同济大学教授朱西产 如何构建智能网联新能源汽车的安全屏障

前言：由汽车之家研究院打造的A3大讲堂是一个具有前瞻性、战略性与实用性的学习交流平台。通过大咖分享引领家人及行业同仁共同探索面向未来的前沿趋势与科技，构建全方位、立体化的知识体系。

随着新能源汽车的渗透率不断提升，围绕着新能源汽车的安全事故屡见不鲜，包括电池的自燃、使用智能驾驶辅助系统引发的安全事故等。这些事故到底是什么原因引起的，事故谁来担责？行业急需哪些规范来提升安全性？

由汽车之家研究院主办的A3大讲堂，邀请到了同济大学汽车学院教授、汽车安全技术研究所所长朱西产老师，就“构建智能新能源汽车的安全屏障”这一话题进行分享。

以下为演讲精选：

我想跟大家交流的主题是《构筑智能网联新能源汽车的安全屏障》，汽车行业永远会把安全作为一个非常重要的责任，造汽车至少要保证安全，安全塌了，这个产业肯定是要塌的。

传统汽车行业在衰退过程中，面对产能过剩、产量下跌的情况，行业没有倒下，因为新的技术革命来了，找到了新的增长极。这可以描述成三大战役。

第一是电动化。可以看到在过去五年中，电动已经成为下一代汽车的主流动力。第一代新造车企业现在已经成为新技术的代言人，成为汽车产业里面耀眼的一个明珠。

第二，去年开始打响智能化。一辆智能汽车的智能座舱、ADAS，这两项不是智能汽车的核心，智能化战役真正的核心焦点是自动驾驶，也有人叫做L3、L4。L3是一辆人机共驾的汽车里面以车为主的自动驾驶，L4是“无人”驾驶的自动驾驶。

第三是共享化。车一旦实现了自动驾驶，估计在后面的五年还有一场战役可打，就是共享化战役，到那时候Robotaxi要争夺私家车的份额，人们可能放弃购买私家车，而选用方便便宜的Robotaxi。这个模式现在还没实现，但是等到自动驾驶安全可靠，成本大幅下降，共享化的优势会凸显。另外私家车还存在使用效率低，在城市里面没地方停车的问题。因此城市出行最终的结果应该是共享出行。

汽车产业在产能过剩，销量下跌的不良环境下，我们在新能源汽车这个领域终于杀出了一条血路，甚至一些车型在国际上都有相当强的竞争力。新能源汽车也奠定了自主品牌的竞争力，甚至奠定了中国汽车人的信心。

#01

智能新能源汽车存在哪些安全问题？

在新能源汽车产业发展向好的同时，我们不得不看到，新能源汽车大量进入市场以后，安全的问题也很突出，我们把它归纳为双失控。一个是热失控火灾。一个是车速失控，用户把它叫做异常加速，这些事情一度闹得沸沸扬扬。

这两种事故形态在传统内燃机车里面有没有？有，不多。传统内燃车火灾也不少，但是跟新能源车烧起来不一样，车上有灭火器，内燃机汽车着了火，找到灭火器基本能扑灭，新能源汽车拿灭火器没用，扑不灭。新能源车一旦烧起来，一点办法都没有，事故形态不一样。双失控现在引起了民众安全的焦虑。

#02

热失控产生的机理与防控机制

从统计角度来看，现在热失控产生的机理，一种是自燃，一种是碰撞。第一类中，充电导致的自燃火灾比例是最高的；第二类是碰撞导致的火灾。

自燃导致的火灾中充电场景占的比例是非常高的，充电过程中的自燃机理就是充电的策略做得不好，充电不当。不当的快充充电过程中，锂离子电池会发生析锂，把锂析出，产生晶体锂枝晶，显微镜下的图可以看到锂枝晶增长刺穿隔膜导致内短路。内短路发生，电压开始下降，短路以后氧化反应产生大量的热。热产生以后，如果把局部的隔膜再烧穿，短路的面积更大，开始热扩展。这个热扩展如果没有被制止的话，又会导致热蔓延，然后就烧起来。

机理搞清楚之后，能不能预防？能不能测量？能不能检测？可喜的是能检测，可以测它的电压值，测它的温度值。如果内短路发生，在还没有着火之前就可以通过电压值的测量找到它的特征，可以提前探测到。

同时，电滥用导致的自燃也可以预防。通过学界研究，动力电池通过优化控制充电的策略，可以有效防范这样问题的出现。现在的电动汽车电子构架支持OTA，如果发现原来充电策略不太好，存在火灾风险，可以进行“锁电”。当然用户是很不高兴的，但是锁电有时候不得已。如果某个品牌的电动汽车，发现某个地方烧了一辆车需要查原因，为了保证安全，有可能通过OTA先锁电，快充原来充到99%，现在锁电最多充到80%，然后抓紧去研究，到底原来的充电策略在哪里做得不好，大量做试验，优化控制策略。直到安全隐患消除，再恢复正常充电。

锁电当然给用户带来不方便，但是安全还是最重要的。新的电子构架有了OTA以后，锁电的过程和解锁的过程都可以通过OTA去调整。这是新的问题用新的技术是能解决的，自燃的确存在，自燃的确可怕，但是通过现在的研究发现，自燃可诊断、可检测、可优化、可改进，没必要恐慌，自燃的问题随着产业技术成熟度的增加，产业技术水平的提高，动力电池水平的提高，逐渐在好转。

再来谈碰撞火灾，这属于机械滥用。电池包正好在车底，最怕撞到狭窄物、刮底，两车撞到问题不大，就怕车底被刮到。

碰撞火灾第一个要关注的事情，希望能留出五分钟的逃命时间。对于碰撞火灾要保留一个底线，撞了以后车内的人是否具有逃命的条件，要有逃命的时间。探测到碰撞后要自动解锁，碰撞自动解锁这件事情不是专属新能源汽车的要求，其实传统内燃车碰撞火灾也不少，传统内燃机汽车碰撞安全的要求就有碰撞解锁的要求。但碰撞解锁没有写入强制性标准，我们希望标准修订一下，把碰撞解锁这个功能放到强制性要求里。当然现在很多企业的车都有这样的功能。

新能源汽车应对碰撞火灾的第一个策略是切断高压电，避免发生触电的风险。高压电必须切断，电动汽车的电驱动系统少说400多伏，很多车型可能用的是480伏的系统，像卖得比较好的比亚迪汉，它的电驱动系统电压高达800伏，电压越高，电驱动效率肯定更好。但是如果碰撞的时候不能切断高压电的话，有可能产生电击，导致车内人员和救援人员存在触电风险，必须把电切断。电动汽车碰撞切断高压电，这个是强制性要求。第二个也有碰撞解锁，只有解锁以后车外的人才有可能救你。这是新能源汽车热失控被动安全的一个措施。

解决电动车火灾问题还需要社会做一些事情。汽车厂目前在做的，一个是改进电芯，改进电池包。第二，隔热防止电池包里面的热蔓延，改进检测的手段、诊断的手段，改进充电的策略、放电的策略等等，这些是汽车厂在努力做的事情。同时要防止火烧连营也得改造现在停车场的消防措施。

总结一下，电动汽车火灾焦虑的的确确存在，电动汽车火灾的总体概率低于内燃车，并不是那么可怕。行业对待安全问题要持有正确态度，要有底线策略，虽然杜绝不了热失稳，但是底线是控制热失稳的蔓延，碰撞着火防控的底线就是控制热失控蔓延的速度，留出来宝贵的逃命时间。工信部也制定了标准：撞了以后能不能五分钟以后再着火，让车内人员能够逃走。停车场和充电站自燃的防控底线是控制热失稳的蔓延，避免火烧连营。此外，发挥新能源汽车车联网大数据的作用，以及新车型OTA的作用来改进。科技部有重大专项，对于新能源汽车双失控的事故形态，科技部在重大专项里面也安排了资金来进行研究。

#03

车速失控产生的机理与防控机制

接下来看看新能源汽车的第二种失控，车速失控。对此，用户认为是异常加速制动失灵，企业的解释则是误踩加速踏板。主管部门、机构和媒体的疑问是，为什么误踩的都是电动汽车？内燃机车误踩踏板也有，但是导致的严重事故不多，自从新能源汽车上市之后，尤其百公里破四秒的车上市之后，经常能听到这样的声音。河南女车主、比亚迪西安女车主，尤其是河南女车主影响力巨大，冲上热搜，并且热搜持续时间还不短。

现在汽车尤其像特斯拉采用了单踏板模式，很多纯电动汽车都愿意用单踏板模式。现在要命的是制动踏板和机械制动器之间解耦了。传统汽车制动踏板踩多深，制动盘的制动力就有多大，不解耦，制动踏板的踩踏和机械制动器之间是成正比的。新能源汽车的制动踏板不是这样，制动踏板和机械制动器的制动力解耦了，为什么解耦？要能量回收。电机放进去以后，电机可以提供制动力。

所有的用户都觉得我都是几年的老司机，我怎么可能误踩呢？新一代车拥有非常复杂的电子构架，非常复杂的软件，甚至现在汽车都是在后台可以控制的。新一代车必须保证功能安全、信息安全、预期功能安全。功能安全，会不会产生异常加速？信息安全，这个车会不会被遥控？这是所有车主最担心的问题。功能安全要解决的是电子部件故障、软件bug和通信故障，甚至黑客攻击而导致的事故；预期功能安全是为自动驾驶或者智能驾驶，解决感知性能不足，环境条件鲁棒性不足和驾驶员错误使用操作而导致的事故；信息安全涉及到两块内容，一是人身安全，二是真正的系统被侵入，涉及到隐私。

要想让人消除疑惑，汽车企业最好拿到认证。拿了功能安全认证、信息安全认证，通过认证说明这样的事件不会发生。

电动车双失控的第二个失控中，很多用户认为异常加速、制动失灵的事故案例，我们发现的确是误踩。拥有复杂的电子构架的智能汽车的确让我们产生了怀疑，现在加速踏板上也有制动力（这个指单踏板模式）。软件一旦错误的话，的确有可能存在风险，做功能安全是非常必要的。要有底线思维，不管设计如何创新，我们必须坚持踩下制动踏板才能挂入D档/R档，这个原则一定要有，也希望大家检查一下自己的车有没有这样的安全措施。这条没有写入强制性标准，汽车企业如果造了车，就像前面召回的车型，不需要踩着制动踏板也能够点开前进档，这样的车现在可以销售，但是这样的车我们认为是存在误操作的风险。

希望中国汽车的标准部门把这样的准则至少写入到新能源汽车的强制性标准里面，或者至少写入到纯电动汽车的强制性标准。纯电动汽车没有变速箱，现在对档位的操作创新度非常高，不管怎么创新，安全的底线是必须踩下制动踏板才能够挂入到D档/R档，这个准则一定要有，正确调用EDR车联网的数据，对事故过程进行正确分析和再现。再一个，有没有可能识别驾驶员误踩？我们做过努力，有点难度。智能化提升以后，可以看有以后没有可能实现。

随着汽车智能化的提升，自动驾驶发展以后，另一类车辆的事故形态可能会出现，错误地把辅助驾驶系统认为是自动驾驶系统。ADAS系统已经非常普及了，无人驾驶在各个示范区其实也已经开始在测试了，前两类基本很难引起误解，ADAS系统基本没什么自动驾驶能力，很难对它建立信任，把驾驶权交给它。各个示范区在测试无人驾驶，你去试乘的时候问题不大，就是无人化的。现在比较容易出问题的就是L2 和L3。对于L3我国没有相应的标准，这类车以L2 的形式出现，这些车叫NGP，也有叫NOP，它的特征主要是几个：高精度地图进入到智能驾驶系统、高算力，Orin算力高达1000TOPS的AI车规级芯片上车，我们听了好几年的域控制器现在量产了。另外，在高算力AI算法支持下，高清摄像头的环境感知能力特别强，除了特斯拉之外，别家的车基本都有激光雷达，它的自动驾驶能力是非常强的，即便没有通过L3认证，但是用户在使用，NGP也好，NOP也好，用这些车的功能的确能感受到这辆车的自动驾驶能力。

这样一代车出来之后，自动驾驶能力达到L2 ，叫做ADAS有点不甘心，ADAS系统采购成本不足千元，而这套系统要好几万，如果不加激光雷达也要万把块钱，加上激光雷达至少要两三万的采购成本。我一个万元级的东西怎么跟你这个千元级的东西叫相同的名字呢？他们不肯叫辅助驾驶，又不能叫做自动驾驶，自动驾驶中国还没有进行认证，我们在期待着自动驾驶标准的出台。现在这类车叫L2 ，L2 在SAE J3016和我们国标智能网联汽车自动化程度分级里面是没有的，L2 还是只能理解为是辅助驾驶，企业不愿意叫辅助驾驶，所以叫智能驾驶。这类产品已经出来了，慢慢迭代，会越来越好，但是这些车还是有安全隐患的。你认为它是自动驾驶，企业承诺的是辅助驾驶，这也是蛮可怕的。

那么怎么办？第一，企业不能过度宣传，不能忽悠人。第二，通过驾驶员管理把驾驶员对它过高的期待拉下来。这两个措施实施都是很难的，你不去误导他，人家驾驶员自己也能感受到它的自动驾驶能力。在国内没看到企业这样的误导性宣传，但销售人员会不会跟客户说一些误导性的话？有可能是有的。特斯拉近期在美国已经遭遇了调查，它把FSD广告语写了这样一句话：“你只要设定终点，一切它都搞定”。美国的加州车辆管理局至少认为这个广告有问题，有误导性宣传。特斯拉的“特粉”说没有误导，政府说你误导了，正在调查中，不知道结果会怎么样。这类车的安全管理还是不能误导用户，并且通过驾驶员的管理，例如对驾驶员长时间的脱手脱眼要进行管理，避免发生误用。

这类车到目前为止还是辅助系统，但是已经具备了更强的自动驾驶能力，最好的方式还是制定L3自动驾驶的标准，通过政府的认证，真正让汽车厂交付一辆安全的自动驾驶汽车给用户，避免这类事故的发生。这是辅助驾驶和自动驾驶在L2 这个界限越来越模糊所面临的问题。希望可以通过标准的制定来规范。