电池管理系统应处于工作状态

电池管理系统应处于工作状态

镀锌板标准7.1.3故障容错时间间隔

电池单体过充电故障容错 充电测试结果给出。

Z.1.4安全状态的进入和退出

电池单体过充电故障容销

当确认电池单体电压值超过安全阅值时，电池管理系统应断开高压回路进人安全状态，在电池 充电故障退出、消除条件未满足时，不应退出安全状态。 注：故障退出、消除条件由相关方协商确定

7.1.5报警和降级概念

在电池管理系统深测到电池 单体过充电故障后，应通过警告信号或提示信息等方式警告驾驶员 如果动力蓄电池存在无法立即进人或保持安全状态的场景，应设计降级功能（例如限制充电功 整车进人紧急运行模式。

7.2防止电池单体过放电后再充电导致热失控

电池单体过放电后再充电

电池管理系统应监测电池单体电压，当电池单体电压值低于安全阈值时，使动力蓄电池系统在

GB/T39086—2020

全TTI时间内进入安全状态，在电池单体过放电故障退出 故障探测、响应、处理应在FTTI时间内完成。 安全阅值应根据电池系统制造商过放电测试结果给出

电池管理系统应处于工作状态

7.2.3故障容错时间间隔

给出。 注：电池单体过放电

7.2.4安全状态的进入和退出

图3电池单体过放电后再充电故障容错时间间

当确认电池单体电压值低于安全值时，电池管理系统应断开充电回路进入安全状态，在电池单体 过放电故障退出、消除条件未满足时，不应退出安全状态。 注：故障退出、消除条件由相关方协商确定

7.2.5报警和降级概念

在电池管理系统探测到电池单体过放电故障后，应通过警告信号或提示信息等方式警告驾驶员。 如果动力蓄电池存在无法立即进人或保持安全状态的场景，应设计降级功能（例如限制充电功率 制动能量回收功能的使用）使整车进入紧急运行模式

7.3防止电池单体过温导致热失控

电池管理系统应监测电池单体温度，当电池单体温度值高于安全國值时，使动力蓄电池系统在 FTTI时间内进人安全状态，在电池单体过温故障退出、消除条件未满足时，不应退出安全状态， 故障探测故障探测、响应、处理应在FTTI时间内完成。 安全阅值应根据电池系统制造商过温测试结果给出。 电池系统内温度测量点的温度应能代表电池系统中电池单体的最高温度

7.3.3故障容错时间间隔

电池单体过温故障容错时间间隔应根据电池系统制造商过温的测试结果给出。 主：电池单体过温故障容错时间间隔的确定方法参考附录C.示意图见图4

7.3.4安全状态的进入和退出

图4电池单体过温故障容错时间间隔

当确认电池单体温度值高于安全威值时，电池管理系统应断开高压回路进入安全状态，在电池单体 过温故障退出、消除条件未满足时，不应退出安全状态。 注：故障退出、消除条件由相关方协商确定

7.3.5报警和降级概念

告信号或提示信息等方式警告驾驶员。 如果动力蓄电池存在无法立即进人或保持安全状态的场景，应设计降级功能（例如限制充放电功 率，禁止某些非安全运行相关功能的运行）使整车进人紧急运行模式

7.4防止动力蓄电池系统过流导致热失控

电池管理系统应监测动力蓄电池系统电流，当动力蓄电池系统电流值高于安全阈值时，使动力蓄电 也系统在FTTI时间内进入安全状态。在蓄电池系统过流敌障退出、消除条件未满足时，不应退出安全 态。 故障探测、响应、处理应在FTTI时间内完成 安全阈值应根据电池系统制造商过流测试结果给出，并考虑到电池单体温度的影响

电池管理系统应处于工作状态

7.4.3故障容错时间间隔

注：动力蓄电池系统过流故障容错时间间隔的确定方法参考附录C，示意图见图5.

GB/T39086—2020

7.4.4安全状态的进入和退出

图5动力蓄电池系统过流故障容错时间间隔

当确认动力蓄电池系统电流值高于安全阈值时，电池管理系统应断开高压回路进人安全状态，在 电池系统过流故障退出、消除条件未满足时，不应退出安全状态。 注：故障退出、消除条件由相关协商确定

7.4.5报警和降级概念

如果动力蓄电池存在无法立即 态的场景，应设计降级功能（例如限制 率、禁止某些非安全相关功能的

功能安全验证是确定功能安全要求的完整性和正确性，功能安全确认是确认安全目标得到充分实 现且在系统及整车层面能够减轻或避免危害事件的发生。 功能安全验证应在电池管理系统层面对功能安全要求与设计进行验证，验证方法包括评审、走查、 检查、模型检查、模拟、工程分析、证明和测试，验证的目的是证明功能安全要求： a）与验证活动的结果的一致性与符合性； b）实现的正确性。 本标准中主要给出基于测试的功能安全验证方法，测试可在模拟环境或真实环境下进行。 功能安全确认需要在动力蓄电池系统或整车层面对功能安全目标的实现进行确认，确认方法包含 检查和测试，目的包括 a）证明安全目标在整车层面的实现是正确的、完整的并得到完全实现 b）安全目标能够预防或减轻危害分析和风险评估中识别的危害事件及风险 本标准中主要给出基于测试的功能安全确认方法

8.2.1防止电池单体过充电导致热失控

8.2.1.1测试且的

电池管理系统应监测电池单体电压，当电池单体电压值超过安全國值时，使动力蓄电池系统在

GB/T390862020

FTTI时间内进人安全状态，在电池单体过充电故障退出、消除条件未满足时，不应退出安全状态。

8.2.1.2测试对象

测试对象为电池管理系统

8.2.1.3测试要求

8.2.1.3.1模拟环境下测试应满足如下要求： a）影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b 测试应针对7.1.2规定的运行模式； C 模拟电池单体电压信号进行测试； 调节模拟的电池单体电压信号，电池单体电压应至少包含低于安全阈值、达到安全阈值及高于 安全阅值三个电压取值； e 测试应对电池管理系统进入安全状态的过程（例如，安全值、时间、状态切换）进行监控： 测试应对电池管理系统退出安全状态的条件进行监控。 8.2.1.3.2真实环境下测试应满足如下要求： a） 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b） 测试应针对7.1.2规定的运行模式； C 测试对象所在的电池系统应由电池系统制造商许可的充电倍率进行充电，直到高于安全阈值； d 测试应对电池管理系统进人安全状态的过程（例如，安全阅值、时间、状态切换）进行监控； e） 测试应对电池管理系统退出安全状态的条件进行监控

8.2.1.4测试结束条件

8.2.1.4.1当符合以下任一条件时，结束模拟环境下测试： a）测试对象在故障容错时间间隔内进人安全状态，并无意外退出安全状态； b） 测试对象在故障容错时间间隔内进入安全状态，意外退出安全状态； C 测试对象在故障容错时间间隔内未进入安全状态。 8.2.1.4.2当符合以下任一条件时，结束真实环境下测试： a 测试对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态； b 测试对象在故障容错时间间隔内进人安全状态，意外退出安全状态； C 测试对象在故障容错时间间隔内未进入安全状态； d）测试对象所在电池系统发生漏液、泄气、起火或爆炸

8.2.1.5测试通过准则

8.2.2防止电池单体过放电后再充电导致热失控

8.2.2.1测试且的

电池管理系统应监测电池单体电压，当电池单体电压值低于安全阈值时，使动力蓄电池系统在 FTTI时间内进入安全状态，在电池单体过放电故障退出、消除条件未满足时，不应退出安全状态。

8.2.2.2测试对象

测试对象为电池管理系统，

GB/T39086—2020

8.2.2.3测试要求

8.2.2.3.1模拟环境下测试应满足如下要求： a) 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； 测试应针对7.2.2规定的运行模式； C 模拟电池单体电压信号，进行测试： d） 调节模拟的电池单体电压信号，电池单体电压应至少包含低于安全阈值、达到安全阈值及高于 安全阅值三个电压取值； e 测试应对电池管理系统进入安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； f 测试应对电池管理系统退出安全状态的条件进行监控。 8.2.2.3.2 真实环境下测试应满足如下要求： 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b) 测试应针对7.2.2规定的运行模式； C） 测试对象所在的电池系统应由电池系统制造商许可的放电倍率进行放电，直到低于安全阈值； d 测试应对电池管理系统进入安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； e）测试应对电池管理系统退出安全状态的条件进行监控

8.2.2.4测试结束条件

8.2.2.4.1 a） 测试对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态； 测试对象在故障容错时间间隔内进人安全状态，意外退出安全状态； 测试对象在故障容错时间间隔内未进人安全状态。 8.2.2.4.2 当符合以下任一条件时，结束真实环境下测试： 测试对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态； b） 测试对象在故障容错时间间隔内进入安全状态，意外退出安全状态； c 测试对象在故障容错时间间隔内未进人安全状态； 测试对象所在电池系统发生漏液、泄气、起火或爆炸

8.2.2.5测试通过准则

测试对象在故障容错时间间隔内进 无意外退出安全状态

8.2.3防止电池单体过温导致热失控

8.2.3.1测试且的

电池管理系统监测电池 更动力蓄电池系统在 TTI时间内进人安全状态，在电 不应退出安全状态。

8.2.3.2测试对象

测试对象为电池管理系统

测试对象为电池管理系统。

8.2.3.3测试要求

2.3.3.1模拟环境下测试应满足如下要求： a）影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b）测试应针对7.3.2规定的运行模式：

GB/T390862020

） 模拟电池单体温度信号，进行测试； d）模拟的电池单体温度信号，电池单体温度应至少包含低于安全阈值、达到安全阈值及高于安全 阅值3个温度取值； e 测试应对电池管理系统进人安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； f 测试应对电池管理系统退出安全状态的条件进行监控。 8.2.3.3.2真实环境下测试应满足如下要求： a） 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b） 测试应针对7.3.2规定的运行模式： 测试对象所在的电池系统应由电池系统制造商许可的充放电倍率进行充放电或者其他电池系 统制造商推荐的电池单体加热方法，直到电池单体温度高于安全阈值； 测试应对电池管理系统进入安全状态的过程（例如，安全阅值、时间、状态切换）进行监控； 测试应对电池管理系统退出安全状态的条件进行监控

c）模拟电池单体温度信号，进行测试； d）模拟的电池单体温度信号，电池单体温度应至少包含低于安全阈值、达到安全阈值及高于安全 阅值3个温度取值； e 测试应对电池管理系统进人安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； f 测试应对电池管理系统退出安全状态的条件进行监控。 8.2.3.3.2真实环境下测试应满足如下要求： a） 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b） 测试应针对7.3.2规定的运行模式： 测试对象所在的电池系统应由电池系统制造商许可的充放电倍率进行充放电或者其他电池系 统制造商推荐的电池单体加热方法，直到电池单体温度高于安全阈值； 测试应对电池管理系统进人安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； e） 测试应对电池管理系统退出安全状态的条件进行监控

8.2.3.4测试结束条件

3.2.3.4.1当符合以下任一条件时，结束模拟环境下测试： a）测试对象在故障容错时间间隔内进人安全状态，并无意外退出安全状态； b 测试对象在故障容错时间间隔内进入安全状态，意外退出安全状态； c 测试对象在故障容错时间间隔内未进入安全状态， 3.2.3.4.2当符合以下任一条件时，结束真实环境下测试： a 测试对象在故障容错时间间隔内进人安全状态，并无意外退出安全状态； b） 测试对象在故障容错时间间隔内进入安全状态，意外退出安全状态； C 测试对象在故障容错时间间隔内未进入安全状态； 口 测试对象所在电池系统发生漏液、泄气、起火或爆炸

8.2.3.5测试通过准则

测试对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态。 2.4防止动力蓄电池系统过流导致热失控

8.2.4.1测试目的

电池管理系统应监测蓄电池系统电流，当动力蓄电池系统电流值高于安全阈值时，使动力蓄电池系 统在FTTI时间内进入安全状态。在蓄电池系统过流故障退出、消除条件未满足时，不应退出安全 状态

8.2.4.2测试对象

测试对象为电池管理系统

8.2.4.3测试要求

4.3.1模拟环境下测试应满足如下要求： a）影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b）测试应针对7.4.2规定的运行模式； c）模拟动力蓄电池系统电流信号，进行测试； d）测试需要考虑影响电流安全阈值的参数，例如温度等：

4.3.1模拟环境下测试应满足如下要求： a）影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b）测试应针对7.4.2规定的运行模式； c）模拟动力蓄电池系统电流信号，进行测试； d）测试需要考虑影响电流安全阈值的参数例如温度等

e）调节模拟的动力蓄电池系统电流信号，动力蓄电池系统电流应至少包含低于安全值、达到安 全阈值及高于安全阈值三个电流取值； f 测试应对电池管理系统进入安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； g） 测试应对电池管理系统退出安全状态的条件进行监控。 8.2.4.3.2 真实环境下测试应满足如下要求： a） 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b） 测试应针对7.4.2规定的运行模式； 测试对象所在的电池系统应由电池系统制造商许可的充放电倍率的变化速率逐步提高充放电 电流进行充放电，直到电流超过安全國值； 测试需要考虑影响电流安全國值的参数，例如温度等； e 测试应对电池管理系统进人安全状态的过程（例如，安全國值、时间、状态切换）进行监控： ） 测试应对电池管理系统退出安全状态的条件进行监控

e）调节模拟的动力蓄电池系统电流信号，动力蓄电池系统电流应至少包含低于安全值、达到安 全阅值及高于安全阈值三个电流取值； f 测试应对电池管理系统进入安全状态的过程（例如，安全阈值、时间、状态切换）进行监控； g） 测试应对电池管理系统退出安全状态的条件进行监控。 8.2.4.3.2 真实环境下测试应满足如下要求： a） 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； b） 测试应针对7.4.2规定的运行模式； 测试对象所在的电池系统应由电池系统制造商许可的充放电倍率的变化速率逐步提高充放电 电流进行充放电，直到电流超过安全國值； 测试需要考虑影响电流安全國值的参数，例如温度等； e 测试应对电池管理系统进人安全状态的过程（例如，安全國值、时间、状态切换）进行监控： 测试应对电池管理系统退出安全状态的条件进行监控

8.2.4.4测试结束条件

3.2.4.4.1当符合以下任一条件时，结束模拟环境下测试： a） 测试对象在故障容错时间间隔内进人安全状态，并无意外退出安全状态； b) 测试对象在故障容错时间间隔内进入安全状态，意外退出安全状态； ） 测试对象在故障容错时间间隔内未进人安全状态。 3.2.4.4.2 当符合以下任一条件时，结束真实环境下测试： a） 测试对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态： b) 测试对象在故障容错时间间隔内进人安全状态，意外退出安全状态； c） 测试对象在故障容错时间间隔内未进人安全状态； 测试对象所在电池系统发生漏液、泄气、起火或爆炸

8.2.4.5测试通过准则

8.3.1防止电池单体过充电导致热失控

8.3. 1. 1且的

确认安全目标防止电池单体过充电导致热失控”得到正确实现，并能够有效预防由于电池单体 导致热失控的发生。

8.3.1.2确认对象

确认对象为动力蓄电池系统

确认对象为动力蓄电池系统。

8.3.1.3确认要求

确认应满足如下要求： a） 影响确认对象功能并与确认结果相关的所有设备都应处于正常运行状态； b） 确认应在整车层面进行，至少包含真实的电池系统，基于车辆的实际工况或者模拟的车辆实际 工况； 注1：车辆的实际工况至少包含危害分析和风险评估中最严苛工况。

通以险两定灿下安求： a）影响确认对象功能并与确认结果相关的所有设备都应处于正常运行状态； b） 确认应在整车层面进行，至少包含真实的电池系统，基于车辆的实际工况或者模拟的车辆实 工况； 注1：车辆的实际工况至少包含危害分析和风险评估中最严苛工况。

GB/T390862020

确认应包含违背安全目标的典型失效模式； 注2：典型失效模式包含危害分析和风险评估中导出该安全目标的功能异常，如非预期的充电 1 确认应对动力蓄电池系统进人安全状态的过程（例如，安全阅值、时间和状态切换）进行监控； e）确认应对动力蓄电池系统的状态进行监控； 确认应对动力蓄电池系统退出安全状态的条件进行监控； g）确认结束后，应在确认环境温度下观察1h

8.3.1.4确认结束条件

当符合以下任一条件时，结束试验： a 确认对象在故障容错时间间隔内进人安全状态，并无意外退出安全状态，并且电池未发生漏 液、泄气、起火或爆炸； b） 确认对象在故障容错时间间隔内进入安全状态，意外退出安全状态； C 确认对象在故障容错时间间隔内未进入安全状态； d）确认对象发生漏液、泄气、起火或爆炸

8.3.1.5确认通过准则

确认对象在故障容错时间间隔内进人安全状态，无意外退出安全状态，并且在观察时间内未发生漏 液、泄气、起火或爆炸

8.3.2防止电池单体过放电后再充电导致热失控

确认安全目标“防止电池单体过放电后再充电导致热失控”得到正确实现，并能够有效预防由于电 池单体过放电后再充电导致热失控的发生

8.3.2.2确认对象

确认对象为动力蓄电池系统。

8.3.2.3确认要求

确认应满足如下要求： a）影响确认对象功能并与确认结果相关的所有设备都应处于正常运行状态 D 确认应在整车层面进行，至少包含真实的电池系统，车辆的实际工况或者模拟车辆使用的 工况； 注1：车辆的实际工况至少包含危害分析和风险评估中最严苛工况 确认应包含违背安全目标的典型失效模式： 注2：典型失效模式包含危害分析和风险评估中导出该安全目标的功能异常，如非预期的放电。 确认应对动力蓄电池系统进人安全状态的过程（例如，安全阈值、时间和状态切换）进行监控； 确认应对动力蓄电池系统的状态进行监控； 确认应对动力蓄电池系统退出安全状态的条件进行监控； g） 确认结束后，应在确认环境温度下观察1h

确认应满足如下要求： a）影响确认对象功能并与确认结果相关的所有设备都应处于正常运行状态； b） 确认应在整车层面进行，至少包含真实的电池系统，车辆的实际工况或者模拟车辆使用的 工况； 注1：车辆的实际工况至少包含危害分析和风险评估中最严苛工况 C 确认应包含违背安全目标的典型失效模式： 注2：典型失效模式包含危害分析和风险评估中导出该安全目标的功能异常，如非预期的放电。 d 确认应对动力蓄电池系统进人安全状态的过程（例如，安全阈值、时间和状态切换）进行监控； e） 确认应对动力蓄电池系统的状态进行监控； f 确认应对动力蓄电池系统退出安全状态的条件进行监控； g 确认结束后，应在确认环境温度下观察1h。

8.3.2.4确认结束条件

当符合以下任一条件时，结束确认： a）确认对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态，并且电池未发

液、泄气、起火或爆炸； 确认对象在故障容错时间间隔内进人安全状态，意外退出安全状态； 确认对象在故障容错时间间隔内未进人安全状态； d）确认对象发生漏液、泄气、起火或爆炸，

8.3.2.5确认通过准则

确认对象在故障容错时间间隔内进入安全状态，无意外退出安全状态，并且在观察时间内未发生 泄气、起火或爆炸

8.3.3防止电池单体过温导致热失控

确认安全目标“防止电池单体过温导致热失控”得到正确实现，并能够有效预防由于电池单体过温 导致热失控的发生

8.3.3.2确认对象

确认对象为动力蓄电池系统

确认对象为动力蓄电池系统

8.3.3.3确认要求

确认应满足如下要求： 影响测试对象功能并与确认结果相关的所有设备都应处于正常运行状态； b 确认应在整车层面进行，至少包含真实的电池系统，车辆的实际工况或者模拟车辆使用的 工况； 注1：车辆的实际工况至少包含危害分析和风险评估中最严苛工况。 C 确认应包含违背安全目标的典型失效模式： 注2：典型失效模式包含危害分析和风险评估中导出该安全目标的功能异常，如高温下充电 d 确认应对动力蓄电池系统进入安全状态的过程（例如，安全阈值、时间和状态切换）进行监控； e 确认应对动力蓄电池系统的状态进行监控； 确认应对动力蓄电池系统退出安全状态的条件进行监控； 确认结束后，应在确认环境温度下观察1h

8.3.3.4确认结束条件

当符合以下任一条件时，结束确认： 确认对象在故障容错时间间隔内进入安全状态，并无意外退出安全状态，并且电池未发生漏 液、泄气、起火或爆炸； D 确认对象在故障容错时间间隔内进人安全状态，意外退出安全状态； 确认对象在故障容错时间间隔内未进人安全状态； d） 确认对象发生漏液、泄气、起火或爆炸，

8.3.3.5确认通过准则

确认对象在故障容错时间间隔内进人安全状态，无意外退出安全状态，并且在观察时间内未发生 世气、起火或爆炸

8.3.4防止动力蓄电池系统过流导致热失控

GB/T390862020

拥以安生日协防正备电 过流导致热失控的发生

8.3.4.2确认对象

确认对象为动力蓄电池系统

8.3.4.3确认要求

确认应满足如下要求： 影响测试对象功能并与测试结果相关的所有设备都应处于正常运行状态； D 确认应在整车层面进行，至少包含真实的电池系统，车辆的实际工况或者模拟车辆使用的 工况； 注1：车辆的实际工况至少包含危害分析和风险评估中最严苛工况 C 确认应包含违背安全目标的典型失效模式； 注2：典型失效模式包含危害分析和风险评估中导出该安全目标的功能异常，如超过预期电流充电， d 确认需要考虑影响电流安全阈值的参数，例如温度等； e 确认应对动力蓄电池系统进人安全状态的过程（例如，安全阈值、时间和状态切换）进行监控； f 确认应对动力蓄电池系统的状态进行监控； 8 确认应对动力蓄电池系统退出安全状态的条件进行监控； h 确认结束后三层标准规范范本，应在确认环境温度下观察1h

8.3.4.4确认结束条件

当符合以下任一条件时，结束确认： a 确认对象在故障容错时间间隔内进人安全状态，并无意外退出安全状态，并且电池未发生漏 液、泄气、起火或爆炸； b） 确认对象在故障容错时间间隔内进入安全状态，意外退出安全状态； 确认对象在故障容错时间间隔内未进入安全状态； d 确认对象发生漏液、泄气、起火或爆炸

公差标准8.3.4.5确认通过准则

确认对象在故障容错时间间隔内进人安全状态，无意外退出安全状态，并且在观察时间内未发 、泄气、起火或爆炸。

GB/T39086—2020