[发明专利]一种多安全模式的电池管理系统及其设计方法

说明书

本发明公开了一种多安全模式的电池管理系统，包括电池组、前端芯片、主控MCU、辅助MCU、CAN接口、逻辑运算器、驱动器、系统基础芯片、外部接口和继电器，主控MCU和辅助MCU均通过菊花链通信线与前端芯片连接，主控MCU和辅助MCU连接，且主控MCU和辅助MCU均与CAN接口连接；主控MCU、逻辑运算器和外部接口均与系统基础芯片连接；逻辑运算器和外部接口均与驱动器连接，电池组和外部接口均与继电器连接；相对现有的设计电池管理系统，本发明在前端芯片具备ASIL‑D的架构上改进，对功能安全的设计具有更高的自由度。

技术领域

本发明涉及动力电池领域，具体涉及一种多安全模式的电池管理系统及其设计方法。

背景技术

随着功能安全标准ISO26262的发布和推广，针对动力电池或储能电池系统中采用电池管理系统也需要进行符合功能安全等级的设计。功能安全覆盖QM(QualityManagement，质量管理等级，比ASIL-A还要低的等级)、ASIL-A(汽车安全完整性等级，AUTOSAFETY INTEGRITY LEVEL)、ASIL-B、ASIL-C和ASIL-D五个等级，但是，现阶段电池管理系统量产的产品均是按照非功能安全标准的开发，在设计开发过程，对产品的功能安全方面的分析考虑不够系统。在功能安全标准导入新的产品过程当中，电池管理系统一般按照ASIL-C等级进行要求，这会导致此方案实现的电池管理系统，在功能安全方面存在以下缺陷：(1)没有系统化考虑电池管理系统实际面对的应用环境多样性特点，不同车型在不同的应用场景下会有不同的功能安全等级要求；(2)电池管理系统作为新能源汽车的动力电池系统重要ECU(Electronic Control Unit，电子控制单元)单元，对电池系统的安全和整车的质量保证有重大作用，功能安全考虑欠缺时可能产生安全生产方面的隐患；(3)目前以ASIL-C为目标的功能安全开发的电池管理系统，存在功能安全适应性差的情况，在面对更高功能要求的系统时，就不适应车辆的需求。

发明内容

本发明解决的技术问题是提供一种多安全模式的电池管理系统，解决现有实现的电池管理系统在功能安全方面存在缺陷的问题。

为解决上述技术问题，本发明的技术方案是：一种多安全模式的电池管理系统，包括电池组、前端芯片、主控MCU、辅助MCU、CAN接口、逻辑运算器、驱动器、系统基础芯片、外部接口和继电器，主控MCU和辅助MCU均通过菊花链通信线与前端芯片连接，主控MCU和辅助MCU连接，且主控MCU和辅助MCU均与CAN接口连接；主控MCU、逻辑运算器和外部接口均与系统基础芯片连接；逻辑运算器和外部接口均与驱动器连接，驱动器、电池组和外部接口均与继电器连接；主控MCU和辅助MCU均与逻辑运算器连接。

优选的，前端芯片至少设置两个。

优选的，前端芯片上设有故障线，故障线一端连接前端芯片，故障线的另一端连接主控MCU。

优选的，前端芯片包括外部模组电压测量模块、内部模组电压测量模块、单体温度测量模块、单体电压测量模块、单体冗余电压测量模块、单体电压硬件监控模块、温度硬件监控模块、采集信号与安全机制模块、芯片电源安全机制模块、通信安全机制模块、芯片其他内部诊断模块、硬件安全管理模块、硬件告警接口和菊花链接口，外部模组电压测量模块、内部模组电压测量模块、单体温度测量模块、单体电压测量模块和单体冗余电压测量模块均与采集信号与安全机制模块连接；采集信号与安全机制模块分别与通信安全机制模块和硬件安全管理模块连接，芯片电源安全机制模块、通信安全机制模块和芯片其他内部诊断模块均与硬件安全管理模块连接；单体电压硬件监控模块、温度硬件监控模块和硬件安全管理模块均与硬件告警接口连接；通信安全机制模块和菊花链接口连接。

优选的，菊花链接口包括菊花链上行接口和菊花链下行接口，硬件告警接口包括告警上行接口和告警下行接口。

优选的，通信安全机制模块至少包括CRC机制模块、计数机制模块和超时监控机制模块。