【AUTOSAR】BMS开发实际项目讲解（二十五）----电池管理系统安全状态过渡

最新推荐文章于 2026-06-23 16:33:00 发布
原创 最新推荐文章于 2026-06-23 16:33:00 发布 · 1.1k 阅读 · 7 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
该系统详细描述了从MCUmodule到SBCmodule的安全状态管理和故障监控，包括电源供给、看门狗、错误监测以及硬线和SPI信号的通讯保护。在检测到故障时，系统能通过禁能信号或中断/复位信号进行安全状态过渡，确保功能安全目标得以实现。同时，针对不同模块如HSD和LSD的驱动诊断以及AFEmodule、Digitalhallsensor、HV_μCmodule和VCU与MCUmodule间的通讯安全也进行了规定。

    1. 安全状态过渡
      1. 关联的系统需求

TSR-BMS-S201、TSR-BMS-S202、TSR-BMS-S203、TSR-BMS-S204、TSR-BMS-S601、TSR-BMS-S602、TSR-BMS-S603、TSR-BMS-S604、TSR-BMS-S605、TSR-BMS-S606、TSR-BMS-S607、TSR-BMS-S608、TSR-BMS-S609、TSR-BMS-S610、TSR-BMS-S611、TSR-BMS-S612;

      1. TSC功能框图

 

        1. 功能组件设计描述
          1. SBC module

ID

Function Block Description

ASIL

Ref.

OVP-B01

[Error Monitoring] block

--SC_1所承载的功能，负责向MCU module提供电源供给，电源输出的控制指令由MCU module通过SPI通讯的方式输入到SBC module；

ASILC

OVP-B02

[SBC Module] block_监控功能

--SC_1所承载的功能，提供看门狗来监控MCU module的异常运行；

--SC-1所承载的功能，提供MCU module的故障反馈（硬线告警信号：error signal）监控；

--SC_1所承载的功能，具备自身故障监控，探测安全相关的故障；

ASILC

OVP-B03

[SBC Module] block_故障处理功能

--SC_1所承载的功能， 当监控到MCU module的安全相关故障时，将会根据故障种类的不同，而输出reset signal / interrupt signal给到MCU module， 或输出SS1&2给到[Disable switch]来实现对继电器驱动的控制；

--SC_1所承载的功能， 当监控到自身的安全相关故障时，将会根据故障种类的不同，而输出reset signal / interrupt signal给到MCU module， 或输出SS1&2给到[Disable switch]来实现对继电器驱动的控制；

ASILC

ID

Function Block Description

ASIL

Ref.

SST-101

[Function Monitoring] block

--对SBC module自身功能的异常监控，并将故障信息实时反馈到[Safe State Control]；

ASILC

SST-102

[Error Monitoring] block

--对MCU module输出的硬线告警信号（error signal）进行实时监控；

--对MCU module输出的SPI告警信号（SPI通讯信号）进行实时监控；

ASILC

SST-103

[Safe State Control] block

--实时获取[Function Monitoring]、[Error Monitoring]和[Watchdog]的故障监控信息，根据故障种类的不同，输出控制指令到[SS1&2 Generator]或[Interrupt /Reset Generator]；

ASILC

SST-104

[SS1&2 Generator]block

--根据[Safe State Control]输出的控制指令，来执行SS1&2 硬线信号输出（“高/低”）；

--SS1&2信号将输入到[Disable switch]；

ASILC

SST-105

[Interrupt /Reset Generator] block

--根据[Safe State Control]输出的控制指令，来执行Interrupt /Reset硬线信号输出；

--Interrupt 信号将输入到MCU module，来指示中断事件的发生；

--Reset信号将输入到MCU module，来对MCU module执行复位动作；

ASILC

SST-106

[Watchdog]block

--对MCU module输出的喂狗信号（trigger）进行实时监控；

ASILC

          1. MCU module

ID

Function Block Description

ASIL

Ref.

SST-201

[Monitoring module] block

--对MCU module自身进行实时监控，并及时将异常反馈到[Safe State Control]；

--配合“L2:Function Monitoring layer”执行程序流监控；

ASILC

SST-202

[Safe State Control] block

--实时获取[Monitoring module]的故障监控信息，根据故障结果，输出error signal（可通过Error pin/SPI的方式输出）到SBC module中的[Error Monitoring]；

ASILC

SST-203

[Open Relays protection] block

--根据“L2:Function Monitoring layer”各个功能监控模块的故障探测结果，执行系统安全状态的过渡；这将通过[Open Relays protection]输出驱动模块使能信号到[HSD module]和[LSD module]来实现；

注：该功能模块可分解为[Open Relays] 和[Arbitration Mechanism] ，参见OVP-704和OVP-705

ASILC

SST-204

[HSD&LSD diagnosis]block

--通过实时获取[HSD module]和[LSD module]诊断电路采集信号，来对驱动模块进行故障诊断，并将诊断结果输入到[Open Relays protection]，以便[Open Relays protection]执行安全状态过渡；

ASILC

          1. Disable switch

ID

Function Block Description

ASIL

Ref.

SST-301

[Disable switch] block

-- 参见OVP-901

ASILC

      1. 功能实现描述

ID

Description

ASIL

Ref.

SST-001

安全状态进入

  1. 本系统的安全状态指：系统将HSD和LSD禁止输出的状态
  2. HSD和LSD禁止输出的状态可通过MCU module输出禁能信号来实现
  3. HSD和LSD禁止输出的状态也可通过SBC module输出禁能信号来实现

ASIL C

TSR-BMS-S602

TSR-BMS-S603

TSR-BMS-S604

TSR-BMS-S605

SST-002

MCU module输出禁能信号

  1. 系统在激活状态下，当系统探测到直接导致功能安全目标被违背的故障时，且MCU Module无故障的情况下，应由MCU Module输出控制信号使能HSD Module和LSD Module关断，将系统带入安全状态；

ASIL C

TSR-BMS-S607

SST003

SBC module输出禁能信号

  1. 系统在激活状态下，当系统探测到直接导致功能安全目标被违背的故障时，且MCU Module存在永久性故障的情况下，应由MCU Module应通过Error pin/SPI输出故障信号反馈到SBC Module，之后SBC Module输出控制信号使能（SS1&2）HSD Module和LSD Module关断，将系统带入安全状态；
  2. MCU module自身的故障应能够通过Error pin/SPI反馈到SBC Module，对于Error pin/SPI应参考芯片安全手册来设计，保证故障反馈的可靠性。

ASIL C

TSR-BMS-S608

SST-004

安全状态过渡执行器的故障诊断

  1. 系统通过MCU module对安全状态过渡执行器（HSD module）进行故障探测，防止故障潜伏，故障探测机制详见本文“5.8.3.1继电器驱动诊断”

ASIL B

TSR-BMS-S201

TSR-BMS-S202

SST-005

安全状态过渡执行器的故障诊断

  1. 系统通过MCU module对安全状态过渡执行器（LSD module）进行故障探测，防止故障潜伏，故障探测机制详见本文“5.8.3.1继电器驱动诊断”

ASIL A

TSR-BMS-S203

TSR-BMS-S204

    1. 通讯保护
      1. 关联的系统需求

TSR-BMS-1114、TSR-BMS-1115、TSR-BMS-1116、TSR-BMS-1117、TSR-BMS-1127、TSR-BMS-1128、TSR-BMS-2114、TSR-BMS-2115、TSR-BMS-2116、TSR-BMS-2117、TSR-BMS-2127、TSR-BMS-2128、TSR-BMS-3114、TSR-BMS-3115、TSR-BMS-3116、TSR-BMS-3117、TSR-BMS-3126、TSR-BMS-3127、TSR-BMS-4119、TSR-BMS-4120、TSR-BMS-5111、TSR-BMS-5112、TSR-BMS-5118、TSR-BMS-5119、TSR-BMS-S402、TSR-BMS-S403;

      1. TSC功能框图

 

      1. 功能实现描述

ID

Description

ASIL

Ref.

CP-001

AFE module与MCU module之间的通讯保护

  1. 系统应对AFE module与MCU module之间安全信息传输进行保护

ASIL C

TSR-BMS-1114、TSR-BMS-1115、TSR-BMS-1116、TSR-BMS-1117、TSR-BMS-1127、TSR-BMS-1128、TSR-BMS-2114、TSR-BMS-2115、TSR-BMS-2116、TSR-BMS-2117、TSR-BMS-2127、TSR-BMS-2128、TSR-BMS-3114、TSR-BMS-3115、TSR-BMS-3116、TSR-BMS-3117、TSR-BMS-3126、TSR-BMS-3127

CP-002

Digital hall sensor与MCU module之间的通讯保护

  1. 系统应对Digital hall sensor与MCU module之间安全信息传输进行保护

ASIL B

TSR-BMS-4119、TSR-BMS-4120

CP-003

HV_μC module与MCU module之间的通讯保护

  1. 系统应对HV_μC module与MCU module之间安全信息传输进行保护

ASIL A

TSR-BMS-5111、TSR-BMS-5112、TSR-BMS-5118、TSR-BMS-5119

CP-004

VCU与MCU module之间的通讯保护

  1. 系统应对VCU与MCU module之间安全信息传输进行保护

ASIL C

TSR-BMS-S402

TSR-BMS-S403

标签
#电池管理系统 #AUTOSAR #BMS #26262 #嵌入式硬件
#安全
BMS关键模块详细介绍
weixin_43199439的博客
08-06 3050
BMS会根据压力数据进行判断，如果检测到压力超过设定的安全范围，系统会立即发出警报，并采取相应的保护措施，如排气或冷却，以防止电池组发生爆炸或其他安全事故。此外，该模块还可以用于电池的健康检测，及时发现电池内部故障，以确保电池系统的安全运行。此外，该模块还具有电流限制功能，当电流超过设定的安全范围时，BMS会立即采取措施，如切断电源或限制电流，以防止电池过载和损坏。在实际应用中，单体电芯电压采集模块可以及时发现电芯不均衡的状态，并启动均衡电路，将高电压电芯的多余电量转移到低电压电芯。
【AUTOSAR】BMS开发实际项目讲解（二十八）----电池管理系统基础数据采集及处理功能
hellotzx的博客
06-30 2898
系统应对电池系统单体电压一致性进行监控，出现不一致情况时，及时处理（报警、功能降级），详见[FL]系统应对电池系统单体温度一致性进行监控，出现不一致情况时，及时处理（报警、功能降级），详见[FL]对于存在通讯异常的数据，不应作为单体电压极值（最大值、最小值）以及平均值计算的输入数据。对于存在通讯异常的数据，不应作为单体温度极值（最大值、最小值）以及平均值计算的输入数据。系统应对电池系统单体温度过低进行监控，出现过低情况时，及时处理（报警），详见[FL]
浅析BMS上电源芯片SBC应用
热门推荐
软件领域
06-04 1万+
【BMS】浅析BMS上电源芯片SBC应用来源：雪球App，作者： 旺材锂电，（https://xueqiu.com/7479326512/172642163） 首先简单介绍下电池管理系统（BMS）及其功能和构成： 一般来说，电动汽车的动力电池是由几千个小电芯组成的，电池包的组成主要包括电芯、模块、电气系统、热管理系统、箱体和BMS。 BMS是对电池进行管理的系统，主要负责监测和管理整个电池组的工作状态，其中包括估测电流的电荷状态、检测电池的使用状态、管理电池的循环寿命、在充电过程中对电池进行热管理、启停锂电
【AUTOSAR】BMS开发实际项目讲解（一）----产品需求规格书
hellotzx的博客
06-27 3965
要求高边驱动独立供电（需支持外部供电输入及控制器供电输入两种方式，并且具备供电电压采样功能，具体结合低压电气方案）；要求低边驱动通道具备对电源短路、过载、开路、对地短路诊断功能；要求高边驱动通道具备对电源短路、过载、开路、对地短路诊断功能；要求模拟量采样通道具备有源、无源切换功能；要求每节电芯电压采样通道都具备断线、过压、欠压等诊断功能。要求实时时钟能够提供年、月、日、时、分、秒等实时时钟数据。要求具备沿唤醒、电平唤醒、看门狗、多路电源输出等功能电源；要求具备高压采样通道具备采样失效诊断功能；
【AUTOSAR】BMS开发实际项目讲解（三十五）----电池管理系统CAN网络和故障管理
hellotzx的博客
07-03 2454
系统应具备Autosar直接网络管理功能，V_CAN其它网络节点可通过V_CAN与系统进行网络管理相关信息交互。系统应能够实时监测低压供电，当低压供电电压过低/过高时，及时处理（功能降级/禁用，报警）核心模块复位后的初始状态应是安全的，无意外的输出，不应造成非预期的控制。输入BMS系统的数字信号，当信号幅值大于4V时，判断为“1”输入BMS系统的数字信号，当信号幅值小于2V时，判断为“0”BMS系统输出的数字信号，若为“1”，则信号幅值应大于4V。
基于AUTOSAR与FEV融合的BMS应用层开发：满足ASIL C安全标准的量产实践
pytorchlight8的博客
02-13 610
本文详细介绍了基于AUTOSAR架构与FEV技术融合的BMS应用层开发实践，重点解析如何满足ASIL C功能安全标准。内容涵盖安全需求分析、软件架构设计、算法优化及量产挑战解决方案，为新能源汽车电池管理系统开发提供可靠参考。
【AUTOSAR】BMS开发实际项目讲解（十二）----电池管理系统绝缘热失控功能安全
hellotzx的博客
06-29 1418
时间内断开高压回路进入安全状态，在高压连接器异常连接故障退出、消除条件未满足时，不应退出安全状态；时间内断开高压回路进入安全状态，在电池单体过温故障退出、消除条件未满足时，不应退出安全状态；时间内断开高压回路进入安全状态，在绝缘过低故障退出、消除条件未满足时，不应退出安全状态；时间内断开高压回路进入安全状态，在过流故障退出、消除条件未满足时，不应退出安全状态；BMS系统在激活状态下，为防止绝缘保护的故障潜伏，应发出故障信息，以便警示驾驶员。管理电池系统的充电和放电，监控电池系统状态，并实施保护。
基于Autosar架构的ASPIC流程BMS电池管理系统应用层模型开发，满足功能安全ASIL ...
qq_61752687的博客
12-02 441
特别是那个双采样交叉校验，直接怼上ISO 26262里的安全机制要求——甭管是ADC芯片抽风还是线路接触不良，只要两路采样值偏差超标，立马触发故障诊断。玩过电动车的都知道，BMS系统是电池的"大脑"。去年给某主机厂做项目，他们的底层硬件换了平台，我们应用层代码复用率愣是做到了85%——Autosar的分层架构真不是吹的。功能安全方面，ASIL C可不是闹着玩的。量产车型使用，BMS电池管理系统应用层模型，按照ASPIC流程开发，基于Autosar架构开发，满足功能安全asil c等级。
【AUTOSAR】BMS开发实际项目讲解（十一）----电池管理系统相关项功能安全要求
hellotzx的博客
06-29 1781
时间内断开充电高压回路进入安全状态，在电池单体过放故障退出、消除条件未满足时，不应退出安全状态；时间内断开高压回路进入安全状态，在电池单体过充故障退出、消除条件未满足时，不应退出安全状态；时间内断开高压回路进入安全状态，在电池单体过温故障退出、消除条件未满足时，不应退出安全状态；管理电池系统的充电和放电，监控电池系统状态，并实施保护。管理电池系统的充电和放电，监控电池系统状态，并实施保护。管理电池系统的充电和放电，监控电池系统状态，并实施保护。，应提前限制充电、回馈功率，让整车进入降级运行模式。
【AUTOSAR】BMS开发实际项目讲解（十三）----电池管理系统碰撞安全功能和SFR
hellotzx的博客
06-29 1680
其中，FSR-ECU-XY命名中的X对应SG-ECU-X中的X，FSR-ECU-XY命名中的Y对应同一SG的相关FSR的序号；注1：SG-ECU-X、FSR-ECU-XY中的ECU请根据具体产品进行替换，如：电池管理系统则为SG-BMS-X、FSR- BMS -XY。当碰撞事件发生时，碰撞信号输出占空比为1/6高电平，5/6低电平，周期240ms，连续20个周期，只有恢复到正常时的信号特性；BMS系统在激活状态下，为防止碰撞保护的故障潜伏，应发出故障信息，以便警示驾驶员。能够正确响应BMS系统的驱动控制。
基于AUTOSAR的高压BMS软件平台开发实战与挑战解析
最新发布
weixin_30265103的博客
06-23 276
电池管理系统是电动汽车动力电池的核心控制单元，负责监控电芯状态、估算电量并确保系统安全。其核心原理在于通过高精度采样与复杂算法实现电池状态的实时估算与管理。随着电动汽车向800V高压平台演进，BMS在精度、实时性与功能安全方面面临更高要求，其技术价值在于保障电池包安全、延长寿命并优化整车能效。在软件定义汽车背景下，采用标准化软件架构（如AUTOSAR）进行开发，能有效实现软硬件解耦，提升代码复用性与开发效率。针对高压BMS，行业普遍面临功能安全等级高、通信实时性要求严苛、多模块协同复杂等挑战。本文以恩智浦与
量产车型使用，BMS电池管理系统应用层模型，按照ASPIC流程开发，基于Autosar架构开发
QQ68823886的博客
02-21 185
今天就带大家看看我们团队刚落地的一个项目——基于Autosar架构，满足ASIL C安全等级的BMS应用层开发实录。去年给某主机厂做项目，他们的底层硬件换了平台，我们应用层代码复用率愣是做到了85%——Autosar的分层架构真不是吹的。量产车型使用，BMS电池管理系统应用层模型，按照ASPIC流程开发，基于Autosar架构开发，满足功能安全asil c等级。量产车型使用，BMS电池管理系统应用层模型，按照ASPIC流程开发，基于Autosar架构开发，满足功能安全asil c等级。
AUTOSAR BMS开发实战：低压上下电功能全流程解析（附流程图）
weixin_30776273的博客
03-24 368
本文深入解析AUTOSAR架构下BMS（电池管理系统）的低压上下电功能全流程，涵盖唤醒信号处理、自检流程、下电管理及状态机设计等关键技术。通过实战案例和流程图，帮助开发者掌握新能源汽车BMS开发中的核心模块实现与优化策略。
深入解析量产车型 BMS 电池管理控制策略
2508_94230129的博客
12-13 986
BMS电池管理控制策略 策略说明，量产车型使用。电池管理系统策略开发，FEV应用层软件，在售车型最新版本软件。按照ASPIC 开发流程开发，基于AUTOSAR架构开发，满足功能安全ASIL C。模型和策略BMS电池管理系统应用层软件，策略说明都是量产车型在用，不是仿真不是仿真不是仿真！BMS，simulink应用层模型。在当今电动汽车和各类储能设备蓬勃发展的时代，BMS（电池管理系统）无疑是其中的核心技术之一。
【AUTOSAR】BMS开发实际项目讲解（十八）----电池管理系统系统安全机制描述
hellotzx的博客
06-29 1376
MCU内部在进行安全相关的数据传输时，需要具备安全校验机制，来识别自身数据传输错误，并在规定时间之内完成故障处理（进入安全状态）对于安全相关的标定数据存储，MCU module应具备安全校验机制，识别到数据错误，在规定时间之内完成故障处理（进入安全状态）MCU应对其内部数据传输安全校验机制进行测试，来识别相应机制的正确性，每个驾驶循环至少执行一次诊断，识别到错误时，及时进行报警。MCU应对自身运行环境的诊断机制进行测试，来识别相应机制的正确性，每个驾驶循环至少执行一次诊断，识别到错误时，及时进行报警。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

大道生

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值