Un processus systématique, couramment appelé HARA dans la pratique automobile ISO 26262, qui identifie les événements dangereux, estime la gravité, l'exposition et la contrôlabilité, et détermine les objectifs de sécurité et les ASIL pour orienter la conception et les mesures d'atténuation.

Principe

Partir des fonctions de l'élément et des usages abusifs raisonnablement prévisibles, dériver des scénarios dangereux, quantifier leurs paramètres (gravité, exposition, contrôlabilité) et allouer la réduction du risque en définissant des objectifs de sécurité et des exigences spécifiques aux ASIL.

Démonstration

Pour un scénario d'accélération involontaire : identifier le contrôle du papillon défaillant comme danger, estimer une gravité élevée (risque de blessure), la fréquence d'exposition dans les situations de conduite, une contrôlabilité faible si le conducteur ne peut pas contrer, et attribuer ainsi un niveau ASIL qui dicte les efforts d'atténuation.

Mauvaise application

Réaliser un HARA superficiel sous forme de checklist sans relier les dangers identifiés à un comportement système concret, sans données d'exposition ou de contrôlabilité, ou en utilisant des critères incohérents entre équipes conduisant à des attributions ASIL peu fiables.

Conséquence

Un HARA solide produit des objectifs de sécurité traçables et des allocations ASIL qui concentrent l'effort d'ingénierie sur les dangers les plus significatifs, permettant des exigences ciblées, une planification de vérification et une réduction de risque démontrable.

Inversion

Sauter l'analyse des dangers et ne se concentrer que sur les modes de défaillance des composants (FMEA) peut manquer des scénarios dangereux au niveau système causés par des interactions fonctionnelles et sous-spécifier ainsi les exigences de sécurité.

Limite

S'applique aux fonctions au niveau de l'élément et du système dans le contexte du véhicule et aux usages abusifs raisonnablement prévisibles ; il ne remplace pas les AMDEC détaillées au niveau composant ni les analyses épidémiologiques post-commercialisation, mais doit s'y relier lorsque pertinent.

Tension sémantique

Étroitement lié à l'AMDEC (FMEA) et à l'Analyse des Arbres de Défaillance (FTA) mais diffère en ce qu'il est axé sur les dangers et les scénarios avec un score explicite gravité/exposition/contrôlabilité et une allocation ASIL plutôt que seulement sur les taux de défaillance ou les arbres de cause.

Synthèse

Le HARA est un pont structuré entre descriptions fonctionnelles et objectifs de sécurité : identifier les scénarios dangereux, évaluer leur risque par gravité/exposition/contrôlabilité, et dériver des objectifs de sécurité informés par l'ASIL qui orientent l'architecture et la vérification pour réduire le risque.