HARA (Gefährdungsanalyse und Risikobewertung)
Die HARA (Hazard Analysis and Risk Assessment) ist die Gefährdungsanalyse und Risikobewertung nach ISO 26262-3. Sie bewertet Gefährdungen eines Fahrzeugsystems nach Schwere, Exposition und Beherrschbarkeit, leitet daraus den ASIL ab und definiert die obersten Sicherheitsziele — sie steht damit am Anfang aller Safety-Aktivitäten eines Automotive-Projekts.
Ablauf einer HARA
Die HARA findet in der Konzeptphase statt und baut auf der Item-Definition auf, die den Betrachtungsgegenstand und seine Systemgrenzen festlegt. Der Ablauf in Kürze:
- Situationsanalyse und Gefährdungsidentifikation: Relevante Fahrsituationen (z. B. Autobahnfahrt, Parken, Stadtverkehr) werden mit möglichen Fehlfunktionen des Items kombiniert. Aus jeder Kombination entsteht ein Gefährdungsereignis (Hazardous Event).
- Bewertung nach S, E und C: Jedes Gefährdungsereignis wird nach Schwere der möglichen Verletzungen (S0–S3), Wahrscheinlichkeit der Fahrsituation (E0–E4) und Beherrschbarkeit durch Fahrer oder andere Verkehrsteilnehmer (C0–C3) eingestuft.
- ASIL-Einstufung: Die Kombination der drei Parameter ergibt QM oder ASIL A bis D.
- Sicherheitsziele: Für jedes relevante Gefährdungsereignis wird ein Sicherheitsziel (Safety Goal) formuliert — die oberste Sicherheitsanforderung, die den ASIL erbt.
Ein Beispiel
Eine vereinfachte HARA-Zeile für eine elektrische Servolenkung könnte so aussehen:
| Element | Inhalt |
|---|---|
| Fehlfunktion | Unbeabsichtigter Lenkeingriff |
| Fahrsituation | Fahrt mit hoher Geschwindigkeit auf der Autobahn |
| S / E / C | S3 (lebensbedrohliche Verletzungen möglich) / E4 (häufige Situation) / C3 (kaum beherrschbar) |
| Einstufung | ASIL D |
| Sicherheitsziel | Ein unbeabsichtigter Lenkeingriff bei hoher Geschwindigkeit muss verhindert werden. |
Aus diesem Sicherheitsziel werden anschließend funktionale und technische Sicherheitsanforderungen abgeleitet — bis hinunter zu Architektur, Implementierung und Testfällen.
Abgrenzung: HARA, TARA und FMEA
| Methode | Leitfrage | Kontext |
|---|---|---|
| HARA | Welche Gefährdungen entstehen durch Fehlfunktionen auf Fahrzeugebene? | Safety, ISO 26262-3, top-down |
| TARA | Welche Bedrohungen entstehen durch böswillige Angriffe? | Security, ISO/SAE 21434 |
| FMEA | Welche Fehlerursachen und -auswirkungen hat ein Design auf Komponentenebene? | Analysemethode, bottom-up |
HARA und TARA betrachten exakt dasselbe System aus zwei Blickwinkeln: Safety schützt die Umwelt vor dem System, Security schützt das System vor der Umwelt. Die FMEA setzt später an — sie analysiert, wie ein konkretes Design ausfallen kann, während die HARA fragt, welche Fehlverhalten auf Fahrzeugebene überhaupt gefährlich sind.
HARA in der Praxis: kein statisches Dokument
Die größte praktische Herausforderung ist nicht die einmalige Erstellung, sondern die Pflege. Späte Änderungen am Systemschnitt erzwingen regelmäßig eine Neubewertung von Gefährdungsereignissen — nicht selten kurz vor dem Design Freeze. Wer die HARA als eingefrorenes Dokument führt, arbeitet dann gegen Kopien und verliert die Konsistenz zu Anforderungen, Analysen und Tests. Tragfähig ist der umgekehrte Ansatz: die HARA als fortlaufend gepflegtes Arbeitsergebnis, das über Trace-Links mit dem Systemmodell verknüpft ist. Wird ein Gefährdungsereignis neu bewertet, zeigen die Links unmittelbar, welche Anforderungen, Architekturelemente und Testfälle betroffen sind — und welche unberührt bleiben.