高比能量动力电池系统安全与动力总成安全需协同设计

高比能量电池是下一阶段新能源汽车重点应用的技术路线，电池安全问题已经成为了新能源汽车发展的重要挑战之一。而应用高比能量电池之后，如何保障动力系统安全，更成为一个重要的技术挑战。

高比能量电池发生内短路时可能会导致单体热失控。对于350瓦时/公斤的电芯，当它发热后，单体电芯的温度可以上升到1200度，此时电池像热源一样把两边的电池加热到很高的温度，引起一系列的连锁反应，使得整个电池系统和车辆燃烧，我们称为热失控扩展。

如何保证动力电池系统安全？

为了保证整个动力电池系统的安全，需要从三个阶段解决系统上的问题。第一阶段是诱因预防和诊断阶段，是对早期电气滥用、热滥用和机械滥用的预防，并通过功能安全的系统设计，保障、识别和防止热失控的诱因，避免引起单体的热失控。

第二阶段是利用电压、温度等可测量的电池信息在时间历程上的特征，通过模式辨识和信息融合技术，提前识别和诊断单体热失控的可能性，并且对单体热失控尽可能进行抑制。

最后一个阶段，如果热失控已经发生，那么技术手段主要放在热扩展的阻断上，假设一个单体电芯已经发生热失控，就要控制整个系统不要一连串的烧起来。

展开来说，首先是电气滥用方面的触发防范，其中最重要的就是要避免过充。这需要在单体电压的监控与诊断方面进行全面防控，例如提高测量单体电压与总电压的测量精度、降低长期工作下电压测量的漂移误差、对电压测量数据进行基于模型的容错等，把在电压测量方面的功能安全设计提高到最高等级。在单体温度测量方面，采取了单串全监控的技术路线，这一点和其他的技术路线不太一样，我们认为先进的热仿真技术可以在减少温度传感器数量的同时，对电池系统进行良好的热管理。同时，在动力电池系统的设计过程中，大量应用热仿真技术来优化系统的各项设计。但是在高比能量电池的推广应用阶段，要第一时间诊断出热失控的话，温度传感器的数量和成本是不能省的，还是要做到单体温度的全面监控。

此外，对温度传感器响应速度也提出要求，采用变比的模数转换技术提高测量精度，从而提高温度传感器在热失控阶段探测的灵敏度和响应速度。

在热滥用的触发防范方面，重点在汇流与焊接技术领域进行突破，包括优化的汇流设计、高效低阻抗的激光焊接技术、不同材料的焊接与连接技术，避免系统长期使用过程中产生热积累，防止整个系统有热滥用的隐患，同时关键汇流点的温度监控也是预防热滥用的关键点。电气方面，会在不同时间阶段进行保护，通过可靠的继电器、熔断器、材料熔断技术等手段保证在热滥用时，能尽可能降低热失控的风险。

在外部防护方面，先进绝缘材料、防热、防火材料的应用使得外部的热侵蚀不会使电池系统发生热失控。

机械滥用方面，们采用CAE建模仿真技术、复合材料联合设计等手段，使得系统受到车辆碰撞挤压时，保证整个电池系统内部不形成由机械挤压导致的短路失控，避免引起热失控的风险。

在功能安全方面，设计满足功能要求的BMS系统，在重要的功能点上可以达到ASIL-D（汽车安全完整性等级，A为最低等级、D为最高等级）的水平。在软件方面开发方面，严格遵循ASPICE（AutomotiveSPICE，面向汽车行业的流程评估模型）的规范，对过程进行严格控制，确保软件开发的可靠性。

在第二阶段，重点关注热失控的识别。虽然通过独立的单体电压和温度信息判断热失控不太容易，但是可以通过多个单体电压和多个温度点在有限时间的历程数据信息的融合，进行模式辨识，以准确识别单体进入热失控的阶段。

在识别出热失控后，将在第一时间进行单体热失控抑制，首先切断电池的回路，避免更多能量的释放。其次，如果系统里具备灭火器，就要根据控制策略和环境条件判断是否要触发灭火器。但目前，水基灭火器的功能只能暂缓单体的燃烧，实际上大部分的热量还需要通过导热以及相应的喷发路径把热量传导出去。

在热失控扩展方面，可以通过最新开发的防火墙技术进行热失控扩展的阻断，在单体发生热失控时整个过程能够被抑制在一个单体之内。从整箱系统的测试上可以看到，系统在进行短暂的喷烟之后，整个系统其实能够恢复到不继续燃烧的过程，保证了整个系统的安全。

电池安全和动力总成如何协同控制？

目前，动力电池在和整车进行安全协同控制开发时，还存在很多问题。例如在行驶过程中行车安全和电池系统安全如何协同，在大部分的情况下是没有标准答案的。

电池系统在热安全保护方面分三个阶段：诱因探测、单体热失控识别和热失控扩展抑制。这三个阶段在整车运行时分别采用何种防护策略一直存在争议。例如，一辆车正在充电，可能在诱因探测阶段就切断了动力电池的输出，避免整个过程继续往更严重过程发展，但如果车辆进入低速行驶阶段，这个问题就开始值得探讨了。这种时候，我们一般采用的逻辑是诱因探测阶段发出预警，限制使用功率，在热失控识别阶段会强烈报警，限制功率并且限时停止输出，如果已经进入热失控扩展抑制阶段，会立即切断输出并且发出疏散警报。但当车速上升到50km/h时，上述策略在大多数情况中很难和整车厂达到协同，或者说，大家并没有一个科学、系统、有效的解决方案，因为车辆处于高速的情况，行驶安全也是十分重要的保障因素，动力电池已经没有独自按照自己的设计需求切断整个动力输出的权利了，这时候如何平衡电池系统热安全和整车行驶安全之间的关系，包括车速在100公里以上的高速行驶阶段，应该采取什么样的策略，这是十分想展开探讨的动力系统协同设计问题。

在整车的HMI（人机接口）方面，也存在动力系统层面的协同问题。例如一种控制策略是当车辆高速行驶时，发现故障会提出预警希望司机能够降速行驶到路边，以便使得电池的热安全问题不至于进一步扩展，但人机交互方面的设计是很困难的。当电池系统探测到热失控时，应该以何种形式通知车内人员，才能有效进行疏散。

在碰撞过程中，整车的动力系统也要和电池系统协同。现在装备主动安全系统的车辆越来越多，在预碰撞或者碰撞阶段，整车电控系统能够和动力电池系统协同，例如安全气囊ACU的信号是不是可以直接输入到BMS，ADAS系统和EBS系统信息是否能够和BMS共享，这样在预碰撞或者碰撞阶段，BMS能够提前切断动力输出，避免潜在的短路或高压电安全事故。

充电过程中的安全协同还是比较清晰的，因为充电的时候车是停止的，重要关注点在现有充电国标中已定义得相对详细，对充电过程的安全已经有了很好控制基础。此外，希望充电机能够提供与BMS联合低温加热和保温的接口，使得充电过程中能够避开危险充电的区间。在充电安全边界的预防方面，当充电机已经意识到输出功率过于巨大或输出能量过多时（一般是BMS已经失控或失效），充电机应该自动中断充电过程。如果已经探测到热失控，也能够通过充电机的互联网接口进行火灾报警，避免在地下无人值守充电时导致严重的火灾事故。