一種鋰電BMS四級報警系統的設計

龐 昆

（上海邁翀電子科技有限公司，上海 201800）

0 引 言

《巴黎協定》的簽署，進一步提高了國際社會對氣候變化的認識。各國對新能源發展的扶持力度不斷增大，尤其在汽車領域。燃料電動汽車、純電動汽車以及超級電容汽車快速進入大眾視野[1]。目前，被大眾所熟知的純電動汽車、商用儲能以及家用儲能中大規模使用鋰電池，但引入的電池存在壽命短、穩定性差、安全性差甚至爆炸等嚴重問題，這是有待解決的緊迫議題。因此，提供具備監控、管理、預警以及基本保護功能的電池管理系統是各相關企業研究的重點內容[2]。本文側重探討BMS系統中的數據監控、報警、報警后的處理以及報警任務監控等重要軟件模塊是否一直處于穩定運行中，以期提高鋰電系統運行的安全性和可靠性。

1 系統組成及模塊化框圖

BMS軟件系統框圖如圖1所示。本文重點討論報警監控和執行處理這兩個模塊的部分工作，并智能監控各重要軟件模塊的運行。在報警監控模塊中，需要使用數據采集模塊和其他相關模塊得到的數據，在綜合處理后得到預警的結果。而執行模塊則是使用報警模塊和狀態估算模塊的結果，控制各繼電器和充放電的進程等，防止過充過放、高低溫時仍大功率運行以及嚴重問題發生時不能及時切斷等問題。此外，還要防止出現諸如報警模塊等重要軟件模塊失效仍在盲目運行的現象，從而達到安全穩定運行和延長電池使用壽命的目的。

圖1 BMS軟件系統框圖

2 可標定四級報警的實現策略

對應BMS來講，報警監控模塊是利用監控模塊所得的各種基礎數據，并依據系統當前的運行狀態，綜合分析而得出的一些可供其他系統模塊，如通知預警、狀態估算、診斷以及保護執行等使用的警告狀態[3-4]。本設計相對常見的三級報警系統，增加了致命警告這一等級，形成了如圖2所示的四級報警系統。在第四級報警中，主要是在以往BMS三級報警系統基礎上，進一步輪詢監控單壓過高/過低和溫度過高/過低這個4個警告結果，即二級監控這4個對電池安全至關重要的監測值。若出現異常則立即做出強制切斷和降低充放電電流等必要處理。這4個警告的標定閾值均大于對繼電器進行正常延時切斷的嚴重報警閾值。該致命警告等級存在的目的是防止因未知異常導致的三級報警失效、系統仍在繼續充放電、（電動汽車時存在的）回饋以及外界溫度過高/過低時繼續運行等嚴重安全隱患，強化了系統的保護能力。

圖2 四級報警劃分

可標定的閾值，使得該軟件設計方案可方便靈活地運用在不同配置的系統上。各個報警項可通過標定值來配置為是否支持，每個報警不同等級的觸發條件也可通過標定值來改變。此外，標定上位機軟件和該設計方案可以檢測當前的標定值是否有效，防止因錯誤操作等將標志值設置錯誤而引入的一些安全隱患。

標定時要注意是否帶符號和單位，是否在合理的范圍內，還要注意充放電的場景等細節。本設計方案使用C#編寫的上位機標定程序界面的截圖如圖3所示。

圖3 上位機標定程序界面

3 基于SHA256的智能問答式軟件運行監控策略

由于普通看門狗（watchdog）的處理方式一般是定時刷新，因此當報警監控等模塊發生異常，運行時斷時續時，很難判斷報警任務和其他重要任務是否仍在實時運行。這就給整個系統帶來了較大的潛在安全隱患，可能使各種高性能的傳感器和其他設計優良的軟硬件模塊成為擺設。因此，本方案提出了一種基于SHA256哈希加密算法，通過智能問答來確保能發現Watchdog任務和報警監控任務以及其他重要任務之間的工作狀態。智能問答功能框圖如圖4所示。

圖4 智能問答功能框圖

這里通過看門狗所在任務前，必須通過由Watchdog任務給出問題，監控報警等重要任務們回答的方式來確認重要任務的運行是否正常。因SHA256散列算法的特性，只要S0不重復，則給出的Hash結果Sr也不會重復，那么當某個重要任務運行異常時，該重要任務也不可能給出匹配的結果[5]。若出題方Watchdog任務自身發生異常，則Watchdog不會被refresh，從而發生系統重啟。這也是將更新S0動作和比對Hash結果的動作放在該任務的原因。

哈希算法可以將任意一串數據通過計算生成一個長度固定的數據[4]。SHA256是哈希算法的一種，其Hash結果的長度為256 bit。之所以選擇SHA256是因為MD5和SHA-1曾被暴力碰撞破解，而SHA-2中數字越大的算法產生的結果越長，防止暴力破解的安全性越高，但運算速度也越慢。因此本方案綜合選擇SHA256算法，可滿足當前和未來一段時間的需求。

3.1 問答周期的設定

SHA256計算相對耗時，在此設置為2 s，Watchdog設置為10 s重啟。連續兩次發生錯誤后，設定不刷新監視器，引導其他模塊進行后續關機前處理，如數據存儲、降流、安全提示以及有序切斷保護等。

3.2 字符串S0的選取

字符串S0的選取條件為不可產生連續多個完全重合的字符串組合，避免回答問題一方“蒙對”結果。本方案中，將下面的數據按順序疊加一起共12字節。4字節精度為1 s的RTC時間、用系統tick做隨機因子和系統函數rand（）產生的4字節的隨機結果、2字節的單體最高電壓以及2字節的單體最低電壓。

上述組合中，問答周期為2 s而RTC精度為1 s。因此RTC和系統tick（大部分MCU都可配置為1 ms精度）的存在可以得到保證，不會有連續重疊的字符串組合S0。由于單體電壓是實時ADC采集的，因此在整機系統的運行中，引入的兩個單體電壓也是相對連續變化的變量，且有低精度的誤差跳動性，從而進一步增加了數據的離散型。

4 報警后的保護處理建議

報警后的安全執行策略不在本文的重點討論范圍內。本文綜合計算出的各種警告結果，將按照等級用于聲/光/電/顯示屏幕的預警報警、SOP的估算（降低充放電電流和跛行）、SOC/SOE的估算修正、充電/放電/加熱繼電器的控制、主被動均衡以及故障存儲，為以后診斷行為存儲重要數據。

智能問答連續2次失敗后建議上報上級系統，發生“軟件運行異常”故障，立即保存各重要數據，擇機降流，延時4 s切斷繼電器，并在1 s后重啟。即總時間控制在Watchdog重啟前，主動有序完成重啟。

5 測試與驗證

根據以上兩個策略實現的BMS報警模塊和智能問答式監控任務運行模塊合入原有BMS軟件系統中，使用測試臺對其進行對比測試。測試臺示意框圖如圖5所示。

進行四級報警及可標定測試時，使用圖5測試臺和圖3上位機標定該BMS軟件系統。經多輪標定及測試，監控顯示器中可得到各警告結果，且同標定結果一致。

圖5 測試臺示意框圖

第四級報警的有效性測試中，故意移除前三級報警，僅保留第四級報警。監控顯示器中第四級報警可被觸發，并立即切斷繼電器等必要安全保護動作。而原BMS系統在移除這四個報警的前三級報警后，將不再識別這4種故障的任何級別，且不會進行必要的保護。因此該第四級報警的實現，強化了對單壓過高過低、溫度過高過低的保護。

對于智能問答式監控軟件運行狀態的測試，在新方案BMS軟件系統和原BMS軟件系統中，修改代碼使報警任務均運行120 s后停止。并在120 s后，將“單壓高”調解至二級報警。此時，原方案中一直未出現“單壓高”二級警告，BMS一直處于無故障運行狀態，而新方案中也一直未出現“單壓高”二級警告，在約124 s時BMS提示“軟件運行異常”，在約128 s后BMS切斷各繼電器，約129 s后BMS重啟，該結果同預期結果一致。同理使用其他報警進行此類比對測試，發現結果也都一致。

6 結 論

本設計可有效綜合分析監控采集模塊采集的各種數據，得到可被其他模塊使用的四級警告結果，為后續執行模塊的保護動作和正常運行提供了可靠依據。第四級致命警告的引入，進一步加強了電池系統的安全性。而基于SHA256的智能問答策略，為軟件系統的安全有序運行提供了保證，可有效避免如報警模塊等重要軟件模塊運行異常的現象。此外，該設計為整個BMS系統的安全可靠運行提供了保障，且設計方案中的兩個實現策略，均可運用于其他軟件系統。