初步危害分析

PHA（Preliminary Hazard Analysis，初步危害分析）是風險評鑑的起始步驟，旨在產品或製程設計的早期階段，系統性地識別潛在危害（Hazards）、危害情境（Hazard-causing scenarios）及危害等級（Hazard levels）。根據ISO 31000的風險管理原則，PHA屬於風險評鑑（Risk Assessment）的危害識別階段，為後續的風險分析與評估提供輸入。與FMEA（失效模式與影響分析）不同，PHA更側重於概念層面的危害識別，而非具體的失效模式，因此通常在設計概念確定前即啟動。在EU AI Act（歐盟人工智慧法案）框架下，AI系統的風險分級亦需參考類似的初步評估邏輯，確保高風險AI應用在進入詳細技術評估前已具備基本安全邊界。臺灣企業若能將PHA納入產品開發生命週期，可有效避免後期重工，降低合規成本。

PHA的實務應用通常遵循「識別→分類→評級→控制策略」四步驟。第一步，建立危害識別清單，涵蓋物理危害、電信危害、資訊安全危害及法規危害，參考標準如ISO 12100（機械安全）或ISO 14121（機械危害評鑑）。第二步，針對每個危害情境，評估其危害等級，通常採用矩陣法，結合危害嚴重度與暴露頻率進行量化，例如將危害分為輕微、中度、嚴重與致命四級。第三步，根據危害等級，對應控制措施，如設計本體安全（Inherently Safe Design）、防護措施（Protective Measures）或警示標示。第四步，建立追溯機制，確保每個危害都有對應的控制措施。以臺灣汽車資通訊供應商為例，在TISAX認證準備期間，導入PHA可提前識別供應鏈資訊洩漏風險，預估可減少30%的後期合規整改成本，提升客戶信任度。

臺灣企業導入PHA主要面臨三個挑戰。首先是「跨部門協作壁壘」，工程、法務與業務部門對危害的認知存在落差，建議建立跨職能風險委員會，由專責風險管理人員主導，定期召開跨部門審查會議。其次是「數據基礎不足」，早期PHA往往依賴主觀判斷，缺乏歷史失效數據支持，可透過導入FMEA歷史資料庫、參考NIST或CPAX等國際標準數據，提升危害評級的客觀性。第三是「法規追蹤能力弱」，臺灣企業面對EU AI Act、GDPR、臺灣個資法等多重法規，難以即時掌握最新要求，建議建立法規監測機制，並將法規要求直接映射至PHA的危害情境中。建議企業在導入後6個月內，至少完成一次完整的PHA實務演練，並設定KPI，如危害識別覆蓋率達90%以上，以確保機制有效運作。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業PHA相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合ISO 31000、ISO 42001及EU AI Act要求的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact