2015年12月16-17日，作为国内新能源汽车技术交流最具影响力的峰会，2015第二届中国新能源汽车高峰论坛暨总工技术交流会在深圳隆重召开。峰会历时两天，以“整车安全设计及技术路线、关键零部件安全设计及测试、新能源汽车整车及关键零部件安全测试与标准、新能源汽车运营模式创新及电动物流车产业发展”为主题，共举办三十余场主题演讲、2场互动沙龙、2场行业专家及技术总工交流会、10余场高端访谈。本届大会高举技术交流的大旗，务实而接地气，吸引了近600人到场参会。电动汽车资源网作为大会主办方和电动汽车行业专业网上平台，对本次峰会做全面回顾和总结。
在本次大会上，国家汽车质量监督检验中心（襄阳）倪新宇主任做主题为“单点失效与电动汽车安全”的精彩演讲。以下为倪新宇演讲主要内容：
一、为什么说电动汽车是危险的电气设备
1.1近年来，新能源公交车接连发生多起安全事故，绝大部分的事故都和电池有关。
1.2电动公交车体量大载能多；电池容量是乘用车十几倍。与乘用车相比，电池出问题的概率也大，保障安全的难度更大。比亚迪大巴车电池容量600Ah，电压520V，是日产LEAF的15倍。
1.3用于电池的材料大都易燃易爆的危险品，100Ah的锂离子电芯相当于308.5克TNT炸药能量，是手榴弹的3倍多。发生事故无法施救。
1.4可以说，2015年事故频发是潜在问题积累到一定程度的爆发。
1.5中国汽车泰斗孟少农曾经说过：造卡车是小学生水平，造轿车是大学生水平。对电动汽车而言恰恰相反。造电动乘用车是小学生水平，造安全的电动大巴车是大学生水平。
因此，电动汽车不仅要考虑机械安全，更要考虑电气安全！保证产品生命周期电气安全是企业坚守的底线！
二、电动汽车的单点失效
2.1电动汽车绝大部分安全故障都与单点失效有关。越到产品生命周期终点，单点失效导致事故的概率越大。
2.2“单点失效”可以是部件也可以是系统也可以是软件。
2.3失效和安全是对立的统一，严重单点失效可能提前终止产品生命周期。
2.4检测合格不一定安全，检测不合格一定不安全，要重视产品的全过程安全检测！
2.5“单点失效”（single-point failure)的定义来自标准GB/T 18384-2015《电动汽车安全要求》第1部分3.5条：未采用安全机制进行保护的系统或系统中的部分(硬件、软件）的故障而导致的失效。GB/T 18384-2015核心内容是围绕电动汽车“单点失效”展开的。GB/T 18384-2015《电动汽车安全要求》有三个部分：第1 部分：车载可充电储能系统；第2 部分：运行安全和故障防护；第3 部分：人员触电防护。标准等效采用ISO 6469.1.2-2009（ISO 6469.3是2011版）。
2.6“单点失效”来源于功能安全的概念，和正在制定的《道路车辆 功能安全》系列标准20120222-T-339~20120231-T-339有关。
2.7在标准中单点失效和事故有必然联系，有显现的也有隐藏的，隐藏的更危险。
2.8“单点失效”和产品的设计、结构、材料、工艺、环境等有关。要解决单点失效只有在源头下功夫。
三、电动汽车单点失效的防护
3.1超级电容单点失效案例
现象：某新能源客车超级电容莫名其妙烧蚀，经过在现场勘查发现，发热点大都在模块正负极输出电容极柱部位。该部位电容单体最先燃烧，后波及相邻的电容发生燃烧。
初步分析：电容接线端子发热导致电容发热，内部隔膜受损，至使电容极板短路，引起发热冒烟起火直至整个电容烧毁。
问题判断：接线端子和电容的电极之间接触电阻过大导致大电流发热
结论：电容极柱和接线端子结构不合理，接触面连接不可靠，存在单点失效隐患。
措施：降低接触电阻，改变接线方式
3.2标准第1部分，REESS单点失效的防护
3.2.1 REESS的绝缘电阻单点失效
绝缘电阻是指B级电压带电部件端子与电底盘之间的电阻。当电动汽车绝缘材料的老化破损，雨天洗车电池系统进水，车辆碰撞等等，都会导致绝缘电阻降低使人触电。正常Ri＞100Ω/Ｖ。
绝缘电阻失效致人触电的例子如下：
3.2.2有害气体和其他有害物质排放单点失效防护
正常情况下，电池会产生有害气体，达到一定浓度可能引起中毒失火，比如镍氢电池释放氢气。企业应有应对措施如隔离、通风、报警。
3.2.3REESS因短路、过充过放、热失控等造成可能危害乘员的单点失效，应采取适宜的防护措施。比如， BMS的热管理，应急断电等等。
3.2.4REESS应有一个过电流断开装置，能在厂商规定的条件下断开REESS电路，以防止单点失效对人员、车辆和环境造成危害。
3.3标准第2部分，功能的单点失效防护
3.3.1车辆从驱动系统电源切断状态到“可行驶模式”应至少经过两次有意识的不同动作。如果下一个动作还没有做，车辆就动了视为单点失效。
3.3.2从“可行驶模式”到驱动系统电源切断状态只需要一个动作。
3.3.3从动力电源到驱动电路的主开关是驱动系统电源接通/断开程序的必要部分。如果驱动系统的电源接通/断开程序是通过车钥匙激活的，则应该符合相关安全设计的要求。如果主开关功能失效导致不能切断电源视为单点失效。
3.3.4应该连续的或间歇的向驾驶员指示，车辆已经处于“可行驶模式”。
3.3.5车辆停止时，驱动系统自动或手动关掉后，只能通过上述程序重新进入“可行驶模式”。
3.3.6车辆和外部电源的物理连接的单点失效
车载可充电储能系统（REESS）通过车辆外电源充电时，应不能通过其自身的驱动系统移动。车辆应带有防护装置防止移动(单点失效)。
3.3.7行驶功能的单点失效防护
如果REESS的低电量影响到车辆的行驶，应通过一个明显的信号装置（例如：声或光信号）向驾驶员提示：
a）当车辆处在低电量状态时，通过其自身的驱动系统能够使车辆驶出交通区域；SOC显示误差导致车辆中途抛锚，江淮老总遇到过。
b）当动力蓄电池作为辅助电路的直流电源时，其最小的剩余电量应能为照明系统提供所需的电量。
3.3.8正向行驶切换到反向行驶
不管是通过驾驶员两个不同的操作动作来完成还是仅通过驾驶员的一个操作动作来完成，转换只有在车辆静止或低速时才能够完成。
如果用变速箱或齿轮箱来实现切换的，则应满足内燃机车辆的国家有关规定。
3.3.9驻车
当驾驶员离开车辆时，如果驱动系统仍处于“可行驶模式”，则应通过一个明显的信号装置（例如：声或光信号）提示驾驶员。
切断电源后车辆即不能产生由自身电驱动系统造成的不期望的行驶。如增加电子驻车装置，和声光报警。
3.3.10电磁兼容
电动汽车电磁兼容应满足相关标准的要求。电磁兼容的作用不容忽视，它可能会造成控制系统单点失效。
3.3.11低速提示音
模拟发动机声音或蜂鸣器提示行人。
3.3.12车辆不希望的动作
应尽量避免或防止由车辆特有系统和部件的硬件或软件单点失效所引起的不希望的加速、减速及倒车。
在控制策略中要有考虑，特别是电磁兼容的考虑，电磁干扰可能导致电子部件的单点或多点失效。
3.3.13企业要对功能单点失效进行评估并防护
针对电动汽车系统和组件的设计应考虑故障安全设计。
功能安全，涉及面很广，要对有可能发生的功能单点失效在设计时就要考虑。应建立有关体系，对采用的措施，应该有大量的实验验证。这是一项系统工程。上面介绍的只是部分单点失效，可能还有更多，举一反三。
3.3.14用户手册
在用户使用手册中应特别注明电动汽车操作安全和故障防护特殊的方面。
特别是使用安全、充电安全、洗车、存放等的指导意见。如果该说明的没有说明而且与安全有关的，比如对充电的操作要求等。用户手册内容不全可能导致法律纠纷。
3.3.15标识
车辆标识应与相关法规一致。车辆标识一定要重视,不能可有可无。该贴的没贴也可以视为单点失效。
3.3.16紧急响应
厂家应向安全人员和紧急响应者提供关于车辆事故处理的信息。对拖车、破拆救援等的指导意见，这个很重要。
3.4 标准第3部分：人员触电的单点失效防护
3.4.1高压警告标记
B 级电压的电能存储系统，如REESS 和燃料电池堆，应标记高压警告符号。符号的底色为黄色，边框和箭头为黑色。按照GB 2893、GB 2894 和GB/T 5465.2。
高压警告符号
当移开遮栏或外壳可以露出B 级电压带电部分时，遮栏和外壳上也应有同样的符号清晰可见。当评估是否需要此符号时，应当考虑遮栏/外壳可进入和可移开的情况。
3.4.2人员触电防护的方法和要求
防止发生人与带电部分直接接触方法：绝缘（4种绝缘方式），遮挡，绝缘电阻监控，接地。
发生单点失效情况下的防护方法：降低电压，自动断电。
应持续或间歇的监测绝缘电阻，如发现绝缘电阻损失，应有适当的警告。所有的B级电压电路带电部件都应该遮挡或绝缘。
应防止人员与B级电压电路的带电部分直接接触。应通过以下两种方式或其中一种来实现防护：1.带电部分的基本绝缘；2.遮栏或外壳，防止接近带电部分。
遮栏或外壳可以是导体也可以是绝缘体。
电位均衡单点失效的防护：B级电压电气设备的外露可导电部分，包括外露可导电的遮栏和外壳，应当根据6.9节的要求连接到电平台以保持电位均衡。
B级电压电容耦合电路的单点失效触电防护：
B级电压电位和电平台之间的电容耦合通常由Y电容器或寄生电容耦合产生，任何带电的B级电压带电部件和电平台之间的总电容在其最大工作电压时所存储的能量应小于0.2J。
用GB 4943.1的方法测量，流过人体的交流电流不应超过5mA；
双重绝缘或加强绝缘替代基本绝缘；
在车辆整个使用寿命中，使用有足够机械强度和耐久性的刚性遮栏/外壳。
应急断电要求
监测电路发现B级电压电路单点失效事故作为判断条件，切断供电的电路应在所设定的时间内满足下列条件之一：
—交流电路电压应降低到30V a.c.(rms)，直流电路电压应降低到60V d.c.，或以下；
—电路存储的总能量小于0.2J。
为了防止单点失效，车辆制造厂商应进行适当的危害分析并建立一系列预防单点失效情况下触电的有效防护措施。可以采取更多的手段。
对绝缘材料要求
通过绝缘材料来提供触电防护的电气系统的带电部分应当全部用绝缘体包裹，并且除非破坏否则无法去掉。缠胶带是不可以的
绝缘材料应能承受电动汽车及其系统的温度等级和最大工作电压。
绝缘体应有足够的耐电压能力。进行耐压试验不应发生绝缘击穿或电弧现象。要经过耐压试验的。
通过遮栏/外壳防止单点失效要求
带电部分应当布置在外壳里或遮栏后，防止从任何通常的方向上接近带电部分。有些大巴车的电池和乘员舱之间只隔了一层纤维板，强度很低。
遮栏/外壳在正常的运行条件下应可以提供足够的机械阻力。
如果遮栏/外壳允许直接进入，则只能通过工具或维修钥匙打开或去掉，或者有某种方法使B级电压带电部分断电，例如互锁。
遮栏/外壳应至少满足GB 4208中规定的IPXXB防护等级的要求。
客舱和行李舱的遮栏/外壳应至少满足GB 4208中规定的IPXXD防护等级的要求。
如果连接部分可以不用工具断开，且在不接驳的情况下带B级电压，则在未连接的情况下应至少满足GB 4208中规定的IPXXB的要求。
充电接口的绝缘电阻要求，接地要求参见GB/T20234。
防止单点失效的绝缘电阻要求（直流母线和交流母线要求不同）
在最大工作电压下，直流电路绝缘电阻的最小值应至少大于100Ω/V，交流电路应至少大于500Ω/V。
每个组件应有更高的绝缘电阻。
如果直流和交流的B级电压电路可导电的连接在了一起，则应满足以下两种选择中的一种：
—选择1：组合电路至少满足500Ω/V的要求，或者，
—选择2：如果交流电路至少应用了一种6.7.2节规定的附加防护方法，则组合电路应至少满足100Ω/v的要求。
为保险起见，交流电路最好有附加防护
应该用以下方法的一种或多种方法来起到单点失效后的防护作用：
—用双重绝缘或加强绝缘替代基本绝缘；
—附加一层或多层绝缘体、遮栏和/或外壳；
—在车辆的整个寿命期间，采用有足够的机械强度和耐久度的刚性遮栏/外壳来应对故障。
绝缘协调单点失效防护
B级电压的组件和线束应满足电气间隙、爬电距离和固体绝缘的相关要求。参见GB/T 16935。
电位均衡单点失效防护
所有组成电位均衡电流通路的组件（导体、连接部分）应能承受单点失效情况下的最大电流。
电位均衡通路中任意两个可以被人同时触碰到的外露可导电部分之间的电阻应不超过0.1Ω。
所有接入电底盘的导线要有足够的导电面积，保证接触电阻足够小。
车辆充电插座的单点失效防护
车辆充电接口在断开时应至少满足下述一种要求：
—使传导连接到电网的电路在1s内断电，断电电路应满足交流电路电压应降低到30V a.c.(rms)，直流电路电压应降低到60V d.c.，或以下；电路存储的总能量小于0.2J。对非车载充电机或充电桩而言
—满足GB 4208中规定的IPXXB的要求并在厂商规定的时间内断电。
车辆充电插座接地和绝缘电阻的要求
传导连接到电网的车辆充电插座
车辆充电插座传导连接到电网，应有一个端子将电平台与电网的接地部分连接。
充电接口的绝缘电阻，包括充电时传导连接到电网的电路，当充电接口断开时，至少要1MΩ。
非传导连接到电网的车辆充电插座（快充插座）
车辆充电插座的绝缘电阻，包括充电时传导连接到车辆充电插座的电路，当充电接口断开时，应满足6.7节的要求。
如果需要电位均衡，应有端子将车辆电平台和外接电源的保护接地（PE）相连接。
四、电动汽车单点失效的测试
4.1测量绝缘电阻遇到的三种情况：
①测不到U1、U2
低温环境仓，对小车可以大车难办
假想绝缘电阻，并电阻，监控报警
②U1=U2
绝缘电阻无穷大
③U1、U2不稳定
耗时比较多，相对稳定再测，如果还不行取中间值
4.2三种测量电阻的方法区别：
①测量电压法计算绝缘电阻（REESS）
②用电阻仪直接测量电阻（B级电压电路）
③用直流电源测量电阻或用微欧计（电位均衡）
4.3电气间隙和爬电距离，电解液泄露导致漏电，严重会造成短路
用软尺或皮尺或绒线测量，不能用导体量规测量
a）两个蓄电池连接端子间的爬电距离： d≥0.25U+5（只是最低要求）
b）带电部件与电底盘之间的爬电距离： d≥0.125U+5（只是最低要求）
4.4 В级电压电路绝缘电阻测量的环境要求
准备和测量
测量之前，被测设备应该在温度(5±2)℃下准备至少8小时，而后进行温度 (23±5)℃ ，湿度
，气压86kPa~106kPa条件下的8小时测量阶段，以达到露点。
如果其他的环境参数可以在测量阶段很快达到露点，则可以采用其他环境参数。
绝缘电阻的测量应该在出现露点的阶段，以适当的频次进行测量，以便得到绝缘电阻的最小值。
4.5 B级电压电源和负载在一起的绝缘电阻的测量
REESS绝缘电阻的测量和整个传导连接的B级电压电路绝缘电阻应按照GB/T 18384.1的要求进行。
如果电路中有电力或电子开关（例如IGBT），那些开关应该处于激活状态。如果那些开关不能激活，则电路中的相关部分应按照7.2.2的规定单独测量。
如果不能直接测量，整个传导连接的电路的绝缘电阻可以通过已测量的REESS电阻和电力系统负载电阻计算获得。
