NXP基于ISO26262的動力電池BMS解決方案

引言

　　在汽車行業(yè)，提高安全性永遠(yuǎn)是不變的科技趨勢。電池管理系統(tǒng)BMS引入汽車電子行業(yè)標(biāo)準(zhǔn)ISO26262，有助于規(guī)范產(chǎn)品質(zhì)量體系，推動行業(yè)健康發(fā)展。

BMS簡介

　　BMS即Battery Management System，電池管理系統(tǒng)，作為新能源汽車“三電”核心技術(shù)之一，BMS在HEV/EV上扮演重要作用。廣義上，BMS包含傳統(tǒng)的12/24V鉛酸電池管理，這里討論的BMS主要是針對HEV/EV的動力電池管理，從48V的弱混動到500V以上的全電動，恩智浦的BMS解決方案都可以覆蓋。一般來說，BMS由一個(gè)主控單元和多個(gè)從控單元組成，從控單元直接連接電池包（Battery Pack），采集電池的電壓、電流和溫度等，主控單元通過CAN總線或Daisy Chain（菊花鏈）通信等方式管理多個(gè)從控單元。

　　按照新能源汽車對電池管理的需求，BMS具備的功能包括:

　　SOC/SOH估算：SOC即電池荷電狀態(tài)，用于衡量電池剩余電量，對于判斷汽車可行駛里程十分重要。

　　故障診斷：故障診斷用于判斷電池的當(dāng)前狀態(tài)，及時(shí)正確識別電池充放電過程中的過壓、欠壓、過溫等異常情況有助于避免事故發(fā)生。

　　均衡控制：均衡控制主要是消除單體電池之間的容量差異，達(dá)到一致性，延長電池使用壽命。

熱管理和充電管理等

　　BMS基本架構(gòu)如圖1所示：

圖1電池管理系統(tǒng)BMS架構(gòu)

　　隨著汽車電子軟硬件復(fù)雜性提高，來自系統(tǒng)失效和隨機(jī)硬件失效的風(fēng)險(xiǎn)日益增加，隨著汽車電子行業(yè)標(biāo)準(zhǔn)ISO26262的發(fā)布，使得人們對功能安全有了深入的理解，對評估、避免這些風(fēng)險(xiǎn)提供了可靠的流程保證。電池管理BMS引入ISO26262標(biāo)準(zhǔn)，不僅是響應(yīng)技術(shù)趨勢的需求，而且確實(shí)能為BMS帶來質(zhì)的變化，從長遠(yuǎn)來看，有利于行業(yè)健康發(fā)展。

BMS功能安全開發(fā)流程簡介

　　ISO26262定義的功能安全標(biāo)準(zhǔn)涵蓋了產(chǎn)品的管理、開發(fā)、生產(chǎn)、經(jīng)營、服務(wù)和報(bào)廢等階段，覆蓋產(chǎn)品的整個(gè)生命周期，產(chǎn)品開發(fā)時(shí)主要關(guān)注的階段有概念、系統(tǒng)級開發(fā)、硬件開發(fā)和軟件開發(fā)等階段。

　　在功能安全概念階段要做系統(tǒng)危害分析（Hazard Analysis）和風(fēng)險(xiǎn)評估（Risk Assessment），得出汽車安全完整性等級ASIL（Automotive Safety Integrity Level）。

　　ISO26262標(biāo)準(zhǔn)規(guī)定了A到D四個(gè)安全等級，其中D級為最高等級，相應(yīng)的需求最為苛刻。一般而言，主流車廠認(rèn)為BMS應(yīng)該需要達(dá)到的安全等級至少是ASIL-C。

　　在得出安全等級ASIL后，需要設(shè)立安全目標(biāo)（Safety Goal），并提出相應(yīng)的安全需求（Safety Requirement）和安全機(jī)制（Safety Mechanism），并在必要的時(shí)候做功能安全等級分解。

　　ISO26262給出了三個(gè)指標(biāo)：單點(diǎn)故障指標(biāo)SPFM，潛在故障指標(biāo)LFM和隨機(jī)硬件失效指標(biāo)PMHF，用于去評估系統(tǒng)的安全性等級。

圖2ISO26262安全生命周期

　　例如，在BMS開發(fā)過程中，對BMS的危害分析有過壓（過充）、欠壓、過溫和過流等危害事件，如過壓可能是一個(gè)比較嚴(yán)重的事件，尤其長時(shí)間對電池過充會導(dǎo)致電池性能下降和不可恢復(fù)性損壞，甚至導(dǎo)致電池變形、漏液情況發(fā)生，通過對過充這個(gè)事件進(jìn)行危害分析和風(fēng)險(xiǎn)評估，得出其安全等級是ASIL-C或者ASIL-D（在不同應(yīng)用場景下分析下得出的安全等級可能不一樣），那么系統(tǒng)的安全目標(biāo)就是BMS應(yīng)該能及時(shí)發(fā)現(xiàn)電池過充情況并作出處理，對應(yīng)地，要從單點(diǎn)失效和潛在失效等方面考慮設(shè)計(jì)安全機(jī)制，最后用前面提到的度量指標(biāo)進(jìn)行安全性評估。

恩智浦符合功能安全的BMS解決方案

　　恩智浦提供完整的電池管理系統(tǒng)解決方案，包括微控制器MCU、模擬前端電池控制器IC、隔離網(wǎng)絡(luò)高速收發(fā)器、系統(tǒng)基礎(chǔ)芯片SBC等。借助恩智浦的BMS方案，客戶可輕易實(shí)現(xiàn)基于CAN網(wǎng)絡(luò)或菊花鏈的電池管理系統(tǒng)。恩智浦提供多種符合ISO26262標(biāo)準(zhǔn)的器件，主控單元MPC574xP安全等級達(dá)到ASIL-D，模擬前端電池控制器MC33771安全等級達(dá)到ASIL-C，SBC（System Basic Chip）系統(tǒng)基礎(chǔ)芯片F(xiàn)S45/65安全等級達(dá)到ASIL-D。采用這套方案可簡化軟硬件設(shè)計(jì)，幫助客戶輕松實(shí)現(xiàn)系統(tǒng)安全等級達(dá)到ASIL-C/D。此外，恩智浦提供符合功能安全的參考設(shè)計(jì)，極大加速客戶開發(fā)符合ISO26262標(biāo)準(zhǔn)的BMS產(chǎn)品。

圖3恩智浦BMS菊花鏈?zhǔn)浇鉀Q方案

　　在該方案中，主控單元采用的MPC574xP是一款基于Power architecture、具有l(wèi)ock step核的高性能、高安全性MCU。

　　⊿SBC系統(tǒng)基礎(chǔ)芯片F(xiàn)S45/65不僅提供多種可配置的電源選擇，而且提供電源監(jiān)控和眾多安全機(jī)制，支持fail-safe安全保護(hù)模式，MCU搭配SBC系統(tǒng)基礎(chǔ)芯片可實(shí)現(xiàn)更高的安全等級。

　　⊿模擬前端MC33771負(fù)責(zé)電池?cái)?shù)據(jù)的采集，一個(gè)MC33771最多可以接14節(jié)單體電池，多個(gè)MC33771可以級聯(lián)形成菊花鏈?zhǔn)酵ㄐ拧?/p>

　　⊿MC33664作為MCU和MC33771的傳輸物理層，負(fù)責(zé)將SPI信號和差分信號進(jìn)行轉(zhuǎn)換。

　　恩智浦的BMS解決方案支持多種網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，包括集中式、分布式菊花鏈結(jié)構(gòu)以及集中式、分布式CAN網(wǎng)絡(luò)結(jié)構(gòu)。菊花鏈?zhǔn)骄W(wǎng)絡(luò)可顯著降低BOM成本，受制于通信距離限制，在目前的大巴車上，目前主要是基于CAN總線通信。恩智浦提供的BMS解決方案具有極大的靈活性，可滿足不同客戶的需求。

　　鑒于目前國內(nèi)市場基于ISO26262的開發(fā)還處于起步階段，部分車廠和供應(yīng)商的功能安全開發(fā)經(jīng)驗(yàn)不足，導(dǎo)致開發(fā)符合IS026262標(biāo)準(zhǔn)的BMS難度較大，并且要一下子達(dá)到系統(tǒng)級ASIL-C/D，系統(tǒng)開發(fā)成本高，挑戰(zhàn)性巨大。針對這種情況，恩智浦提供一種具有低成本優(yōu)勢的方案，推薦主控單元MCU采用具有超高性價(jià)比的S32K14x，該系列MCU基于ARM Cortex M4內(nèi)核，按照ISO26262標(biāo)準(zhǔn)設(shè)計(jì)，結(jié)合外部的系統(tǒng)基礎(chǔ)芯片F(xiàn)S45/65等，可使系統(tǒng)安全等級達(dá)到ASIL-B。另外，單個(gè)S32K14x達(dá)到ASIL-B等級，通過軟硬件冗余設(shè)計(jì)也能使系統(tǒng)達(dá)到更高的安全等級ASIL-C。

圖4恩智浦BMS CAN網(wǎng)絡(luò)解決方案

　　需要指出的是，在恩智浦公司，所有按照ISO26262標(biāo)準(zhǔn)開發(fā)的器件，都被囊括在恩智浦的SafeAssure計(jì)劃里。SafeAssure保證開發(fā)的產(chǎn)品符合ISO26262標(biāo)準(zhǔn)，并提供必要的支持，提供功能安全相關(guān)的文檔，如Safety Manual和FMEDA等，Safety Manual詳細(xì)闡述了芯片所采用安全機(jī)制，并指導(dǎo)用戶如何使用芯片可以達(dá)到比較高的安全性等級。FMEDA展示了芯片失效模型、失效概率和診斷分析等，客戶可根據(jù)具體應(yīng)用需求對FMEDA進(jìn)行裁剪。

恩智浦高性能、高安全性微控制器

　　1.基于Power Architecture的MPC574xP

　　MPC574xP作為MPC5743L的下一代產(chǎn)品，MPC5643L是第一個(gè)拿到第三方認(rèn)證、符合ISO2626標(biāo)準(zhǔn)的MCU，MPC574xP基本繼承了MPC5643L的所有特性，并在工藝和性能上有一定提升。

　　MPC574xP具有延遲鎖步核（lock step），可運(yùn)行在200MHz，兩個(gè)核執(zhí)行同樣的代碼，輸出結(jié)果進(jìn)行比較，如果發(fā)現(xiàn)不匹配，可以觸發(fā)系統(tǒng)的安全機(jī)制，通知用戶有異常發(fā)生，并作出相應(yīng)處理。

　　MPC574xP具有很多的安全特性，針對電源和時(shí)鐘的功能是否正常，內(nèi)部有專門的監(jiān)控電路。

　　針對Flash和RAM，有ECC保證讀寫數(shù)據(jù)的正確性。針對ADC，有BIST（Build In Self Test）自檢電路驗(yàn)證ADC的邏輯。特別要提到的是MPC574xP具有FCCU單元，該單元收集所有其他模塊在運(yùn)行過程中產(chǎn)生的異常事件，并提交給MCU內(nèi)核做處理。

　　實(shí)際上，MPC574xP不僅僅可運(yùn)用在BMS領(lǐng)域，任何對安全要求很嚴(yán)格的應(yīng)用都可以采用MPC574xP，如新能源汽車電機(jī)控制、EPS（電子助力轉(zhuǎn)向系統(tǒng)）、剎車、安全氣囊和汽車底盤應(yīng)用等。

圖5 MPC574xP安全特性

　　2.基于Power Architecture的MPC574xR

　　MPC574xR系列MCU特點(diǎn)與MPC574xP系列類似，安全等級滿足ISO26262 ASIL-D，不同的是除了MPC5743R（內(nèi)部只有鎖步核），MPC5745/6R提供了鎖步核的同時(shí)，還提供了另外一個(gè)獨(dú)立的內(nèi)核，這個(gè)內(nèi)核可單獨(dú)運(yùn)行其他程序，該系列MCU提供了更高的性能。

　　3.基于AMR Cortex M4的S32K14x

　　S32K14x系列MCU提供極強(qiáng)的性價(jià)比，同時(shí)具有較高的安全等級，滿足ISO 26262 ASIL-B。該系列MCU最大運(yùn)行頻率112 MHz，帶有SFPU，基于修改的Harvard架構(gòu)，支持緊密耦合的RAM和4 KB I/D緩存，支持SHE規(guī)范的硬件安全引擎，內(nèi)置48 MHz RC(IRC)振蕩器，支持CAN FD，利用FlexIO可仿真通信協(xié)議，如SPI、UART等。

　　4.模擬前端電池控制器MC33771

　　MC33771滿足ISO2626 ASIL-C，工作電壓范圍9.6 V≤VPWR≤61.6 V，70 V瞬態(tài)電壓，支持7-14節(jié)電池，7個(gè)ADC/IO/溫度傳感器輸入，支持14通道300mA板載被動均衡。

總結(jié)

　　⊿功能安全是未來汽車電子行業(yè)的趨勢，也是恩智浦BMS方案的優(yōu)勢，恩智浦能夠提供BMS的全套解決方案，包括高性能、高安全性的微控制器和模擬器件，如基于Power Architecture微控制器MPC574xP和基于ARM Architecture的S32K14x，以及模擬前端電池控制器MC33771。

　　⊿恩智浦提供靈活的方案，支持集中式/分布式的CAN/菊花鏈網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，能滿足不同的應(yīng)用需求。

　　⊿恩智浦BMS解決方案具有高功能安全性和低成本優(yōu)勢特點(diǎn)，基于MPC574xP的方案可輕松實(shí)現(xiàn)系統(tǒng)安全等級ASIL-C/D，基于S32K14x的方案具有極大的成本優(yōu)勢，同時(shí)可實(shí)現(xiàn)系統(tǒng)安全等級ASIL-B/C。

　　⊿恩智浦BMS解決方案可幫助客戶簡化功能安全設(shè)計(jì)，使BMS產(chǎn)品符合ISO26262標(biāo)準(zhǔn)。