600kWh矿山重卡的PACK功能安全分析
在上山爬坡时空载，消耗电能，在下山时利用装载货物的重力作用，再制动生电，将爬坡所损耗的电基本回馈回来，整个过程电池包的内的电量相对减少很小的一部分，相当长的一段时间不用外接充电。这就是在瑞士运营的矿山电动重卡：eDumper。
eDumper是目前最大的电动车，空载58吨，载货65吨；也是目前单车电量最大的电池包，约有600kWh电的总容量。
它通过对传统燃油车Komatsu HD 605-7自卸车改装而来，电池包由Lithium System公司提供，采用方形NCM电芯。
对于安全的考虑，eDumper参考了功能安全标准ISO 26262的要求。将重卡的工作场景分为11种，分别为：水平道路或爬坡（B1），下坡（B2），装货（B3），卸货（B4），整车向电网回馈电量（B5），整车从电网充电（B6），停车（B7），维修（B8），断电（B9），运行中故障（B10，驾驶员无恙），运行中故障（B11，驾驶员无法操作）。
整车所具有的危害源以及产生的危害后果，共分为14种类型，如下表：
最严酷的两种情况是，（1）模组中的电芯发生热失控（如fuses thermally），并导致整个电池包热失控蔓延；（2）人触电。根据不同场景下造成的危害，绘制ASIL等级矩阵，如下：
其中，S0-没有伤害；S1-轻微或中度伤害；S2-严重伤害，生存可能性很高；S3-危害生命，生存可能性很低。E1-出现概率极低；E2-出现概率低；E3-出现概率一般；E4-高概率事件。C1-可控度高；C2-一般可控；C3-难以控制或不可控制。
例如，最严重的S3/E4/C3，功能安全等级为ASIL D；而在B11情况下，发生G9或G11的危害，则是ASIL A；在B1至B6的的情况下，发生G13或G14的危害，其安全等级也为ASIL A。ASIL A的概率为小于10-6/小时，即1000 FiT（Failure in Time）。
以G9或G11（电芯起火）的事故，ASIL A的话，假定电芯的失效概率是每年1ppm，对于1440个电芯的PACK来讲，则失效率为164FiT，满足ASILA的要求。
电芯以外的电气安全问题，如过充、过放、外短路、过温等，多数能够被BMS所监测到并采取相应的措施。
只有电芯自身的问题难以被管控，因此，需要通过测试来严证，在单个电芯thermal fusing时，是否会引起热失控蔓延。测试如下所示：
针刺电芯Z1，造成短路，从而引起thermalfusing，电芯的温度超过600℃，外壳体温度超过270℃，但没有起火或造成蔓延到周边电芯，如下图。