汽車產品安全 風險評估與風險控制指南（征求意見稿）

PAGEIIICS中華人民共和國國家標準中華人民共和國國家標準GB/TXXXX-200XGB/TXXXX-201X汽車產品安全風險評估與風險控制指南SafetyofMotorVehicleProductRiskAssessmentandRiskControlGuidelines

（征求意見稿）(DraftforComments)中華人民共和國國家質量監(jiān)督檢驗檢疫總局中華人民共和國國家質量監(jiān)督檢驗檢疫總局中國國家標準化管理委員會發(fā)布PAGE9GB/TXXXX-201X汽車產品安全風險評估與風險控制指南范圍本標準規(guī)定了汽車產品安全風險評估的基本過程以及風險控制的基本策略。本標準適用于在汽車產品的缺陷分析和認定過程中，對已銷售的汽車產品存在的不合理危險進行風險評估，并基于風險評估結果制定相應的風險控制策略。術語和定義下列術語和定義適用于本文件。汽車產品安全風險motorvehicleproductsafetyrisk汽車整車、系統(tǒng)、總成或零部件等因故障或失效產生危險事件或情形的嚴重性與發(fā)生可能性的綜合。風險評估riskassessment確定危險事件或情形的嚴重性與發(fā)生可能性的綜合水平等級的過程。風險控制riskcontrol用于避免或減小危險事件或情形發(fā)生的策略。汽車產品危險motorvehiclehazard由于設計、制造或標識等原因使汽車整車、系統(tǒng)、總成或零部件等處于一種不安全狀態(tài)，在這種狀態(tài)下，將可能導致人身傷害或財產損失。嚴重性severity危險事件或情形對人身、財產安全的損害程度?？赡苄詐robability汽車產品在其使用壽命周期內發(fā)生“危險事件或情形”的概率。注：可能性是對危險事件或情形發(fā)生的概率預測，不等同于過往市場故障/失效數(shù)據(jù)的統(tǒng)計。風險評估對象objectofriskassessment可能存在故障或失效問題的批次汽車產品?？倓t本標準中風險評估與風險控制基本流程如圖1所示。圖1風險評估與風險控制基本流程本標準的風險評估對象是“危險事件或情形”，通過評估危險事件或情形的嚴重性和發(fā)生可能性等級，代入風險矩陣，確定危險事件或情形的最終風險水平等級。本標準中風險控制針對已銷售車輛，風險控制責任主體在綜合考慮風險評估結果、相關法規(guī)、技術條件、社會影響等因素的基礎上，制定相對應的風險控制策略，以減小或避免危險事件或情形的發(fā)生，減少人身傷害、財產損失。風險評估風險評估基本程序風險評估的基本流程主要包括：——確定風險評估對象——識別危險事件或情形——評估危險事件或情形的嚴重性——評估危險事件或情形發(fā)生的可能性——確定綜合風險水平等級確定風險評估對象在評估過程中，需要根據(jù)汽車產品失效/故障的具體情況進行合理的分析后才能確定批次范圍，尤其是要追溯是否與汽車產品的設計、制造或標識等原因相關。——如果由設計原因導致了汽車產品失效/故障，風險評估對象是可能采用了同樣設計的批次汽車產品；——如果由制造原因導致了汽車產品失效/故障，風險評估對象是可能采用了同樣制造過程的批次汽車產品；——如果由標識原因導致了汽車產品失效/故障，風險評估對象是可能采用了同樣標識的批次汽車產品。識別危險事件或情形風險傳遞過程識別危險事件或情形首先要研究風險傳遞過程，對汽車產品故障或失效進行技術分析，模擬危險事件或情形發(fā)生和引起傷害的可能場景。本標準是對危險事件或情形的嚴重性和發(fā)生可能性進行綜合風險評估。風險傳遞過程如圖2所示：圖2風險傳遞示意圖注1：風險從原因端向結果端傳遞，其表現(xiàn)形式由最初單一的、確定的某個原因分化為若干不同的危險事件或情形，最終導致各種程度不一的事故或傷害。風險傳遞過程中各種情形發(fā)生的可能性從開始時的確切發(fā)生（如設計、制造或標識等問題）直至降低到很小的概率（如某種特定的傷害）。注2：由于汽車產品技術和使用環(huán)境的復雜性和特殊性，某個故障或失效可能引發(fā)多種傷害情形，而預測某種傷害情形發(fā)生的概率幾乎是不可能的。例如：汽車產品的電氣線路短路（故障或失效）會導致電氣線路過熱，可能引發(fā)火災（危險事件或情形），造成人員輕度燒傷（傷害情形A）、重度燒傷（傷害情形B）或燒死（傷害情形C），在風險評估時，要對上述A、B、C三種傷害情形的發(fā)生概率進行預測幾乎無法完成，但“引發(fā)火災”這一危險事件或情形具有相對的確定性，具備開展風險評估的條件。主要危險事件或情形的辨識在對風險傳遞分析的過程中，大多數(shù)情況下可以在多種危險事件或情形中確定主要危險事件或情形，并對主要危險事件或情形開展風險評估。少數(shù)不易區(qū)分主、次危險事件或情形的，可先設定任一危險事件或情形為主要危險事件或情形，并對其開展風險評估。在確定了主要危險事件或情形的風險水平等級后，再考慮其它危險事件或情形對風險評估結果的影響，并適當提高風險水平等級。評估危險事件或情形的嚴重性危險事件或情形的嚴重性等級說明危險事件或情形嚴重性評估分為初步評估和結果修正兩個步驟。本標準將嚴重性分為5個等級：高、較高、中、較低、低，各等級的說明如表1所示。表1危險事件或情形的嚴重性等級說明嚴重性等級嚴重性等級說明高故障為突發(fā)性，且不可控，可能造成嚴重的人身傷害或財產損失。較高故障為突發(fā)性，且可控性降低，可能造成人身傷害或財產損失。中等故障造成車輛行駛性能或功能下降，但可控，車輛有可能繼續(xù)使用，如繼續(xù)使用可能會導致高、較高的嚴重性等級。較低故障對車輛行駛性能或功能有部分影響，但可控，車輛可繼續(xù)使用，如繼續(xù)使用可能會導致較高、中等的嚴重性等級。低故障對車輛安全性無直接影響。嚴重性初步評估在確定風險評估對象及識別危險事件或情形的基礎上，根據(jù)表1中危險事件或情形的嚴重性等級說明，在相關技術資料的基礎上，組織專業(yè)技術人員進行嚴重性分析，初步確定嚴重性等級。初步評估結果修正在進行初步評估后，考慮到汽車產品技術和使用環(huán)境的復雜性和特殊性，需對初步評估結果進行一定的修正，結果修正可考慮的因素如下：（1）易受傷人群易受傷人群包括兒童、老人、病人等對危險造成的傷害耐受力較低的人群。如果危險潛在危害的人群是易受傷人群，可提高嚴重性等級。（2）車輛類型不同的車型在用途、車速、準載人數(shù)、重量、幾何尺寸、主被動安全水平、載貨性質等方面對嚴重性存在一定的影響。如：高速跑車、大中型客車、貨車等高速、高負荷汽車，以及危險品運輸車等，可提高嚴重性等級。除了上述結果修正因素外，在進行嚴重性等級初步評估結果修正時，可根據(jù)已知的故障或失效形態(tài)、車輛事故深度調查、人員傷亡程度以及缺陷工程分析試驗等因素，進行綜合分析后修正。評估危險事件或情形發(fā)生的可能性危險事件或情形發(fā)生的可能性等級對危險事件或情形發(fā)生的可能性等級進行評估關鍵在于風險評估對象的確定。本標準中，危險事件或情形發(fā)生的可能性分為5個等級:高、較高、中、較低和低?？赡苄栽u估包括初步評估和結果修正兩個步驟?？赡苄栽u估的方法主要包括：定量法、定性法和定量定性結合法?？赡苄猿醪皆u估在故障或失效模式、樣本質量和數(shù)量滿足定量分析要求的情況下，可采用統(tǒng)計學方法中的趨勢預測模型(如韋伯分布模型等)或工程分析方法預測全壽命故障率，并對危險事件或情形發(fā)生的可能性進行預測，可能性的初步評估結果根據(jù)故障或失效模式的行業(yè)平均水平確定。在樣本質量和數(shù)量無法滿足定量分析要求的情況下，可采用定性法的方式進行評估。定性法評估原則如下：——若危險事件或情形發(fā)生的原因由材料、零部件結構設計、生產工藝、軟件控制策略、整體布置或零部件匹配等設計因素導致，可能性的初步評估結果可為高或較高；——若危險事件或情形發(fā)生的原因由材料加工、機械加工、零部件裝配或生產管理不當?shù)戎圃煲蛩貙е?，可能性的初步評估結果可為較高、中等或較低；——若危險事件或情形發(fā)生的原因由車輛無標識或錯誤標識等因素導致，可能性的初步評估結果可為高或較高。初步評估結果修正在進行可能性初步評估后，考慮到危險事件或情形發(fā)生的條件、頻次等因素可能存在較大差異，結合已知的汽車產品故障/失效發(fā)生率的基礎上，對初步評估結果進行修正，結果修正可考慮的因素如下：（1）危險事件或情形發(fā)生的條件危險事件或情形發(fā)生的條件非常苛刻，可降低可能性等級。（2）危險事件或情形發(fā)生前能否被感知而被排除或限制如果在危險事件或情形發(fā)生前能夠被感知到，或發(fā)生前車輛有明顯的警示信息，可降低可能性等級。（3）日常維修可排除危險事件或情形的發(fā)生車輛在日常使用維護過程中，存在故障/失效的零部件、總成或系統(tǒng)能夠得到更換、調整，可降低可能性等級。（4）車輛使用頻次如果風險評估范圍內的車輛使用頻次超過正常車輛，危險事件或情形發(fā)生的可能性將會增加，例如出租車、公共汽車、載貨車等，可提高可能性等級。（5）車輛運行環(huán)境對于長期在山地、高寒、高熱等特殊氣候環(huán)境以及路面狀況差、含水量、含鹽量過大等道路環(huán)境下運行的車輛，如果上述運行環(huán)境能夠加快危險事件或情形的發(fā)生，可提高可能性等級。（6）已引發(fā)危險事故案例獲知已引發(fā)危及人身、財產安全的事故案例時，可提高可能性等級，尤其已獲知導致人員死亡事故案例，可將可能性等級提高到較高或高兩個等級。（7）同一故障/失效引發(fā)多種危險事件或情形因同一故障/失效引發(fā)多種危險事件或情形，以主要危險事件或情形發(fā)生的可能性進行評估，結合考慮其它次要危險事件或情形，可提高可能性等級。除了上述結果修正因素外，在進行可能性等級修正時，可根據(jù)已知的故障/失效率、已知案例發(fā)生的情形、車輛現(xiàn)場查看情況以及缺陷工程分析試驗等因素，進行綜合分析后修正。確定綜合風險水平等級在危險事件或情形的嚴重性等級和危險事件或情形發(fā)生的可能性等級確認的基礎上，通過查詢風險評估矩陣確定風險水平等級。風險水平等級分為五級：高（第5級）、較高（4級）、中（第3級）、較低（第2級）、低（第1級）。嚴重性可能性低較低中較高高低12233較低22334中23344較高33445高33455圖3風險評估矩陣風險控制本標準中風險控制對象是已銷售車輛，風險控制責任主體是汽車產品生產者，風險控制責任主體應根據(jù)風險評估結果制定相應的風險控制策略?！L險等級為高（第5級）和較高（第4級）的，汽車產品生產者應根據(jù)相應的法律法規(guī)實施召回活動，消除車輛安全隱患；——風險水平等級為中等（第3級）的，汽車產品生產者可分析國內外相關的召回案例，如果存在類似召回案例的，汽車產品生產者可采取召回活動；如果沒有類似召回案例，汽車產品生產者可自主處置；——風險水平等級為較低（第2級）和低（第1級）的，汽車產品生產者可自主處置。前言本標準依據(jù)GB/T1.1-2009的規(guī)則起草。本標準由全國產品缺陷與安全管理標準化技術委員會（SAC/TC463）提出并歸口。本標準起草單位：中國標準化研究院（國家質檢總局缺陷產品管理中心）、……、……。本標準