4、严重度（S）评估：严重度等级定义、人员伤害评估标准、财产损失考量

好，咱们接着聊HARA分析里最让人揪心的一环——严重度评估。

说实话，我在刚入行那几年，总觉得S值就是个拍脑袋的活儿。直到有一次评审会上，一个老外专家盯着我的S2评级看了半天，问了一句：“你确定这个场景下，驾驶员有足够的时间做出反应吗？”我当时就愣住了。从那以后，我养成了一个习惯：评估严重度，一定要把自己代入到那个失效场景里，去感受那种“万一发生了会怎样”的恐惧。

4.1 严重度等级定义：从S0到S3

ISO 26262里把严重度分成了四个等级。说白了，就是看事故发生后，人受伤的程度有多重。

等级	描述	典型伤害
S0	无伤害	最多就是吓一跳，连皮外伤都没有
S1	轻度和中度伤害	擦伤、扭伤、轻微脑震荡，不需要住院
S2	严重伤害（可能危及生命）	骨折、内出血、严重烧伤，需要住院治疗
S3	致命伤害	当场死亡，或者抢救无效

你可能会问，S0是不是就不用管了？嗯，理论上是的。但我在实际项目中，很少见到真正的S0场景。哪怕是一个误报警，如果导致驾驶员分神撞了车，那后果也可能很严重。所以，我个人的习惯是：只要有可能造成伤害，至少从S1开始评估。

4.2 人员伤害评估标准：别只看“会不会死”

很多人评估严重度时，只盯着“会不会死人”。这其实是个误区。

我记得有一次做EPS（电动助力转向）的HARA，一个失效模式是“转向助力突然消失”。乍一看，车还能开，只是方向盘变重了，好像不致命？但你想过没有，如果是在高速过弯时发生，驾驶员可能根本来不及反应，车辆就会偏离车道，撞上护栏。这种情况下，严重度至少是S2，甚至S3。

所以，评估人员伤害时，我建议你考虑这几个维度：

• 伤害的可逆性：是暂时的还是永久的？比如失明、截瘫，那就是S3。
• 伤害的普遍性：是伤一个人，还是伤一车人？比如刹车失灵，可能全车人都要遭殃。
• 伤害的延迟性：有些伤害当时看不出来，比如气囊误爆导致的听力损伤，或者化学物质泄漏导致的慢性中毒。这些也要算进去。

4.3 财产损失考量：S值里到底包不包括？

这个问题，我当年也纠结过。ISO 26262原文里，严重度S是专门针对人员伤害的。财产损失，比如车撞坏了、路边的房子撞塌了，这些在ASIL等级里是不直接考虑的。

但是，这不代表财产损失不重要。你想想看，如果一辆自动驾驶卡车失控，撞毁了一座价值连城的变电站，虽然没伤人，但经济损失可能上亿。这种场景，虽然S值是S0，但整车厂和保险公司会放过你吗？

我个人在项目中的做法是：

• 在HARA表格里，单独加一列“财产损失等级”，用L0、L1、L2来标注。这个等级不作为ASIL分解的依据，但作为风险缓解措施的参考。
• 如果财产损失可能间接导致人员伤害（比如撞毁变电站导致停电，引发交通混乱），那还是要回到人员伤害的评估上。

4.4 实战中的避坑指南

最后，分享几个我踩过的坑：

• 别低估“低速场景”：我曾经以为，停车场里车速慢，S值肯定低。结果有一次，一个泊车辅助系统的失效，导致车辆突然加速撞上了行人。虽然车速不快，但行人被夹在车和墙之间，造成了严重挤压伤。所以，低速不等于低风险。
• 别忽略“二次伤害”：比如车辆失控后，虽然没有直接撞人，但导致后车为了避让而急打方向，撞上了旁边的行人。这种二次伤害，也要算在严重度里。
• 别把“概率”混进严重度：很多人会说：“这个场景发生的概率很低，所以严重度可以低一点。”这是大错特错的！严重度只看后果，不看概率。概率是E值（暴露率）和C值（可控性）的事。

好了，关于严重度评估，今天就聊这么多。记住一句话：对生命的敬畏，是功能安全工程师最基本的素养。下次咱们聊可控性（C值），看看在失效发生时，驾驶员和 bystanders 能不能“救场”。