特斯拉電池管理系統(tǒng)召回事件解讀及建議
2022-11-29 中國質(zhì)量萬里行 點(diǎn)擊：次
文/李彥夫 孫亮亮
日前，特斯拉汽車（北京）有限公司、特斯拉（上海）有限公司根據(jù)《缺陷汽車產(chǎn)品召回管理?xiàng)l例》和《缺陷汽車產(chǎn)品召回管理?xiàng)l例實(shí)施辦法》的要求，向國家市場監(jiān)督管理總局備案了召回計(jì)劃，決定自即日起召回以下車輛：其中包括生產(chǎn)日期在2013年9月25日至2020年11月21日期間的部分進(jìn)口Model S、Model X電動(dòng)汽車，共計(jì)67698輛。
本次召回范圍內(nèi)的部分車輛由于軟件問題，可能出現(xiàn)動(dòng)力電池電壓感測回路反饋電壓與電磚真實(shí)電壓不一致，導(dǎo)致電池管理系統(tǒng)誤判，車輛屏幕顯示“需要維修”、“安全停靠車輛”等警示，車輛會(huì)逐步停止動(dòng)力輸出，極端情況下可能增加車輛發(fā)生碰撞事故的風(fēng)險(xiǎn)，存在安全隱患。
圖 1 特斯拉汽車（北京）有限公司所在地華貿(mào)大廈一層的特斯拉專賣店
特斯拉汽車（北京）有限公司表示，將通過汽車遠(yuǎn)程升級（OTA）技術(shù)，為召回范圍內(nèi)的車輛免費(fèi)升級軟件，升級后的車輛增加了感測回路電壓誤報(bào)的判斷能力，在極端情況下如果在行駛過程中檢測到電壓感測回路異常，車輛會(huì)保持持續(xù)的動(dòng)力輸出直到當(dāng)前駕駛循環(huán)結(jié)束并駐車，建議用戶按照車機(jī)提示將車輛駕駛至安全位置或靠邊停車。對于無法通過汽車遠(yuǎn)程升級（OTA）技術(shù)實(shí)施召回的車輛，特斯拉汽車（北京）有限公司將通過特斯拉服務(wù)中心聯(lián)系相關(guān)用戶，為車輛免費(fèi)升級軟件，以消除安全隱患（引用1）。
初步研判：BMS某個(gè)判斷回路設(shè)計(jì)存在缺陷
在此次召回中，雖然我們看不到特斯拉官方披露的電池管理系統(tǒng)（BMS）結(jié)構(gòu)圖和具體代碼，但是根據(jù)國家市場監(jiān)管總局缺陷產(chǎn)品管理中心官網(wǎng)發(fā)布的信息，以及國際權(quán)威期刊(Journal of Power Sources)發(fā)表的文章中的特斯拉BMS系統(tǒng)示意圖（見圖2），我們可以做出一個(gè)大致的判斷：那就是BMS中，某個(gè)判斷回路設(shè)計(jì)存在缺陷，這就相當(dāng)于軟件工程中，在控制器和執(zhí)行器之間的反饋信號通路上存在問題。
圖 2 特斯拉電池管理系統(tǒng)示意圖（引用2）
回放該批次召回車輛屏幕顯示“需要維修”、“安全停靠車輛”等警示場景，我們據(jù)此初步研判，根據(jù)特斯拉該BMS系統(tǒng)最初的設(shè)計(jì)思想，應(yīng)該是由控制器直接下達(dá)指令給執(zhí)行器，但是，由于沒有設(shè)計(jì)任何管控機(jī)制，從而有可能造成“出現(xiàn)動(dòng)力電池電壓感測回路反饋電壓與電磚真實(shí)電壓不一致，導(dǎo)致電池管理系統(tǒng)誤判”這種情況，也就是在汽車的動(dòng)力電池還處于健康狀態(tài)下的時(shí)候，系統(tǒng)仍然有可能會(huì)發(fā)生誤判，認(rèn)為某塊電磚存在故障。隨即，“車輛屏幕顯示‘需要維修’、‘安全�？寇囕v’等警示，車輛會(huì)逐步停止動(dòng)力輸出”。其實(shí)際的響應(yīng)方式是，直接切斷車輛的動(dòng)力，車輛會(huì)在駕駛員沒有制動(dòng)的情況下迅速減速，直至停車。
可以說，這種響應(yīng)設(shè)計(jì)是非常危險(xiǎn)的：如果當(dāng)時(shí)駕駛員正常行駛在高速路面上，同時(shí)，高速路上車流量較大，此刻若發(fā)生了BMS對電池健康狀況的誤判，就必然造成車輛的緊急減速。也即“極端情況下可能增加車輛發(fā)生碰撞事故的風(fēng)險(xiǎn)，存在安全隱患”。
圖 3 特斯拉進(jìn)駐中國境內(nèi)多家大型商場
特斯拉的解決方案：BMS軟件升級
我們再看看特斯拉對此問題提出的解決方案：通過OTA給BMS軟件升級，以增強(qiáng)檢測電壓感測回路的能力。這個(gè)升級有可能是增加檢測電壓感測回路，或者增加從執(zhí)行器到控制器的信號反饋回路。
從系統(tǒng)可靠性理論的角度來看，這樣就為“感測回路電壓”功能增加了數(shù)據(jù)冗余，讓BMS對電磚的健康狀態(tài)進(jìn)行更為準(zhǔn)確的判斷，監(jiān)測汽車的動(dòng)力電池是否真的有問題，減少誤判。
在此基礎(chǔ)之上，特斯拉對與之相關(guān)的后續(xù)響應(yīng)也進(jìn)行了改善，也就是說OTA以前，當(dāng)BMS系統(tǒng)發(fā)現(xiàn)電池有問題，它會(huì)馬上切斷車輛的供電，導(dǎo)致車輛迅速停車；OTA后，當(dāng)BMS系統(tǒng)發(fā)現(xiàn)電池有問題，則不會(huì)切斷車輛的供電，而是立刻向司機(jī)發(fā)出警示，提醒司機(jī)根據(jù)實(shí)際路況進(jìn)行停車檢查。這樣一來，整體的交通安全就得到了更有效的保障。
由此引出的思考：亟待建立第三方軟件安全評估機(jī)制
通過這一案例，我們還可以做進(jìn)一步的思考，比如消費(fèi)者看到特斯拉BMS問題也許會(huì)發(fā)出質(zhì)疑：為何此類設(shè)計(jì)上的缺陷會(huì)出現(xiàn)在批準(zhǔn)量產(chǎn)的汽車上？為什么該缺陷沒有被及時(shí)發(fā)現(xiàn)并整改？
針對這個(gè)疑問，我們可以從質(zhì)量監(jiān)管的角度來分析，就是我國尚未啟動(dòng)與汽車軟件安全相關(guān)的第三方評估機(jī)制。我們應(yīng)該通過設(shè)立一個(gè)中立的、專業(yè)的汽車軟件設(shè)計(jì)評價(jià)機(jī)構(gòu)，對此類安全相關(guān)的軟件設(shè)計(jì)進(jìn)行評價(jià)，從而補(bǔ)上這個(gè)缺口。雖然現(xiàn)在各家主機(jī)廠的BMS數(shù)據(jù)都會(huì)按照GB/T32960《電動(dòng)汽車遠(yuǎn)程服務(wù)與管理系統(tǒng)技術(shù)規(guī)范》，通過實(shí)施監(jiān)測系統(tǒng)（RTM）統(tǒng)一上傳到工信部指定的數(shù)據(jù)庫中，并進(jìn)行實(shí)時(shí)監(jiān)管，但是，像特斯拉此次召回事件中所暴露出的設(shè)計(jì)缺陷，此前并沒有第三方對它進(jìn)行過技術(shù)上的評審。特斯拉通過此次召回，確實(shí)能夠?qū)υO(shè)計(jì)上的缺陷進(jìn)行優(yōu)化，實(shí)現(xiàn)軟件功能從理想化到現(xiàn)實(shí)化的跨越。
但實(shí)際上，我們也許可以借鑒傳統(tǒng)油車的設(shè)計(jì)經(jīng)驗(yàn)，來更好地為電動(dòng)車的發(fā)展助力。比如，德國大眾汽車的經(jīng)驗(yàn)，當(dāng)車輛的動(dòng)力管理系統(tǒng)監(jiān)測到問題的時(shí)候，它并不會(huì)直接給車輛切斷動(dòng)力，而是根據(jù)車輛自身各種功能的優(yōu)先等級，按照由低到高的順序，逐級切斷這些功能的動(dòng)力供應(yīng)。
當(dāng)我們在與德國汽車專家交流的時(shí)候，這一設(shè)計(jì)經(jīng)驗(yàn)給我們留下了非常深的印象。比如當(dāng)我們在討論電臺(tái)廣播/無線通信功能和空調(diào)功能的優(yōu)先等級高低時(shí)，我們往往認(rèn)為電臺(tái)廣播/無線通信功能一定是高于空調(diào)功能的；但是，德國的汽車專家告訴我們，空調(diào)的優(yōu)先等級排在電臺(tái)廣播/無線通信前面。
雖然電臺(tái)廣播/無線通信可以提供實(shí)時(shí)的通信信號，但實(shí)際上，當(dāng)動(dòng)力存在問題時(shí)，油車的動(dòng)力控制系統(tǒng)會(huì)首先切斷電臺(tái)廣播/無線通信功能，而空調(diào)功能的電源供應(yīng)仍然得到保障。這是因?yàn)樵谘谉峄驑O寒的環(huán)境下，空調(diào)功能是否能夠正常工作，直接關(guān)系到駕駛員的人身安全。其設(shè)計(jì)思路是：將保障人身安全作為汽車動(dòng)力供應(yīng)優(yōu)先等級排列的設(shè)定標(biāo)準(zhǔn)。
所以，當(dāng)新能源汽車考慮動(dòng)力管理問題時(shí)，是否能夠從傳統(tǒng)油車的設(shè)計(jì)理念中得到啟發(fā)，對其有所借鑒。事實(shí)證明，很遺憾特斯拉沒能吸收傳統(tǒng)油車的成功經(jīng)驗(yàn)，以保障人身安全作為BMS軟件設(shè)計(jì)的出發(fā)點(diǎn)。
此外，特斯拉的此次召回還暴露了一個(gè)問題：特斯拉召回的車輛，其生產(chǎn)日期最早能追溯到2013年9月25日，約九年時(shí)間已經(jīng)過去了。在這段時(shí)間里，無論是特斯拉內(nèi)部的設(shè)計(jì)團(tuán)隊(duì)，還是外部機(jī)構(gòu)，都未能及時(shí)發(fā)現(xiàn)并敦促特斯拉對該設(shè)計(jì)漏洞進(jìn)行改善。
綜上可見，在當(dāng)今汽車電動(dòng)化、網(wǎng)聯(lián)化、智能化、共享化的“新四化”時(shí)代，我國汽車市場亟需成立一批兼具專業(yè)性和權(quán)威性且足夠中立的評估檢測與科研機(jī)構(gòu)，針對各項(xiàng)新興技術(shù)在現(xiàn)實(shí)場景中的潛在設(shè)計(jì)缺陷與應(yīng)用安全隱患，開展橫向調(diào)研評估工作、專業(yè)性檢測工作，以及基于國際頂尖技術(shù)的前瞻性研究工作。
（作者單位：清華大學(xué)質(zhì)量與可靠性研究院 清華大學(xué)工業(yè)工程系）
引用1：https://dpac.samr.gov.cn/qczh/gnzhqc/202211/t20221125_108053.html
引用2：M. Ragone et. al., Data driven estimation of electric vehicle battery state-of-charge informed by automotive simulations and multi-physics modeling, Journal of Power Sources, Volume 483, 2021, 229108, ISSN 0378-7753, https://doi.org/10.1016/j.jpowsour.2020.229108.
掃碼投訴
京公網(wǎng)安備11010502034432號