功能安全視角下的電動(dòng)汽車起火爆炸分析

陶晟宇，樊宏濤，孫耀杰,2

(1.復(fù)旦大學(xué) 信息科學(xué)與工程學(xué)院，上海 200433；2.上海綜合能源系統(tǒng)人工智能工程技術(shù)研究中心，上海 200433)

為解決嚴(yán)峻的環(huán)境和能源問題，我國(guó)正大力發(fā)展EV技術(shù).據(jù)《Global EV Outlook 2019》統(tǒng)計(jì)，2018年中國(guó)占全球EV總使用量46%,是第三大份額瑞典的6倍[1].隨著電動(dòng)汽車的大規(guī)模應(yīng)用，國(guó)內(nèi)接連發(fā)生的EV起火爆炸事故使得其綜合安全性能正受到廣泛關(guān)注，但目前技術(shù)在安全分析方面仍有不足.

目前，國(guó)內(nèi)外對(duì)于電動(dòng)汽車動(dòng)力鋰離子電池安全性能的研究已有很多，但這些研究側(cè)重關(guān)注于電池本體及其熱效應(yīng)的研究[2-6]，未能對(duì)整車層級(jí)的潛在危險(xiǎn)做出定量評(píng)價(jià).由于EV起火爆炸通常是多因素復(fù)雜作用引起的子事故耦合，EV各部分(如電池單體，電池組和電池管理系統(tǒng))的安全性能達(dá)標(biāo)只是EV安全的一個(gè)必要條件，目前尚未有從系統(tǒng)層面綜合看待各潛在安全風(fēng)險(xiǎn)的研究[7].

為提升EV綜合安全性能，國(guó)際標(biāo)準(zhǔn)化組織于2018年12月，根據(jù)通用工業(yè)功能安全標(biāo)準(zhǔn)IEC61508頒布了道路車輛功能安全標(biāo)準(zhǔn)《ISO26262道路車輛功能安全》(下稱標(biāo)準(zhǔn)).功能安全是指在EV全生命周期內(nèi)，避免不可接受的風(fēng)險(xiǎn)[8].即風(fēng)險(xiǎn)不可消除，關(guān)鍵是如何將風(fēng)險(xiǎn)控制在可接受的范圍以內(nèi).因此，在EV研究各安全部分的基礎(chǔ)上，應(yīng)統(tǒng)籌考慮安全問題發(fā)生的各可能事故鏈條及其重要節(jié)點(diǎn).

本文基于功能安全視角和火三角模型，對(duì)EV起火爆炸事故進(jìn)行故障樹分析，研究故障子事件的升級(jí)途徑；并給故障子事件賦予火災(zāi)重要性指標(biāo)Fi，以進(jìn)行系統(tǒng)層面的安全定量評(píng)估.由此，通過關(guān)注火災(zāi)重要性評(píng)分高的部分，在EV起火爆炸事故之前及時(shí)切斷故障升級(jí)途徑，阻斷火三角.

1 功能安全視角下的故障升級(jí)路徑

在功能安全視角下，安全目標(biāo)必須分配給具體的責(zé)任主體(硬件/軟件).一個(gè)安全責(zé)任主體可能對(duì)多個(gè)安全目標(biāo)負(fù)責(zé).對(duì)指定故障升級(jí)路徑而言，某個(gè)環(huán)節(jié)所通過的升級(jí)路徑越多，這個(gè)環(huán)節(jié)在整個(gè)系統(tǒng)中越重要.

以充電為例，EV功能安全設(shè)計(jì)流程如圖1所示.標(biāo)準(zhǔn)指出，一個(gè)安全目標(biāo)就是一條升級(jí)途徑的終點(diǎn)，分配到軟硬件的每一個(gè)功能安全需求是該路徑上的一個(gè)環(huán)節(jié).在充電場(chǎng)景下，安全責(zé)任分配到了主接觸器，電壓傳感器和軟件程序上.即在不加控制的情況下，如果傳感器和充電接觸器未達(dá)到設(shè)定的動(dòng)作時(shí)間、精度和軟件可靠性，則由此環(huán)節(jié)出發(fā)的故障升級(jí)路徑最終指向過充所對(duì)應(yīng)的頂層故障事件，進(jìn)而可能引起起火爆炸事故.

2 火災(zāi)重要性的故障升級(jí)評(píng)價(jià)

2.1 事件回顧

安全認(rèn)證機(jī)構(gòu)TüV于2019年1月發(fā)布了一項(xiàng)研究報(bào)告，列舉了歐洲主流媒體在2010—2018年間報(bào)道的28起EV起火爆炸事故.TüV報(bào)告認(rèn)為，電池本身安全問題(如內(nèi)部短路)不是EV起火的關(guān)鍵原因[9].表1列舉了國(guó)內(nèi)報(bào)道的5起EV起火事件，并對(duì)事故原因做了簡(jiǎn)要回顧.2017年3月，上海金橋超級(jí)充電站內(nèi)兩臺(tái)特斯拉P85汽車燒毀.事故發(fā)生時(shí)，其中一臺(tái)正在進(jìn)行超級(jí)充電，另一臺(tái)被前者散發(fā)的巨大熱量引燃，歸咎于新建充電站的電壓不穩(wěn)定.2018年8月，成都威馬汽車研究院一輛經(jīng)過拆解的試裝車因誤操作通電，短路起火.2019年4月，國(guó)內(nèi)接連發(fā)生EV起火，分別由停駛熱量積聚，電池管理系統(tǒng)故障和嚴(yán)重沖擊導(dǎo)致.

表1 國(guó)內(nèi)近期EV起火事故Tab.1 Recent domestic EV fire accidents

TüV的報(bào)告僅強(qiáng)調(diào)碰撞情景，即外部加載；而國(guó)內(nèi)報(bào)道的事故說明子系統(tǒng)故障對(duì)EV起火爆炸的作用.黃沛豐[10]對(duì)近年來的EV起火爆炸進(jìn)行列舉，認(rèn)為需要綜合考慮各因素.進(jìn)一步地，本文將EV起火情景劃分為：充電、碰撞、停駛和拆解4類，以梳理不同場(chǎng)景下各因素的作用機(jī)制，如圖2所示.上述場(chǎng)景中又包含4類安全因素：機(jī)械因素(碰撞，加速和振動(dòng)等)、電氣因素(過充，過放，容量衰減，內(nèi)阻增大和短路等)、熱因素(過熱，過冷和溫度不一致等)和其他因素(系統(tǒng)下電瞬間的安全性和駕駛路況等).

4類因素對(duì)EV起火爆炸事故的作用大多是向熱失控逐步演化，各因素均有可能導(dǎo)致熱量積聚.因素之間也存在著相互的聯(lián)系，如異常的產(chǎn)熱可能使得電池的容量不可逆衰減[11].

2.2 火災(zāi)重要性

上述4類因素最終都轉(zhuǎn)化為熱因素，作用于電池和電池管理系統(tǒng)(Battery Management System,BMS)，導(dǎo)致最終的EV熱失控.本文引入火災(zāi)重要性指標(biāo)，針對(duì)提出的場(chǎng)景，給故障升級(jí)路徑上的各類子事件進(jìn)行定量評(píng)價(jià).

定義Fi=F(Ioxi,Itemp,Ica),其中Fi代表第i個(gè)子事件的火災(zāi)重要性，Ioxi代表氧化劑要素，Itemp代表溫度要素，Ica代表助燃物要素.規(guī)定{Ioxi,Itemp,Ica|I∈[0,1]},I的值越大，代表對(duì)應(yīng)要素重要性越大.由于EV常處于非密閉空間，周圍空氣中的氧氣可充當(dāng)EV起火的氧化劑.電池內(nèi)部的氧化性氣體揮發(fā)也會(huì)充當(dāng)氧化劑.由于氧化劑來源眾多，可以減輕Ioxi在Fi中的權(quán)重，Ica同理.即EV起火爆炸子事件的火災(zāi)重要性Fi很大程度上取決于各子事件的溫升貢獻(xiàn)，F(xiàn)i可由以下公式表達(dá)：

(1)

表2 不同場(chǎng)景下的火災(zāi)重要性權(quán)重Tab.2 Fire importance weights in different scenarios

3 基于Fi屬性的故障樹(FTA)分析

對(duì)于EV充電場(chǎng)景下的起火事故，需要一種工具去表達(dá)各種“事故鏈”，必要時(shí)截?cái)嗍鹿舒湕l，達(dá)到安全目標(biāo).FTA是功能安全標(biāo)準(zhǔn)(7.4.3節(jié))推薦用于分析系統(tǒng)安全性的方法，是一種用布爾邏輯將安全相關(guān)系統(tǒng)的特定故障(頂事件)和故障原因聯(lián)系起來的演繹分析方法[12].本文將故障樹的基本事件引入火災(zāi)重要性屬性Fi，以綜合評(píng)價(jià)子事件(圖3)對(duì)于EV充電場(chǎng)景下起火爆炸的影響.

3.1 充電場(chǎng)景EV起火爆炸分析

在充電場(chǎng)景下，EV起火爆炸的主要熱來源可分為充電回路的阻抗異常、內(nèi)阻增大和內(nèi)部短路，在FTA中設(shè)置為3個(gè)中間事件.

許守平指出充電回路阻抗異常是由振動(dòng)、焊接不良、腐蝕等因素導(dǎo)致的接觸阻抗變化引起的[13].此外，預(yù)充電阻和高壓接觸器是EV充電回路的重要部件，不合理的上下電方式會(huì)導(dǎo)致在接觸器元件上產(chǎn)生大量的熱.如溫度非常高，則會(huì)熔融觸點(diǎn)，使得高壓系統(tǒng)無法直接下電，造成安全事故[14].在污染(鹽霧)和高海拔地區(qū)使用電池，會(huì)造成電池絕緣侵蝕和膨脹形變，標(biāo)準(zhǔn)規(guī)定要對(duì)這兩類場(chǎng)景下的電池安全性進(jìn)行測(cè)試，若不達(dá)標(biāo)則可能造成外短路，起火甚至爆炸[15].由此歸納為FTA中間事件M10及其子事件.

電池內(nèi)阻分為歐姆內(nèi)阻和極化內(nèi)阻兩部分.極化電阻增大的原因可以分為電化學(xué)極化和濃差極化.這種內(nèi)阻隨極化增強(qiáng)的現(xiàn)象與高倍率充電相關(guān)，溫度降低和反應(yīng)物減少會(huì)導(dǎo)致極化變得更為明顯[16].姚雷等[17]將電池充分靜置，用0.5C進(jìn)行充放電激活，發(fā)現(xiàn)在相同的荷電狀態(tài)(State of Charge,SOC)狀態(tài)下，溫度越低，電解液活性物質(zhì)越少，開路電壓越低(內(nèi)阻越大)極化效應(yīng)明顯.此外，高充電倍率會(huì)加大極化效應(yīng).由此歸納為中間事件M13及其子事件.

內(nèi)部短路將導(dǎo)致熱失控.劉力碩等[18]指出以石墨為負(fù)極的鋰離子電池，在低溫、大倍率充電時(shí)會(huì)出現(xiàn)析鋰現(xiàn)象.電池制造環(huán)境、工藝控制和材料特性均可能導(dǎo)致電池內(nèi)部短路[19].由此歸納為中間事件M17及其子事件.

電池反應(yīng)中可燃固、氣體來源眾多.高溫條件下固體電解液界面(Solid Electrdyte Interphase,SEI)膜對(duì)負(fù)極失去保護(hù)，電解液和嵌入鋰直接反應(yīng)，生成C2H4,C2H6,C4H10等可燃?xì)怏w.當(dāng)溫度達(dá)到260℃以上時(shí)，電解液中釋放易燃易爆的H2[20].低溫析鋰效應(yīng)顯著，在EC和DEC溶劑中，鋰單質(zhì)與電解液反應(yīng)，待熱量積聚，也會(huì)產(chǎn)生上述可燃?xì)怏w[21].由此歸納為中間事件M5及其子事件.除了空氣中自然存在的氧化劑外，電池反應(yīng)也會(huì)產(chǎn)生大量氧化性氣體.李賀等[22]針對(duì)LixCo2正極材料的鋰電池進(jìn)行機(jī)理研究，認(rèn)為達(dá)到正極材料分解溫度后，會(huì)釋放大量O2.由此歸納為中間事件M3及其子事件.

3.2 火災(zāi)重要性指標(biāo)Fi分配

汪書蘋等[23]用模擬方法建立了充換電站火災(zāi)場(chǎng)景，分析了溫度和可燃?xì)怏w分布，同時(shí)考慮易燃物對(duì)熱釋放速率的影響.張浩等[24]對(duì)南通某充電站進(jìn)行實(shí)證調(diào)研，從多個(gè)方面評(píng)價(jià)了充換電站的綜合安全性能指標(biāo)，制定了安全性能指標(biāo)和權(quán)重分配.結(jié)合上述研究和本文對(duì)故障樹(圖3)的分析，假設(shè)BMS未發(fā)生故障，制定EV充電場(chǎng)景下各子事件火災(zāi)重要性如表3所示，其中，事件xi(i=1，2，…，18)在圖3中已經(jīng)以圓圈的形式標(biāo)出.

表3 充電場(chǎng)景下子事件的F(Ioxi,Itemp,Ica)Tab.3 Fire importance F(Ioxi,Itemp,Ica) of sub-events in the charging scenario

4 火災(zāi)重要性計(jì)算

割集和路集分別對(duì)應(yīng)了功能安全視角下的故障升級(jí)路徑和系統(tǒng)安全路徑.設(shè)C={xi,…,xl}(i,l≤n)是基本事件集合.當(dāng)C中基本事件均發(fā)生時(shí)，頂事件發(fā)生，則記C為該FTA的一個(gè)割集.對(duì)應(yīng)地，當(dāng)且僅當(dāng)C中的事件不發(fā)生時(shí)，頂事件不發(fā)生，則C是FTA的一個(gè)路集.其最小割集合是{x1}和{x2,x3}，最小路集合是{x1,x2}和{x1,x3}.{x1}和{x2,x3}即2條升級(jí)途徑(圖4).

采用Fussell-Vesely算法求FTA割集.計(jì)算得出，現(xiàn)有分析條件下EV充電起火爆炸的升級(jí)途徑(割集)有37條，安全通路(路集)有3條，系統(tǒng)處于較為危險(xiǎn)的狀態(tài).節(jié)選3條升級(jí)途徑在表4中列出，分別是{環(huán)境高溫}，{循環(huán)后期歐姆電阻增大，高倍率充電}和{環(huán)境低溫，無加熱機(jī)構(gòu)，低溫充電}等基本事件的組合.在功能安全視角下，每個(gè)子事件對(duì)于頂層事件發(fā)生的貢獻(xiàn)是不同的，因此需要通過結(jié)構(gòu)重要性的計(jì)算來進(jìn)行評(píng)估量化.

表4 若干最小割集(事故路徑)Tab.4 Several minimum cut sets(failure paths)

割集{x1}環(huán)境高溫對(duì)應(yīng)前文分析的熱因素，是導(dǎo)致EV起火爆炸的最直接因素，對(duì)應(yīng)的火災(zāi)重要性權(quán)重較大；割集{x6,x7}與電氣因素對(duì)應(yīng)，在內(nèi)阻增大的情況下，高倍率充電會(huì)導(dǎo)致電池內(nèi)放出大量熱；割集{x9,x10,x17}低溫充電是充電場(chǎng)景下一項(xiàng)危險(xiǎn)的操作.結(jié)構(gòu)重要性可用下式計(jì)算：

(2)

式中xj為基本事件；Kj是最小割集；ηj是含有基本事件xj的最小割集Kj階數(shù).經(jīng)計(jì)算，最高Iφ(x1)=1，高溫可能直接導(dǎo)致起火爆炸.需注意，Iφ(x11)=0對(duì)應(yīng)的事件重要性被x1吸收了，表示無論電池氣密性如何，高溫會(huì)導(dǎo)致電解液蒸發(fā)，加速事故鏈條發(fā)展.Iφ(x7,12)=0.99對(duì)應(yīng)高倍率充電，電池內(nèi)反應(yīng)放熱蒸發(fā).電解液和副反應(yīng)產(chǎn)物多為可燃性和氧化性氣體，易構(gòu)成火三角，對(duì)應(yīng)的Fi較大.最低Iφ(x10,17)=0.57分別對(duì)應(yīng)無加熱機(jī)構(gòu)和低溫充電.

取EV充電場(chǎng)景下的火災(zāi)重要性權(quán)重系數(shù)wca,oxi,temp=[0.1,0.3,0.6]計(jì)算{xi|i=1,2,…,18}的火災(zāi)重要性.以x1的結(jié)構(gòu)重要性為基準(zhǔn)，進(jìn)行歸一化處理.將計(jì)算得出的火災(zāi)重要性和故障樹分析得出的結(jié)構(gòu)重要性進(jìn)行比對(duì)，可以發(fā)現(xiàn)一致的變化趨勢(shì)(圖5).

路集{x1,x7,x9,x12}所對(duì)應(yīng)要素恰好包含火災(zāi)形成的火三角，即高低溫，氧化性氣體溢出，充電倍率，所對(duì)應(yīng)的火災(zāi)重要性也相對(duì)較高.

5 結(jié) 論

避免火三角的形成就可以避免EV充電起火.結(jié)合火災(zāi)重要性指標(biāo)Fi發(fā)現(xiàn)：高溫，高倍率充電，電池內(nèi)部副反應(yīng)導(dǎo)致的電解液蒸發(fā)(x1,x7,x12)是EV充電場(chǎng)景下最危險(xiǎn)的3個(gè)環(huán)節(jié)，容易構(gòu)成火三角.值得注意的是，低溫(x9)也會(huì)形成火三角.根據(jù)功能安全量化風(fēng)險(xiǎn)原則，提出火災(zāi)重要性指標(biāo)Fi評(píng)價(jià)各子事件，用故障樹分析法進(jìn)行檢驗(yàn)，取得了良好效果，為防止電動(dòng)汽車起火爆炸事故、防止輕度事故升級(jí)提供了新方向.