隨著汽車電子軟硬件復雜程度日趨提高，來自系統失效和隨機硬件失效的風險也日益增加了。汽車電子行業標準ISO26262的發布，使得人們對車輛設計的功能安全有更深入的理解，從而對評估、避免這些風險提供了可靠的流程保證。

一、BMS簡介

BMS即Battery Management System，電池管理系統的意思。作為新能源汽車“三電”核心技術之一，BMS在HEV/EV上扮演重要作用。廣義上，BMS包含傳統的12/24V鉛酸電池管理，這里討論的BMS主要是針對HEV/EV的動力電池管理，從48V的弱混動到500V以上的全電動，恩智浦的BMS解決方案都可以覆蓋。

一般來說，BMS由一個主控單元和多個從控單元組成，從控單元直接連接電池包（Battery Pack），采集電池的電壓、電流和溫度等，主控單元通過CAN總線或Daisy Chain（菊花鏈）通信等方式管理多個從控單元。

按照新能源汽車對電池管理的需求，BMS具備的功能包括SOC/SOH估算、故障診斷、均衡控制、熱管理和充電管理等。SOC即電池荷電狀態，用于衡量電池剩余電量，對于判斷汽車可行駛里程十分重要。故障診斷用于判斷電池的當前狀態，及時正確識別電池充放電過程中的過壓、欠壓、過溫等異常情況有助于避免事故發生。均衡控制主要是消除單體電池之間的容量差異，達到一致性，延長電池使用壽命。

圖1 電池管理系統BMS架構

二、BMS功能安全開發流程簡介

ISO26262定義的功能安全標準涵蓋了產品的管理、開發、生產、經營、服務和報廢等階段，覆蓋產品的整個生命周期，產品開發時主要關注的階段有概念、系統級開發、硬件開發和軟件開發等階段。 在功能安全概念階段要做系統危害分析（Hazard Analysis）和風險評估（Risk Assessment），得出汽車安全完整性等級ASIL（Automotive Safety Integrity Level）。ISO26262標準規定了A到D四個安全等級，其中D級為最高等級，相應的需求最為苛刻。一般而言，主流車廠認為BMS應該需要達到的安全等級至少是ASIL-C。在得出安全等級ASIL后，需要設立安全目標（Safety Goal），并提出相應的安全需求（Safety Requirement）和安全機制（Safety Mechanism），并在必要的時候做功能安全等級分解。ISO26262給出了三個指標：單點故障指標SPFM，潛在故障指標LFM和隨機硬件失效指標PMHF，用于去評估系統的安全性等級。

圖2 ISO26262 安全生命周期

例如，在BMS開發過程中，對BMS的危害分析有過壓（過充）、欠壓、過溫和過流等危害事件，如過壓可能是一個比較嚴重的事件，尤其長時間對電池過充會導致電池性能下降和不可恢復性損壞，甚至導致電池變形、漏液情況發生，通過對過充這個事件進行危害分析和風險評估，得出其安全等級是ASIL-C或者ASIL-D（在不同應用場景下分析下得出的安全等級可能不一樣），那么系統的安全目標就是BMS應該能及時發現電池過充情況并作出處理，對應地，要從單點失效和潛在失效等方面考慮設計安全機制，最后用前面提到的度量指標進行安全性評估。

三、恩智浦符合功能安全的BMS解決方案

恩智浦提供完整的電池管理系統解決方案，包括微控制器MCU、模擬前端電池控制器IC、隔離網絡高速收發器、系統基礎芯片SBC等。借助恩智浦的BMS方案，客戶可輕易實現基于CAN網絡或Daisy Chain的電池管理系統。恩智浦提供多種符合ISO26262標準的器件，主控單元MPC574xP安全等級達到ASIL-D，模擬前端電池控制器MC33771安全等級達到ASIL-C，SBC（System Basic Chip）系統基礎芯片FS45/65安全等級達到ASIL-D。采用這套方案可簡化軟硬件設計，幫助客戶輕松實現系統安全等級達到ASIL-C/D。此外，恩智浦提供符合功能安全的參考設計，極大加速客戶開發符合ISO26262標準的BMS產品。

圖3 恩智浦BMS Daisy Chain式解決方案

恩智浦的BMS解決方案支持多種網絡拓撲結構，包括集中式、分布式菊花鏈結構以及集中式、分布式CAN網絡結構。菊花鏈式網絡可顯著降低BOM成本，受制于通信距離限制，在目前的大巴車上，目前主要是基于CAN總線通信。恩智浦提供的BMS解決方案具有極大的靈活性，可滿足不同客戶的需求。

鑒于目前國內市場基于ISO26262的開發還處于起步階段，部分車廠和供應商的功能安全開發經驗不足，導致開發符合IS026262標準的BMS難度較大，并且要一下子達到系統級ASIL-C/D，系統開發成本高，挑戰性巨大。針對這種情況，恩智浦提供一種具有低成本優勢的方案，推薦主控單元MCU采用具有超高性價比的S32K14x，該系列MCU基于ARM Cortex M4內核，按照ISO26262標準設計，結合外部的系統基礎芯片FS45/65等，可使系統安全等級達到ASIL-B。另外，單個S32K14x達到ASIL-B等級，通過軟硬件冗余設計也能使系統達到更高的安全等級ASIL-C。

圖4 恩智浦BMS CAN網絡解決方案

需要指出的是，在恩智浦公司，所有按照ISO26262標準開發的器件，都被囊括在恩智浦的SafeAssure計劃里。SafeAssure 保證開發的產品符合ISO26262標準，并提供必要的支持，提供功能安全相關的文檔，如Safety Manual 和FMEDA等，Safety Manual詳細闡述了芯片所采用安全機制，并 指導用戶如何使用芯片可以達到比較高的安全性等級。FMEDA展示了芯片失效模型、失效概率和診斷分析等，客戶可根據具體應用需求對FMEDA進行裁剪。

四、恩智浦高性能、高安全性的微控制器

1. 基于Power Architecture的MPC574xP

MPC574xP具有延遲鎖步核（lock step），可運行在200MHz，兩個核執行同樣的代碼，輸出結果進行比較，如果發現不匹配，可以觸發系統的安全機制，通知用戶有異常發生，并作出相應處理。MPC574xP具有很多的安全特性，針對電源和時鐘的功能是否正常，內部有專門的監控電路。針對Flash 和RAM，有ECC保證讀寫數據的正確性。針對ADC，有BIST（Build In Self Test）自檢電路驗證ADC的邏輯。特別要提到的是MPC574xP具有FCCU單元，該單元收集所有其他模塊在運行過程中產生的異常事件，并提交給MCU 內核做處理。

實際上，MPC574xP不僅僅可運用在BMS領域，任何對安全要求很嚴格的應用都可以采用MPC574xP，如新能源汽車電機控制、EPS（電子助力轉向系統）、剎車、安全氣囊和汽車底盤應用等。

2. 基于Power Architecture的MPC574xR

MPC574xR系列MCU特點與MPC574xP系列類似，安全等級滿足ISO26262 ASIL-D，不同的是除了MPC5743R（內部只有鎖步核），MPC5745/6R提供了鎖步核的同時，還提供了另外一個獨立的內核，這個內核可單獨運行其他程序，該系列MCU提供了更高的性能。

3. 基于AMR Cortex M4的S32K14x

S32K14x系列MCU提供極強的性價比，同時具有較高的安全等級，滿足ISO 26262 ASIL-B。該系列MCU最大運行頻率112 MHz，帶有SFPU，基于修改的Harvard架構，支持緊密耦合的RAM和4 KB I/D緩存，支持SHE規范的硬件安全引擎，內置48 MHz RC （IRC）振蕩器，支持CAN FD，利用FlexIO可仿真通信協議，如SPI、UART等。

4. 模擬前端電池控制器MC33771

MC33771滿足ISO2626 ASIL-C，工作電壓范圍9.6 V ≤ VPWR ≤ 61.6 V，70 V瞬態電壓，支持7-14節電池，7個ADC/IO/溫度傳感器輸入，支持14通道300mA板載被動均衡。

五、總結

功能安全是未來汽車電子行業的趨勢，也是恩智浦BMS方案的優勢，恩智浦能夠提供BMS的全套解決方案，幫助客戶簡化功能安全設計，使BMS產品符合ISO26262標準。