新能源三電系統功能安全技術現狀

趙燁

摘 要：隨著科技的快速發展和對清潔能源的需求，以電力為主的新能源逐漸運用在了汽車領域，新能源領域的“三電”是指動力電源、電驅動、電控。三電涉及到了汽車功能的各個方面，對汽車的發展至關重要，尤其是對汽車的安全功能影響重大。本文主要介紹三電安全的發展過程，分析國際標準化組織道路車輛功能安全標準給新能源汽車產業技術帶來的挑戰及其推進作用。

關鍵詞：三電系統;技術安全;新能源

電力系統相比較傳統的動力能源來說具有很大的優點，但是電力能源從發展到現在技術上還存在很多問題，比如：動力不均衡問題，電池續航時間問題等，當然影響最大的還是電力功能安全問題。功能安全即在電子電氣系統中不能存在由功能異常表現出的隱患，并產生不合理的風險，其本質在于控制這些不合理風險的產生。

1 功能安全標準發展的三個階段

首先是上世紀90年代歐美等國頒布的功能安全相關標準，這一標準最初應用在工業領域，面對的對象也是測量和控制設備。由于不是專門應對新能源汽車電力系統功能安全，因此這一階段的功能安全范圍相當模糊。其次在21世紀初德國和美國頒布了《電子 /電氣 /可編程電子安全相關系統（E/E/PE）的功能安全 》。相比較上一階段，這一階段對功能安全的定義較為清楚，范圍主要包括電子電氣領域。但是本階段的功能安全標準也有一定的局限性，側重于對功能安全的描述，尤其是對各種電氣問題的定義，卻沒有制定具體的可操作措施。21世紀電氣技術得到了快速發展，電動汽車發展迅速，伴隨而來的就是安全問題頻發，“功能安全”逐漸得到了重視。因而2005年國際標準化組織（ISO）專門制定了最新的功能安全標準，即功能安全ISO26262標準。這一版本是當前運用的主流，其將功能安全分為十個部分，既包含了相關的功能安全定義、術語，也包含功能安全的產品開發系統，具體的功能運用，安全性能測試等。

2 基于當前標準的汽車電子電氣系統開發流程

首先是概念設計階段。本階段是電動汽車生產的理念和邏輯研發階段，可以說電動汽車后期的所有功能以及問題都是從這一階段誕生的。因此，在概念設計階段一方面要考慮電動汽車的各種功能，滿足客戶的個性化需求，增強電動汽車的實用性;另一方面也要加強風險評估，對汽車研發的邏輯和理念進行推敲，對有可能出現的風險問題進行修正，細化功能安全內容中的各種安全問題。

其次是產品研發階段。產品研發就是對概念設計的落實，讓功能安全內容落實到汽車各個功能之中。從當前來看產品研發往往不能嚴格按照概念設計的理念來進行，造成這種現象的原因一方面是概念設計過于理想化，當前的技術手段難以達到設計要求;另一方面是產品研發人員對概念設計的理解很不到位，因此在產品設計階段，要加強科技投入，加強溝通深化對概念的理解，落實概念設計理念。

最后就是新能源汽車使用的各個生命周期。所有的新能源汽車都要經歷生產、運行、維護和報廢這四個階段，因此電子電氣系統在開發使用過程中一定要嚴格遵守生產參數，防止生產和使用過程中出現“短板”效應。另外，ISO26262標準的功能安全還通過對于支持過程需要的開發接口、安全要求定義、配置、變更、驗證、軟硬件工具/組件等方面進行詳細的規范，其性質類似于質量管理體系的相近特征，保證電控產品的功能安全性能的一致性和可靠性。

3 動力電源方面的功能安全技術

3.1 動力電池碰撞斷電保護

根據當前相關的電動車碰撞規定，電動車出現碰撞之后整車母線及母線搭鐵電壓交流不能高于30伏直流不能高于60伏，殘余總電能要小于0.2焦耳;碰撞高壓設備要具有一定級別的物理保護，同時滿足絕緣要求。這就要求在發生碰撞時要盡量縮短系統啟動時間，同時根據ISO26262的功能安全標準，在電動汽車發生碰撞時要具備主動防護和被動防護兩種方式。主動保護功能的設置應該側重在以下方面：利用CAN總線通信實現碰撞斷電保護，通過安全氣囊ECU來設置合理的碰撞閾值，一旦達到碰撞閾值立即反饋到BMS即可切斷整車的高壓電回路;用PWM波實現碰撞斷電保護。當安全氣囊的碰撞保護其靈敏性和智能性欠佳時，采用PWM波立即切斷整車高壓回路;采用信號冗余結合CAN總線及PWM波，只要任一路信號有效即切斷高壓電回路。被動防護主要是將碰撞傳感器開關加載在高壓互鎖回路中（HVIL），此要求需要低壓線束高壓互鎖回路必須形成閉環設計無誤。當碰撞開關被觸發時切斷HVIL回路，切斷高壓供電。

3.2 動力電池高壓電防護和充放電安全管理

ISO26262的功能安全規定要對電動車電池高壓進行防護，不允許接觸電壓超過人體安全電壓（36伏），且規定了各種電氣系數，保證了人體的絕對安全。雖然規定如此但是想要實現這種規定并不容易，在具體的操作當中容易出現一定的問題，如高壓電實效造成車輛失去動力，出現碰撞之后高壓電斷電實效，高壓回路監督狀態實效等。想要避免這些問題就必須要做好兩個方面，上電過程控制策略和運行過程診斷策略。另外，關于充放電安全管理ISO26262也有具體的要求，為了減少充放電存在的安全隱患，要從以下三個方面入手。充電過程中針對不構成人體安全的輕微故障，可以設置警報而不是直接停止充電;針對某些故障，報警的同時限制充電功率，針對較大故障如冒煙、高溫等現象要立即斷電。在放電過程中安全管理策略要更加智能，通過VCU采集電池管理系統及微控制器的信號數據，發出調動指令根據駕駛意圖合理控制放電安全。

4 動力驅動方面的功能安全技術

4.1 硬性故障和軟性故障分析

從目前來看動力系統主要存在兩種故障其一是硬性故障，其二是軟性故障。硬性故障主要是指電動驅動系統的硬件設施，除了電機控制芯片還包括安全監控芯片。電機芯片控制電車動力，讓電車實現各種功能，安全監督芯片則主要負責安全，在電動異常的情況做出一些列的操作，包括各種警報。應對硬性故障主要就是對各種硬件進行參數檢測，在使用過程中對硬件進行維護和保養。軟性故障則主要表現在汽車功能障礙方面，即系統的異常各種硬件設施無法完成相應的功能。相比較硬性故障來說，軟性故障更加復雜處理起來難度更大。

4.2 冗余措施對動力驅動功能安全的提升

通常冗余措施主要包括以下幾個方面：提高CAN的數據傳輸安全行，可以在數據傳送當中增加驗證碼;通過電壓和電流采樣的方式，避免出現電壓和電流異常，可以在多個驅動橋臂上采樣母線電壓和電流，保證采樣代表性，提升動力驅動的穩定性;設置旋轉變壓器，其主要目的是車輛出現故障之后，在切斷高壓電流時仍然可以給車輛提供一定的電力，滿足靠邊停車的需求。

5 電控技術方面的功能安全分析

電控技術是電動汽車的核心系統，電動不只是電力驅動、電力安全還包括各種電氣軟件之間的協作。電動汽車的各種硬件和軟件是相互聯系的，電控技術就是聯系二者的網絡，對電動汽車的動力安全、用戶體驗和整車性能都有著至關重要的作用。

整車控制單元雙VCU架構：當前的VCU分為主副雙結構，主結構功能較為強大，融合了32位單片機，副結構功能相對較少，單片機的數量也只有主結構的一半。為了確保VCU的可靠性，需要控制芯片的溫度范圍、注重部件的冗余措施、設計電磁兼容系統，將其運用在電源、信息采集、通信等模塊。對于雙VCU架構來說還需考慮某些安全性功能機制，例如：基于冗余與異構原則，設計主副VCU時采取不同芯片設計避免共因失效;主副VCU之間互相傳遞生命信號即SPI問答機制;SPI冗余設計，降低因SPI單點故障而造成的功能失效。

整車控制單元故障處理措施：變量缺省原則，即在電動汽車正常行駛的過程中，整車控制單元發生故障時，取整車控制單元檢測到的最后一次SOC值作為缺省值，并以此SOC值為基礎進行系統控制。轉矩限制原則，這一原則較為容易理解，就是整車電力系統發生故障時，為了避免電機因電力流失過多而造成的發熱，適當降低驅動電機力矩輸出，降低用電功率。當然在整車控制單元故障當中根據故障的嚴重程度，也要采取不同的措施，面對輕微障礙要及時拉響警報，提示駕駛員注意行車安全;針對制動能量回收障礙，要及時關閉制動能量回收功能，同時拉響警報;針對更為嚴重的障礙則要立即斷電，保護駕駛安全。

6 結語

總之，新能源汽車是當前汽車研發的新領域，以其能源的清潔型而受到青睞，不過從當前來看新能源汽車的主要安全問題表現在“三電”方面。針對動力電源安全，主要表現在動力電池碰撞斷電保護、動力電池高壓電防護和充放電安全管理方面;針對動力驅動安全方面，主要是針對硬件和軟件障礙，采取的冗余措施，提升動力驅動的安全性;針對電控技術主要是側重于整車單元控制障礙，利用一定的措施預防電控障礙，降低電控障礙帶來的安全隱患。

參考文獻：

[1]李晶.新能源汽車“三電”系統功能安全技術初探[J].中國戰略新興產業，2018（28）：24.

[2]張淑萍.基于新能源客車的小三電集成系統研究與應用[J].客車技術，2018（02）：5-7.

[3]彭憶強，蘆文峰，鄧鵬毅，王洪榮，馬媛媛，徐磊，何波，楊麗蓉.新能源汽車“三電”系統功能安全技術現狀分析[J].西華大學學報（自然科學版），2018，37（01）：54-61.

[4]殷鵬，李超，叢培元，王振蛟，崔忠寧，劉忠麗.新能源及微電網技術在變電站站用電系統中的應用[J].中國電業（技術版），2014（09）：127-130.