特斯拉電池管理系統(tǒng)召回事件解讀及建議
2022-11-29 中國(guó)質(zhì)量萬(wàn)里行 點(diǎn)擊：次
文/李彥夫 孫亮亮
日前，特斯拉汽車(chē)（北京）有限公司、特斯拉（上海）有限公司根據(jù)《缺陷汽車(chē)產(chǎn)品召回管理?xiàng)l例》和《缺陷汽車(chē)產(chǎn)品召回管理?xiàng)l例實(shí)施辦法》的要求，向國(guó)家市場(chǎng)監(jiān)督管理總局備案了召回計(jì)劃，決定自即日起召回以下車(chē)輛：其中包括生產(chǎn)日期在2013年9月25日至2020年11月21日期間的部分進(jìn)口Model S、Model X電動(dòng)汽車(chē)，共計(jì)67698輛。
本次召回范圍內(nèi)的部分車(chē)輛由于軟件問(wèn)題，可能出現(xiàn)動(dòng)力電池電壓感測(cè)回路反饋電壓與電磚真實(shí)電壓不一致，導(dǎo)致電池管理系統(tǒng)誤判，車(chē)輛屏幕顯示“需要維修”、“安全�？寇�(chē)輛”等警示，車(chē)輛會(huì)逐步停止動(dòng)力輸出，極端情況下可能增加車(chē)輛發(fā)生碰撞事故的風(fēng)險(xiǎn)，存在安全隱患。
圖 1 特斯拉汽車(chē)（北京）有限公司所在地華貿(mào)大廈一層的特斯拉專(zhuān)賣(mài)店
特斯拉汽車(chē)（北京）有限公司表示，將通過(guò)汽車(chē)遠(yuǎn)程升級(jí)（OTA）技術(shù)，為召回范圍內(nèi)的車(chē)輛免費(fèi)升級(jí)軟件，升級(jí)后的車(chē)輛增加了感測(cè)回路電壓誤報(bào)的判斷能力，在極端情況下如果在行駛過(guò)程中檢測(cè)到電壓感測(cè)回路異常，車(chē)輛會(huì)保持持續(xù)的動(dòng)力輸出直到當(dāng)前駕駛循環(huán)結(jié)束并駐車(chē)，建議用戶(hù)按照車(chē)機(jī)提示將車(chē)輛駕駛至安全位置或靠邊停車(chē)。對(duì)于無(wú)法通過(guò)汽車(chē)遠(yuǎn)程升級(jí)（OTA）技術(shù)實(shí)施召回的車(chē)輛，特斯拉汽車(chē)（北京）有限公司將通過(guò)特斯拉服務(wù)中心聯(lián)系相關(guān)用戶(hù)，為車(chē)輛免費(fèi)升級(jí)軟件，以消除安全隱患（引用1）。
初步研判：BMS某個(gè)判斷回路設(shè)計(jì)存在缺陷
在此次召回中，雖然我們看不到特斯拉官方披露的電池管理系統(tǒng)（BMS）結(jié)構(gòu)圖和具體代碼，但是根據(jù)國(guó)家市場(chǎng)監(jiān)管總局缺陷產(chǎn)品管理中心官網(wǎng)發(fā)布的信息，以及國(guó)際權(quán)威期刊(Journal of Power Sources)發(fā)表的文章中的特斯拉BMS系統(tǒng)示意圖（見(jiàn)圖2），我們可以做出一個(gè)大致的判斷：那就是BMS中，某個(gè)判斷回路設(shè)計(jì)存在缺陷，這就相當(dāng)于軟件工程中，在控制器和執(zhí)行器之間的反饋信號(hào)通路上存在問(wèn)題。
圖 2 特斯拉電池管理系統(tǒng)示意圖（引用2）
回放該批次召回車(chē)輛屏幕顯示“需要維修”、“安全�？寇�(chē)輛”等警示場(chǎng)景，我們據(jù)此初步研判，根據(jù)特斯拉該BMS系統(tǒng)最初的設(shè)計(jì)思想，應(yīng)該是由控制器直接下達(dá)指令給執(zhí)行器，但是，由于沒(méi)有設(shè)計(jì)任何管控機(jī)制，從而有可能造成“出現(xiàn)動(dòng)力電池電壓感測(cè)回路反饋電壓與電磚真實(shí)電壓不一致，導(dǎo)致電池管理系統(tǒng)誤判”這種情況，也就是在汽車(chē)的動(dòng)力電池還處于健康狀態(tài)下的時(shí)候，系統(tǒng)仍然有可能會(huì)發(fā)生誤判，認(rèn)為某塊電磚存在故障。隨即，“車(chē)輛屏幕顯示‘需要維修’、‘安全�？寇�(chē)輛’等警示，車(chē)輛會(huì)逐步停止動(dòng)力輸出”。其實(shí)際的響應(yīng)方式是，直接切斷車(chē)輛的動(dòng)力，車(chē)輛會(huì)在駕駛員沒(méi)有制動(dòng)的情況下迅速減速，直至停車(chē)。
可以說(shuō)，這種響應(yīng)設(shè)計(jì)是非常危險(xiǎn)的：如果當(dāng)時(shí)駕駛員正常行駛在高速路面上，同時(shí)，高速路上車(chē)流量較大，此刻若發(fā)生了BMS對(duì)電池健康狀況的誤判，就必然造成車(chē)輛的緊急減速。也即“極端情況下可能增加車(chē)輛發(fā)生碰撞事故的風(fēng)險(xiǎn)，存在安全隱患”。
圖 3 特斯拉進(jìn)駐中國(guó)境內(nèi)多家大型商場(chǎng)
特斯拉的解決方案：BMS軟件升級(jí)
我們?cè)倏纯刺厮估瓕?duì)此問(wèn)題提出的解決方案：通過(guò)OTA給BMS軟件升級(jí)，以增強(qiáng)檢測(cè)電壓感測(cè)回路的能力。這個(gè)升級(jí)有可能是增加檢測(cè)電壓感測(cè)回路，或者增加從執(zhí)行器到控制器的信號(hào)反饋回路。
從系統(tǒng)可靠性理論的角度來(lái)看，這樣就為“感測(cè)回路電壓”功能增加了數(shù)據(jù)冗余，讓BMS對(duì)電磚的健康狀態(tài)進(jìn)行更為準(zhǔn)確的判斷，監(jiān)測(cè)汽車(chē)的動(dòng)力電池是否真的有問(wèn)題，減少誤判。
在此基礎(chǔ)之上，特斯拉對(duì)與之相關(guān)的后續(xù)響應(yīng)也進(jìn)行了改善，也就是說(shuō)OTA以前，當(dāng)BMS系統(tǒng)發(fā)現(xiàn)電池有問(wèn)題，它會(huì)馬上切斷車(chē)輛的供電，導(dǎo)致車(chē)輛迅速停車(chē)；OTA后，當(dāng)BMS系統(tǒng)發(fā)現(xiàn)電池有問(wèn)題，則不會(huì)切斷車(chē)輛的供電，而是立刻向司機(jī)發(fā)出警示，提醒司機(jī)根據(jù)實(shí)際路況進(jìn)行停車(chē)檢查。這樣一來(lái)，整體的交通安全就得到了更有效的保障。
由此引出的思考：亟待建立第三方軟件安全評(píng)估機(jī)制
通過(guò)這一案例，我們還可以做進(jìn)一步的思考，比如消費(fèi)者看到特斯拉BMS問(wèn)題也許會(huì)發(fā)出質(zhì)疑：為何此類(lèi)設(shè)計(jì)上的缺陷會(huì)出現(xiàn)在批準(zhǔn)量產(chǎn)的汽車(chē)上？為什么該缺陷沒(méi)有被及時(shí)發(fā)現(xiàn)并整改？
針對(duì)這個(gè)疑問(wèn)，我們可以從質(zhì)量監(jiān)管的角度來(lái)分析，就是我國(guó)尚未啟動(dòng)與汽車(chē)軟件安全相關(guān)的第三方評(píng)估機(jī)制。我們應(yīng)該通過(guò)設(shè)立一個(gè)中立的、專(zhuān)業(yè)的汽車(chē)軟件設(shè)計(jì)評(píng)價(jià)機(jī)構(gòu)，對(duì)此類(lèi)安全相關(guān)的軟件設(shè)計(jì)進(jìn)行評(píng)價(jià)，從而補(bǔ)上這個(gè)缺口。雖然現(xiàn)在各家主機(jī)廠的BMS數(shù)據(jù)都會(huì)按照GB/T32960《電動(dòng)汽車(chē)遠(yuǎn)程服務(wù)與管理系統(tǒng)技術(shù)規(guī)范》，通過(guò)實(shí)施監(jiān)測(cè)系統(tǒng)（RTM）統(tǒng)一上傳到工信部指定的數(shù)據(jù)庫(kù)中，并進(jìn)行實(shí)時(shí)監(jiān)管，但是，像特斯拉此次召回事件中所暴露出的設(shè)計(jì)缺陷，此前并沒(méi)有第三方對(duì)它進(jìn)行過(guò)技術(shù)上的評(píng)審。特斯拉通過(guò)此次召回，確實(shí)能夠?qū)υO(shè)計(jì)上的缺陷進(jìn)行優(yōu)化，實(shí)現(xiàn)軟件功能從理想化到現(xiàn)實(shí)化的跨越。
但實(shí)際上，我們也許可以借鑒傳統(tǒng)油車(chē)的設(shè)計(jì)經(jīng)驗(yàn)，來(lái)更好地為電動(dòng)車(chē)的發(fā)展助力。比如，德國(guó)大眾汽車(chē)的經(jīng)驗(yàn)，當(dāng)車(chē)輛的動(dòng)力管理系統(tǒng)監(jiān)測(cè)到問(wèn)題的時(shí)候，它并不會(huì)直接給車(chē)輛切斷動(dòng)力，而是根據(jù)車(chē)輛自身各種功能的優(yōu)先等級(jí)，按照由低到高的順序，逐級(jí)切斷這些功能的動(dòng)力供應(yīng)。
當(dāng)我們?cè)谂c德國(guó)汽車(chē)專(zhuān)家交流的時(shí)候，這一設(shè)計(jì)經(jīng)驗(yàn)給我們留下了非常深的印象。比如當(dāng)我們?cè)谟懻撾娕_(tái)廣播/無(wú)線(xiàn)通信功能和空調(diào)功能的優(yōu)先等級(jí)高低時(shí)，我們往往認(rèn)為電臺(tái)廣播/無(wú)線(xiàn)通信功能一定是高于空調(diào)功能的；但是，德國(guó)的汽車(chē)專(zhuān)家告訴我們，空調(diào)的優(yōu)先等級(jí)排在電臺(tái)廣播/無(wú)線(xiàn)通信前面。
雖然電臺(tái)廣播/無(wú)線(xiàn)通信可以提供實(shí)時(shí)的通信信號(hào)，但實(shí)際上，當(dāng)動(dòng)力存在問(wèn)題時(shí)，油車(chē)的動(dòng)力控制系統(tǒng)會(huì)首先切斷電臺(tái)廣播/無(wú)線(xiàn)通信功能，而空調(diào)功能的電源供應(yīng)仍然得到保障。這是因?yàn)樵谘谉峄驑O寒的環(huán)境下，空調(diào)功能是否能夠正常工作，直接關(guān)系到駕駛員的人身安全。其設(shè)計(jì)思路是：將保障人身安全作為汽車(chē)動(dòng)力供應(yīng)優(yōu)先等級(jí)排列的設(shè)定標(biāo)準(zhǔn)。
所以，當(dāng)新能源汽車(chē)考慮動(dòng)力管理問(wèn)題時(shí)，是否能夠從傳統(tǒng)油車(chē)的設(shè)計(jì)理念中得到啟發(fā)，對(duì)其有所借鑒。事實(shí)證明，很遺憾特斯拉沒(méi)能吸收傳統(tǒng)油車(chē)的成功經(jīng)驗(yàn)，以保障人身安全作為BMS軟件設(shè)計(jì)的出發(fā)點(diǎn)。
此外，特斯拉的此次召回還暴露了一個(gè)問(wèn)題：特斯拉召回的車(chē)輛，其生產(chǎn)日期最早能追溯到2013年9月25日，約九年時(shí)間已經(jīng)過(guò)去了。在這段時(shí)間里，無(wú)論是特斯拉內(nèi)部的設(shè)計(jì)團(tuán)隊(duì)，還是外部機(jī)構(gòu)，都未能及時(shí)發(fā)現(xiàn)并敦促特斯拉對(duì)該設(shè)計(jì)漏洞進(jìn)行改善。
綜上可見(jiàn)，在當(dāng)今汽車(chē)電動(dòng)化、網(wǎng)聯(lián)化、智能化、共享化的“新四化”時(shí)代，我國(guó)汽車(chē)市場(chǎng)亟需成立一批兼具專(zhuān)業(yè)性和權(quán)威性且足夠中立的評(píng)估檢測(cè)與科研機(jī)構(gòu)，針對(duì)各項(xiàng)新興技術(shù)在現(xiàn)實(shí)場(chǎng)景中的潛在設(shè)計(jì)缺陷與應(yīng)用安全隱患，開(kāi)展橫向調(diào)研評(píng)估工作、專(zhuān)業(yè)性檢測(cè)工作，以及基于國(guó)際頂尖技術(shù)的前瞻性研究工作。
（作者單位：清華大學(xué)質(zhì)量與可靠性研究院 清華大學(xué)工業(yè)工程系）
引用1：https://dpac.samr.gov.cn/qczh/gnzhqc/202211/t20221125_108053.html
引用2：M. Ragone et. al., Data driven estimation of electric vehicle battery state-of-charge informed by automotive simulations and multi-physics modeling, Journal of Power Sources, Volume 483, 2021, 229108, ISSN 0378-7753, https://doi.org/10.1016/j.jpowsour.2020.229108.
掃碼投訴
京公網(wǎng)安備11010502034432號(hào)