吉利 GQS 7001-2025 中文版（吉利汽车功能安全管理要求）

吉利GQS7001-2025中文版（吉利汽车功能安全管理要求）前言为规范吉利汽车集团整车及电子电气零部件功能安全全生命周期管理，规避因电气、电子系统功能异常引发的车辆安全风险，统一集团内部及供应链功能安全开发、管控、审核标准，依据ISO26262:2018《道路车辆功能安全》、国家GB/T39220系列汽车功能安全国家标准及集团质量管理体系总体要求，结合吉利汽车新能源、智能网联、智能驾驶全新产品技术架构，修订制定本标准《吉利汽车功能安全管理要求》（GQS7001-2025）。本标准替代旧版GQS7001系列功能安全管理规范，适配2025年及以后吉利全系乘用车、商用车、新能源车型及配套电子电气零部件的研发、生产、量产运维、报废全流程管理。相较于旧版，本次修订重点强化智能驾驶系统、三电系统、车载智能电子设备的功能安全差异化管控要求，完善供应商分级管理、变更闭环、偏差放行、持续改进机制，细化ASIL等级全维度落地准则，实现功能安全管理标准化、体系化、闭环化落地。本标准为吉利汽车集团内部强制性企业质量标准，集团各事业部、子公司、合作研发机构及所有配套供应商均需严格遵照执行。1范围1.1本标准规定了吉利汽车整车及电子电气相关产品功能安全管理的总体原则、组织架构与岗位职责、全生命周期管控要求、ASIL等级差异化管理、供应商管理、变更与偏差管控、审核评价及持续改进等核心内容。1.2本标准适用于吉利汽车集团旗下所有整车产品（燃油车、纯电动车、插混车型、增程式车型）、智能驾驶系统、三电系统（电池、电机、电控）、车载电子控制器、车身控制系统、底盘控制系统等所有安全相关电子电气产品的全生命周期活动，包含概念设计、产品开发、软硬件设计、试验验证、量产制造、市场运维、故障处置、产品报废等全流程。1.3本标准同时适用于为吉利汽车提供安全相关零部件、技术开发、测试服务的所有一级、二级、三级供应商，是供应商准入、项目开发、量产考核、年度评级的核心依据之一。1.4本标准不适用于车辆纯机械结构、常规车身内饰等无电子电气控制的非安全相关产品，其安全管理遵照集团通用质量标准执行。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO26262-1:2018道路车辆功能安全第1部分：术语ISO26262-2:2018道路车辆功能安全第2部分：功能安全管理GB/T39220.1-2020道路车辆功能安全第1部分：术语GB/T39220.2-2020道路车辆功能安全第2部分：功能安全管理体系要求GQS1001-2025吉利汽车质量管理体系通用要求GQS3005-2025吉利汽车零部件供应商准入与考核规范GQS5012-2025吉利汽车产品变更管理规范3术语、定义与缩略语3.1核心术语定义3.1.1功能安全：指车辆电子电气系统因功能失效、异常运行引发的不合理风险被有效规避或控制在可接受水平的状态，核心管控随机硬件失效与系统性失效两类风险，保障车辆行驶、驻车、交互过程中的人身与财产安全。3.1.2ASIL：汽车安全完整性等级，依据危害事件的严重度、暴露率、可控性划分A、B、C、D四个等级，其中ASILD为最高安全等级，对应风险最高的安全相关系统。3.1.3安全目标：针对危害分析与风险评估（HARA）识别的高危风险，制定的顶层安全管控目标，为后续安全需求分解、设计、验证提供核心依据。3.1.4系统性失效：由设计缺陷、流程漏洞、人为失误、规范缺失等系统性问题导致的失效，可通过完善流程、规范设计、强化审核实现彻底规避。3.1.5随机硬件失效：硬件元器件因老化、损耗、环境干扰等不可预知因素引发的随机失效，需通过冗余设计、故障监控、容错机制、定时诊断实现风险管控。3.1.6安全机制：为检测、规避、容忍安全相关失效，降低风险等级而设计的软硬件防护机制，包含故障诊断、冗余备份、降级运行、故障报警、紧急停机等功能。3.2缩略语HARA：危害分析与风险评估FMEA：失效模式与影响分析FTA：故障树分析SOP：量产投产FSR：功能安全需求FSC：功能安全合规性4总体管理原则吉利汽车功能安全管理全程遵循以下五大核心原则，所有安全活动不得违背基础准则，确保安全管控全面、有效、可追溯、可闭环。4.1全生命周期覆盖原则：功能安全管控贯穿产品概念、开发、验证、量产、运维、报废全生命周期，无流程断点、无管控盲区，所有安全相关活动均需留档追溯。4.2风险分级管控原则：基于ASIL等级实施差异化管控，高等级（ASILC/D）系统强化设计冗余、测试覆盖、审核频次、追溯精度；低等级（ASILA/B）系统标准化管控，兼顾安全与研发效率、成本平衡。4.3独立公正审核原则：功能安全审核团队独立于产品开发、量产团队，不受项目进度、成本因素干扰，独立开展合规审查、缺陷判定、风险评级，保障审核结果真实有效。4.4全员责任落实原则：明确公司级、事业部级、项目级、供应商级四级安全责任，将功能安全职责落实到岗位、落实到个人，实现“人人有责、全程负责”。4.5持续迭代改进原则：基于量产故障、审核问题、技术迭代、法规更新，持续优化功能安全流程、设计规范、管控标准，实现安全体系动态升级。5组织架构与岗位职责吉利汽车建立四级功能安全管理组织架构，明确各层级岗位职责，构建权责清晰、协同高效、监督到位的安全管理体系，杜绝职责交叉、管理空白。5.1公司级功能安全委员会由集团质量中心、研发总院、生产制造中心、供应链中心高层管理人员组成，为功能安全最高决策机构。核心职责：审定集团功能安全管理体系标准、审批高风险项目安全方案、裁决重大安全偏差与变更、统筹安全体系迭代、对接行业法规与第三方认证。5.2事业部级功能安全管理部各整车事业部、动力事业部、智能驾驶事业部专属安全管理部门，核心职责：落地集团安全标准、统筹本事业部项目安全活动、组织HARA分析、审核安全需求与设计方案、开展内部安全审核、管控供应商安全合规性、汇总安全问题并推动闭环。5.3项目级功能安全团队由项目功能安全负责人、安全工程师、系统工程师、软硬件开发工程师、测试工程师、质量工程师组成，核心职责：制定项目功能安全计划、完成全流程安全分析与设计、落实安全机制开发、开展安全测试与验证、输出全套安全文档、跟踪项目安全问题闭环。其中，功能安全工程师需深度参与仿真分析、失效测试、风险验证等实操工作，不得仅开展审核指导工作。5.4供应商安全管理岗位所有配套供应商需设置专职功能安全负责人，核心职责：对接主机厂安全要求、落实零部件安全开发、提交安全文档、配合审核整改、同步变更信息，保障零部件功能安全合规。6产品全生命周期功能安全管控要求本章节基于V型开发流程，明确各阶段功能安全核心活动、输出成果、管控标准，实现全流程标准化落地。6.1概念阶段管控概念阶段为功能安全管控源头，核心目标是识别风险、确定安全目标、划定安全边界。主要工作内容：梳理产品系统架构与功能场景，开展整车级、系统级HARA危害分析，统计危害事件严重度、暴露率、可控性，判定系统ASIL等级；制定顶层安全目标，拆解初步功能安全需求；输出《项目功能安全计划》《危害分析与风险评估报告》《顶层安全目标清单》。管控要求：所有安全风险需100%识别，无遗漏高危场景；安全目标需精准对应危害事件，可量化、可验证；ASIL等级判定需经事业部安全委员会审核确认，严禁私自降级。6.2产品开发阶段管控6.2.1系统设计阶段：基于顶层安全目标拆解系统级、软硬件级功能安全需求，完成系统安全架构设计，配置对应的安全防护机制；开展系统级FMEA、FTA分析，识别潜在失效风险并优化设计；输出《系统功能安全需求规范》《系统安全设计方案》《系统失效分析报告》。6.2.2硬件开发阶段：依据ASIL等级落实硬件容错、冗余设计要求，严格管控硬件随机失效概率、单点故障度量、残余故障度量；完成硬件FMEA分析，开展硬件可靠性测试与失效验证；高等级ASIL硬件需实现关键电路冗余、故障实时诊断，杜绝单点失效引发整车安全事故。6.2.3软件开发阶段：规范软件编码、架构设计、版本管控，建立标准化代码组件库，成熟代码复用率不低于50%，复用代码需重新评审测试，避免缺陷复用；开展软件FMEA分析，设计软件故障监控、降级保护机制；单元测试覆盖率不低于90%，全面覆盖正常、边界、异常、安全场景，所有测试用例纳入基线管理。6.3验证测试阶段管控建立分层级安全验证体系，包含单元测试、集成测试、系统测试、整车标定测试、场地可靠性测试。所有安全需求需100%覆盖验证，无需求遗漏、无测试盲区；针对故障注入、极端工况、失效场景开展专项测试，验证安全机制的有效性；所有测试数据、报告可追溯、可复现，测试不合格项必须闭环整改，严禁带安全问题进入下一阶段。最终输出《功能安全验证报告》《合规性分析报告》，作为项目SOP准入的核心依据。6.4量产制造阶段管控量产阶段核心管控生产过程中的系统性失效，杜绝生产偏差导致的产品安全缺陷。要求生产流程、工艺参数、检验标准严格匹配功能安全设计要求；建立安全相关零部件专项检验机制，对高ASIL等级产品实施全检或加高比例抽检；严禁私自变更生产工艺、物料参数、装配流程；定期开展量产产品安全一致性审核，确保量产产品与开发基准一致。6.5市场运维与报废阶段管控建立市场安全故障快速响应机制，针对终端车辆出现的电子电气功能失效、安全预警、异常故障，24小时内启动风险评估，48小时内完成失效根因分析，制定整改与防控方案；对批量性安全风险，及时启动召回、升级、检修等管控措施。车辆报废阶段，规范三电、智能控制器等安全相关部件的拆解、处置流程，杜绝废弃部件流转引发的安全隐患。7ASIL等级差异化管控要求7.1ASILA/B（低中等级）适用于车身辅助、常规车载娱乐、普通照明等低风险系统。管控要求：落实基础功能安全流程，完成常规风险分析与验证；简化冗余设计要求，以标准化流程管控系统性失效；定期开展季度安全抽检，保障产品基本合规性。7.2ASILC（中高等级）适用于底盘辅助控制系统、常规电控系统、低压配电系统等中高风险系统。管控要求：全面落实全生命周期安全流程，完善软硬件安全机制；开展多级失效分析与验证；每月开展项目安全复盘，强化过程管控；供应商需具备完善的功能安全开发能力，全程同步合规资料。7.3ASILD（最高等级）适用于智能驾驶主控系统、动力电池系统、整车电控系统、制动与转向核心系统等最高风险系统。管控要求：实施全维度严苛管控，强制落实软硬件冗余容错设计；实现100%需求追溯、100%测试覆盖、100%文档闭环；配置专职安全团队全程跟进；每双周开展安全专项审核，第三方年度合规认证全覆盖；严禁流程简化、测试降级、文档缺失。8供应商功能安全管理要求8.1准入要求：为吉利提供ASILA及以上等级安全相关产品的供应商，必须通过ISO26262体系认证，具备对应等级产品开发经验，提交企业安全体系文件、过往项目合规报告，经集团供应链中心与安全管理部联合审核通过后方可准入。8.2过程管控：供应商需严格按照本标准及主机厂项目安全计划开展开发工作，按时提交各阶段安全文档、测试报告、分析资料；所有安全相关变更必须提前报备主机厂，经审核批准后方可实施；主机厂每季度对核心供应商开展现场安全审核，排查流程漏洞与产品风险。8.3考核与退出：将功能安全合规性纳入供应商年度评级核心指标，存在安全流程缺失、测试造假、风险隐瞒、整改逾期等问题的供应商，实施扣分、暂停供货、限期整改；造成批量安全质量事故的，直接取消供货资格，纳入集团黑名单。9变更与偏差管理9.1变更管理：所有涉及产品功能、硬件架构、软件算法、生产工艺、零部件参数的安全相关变更，必须启动功能安全专项评审，评估变更对安全目标、失效风险、合规性的影响，更新对应的安全文档与验证报告，确认风险可控后方可执行变更，全程留档追溯。9.2偏差管理：项目开发、量产过程中因特殊场景无法完全满足标准要求的，需提交偏差申请，详细说明偏差原因、风险评估、临时管控措施、整改计划；高ASIL等级产品偏差需经公司级安全委员会审批，严禁无审批私自放行偏差产品；所有偏差问题必须设定闭环期限，完成整改验证后关闭。10审核、评价与持续改进10.1审核机制：建立常态化三级审核体系，包含项目内部月度审核、事业部季度专项审核、集团年度全面审核；同时配合第三方机构开展年度合规认证审核。审核重点覆盖流程合规性、文档完整性、测试有效性、风险闭环性、变更规范性。10.2问题闭环：所有审核发现的缺陷、风险问题，需建立问题台账，明确整改责任人、整改期限、整改措施，实行“发现-整改-验证-关闭”全闭环管理，逾期未闭环的纳入项目与个人绩效考核。10.3持续改进：每年度汇总集团所有项目功能安全问题、量产故障、审核缺陷，分析共性问题、系统性漏洞，迭代更新本标准及配套流程规范、设计准则、测试标准；同步开展全员功能安全培训，提升研发、生产、供应链团队安全管控能力，持续降低产品安全风险。11附则11.1本标准由吉利汽车集团质量中心负责解释、修订与维护。