3.BMS功能安全-汽车电子咖啡厅

新能源汽车电池管理系统开发中功能安全

流程的应用实践

CTO 袁永军

同湛科技

公司介绍

上海同湛新能源科技有限公司成立时间:2014年3月中国新能源汽车电子专业解决方案供应商上海同湛新能源科技有限公司:

注册地:上海嘉定

公司格言: Mark the Future！同心,共湛

公司核心成员在新能源汽车电子领域有超过7年的行业经验，进入同湛前均担任多家

企高管核成员具有同济大学汽车学新能汽车方向的学究背景BMS企业高管。核心成员具有同济大学汽车学院新能源汽车方向的学习及研究背景,并仍然保持着与同济大学在新能源汽车核心部件VCU、BMS等方面的研发及测试互动。公司的定位

测试系统及软件

开发咨询

BMS 系统开发

TestZealot 自动测试软件

主要客户

内容

1

BMS功能安全开发流程概览

2项目初始化及概念阶段的功能安全实践

BMS项目初始化及概念阶段的功能安全实践3

BMS系统设计阶段的功能安全应用

4

BMS软硬件设计阶段的功能安全应用

5

BMS测试及功能安全验证

BMS功能安全开发流程概览

BMS功能安全开发流程概览

功能安全过程

系统需求分析系统测试

•概念阶段•项目定义•安全计划

技术安全需ASPICE3.0 过程

SYS.2

SYS.5

ASPICE ENG

统需分析

系统架构设计

系统集成测试

•安全目标ASPICE

Man.3

求

系统设计

安全确认

功能安全集成测试

SYS.3

SWE 1SWE 6SYS.4

软件需求分析

软件架构软件集成测试

软件测试

•功能安全概念

软件安全

相关需求

软件安全安全相关软安全相关软

件确认SWE.1

SWE.2

SWE.5

SWE.6

硬件安全相关需求

硬件安全相关集成

硬件安全指标评估

设计

相关设计

安全相关单元测试

件集成测试

SWE.3

SWE.4

软件单元设计

安全相关单元设计

软件单元测试

硬件评估

硬件需求

测试

硬件安全硬件集成测试

硬件设计相关设计

内容

1

BMS功能安全开发流程概览

2概念阶段的功能安全实践

BMS概念阶段的功能安全实践

3

BMS系统设计阶段的功能安全应用4

BMS软硬件设计阶段的功能安全应用5

BMS测试及功能安全验证

项目定义:

workproduct

BMS项目定义及安全生命周期初始化

想要做什么？——项目目标、产品的功能需求我们用在哪？——环境条件的需求要遵守什么法律法规要求

•Safety plan

BMS It d fi iti d 需要遵守什么？——法律法规要求我们可以预知到什么？——已知的安全需求产品由哪些部分组成？——组成产品的各个部件•BMS Item definition.doc •BMS Initial Architecture 谁对产品有影响？——其他系统对产品的要求部件、系统之间如何连接？——接口

•HAZOP

*一个系统项目（Item):

This definition serves to provide sufficient information about the item to the persons who conduct the 个系统*或系统组合*或一个功能

来实施ISO26262。

subsequent subphases: ”Initialization of safety

lifecylce”, “hazard analysis and risk assessment” and “functional safety concept”. –ISO26262.3

BMS 项目概念阶段

HAZOP table

BMS 项目定义

HAZOP 分析

定义

分析功能失效及定义BMS 的主体功能

偏差可能性（Malfucntion Behavior ）

HAZOP ：Hazard and

Operability Studies Operability Studies 是英国帝国

化学工业公司（ICI ）Time Sequence:Early Late; Before After

AS WELL AS

LESS 于20世纪60年代发展起来的以引导词为核心的MORE NO OR NOT OTHER THAN 系统危险分析方法

OTHER THAN PART OF REVERSE

BMS 项目定

BMS 项目概念阶段

义

HAZOP 分析

HARA 分析

安全目标确定

根据整车场景分析对S E C 逐条分析SEC情分析，对S E C 值进行评估，并设计Safe State

况，整理得出Safety goal

Safety Goal

G010: 须防控电芯过温故障无保护或不及

时，防止电芯热失控

Safe State:

发送准确的放电功率信息;过温监控功能异常时向仪表发出警告信息，derate功率输出最终切断高压输入输出电池包, 禁止电池

包加热功能开启