3. 温度保护相关标准与法规

温度保护与降额控制不是“BMS 自己觉得安全就行”，它必须落在标准与法规给出的边界内。对动力电池系统而言，最常被引用的四类文件分别承担不同角色：GB 38031 管整车级安全与热扩散，GB/T 31467 管电池包/系统级测试方法，ISO 26262 管功能安全与安全目标，UN ECE R100 管电动汽车可充电储能系统的型式认证安全。理解它们的差异，才能把“温度保护”从一条阈值曲线，变成可验证、可追溯、可认证的设计约束。

一、四类标准的定位差异

GB 38031《电动汽车用动力蓄电池安全要求》是强制性国家标准，核心关注电池包或系统在热失控、过温、过充、挤压等滥用条件下的安全表现。它并不直接规定 BMS 的降额曲线，但会通过“热扩散试验后乘员舱不起火、不爆炸”等要求，反向约束 BMS 必须在热失控早期识别并触发保护。GB/T 31467《电动汽车用锂离子动力蓄电池包和系统》是推荐性测试方法标准，规定温度、电流、SOC 等测试条件与测量点，是验证降额策略是否有效的“实验语言”。ISO 26262 是道路车辆功能安全标准，要求把“温度过高导致热失控”识别为危害事件，分配 ASIL 等级，并给出安全机制与验证证据。UN ECE R100 是联合国欧洲经济委员会法规，针对可充电储能系统（REESS）的认证，强调过温保护、热事件预警和乘员安全。

二、GB 38031 对温度保护的实际约束

GB 38031 中最关键的是热扩散试验：在电池包内触发某一电芯热失控后，要求整个电池包在一定时间内不起火、不爆炸，且乘员舱危险烟气不进入。对 BMS 而言，这意味着温度保护不能只做“高温降功率”，还必须具备热失控早期识别能力。实际工程中通常组合三类信号：电芯电压骤降、温度异常速率（如 >1 ℃/s 持续数秒）、以及烟雾/气压传感器。BMS 一旦判定热失控风险，应触发最高等级保护：切断高压继电器、开启冷却、上报整车并点亮警告。需要注意的是，GB 38031 的判定对象是“包级结果”，因此 BMS 的降额策略必须与热扩散防护设计（隔热、泄压、定向排烟）协同，不能只靠软件阈值。

三、GB/T 31467 提供的测试语言

GB/T 31467 系列规定了电池包和系统的测试方法，其中温度相关测试通常包括：高温存储、温度循环、高温充放电、过温保护等。它给出的不是“限值”，而是“怎么测、测什么、怎么判”。例如在过温保护测试中，会要求以规定电流充电或放电，同时监测电池包内温度传感器读数，记录保护触发时的温度、电流和电压。对 BMS 开发者来说，这些测试条件直接对应降额策略的验证用例：在 45 ℃、50 ℃、55 ℃ 等温度点，分别验证降额起始、降额深度和切断阈值是否符合设计。若测试中 BMS 在 55 ℃ 才触发降额，而设计目标是 50 ℃，则说明温度采样滞后或滤波时间常数过大，需要调整。

四、ISO 26262 对温度保护的功能安全要求

ISO 26262 要求把“电池温度过高导致热失控”作为危害事件进行风险评估。通常，过温导致热失控可能造成乘员受伤，严重度较高；如果车辆处于行驶或充电场景，暴露概率也较高；可控性取决于驾驶员能否及时察觉并撤离。综合评估后，温度保护相关功能常被分配为 ASIL C 或 ASIL D。这意味着 BMS 必须具备足够的安全机制：温度传感器冗余或交叉校验、ADC 诊断、阈值比较的独立通道、看门狗监控、以及故障时的安全状态（如降额、切断、报警）。同时，ISO 26262 要求提供验证证据，包括 FMEA、故障注入测试、安全分析等。对降额控制而言，关键不是“有没有降额”，而是“降额失效时能否被诊断并进入安全状态”。

五、UN ECE R100 的认证视角

UN ECE R100 针对 REESS 的认证要求中，过温保护是明确条款。它要求 REESS 在正常工作、过充、过放、外部短路等条件下，不应发生危险。对 BMS 而言，R100 更关注“保护动作的可观察性和可验证性”：过温时是否切断、是否报警、是否防止再次闭合。认证测试中，通常会模拟温度传感器故障或冷却失效，观察 BMS 是否进入安全状态。因此，降额策略不能只依赖单一温度点，而应设计成“分级降额 + 最终切断”的链式保护，并保留故障记录，便于认证审查。

六、把标准要求落到降额参数上

综合四类标准，可以形成一张降额参数设计对照表。以下示例参数为教学假设，用于说明如何把标准要求转化为可配置的阈值，并非实测数据。

最后需要强调：四类标准不是互相替代，而是互补。GB 38031 和 UN ECE R100 回答“安全底线在哪里”，GB/T 31467 回答“怎么测出来”，ISO 26262 回答“怎么保证一直有效”。BMS 温度保护与降额控制的设计，应当同时满足这四条约束，才能在整车安全、功能安全和法规认证三个层面都站得住。