动力锂电池BMS开发流程概述

1、动力锂电池BMS功能需求的考量

功能安全：不存在由电子电气系统的故障而引起的危害导致不合理的风险。因此，动力锂电池BMS功能安全开发要根据实际产品应用需求做相应功能列表情况，其中首要任务是要防止不可接受的风险。要区分两类故障、错误和失效：随机和系统性失效。系统性失效可以在设计阶段通过合适的方法来防止，而随机性失效只能降低到可接受程度。系统性甚至随机性失效会发生在硬件当中，而软件的失效更多的是系统性的失效。关于每个危害事件，根据其暴露概率E、可控性C、严重度S三要素，确定其ASIL等级。

从需求开始，当中包括概念设计、系统设计、硬件设计、软件设计，直至最后的生产公布、售后维护，做出相应的功能安全要求，必须具备电压、电流、温度等基本的采样功能，同时对电池的运行过程实时监督，过压、欠压、过流、过温等保护功能，根据需求做同时SOP、SOC、SOH的预测，故障诊断、均衡控制、热管理、快慢充管理等。

2、动力锂电池BMS开发流程

优先确定可能性危害事件发生。根据不同的工况、不同使用情况、环境应用情况分析出可能性较大的危害事件，针对危害事件，分配到系统工作的各个职能部门。

（1）思考动力锂电池BMS因故障导致功能失效的全部可能性：汇总全部功能和故障，按照运行模式区分，形成危害事件的矩阵。通过危害分析和风险评估，界定危害事件的功能安全目标。合并不同场景下的同一个危害事件的安全等级，用最高的功能安全等级作为该危害事件的安全等级。为了防止危害事件的发生，进而形成安全目标。

可以从防止危害事件发生的角度考虑安全目标，也可以从防止故障发生的角度提出安全目标。例如：对过放导致内部短路电池起火这个危害提出安全目标，从防止危害发生的角度提出安全目标为防止过放导致短路电池起火，从防止故障的角度提出安全目标则为防止温度限制发生故障。安全目标的得出，衍生出一些安全相关的参数也要做规定，这些参数包括：运行模式，故障容错时间，安全状态，功能冗余等。

（2）确定功能安全需求FSR，每一个安全目标含义至少一项功能安全要求，尽管一个功能安全要求能够cover不止一条安全目标，每一条FSR从相关的SG继承最高的ASIL。通过分层的方法，从风险评估和危害分析得出安全目标，再由安全目标得出功能安全要求。FSR的功能安全等级，自动继承安全目标的最高等级。

（3）由功能安全需求（FSR）提炼技术安全需求（TSR），在整个开发生命周期，技术安全需求是要落实功能安全概念的技术要求，其用意是从细节的单级功能安全要求到系统级的安全技术要求。下表为功能安全需求转化成技术安全需求的栗子，仅供流程上的参考。

（4）bms系统设计阶段，系统及子系统要上面所含义的贯彻技术安全要求，要反映前面含义的安全检测及安全机制。技术安全要求的应分配给系统设计要素，同时系统设计应完成技术安全要求，有关技术安全要求的实现，在系统设计中应考虑如下问题，含义系统架构，分配TSR到硬件和软件，同时含义好软件硬件接口HIS。软硬件接口规范应规定的硬件和软件的交互，并与技术安全的概念是一致的，应包括组件的硬件设备，是由软件和硬件资源控制支持软件运行的。

系统设计，标准中给出三个方面的原则：模块化、适当的颗粒度和简单。针对不同的安全等级，强调关注不同侧面的设计考量。

技术安全要求，直接或者经过进一步细化后，分配给硬件和软件。

系统设计完成后，还要考虑设计验证。功能安全目标越高，越倾向于实物验证的方式。

（5）硬件系统功能安全设计。硬件的详细安全需求来自于TSR，系统架构及系统边界HSI。硬件设计可以硬件功能方块图开始，硬件方块图的所有的元素和内部接口应当展示出来。然后设计和验证详细的电路图，最后通过演绎法（FTA）或者归纳法（FMEA）等方法来验证硬件架构可能出现的故障。对BMS系统来讲，电池包电压传感器是一个非常重要的传感器，因此针对不同ASIL等级要分析电池包电压传感器不同的失效模式。一部分失效模式可以通过硬件的需求防范，一部分失效模式可以被分离为软件需求去防范。

每个技术安全要求怎么样设计，与实际产品功能、技术发展水平，供应商水平等密切相关，是不同厂家产品差异性的起点。而产品具体执行，有自己不同的思路，有的是不适用安全机制，直接要求零部件提高自身功能安全等级；有的则选择新增监测机制或者供应不同原理的冗余设计，用以提高功能安全等级。

（6）bms软件系统设计。在软件开发一般遵循V模型，左边是开发过程，右边对应的测试过程。BMS在软件架构设计中，要重点考虑软件的可维护性及可测试性。软件在整个产品周期内都应当考虑维护性，同时还要考虑软件架构的设计测试的容易实现，至此产品的设计开发环节已经全部完成。