ISO26262汽车功能安全HARA案例分析

HARA（Hazard Analysis and Risk Assessment）分析，即危害分析和风险评估，是ISO 26262标准中定义的一种方法，用于识别和分类由项目（Item）故障行为引起的危险事件，并确定与预防或减轻这些危险事件相关的安全目标和相应的汽车安全完整性等级（ASIL）。HARA分析是功能安全开发流程中的关键步骤，它的结果直接影响到后续功能安全概念（FSC）的制定和整个安全生命周期的管理。

一、HARA分析的目的

1、识别危害事件

识别危害事件的目标是分析由于E/E系统故障可能导致的危险事件。

比如高级驾驶辅助系统（ADAS）中的自适应巡航控制（ACC）功能，根据ISO 26262标准，以下是一些可能与ACC系统相关的危害事件：

1.1 系统故障导致的错误行为

传感器故障：雷达或摄像头等传感器失效可能导致ACC系统无法正确监测前车距离或速度2。

软件错误：系统软件缺陷可能引起ACC控制逻辑错误，造成车速控制不当。

1.2 驾驶员依赖过度

过度信任：驾驶员可能过分依赖ACC系统，导致在紧急情况下反应不及时。

1.3 环境因素影响

恶劣天气：大雨、大雪或浓雾可能影响传感器的性能，降低ACC系统的可靠性。

1.4 系统局限性

静止目标识别：ACC系统可能无法识别静止或缓慢移动的目标，如停在路上的车辆或行人。

弯道性能：在急弯或弯道中，ACC系统可能无法维持与前车的安全距离

2、分类危害

对识别的危害事件进行分类是风险管理过程中的一个关键步骤，它有助于确定哪些危害需要优先处理以及如何有效地分配资源以降低风险。在汽车高级驾驶辅助系统（ADAS）的自适应巡航控制（ACC）功能中，危害事件可以根据几个不同的维度进行分类：

2.1 按严重性分类：

高：可能导致严重伤害或死亡，如高速追尾事故。

中等：可能导致轻伤或中度财产损失，如低速碰撞。

低：可能导致轻微的不便或非常小的财产损失，如不必要的急刹。

2.2 按发生概率分类：

高概率：经常发生的事件，如传感器在恶劣天气下的性能下降。

中等概率：偶尔发生的事件，如系统软件错误。

低概率：很少发生的事件，如硬件故障。

2.3 按可检测性分类：

明显：危害事件容易通过系统监测或驾驶员观察发现。

隐匿：危害事件难以通过常规监测发现，可能需要复杂的诊断程序。

2.4 按可控性分类：

可控：驾驶员或系统能够采取措施来避免或减轻危害。

部分可控：在某些情况下，驾驶员或系统可以采取措施，但不是所有情况下都能做到。

不可控：危害事件一旦发生，无法通过驾驶员或系统干预来控制。

2.5 按危害来源分类：

技术故障：由系统硬件或软件故障引起。

人为因素：由驾驶员错误或不当行为引起。

环境因素：由外部环境条件，如恶劣天气或道路状况引起。

2.6 按影响范围分类：

单一车辆：影响仅限于装备ACC的车辆。

多车辆：可能影响其他道路使用者，如附近车辆或行人。

2.7 按法律和规范要求分类：

合规性：与现有法律和安全规范相违背的事件。

建议性：虽然不违反规范，但可能引起公众关注或客户满意度下降的事件。

2.8 按系统组件分类：

传感器：与雷达、摄像头等传感器相关的故障。

执行器：与制动、加速等执行器相关的故障。

控制单元：与系统控制逻辑和决策算法相关的故障。

通过这样的分类，可以更系统地评估每个危害事件的风险等级，并制定相应的风险缓解措施。风险评估通常结合了严重性、发生概率和可控性等多个因素，以确定风险的优先级。高严重性和高发生概率的危害事件通常会被赋予更高的优先级进行处理。

3、 制定安全目标：

基于危害事件制定预防或减轻措施的安全目标，对于ACC系统中的每个危害事件。

3.1安全目标制定的范围

传感器故障：确保系统在传感器故障时能够安全地降级或警告驾驶员。

软件错误：实现软件故障检测和纠正机制，以防止非预期行为。

过度依赖：通过驾驶员培训和系统设计减少对ACC系统的不当依赖。

恶劣天气：提高传感器和系统的鲁棒性，以适应恶劣天气条件。

静止目标识别：改进系统以可靠地检测和响应静止或缓慢移动的目标。

弯道性能：优化系统以保持弯道中的安全车距。

安全目标应该是SMART的，即具体（Specific）、可测量（Measurable）、可实现（Achievable）、相关（Relevant）和时限（Time-bound）。

3.2 确定ASIL等级：

为每个安全目标分配相应的ASIL等级，确保风险降至可接受的程度。确定汽车安全完整性等级（ASIL）是ISO 26262标准中一个关键步骤，它涉及到对汽车电子电气系统潜在故障的风险评估。ASIL等级的确定基于三个主要因素：

严重性（Severity, S）：评估故障可能造成的伤害程度，通常分为四个等级：S0（无伤害）、S1（轻微或中等伤害）、S2（严重或危及生命）、S3（危及生命到致命伤害）。

暴露性（Exposure, E）：评估驾驶者或乘客暴露于潜在危险情况的频率，也分为四个等级：E0（几乎不可能发生）、E1（低概率）、E2（中等概率）、E3（高概率）、E4（非常高概率）。