GB 17675-2025危害分析与风险评估报告编制实战指南：重卡EHS转向系统HARA全流程拆解

GB17675-2025·FUNCTIONALSAFETY危害分析与风险评估总结报告编制实战指南重卡EHS电动液压助力转向系统HARA全流程拆解送检必备·附录B强制交付文档覆盖4类强制危害·3项ASIL-D安全目标·14个典型分析示例7个高频踩坑点·完整送检编写要点CONTENTS目录01标准背景与报告定位GB17675-2025实施背景、附录D强制文件、4类强制危害02HARA分析方法与流程头脑风暴+HAZOP方法、分析团队、6步逻辑流程03整车操作场景覆盖驾驶状态、道路场景、非驾驶特殊场景全清单04危害识别与ASIL评估S/E/C评估体系、4类强制危害详解、ASIL等级判定05安全目标与FTTI定义5个安全目标详解、FTTI故障容错时间间隔06典型危害分析示例转弯/变道高风险场景、14个功能异常映射示例07送检备查与分析结论备查文档索引、4项分析结论、后续安全措施方向08高频踩坑与最佳实践7个送检编写高频踩坑点、编制最佳实践建议01标准背景与报告定位GB17675-2025实施背景、强制文件清单与报告核心定位CHAPTERONE·STANDARDBACKGROUND01/标准背景GB17675-2025实施背景与附录D强制文件关键时间节点2026年7月1日：GB17675-2025正式实施转向系统公告送检需提交附录D规定的8份强制文档功能安全要求从推荐性升级为强制性附录D强制提交的8份文件01转向电子控制系统描述报告02

危害分析与风险评估总结报告（本文）03安全措施说明04软件架构设计规范05整车级安全分析总结报告06系统级安全分析总结报告07系统级确认计划与确认结果总结报告08整车级确认计划与确认结果总结报告01/标准背景报告核心定位：转向系统公告送检强制交付文档依据GB17675-2025附录B.2.3.1要求，本报告是转向系统公告送检的强制交付文档核心任务一：危害识别在整车各类驾驶、非驾驶场景下，识别EHS电液助力转向系统功能异常所引发的整车层面危害事件。关键：从系统异常向上推导至整车危害，不能只停留在ECU内部故障层面。核心任务二：ASIL评估通过严重度S、暴露度E、可控性C三维度评估，确定各危害对应的ASIL汽车安全完整性等级。参考VDA702给出的车辆行驶场景定义进行打分，确保评估一致性和可追溯性。核心任务三：安全目标与FTTI输出对应安全目标、FTTI故障容错时间间隔，完成与GB17675-2025表B.1强制危害项的一一映射。ASIL-D/C/B/A危害必须定义安全目标与FTTI，QM等级无需定义安全目标。文档性质：总结性报告本文件为总结性报告，只输出整车危害、ASIL等级、安全目标等核心结论。详细逐条HAZOP头脑风暴记录表属于备查文档，检验机构可按需调阅，不要把原始明细全部塞进总结报告。01/标准背景报告必须完整覆盖的4类强制危害重点提醒：报告必须完整覆盖GB17675-2025表B.1规定的4类强制转向危害，缺失任何一项都会被检验机构退回整改。条目危害描述ASIL等级典型整车危害结果B.1-1非预期的转向助力ASILD车辆偏离预期行驶轨迹，可能引发碰撞事故B.1-1转向卡死ASILD驾驶员无法执行转向操作，车辆冲出车道B.1-2非预期转向控制ASILD车辆出现非预期侧向运动，失去转向控制B.1-3失去助力情况下的转向沉重QM转向助力不足，驾驶员需施加更大转向力，但仍可控制02文档信息与目录结构文档基础元信息与8章报告目录结构详解CHAPTERTWO·DOCUMENTSTRUCTURE02/文档结构文档元信息与8章报告目录结构文档基础元信息项目内容文档名称危害分析和风险评估总结报告版本V1.0状态正式发布编制日期2026-08-23适用对象N3类重卡-EHS电液助力转向系统参考标准GB17675-2025、GB/T34590、VDA702报告8章目录结构第1章一般信息——分析对象、适用标准、输出范围第2章危害分析与风险评估总体说明——方法、团队、流程第3章分析覆盖的整车操作场景——驾驶/道路/非驾驶第4章危害识别与ASIL等级评估汇总——4类强制危害第5章安全目标与FTTI定义——5个安全目标第6章典型基础危害分析示例——14个功能异常映射第7章送检备查文档索引——详细HAZOP记录第8章分析结论——覆盖性、ASIL分布、后续方向03HARA分析方法与流程头脑风暴+HAZOP组合方法、分析团队与6步逻辑流程CHAPTERTHREE·HARAMETHODOLOGY03/HARA方法分析方法：头脑风暴+HAZOP组合方法方法组合优势头脑风暴保证覆盖广度，HAZOP保证分析深度和系统性。S/E/C打分参考VDA702场景定义，确保评估一致性。分析团队构成（跨职能）转向系统硬件工程师——负责硬件失效模式识别电控软件工程师——负责软件功能异常与控制逻辑失效整车应用工程师——负责整车场景推演与危害后果评估功能安全工程师——负责HARA方法把控与ASIL等级裁定HARA完整打分推演样例见备查文档附录A表A.103/HARA方法HARA分析逻辑流程：6步递进法1梳理整车场景全部相关驾驶、非驾驶场景清单2识别功能异常EHS系统各类功能失效模式3推导整车危害功能异常升级后的整车危害事件4S/E/C评估严重度、暴露度、可控性打分5定义安全目标高于QM的危害定义安全目标与FTTI第6步：合规性校验校验是否完整覆盖GB17675-2025表B.1全部强制危害项04整车操作场景覆盖驾驶状态、道路场景、非驾驶特殊场景全清单CHAPTERFOUR·VEHICLESCENARIOS04/整车场景车辆驾驶状态场景（17类）低速工况（6类）驻车状态低速通过存在道路参与者的十字路口低速转弯（驶离本车道至完全驶入交叉路口）低速弯道行驶低速本车牵引其他车辆/被其他车辆牵引低速货仓装卸货工况加减速工况（5类）纵向加速度大于2m/s²纵向加速度大于4m/s²正常减速度小于4m/s²减速度大于4m/s²紧急制动减速度大于6m/s²（ABS介入）行驶操作工况（6类）车辆变更车道逆向车道超车无前车巡航、正常跟车对向会车行驶04/整车场景道路场景与非驾驶特殊场景3.2驾驶地点/道路场景（8类）高速公路行驶、高速入口、高速出口乡道、城市道路行驶关口通行、限速30km/h安静街区（含儿童活动街道）高速有隔离/无隔离施工路段隧道通行铁路道口通行3.3非驾驶特殊场景（7类）车辆发生碰撞后状态外部方式启动车辆车辆静止，周边盲区存在人员乘员身体伸出车窗/天窗车辆长期静置超过3周行驶过程轮胎穿刺未爆胎轮胎充气压力过低/过高说明：所有上述场景均参与危害推演，识别EHS系统异常带来的整车风险。场景覆盖不全是送检被退回的高频原因。05危害识别与ASIL评估S/E/C评估体系、4类强制危害详解与ASIL等级判定CHAPTERFIVE·HAZARD&ASIL05/危害与ASILASIL等级体系与S/E/C三维评估方法ASIL等级体系（5级）等级风险程度安全目标要求ASILD最高风险必须定义安全目标与FTTIASILC高风险必须定义安全目标与FTTIASILB中风险必须定义安全目标与FTTIASILA低风险必须定义安全目标与FTTIQM可接受风险无需定义安全目标S/E/C三维度评估S严重度（Severity）：危害事件可能造成的伤害程度，S0-S3四级评估伤害的潜在严重程度，包括对驾驶员、乘员、道路参与者的影响E暴露度（Exposure）：危害事件发生场景的出现频率，E0-E4五级评估车辆处于该运行场景的时间占比，参考VDA702场景定义C可控性（Controllability）：驾驶员避免伤害的能力，C0-C3四级评估驾驶员通过及时反应控制车辆、避免特定伤害的可能性S/E/C组合查表确定ASIL等级，打分推演样例见备查文档附录A05/危害与ASIL危害识别与ASIL评估汇总（4类强制危害）总结报告只输出整车危害描述、ASIL等级、对应表B.1条目；完整S/C/E打分与推演过程存放备查文档序号整车层面危害描述ASIL等级GB17675条目对应安全目标H-01发生非预期转向助力，车辆偏离预期行驶轨迹ASILDB.1-1SG-01避免非预期侧向运动H-02发生转向卡死，驾驶员无法执行转向操作ASILDB.1-1SG-02避免转向卡死故障H-03发生非预期转向控制，车辆出现非预期侧向运动ASILDB.1-2SG-03避免非预期失去侧向控制H-04助力完全丢失，出现转向沉重QMB.1-3SG-04避免转向沉重（QM级）05/危害与ASILASIL-D危害详解：三项最高等级风险H-01非预期转向助力危害描述：发生非预期转向助力，车辆偏离预期行驶轨迹ASIL等级：ASILD对应条目：GB17675B.1-1安全目标：SG-01避免车辆出现非预期的侧向运动典型场景：直行/弯道自转向、助力抖动H-02转向卡死危害描述：发生转向卡死，驾驶员无法执行转向操作ASIL等级：ASILD对应条目：GB17675B.1-1安全目标：SG-02避免发生转向卡死故障典型场景：转向机构机械卡死、电磁阀卡滞H-03非预期转向控制危害描述：发生非预期转向控制，车辆出现非预期侧向运动ASIL等级：ASILD对应条目：GB17675B.1-2安全目标：SG-03避免非预期失去侧向运动控制典型场景：助力反向、角度控制方向错误06安全目标与FTTI定义5个安全目标详解与FTTI故障容错时间间隔CHAPTERSIX·SAFETYGOALS&FTTI06/安全目标5个安全目标定义与映射关系目标ID失效场景安全目标ASILGB条目对应危害SG-01直行/弯道自转向、助力抖动避免车辆出现非预期的侧向运动DB.1-1H-01非预期转向助力SG-02转向锁死避免发生转向卡死故障DB.1-1H-02转向卡死SG-03助力反向避免发生非预期的失去侧向运动控制DB.1-2H-03非预期转向控制SG-04助力丢失/过小避免失去助力情况下出现转向沉重QMB.1-3H-04助力完全丢失SG-05助力过大杜绝过度转向DB.1-1H-01非预期转向助力06/安全目标FTTI故障容错时间间隔FTTI定义从危害相关故障发生，到整车必须完成安全状态转换的最大允许时间。FTTI根据整车动力学、转向系统响应要求确定，是安全机制响应时间设计的关键依据。FTTI时间线分解故障发生故障检测安全响应安全状态FTTI=故障检测时间+安全机制响应时间+执行器动作时间各段时间之和必须小于FTTI，否则危害可能在安全状态转换前发生关键注意事项ASIL-D/C/B/A危害必须定义FTTI，QM级危害无强制FTTI要求缺失FTTI定义是送检被退回的高频原因之一FTTI数值需要有整车动力学和系统响应的推导依据，不能拍脑袋07典型危害分析示例转弯/变道高风险场景、14个功能异常映射示例CHAPTERSEVEN·HAZARDANALYSISEXAMPLES07/典型示例典型危害分析示例：助力输出类异常（8项）运行场景：车辆转弯/变道（高风险场景）序号EHS系统功能异常整车层面危害结果ASIL安全目标关键风险点1非预期转向助力输出车辆偏离行驶轨迹DSG-01无指令自转向2助力输出方向反向反向助力，车辆偏离轨迹DSG-03线束接反/软件错误3转向机构卡死输出无法执行转向，车辆冲出车道DSG-02机械卡滞/电磁阀卡死4转向助力完全丢失转向助力不足，转向沉重QMSG-04电机失效/液压故障5转向助力输出过小助力不足，车辆偏离轨迹DSG-04信号偏差/扭矩不足6转向助力响应延迟助力输出滞后，车辆偏离轨迹DSG-01控制周期过长/算法延迟7转向助力输出过大转向角度过大，车辆偏离轨迹DSG-05扭矩信号漂移/增益错误8转向助力输出振荡转向角度持续振荡，车辆偏离轨迹DSG-01控制环路振荡/参数不当07/典型示例典型危害分析示例：角度控制类异常（6项）运行场景：车辆转弯/变道（高风险场景）——角度控制类功能异常全部映射至SG-01序号EHS系统功能异常整车层面危害结果ASIL安全目标失效根因9角度控制完全无响应车辆失去转向控制，冲出车道DSG-01控制器死机/通信中断10角度控制响应过度转向角度过大，车辆冲出车道DSG-01控制增益过大/超调11角度控制响应不足转向角度不足，车辆冲出车道DSG-01执行器能力不足/饱和12角度控制方向错误转向方向错误，车辆冲出车道DSG-01传感器方向接反/符号错误13非预期角度控制响应车辆发生非预期转向，冲出车道DSG-01误触发/外部干扰14角度控制响应卡滞转向控制卡滞，车辆冲出车道DSG-01软件死锁/资源竞争分析要点：角度控制类的6项异常全部映射至SG-01（避免非预期侧向运动），因为角度控制的任何失效最终都会导致车辆偏离预期轨迹。这体现了HARA分析中"多个功能异常可映射至同一安全目标"的特点。08送检备查与分析结论备查文档索引、4项分析结论与后续安全措施方向CHAPTEREIGHT·CONCLUSION08/结论备查文档索引与4项分析结论7.送检备查文档索引文档名称版本状态备注详细危害分析和风险评估报告V1.0有效含完整S/C/E打分、场景推演、HAZOP关键原则：总结报告对外提交检验机构；详细HAZOP逐条分析原始记录属于备查资料，检验机构可按需调取查阅。不要把备查文档内容全部塞进总结报告。8.分析结论（4项）结论1：本次HARA分析完整覆盖GB17675-2025表B.1规定的4类强制转向危害，无遗漏。结论2：识别得到3项ASIL-D安全目标（SG-01/02/03/05），1项QM危害（SG-04），ASIL分布合理。结论3：针对ASIL-D等级危害，后续将通过硬件冗余、信号双通道校验、硬件切断回路、软件安全机制等措施降低风险。结论4：全部安全目标将向下分解至系统、软件、硬件层级，在后续安全措施说明、FTA分析文档中落地。09高频踩坑与最佳实践7个送检编写高频踩坑点与编制最佳实践建议CHAPTERNINE·PITFALLS&BESTPRACTICES09/踩坑与实践送检编写7个高频踩坑点坑1：场景覆盖不全缺失高速、十字路口、牵引工况、非驾驶特殊场景，被检验机构质疑分析完整性。坑2：混淆系统异常与整车危害只写ECU内部故障，没有向上推导整车层面会发生什么危害事件。坑3：缺失FTTI定义ASIL-D安全目标没有填写故障容错时间间隔，安全机制响应时间无设计依据。坑4：未对齐表B.1强制危害缺少强制四项危害的映射关系，无法证明分析覆盖了标准要求的全部危害。坑5：总结报告塞太多原始明细直接粘贴大量原始HAZOP明细表格，把备查文档内容全部塞进总结报告。坑6：文档版本不一致文档版本号与《转向电子控制系统描述报告》、安全措施说明版本不一致。09/踩坑与实践第7个踩坑点与编制最佳实践坑7：QM与ASIL安全目标定义错误QM危害错误定义安全目标（浪费开发资源）；高ASIL等级危害缺失对应的安全目标（合规风险）。两者都是功能安全管理中的常见错误。编制最佳实践（4条）实践1：场景清单先于危害分析先把整车场景清单列全并评审通过，再开始危害识别。参考VDA702场景定义，确保覆盖驾驶状态、道路场景、非驾驶特殊场景三大类。实践2：系统异常必须推导至整车危害每个功能异常都要向上推导：ECU故障→系统失效→整车危害事件。不能停留在"传感器失效"这一层，必须说明"车辆会发生什么"。实践3：总结报告与备查文档分离总结报告只放核心结论（危害、ASIL、安全目标、FTTI），详细S/C/E打分和HAZOP推演放备查文档。报告索引中明确备查文档的版本和状态。实践4：跨文档版本一致性管理8份强制文档的版本号、编制日期、适用对象必须保持一致。建立文档矩阵，每次修订同步更新所有相关文档，送检前做一次跨文档一致性检查。延伸/标准体系功能安全标准体系：GB17675与GB/T34590的关系GB17675-2025（产品标准）汽车转向系基本要求国家标准规定转向系统的性能要求和试验方法附录B规定功能安全分析要求附录D规定8份强制送检文档清单强制性标准，公告送检必须符合GB/T34590（方法标准）道路车辆功能安全国家标准（等同ISO26262）规定功能安全的全生命周期开发流程定义HARA分析方法、ASIL等级体系规定安全目标、安全需求的分解和确认推荐性标准，提供方法论支撑两者关系：产品标准提出合规要求，方法标准提供实现路径VDA702：德国汽车工业协会发布的车辆行驶场景定义指南，为HARA分析中的暴露度E评估提供标准化场景分类和频率参考，是S/E/C打分的重要参考依据。三者协同：GB17675规定"必须做什么"（强制危害项、文档清单），GB/T34590规定"怎么做"（HARA方法、ASIL体系、开发流程），VDA702提供"打分参考"（场景定义、暴露度频率）。延伸/安全措施ASIL-D危害的安全措施方向针对3项ASIL-D等级危害，后续将通过以下四类安全措施将风险降低至整车可接受水平1.硬件冗余设计扭矩传感器双通道冗余设计，主传感器失效时备用传感器无缝接管电机驱动电路双路冗余，单路故障不影响助力输出电源系统双路供电，防止单点断电导致助力丢失2.信号双通道校验扭矩信号主备通道实时比对，偏差超阈值触发安全状态角度传感器信号与方向盘角速度信号交叉校验电机电流反馈与指令电流闭环校验，防止非预期助力输出3.硬件切断回路独立于主控MCU的硬件安全切断回路，检测到非预期助力时直接切断电机驱动电磁阀硬件切断，防止卡滞导致的转向锁死切断回路的响应时间必须小于FTTI要求4.软件安全机制助力输出限值监控，防止助力过大导致过度转向转向角度变化率监控，异常变化率触发安全状态软件看门狗与程序流监控，防止控制器跑飞导致非预期控制延伸/实践经验S/E/C打分常见争议点与裁定原则争议点1：严重度S的裁定常见争议：转向沉重算不算S3？裁定原则：重卡转向沉重时驾驶员仍可控制车辆，只是需要更大转向力，一般裁定为S1或S2，不构成S3。关键：S3要求可能危及生命的伤害，转向沉重通常达不到。争议点2：暴露度E的裁定常见争议：高速场景E3还是E4？裁定原则：参考VDA702，重卡高速行驶占运营时间比例高，一般裁定为E3或E4。城市配送车辆可能只有E2。关键：E值要结合车辆实际使用工况，不能一刀切。争议点3：可控性C的裁定常见争议：转向卡死C2还是C3？裁定原则：转向卡死时驾驶员完全无法控制方向，一般裁定为C3（小于90%的驾驶员可避免伤害）。关键：C3不代表完全不可控，而是大多数驾驶员无法及时避免。S/E/C打分统一裁定原则（4条）原则1：打分必须有书面依据，每个S/E/C值都要写明裁定理由，不能只给数字。原则2：参考VDA702场景定义和频率数据，E值尽量有统计数据支撑，不要拍脑袋。原则3：有争议时取保守值（就高不就低），ASIL等级宁高勿低，后续通过安全措施降低。原则4：打分结果需经跨职能团队评审确认，功能安全工程师有最终裁定权。延伸/系统架构重卡EHS电液助力转向系统架构与功能安全特点EHS系统核心组成电子控制单元（ECU）+扭矩/角度传感器+电机驱动模块液压助力回路+电磁阀控制+转向机械机构电源管理模块+通信接口（CAN/LIN）+诊断接口重卡EHS功能安全特点（5项）特点1：重卡前轴载荷大（6-8吨），转向沉重后果比乘用车严重，助力丢失的危害评估需考虑重卡特性。特点2：电液混合架构，电子控制与液压回路并存，失效模式更复杂，需同时考虑电控失效和液压失效。特点3：运营工况恶劣（长时间