ICS 43.040 T 35 中华人民共和国国家标准 GB/T39086—2020 电动汽车用电池管理系统功能安全要求及 试验方法 Functional safety requirements and testing methods for battery management system of electric vehicles 2020-09-29发布 2021-04-01实施 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T39086—2020 目 次 前言 1 范围 2 规范性引用文件 3 术语和定义 一般要求 4 5 相关项定义 6 危害分析和风险评估 7功能安全要求 8功能安全验证和确认 附录A（资料性附录） 以电池管理系统为相关项的危害分析和风险评估(HARA)示例 .....16 附录B（资料性附录） 以动力蓄电池系统为相关项的危害分析和风险评估（HARA)示例. .22 附录C（资料性附录） 故障容错时间间隔（FTTI)确定方法示例 27 GB/T39086—2020 前言 本标准按照GB/T1.1—2009给出的规则起草 本标准由中华人民共和国工业和信息化部提出。 本标准由全国汽车标准化技术委员会（SAC/TC114）归口。 本标准起草单位：中国汽车技术研究中心有限公司、宁德时代新能源科技股份有限公司、泛亚汽车 技术中心有限公司、蜂巢能源科技有限公司、上海蔚来汽车有限公司、上海灸云新能源科技有限公司、惠 州市亿能电子有限公司、惠州市蓝微新源技术有限公司、东软睿驰汽车技术有限公司、华霆（合肥）动力 技术有限公司、上海海拉电子有限公司南京研发分公司、万向一二三股份公司、深圳市科列技术股份有 限公司、比亚迪汽车工业有限公司、力高（山东）新能源技术有限公司、东莞钜威动力技术有限公司、一 汽-大众汽车有限公司、广州小鹏汽车科技有限公司、杭州华塑加达网络科技有限公司、上海汽车集团股 份有限公司技术中心、上汽大众汽车有限公司、浙江吉利汽车研究院有限公司、华为技术有限公司、北京 新能源汽车股份有限公司、北京宝沃汽车股份有限公司、英飞凌科技（中国）有限公司、重庆长安汽车股 份有限公司、本田技研工业（中国）投资有限公司。 本标准主要起草人：李波、付越、赵金富、李珍珍、邵海贺、陈勇、袁永军、樊耀国、阮旭松、郭晓冬、 罗欢、武占军、段艳晓、刘志茹、杨冬生、鲍伟、郑庆飞、王磊、苏泽文、谢卿、吴冠军、王超、王林、崔静、 王斌、邬学建、尚世亮、樊彬、姜成龙、解坤、钟建伟、张骞慧、董佳熹、张笑林、周宇、吴优、劳力、周岩、 张祥、周宏伟、李一凡。 Ⅲ GB/T39086—2020 电动汽车用电池管理系统功能安全要求及 试验方法 1范围 方法。 本标准适用于电动乘用车用锂离子动力蓄电池管理系统，其他类型动力蓄电池的管理系统及其他 类型车辆的动力蓄电池管理系统可参照执行。 2 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB18384—2020电动汽车安全要求 GB/T19596—2017电动汽车术语 GB/T34590—2017（所有部分）道路车辆功能安全 GB38031—2020电动汽车用动力蓄电池安全要求 GB/T38661—2020电动汽车用电池管理系统技术条件 SAC 3 术语和定义 GB/T19596一2017和GB/T34590.1一2017界定的以及下列术语和定义适用于本文件。为便于 使用，以下重复列出了GB/T19596一2017中的一些术语和定义。 3.1 蓄电池管理系统 Ebattery management system;BMS 监视蓄电池的状态（温度、电压、荷电状态等），可以为蓄电池提供通信、安全、电芯均衡及管理控制， 并提供与应用设备通信接口的系统。 [GB/T19596—2017,定义3.3.2.1.10] 3.2 电池单体 secondarycell 将化学能与电能进行相互转换的基本单元装置，通常包括电极、隔膜、电解质、外壳和端子，并被设 计成可充电 [GB38031—2020,定义3.1] 3.3 高压系统 highvoltagepower system 电动汽车内部B级电压以上与动力电池直流母线相连或由动力电池电源驱动的高压驱动零部件 系统，主要包括但不限于：动力电池系统和/或高压配电系统（高压继电器、熔断器、电阻器、主开关等）， 电机及其控制系统、DC/DC变换器和车载充电机等。 1 GB/T39086—2020 [GB/T19596—2017,定义3.1.2.1.11] 3.4 动力蓄电池系统 powerbattery system 一个或一个以上蓄电池包及相应附件（蓄电池管理系统、高压电路、低压电路、热管理设备以及机械 总成）构成的为电动汽车整车的行驶提供电能的能量存储装置。 [GB/T19596—2017.定义3.1.2.1.9]］ 3.5 故障容错时间间隔 faulttoleranttime interval;FTTI 在安全机制未被激活情况下，从相关项内部故障发生到可能发生危害事件的最短时间间隔。 注1：安全相关的时间间隔参见图1。 注2：评估所有危害事件的最短时间间隔，其取决于危害的特征。 注3：FTTI与相关项的功能异常表现而引起的危害有关。FTTI是安全目标的属性。 注4：在容错时间间隔内，如果相关项保持在安全状态或过渡到安全状态或过渡到紧急运行，则表明安全机制及时 对故障进行了处理。 注5：危害事件的发生取决于存在的故障并且车辆处于故障可影响车辆行为的场景中。 示例：制动系统失效可能不会导致危害事件，直到实施制动。 注6：当仅在相关项层面定义FTTI时，可在要素层面规定最长故障处理时间间隔和故障处理后达到的状态，以支 持功能安全概念 注7：故障探测时间间隔可包括多个诊断测试时间间隔，以允许在诊断测试时间间隔足够小于故障探测时间间隔的 情况下消除错误。 引起相关项功能异常 表现的故障 功能异常表现导致危害事件 无安全机制 功能异常表现 故障容错时问问隔 故障探测 实施安全机制 诊断测试时间间隔 过渡到安全状态 故障探测时间 过渡到安全状态的时间 安全状态 收障探测 故障响应时间间隔 时间间隔 故障处理时间间隔 故障探测 实施具有紧急运行的安全机制 诊断测试时间间隔 过渡到安全状态 紧急运行 故障探测时间 过渡到紧急运行的时间 安全状态 故障探测 紧急运行 故障响应时间间隔 时间间隔 时间间隔 故障处理时间间隔 图 1 安全相关时间间隔 2 GB/T39086—2020 3.6 热失控 thermalrunaway 电池单体放热连锁反应引起电池温度不可控上升的现象。 ［GB38031—2020，定义3.14] 3.7 热扩散thermalpropagation [GB38031—2020.定义3.15] 3.8 爆炸explosion 突然释放足量的能量产生压力波或者喷射物，可能会对周边区域造成结构或物理上的破坏。 [GB38031—2020,定义3.10] 3.9 漏液 leakage 蓄电池内部电解液泄漏到电池壳体外部。 LGB/T195962017定义3.3.3.13.7 3.10 泄气venting 单体电池或电池组中内部压力增加时，气体通过预先设计好的方式释放出来。 [GB/T195962017，定义3.3.3.13.8 3.11 过充电 overcharge 当电芯或电池完全充电后继续进行充电。 [GB/T19596—2017,定义3.3.3.2.4] 3.12 过放电 over discharge 当电芯或电池完全放电后继续进行放电。 [GB/T19596—2017,定义3.3.3.1.8] 3.13 起火fire 电池单体、模块、电池包或系统任何部位发生持续燃烧（火焰持续时间大于1s）。 注1：火焰持续时间大于1s指单次火焰持续时间，而非多次火焰的累计时间。 注2：火花及拉弧不属于燃烧。 LGB38031—2020定义3.11 4一般要求 除非特别说明，电池管理系统功能安全技术开发、流程开发等要求应按照GB/T34590一2017（所 有部分)执行。 5 5相关项定义 5.1总则 应按照GB/T34590.3一2017的要求进行相关项定义，相关项指实现车辆层面功能或部分功能的 3 GB/T39086—2020 系统或系统组。 注：相关项及其范围可根据具体情况定义。附录A和附录B分别给出了以电池管理系统和动力蓄电池系统为相关 项的功能概念和相关项边界和接口示例。 5.2功能概念 为满足车辆安全运行，确保车辆内部、外部人员以及车辆环境的安全，电池管理系统应对动力蓄电 池的安全运行进行监控和保护。电池管理系统的功能性要求还应满足GB18384一2020、GB38031一 2020,GB/T38661—2020。 注1：附录A给出了电池管理系统充电管理和放电管理的功能概念描述。附录B给出了动力蓄电池系统提供充电 和提供放电的功能概念描述。 注2：充电状态包括外部充电、内部充电（例如，整车制动能量回收）等。放电状态包括行车放电、静置放电等。 5.3运行条件和环境约束 为满足车辆安全运行，需要明确相关项的运行条件及环境约束，可包含（如适用）： a）外部环境，例如，温度、湿度、路况、天气等； b）运行模式，例如，动力蓄电池系统处于充电状态、放电状态、静置状态等，或者电池管理系统处 于工作状态或者非工作状态： c）相关项与整车其他相关项的依赖关系、接口关系等。 6危害分析和风险评估 6.1总则 根据第5章相关项定义，按照GB/T34590.3一2017，基于车辆使用场景，分析识别相关项中因故障 减轻危害程度的安全目标，以避免不合理的风险。 注：以电池管理系统和动力蓄电池系统为相关项进行危害分析和风险评估的示例分别参见附录A和附录B。 6.2 安全目标 通过危害分析和风险评估确定的电池管理系统的安全目标及其属性，应至少包含表1所列的内容 表1安全目标 序号 安全目标 ASIL 安全状态 FTTI 防止电池单体过充电导致热失控 c 1 断开高压回路 参见7.1.3 断开充电回路 2 防止电池单体过放电后再充电导致热失控 参见7.2.3 防止电池单体过温导致热失控 c 3 断开高压回路 参见7.3.3 防止动力蓄电池系统过流导致热失控 C 断开高压回路 4 参见7.4.3 注：充电回路指动力蓄电池从外部吸收能量的回路，包括外部充电及内部充电（例如整车制动能量回收）。 如果出现与表1所列的要求不一致的情况，应具备相应的证据来证明动力蓄电池系统不会因过充 电、过放电后再充电、过温、过流导致热失控而引起起火、冒烟、爆炸等危害。应至少包括如下证据： a）动力蓄电