个人主页云纳星辰怀自在座右铭“所谓坚持就是觉得还有希望”前言案例某BMS项目HARA评审会上团队对“BMS通信丢失导致过充”这一危害事件的ASIL等级争论不休。A工程师认为“电池过充很危险应该是ASIL D”B工程师反驳“通信丢失概率很低ASIL B就够了”。最终审核员指出“你们既没有按场景拆解也没有给出S/E/C的量化依据——这个评分是拍脑袋决定的。”HARA分析的前半程危害识别与场景构建解决了“有什么危害”的问题后半程S/E/C评分与ASIL判定则回答“风险有多大”和“怎么防”。两个半程缺一不可。本文核心目标系统阐述HARA分析的S/E/C评分标准、ASIL判定方法以及安全目标的导出规范。适用读者功能安全工程师、系统架构师、HARA分析人员适用标准ISO 26262-3:2018适用场景HARA分析、功能安全审核准备更新时间2026年9月一、先说结论ASIL由S、E、C三个维度的组合决定容易混淆的说法正确理解ASIL等级由S/E/C三个等级相加得到✅ 通过查ASIL矩阵确定不是简单相加E评估的是零件失效的概率❌ E评估的是驾驶场景的发生概率而非零件失效概率C只评估驾驶员的控制能力✅ C同时考虑驾驶员和其他交通参与者的控制能力同一个功能异常只有一个ASIL等级✅ 同一个功能异常在不同场景下可能对应不同的ASIL等级S评估的是对车辆的损伤程度❌ S评估的是对人的伤害而非对车辆的损伤一句话总结ASIL f(S, E, C)三个维度缺一不可。同一个功能异常在不同场景下可能从QM跨度到ASIL D——精确的场景构建是准确风险评估的前提。二、严重度Severity, S评分标准与实战要点2.1 分级标准严重度量化伤害的严重程度依据AIS简明损伤定级标准等级描述AIS量化基准S0无伤害AIS 0S1轻度和中度伤害10%概率为AIS 1-6且非S2/S3S2严重伤害生存概率大10%概率为AIS 3-6且非S3S3危及生命或致命伤害10%概率为AIS 5-62.2 AIS分级专业参考AIS等级伤害描述AIS 0无损伤AIS 1轻伤表皮擦伤、肌肉酸痛AIS 2中度伤深度撕裂伤、脑震荡伴意识丧失15minAIS 3重伤但非致命颅骨骨折无脑损伤AIS 4重伤生命威胁生存概率高AIS 5危重伤生命威胁生存不确定AIS 6最重伤或致命伤2.3 实战要点要点说明区分人与车必须区分“对人的伤害”与“对车的损伤”——车损再严重只要人没事S等级不能定高碰撞速度是关键碰撞速度是判定严重度的核心因素需基于真实交通事故数据AIS 5-6的严格定义S3要求“10%概率为AIS 5-6”这意味着只有明确涉及生命威胁的场景才能评为S3三、暴露率Exposure, E评分标准与实战要点3.1 分级标准暴露率评估场景的发生概率。等级描述量化参考E0极不可能用于灾难性事件E1极低概率1%绝大多数驾驶员每年1次E2低概率1%~10%绝大多数驾驶员每年几次E3中等概率10%普通驾驶员每月≥1次E4高概率几乎每次驾驶都会发生3.2 核心区分原则评估基准适用条件示例基于持续时间故障发生在场景中评估该场景的持续时间占比如“夜间驾驶”的时长占比基于频率故障已存在在场景中显现评估该场景的发生频率如“进入隧道”的频率⚠️常见错误将E评估为“零件失效的概率”而非“驾驶场景的概率”。E评估的是场景本身的发生概率零件失效概率在其他环节如FMEA中考虑。3.3 标准参考示例场景类别E1E2E3E4道路布局山区无护栏陡坡单行道城市街道高速、二级公路高速、国道路面冰雪、落叶湿滑路面——交通流拥堵末端—拥堵—操纵超车倒车入库走走停停拥堵加速、减速、转向、变道四、可控性Controllability, C评分标准与实战要点4.1 分级标准可控性评估驾驶员或其他交通参与者避免伤害的能力等级描述量化基准C0普遍可控所有驾驶员都能避免伤害C1简单可控≥99%的驾驶员或参与者通常能避免伤害C2正常可控≥90%的驾驶员或参与者通常能避免伤害C3难以控制或不可控90%的驾驶员或参与者通常能或仅勉强能避免伤害4.2 标准参考示例失效场景C1C2C3分心情景、收音机音量突变✓——ABS失效紧急制动—✓—低附路面转弯制动时ABS失效——✓制动完全失效——✓4.3 实战要点要点说明C值越大越危险数字越大可控程度越低需要更高级别的安全措施考虑所有参与者需同时考虑驾驶员和周围交通参与者的控制能力避免高估能力应参考实际交通事故数据避免高估普通驾驶员的反应能力五、ASIL确定矩阵与速查法5.1 ASIL判定矩阵综合S/E/C三维度评分查ISO 26262-3 Table 4确定ASIL等级严重度暴露率C1C2C3S1E1QMQMQMS1E2QMQMQMS1E3QMQMASIL AS1E4QMASIL BASIL BS2E1QMQMQMS2E2QMQMASIL AS2E3QMASIL BASIL BS2E4ASIL AASIL BASIL CS3E1QMQMASIL AS3E2QMASIL BASIL BS3E3ASIL AASIL BASIL CS3E4ASIL BASIL CASIL D矩阵说明QM表示按常规质量管理流程开发即可无额外功能安全要求。ASIL A→D为功能安全等级递增D级要求最严格的安全措施。5.2 简化速查法将SS00 ~ S33、EE00 ~ E44、CC00 ~ C33的等级数值相加然后查下表和值ASIL等级 7QM7ASIL A8ASIL B9ASIL C10ASIL D⚠️重要例外S、E、C中只要有一项为0直接判定为QM不适用上述速查法。5.3 速查法使用条件条件说明S、E、C均≥1速查法适用按和值查表任一为0直接QM不适用速查法六、完整实战案例ACC系统HARA全流程6.1 案例背景沿用第8期的ACC自适应巡航控制系统案例。已识别的功能异常为“非预期急刹车”已构建三个场景。6.2 危害事件清单与评分危害事件ID功能异常场景描述SEC和值ASILHE-001非预期急刹车高速120km/h晴天干燥后车距离50mS3E4C310ASIL DHE-002非预期急刹车高速100km/h雨天湿滑后车距离80mS3E3C39ASIL CHE-003非预期急刹车城市30km/h交叉口有行人S2E4C28ASIL BHE-004非预期急刹车停车场低速无行人S0E2C1—QM6.3 关键洞察同一个“非预期急刹车”的功能异常在不同场景下ASIL等级从QM到D跨度巨大。场景因素对ASIL的影响车速车速越高伤害越重S越高路面条件湿滑路面降低可控性C越高交通密度后方有车时可控性降低C越高是否有行人有行人时伤害风险升高S越高七、最终输出安全目标Safety Goal7.1 安全目标的定义原则原则说明整车层级安全目标必须定义在整车层面而非技术实现层面可验证语言应简洁、明确、可验证合并同类项多个危害事件可合并为一个安全目标ASIL取最高值ASIL继承合并后的安全目标继承最高的ASIL等级7.2 实例转化危害事件转化方向安全目标HE-001ASIL D→防止ACC系统在非必要情况下输出超过阈值的减速度请求ASIL DHE-002ASIL C→合并至上述安全目标继承ASIL DHE-003ASIL B→合并至上述安全目标继承ASIL DHE-004QM→无需导出安全目标按QM开发7.3 安全目标合并示例危害事件合并 HE-001高速晴天非预期急刹车ASIL D HE-002高速雨天非预期急刹车ASIL C HE-003城市非预期急刹车ASIL B ↓ 合并为一个安全目标 “防止ACC系统在非必要情况下输出超过阈值的减速度请求” ↓ ASIL等级取最高值ASIL D八、总结HARA后半程核心要点回顾8.1 核心结论表要点结论ASIL决定因素由S严重度、E暴露率、C可控性三维度组合决定S评分依据基于AIS量表评估对人的伤害非车辆损伤E评分依据评估驾驶场景的发生概率非零件失效概率C评分依据评估驾驶员及交通参与者避免伤害的能力ASIL判定通过ISO 26262 ASIL矩阵查表确定速查法SEC和值7→QM7→A8→B9→C10→D速查法例外S/E/C任一为0 → 直接QM安全目标整车层级的顶层安全需求多个危害事件可合并8.2 同场景不同ASIL的关键原因场景维度变化趋势对ASIL的影响车速升高S上升ASIL上升路面变滑C上升ASIL上升交通变密C上升ASIL上升出现行人S上升ASIL上升夜间行驶C下降视野差ASIL上升8.3 审核要点审核项检查内容S评分依据每个S评分是否有AIS量化依据E评分依据每个E评分是否区分了持续时间与频率C评分依据每个C评分是否考虑了所有交通参与者ASIL判定是否通过标准矩阵确定而非主观判断安全目标是否定义在整车层级语言是否可验证参考资料ISO 26262-3:2018. Road vehicles — Functional safety — Part 3: Concept phase.SAE J2980. Considerations for ISO 26262 ASIL Hazard Classification.AIS 2005. Abbreviated Injury Scale.ISO 26262-3:2018 Annex B. HARA example for ACC system.参考文章ISO26262系列: FSR到TSR转化ISO26262系列: MISRA C与汽车软件的安全工程学ISO26262系列: 故障注入硬件注入与软件注入完整对比ISO26262功能安全系列: 技术安全需求TSR编写ISO26262功能安全系列: Concept Phase工作项指南ISO26262功能安全系列: Item Definition编写指南ISO26262功能安全系列: HARA完全实战手册--从危害识别到安全目标
个人主页云纳星辰怀自在座右铭“所谓坚持就是觉得还有希望”前言案例某BMS项目HARA评审会上团队对“BMS通信丢失导致过充”这一危害事件的ASIL等级争论不休。A工程师认为“电池过充很危险应该是ASIL D”B工程师反驳“通信丢失概率很低ASIL B就够了”。最终审核员指出“你们既没有按场景拆解也没有给出S/E/C的量化依据——这个评分是拍脑袋决定的。”HARA分析的前半程危害识别与场景构建解决了“有什么危害”的问题后半程S/E/C评分与ASIL判定则回答“风险有多大”和“怎么防”。两个半程缺一不可。本文核心目标系统阐述HARA分析的S/E/C评分标准、ASIL判定方法以及安全目标的导出规范。适用读者功能安全工程师、系统架构师、HARA分析人员适用标准ISO 26262-3:2018适用场景HARA分析、功能安全审核准备更新时间2026年9月一、先说结论ASIL由S、E、C三个维度的组合决定容易混淆的说法正确理解ASIL等级由S/E/C三个等级相加得到✅ 通过查ASIL矩阵确定不是简单相加E评估的是零件失效的概率❌ E评估的是驾驶场景的发生概率而非零件失效概率C只评估驾驶员的控制能力✅ C同时考虑驾驶员和其他交通参与者的控制能力同一个功能异常只有一个ASIL等级✅ 同一个功能异常在不同场景下可能对应不同的ASIL等级S评估的是对车辆的损伤程度❌ S评估的是对人的伤害而非对车辆的损伤一句话总结ASIL f(S, E, C)三个维度缺一不可。同一个功能异常在不同场景下可能从QM跨度到ASIL D——精确的场景构建是准确风险评估的前提。二、严重度Severity, S评分标准与实战要点2.1 分级标准严重度量化伤害的严重程度依据AIS简明损伤定级标准等级描述AIS量化基准S0无伤害AIS 0S1轻度和中度伤害10%概率为AIS 1-6且非S2/S3S2严重伤害生存概率大10%概率为AIS 3-6且非S3S3危及生命或致命伤害10%概率为AIS 5-62.2 AIS分级专业参考AIS等级伤害描述AIS 0无损伤AIS 1轻伤表皮擦伤、肌肉酸痛AIS 2中度伤深度撕裂伤、脑震荡伴意识丧失15minAIS 3重伤但非致命颅骨骨折无脑损伤AIS 4重伤生命威胁生存概率高AIS 5危重伤生命威胁生存不确定AIS 6最重伤或致命伤2.3 实战要点要点说明区分人与车必须区分“对人的伤害”与“对车的损伤”——车损再严重只要人没事S等级不能定高碰撞速度是关键碰撞速度是判定严重度的核心因素需基于真实交通事故数据AIS 5-6的严格定义S3要求“10%概率为AIS 5-6”这意味着只有明确涉及生命威胁的场景才能评为S3三、暴露率Exposure, E评分标准与实战要点3.1 分级标准暴露率评估场景的发生概率。等级描述量化参考E0极不可能用于灾难性事件E1极低概率1%绝大多数驾驶员每年1次E2低概率1%~10%绝大多数驾驶员每年几次E3中等概率10%普通驾驶员每月≥1次E4高概率几乎每次驾驶都会发生3.2 核心区分原则评估基准适用条件示例基于持续时间故障发生在场景中评估该场景的持续时间占比如“夜间驾驶”的时长占比基于频率故障已存在在场景中显现评估该场景的发生频率如“进入隧道”的频率⚠️常见错误将E评估为“零件失效的概率”而非“驾驶场景的概率”。E评估的是场景本身的发生概率零件失效概率在其他环节如FMEA中考虑。3.3 标准参考示例场景类别E1E2E3E4道路布局山区无护栏陡坡单行道城市街道高速、二级公路高速、国道路面冰雪、落叶湿滑路面——交通流拥堵末端—拥堵—操纵超车倒车入库走走停停拥堵加速、减速、转向、变道四、可控性Controllability, C评分标准与实战要点4.1 分级标准可控性评估驾驶员或其他交通参与者避免伤害的能力等级描述量化基准C0普遍可控所有驾驶员都能避免伤害C1简单可控≥99%的驾驶员或参与者通常能避免伤害C2正常可控≥90%的驾驶员或参与者通常能避免伤害C3难以控制或不可控90%的驾驶员或参与者通常能或仅勉强能避免伤害4.2 标准参考示例失效场景C1C2C3分心情景、收音机音量突变✓——ABS失效紧急制动—✓—低附路面转弯制动时ABS失效——✓制动完全失效——✓4.3 实战要点要点说明C值越大越危险数字越大可控程度越低需要更高级别的安全措施考虑所有参与者需同时考虑驾驶员和周围交通参与者的控制能力避免高估能力应参考实际交通事故数据避免高估普通驾驶员的反应能力五、ASIL确定矩阵与速查法5.1 ASIL判定矩阵综合S/E/C三维度评分查ISO 26262-3 Table 4确定ASIL等级严重度暴露率C1C2C3S1E1QMQMQMS1E2QMQMQMS1E3QMQMASIL AS1E4QMASIL BASIL BS2E1QMQMQMS2E2QMQMASIL AS2E3QMASIL BASIL BS2E4ASIL AASIL BASIL CS3E1QMQMASIL AS3E2QMASIL BASIL BS3E3ASIL AASIL BASIL CS3E4ASIL BASIL CASIL D矩阵说明QM表示按常规质量管理流程开发即可无额外功能安全要求。ASIL A→D为功能安全等级递增D级要求最严格的安全措施。5.2 简化速查法将SS00 ~ S33、EE00 ~ E44、CC00 ~ C33的等级数值相加然后查下表和值ASIL等级 7QM7ASIL A8ASIL B9ASIL C10ASIL D⚠️重要例外S、E、C中只要有一项为0直接判定为QM不适用上述速查法。5.3 速查法使用条件条件说明S、E、C均≥1速查法适用按和值查表任一为0直接QM不适用速查法六、完整实战案例ACC系统HARA全流程6.1 案例背景沿用第8期的ACC自适应巡航控制系统案例。已识别的功能异常为“非预期急刹车”已构建三个场景。6.2 危害事件清单与评分危害事件ID功能异常场景描述SEC和值ASILHE-001非预期急刹车高速120km/h晴天干燥后车距离50mS3E4C310ASIL DHE-002非预期急刹车高速100km/h雨天湿滑后车距离80mS3E3C39ASIL CHE-003非预期急刹车城市30km/h交叉口有行人S2E4C28ASIL BHE-004非预期急刹车停车场低速无行人S0E2C1—QM6.3 关键洞察同一个“非预期急刹车”的功能异常在不同场景下ASIL等级从QM到D跨度巨大。场景因素对ASIL的影响车速车速越高伤害越重S越高路面条件湿滑路面降低可控性C越高交通密度后方有车时可控性降低C越高是否有行人有行人时伤害风险升高S越高七、最终输出安全目标Safety Goal7.1 安全目标的定义原则原则说明整车层级安全目标必须定义在整车层面而非技术实现层面可验证语言应简洁、明确、可验证合并同类项多个危害事件可合并为一个安全目标ASIL取最高值ASIL继承合并后的安全目标继承最高的ASIL等级7.2 实例转化危害事件转化方向安全目标HE-001ASIL D→防止ACC系统在非必要情况下输出超过阈值的减速度请求ASIL DHE-002ASIL C→合并至上述安全目标继承ASIL DHE-003ASIL B→合并至上述安全目标继承ASIL DHE-004QM→无需导出安全目标按QM开发7.3 安全目标合并示例危害事件合并 HE-001高速晴天非预期急刹车ASIL D HE-002高速雨天非预期急刹车ASIL C HE-003城市非预期急刹车ASIL B ↓ 合并为一个安全目标 “防止ACC系统在非必要情况下输出超过阈值的减速度请求” ↓ ASIL等级取最高值ASIL D八、总结HARA后半程核心要点回顾8.1 核心结论表要点结论ASIL决定因素由S严重度、E暴露率、C可控性三维度组合决定S评分依据基于AIS量表评估对人的伤害非车辆损伤E评分依据评估驾驶场景的发生概率非零件失效概率C评分依据评估驾驶员及交通参与者避免伤害的能力ASIL判定通过ISO 26262 ASIL矩阵查表确定速查法SEC和值7→QM7→A8→B9→C10→D速查法例外S/E/C任一为0 → 直接QM安全目标整车层级的顶层安全需求多个危害事件可合并8.2 同场景不同ASIL的关键原因场景维度变化趋势对ASIL的影响车速升高S上升ASIL上升路面变滑C上升ASIL上升交通变密C上升ASIL上升出现行人S上升ASIL上升夜间行驶C下降视野差ASIL上升8.3 审核要点审核项检查内容S评分依据每个S评分是否有AIS量化依据E评分依据每个E评分是否区分了持续时间与频率C评分依据每个C评分是否考虑了所有交通参与者ASIL判定是否通过标准矩阵确定而非主观判断安全目标是否定义在整车层级语言是否可验证参考资料ISO 26262-3:2018. Road vehicles — Functional safety — Part 3: Concept phase.SAE J2980. Considerations for ISO 26262 ASIL Hazard Classification.AIS 2005. Abbreviated Injury Scale.ISO 26262-3:2018 Annex B. HARA example for ACC system.参考文章ISO26262系列: FSR到TSR转化ISO26262系列: MISRA C与汽车软件的安全工程学ISO26262系列: 故障注入硬件注入与软件注入完整对比ISO26262功能安全系列: 技术安全需求TSR编写ISO26262功能安全系列: Concept Phase工作项指南ISO26262功能安全系列: Item Definition编写指南ISO26262功能安全系列: HARA完全实战手册--从危害识别到安全目标
