ICS 43.040 CCS T 35 中华人民共和国国家标准化指导性技术文件 GB/Z 42285—2022 道路车辆 电子电气系统ASIL等级确定方法指南 Road vehicles- AsIL determination guidelines for electrical and electronic system 2023-07-01实施 2022-12-30发布 国家市场监督管理总局 发布 国家标准化管理委员会 GB/Z42285—2022 目 次 前言 1 范围 规范性引用文件 3 术语和定义 4危害分析和风险评估 4.1 危害的识别 4.2风险评估 4.3安全目标与安全状态的关系 附录A（资料性）整车层面的运动· 附录B（资料性） 严重度分级指南· B.1 总体介绍· B.2 13 附录C（资料性）转向功能危害分析和风险评估示例 14 C.1 总则 C.2 相关项定义：功能概念概述 C.3HAZOP分析. C.4危害分析和风险评估..· 附录D（资料性）驱动和传动功能危害分析和风险评估示例 18 D.1 总则 D.2 相关项定义：功能概念概述 18 D.3 危害与可操作性分析 19 D.4 危害分析和风险评估· 20 D.5 示例详述 31 附录E（资料性）悬架控制功能的危害分析和风险评估示例 35 E.1 简介 35 E.2 相关项定义：功能概念概述 35 E.3 危害分析. 35 E.4 危害分析和风险评估 36 E.5其他注意事项 38 附录F（资料性）制动和驻车制动功能危害分析和风险评估示例 39 F.1 总则… 39 F.2 相关项定义：功能概念概述 39 F.3 HAZOP分析 40 F.4 危害分析和风险评估 41 F.5 示例的说明和细节描述· 参考文献 GB/Z42285—2022 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任， 本文件由中华人民共和国工业和信息化部提出。 本文件由全国汽车标准化技术委员会（SAC/TC114）归口。 本文件起草单位：中国汽车技术研究中心有限公司、泛亚汽车技术中心有限公司、一汽解放汽车有 限公司、上海海拉电子有限公司、博世汽车部件（苏州）有限公司、北京地平线机器人技术研发有限公司、 兴科迪科技（泰州）有限公司、舍弗勒（中国）有限公司、联合汽车电子有限公司、深圳市大疆创新科技有 限公司、北京车和家汽车科技有限公司、北京国家新能源汽车技术创新中心有限公司、美的集团（上海） 有限公司、上汽大众汽车有限公司、法雷奥汽车内部控制（深圳）有限公司、日立安斯泰莫汽车电子（上 海）有限公司、中车时代电动汽车股份有限公司、重庆长安汽车软件科技有限公司、比亚迪汽车工业有限 公司、东风汽车有限公司东风日产乘用车公司、中国第一汽车集团有限公司、上海蔚来汽车有限公司、广 州汽车集团股份有限公司吉利汽车研究院（宁波）有限公司 本文件主要起草人：李波、付越、尚世亮、张立君、余建业、童菲、曲元宁、杨虎、史晓密、薛剑波、明月、 刘辉、王方方、蒋军、蒋云、许赞珍、王双全、张乐敏、陈锐、徐惠忠、李勇、周宏伟、熊再辉、马小龙、杨雪珠、 张伟谦、陈勇、卢萍、任夏楠。 GB/Z42285—2022 道路车辆 电子电气系统ASIL等级确定方法指南 1范围 本文件提出了确定道路车辆电子电气系统ASIL（汽车安全完整性等级）的方法。确定电子电气系 统ASIL（汽车安全完整性等级）是GB/T34590.3一2022所要求的。 全相关的系统 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 本文件。 GB/T34590（所有部分）道路车辆功能安全 GB/T34590.3—2022道路车辆功能安全第3部分：概念阶段（ISO26262-3:2018，MOD） 3术语和定义 GB/T34590.1一2022界定的术语和定义适用于本文件。 4危害分析和风险评估 4.1危害的识别 危害分析和风险评估（HARA）是一个分析过程，即识别潜在的危害，并结合运行场景，形成一组特 定的危害事件，评估每个危害事件的风险以确定其ASIL等级和安全目标。 相关项定义是进行HARA的前提条件。危害识别可通过不同的危害分析技术实现。本文件给出 了使用危害与可操作性分析（HAZOP)技术进行危害识别的示例。HAZOP是一种探索型的分析方法， 可用于识别和评估相关项的功能异常表现，有助于结构化和系统地检查相关项在整车层面的运行情况， 该分析方法通过给相关项的每个功能添加适当的引导词来假定其不同的功能异常表现，该功能异常表 现可导致危害，而该危害可能对目标车辆的驾乘人员、其他车辆及其乘客，或其他处于风险中的人员，如 自标车辆附近的行人、骑自行车的人员或维修人员造成潜在伤害。 其他有效的方法也可用于识别相关危害，本文件不推荐也不支持某种特定的危害识别方法，危害的 识别是危害分析和风险评估的一部分。附录A描述了车辆沿不同轴线的运动行为。 下面是一个简单的HAZOP方法的应用示例，用于识别相关项潜在的功能异常表现所导致的危 害。例如，基于在相关项定义中所描述的功能，考虑相关项执行器的作用和能力，进而假设如下的相关 项功能异常表现 1 GB/Z42285—2022 a) 功能丧失一一一在有需求时，不提供功能。 b) 在有需求时，提供错误的功能： 1)4 错误的功能 ——多于预期； 2） 错误的功能一一少于预期； 3） 错误的功能一一方向相反。 非预期的功能一一在无需求时，提供功能。 d) 输出卡滞在固定值上 功能不能按照预期更新。 障、已损坏或已拆解的相关项进行维修时，危害分析和风险评估不考虑相关项的已有故障对维护人员的伤害。 例如，电动助力转向系统有在转向助力振荡这个故障情况下关闭助力功能的安全机制。当进行此故障的维修 时，维修人员可强制开启助力功能以识别故障的原因。这种情况不能使用危害分析和风险评估方法进行分 析，因为这是维修人员为了进行维修而故意操作的。 注2：根据GB/T34590（所有部分），危害分析和风险评估基于相关项的功能异常表现。 注3：并非所有的HAZOP引导词都适用于所有的分析，需要根据分析的范围和内容对引导词进行剪裁。使用者可 以选取一组特殊的HAZOP引导词用于分析。 针对车辆的两种功能，即转向助力和制动控制，表1提供了使用HAZOP方法识别功能异常表现的 示例。 表1HAZOP方法应用示例 引导词 在有需求时，提供错误的功能 非预期的功能 输出卡滞在固定 功能 功能丧失 错误的功能 错误的功能 错误的功能 （在无需求时， 值上（功能不能 （多于预期） （少于预期） （方向相反） 提供功能） 按照需求更新） 转向锁死（转向输 转向助力功能 助力丧失 助力过大 助力不足 助力反向 非预期助力 出卡滞在固定值 或固定位置） 制动锁死（制动输 制动控制功能 制动力丧失 制动力过大 制动力不足 非预期制动 出卡滞在固定值 （传统制动功能） 或固定位置） 注4：在相关项的安全概念设计或后续的确认过程中，分析车辆不同功能之间的相互作用。例如：单独来看，相关 项的功能丧失可作为一种降级模式，但考虑到相关项间的相互作用和依赖关系，在整车层面上可能不是安全 状态。 一旦某项功能潜在的功能异常表现被假定出来，将继续开展危害分析活动，分析每个功能异常表现 在整车层面上产生的危害。在此分析过程中，需要考虑车辆的运行场景，包括相关项生命周期的各个阶 段（例如，运行、服务和报废阶段）。 同一个功能异常表现可能造成多个整车层面的危害，这取决于车辆在不同运行场景中的行为表现。 例如：非预期或过大的制动可能引起车辆非预期的减速和非预期的侧向移动，这取决于驾驶场景。 另外，相关项的不同功能异常表现可能造成相同的整车层面危害。危害分析和风险评估是一个迭 代过程。考虑到不同的车辆运行场景和相关项生命周期阶段，相关项的功能异常表现和相应的整车层 面危害也会在危害分析和风险评估的过程中不断更新。 表2和表3给出了将表1中基于整车功能所识别出的功能异常表现映射到整车层面危害的示例。该 映射随功能异常表现所考虑的驾驶场景不同而不同（例如，制动丧失会导致减速能力丧失，车辆溜玻等）。 2