BMS 全栈 — 5 块功能 + 系统架构 + 量产决策树

BMS 是层次清楚的分布式系统:cell 监测靠贴在电池模组上的 cell monitor IC,master MCU 拿到全部 cell 状态后做 SOC / SOH / 平衡仲裁,再向 HV 主回路的接触器 + 安全件下达指令。下图把这条信号链、5 块功能、内部接口与对外 VCU 通讯一次画清,后续各节都是其子模块展开。

cell 监测是 BMS 一切的起点——电压、温度采样精度直接决定 SOC、SOH 准确度及 5 套 SG 的可信度。主流方案是专用 cell monitor IC + isoSPI daisy chain,每芯片 12-16 cell,菊花链最多挂 16+ 芯片 = 192-256 cell。

主流 IC 对比:

• Analog Devices LTC6804 / ADBMS6830 — 业界基准,12-16 cell / 芯片,电压精度 ±1-2 mV,SM 完备
• TI BQ79616 / BQ79612 — 16-cell + 8 temp,内置 voltage plausibility,通讯 isoUART
• NXP MC33772 / MC33775A — 6-14 cell,TSPI 接口,EV 主流之一
• 比亚迪自研 — 刀片专用,大面积 cell 集成,工艺自有

关键设计点:

• isoSPI daisy chain 隔离每段菊花链,共模电压 1500V+
• 被动 balancing (内置 MOSFET + 电阻) 是基础,大电流场景外接
• 温度采样 6-8 channel / 芯片,NTC 贴在 cell tab 附近
• 冗余采样 关键 cell 用双 ADC plausibility check 满足 ASIL B/D

链接深页:cell-balancing

主控 MCU 是 BMS 的"大脑",处理所有 cell monitor 上来的数据,做实时仲裁 + 算法计算。

主流 MCU 平台:

• Infineon Aurix TC3xx (TC397 / TC367) — 双核 lockstep,ASIL D 量产王者
• NXP S32K3xx — 经济款 ASIL B/D,EV 主流国产替代
• Renesas RH850/F1KM — 日韩 OEM 偏好

MCU 必带功能:

• 双核 lockstep 或 SBC 独立监视 (达 ASIL D 分解条件)
• ECC RAM / Flash + memory BIST
• 独立看门狗 + 时钟监测
• isoSPI / TSPI / isoUART 接口 to cell monitor
• CAN-FD × 2-4 通道 to VCU / DC 充电桩
• Ethernet 100/1000BASE-T1 (OTA 时高带宽)

SBC (System Basis Chip) 角色:

• NXP FS65 / Infineon TLF35584 / TI TPS65381 — 独立安全监视
• 独立电源 + 看门狗 + plausibility check
• ASIL D 分解中 Channel B 的核心

链接深页:BMS 功能安全 / 自动 MCU

SOC (State of Charge,剩余电量百分比) 和 SOH (State of Health,健康度) 是 BMS 输出给 VCU 的核心数字——续航预估、最大可用功率、充电截止判定都靠它。

SOC 估算主流方法:

• Coulomb Counting (库仑积分) — 简单,但电流采样 0.1% 误差累积 1 小时就 → ±5% SOC
• OCV (Open Circuit Voltage) — 静置 30min+ 测开路电压查 SOC(OCV) 表,准但只能静置
• EKF (Extended Kalman Filter) — 当前主流,结合 OCV + Coulomb + cell 模型,稳态 ±1-2%
• ML / Neural Network — 训练历史数据,新方案,Tesla 在用

SOH 估算:

• 循环计数 (Cycle Count) — 基础,粗
• Internal Resistance 跟踪 — 老化指标
• 电压曲线特征点 (Differential Voltage Analysis, ICA / DVA) — 老化的精细方法
• LFP 平台坡度低,SOH 估算更难

安全边界:

• SOC 估算偏离 ±10% 在过充 / 过放 SG 触发上是致命的
• 必须plausibility check — Coulomb 算 vs OCV 偏离 > 阈值 → 进 safe state

链接深页:SOC 估算

HV 主回路是 BMS 物理保护的实体。5 个关键安全件串在 HV+ / HV- 上:

BMS 对外有三条主要通路,每条有自己的协议栈和安全要求:

• CAN-FD to VCU — SOC% / 可用功率 / Fault DTC / SOH%,典型 500 kbps,SecOC 报文认证
• CCS / ISO 15118 to 充电桩 — 直流快充协议,V2G 双向支持
• UDS / DTC to 诊断仪 — ISO 14229,售后维修读 DTC

SecOC (Secure Onboard Communication) — AUTOSAR 报文层认证,HMAC + Freshness Counter 防重放。BMS 报文必须 SecOC 保护,否则中间人攻击可让车跑去满电 / 全断电。

E2E protection — 应用层 CRC + Counter + DataID,防数据损坏。BMS → VCU 报文一般 P05 profile。

OTA bootloader — 远程升级 BMS firmware,典型 100MB+ via Ethernet,断电恢复 + 签名校验是硬要求。

链接深页:ISO 15118 / CAN 总线

BMS 不是单一 SG,是5 套独立 SG 联立:

5 套 SG 不是顺序而是并联 — 每套独立 FMEDA、独立 reaction、独立验证。

链接深页:BMS 功能安全 / ASIL 分解 / HV 安全

到 2026 年 BMS 器件供应链基本固化:西方厂商(ADI / TI / NXP / Infineon)在 ASIL D 量产端仍主导,国产替代在 cell monitor + master MCU 经济款已成熟,Bender IMD、Daicel Pyro Fuse 等几款关键器件全球通用、几无第二选择。下表列出选型最常用的对照。

BMS 合规由国家强制 + 国际通用 + 行业流程三层标准联立约束,任何一层不过 PPAP 就出不了厂。三类标准放一起看,可避免新工程师只盯 ISO 26262 而漏掉 GB 38031 / UN R100 这类硬强制法规:

• GB 38031-2020 — 中国市场强制,电池 pack 安全 (TR 5min 逃生 + 8 项测试)
• UN R100 / ECE R100 — 国际市场强制,EV 整车 HV 安全
• ISO 26262 — Part 2-9,功能安全开发流程
• ISO 6469-1/3/4 — EV 电池 + HV 系统安全
• IEC 61851 / ISO 15118 — 充电协议
• UN 38.3 — 电池运输安全 (热 / 振动 / 撞击)

链接深页:GB 38031 / UN R100 / ISO 26262 总览

BMS 的 failure mode 多是几条主线反复出现的样板:过充 / 过放 / 接触器 / 绝缘 / 通讯 / 热失控。下表汇总最常见 7 类失效 + 后果 + 标配缓解,FMEDA 报告至少要覆盖这 7 行:

链接深页:失效模式综合速查表 / 电池 TR 5min 逃生

新主管 onboard 一个 BMS 项目的第一周决策清单:

1. Cell 选型 → NCM (高能量) / LFP (低成本 + 安全) / NCMA (旗舰) / 钠离子 (低端)
2. Pack 架构 → CTP (Cell-to-Pack) / CTC (Cell-to-Chassis) / 传统 module
3. Cell monitor IC → 看 cell 数 + ASIL 要求 + 国产化要求
4. Master MCU → ASIL D 选 TC397 / 经济选 S32K3
5. SBC + 安全 mcu → FS65 标配
6. 接触器 → Tyco LEV200 + 国产替代 (松下 / 欣锐 / Tyco)
7. 预充 → 50-100Ω 大功率铝壳电阻 + 小信号 K2
8. Pyro Fuse → Daicel 还是国产 (比亚迪自研)
9. IMD → Bender IR155 几乎默认
10. CAN topology → BMS bus + 充电 bus + VCU bus 分开

BMS 工程陷阱往往不在器件选型,而在多子系统交叉的边界条件和设计假设与量产现实的偏差。以下 7 类是量产项目反复踩的真实坑:

G1 LFP 的平坦 OCV 曲线导致 SOC 估算在中段盲:LFP 电池 OCV 在 20–80% SOC 段变化仅 20–30 mV,EKF 收敛速度远慢于 NCM。当 Coulomb Counting 累积误差超过 ±3% 时,plausibility check 阈值要么漏检要么误报——偏宽 → SG-V− 触发滞后 10% SOC;偏严 → 正常驾驶误保护。EKF 初始化必须在完整静置 OCV 后完成,不能用行驶中 OCV 估算做起点。

G2 接触器粘连检测三路缺一就有盲区:量产 BMS 标配三路粘连检测:①辅助触点反馈、②断电后 HV+/HV− 端电压差、③K2 预充端与主路电压差。只用辅助触点的设计在辅助触点焊接失效时完全失明——K1 粘连 + 辅助触点坏,整车下电后 HV 仍通,维修人员触电。三路交叉的理由是 IEC 61508 对 ASIL C 要求 DC ≥ 90%,单路辅助触点 DC ≈ 60–70% 不够。

G3 isoSPI 菊花链中游断链导致全栈失明:ADI/TI 方案 daisy chain 中,任意节点通信失效,下游所有 AFE 数据丢失而非只丢失该节点。驱动层用 Freshness Counter + CRC 能检测"丢包",但无法区分"该节点真坏"vs"上游断链"。正确处理:isoSPI 帧丢失 N 帧 → 降功率;同时 IC 支持反向 Fault 汇报链路时,优先开启,避免 silent data loss。

G4 Pyro Fuse 触发条件与 HARA 脱节是 DevOps 杀手:Pyro Fuse 是一次性不可复位安全件。量产项目常见:调试 BMS firmware 的工程师把触发条件写为"任意过流 > 500 A 且 > 1 ms",但 HARA 里写的是"碰撞信号 OR 严重绝缘失效 OR 热失控确认"。结果路试过坑洼路段 → 电流尖峰触发 Pyro → 整车报废级返工。Pyro 触发判据必须从 Safety Goal 逐级推导,并在 HIL 测试时用 故意短路实验验证判据边界。

G5 OTA 升级窗口期 BMS 功能停歇是隐性安全事故:BMS firmware OTA 重启 MCU 期间,如果没有无缝双分区(Seamless OTA),SG-V+/SG-V−/SG-IR 全部失活。若 OTA 在充电中途被 VCU 触发(远程命令),充电桩持续给电,BMS 静默 → cell 过充。正确实现:OTA 分区更新,Active 分区不停机;更新完成后在确认 VCU 同意的静置窗口才切换分区并重启。

G6 Coulomb Counting 0.1% 电流误差在快充时段急剧累积:100 Ah pack（PHEV/小型 EV 典型）快充电流 300 A（3C），±0.1% 电流传感器增益误差 = ±0.3 A。1 h 漂移 0.3 Ah ≈ 0.3% SOC。3 C 充电场景(充 20 min)看似漂移小,但传感器 DC 误差(Voffset 随温度漂移)在 45°C 时可达 ±0.5%,累积 10 min = ±0.5% SOC。EKF 在快充期间无法做 OCV 修正(电流大,OCV 测不到),快充结束后修正量可能超过 ±2%,触发过冲 SG 假保护。

G7 SOH 降至 70% 时 BOL FMEDA 参数不再成立:BMS SG 的触发阈值和 FTTI 基于 BOL cell 参数计算 FMEDA——新电池内阻 0.5 mΩ/cell。EOL(10 万 km,SOH ≈ 70%)内阻 1.5–2 mΩ/cell,同样充电电流导致 ΔV = I × ΔR ≈ +300 mV 峰值偏移。若 SG-V+ 阈值固定,快充 EOL cell 实际可用 SOC 比 FMEDA 预估的少 5–8%。必须 SOH 自适应阈值(Adaptive Upper Limit)或保守初始裕量覆盖 BOL–EOL 全寿命。

BMS 在三个工况极限上最容易同时触发多个 SG 和系统级故障,设计评审必须专门覆盖:

C1 极寒启动(−40°C):接触器迟吸合 + SOC 严重低估叠加:LFP 电池在 −40°C 时内阻升至室温 10–20×,OCV 曲线更平坦。实测 SOC 低估量可达 15%——BMS 汇报 SOC 35%,实际可用电量等效 20%。同时,接触器线圈电阻因低温升高 30%,吸合时间从 10 ms 延长到 20–30 ms。若预充电路按 t = 5 × RC 超时判据设置(200 ms),低温下预充时间可能合法地拉长到 500 ms 而被 BMS 误认超时 → 拒绝闭 K1。冷启 BMS 必须有温度自适应的预充超时参数和 SOC 低温修正模型。

C2 高温快充(45°C)+ 高 SOC(> 95%):过充 SG 边界最薄:45°C 时 cell 内阻降低 30%,快充电流 300 A 对应的 IR Drop 减小,OCV 上升更快。测量值 V_measured = OCV + I × R 在 SOC > 95% 时每 0.1% SOC 对应 < 3 mV 电压变化,而 ADC 量化误差 1 LSB = 1–2 mV。最坏情况下 SG-V+ 触发边界模糊度 ±5% SOC。必须在高温高 SOC 角专门做 FMEDA 验证:DC_CH (过充检测)在该角 ≥ 99%,并在 HIL 中注入温度 + 电流噪声叠加验证。

C3 深放电后首次快充(Vcell < 2.5 V):充电桩协议兼容性与 BMS 冲突:LFP 过放至 Vcell < 2.5 V 时进入"铜溶解风险区"——不能用快充大电流。BMS 应强制限流 0.1 C 预修复。但 CCS / GB/T 27930 协议的充电桩在建立 PDU Communication 阶段就可能发出 ChargeParameterDiscovery 请求并等待 BMS SOC 汇报。此时 BMS SOC 估算失效(OCV 对应表超出量程),BMS 若汇报 SOC 0% → 桩方 chargeReady 输出 0 A → 预修复电流无法建立 → 充电停滞。正确实现:BMS 在过放区向桩发 SOC = 0% + MaxCurrentDemand = 5 A(预修复电流),同时本地限流 0.1 C,等 Vcell > 2.8 V 后切换正常充电流程。