1. 系统安全定义
包含电子电气的功能安全还包含机械等其他防护部分
1. 机械安全需求
无锋利锐边/强度保证（碰撞/冲击/挤压/振动/承载等）
2. 化学安全需求
无有毒有害化学物质/材料的可燃性/冷却液兼容性
3. 电气安全需求
电气间隙/爬电距离/HVIL/Hi-Pot测试/对地绝缘电阻/接触器系统验证
4. 功能安全需求
ISO26262 ASIL C
5. 能量安全需求（爆炸）
排气通道，爆炸防护
6. 起火安全需求
耐火材料、 外部火烧实验
7. 热/温度安全需求
热管理温度控制、 防止热失控、冷却系统实验验证、电流过流密度
8. 辐射安全要求
电磁辐射、噪声
2. 系统安全需求来源
锂电子电池事故特点：
1. 现场安全性：随机性大，
诱发原因不明，根本原因是内短路和热失控；
2. 滥用安全性：可预测且可测试评估；
3个安全相关的标准( 均是强标)将会发布
1. 《电动汽车安全要求》
（替代原来的GB/T 18384.1/2/3- 电动汽车 安全要求第1/2/3部分）
2. 《电动汽车产品说明：应急救援》
说明产品情况，介绍系统及零部件参数和布置情况，用于支持救援
3. 《电动汽车灾害事故救援指南》
用于指导消防单位的事故救援
• 其他讨论内容为：《电动客车安全要求》 ，与乘用车企业无关
初步结论：
a) 该3项标准均为整车级标准，电池仅作为一个子系统要求；
b) 目前该3项标准， /10会议作为最后一次面谈讨论征求意见；
c)下一步计划为网上公示征求意见，然后年底送审，计划最终施；
• 分为国际标准、欧盟、美国及中国的相应要求进行分析
• 影响较为广泛的有FMVSS 305、 ECE R100(电池包) 、 ISO12405（电池包级）、 ISO 6469 （车级）及 IEC62660 （锂离子电芯滥用实验）
我国新能源标准也在快速发表实施
• GB/T 31484/31485/31486 对比 QC/T743-
• GB/T 18384.1- 对比 GB/T 18384.1-2001 （ISO6469-1~3）
• GB/T 31489 电动汽车碰撞后要求 对比 ISO6469-4
• GB/T 31467-1/2/3 （ISO12405）
• QC/T897 (BMS) 转变为新国标 GB/T xxx
锂离子电池的安全标准
•UL(美国保险商实验室)：UL1642（单体），UL2054(电池包1), UL2575(UL安全标准锂离子电池系统操作), UL2580(电动汽车电池安全标准or电池包2)
•IEEE(国际电气电子工程师协会)：IEEE1625（手机电池标准），IEEE1725 （手机电池安全）
• NEMA(美国电气制造商协会)：C18.2M
•SAE(美国汽车工程师协会)：SAE J2464（电池包滥用安全要求），SAE J1766（碰撞）, SAE J2990（高压安全信息）， SAEJ 2929（最新锂电池单体安全要求）
•IEC(国际电工委员会)：IEC62133，IEC62281， IEC60664（绝缘电阻），IEC 62660 (锂电芯性能可靠性实验&滥用实验，类似GBT31485)
• UN(联合国)：PtIII S38.3
• JIS(日本标准协会)：JIS-C8714
• BASTO(国际电池安全组织)：BATS-01
• GB/GBT(中国国标)：GB/T 31486(电芯模组)，GB/T 31467.3(电池包)
美国：汽车安全技术法规
• FMVSS-305: 电动汽车-电解液溢出及电击防护 对应 GB/T31498- 电动汽车碰撞后安全要求（碰撞后要求低电压、高阻抗、低能量和高IP，碰撞后10s内达到）
欧洲：EC/ECE标准
• ECE R100: 关于机动车型式批准中电驱系统特殊要求的统一规定
• 电击防护：直接接触防护、间接接触防护、绝缘阻抗 [参见P40]
• 可再充电储能系统：应具有于东保护装置，例如保险丝
• 功能安全: ready 信号提醒等，充电车辆不能自行移动等；
• 氢气排放判定
• ECE R12: 关于就碰撞中防止转向机构伤害驾驶员方面批准车辆的统一规定
• ECE R94: 关于车辆正面碰撞乘员保护认证的统一规定
• ECR R95: 关于车辆侧面碰撞乘员保护认证的统一规定
• /66/EC等
日本：《能源综合利用法》 ---逐步向ECE（欧洲）靠拢
中国：主要参考ECE（欧洲）
标准化工作国际组织主要是2个，ISO(国际保准化组织,侧重整车) 及 IEC(国际电工委员会，侧重电气部分)
• ISO 6469 （6469-1要求爬电距离）关注道路车辆，类似于 GBT 18384
• ISO 12405 关于电池包，类似于 GBT 31467
3.系统安全设计
系统安全总则
针对安全危险，主要有预防（设计前期）、 阻断（事故发生过程中） 、降损（事故发生后初期）三种主要防范措施。
I. 针对电击事故（预防为主，阻断为辅）
II. 针对燃烧事故（预防、阻断和降损有效的结合）
III. 针对爆炸事故（预防为主，降损为辅）
备注：
危险（Hazard）：事故发生前的一种状态，当达到触发条件是，危险就会变成事故。
事故（Mishap）：导致人员伤亡、财产损失或环境破坏的非预期时间（人们不希望发生的事件）。
安全（Safety）：阻止危险变成师傅的机制或措施，将事故发生的风险降低到可以接受的水平。
被动安全措施（事故发生后）：
1. 足够的绝缘强度
2. 隔热材料
3. 防火阻燃材料
4. 防水防尘
5. 快速散热设计
6. 压力泄防装置
7. 加强绝缘设计
8. 有效的接触防护
9. ……
主动安全措施（事故发生前）：
1. 温度、电压、电流、气体、液体、压力监控
2. 过充电、过放电、过功率保护
3. 高温/低温保护
4. 绝缘状态监控与保护
5. 高压互锁信号监控
6. 热失控预警与主动灭火
7. 危险气体、液体检测
8. 各种危险状态下切断输出
9. ……..
系统安全设计电气安全
1. 警示标示： >60VDC 设置警示标签
2. 接触防护：
① 直接接触防护（直接接触带电体）
a. 绝缘设计：电芯、模组、 Pack级
b. 屏蔽设计：满足一定的IP等级要求
② 间接接触防护（指接触平时不带电的导体或间接接触带电体）
a. 等电位设计 [0.2A测试电流，连接阻抗小于0.1Ω]
b. 电气隔离：电气间隙，爬电距离
3. 外短路防护[被动]：
① 加入保险丝，保险丝能保护继电器和线束
② 发生故障后，首先继电器能够带载切断
③如果超出继电器带载切断能力，保险丝应该能在继电器爆炸（极限电流）之前熔断
4. 过电流防护: 控制器做限流保护
5. 高压互锁检测（US7586722）：高压可拆装部位须加入高压互锁检测
6. 继电器状态监测：继电器诊断（交叉电压法）或12V线圈上电情况检测
7. 绝缘监控：两表法或交流注入法
8. 碰撞防护：检测碰撞信号，并由控制器add硬线断开继电器， 30ms内完成
9. 预充电保护：上电前预充电回路， 100ms，与冲到额定电压的95%
10. 所有产品须选用汽车级产品，保证寿命在5~8年以上
系统安全设计化学安全
1. 电芯安全
① 选用热稳定性高的电极材料
a. 正极常用的改性方法为表面包覆和掺杂改性
b. 提高SEI膜性能(负极与电解液的固体电解质膜，类似于包覆)
② 改进锂离子电解液，使用安全型电解液
a. 采用高闪点的氟代溶剂
b. 采用含氟阻燃添加剂或采用有机磷化物阻燃添加剂
c. 采用离子液体电解液
d. 采用固态电解液（避免枝晶刺破隔膜，有效避免泄露、着火或爆炸）
③ 添加特种添加剂，阻断电池内部化学放热反应
④ 选用高稳定粘结剂
⑤ 选用热稳定性高的隔膜
2. 电池热管理冷却剂
① 常用的有：空气、水、乙二醇水溶液、硅油、变压器油、含氟化合物、蓖麻油
② 考虑结构、成本、可靠性、占用空间、冷却效率等， IP65、 IP43
3. 热失控预警与控制
1. 主要原因：外部高温、外部短路、内部短路 [测试方法：过充、穿刺、火烧]
2. 热失控现有措施：阻燃材料、贫液电芯、阻燃电解液、熔断丝、焊接连接方式、
成组方式优化等
3. 预警系统
a. 选用温度传感器、气体探测器、烟雾探测器、火焰探测器
b. CAN总线及硬线通知BMS
系统安全设计机械安全
1. 接触式受力防护（在挤压、跌落、碰撞和底部冲击等情况下，防护结构对产品进行防护）
① 防护结构的机械强度
② 连接结构的机械强度
a. 插销、卡扣和焊接连接
b. 螺栓连接
2. 非接触式受力防护
（非接触受力防护主要表征为在振动、冲击、翻转和碰撞等工况下，间接力传导）
① 在非接触式受力防护中，连接结构承载的只有传导力，没有直接接触的作用力
② 不需要计算连接结构自身的结构强度（以抗拉强度σb作为临界值）
③ 只需要计算传导力的结构强度（以屈服强度σs作为临界值）
3. IP防护：动力电池一般要求IP67
① 密封面设计： a.动静面结构； b.弹性元件选择
② 气压平衡部件
4. 防呆设计：机械防呆（最有效）、颜色防呆和标识防呆
5. 防火、阻燃
① 被动防火与阻燃：电池系统零部件尽量选用阻燃等级较高或不燃烧的材料（UL94-V0）
② 主动防火与阻燃： a. 设计防火结构防止外部火焰侵入； b. RESS内部增加消防系统
6. 防腐蚀
① 防腐蚀可以用把不同的防腐等级来表达
② 例如使用寿命为8年（沿海地区），要求中性盐雾时间480小时，其他要求360h、 192h、 720h等
③ 方法主要有：镀锌（>8μm）、镀镍（>6~8μm） 、电泳（>18μm） ， 能实现寿命为8年
3.功能安全设计
功能安全是指避免由E/E系统功能性故障导致的不可接受的对人产生的风险或者危害。
功能安全关注系统故障后的行为，而不是系统的原来功能或性能。
汽车电子电气系统功能安全国际标准 ISO26262（）
提供汽车电子电气产品功能安全开发的过程和方法论
基于电子电气和可编程器件功能安全基本标准 IEC61508
适用于质量不超过3500kg的量产乘用车电子电气系统
功能安全设计流程
1.概念设计
定义分析Item范围及系统功能（例如充电系统）
进行系统的HARA分析
HAZOP分析
加入危害事件场景，定义危害等级
进行FSR过程
确定安全目标及安全状态
2.系统级设计
技术安全需求（TSR）：结合前期概念阶段的分析，规范为满足安全目标的技术安全需求（架构，完整性措施，安全机制），环境要求，与其他系统和接口要求。
系统设计：包含安全相关设计
安全评审：结合第三方部门或者企业进行安全评估
3.硬件级设计
硬件安全需求：通过TSR推导出硬件要求规范
硬件设计：包含安全相关设计
硬件量化要求：确定硬件结构指标（根据ASIL等级确定LPF,SPF） ;评估硬件随机失效
4.软件级设计
软件安全需求：通过TSR推导出软件要求规范
软件设计：包含安全相关设计
验证软件安全需求
功能安全交付文档
功能安全评审交付物：
① 相关的危害分析和风险评估
② 安全目标
③ 功能安全概念（FSR）
④ 技术安全要求规范（TSR）
⑤ 系统设计
⑥ 硬件安全需求
⑦ 硬件设计
⑧ 硬件架构评审结果
⑨ 硬件随机失效率指标计算结果及对安全
目标的违背
⑩ 软件安全需求及细化的软硬件接口要求
⑪ 软件架构设计
⑫ 软件单元的设计和实现
⑬ 软件组件资质报告
⑭ 硬件组件资质报告
⑮ 安全分析
功能安全设计-概念阶段
概念阶段分析的两种方法
1. 从系统到整车
2. 从整车到系统
功能安全设计-BMS应用
从系统出发
HARA/HAZOP分析
• 定义分析Item范围及系统功能（例如充电系统）
• 进行系统的HARA分析
• HAZOP分析
• 加入危害事件场景，定义危害等级
• 进行FSC过程
• 确定安全目标及安全状态
在风险评估过程中，假设相关项的功能异常表现会引起某个危害。根据危害的定义，其作为伤害的潜在来源，极大依赖于功能异常发生时所处的驾驶场景。
FSC过程
1. 加入场景，形成危害事件分析
2. 定义S/E/C导出最终的ASIL等级
3. 设定安全目标
4. 设计安全状态
5. 规定功能安全需求 FSR
各个厂家定义很可能不一致
3.5案例分析
MSD的全称为Manuel Service Disconnect
1. 该零件主要用于车辆维护时，物理切断车辆的高压回路，确保用电安全；
2. MSD内部结构一般包含保险丝，用于高压回路的短路保护，且便于维护；
3. MSD内部一般还设有HVIL高压互锁回路，用于高压用电安全保护，也即保证在MSD移除人员有可能接触高压之前，确保高压继电器必须断开；
4. MSD同时应该设置密封圈，确保总成与电池包外壳配合后的IP等级要求，一般为IP67；
5. MSD的ICD应包含机械安装接口、高压连接接口、低压HVIL互锁回路接口；
6. MSD设计应保证500VDC的高压安全使用等级，确保零件的使用安全；
7. 国标GB/T 17951-4.2.3明确要求新能源汽车必须配备MSD或其他类似的能够物理切断高压回路的零部件
危害：无意识的起火
电池系统级危害：电池过充、短路等
最危险的场景1：车辆在车库充电，车库与住所在一起
该场景下如果发生起火对室内熟睡的人伤害是致命的且难以控制的。S3， E4/E3， C3
电池管理系统，电池包为载体，主要功能有充电、放电、能量储存。以充电为例：
一、概念阶段
1.1 相关项定义
a) 功能定义
b) 非功能定义（法规）
c) 接口定义（例）
备注：
1. 充电机为充电接口
2. 显示屏出现时充电啊的状体和报警信息
以充电为例：
一、概念阶段
1.1 相关项定义
1.2. 危害分析和风险评估（HARA）HAZOP故障类型分析
以充电为例：
一、概念阶段
1.2. 危害分析和风险评估（HARA）
a) 场景分析
b) 危害类型识别
c) 危害事件
d) ASIL等级定义
以充电为例：
一、概念阶段
1.2. 危害分析和风险评估（HARA）
a) 场景分析
b) 危害类型识别
c) 危害事件
d) ASIL等级定义
e) 定义安全目标：防止过充
F) 定义安全状态：切断继电器
备注：这里暴露的概率，不是指故障（过充）的概率，而是指功能使用的概率。
以充电为例：
一、概念阶段
1.3. 功能安全概念(FSC)
基于安全目标，得出安全需求(FSR)
以充电为例：
一、概念阶段
1.3. 功能安全概念(FSC)
基于安全目标，得出安全需求(FSR)
以充电为例：
二、 系统阶段
主要任务：制定技术安全需求TSR，进行系统级安全设计
2.1. 技术安全需求
同时考虑功能概念和初步的架构设想，制定技术安全需求TSR)
首先定义系统架构如下：
以充电为例：
二、 系统阶段
主要任务：制定技术安全需求TSR，进行系统级安全设计
2.1. 技术安全需求
同时考虑功能概念和初步的架构设想，制定技术安全需求TSR)初步的TSR如下：
以充电为例：
一、概念阶段
二、 系统阶段
主要任务：制定技术安全需求TSR，进行系统级安全设计
2.1. 技术安全需求
同时考虑功能概念和初步的架构设想，制定技术安全需求TSR)
2. 2 系统安全设计
系统安全设计目的是开发系统设计和和技术安全概念，以满足功能要求和技术安全需求规范；
三、硬件设计
设计硬件方案，计算相应指标，满足硬件安全目标；
四、软件设计
设计软件方案，通过相关测试，满足软件安全目标；
五、相关验证
a) 根据设计的安全目标，反正/台架/实车验证
b) 必要的时候需要故障注入
