龐 昆

（上海邁翀電子科技有限公司，上海 201800）

0 引 言

《巴黎協(xié)定》的簽署，進一步提高了國際社會對氣候變化的認識。各國對新能源發(fā)展的扶持力度不斷增大，尤其在汽車領域。燃料電動汽車、純電動汽車以及超級電容汽車快速進入大眾視野[1]。目前，被大眾所熟知的純電動汽車、商用儲能以及家用儲能中大規(guī)模使用鋰電池，但引入的電池存在壽命短、穩(wěn)定性差、安全性差甚至爆炸等嚴重問題，這是有待解決的緊迫議題。因此，提供具備監(jiān)控、管理、預警以及基本保護功能的電池管理系統(tǒng)是各相關企業(yè)研究的重點內容[2]。本文側重探討B(tài)MS系統(tǒng)中的數(shù)據(jù)監(jiān)控、報警、報警后的處理以及報警任務監(jiān)控等重要軟件模塊是否一直處于穩(wěn)定運行中，以期提高鋰電系統(tǒng)運行的安全性和可靠性。

1 系統(tǒng)組成及模塊化框圖

BMS軟件系統(tǒng)框圖如圖1所示。本文重點討論報警監(jiān)控和執(zhí)行處理這兩個模塊的部分工作，并智能監(jiān)控各重要軟件模塊的運行。在報警監(jiān)控模塊中，需要使用數(shù)據(jù)采集模塊和其他相關模塊得到的數(shù)據(jù)，在綜合處理后得到預警的結果。而執(zhí)行模塊則是使用報警模塊和狀態(tài)估算模塊的結果，控制各繼電器和充放電的進程等，防止過充過放、高低溫時仍大功率運行以及嚴重問題發(fā)生時不能及時切斷等問題。此外，還要防止出現(xiàn)諸如報警模塊等重要軟件模塊失效仍在盲目運行的現(xiàn)象，從而達到安全穩(wěn)定運行和延長電池使用壽命的目的。

圖1 BMS軟件系統(tǒng)框圖

2 可標定四級報警的實現(xiàn)策略

對應BMS來講，報警監(jiān)控模塊是利用監(jiān)控模塊所得的各種基礎數(shù)據(jù)，并依據(jù)系統(tǒng)當前的運行狀態(tài)，綜合分析而得出的一些可供其他系統(tǒng)模塊，如通知預警、狀態(tài)估算、診斷以及保護執(zhí)行等使用的警告狀態(tài)[3-4]。本設計相對常見的三級報警系統(tǒng)，增加了致命警告這一等級，形成了如圖2所示的四級報警系統(tǒng)。在第四級報警中，主要是在以往BMS三級報警系統(tǒng)基礎上，進一步輪詢監(jiān)控單壓過高/過低和溫度過高/過低這個4個警告結果，即二級監(jiān)控這4個對電池安全至關重要的監(jiān)測值。若出現(xiàn)異常則立即做出強制切斷和降低充放電電流等必要處理。這4個警告的標定閾值均大于對繼電器進行正常延時切斷的嚴重報警閾值。該致命警告等級存在的目的是防止因未知異常導致的三級報警失效、系統(tǒng)仍在繼續(xù)充放電、（電動汽車時存在的）回饋以及外界溫度過高/過低時繼續(xù)運行等嚴重安全隱患，強化了系統(tǒng)的保護能力。

圖2 四級報警劃分

可標定的閾值，使得該軟件設計方案可方便靈活地運用在不同配置的系統(tǒng)上。各個報警項可通過標定值來配置為是否支持，每個報警不同等級的觸發(fā)條件也可通過標定值來改變。此外，標定上位機軟件和該設計方案可以檢測當前的標定值是否有效，防止因錯誤操作等將標志值設置錯誤而引入的一些安全隱患。

標定時要注意是否帶符號和單位，是否在合理的范圍內，還要注意充放電的場景等細節(jié)。本設計方案使用C#編寫的上位機標定程序界面的截圖如圖3所示。

圖3 上位機標定程序界面

3 基于SHA256的智能問答式軟件運行監(jiān)控策略

由于普通看門狗（watchdog）的處理方式一般是定時刷新，因此當報警監(jiān)控等模塊發(fā)生異常，運行時斷時續(xù)時，很難判斷報警任務和其他重要任務是否仍在實時運行。這就給整個系統(tǒng)帶來了較大的潛在安全隱患，可能使各種高性能的傳感器和其他設計優(yōu)良的軟硬件模塊成為擺設。因此，本方案提出了一種基于SHA256哈希加密算法，通過智能問答來確保能發(fā)現(xiàn)Watchdog任務和報警監(jiān)控任務以及其他重要任務之間的工作狀態(tài)。智能問答功能框圖如圖4所示。

圖4 智能問答功能框圖

這里通過看門狗所在任務前，必須通過由Watchdog任務給出問題，監(jiān)控報警等重要任務們回答的方式來確認重要任務的運行是否正常。因SHA256散列算法的特性，只要S0不重復，則給出的Hash結果Sr也不會重復，那么當某個重要任務運行異常時，該重要任務也不可能給出匹配的結果[5]。若出題方Watchdog任務自身發(fā)生異常，則Watchdog不會被refresh，從而發(fā)生系統(tǒng)重啟。這也是將更新S0動作和比對Hash結果的動作放在該任務的原因。

哈希算法可以將任意一串數(shù)據(jù)通過計算生成一個長度固定的數(shù)據(jù)[4]。SHA256是哈希算法的一種，其Hash結果的長度為256 bit。之所以選擇SHA256是因為MD5和SHA-1曾被暴力碰撞破解，而SHA-2中數(shù)字越大的算法產生的結果越長，防止暴力破解的安全性越高，但運算速度也越慢。因此本方案綜合選擇SHA256算法，可滿足當前和未來一段時間的需求。

3.1 問答周期的設定

SHA256計算相對耗時，在此設置為2 s，Watchdog設置為10 s重啟。連續(xù)兩次發(fā)生錯誤后，設定不刷新監(jiān)視器，引導其他模塊進行后續(xù)關機前處理，如數(shù)據(jù)存儲、降流、安全提示以及有序切斷保護等。

3.2 字符串S0的選取

字符串S0的選取條件為不可產生連續(xù)多個完全重合的字符串組合，避免回答問題一方“蒙對”結果。本方案中，將下面的數(shù)據(jù)按順序疊加一起共12字節(jié)。4字節(jié)精度為1 s的RTC時間、用系統(tǒng)tick做隨機因子和系統(tǒng)函數(shù)rand（）產生的4字節(jié)的隨機結果、2字節(jié)的單體最高電壓以及2字節(jié)的單體最低電壓。

上述組合中，問答周期為2 s而RTC精度為1 s。因此RTC和系統(tǒng)tick（大部分MCU都可配置為1 ms精度）的存在可以得到保證，不會有連續(xù)重疊的字符串組合S0。由于單體電壓是實時ADC采集的，因此在整機系統(tǒng)的運行中，引入的兩個單體電壓也是相對連續(xù)變化的變量，且有低精度的誤差跳動性，從而進一步增加了數(shù)據(jù)的離散型。

4 報警后的保護處理建議

報警后的安全執(zhí)行策略不在本文的重點討論范圍內。本文綜合計算出的各種警告結果，將按照等級用于聲/光/電/顯示屏幕的預警報警、SOP的估算（降低充放電電流和跛行）、SOC/SOE的估算修正、充電/放電/加熱繼電器的控制、主被動均衡以及故障存儲，為以后診斷行為存儲重要數(shù)據(jù)。

智能問答連續(xù)2次失敗后建議上報上級系統(tǒng)，發(fā)生“軟件運行異?！惫收希⒓幢４娓髦匾獢?shù)據(jù)，擇機降流，延時4 s切斷繼電器，并在1 s后重啟。即總時間控制在Watchdog重啟前，主動有序完成重啟。

5 測試與驗證

根據(jù)以上兩個策略實現(xiàn)的BMS報警模塊和智能問答式監(jiān)控任務運行模塊合入原有BMS軟件系統(tǒng)中，使用測試臺對其進行對比測試。測試臺示意框圖如圖5所示。

進行四級報警及可標定測試時，使用圖5測試臺和圖3上位機標定該BMS軟件系統(tǒng)。經多輪標定及測試，監(jiān)控顯示器中可得到各警告結果，且同標定結果一致。

圖5 測試臺示意框圖

第四級報警的有效性測試中，故意移除前三級報警，僅保留第四級報警。監(jiān)控顯示器中第四級報警可被觸發(fā)，并立即切斷繼電器等必要安全保護動作。而原BMS系統(tǒng)在移除這四個報警的前三級報警后，將不再識別這4種故障的任何級別，且不會進行必要的保護。因此該第四級報警的實現(xiàn)，強化了對單壓過高過低、溫度過高過低的保護。

對于智能問答式監(jiān)控軟件運行狀態(tài)的測試，在新方案BMS軟件系統(tǒng)和原BMS軟件系統(tǒng)中，修改代碼使報警任務均運行120 s后停止。并在120 s后，將“單壓高”調解至二級報警。此時，原方案中一直未出現(xiàn)“單壓高”二級警告，BMS一直處于無故障運行狀態(tài)，而新方案中也一直未出現(xiàn)“單壓高”二級警告，在約124 s時BMS提示“軟件運行異常”，在約128 s后BMS切斷各繼電器，約129 s后BMS重啟，該結果同預期結果一致。同理使用其他報警進行此類比對測試，發(fā)現(xiàn)結果也都一致。

6 結 論

本設計可有效綜合分析監(jiān)控采集模塊采集的各種數(shù)據(jù)，得到可被其他模塊使用的四級警告結果，為后續(xù)執(zhí)行模塊的保護動作和正常運行提供了可靠依據(jù)。第四級致命警告的引入，進一步加強了電池系統(tǒng)的安全性。而基于SHA256的智能問答策略，為軟件系統(tǒng)的安全有序運行提供了保證，可有效避免如報警模塊等重要軟件模塊運行異常的現(xiàn)象。此外，該設計為整個BMS系統(tǒng)的安全可靠運行提供了保障，且設計方案中的兩個實現(xiàn)策略，均可運用于其他軟件系統(tǒng)。