電動汽車電池管理系統(BMS)功能安全標準研究

李 波，付 越，周 榮

?

電動汽車電池管理系統(BMS)功能安全標準研究

李 波，付 越，周 榮

(中國汽車技術研究中心有限公司，天津 300300)

電動汽車三大核心之一是電池，而電池的核心在于電池管理系統(BMS)。BMS作為電池大腦，時刻對電池充電、放電狀態進行管理，其功能安全技術水平決定了電池的安全性能，并直接影響整車安全。國家標準GB/T《電動汽車用電池管理系統功能安全要求及試驗方法》將從電池管理系統(BMS)的正向設計、開發、驗證、確認的源頭規避安全風險，進而規范BMS行業技術發展，提升電動汽車整車安全水平。基于國家標準GB/T 34590-2017《道路車輛功能安全》中給出的電控系統功能安全技術分析方法，結合典型的電動汽車用電池管理系統(BMS)架構，為國家標準GB/T《電動汽車用電池管理系統功能安全要求及試驗方法》的制定以及規范和提升電池管理系統行業技術水平，促進電動汽車整車安全提供了參考借鑒。

電池管理系統；功能安全；標準；危害分析與風險評估；安全目標；ASIL等級

0 引言

近年來，我國電動汽車產業發展迅猛，市場份額位居世界前列。在市場形成規模的形勢下，各項技術發展迅速。動力電池能量密度迅速提高，接近世界先進水平；電機功率密度等指標大幅提高，電動空調、電動助力轉向已形成規模市場，成本明顯下降；整車續駛里程顯著提高；充電基礎設施發展迅速，商業模式不斷創新。但是，伴隨而來的安全事故頻發、車企召回，安全問題已凸顯，并受到行業、消費者、政府部門的高度關注，安全性已成為制約我國電動汽車發展的短板。

電動汽車三大核心之一是電池，而電池的核心在于電池管理系統(BMS)。電池管理系統作為實時監控、自動均衡、智能充放電的電子部件，也是動力和儲能電池組中不可或缺的重要部件，起到保障充/放電安全、延長壽命、估算剩余電量等重要功能，它通過一系列的管理和控制，從而保障電動汽車的正常運行，因此，沒有電池管理的電池包就是一枚炸彈。

電動汽車用鋰離子電池單體、電池包或系統存在的風險包括其作為大質量車載能源對整車結構、乘員及第三方造成的機械危害、泄漏(如擠壓、短路，可能導致高壓安全、絕緣失效間接造成電擊、起火等危險)、起火(如短路，直接燒傷人體)、爆炸(如擠壓、短路，直接危害人體)、電擊(由于電流流過人體而引起的傷害)。

為了確保安全，相關國際和國內的標準法規正在加快制定中，例如，國際上近期發布的由中國作為副主席國牽頭起草制定的全球技術法規GTR 20(電動汽車安全EVS)、我國正在開展制定的強制性國家標準GB《電動汽車用鋰離子動力蓄電池安全要求》提出了電動汽車整車、車用鋰離子電池單體、電池包或系統最基本的安全要求以提供對人身的安全保護。標準中提到，基于行業共識，車企在確定電動汽車用鋰離子電池單體、電池包或系統采用何種設計方案時，首先，如有可能，優先選擇安全性高的材料，盡量避免使用容易出現絕緣失效、熱失控或燃燒起火的材料；同時，如果無法實行以上原則，那么需制定保護措施，減少或消除危險發生的可能性。

因此，除了需要解決電池單體、電池包在設計過程中的結構工藝安全、化學安全、機械安全外，電池管理系統(BMS)，作為電池大腦，時刻對電池充電、放電狀態進行管理，其決定了電池性能，并影響整車系統，其安全可靠的設計、運行是避免事故隱患發生的關鍵因素。

鋰離子電池管理系統(BMS)發生故障、功能失效將會引起電池發生過充、過放、過流、過溫的風險，進而使電池內部出現放熱連鎖反應，引起電池溫升速率急劇變化的過熱現象，即熱失控，導致電動汽車的自燃或爆炸，對車內外人員造成傷害，屬于電控系統功能安全領域范疇，應遵循GB/T 34590《道路車輛功能安全》給出的方法，制定相應的安全措施以避免危害的發生。

在國內，BMS廠商眾多，呈現出激烈的競爭態勢。在技術層面上，由于生產企業流程開發體系、技術積累經驗不同，存在嚴重的兩極分化和良莠不齊，在當前電池系統安全隱患越來越突出的情況下，對于電動汽車整車安全已構成嚴重威脅。

為提升我國電池管理系統產業的安全技術水平，增強新能源汽車產品的核心競爭力和安全性能，遵循升級一批、規范一批、淘汰一批的原則，國家標準化管理委員會于2017年下達了國家標準GB/T《電動汽車用電池管理系統功能安全要求及試驗方法》的制定計劃，旨在從電池管理系統(BMS)的正向設計、開發、驗證、確認的源頭規避安全風險，提升整車安全水平。

1 電池管理系統(BMS)的功能

按照國家標準GB/T 34590《道路車輛 功能安全》給出的方法論，從整車層面出發，電池管理系統指的是實現車輛層面功能的系統，這里重點強調的是功能，即該功能可以由電池管理系統BMS實現，也可以由整車控制系統實現。GB/T《電動汽車用電池管理系統功能安全要求及試驗方法》將給出兩種方法描述電池管理系統的功能。舉例來說，電池管理系統實現整車層面的功能包括充電管理和放電管理。

充電管理指的是該功能旨在通過BMS的控制管理，使得動力電池在充電過程中處于安全狀態。BMS在電池充電過程中對充電電壓、充電電流、可檢測到的電池溫度等進行控制優化，確保電池在放電過程中的安全。充電管理包括正常充電管理和能量回收管理。

放電管理指的是該功能旨在通過BMS的控制管理，使得動力電池在放電過程中處于安全狀態。BMS在電池放電過程中對電池的放電電壓、放電電流、可檢測到的電池溫度等參數進行控制優化，確保電池在放電過程中的安全。

基于典型的電動汽車用電池管理系統(BMS)架構，利用HAZOP分析方法以及國家標準GB/T 34590-2017《道路車輛功能安全》給出的方法論，開展電池管理系統危害分析與風險評估，提出電池管理系統的功能安全目標和功能安全要求。

2 電池管理系統的危害分析與風險評估

2.1 電池管理系統典型架構

鋰離子動力蓄電池由于其能量密度和功率密度高的優點成為電動汽車主流，但隨之而來的是顯著的安全問題。由上節的功能定義，鋰離子動力蓄電池在使用的過程中可能會產生起火、爆炸、冒煙、高壓觸電等危害，對于導致這些危害的原因有很多，主要有電芯過充、過流、過溫等引發鋰枝晶或者產生大量熱，使得SEI膜刺破或者分解，進而發生一系列負反應，即電芯內短路。其他電芯本身的設計也會是影響鋰離子動力蓄電池系統安全的重要因素，如雜質的影響。

這些失效主要分為電化學、機械結構、電力電子、制造工藝類等，都是電動汽車動力蓄電池系統的開發設計過程中應認真考慮的，并在整個開發流程中，根據相應安全分析制定相應的安全要求，落實安全要求，最終在零部件級、系統級和整車級測試驗證這些安全要求的正確實現。

除了動力蓄電池系統本身的機械結構設計、電化學性能、制造質量，電池管理系統(BMS)可以通過合理的控制策略，避免動力蓄電池系統產生過壓、過放后再充電、過流以及過溫。假設不考慮動力蓄電池系統本身在防止過充、過溫、過流失效上面的機械結構類措施，重點討論電池管理系統的功能安全設計，即關注電子電氣類故障導致的動力蓄電池在整車系統中產生的危害。

在進行安全分析的初期，需要定義相關項與其他相關項的功能邊界及相互接口。在現有的電動汽車和混動汽車中，各企業有不同的高壓架構和控制架構，導致電池管理系統功能具有多樣性以及功能實現方式有很多途徑。

圖1為BMS相關項的邊界和接口參考示例。其他相關項如：可充電儲能系統(REESS)、整車低壓蓄電池、整車動力控制系統(整車控制器、電機控制器等)、高壓部件(服務開關等)、充電接口(對于具有可外接充電功能的電動汽車)。

圖1 典型電池管理系統BMS的邊界和接口

2.2 電池管理系統危害識別

常用的安全分析方法主要分為三大類：

1) 推論型，如故障樹分析FTA，開始于已知的影響，推導可能的原因。

2) 誘導型，如失效模式與影響分析FMEA，故障注入分析等，開始于已知的原因，分析可能的影響。

3) 探索型，例如HAZOP分析。它是一種利用引導詞進行失效原因以及風險影響的分析。

這些分析方法都是分析失效原因和影響的有效手段，幫助我們進行系統化、條理化的研究，避免遺漏、重復。本文將電池管理系統的本質功能進行抽象，即分為充電管理和放電管理，并以動力蓄電池的充電管理為例進行HAZOP分析，HAZOP的引導詞主要分為四類，即功能喪失、在有需求時，提供錯誤的功能、非預期的功能以及功能卡滯。

表1為應用HAZOP方法識別出充電管理、放電管理功能的異常表現。

表1 充電管理、放電管理功能的HAZOP分析-識別功能的異常表現

表2 功能異常表現導致的整車層面的危害

2.3 電池管理系統危害分析和風險評估

危害是針對整車層面來說的，危害需要結合特定的場景才能形成危害事件。電動汽車車輛典型的使用場景有正常行駛(高速行駛，城市路況，轉彎)、車輛靜止無人看管充電、車輛靜止無人看管放電、車輛長期靜置、碰撞(發生碰撞，碰撞之后)、維修。在不同場景下進行危害分析和風險評估，例如，車輛在行駛過程、慢充和快充甚至發生碰撞后，都有可能由于控制系統失效導致電池系統過充、過溫、過流，造成電池包產生熱失控或者熱擴散，引發起火的危害。但在不同場景下，危害發生的嚴重度S、駕駛員對于危害的可控性C以及場景的暴露概率E都是不同的，需要逐條分析討論。

這里以非預期的釋放熱能導致燃燒或明火為例，進行電池管理系統的危害分析與風險評估，需要指出的是該示例僅作為參考，具體安全要求應根據企業在開發過程中的實際情況而定。

如果電動汽車發生起火的危害，會危及駕駛員以及乘員的生命，因此，嚴重度定義為S3。對于暴露概率E，不是指發生功能失效的概率，而是對于危害事件，每個運行場景在駕駛過程中出現的暴露概率。車輛正常行駛在高速路況或者城市路況以及進行車輛充電(包括慢充和快充)，對于一般的駕駛員來說，是幾乎每次駕駛都會發生的，所以將正常行駛和車輛充電的暴露概率定義為E4。對于碰撞和維修場景，可保守定義為E2。暴露概率的評定，不同國家和不同的駕駛員習慣有很大的不同，需要按照實際情況進行分析與判斷。

車輛在高速公路上正常行駛的場景在生活中很常見，如果在該場景中電池系統起火對于駕駛員以及乘客有致命的威脅，但是駕駛員或者乘客聞到燃燒的氣味或者看到冒煙，及時將車輛停靠旁邊，離開車輛，是可以避免人身傷害的，所以在該場景中駕駛者對于此危害有一定的可控性。嚴重度、暴露度和可控性的判斷如表3所示。

表3 電池管理系統危害分析與風險評估示例

對于純電動汽車晚上在住所或者住所附近進行無人看管的充電是經常會發生的情形，此時如果在 住所或者附近充電導致起火，人員在熟睡的過程中，可能無法對該危害進行回避，即評判為ASIL D，但是考慮到中國國情，車庫與住所連在一起的住房情況并不多見，城市中大多位于地下車庫或者路面停車位，即整車級危害起火最高等級可定義為ASIL C。

2.4 電池管理系統安全目標

根據上述電池管理系統危害分析與風險評估，電池管理系統應該在車輛正常行駛、充電時、發生車輛碰撞和維修時都應該對電池系統進行合理的充電管理，以避免出現電池過充、過流和過溫，導致起火的危害。根據不同場景，歸納電池管理系統的安全目標如下，其中ASIL等級取分析的危害事件中最高的ASIL等級，表4給出了電池管理系統安全目標的示例。

表4 電池管理系統安全目標示例

Table 4 Security objectives example of BMS

3 電池管理系統功能安全要求

根據上節中電池管理系統安全目標得出BMS功能安全要求，并且將這些安全要求分配給BMS初始架構中不同要素。

3.1 電池管理系統安全要求

對于電池管理系統來說，為了避免電池系統過充、過放后再充電、過流、過溫，對動力蓄電池進行合理的充放電管理是主要的安全要求，針對電池系統安全目標，不考慮控制系統以外的獨立的保護措施。

根據電池管理系統架構，提出電池管理系統功能安全要求。對于電池管理系統的功能安全要求考慮如下幾個要素：故障探測或者失效減輕；故障或者失效的仲裁邏輯；系統的安全狀態；系統故障容錯時間。表5給出了電池管理系統安全要求的示例。

表5 電池管理系統功能安全要求示例

4 總結與展望

電動汽車保有量快速增長所帶來的電動汽車安全事故受到了國內外廣泛關注，為確保安全，國際和國內分別從標準和法規角度針對車輛電控系統提出了功能安全要求。本文基于典型的電動汽車用電池管理系統(BMS)架構，利用HAZOP分析方法以及國家標準GB/T 34590-2017《道路車輛 功能安全》給出的方法論，開展電池管理系統危害分析與風險評估，提出了電池管理系統的功能安全目標和功能安全要求，為國家標準GB/T《電動汽車用電池管理系統功能安全要求及試驗方法》的制定以及規范和提升電池管理系統行業技術水平，促進電動汽車整車安全提供了參考借鑒。

[1] GB/T 34590-2017《道路車輛功能安全》[S].

Research on functional safety standard for battery management system (BMS) of electric vehicles

LI Bo, FU Yue, ZHOU Rong

(China Automotive Technology and Research Center Co., Ltd, Tianjin 300300, China)

The battery is one of three most important components in electric vehicle, and the core of the battery is the Battery Management System (BMS). As the brain of battery, BMS manages the charging and discharge state of the battery all the time. Its functional safety technology determines the safety performance of the battery, and affects the safety of the vehicle. The national standard of GB/T "Functional safety requirements and testing methodsfor battery management system of electric vehicles" aims to avoid the safety risks from the design, development, verification and validation of BMS, standardize the development of BMS industry technology, and improve the safety level of electric vehicles. This paper is based on the analysis method of functional safety given in the national standard GB/T 34590-2017 "Road Vehicles-Functional Safety" and combined with the typical BMS architecture of electric vehicles. It provides reference for developing the national standard GB/T "Functional safety requirements and testing methodsfor battery management system of electric vehicles", as well as standardizing and improving the technology of BMS industry, and promoting the safety of electric vehicles.

battery management system (BMS); functional safety; hazard analysis and risk assessment; safety goal; ASIL

2018-11-21

李 波，男，博士，高級工程師，研究方向為汽車電子標準化；

付 越，男，碩士，工程師，研究方向為汽車電子標準化；

周 榮，男，碩士，教授級高級工程師，研究方向為電動汽車標準化。