标准编号:	GB/T 39086-2020
中文名称:	电动汽车用电池管理系统功能安全要求及试验方法
英文名称:	Functional safety requirements and testing methods for battery management system of electric vehicles
中标分类:	T35    车用电子、电气设备与仪表综合
行业分类:	GB    国家标准
ICS分类:	43.040 43.040    道路车辆装置 43.040
发布机构:	国家市场监督管理总局 国家标准化管理委员会
发布日期:	2020-09-29
实施日期:	2021-4-1
标准状态:	valid
翻译语言:	英文
文件格式:	PDF
中文字符数:	33000 字
翻译价格(元):	1500.0
交付时间:	付款后 1 个工作日

GB/T 39086-2020 Functional safety requirements and testing methods for battery management system of electric vehicles English Functional safety requirements and testing methods for battery management system of electric vehicles 1 Scope This standard specifies the functional safety requirements and testing methods for battery management system of electric vehicles (hereinafter referred to as "battery management system"). This standard is applicable to the management system of lithium-ion power battery for electric vehicles, and other types of power battery, and also refers to the management system of other types of power battery and the management system of power battery for other vehicles. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB 18384-2020 The safety requirement of electric vehicles GB/T 19596-2017 Terms of electric vehicles GB/T 34590-2017 (all parts) Road vehicles Functional safety GB 38031-2020 Safety requirements of power battery for electric vehicles GB/T 38661-2020 Technical specifications of battery management system for electric vehicles 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 19596-2017, GB/T 34590.1-2017 and the following apply. For the convenience of application, some terms and definitions in GB/T 19596-2017 are listed repeatedly as follows. 3.1 battery management system; BMS monitoring the battery condition (e.g. temperature, voltage, state of charge, etc.) is capable of providing communication, safety, cell equalization and management control for battery as well as providing the communication interface system of application equipment [GB/T 19596-2017, definition 3.3.2.1.10] 3.2 secondary cell basic unit device that converts the chemical energy and electric energy mutually, generally including electrode, diaphragm, electrolyte, housing and terminal, and is also designed to be rechargeable [GB 38031-2020, definition 3.1] 3.3 high voltage power system connection between voltage above Class B in electric vehicles and the DC busbar of the power battery, or the high-voltage driven component systems by power driving of power battery. It mainly includes but is not limited to: power battery system and/or high-voltage distribution system (high-voltage relay, fuse, resistor, main switch, etc.), motor and its control system, DC/DC converter and on-board charger, etc. [GB/T 19596-2017, definition 3.1.2.1.11] 3.4 power battery system energy storage device consisting of one or more battery pack(s) and corresponding accessories (battery management system, high voltage circuit, low voltage circuit, thermal management equipment and mechanical assembly, etc.) for providing electric energy to electric vehicles' driving [GB/T 19596-2017, definition 3.1.2.1.9] 3.5 fault tolerant time interval; FTTI under the condition that the security mechanism is not activated, the shortest time interval from the occurrence of internal faults of related items to the possible occurrence of hazardous events Note 1: Security-related time interval see Figure 1. Note 2: Evaluating the shortest time interval of all hazard events depends on the characteristics of hazards. Note 3: FTTI is related to the hazards caused by abnormal performance of related items. FTTI is an attribute of the safety goals. Note 4: During fault tolerant time interval, if the related items remain in safe state or transition to safe state or emergency operation, it means that the security mechanism has handled the fault in time. Note 5: The occurrence of hazardous events depends on the existing faults and the scene the vehicle is in where the faults can affect the vehicle behavior. Example: Failure of the brake system may not cause a hazardous event until the brake is applied Note 6: When FTTI is defined only at the level of related items, the longest fault handling time interval and the state after fault handling can be specified at the level of elements to support the concept of functional safety. Note 7: Fault detection time interval include several diagnostic test time intervals to allow the elimination of errors if diagnostic test time interval is sufficiently smaller than fault detection time interval. ... ... ... ... 3.6 thermal runaway uncontrollable temperature rise of the battery caused by the exothermic chain reaction of the secondary cell [GB 38031-2020, definition 3.14] 3.7 thermal propagation the phenomenon of successive thermal runaway of the rest secondary cells caused by the thermal runaway of a secondary cell in a battery pack or system [GB 38031-2020, definition 3.15] 3.8 explosion sudden release of sufficient energy to generate pressure waves or jets which may cause structural or physical damage to the surrounding area [GB 38031-2020, definition 3.10] 3.9 leakage the liquid inside the battery leaks to the outside of the battery case [GB/T 19596-2017, definition 3.3.3.13.7] 3.10 venting the release of gas via the pre-designed mode upon the increase of the internal pressure in single cells and assemblies of cells [GB/T 19596-2017, definition 3.3.3.13.8] 3.11 overcharge continuous charging when the battery cell or battery is fully charged. [GB/T 19596-2017, definition 3.3.3.2.4] 3.12 over discharge continuous discharging when the battery cell or battery is completely discharged. [GB/T 19596-2017, definition 3.3.3.1.8] 3.13 fire any part of the secondary cell, battery module, battery pack or system keeps burning (the duration of flaming is greater than 1s). Note 1: Here “the duration of flaming is greater than 1s” refers to single duration of flaming other than cumulative duration of several ones. Note 2: Sparking and arcing is not considered as combustion [GB 38031-2020, definition 3.11] 4 General requirements Unless otherwise specified, the requirements of technology development and process development of functional safety for battery management system shall be implemented in accordance with GB/T 34590-2017 (all parts). 5 Definition of related items 5.1 General

Foreword II 1 Scope 2 Normative references 3 Terms and definitions 4 General requirements 5 Definition of related items 6 Hazard analysis and risk assessment 7 Functional safety requirements 8. Verification and validation of functional safety Annex A (Informative) Hazard analysis and risk assessment (HARA) examples with battery management system as related item Annex B (Informative) Example of Hazard Analysis and Risk Assessment (HARA) with Traction Battery System as Related Item Annex C (Informative) Example of fault tolerant time interval (FTTI) determination

电动汽车用电池管理系统功能安全要求及 试验方法 1 范围 本标准规定了电动汽车用动力蓄电池管理系统（以下简称“电池管理系统”）的功能安全要求及试验方法。 本标准适用于电动乘用车用锂离子动力蓄电池管理系统，其他类型动力蓄电池的管理系统及其他类型车辆的动力蓄电池管理系统可参照执行。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB 18384—2020 电动汽车安全要求 GB／T 19596—2017 电动汽车术语 GB／T 34590—2017（所有部分） 道路车辆 功能安全 GB 38031—2020 电动汽车用动力蓄电池安全要求 GB／T 38661—2020 电动汽车用电池管理系统技术条件 3 术语和定义 GB／T 19596—2017和GB／T 34590.1—2017界定的以及下列术语和定义适用于本文件。为便于使用，以下重复列出了GB／T 19596—2017中的一些术语和定义。 3.1 蓄电池管理系统 battery management system； BMS 监视蓄电池的状态（温度、电压、荷电状态等），可以为蓄电池提供通信、安全、电芯均衡及管理控制，并提供与应用设备通信接口的系统。 [GB／T 19596—2017，定义3.3.2.1.10] 3.2 电池单体 secondary cell 将化学能与电能进行相互转换的基本单元装置，通常包括电极、隔膜、电解质、外壳和端子，并被设计成可充电。 [GB 38031—2020，定义3.1] 3.3 高压系统 high voltage power system 电动汽车内部B级电压以上与动力电池直流母线相连或由动力电池电源驱动的高压驱动零部件系统，主要包括但不限于：动力电池系统和／或高压配电系统（高压继电器、熔断器、电阻器、主开关等），电机及其控制系统、DC／DC变换器和车载充电机等。 [GB／T 19596—2017，定义3.1.2.1.11] 3.4 动力蓄电池系统 power battery system 一个或一个以上蓄电池包及相应附件（蓄电池管理系统、高压电路、低压电路、热管理设备以及机械总成）构成的为电动汽车整车的行驶提供电能的能量存储装置。 [GB／T 19596—2017，定义3.1.2.1.9] 3.5 故障容错时间间隔 fault tolerant time interval；FTTI 在安全机制未被激活情况下，从相关项内部故障发生到可能发生危害事件的最短时间间隔。 注1：安全相关的时间间隔参见图1。 注2：评估所有危害事件的最短时间间隔，其取决于危害的特征。 注3：FTTI与相关项的功能异常表现而引起的危害有关。FTTI是安全目标的属性。 注4：在容错时间间隔内，如果相关项保持在安全状态或过渡到安全状态或过渡到紧急运行，则表明安全机制及时对故障进行了处理。 注5：危害事件的发生取决于存在的故障并且车辆处于故障可影响车辆行为的场景中。 示例：制动系统失效可能不会导致危害事件，直到实施制动S 注6：当仅在相关项层面定义FTTI时，可在要素层面规定最长故障处理时间间隔和故障处理后达到的状态，以支持功能安全概念。 注7：故障探测时间间隔可包括多个诊断测试时间间隔，以允许在诊断测试时间间隔足够小于故障探测时间间隔的情况下消除错误。 引起相关项功能异常表现的故障 功能异常表现导致危害事件 无安全机制 功能异常表现 故障容错时间间隔 故障探测 诊断测试时间间隔 故障探测时间 实施安全机制 过渡到安全状态的时间 过渡到安全状态 安全状态 故障探测时间间隔 故障响应时间间隔 故障处理时间间隔 实施具有紧急运行的安全机制 过渡到紧急运行的时间 紧急运行 紧急运行时间间隔 图1 安全相关时间间隔 3.6 热失控 thermal runaway 电池单体放热连锁反应引起电池温度不可控上升的现象。 [GB 38031—2020，定义3.14] 3.7 热扩散 thermal propagation 电池包或系统内由一个电池单体热失控引发的其余电池单体接连发生热失控的现象。 [GB 38031—2020，定义3.15] 3.8 爆炸 explosion 突然释放足量的能量产生压力波或者喷射物，可能会对周边区域造成结构或物理上的破坏。 [GB 38031—2020，定义3.10] 3.9 漏液 leakage 蓄电池内部电解液泄漏到电池壳体外部。 [GB／T 19596—2017，定义3.3.3.13.7] 3.10 泄气 venting 单体电池或电池组中内部压力增加时，气体通过预先设计好的方式释放出来。 [GB／T 19596—2017，定义3.3.3.13.8] 3.11 过充电 overcharge 当电芯或电池完全充电后继续进行充电。 [GB／T 19596—2017，定义3.3.3.2.4] 3.12 过放电 over discharge 当电芯或电池完全放电后继续进行放电。 [GB／T 19596—2017，定义3.3.3.1.8] 3.13 起火 fire 电池单体、模块、电池包或系统任何部位发生持续燃烧（火焰去续时间大于1 s）。 注1：火焰持续时间大于1 s指单次火焰持续时间，而非多次火焰的累计时间。 注2：火花及拉弧不属于燃烧。 [GB 38031—2020，定义3.11] 4 一般要求 除非特别说明，电池管理系统功能安全技术开发、流程开发等要求应按照GB／T 34590—2017（所有部分）执行。 5 相关项定义 5.1 总则 应按照GB／T 34590.3—2017的要求进行相关项定义，相关项指实现车辆层面功能或部分功能的系统或系统组。 注：相关项及其范围可根据具体情况定义。附录A和附录B分别给出了以电池管理系统和动力蓄电池系统为相关项的功能概念和相关项边界和接口示例。 5.2 功能概念 为满足车辆安全运行，确保车辆内部、外部人员以及车辆环境的安全，电池管理系统应对动力蓄电池的安全运行进行监控和保护。电池管理系统的功能性要求还应满足GB 18384—2020、GB 38031—2020，GB／T 38661—2020。 注1：附录A给出了电池管理系统充电管理和放电管理的功能概念描述。附录B给出了动力蓄电池系统提供充电和提供放电的功能概念描述。 注2：充电状态包括外部充电、内部充电（例如，整车制动能量回收）等。放电状态包括行车放电、静置放电等。 5.3 运行条件和环境约束 为满足车辆安全运行，需要明确相关项的运行条件及环境约束，可包含（如适用）： a） 外部环境，例如，温度、湿度、路况、天气等； b） 运行模式，例如，动力蓄电池系统处于充电状态、放电状态、静置状态等，或者电池管理系统处于工作状态或者非工作状态； c） 相关项与整车其他相关项的依赖关系、接口关系等。 6 危害分析和风险评估 6.1 总则 根据第5章相关项定义，按照GB／T 34590.3—2017，基于车辆使用场景，分析识别相关项中因故障而引起的危害并对危害进行归类，定义相应的汽车安全完整性等级（ASIL），制定防止危害事件发生或减轻危害程度的安全目标，以避免不合理的风险。 注：以电池管理系统和动力蓄电池系统为相关项进行危害分析和风险评估的示例分别参见附录A和附录B。 6.2 安全目标 通过危害分析和风险评估确定的电池管理系统的安全目标及其属性，应至少包含表1所列的内容。 表1 安全目标 序号 安全目标 ASIL 安全状态 FTTI 1 防止电池单体过充电导致热失控 C 断开高压回路 参见7.1.3 2 防止电池单体过放电后再充电导致热失控 C 断开充电回路 参见7.2.3 3 防止电池单体过温导致热失控 C 断开高压回路 参见7.3.3 4 防止动力蓄电池系统过流导致热失控 C 断开高压回路 参见7.4.3 注：充电回路指动力蓄电池从外部吸收能量的回路，包括外部充电及内部充电（例如整车制动能量回收）。 如果出现与表1所列的要求不一致的情况，应具备相应的证据来证明动力蓄电池系统不会因过充电、过放电后再充电、过温、过流导致热失控而引起起火、冒烟、爆炸等危害。应至少包括如下证据： a） 动力蓄电池系统因过充电、过放电后再充电、过温、过流导致热失控而引起起火、冒烟、爆炸等危害的失效模式及其组合的影响、危害分析和风险评估； b） 列项a）中失效所对应的安全措施； c） 针对列项b）的有效且完整的试验验证方法及测试通过准则，且试验验证应涵盖全生命周期中最严苛场景。 7 功能安全要求 7.1 防止电池单体过充电导致热失控 7.1.1 一般要求 电池管理系统应监测电池单体电压，当电池单体电压值超过安全阈值时，使动力蓄电池系统在FTTI时间内进入安全状态，在电池单体过充电故障退出、消除条件未满足时，不应退出安全状态。 故障探测、响应、处理应在FTTI时间内完成。 安全阈值应根据电池系统制造商过充电测试结果给出。 7.1.2 运行模式卷 电池管理系统应处于工作状态。 7.1.3 故障容错时间间隔 电池单体过充电故障容错时间间隔应根据电池系统制造商过充电测试结果给出。 注：电池单体过充电故障容错时间间隔的确定方法参考附录C，示意图见图2。 电压超过安全阈值 探测到过充 正常运行 安全状态 时间 诊断测试时间间隔 故障响应时间 故障容错时间间隔 图2 电池单体过充电故障容错时间间隔 7.1.4 安全状态的进入和退出 当确认电池单体电压值超过安全阈值时，电池管理系统应断开高压回路进入安全状态，在电池单体过充电故障退出、消除条件未满足时，不应退出安全状态。 注：故障退出、消除条件由相关方协商确定。 7.1.5 报警和降级概念 在电池管理系统探测到电池单体过充电故障后，应通过警告信号或提示信息等方式警告驾驶员。 如果动力蓄电池存在无法立即进入或保持安全状态的场景，应设计降级功能（例如限制充电功率）使整车进入紧急运行模式。 7.2 防止电池单体过放电后再充电导致热失控 7.2.1 一般要求 电池管理系统应监测电池单体电压，当电池单体电压值低于安全阈值时，使动力蓄电池系统在FTTI时间内进入安全状态，在电池单体过放电故障退出、消除条件未满足时，不应退出安全状态。 故障探测、响应、处理应在FTTI时间内完成。 安全阈值应根据电池系统制造商过放电测试结果给出。 7.2.2 运行模式 电池管理系统应处于工作状态。 7.2.3 故障容错时间间隔 电池单体过放电后再充电故障容错时间间隔应根据电池系统制造商过放电后再充电的测试结果给出。 注：电池单体过放电后再充电故障容错时间间隔的确定方法参考附录C，示意图见图3。