谈谈NHTSA动力电池BMS功能安全要求
之前小星介绍了动力电池分类以及相关电池安全认证，今天和大家聊聊NHTSA美国高速公路交通安全管理局公布的关于动力电池电子控制器相关的电子可靠性和功能安全的研究。
首先说说NHTSA在美国是一个什么样的机构，它就相当于第三交通委“道路千万条，安全第一条”在电影中的存在。其实NHSTA的职能可以像NCAP一样对每个车型给出安全评级，也可为汽车行业提供指导标准。
↑NHTSA美国高速公路交通安全管理局关于电子可靠性和功能安全的研究
众所周知，功能安全正在快速在汽车行业得到高度重视。特别是动力电池电子控制器的相关功能安全更由于电池安全性而成为重中之重。因此NHSTA作为美国汽车行业的权威机构，针对动力电池电子控制器电子可靠性和功能安全进行了深入研究。NHSTA推动的以STPA（Systems Theoretic Process Analysis）为基础的功能安全与信息安全融合流程。从而将以方法论和定量指标为主的ISO26262功能安全国际标准转化为更具可操作性的系统架构。
↑NHSTA推动的以STPA为基础的功能安全与信息安全融合流程
HAZOP （Hazard and Operability analysis）和 STPA（Systems Theoretic Process Analysis）两个新方法论的引入保证了和传统ISO26262流程的兼容，又突破了原来危害分析方法的诸多限制。为功能安全标准在系统架构级别的可操作性提升做了重大贡献。
↑HAZOP和STPA方法参与ISO26262功能安全分析
动力电池电子控制器电子可靠性和功能安全研究
NHSTA首先按照功能安全的流程定义了动力电池电子控制框图。参照行业标准将动力电池划分为电池组、PDU和BMS三部分。而动力电池与内其他模块的交互又包括高压直流母线、CAN通讯网络、IO接口及冷却管路四类。
↑动力电池电子控制框图
而针对动力电池的核心电子控制器BMS， NHSTA进一步给出了动力电池BMS电子控制架构的深入定义。包括由BMM电池监测模块和BCM电池控制模块组成的BMS，以及相关的控制动作和能量流/信息流。从而为后面提到的动力电池电子控制器系统架构分析提供了基础。
↑动力电池BMS电子控制架构
以基于STPA方法的动力电池电子控制危险动作分析举例，例如发生了BCM电池控制模块发出断路器断开指令的延迟。那么从系统架构分析，整个信号链包括BCM电池控制模块、执行器（断路器）、受控的电池组和传感器（BMM电池监控模块）四部分。从而能从系统角度分析相关危险动作对系统层面带来的危害。
↑动力电池电子控制危险动作分析示例
NHSTA关于动力电池电子控制器功能安全分析结果
在NHSTA推动的以STPA为基础的功能安全与信息安全融合流程后，NHSTA公布了关于动力电池电子控制器功能安全分析结果。我们就来一起看看其中的部分重要细节。
首先，动力电池电子控制器的危害分析结果：
1. 热失控事件 最高安全等级ASIL-D
2. 电芯排气/化学释放 最高安全等级ASIL-C
3. 电击 最高安全等级ASIL-D
4. 非预期减速和动力丢失 最高安全等级ASIL-C
↑NHSTA关于动力电池电子控制器的危害分析
其中针对动力电池电子控制器失效及危险动作则给出了更详细的列表。涉及BMS电子控制器的危险动作主要包含过充、过放、低温充电、过多冷却/加热、过少冷却/加热、非正常断开/接合断路器、非正常断开/接合断路器预充连接器、过多电流和过少电流等。
↑动力电池电子控制器失效及危险动作列表
最终，动力电池电子控制器的安全目标定义为：
A. 在包括拆解过程的车辆全生命周期防止动力电池热失控事件 ASIL-D FTTI 200mS
B. 防止动力电池电芯排气/化学释放 ASIL-C FTTI 200mS
C. 防止动力电池造成电击 ASIL-D FTTI 200mS
D. 防止动力电池造成非预期减速和动力丢失 ASIL-C FTTI 200mS
↑动力电池电子控制器相关安全目标
以上本文介绍的只是NHSTA关于动力电池电子控制器相关电子可靠性和功能安全研究的很小一部分。但毫无疑问的是NHSTA推动以STPA为基础的功能安全与信息安全融合流程，正将功能安全国际标准转化为更具可操作性的系统架构。动力电池相关电子控制器的功能安全正在引起各家整车厂高度重视。相信美系车厂和供应商将率先接触和引用相关方法。而相关国标对动力电池功能安全要求的讨论也在紧锣密鼓进行当中。
参考文献
NHSTA Safety Management of Automotive Rechargeable Energy Storage Systems: The Application of Functional Safety Principles to Generic Rechargeable Energy Storage Systems
SAE论文2017-01-0058 Integrating STPA into ISO 26262 Process for Requirement Development