新能源汽車實驗環境新能源汽車試驗( 四 ) _經驗知識

（3）在系統設計、軟件設計、硬件設計階段執行功能安全分析（FMEA、FTA、DFA、 FMEDA），滿足 ASIL 等級相關要求。·執行系統安全分析，識別違反功能安全目標的失效模式，通過系統設計確保故障發生時，整車能在 FTTI 時間內進入安全狀態 ·執行軟件安全分析，針對軟件失效模式，確定軟件安全機制 ·執行硬件安全分析，基于硬件器件的失效率、失效模式、失效分布，對硬件架構進行評估（SPFM、LFM、PMHF），完善硬件安全機制，確保滿足安全等級要求 ·安全分析應持續、迭代執行，針對安全分析中發現的問題，需不斷優化更新安全機制。
（4）軟件設計建議采用標準化軟件架構（例如：AUTOSAR），軟件開發應遵循符合功能安全要求的建模規范和代碼規范，使用多種模型/代碼測試方法（例如：MIL、SIL、PIL、 HIL）進行軟件集成和測試，確保滿足軟件覆蓋度要求。
（5）關注需求、設計、驗證之間的雙向追溯和一致性，確保需求變更、缺陷修正的 63 可跟蹤性。
（6）執行軟件/硬件組件鑒定和再用證明相關活動，確保軟件/硬件組件使用的合適性。實施工具鏈置信度評估，確保工具置信度水平（TCL）滿足要求。（7）執行與安全目前等級相適應的認可措施，包括：認可評審、安全審核和安全評估。
功能安全產品開發活動建議參考《GB/T34590-2017 道路車輛功能安全》。4.1.3.3 功能安全目標驗證與確認應在系統級、整車級對 BMS 功能安全需求及功能安全目標執行驗證與確認，確保達成整車功能安全目標。如果除 BMS 功能安全保護機制外，整車還設計了其它安全機制（如：機械、化學等），功能安全目標的驗證與確認也應覆蓋這些安全機制。電池系統的功能安全目標驗證與確認活動建議參考《GB/T 電動汽車用電池管理系統功能安全要求及試驗方法》（預計 2019 年發布）。
4.1.4 熱失控、預警識別策略 4.1.4.1 電池包熱失控基本防護電池包應具有熱失控防護措施，保證熱失控發生后，可以在一定時間內確保電池包不發生導致人生傷害的事件發生（起火、爆炸等）。4.1.4.2 熱失控提前探測預防 BMS 可考慮監控導致熱失控的事件（如電壓、電流、溫度超過安全使用范圍、內短路等），在熱失控發生前采取緊急應對措施（如報警、限制功率、切斷高壓回路等），同時提醒乘員采取避險措施。
4.1.4.3 熱失控探測及告警
（1）電池發生熱失控及熱擴散時，電池系統內部溫度、氣體成份、壓力等參數會發生變化，應對熱失控及熱擴散進行試驗研究，通過理論分析和實驗驗證，確定適合的熱失控和熱擴散探測手段（例如：溫度、氣體、壓力等），并確保探測器的檢測精度滿足需求。
（2）當 BMS 確認發生電池熱失控時，應把熱失控信號傳遞給整車，整車應通過指示裝置（儀表或其他裝置）提供一個明顯的熱失控報警信號以及警示聲，提醒駕駛員和乘客疏散；同時， BMS 請求下高壓，整車根據當時工況進入緊急下電流程。
（3）建議 BMS 應準確監測電池系統及其部件的異常溫度升高，對電池系統的熱失控要盡可能早地發出預警信號。
64 （4）熱失控探測及報警功能應在運行模式下執行，其有效性應通過整車級測試，避免漏報、誤報。

新能源汽車實驗環境 新能源汽車試驗( 四 )

新能源汽車實驗環境新能源汽車試驗( 四 )