浅谈汽车产品安全风险评估准确性提升

GB/T 34402-2017 《汽车产品安全 风险评估与风险控制指南》的发布实施为汽车开展风险评估提供了科学的指导方法，但汽车企业在具体操作中如何对具体问题进行准确的风险评估是个难题。本文通过前期实践总结，以案例说明，分析了提升汽车产品安全风险评估准确性的方法，以供参考。

2017年9月29日，国家标准GB/T 34402-2017《汽车产品安全 风险评估与风险控制指南》正式发布，并于2018年4月1日实施，该标准为汽车产品安全风险评估提供了科学的指导方法，在汽车行业得到了全面实施。如何根据《汽车产品安全 风险评估与风险控制指南》对具体问题进行准确的风险评估，需要汽车企业认真思考。如果风险评估不准确，可能使有安全隐患的车辆仍在使用，或可能开展不必要的行动造成巨大的资源浪费。

笔者从事汽车产品安全方面工作十余年，对300余个问题开展过风险评估，在这里浅谈提升汽车产品安全风险评估准确性的方法。

按照《汽车产品安全 风险评估与风险控制指南》，风险评估的基本流程如图1所示。

图1 风险评估的基本流程

上述流程中，影响风险评估准确性的核心步骤有以下四个：（1）确定风险评估对象；（2）识别危险事件或情形；（3）评估危险事件或情形的严重性；（4）评估危险事件或情形发生的可能性。为了将这4个步骤的结果评估准确，笔者归纳出“因、推、查、试”四个核心方法。

1.“因”，即找根因

分析问题的根本原因，这虽然不是风险评估的工作范畴，却是准确评估风险的重要基础。根本原因决定风险评估的对象，一般来讲从根本原因出现且未被后续过程拦截开始到根本原因消除或被后续过程拦截为止，这之间生产的车辆即为风险评估对象。同时根本原因对识别危险事件或情形以及评估危险事件或情形发生的可能性也有直接影响。

2.“推”，即推断危险事件或情形

根据根本原因结合车辆结构原理、控制逻辑、使用工况等推断风险传递过程，识别危险事件或情形。下面举例说明。

例一：大灯壳体老化可能出现灯脚断裂或壳体裂纹的情况。

a.灯脚断裂分析。通常情况下可能会认为灯脚是固定大灯的，如果灯脚全断裂，大灯就会掉下来，使大灯突然失去照明功能，但结合车辆的实际布置分析，即使大灯的灯脚全部断裂，由于大灯周围钣金限制，大灯只能在非常有限的空间内轻微晃动，可能会产生异响，但不会出现脱落的情况，也不会影响大灯的正常照明。

图2 整个黑色部分均为壳体

图3 大灯周围钣金限制

b.壳体出现裂纹分析。大灯壳体在发动机舱内，正常情况下裂纹不会产生明显影响，但是汽车的使用工况较为复杂，如遇上倾斜度非常大的雨，或者洗车时用高压水枪沿着发动机舱盖与大灯之间的缝隙向里面冲水，就有可能使水经过飞溅折射经壳体缝隙进入到大灯内，所以要考虑水进入灯内可能导致的危险事件或情形，其一，进水后可能导致灯罩起雾；其二，大灯内有2个控制器，分布在侧面和底部（如图4所示），如果灯内进水，很可能使底部的控制器进水，根据控制逻辑，这会使仪表盘故障灯报警，如果进水较多会使日行灯不亮，但侧面控制器不受影响，近/远光灯功能正常。

图4 大灯控制器分布

根据以上分析，风险传递过程如图5所示。

图5 大灯壳体老化风险传递过程

上述案例的识别危险事件或情形识别过程较为简单，但也可以看出要全面准确识别出危险事件或情形，需要注意以下几点：（1）全面掌握结构原理；（2）全面掌握控制策略；（3）具有厚实的使用工况积累。其中第（3）条难度最大，需要刻意且持续不断的积累。

3.“查”，即调查信息

调查信息越详实，风险评估越精准。

3.1 调查信息可提高识别危险事件或情形的准确性

上文介绍了推断危险事件或情形，但是一个人甚至一个团队的知识是有限的，识别危险事件或情形的准确性难以保证，对新手来说更是这样，调查信息则可进行补充和验证。比如调查已发生案例的故障模式，包括发生在厂内和售后的案例，对故障模式进行提取和分析，识别出危险事件和情形；再比如调查类似原因案例的故障模式，包括研发与项目阶段的类似案例、发生在其他车型的类似案例，这个过程要进行谨慎分析，因为可能由于结构原理及控制逻辑的变化，使相同的原因产生不同的故障模式，经过谨慎分析后形成目标问题的危险事件或情形。

3.2 调查信息可以提高评估严重性等级的准确性

评估严重性等级其中一项工作是把主要危险事件与情形与《汽车产品安全 风险评估与风险控制指南》中的“危险事件或情形的严重性等级说明”准确对应。主要危险事件或情形的真正情况是怎样的？需要对案例的细节过程进行详细调查，然后才能准确地对应出严重性等级。

3.3 调查信息可以提高评估可能性等级的准确性

初步评估可能性时，一般包括定量法和定性法。定性法应用起来较为容易，但评估结果较粗糙，评估准确性因具体问题而有较大差异。定量法难度较大，但准确性更高。获取定量结果有两个方式：其一，通过排查风险范围内的零部件或车辆来推断可能在车辆寿命周期内出现问题的比例，需要的先决条件是能够排查的零部件或车辆足够多，具有统计意义，并且排查方法能够识别出在车辆寿命周期内会出现问题的情况；其二，调查已发生案例数量并进行韦伯预测，得到车辆寿命周期内可能出现问题的概率，先决条件是风险范围内车辆的生产数据、销售数据、故障数据记录完善，并且有一定数量的已发生案例，数据不全以及已发生案例数不够多都可能造成较大偏差。

在可能性评估中，对初步评估结果的修正应用范围广并且对评估结果影响也比较大，具体应用因题而异。下面举例子说明。

例二：发现副驾驶气囊在-35℃试验中存在充气不足，气袋没有完全展开的情况。

主要危险事件情形发生的条件是副驾驶坐人、发生事故导致副驾驶气囊展开、环境温度达不到气囊正常展开的温度。

所以发生概率=零件存在问题概率P1*导致副驾驶气囊展开的事故概率P2*副驾驶坐人概率P3*导致气囊开展不充分的外界条件的时间比例P4*分布于此外界条件的车辆数量N*车辆寿命周期L

● 零件存在问题概率P1：经过几百次低温试验，确定零件存在问题概率P1=0.5%；

● 导致副驾驶气囊展开的事故概率P2：通过全球主要汽车市场事故调查数据得知，每年每车出现事故导致副驾驶气囊爆开的概率P2约为0.55%；

● 副驾驶坐人概率P3：通过对全球主要汽车市场事故调查数据得知，副驾驶坐人概率P3约为19.03%；

● 导致气囊展开不充分的外界条件的时间比例P4与分布于此外界条件的车辆数量N：首先通过理论分析与大量试验，能够确认-30℃时气囊能正常展开，气囊展开不充分的外界条件是温度低于-30℃。其次查询全国各地区年均低于-30℃天数比例及车辆分布，如图6。

图6 全国各地区年均低于-30℃天数比例及车辆分布

● 车辆使用寿命L：按车辆使用15年计。

据此评估涉及车辆在寿命周期内可能出现副驾驶坐人时气囊展开不充分的次数总计约0.000545582次，如图7，并且还有一个因素未计算在内：用户进入车内会开空调，空调和人的体温会使车内温度很快升高到-30℃以上，进一步降低气囊展开不充分发生的可能性，但此因素无法量化。

由以上可知，主要危险事件或情形发生的次数小于0.00055次，即基本不可能发生。

上面这个案例，准确识别发生条件并且将发生条件的影响因素尽可能地量化是评估的关键，在量化的过程中需要查询大量数据，比如车辆的分布情况、各区域气候温度、导致副驾驶气囊展开的事故概率、副驾驶坐人概率等。

图7 车辆在寿命周期内可能出现副驾驶坐人时气囊展开不充分的次数统计

4.“试”，即做试验

通过上面三种方法已经能够对大部分问题进行相对准确地评估风险，但是对发生案例少且缺少经验或结构原理支撑的问题尚显不足，这就需要通过试验支持评估。比如对危险事件或情形掌握不充分时，可将风险零件装车在各种工况下试验，用于补充完善危险事件或情形；比如在没有可以调用的风险零件、车辆来排查比例时，可将零件的生产状态恢复到出问题时的状态，再生产一批零件并进行检测，用于评估可能性；再比如对某一危险事件或情形发生的真实情况不了解时，可以进行专项试验用于评估严重性。下面举例说明。

例三：评估后备箱驱动模块中部脱开的严重性。通过多次试验发现其中部脱开后会导致内部弹簧弹出，弹出的方向向弹簧周向360°均有可能，在试验台架上测量弹簧弹出时的力量大约为980N（如图8），这种情况较为危险。

图8 后备箱驱动模块中部脱开试验

上面这个案例中，弹簧弹出方向和弹出力的大小直接影响着严重性等级，试想一下，如果弹出力仅为1N，可能不会对人身财产安全造成影响，但980N就截然不同，所以这个试验结果为评估严重性等级提供了直接依据。

截至目前，上述方法在风险评估中应用近百例，对比使用上述方法之前与之后的评估结果与市场实际表现，评估准确性得到大幅提升。

补充说明一点，不是只掌握这些方法就能够准确评估风险，还需要注意以下几个方面：（1）掌握充足的汽车知识；（2）整车厂有完整成熟的管理体系；（3）掌握大量的行业相关信息；（4）准确把握风险评估标准。这样才能准确地评估风险。

汽车生产者应该始终注重提升风险评估准确性，以控制好风险，更好地履行社会责任。

*本文来自《产品安全与召回》杂志第6期，转载请注明来源。