盡管Tesla/蔚來(lái)汽車(chē)近期的起火事件尚沒(méi)有正式發(fā)布調(diào)查結(jié)果，但雙方事后都對(duì)充電策略進(jìn)行了調(diào)整，其中蔚來(lái)汽車(chē)則臨時(shí)將充電量限制到90%，而香港停車(chē)場(chǎng)Model S事前電量充至97%，也有過(guò)充的風(fēng)險(xiǎn)。

對(duì)于電動(dòng)汽車(chē)來(lái)講，起火爆炸是最為嚴(yán)重的事件，從事故的嚴(yán)重度（Severity）、暴露率（Exposure）和可控性（Controllability）綜合來(lái)看，都應(yīng)該是一個(gè)ASIL C等級(jí)或以上的功能安全目標(biāo)。在這一點(diǎn)上絕大多數(shù)的主機(jī)廠的意見(jiàn)是一致。

電芯的過(guò)充會(huì)直接導(dǎo)致起火爆炸的事件發(fā)生，根據(jù)ASIL等級(jí)的繼承性，這應(yīng)該也是一個(gè)ASIL C或以上的安全目標(biāo)。

由此，可以得出一個(gè)功能安全目標(biāo)，即在過(guò)充的情況下電池包不能發(fā)生起火，這需要一個(gè)ASIL C等級(jí)的設(shè)計(jì)。通常，電池包會(huì)有一系列的功能來(lái)防止過(guò)充后熱失控的發(fā)生，這些相關(guān)的功能要滿足ASIL C的要求，從功能的角度來(lái)看，主要可以分為3大部分：第1是電壓的監(jiān)測(cè)；第2是過(guò)充的判定，即電壓是否超過(guò)了限定值；第3 過(guò)充確認(rèn)后執(zhí)行保護(hù)措施，如斷開(kāi)高壓。功能框圖如下：

大部分的整車(chē)或PACK企業(yè)會(huì)把些功能的實(shí)現(xiàn)在電池包內(nèi)完成，其中，監(jiān)測(cè)主要由傳感器實(shí)現(xiàn)，過(guò)充判定主要由BMS完成，保護(hù)動(dòng)作執(zhí)行主要由繼電器實(shí)現(xiàn)。每一個(gè)功能都繼承了過(guò)充ASIL C的屬性，以下分別來(lái)看下每個(gè)功能的分析：

電壓監(jiān)測(cè)：首先，由電壓傳感器對(duì)電壓進(jìn)行監(jiān)測(cè)，這里包括電壓采集的精度、采集的頻率；其次，將監(jiān)測(cè)到的電壓數(shù)據(jù)發(fā)送給BMS。這里需要電芯企業(yè)提供過(guò)壓的閥值。為滿足ASIL C的要求，傳感器的失效率需要供應(yīng)商提供，并且要能滿足要求，如失效率過(guò)高，就需要選用失效率低的產(chǎn)品，或是冗余一個(gè)傳感器；電壓數(shù)據(jù)傳輸路徑CAN能否滿足失效率要求，否則也需要增加一個(gè)冗余方案。如果采用了冗余的設(shè)計(jì)，就涉及到ASIL的分解，比如說(shuō)一個(gè)定為ASIL B，另一個(gè)定為ASIL A。

過(guò)充判定：

BMS收到采集來(lái)的電壓數(shù)據(jù)，會(huì)根據(jù)電芯的過(guò)壓的判定條件對(duì)是否過(guò)壓進(jìn)行判定。這里可能會(huì)涉及到不同的策略，不同的企業(yè)可能也有不同的做法，常見(jiàn)的是將電壓分等級(jí)，當(dāng)電壓超過(guò)電壓閥值1時(shí)（比如超過(guò)4.2V多少時(shí)間），BMS發(fā)送該等級(jí)的過(guò)壓指令，當(dāng)電壓超過(guò)電壓閥值2時(shí)（比如超過(guò)5V多少時(shí)間），BMS發(fā)送該等級(jí)的過(guò)壓指令，根據(jù)等級(jí)的嚴(yán)重程度可以都繼承ASIL C的屬性，也可以允許個(gè)別等級(jí)低于ASIL C。如果BMS一直沒(méi)有收到電壓數(shù)據(jù)，也會(huì)做出相應(yīng)的安全指令。

保護(hù)動(dòng)作執(zhí)行：

根據(jù)BMS對(duì)過(guò)電壓等級(jí)的判定，以及發(fā)送的指令，繼電器或其他部件進(jìn)行熱行。通常，較低過(guò)電壓會(huì)發(fā)送報(bào)警信息給到整車(chē)，并通過(guò)聲音或可視信號(hào)告知車(chē)主，較高過(guò)電壓的會(huì)執(zhí)行關(guān)斷高壓的指令。同樣地，如果沒(méi)有接收到BMS發(fā)來(lái)信號(hào)即BMS與執(zhí)行功能之間的通訊失效，繼電器也應(yīng)該關(guān)斷高壓。

整個(gè)過(guò)充功能安全設(shè)計(jì)的思路如下：

以上任何一個(gè)功能環(huán)節(jié)出現(xiàn)問(wèn)題都將無(wú)法防護(hù)過(guò)充造成進(jìn)一步的危害。回到蔚來(lái)的這次事故，假定是由于過(guò)充導(dǎo)致的起火，則可能的情況：

（1） 發(fā)生過(guò)充，但是沒(méi)有監(jiān)測(cè)到，在采集環(huán)節(jié)出現(xiàn)了問(wèn)題，沒(méi)有采集到，或是采集的精度發(fā)生變化，采集不準(zhǔn)確；

（2）準(zhǔn)確采集到了電壓但在過(guò)充判定時(shí)，計(jì)算出現(xiàn)了問(wèn)題，SOC本身往往就具有比較大的誤差；

（3） BMS發(fā)出過(guò)充指令，繼電器發(fā)生故障，如粘連，無(wú)法斷開(kāi)高壓。

在長(zhǎng)時(shí)間發(fā)生過(guò)充的情況下，電芯正負(fù)極，隔膜等溫度持續(xù)升高，最終導(dǎo)致單個(gè)電芯開(kāi)始冒煙，起火，進(jìn)而引起相鄰電芯發(fā)生熱失控。