特斯拉電池管理系統召回事件解讀及建議
2022-11-29 中國質量萬里(li)行 點擊(ji)：次
文/李彥夫 孫亮亮
日(ri)前(qian)，特斯拉汽(qi)車(che)（北(bei)京）有限公司(si)、特斯拉（上海）有限公司(si)根據《缺陷(xian)汽(qi)車(che)產品召(zhao)回(hui)管(guan)理(li)條(tiao)例》和《缺陷(xian)汽(qi)車(che)產品召(zhao)回(hui)管(guan)理(li)條(tiao)例實施辦法》的(de)(de)要求，向國家市場監督管(guan)理(li)總局備案了召(zhao)回(hui)計(ji)劃(hua)，決定自(zi)即日(ri)起召(zhao)回(hui)以下車(che)輛：其(qi)中包括(kuo)生產日(ri)期在2013年9月25日(ri)至2020年11月21日(ri)期間的(de)(de)部分進口Model S、Model X電動汽(qi)車(che)，共(gong)計(ji)67698輛。
本次召(zhao)回范圍內的部分車(che)(che)(che)輛(liang)(liang)(liang)由于(yu)軟件問題，可能出(chu)現(xian)動力電池(chi)電壓感測回路反饋電壓與(yu)電磚真實電壓不一致(zhi)，導致(zhi)電池(chi)管理系統誤判，車(che)(che)(che)輛(liang)(liang)(liang)屏幕顯示“需要維修(xiu)”、“安全停靠(kao)車(che)(che)(che)輛(liang)(liang)(liang)”等警示，車(che)(che)(che)輛(liang)(liang)(liang)會逐步(bu)停止動力輸出(chu)，極端情況下(xia)可能增加車(che)(che)(che)輛(liang)(liang)(liang)發生碰撞事故的風險，存在安全隱患(huan)。
圖 1 特(te)斯拉汽車（北京）有(you)限公司(si)所在(zai)地華貿大(da)廈一層的特(te)斯拉專(zhuan)賣(mai)店
特斯(si)拉汽車(che)(che)(che)(che)(che)（北(bei)京(jing)）有限公司表示，將(jiang)通過汽車(che)(che)(che)(che)(che)遠程升(sheng)級(ji)（OTA）技(ji)術(shu)，為召回(hui)(hui)范(fan)圍內的(de)(de)(de)車(che)(che)(che)(che)(che)輛(liang)免費升(sheng)級(ji)軟件，升(sheng)級(ji)后的(de)(de)(de)車(che)(che)(che)(che)(che)輛(liang)增加了感測(ce)回(hui)(hui)路電壓誤(wu)報的(de)(de)(de)判斷能力，在極端情況(kuang)下如果在行駛(shi)過程中檢測(ce)到電壓感測(ce)回(hui)(hui)路異常，車(che)(che)(che)(che)(che)輛(liang)會保持持續的(de)(de)(de)動力輸出直到當前(qian)駕駛(shi)循環(huan)結束(shu)并駐車(che)(che)(che)(che)(che)，建議用戶按照(zhao)車(che)(che)(che)(che)(che)機提示將(jiang)車(che)(che)(che)(che)(che)輛(liang)駕駛(shi)至安(an)全位置(zhi)或(huo)靠邊停車(che)(che)(che)(che)(che)。對于無法通過汽車(che)(che)(che)(che)(che)遠程升(sheng)級(ji)（OTA）技(ji)術(shu)實施召回(hui)(hui)的(de)(de)(de)車(che)(che)(che)(che)(che)輛(liang)，特斯(si)拉汽車(che)(che)(che)(che)(che)（北(bei)京(jing)）有限公司將(jiang)通過特斯(si)拉服務中心聯系相(xiang)關用戶，為車(che)(che)(che)(che)(che)輛(liang)免費升(sheng)級(ji)軟件，以消除安(an)全隱患（引用1）。
初步研判：BMS某個判斷回路設計存在缺陷
在(zai)(zai)此次召回(hui)中(zhong)(zhong)，雖(sui)然我們看不(bu)到特(te)(te)斯(si)拉(la)官方披(pi)露的(de)(de)(de)電池管理(li)系統（BMS）結(jie)構圖(tu)和具體(ti)代碼，但(dan)是(shi)根(gen)據國家市場監管總局缺陷產品管理(li)中(zhong)(zhong)心官網發布(bu)的(de)(de)(de)信息，以及國際權威期(qi)刊(Journal of Power Sources)發表的(de)(de)(de)文(wen)章中(zhong)(zhong)的(de)(de)(de)特(te)(te)斯(si)拉(la)BMS系統示意圖(tu)（見圖(tu)2），我們可以做出一個(ge)大致的(de)(de)(de)判(pan)斷：那就是(shi)BMS中(zhong)(zhong)，某個(ge)判(pan)斷回(hui)路設計(ji)存在(zai)(zai)缺陷，這(zhe)就相當(dang)于軟件工程中(zhong)(zhong)，在(zai)(zai)控制器和執行器之間的(de)(de)(de)反饋信號通路上存在(zai)(zai)問題。
圖(tu) 2 特斯拉電池管理系(xi)統示意(yi)圖(tu)（引(yin)用2）
回放該(gai)批次(ci)召回車輛(liang)屏幕顯示“需(xu)要維修(xiu)(xiu)”、“安(an)全(quan)(quan)停(ting)(ting)靠(kao)車輛(liang)”等(deng)警(jing)示場(chang)景，我們(men)據此初步研判，根據特斯拉(la)該(gai)BMS系統最(zui)初的(de)(de)(de)(de)設(she)計(ji)思想，應(ying)該(gai)是由(you)(you)控制(zhi)器(qi)直接(jie)(jie)下達指令給(gei)執行器(qi)，但(dan)是，由(you)(you)于沒(mei)有設(she)計(ji)任何(he)管控機制(zhi)，從而有可(ke)能(neng)造成(cheng)“出現動力(li)電(dian)(dian)池(chi)電(dian)(dian)壓(ya)(ya)感(gan)測回路(lu)反饋電(dian)(dian)壓(ya)(ya)與電(dian)(dian)磚真實電(dian)(dian)壓(ya)(ya)不一致，導致電(dian)(dian)池(chi)管理系統誤判”這種(zhong)情況，也(ye)就是在汽車的(de)(de)(de)(de)動力(li)電(dian)(dian)池(chi)還處于健康(kang)狀(zhuang)態下的(de)(de)(de)(de)時候，系統仍然有可(ke)能(neng)會(hui)發生誤判，認(ren)為某(mou)塊電(dian)(dian)磚存(cun)在故障。隨即，“車輛(liang)屏幕顯示‘需(xu)要維修(xiu)(xiu)’、‘安(an)全(quan)(quan)停(ting)(ting)靠(kao)車輛(liang)’等(deng)警(jing)示，車輛(liang)會(hui)逐(zhu)步停(ting)(ting)止動力(li)輸出”。其實際的(de)(de)(de)(de)響應(ying)方式(shi)是，直接(jie)(jie)切斷車輛(liang)的(de)(de)(de)(de)動力(li)，車輛(liang)會(hui)在駕駛員(yuan)沒(mei)有制(zhi)動的(de)(de)(de)(de)情況下迅速減速，直至停(ting)(ting)車。
可(ke)以說，這種響應設計是(shi)非常危險的(de)：如果當(dang)時駕駛員正常行(xing)駛在高速路面上，同時，高速路上車(che)流量(liang)較大(da)，此刻若發(fa)生(sheng)了BMS對電池健(jian)康(kang)狀況的(de)誤(wu)判，就必然(ran)造成(cheng)車(che)輛的(de)緊急減(jian)速。也即“極端(duan)情況下可(ke)能增加車(che)輛發(fa)生(sheng)碰(peng)撞(zhuang)事(shi)故的(de)風險，存在安全(quan)隱(yin)患”。
圖 3 特斯拉進(jin)駐中國(guo)境內(nei)多家大型商場(chang)
特斯拉的解決方案：BMS軟件升級
我們再(zai)看(kan)看(kan)特斯拉對此問題提出的解決方案(an)：通過OTA給(gei)BMS軟件升(sheng)級，以增(zeng)強檢(jian)測電壓(ya)感(gan)測回(hui)路(lu)的能(neng)力(li)。這(zhe)個升(sheng)級有可能(neng)是增(zeng)加檢(jian)測電壓(ya)感(gan)測回(hui)路(lu)，或者增(zeng)加從執行器到控制器的信號(hao)反饋回(hui)路(lu)。
從系統可靠性理論的角度來看，這樣(yang)就為“感測回路(lu)電壓”功能增加了(le)數據冗余，讓BMS對電磚的健(jian)康(kang)狀態(tai)進行更為準確(que)的判斷，監(jian)測汽車的動力電池是否真(zhen)的有問題(ti)，減少誤判。
在此(ci)基(ji)礎之(zhi)上，特斯拉對(dui)與之(zhi)相關的后(hou)續響應也(ye)進(jin)行了改善，也(ye)就(jiu)(jiu)是說OTA以前，當(dang)BMS系(xi)統發現電(dian)池有(you)(you)問題，它會(hui)馬上切斷車(che)輛(liang)的供電(dian)，導致(zhi)車(che)輛(liang)迅速停車(che)；OTA后(hou)，當(dang)BMS系(xi)統發現電(dian)池有(you)(you)問題，則(ze)不會(hui)切斷車(che)輛(liang)的供電(dian)，而是立刻向(xiang)司機發出警示(shi)，提醒司機根據實(shi)際路況進(jin)行停車(che)檢查。這(zhe)樣一來(lai)，整體的交通安全就(jiu)(jiu)得到了更有(you)(you)效的保障(zhang)。
由此引出的思考：亟待建立第三方軟件安全評估機制
通過這一案例，我們(men)還(huan)可以做進一步的(de)思考，比如消費者(zhe)看到特斯拉BMS問題也許會發出質(zhi)疑：為(wei)何此類設(she)計上(shang)的(de)缺(que)陷會出現(xian)在批準(zhun)量(liang)產的(de)汽車上(shang)？為(wei)什么(me)該缺(que)陷沒有被及時發現(xian)并整改(gai)？
針對這(zhe)個(ge)疑問，我們可(ke)以從(cong)質量監管的(de)(de)角度來(lai)分(fen)析(xi)，就是我國(guo)尚未(wei)啟動與(yu)汽車軟件安全相關的(de)(de)第三方評(ping)估(gu)機(ji)制(zhi)。我們應該通(tong)過(guo)設立一(yi)個(ge)中(zhong)立的(de)(de)、專業的(de)(de)汽車軟件設計(ji)(ji)評(ping)價(jia)(jia)機(ji)構，對此類安全相關的(de)(de)軟件設計(ji)(ji)進(jin)行(xing)評(ping)價(jia)(jia)，從(cong)而(er)補上這(zhe)個(ge)缺(que)口。雖然現在(zai)各家主機(ji)廠的(de)(de)BMS數據(ju)都會按(an)照GB/T32960《電(dian)動汽車遠程服務與(yu)管理(li)系統技術規范》，通(tong)過(guo)實(shi)(shi)施監測系統（RTM）統一(yi)上傳(chuan)到工信部指(zhi)定的(de)(de)數據(ju)庫(ku)中(zhong)，并進(jin)行(xing)實(shi)(shi)時監管，但是，像特(te)斯拉此次(ci)召回(hui)事件中(zhong)所暴(bao)露出的(de)(de)設計(ji)(ji)缺(que)陷，此前并沒(mei)有第三方對它進(jin)行(xing)過(guo)技術上的(de)(de)評(ping)審(shen)。特(te)斯拉通(tong)過(guo)此次(ci)召回(hui)，確實(shi)(shi)能夠對設計(ji)(ji)上的(de)(de)缺(que)陷進(jin)行(xing)優(you)化(hua)，實(shi)(shi)現軟件功能從(cong)理(li)想化(hua)到現實(shi)(shi)化(hua)的(de)(de)跨越(yue)。
但實(shi)際(ji)上，我們也許可以借鑒(jian)傳統(tong)油車(che)的(de)設(she)計(ji)經驗，來更(geng)好地為電動車(che)的(de)發展助力。比(bi)如，德(de)國大眾(zhong)汽車(che)的(de)經驗，當車(che)輛(liang)的(de)動力管理系統(tong)監測到(dao)問題的(de)時候(hou)，它并不會直接給車(che)輛(liang)切斷動力，而是根據車(che)輛(liang)自身各種功(gong)能的(de)優先等級，按照由低到(dao)高(gao)的(de)順序，逐(zhu)級切斷這些功(gong)能的(de)動力供應。
當我們(men)(men)(men)在與(yu)德(de)國汽(qi)車專家(jia)(jia)交流的(de)時候，這(zhe)一設(she)計經驗給我們(men)(men)(men)留(liu)下了非常(chang)深(shen)的(de)印象(xiang)。比(bi)如當我們(men)(men)(men)在討論(lun)電(dian)臺廣(guang)播/無線(xian)(xian)通信功(gong)能(neng)(neng)和空調功(gong)能(neng)(neng)的(de)優(you)先(xian)等(deng)級(ji)高低(di)時，我們(men)(men)(men)往往認為電(dian)臺廣(guang)播/無線(xian)(xian)通信功(gong)能(neng)(neng)一定是高于空調功(gong)能(neng)(neng)的(de)；但是，德(de)國的(de)汽(qi)車專家(jia)(jia)告訴我們(men)(men)(men)，空調的(de)優(you)先(xian)等(deng)級(ji)排在電(dian)臺廣(guang)播/無線(xian)(xian)通信前面(mian)。
雖然(ran)電臺廣(guang)(guang)播(bo)/無線通(tong)(tong)信可(ke)以提(ti)供實時(shi)(shi)的(de)通(tong)(tong)信信號，但實際上(shang)，當(dang)動力存在問題時(shi)(shi)，油車的(de)動力控制系(xi)統會(hui)首先切斷電臺廣(guang)(guang)播(bo)/無線通(tong)(tong)信功能，而空調功能的(de)電源供應仍然(ran)得到保障。這是(shi)(shi)因為在炎熱或極寒的(de)環境(jing)下，空調功能是(shi)(shi)否能夠(gou)正常工作，直接關系(xi)到駕駛員的(de)人(ren)身(shen)(shen)安(an)全(quan)。其(qi)設(she)計思路是(shi)(shi)：將保障人(ren)身(shen)(shen)安(an)全(quan)作為汽車動力供應優先等(deng)級排列的(de)設(she)定標(biao)準。
所以，當新能源汽車(che)(che)考慮動力管理(li)問題時(shi)，是否能夠(gou)從傳(chuan)統(tong)油(you)車(che)(che)的(de)(de)設計理(li)念中得(de)到啟發，對其(qi)有所借鑒。事(shi)實證明，很遺憾特斯拉沒(mei)能吸收傳(chuan)統(tong)油(you)車(che)(che)的(de)(de)成(cheng)功經(jing)驗，以保障(zhang)人(ren)身安全作為(wei)BMS軟件設計的(de)(de)出發點。
此(ci)外，特(te)斯(si)(si)(si)拉的(de)此(ci)次(ci)召回(hui)還暴露了(le)一個問題：特(te)斯(si)(si)(si)拉召回(hui)的(de)車輛，其(qi)生產日期(qi)最(zui)早(zao)能追溯到(dao)2013年9月25日，約九年時(shi)(shi)間(jian)已經(jing)過去了(le)。在這(zhe)段時(shi)(shi)間(jian)里，無論(lun)是特(te)斯(si)(si)(si)拉內部的(de)設計(ji)團隊，還是外部機構，都未(wei)能及時(shi)(shi)發現并敦促特(te)斯(si)(si)(si)拉對該(gai)設計(ji)漏洞進(jin)行改(gai)善(shan)。
綜上可見，在(zai)當(dang)今汽車(che)電動化(hua)、網聯化(hua)、智能化(hua)、共享化(hua)的(de)“新四化(hua)”時代(dai)，我國(guo)汽車(che)市(shi)場(chang)亟需成(cheng)立一批兼具專業(ye)性和權威性且足(zu)夠中立的(de)評估(gu)檢(jian)測與(yu)科(ke)研(yan)機構，針(zhen)對各項(xiang)新興技術(shu)在(zai)現實場(chang)景中的(de)潛在(zai)設計缺陷與(yu)應(ying)用安全(quan)隱患，開展橫向調研(yan)評估(gu)工(gong)作(zuo)(zuo)、專業(ye)性檢(jian)測工(gong)作(zuo)(zuo)，以及基(ji)于國(guo)際頂尖技術(shu)的(de)前瞻(zhan)性研(yan)究工(gong)作(zuo)(zuo)。
（作(zuo)者單位：清(qing)華大學質(zhi)量與可靠性研究院 清(qing)華大學工業工程(cheng)系）
引用1：//dpac.samr.gov.cn/qczh/gnzhqc/202211/t20221125_108053.html
引用2：M. Ragone et. al., Data driven estimation of electric vehicle battery state-of-charge informed by automotive simulations and multi-physics modeling, Journal of Power Sources, Volume 483, 2021, 229108, ISSN 0378-7753, //doi.org/10.1016/j.jpowsour.2020.229108.
掃碼投訴