4. 严重度（S）评估：严重度等级划分与实战经验

好，咱们接着聊严重度评估。说白了，严重度就是问一个问题：如果风险真的发生了，人会伤得多重？ 这是ASIL等级里最让人揪心的一环。我见过不少工程师，一上来就急着给S3，觉得越严越好——其实不是这样的。

4.1 严重度等级划分：S0到S3

ISO 26262把严重度分成四个等级。我习惯用一句话记：S0是擦破皮，S1是进医院，S2是进ICU，S3是进太平间。 话糙理不糙。

等级	伤害程度描述	典型场景举例
S0	无伤害或轻微不适	仪表盘闪烁、轻微震动、短暂噪音
S1	轻伤，可恢复	轻微碰撞导致擦伤、扭伤、轻微脑震荡
S2	重伤，可能危及生命	骨折、内出血、严重烧伤、需要住院治疗
S3	致命伤，生存概率极低	颅脑严重损伤、多器官衰竭、当场死亡

这里有个关键点：S0不等于“没风险”。它只是说伤害程度低到可以忽略。比如，一个车机娱乐系统死机了，最多让司机分心几秒钟——这算S0。但如果是刹车灯不亮，那就至少是S2起步。

4.2 不同等级对应的伤害程度：别只看表面

我在项目里踩过一个坑。有一次评估一个电动座椅的防夹功能，团队里有人觉得“夹一下手最多淤青，给S1吧”。我说等等——你想想看，如果夹到的是小孩的脖子呢？

所以，严重度评估不能只看“最可能”的场景，要看“最坏但合理”的场景。ISO 26262里明确说了，要基于合理的可预见的误用。什么意思？

• S1：伤害可逆，比如轻微烫伤、擦伤、短暂眩晕。一般不需要住院。
• S2：伤害不可逆但非致命，比如断指、失明、严重骨折。需要长期治疗。
• S3：伤害直接致命，比如高速碰撞导致颅脑损伤、气囊误爆导致颈椎断裂。

4.3 严重度评估的实践经验：我的一些习惯

做了这么多年功能安全，我总结了几条实操经验，分享给你。

4.3.1 先看“能量”和“速度”

严重度跟两个东西直接相关：能量有多大，速度有多快。你想想看，一个10km/h的追尾，跟一个100km/h的正面碰撞，伤害能一样吗？

我习惯先问自己：

• 这个系统控制的是多大的力？比如刹车、转向、气囊，都是高能量系统。
• 失效发生时，车辆处于什么速度区间？高速场景下，S3几乎是标配。
• 有没有二次伤害？比如气囊误爆导致驾驶员失控，再撞上护栏——这算叠加伤害。

4.3.2 别忽略“弱势交通参与者”

我记得有一次评估自动紧急制动（AEB）系统。如果AEB在高速上突然误触发，对车内乘客可能只是S1（急刹导致轻微扭伤）。但如果是摩托车跟在后面呢？追尾导致摩托车手飞出去——那就是S3。

所以，评估严重度时，要把行人、自行车、摩托车都考虑进去。ISO 26262虽然没有强制要求，但这是行业共识。

4.3.3 用“伤害矩阵”辅助判断

我团队里有个小工具，叫伤害矩阵。其实就是一张表，把故障模式、暴露场景、人员类型、伤害类型列出来，然后逐项打分。比如：

故障模式	暴露场景	受影响人员	伤害类型	严重度
转向助力突然消失	高速弯道	驾驶员、乘客	车辆失控撞护栏 → 重伤	S2
安全气囊误爆	低速行驶	驾驶员	面部冲击 → 轻伤	S1
刹车完全失效	高速跟车	本车+前车人员	高速追尾 → 致命	S3

这个矩阵的好处是，把模糊的感觉变成了可追溯的记录。评审的时候，别人问你“为什么给S2”，你直接拿出矩阵，清清楚楚。

4.3.4 避坑指南：我曾经犯过的错

我曾经在一个项目里，把某个故障的严重度从S2降到了S1。理由是“驾驶员有足够时间反应”。结果呢？后来分析发现，那个故障发生在0.5秒内，驾驶员根本来不及反应。评审的时候被专家怼得哑口无言。

所以，千万不要用“驾驶员可以补救”来降低严重度。严重度只看伤害本身，不看你能不能躲开。能不能躲开，那是可控性（C）的事，别混了。

4.4 小结：严重度评估的“三要三不要”

最后，我送你一个口诀，是我自己总结的：

• 要看最坏合理场景，不要只看平均情况。
• 要考虑所有人员（包括车外），不要只盯着驾驶员。
• 要用伤害矩阵记录，不要凭感觉拍脑袋。

嗯，严重度这块就聊到这儿。下一章咱们讲可控性（C）评估，那又是一个容易踩坑的地方。到时候我跟你讲讲，怎么区分“驾驶员能控制”和“驾驶员理论上能控制”——这两者差别大了去了。