程不变量是:制造、充电、热管理、HV 测试和产线作业中的危险,常常不是某个器件失效本身,而是能量、物料、软件状态、人员动作和工装顺序在错误节点以错误方向偏离;这些偏差必须先被结构化发现,再用 barrier、bow tie、energy trace 或 cause-consequence 连接到控制和证据。
主线坐标:横轨 · 功能安全(跨站) · process safety / production safety / E/E test safety。
学习目标
本页把 Bahr 的流程安全工具迁移到汽车 E/E,重点讲方法分工和工程落点,不重复 FTA、FMEA、FMEDA 的底层算法。
- 用 node、parameter、guideword、deviation 定义汽车 E/E 场景里的 HAZOP 分析单元。
- 把 No / More / Less / As well as / Part of / Reverse / Other than 迁移到制造、充电、热管理、HV 测试和产线安全。
- 判断什么时候用 what-if/checklist 快速筛选,什么时候必须升级到 HAZOP 或更深分析。
- 用 barrier / bow tie 区分 prevention barrier、mitigation barrier 与 residual risk communication。
- 用 energy trace barrier analysis 把 HV、电池、热、机械、气动、化学和软件授权路径同时纳入分析。
- 用 cause-consequence 把左侧原因链与右侧后果分支接起来,避免只看 cause 或只看 consequence。
- 为汽车 E/E 项目输出 HAZOP worksheet、action register、barrier register 和 test readiness evidence。
1. Process safety 在 E/E 里的边界
Process safety 的对象不是"化学管线",而是任何有顺序、能量、状态转换和人工介入的工程过程。汽车 E/E 的危险经常藏在生产、测试、维修、充电和热管理流程里,这些流程跨越硬件、软件、工装、人员和设施,单靠元件失效表很难覆盖。
1.1 为什么不是再做一张 FMEA
FMEA 从 item 或功能出发问"它怎样失效";HAZOP 从流程节点出发问"这个节点的关键参数怎样偏离设计意图"。两者互补,但不能互相替代:产线 HV 测试里,连接顺序、互锁旁路、测试脚本版本、夹具接触、电容残压和操作员响应都可能组成危险路径,其中很多不是某个零件的自然失效模式。
| 方法 | 起点 | 最强问题 | 在 E/E 场景里的盲区 |
|---|---|---|---|
| HAZOP | node + design intent | 这个流程参数是否偏离 | 不擅长直接给 FIT 或 PMHF |
| What-if/checklist | 专家问题 + 清单 | 快速发现明显异常和遗漏 | 只和问题质量一样好 |
| ETBA | energy path + target | 能量如何到达脆弱目标 | 需要和流程顺序结合 |
| Bow tie | hazardous condition | barrier 是否完整且可沟通 | 本身不是新概率模型 |
| Cause-consequence | initiating event | 原因和后果如何贯通 | 输入概率仍需其他工具给出 |
1.2 汽车 E/E 的五类 process node
把 process safety 接入汽车项目时,先不要急着画树,而要把系统切成可评审的 node。node 应该足够小,小到团队能说清设计意图、关键参数、正常边界、异常检测和现有 safeguard;也不能小到每个 pin 都单独开会。
2. HAZOP guideword 迁移
Bahr 的 HAZOP 工作流先定义 node 和 design intent,再把 guideword 逐一施加到 flow、pressure、temperature、composition 等参数上。汽车 E/E 迁移时,参数可以扩展为 voltage、current、software state、thermal flow、fixture contact、operator action 和 timing,但每一行仍必须回答 cause、effect、safeguard、risk before / after、recommendation 和 closure status。
2.1 Guideword 不是词表,是偏差生成器
Guideword 的价值在于强迫团队系统扫偏差,避免只讨论已经想到的事故。对 E/E,同一个词在不同参数上会生成完全不同的 hazard:No flow 可能是冷却液无流量,No voltage 可能是低压掉电,No state transition 可能是测试脚本卡在 HV enabled 状态。
| Guideword | E/E 参数翻译 | 示例偏差 | 典型后果 |
|---|---|---|---|
| No | 无流量、无电压、无通信、无状态转换 | 冷却泵无流量但 inverter 继续测试 | 器件过热、夹具损坏、人员暴露 |
| More | 电流更高、压力更高、温度更高、权限更多 | EOL hi-pot 电压高于工艺卡 | 绝缘损伤、误判合格、触电风险 |
| Less | 预充不足、固化不足、扭矩不足、放电不足 | 主动放电时间不足即允许拔枪 | 残压暴露、维修触电 |
| As well as | 多了异物、多了旁路、多了旧版本 | 测试治具同时接入调试电源和量产电源 | 反灌、误上电、诊断失效 |
| Part of | 只执行部分流程、只更新部分软件 | MCU 更新完成但 safety monitor 仍旧版本 | 版本不一致、监控阈值错配 |
| Reverse | 反向流、反向电流、反向顺序 | 冷却液反接或充电继电器先合主回路 | 热失控窗口变短、接触器应力 |
| Other than | 非预期模式、非授权人员、非目标 DUT | 产线脚本跑到工程 debug mode | barrier 被旁路、错误参数写入 |
2.2 HAZOP worksheet 要能闭环
HAZOP 会议不应变成现场设计解决方案的马拉松。Bahr 的建议是会议聚焦识别偏差、后果、现有 safeguard 和建议调查项;真正的成本、设计方案和残余风险接受放到 action closure 流程里完成。
| 字段 | 写法 | 审核问题 |
|---|---|---|
| Node / intent | "EOL 主动放电测试:确认 DC link 在允许时间内低于安全阈值" | 是否有清晰正常意图 |
| Deviation | "Less discharge time" 或 "Other than production script" | 是否由 guideword 生成 |
| Cause | 接触器状态反馈延迟、脚本版本错、夹具漏接 | 是否覆盖人、软件、工装、硬件 |
| Effect | 残压暴露、误放行、二次维修触电 | 是否写到脆弱目标 |
| Safeguards | HVIL、残压测量、门禁、双手按钮、脚本签名 | 是 prevention 还是 mitigation |
| Recommendation | 增加独立残压读取、脚本 hash gate、夹具插入检测 | 是否是行动项而非口号 |
| Closure | owner、due date、验证记录、残余风险接受 | 是否能进入 safety case 或 EHS 证据 |
2.3 团队组成决定发现质量
HAZOP 是团队方法,不是安全工程师独自填表。汽车 E/E 的高价值 HAZOP 应让 process engineer、E/E design、software、test、manufacturing、maintenance、EHS、quality 和 supplier engineer 坐在同一张图前,因为危险常常发生在组织接口而不是单一专业边界内。
这条规则尤其适用于 plant modification 和工程变更。产线增加一个 HV bypass connector、把水泵供应商换掉、把 EOL 脚本从手动升级成自动分发、把充电口锁止机构改版,都可能让原本关闭的流程 hazard 重新打开。
3. What-if/checklist 的位置
What-if/checklist 比 HAZOP 轻,因此适合早期筛选、变更评审、contingency planning 和时间紧迫的 test readiness review。它的问题也正来自轻量:问题没问到就不会被发现,所以它不能承担高后果 node 的主分析。
3.1 把清单改写成问题
Bahr 建议把安全清单改写成 what-if 问题,这样清单不再只是 yes/no 审核,而会引导团队讲出后果。汽车 E/E 项目可以把 HV、thermal、software state、fixture、operator、maintenance 和 emergency response 分别做成问题族。
| 问题族 | What-if 问题 | 触发升级 |
|---|---|---|
| HV 能量 | 如果接触器未断开但界面显示 safe 会怎样 | 人员可接触 HV 或残压 |
| 软件状态 | 如果产线脚本跑到 debug mode 会怎样 | 写入量产禁用的安全参数 |
| 工装夹具 | 如果夹具只接触一半或反向接入会怎样 | 测试结果误判或反灌 |
| 热管理 | 如果冷却液无流但功率测试继续会怎样 | 器件过温或热事件 |
| 人员动作 | 如果维修旁路未移除而车辆下线会怎样 | field barrier 永久失效 |
| 应急响应 | 如果报警发生时操作员看不到或听不到会怎样 | mitigation 超过允许时间 |
3.2 用 funnel 控制分析成本
What-if/checklist 的正确用法是把宽问题漏斗化:先覆盖所有 node,再把高后果、弱 safeguard、信息缺口或强人工依赖的场景升级。升级后的工具可以是 HAZOP、ETBA、bow tie、cause-consequence、FTA、FMEA 或 test safety review,取决于缺的是偏差覆盖、能量路径、barrier 可视化、后果分支还是概率证据。
| 筛选条件 | 保持 checklist | 升级分析 |
|---|---|---|
| 低能量、低后果、现有 barrier 清晰 | 记录通过和证据 | 不需要深挖 |
| 高 HV / 热 / 机械能量 | 不足以关闭 | ETBA 或 HAZOP |
| 多个 prevention / mitigation barrier | 可做初筛 | Bow tie 或 event tree |
| 人员动作是主 barrier | 需要质疑 | HRA / task analysis + HAZOP |
| 需要概率和割集 | 不适合 | FTA / FMEDA |
| 变更影响不清 | 不足以放行 | HAZOP change review |
3.3 Checklists 的失效模式
Checklist 最大风险是被当成主控制。比如"操作员确认 HV safe lamp"不是等价于"HV 已被物理隔离并独立测得残压低于阈值";"维修人员受过培训"也不是等价于"旁路件无法随车下线"。
在汽车 E/E 里,清单只能作为 capture 和 gate,不能替代工程 barrier。若某条高后果路径最后只靠培训、标签、作业指导书或人工复核关闭,评审应强制追问为什么不能设计消除、互锁、硬件检测或自动降能。
4. Barrier / bow tie / energy trace 的接入
HAZOP 和 what-if 找到偏差以后,还要证明控制措施在事故链上的位置和强度。Bahr Chapter 9 的 ETBA、cause-consequence 和 bow tie 给了三种补强方式:按能量路径找 target,按触发事件展开后果,按 barrier 左右分层沟通。
4.1 ETBA 从能量开始,不是从部件开始
Energy trace barrier analysis 的核心问题是"哪种能量会沿什么路径到达哪个 vulnerable target,中间 barrier 是否足够"。汽车 E/E 场景里,能量不只包括 HV 电能,还包括 DC link 储能、电池化学能、冷却液压力、旋转机械能、热能、气动夹具能量、机器人动能和软件授权能量。
4.2 Bow tie 是 barrier 视图
Bow tie 把 hazardous condition 放在中间,左边画 threats 和 prevention barriers,右边画 consequences 和 mitigation barriers。它适合把 HAZOP 的多个偏差汇总成管理层、产线和供应商都能看懂的一页图,但它不是概率计算器;概率仍来自 FTA、FMEDA、现场数据或专家判断。
以 "EOL HV test leaves accessible residual voltage" 为中心事件,左侧 threat 可以是 discharge relay stuck open、script skipped discharge step、fixture sense lost、operator opens guard early;prevention barrier 包括独立残压测量、门锁联锁、脚本状态机、接触器反馈。右侧 consequence 可以是无伤害停线、DUT 损坏、人员触电、法规或客户审核 NC;mitigation barrier 包括紧急断电、绝缘工具、应急响应、事故上报和隔离复检。
4.3 Cause-consequence 连通左右两侧
Cause-consequence analysis 比单独 bow tie 更适合需要半定量决策的场景。它可以用 fault-tree 风格得到 challenging event,再用 event-tree 风格展开 barrier success / failure 和后果等级。
汽车 E/E 中,适合 cause-consequence 的场景通常有三类:第一,高后果但 barrier 层数多,如充电时 HV 暴露;第二,测试或产线决策需要比较方案,如增加独立残压通道是否值得;第三,事故调查后要证明 corrective action 能切断原因链并降低后果路径。
5. 五个场景的落地写法
方法只有落到具体场景才有价值。下面五类场景刻意避开已有 FTA/FMEA 页的失效树和失效模式细节,只展示 HAZOP / what-if / barrier 方法如何定义 node、偏差和行动项。
5.1 制造:灌封和固化过程
灌封不是普通工艺参数问题,因为它会改变绝缘、散热、应力和可维修性。一个 "Less cure" 偏差可能在 EOL 绝缘测试时还过关,却在热循环后形成空洞、爬电路径或传感器漂移。
| Node | Deviation | Cause | Effect | Barrier / action |
|---|---|---|---|---|
| 灌封配比 | Part of mix missing | 双组分泵校准漂移 | 局部未固化,绝缘和散热劣化 | 重量闭环、批次追溯、抽检切片 |
| 固化炉 | Less temperature / time | 工装堆叠改变热惯量 | 后续 HV 测试误放行 | 炉温 mapping、DUT 温度见证件 |
| 清洗 | As well as residue | 清洗剂残留或离子污染 | 长期漏电、腐蚀 | 离子污染测试、干燥 interlock |
| 编程 | Other than release image | 工程镜像误入量产 | 诊断或安全阈值错 | 签名 gate、MES 版本锁定 |
5.2 充电:插枪到接触器闭合
充电流程的危险来自状态机和物理接口错位。HAZOP 应把 CP / PP、锁止、绝缘、预充、接触器、BMS 允许、桩端通信和用户可接触界面作为同一条 process node 链,而不是只分析车端 ECU。
5.3 热管理:冷却路径偏差
热管理 HAZOP 要同时看流体路径和控制路径。冷却液流量看似是机械问题,但阀门命令、PWM 驱动、传感器 plausibility、derating 策略和 HV 下电后的 12 V 可用性共同决定 barrier 是否有效。
| Deviation | 场景 | Hazard | Barrier |
|---|---|---|---|
| No flow | 泵失效或阀 stuck closed | inverter 功率测试中过热 | 流量开关、温度斜率、功率 inhibit |
| Less flow | 冷却液混入空气或过滤器堵塞 | derating 迟滞,热裕量消失 | 压差监测、排气工艺、维护提醒 |
| Reverse flow | 管路装反或阀逻辑反 | 局部热点不被传感器看到 | 装配防错、方向传感、EOL 热响应 |
| As well as | 冷却液泄漏到电连接器 | 漏电、腐蚀、HV 绝缘下降 | 泄漏检测、隔离槽、IP 验证 |
5.4 HV 测试:test safety 三层
Bahr Chapter 9 的 test safety 思想很适合 EOL 和实验室 HV 测试:测试设施、测试台架、测试件三层都要做安全输入。只分析 DUT 不够,因为伤人的往往是台架能量、夹具残压、人员进入时机或异常中止流程。
5.5 产线安全:旁路和变更
产线安全的危险常来自临时性:临时旁路、临时脚本、临时夹具、临时返修流程和临时授权。HAZOP 对这些临时状态特别有效,因为 guideword "Other than" 和 "As well as" 会逼团队问出非标准路径。
一个实用规则是:所有 bypass 都必须有物理 token、电子 token、有效期、owner 和撤销验证。若某个 bypass 可以在 MES、车辆、诊断仪或夹具上无痕留下,它就不是程序问题,而是 barrier 设计问题。
6. Technique selection
Bahr 的 technique comparison 提醒工程师:选错工具通常不是灾难,但会浪费时间或给不出足够数据。汽车 E/E 的选择规则应从证据缺口出发,而不是从模板目录出发。
6.1 用证据缺口选工具
每条 HAZOP 或 what-if 发现都应被分流到一种最能补证据缺口的工具。不要把所有发现都推进 FTA,也不要把所有发现都停在 checklist;深度必须和后果、复杂度、数据需求、人员参与和软件参与程度相称。
| 证据缺口 | 首选工具 | 输出 |
|---|---|---|
| 还不知道有哪些偏差 | HAZOP | node deviation register |
| 时间紧,先筛危险 | What-if/checklist | screening action list |
| 不知道能量如何伤人 | ETBA | energy path and barrier map |
| 需要向管理层解释 barrier | Bow tie | threat-control-consequence view |
| 需要贯通概率和后果 | Cause-consequence / event tree | branch risk contribution |
| 需要元件失效概率 | FTA / FMEDA | cut set、FIT、diagnostic coverage |
| 需要人因任务证据 | HRA / task analysis | human action reliability evidence |
6.2 Stop rule:什么时候足够
分析足够的标志不是"模板填完",而是每条不可接受或 undesirable 偏差都有 owner、控制措施、验证证据和残余风险接受路径。若某条偏差仍停留在 "review procedure" 或 "train operator",且后果涉及 HV、热事件、机器人、化学品或 safety mechanism 失效,就还没有足够。
Stop rule 可以写成四问:危险路径是否被定义;barrier 是否按 prevention / mitigation 分类;barrier 是否有独立验证;变更后谁负责重开分析。四问任一答不上来,就不应关闭。
7. 反模式
这些反模式在汽车 E/E 项目里很常见,因为组织习惯把生产、EHS、功能安全、测试和软件 release 分开管理。Process HAZOP 的价值正是把这些接口处的危险拉回同一张表。
7.1 把 HAZOP 当设计评审会议
HAZOP 会议的主目标是系统发现偏差,不是现场完成所有设计权衡。若每发现一条偏差就陷入方案争论,会议会漏掉后面的 node;正确做法是记录 recommendation 和 owner,会后按风险优先级关闭。
7.2 把 checklist 当 barrier
Checklist 是发现问题和执行 gate 的工具,不是物理或逻辑 barrier。高后果场景必须优先设计消除、硬件互锁、独立检测、自动降能或默认安全状态,再把 checklist 用作确认和留证。
7.3 只看车上 ECU,不看工装和人
很多产线危险在 ECU 内部没有故障:工装把 HV 接到错误端子、脚本对错件写入参数、维修旁路未撤销、操作员在 alarm fatigue 下忽略提示。这些是 process hazard,不是单纯 ECU FMEA。
7.4 Barrier 没有 owner 和 proof
Bow tie 上画了很多 barrier 不等于安全。每个 barrier 都要有 owner、proof、test interval、bypass rule 和 degradation response;否则只是图形化愿望。
缩写表
本页缩写集中在 process safety 与汽车 E/E 交叉处,单项方法的数学符号进入对应 deep 页。
| 缩写 | 全称 | 含义 |
|---|---|---|
| BMS | Battery Management System | 电池管理系统 |
| CP / PP | Control Pilot / Proximity Pilot | 充电接口状态和连接检测信号 |
| DUT | Device Under Test | 被测件 |
| EHS | Environment, Health and Safety | 环境、健康与安全管理 |
| EOL | End of Line | 产线下线测试 |
| ETBA | Energy Trace Barrier Analysis | 能量路径与屏障分析 |
| HAZOP | Hazard and Operability Study | 用 guideword 识别流程偏差的方法 |
| HV | High Voltage | 高压系统 |
| LOTO | Lockout / Tagout | 能量隔离挂牌上锁 |
| MES | Manufacturing Execution System | 制造执行系统 |
核心要点
把 Bahr Chapter 6 和 Chapter 9 用到汽车 E/E,关键是把流程偏差、能量路径和 barrier 证据连成闭环。
- HAZOP 从 node + design intent 出发,用 guideword 生成 deviation;它特别适合制造、充电、热管理、HV 测试和产线安全。
- What-if/checklist 适合快速筛选和变更评审,但不能作为高后果 node 的唯一主分析。
- Guideword 可以从化工参数迁移到 voltage、current、software state、fixture contact、operator action、thermal flow 和 timing。
- ETBA 用能量源、路径、target 和 barrier 发现危险,能补上 FMEA 对人员、设施、工装和流程暴露的盲区。
- Bow tie 是 barrier 视图,适合沟通 prevention / mitigation 是否完整,但不是新的概率模型。
- Cause-consequence 把左侧原因链和右侧后果分支接起来,适合高后果且 barrier 层数多的场景。
- 高后果路径若主要靠 procedure、training 或 warning 关闭,必须升级评审,优先寻找更强的设计或硬件 barrier。
- HAZOP 关闭条件是 owner、控制措施、验证证据、残余风险接受和变更重开规则齐全。
Engineering Objects
这些对象名用于把本页方法接到 wiki 里的需求、测试、产线和 safety case 证据链。
- method ·
method_process_hazop_e_e— node + design intent + guideword + deviation + safeguard + closure。 - artifact ·
artifact_hazop_deviation_register— 汽车 E/E 流程偏差表,覆盖 cause、effect、safeguard、recommendation、owner 和 status。 - artifact ·
artifact_barrier_register— prevention / mitigation barrier、owner、proof、bypass rule 和 test interval。 - gate ·
gate_hv_test_readiness_review— HV 测试前的 facility、test bed、test article 三层 readiness gate。 - interface ·
interface_hazop_to_safety_case— HAZOP action closure 到 safety case residual risk / production safety evidence 的接口。
Cross-references
- ← 索引
- Bahr-style System Safety Engineering and Risk Assessment — 本页是其 Chapter 6 process safety 与 Chapter 9 technique selection 的深挖。
- Event-Tree Risk Evaluation 深度 — 承接 cause-consequence 和 barrier success / failure 的后果分支评价。
- HV Safety — 为充电、残压、互锁和 HV 测试场景提供高压安全背景。
- EV 功能安全开发 — 把 process HAZOP 发现接回 HARA、FSC、TSC 和安全域协同。
- Fault Tree Analysis 深度 — 当 HAZOP 发现需要顶事件概率或割集时进入 FTA。
- FMEA 实战指南 — 当 HAZOP 发现需要元件失效模式展开时进入 FMEA,但两者起点不同。
- DFA / FMEDA / FTA — 对比 ISO 26262 常用分析方法,避免把 process deviation 误写成单纯 FMEDA 问题。
来源: Nicholas J. Bahr, System Safety Engineering and Risk Assessment: A Practical Approach, Second Edition, Chapter 6 Process Safety Analysis and Chapter 9 Other Techniques;本页为汽车 E/E 工程迁移与改写,未复制书中长段落。