一套基于功能安全的电动汽车电池管理系统的设计

摘要

　　随着多年的发展和技术积累，电动汽车电池管理系统（BMS）技术整体趋于成熟，但其面向功能安全的设计还相对匮乏，尚处于探索阶段。2011年11月，国际标准化组织颁布了针对乘用车辆的《道路车辆功能安全标准IS026262:2011》，标准推荐了一整套功能安全开发流程，规定了整个安全生命周期内各个开发阶段为了达到相应的汽车安全完整性等级（ASIL）应进行的工作，旨在尽量减少汽车电子电气系统因功能故障导致危害事件发生的可能。

　　本文以纯电动汽车电池管理系统为研究对象，以尽可能避免电动汽车动力电池热失控为目标，依照IS026262:2011推荐的汽车电子电气系统幵发流程，设计了一套基于功能安全的电动汽车电池管理系统，重点完成了以下四个方面的工作：

　　（1）界定了电动汽车电池管理系统的功能、外部接口、运行环境、可能的危害和失效模式；通过FMEA和FTA对系统进行危害分析和风险评估，制定了系统安全目标，并为之分配了相应的ASIL等级；制定系统的功能安全要求（FSR），完成了系统的功能安全概念设计。

　　（2）在概念设计的基础上，分别在系统层面、硬件层面、软件层面对系统进行设计。根据功能安全需求，制定技术安全需求（TSR），确定了"主系统+安全系统"的系统架构，并对各子系统进行详细设计，完成了系统设计；根据技术安全要求，导出硬件安全要求（HSR），确定了硬件总体架构，详细设计了硬件电路的各个模块，对安全相关的硬件电路专门做了故障诊断和冗余设计，完成了硬件设计；根据技术安全要求，导出软件安全要求（SSR），进行软件架构设计和软件单元设计，绘制安全相关软件单元的程序流程图，完成软件设计。

　　（3）在完成系统架构设计的基础上，对所设计系统的安全完整性等级进行评估。重点通过计算单点故障度量和潜伏故障度量两个指标，定量评估了系统硬件的ASIL等级。计算表明，所设计系统的硬件，其安全完整性等级达到了ASILC,达到了设计目标。

　　（4）制作了BMS样机，借助计算机，对系统进行了基本功能测试和基于功能安全的故障注入测试。测试结果表明，系统的测量精度良好，CAN通讯正常，对高压继电器粘连、过温、过压等可能导致危害发生的故障具有较好的诊断和识别能力，能够有效避免违背安全目标的事件发生。

　　关键词：电池管理系统；功能安全；架构；ASILC;故障诊断

abstract

　　With the development and accumulation of technology for many years, the battery management system （BMS） technology of electric vehicles tends to be mature as a whole, but its design for functional safety is still relatively scarce, which is still in the exploration stage. In November 2011, the international organization for standardization issued the road vehicle functional safety standard is026262:2011 for passenger vehicles. The standard recommends a set of functional safety development process, which specifies the work to be carried out in each development stage of the whole safety life cycle in order to achieve the corresponding automotive safety integrity level （ASIL）， aiming to minimize the automotive electronic and electrical system factors The possibility of hazardous events caused by functional failure.

　　This paper takes the battery management system of pure electric vehicle as the research object, aiming at avoiding the thermal runaway of power battery of electric vehicle as far as possible, and according to the development process of vehicle electronic and electrical system recommended by is026262:2011, designs a set of battery management system of electric vehicle based on functional safety, and focuses on the following four aspects:

　　（1） The function, external interface, operation environment, possible hazards and failure modes of the battery management system of electric vehicle are defined. Through FMEA and FTA, the system hazard analysis and risk assessment are carried out, the system safety objectives are formulated, and the corresponding ASIL level is assigned. The system functional safety requirements （FSR） are formulated, and the conceptual design of the system functional safety is completed.

　　（2） On the basis of conceptual design, the system is designed at system level, hardware level and software level. According to the functional safety requirements, the technical safety requirements （TSR） are formulated, the system architecture of "main system + safety system" is determined, and each subsystem is designed in detail, and the system design is completed; according to the technical safety requirements, the hardware safety requirements （HSR） are derived, the overall hardware architecture is determined, each module of the hardware circuit is designed in detail, and the safety related hardware circuit is specially designed According to technical safety requirements, software safety requirements （SSR） are derived, software architecture design and software unit design are carried out, program flow chart of safety related software unit is drawn, and software design is completed.

　　（3） Based on the completion of the system architecture design, the security integrity level of the designed system is evaluated. The ASIL level of system hardware is evaluated quantitatively by calculating two indexes of single point fault measurement and latent fault measurement. The calculation shows that the security integrity level of the hardware of the designed system has reached asilc and the design goal.

　　（4） With the help of computer, the basic function test and fault injection test based on function safety are carried out. The test results show that the measurement accuracy of the system is good, the can communication is normal, and it has a good diagnosis and recognition ability for the high-voltage relay adhesion, over temperature, over-voltage and other faults that may cause harm, which can effectively avoid the occurrence of events against the safety target.

　　Key words: battery management system; functional safety; architecture; asilc; fault diagnosis

目录

　　1引言

　　1.1研究背景

　　中国是当今世界上的汽车大国，中国政府高度重视新能源汽车发展，从"十五"开始对电动汽车技术进行大规模有组织的研宄开发。经过3个五年计划的努力，我国新能源汽车产业取得了长足发展，纯电动乘用车整体技术水平接近世界先进水平，纯电动公交车整体技术水平达到世界先进[1].自2010年被国务院确定为战略性新兴产业以来，中国新能源汽车产业发展迅猛。2018年，中国新能源汽车产销量双双突破125万辆，分别达到127.0万辆和125.6万辆，较2017年分别增长59.9%和61.7%;其中，纯电动产销量分别为98.6万辆和98.4万辆，分别占比77.6%和78.3%[2].但是，随着保有量的持续增加，近几年电动汽车安全事件频频发生，市场监管总局数据显示，仅2018年前10个月，全国发生新能源汽车起火燃烧事件累计40余起。14.

　　国著名智库罗兰贝格发布的《2018年全球电动汽车发展指数》报告显示，全球电动汽车产业发展势头迅猛，各汽车大国在该领域竞争激烈。在行业层面和市场层面，中国由于电动汽车生产与销售增长快、预期高，加之前期政府的鼓励，仍保持在领先地位并继续扩大。但是，在技术层面上，中国落后于德、日等汽车技术强国[3].新能源汽车作为我国汽车强国战略的重要支撑，需要在技术层面上做出更多的创新和突破。

　　1.1.1电动汽车BMS发展现状

　　电动汽车电池管理系统（BMS,batterymanagementsystem）是电动汽车电子电气系统的重要组成部分，承担着实施检测监控电池状态、估算电池组剩余电量、保障电池安全、延长电池使用寿命等重要任务，是电动汽车的一项关键技术。随着多年发展，电动汽车BMS技术趋于成熟，特别是在设备功能方面，已经基本可以满足各种环境下，不同电池类型、不同车辆类型、不同运行工况的需求。国内外都将电池管理技术作为电动汽车的核心技术予以高度关注，并大力度支持技术研发和产品迭代。国外早期的电池管理系统主要有德国的BATTMAN系统、美国的SmartGuard系统，近几年发展起来且具有代表性的当属美国特斯拉为Model系列电动汽车研发的相关管理系统。国内的电动汽车BMS开发主体主要有四类：①动力电池供应商，如CATL、中航锂电等；②专门的汽车电子供应商，如惠州亿能、哈尔滨冠拓、安徽力高等；③电动汽车整车厂，如BYD、北汽、长安、吉利等；④局等院校和科研院所，如北京交通大学、上海交通大学等。当前，国内具有代表性的亿能EV05系列电动汽车BMS,从安全的角度对系统做了较为丰富的自诊断设计安全保护设计。安全一直是汽车产业追求的终极目标。近年来，越来越多的汽车公司在汽车特别是电动汽车制造中相继引入功能安全相关标准，并要求其供应商也符合功能安全相关标准。其中，通用汽车公司引入ISO26262:2011,调整了公司研发部门的架构以符合功能安全开发流程，改善和加强功能安全的控制和管理；宝马i3的BMS汽车安全完整性等级达到了ASILD;特斯拉Model的BMS的开发也符合该标准的要求[4];日本东芝的BMS在功能安全方面做了大量的工作，通过多重检测保证系统的安全可靠；香港ATL也在其BMS发展规划中重点强调了面向功能的开发设计，计划在2018?2021年实现ASILC,开始ASILD技术储备，在2022年？2025年完全达到ASILD.

　　1.1.2道路车辆功能安全标准

　　2011年11月，国际标准化组织正式颁布了《道路车辆功能安全标准IS026262:2011》。这项标准的规范对象是道路车辆（乘用）的电子电气系统（E/E系统）。标准共由十个部分组成，分别从功能安全管理、功能安全概念、系统级开发、软硬件级开发、生产和操作等方面对产品的整个生命周期进行_r规范和要求，目的是最大限度保证产品的功能安全，核心思想是规范的流程管理，和基于ASIL等级的V型开发.

　　标准着重规范了功能安全开发的流程，包括功能安全概念设计、系统设计与实现、软硬件设计与实现、失效模式与影响及其诊断分析、故障树分析、安全机制测试和验证、功能安全归档、产品发布等等。标准推荐的汽车电子电气系统开发流程如图3所示，特别强调了功能安全概念阶段的项目定义、危害分析和风险评估、安全状态和安全目标的制定、功能安全要求的导出，以及系统及软硬件开发阶段的分层设计和逐层验证。

　　在此之前的2000年5月，国际电工委员会发不了《电气、电气、可编程电子安全系统的功能安全IEC61508:2000》，最早将功能安全的理念引入电子电气系统，IS026262:2011即派生于此标准，是该标准在汽车电子领域具体化。2017年10月，我国颁布了IS026262:2011的等效国标《道路车辆功能安全标准GB/T34590:2017》，并且己于2018年年5月1日起开始实施。
 

　　1.1.3电动汽车BMS的重要作用

　　相对于传统燃油汽车，新能源电动汽车的电子电气系统更加复杂，是整个车辆的核心系统。电动汽车的电子电气系统包含电机、电池、电控三大电，电空调、电刹车、电助力三小电。其中电动汽车电池管理系统是连接电池与电机的桥梁，是电控系统的重要组成部分，是电池安全高效利用的保障，同时也为三小电作用的发挥提供支撑。电动汽车电池管理系统承担着动力电池物理参数检测、状态参数估算、逻辑控制及保护、均衡及热管理、通讯与数据存储、安全与故障诊断等多种任务，具体包括：单体电池电压采集、单体电池温度采集、电池组电流检测、电池组电压检测、电池组绝缘状态检测，电池组SOC估算、SOH评估、SOE估算、SOF估算、最大允许充放电功率、最大允许充放电电流，风机控制、预充电控制、主接触器控制、电池在线均衡管理、漏电保护、继电器控制，充放电均衡、加热控制、冷却控制，与充电机通讯、与VCU通讯、关键数据记录、参数标定、程序升级、云后台，电池管理系统自检、最高最低电压位置判断、最高最低温度位置判断、电池故障分析与在线报警、过充电保护、过放电保护、过电流保护、过温度保护等等。电动汽车安全事故频发，主要的原因在于电池系统故障。电池过充电、过放电和过温度、过电流等会诱发动力电池热失控，BMS的核心功能是要实时、准确监测电池电压、温度等信息并使电池工作于安全状态。BMS是保障电动汽车电池系统安全乃至整车安全的核心部件，安全可靠的电池管理系统，对于延长车载动力电池使用寿命，提高车辆安全性能，优化驾乘人员使用体验具有重要意义。

　　1.1.4高可靠性架构设计的必要性

　　随着电动汽车电池管理系统技术的日渐成熟，电动汽车整车厂和汽车电子供应商越来越注重电池管理系统架构可靠性的提升和产品的标准化。当前，电动汽车电池管理系统的主流架构主要分为主从式和主从一体式两种。不论是主从式还是主从一体式，这两种架构都是通过前端测量模块采集单体电池电压、温度信息，经内部CAN总线或隔离SPI总线传至主控模块，主控完成运算和逻辑判断之后向检测前端检测模块发送均衡命令（内部通讯），同时与整车控制器（VCU）、充电机进行信息交互（外部通讯）。在车辆运行实践中，这种架构的不足逐渐暴露出来，主要体现在整个电池管理系统一旦任何一个环节出现故障或者发生错误，将会导致系统无法正确判断车载动力电池的实际状态，轻则导致电池使用寿命降低、车辆因无法正确估计续航里程半途抛锚，重则因为电池过充电引发起火、爆炸等安全问题。

　　高可靠性和高安全性是电动汽车发展追求的主要目标，也是电动汽车发展需要解决的重大课题。动力电池的安全使用与否，直接关系到电动汽车的安全性，而电动汽车电池管理系统，就是监测车载动力电池状态，保障车载动力电池安全使用的核心部件。由此可见，设计和开发具有高可靠性、高安全性、架构坚强的电动汽车电池管理系统，对提高电动汽车整体安全可靠具有重要推动作用。中国的汽车工业相对世界汽车强国有一定差距，同时中国又是世界第一大汽车制造和销售国。要实现汽车强国的目标，必须依靠新能源汽车，特别是电动汽车，同时，中国的电动汽车发展，必须要走出去。开拓海外市场特别是欧美市场，就必须符合相关国际标准。IS026262:2011从功能安全的角度，为汽车电子开发提供了一套完整的流程，为电动汽车BMS的高可靠性架构设计提供了很好的参照

　　电动汽车拥有坚强可靠的电池管理系统，可以有效避免电池严重损坏、热失控的发生，提高电池安全性和可用性，提高电池使用寿命、保障车辆和人员安全，提升驾乘人员体验舒适度，不论从技术角度还是经济角度，都具有重要意义。

　　1.2研究现状

　　自新能源电动汽车开始发展起，国内外高校、研宄院所和企业对电动汽车电池管理系统的研宄一直没有间断。电池状态参数估算、电池组均衡管理、系统可靠性安全性等方面一直是研宄的焦点。另外随着道路车辆功能安全标准的提出，各国研究机构特别是汽车企业对电池管理架构可靠性的重视不断增加，以期设计和开发更加安全可靠的电动汽车电池管理系统。

　　1.2.1国外研究现状

　　国外技术咨询公司在和国内OEM合作时会要求后者引入功能安全。国际汽车厂商（宝马、通用、福特等）、汽车零部件供应商（博世、德尔福等）早己采用该标准开发安全相关的电子电气产品，应用在混合动力汽车、电动汽车的开发[5].国外主要汽车制造强国开发和生产电动汽车较早，己逐步形成各自的BMS技术体系，最近几年相关的研究主要集中在新型BMS架构和电池组的充放电优化、SOC估算优化、均衡策略优化等方面。2013年，美国的LeeMinkyu、LeeJaesik等人开发了一种无线电池管理系统，建立无线电池区域通讯网络，减少了连接器和隔离器的使用，解决了电池管理系统内部数据传输线束繁琐、易故障的问题，在电动汽车的颠簸环境中具有良好适应性。2015年，法国的CodyShell、JacobHenderson等人设计了一种蓝牙通讯的电池管理系统，它的优势是在电芯单体故障时能在尽量减少对整个系统破坏和重建的情况下完成系统修复[M].总体而言，在汽车电子开发方面，落实功能安全理念较早的是欧洲和日本，美国也有一套自己的功能安全体系；电动汽车BMS方面，领先的是德国宝马公司和美国特斯拉。特斯拉Model系列虽宣称其的BMS开发也符合IS026262:2011的要求，但由于其采用数量庞大（ModelS,74并><6串><16组）的18650型三元锂离子电池，且只基于温度场分布设置少数温度检测点等原因，已发生多起安全事故，其暴露出的问题也有待商榷。

　　1.2.2国内研究现状

　　（1）功能安全在汽车领域的实践方面。《道路车辆功能安全标准ISO26262:2011》发布以来，吉林大学等国内部分高校和一些科研机构在汽车关键电子电气系统设计中落实功能安全方面做了积极的探索，但总体上仍十分不足，可供查询的相关文献资料尚十分匮乏。2015年，电子科技大学计算机科学与技术学院面向功能安全对ECU监控系统进行了研宄，基于功能安全对ECU监控系统进行了需求分析，并设计了相应的软硬件系统@].2015年吉林大学软件学院基于IS026262:2011正向开发了汽车EPS控制器，将功能安全重点应用在前期分析[9].2016年吉林大学汽车工程学院基于功能安全开发了电动汽车VCU故障诊断系统，对电动汽车VCU进行了功能安全分析，设计了符合功能安全的VCU硬件架构[10].

　　（2）功能安全在电动汽车电池管理系统中的落实方面。目前，国内电动汽车电池管理系统的研宄主要集中在：①基于不同M⑶内核的管理系统开发，主要采用的单片机有飞思卡尔S12系列、英飞凌AURIX系列等[11_13];②电池管理系统控制策略的研究[14_16^③电池管理系统前端采集拓扑优化的研宄[17];电池管理系统故障诊断与分析方法的研宄[?21]等。相对而言，由于各种原因，国内关于电动汽车电池管理系统功能安全的开发和设计处于开始阶段，高校、科研院所和汽车企业对这方面的研宄重视不够。随着道路车辆功能安全标准的颁布和实施，比亚迪等部分国内主流车企开始注重这方面的研究和投入，在防止电池过充、过放、温升保护、绝缘防护等方面做了积极的探索。预计随着GB/T34590的实施，会有更多企业和科研机构参与这方面研宄，从而推动国内电动汽车电池管理系统向更高可靠性和更高安全性发展

　　表1反映了当前国内外主流电动汽车生产厂商落实功能安全的基本情况。由于功能安全的概念最早出现在欧洲，国外主流厂商特别是欧洲国家的汽车生产厂商，在落实功能安全方面做了长期的探索，积累了较丰富的经验。较之于国外知名厂商，国内车企落实功能安全尚处于初期阶段，任重道远。

　　（3）电动汽车电池管理系统架构方面。按照采集模块和主控模块的在车上的分配布置不同，电动汽车电池管理系统分为集中式和分布式两种。目前，国内电动汽车电池管理系统集中式和分布式均有采用，对于电动普通乘用车辆而言，集中式采用更为普遍。

　　图6是目前国内主流电动汽车电池管理系统的架构图。系统采用集中式结构，通过外围参数检测电路采集电池数据，经微控制器（MCU）进行判断和处理，向继电器等执行模块发送动作指令，同时通过CAN总线与整车控制器（VCU）、动力系统等进行实时信息交互。在这种架构中，单体电压、继电器控制信号等电池关键信息的采集和传输仅由单一通道完成，且缺少必要的诊断机制，使得任一局部故障发生时整个系统失效，从而带来极大的安全隐患。

　　1.3本论文的研究内容

　　本文结合实验室长期研宄电动汽车电池管理系统的技术积累，参照道路车辆功能安全标准IS026262:2011推荐的汽车电子开发流程和方法，旨在设计一套符合功能安全标准要求的电动汽车电池管理系统。

　　本文以道路车辆功能安全标准为指导，对电动汽车电池管理系统在车辆运行中可能出现的异常情况进行危害分析和风险评估，得到电池管理系统的功能安全要求，并将此要求在系统级、子系统级、软硬件级细化，得到各层面的更详尽的安全要求；接着据此分别进行系统设计、软硬件设计，并完成功能安全完整性等级（ASIL）评估；最后制作BMS样机，搭建实验平台，完成测试验证。全文包括六个章节，具体内容安排如下：第一章，引言。主要包含四个部分：一，介绍论文的研宄背景和研究意义，指出引入道路车辆功能安全标准、构建电动汽车电池管理系统高可靠性架构的重要经济价值和学术意义；二，简述道路车辆功能安全标准IS026262:2011的标准体系、核心概念、推荐的汽车电子开发流程、设计测试验证方法；三，调研国内外电动汽车电池管理系统的研宄现状，特别是在系统架构设计和可靠性提升方面进展；四，论文的主要内容介绍和论文架构。第二章，电动汽车电池管理系统功能安全概念设计。首先进行项目定义，明确电动汽车电池管理系统的主要功能、对外接口、运行环境和已知的失效模式及危害；其次通过场景分析和危害识别完成危害分析，确定电池管理系统可能面临的主要危害；接着从严重度、暴露率、可控性三个维度对危害逐个进行风险评估，制定安全目标；最后制定功能安全要求（FSR）并将其连同ASIL等级分配至电池管理系统各个子模块，为下一步系统功能安全设计提供依据。第三章，电动汽车电池管理系统系统设计与软硬件设计。一，根据功能安全要求，制定技术安全要求（TSR），分解和分配ASIL等级，进行系统总体设计，并完成各个子系统的设计；二，根据技术安全要求，制定硬件安全要求（HSR）并为之分配相应的ASIL等级，进行硬件的总体设计，并完成各部分硬件电路的详细设计；三，根据技术安全要求，制定软件安全要求（SSR）并为之分配相应的ASIL等级，进行软件架构设计，并完成软件单元设计，绘制各子程序流程图。第四章，电动汽车电池管理系统安全完整性等级评估。首先阐述电子电气系统安全完整性等级评估的方法，明确硬件架构度量的计算方法；接着分别对每个安全目标相关的硬件电路计算单点故障度量和潜伏故障度量；最后根据计算结果对系统硬件安全完整性等级做出评估，进而完成对系统的安全完整性等级评估。第五章，系统集成与测试验证。完成系统的软硬件实现，制作电动汽车电池管理系统样机，并进行基本功能测试；对与安全目标相关的功能进行故障注入测试，以验证所设计系统系统对危害事件的响应能力，测试内容包括高压继电器测试、过温测试、过电压测试、电源故障测试等。第六章，总结与展望。对全文进行总结和梳理，指出所作设计需要进一步完善和改进的地方

　　2电动汽车BMS功能安全概念设计
　　2.1项目定义
　　2.1.1系统主要功能
　　2.1.2系统对外接口
　　2.1.3系统的运行环境
　　2.1.4系统己知的失效模式及危害
　　2.2安全生命周期启动

　　2.3危害分析和风险评估
　　2.3.1危害分析
　　2.3.2风险评估
　　2.3.3ASIL等级确定
　　2.3.4安全目标制定
　　2.4功能安全概念设计
　　2.4.1功能安全要求的导出
　　2.4.2功能安全要求的分配
　　2.5验证

　　2.6本章小结
　　3电动汽车BMS系统设计与软硬件设计
　　3.1系统设计
　　3.1.1系统总体设计
　　3.1.2BMU子系统
　　3.1.3BCU子系统
　　3.1.4通讯子系统
　　3.1.5电源子系统
　　3.1.6软硬件接口

　　3.2硬件设计
　　3.2.1硬件总体设计
　　3.2.2单体电压检测电路
　　3.2.3单体温度检测电路
　　3.2.4总电压检测电路
　　3.2.5通讯电路
　　3.2.6继电器控制电路
　　3.3.7电源电路

　　3.3软件设计
　　3.3.1软件总体设计
　　3.3.2主程序
　　3.3.3电源监视程序
　　3.3.4热失控预警程序
　　3.3.5高压继电器控制
　　3.3.6SOC估算
　　3.4麵
　　3.5本章小结

　　4电动汽车BMS安全完整性等级评估
　　4.1硬件架构度量
　　4.1.1硬件要素失效率
　　4.1.2单点故障度量
　　4.1.3潜伏故障度量
　　4.2硬件架构度量的计算
　　4.2.1单点故障度量的计算
　　4.2.2潜伏故障度量的计算
　　4.3安全完整性等级评估的结论
　　4.4本章小结

　　5系统集成和测试
　　5.1系统实现
　　5.2基本功能测试
　　5.2.1测量精度测试
　　5.2.2CAN通讯测试
　　5.3基于功能安全的测试
　　5.3.1高压继电器测试
　　5.3.2过温测试
　　5.3.3单体过电压测试
　　5.3.4总电压过压测试
　　5.3.5电源古女障测试
　　5.3.6对比试验
　　5.4本章小结

　　6总结与展望

　　6.1总结

　　本文依照道路车辆功能安全标准IS026262:2011推荐的汽车电子电气系统开发流程，对电动汽车电池管理系统进行了架构设计，主要包括以下内容：

　　（1）明确了电动汽车电池管理系统的功能、接口、运行环境、可能的危害和失效模式；通过FMEA分析和FTA分析对系统进行危害分析和风险评估，制定了系统安全目标，并为之分配了相应的ASIL等级；制定系统的功能安全要求（FSR），完成了系统的功能安全概念设计。

　　（2）在概念设计的基础上，分别在系统层面、硬件层面、软件层面对系统进行设计。根据功能安全需求，制定技术安全需求（TSR），确定了"主系统+安全系统"的系统架构，并对各子系统进行详细设计，完成了系统设计；根据技术安全要求，导出硬件安全要求（HSR），确定了硬件总体架构，详细设计了硬件电路的各个模块，对安全相关的硬件电路专门做了故障诊断和冗余设计，完成了硬件设计；根据技术安全要求，导出软件安全要求（SSR），进行软件件架构设计和软件单元设计，绘制安全相关软件单元的程序流程图，完成软件设计。

　　（3）在完成系统架构设计的基础上，对所设计系统的安全完整性等级进行评估。重点通过计算单点故障度量和潜伏故障度量两个指标，定量评估了系统硬件的ASIL等级。计算表明，所设计系统的硬件，其安全完整性等级达到了ASILC,达到了设计目标。

　　（4）对所作设计进行系统实现和测试验证。制作了BMS样机，借助计算机，对系统进行了基本功能测试和基于功能安全的故障注入测试。基本功能测试主要包括测量精度测试和CAN通讯测试，基于功能安全的测试包括高压继电器测试、过温测试、单体过压测试、电池组过压测试、电源故障测试。测试结果表明，系统的测量精度良好，CAN通讯正常，对高压继电器粘连、过温、过压等可能导致危害发生的故障具有较好的诊断和识别能力，能够有效避免违背安全目标的事件发生。

　　6.2展望

　　鉴于作者从事汽车电子电气系统研究的时间不长，加之自身学识、经验有限，对功能安全的理解还不够深入，本文所作的设计难免有不足之处。回顾整个系统的设计过程，重新审视本文所作设计，我认为至少存在以下几个方面还可以进一步改进和完善。

　　（1）贯彻功能安全开发流程方面。在系统设计过程中，虽然比较严格地遵循了功能安全相关开发流程，但仍简化或忽略了一些具体环节的工作，比如对每个开发阶段工作成果的验证、文档化处理等。

　　（2）设计的合理性与完整性方面。本文设计的面向功能安全双系统结构，极大提高了系统的安全完整性等级，但随之产生的是系统成本的增加，推广应用的合理性有待商榷。另外，本文所作设计重点针对安全相关的问题，对系统非安全相关的需求考虑较少，如SOE估算、数据存储等。

　　（3）创新性方面。本文所作的设计在整体上采用了新型的1C,对电路结构有较大改进，具有一定创新性，但在一些具体电路的设计时，参考了已有成熟系统的方案，创新设计相对较少，还有优化和改进的空间。

　　参考文献
 

　　致谢

　　白驹过隙，两年的研究生生活即将结束。本文所作的设计从始至终历时近两年，中间经历过坎坷和迷茫，也体验了欣喜和欢乐，更多的则是感动和感谢。

　　本文所作的研究是在我的导师张维戈教授的悉心指导下完成的，张老师严谨的治学态度、深厚的学术功底、科学的工作方法和敏锐的洞察力给了我极大的启发和影响，为我的研究的顺利进行提供了巨大的帮助。在此由衷感谢张老师在学习、生活上对我的关心、帮助和指导。

　　我要特别感谢我的另外一位导师王占国高工，王老师指导我完成实验室的科研工作，给了我很多的锻炼机会，对我的研宂和设计提出了诸多宝贵意见，在学习和生活上给予了我很大的关心和帮助。在此向王老师表示由衷感谢。此外，我还要感谢黄或副教授、孙丙香副教授、盛大双工程师、黄勤河老师、张言茹老师、孟学东老师、周兴振老师在我的科研过程中提供的帮助和指导。动力电池实验室的陈浩泽博士、陈丁鸿博士、安复来博士、张弛博士、郭甜师兄，以及张捃玮、吕亚军、杨亚彬、张褀、余绍杰、杨泽明、马洋洋、田侃等研究生同学，在科研和生活中给予了我无私的帮助，给我的设计提供了建设性的意见，在此一并表示感谢。

　　最后，我最想感谢我的父母和姐姐，以及其他长期以来一直关心我的学习和成长的亲友们，是你们的理解、鼓励、支持和无私的帮助，让我心无旁骛的顺利完成学业，我爱你们。

（如您需要查看本篇毕业设计全文，请您联系客服索取）