陶晟宇，樊宏涛，孙耀杰,2

(1.复旦大学 信息科学与工程学院，上海 200433；2.上海综合能源系统人工智能工程技术研究中心，上海 200433)

为解决严峻的环境和能源问题，我国正大力发展EV技术.据《Global EV Outlook 2019》统计，2018年中国占全球EV总使用量46%,是第三大份额瑞典的6倍[1].随着电动汽车的大规模应用，国内接连发生的EV起火爆炸事故使得其综合安全性能正受到广泛关注，但目前技术在安全分析方面仍有不足.

目前，国内外对于电动汽车动力锂离子电池安全性能的研究已有很多，但这些研究侧重关注于电池本体及其热效应的研究[2-6]，未能对整车层级的潜在危险做出定量评价.由于EV起火爆炸通常是多因素复杂作用引起的子事故耦合，EV各部分(如电池单体，电池组和电池管理系统)的安全性能达标只是EV安全的一个必要条件，目前尚未有从系统层面综合看待各潜在安全风险的研究[7].

为提升EV综合安全性能，国际标准化组织于2018年12月，根据通用工业功能安全标准IEC61508颁布了道路车辆功能安全标准《ISO26262道路车辆功能安全》(下称标准).功能安全是指在EV全生命周期内，避免不可接受的风险[8].即风险不可消除，关键是如何将风险控制在可接受的范围以内.因此，在EV研究各安全部分的基础上，应统筹考虑安全问题发生的各可能事故链条及其重要节点.

本文基于功能安全视角和火三角模型，对EV起火爆炸事故进行故障树分析，研究故障子事件的升级途径；并给故障子事件赋予火灾重要性指标Fi，以进行系统层面的安全定量评估.由此，通过关注火灾重要性评分高的部分，在EV起火爆炸事故之前及时切断故障升级途径，阻断火三角.

1 功能安全视角下的故障升级路径

在功能安全视角下，安全目标必须分配给具体的责任主体(硬件/软件).一个安全责任主体可能对多个安全目标负责.对指定故障升级路径而言，某个环节所通过的升级路径越多，这个环节在整个系统中越重要.

以充电为例，EV功能安全设计流程如图1所示.标准指出，一个安全目标就是一条升级途径的终点，分配到软硬件的每一个功能安全需求是该路径上的一个环节.在充电场景下，安全责任分配到了主接触器，电压传感器和软件程序上.即在不加控制的情况下，如果传感器和充电接触器未达到设定的动作时间、精度和软件可靠性，则由此环节出发的故障升级路径最终指向过充所对应的顶层故障事件，进而可能引起起火爆炸事故.

2 火灾重要性的故障升级评价

2.1 事件回顾

安全认证机构TÜV于2019年1月发布了一项研究报告，列举了欧洲主流媒体在2010—2018年间报道的28起EV起火爆炸事故.TÜV报告认为，电池本身安全问题(如内部短路)不是EV起火的关键原因[9].表1列举了国内报道的5起EV起火事件，并对事故原因做了简要回顾.2017年3月，上海金桥超级充电站内两台特斯拉P85汽车烧毁.事故发生时，其中一台正在进行超级充电，另一台被前者散发的巨大热量引燃，归咎于新建充电站的电压不稳定.2018年8月，成都威马汽车研究院一辆经过拆解的试装车因误操作通电，短路起火.2019年4月，国内接连发生EV起火，分别由停驶热量积聚，电池管理系统故障和严重冲击导致.

表1 国内近期EV起火事故Tab.1 Recent domestic EV fire accidents

TÜV的报告仅强调碰撞情景，即外部加载；而国内报道的事故说明子系统故障对EV起火爆炸的作用.黄沛丰[10]对近年来的EV起火爆炸进行列举，认为需要综合考虑各因素.进一步地，本文将EV起火情景划分为：充电、碰撞、停驶和拆解4类，以梳理不同场景下各因素的作用机制，如图2所示.上述场景中又包含4类安全因素：机械因素(碰撞，加速和振动等)、电气因素(过充，过放，容量衰减，内阻增大和短路等)、热因素(过热，过冷和温度不一致等)和其他因素(系统下电瞬间的安全性和驾驶路况等).

4类因素对EV起火爆炸事故的作用大多是向热失控逐步演化，各因素均有可能导致热量积聚.因素之间也存在着相互的联系，如异常的产热可能使得电池的容量不可逆衰减[11].

2.2 火灾重要性

上述4类因素最终都转化为热因素，作用于电池和电池管理系统(Battery Management System,BMS)，导致最终的EV热失控.本文引入火灾重要性指标，针对提出的场景，给故障升级路径上的各类子事件进行定量评价.

定义Fi=F(Ioxi,Itemp,Ica),其中Fi代表第i个子事件的火灾重要性，Ioxi代表氧化剂要素，Itemp代表温度要素，Ica代表助燃物要素.规定{Ioxi,Itemp,Ica|I∈[0,1]},I的值越大，代表对应要素重要性越大.由于EV常处于非密闭空间，周围空气中的氧气可充当EV起火的氧化剂.电池内部的氧化性气体挥发也会充当氧化剂.由于氧化剂来源众多，可以减轻Ioxi在Fi中的权重，Ica同理.即EV起火爆炸子事件的火灾重要性Fi很大程度上取决于各子事件的温升贡献，Fi可由以下公式表达：

(1)

表2 不同场景下的火灾重要性权重Tab.2 Fire importance weights in different scenarios

3 基于Fi属性的故障树(FTA)分析

对于EV充电场景下的起火事故，需要一种工具去表达各种“事故链”，必要时截断事故链条，达到安全目标.FTA是功能安全标准(7.4.3节)推荐用于分析系统安全性的方法，是一种用布尔逻辑将安全相关系统的特定故障(顶事件)和故障原因联系起来的演绎分析方法[12].本文将故障树的基本事件引入火灾重要性属性Fi，以综合评价子事件(图3)对于EV充电场景下起火爆炸的影响.

3.1 充电场景EV起火爆炸分析

在充电场景下，EV起火爆炸的主要热来源可分为充电回路的阻抗异常、内阻增大和内部短路，在FTA中设置为3个中间事件.

许守平指出充电回路阻抗异常是由振动、焊接不良、腐蚀等因素导致的接触阻抗变化引起的[13].此外，预充电阻和高压接触器是EV充电回路的重要部件，不合理的上下电方式会导致在接触器元件上产生大量的热.如温度非常高，则会熔融触点，使得高压系统无法直接下电，造成安全事故[14].在污染(盐雾)和高海拔地区使用电池，会造成电池绝缘侵蚀和膨胀形变，标准规定要对这两类场景下的电池安全性进行测试，若不达标则可能造成外短路，起火甚至爆炸[15].由此归纳为FTA中间事件M10及其子事件.

电池内阻分为欧姆内阻和极化内阻两部分.极化电阻增大的原因可以分为电化学极化和浓差极化.这种内阻随极化增强的现象与高倍率充电相关，温度降低和反应物减少会导致极化变得更为明显[16].姚雷等[17]将电池充分静置，用0.5C进行充放电激活，发现在相同的荷电状态(State of Charge,SOC)状态下，温度越低，电解液活性物质越少，开路电压越低(内阻越大)极化效应明显.此外，高充电倍率会加大极化效应.由此归纳为中间事件M13及其子事件.

内部短路将导致热失控.刘力硕等[18]指出以石墨为负极的锂离子电池，在低温、大倍率充电时会出现析锂现象.电池制造环境、工艺控制和材料特性均可能导致电池内部短路[19].由此归纳为中间事件M17及其子事件.

电池反应中可燃固、气体来源众多.高温条件下固体电解液界面(Solid Electrdyte Interphase,SEI)膜对负极失去保护，电解液和嵌入锂直接反应，生成C2H4,C2H6,C4H10等可燃气体.当温度达到260℃以上时，电解液中释放易燃易爆的H2[20].低温析锂效应显著，在EC和DEC溶剂中，锂单质与电解液反应，待热量积聚，也会产生上述可燃气体[21].由此归纳为中间事件M5及其子事件.除了空气中自然存在的氧化剂外，电池反应也会产生大量氧化性气体.李贺等[22]针对LixCo2正极材料的锂电池进行机理研究，认为达到正极材料分解温度后，会释放大量O2.由此归纳为中间事件M3及其子事件.

3.2 火灾重要性指标Fi分配

汪书苹等[23]用模拟方法建立了充换电站火灾场景，分析了温度和可燃气体分布，同时考虑易燃物对热释放速率的影响.张浩等[24]对南通某充电站进行实证调研，从多个方面评价了充换电站的综合安全性能指标，制定了安全性能指标和权重分配.结合上述研究和本文对故障树(图3)的分析，假设BMS未发生故障，制定EV充电场景下各子事件火灾重要性如表3所示，其中，事件xi(i=1，2，…，18)在图3中已经以圆圈的形式标出.

表3 充电场景下子事件的F(Ioxi,Itemp,Ica)Tab.3 Fire importance F(Ioxi,Itemp,Ica) of sub-events in the charging scenario

4 火灾重要性计算

割集和路集分别对应了功能安全视角下的故障升级路径和系统安全路径.设C={xi,…,xl}(i,l≤n)是基本事件集合.当C中基本事件均发生时，顶事件发生，则记C为该FTA的一个割集.对应地，当且仅当C中的事件不发生时，顶事件不发生，则C是FTA的一个路集.其最小割集合是{x1}和{x2,x3}，最小路集合是{x1,x2}和{x1,x3}.{x1}和{x2,x3}即2条升级途径(图4).

采用Fussell-Vesely算法求FTA割集.计算得出，现有分析条件下EV充电起火爆炸的升级途径(割集)有37条，安全通路(路集)有3条，系统处于较为危险的状态.节选3条升级途径在表4中列出，分别是{环境高温}，{循环后期欧姆电阻增大，高倍率充电}和{环境低温，无加热机构，低温充电}等基本事件的组合.在功能安全视角下，每个子事件对于顶层事件发生的贡献是不同的，因此需要通过结构重要性的计算来进行评估量化.

表4 若干最小割集(事故路径)Tab.4 Several minimum cut sets(failure paths)

割集{x1}环境高温对应前文分析的热因素，是导致EV起火爆炸的最直接因素，对应的火灾重要性权重较大；割集{x6,x7}与电气因素对应，在内阻增大的情况下，高倍率充电会导致电池内放出大量热；割集{x9,x10,x17}低温充电是充电场景下一项危险的操作.结构重要性可用下式计算：

(2)

式中xj为基本事件；Kj是最小割集；ηj是含有基本事件xj的最小割集Kj阶数.经计算，最高Iφ(x1)=1，高温可能直接导致起火爆炸.需注意，Iφ(x11)=0对应的事件重要性被x1吸收了，表示无论电池气密性如何，高温会导致电解液蒸发，加速事故链条发展.Iφ(x7,12)=0.99对应高倍率充电，电池内反应放热蒸发.电解液和副反应产物多为可燃性和氧化性气体，易构成火三角，对应的Fi较大.最低Iφ(x10,17)=0.57分别对应无加热机构和低温充电.

取EV充电场景下的火灾重要性权重系数wca,oxi,temp=[0.1,0.3,0.6]计算{xi|i=1,2,…,18}的火灾重要性.以x1的结构重要性为基准，进行归一化处理.将计算得出的火灾重要性和故障树分析得出的结构重要性进行比对，可以发现一致的变化趋势(图5).

路集{x1,x7,x9,x12}所对应要素恰好包含火灾形成的火三角，即高低温，氧化性气体溢出，充电倍率，所对应的火灾重要性也相对较高.

5 结 论

避免火三角的形成就可以避免EV充电起火.结合火灾重要性指标Fi发现：高温，高倍率充电，电池内部副反应导致的电解液蒸发(x1,x7,x12)是EV充电场景下最危险的3个环节，容易构成火三角.值得注意的是，低温(x9)也会形成火三角.根据功能安全量化风险原则，提出火灾重要性指标Fi评价各子事件，用故障树分析法进行检验，取得了良好效果，为防止电动汽车起火爆炸事故、防止轻度事故升级提供了新方向.