4. 严重度(S)、频度(O)、探测度(D)评级标准：ISO 26262与AIAG-VDA标准下的评级细则与实战应用
做FMEA这么多年，我见过太多团队在S、O、D评级上“翻车”。要么照搬手册不看场景，要么凭感觉拍脑袋。说白了，评级不准，后面的所有分析都是白搭。今天咱们就把ISO 26262和AIAG-VDA这两套标准下的评级细则掰开揉碎，讲讲实战中到底怎么用。
4.1 为什么评级标准这么重要？
你想想看，FMEA的核心是风险排序。风险优先数（RPN） = S × O × D。这三个数只要有一个不准，整个优先级就乱了。我遇到过一家供应商，把某个失效模式的严重度评成了8，结果实际装车后只是仪表盘指示灯不亮——明显评高了。后来一查，他们用的是AIAG-VDA的通用表格，根本没考虑功能安全等级。
核心原则：ISO 26262的S、O、D评级必须与ASIL等级挂钩；AIAG-VDA的评级更偏向制造和装配过程。两者不能混用，但可以互补。
4.2 ISO 26262 评级细则
ISO 26262把S、O、D分别定义为：
- S（Severity）：失效对人员造成的伤害程度
- O（Occurrence）：失效发生的概率（基于暴露时间和可控性）
- D（Detection）：现有措施检测失效的能力
这里有个坑：ISO 26262的O不是单纯的“故障率”，而是“在特定运行场景下，失效发生的可能性”。我记得有个项目，客户坚持把某个电子阀门的O评成2，理由是“供应商给的MTBF很高”。但实际装车后，这个阀门在低温环境下频繁卡滞——因为O的评级没考虑环境暴露条件。
4.2.1 严重度（S）评级表
| 等级 | 描述 | 典型场景 |
|---|---|---|
| S0 | 无伤害 | 功能降级但不影响安全 |
| S1 | 轻伤（可自行处理） | 碰撞预警误报导致驾驶员轻微惊吓 |
| S2 | 重伤（需医疗干预） | 制动助力失效导致追尾 |
| S3 | 致命伤 | 转向完全失效导致高速失控 |
实战技巧：我习惯在S评级时先问三个问题：1）失效后驾驶员还有多少时间反应？2）有没有其他系统可以补偿？3）最坏情况下的车速和路况是什么？这三个问题能帮你把S评得更准。
4.2.2 频度（O）评级表
| 等级 | 描述 | 量化标准（每10^9小时） |
|---|---|---|
| O1 | 极低 | < 1 FIT |
| O2 | 低 | 1 ~ 10 FIT |
| O3 | 中等 | 10 ~ 100 FIT |
| O4 | 高 | 100 ~ 1000 FIT |
| O5 | 极高 | > 1000 FIT |
嗯，这里要注意：ISO 26262的O评级上限是5，不是AIAG-VDA的10。所以别把两个表格搞混了。我见过有人把O评成8，结果ASIL等级算出来直接爆表——其实是因为用了AIAG-VDA的10分制。
4.2.3 探测度（D）评级表
| 等级 | 描述 | 检测手段示例 |
|---|---|---|
| D1 | 极高（几乎肯定能检测） | 硬件冗余+在线诊断 |
| D2 | 高 | 在线自检（BIST） |
| D3 | 中等 | 定期离线测试 |
| D4 | 低 | 仅靠人工检查 |
| D5 | 极低（几乎无法检测） | 无检测措施 |
避坑指南：我曾经在一个ADAS项目中，把某个摄像头的D评成D2，理由是“有在线诊断”。但后来发现，这个诊断只能检测摄像头是否通电，无法检测图像质量退化。所以D评级一定要看“检测覆盖率”，不能只看“有没有检测”。
4.3 AIAG-VDA 评级细则
AIAG-VDA是汽车行业通用的FMEA标准，它用1~10分制。和ISO 26262最大的区别是：AIAG-VDA更关注“对客户的影响”和“制造过程中的可检测性”。
4.3.1 严重度（S）评级（AIAG-VDA）
| 等级 | 影响 | 典型场景 |
|---|---|---|
| 9~10 | 安全/法规 | 制动失效、排放超标 |
| 7~8 | 主要功能丧失 | 空调不制冷、车窗无法升降 |
| 5~6 | 次要功能丧失 | 座椅加热失效、氛围灯不亮 |
| 3~4 | 外观/噪音 | 内饰划痕、异响 |
| 1~2 | 无影响 | 轻微色差（客户不介意） |
4.3.2 频度（O）评级（AIAG-VDA）
AIAG-VDA的O评级基于历史数据和过程能力。我建议用CPK值来辅助判断：
- O 1~2：CPK ≥ 1.67（过程能力极好）
- O 3~4：CPK 1.33 ~ 1.67（过程能力良好）
- O 5~6：CPK 1.00 ~ 1.33（过程能力一般）
- O 7~8：CPK 0.67 ~ 1.00（过程能力不足）
- O 9~10：CPK < 0.67（过程能力差）
实战技巧：如果历史数据不足，我通常会参考类似产品的故障率。比如，某个螺栓拧紧工序，如果之前同类产品出现过松动，那O至少评到5以上。别因为“没数据”就评成1，那是自欺欺人。
4.3.3 探测度（D）评级（AIAG-VDA）
| 等级 | 检测方法 | 检测时机 |
|---|---|---|
| 1~2 | 自动检测+防错 | 在线100%检测 |
| 3~4 | 自动检测 | 在线抽样检测 |
| 5~6 | 人工检测+量具 | 下线检测 |
| 7~8 | 人工目视 | 下线抽检 |
| 9~10 | 无检测 | 直到客户投诉才发现 |
4.4 ISO 26262 vs AIAG-VDA：核心差异对比
| 维度 | ISO 26262 | AIAG-VDA |
|---|---|---|
| 评分范围 | S: 0~3, O: 1~5, D: 1~5 | S: 1~10, O: 1~10, D: 1~10 |
| 关注焦点 | 功能安全（人员伤害） | 产品质量（客户满意度） |
| O的基准 | FIT（失效率） | CPK/历史故障率 |
| D的基准 | 诊断覆盖率 | 检测手段的有效性 |
| 适用阶段 | 系统/硬件/软件设计 | 制造/装配过程 |
说白了，ISO 26262是“设计安全”，AIAG-VDA是“制造质量”。两者不是替代关系，而是上下游关系。我一般会在系统级FMEA用ISO 26262，在过程FMEA用AIAG-VDA。
4.5 实战应用：如何避免评级“拍脑袋”？
我总结了一套“三步评级法”，分享给你：
- 第一步：场景定义——明确失效发生在什么工况、什么环境、什么驾驶场景下。
- 第二步：数据支撑——用历史数据、仿真结果、供应商报告来量化O和D。
- 第三步：交叉验证——让设计、测试、制造三个团队独立评级，然后取交集。
关键提醒：评级不是终点，而是起点。评完S、O、D之后，一定要问自己：“这个RPN值合理吗？如果降低O或D，需要做什么？” 否则FMEA就变成了“为了做而做”的文档。
4.6 知识体系结构图
下面这张图帮你理清ISO 26262和AIAG-VDA的评级逻辑关系：
4.7 常见评级错误与纠正
最后，我总结几个实战中常见的评级错误，你对照看看自己有没有踩过坑：
- 错误1：S评级只看“最坏情况”——纠正：要考虑“合理可预见的场景”，不是“极端科幻场景”。
- 错误2：O评级用“供应商给的FIT值”——纠正：FIT值只是参考，还要考虑系统集成后的实际应力。
- 错误3：D评级只看“有没有检测”——纠正：要看“检测覆盖率”和“检测时机”。
- 错误4：ISO 26262和AIAG-VDA混用——纠正：明确FMEA类型，选择对应的评级标准。
避坑指南：我曾经在一个项目中，团队把某个失效的S评成9（AIAG-VDA），但O评成2，D评成3。结果RPN = 9×2×3 = 54，看起来不高，就没采取行动。后来这个失效在客户现场发生了，导致整车召回。为什么？因为O评低了——实际故障率是1/1000，对应O应该是7。所以记住：RPN低不代表风险低，要看S单独是否已经不可接受。
好了，这一章的内容就到这里。评级标准是FMEA的“度量衡”，用对了事半功倍，用错了全盘皆输。希望你在实际项目中，能把这些细则真正用起来，而不是停留在表格里。