BMS功能安全开发流程详解

BMS功能安全开发流程详解（一）：BMS和ISO26262BMS&ISO26262简介BMS即BatteryManagementSystem，电池管理系统。作为新能源汽车“三电”核心技术之一，BMS在新能源车上扮演十分重要的作用。按照新能源汽车对电池管理的需求，BMS具备的功能包括电压/温度/电流采样及相应的过压、欠压、过温、过流保护，SOC/SOH估算、SOP预测、故障诊断、均衡控制、热管理和充电管理等。为了保证汽车电子电气的可靠性设计，在2011年发布了IS026262道路车辆功能安全标准）,IS026262标准是源于工业功能安全标准(IEC61508)[1]。目前许多汽车企业和零部件企业在控制器开发过程中采用ISO26262这个标准，ISO26262包括了汽车电子电气开发中与安全相关的所有应用，制定了汽车整个生命周期中与安全相关的所有活动，ISO26262从需求开始，当中包括概念设计、软硬件设计，直至最后的生产、操作，都提出了相应的功能安全要求，其覆盖了汽车整个生命周期，从而保证安全相关的电子产品的功能性失效不会造成危险的发生。如下图所示1.范围及相关项ISO26262适用于最大总质量不超过3.5吨的量产成用车上的包含一个或多个电子电气系统的与安全相关的系统。在这部分ISO26262和FMEA还是比较相似的，第一步是确定Scope，那些是研究范围之内的。对高压电池系统而言，ISO26262适用于电池包电气系统及BMS系统，而不适用于电池包的电芯及机械结构件等。1）FunctionSafetyDefinition功能安全：不存在由电子电气系统的功能异常而引起的危害而导致不合理的风险。为了保证避免不可接受的风险，功能安全开发流程在在ISO262262标准中进行了详细的阐述。概念阶段的functionsafetyrequirements应当能够满足整车层面的SafetyGoal，电子电气层面的开发出来的technicalsafetyrequirements同时也应该满足概念阶段的functionsafetyrequirements，最后一步是确定零部件级别的软件和硬件的功能安全需求。下图是ISO26262开发途径。2）Fault,ErrorsandFailuresDefinitionsFault（故障）：可引起要素或相关项失效的异常情况Errors(错误)：计算的、观测的、测量的值或条件与真实的、规定的、理论上正确的值或条件之间的差异Failure（失效）：要素按要求执行功能的能力的终止基于上面的定义，他们之间存在一定的因果关系，故障会产生错误，而错误会引起功能或者系统的失效，如果下图。在ISO26262标准中，我们要区分两类故障、错误和失效：随机和系统性失效。系统性失效可以在设计阶段通过合适的方法来避免，而随机性失效只能降低到可接受程度。系统性甚至随机性失效会发生在硬件当中，而软件的失效更多的是系统性的失效。失效同时还可以分为单点失效和多点失效。单点失效：要素中没有被安全机制所覆盖，并且直接导致违背安全目标的故障多点失效：由几个独立的故障组合引发，直接导致违背安全目标的失效。在多点失效中有个特别的失效叫双点失效。由两个独立故障组合引起的，直接导致违背安全目标的失效。故障发生的时间关系如下图所示诊断测试时间间隔（diagnostictestinterval）：通过安全机制执行在线诊断测试时间间隔故障响应时间（faultreactiontime）:从故障探测到进入安全状态的时间间隔3）RiskDefinition风险可以看成一个功能函数F，一个变量frequencyofoccurrence(f)，controllability(C)，potentialseverity(S)功能函数其中f是Exposure（E）危害时间发生概率λ的函数ISO26262标准中分别对E，C，S进行了相应的定义a.对于每一个危害事件，应基于确定的理由预估每个运行场景的暴露概率。按照下表，应为暴露概率指定一个E0、E1、E2、E3或E4的概率等级。b.对于每一个危害事件，应基于一个确定的理由预估驾驶员或其他潜在处于风险的人员对该危害事件的可控性。按照下表，应为可控性指定一个C0、C1、C2或C3的可控性等级。c.对于每一个危害事件，应基于一个已确定的理由来预估潜在伤害的严重度。根据下表，应为严重度指定一个S0、S1、S2或S3的严重度等级d.每一个危害事件的ASIL等级应使用“严重度”、“暴露概率”和“可控性”这三个参数根据下表来确定由于BMS属于新能源汽车高压电池系统的一部分，EUCAR定义了高压电池系统的危害等级。当BMS不能够很好的监测或者保护电芯时，上表中的危害事件就有可能发生。ISO26262的目标是保护乘客受到危害，因为上表Level5以上就算是严重危害事件了。因此有必要定义一个电芯工作的最大允许危害级别，5以上时肯定不允许的。（二）：ASIL等级1.相关项定义，ASIL等级，安全目标如下图所示，第一步通过不同的驾驶情况，不同的环境来确定不同的场景；第二步分析不同场景下的事故所以引起的HazardSituation.第三步确定这些HazardSituation的ASIL等级，这一部分有很大的主观因素，每个公司考虑问题的角度不一样，针对不同的HazardSituation设定的ASIL等级也会不一样。比如有些OEM定义热失控的ASILLEVEL为C，有些OEM设定热失控ASILLEVEL为D，不过目前来看热失控以后的ASILLEVEL会是D，在知乎上看有人说以后大众的高压电池包的安全等级为D，他说的这个电池包应该是指电池包里面的电气架构包括BMS。ISO26262-3Scheme©TÜVSüd第四步根据上一步确定的不同的故障模型HarzardSituationASIL的最大ASIL等级。第五步根据上一步确定的最大ASIL等级就可以设定SafetyGoal了。在上篇文章中简单介绍了功能安全的开发途径，在开发途径中，SafetyGoal是TopLevel的SafetyRequirements，直接来自于HARA（hazardanalysisandriskassessment）。第七步，根据SafetyGoal就可以导出SaftetyRequirements。因为ISO26262涉及到产品的整个开发周期，那么谁该负责这整个流程，主机厂还是供应商？如果BMS是由供应商开发提供给主机厂，那么理论上前5步都应该是主机厂来主导分析，输出SaftetyGoal给供应商，供应商根据SatetyGoal导出SaftetyRequirements，接着是系统设计，硬件设计，软件设计等。同时主机成也会参与到V模型右边的测试部分。根据上面的分析，我们将BMS最为一个safetyelementoutofcontext（独立安全单元），独立安全单元的意思在在产品的开发周期内，不用考虑整车内其它要素（element）。a.ItemDefinitionItemdedinition首先要确定item的scope，item的边界及与item相关的部件，确定item与外界部件的交互接口，CAN信号，传感器信号等等。一般通常采用方框来表示item的elements，通过这些elements和elements之间的信息交互，就能够确定这个系统的大致架构。如果下图a是一个电池系统的方块图，电池高压系统主要有Junctionbox，Modules，cellbalanceinterconnectcircuit,HVcontactormodule,BMS等。BMS通过将传感器采集的数据进行处理，计算电池SOC/SOH，故障诊断等，同时通过整车CAN与VCU进行信息交互。b图是a图所对应的itemdefintion。一个A00级的BEV电池包。a)PreliminaryarchitectureofthehypotheticalLi-ionbatterysystemb)Keyelementsandsignalswithintheenergystoragesystem点画线表示高压电池系统的边界线，高压系统的与外界的交互信号分成了下表中的七大类。上面定义了不同类的子系统，下面这张图是上图中（connectedmodules）连接模组的框框图。下面这张图是上面连接模组的进一步分解的模组框框图及信号流。这样一层一层像剥洋葱一样分解系统，很方便追溯所有信号来源。系统与其他外部部件之间的联系，系统内部之间的联系，子系统之间的联系，一目了然。比如我们想追踪温度传感器的信号流，首先可以从模组框框图开始，temperaturesensor到monitoringunit，monitoringunit与外部的internalcommunication交互信息，上一次的连接模组的internalcommunication与外界的Junctionbox通过内部通讯交换信息Toplevel的junctionbox与外界的整车控制器交互信息。这篇文章里的Itemdefinition是针对高压电池包，我直接引用。BMS系统没有这么多子系统，但是在工作中发现，其实把高压系统的电气系统和BMS作为一个大系统，进行功能安全分析更全面，工作也更好展开。（三）：ASIL等级a.ASIL等级在第二篇中，进行了概念阶段的itedefinition分析，itemdefinition应当尽可能将系统的接口描述清楚。比如电池系统电压分类，高压线路的功率能力，CAN通信协议和其他信号的说明，信号电压电流范围，正常值等。Itemdefinition,不仅需要将系统的功能描述清楚，同时也要将item的失效模式描述清楚，这样才能清楚知道tiem应该是怎么样，而不应该出现某些哪些表现形式。在ISO26262-3中，Hazrad可以通过，brainstorm或者DFMEA等方法来确认，从整车级别分析这些危害会对车辆或者乘客造成的影响。这个阶段的DFMEA我们可以不用考虑造成这些危害的可能原因有哪些，在后面的DFEMA工作中可以具体来分析造成这些hardzard的可能原因。在第二篇的中的itemdefintion中，分析了过一个A00级别汽车的电池包。如下图。下表是根据上图HARA(HazardAnalysisandRiskAssessment)得到的。定义了93个功能和136个malfunction.在该文章中选取了6个路况，subterraneangarage,smallstreets,middlestreets,largestreets,highwayandmotorway，同时选取了23个常见的驾驶工况，常见的天气情况对场景的影响，最后得到了3128个可能性较大的危害事件。3128还是个非常大的数字，如果一条一条的分析，是个巨大的工作。文章中提高，他们团队有来不自不同部门的经验丰富的工程师有整车部门，电芯部门，pack部门，EE等，最后团队从这3128危害事件中选择了142个进行进一步分析。下表是电池系统几个function与malfunction：在定义好了malfunction后，就可以根据Riskdefiniton中的三个参数S(Severity),E(Exposure),C(Controllability)来确定危害的ASIL等级了。下表是一个简单的电芯过放的HARA分析。在这个表格里面，在城市道路上发生电芯热失控导致车辆起火，定的ASILLevel是C；车辆在速度比较低的时候，定的ASILLevel是A。下表是另外一个文章中过放的HRAR分析：这两个表格中参数C（Controllability）很大程度上取决于驾驶员将车辆停靠在安全位置的速度，车速越快，车速越快驾驶员需要更多的时间找一个安全位置将电芯热失控的车辆安置好。这两个表格中第二行S/E/C的值都是一样，而ASILLEVEL却不一样，纳尼？？？有个很简单的公式来确定确定ASILLEVEL。如果S+E+C的值小于7，那么ASILLEVEL是A，详细如下表。所以第二个表格中