4. 影响评级：安全、财务、隐私、运营
影响评级，说白了就是回答一个问题：这个威胁如果真发生了，后果有多严重？
在 ISO 21434 的 TARA 流程里，我们通常从四个维度去衡量。我个人习惯把这四个维度比作「四把尺子」，每把尺子量一个方向。你只有把四个方向都量清楚了，才能给风险一个公允的分数。
核心原则：影响评级不是拍脑袋，而是基于场景和资产定义的客观推导。同一个威胁，在不同车型、不同用户群体、不同市场法规下，评级结果可能完全不同。
4.1 安全影响（Safety）
这是 TARA 里最重的一把尺子。为什么？因为人命关天。
安全影响评估的是：威胁一旦触发，是否会导致人员伤亡？
我做过一个项目，评估的是智能座舱的仪表盘显示功能。当时团队里有人觉得「显示延迟几秒没什么大不了」。我反问了一句：如果是在高速上，车速显示突然卡住了，驾驶员以为只有 80 码，实际已经 120 码了，这时候变道超车……后果是什么？
嗯，从那以后，大家对安全影响的讨论就严肃多了。
安全影响的评级通常参考 ASIL 等级的逻辑，但 TARA 里我们更关注后果的严重度：
| 等级 | 描述 | 典型场景 |
|---|---|---|
| S0 | 无伤害 | 信息娱乐系统非关键显示异常 |
| S1 | 轻伤 | 非关键告警延迟，驾驶员轻微分心 |
| S2 | 重伤（可存活） | 制动辅助功能降级，碰撞风险增加 |
| S3 | 致命 | 制动完全失效、转向失控、气囊误爆 |
避坑指南：我曾经见过一个团队，把「信息娱乐系统死机」评成了 S2。理由是「驾驶员可能因为烦躁而分心」。这其实是过度评级。安全影响只评估直接物理伤害，不要引入间接心理因素。否则整个 TARA 会失真。
4.2 财务影响（Financial）
财务影响，说白了就是「钱的问题」。但这里不只是修车费。
我建议从三个口袋去算账：
- 直接损失：车辆损坏、零部件更换、召回成本。
- 间接损失：品牌声誉下降、客户流失、股价波动。
- 合规罚款：违反 GDPR、WP.29 法规的罚金。
举个例子。某 OTA 升级被篡改，导致大批车辆变砖。修车成本可能只有几百万，但品牌信任崩塌带来的销量下滑，可能是几十亿的损失。财务影响评级时，一定要把间接损失算进去。
| 等级 | 描述 | 典型场景 |
|---|---|---|
| F0 | 无财务损失 | 非敏感数据泄露，无实际经济损失 |
| F1 | 轻微损失（<10万） | 单个零部件被远程锁定，需线下解锁 |
| F2 | 中等损失（10万-100万） | 小规模召回，软件修复成本 |
| F3 | 严重损失（>100万） | 大规模召回、品牌危机、监管罚款 |
个人经验：财务评级时，记得和法务、财务部门对齐。我遇到过技术团队自己估了个 F1，结果法务说「按 GDPR 标准，这种数据泄露起步罚款是 2000 万欧元」。所以，跨部门沟通很重要。
4.3 隐私影响（Privacy）
隐私影响，这几年越来越重。尤其是欧盟的 GDPR 和中国的《个人信息保护法》出来之后。
隐私影响评估的是：威胁是否导致个人身份信息（PII）泄露、滥用或丢失？
你想想看，现在的车就是四个轮子上的手机。车里存了多少隐私数据？通讯录、通话记录、家庭住址、常去地点、甚至车内语音录音。这些数据一旦泄露，对用户来说是灾难性的。
| 等级 | 描述 | 典型场景 |
|---|---|---|
| P0 | 无隐私影响 | 车辆 VIN 号（非关联用户时） |
| P1 | 间接可识别 | 车辆行驶轨迹（需结合其他数据才能定位到人） |
| P2 | 直接可识别 | 用户手机号、家庭地址、支付信息 |
| P3 | 敏感隐私泄露 | 车内录音录像、生物特征（指纹、人脸） |
注意：隐私影响和安全影响有时会重叠。比如，攻击者通过泄露的地址信息跟踪车主，进而实施人身伤害。这时候，隐私影响和安全影响要分别评级，不能合并。TARA 要求每个维度独立打分。
4.4 运营影响（Operational）
运营影响，很多人容易忽略。它评估的是：威胁是否导致车辆功能不可用、服务中断或运营效率下降？
我举个例子。某车企的 TSP（车联网服务平台）被 DDoS 攻击，导致所有车辆无法远程解锁、无法启动空调、无法使用导航。虽然车还能开，但用户体验极差，客服电话被打爆。这就是典型的运营影响。
| 等级 | 描述 | 典型场景 |
|---|---|---|
| O0 | 无运营影响 | 非关键功能短暂不可用（如氛围灯） |
| O1 | 轻微影响 | 单个用户无法使用某项非安全功能 |
| O2 | 中等影响 | 部分用户服务中断，需人工介入恢复 |
| O3 | 严重影响 | 大规模服务瘫痪，车辆无法正常使用 |
我的习惯：运营影响评级时，我会问运维团队一个问题：「这个功能挂了，你们需要多久恢复？需要多少人？」如果答案是「需要 3 天，还要厂家派人」，那 O3 没跑了。
4.5 四维影响综合评估
四个维度都评完了，怎么用？
在 TARA 里，我们通常取每个维度的最高分作为该威胁的总体影响等级。但这不是的。我个人建议在报告中把四个维度的分数都列出来，而不是只给一个总分。为什么？因为不同角色的关注点不同：
- 安全工程师盯着 Safety 分数。
- 法务盯着 Privacy 分数。
- 项目经理盯着 Financial 和 Operational 分数。
你只给一个总分，他们反而不知道该怎么决策。
4.6 影响评级的常见误区
做了这么多年 TARA，我总结了一些容易踩的坑：
- 混淆「可能性」和「影响」：影响评级只评估后果的严重度，不考虑攻击难度。有人会说「这个攻击很难实现，所以影响评低一点」。这是错的。影响和可能性是两码事。
- 只评一个维度：有些团队只关注 Safety，忽略了 Financial 和 Privacy。结果项目上线后，因为隐私问题被罚了几千万。嗯，那时候再补就晚了。
- 评级过于保守：所有威胁都评 S3、F3、P3、O3。这样做的结果是，所有风险都变成了「高」，你反而无法区分优先级。评级要有区分度。
- 忽略场景上下文：同一个资产，在不同场景下影响评级可能不同。比如，车速信号在仪表盘显示时，影响可能是 S1；但如果车速信号用于 ACC 自适应巡航控制，影响可能是 S3。一定要基于具体场景评级。
总结一下：影响评级是 TARA 的「天平」。你只有把 Safety、Financial、Privacy、Operational 四块砝码都放对了，才能称出风险的真正重量。别偷懒，四个维度一个都不能少。