電動大巴的系統(tǒng)安全考慮，是非常重要的。我個人以為，相比乘用車而言，商用車、大巴其實有更高的安全要求，事實往往是倒掛的。這里寫這篇文章，分三部分，第一是通過第一電動網(wǎng)邱主編的文章提煉一下事故發(fā)生的關(guān)鍵特性；第二是將三方的系統(tǒng)設(shè)計擺在臺面上來復(fù)盤，第三是宣傳一下系統(tǒng)安全的理念。
第一部分： 事故關(guān)鍵要素
事故結(jié)論：動力電池過充=>電解液泄漏及電池短路=>火災(zāi)
事件牽涉方：
1.充電運營單位是普天新能源(深圳)有限責(zé)任公司：運營管理直流充電機(jī)和充電管控系統(tǒng)
2.車輛制造單位是深圳市五洲龍汽車有限公司：提供整車集成和整車控制和整車監(jiān)控系統(tǒng)
3.電池系統(tǒng)制造單位是深圳市沃特瑪電池有限公司：提供電池包，BMS
事故過程：
1.14時13分，入場充電SOC62%
2.15時42分，動力電池SOC已滿
3.17時，充電機(jī)檢測到的電壓超過充電機(jī)自身保護(hù)電壓650V，充電機(jī)才強(qiáng)制中斷充電過程
關(guān)鍵要素提?。?
1.電池管理系統(tǒng)主控模塊在充電過充中失效
2.車聯(lián)系統(tǒng)仍然上傳失效前數(shù)據(jù)
3.充電機(jī)沒有根據(jù)限值切斷，特別是沒有根據(jù)總電壓600V限值切斷
4.充電運營系統(tǒng)的數(shù)據(jù)收集沒有處理
5.車聯(lián)系統(tǒng)的數(shù)據(jù)平臺沒有處理
調(diào)查組總結(jié)：
1.電池管理系統(tǒng)控制策略存在缺陷
2.充電系統(tǒng)功能不完善
3.監(jiān)控數(shù)據(jù)不被重視
4.車--充電機(jī)--后臺監(jiān)控等缺乏系統(tǒng)的安全保護(hù)設(shè)計
調(diào)查組提議的改進(jìn)措施：
1.電池企業(yè)：改進(jìn)BMS設(shè)計
2.充電企業(yè)：充電設(shè)施增設(shè)限制過充的措施
3.整車企業(yè)
a.布置改進(jìn)：對結(jié)構(gòu)、內(nèi)飾材料、高低壓電纜進(jìn)行改進(jìn)設(shè)計
b.布置改進(jìn)：控制電池箱相對集中的車輛尾部電池艙的環(huán)境溫度
第二部分：相關(guān)的系統(tǒng)設(shè)計要素
大巴的結(jié)構(gòu)布置示意圖，可以如圖1所示。
圖1 五洲龍大巴結(jié)構(gòu)示意圖
根據(jù)參考文獻(xiàn)1，沃特瑪基于客車的系統(tǒng)是BMS整套電池管理系統(tǒng)，包括主機(jī)模塊、采集模塊、顯示屏模塊、絕緣檢測模塊、CAN盒等
電池管理主機(jī)模塊(BMS)：
BMS主模塊可接收BMU(電池單體信息采集模塊)部件上傳的電池組信息，
計算電池容量，健康狀態(tài)等，能隨時給出電池組整個系統(tǒng)的剩余容量。
CAN通信：在顯示屏模塊指定位置顯示，通過整車CAN通訊口上傳到汽車整車控制器和儀表總線。
控制電池放電功率：電池功率基于SOC,電壓和溫度等條件下，可允許的10s 放電功率
可配置的最大容量為1000AH，精度5%。
BMU：
采集單體電池的電壓、電流還有溫度等
單體電壓采樣范圍 0～5V，采樣精度達(dá)到±(0.3%RD+0.2%FS)
溫度采樣范圍-40℃ ～ 120℃
采樣精度±1℃
電池管理系統(tǒng)顯示屏
顯示系統(tǒng)運行信息、參數(shù)配置和采集信號顯示等。
絕緣檢測模塊：
對電池系統(tǒng)地絕緣狀態(tài)進(jìn)行檢測，采用低頻信號注入法，能夠自動適應(yīng)系統(tǒng)漏電容和絕緣電阻的大小。
充電管理CAN盒：
CAN盒承擔(dān)的是充電樁和BMS系統(tǒng)之間的信息溝通工作
當(dāng)車輛開始充電，充電槍插入車輛充電座時，經(jīng)過一系列的溝通之后，進(jìn)入正常的充電狀態(tài)，
CAN總線通信速率：250kBIT/s
根據(jù)這些描述，我們把真?zhèn)€系統(tǒng)重構(gòu)出來大概是這么一個系統(tǒng)，車輛有三路基本的CAN，如圖2所示
CAN1：BMS與整車控制器的通信CAN
CAN2：BMS收集CAN線，同時將需要與充電機(jī)交互的CAN信息發(fā)送出去
CAN3：直流充電與整車通信的盒子，這個盒子就把單體信息，充電需要的信息整合出去
這里是推測的部分：
1.BMS是直接控制配電盒的，只有BMS才能切斷繼電器
圖2 大巴系統(tǒng)架構(gòu)
根據(jù)以上的信息，大概可以做出這樣的推論：
1)BMS沒有采取更多的保護(hù)設(shè)計，BMS比較容易死機(jī)
1.1 如下圖3所示，理論上有個備份的系統(tǒng)比較合適
圖3 2oo2D的多個變種
1.2 節(jié)約的作法，遇到主MCU(承擔(dān)主要的算法工作)無法處理，采用備份MCU監(jiān)控重啟或者報警也行
圖4 主從MCU監(jiān)控系統(tǒng)
2)單體的信息通過內(nèi)部一路CAN傳送，最遠(yuǎn)的BMU與整個BMS的距離很長，電源的供給和抗干擾的回路設(shè)計起來也是比較費勁的
3)BMU本身也只有簡單的MCU+ASIC的方式，只有比較簡單的測量功能，由于考慮到大巴的長度問題，如果采用單體過壓或者欠壓報警，用單純的IO信號也可能存在較多問題
圖5 乘用車BMU基本架構(gòu)
4)CAN盒的設(shè)計，是一個比較大的問題，由于與BMS沒有一個很好的通信機(jī)制，所以最好的辦法是進(jìn)入BMS作為一部分監(jiān)控起來
對于電池管理系統(tǒng)的建議：
a)對于單體和模塊過壓這樣的故障，需要在BMU端做獨立的電路，加檢測芯片和獨立于MCU的反饋通路
b) 對于整車控制器的權(quán)限，不僅僅需要通過CAN來斷開繼電器，當(dāng)BMS死機(jī)無法發(fā)送心跳報文的時候，整車控制器可采集直控方式切斷
接下來說說直流充電的事情，整個GB/T20234.3和GB/T27930，是由BMS主控，充電機(jī)輔助的。如果充電機(jī)在后期沒有BMS的信息的時候，不退出，這個系統(tǒng)穩(wěn)定性可想而知。
在整個充電階段，BMS實時向充電機(jī)發(fā)送電池充電需求，充電機(jī)根據(jù)電池充電需求來調(diào)整充電電壓和充電電流以保證充電過程正常進(jìn)行。在充電過程中，充電機(jī)和BMS相互發(fā)送各自的充電狀態(tài)。
BMS根據(jù)要求向充電機(jī)發(fā)送動力蓄電池具體狀態(tài)信息及電壓、溫度等信息
BMS充電終止條件
根據(jù)充電過程是否正常：BMS診斷充電的需求和實際的情況
電池狀態(tài)是否達(dá)到BMS自身設(shè)定的充電結(jié)束條件：電池的SOC核算情況
是否收到充電機(jī)中止充電報文來判斷是否結(jié)束充電：這條表征充電樁的自身狀態(tài)
充電機(jī)終止條件為
停止充電指令：BMS的充電需求
充電過程是否正常：充電機(jī)診斷充電情況
是否達(dá)到人為設(shè)定的充電參數(shù)值：充電機(jī)本身的保護(hù)
是否收到BMS中止充電報文來判斷是否結(jié)束充電：BMS的充電需求
圖6 GB/T 27930 充電流程
對比Combo或者Chademo系統(tǒng)(編者：指歐盟和日本采用的充電標(biāo)準(zhǔn))的充電過程，在充電過程中的失效，BMS整體失效一般不會發(fā)生，而且本身采取了PWM+PLC通信兩種不同形式交互整個充電過程。前者用幅度表征充電過程，PLC通信交互控制信息。我個人對于修訂后的GB27930一系列在系統(tǒng)安全上的缺陷，覺得后續(xù)真的要在互通性、誤報錯和安全幾項內(nèi)容進(jìn)行系統(tǒng)折中才行。短期內(nèi)來看，一下子給乘用車私人客戶的純電動汽車來用，問題更多一些。
圖7 充電失效保護(hù)概念
第三部分 系統(tǒng)安全
對于整個車輛的安全性，我接受的一個概念是用系統(tǒng)安全(System Safety)的方法來進(jìn)行處理。以下圖是我根據(jù)參考文獻(xiàn)3，整理的導(dǎo)圖。系統(tǒng)安全流程主要分以下的幾個階段：
1)概念階段
在概念設(shè)計階段，所有系統(tǒng)能夠識別出來的風(fēng)險被整理成一個個安全概念或者策略。使用的辦法是使用初步危害分析(PHA) 的方法，用這樣一個電子表格的方法來識別潛在危害。這里需要列舉所有系統(tǒng)潛在危害，找出其可能起因和相應(yīng)的最壞情況場景的描述，通過分析來確認(rèn)消除條件。
在這個階段，可以使用ISO26262里面的風(fēng)險分類方法，引入ASIL ，確定S、C、E。
這個就階段的成果是用安全概念文檔來衡量，這個階段做完以后，需要做系統(tǒng)安全和電池系統(tǒng)還有整車專家來進(jìn)行階段性評審。
2)需求階段
這里就需要對所有的系統(tǒng)進(jìn)行安全要求的歸檔和整理，將相關(guān)的輸入信息，包括PHA、安全目標(biāo)、客戶期望、危害認(rèn)定、國家安全法規(guī)整合到系統(tǒng)規(guī)范里面去，要確保這些安全要求分解至子系統(tǒng)，這里包括軟件控制的功能要求比如繼電器控制和高壓管理，也包括部件要求，如電池單體、電子部件、電氣部件、外殼結(jié)構(gòu)。注意一般我們應(yīng)用原有測試方法如電池的濫用實驗的結(jié)果來界定需求定義的合理性和相應(yīng)的閾值。
3)設(shè)計階段
這個階段，最主要是的是對所有系統(tǒng)和部件，進(jìn)行FTA和FMEA方面的細(xì)致工作。
4) 驗證階段
驗證階段主要是對系統(tǒng)的安全性需要進(jìn)行獨立的安全性試驗，以確認(rèn)子系統(tǒng)驗證結(jié)果證實設(shè)計的技術(shù)要求滿足安全需求；在系統(tǒng)一級完成以后，在車輛測試一級在保證整個情況的。
最后一個階段，文件評審和追蹤也是在臺面上需要完成的，主要包括PHA&安全概念、系統(tǒng)安全要求、功能子系統(tǒng)要求和物理子系統(tǒng)要求。
其實這一套東西是從參考文件4演化而來，學(xué)好系統(tǒng)工程中的系統(tǒng)安全，是未來做好安全的關(guān)鍵，如圖12所示。
圖8 概念階段的工作
圖9 需求階段工作
圖10 設(shè)計階段
圖11 驗證階段
圖 12 系統(tǒng)安全框架
參考文件
1.沃特瑪研究院簡介 http://gb.optimumnanoenergy.com/index.php?c=article&a=detail&id=77
2.CN 204012779 高壓電池組的安全保護(hù)電路
3.Application of System Safety Engineering Processes to Advanced Battery Safety Galen Ressler
4.NASA System Safety Handbook
