3. BMS 系统概述
电池管理系统（Battery Management System，BMS）是动力电池包的“神经中枢”，它并不直接产生动力，却决定了电池能否被安全、可靠、高效地使用。在 HARA 与安全目标开发中，BMS 既是被分析的对象，也是安全机制的执行主体。理解 BMS 的架构分层、核心功能、拓扑形态以及典型安全场景，是后续识别危害、定义 ASIL 等级和导出安全目标的前提。
一、BMS 的架构分层
从工程实现看，BMS 通常采用“主从式”分层架构，由顶层控制单元、底层采集单元和高压执行单元协同工作。顶层负责策略运算与整车通信，底层负责电芯级数据采集与均衡，高压执行单元负责继电器、预充和绝缘监测等安全动作。
- BMU（Battery Monitoring Unit）：贴近模组布置，采集单体电压、模组温度，执行被动或主动均衡。
- BCU/BMU 主控（Battery Control Unit）：汇总数据，估算 SOC、SOH、SOP，运行故障诊断与安全策略。
- 高压执行单元：主正/主负继电器、预充继电器、电流传感器、绝缘监测模块。
- 通信接口：CAN/CAN FD 与整车控制器 VCU 交互，部分场景使用菊花链或私有隔离通信。
二、核心功能与安全职责
BMS 的功能可归纳为“测量—估算—保护—通信”四条主线。测量是基础，估算决定可用边界，保护是安全底线，通信则把状态传递给整车。下表列出核心功能及其对应的安全相关性。
| 功能模块 | 典型输入 | 典型输出 | 安全相关性 |
|---|---|---|---|
| 电压/温度采集 | 电芯模拟量 | 单体电压、模组温度 | 过压、欠压、过温判断依据 |
| SOC/SOP 估算 | 电流、电压、温度 | 剩余电量、可用功率 | 防止过充过放与动力中断 |
| 继电器控制 | 上下电指令、故障标志 | 主正/主负/预充通断 | 高压安全与防粘连 |
| 绝缘监测 | 高压对地电阻 | 绝缘电阻值、报警 | 防触电、防短路起火 |
| 故障诊断与降级 | 各模块状态 | 故障等级、限功率/断高压 | 危害控制与安全状态迁移 |
三、典型拓扑形态
拓扑选择直接影响通信可靠性与失效传播路径。集中式 BMS 将采集与主控集成在一块板卡上，成本低、体积小，但线束复杂，适合小容量电池包。分布式 BMS 将 BMU 分散到模组，主控独立，采样线短、抗干扰好，是当前主流。半分布式则介于两者之间，常用于商用车或储能场景。
集中式： [电芯] → 长采样线束 → [BMS 主板] → CAN → VCU
分布式： [模组1]→BMU1 ┐
[模组2]→BMU2 ├→ 菊花链/CAN → [BCU] → CAN → VCU
[模组n]→BMUn ┘
半分布式：[模组组]→采集板 → [主控板] → CAN → VCU四、安全相关应用场景
BMS 的安全场景贯穿行车、充电和静置全过程。典型场景包括：行车中过流导致继电器粘连风险；快充时过充引发热失控；碰撞后高压未及时断开导致触电；低温下充电析锂；绝缘下降引发漏电。每个场景都对应可识别的危害事件与可测量的安全状态。
- 行车场景：急加速大电流、SOC 跳变、SOP 误判导致动力中断。
- 充电场景：快充过充、充电枪锁止异常、充电通信超时。
- 碰撞场景：碰撞信号触发断高压、继电器粘连检测。
- 静置场景：绝缘监测、热失控预警、休眠唤醒异常。
五、从架构到 HARA 的衔接
理解 BMS 架构后，HARA 才能落到具体对象：BMU 采样失效对应“电压监测失真”，BCU 估算错误对应“SOC 误报”，高压执行单元失效对应“无法断开高压”。这些失效模式正是危害事件分析的起点，也是后续 ASIL 定级与安全目标导出的输入。下一阶段将围绕这些对象展开危害识别与风险评估。