如何重新定义电动汽车电池管理系统 （BMS）？

　　随着电气化动力系统变得日益复杂，BMS 需要执行的功能增多，承受的负担之重前所未有。

　　无论是简单的充电控制器还是复杂的控制单元，对于电池管理系统 （BMS） 的需求都在迅速增长，尤其是电动汽车领域。除了传统的充电状态监控外，BMS 系统还必须遵守日益严格的安全法规，注重控制和待机功能、热管理和用于保护 OEM 车厂电池的加密算法。未来，甚至车辆控制单元 （VCU） 的部件和功能也会与 BMS 相关联。

　　
图1 配备所有相关部件的电动汽车电池管理系统 （BMS）

　　未来，BMS 将在电动汽车领域发挥重要作用。然而 BMS 的各个子功能往往由 OEM车厂 定制，会因系统配置不同而存在很大差异。因此，不可能制定出适用于每一个电动汽车制造商的完整的 BMS 要求列表。然而，电池管理系统处理的任务范围不断扩大，这一事实毋庸置疑。BMS 最常见的要求包括安全要求、控制和监控功能、待机功能、热管理、加密算法和预留可扩展接口增加新功能。

　　安全要求

　　在 ISO 26262 安全标准范围内，如 BMS 等特定的电气和电子系统将被归类为从 ASIL C 至 ASIL D 的高安全类别。与之对应的故障检测率至少为 97% 至 99%。电池系统中最危险的故障来源有：因电缆磨损或事故而导致车辆底盘出现高电压漏电而未被发现；各种引起高电压电池起火或爆炸的原因：例如对电池过度充电（例如在公用电网上或因停电恢复引起）、电池过早老化（例如爆炸性气体泄漏）、液体进入和短路（例如因雨水引起）、滥用（例如维修不当）和热管理错误（例如冷却失效）等。

　　在安全方面，主开关（主继电器）在避免与高电压相关的事故中起到了重要的作用，它可确保 BMS 电子系统能够作出充分的故障反应。发生故障时，BMS 模块会在适当的故障反应时间内断开开关（例如 10ms 以内）。非关键故障安全条件的特征通常是：如果 BMS 微控制器 （MCU） 失效，甚至在控制器逻辑完全失效的情况下，独立的外部安全元件（例如窗口看门狗）仍可确保主开关继电器可靠地打开逆变器（正/负）的两个高电压触点。BMS 系统中还集成了其他安全功能，包括漏电电流监控和主开关继电器监控。

　　控制和监控功能：

　　其他 BMS 功能包括对电动汽车中昂贵的高电压电池的监控、保养和维护。BMS 控制和监控功能来源于安装于电池包中的电子平衡单元。管理各个电池组内（battery slave pack）的平衡，同时精确地感测各个单电池的电压。平衡芯片通常可管理多达 12 个单电池组成的群组。相关数量的电池群组串联后可产生高达数百伏的高中间电路电压以供逆变器控制之用，这是电动汽车的逆变器电驱动所必需的。

　　位于主开关对所有高电压电池的总电流的测量，以及从芯片对各个单电池电压的单电池精确同步监控，BMS 可使用特定算法（例如，基于电池化学 Matlab Simulink 模型）评估充电状态及健康状态等电池参数。BMS 通常不会安装在非常靠近高电压电池的位置，但是通常会通过冗余的流电去耦总线系统（比如 CAN 或其他适合的差分总线）与电子平衡从动元件相连接。它由汽车电压（12 伏电池）供电，因此可通过现有的网络架构与现有的控制单元群组结合使用，无需进一步的流电去耦措施。最后，它还改善了安全性，因为它让 BMS 能够在高电压电池发生机构或化学缺陷时确保功能正常并且安全地断开主开关。

　　随着电池专用的化学/电气算法日益复杂，预计 BMS 将需要使用拥有 2.5MB 至 4MB 闪存和强大的多核处理器架构的 AURIX 等微控制器 （MCU）。这种组合可以保证有足够的内存用于全面校准参数并提供足够的计算能力（图 2）。

　　
图2 带 2.45MB 至 4MB 闪存 TriCore 多核架构 AURIX 微控制器框图

　　待机功能：

　　电动汽车制造商倾向于定期监视电池组和各个单电池的充电状态。因此，BMS 必须提供专门的低功耗待机功能，该功能仅需要 µA 级极小的 MCU 功耗且能够借助定时器快速唤醒系统，例如，在 BMS 激活模式下通过平衡芯片记录特定的单电池数据。为借助唤醒定时器实现 BMS 的循环唤醒，AURIX 微控制器有多个型号均在独立的低功耗域内（在同一芯片上）集成了一个 8 位单片待机 MCU。

　　热管理：

　　出于设计原因，高电压电池模块通常包含主动热管理，比如用于冬季的加热器和用于夏季的冷却系统。这些可通过风冷或水冷实现。在这两种情况下，BMS 均用于感测电池的相关温度数据和主动执行及控制散热器（例如，风扇电机或水泵）。AURIX 微控制器具有内置的ADC采样器和多种定时器功能，可胜任此任务。

　　加密算法：

　　应避免电动汽车的原装 OEM 电池受未经授权的第三方维修。更换电池群组中的单电池或组装从废旧电池上拆卸的个别零部件，会掩盖与安全相关的故障甚至是爆炸或火灾危险迹象。为保证车厂确认电池保修的正常性 ，英飞凌的 Origa 芯片等适当的保护模块应直接安装于各个单电池群组。同时，在 MCU 中集成硬件安全模块 （HSM） 构成的电池个体数据逻辑保护可作为一种低成本的备选方案。

　　在这种情况下，由于电池可控制这些参数并将它们存储于受 HSM 保护的安全数据存储器，AURIX 中的 HSM 可有效检测上述电池的各个参数。例如，在使用寿命方面，通过这种方式将各个单电池状态存储为 AES 加密档案，如此可基于此数据检测未经授权的各个单电池更换。我们可以将典型的电池群组档案比作一个指纹，其唯一性将有利于检测存在更换的群组。加密算法的另一个应用领域是负责监控和对比由外部供应商计算的充电量与由 BMS 实际测量所得的充电量。

　　未来的任务：

　　根据制造商选择的电动汽车特定电子拓扑结构，目前已有高阶驱动策略的逆变器控制单元和独立的整车控制单元，即 VCU。同时还有整个转矩控制系统，这些系统还具有其它高级功能，如智能电源管理器等。电源处理器（通过集成的导航单元）将驾车路线规划涵盖在内，可根据具体路线优化整个电源系统，因此有助于增加电池的行驶距离范围。

　　独立的 OEM 厂商现在正在考虑将以前的 VCU 的所有部件改设至 BMS 和逆变器控制单元中，从而减少电动汽车的总电子元件成本。去除 VCU 的先决条件归根结底是由 BMS 可处理的微控制器特定参数所决定，比如闪存和 SRAM 的数量和性能、各个控制单元功能在实时能力方面的独立性和在共享的可扩展的微控制器架构上无缝集成安全相关软件功能（从 QM 至 ASIL D）等。针对这一特定情况，英飞凌推出了基于三核处理器的 AURIX 多核架构的控制器硬件，可在未来的 BMS 客户应用中集成所有上述要求功能。

　　作者：英飞凌科技股份公司Klaus Scheibert 与 Björn Steurich

　　Klaus Scheibert 是英飞凌科技股份公司（总部位于德国纽必堡）的汽车事业部动力总成电子分部主管。他负责分析基于 32 位 TriCore 的动力总成微控制器 IP 软核/硬核的未来的系统要求及其潜能发挥。

　　Björn Steurich 是英飞凌科技股份公司（总部位于纽必堡）的汽车事业部动力总成电子分部的高级系统经理。他负责分析用于动力总成应用的新半导体解决方案的市场趋势和系统要求。