BMS 功能安全（Battery Management System Safety）

读完本页后,你应该能够:

• 列出 BMS 5 套独立 SG(过充/过放/过温/绝缘/接触器粘连)及其 ASIL 等级
• 说出 cell monitor IC 内置 SM(LTC6804 / BQ79616 / ADBMS6830)的覆盖边界
• 解释 SOC/SOH 估算偏离对安全的影响,以及 plausibility 检测手段
• 设计接触器粘连检测三件套(预充电曲线 + Vdc jump + coil V/I)
• 描述电池 TR 5 层防护链(单 cell → 模组 → pack → 系统 → 整车)
• 区分 BMS 主板 ASIL D 和 cell monitor 子板 ASIL B/C 的分工
• 识别 BMS 安全 5 个反模式

很多人以为 BMS 就是"测电压、控充放电"。从功能安全角度,BMS 是 5 套独立 SG 的总集成——每套对应一类不可接受的 hazard:

5 套 SG 共用同一套硬件(cell monitor IC + master MCU + 接触器 + Pyro fuse),但FMEDA 必须按 SG 分别算 —— 一颗 cell monitor IC die 失效可能同时进 SG-B1 和 SG-B3 两张表。

BMS 受双重监管约束:ISO 26262 管功能安全(失效率/SM 覆盖) + GB 38031 / UN R100 / ISO 6469 系列管法规(物理判据 + 强制条款)。两者必须同时满足,法规条款常比 ASIL D 的 99% SPFM 数字更刚性 —— 不达标直接整车不能上市。

注意:GB 38031-2020 的 "TR 不蔓延 5 min" 是强制条款,比 ISO 26262 的 ASIL D 更刚性——任何不符合即整车不能上市。

典型 EV 大电池 pack 的 BMS 是分布式 —— 1 个 BMS Master(VCU/HV controller) + 多个 Cell Monitor Slave 模块(每个管 12-24 cell):

3.1 ASIL 分配的 ASIL 分解

BMS 整体 SG 是 ASIL D,但通过 ASIL 分解把 cell monitor 子板降到 ASIL B/C(成本省一半):

• BMS Master: ASIL D(运行 SOC 算法 + 接触器决策 + Pyro 触发)
• Cell Monitor: ASIL B(D) 或 C(D)(测 cell 电压 + 温度,把数据送 master)
• 配 Q&A WatchDog: SBC 监控 master 健康

详见 ASIL 分解。Master 失效时 Cell Monitor 自身的二次保护(如 cell monitor IC 内置过压 latch)兜底。

主流车规 cell monitor IC(LTC6804/6811、BQ76952/79616、ADBMS6830、MC33772)都集成一组硬件 SM,把 fault 检测从软件移到硬件,反应时间 < ms 级:

例如 ADBMS6830(Analog Devices ASIL D level)有 70+ 内置诊断,FMEDA 直接引 datasheet 的 DC 数字。这是 cell monitor 子板能降到 ASIL B(D)/C(D) 的硬件根基。

SOC(State of Charge)和 SOH(State of Health)是软件估算量,估错本身不是 safety event,但驱动错误的充放电决策才是。所以 BMS 软件层有一层"安全 SOC"——比实际更保守的估算用作 safety reaction 的判据。

5.1 SOC plausibility 检查

SOC 估算受多种 fault 污染:current sensor 漂、温度补偿错、初始值错。安全 SOC 保守估算 + 跨方法对比:

• Coulomb Counting(直接积分电流)
• OCV 法(开路电压查表)
• Kalman / EKF observer
• 三者偏差超阈值 → 报 SOC fault,限功率

5.2 SOH 漂的安全后果

SOH 偏差让 BMS 误判电池容量,可能在"以为还能充很多"时实际过充 → 触发 SG-B1。SOH 必须周期性用 long-term 数据校准,且单次 OCV 测量异常不立刻改 SOH(防异常数据污染)。

被动均衡(passive balancing)用电阻放电高 cell,主动均衡(active balancing)在 cell 间转移能量。两者都有安全边界:

均衡电路本身的硬件 fault(电阻烧 / MOSFET 短路)会让某 cell 持续放电,触发 SG-B2。这是 cell monitor IC 内置 OV/UV 比较器的兜底场景。

接触器粘连(Stuck-Contact)是 BMS 第二高频 critical fault(仅次于 cell 过充)。一旦粘连,接触器关命令发出但物理仍闭合 → HV 不能切断 → 维修触电 / HV 不可控放电。三种检测手段并用:

7.1 Pre-charge curve check

上电时 pre-charge 接触器 + pre-charge 电阻,Vdc 按 RC 曲线上升。如果"主接触器关 + pre-charge 启动" Vdc 仍立刻满压 → 主接触器粘连。这是最可靠的检测时机,每次上电都做。

7.2 Vdc jump test(主接触器关命令时)

主接触器关命令发出后,active discharge 启动。如果 Vdc 不按预期下降 → 主接触器粘连。判据:5 s 内 Vdc 应 < 60V。这是法规 UN R100 强制时窗,详见 HV 安全。

7.3 Coil V/I monitoring

接触器线圈两端电压 + 流过电流的实测,和"开/关命令"对比:

• 命令"关"但 coil 电流 ≈ 0 + Vdc 仍满 → coil 链失效
• 命令"开"但 coil 电流 ≈ 0 → coil 链断
• 这一层抓"驱动电路本身失效"

三者正交覆盖:pre-charge 抓静态、Vdc jump 抓动态、coil V/I 抓驱动链。

热失控(TR)一旦在某 cell 触发,会向相邻 cell 链式传播,5 min 内整个 pack 燃烧。GB 38031-2020 强制"TR 不蔓延 5 min"。5 层防护:

详见 热安全 §5 电池 TR 5 层防护。

cell monitor IC 选型决定 BMS 整体安全成本 —— ASIL D 子板比 ASIL C 贵约 40%,但能让 master 通过 ASIL 分解降一档,系统总成本反而更低。下表对比主流车规 cell monitor。

ASIL D cell monitor 比 ASIL C 贵约 40%,但能让 BMS Master 通过 ASIL 分解降复杂度,系统总成本反而省。

BMS 的 FMEDA 必须按 SG 切片算 —— 一颗 cell monitor IC die 失效可能同时进 SG-B1(过充)和 SG-B3(过温)两张表,FIT 不能重复算但 SM 可以共用。下面是 SG-B1 的简化骨架:

Element: BMS pack(1× Master MCU + 16× cell monitors + 接触器驱动)
SG-B1 safety-related FIT = 80

$\text{SPFM}=1-\frac{2.46}{80}=96.9\%$

差点到 ASIL D 99%。提升:cell monitor IC 升 ASIL D 双独立 + safety MCU 完全独立 die。

BMS 是 5 套 SG 共用一套硬件,反模式集中在"假冗余"和"软件单算法" —— 看起来配齐了 SM,实际共因没切或单点决策。下面 5 条覆盖量产事故复盘里最常见的根因。

BMS 给 Inverter 提供两类信号:Vdc(实测 HV bus 电压) + 可用功率上限(SOC/SOH/T 推算)。Inverter 的 ASIL D SG 依赖这两类信号正确——两者通过 CAN E2E P05 传输,接收端 plausibility 兜底。

详见 Inverter ASIL D 端到端实现案例 §3 HV no thermal incident。

• BMS 是 5 套独立 SG 的总集成(过充/过放/过温/绝缘/接触器),不是单一 SG
• 法规约束比 ISO 26262 更严 —— GB 38031-2020 "TR 不蔓延 5 min" 强制条款
• 架构:Master ASIL D + Cell Monitor ASIL B/C(D),通过 ASIL 分解省成本
• Cell monitor IC 内置硬件 SM(OV/UV 比较器、open wire、CRC)是降级 ASIL B/C 的根基
• SOC/SOH 估算 + safety SOC plausibility 双层防御,Coulomb + OCV + EKF 跨方法验证
• 接触器粘连三件套:pre-charge curve + Vdc jump + coil V/I,正交覆盖
• TR 防护5 层链:cell → 模组 → pack → 系统(BMS+Pyro)→ 整车(VCU + e-call)
• 5 反模式戒除:SOC 单算法 / 接触器只看 coil / 均衡在充电中 / cell monitor 单 IC / TR 只看绝对温度

• ← 索引
• HV 安全(HVIL/IMD/接触器/Pyro)
• 热安全(Spirito/TR 5 层/降额)
• 电流采样诊断
• 电压采样诊断
• 温度采样诊断
• Inverter ASIL D 端到端实现案例
• CAN E2E + SecOC
• ASIL 分解
• 安全机制目录
• 功能安全总论
• DFA / FMEDA / FTA
• 失效模式速查表