基于ISO26262的動(dòng)力電池BMS解決方案

作為新能源“三電”核心技術(shù)之一，BMS在HEV/EV中發(fā)揮著(zhù)重要作用。廣義上，BMS包含傳統的12/24?V鉛酸電池管理，但這里討論的BMS主要是針對HEV/EV的管理，從48?V的弱混動(dòng)到500?V以上的純電動(dòng)，的BMS解決方案都可以覆蓋。一般來(lái)說(shuō)，BMS由一個(gè)主控單元和多個(gè)從控單元組成，從控單元直接連接電池包(Battery Pack)，采集電池的電壓、和溫度等，主控通過(guò)CAN或Daisy Chain(菊花鏈)通信等方式管理多個(gè)從控單元。

按照新能源汽車(chē)對電池管理系統的需求，BMS具備的功能包括SoC/SoH、故障診斷、均衡控制、熱管理和管理等(見(jiàn)圖1)。SoC即電池狀態(tài)，用于衡量電池剩余電量，對于判斷汽車(chē)可行駛里程十分重要。故障診斷用于判斷電池的當前狀態(tài)，及時(shí)正確識別電池的過(guò)壓、欠壓或過(guò)溫等異常情況有助于避免事故發(fā)生。均衡控制主要是消除單體電池之間的容量差異，達到一致性，延長(cháng)電池使用壽命。

隨著(zhù)軟硬件復雜性提高，來(lái)自系統失效和隨機硬件失效的風(fēng)險日益增加，隨著(zhù)汽車(chē)行業(yè)標準的發(fā)布，使得人們對功能安全有了深入的理解，對評估、避免這些風(fēng)險提供了可靠的流程保證。電池管理BMS引入ISO26262標準，不僅是順應技術(shù)趨勢的發(fā)展需求，而且確實(shí)能為BMS帶來(lái)質(zhì)的變化，從長(cháng)遠來(lái)看，有利于行業(yè)健康發(fā)展。

BMS功能安全開(kāi)發(fā)流程

ISO26262定義的功能安全標準涵蓋了產(chǎn)品的管理、開(kāi)發(fā)、生產(chǎn)、經(jīng)營(yíng)、服務(wù)和報廢等階段，覆蓋了產(chǎn)品的整個(gè)生命周期，產(chǎn)品開(kāi)發(fā)時(shí)主要關(guān)注的階段有概念、系統級開(kāi)發(fā)、硬件開(kāi)發(fā)和軟件開(kāi)發(fā)等階段。

在功能安全概念階段要做系統危害分析(Hazard Analysis)和風(fēng)險評估(Risk Assessment)，得出完整性等級ASIL(Autoive Safety Integrity Level)。ISO26262標準規定了A到D四個(gè)安全等級，其中D級為最高等級，相應的需求最為苛刻。一般而言，主流車(chē)廠(chǎng)認為BMS需要達到的安全等級至少是ASIL-C。在得出安全等級ASIL后，需要設立安全目標(Safety Goal)，并提出相應的安全需求(Safety Rirement)和(Safety Mechanism)，并在必要的時(shí)候做功能安全等級分解(見(jiàn)圖2)。

ISO26262給出了三個(gè)指標：?jiǎn)吸c(diǎn)故障指標SPFM、潛在故障指標LFM和隨機硬件失效指標PMHF，用于評估等級。

例如：在BMS開(kāi)發(fā)過(guò)程中，對BMS的危害分析有過(guò)壓(過(guò)充)、欠壓、過(guò)溫和過(guò)流等危害事件進(jìn)行監測。如過(guò)壓，可能是一個(gè)比較嚴重的事件，尤其長(cháng)時(shí)間對電池過(guò)充會(huì )導致電池性能下降和不可恢復性損壞，甚至導致電池變形、漏液情況發(fā)生。通過(guò)對過(guò)充這類(lèi)事件進(jìn)行危害分析和風(fēng)險評估，得出其安全等級是ASIL-C或者ASIL-D(在不同應用場(chǎng)景下分析下得出的安全等級可能不一樣)，那么系統的安全目標就是BMS應該能及時(shí)發(fā)現電池過(guò)充情況并作出處理，對應地，要從單點(diǎn)失效和潛在失效等方面考慮設計安全機制，最后用前面提到的度量指標進(jìn)行安全性評估。

符合功能安全的BMS解決方案

恩智浦提供完整的電池管理系統解決方案，包括MCU、模擬前端電池控制器IC、隔離網(wǎng)絡(luò )高速和系統基礎芯片SBC等。借助恩智浦的BMS解決方案，用戶(hù)可輕易實(shí)現基于CAN網(wǎng)絡(luò )或菊花鏈的電池管理系統。恩智浦提供多種符合ISO26262標準的器件，主控單元MPC574xP安全等級達到ASIL-D，模擬前端電池控制器MC33771安全等級達到ASIL-C，SBC(System Basic Chip)系統基礎芯片FS45/65安全等級達到ASIL-D。采用這套方案可簡(jiǎn)化軟，幫助用戶(hù)輕松實(shí)現系統安全等級達到ASIL-C/D。此外，恩智浦提供符合功能安全的參考設計，極大加速用戶(hù)開(kāi)發(fā)符合ISO2626標準的BMS產(chǎn)品(見(jiàn)圖3)。

在圖3的方案中，主控單元采用的MPC574xP是一款基于PowerArchitecture、具有延遲鎖步核Lock Step核的高性能和高安全性MCU。SBC系統基礎芯片FS45/65不僅提供多種可配置的，而且提供監控和眾多安全機制，支持Fail-Safe安全保護模式，MCU搭配SBC系統基礎芯片可實(shí)現更高的安全等級。模擬前端MC33771負責電池數據的采集，一個(gè)MC33771最多可以接14節單體電池，多個(gè)MC33771可以級聯(lián)形成菊花鏈式通信。MC33664作為MCU和MC33771的傳輸物理層，負責將SPI信號和進(jìn)行轉換。

恩智浦的BMS解決方案支持多種，包括集中式、分布式菊花鏈結構以及集中式、分布式CAN網(wǎng)絡(luò )結構。菊花鏈式網(wǎng)絡(luò )可顯著(zhù)降低BoM成本，受制于通信距離限制，在目前的大巴車(chē)上，目前主要是基于CAN總線(xiàn)通信。恩智浦提供的BMS解決方案具有極大的靈活性，可以滿(mǎn)足不同用戶(hù)的需求(見(jiàn)圖4)。

鑒于目前國內市場(chǎng)基于ISO26262的開(kāi)發(fā)還處于起步階段，部分車(chē)廠(chǎng)和供應商的功能安全開(kāi)發(fā)經(jīng)驗不足，導致開(kāi)發(fā)符合IS026262標準的BMS難度較大，并且要一下子達到系統級ASIL-C/D，挑戰性巨大。針對這種情況，恩智浦提供一種折中的方案，推薦主控單元采用S32K14x系列MCU，結合外部的系統基礎芯片FS45/65等，可使系統安全等級達到ASIL-B。另外，單個(gè)S32K14x達到ASIL-B等級，通過(guò)軟硬件也能使系統達到更高的安全等級ASIL-C。

需要指出的是，在恩智浦，所有按照ISO26262標準開(kāi)發(fā)的器件，都被囊括在恩智浦的SafeAssure計劃里。SafeAssure保證開(kāi)發(fā)的產(chǎn)品符合ISO26262標準，并提供必要的支持，提供功能安全相關(guān)的文檔(如Safety Manual和FMEDA等)，Safety Manual詳細闡述了芯片所采用安全機制，并指導用戶(hù)如何使用芯片可以達到比較高的安全性等級。FMEDA展示了芯片失效模型、失效概率和診斷分析等，用戶(hù)可根據具體應用需求對FMEDA進(jìn)行裁剪。

高性能、高安全性微控制器

恩智浦還提供高性能、高安全性的微控制器。

1.基于Power Architecture的MPC574xP

MPC574xP是MPC5743L的下一代產(chǎn)品。MPC5643L是第一個(gè)拿到第三方認證、符合ISO2626標準的MCU，MPC574xP基本繼承了MPC5643L的所有特性，并在工藝和性能上有一定提升(見(jiàn)圖5)。

MPC574xP具有延遲鎖步核Lock Step，可運行在200?MHz，兩個(gè)核執行同樣的代碼，輸出結果進(jìn)行比較，如果發(fā)現不匹配，可以觸發(fā)系統的安全機制，通知用戶(hù)有異常發(fā)生，并作出相應處理。MPC574xP具有很多的安全特性，針對電源和時(shí)鐘的功能是否正常，內部有專(zhuān)門(mén)的監控電路。針對Flash 和RAM，有ECC保證讀寫(xiě)數據的正確性。針對ADC，有BIST(Build in Self Test)自檢電路驗證ADC的邏輯。特別要提到的是MPC574xP具有FCCU單元，該單元收集所有其他模塊在運行過(guò)程中的異常事件，并提交給MCU內核做處理。

實(shí)際上，MPC574xP不僅僅可運用在BMS領(lǐng)域，任何對安全要求很?chē)栏竦膽枚伎梢圆捎肕PC574xP，如新能源汽車(chē)、EPS(電子助力轉向系統)、制動(dòng)、安全氣囊和應用等。

2.基于Power Architecture的MPC574xR

MPC574xR系列MCU與MPC574xP系列類(lèi)似，安全等級滿(mǎn)足ISO26262 ASIL-D，不同的是除了MPC5743R(內部只有鎖步核)，MPC5745/6R提供了鎖步核的同時(shí)，還提供了另外一個(gè)獨立的內核，這個(gè)內核可單獨運行其他程序，該系列MCU提供了更高的性能。

3.基于A(yíng)MR Cortex M4的S32K14x

S32K14x系列MCU提供極強的性?xún)r(jià)比，同時(shí)具有較高的安全等級，滿(mǎn)足ISO 26262 ASIL-B。該系列MCU最大運行頻率112 MHz，帶有SFPU，基于修改的Harvard架構，支持緊密耦合的RAM和4 KB I/D緩存，支持SHE規范的硬件安全引擎，內置48 MHz RC (IRC)器，支持CAN FD，利用FlexIO可仿真通信協(xié)議，如SPI、UART等。

4.模擬前端電池控制器MC33771

MC33771滿(mǎn)足ISO2626 ASIL-C，工作電壓范圍9.6?V ≤ VPWR ≤ 61.6?V，70?V瞬態(tài)電壓，支持7～14節電池，7個(gè)ADC/IO口/輸入，支持14通道300?mA板載被動(dòng)均衡。

結語(yǔ)

功能安全是未來(lái)汽車(chē)電子行業(yè)的趨勢，也是恩智浦BMS解決方案的優(yōu)勢，恩智浦能夠提供BMS的全套解決方案，包括高性能、高安全性的微控制器和模擬器件，如基于Power Architecture微控制器MPC574xP和基于A(yíng)RM Architecture的S32K14x，以及模擬前端電池控制器MC33771。恩智浦提供靈活的方案，支持集中式/分布式的CAN/菊花鏈網(wǎng)絡(luò )，能滿(mǎn)足不同的應用需求。恩智浦BMS解決方案可幫助用戶(hù)簡(jiǎn)化功能安全設計，使系統安全等級符合ISO26262 ASIL-C/D。