Analiza ryzyka w systemach związanych z bezpieczeństwem to fundament, na którym opiera się cały proces projektowania i weryfikacji elektroniki samochodowej. W branży motoryzacyjnej rolę tego fundamentu pełni HARA – Hazard Analysis and Risk Assessment. To pierwsze duże zadanie w procesie zgodnym z normą ISO 26262 i jednocześnie krok, który determinuje wszystko, co dzieje się później: poziom ASIL, zakres testów, architekturę systemu, a nawet sposób myślenia o działaniu produktu.

HARA – jak działa analiza zagrożeń i ocena ryzyka w bezpieczeństwie funkcjonalnym pojazdów

Choć nazwa brzmi formalnie, HARA ma bardzo praktyczny cel: zrozumieć, co może pójść nie tak oraz jak poważne mogą być tego skutki. Nie jest to sucha analiza teoretyczna, lecz proces przypominający wnikliwe śledztwo, w którym inżynierowie zastanawiają się, jakie zagrożenia mogą powstać, gdy system przestaje działać zgodnie z oczekiwaniami. Dzięki temu możliwe jest świadome zaprojektowanie zabezpieczeń, które ograniczą ryzyko do akceptowalnego poziomu.

Dlaczego HARA jest tak ważna?

W motoryzacji większość współczesnych funkcji bezpieczeństwa realizują układy mechatroniczne i elektroniczne: systemy wspomagania kierowcy, sterowania hamulcami, napędem, stabilnością pojazdu czy zarządzaniem energią. Każdy z nich może ulec awarii. Niektóre błędy będą niegroźne, inne mogą doprowadzić do niebezpiecznych sytuacji na drodze.

HARA pozwala oddzielić błędy, które są co najwyżej uciążliwe, od takich, które wymagają rygorystycznej kontroli i wysokiego poziomu bezpieczeństwa funkcjonalnego. Bez jasnej, systematycznej oceny ryzyka łatwo popaść w dwa skrajne podejścia: przesadną ostrożność albo niebezpieczne bagatelizowanie zagrożeń. Pierwsza prowadzi do nadmiarowych wymagań i wysokich kosztów. Druga może mieć dramatyczne konsekwencje.

Norma ISO 26262 nie pozostawia tu pola do interpretacji. HARA jest obowiązkowym elementem każdego projektu systemu, który ma wpływ na bezpieczeństwo jazdy. To dzięki niej ustala się ASIL, czyli Automotive Safety Integrity Level. Im większe ryzyko, tym wyższy poziom ASIL, a co za tym idzie: bardziej wymagający proces projektowy.

Co właściwie robi się w HARA?

Proces HARA można podzielić na kilka logicznych etapów, które składają się na pełną analizę zagrożeń i ocenę ryzyka. Choć norma nie narzuca dokładnych narzędzi, wymaga uzyskania konkretnych rezultatów: listy zagrożeń, ich klasyfikacji oraz przypisanego poziomu ASIL.

1. Zdefiniowanie elementu i jego funkcji

Na początku określa się, czego dotyczy analiza. „Element” w ISO 26262 może oznaczać system, podsystem, komponent, a nawet kombinację sprzętu i oprogramowania. Kluczowe jest opisanie jego funkcji oraz interakcji z otoczeniem. Bez jasnego zakresu trudno mówić o jakiejkolwiek ocenie ryzyka.

[Placeholder: grafika przedstawiająca „system w kontekście”]

Na tym etapie zbiera się wszystkie informacje o sposobie działania systemu, wejściach, wyjściach, zależnościach, założeniach i ograniczeniach. To tworzy podstawę do identyfikacji zagrożeń.

2. Identyfikacja sytuacji operacyjnych

Systemy pojazdu działają w różnych warunkach: na autostradzie, w korku, przy ruszaniu z miejsca, podczas skrętu, hamowania awaryjnego, na śliskiej nawierzchni. Każda z tych sytuacji niesie inne ryzyko.

HARA musi uwzględniać pełny przegląd możliwych scenariuszy. To naturalnie prowadzi do pierwszych wniosków: funkcja, która jest niegroźna przy małych prędkościach, może stać się krytyczna przy dużych.

3. Identyfikacja zagrożeń

Teraz następuje właściwe „szukanie problemów”. Zespół ocenia, jakie niebezpieczne stany mogą wynikać z uszkodzenia systemu. W HARA zagrożenie ma formę opisu, w którym łączy się:

awarię lub nieprawidłowe zachowanie funkcji,
sytuację operacyjną,
potencjalne konsekwencje dla ludzi.

[Placeholder: tabela z przykładowymi zagrożeniami]

Przykład: „System hamowania nie generuje ciśnienia w układzie podczas jazdy z wysoką prędkością”, co może prowadzić do kolizji.

4. Ocena ryzyka: S, E i C

Dla każdego zagrożenia ocenia się trzy elementy:

Severity (S) – jak poważne mogą być skutki? Od drobnego dyskomfortu aż po zagrożenie życia.
Exposure (E) – jak często kierowca może znaleźć się w sytuacji, w której zagrożenie ma znaczenie?
Controllability (C) – na ile kierowca byłby w stanie opanować sytuację, jeśli nastąpi awaria?

Te trzy kryteria określone są w normie ISO 26262 i mają ściśle zdefiniowane wartości. Kombinacja S, E i C prowadzi do ustalenia poziomu ASIL dla danego zagrożenia. Czasem wynik to ASIL A lub B, czasem D, a czasem ryzyko zaklasyfikowane jest jako „QM”, czyli poziom, który nie wymaga specjalnych działań z obszaru bezpieczeństwa funkcjonalnego.

HARA jako dedukcyjne myślenie o awariach

HARA ma pewną filozofię, która odróżnia ją od innych metod oceny ryzyka. Nie analizuje przypadkowych błędów ani nie próbuje zgadywać „czego jeszcze nie wiemy”. Zaczyna się od funkcji, jej celu i wpływu na bezpieczeństwo. Dopiero potem przechodzi do zrozumienia, co się stanie, jeśli ta funkcja zawiedzie.

To podejście dedukcyjne: od skutku do przyczyny. Podobnie jak detektyw rozkłada przestępstwo na możliwe scenariusze, tak inżynierowie bezpieczeństwa rozkładają potencjalną awarię funkcji na elementy, z których może wynikać. Dzięki temu projektant systemu wie, które części wymagają ochrony, monitorowania lub redundancji.

HARA nie zastępuje bardziej szczegółowych analiz, takich jak FMEA czy FTA, ale wskazuje, gdzie należy je przeprowadzić oraz jak głęboko powinny sięgać.

Przykład uproszczonego przebiegu HARA

Poniższy przykład ilustruje sposób myślenia charakterystyczny dla HARA, choć w praktyce analiza jest znacznie obszerniejsza.

[Placeholder: grafika uproszczonego diagramu HARA]

Załóżmy system wspomagania jazdy, który automatycznie utrzymuje prędkość. Kluczową funkcją jest regulacja momentu napędowego. Możliwe zagrożenie to „nieprawidłowe zwiększenie prędkości”. W sytuacji operacyjnej „jazda na autostradzie” skutek może być poważny. Severity ocenimy wysoko. Exposure będzie również wysokie, bo jazda autostradowa jest powszechna. Controllability zależy od możliwości kierowcy – jeśli przyspieszenie jest gwałtowne, kontrola staje się trudna. Kombinacja S, E, C daje poziom ASIL, który prowadzi do określonych wymagań wobec systemu kontroli momentu.

Kto bierze udział w HARA?

Proces HARA nie jest zadaniem jednej osoby. Wymaga interdyscyplinarnego zespołu, ponieważ zagrożenia mogą wynikać z różnych obszarów: zachowania kierowcy, charakterystyki układu mechanicznego, działania elektroniki czy algorytmów sterowania.

Typowy zespół obejmuje:

inżynierów bezpieczeństwa funkcjonalnego,
specjalistów od systemu lub funkcji,
inżynierów oprogramowania,
specjalistów od mechaniki i elektroniki,
ekspertów od interakcji człowiek–maszyna.

Każdy wnosi inne spojrzenie i inne doświadczenie. Dobre HARA wymaga dyskusji, a czasem sporów – to część normalnego procesu.

Jak wygląda dokumentacja HARA?

Norma ISO 26262 wymaga, by wyniki HARA były zapisane w formie raportu. Zwykle ma on strukturę tabelaryczną:

[Placeholder: tabela HARA]

W raporcie znajdują się:

opis analizowanego elementu,
lista funkcji,
sytuacje operacyjne,
zidentyfikowane zagrożenia,
przypisane poziomy S, E, C,
wynikowy ASIL,
uzasadnienie ocen.

Raport HARA staje się później jednym z głównych dokumentów wejściowych do ustalania wymagań bezpieczeństwa.

Związek HARA z wymaganiami bezpieczeństwa

HARA nie jest analizą dla samej analizy. Jej rezultatem są Safety Goals, czyli cele bezpieczeństwa. Każdy cel definiuje oczekiwane zachowanie systemu w sytuacjach, w których jego funkcja ma krytyczne znaczenie.

Przykład celu bezpieczeństwa: „System hamulców nie może wprowadzić niekontrolowanego spadku ciśnienia w układzie”. Na tym etapie nie mówi się jeszcze o redundancji ani algorytmach. To wysoki poziom abstrakcji. Dopiero później zasady projektowe, testy i architektura systemu doprowadzą do szczegółowych wymagań technicznych.

ASIL wyznaczony w HARA określa, jak rygorystyczne muszą być te dalsze kroki.

Najczęstsze błędy w HARA

Nawet doświadczeni inżynierowie potrafią potknąć się w tym procesie. Do najczęstszych problemów należą:

zbyt ogólne opisy zagrożeń,
pomijanie rzadkich sytuacji operacyjnych,
nieuzasadnione oceny S, E i C,
mieszanie zagrożeń wysokiego poziomu z przyczynami technicznymi,
rozgraniczanie zakresu elementu w sposób zbyt wąski lub zbyt szeroki.

HARA wymaga nie tylko wiedzy, ale też praktyki i umiejętności patrzenia na system z różnych perspektyw. To jeden z powodów, dla których norma tak mocno podkreśla rolę kompetencji zespołu.

Podsumowanie

HARA jest jednym z kluczowych procesów w projektowaniu systemów związanych z bezpieczeństwem w pojazdach. Pozwala zrozumieć ryzyka, ocenić ich wpływ na bezpieczeństwo oraz ustalić poziomy ASIL, które definiują wymagania projektowe. Dzięki temu producenci mogą świadomie zaplanować funkcje zabezpieczeń, mechanizmy wykrywania awarii i procedury testowe, aby zapewnić odpowiedni poziom bezpieczeństwa.

To nie jest formalność ani proces, który można zignorować. Dobrze przeprowadzona HARA stanowi solidną podstawę dla całego projektu. Źle przeprowadzona może doprowadzić do błędów, które trudno naprawić na późniejszych etapach. Dlatego w motoryzacji przykładana jest do niej tak duża waga.