3. BMS系统概述
电池管理系统（Battery Management System，BMS）是动力电池包的“大脑”与“神经中枢”。在功能安全软件开发视角下，BMS 不仅要完成电量、健康、功率等状态估计，还要在过压、过流、过温、绝缘失效等危险发生时，及时进入安全状态。理解 BMS 的架构、核心功能及其与整车、电池包的接口关系，是后续 HARA、安全目标与安全机制设计的基础。
一、BMS 的典型架构
当前车用 BMS 普遍采用“主从式”分层架构：主控单元（BMU/BCU）负责策略计算、状态估计、整车通信与故障管理；从控单元（BMC/CSC）贴近电芯，负责电压采集、均衡执行与本地温度测量。两者之间通过 CAN、菊花链或隔离 SPI 通信。高压侧还包含电流采集、绝缘监测、继电器控制等模块。
- 主控层：SOC/SOH/SOP 估算、继电器控制、故障诊断、整车 CAN 通信、安全状态管理。
- 从控层：单体电压采集、均衡开关驱动、模组温度采集、采样通道诊断。
- 高压采集层：总电流、总电压、绝缘电阻、高压互锁（HVIL）监测。
- 执行层：主正/主负继电器、预充继电器、加热/冷却执行器、均衡电阻或主动均衡电路。
二、核心功能：SOC、SOH、SOP、均衡与热管理
BMS 的核心功能可归纳为“三估计、两管理、一保护”。三估计指 SOC、SOH、SOP；两管理指均衡管理与热管理；一保护指故障诊断与安全保护。
| 功能 | 含义 | 典型输入 | 典型输出 | 安全相关性 |
|---|---|---|---|---|
| SOC | 荷电状态，剩余电量百分比 | 电流、电压、温度、历史积分 | SOC 值、可用能量 | 过高/过低误判导致过充过放 |
| SOH | 健康状态，容量与内阻衰减程度 | 满充容量、内阻、循环次数 | SOH 百分比、寿命预警 | 衰减误判影响功率与安全边界 |
| SOP | 功率状态，当前可充放电功率限值 | SOC、温度、电压、内阻 | 最大充电/放电功率 | 限值过大导致过流过热 |
| 均衡 | 减小单体间电压/电量差异 | 单体电压、温度、均衡策略 | 均衡开关指令 | 均衡失效加剧不一致与热失控风险 |
| 热管理 | 控制电池工作在适宜温度区间 | 模组温度、环境温度、车速 | 加热/冷却请求、风扇/水泵控制 | 热失控预警与降温执行 |
三、与整车及电池包的接口关系
BMS 处于整车与电池包之间，是能量流、信息流与控制流的交汇点。与整车的接口主要包括：CAN 通信（功率请求、上下电、故障等级、充电握手）、硬线接口（钥匙信号、充电确认、HVIL）、以及继电器控制回读。与电池包的接口则包括：电压/温度采样线束、均衡驱动线束、高压继电器控制与状态回读、加热/冷却执行器接口、维修开关状态等。
接口设计要点：采样通道需具备断线、短路、对地/对电源短路诊断；继电器控制需具备回读校验；通信需具备超时与 E2E 保护；高压互锁需在连接断开时快速切断高压。
四、典型场景与误区复盘
以“快充过程中 SOC 跳变”为例：若电流采样存在零漂，安时积分会累积误差，导致 SOC 在充电末端突然跳变，BMS 可能提前请求降流或误判过充。功能安全视角下，需要为电流采样设计冗余或合理性校验，并在 SOC 异常时进入降级模式。
常见误区：把 SOC 精度当作唯一指标，忽视 SOH 与 SOP 的耦合影响；只关注主控软件，忽视从控采样通道的共因失效；接口定义只写信号名，不写超时、默认值与安全状态。
在后续功能安全开发中，BMS 架构决定了安全机制的分布：主控负责全局安全状态与整车协调，从控负责采样通道的本地诊断，高压采集模块负责绝缘与互锁监测。只有把架构、功能与接口关系梳理清楚，才能准确识别危害事件并分配 ASIL 等级。