本质与导读

tags:

主线/功能安全
主线/系统架构
层/L6 aliases:
BMS 安全
BMS functional safety
SOC 安全
接触器逻辑
cell monitor
cell balancing safety
TR 防护
thermal runaway propagation created: 2026-05-01 updated: 2026-05-01 type: concept status: expert description: "BMS 是 HV 系统里"信息密度最大、失效后果最严重"的 ECU——单次过充让 cell 进入 thermal runaway 链式传播,整车直接起火;接触器粘连让维修人员触电;SOC 估算偏…" confidence: high source_quality: primary review_due: 2026-07-31 updated: 2026-07-07 sources: ISO 26262-5/6/9、UN R100 / GB 38031-2020(电池系统安全要求)、ISO 6469-1/3/4、CATL / BYD / 特斯拉公开技术资料、TI BQ79xxx / NXP MC33772 / Analog ADBMS6830 datasheets、industry practice from BEV / HEV pack 项目 prerequisites:
"[[topic-functional-safety]]"
"[[topic-hv-safety]]"
"[[topic-thermal-safety]]"
"[[topic-safety-mechanism-catalog]]"
"[[topic-asil-d-case-studies]]"
"[[topic-current-sensing-safety]]"
"[[topic-voltage-sensing-safety]]"
"[[topic-temperature-sensing-safety]]"

BMS 功能安全（Battery Management System Safety）

本质 BMS 是 HV 系统里"信息密度最大、失效后果最严重"的 ECU——单次过充让 cell 进入 thermal runaway 链式传播,整车直接起火;接触器粘连让维修人员触电;SOC 估算偏 10% 让用户半路趴窝。所以 BMS 功能安全不是单一 SG,而是电压/电流/温度/接触器/绝缘 5 套独立 SG 联立——每套独立设计、独立 FMEDA、独立 reaction,但共用一套 cell monitor + master MCU + 接触器执行链。本页讲清:5 套 SG 怎么联立、为什么 BMS 必须 ASIL D、cell monitor IC 内置 SM 的作用、SOC/SOH 估算的安全边界、接触器粘连检测三种手段、TR 防护 5 层链。

主线坐标:第 2 站 · BMS · ↑ 全景主线

1. BMS 5 套独立 SG —— 不只是"管电压"

很多人以为 BMS 就是"测电压、控充放电"。从功能安全角度,BMS 是 5 套独立 SG 的总集成——每套对应一类不可接受的 hazard:

BMS 5 套独立 SG fan-out — B1/B3 ASIL D 起火/TR · B4 B-C 触电 · B2/B5 ASIL C cell 损坏/HV 残压

SG	描述	ASIL	关键 SM
SG-B1	任何 cell 不应过充(> 4.25V Li-ion / > 3.65V LFP)	D	cell monitor + redundant + 充电断流
SG-B2	任何 cell 不应过放(< 2.5V)	C	cell monitor + 放电断流
SG-B3	任何 cell/模组温度不应进入 TR 阈值(典型 130°C)	D	NTC × N + 热模型 + Pyro
SG-B4	HV ↔ 底盘绝缘电阻不应 < 100 Ω/V	B-C	IMD + 启动+周期自检
SG-B5	接触器关后,Vdc 应在 5s 内 < 60V(碰撞法规窗口/业界目标)	C	主动放电 + Vdc 双独立监测 + 粘连检测

5 套 SG 共用同一套硬件(cel…

5 套 SG 共用同一套硬件(cell monitor IC + master MCU + 接触器 + Pyro fuse),但FMEDA 必须按 SG 分别算 —— 一颗 cell monitor IC die 失效可能同时进 SG-B1 和 SG-B3 两张表。

2. ISO 26262 + 法规依据

BMS 受双重监管约束:ISO 26262 管功能安全(失效率/SM 覆盖) + GB 38031 / UN R100 / ISO 6469 系列管法规(物理判据 + 强制条款)。两者必须同时满足,法规条款常比 ASIL D 的 99% SPFM 数字更刚性 —— 不达标直接整车不能上市。

标准位置	内容	用途
ISO 26262-5/6/9	通用功能安全	同其它 ECU
GB 38031-2020	中国电池系统安全要求	TR 不蔓延 5 min(强制)
UN R94/R95 碰撞电气附录 + ISO 6469-3 §6.3.4	HV 残压 5s/60V(R100 无此条款)	SG-B5 物理判据
ISO 6469-1	RESS 防护	单 cell 测温 + 充放电管理
ISO 6469-3	电气安全	IMD / HVIL / 绝缘
ISO 6469-4	防撞试验	碰撞后 RESS 不漏液
ISO 26262-11 §5.4	半导体接口诊断	cell monitor IC 选型

注意:GB 38031-2020 的 "TR 不蔓延 5 min" 是强制条款,比 ISO 26262 的 ASIL D 更刚性——任何不符合即整车不能上市。

3. BMS 硬件架构 —— 主板 + 子板分工

典型 EV 大电池 pack 的 BMS 是分布式 —— 1 个 BMS Master(VCU/HV controller) + 多个 Cell Monitor Slave 模块(每个管 12-24 cell):

BMS 主板 + 子板分布式架构 — Master ASIL D 中心 + 3 个 Cell Monitor B(D) 上方 + Contactor / Pyro 下方

3.1 ASIL 分配的 ASIL 分解

BMS 整体 SG 是 ASIL D,但通过 ASIL 分解把 cell monitor 子板降到 ASIL B/C(成本省一半):

BMS Master: ASIL D(运行 SOC 算法 + 接触器决策 + Pyro 触发)
Cell Monitor: ASIL B(D) 或 C(D)(测 cell 电压 + 温度,把数据送 master)
配 Q&A WatchDog: SBC 监控 master 健康

详见 ASIL 分解。Master 失效时 Cell Monitor 自身的二次保护(如 cell monitor IC 内置过压 latch)兜底。

4. Cell Monitor IC 内置 SM

主流车规 cell monitor IC(LTC6804/6811、BQ76952/79616、ADBMS6830、MC33772)都集成一组硬件 SM,把 fault 检测从软件移到硬件,反应时间 < ms 级:

SM	抓的 fault	实现
OV / UV per cell(硬件比较器)	单 cell 过压/欠压	比较器直拉 fault pin,< 1 ms
OT / UT(温度)	单点温度异常	同
Open wire detection	sense wire 断	启动注入电流测响应
CRC on isoSPI / SPI	通信链路 fault	链路层校验
Internal ADC self-test	ADC 失效	启动 + 周期 BIST
Reference voltage check	Vref 漂	双独立 Vref 比较
Pin short / open	焊点裂、连接器掉	启动连通性测试

例如 ADBMS6830(Analog Devices ASIL D level)有 70+ 内置诊断,FMEDA 直接引 datasheet 的 DC 数字。这是 cell monitor 子板能降到 ASIL B(D)/C(D) 的硬件根基。

5. SOC / SOH 估算的安全边界

SOC(State of Charge)和 SOH(State of Health)是软件估算量,估错本身不是 safety event,但驱动错误的充放电决策才是。所以 BMS 软件层有一层"安全 SOC"——比实际更保守的估算用作 safety reaction 的判据。

BMS SOC 双估算 + plausibility — measured (V/I/T/t) → EKF → SOC_E control + SOC_S safety → 比较 err > X 触发 fail-safe

5.1 SOC plausibility 检查

SOC 估算受多种 fault 污染:current sensor 漂、温度补偿错、初始值错。安全 SOC 保守估算 + 跨方法对比:

Coulomb Counting(直接积分电流)
OCV 法(开路电压查表)
Kalman / EKF observer
三者偏差超阈值 → 报 SOC fault,限功率

5.2 SOH 漂的安全后果

SOH 偏差让 BMS 误判电池容量,可能在"以为还能充很多"时实际过充 → 触发 SG-B1。SOH 必须周期性用 long-term 数据校准,且单次 OCV 测量异常不立刻改 SOH(防异常数据污染)。

6. Cell Balancing 安全约束

被动均衡(passive balancing)用电阻放电高 cell,主动均衡(active balancing)在 cell 间转移能量。两者都有安全边界:

维度	安全约束
均衡电流上限	< 数百 mA(避免单 cell 升温)
工作温度窗	仅在 0-50°C 内允许
时间窗	仅在 stationary + 不充电时(避免和充放电叠加)
单 cell 偏差报警	> 50 mV 触发 DTC,> 200 mV 强制断接触器
均衡电路自检	启动测每个均衡 channel 通断

均衡电路本身的硬件 fault(电阻烧 / MOSFET 短路)会让某 cell 持续放电,触发 SG-B2。这是 cell monitor IC 内置 OV/UV 比较器的兜底场景。

7. 接触器粘连检测 —— 三件套

接触器粘连(Stuck-Contact)是 BMS 第二高频 critical fault(仅次于 cell 过充)。一旦粘连,接触器关命令发出但物理仍闭合 → HV 不能切断 → 维修触电 / HV 不可控放电。三种检测手段并用:

7.1 Pre-charge curve check

上电时 pre-charge 接触器 + pre-charge 电阻,Vdc 按 RC 曲线上升。如果"主接触器关 + pre-charge 启动" Vdc 仍立刻满压 → 主接触器粘连。这是最可靠的检测时机,每次上电都做。

7.2 Vdc jump test(主接触器关命令时)

主接触器关命令发出后,active discharge 启动。如果 Vdc 不按预期下降 → 主接触器粘连。判据:5 s 内 Vdc 应 < 60V。这是法规 UN R100 强制时窗,详见 HV 安全。

7.3 Coil V/I monitoring

接触器线圈两端电压 + 流过电流的实测,和"开/关命令"对比:

命令"关"但 coil 电流 ≈ 0 + Vdc 仍满 → coil 链失效
命令"开"但 coil 电流 ≈ 0 → coil 链断
这一层抓"驱动电路本身失效"

三者正交覆盖:pre-charge 抓静态、Vdc jump 抓动态、coil V/I 抓驱动链。

8. 电池 TR 5 层防护链

热失控(TR)一旦在某 cell 触发,会向相邻 cell 链式传播,5 min 内整个 pack 燃烧。GB 38031-2020 强制"TR 不蔓延 5 min"。5 层防护:

电池 TR 5 层防护链 — L1 单 cell (CID/PTC/隔膜) → L2 模组 (隔热垫) → L3 pack (排气/灭火) → L4 系统 (Pyro + 切电源) → L5 整车 (主动放电 + 逃生)

层	措施
L1 单 cell	cell 内置 CID(Current Interrupt Device)、PTC、隔膜熔断
L2 模组	模组间隔热垫(气凝胶 / 云母)+ cell 间隔距
L3 pack	pack 内排气通道、灭火介质(部分车用 Aerosol)、pack 上盖弱点设计(向下排气)
L4 系统	BMS 检测 TR 信号(温升速率、电压跳变)→ 触发 Pyro Fuse + 关接触器
L5 整车	VCU 收到 TR 通知 → 主动放电 + 通知乘员逃生 + e-call

详见热安全 §5 电池 TR 5 层防护。

9. 主流车规 BMS 子板架构对比

cell monitor IC 选型决定 BMS 整体安全成本 —— ASIL D 子板比 ASIL C 贵约 40%,但能让 master 通过 ASIL 分解降一档,系统总成本反而更低。下表对比主流车规 cell monitor。

厂商 / IC	ASIL	cell 数	关键特性
TI BQ79616	D	16 cell	isoSPI daisy chain + 内置 OV/UV/OT 比较器
NXP MC33775	D	14 cell	TPL 通信 + 70+ 诊断
Analog ADBMS6830	D	16 cell	iso 通信 + 高精度 ADC
STM L9963E	D	14 cell	ISOSPI + 集成 cell balance MOSFET
Renesas ISL78714	C	14 cell	中端方案

ASIL D cell monitor 比 ASIL C 贵约 40%,但能让 BMS Master 通过 ASIL 分解降复杂度,系统总成本反而省。

10. FMEDA 端到端实例(SG-B1 过充 → ASIL D)

BMS FMEDA 必须按 SG 切片 —— SG-B1「过充」独立一张表,SG-B3「过温」另起一张,FIT 不重计但 SM 可共享。系统底座:8× BQ79616-Q1(isoSPI daisy chain,ASIL D)+ TC397 Lockstep MCU(ASIL D)+ TLF35584 SBC(ASIL D Q&A WD);SG-B1 总 SR FIT = 28(IEC 62380 B2 环境, $1 0^{9}$ h 归一化)。

10.1 设计演进:v1 → v2 → v3

三版同硬件底座、不同 SM 配置;目标:SPFM ≥ 99%、LFM ≥ 90%、PMHF ≤ 10 FIT。

v1 — 单通道基线(无冗余 SM):单路 cell monitor 无交叉验证,MCU 无 Lockstep,接触器仅 coil 状态判。

故障组	FIT	DC_SPF	residual_SPF	DC_LFM	residual_LFM
BQ79616(×1,无交叉)	8.0	90%	0.80	70%	2.40
TC397(无 Lockstep)	8.0	80%	1.60	72%	2.24
isoSPI(无 E2E CRC)	2.0	80%	0.40	75%	0.50
电流传感器(单 shunt)	3.0	85%	0.45	73%	0.81
接触器(coil 状态)	4.0	78%	0.88	70%	1.20
充电桩通信	2.0	82%	0.36	72%	0.56
共因 DFA β=4%	1.0	75%	0.25	68%	0.32
合计	28	—	4.74	—	8.03

$SPFM_{v 1} = 1 - \frac{4.74}{28} = 83.1%$ ❌　 $LFM_{v 1} = 1 - \frac{8.03}{28} = 71.3%$ ❌

v2 — TC397 Lockstep + isoSPI E2E CRC P05:MCU 内部自冗余压缩 MCU SPF 残差;cell monitor 仍单路,SPFM 约 94%,遭遇结构性天花板。

故障组	FIT	DC_SPF	residual_SPF	DC_LFM	residual_LFM
BQ79616(×1,master 交叉)	8.0	95%	0.40	82%	1.44
TC397(Lockstep + Q&A WD)	8.0	95%	0.40	83%	1.36
isoSPI E2E CRC P05	2.0	98%	0.04	86%	0.28
电流传感器(单 shunt+KCL)	3.0	92%	0.24	84%	0.48
接触器(pre-charge+coil 双检)	4.0	93%	0.28	83%	0.68
充电桩通信	2.0	93%	0.14	81%	0.38
共因 DFA β=3%	1.0	88%	0.12	78%	0.22
合计	28	—	1.62	—	4.84

$SPFM_{v 2} = 1 - \frac{1.62}{28} = 94.2%$ ❌　 $LFM_{v 2} = 1 - \frac{4.84}{28} = 82.7%$ ❌

v2 的结构性天花板:单路 cell monitor 残差 0.40 FIT 已是最大单项;即便其余 SM 全做到 100% DC,SPFM 上限 = 1 − 0.40/28 = 98.6%,仍差 99%。唯一出路:cell monitor 升双独立路径。

v3 — BQ79616 双独立路径 + 接触器三件套 + DFA β↓2%:两套完全独立 isoSPI daisy chain(不同供电域、不同 MCU ADC 端口),OV 告警须双路一致才切接触器;接触器升三件套 + Pyro 背压。

故障组	FIT	DC_SPF	residual_SPF	DC_LFM	residual_LFM
BQ79616(×8,双独立)	8.0	99.5%	0.04	92%	0.64
TC397 Lockstep + WD	8.0	99.5%	0.04	90%	0.80
isoSPI E2E CRC	2.0	99.5%	0.01	93%	0.14
电流传感器(双 shunt)	3.0	99.5%	0.015	93%	0.21
接触器(三件套 + Pyro)	4.0	99%	0.04	90%	0.40
充电桩通信	2.0	98%	0.04	88%	0.24
共因 DFA β=2%	1.0	94%	0.06	85%	0.15
合计	28	—	0.245	—	2.58

SPFM_{v 3} = 1 - \frac{0.245}{28} = 99.1% LFM_{v 3} = 1 - \frac{2.58}{28} = 90.8%

SPFM ✅ LFM ✅ PMHF ≈ 0.25 FIT ✅(< 10 FIT 门槛;PMHF 主项 = residual_SPF 合计 0.245 FIT,潜伏残余走双点项率²×时间≈0)。关键洞察:cell monitor 双独立路径是跨越 ASIL D 的唯一结构性杠杆,v1→v2→v3 的 SPFM 台阶(83.1% → 94.2% → 99.1%)清楚说明其余 SM 只是必要辅助。TC397 Lockstep(双核交叉)+ TLF35584 Q&A WD 组合使 TC397 有效 DC_SPF 达 99.5%;BQ79616 双独立路径使 cell monitor 有效 DC_SPF 达 99.5%。

11. Gotcha 链(7 个深坑)

BMS 安全最高频的工程失误集中在"架构决策比功能实现更早犯错"。下面 7 条按危险度排列,G1 是量产事故高频根因。

G1 — SOC 算法无冗余验证(最高危):单用 EKF 估 SOC,EKF 自身 bug 或模型漂移无法被独立检测 → 过充/过放发生在"SOC 显示还正常"时。修法:Coulomb counting + OCV 静态标定 + EKF 三路输出相互 plausibility check,偏差 > 5% 时告警 + 限功率。

G2 — "用了 ASIL D cell monitor IC"就以为安全:单颗 ASIL D IC 的 die 级失效仍是单点失效(SPF),内置比较器与 ADC 同通路;ASIL D 要求 SPFM ≥ 99%,而单路 DC 上限约 99.5%,结构上无法跨越 99%。必须双独立路径(不同供电域、不同 ADC 端口),两路 OV 一致才切接触器。

G3 — 接触器粘连检测顺序倒置:先闭合主正后检粘连 → 已造成 HV 短路才检,检出即已太晚。正确顺序:上电序列 = 主负先闭 → 主正通预充 → 检 Vdc 上升曲线 ① → Vdc 跳变检 ② → coil V/I 检 ③;每次上下电都跑,不能只做出厂测试。

G4 — FMEDA 不按 SG 切片:把所有 SG 混入同一张 FMEDA 表然后用全局 SPFM → 过充的 SM 被过温的 DC 稀释,两者都过不了 ASIL D 且 TÜV 审核直接驳回。每条 SG 独立一张表,SM 可共用但 FIT 分配独立。

G5 — IMD 只在上电时自检一次:上电自检通过但运行中绝缘劣化(接线盒进水/高压线束磨损)无法发现 → SG-B4 长期失效。ISO 6469-3 要求运行中持续监测,DC 系统最低绝缘阻值 100 Ω/V(400 V 系统 → 40 kΩ 告警门限;AC 系统才是 500 Ω/V,勿混用),典型实现检测周期 ≤ 500 ms。

G6 — 均衡在充电过程中开启:充电电流 + 均衡放电叠加 → 被动均衡 cell 热耗 $P = I_{bal}^{2} \cdot R_{bal}$ 在充电结束前持续加热,引发 OT 误动作或真实 TR。规则:均衡仅在停车 + 不充电 + 模组 $T < 40^{\circ} C$ 时使能。

G7 — TR 检测仅看绝对温度阈值:TR 早期温升速率加速但绝对温度 < 60°C 时,单门限检测视而不见;等到 80–85°C 告警时已进 I 期不可逆区。三联判据: $d T / d t > 2^{\circ} C / min$ + $Δ V_{cell} > 50 mV/min$ + 模组间温差 > 5°C 同时触发才升级隔离。

12. Corner 分析(3 极端工况)

设计验证必须覆盖极端角点——正常仿真场景会隐藏这 3 个问题,量产事故多从此起。

C1 — −40°C 冷启动

锂嵌入动力学大幅下降,内阻 $R_{dc}$ 升至常温 3–5 倍。危险链:BMS 若用 25°C 标定的 $R_{int}$ 模型推允许 C-rate,低温下 $R_{int}$ 低估 → 允许充电电流偏高 → 析锂 → 锂枝晶穿刺隔膜 → 内短路。处置:① 温度补偿模型( $R_{dc}$ vs $T$ LUT,每 5°C 一格);② $T_{cell} < - 10^{\circ} C$ 时只允许 0.05C 涓流 + PTC/液冷预热;③ 预热到 $- 10^{\circ} C$ 以上才开 CC 阶段;④ 全程持续 SOC + dV/dt 监控。

C2 — SOH < 60% 深度退化

5–8 年老龄电池或快充滥用后容量衰减 > 40%。危险链:① SOC 窗口实质压缩但 BMS 电压窗口未同步 → 实际 DOD 超 100%;② 内阻升高 → 充电末期 cell 电压 spike 超过 OV 阈值(4.2 V NMC);③ LFP 老龄 cell 极化增大 → OCV 平台坍塌,SOC-OCV 曲线失效 → EKF 发散。处置:① SOH < 80% 触发退役警告、< 60% 强制限功率至 0.3C;② 电压窗口随 SOH 收窄(上限 4.2 V → 4.15 V);③ SOH < 70% 时切换 SOC 算法为 Coulomb-dominated(OCV 不可信时)。

C3 — 350 kW 直流快充

800 V 系统峰值充电电流 > 400 A。危险链:① 电流采样延迟 > 1 ms → SOC 积分误差 ≫ 1%/cycle;② isoSPI 通信高峰(BMS 每 10 ms 刷一次全量 cell 数据)→ 帧碰撞率上升;③ 接触器 + 母排 $I^{2} R$ 损耗在峰值电流下远超正常工况,需提前预启液冷。处置:① 双 shunt 差分采样 + Σ-Δ ADC( $OSR \geq 64$ ,采样周期 $\leq 100 μ s$ );② isoSPI E2E CRC + sequence counter 防帧错;③ 充电功率 derate 曲线:接触器结温 Tj > 85°C 时按 5 kW/°C 降额;④ 充电开始前 5 min 预启液冷泵。

13. 与 Inverter ASIL D 的关系

BMS 给 Inverter 提供两类信号:Vdc(实测 HV bus 电压) + 可用功率上限(SOC/SOH/T 推算)。Inverter 的 ASIL D SG 依赖这两类信号正确——两者通过 CAN E2E P05 传输,接收端 plausibility 兜底。

详见 Inverter ASIL D 端到端实现案例 §3 HV no thermal incident。

核心要点

BMS 是 5 套独立 SG 的总集成(过充/过放/过温/绝缘/接触器),不是单一 SG
法规约束比 ISO 26262 更严 —— GB 38031-2020 "TR 不蔓延 5 min" 强制条款
架构:Master ASIL D + Cell Monitor ASIL B/C(D),通过 ASIL 分解省成本
Cell monitor IC 内置硬件 SM(OV/UV 比较器、open wire、CRC)是降级 ASIL B/C 的根基
SOC/SOH 估算 + safety SOC plausibility 双层防御,Coulomb + OCV + EKF 跨方法验证
接触器粘连三件套:pre-charge curve + Vdc jump + coil V/I,正交覆盖
TR 防护5 层链:cell → 模组 → pack → 系统(BMS+Pyro)→ 整车(VCU + e-call)
FMEDA 三版演进:v1(83.1%)→ v2(94.2%)→ v3(99.0%);跨越 ASIL D 的唯一杠杆 = cell monitor 双独立路径
7 Gotcha 最高危:G1 SOC 无冗余验证 / G2 ASIL D 单路幻觉 / G3 接触器检测倒序
3 Corner 角点:C1 低温析锂 / C2 SOH 退化 DOD 超限 / C3 350 kW 快充热管理

延伸阅读与新动态

由 feed.py 每日自动追加;来源见各条链接。

2026-05-20 Moment Energy earns UL 60730-1 functional safety certification for second-life EV battery BMS — 梯次利用 EV 电池 BMS 拿到 UL 60730-1 功能安全认证,补齐 UL 安全认证栈。梯次电池在工商业储能侧此前长期受困于"安全认证缺失",这是行业里第一例完整闭环的样本。

Engineering Objects

引用此页的结构化 Engineeri…

引用此页的结构化 Engineering Object(v2.0 Copilot 自动生成,不要手动编辑此段)。

case · case_battery_thermal_runaway_5min — GB 38031 "5-Minute Escape Time" Battery Safety Goal
component · component_battery_cell_lfp — LFP Battery Cell
component · component_battery_cell_ncm — NCM Battery Cell
failure_mode · failure_mode_battery_overcharge — Battery Overcharge
failure_mode · failure_mode_battery_overdischarge — Battery Overdischarge
failure_mode · failure_mode_cell_imbalance — Battery Cell Imbalance
failure_mode · failure_mode_dc_bus_overvoltage — DC Bus Overvoltage
metric · metric_soh — SOH — State of Health