本站原创摘 要 电池管理系统（BMS）是纯电动汽车的重要组成部分,其对纯电动汽车的安全行驶起着重要的作用.纯电动汽车整车的安全性能受电池管理系统具备的多项功能的影响是不尽相同的,本文基于功能危险分析（FHA）,通过系统分析,得出电池管理系统的安全关键功能,为其功能设计提供依据.
关 键 词功能危险分析；纯电动汽车；电池管理系统；优化
中图分类号U46 文献标识码A 文章编号 1674-6708（2013）101-0080-03
0 引言
电动汽车因为其低能耗、低污染、低噪音等优点,已经成为了汽车的主要发展方向.但是,目前电动汽车的发展也受到了种种因素的制约,例如续航里程短,废旧电池回收处理困难,安全性低等.尤其是安全问题,一直受到人们的广泛关注.在保证车辆安全行驶过程中,电池管理系统起着至关重要的作用.目前对其设计考虑的主要是硬件及软件,对于不同的功能对车辆的安全性能的影响考虑的较少,不利于通过电池管理系统的功能设计来保证车辆的安全性能.
本文通过对功能危险分析（PHA）的介绍,说明其适用于电池管理系统的设计,并经过系统分析得到电池管理系统的安全关键功能.
1功能危险分析（FHA）介绍
功能危险分析（FHA）是通过对系统或者分系统（包括软件）可能出现的功能状态的分析,识别评价系统中潜在危险的一种分析方法.
FHA是由原因推向结果的归纳分析方法,通过分析系统可能的“不能实现功能”、“功能实现错误”、“功能实现偏差”等造成的安全影响来识别风险,评价当功能故障、衰退及功能丧失发生的概率及带来的后果严重性.当一个功能故障状态被认定为危险状态时,必须要详细研究功能故障的影响因素及功能故障机制并形成安全性分析和设计的详细要求[1].
1.1 FHA的基本过程
该过程包括了分析系统的功能、识别危险和控制措施的采取.
FHA的输入信息应该包括所有的产品设计信息,尤其是与系统实现功能相关的信息.典型的信息应该包括相似系统设计及适用信息；系统功能清单；系统功能实现的流程图等.
FHA的主要目的是识别系统功能故障引起的危险,并通过合适的控制措施,将危险控制在可接受范围内；并分配系统安全性设计、分析与验证要求.所以FHA的输出包括功能危险；安全关键功能；系统风险；安全性要求.FHA的一般流程及步骤如图1所示.
1.2功能故障状态分析
当系统功能得到确定并获得功能清单后,应分析每一个功能可能出现的故障状态及其可能导致的危险后果,并形成功能故障清单.功能故障状态应包括功能完全丧失、功能参数出现偏差、或功能实现的时机存在偏差等情况.在进行功能状态识别及分析时,应着重考虑以下两个方面：
1）应考虑到功能实现的环境条件,即考虑在正常环境和应急环境下,系统使用过程中需要实现的功能以及其实现的途径.
2）单一故障和多重故障的分析.多重故障是指同时发生或顺序发生多个故障,此时的系统可能产生分析单独某个故障不能得到的危险.应该结合设计方案以及准备工作中需要给出的功能原理或功能流程图来进行本项工作.
1.3确定功能故障状态的影响后果
在分析功能故障状态的影响后果时,应该借鉴相关事故的统计数据,结合相关标准规范并充分借鉴先前的设计经验,对功能故障可能带来最严重影响后果及发生的概率进行等级划分.
该过程是功能逻辑归纳的推断过程,具体方法可借鉴事件树（ETA）分析方法.尤其需要注意的是,要同时考虑到功能故障给相关人员带来的危险环境.例如,火焰、振动、烟雾等情况.在确定功能故障状态对产品的影响时,应该充分考虑过去的使用经验,使结果更加的准确.
2.电池管理系统（BMS）主要功能分析
电池管理系统主要组成部分包括各类传感器、执行器、固化有各种算法的控制器以及信号线等.其主要功能是保证电池组在各项指标参数的安全区间内工作；提供电池信息供车辆控制需要；在特殊情况下采取措施,防止不正常的状态在各子系统之间蔓延；同时根据车辆需求,环境温度及电池状态决定电池组的充放电功率.电池管理技术是纯电动汽车技术构成的重要组成部分,同时也是电动汽车的三大关键技术之一[2].
目前,由于技术及制造工艺的限制,设计制造出适合纯电动汽车使用的单体电池较为困难.所以,目前技术较为成熟的纯电动汽车供电方式是由若干个至几十个单体电池串联而成的电池组供电.这样的供电方式,需要采集的电池信息量大,很难用集中式数据采集与管理方式实现.故采用如图2所示的分布式的电池管理系统实现电池的管理.
分布式的电池管理系统主要的管理方法是将串联的电池组整体分成若干组,每组包含单体电池的数量是相同的,一个本地控制单元管理一组电池.单体电池电压和温度采集、电池故障信息的检测以及电池单体电压不一致的均衡控制等功能都是通过本地控制单元来实现的,同时,本地控制单元还具有通过内部与电池组管理单元相连的 CAN 总线网络将数据上传到电池组管理单元中的功能.除此之外,采集电池整体的电压和电流信息以及接受内部 CAN 总线数据实现故障检测和报警,接收来自电动车整车控制器的信息实现对电池充放电的电气控制等功能是由电池组管理单元实现的.
根据FHA的工作要求,列出电池管理系统的功能清单,如表1所示.
电池组在充放电过程中电池电压和输出电压的采集即是整体电压采集功能,其目的是为了检测电池组电压变化状态,进而描述电池放电过程中输出电压特性,为故障诊断及电池预充电提供参考.电流的采集功能能够动态实现电池充放电过程流经母线的电流的采集,主要用于描述动态过程中电流的变化特性,电池剩余电量（SOC）的估计过程及电池过流保护过程等.
电池均衡功能是指电池管理系统会根据采集到的电压数据信息,通过一定的算法以判断单体电池电压是否存在不一致性.如果存在,则补充能量至电压低的单体,对电压高的单体采取释放能量的措施,从而保证电池单体之间电压的一致性. 电气隔离功能是指实现具有强电的电动汽车动力高压系统和具有弱电的电池管理系统供电之间的不共地,即强弱电之间的隔离.绝缘电阻的检测功能主要通过绝缘检测电路来计算高压母线相对于汽车车身搭铁的电阻情况来实现的,以此来分析动力电池母线的绝缘状况.
电池的故障诊断及报警功能是指电池组管理单元根据得到由本地控制单元采集到的电池单体电压和温度信息等电池故障相关信息及故障信息的定义,对电池故障进行诊断的功能.一旦确定为故障立即通过声光报警等形式向驾乘或维修人员报警.
总线收发数据的功能是指本地控制单元可以通过内部总线向电池组管理模块上传数据,同时电池组管理模块可以向外部总线发送分析得到的数据,完成检测电池状态信息以及控制电池充放电等功能[3].
电气控制功能是指对电池充放电过程中电池组管理单元对继电器控制以及相关的保护措施,主要实现对电池充放电控制功能.
3.功能故障状态识别及风险评价
在功能故障模式识别中应该根据功能清单逐层分析,做到不重不漏.本过程可以利用功能故障树（FFTA）分析方法,演绎功能故障发生的机理,FFTA使用方法在参考文献中有详细讲解,本文将不再赘述.
在分析得到功能故障状态清单以后,运用风险评价矩阵（RAC）,结合故障状态发生的概率及发生的后果得到风险等级,作为安全性分配设计的依据.
风险发生的概率（L1、L2、L3、L4、L5）一般可按照历史上真实发生的频次或概率、已有科研数据或生产者的经验等来确定.可定性为不可能发生、很少发生、偶然发生、经常发生或频繁发生.
风险发生的后果（S1、S2、S3、S4、S5）一般可按对产品本身,驾乘人员及环境产生的危害来进行划分.可定性分为可忽略的、轻微的、中度的、严重的或灾难性的.
鉴于文章篇幅的原因,本文仅分析高温故障报警功能的故障状态及风险评价,其他功能的分析过程与其相同.FHA表如表2.
从以上FHA表中,可以清晰地看到“温度达到安全上限未能及时报警”功能故障状态风险等级达到了“Ⅰ”级,既最高级.高温故障报警功能属于安全关键功能.在安全性分配及设计中应优先保证该功能的实现,及相关安全措施的及时正确动作.
4.结论
近几年来,我国政府出台了多项政策以促进新能源汽车产业的发展.作为新能源汽车的重要组成部分,纯电动汽车在技术及规模上得到了很大的发展.本文对功能危险方法进行了介绍及研究,并将其用在了纯电动汽车电池管理系统（BMS）的功能设计中,得到了得出电池管理系统的安全关键功能,为其安全性分配及设计提供依据.