电池安全检测的思路变了：从阈值报警到实时安全裕度

芝能智芯出品

电池安全检测这件事，过去在电池包里布上温度传感器、电压采样、电流检测，设定好上下限，一旦某个数值越线，系统报警或者切断回路，这套做法可靠，也好实现。

它的问题也很明显。等某个数越过阈值，故障往往已经发展到相当严重的阶段。

研讨会材料把故障分成两级，阈值报警大多在二级才响，那时候热失控的苗头可能已经压不住。报警响得太晚，保护也就成了事后补救。

当然现在导入EIS也是希望提前，来确认电池此刻还剩多少安全余量， State of Safety，安全状态，简称 SoS。

把它想成油箱表就很好懂。SoC 告诉你还剩多少电，SoH 告诉你老了多少，SoS 告诉你还安全多少。SoS 没有对应的某一个原始测量值，把电压、电流、温度、内阻、阻值偏差揉在一起算出来的一个 0 到 1 的实时裕度。1 代表很安全，0 代表已经不安全。它跟着每一次采样实时刷新，像 SoC 那样一直活着，既管监测也管控制。

讲检测方法之前，电池的四条失效路径。

◎ 电气这条，过压欠压、过流；

◎ 热这条，热点、热失控；

◎ 机械这条，形变、内短路；

◎ 退化这条，老化、析锂。

绝大多数严重事件，开头都只是某个可检测的偏差。

关键在"偏差"这两个字。偏差刚出现的时候，离真正失效还有一段时间，这段时间叫提前量。

传统阈值法浪费了这段提前量，它要等偏差长大到越线才动作。

SoS 的思路，就是在这段提前量里把风险算出来、把动作做掉。靠实时电芯诊断，97% 的单体故障能提前一个月甚至更早识别，38% 能提前一年。检测如果能把时间点往前推，维修和防护的从容度完全不一样。

检测系统不是凭空去定阈值，它背后站着三套要求。

◎ 第一层是安全运行，站在用户和品牌这边。目标是真实使用里不出事，要管全生命周期的鲁棒性，还要有预测能力，能早识别、能降额、能让车跛行回家。

◎ 第二层是法规，站在合规这边。GB 38031、联合国 ECE R100 这些标准，定的是热扩散、电气安全、机械完整的及格线。新版 GB 38031-2025 和 ECE R100 V5 要求更严：乘员舱里不能冒烟冒气，包外五分钟不能起火，电芯之间不能传火。GB 版 2026 年 7 月强制，ECE 版 2027 年 9 月强制。

◎ 第三层是功能安全，站在系统工程这边。按 ISO 26262 做 ASIL 等级划分，从整车级危害反推安全目标，靠冗余、监控、可控性把风险压下去。

检测策略要在这三层之间找平衡。只满足法规，车能卖，但品牌未必敢拍胸脯；只追求品牌体验，过不了认证。好的检测，是三层一起接住。

检测的对象是电芯，电芯的脾气由化学体系决定。

◎ LFP 磷酸铁锂最稳，热失控最高温大约 146℃；

◎ 低镍、中镍 NMC 往上走；

◎ 高镍 NMC 失控峰值能到 893℃。

钠电池的热行为和 LFP 接近。化学体系还会左右喷发气体的成分。同样做热稳定性测试，LFP 放出的氢气体积明显比低镍、高镍 NMC 多。氢气易燃，所以包内气体管理和泄压通道的设计，得跟着正极材料走，不能一套方案通吃所有体系。

热失控本身分两个阶段。

◎ 阶段和 SEI 膜分解、负极与电解液反应有关，升温慢；

◎ 第二阶段和隔膜熔化、内短路有关，升温快。

两个阶段之间的温差和时延，就是检测系统要盯的时间窗口。

老化会把这个窗口挤窄。循环次数上去，锂枝晶、不均匀性出现，安全裕度一圈圈缩小。老化还会让电芯鼓包，电芯之间的热阻变小，一旦有一颗热失控，热量传得更快、更不好控。

检测系统不能假设电池永远是新的，它得跟着老化一起重新算安全边界。

更隐蔽的是喷发颗粒。热失控时，最多有 60% 的单体质量以导电颗粒的形式喷出来，导电率大约 10 S/m，而空气只有 10 的负九到负十五次方。

这些颗粒能桥接高压和车身地，拉弧就这样产生。单看温度采样，根本抓不到这种危险，所以检测必须往上加气体、压力这些新维度。

SoS 的计算公式不复杂，但想法很巧。它把每个滥用因子都映射成一个子函数 fₖ(xₖ)，因子越靠近极限，子函数从 1 往 0 掉。所有子函数乘在一起，得到总的 SoS。

乘积形式有个特性：只要有一个因子逼近极限，整条 SoS 就被拽向 0。最坏的那一项说了算。

这比固定阈值高明在哪？

◎ 固定阈值只看单点，超了才报；

◎ SoS 看的是多个信号一起往危险区走的趋势，速率、信号之间的相互作用、累积退化、传播风险，它都融进去。

相比阈值法，SoS 能多出至少 30 秒的提前量。

这 30 秒在真实场景里很贵。快充时电流先降一截，如果 SoS 还在掉，再禁充。这一步是缓坡，不是悬崖。

SoS 要算得准，先得采得全，传感器架构分三层。

电芯级管温度、电压、压力。温度盯着分解反应，电压盯着电解液击穿和欠压，压力盯着鼓包和机械损伤。包级管电流和气体浓度，电流防短路发热，气体防失效传播。算法级管内阻，内阻的变化是老化和内部故障的脚印。

每一类传感器都对应一种预防效果和一种 SoS 响应。

◎ 温度异常，对应分解反应，降额加隔离；

◎ 电压异常，对应电解液击穿和欠压，降额；

◎ 电流异常，对应短路和发热，隔离；

◎ 内阻异常，对应老化和内部故障，降额；

◎ 压力异常，对应鼓包和机械损伤，降额加隔离；

◎ 气体异常，对应失效传播，隔离。

响应分三档：正常运作、降额、隔离。

传感器还要过合理性这一关。任意一个信号在进 SoS 之前，先和同源或冗余信号做比对，发现矛盾先存疑，不急着动作。这一步把虚警挡在门外，也让隔离动作只在证据确凿时才落下。

信号从采到动，走一条确定的链。

◎ 先采电压电流温度内阻，做信号调理，滤波、缩放、去偏；

◎ 再算参数数据集；

◎ 接着算单体 SoS，取所有单体里最小的当包级 SoS；

◎ 然后进状态机，分正常、预警、告警、临界四态；

◎ 再出缓解动作，禁充、放电降额、断开接触器；

◎ 最后写诊断码，走 CAN 报给整车。

整条链的决策周期控制在 100 毫秒以内。每一环都可追溯，任意一条缓解指令都能反查到最初那颗被采到的信号，审计和认证都站得住脚。

分级控制，优雅降额

SoS 的好处是能分档。

◎ 正常档，裕度接近 1，不干预。

◎ 预警档，某个因子在往极限飘，加强观察、轻度降额、留意温度。

◎ 告警档，裕度明显收窄，限制充放电、主动热管理、均衡调整。

◎ 临界档，快到不安全，隔离保护、准备下电、应急处理。

分档之后，同一状态在不同场景下动作不一样。

◎ 还是预警档，行驶中保住可驱动性，只轻度降功率；

◎ 快充时先砍电流；

◎ 停放时加强记录和温度看护。

这种情景感知，靠 BMS 和整车控制器协同，BMS 出单体 SoS 和电流限制、均衡热管理，整车控制器出功率请求、座舱制冷、驾驶员警示和安全停车。

协同的价值在快充场景最明显。充电中预警，先降电流保住电池，不中断整段补能；真到了临界，才停充并断开接触器。比起一到异常就拔枪，这种顺着场景走的动作，用户几乎感觉不到，安全却一直在线上。

为了不让传感器噪声导致状态来回跳，档位之间加了滞环死区。升级立刻进更严状态，降级要确认 SoS 在更安全档里稳住一段时间才退。这样过渡平滑，不抖。

检测要靠验证，也要上云

检测算法不能只在电脑里跑。模型在环和软件在环看算法和边界，硬件在环看实时决策周期和延迟，硬件在环故障注入看传感器合理性，电池台架看滥用和测量精度，整车集成看情景感知动作，事件后和梯次利用看确认。

验收指标也量化：信号链路误差要在标定范围内，多因子融合的 SoS 指数误差在容差内，提前量比阈值多 30 秒以上，决策周期小于 100 毫秒，误报率不超过 1%，事件后还能确认电池是否仍安全、能否梯次利用。

云把检测又推了一层。

车端模型算常规量，云端用电化学加机器学习的模型跑虚拟传感器，能估出离子浓度、SEI 生长、电极电位这些车端看不到的量，也能看锂损失和活性材料损失随 SOH 的变化。

OTA 定期把参数更新推回车端，SoH 模型在全生命周期能把精度做到正负 2% 以内。

车云协同，检测从单车的当下，拉长到全生命周期的追踪。

无论化学体系怎么变、包体技术怎么改，安全都是绕不开的开发目标，而控制与传感策略，是让安全在每一个层级都生效的关键。

电池安全检测的思路，正在从"越线才报警"转向"实时算余量"。阈值法没有错，它是底线。真正往前走的一步，是把安全变成一个连续可测、可预测、可分级响应的量。

把电气、热、机械、退化四类信号融成一个裕度，再让这个裕度直接驱动降额和隔离。谁把这段提前量算得准、算得早，谁就在安全这件事上多了一层底气。

新国标把底线抬到包外五分钟不起火，企业要做的不只是过线，而是把这道裕度在每一颗电芯上算清楚。

参考资料： AVL 研讨会材料《Enabling HV Battery Safety Through Advanced Control and Monitoring Technologies》