BMS功能安全开发流程详解.docx

BMS功能安全开发流程详解

（一）：BMS

（一）：BMS和ISO26262

BMSISO26262

简介

BMS即BatteryManagementSystem ，电池管理系统。作为新能

源汽车“三电”核心技术之一，BMS在新能源车上扮演十分重要的作用。

按照新能源汽车对电池管理的需求， BMS具备的功能包括电压 /

按照新能源汽车对电池管理的需求， BMS具备的功能包括电压 /温度/电

流采样及相应的过压、欠压、过温、过流保护，

SOC/SOH估算、SOP

预测、故障诊断、均衡控制、热管理和充电管理等。

为了保证汽车电子电气的可靠性设计，

在2011年发布了IS026262

道路车辆功能安全标准）,IS026262标准是源于工业功能安全标准

(IEC61508)[1]。目前许多汽车企业和零部件企业在控制器开发过程中采用

(IEC61508)[1]。目前许多汽车企业和零部件企业在控制器开发过程中采

用ISO26262 这个标准，ISO26262 包括了汽车电子电气开发中与安全

相关的所有应用，制定了汽车整个生命周期中与安全相关的所有活动，

ISO26262从需求开始，当中包括概念设计、软硬件设计，直至最后的生产、操作，都提出了相应的功能安全要求，其覆盖了汽车整个生命周期，从而保证安全相关的电子产品的功能性失效不会造成危险的发生。

如下图所示

如下图所示

1. 范围及相关项

1. 范围及相关项

ISO26262适用于最大总质量不超过 3.5

ISO26262适用于最大总质量不超过 3.5吨的量产成用车上的包含一

个或多个电子电气系统的与安全相关的系统。在这部分

ISO26262 和

FMEA还是比较相似的，第一步是确定 Scope，那些是研究范围之内的。

1）FunctionSafetyDefinition对高压电池系统而言， ISO26262 适用于电池包电气系统及 BMS系统，而不适用于电池包的电芯及机械结构件等。

1）FunctionSafetyDefinition

功能安全：不存在由电子电气系统的功能异常而引起的危害而导致不

功能安全：不存在由电子电气系统的功能异常而引起的危害而导致不

合理的风险。

为了保证避免不可接受的风险，功能安全开发流程在在ISO262262标准中进行了详细的阐述。概念阶段的functionsafetyrequirements

为了保证避免不可接受的风险，功能安全开发流程在在

ISO262262

标准中进行了详细的阐述。概念阶段的

functionsafetyrequirements

应当能够满足整车层面的 SafetyGoal，电子电气层面的开发出来的

technicalsafetyrequirements

同时也应该满足概念阶段的 function

safetyrequirements ，最后一步是确定零部件级别的软件和硬件的功能 安全需求。下图是 ISO26262 开发途径。

2）Fault,ErrorsandFailuresDefinitionsFault（故障）：可引起要素或相关项失效的异常情况Errors(错误)：计算的、观测的、测量的值或条件与真实的、规定的、理论上正确的值或条件之间的差异

2）Fault,ErrorsandFailuresDefinitions

Fault（故障）：可引起要素或相关项失效的异常情况

Errors(错误)：计算的、观测的、测量的值或条件与真实的、规定的、

理论上正确的值或条件之间的差异

Failure（失效）：要素按要求执行功能的能力的终止

Failure（失效）：要素按要求执行功能的能力的终止

基于上面的定义，他们之间存在一定的因果关系，故障会产生错误，

基于上面的定义，他们之间存在一定的因果关系，故障会产生错误，

而错误会引起功能或者系统的失效，如果下图。

在ISO26262 标准中，我们要区分两类故障、错误和失效：随机和系统性失效。系统性失效可以在设计阶段通过合适的方法来避免，而随机性失效只能降低到可接受程度。系统性甚至随机性失效会发生在硬件当中，而软件的失效更多的是系统性的失效。

在ISO26262 标准中，我们要区分两类故障、错误和失效：随机和系

统性失效。系统性失效可以在设计阶段通过合适的方法来避免，而随机

性失效只能降低到可接受程度。系统性甚至随机性失效会发生在硬件当

中，而软件的失效更多的是系统性的失效。

失效同时还可以分为单点失效和多点失效。

单点失效：要素中没有被安全机制所覆盖， 并且直接导致违背安全目

标的故障

多点失效：由几个独立的故障组合引发，