隨著汽車電動化和智能化的趨勢不斷加深，汽車電子控制單元越來越多，電子控制單元的軟硬件（ECU SW/HW）越發(fā)復(fù)雜。與此同時，系統(tǒng)失效和隨機(jī)硬件失效的風(fēng)險也日益增加，由此引發(fā)的人身傷害發(fā)生概率也不斷提高。
2011年11月15日，為避免因電子電器系統(tǒng)失效引起的不合理的風(fēng)險，降低人身傷害發(fā)生概率，做到功能安全，針對道路車輛的第一版ISO 26262《道路車輛功能安全》（簡稱 ISO 26262）正式發(fā)布，為汽車電子控制系統(tǒng)提供了一個全生命周期（管理、開發(fā)、生產(chǎn)、經(jīng)營、服務(wù)、報廢）的功能安全指導(dǎo)準(zhǔn)則。
ISO 26262提供了汽車特定的基于危害分析和風(fēng)險評估以確定的汽車安全完整性等級（Automotive Safety Integrity Level，下稱 ASIL）。ASIL分為四個等級: ASIL A、ASIL B、ASIL C和ASIL D（見圖1）。
從ASIL A到ASIL D安全完整性等級逐級提高。除了這4個ASIL等級之外, 質(zhì)量管理（Quality Management，下稱 QM）等級不做功能安全要求。
基于不同的ASIL等級，ISO 26262要求在整個生命安全周期內(nèi)符合相應(yīng)的開發(fā)流程，技術(shù)要求和驗證流程。即，如果電子電器系統(tǒng)需要滿足一個ASIL D功能安全目標(biāo)，需要最全面的安全機(jī)制和最嚴(yán)格的開發(fā)驗證流程來保證該安全目標(biāo)。
圖1 汽車安全完整性等級示意
動力電池系統(tǒng)是新能源汽車中非常關(guān)鍵的一個安全部件，每年因動力電池問題引起的電動車起火爆炸案例時有發(fā)生。今年以來因鋰電池爆炸導(dǎo)致人員傷亡的事故更是頻發(fā)。
為了保證整個電池系統(tǒng)的安全，電池廠商需要從化學(xué)、機(jī)械、電子電器三個主要方面進(jìn)行安全的設(shè)計驗證，其中BMS（Battery Management System 電池管理系統(tǒng), 簡稱 BMS）功能安全也成為行業(yè)關(guān)注的焦點之一。
圖2：電池系統(tǒng)安全示意
現(xiàn)今，國內(nèi)外的各大汽車廠商都強(qiáng)制BMS滿足ISO 26262安全需求。中國汽車技術(shù)研究中心從2017初年開始牽頭國內(nèi)主要整車制造廠、動力電池及BMS供應(yīng)商制定GB/T《電動汽車用電池管理系統(tǒng)功能安全要求及試驗方法》，草案定義了BMS四個主要安全目標(biāo)，均為ASILC。
此標(biāo)準(zhǔn)計劃在2019年下半年正式發(fā)布，將成為國內(nèi)行業(yè)對BMS的最基本門檻。
表1：《電動汽車用電池管理系統(tǒng)功能安全要求及試驗方法》定義的BMS安全目標(biāo)注：安全目標(biāo)是最高層面的安全要求,是危害分析和風(fēng)險評估的結(jié)果。
萬向一二三提供的BMS產(chǎn)品包括48V低壓系統(tǒng)、高壓系統(tǒng)兩個電壓平臺，并積極推進(jìn)ASIL C以上研發(fā)平臺的產(chǎn)品開發(fā)，其中：
- ASIL C 48V BMS平臺基于多個客戶項目需求，將于明年年底量產(chǎn)；
- ASIL C 高壓BMS平臺將于今年下半年量產(chǎn)（基于合資整車廠項目）；
為了滿足全球客戶更高的功能安全等級要求，ASIL D 高壓BMS平臺也正在研發(fā)。
從技術(shù)層面上講，ASIL C 高壓和48V BMS平臺系統(tǒng)，有以下主要特點：
- 軟件架構(gòu)設(shè)計遵循AUTOSAR，采用第三方AUTOSAR 底層軟件方案（COTS）；
- 采用經(jīng)過安全認(rèn)證（SEooC）的軟件和硬件組件；
- 推行A-spice Level 2 流程；
- 軟件模型化設(shè)計；
此外，ASIL C高壓BMS已經(jīng)過歐洲安全專家（來自客戶）的現(xiàn)場系統(tǒng)安全評審（包括功能安全），并給出了“A123 solution is state of the art with good concept”的評價：
A. 軟件架構(gòu)中，采用經(jīng)歐洲第三方公司認(rèn)證的ASIL D-Safety OS、ASIL D-Safety Watchdog manager、ASIL D-Safety RTE軟件模塊；
B. 硬件架構(gòu)中，采用ASIL D-MCU （包含ASIL B safeTlib）、ASIL D-SBC、ASIL C采集芯片；
圖4：ASPICE 實施過程范圍
BMS的功能安全設(shè)計和安全需求依賴于大量的電芯、模組和pack數(shù)據(jù)，譬如：
- 在定義電芯過壓保護(hù)安全需求時，電壓閾值和FTTI的選擇必須是基于充分的電芯過充實驗數(shù)據(jù)，且要考慮這些閾值是否適用于電芯的整個生命周期（BOL- EOL）；
- 在定義動力電池的過流保護(hù)安全需求時，必須考慮電芯、繼電器和高壓線束的使用限制，且結(jié)合熔斷器（Fuse）的熔斷特性去設(shè)計整個系統(tǒng)的保護(hù)策略；
- 在定義電芯的過流保護(hù)安全需求時，需要基于模組的熱仿真數(shù)據(jù)去定義電芯溫度傳感器的安裝位置；
文章來源：萬向一二三
