Un análisis de peligros y evaluación de riesgos es el punto en el que un programa de seguridad funcional se vuelve riguroso o se vuelve una hoja de cálculo. Entran severidad, exposición y controlabilidad; sale un ASIL; de ahí salen los objetivos de seguridad. Si la determinación es errónea, todo lo que viene después hereda el error.

La pregunta aquí era estrecha y falsable: ¿puede KF alojar un HARA real sin cambios de código, y calcula bien el ASIL?

Qué se construyó

Una dirección asistida eléctrica, analizada como es debido:

• La definición del ítem y sus funciones.
• Una biblioteca de comportamientos disfuncionales — asistencia en sentido contrario, asistencia no solicitada, pérdida de asistencia, asistencia excesiva.
• Una biblioteca de situaciones operativas — autopista a velocidad alta en recta, autopista en curva, urbano a baja velocidad con tráfico denso, maniobra de aparcamiento, carretera rural con firme mojado.
• Eventos peligrosos en las intersecciones que importan, cada uno clasificado S/E/C.
• Objetivos de seguridad derivados de ellos, cada uno con su ASIL, su estado seguro y su FTTI.

Nada de eso necesitó un tipo de nodo nuevo ni una clase de ítem nueva. Cuatro tipos existentes, el vocabulario de etiquetas y la arista de tipo ⊃ soportaron todo el análisis.

La aritmética se comprobó, no se supuso

Se escribieron diez vectores de referencia antes de construir la configuración, que cubrían las determinaciones ordinarias y las excepciones que suelen pillar a la gente: los casos S0, E0 y C0 en los que la tabla deja de aplicarse.

Los diez se reprodujeron. Solo con configuración.

Eso importa porque una matriz de riesgo es fácil de equivocar sutilmente, y una equivocada sutilmente es peor que una rota de forma evidente. Por eso KF enseña sus cuentas: la página de modelo de riesgo de cada ítem nombra la matriz que lo puntuó, las escalas con las que se leyó y las reglas en el orden en que se aplicaron.

Dos normas, una base de datos

Un programa de vehículo no solo hace HARA. Hay un AMFE de componente convencional corriendo en paralelo, en una escala completamente distinta — RPN o Prioridad de Acción, no ASIL.

Antes eran mutuamente excluyentes, porque el modelo de riesgo era global a la base de datos. Ya no lo es. Una bomba de dirección puntuada en una escala AMFE convencional convive con los eventos peligrosos puntuados según ISO 26262, cada uno encaminado a su propia matriz y mostrando qué regla lo midió.

Herencia, a escala de programa

Se creó un segundo programa como instancia del primero. Heredó las funciones, los eventos peligrosos, sus objetivos de seguridad y todo el catálogo de situaciones operativas — sin que nadie volviera a introducirlos.

Es el mismo mecanismo que el caso CAPA, aplicado a un HARA de referencia en lugar de a una operación de mecanizado. El conocimiento de peligros de una plataforma se convierte en el punto de partida de cada vehículo construido sobre ella.

Lo que no hizo

Hubo que corregir seis defectos antes de que la ejecución terminara, y al día siguiente se aplicaron cuatro correcciones más. Ejecutar el ejercicio es lo que los sacó a la luz.

El límite que conviene declarar sin rodeos, porque lo encontrará cualquiera que haga esto a escala:

Generar los eventos peligrosos es manual. Un HARA es un producto cartesiano —cada disfunción contra cada situación operativa— y KF todavía no genera esa rejilla por usted. Las bibliotecas son reutilizables y la clasificación es rápida, pero alguien crea las intersecciones. Para un programa de vehículo completo eso es trabajo real, y es hoy la mayor carencia del modelo.