4、危害分类与分级：S、E、C 等级定义与判定标准
好，咱们接着聊。上一节我们把危害识别出来了，列出了长长的一个清单。但问题来了：这么多危害，哪个最要命？哪个可以先放一放？
这就引出了我们今天的主角——S、E、C 分级。说白了，就是给每个危害“打分”。
我个人习惯把 HARA 分析比作“给风险做体检”。S 是严重度，E 是暴露率，C 是可控性。三个维度一综合，ASIL 等级就出来了。嗯，咱们一个一个来看。
4.1 S（Severity）—— 严重度等级
S 等级，衡量的是“如果危害发生了，对人员伤害有多重”。
你想想看，同样是刹车失灵，在高速上和在停车场里，后果能一样吗？S 等级不考虑概率，只看最坏情况下的伤害程度。
ISO 26262 把 S 分成了 4 个等级：
| S 等级 | 描述 | 典型场景（底盘系统） |
|---|---|---|
| S0 | 无伤害 | 轻微颠簸，驾驶员能轻松应对 |
| S1 | 轻度和中度伤害 | 制动轻微延迟，可能导致追尾但速度不快 |
| S2 | 严重伤害（可能危及生命，但存活概率高） | 高速下转向助力突然丢失，车辆偏离车道 |
| S3 | 致命伤害（存活概率低） | 高速下制动完全失效，或 EPS 反向助力 |
判定标准的核心逻辑：
- S0：伤害几乎可以忽略，比如系统报个假故障灯，但车辆功能正常。
- S1：需要医疗处理，但不会住院太久。我在项目中遇到过，某款车的 EPB 在低速时偶发释放延迟，导致溜车碰到后车，保险杠轻微变形，人没事。这就是典型的 S1。
- S2：可能骨折、内出血，但抢救及时能活。比如车辆在 60km/h 时突然跑偏，撞上护栏。
- S3：大概率死亡。比如高速上制动踏板踩下去没反应，或者方向盘突然打死。
我的个人经验：
判定 S 等级时，别太乐观。我曾经吃过亏，把一个场景判成了 S2，结果事故分析报告出来，实际伤害远超预期。从那以后，我给自己定了个规矩：拿不准的时候，往高一级靠。安全第一，不是口号。
4.2 E（Exposure）—— 暴露率等级
E 等级，衡量的是“车辆处于危害场景中的概率”。
说白了，就是“这个危险情况，司机一年能遇到几次？”
ISO 26262 把 E 分成了 5 个等级：
| E 等级 | 描述 | 典型场景（底盘系统） |
|---|---|---|
| E0 | 几乎不可能 | 车辆在赛道上以极速行驶时制动失效 |
| E1 | 非常低（每年少于 1% 的驾驶时间） | 在结冰路面上行驶 |
| E2 | 低（每年 1% ~ 10% 的驾驶时间） | 在雨天行驶 |
| E3 | 中等（每年 10% ~ 50% 的驾驶时间） | 在城市道路行驶 |
| E4 | 高（每年超过 50% 的驾驶时间） | 在干燥、平坦的普通公路上行驶 |
判定标准的核心逻辑：
- E0：理论上存在，但现实中几乎碰不到。比如车辆被闪电击中时制动失效。
- E1：一年可能遇到一两次。比如在北方，冬天遇到黑冰。
- E2：每个月都能遇到。比如下雨天开车。
- E3：每周都遇到。比如上下班通勤，走城市快速路。
- E4：每次开车都会遇到。比如在普通公路上行驶，这是常态。
避坑指南：
我曾经犯过一个错误：把“车辆在高速上以 120km/h 行驶”判成了 E3。后来一想，不对啊，对于经常跑高速的司机来说，这几乎是常态。所以 E 等级的判定，一定要结合目标用户群体和使用场景。别拿自己的驾驶习惯去套所有人。
4.3 C（Controllability）—— 可控性等级
C 等级，衡量的是“当危害发生时，驾驶员或其他人员能通过及时反应来避免伤害的能力”。
你想想看，同样是制动助力失效，一个经验丰富的老司机和一个刚拿驾照的新手，反应能一样吗？但 ISO 26262 要求我们考虑的是“典型的、没有经过特殊训练的驾驶员”。
C 等级分成了 4 个等级：
| C 等级 | 描述 | 典型场景（底盘系统） |
|---|---|---|
| C0 | 完全可控 | 仪表盘上的故障灯误亮，但车辆功能正常 |
| C1 | 简单可控（绝大多数驾驶员能控制） | 制动轻微变软，驾驶员能通过加大踏板力补偿 |
| C2 | 一般可控（约 90% 的驾驶员能控制） | 转向助力突然丢失，但驾驶员能用力转动方向盘 |
| C3 | 难以控制（不到 90% 的驾驶员能控制） | 制动完全失效，或 EPS 反向助力 |
判定标准的核心逻辑：
- C0：驾驶员甚至不需要反应，系统自己就处理了。
- C1：驾驶员稍微注意一下就能应对。比如制动踏板行程变长，但踩到底还能刹住。
- C2：需要驾驶员做出明显的、非本能的反应。比如转向变重，需要双手用力打方向。
- C3：即使驾驶员做出正确反应，也很难避免事故。比如高速爆胎，或者制动管路完全破裂。
我的个人经验：
判定 C 等级时，我建议你亲自去试驾一下。我记得有一次，我们评估一个线控制动系统的失效模式。理论分析觉得 C2 就够了，但实际路试时，让普通驾驶员去体验，结果 10 个人里有 4 个没刹住。最后我们改判成了 C3。所以，别光靠脑子想，有条件就做实验。
4.4 综合判定：从 S、E、C 到 ASIL
好，三个维度都讲完了。那怎么综合起来呢？ISO 26262 给了一张查表：
| C 等级 | S 等级 | E1 | E2 | E3 | E4 |
|---|---|---|---|---|---|
| C1 | S1 | QM | QM | QM | ASIL A |
| S2 | QM | QM | ASIL A | ASIL B | |
| S3 | QM | ASIL A | ASIL B | ASIL C | |
| S3 | ASIL A | ASIL B | ASIL C | ASIL D |
举个例子：
假设我们分析一个“高速下制动完全失效”的危害：
- S 等级：高速下制动失效，大概率致命 → S3
- E 等级：高速行驶是常态 → E4
- C 等级：制动完全失效，普通驾驶员很难控制 → C3
查表：S3 + E4 + C3 = ASIL D。嗯，最高等级，必须用最严格的方法开发。
最后提醒一句：
S、E、C 的判定，没有绝对的“标准答案”。同一个危害，不同的人、不同的公司、不同的项目，判出来的等级可能不一样。关键是要有理有据，并且记录下你的判定理由。这样将来审计时，别人才能理解你的思路。
我曾经见过一个项目，因为 S 等级判低了，导致 ASIL 等级不够，最后在实车测试中出了事故。嗯，教训深刻啊。