东风汽车有限公司  黄嵘     郑州日产汽车有限公司  杨征     东风雷诺汽车有限公司  叶凯

    汽车安全是道路交通安全的重要组成部分。从国内外每年汽车召回数字和缺陷汽车造成的人员伤亡事故情况看，存在缺陷的汽车产品数量及由其引发的交通事故的数量，都是不可小视的。我国从2004年开始实施缺陷汽车产品召回工作，历年召回次数和召回数量基本呈逐年递增趋势。实施缺陷汽车产品召回制度的前提，是确定汽车产品是否存在缺陷，生产企业作为风险控制的责任主体，应根据风险评估结果采取相应的措施去开展工作，控制风险，消除安全隐患。

    1、实施背景

    实施缺陷汽车产品召回制度的前提，是确定汽车产品是否存在缺陷。缺陷的认定是比较复杂、专业的技术问题，对于不符合标准的缺陷通过检测手段可以进行判定，但是对于标准没有明确的缺陷，若没有明确的风险评估标准，便无法对汽车产品是否有缺陷做出准确判断。统一缺陷汽车产品风险评估的方法标准，使政府和汽车制造商用相同的“尺度”识别缺陷，分析其风险等级，并在此基础上处理缺陷，可谓意义重大。

    “不合理危险”存在较大的模糊性，其在法律角度讲也模棱两可，这就容易导致利益相关者相互扯皮、推诿，给缺陷召回工作带来麻烦。根据我国历年召回数据统计，只有少部分缺陷汽车产品是不符合国家标准或者行业标准的，超97℅的缺陷属于不合理危险。实际中，在不合理危险的判定上，政府、企业和消费者之间经常出现较大的分歧。因此，形成统一或者公认的缺陷汽车产品风险评估方法是技术判定不合理危险的有效措施。

    2017年国家发布的GB/T34402-2017《汽车产品安全 风险评估与风险控制指南》（以下简称《指南》）国家标准，旨在对上述评估过程进行规范化和标准化，为汽车缺陷判定提供科学依据，为政府部门和生产者作出召回决策和其他批次性问题处理方式提供实用性指南。该标准是开展汽车产品缺陷技术研判的重要基础标准。

    2、风险评估企业需求

    风险控制的责任主体只能是产品的生产者。生产企业作为风险控制的责任主体，根据风险评估结果采取相应的措施去开展工作，控制风险，消除安全隐患。不同级别风险水平等级对应不同的处置，负责任的生产者会根据问题的具体情况以及问题发展的趋势制定适宜的方案。

    对于市场案件，进行市场处置决策决定时，必须对疑似缺陷的问题进行安全性评估。评估汽车上的批次性问题、故障引起的和人身安全相关的不合理风险。该内容做为市场处置判断的输入决定市场案件的性质。《指南》只提供了最终结果需要符合的要求，但缺少过程、技术要件、程序等内容，因此，急需开展该方向的研究。

    确定危险事件或情形的严重性与发生可能性的综合水平等级的过程，需要考虑和解决以下内容：

    风险评估负责部门：

    风险评估基本程序：

    ● ——确定风险评估对象

    ● ——识别危险事件或情形

    ● ——评估危险事件或情形的严重性

    ● ——评估危险事件或情形发生的可能性

    ● ——确定综合风险水平等级确定风险等级

    风险传递：考察一个批次有安全隐患的汽车产品，从最初的设计制造纰漏、故障出现、事故发生，到最终构成人身伤害，风险从原因端向结果端传递，我们得到的信息往往是市场上的信息，要反向地从市场上的表现形态确认最终的产生原因。

    风险评估对象：可能存在故障或失效问题的批次汽车产品

    风险处置：决策确定的风险处理措施，是指对已出厂具有安全隐患的产品，以消除或降低风险为目的的处理措施。

    风险评估的输出：风险评估最终的输出是对是否符合缺陷定义给出的技术性判断建议。

    3、内涵和主要步骤

    3.1风险评估与风险控制企业内管理要点

    关于缺陷认定（含风险评估与风险控制）对应的流程和步骤。通常要求包括必要的流程图和模板，包括标准符合性和非标准符合性的内容，安全类及环保类的信息。

    以重要案件的业务处理全过程管理为例，对应的流程和步骤主要从三个方面体现：案件的提出及确认、技术检讨和市场处置方向提案、市场处置判断决策。

    3.2风险评估与控制企业内步骤

    步骤一：确定风险主体（依据需要收集的品质信息）

    步骤二：初步确定品质信息的严重性（编制对应重要度判定标准，明确案例集）

    步骤三：初步确定风险的可能性（依据《指南》中定性法描述）

    步骤四：制定半定量方法确认可能性

    步骤五：条件允许，使用定量方法确认案件的发展趋势（建立定量如Weibull分析）

    步骤六：确认严重性（依据《指南》中严重性定义，编制企业内案例集，评估危险事件或情形的严重性）

    步骤七：确认风险控制手段（编制对应可能市场处置方向案例集）

    3.3步骤一：确定风险主体

    汽车产品的生产具有批次性，当发现某一车型的一辆或几辆车出现失效/故障，应该分析找出该车的批次范围，追根溯源，从该车的设计、制造、标识等角度进行分析，不能局限于特定范围或数量的汽车，要以可能存在风险的批次汽车产品这一群体来作为风险评估的对象。

    应该明确为案件管理，从最终的目的来看，任何一个案件的角度考虑都存在基础故障模式和最差模式。所以任何一个案件会描述为：基础故障模式的风险水平；最差故障模式的风险水平；以及从基础故障模式转换为最差故障模式的可能性；用最简单的定义明确风险主体，一般不会产生异议。同该标准的目标相同，使用的主体大部分就是实施和接受缺陷调查的人员，都会以案件为主体，而不会以单一的风险作为主体。据此收集、汇总、分析品质信息。

    3.4步骤二：初步确定品质信息的严重性

    为促进车辆品质的改善，并为市场处置方式的选择提供参考依据，按照统一标准对市场品质情报分级。重要度是将市场品质情报根据安全性、法规符合性状态，以信息的重要程度进行分类，分别对应活动。重要度判定事例，为依据重要度的判定总则在实际应用中总结的事例集，在实际操作中用于品质情报重要度判定依据，事例中部分专用术语适用于特定对应车型。

    根据品质情报进行判断时，要参考其全部信息进行判定，尤其注重表象及导致的后果。

    3.5步骤三：初步确定风险的可能性

    定性法评估原则如下：

    若危险事件或情形发生的原因由材料、零部件结构设计、生产工艺、软件控制策略、整体布置或零部件匹配等设计因素导致，可能性的初步评估结果可为高或较高；

    若危险事件或情形发生的原因由材料加工、机械加工、零部件装配或生产管理不当等制造因素导致，可能性的初步评估结果可为较高、中或较低；

    若危险事件或情形发生的原因由车辆无标识或错误标识等因素导致，可能性的初步评估结果可为高或较高。

    3.6步骤四：制定半定量方法确认可能性

    风险等级水平（R）：可以被描述为一个包含危险事件发生频率（E），所涉及人员通过及时反应以避免特定的伤害或损坏的能力--可控性（C），以及所产生的伤害或损坏的潜在严重度（S）的对应；E、C的评估是定量方法的一种重要补充。

    对于每一个危险事件，确定每个运行场景的暴露概率：对于每一个危险事件，应基于一个确定的理由预估驾驶员或其他潜在处于风险的人员对该危害事件的可控性。两个相邻等级间的差异是一个数量级。以上可能性，是对单一的危险事件的评估，如要考虑危险事件的转换（对于案件必须考虑的内容），需要考虑从基础故障模式转化为最差故障模式的可能性。

    最差模式：发生频率f依次受到几个因素的影响。要考虑的因素之一，是人们多频繁和多久能够发现他们自己处于上述危害事件可能发生的场景中。危害事件可能发生的驾驶场景的概率的度量（暴露：E）。另一个因素是相关项可能导致危害事件的失效率（失效率：λ）。失效率是通过存留在系统中导致危害的硬件随机失效和系统故障来表征：f = E×λ。

    案件是由基础故障、最差模式（危险）、事故（或伤害）组成，这3种的严重性、可能性在案件调查中都要描述，综合作为判断的依据。原则上其中任何一级不符合准则的要求都涉及到要召回。

    到某一级的算法都可以用场景的暴露概率(发生的频率)×可控性，发生的频率如上描述f=E×λ。最差模式或事故，都要演算从基础模式到最差模式的可能性（来源试验、理论、数据等）。

    发生概率尽量通过危险模型做量化的分析，必要时还需要考虑以下，作为评估的证据：

    ☆使用周期：视情况，一般应不超过 10年/20万公里，需要被规定，好做测算

    ☆目前的发生率：基于统计的缺陷发生比例

    ☆未来发生率预测方法：Weibul - Hazard Plot 分析法

    ☆DFR、CFR、FR （下降、稳定、上升缺陷率）的判定

    ☆事故发生后的车辆可控性：可从已发生的案例判断

    ☆潜在人员伤害风险：可从已发生过的案例判断或预估。

    3.7步骤五：条件允许，使用定量方法确认案件的发展趋势

    在故障或失效模式、样本质量和数量满足定量分析要求的情况下，可采用统计学方法中的趋势预测模型【如韦伯分布（Weibull Distribution）模型等】或工程分析方法，预测汽车产品在其使用寿命周期内发生危险事件或情形的概率。

    对于市场案件的处置，除了需要知道案件的安全性评估外，还需要知道同一原因的案件在市场上发生的概率，以及对应到市场上的方式状况和后期发生的概率。在传统中多用发生率来描述，这是不准确的，希望知道的不良率定义为：车辆在规定的行驶里程内(比如6万km内)出现故障的概率，也就是累积故障率。

    汽车产品在市场上发生的许多不具合服从威布尔（Weibull）分布，这为我们预测未来市场上不具合发生率，进而提前采取合理应对措施成为可能。使用Weibull分析方法进行市场不良发生率的预测。Weibull分析使用故障概率论的手法，将累计故障率（Ft值）画到威布尔分布图上。通过Ft值，可预测将来的市场不具合发生率。通过Weibull的倾斜形状（ｍ值），可以推定故障是偶发、早期型或耗损失效型。

    3.8步骤六：确认严重性

    对应环境条件下可能导致的安全后果，会有以下步骤：理论分析；可能存在的风险；试验验证；实车确认或验证。

    结论证明材料：通过试验（或故障再现试验）XXX存在 (TI火灾、转向、制动、行驶熄火等）情况发生；XXX故障在极端情况下（高热、高寒、雨天、高速路、陡坡路等）会发生（TI火灾、转向、制动、行驶熄火、物件坠落等）等情况。

    从基础故障模式转换为最差故障模式的可能性；

    缺陷位置（如漏油点、破损点等）局部结构布置的合理性；设定环境条件下，可能导致的安全后果；理论分析，可能存在的风险；试验验证；实车确认或验证。

    危险事件或情形的严重性判定基于《指南》：突发性、可控性、造成人身伤害或财产损失情况。

    “突发性”是指危险事件或情形出现是否有预兆，突然发生性。

    “可控性”既包括车辆行驶或操控功能的可控程度，同时也包括危险事件的发生和发展过程可控程度。

    “造成人身伤害或财产损失情况”是指危险事件或情形直接导致事件接触人员伤情的医学后果。

    使用方法：案例+典型原因或说明+事件或情形+定义=等级

    使用方法（例）：因为“线路短路” +导致“车辆电气线路或连接故障”+导致“起火”+符合“过程不可控，可能造成严重的人身伤害或财产损失”=所以严重度等级为“高”。

    3.9步骤七：确认风险控制手段

    最初的提案和方向的确认可编制对应可能市场处置方向案例集，最终的缺陷认定必须依据《指南》来决定。

    3.10 风险评估与控制的最终输出：缺陷认定结论

    从最终的目的来看，任何一个案件都存在基础故障模式和最差模式。通常案件会描述为：

    基础故障模式：最差故障模式；预见性

    结论：XXXXX不良可能导致XXXXXXXXX，存在（没有）安全问题。

    所以任何一个案件都会描述为：

    基础故障模式的风险水平；最差故障模式的风险水平；以及从基础故障模式转换为最差故障模式的可能性。

    用最简单的定义明确风险主体，一般不会产生异议。同该标准的目标相同，使用的主体大部分就是实施和接受缺陷调查的人员，都会以案件为主体，而不会以单一的风险作为主体。

    4、总结：企业展开缺陷汽车产品风险评估的意义

    缺陷汽车产品风险评估是对缺陷风险进行等级评估的过程。

    识别危险事件或情形主要说明风险传递的过程，以及在多种危险事件或情形中要分清主次。对风险传递过程的分析，在整个风险评估流程中具有重要作用，也是风险评估工作中的重点和难点。分析风险传递过程，识别汽车系统中可能存在的风险，对汽车产品故障或失效进行技术分析，模拟危险事件或情形发生和可能引起伤害的场景，识别风险，有利于提高对风险的认识，从汽车设计及生产上出发，优化改良系统，提高系统可靠性，减少事故的发生。

    同时对应批次性故障的主要处理方式包括召回、生产者技术服务、延长质保期等，在选择处理方式上，规范流程。旨在对上述评估过程进行规范化和标准化，为汽车缺陷判定提供科学依据，为召回决策和其他批次性问题处理方式提供实用性技术明确，并付诸使用。