标准搜索结果: 'GB/T 45097.3-2024'
| 标准编号 | GB/T 45097.3-2024 (GB/T45097.3-2024) | | 中文名称 | 智能消费品安全 第3部分：风险控制 | | 英文名称 | Safety of intelligent consumer product - Part 3: Risk control | | 行业 | 国家标准 (推荐) | | 中标分类 | A00 | | 国际标准分类 | 03.120.01 | | 字数估计 | 14,193 | | 发布日期 | 2024-11-28 | | 实施日期 | 2024-11-28 | | 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 | GB/T 45097.3-2024: 智能消费品安全 第3部分：风险控制
ICS 03.120.01
CCSA00
中华人民共和国国家标准
智能消费品安全
第3部分:风险控制
2024-11-28发布
2024-11-28实施
国 家 市 场 监 督 管 理 总 局
国 家 标 准 化 管 理 委 员 会 发 布
目次
前言 Ⅲ
引言 Ⅳ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 一般原则 1
5 一般流程 2
6 设定计划 2
7 分类控制 3
8 追溯风险 3
9 跟踪反馈 3
附录A(资料性) 智能消费品典型信息危害(源)和伦理危害(源)风险控制方法 5
参考文献 7
前言
本文件按照GB/T 1.1-2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定
起草。
本文件是GB/T 45097《智能消费品安全》的第3部分。GB/T 45097已经发布了以下部分:
---第1部分:危害(源)识别;
---第2部分:风险评估;
---第3部分:风险控制。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国消费品安全标准化技术委员会(SAC/TC508)提出并归口。
本文件起草单位:中国标准化研究院、芜湖美的厨卫电器制造有限公司、九牧厨卫股份有限公司、
科沃斯机器人股份有限公司、苏州市华测检测技术有限公司、浙江万胜智能科技股份有限公司、成都安
可信电子股份有限公司、国家文教用品质量监督检验中心、中家院(北京)检测认证有限公司、广东省江
门市质量技术监督标准与编码所、上海小度技术有限公司、中国电子技术标准化研究院、小米通讯技术
有限公司、中国国际工程咨询有限公司。
本文件主要起草人:刘霞、张力潇、范志平、房祥静、陈良权、严海、谭栋灵、姜家宝、应立峰、陈倩雯、
黄石、王坤然、许丽丹、许玉娜、时雨、庞强、彭妍妍、穆亚敏、曾剑、黄型纳、李莹。
引 言
智能消费品(如智能家电、智能电子信息技术产品、智能门锁等)是近年来新兴的消费品,在带来便
利生活的同时,其质量安全问题也备受关注。对智能消费品质量安全危害(源)开展识别、风险评估和风
险控制是有效防范产品质量安全问题的有效手段。GB/T 45097《智能消费品安全》旨在提供一套涵盖
上述措施的方法体系,为科学、规范、高效地开展智能消费品风险管理,从而助力企业提升产品质量安全
水平,促进行业有序健康发展,保障人民群众健康和财产安全,奠定技术基础。拟由三部分构成。
---第1部分:危害(源)识别。旨在为识别智能消费品质量安全危害(源)提供原则、方法,并给出
现阶段该类产品主要危害(源)清单。
---第2部分:风险评估。旨在为开展智能消费品安全风险评估提供流程和方法指导。
---第3部分:风险控制。旨在针对智能消费品危害(源)的不同风险等级,提供具有可操作性的风
险控制措施手段,使智能消费品的质量安全风险被控制在可容许范围内。
智能消费品安全
第3部分:风险控制
1 范围
本文件给出了智能消费品安全风险控制的原则,确立了智能消费品安全风险控制的一般流程,包括
设定计划、分类控制、追溯风险、跟踪反馈。
本文件适用于开展智能消费品风险控制活动。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文
件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于
本文件。
GB/T 39013-2020 消费品安全 风险控制指南
GB/T 39112-2020 消费品生命周期安全风险控制通则
3 术语和定义
下列术语和定义适用于本文件。
3.1
智能 inteligence
具有人类或类似人类智慧特征的能力。
注:人类或类似人类的智慧特征,表现为在实现某个目的的过程中,总会经历一个或多个的感知、决策、执行的过程
或过程循环,并在其中通过不断学习,提高自身实现目的的能力和实现目的的效率与效果;本文件认为,在体现
人类或类似人类的智慧特征上,感知、决策、执行和在其中的学习的各项能力和过程具有不可或缺性。
[来源:GB/T 28219-2018,3.1]
3.2
消费品 consumerproduct
主要但不限于为个人使用而设计、生产的产品,包括产品的组件、零部件、附件、使用说明和包装。
[来源:GB/T 35248-2017,2.2]
3.3
风险控制 riskcontrol
实施风险管理决策的行为。
注:风险控制可能包括监测、再评价和执行决策。
[来源:GB/T 28803-2012,3.97]
4 一般原则
4.1 全面性
在智能消费品的全生命周期,包括设计、生产、包装、储运、使用、回收和处置等各个阶段,均采用风
险控制措施。
4.2 有效性
综合考虑智能消费品各个部件和生命周期各阶段的协调性,确保风险控制措施能有效降低风险至
可容许的范畴内。
4.3 持续性
根据新出现的危害(源),动态调整风险控制措施,确保风险控制的持续性,及时应对可能出现的新
风险。
4.4 可追溯性
记录消费品生命周期各个阶段的风险控制措施涉及的信息,以便后续进行溯源和分析。
5 一般流程
风险控制的一般流程包括设定计划、分类控制、追溯风险、跟踪反馈等步骤。具体流程见图1。
图1 智能消费品安全风险控制流程图
6 设定计划
6.1 准备资料
基于智能消费品涉及的法律法规、标准等材料,根据危害(源)识别和风险评估结果,界定风险控制
的目标、范围、风险可接受准则。
6.2 制定方案
风险控制方案可包含如下内容:风险控制的目标、依据、范围、人员、风险可接受准则、措施、反馈等。
6.3 效果预判
对智能消费品安全控制方案的预期效果进行判断,做好风险控制的备选方案,保证风险控制效果。
判断智能消费品的成本效益、残余风险,设置处置措施、应急计划,对控制措施进行预测试,形成预期的
控制效果评价表,在风险控制的过程中验证方案效果,以改进控制方案。
7 分类控制
7.1 物理、化学危害(源)
按照GB/T 39013-2020、GB/T 39112-2020对智能消费品中物理、化学危害(源)进行风险控制。
7.2 信息危害(源)
信息危害(源)风险控制应基于风险评估结果和安全策略,采取相应的控制措施,使风险被控制在可
容许范围内。典型信息危害(源)风险控制措施见附录A。
7.3 伦理危害(源)
伦理危害(源)风险控制应基于现行的法律法规、标准规范的相关要求,并与当今社会主义核心价值
观等相契合。典型伦理危害(源)的风险控制措施见附录A。
8 追溯风险
8.1 确定风险控制点
依据危害(源)清单,确定导致风险的危害(源),通过系统分析智能消费品生命周期各阶段的特征,
并对风险产生及演化规律进行分析,确定风险控制点。
8.2 编制危害(源)管理文件
建立智能消费品全生命周期中危害(源)分布表,通过产品树、故障树等的方法,将危害(源)分布情
况编制成可识别、可复用的管理文件,提升风险控制的效率和科学性。
9 跟踪反馈
9.1 记录结果
记录风险控制状态和控制过程,制定风险控制表,将控制前的状态及控制后的效果测试进行记录、
比对,并进行后续安排。
9.2 修正方案
在风险控制跟踪反馈过程中,应适时将反馈结果与效果预判进行对比分析,发现控制方向偏差或者
控制进度不合要求,应及时进行修正。
9.3 信息存档
建立完善的消费品安全风险控制过程记录制度,并以书面或电子文件的形式保存,文件主要包括以
下内容:
a) 产品信息;
b) 不可容许风险的类型、导致伤害的严重程度等;
c) 风险控制方案;
d) 风险控制方案评审会议纪要、评审结论等;
e) 残余风险评估结果;
f) 其他相关文件。
附 录 A
(资料性)
智能消费品典型信息危害(源)和伦理危害(源)风险控制方法
从信息危害(源)和伦理危害(源)导致伤害的后果来看,伤害的产生可能涉及某一个或几个危害
(源)。表A.1给出了智能消费品典型信息危害(源)和伦理危害(源)风险控制措施。
表A.1 智能消费品典型信息危害(源)和伦理危害(源)风险控制措施
危害(源)大类 伤害后果 控制措施
信息危害(源)
数据隐私泄露
制定个人信息收集及使用的隐私政策,且符合GB/T 35273-2020中5.5规定
的要求
遵循个人信息采集范围最小化要求
在收集、存储、使用、加工、传输、提供、公开披露、共享、转让等个人信息前,应
得到用户明示授权同意
个人信息存储应为收集使用目的的所需最短时间,且不应超出收集使用规则
中告知的保存期限
在存储个人信息时,应当按照数据分类要求采取去标识化等安全措施
为用户提供删除个人信息的机制,并对个人信息进行删除或匿名化处理
在使用个人信息时,不能超出告知用户获得授权同意的范围。若开展业务所
需进行的个人信息处理活动超出已获得的授权同意范围的,应在获取个人信
息后的合理期限内或处理个人信息前,征得个人信息主体的明示同意,或通
过个人信息提供方征得个人信息主体的明示同意
处理个人敏感信息前,应取得个人的单独同意。个人敏感信息包括生物识
别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息,以及不满
14周岁未成年人的个人信息
传输和存储个人敏感信息时,应采用加密等安全措施
个人信息保护政策应公开发布且易于访问
远程控制失效
具有远程权限控制功能,对智能消费品的操作权限进行管理和控制,只有符
合权限控制的用户才能对智能消费品进行远程的配置和操作
对远程操作用户的身份进行鉴别,防止非法用户对智能消费品进行远程操作
对远程操作用户设置安全的用户口令
设备漏洞和恶意软件
攻击
遵循端口开放最小化原则,默认关闭非必须使用的端口,对于必须使用的端
口使用后应关闭
具备固件更新机制,在更新前应取得用户确认
对固件的更新文件来源进行校验
固件中的关键代码及重要数据应具备防篡改及加密功能
登录系统使用的用户名、口令等关键安全信息应进行加密处理
登录系统的口令应当采用强口令
表A.1 智能消费品典型信息危害(源)和伦理危害(源)风险控制措施 (续)
危害(源)大类 伤害后果 控制措施
信息危害(源)
网络通信异常
在数据传输时应具备数据传输机密性的保护机制,且实现的加密算法保证一
定的强度
在数据传输过程中应具备数据完整性保护机制
在数据传输过程中应具备防止重放攻击的保护机制
保证数据传输的代码实现中安全关键参数不是硬编码方式实现
其他
伦理危害(源)
社会伦理问题
产品设计应关注保护人类自由、尊严等基本权利,维护全球公认的道德伦理,
提升人类职业发展与生活体验,不得损害人类的主体地位
产品设计应遵循促进人类可持续发展,保护弱势群体利益,不违背人类伦理
道德的基本方向
侵权问题
对个人信息的收集与使用坚持最小必要原则,特别是对个人敏感信息的处理
基于个人信息主体的明示同意,或法律规定的特定情形
歧视问题
使用的数据应该保持相对的客观中立、具有整体的代表性,兼顾普遍适用性
和特殊人群需求
责任问题
产品在一定时间内、一定条件下可以无故障地实现特定的功能,且在故障情
况下,能实现有效停止和人类接管
失控问题
优先采用可解释性强的算法模型,向用户提供清晰、易懂、充分的产品运行机
制说明,并明确告知用户产品的局限性及潜在的风险
算法模型以及......
|