Y4.04.2Consequence-matched safeguard strength设计
防护强度需与操作后果的严重程度匹配
别名: 防护分级 · graded protection
概念解释
防护强度应当按误操作一旦发生所导致的可信后果、这个后果是否可逆、以及事后能多快被发现这三个维度来分级设定，而不是所有操作都套用同一套确认流程。一个可以随时撤销的低影响参数调整，不应该背负和不可逆的能量释放同等的操作阻力；反过来，真正灾难性的动作，靠一个普通的"你确定吗"确认框远远不够。
机制
强防护本身是有代价的——它消耗操作时间、增加认知负荷、并且在高频重复使用时会催生绕过的动机（现场人员为了效率想办法固定住盖板或跳过确认）。这个代价决定了强防护必须是稀缺资源：只有把它集中用在后果严重、一旦发生又难以挽回的那一小部分动作上，防护本身传递出的"这里不一样、要格外小心"这个信号才有意义；如果把同样重的防护均匀撒在所有操作上，操作者会很快学会对这个信号脱敏，防护反而失去了它该有的警示作用。此外，多层防护之间应当尽量做到相互独立——如果第二层防护的判断依据和第一层完全相同，一次误判会同时穿透两层，多层防护退化成了一层防护的重复展示，并没有真正增加保护。
边界
严重性不是唯一需要考虑的维度：一个后果严重但响应窗口极短的场景（必须在数秒内动作），如果套用同样费时的强防护流程，反而会让操作者来不及在真正需要动作的时间窗口内完成防护要求的所有步骤；操作频率和一次误操作可能波及的暴露人数同样会改变权衡的结果。更微妙的是，同一个物理动作，在维护模式下可能是低风险的常规操作，切到运行模式下则可能是灾难性的——防护等级不能只按控件本身固定分配，还要看当前处于哪种运行模式。
怎么落地
用正式的危害分析给操作分级，为每一级明确写出需要的物理阻挡类型、独立确认的具体要求、所需的操作权限等级、以及是否需要联锁介入，并记录做出这个分级判断的理由，方便日后复查。
- 如果发现某一层防护被现场频繁绕过或临时取消，这是需要重新审视这个任务本身的风险模型和作业流程的信号，而不是简单粗暴地在原地再叠加一层同样容易被绕过的确认；
- 验证办法：分别在维护模式和运行模式下测试同一个控件的误激活率、有意操作时的正确完成率、以及绕过发生的频率，确认防护等级是否真的跟随后果严重程度而不是跟随控件类型固定不变。