4、严重度（Severity）评估：严重度等级定义（S0-S3）、人员伤害评估方法、财产损失评估、严重度降级策略
好，我们接着聊HARA分析里最让人揪心的一环——严重度评估。
说实话，每次做这个环节，我都会想起刚入行时带我的老工程师。他总说：“你设计的系统可以出故障，但别让故障要了人命。”这句话我一直记着。严重度评估，说白了就是回答一个问题：如果危险事件发生了，后果有多严重？
4.1 严重度等级定义（S0-S3）
ISO 26262把严重度分成了四个等级。我习惯用一句话来记：S0是“没事”，S1是“轻伤”，S2是“重伤”，S3是“要命”。
| 等级 | 定义 | 典型场景 |
|---|---|---|
| S0 | 无伤害 | 车辆轻微抖动，无人受伤 |
| S1 | 轻度和中度伤害 | 刹车延迟导致追尾，乘客颈部轻微扭伤 |
| S2 | 严重伤害（可能危及生命，但存活概率高） | 高速碰撞导致骨折、内出血 |
| S3 | 致命伤害（存活概率低） | 车辆翻滚、严重撞击导致当场死亡 |
关键点：S0不代表“没有故障”，而是“故障不会造成人员伤害”。比如仪表盘显示错误，但司机能正常驾驶，这就是S0。
我在项目里见过有人把S0和“系统正常”划等号，这是不对的。你想想看，一个故障发生了，但司机完全没感觉，那才是真正的S0。
4.2 人员伤害评估方法
评估人员伤害，不能光靠拍脑袋。我一般用三个维度来量化：
- 伤害类型：是擦伤、骨折，还是内脏损伤？
- 伤害程度：可逆还是不可逆？需要住院多久？
- 受影响人数：只伤到驾驶员，还是波及乘客和路人？
举个例子。有一次我们评估一个自动紧急制动（AEB）系统的失效模式。如果AEB在高速下突然误触发，后果是什么？
- 后车追尾概率极高
- 乘客颈部可能受伤（挥鞭伤）
- 如果后车是大货车，后果更严重
我们当时用了AIS（Abbreviated Injury Scale）简化伤害量表来辅助判断。AIS 1-2对应S1，AIS 3-4对应S2，AIS 5-6对应S3。这个方法很实用，推荐给你。
我的小技巧：做伤害评估时，别只看“最坏情况”。要看“合理可预见的 worst case”。比如你评估一个转向失效，别假设车正好在悬崖边——那太极端了。假设在高速公路上以120km/h行驶，这才是合理的场景。
4.3 财产损失评估
嗯，这里要特别说明一下。ISO 26262主要关注人员安全，财产损失不是核心考量。但实际项目中，客户往往很在意。
财产损失评估一般包括：
- 车辆损坏：维修费用、全损概率
- 基础设施损坏：撞坏护栏、信号灯等
- 第三方财产：撞坏其他车辆、建筑物
- 环境损害：电池起火导致污染
我曾经参与过一个项目，客户坚持要把财产损失纳入ASIL评级。我们最后在HARA报告里单独列了一栏“财产损失等级”，但ASIL等级还是只基于人员伤害。这个做法你可以参考。
注意：财产损失再大，也不能把S0升级成S1。ISO 26262的严重度只针对人员伤害。如果你把财产损失算进去，评审时会被挑战的——我吃过这个亏。
4.4 严重度降级策略
严重度能不能降？能，但有条件。
降级的核心思路是：通过外部措施，降低伤害的严重程度。说白了，就是“出事不怕，有东西兜底”。
常见的降级策略包括：
- 被动安全系统：安全气囊、安全带预紧器。碰撞发生时保护乘客
- 主动安全系统：自动紧急制动、车道保持。在碰撞前介入，降低碰撞速度
- 物理隔离：防护罩、限位装置。防止人员接触到危险部件
- 操作限制：比如限制最高车速、限制转向角度
举个例子。一个线控转向系统失效，如果车速被限制在30km/h以下，那么严重度可以从S3降到S2甚至S1。为什么？因为低速下碰撞的伤害程度大大降低了。
但这里有个坑——降级措施本身必须是可靠的。你不能说“我们有安全气囊所以严重度是S1”，但安全气囊的触发逻辑根本没验证过。我曾经在审核时发现，某团队把S3降成S1，理由是“有安全带”。结果一看，安全带是手动的，而且失效概率很高。这显然不行。
降级原则：
- 降级措施必须独立于被评估的系统
- 降级措施本身要有足够的ASIL等级
- 降级措施的有效性要有数据支撑
最后说一句。严重度评估不是一次性的工作。随着设计深入，你可能会发现新的信息，这时候要回头重新评估。我习惯在项目每个里程碑都过一遍HARA，尤其是严重度部分。别嫌麻烦，这钱省不得。