智能网联汽车：HARA分析与ASIL等级评定

在汽车功能安全领域，遵循ISO 26262标准进行开发已成为行业共识。我们此前探讨了功能安全的基石——“相关项”的定义。一旦明确了安全分析对象，下一步便是系统性地识别与评估其潜在风险。这正是危害分析与风险评估（HARA）的核心使命，而其关键产出——汽车安全完整性等级（ASIL） ，则成为了衡量风险高低、指导安全开发的“标尺”。

---

HARA与ASIL：风险量化管理的核心工具

在ISO 26262的实施流程中，危害分析和风险评估（HARA）HARA（Hazard Analysis and Risk Assessment）是一个至关重要的基础性步骤。它旨在系统地定义、识别由电子电气系统功能异常可能引发的危害，并评估这些危害导致的风险等级。

评估结果即ASIL等级(Automotive Safety Integrity Levels，汽车安全完整性等级)，它分为五级：QM（质量管理）、A、B、C、D。其中，QM等级对功能安全流程无特殊要求，而D级则代表最高风险等级，需要最严格的安全措施。ASIL等级直接决定了系统开发的安全要求：等级越高，对系统软硬件的安全要求、开发流程的严谨性以及所采用技术的可靠性的要求也越高。

---

HARA危害分析和风险评估流程

HARA应基于相关项定义来进行，并且不考虑相关项中计划实施或已经实施的安全机制。整个过程可概括为三个步骤:

危害识别→危害分级→ASIL 判定

Hazard Identification危害识别

核心是识别相关项在特定条件下可能出现的功能异常，及其可能导致的危险事件，包括：定义相关项可能的功能异常与条件分析

分析功能异常：系统梳理功能所有可能的失效模式，例如功能丧失、错误激活、性能偏差等。

界定运行条件：分析上述异常在何种驾驶情境（如高速、泊车）、环境因素（如雨雪路况）或人员操作下，会真正导致人身伤害。

Hazard Classification 危害分级

判定与相关项危害关联的严重度（S）、暴露度（E）和可控性（C）

严重度（S）：伤害的严重程度，从S0（无伤害）到S3（致命伤害）。

暴露度（E）：危害场景发生的概率，从E0（不可能）到E4（高概率）。

可控性（C）：驾驶员或其他交通参与者避免伤害的难易程度，从C0（可控）到C3（难以控制）。

（引自ISO26262-3表1/2/3）

ASIL Determination ASIL判定

基于严重度（Severity）、暴露率（Exposure）和可控性（Controllability）进行风险等级的判定。

（引自ISO26262-3 表4）

---

核心交付与风险闭环：从危害识别到安全等级落地

完成系统的危害分析与风险评估后，关键的输出成果是一份明确的《危害分析与风险评估报告》及其衍生的ASIL等级定义。

这份输出不仅是制定具体安全目标和安全需求的直接依据，也为后续功能安全开发提供了清晰的风险管控基线。

正确执行 HARA 并合理确定 ASIL，是确保智能网联汽车电子电气系统安全设计与合规开发的重要基础，更是实现“安全可控”从理论走向实践的关键一步。

本文转自：Intertek天祥集团