BMS功能安全开发流程（二）：ASIL等级

BMS和功能安全作为当下新能源的两个当红炸子鸡实在是绕不开的话题，蹭个热点，继续聊聊ISO26262在BMS开发中的应用。【相关阅读：BMS功能安全开发流程（一）：BMS和ISO26262】

1.   相关项定义，ASIL等级，安全目标

如下图所示，步通过不同的驾驶情况，不同的环境来确定不同的场景；第二步分析不同场景下的事故所以引起的Hazard Situation. 第三步确定这些Hazard Situation的ASIL 等级，这一部分有很大的主观因素，每个公司考虑问题的角度不一样，针对不同的Hazard Situation设定的ASIL 等级也会不一样。比如有些OEM定义热失控的ASIL LEVEL为C，有些OEM设定热失控 ASIL LEVEL 为D，不过目前来看热失控以后的ASIL LEVEL会是D，在知乎上看有人说以后大众的高压电池包的安全等级为D，他说的这个电池包应该是指电池包里面的电气架构包括BMS。

ISO 26262-3 Scheme ©TÜV Süd

第四步根据上一步确定的不同的故障模型Harzard Situation ASIL的大ASIL等级。第五步根据上一步确定的大ASIL等级就可以设定Safety Goal了。在上篇文章中简单介绍了功能安全的开发途径，在开发途径中，Safety Goal是Top Level的Safety Requirements，直接来自于HARA（hazard analysis and risk assessment）。第七步，根据Safety Goal就可以导出 Saftety Requirements。

因为ISO26262涉及到产品的整个开发周期，那么谁该负责这整个流程，主机厂还是供应商？如果BMS是由供应商开发提供给主机厂，那么理论上前5步都应该是主机厂来主导分析，输出Saftety Goal给供应商，供应商根据Satety Goal导出Saftety Requirements，接着是系统设计，硬件设计，软件设计等。同时主机成也会参与到V模型右边的测试部分。

根据上面的分析，我们将BMS为一个safety element out of context（独立安全单元），独立安全单元的意思在在产品的开发周期内，不用考虑整车内其它要素（element）。

a.   Item Definition

Item dedinition首先要确定item的scope，item的边界及与item相关的部件，确定item与外界部件的交互接口，CAN信号，传感器信号等等。一般通常采用方框来表示item的elements，通过这些elements和elements之间的信息交互，就能够确定这个系统的大致架构。

如果下图a是一个电池系统的方块图，电池高压系统主要有Junction box，Modules，cell balance interconnect circuit, HV contactor module, BMS等。BMS通过将传感器采集的数据进行处理，计算电池SOC/SOH，故障诊断等，同时通过整车CAN与VCU进行信息交互。b图是a图所对应的item defintion。一个A00级的BEV电池包。

a) Preliminary architecture of the hypothetical Li-ion battery system

b) Key elements and signals within the energy storage system

点画线表示高压电池系统的边界线，高压系统的与外界的交互信号分成了下表中的七大类。

上面定义了不同类的子系统，下面这张图是上图中（connected modules）连接模组的框框图。

下面这张图是上面连接模组的进一步分解的模组框框图及信号流。

这样一层一层像剥洋葱一样分解系统，很方便追溯所有信号来源。系统与其他外部部件之间的联系，系统内部之间的联系，子系统之间的联系，一目了然。比如我们想追踪温度传感器的信号流，首先可以从模组框框图开始，temperature sensor 到 monitoring unit， monitoring unit 与外部的 internal communication交互信息，上一次的连接模组的 internal communication 与外界的 Junction box通过内部通讯交换信息Top level 的 junction box 与外界的整车控制器交互信息。

这篇文章里的Itemdefinition是针对高压电池包，我直接引用。BMS系统没有这么多子系统，但是在工作中发现，其实把高压系统的电气系统和BMS作为一个大系统，进行功能安全分析更全面，工作也更好展开。

参考资料：