標(biāo)準(zhǔn)編號:	GB/T 39086-2020
中文名稱:	電動汽車用電池管理系統(tǒng)功能安全要求及試驗(yàn)方法
英文名稱:	Functional safety requirements and testing methods for battery management system of electric vehicles
中標(biāo)分類:	T35    車用電子、電氣設(shè)備與儀表綜合
行業(yè)分類:	GB    國家標(biāo)準(zhǔn)
ICS分類:	43.040 43.040    道路車輛裝置 43.040
發(fā)布機(jī)構(gòu):	國家市場監(jiān)督管理總局 國家標(biāo)準(zhǔn)化管理委員會
發(fā)布日期:	2020-09-29
實(shí)施日期:	2021-4-1
標(biāo)準(zhǔn)狀態(tài):	valid
翻譯語言:	英文
文件格式:	PDF
中文字符數(shù):	33000 字
翻譯價(jià)格(元):	1500.0
交付時(shí)間:	付款后 1 個(gè)工作日

GB/T 39086-2020 Functional safety requirements and testing methods for battery management system of electric vehicles English Functional safety requirements and testing methods for battery management system of electric vehicles 1 Scope This standard specifies the functional safety requirements and testing methods for battery management system of electric vehicles (hereinafter referred to as "battery management system"). This standard is applicable to the management system of lithium-ion power battery for electric vehicles, and other types of power battery, and also refers to the management system of other types of power battery and the management system of power battery for other vehicles. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB 18384-2020 The safety requirement of electric vehicles GB/T 19596-2017 Terms of electric vehicles GB/T 34590-2017 (all parts) Road vehicles Functional safety GB 38031-2020 Safety requirements of power battery for electric vehicles GB/T 38661-2020 Technical specifications of battery management system for electric vehicles 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 19596-2017, GB/T 34590.1-2017 and the following apply. For the convenience of application, some terms and definitions in GB/T 19596-2017 are listed repeatedly as follows. 3.1 battery management system; BMS monitoring the battery condition (e.g. temperature, voltage, state of charge, etc.) is capable of providing communication, safety, cell equalization and management control for battery as well as providing the communication interface system of application equipment [GB/T 19596-2017, definition 3.3.2.1.10] 3.2 secondary cell basic unit device that converts the chemical energy and electric energy mutually, generally including electrode, diaphragm, electrolyte, housing and terminal, and is also designed to be rechargeable [GB 38031-2020, definition 3.1] 3.3 high voltage power system connection between voltage above Class B in electric vehicles and the DC busbar of the power battery, or the high-voltage driven component systems by power driving of power battery. It mainly includes but is not limited to: power battery system and/or high-voltage distribution system (high-voltage relay, fuse, resistor, main switch, etc.), motor and its control system, DC/DC converter and on-board charger, etc. [GB/T 19596-2017, definition 3.1.2.1.11] 3.4 power battery system energy storage device consisting of one or more battery pack(s) and corresponding accessories (battery management system, high voltage circuit, low voltage circuit, thermal management equipment and mechanical assembly, etc.) for providing electric energy to electric vehicles' driving [GB/T 19596-2017, definition 3.1.2.1.9] 3.5 fault tolerant time interval; FTTI under the condition that the security mechanism is not activated, the shortest time interval from the occurrence of internal faults of related items to the possible occurrence of hazardous events Note 1: Security-related time interval see Figure 1. Note 2: Evaluating the shortest time interval of all hazard events depends on the characteristics of hazards. Note 3: FTTI is related to the hazards caused by abnormal performance of related items. FTTI is an attribute of the safety goals. Note 4: During fault tolerant time interval, if the related items remain in safe state or transition to safe state or emergency operation, it means that the security mechanism has handled the fault in time. Note 5: The occurrence of hazardous events depends on the existing faults and the scene the vehicle is in where the faults can affect the vehicle behavior. Example: Failure of the brake system may not cause a hazardous event until the brake is applied Note 6: When FTTI is defined only at the level of related items, the longest fault handling time interval and the state after fault handling can be specified at the level of elements to support the concept of functional safety. Note 7: Fault detection time interval include several diagnostic test time intervals to allow the elimination of errors if diagnostic test time interval is sufficiently smaller than fault detection time interval. ... ... ... ... 3.6 thermal runaway uncontrollable temperature rise of the battery caused by the exothermic chain reaction of the secondary cell [GB 38031-2020, definition 3.14] 3.7 thermal propagation the phenomenon of successive thermal runaway of the rest secondary cells caused by the thermal runaway of a secondary cell in a battery pack or system [GB 38031-2020, definition 3.15] 3.8 explosion sudden release of sufficient energy to generate pressure waves or jets which may cause structural or physical damage to the surrounding area [GB 38031-2020, definition 3.10] 3.9 leakage the liquid inside the battery leaks to the outside of the battery case [GB/T 19596-2017, definition 3.3.3.13.7] 3.10 venting the release of gas via the pre-designed mode upon the increase of the internal pressure in single cells and assemblies of cells [GB/T 19596-2017, definition 3.3.3.13.8] 3.11 overcharge continuous charging when the battery cell or battery is fully charged. [GB/T 19596-2017, definition 3.3.3.2.4] 3.12 over discharge continuous discharging when the battery cell or battery is completely discharged. [GB/T 19596-2017, definition 3.3.3.1.8] 3.13 fire any part of the secondary cell, battery module, battery pack or system keeps burning (the duration of flaming is greater than 1s). Note 1: Here “the duration of flaming is greater than 1s” refers to single duration of flaming other than cumulative duration of several ones. Note 2: Sparking and arcing is not considered as combustion [GB 38031-2020, definition 3.11] 4 General requirements Unless otherwise specified, the requirements of technology development and process development of functional safety for battery management system shall be implemented in accordance with GB/T 34590-2017 (all parts). 5 Definition of related items 5.1 General

Foreword II 1 Scope 2 Normative references 3 Terms and definitions 4 General requirements 5 Definition of related items 6 Hazard analysis and risk assessment 7 Functional safety requirements 8. Verification and validation of functional safety Annex A (Informative) Hazard analysis and risk assessment (HARA) examples with battery management system as related item Annex B (Informative) Example of Hazard Analysis and Risk Assessment (HARA) with Traction Battery System as Related Item Annex C (Informative) Example of fault tolerant time interval (FTTI) determination

電動汽車用電池管理系統(tǒng)功能安全要求及 試驗(yàn)方法 1 范圍 本標(biāo)準(zhǔn)規(guī)定了電動汽車用動力蓄電池管理系統(tǒng)（以下簡稱“電池管理系統(tǒng)”）的功能安全要求及試驗(yàn)方法。 本標(biāo)準(zhǔn)適用于電動乘用車用鋰離子動力蓄電池管理系統(tǒng)，其他類型動力蓄電池的管理系統(tǒng)及其他類型車輛的動力蓄電池管理系統(tǒng)可參照執(zhí)行。 2 規(guī)范性引用文件 下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。 GB 18384—2020 電動汽車安全要求 GB／T 19596—2017 電動汽車術(shù)語 GB／T 34590—2017（所有部分） 道路車輛 功能安全 GB 38031—2020 電動汽車用動力蓄電池安全要求 GB／T 38661—2020 電動汽車用電池管理系統(tǒng)技術(shù)條件 3 術(shù)語和定義 GB／T 19596—2017和GB／T 34590.1—2017界定的以及下列術(shù)語和定義適用于本文件。為便于使用，以下重復(fù)列出了GB／T 19596—2017中的一些術(shù)語和定義。 3.1 蓄電池管理系統(tǒng) battery management system； BMS 監(jiān)視蓄電池的狀態(tài)（溫度、電壓、荷電狀態(tài)等），可以為蓄電池提供通信、安全、電芯均衡及管理控制，并提供與應(yīng)用設(shè)備通信接口的系統(tǒng)。 [GB／T 19596—2017，定義3.3.2.1.10] 3.2 電池單體 secondary cell 將化學(xué)能與電能進(jìn)行相互轉(zhuǎn)換的基本單元裝置，通常包括電極、隔膜、電解質(zhì)、外殼和端子，并被設(shè)計(jì)成可充電。 [GB 38031—2020，定義3.1] 3.3 高壓系統(tǒng) high voltage power system 電動汽車內(nèi)部B級電壓以上與動力電池直流母線相連或由動力電池電源驅(qū)動的高壓驅(qū)動零部件系統(tǒng)，主要包括但不限于：動力電池系統(tǒng)和／或高壓配電系統(tǒng)（高壓繼電器、熔斷器、電阻器、主開關(guān)等），電機(jī)及其控制系統(tǒng)、DC／DC變換器和車載充電機(jī)等。 [GB／T 19596—2017，定義3.1.2.1.11] 3.4 動力蓄電池系統(tǒng) power battery system 一個(gè)或一個(gè)以上蓄電池包及相應(yīng)附件（蓄電池管理系統(tǒng)、高壓電路、低壓電路、熱管理設(shè)備以及機(jī)械總成）構(gòu)成的為電動汽車整車的行駛提供電能的能量存儲裝置。 [GB／T 19596—2017，定義3.1.2.1.9] 3.5 故障容錯時(shí)間間隔 fault tolerant time interval；FTTI 在安全機(jī)制未被激活情況下，從相關(guān)項(xiàng)內(nèi)部故障發(fā)生到可能發(fā)生危害事件的最短時(shí)間間隔。 注1：安全相關(guān)的時(shí)間間隔參見圖1。 注2：評估所有危害事件的最短時(shí)間間隔，其取決于危害的特征。 注3：FTTI與相關(guān)項(xiàng)的功能異常表現(xiàn)而引起的危害有關(guān)。FTTI是安全目標(biāo)的屬性。 注4：在容錯時(shí)間間隔內(nèi)，如果相關(guān)項(xiàng)保持在安全狀態(tài)或過渡到安全狀態(tài)或過渡到緊急運(yùn)行，則表明安全機(jī)制及時(shí)對故障進(jìn)行了處理。 注5：危害事件的發(fā)生取決于存在的故障并且車輛處于故障可影響車輛行為的場景中。 示例：制動系統(tǒng)失效可能不會導(dǎo)致危害事件，直到實(shí)施制動S 注6：當(dāng)僅在相關(guān)項(xiàng)層面定義FTTI時(shí)，可在要素層面規(guī)定最長故障處理時(shí)間間隔和故障處理后達(dá)到的狀態(tài)，以支持功能安全概念。 注7：故障探測時(shí)間間隔可包括多個(gè)診斷測試時(shí)間間隔，以允許在診斷測試時(shí)間間隔足夠小于故障探測時(shí)間間隔的情況下消除錯誤。 引起相關(guān)項(xiàng)功能異常表現(xiàn)的故障 功能異常表現(xiàn)導(dǎo)致危害事件 無安全機(jī)制 功能異常表現(xiàn) 故障容錯時(shí)間間隔 故障探測 診斷測試時(shí)間間隔 故障探測時(shí)間 實(shí)施安全機(jī)制 過渡到安全狀態(tài)的時(shí)間 過渡到安全狀態(tài) 安全狀態(tài) 故障探測時(shí)間間隔 故障響應(yīng)時(shí)間間隔 故障處理時(shí)間間隔 實(shí)施具有緊急運(yùn)行的安全機(jī)制 過渡到緊急運(yùn)行的時(shí)間 緊急運(yùn)行 緊急運(yùn)行時(shí)間間隔 圖1 安全相關(guān)時(shí)間間隔 3.6 熱失控 thermal runaway 電池單體放熱連鎖反應(yīng)引起電池溫度不可控上升的現(xiàn)象。 [GB 38031—2020，定義3.14] 3.7 熱擴(kuò)散 thermal propagation 電池包或系統(tǒng)內(nèi)由一個(gè)電池單體熱失控引發(fā)的其余電池單體接連發(fā)生熱失控的現(xiàn)象。 [GB 38031—2020，定義3.15] 3.8 爆炸 explosion 突然釋放足量的能量產(chǎn)生壓力波或者噴射物，可能會對周邊區(qū)域造成結(jié)構(gòu)或物理上的破壞。 [GB 38031—2020，定義3.10] 3.9 漏液 leakage 蓄電池內(nèi)部電解液泄漏到電池殼體外部。 [GB／T 19596—2017，定義3.3.3.13.7] 3.10 泄氣 venting 單體電池或電池組中內(nèi)部壓力增加時(shí)，氣體通過預(yù)先設(shè)計(jì)好的方式釋放出來。 [GB／T 19596—2017，定義3.3.3.13.8] 3.11 過充電 overcharge 當(dāng)電芯或電池完全充電后繼續(xù)進(jìn)行充電。 [GB／T 19596—2017，定義3.3.3.2.4] 3.12 過放電 over discharge 當(dāng)電芯或電池完全放電后繼續(xù)進(jìn)行放電。 [GB／T 19596—2017，定義3.3.3.1.8] 3.13 起火 fire 電池單體、模塊、電池包或系統(tǒng)任何部位發(fā)生持續(xù)燃燒（火焰去續(xù)時(shí)間大于1 s）。 注1：火焰持續(xù)時(shí)間大于1 s指單次火焰持續(xù)時(shí)間，而非多次火焰的累計(jì)時(shí)間。 注2：火花及拉弧不屬于燃燒。 [GB 38031—2020，定義3.11] 4 一般要求 除非特別說明，電池管理系統(tǒng)功能安全技術(shù)開發(fā)、流程開發(fā)等要求應(yīng)按照GB／T 34590—2017（所有部分）執(zhí)行。 5 相關(guān)項(xiàng)定義 5.1 總則 應(yīng)按照GB／T 34590.3—2017的要求進(jìn)行相關(guān)項(xiàng)定義，相關(guān)項(xiàng)指實(shí)現(xiàn)車輛層面功能或部分功能的系統(tǒng)或系統(tǒng)組。 注：相關(guān)項(xiàng)及其范圍可根據(jù)具體情況定義。附錄A和附錄B分別給出了以電池管理系統(tǒng)和動力蓄電池系統(tǒng)為相關(guān)項(xiàng)的功能概念和相關(guān)項(xiàng)邊界和接口示例。 5.2 功能概念 為滿足車輛安全運(yùn)行，確保車輛內(nèi)部、外部人員以及車輛環(huán)境的安全，電池管理系統(tǒng)應(yīng)對動力蓄電池的安全運(yùn)行進(jìn)行監(jiān)控和保護(hù)。電池管理系統(tǒng)的功能性要求還應(yīng)滿足GB 18384—2020、GB 38031—2020，GB／T 38661—2020。 注1：附錄A給出了電池管理系統(tǒng)充電管理和放電管理的功能概念描述。附錄B給出了動力蓄電池系統(tǒng)提供充電和提供放電的功能概念描述。 注2：充電狀態(tài)包括外部充電、內(nèi)部充電（例如，整車制動能量回收）等。放電狀態(tài)包括行車放電、靜置放電等。 5.3 運(yùn)行條件和環(huán)境約束 為滿足車輛安全運(yùn)行，需要明確相關(guān)項(xiàng)的運(yùn)行條件及環(huán)境約束，可包含（如適用）： a） 外部環(huán)境，例如，溫度、濕度、路況、天氣等； b） 運(yùn)行模式，例如，動力蓄電池系統(tǒng)處于充電狀態(tài)、放電狀態(tài)、靜置狀態(tài)等，或者電池管理系統(tǒng)處于工作狀態(tài)或者非工作狀態(tài)； c） 相關(guān)項(xiàng)與整車其他相關(guān)項(xiàng)的依賴關(guān)系、接口關(guān)系等。 6 危害分析和風(fēng)險(xiǎn)評估 6.1 總則 根據(jù)第5章相關(guān)項(xiàng)定義，按照GB／T 34590.3—2017，基于車輛使用場景，分析識別相關(guān)項(xiàng)中因故障而引起的危害并對危害進(jìn)行歸類，定義相應(yīng)的汽車安全完整性等級（ASIL），制定防止危害事件發(fā)生或減輕危害程度的安全目標(biāo)，以避免不合理的風(fēng)險(xiǎn)。 注：以電池管理系統(tǒng)和動力蓄電池系統(tǒng)為相關(guān)項(xiàng)進(jìn)行危害分析和風(fēng)險(xiǎn)評估的示例分別參見附錄A和附錄B。 6.2 安全目標(biāo) 通過危害分析和風(fēng)險(xiǎn)評估確定的電池管理系統(tǒng)的安全目標(biāo)及其屬性，應(yīng)至少包含表1所列的內(nèi)容。 表1 安全目標(biāo) 序號 安全目標(biāo) ASIL 安全狀態(tài) FTTI 1 防止電池單體過充電導(dǎo)致熱失控 C 斷開高壓回路 參見7.1.3 2 防止電池單體過放電后再充電導(dǎo)致熱失控 C 斷開充電回路 參見7.2.3 3 防止電池單體過溫導(dǎo)致熱失控 C 斷開高壓回路 參見7.3.3 4 防止動力蓄電池系統(tǒng)過流導(dǎo)致熱失控 C 斷開高壓回路 參見7.4.3 注：充電回路指動力蓄電池從外部吸收能量的回路，包括外部充電及內(nèi)部充電（例如整車制動能量回收）。 如果出現(xiàn)與表1所列的要求不一致的情況，應(yīng)具備相應(yīng)的證據(jù)來證明動力蓄電池系統(tǒng)不會因過充電、過放電后再充電、過溫、過流導(dǎo)致熱失控而引起起火、冒煙、爆炸等危害。應(yīng)至少包括如下證據(jù)： a） 動力蓄電池系統(tǒng)因過充電、過放電后再充電、過溫、過流導(dǎo)致熱失控而引起起火、冒煙、爆炸等危害的失效模式及其組合的影響、危害分析和風(fēng)險(xiǎn)評估； b） 列項(xiàng)a）中失效所對應(yīng)的安全措施； c） 針對列項(xiàng)b）的有效且完整的試驗(yàn)驗(yàn)證方法及測試通過準(zhǔn)則，且試驗(yàn)驗(yàn)證應(yīng)涵蓋全生命周期中最嚴(yán)苛場景。 7 功能安全要求 7.1 防止電池單體過充電導(dǎo)致熱失控 7.1.1 一般要求 電池管理系統(tǒng)應(yīng)監(jiān)測電池單體電壓，當(dāng)電池單體電壓值超過安全閾值時(shí)，使動力蓄電池系統(tǒng)在FTTI時(shí)間內(nèi)進(jìn)入安全狀態(tài)，在電池單體過充電故障退出、消除條件未滿足時(shí)，不應(yīng)退出安全狀態(tài)。 故障探測、響應(yīng)、處理應(yīng)在FTTI時(shí)間內(nèi)完成。 安全閾值應(yīng)根據(jù)電池系統(tǒng)制造商過充電測試結(jié)果給出。 7.1.2 運(yùn)行模式卷 電池管理系統(tǒng)應(yīng)處于工作狀態(tài)。 7.1.3 故障容錯時(shí)間間隔 電池單體過充電故障容錯時(shí)間間隔應(yīng)根據(jù)電池系統(tǒng)制造商過充電測試結(jié)果給出。 注：電池單體過充電故障容錯時(shí)間間隔的確定方法參考附錄C，示意圖見圖2。 電壓超過安全閾值 探測到過充 正常運(yùn)行 安全狀態(tài) 時(shí)間 診斷測試時(shí)間間隔 故障響應(yīng)時(shí)間 故障容錯時(shí)間間隔 圖2 電池單體過充電故障容錯時(shí)間間隔 7.1.4 安全狀態(tài)的進(jìn)入和退出 當(dāng)確認(rèn)電池單體電壓值超過安全閾值時(shí)，電池管理系統(tǒng)應(yīng)斷開高壓回路進(jìn)入安全狀態(tài)，在電池單體過充電故障退出、消除條件未滿足時(shí)，不應(yīng)退出安全狀態(tài)。 注：故障退出、消除條件由相關(guān)方協(xié)商確定。 7.1.5 報(bào)警和降級概念 在電池管理系統(tǒng)探測到電池單體過充電故障后，應(yīng)通過警告信號或提示信息等方式警告駕駛員。 如果動力蓄電池存在無法立即進(jìn)入或保持安全狀態(tài)的場景，應(yīng)設(shè)計(jì)降級功能（例如限制充電功率）使整車進(jìn)入緊急運(yùn)行模式。 7.2 防止電池單體過放電后再充電導(dǎo)致熱失控 7.2.1 一般要求 電池管理系統(tǒng)應(yīng)監(jiān)測電池單體電壓，當(dāng)電池單體電壓值低于安全閾值時(shí)，使動力蓄電池系統(tǒng)在FTTI時(shí)間內(nèi)進(jìn)入安全狀態(tài)，在電池單體過放電故障退出、消除條件未滿足時(shí)，不應(yīng)退出安全狀態(tài)。 故障探測、響應(yīng)、處理應(yīng)在FTTI時(shí)間內(nèi)完成。 安全閾值應(yīng)根據(jù)電池系統(tǒng)制造商過放電測試結(jié)果給出。 7.2.2 運(yùn)行模式 電池管理系統(tǒng)應(yīng)處于工作狀態(tài)。 7.2.3 故障容錯時(shí)間間隔 電池單體過放電后再充電故障容錯時(shí)間間隔應(yīng)根據(jù)電池系統(tǒng)制造商過放電后再充電的測試結(jié)果給出。 注：電池單體過放電后再充電故障容錯時(shí)間間隔的確定方法參考附錄C，示意圖見圖3。