標準編號:	GB/T 39086-2020
中文名稱:	電動汽車用電池管理系統功能安全要求及試驗方法
英文名稱:	Functional safety requirements and testing methods for battery management system of electric vehicles
中標分類:	T35    車用電子、電氣設備與儀表綜合
行業分類:	GB    國家標準
ICS分類:	43.040 43.040    道路車輛裝置 43.040
發布機構:	國家市場監督管理總局 國家標準化管理委員會
發布日期:	2020-09-29
實施日期:	2021-4-1
標準狀態:	valid
翻譯語言:	英文
文件格式:	PDF
中文字符數:	33000 字
翻譯價格(元):	1500.0
交付時間:	付款后 1 個工作日

GB/T 39086-2020 Functional safety requirements and testing methods for battery management system of electric vehicles English Functional safety requirements and testing methods for battery management system of electric vehicles 1 Scope This standard specifies the functional safety requirements and testing methods for battery management system of electric vehicles (hereinafter referred to as "battery management system"). This standard is applicable to the management system of lithium-ion power battery for electric vehicles, and other types of power battery, and also refers to the management system of other types of power battery and the management system of power battery for other vehicles. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB 18384-2020 The safety requirement of electric vehicles GB/T 19596-2017 Terms of electric vehicles GB/T 34590-2017 (all parts) Road vehicles Functional safety GB 38031-2020 Safety requirements of power battery for electric vehicles GB/T 38661-2020 Technical specifications of battery management system for electric vehicles 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 19596-2017, GB/T 34590.1-2017 and the following apply. For the convenience of application, some terms and definitions in GB/T 19596-2017 are listed repeatedly as follows. 3.1 battery management system; BMS monitoring the battery condition (e.g. temperature, voltage, state of charge, etc.) is capable of providing communication, safety, cell equalization and management control for battery as well as providing the communication interface system of application equipment [GB/T 19596-2017, definition 3.3.2.1.10] 3.2 secondary cell basic unit device that converts the chemical energy and electric energy mutually, generally including electrode, diaphragm, electrolyte, housing and terminal, and is also designed to be rechargeable [GB 38031-2020, definition 3.1] 3.3 high voltage power system connection between voltage above Class B in electric vehicles and the DC busbar of the power battery, or the high-voltage driven component systems by power driving of power battery. It mainly includes but is not limited to: power battery system and/or high-voltage distribution system (high-voltage relay, fuse, resistor, main switch, etc.), motor and its control system, DC/DC converter and on-board charger, etc. [GB/T 19596-2017, definition 3.1.2.1.11] 3.4 power battery system energy storage device consisting of one or more battery pack(s) and corresponding accessories (battery management system, high voltage circuit, low voltage circuit, thermal management equipment and mechanical assembly, etc.) for providing electric energy to electric vehicles' driving [GB/T 19596-2017, definition 3.1.2.1.9] 3.5 fault tolerant time interval; FTTI under the condition that the security mechanism is not activated, the shortest time interval from the occurrence of internal faults of related items to the possible occurrence of hazardous events Note 1: Security-related time interval see Figure 1. Note 2: Evaluating the shortest time interval of all hazard events depends on the characteristics of hazards. Note 3: FTTI is related to the hazards caused by abnormal performance of related items. FTTI is an attribute of the safety goals. Note 4: During fault tolerant time interval, if the related items remain in safe state or transition to safe state or emergency operation, it means that the security mechanism has handled the fault in time. Note 5: The occurrence of hazardous events depends on the existing faults and the scene the vehicle is in where the faults can affect the vehicle behavior. Example: Failure of the brake system may not cause a hazardous event until the brake is applied Note 6: When FTTI is defined only at the level of related items, the longest fault handling time interval and the state after fault handling can be specified at the level of elements to support the concept of functional safety. Note 7: Fault detection time interval include several diagnostic test time intervals to allow the elimination of errors if diagnostic test time interval is sufficiently smaller than fault detection time interval. ... ... ... ... 3.6 thermal runaway uncontrollable temperature rise of the battery caused by the exothermic chain reaction of the secondary cell [GB 38031-2020, definition 3.14] 3.7 thermal propagation the phenomenon of successive thermal runaway of the rest secondary cells caused by the thermal runaway of a secondary cell in a battery pack or system [GB 38031-2020, definition 3.15] 3.8 explosion sudden release of sufficient energy to generate pressure waves or jets which may cause structural or physical damage to the surrounding area [GB 38031-2020, definition 3.10] 3.9 leakage the liquid inside the battery leaks to the outside of the battery case [GB/T 19596-2017, definition 3.3.3.13.7] 3.10 venting the release of gas via the pre-designed mode upon the increase of the internal pressure in single cells and assemblies of cells [GB/T 19596-2017, definition 3.3.3.13.8] 3.11 overcharge continuous charging when the battery cell or battery is fully charged. [GB/T 19596-2017, definition 3.3.3.2.4] 3.12 over discharge continuous discharging when the battery cell or battery is completely discharged. [GB/T 19596-2017, definition 3.3.3.1.8] 3.13 fire any part of the secondary cell, battery module, battery pack or system keeps burning (the duration of flaming is greater than 1s). Note 1: Here “the duration of flaming is greater than 1s” refers to single duration of flaming other than cumulative duration of several ones. Note 2: Sparking and arcing is not considered as combustion [GB 38031-2020, definition 3.11] 4 General requirements Unless otherwise specified, the requirements of technology development and process development of functional safety for battery management system shall be implemented in accordance with GB/T 34590-2017 (all parts). 5 Definition of related items 5.1 General

Foreword II 1 Scope 2 Normative references 3 Terms and definitions 4 General requirements 5 Definition of related items 6 Hazard analysis and risk assessment 7 Functional safety requirements 8. Verification and validation of functional safety Annex A (Informative) Hazard analysis and risk assessment (HARA) examples with battery management system as related item Annex B (Informative) Example of Hazard Analysis and Risk Assessment (HARA) with Traction Battery System as Related Item Annex C (Informative) Example of fault tolerant time interval (FTTI) determination

電動汽車用電池管理系統功能安全要求及 試驗方法 1 范圍 本標準規定了電動汽車用動力蓄電池管理系統（以下簡稱“電池管理系統”）的功能安全要求及試驗方法。 本標準適用于電動乘用車用鋰離子動力蓄電池管理系統，其他類型動力蓄電池的管理系統及其他類型車輛的動力蓄電池管理系統可參照執行。 2 規范性引用文件 下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。 GB 18384—2020 電動汽車安全要求 GB／T 19596—2017 電動汽車術語 GB／T 34590—2017（所有部分） 道路車輛 功能安全 GB 38031—2020 電動汽車用動力蓄電池安全要求 GB／T 38661—2020 電動汽車用電池管理系統技術條件 3 術語和定義 GB／T 19596—2017和GB／T 34590.1—2017界定的以及下列術語和定義適用于本文件。為便于使用，以下重復列出了GB／T 19596—2017中的一些術語和定義。 3.1 蓄電池管理系統 battery management system； BMS 監視蓄電池的狀態（溫度、電壓、荷電狀態等），可以為蓄電池提供通信、安全、電芯均衡及管理控制，并提供與應用設備通信接口的系統。 [GB／T 19596—2017，定義3.3.2.1.10] 3.2 電池單體 secondary cell 將化學能與電能進行相互轉換的基本單元裝置，通常包括電極、隔膜、電解質、外殼和端子，并被設計成可充電。 [GB 38031—2020，定義3.1] 3.3 高壓系統 high voltage power system 電動汽車內部B級電壓以上與動力電池直流母線相連或由動力電池電源驅動的高壓驅動零部件系統，主要包括但不限于：動力電池系統和／或高壓配電系統（高壓繼電器、熔斷器、電阻器、主開關等），電機及其控制系統、DC／DC變換器和車載充電機等。 [GB／T 19596—2017，定義3.1.2.1.11] 3.4 動力蓄電池系統 power battery system 一個或一個以上蓄電池包及相應附件（蓄電池管理系統、高壓電路、低壓電路、熱管理設備以及機械總成）構成的為電動汽車整車的行駛提供電能的能量存儲裝置。 [GB／T 19596—2017，定義3.1.2.1.9] 3.5 故障容錯時間間隔 fault tolerant time interval；FTTI 在安全機制未被激活情況下，從相關項內部故障發生到可能發生危害事件的最短時間間隔。 注1：安全相關的時間間隔參見圖1。 注2：評估所有危害事件的最短時間間隔，其取決于危害的特征。 注3：FTTI與相關項的功能異常表現而引起的危害有關。FTTI是安全目標的屬性。 注4：在容錯時間間隔內，如果相關項保持在安全狀態或過渡到安全狀態或過渡到緊急運行，則表明安全機制及時對故障進行了處理。 注5：危害事件的發生取決于存在的故障并且車輛處于故障可影響車輛行為的場景中。 示例：制動系統失效可能不會導致危害事件，直到實施制動S 注6：當僅在相關項層面定義FTTI時，可在要素層面規定最長故障處理時間間隔和故障處理后達到的狀態，以支持功能安全概念。 注7：故障探測時間間隔可包括多個診斷測試時間間隔，以允許在診斷測試時間間隔足夠小于故障探測時間間隔的情況下消除錯誤。 引起相關項功能異常表現的故障 功能異常表現導致危害事件 無安全機制 功能異常表現 故障容錯時間間隔 故障探測 診斷測試時間間隔 故障探測時間 實施安全機制 過渡到安全狀態的時間 過渡到安全狀態 安全狀態 故障探測時間間隔 故障響應時間間隔 故障處理時間間隔 實施具有緊急運行的安全機制 過渡到緊急運行的時間 緊急運行 緊急運行時間間隔 圖1 安全相關時間間隔 3.6 熱失控 thermal runaway 電池單體放熱連鎖反應引起電池溫度不可控上升的現象。 [GB 38031—2020，定義3.14] 3.7 熱擴散 thermal propagation 電池包或系統內由一個電池單體熱失控引發的其余電池單體接連發生熱失控的現象。 [GB 38031—2020，定義3.15] 3.8 爆炸 explosion 突然釋放足量的能量產生壓力波或者噴射物，可能會對周邊區域造成結構或物理上的破壞。 [GB 38031—2020，定義3.10] 3.9 漏液 leakage 蓄電池內部電解液泄漏到電池殼體外部。 [GB／T 19596—2017，定義3.3.3.13.7] 3.10 泄氣 venting 單體電池或電池組中內部壓力增加時，氣體通過預先設計好的方式釋放出來。 [GB／T 19596—2017，定義3.3.3.13.8] 3.11 過充電 overcharge 當電芯或電池完全充電后繼續進行充電。 [GB／T 19596—2017，定義3.3.3.2.4] 3.12 過放電 over discharge 當電芯或電池完全放電后繼續進行放電。 [GB／T 19596—2017，定義3.3.3.1.8] 3.13 起火 fire 電池單體、模塊、電池包或系統任何部位發生持續燃燒（火焰去續時間大于1 s）。 注1：火焰持續時間大于1 s指單次火焰持續時間，而非多次火焰的累計時間。 注2：火花及拉弧不屬于燃燒。 [GB 38031—2020，定義3.11] 4 一般要求 除非特別說明，電池管理系統功能安全技術開發、流程開發等要求應按照GB／T 34590—2017（所有部分）執行。 5 相關項定義 5.1 總則 應按照GB／T 34590.3—2017的要求進行相關項定義，相關項指實現車輛層面功能或部分功能的系統或系統組。 注：相關項及其范圍可根據具體情況定義。附錄A和附錄B分別給出了以電池管理系統和動力蓄電池系統為相關項的功能概念和相關項邊界和接口示例。 5.2 功能概念 為滿足車輛安全運行，確保車輛內部、外部人員以及車輛環境的安全，電池管理系統應對動力蓄電池的安全運行進行監控和保護。電池管理系統的功能性要求還應滿足GB 18384—2020、GB 38031—2020，GB／T 38661—2020。 注1：附錄A給出了電池管理系統充電管理和放電管理的功能概念描述。附錄B給出了動力蓄電池系統提供充電和提供放電的功能概念描述。 注2：充電狀態包括外部充電、內部充電（例如，整車制動能量回收）等。放電狀態包括行車放電、靜置放電等。 5.3 運行條件和環境約束 為滿足車輛安全運行，需要明確相關項的運行條件及環境約束，可包含（如適用）： a） 外部環境，例如，溫度、濕度、路況、天氣等； b） 運行模式，例如，動力蓄電池系統處于充電狀態、放電狀態、靜置狀態等，或者電池管理系統處于工作狀態或者非工作狀態； c） 相關項與整車其他相關項的依賴關系、接口關系等。 6 危害分析和風險評估 6.1 總則 根據第5章相關項定義，按照GB／T 34590.3—2017，基于車輛使用場景，分析識別相關項中因故障而引起的危害并對危害進行歸類，定義相應的汽車安全完整性等級（ASIL），制定防止危害事件發生或減輕危害程度的安全目標，以避免不合理的風險。 注：以電池管理系統和動力蓄電池系統為相關項進行危害分析和風險評估的示例分別參見附錄A和附錄B。 6.2 安全目標 通過危害分析和風險評估確定的電池管理系統的安全目標及其屬性，應至少包含表1所列的內容。 表1 安全目標 序號 安全目標 ASIL 安全狀態 FTTI 1 防止電池單體過充電導致熱失控 C 斷開高壓回路 參見7.1.3 2 防止電池單體過放電后再充電導致熱失控 C 斷開充電回路 參見7.2.3 3 防止電池單體過溫導致熱失控 C 斷開高壓回路 參見7.3.3 4 防止動力蓄電池系統過流導致熱失控 C 斷開高壓回路 參見7.4.3 注：充電回路指動力蓄電池從外部吸收能量的回路，包括外部充電及內部充電（例如整車制動能量回收）。 如果出現與表1所列的要求不一致的情況，應具備相應的證據來證明動力蓄電池系統不會因過充電、過放電后再充電、過溫、過流導致熱失控而引起起火、冒煙、爆炸等危害。應至少包括如下證據： a） 動力蓄電池系統因過充電、過放電后再充電、過溫、過流導致熱失控而引起起火、冒煙、爆炸等危害的失效模式及其組合的影響、危害分析和風險評估； b） 列項a）中失效所對應的安全措施； c） 針對列項b）的有效且完整的試驗驗證方法及測試通過準則，且試驗驗證應涵蓋全生命周期中最嚴苛場景。 7 功能安全要求 7.1 防止電池單體過充電導致熱失控 7.1.1 一般要求 電池管理系統應監測電池單體電壓，當電池單體電壓值超過安全閾值時，使動力蓄電池系統在FTTI時間內進入安全狀態，在電池單體過充電故障退出、消除條件未滿足時，不應退出安全狀態。 故障探測、響應、處理應在FTTI時間內完成。 安全閾值應根據電池系統制造商過充電測試結果給出。 7.1.2 運行模式卷 電池管理系統應處于工作狀態。 7.1.3 故障容錯時間間隔 電池單體過充電故障容錯時間間隔應根據電池系統制造商過充電測試結果給出。 注：電池單體過充電故障容錯時間間隔的確定方法參考附錄C，示意圖見圖2。 電壓超過安全閾值 探測到過充 正常運行 安全狀態 時間 診斷測試時間間隔 故障響應時間 故障容錯時間間隔 圖2 電池單體過充電故障容錯時間間隔 7.1.4 安全狀態的進入和退出 當確認電池單體電壓值超過安全閾值時，電池管理系統應斷開高壓回路進入安全狀態，在電池單體過充電故障退出、消除條件未滿足時，不應退出安全狀態。 注：故障退出、消除條件由相關方協商確定。 7.1.5 報警和降級概念 在電池管理系統探測到電池單體過充電故障后，應通過警告信號或提示信息等方式警告駕駛員。 如果動力蓄電池存在無法立即進入或保持安全狀態的場景，應設計降級功能（例如限制充電功率）使整車進入緊急運行模式。 7.2 防止電池單體過放電后再充電導致熱失控 7.2.1 一般要求 電池管理系統應監測電池單體電壓，當電池單體電壓值低于安全閾值時，使動力蓄電池系統在FTTI時間內進入安全狀態，在電池單體過放電故障退出、消除條件未滿足時，不應退出安全狀態。 故障探測、響應、處理應在FTTI時間內完成。 安全閾值應根據電池系統制造商過放電測試結果給出。 7.2.2 運行模式 電池管理系統應處于工作狀態。 7.2.3 故障容錯時間間隔 電池單體過放電后再充電故障容錯時間間隔應根據電池系統制造商過放電后再充電的測試結果給出。 注：電池單體過放電后再充電故障容錯時間間隔的確定方法參考附錄C，示意圖見圖3。