1、ICS GB/T XXXX-200XGB/T XXXX-201X汽车产品安全 风险评估与风险控制指南Safety of Motor Vehicle Product-Risk Assessment and Risk Control Guidelines （征求意见稿）(Draft for Comments)中华人民共和国国家标准中华人民共和国国家质量监督检验检疫总局中 国 国 家 标 准 化 管 理 委 员 会 发布I前言本标准依据GB/T1.1-2009的规则起草。本标准由全国产品缺陷与安全管理标准化技术委员会（SAC/TC463）提出并归口。本标准起草单位：中国标准化研究院（国家质检总局缺陷
2、产品管理中心）、。本标准主要起草人：2GB/T XXXX-201X汽车产品安全 风险评估与风险控制指南1 范围本标准规定了汽车产品安全风险评估的基本过程以及风险控制的基本策略。本标准适用于在汽车产品的缺陷分析和认定过程中，对已销售的汽车产品存在的不合理危险进行风险评估，并基于风险评估结果制定相应的风险控制策略。2 术语和定义下列术语和定义适用于本文件。2.1汽车产品安全风险 motor vehicle product safety risk汽车整车、系统、总成或零部件等因故障或失效产生危险事件或情形的严重性与发生可能性的综合。2.2风险评估risk assessment确定危险事件或情形的严重
3、性与发生可能性的综合水平等级的过程。2.3风险控制 risk control用于避免或减小危险事件或情形发生的策略。2.4汽车产品危险 motor vehicle hazard由于设计、制造或标识等原因使汽车整车、系统、总成或零部件等处于一种不安全状态，在这种状态下，将可能导致人身伤害或财产损失。2.5严重性 severity危险事件或情形对人身、财产安全的损害程度。2.6可能性 probability3汽车产品在其使用寿命周期内发生“危险事件或情形”的概率。注：可能性是对危险事件或情形发生的概率预测，不等同于过往市场故障/失效数据的统计。2.7风险评估对象 object of risk as
4、sessment 可能存在故障或失效问题的批次汽车产品。3 总则本标准中风险评估与风险控制基本流程如图1所示。识别风险评估严重性 评估发生可能性代入风险矩阵确定风险水平等级风险控制决策因素- 安全- 法规- 技术可行性- 社会影响- 其他因素风险控制措施- 召回- 风险预警- 其他控制措施结束风险评估 风险控制确定风险评估对象图1 风险评估与风险控制基本流程本标准的风险评估对象是“危险事件或情形”，通过评估危险事件或情形的严重性和发生可能性等级，代入风险矩阵，确定危险事件或情形的最终风险水平等级。本标准中风险控制针对已销售车辆，风险控制责任主体在综合考虑风险评估结果、相关法规、技术条件、社会影
5、响等因素的基础上，制定相对应的风险控制策略，以减小或避免危险事件或情形的发生，减少人身伤害、财产损失。4 风险评估4.1 风险评估基本程序4风险评估的基本流程主要包括：确定风险评估对象识别危险事件或情形评估危险事件或情形的严重性评估危险事件或情形发生的可能性确定综合风险水平等级4.2 确定风险评估对象在评估过程中，需要根据汽车产品失效/故障的具体情况进行合理的分析后才能确定批次范围，尤其是要追溯是否与汽车产品的设计、制造或标识等原因相关。如果由设计原因导致了汽车产品失效/故障，风险评估对象是可能采用了同样设计的批次汽车产品；如果由制造原因导致了汽车产品失效/故障，风险评估对象是可能采用了同样制
6、造过程的批次汽车产品；如果由标识原因导致了汽车产品失效/故障，风险评估对象是可能采用了同样标识的批次汽车产品。4.3 识别危险事件或情形4.3.1 风险传递过程识别危险事件或情形首先要研究风险传递过程，对汽车产品故障或失效进行技术分析，模拟危险事件或情形发生和引起伤害的可能场景。本标准是对危险事件或情形的严重性和发生可能性进行综合风险评估。风险传递过程如图2所示：失效 / 故障危险事件或情形 1 危险事件或情形 2 危险事件或情形 n事故 1 - 1 事故 1 - n伤害 1 - 1 - 1 伤害 1 - 1 - n系统或部件设计 、 制造或标识等原因 事故 2 - 1 事故 2 - n 事故
7、 n - 1 事故 n - n 伤害 n - n - 1 伤害 n - n - n 图2 风险传递示意图5注1：风险从原因端向结果端传递，其表现形式由最初单一的、确定的某个原因分化为若干不同的危险事件或情形，最终导致各种程度不一的事故或伤害。风险传递过程中各种情形发生的可能性从开始时的确切发生（如设计、制造或标识等问题）直至降低到很小的概率（如某种特定的伤害）。注2：由于汽车产品技术和使用环境的复杂性和特殊性，某个故障或失效可能引发多种伤害情形，而预测某种伤害情形发生的概率几乎是不可能的。例如：汽车产品的电气线路短路（故障或失效）会导致电气线路过热，可能引发火灾（危险事件或情形），造成人员轻度
8、烧伤（伤害情形A）、重度烧伤（伤害情形B ）或烧死（伤害情形C ），在风险评估时，要对上述A、B、C 三种伤害情形的发生概率进行预测几乎无法完成，但“引发火灾”这一危险事件或情形具有相对的确定性，具备开展风险评估的条件。4.3.2 主要危险事件或情形的辨识在对风险传递分析的过程中，大多数情况下可以在多种危险事件或情形中确定主要危险事件或情形，并对主要危险事件或情形开展风险评估。少数不易区分主、次危险事件或情形的，可先设定任一危险事件或情形为主要危险事件或情形，并对其开展风险评估。在确定了主要危险事件或情形的风险水平等级后，再考虑其它危险事件或情形对风险评估结果的影响，并适当提高风险水平等级。4
9、.4 评估危险事件或情形的严重性4.4.1 危险事件或情形的严重性等级说明危险事件或情形严重性评估分为初步评估和结果修正两个步骤。本标准将严重性分为5个等级：高、较高、中、较低、低，各等级的说明如表1所示。表1 危险事件或情形的严重性等级说明严重性等级 严重性等级说明高 故障为突发性，且不可控，可能造成严重的人身伤害或财产损失。较高 故障为突发性，且可控性降低，可能造成人身伤害或财产损失。中等 故障造成车辆行驶性能或功能下降，但可控，车辆有可能继续使用，如继续使用可能会导致高、较高的严重性等级。较低 故障对车辆行驶性能或功能有部分影响，但可控，车辆可继续使用，如继续使用可能会导致较高、中等的严
10、重性等级。低 故障对车辆安全性无直接影响。4.4.2 严重性初步评估6在确定风险评估对象及识别危险事件或情形的基础上，根据表1中危险事件或情形的严重性等级说明，在相关技术资料的基础上，组织专业技术人员进行严重性分析，初步确定严重性等级。4.4.3 初步评估结果修正在进行初步评估后，考虑到汽车产品技术和使用环境的复杂性和特殊性，需对初步评估结果进行一定的修正，结果修正可考虑的因素如下：（1）易受伤人群易受伤人群包括儿童、老人、病人等对危险造成的伤害耐受力较低的人群。如果危险潜在危害的人群是易受伤人群，可提高严重性等级。（2）车辆类型不同的车型在用途、车速、准载人数、重量、几何尺寸、主被动安全水平
11、、载货性质等方面对严重性存在一定的影响。如：高速跑车、大中型客车、货车等高速、高负荷汽车，以及危险品运输车等，可提高严重性等级。除了上述结果修正因素外，在进行严重性等级初步评估结果修正时，可根据已知的故障或失效形态、车辆事故深度调查、人员伤亡程度以及缺陷工程分析试验等因素，进行综合分析后修正。4.5 评估危险事件或情形发生的可能性4.5.1 危险事件或情形发生的可能性等级对危险事件或情形发生的可能性等级进行评估关键在于风险评估对象的确定。本标准中，危险事件或情形发生的可能性分为5个等级:高、较高、中、较低 和低。可能性评估包括初步评估和结果修正两个步骤。可能性评估的方法主要包括：定量法、定性法
12、和定量定性结合法。4.5.2 可能性初步评估在故障或失效模式、样本质量和数量满足定量分析要求的情况下，可采用统计学方法中的趋势预测模型(如韦伯分布模型等 )或工程分析方法预测全寿命故障率，并对危险事件或情形发生的可能性进行预测，可能性的初步评估结果根据故障或失效模式的行业平均水平确定。在样本质量和数量无法满足定量分析要求的情况下，可采用定性法的方式进行评估。定性法评估原则如下：7若危险事件或情形发生的原因由材料、零部件结构设计、生产工艺、软件控制策略、整体布置或零部件匹配等设计因素导致，可能性的初步评估结果可为高或较高；若危险事件或情形发生的原因由材料加工、机械加工、零部件装配或生产管理不当等
13、制造因素导致，可能性的初步评估结果可为较高、中等或较低；若危险事件或情形发生的原因由车辆无标识或错误标识等因素导致，可能性的初步评估结果可为高或较高。4.5.3 初步评估结果修正在进行可能性初步评估后，考虑到危险事件或情形发生的条件、频次等因素可能存在较大差异，结合已知的汽车产品故障/失效发生率的基础上，对初步评估结果 进行修正，结果修正可考虑的因素如下：（1）危险事件或情形发生的条件危险事件或情形发生的条件非常苛刻，可降低可能性等级。（2）危险事件或情形发生前能否被感知而被排除或限制如果在危险事件或情形发生前能够被感知到，或发生前车辆有明显的警示信息，可降低可能性等级。（3）日常维修可排除危
14、险事件或情形的发生车辆在日常使用维护过程中，存在故障/失效的零部件、总成或系统能够得到更换、调整，可降低可能性等级。（4）车辆使用频次如果风险评估范围内的车辆使用频次超过正常车辆，危险事件或情形发生的可能性将会增加，例如出租车、公共汽车、载货车等，可提高可能性等级。（5）车辆运行环境对于长期在山地、高寒、高热等特殊气候环境以及路面状况差、含水量、含盐量过大等道路环境下运行的车辆，如果上述运行环境能够加快危险事件或情形的发生，可提高可能性等级。（6）已引发危险事故案例获知已引发危及人身、财产安全的事故案例时，可提高可能性等级，尤其已获知导致人员死亡事故案例，可将可能性等级提高到较高或高两个等级。
15、（7）同一故障/失效引发多种 危险事件或情形8因同一故障/失效引发多种危险事件或情形 ，以主要危险事件或情形发生的可能性进行评估，结合考虑其它次要危险事件或情形，可提高可能性等级。除了上述结果修正因素外，在进行可能性等级修正时，可根据已知的故障/失效率、已知案例发生的情形、车辆现场查看情况以及缺陷工程分析试验等因素，进行综合分析后修正。4.6 确定综合风险水平等级在危险事件或情形的严重性等级和危险事件或情形发生的可能性等级确认的基础上，通过查询风险评估矩阵确定风险水平等级。风险水平等级分为五级：高（第5级）、较高（4级）、中（第3级）、较低（第2级）、低（第1级）。严重性可能性低 较低 中 较
16、高 高低 1 2 2 3 3较低 2 2 3 3 4中 2 3 3 4 4较高 3 3 4 4 5高 3 3 4 5 5图3 风险评估矩阵5 风险控制本标准中风险控制对象是已销售车辆，风险控制责任主体是汽车产品生产者，风险控制责任主体应根据风险评估结果制定相应的风险控制策略。风险等级为高（第5级）和较高（第4级）的，汽车产品生产者应根据相应的法律法规实施召回活动，消除车辆安全隐患；9风险水平等级为中等（第3级）的，汽车产品生产者可分析国内外相关的召回案例，如果存在类似召回案例的，汽车产品生产者可采取召回活动；如果没有类似召回案例，汽车产品生产者可自主处置；风险水平等级为较低（第2级）和低（第1级）的，汽车产品生产者可自主处置。
