2020年12月23日，中國汽研成功舉辦《2020第三屆新能源汽車測試評(píng)價(jià)技術(shù)國際論壇》。中國汽研將持續(xù)為大家推送精彩演講實(shí)錄，本文為長安新能源整車開發(fā)部副總經(jīng)理李宗華帶來的《長安新能源汽車安全體系開發(fā)》。

新能源汽車趨勢及安全挑戰(zhàn)

《新能源汽車產(chǎn)業(yè)發(fā)展規(guī)劃（2021-2035）》提出：到2025年，新能源汽車新車銷量將會(huì)達(dá)到汽車新車總銷量的20%左右。能源安全方面，中國石油對外依存度上升至70%，汽車的石油消耗占比1/3以上；環(huán)境保護(hù)方面，中國對外承諾2030年碳排放比2005年下降60%；汽車產(chǎn)業(yè)振興方面，“發(fā)展新能源汽車是我國從汽車大國邁向汽車強(qiáng)國的必由之路”；經(jīng)濟(jì)發(fā)展方面，新能源汽車既是新基建，又是新動(dòng)能。從目前來看，雙積分政策倒逼、消費(fèi)支持、車牌支持、路權(quán)支持、公務(wù)車輛支持、運(yùn)營指標(biāo)支持等利好條件加持，堅(jiān)定不移的發(fā)展新能源汽車成為共識(shí)。

新能源汽車市場發(fā)展迅猛的同時(shí)，其特有的安全問題日益突出，舉例說明，案例一：國外某知名品牌純電動(dòng)汽車，車輛高速行駛過程中，動(dòng)力系統(tǒng)突然失去控制，與前方車輛發(fā)生碰撞事故。原因分析為車輛加速踏板信號(hào)失效，持續(xù)輸出開度信號(hào)，導(dǎo)致松開油門后車輛仍有動(dòng)力輸出；案例二：國內(nèi)某品牌純電動(dòng)汽車，由于換擋邏輯問題，車輛存在非預(yù)期倒擋行駛的安全風(fēng)險(xiǎn)，對相關(guān)車輛進(jìn)行大規(guī)模召回。原因分析為對電驅(qū)動(dòng)系統(tǒng)失效模式分析不完整，導(dǎo)致在某些特定場景下，車輛可能非預(yù)期的行駛，造成人員傷害；案例三：國內(nèi)某品牌純電動(dòng)汽車，充電過程中動(dòng)力電池突然自燃，造成車輛及周邊充電設(shè)施起火。原因分析為電池管理系統(tǒng)未充分考慮過充、過流對電池安全的影響，對電池失效監(jiān)控不足，從而導(dǎo)致動(dòng)力電池?zé)崾Э亍?span style="margin: 0px; padding: 0px; max-width: 100%; box-sizing: border-box; word-wrap: break-word !important;">

目前，新能源和智能化的不斷融合成為趨勢，包括互聯(lián)網(wǎng)造車，無論是蔚來、小鵬、理想，還是傳統(tǒng)的汽車企業(yè)都在大力發(fā)展智能化?？梢钥闯?，基本硬件配置可以選配（動(dòng)力系統(tǒng)和內(nèi)飾除外），“軟件定義汽車”，以特斯拉為代表，動(dòng)力、自動(dòng)駕駛、各類軟件都可以升級(jí)，那么帶來的最大突出問題是對于不斷云端連線的新能源汽車，怎樣去保證個(gè)人信息、車輛不會(huì)被黑客及其他不良因素所利用。因此，無論是傳統(tǒng)的動(dòng)力、電池安全，還是新型的智能化與電動(dòng)汽車融合之后的信息安全而言，都為新能源汽車安全帶來挑戰(zhàn)。

長安新能源安全體系現(xiàn)狀

長安從2001年開始研發(fā)新能源汽車，到2011年純電動(dòng)汽車（E30）的“帶電第一撞”，2017年發(fā)布“香格里拉”計(jì)劃，2018年成立新能源公司，近20年的產(chǎn)業(yè)積淀，長安新能源現(xiàn)已擁有五大產(chǎn)品序列，覆蓋EV及PHEV產(chǎn)品，累計(jì)為用戶提供了20余款新能源汽車產(chǎn)品，累計(jì)突破并掌握關(guān)鍵核心技術(shù)364項(xiàng)，包括整車集成、“大三電”、CAE分析、試驗(yàn)驗(yàn)證等，在安全方面，是國內(nèi)第一個(gè)通過ISO 26262（汽車功能安全管理體系）認(rèn)證的企業(yè)。

將安全體系分為五大部分：高壓安全開發(fā)體系，建立高壓連接、放電、絕緣全環(huán)節(jié)監(jiān)控高壓安全防護(hù)體系；診斷安全開發(fā)體系，建立基于FMEM/FTA分析的診斷安全開發(fā)體系；功能安全開發(fā)體系，建立基于ISO 26262的全生命周期功能安全開發(fā)體系；信息安全開發(fā)體系，建立云端、車端接口、車內(nèi)網(wǎng)關(guān)、車內(nèi)控制器4層安全防護(hù)體系；電池安全開發(fā)體系，建立7要素、6維度安全設(shè)計(jì)體系，從電池開發(fā)、制造、營銷三大階段覆蓋電池全生命周期使用安全。

安全體系開發(fā)介紹

高壓安全開發(fā)

高壓系統(tǒng)介紹

整車高壓系統(tǒng)主要涉及6個(gè)子系統(tǒng)：電池系統(tǒng)、電驅(qū)系統(tǒng)、熱管理系統(tǒng)、電源補(bǔ)給、直流充電、線束系統(tǒng)及13個(gè)零部件：電池模組、高壓繼電器、預(yù)充電阻、電池傳感器、BCU控制器、IGBT、高壓電容、高壓插件、高壓線束、DCDC、ACP、PTC、OBC。目前高壓平臺(tái)主要為300-450V，很多企業(yè)也在做800V-1000V的高壓平臺(tái)，將會(huì)帶來更多高壓安全風(fēng)險(xiǎn)。

高壓安全設(shè)計(jì)

高壓安全主要涉及四個(gè)方面：高壓連接完整性設(shè)計(jì)，包括高壓接插件連接完整性及高壓部件的外殼覆蓋完整性，要形成完整的高壓回路，不會(huì)因?yàn)槿魏瓮獠恳蛩囟鴮?dǎo)致高壓出現(xiàn)泄漏，關(guān)鍵技術(shù)點(diǎn)為高壓互鎖；高壓絕緣狀態(tài)，包括高壓部件和高壓線束的絕緣狀態(tài)，整個(gè)電氣回路，如何保證高壓不會(huì)泄漏，不會(huì)對乘員造成傷害，絕緣檢測部分至關(guān)重要，行業(yè)內(nèi)主要用基于平衡電槍法來檢測絕緣電阻，也嘗試用脈沖注入法，目前來講，脈沖注入的檢測方法使得絕緣電阻的精度更高、更精準(zhǔn)。另外是冷卻回路的完整性，現(xiàn)在越來越多的電動(dòng)車采用液冷方式，一旦冷卻回路里面的冷卻液泄漏到電池包里面，也會(huì)造成高壓絕緣的狀態(tài)發(fā)生；主被動(dòng)放電設(shè)計(jì)，具體的說就是電機(jī)控制器中由于有薄膜電容（X電容、Y電容）等可儲(chǔ)能裝置，BMS控制下電以后，內(nèi)部仍存在高壓，為防止人員傷害，需將電機(jī)控制器中的電壓快速降低到A級(jí)電壓以下（即60Vdc以下）；其他如電平衡、漏電流等的設(shè)計(jì)。

診斷安全開發(fā)

診斷安全開發(fā)方法

整車診斷安全開發(fā)主要包含DFMEA分析、診斷安全方案設(shè)計(jì)和診斷服務(wù)設(shè)計(jì)三個(gè)階段。通過對整車場景、特性以及歷史同類質(zhì)量問題的分析，得到系統(tǒng)層面DFMEA，另外對零部件本身，包括研發(fā)、生產(chǎn)、元器件的老化以及全過程問題進(jìn)行分析，得到子系統(tǒng)層面DFMEA，通過系統(tǒng)頂層架構(gòu)，劃分故障等級(jí)，針對等級(jí)可能產(chǎn)生的條件、持續(xù)時(shí)間以及需要采取的處理措施，確定從系統(tǒng)層面到零部件層面的診斷方案，最后設(shè)計(jì)診斷協(xié)議，開發(fā)診斷儀。

遠(yuǎn)程診斷開發(fā)

通過車載T-BOX與車聯(lián)網(wǎng)平臺(tái)聯(lián)合，車輛發(fā)生故障或預(yù)設(shè)條件滿足后，通過4G網(wǎng)絡(luò)自動(dòng)上傳故障前后一段時(shí)間的整車數(shù)據(jù)，大數(shù)據(jù)平臺(tái)快速定位問題原因并給出維修建議。例如，目前長安在診斷安全方面最主要的工作是通過遠(yuǎn)程診斷，實(shí)時(shí)分析可能失效的電池模組單體，針對這些模組單體進(jìn)行單獨(dú)的千人千面處理，嚴(yán)重時(shí)將邀請返廠維修。通過這些方式可以將被動(dòng)情況變?yōu)橹鲃?dòng)維修，更好的提升用戶體驗(yàn)，也可將導(dǎo)致重大安全危害事故的可能性降到最低。

功能安全開發(fā)

功能安全開發(fā)階段主要內(nèi)容

目前國內(nèi)很多企業(yè)都在做功能安全的開發(fā)，自動(dòng)駕駛方面是主流，按照ISO 26262將功能安全開發(fā)分為幾個(gè)階段：相關(guān)項(xiàng)定義（Item Definition），定義功能、零部件狀態(tài)、零部件相關(guān)的設(shè)計(jì)內(nèi)容；危害分析風(fēng)險(xiǎn)評(píng)估，是關(guān)鍵和重點(diǎn)，準(zhǔn)確分析場景，場景能夠涉及到的危害、潛在的失效頻率等；功能安全要求，通過危害分析確定了功能安全等級(jí)，將功能安全等級(jí)分解到各個(gè)零部件，得到TSC（技術(shù)安全要求），進(jìn)一步分解到硬件、軟件，最終轉(zhuǎn)換成硬件/軟件設(shè)計(jì)方案，該套系統(tǒng)完整之后就可以進(jìn)行相應(yīng)的測試。

危害分析與風(fēng)險(xiǎn)評(píng)估

將可預(yù)見的失效模式可能造成的危害識(shí)別出來，并對其進(jìn)行分類，從而針對不同的危害制定具體的安全目標(biāo)。危害分析與風(fēng)險(xiǎn)評(píng)估包括4個(gè)基本步驟：環(huán)境分析與危害識(shí)別，基于場景化分析，包含多種維度，如環(huán)境，白天或晚上、下雪或下雨或晴天、平路或上坡或下坡或彎道、高中低速、有行人通過或有后車超車......針對這些場景來識(shí)別潛在的行為；危害分類，根據(jù)危害確定危害事件的嚴(yán)重度、頻度和可控度；ASIL等級(jí)確定，由嚴(yán)重度、頻度、可控度共同決定；安全目標(biāo)，針對不同的危害制定安全目標(biāo)，D級(jí)為最高等級(jí)，相應(yīng)的功能安全目標(biāo)對于其硬件軟件的設(shè)計(jì)要求相對不同，比如電池，電機(jī)控制是要做到ASLL-C還是ASLL-D，都取決于危害分析和對整個(gè)功能的分解。

信息安全開發(fā)

信息安全4層防御體系

隨著信息化發(fā)展，汽車的信息安全成為新的安全底線，各大主機(jī)廠都在加快信息安全能力建設(shè)，信息安全分為4個(gè)維度，一是云端/移動(dòng)終端防護(hù)，一旦黑客嵌入TSP、軟件或OTA平臺(tái)下發(fā)一些惡意指令，將會(huì)導(dǎo)致車輛失控，所以在云端或手機(jī)APP終端進(jìn)行較好地防控是必需的，也是信息安全的第一道關(guān)卡；二是車輛對外接口端防護(hù)，隨著信息化程度越來越高，藍(lán)牙鑰匙、USB、藍(lán)牙接入、WIFI接入等，黑客將會(huì)通過接口進(jìn)行攻擊；三是網(wǎng)關(guān)隔離防護(hù)，按照新的電子電氣架構(gòu)，外部信號(hào)要么通過域控制器要么通過網(wǎng)關(guān)進(jìn)行數(shù)據(jù)隔離，目前主要是通過網(wǎng)關(guān)隔離，在車內(nèi)直接去篡改網(wǎng)絡(luò)信號(hào)或通過OBD口對外部攻擊進(jìn)行不斷的偽造，攻陷車輛網(wǎng)絡(luò)，將會(huì)導(dǎo)致內(nèi)部車輛癱瘓；四是內(nèi)部控制器的防護(hù)，控制器本身也具有安全防護(hù)機(jī)制，若是惡意篡改或刷寫程序，必須通過安全認(rèn)證，另外傳輸?shù)男盘?hào)也會(huì)有各種層面的校驗(yàn)，保證信號(hào)傳輸?shù)目煽啃?。隨著互聯(lián)網(wǎng)不斷地進(jìn)入汽車，攻擊的點(diǎn)、攻擊的路口也會(huì)越來越多，信息安全開發(fā)還需要不斷地深入。

信息安全實(shí)施路徑

信息安全實(shí)施路徑分為三個(gè)階段，一是接口安全+業(yè)務(wù)安全，基于EE架構(gòu)，保障車輛對外接口的安全，防御遠(yuǎn)程無線攻擊、近場攻擊；基于OTA、藍(lán)牙鑰匙、4G/5G的業(yè)務(wù)場景，在參與節(jié)點(diǎn)部署安全策略，這是最基本的。二是自動(dòng)駕駛安全+車內(nèi)通信安全，基于L3+自動(dòng)駕駛，對自動(dòng)駕駛、整車控制、底盤系統(tǒng)部署安全策略；基于以太網(wǎng)、CAN/CANFD等車內(nèi)通信，實(shí)施安全通信方案，保障關(guān)鍵信號(hào)，隱私敏感信息的安全傳輸。三是主動(dòng)入侵監(jiān)測+大數(shù)據(jù)安全運(yùn)維，在關(guān)鍵節(jié)點(diǎn)部署主動(dòng)入侵檢測，結(jié)合后臺(tái)數(shù)據(jù)分析，監(jiān)測入侵，主動(dòng)進(jìn)行漏洞修復(fù)，保證汽車生命周期內(nèi)的安全；建立信息安全后臺(tái)運(yùn)維團(tuán)隊(duì)，實(shí)時(shí)監(jiān)測跟蹤所有車輛狀態(tài)，定期進(jìn)行漏洞分析，修復(fù)，處理突發(fā)的信息安全入侵事件。

電池安全開發(fā)

電池為什么過熱

電池過熱（熱失控），是指電池在工作時(shí)，因機(jī)械濫用、電濫用、熱濫用等因素導(dǎo)致電池內(nèi)壓和溫度急劇上升，如果熱量不能夠及時(shí)散出，就會(huì)引發(fā)電池?zé)崾Э兀ㄆ鸹鸹虮ǎ?，電池?zé)崾Э匾蛩赜袃?nèi)因，也有外因。鋰離子電池?zé)崾Э剡^程分為3個(gè)階段：一是電池內(nèi)部熱失控階段，由于內(nèi)部短路、外部加熱，SEI膜分解，溫度升高至150℃；二是電池鼓包階段，正極材料分解，釋放出大量熱和氣體，內(nèi)部壓力增大鼓包；三是電池?zé)崾Э?/strong>，爆炸失效階段，電解液發(fā)生劇烈的氧化反應(yīng)，燃燒并釋放出大量的熱，產(chǎn)生高溫和大量氣體，電池發(fā)生燃燒爆炸。

內(nèi)因-不安全的“基因”:鋰離子電池主要由正/負(fù)極活性材料、集流體、隔膜和電解液組成。電解液帶有燃爆屬性，電解液高溫分解產(chǎn)生氧氣，電池衰減形成穿透隔膜的枝晶，導(dǎo)致熱失控。隨著電池能量密度的提升，電池本身的安全性呈下降趨勢，這也是目前在電池安全方面所面臨的最大挑戰(zhàn)，怎樣在能量密度和安全之間找一個(gè)平衡點(diǎn)。

外因-機(jī)電熱的“濫用”：電池使用溫度、充電功率及機(jī)械防護(hù)的波動(dòng)等，均會(huì)增加隔膜破損的幾率，從而導(dǎo)致熱失控。機(jī)械形變導(dǎo)致隔膜破損，過充、過放導(dǎo)致內(nèi)部枝晶加速生長刺破隔膜，極端高溫導(dǎo)致隔膜收縮，生產(chǎn)制程中雜質(zhì)顆粒的引入導(dǎo)致隔膜刺穿。所以電池安全涉及的因素較多也較復(fù)雜，為行業(yè)內(nèi)的難題。

電池安全開發(fā)體系

長安電池安全體系：深層次挖掘電池7要素、6維度安全設(shè)計(jì)，電池總成產(chǎn)品經(jīng)過25項(xiàng)安全性測試，從電池開發(fā)、制造、營銷三大階段覆蓋電池全生命周期使用安全。7要素是在傳統(tǒng)的“人機(jī)料法環(huán)”上加了兩項(xiàng)“質(zhì)”和“術(shù)”，“質(zhì)”即《售后質(zhì)量管理程序》、《關(guān)于嚴(yán)格質(zhì)量問題管理的要求》、《防召回/過熱評(píng)審管理程序》、《應(yīng)避免問題庫及問題排查管理程序》?！靶g(shù)”即6大維度，充放電安全，設(shè)計(jì)合理的充放電策略；電氣安全，包含絕緣，互鎖，碰撞發(fā)生后，保障可靠的電氣完整性，不會(huì)短路、漏電；控制安全，保證電池管理系統(tǒng)不失效，功能安全等級(jí)在任何情況下都能夠有效監(jiān)測電池狀態(tài)；電化學(xué)安全，包含電芯，電性能的設(shè)計(jì)，熔斷器的保護(hù)，選擇電池耐溫更高的電解液、隔膜，正負(fù)極材料可再優(yōu)化，電芯做到更安全；熱安全，熱失控之后如何延緩熱擴(kuò)散，無論是從材料、擴(kuò)散渠道還是本身的冷卻方式方面；機(jī)械安全，碰撞、振動(dòng)，擠壓后，電池包、模組、電芯所承受的相應(yīng)條件等?；诖耍?大維度上進(jìn)行設(shè)計(jì)開發(fā)及測試驗(yàn)證體系工作，覆蓋到從前期的技術(shù)設(shè)計(jì)驗(yàn)證拓展到制造及營銷階段，制造對于電池安全也是至關(guān)重要的，包括電池單體的制造、電池模組的集成、電池包的生產(chǎn)制造以及后期的傳輸運(yùn)輸，還有用戶使用階段是否濫用、定期維護(hù)，回收等。可以說電池越在使用生命后期安全風(fēng)險(xiǎn)就越高，只有把全生命周期的管理做到位，才能有效避免電池安全問題的發(fā)生。

安全測試驗(yàn)證

搭建電池安全性試驗(yàn)體系，包含試驗(yàn)驗(yàn)證體系和試驗(yàn)管理體系兩部分。電池安全性試驗(yàn)驗(yàn)證體系：從零部件、系統(tǒng)、整車三個(gè)層級(jí)進(jìn)行搭建，測試用例及試驗(yàn)項(xiàng)目；電池安全性試驗(yàn)管理體系：從試制、存儲(chǔ)、轉(zhuǎn)運(yùn)、試驗(yàn)、解析、報(bào)廢6個(gè)維度進(jìn)行搭建相關(guān)管理程序文件。