关于电池管理系统安全探讨

图为北京科易动力科技有限公司副总经理华剑锋

2016年11月26日—27日，百人会·清华大学新能源汽车产业高层研修班第三期四次课程在清华大学开课。目前，我国自主研发的核心零部件缺失，尚未形成技术壁垒，成为新能源汽车发展的潜在危险。掌握核心技术，提高产品性能及安全性，才能形成具有国际竞争力的品牌，支撑产业持续发展的根本保障。因此，此次课程的主题定为“电动汽车核心技术突破与创新”。

高层研修班作为中国电动汽车百人会为汽车产业服务的一个重要平台，时刻关注着汽车产业的相关热点话题。目前第三期研修班已围绕动力电池、新能源汽车产业投融资、智能汽车与交通等热点问题举办了三次研修班课程。

此次课程，北京科易动力科技有限公司副总经理华剑锋为学员们带来了精彩的内容。

电池管理系统是电池系统里面很重要的零部件或电控系统，但是如果从整车和汽车电子角度看，电池管理系统是非常复杂的。它的整个研发体系、设计势必要跟汽车电子系统发展结合在一起，在研发和产品安全上也会有自己的特点，遵循汽车电子开发的一些规律、规范以及流程等。

汽车电子技术进展及趋势

来看一下近些年汽车电子技术的最新进展及发展趋势。

第一，汽车电子的传感器技术不断进步，各项性能得到不断的提高，在整车上的汽车电子传感器应用不断增加，特别是像高集成度的MEMS传感器，类似于角度、角速度、加速度都达到了集成化的程度。随着智能网联汽车和自动驾驶的热度不断提升，在汽车感知方面的传感器也越来越多，比如摄像头、毫米波特种、激光特种等。激光技术在电池系统安全方面的检测，也有一些探索，但暂时还不是很成熟。

第二，车用处理器这几年不断升级，多核的MCU已经成为发展的必然趋势之一。这主要是由两方面需求带来的结论，一方面是现在的算法，例如ABS、ESP等，这些汽车等级要求的实时控制算法，在底层和上层的分割上，按照标准的汽车电子软件架构对整个计算量的要求会越来越大。另一方面，来自于功能安全方面的要求，使得在处理器上必须考虑在整个处理器核心的安全监控，使得多核MCU的发展在这几年得到较大的进步。我们可以看到在早期的时候，多核MCU主要是以主CPU+FPU+TPU这种简单的结构，但是在现今，从功能安全架构上，比如Infineon多核处理器，除了有多个单独的计算核以外，还会有这种独立的锁步核来保证整个芯片构架上的功能安全。

第三，一些新型的数据总线及通讯技术日趋成熟，并且逐渐在汽车电子上得到使用。这也是随着智能网联汽车和自动驾驶带来的一些新的趋势。比如之前比较热的Flexray，已逐渐在一些高档车型上使用。这些不同网络架构的新技术，通过网关形成一个整体。这些网络的混合体形成了现在智能汽车的网络基础，随着车载以太网和4G网技术的不断发展，车联网未来的发展基础已经准备地非常好了。

第四，先进软件架构应用，在电子电气和软件方面，基于模型的开发及验证已经形成了非常完善的体系，为了保证汽车电子软件的安全，从架构上要符合AutoSAR的架构，满足ISO26262等开发体系的架构和流程，才能最终保证软件上的安全。

汽车电子技术在电池管理系统上的发展及应用

关于汽车电子技术进步在电池管理系统上的应用以及发展情况，简单向各位介绍一下。

首先是汽车的传感器集成，在车上，传感器覆盖了从整车安全、电池管理系统、电机，以及车门、车窗、BCM、ABS、ESP、EPS，类似这样的电子电控系统，有大量的处理器和传感器得到应用。目前，保证电动汽车安全是比较关键的，比如电池管理系统里单体电压的芯片，其实也是智能集成芯片的传感器。

关于这些年最主要的进步，还需要提一下的就是，单体电压测量的芯片。在早期，比如6801、6802这一系列的芯片在逐步应用的时候，实际上对于芯片级别的耐压的等级设计是比较低的。到今天，最新的6804或者Infineon的芯片耐压可以做到75-80V以上，对于我们整个由于耐压带来的损害问题都可以得到有效缓解。另外像ESD、静电和滥用的保护，在单体电压芯片的通道上发展也非常快。因此也对整个系统集成，特别是在实际应用当中，比如生产过程、装配过程，以及在现场匹配标定过程中的可靠性带来很大提高，我想如果是在电池管理系统方面升级上，大家可以着重地去考虑，更多提高在这方面的可靠性。另外一方面，单体电压的准确测量以及对过压的保护和及时地判断，其实对电池管理系统安全来说，说多重要都是不过分的。因此现在如果要达到ASIL-C或者D的要求，单体测量芯片上也必须进行相应的设计。这方面像从Infineon的Bali芯片上可以看到，在每一个通道上，相当于每一个独立的测量的通道上都放一个独立的ADC对电压进行采集，都是独立进行测量的。同时还有一个通用的ADC，这个通用的ADC能对每一个通道进行测量，一个是实时的校验，另外一个是在单体通道失效之后还可以有备用通道继续保证可以检测到比较准确的单体电压值，这是符合ASIL-D级别的设计架构。所以，功能安全上也是下一代单体测量芯片重点的发展方向。

此外，单体集成测量芯片在均衡方面的功能也有不少进步，所有芯片都开始引入休眠均衡技术，主要得益于汽车电子在低功耗方面的进展，使得现在的技术进步得到了可能。低功耗全天候的均衡是什么意思呢？现在的芯片里面有一个专门的均衡模块，当电池管理系统的BMU计算出均衡量需要多少的时候，可以把这个命令发到下面的CMU上，在整个电池管理系统完全断电的情况下，这个芯片仍然可以独立工作，进行均衡。在均衡的过程当中，可以提前算出均衡量的时间来进行工作，并且可以定时唤醒，设定几种条件触发，比如发现某个电池均衡之后突然欠压了，之后这块芯片就会发出唤醒命令，通过唤醒通道把主CPU唤醒，进行处理。定时的唤醒也可以使BMU对定时的效果进行检查，使得整个车辆全天候的均衡变成一个可能性。

全时、全天候均衡的意义是什么呢？大家可以想象一下，平时家用的汽车，一天开2-3小时，可能应该是普遍的时间，如果说均衡只能在车辆行驶的时候进行的话，实际上我可能只有两三个小时的均衡时间，如果我需要把电池的电量在一个时间内均衡回来的话，需要的均衡电流势必就比较大。假如24小时均衡的话，相当于我的均衡电流大概1/10就可以达到相同的均衡效果，这对提高整个系统的功能安全是非常有效的。

分享一下我个人的观点。均衡方面，不管是主动均衡还是非主动均衡，大电流的均衡实际上对整个电池管理系统安全是不太合理的，比如说经常听到有一些BMS10安培的均衡能力，或者20安培的均衡能力，听起来我心里挺害怕，这样的BMS出现安全问题带来的后果是非常严重的。全时均衡、全天候的均衡技术，可以使我们的均衡电流变小。

单体电压、电流的测量能力也是目前芯片技术发展的亮点，能够做到对单体电压测量的同时，进行一路电流的测量，而不需要增加新的测量通道，并且在芯片内部会自动通过电压和电流的同步特性，估算出电池的内阻。比如现在的BMS架构里面，电流测量和单体测量是分开的，分开就会导致第一个电流和单体电压的同步上会存在一定问题，现在大部分都是通过CAN总线来同步，实际上它的同步级别按照现在的总线通讯频率来说，可能也是在十毫秒的级别。第二是由于单体测量和电流测量分开之后，使得测量频率不能提太高。因此，在一些特别想对电池做频率分析和测量的时候，使这个可能性变得很差。

下一步的发展是要做到对单体电压的分析。对于整个芯片来说，例如某个芯片是测量14节电池的，在测量模式上，可能会在某一些时刻，在某一个时刻可能会关掉其他13节电池的通道，单独测量一节电池的通道，这样可以很高频率测量。现在最快可以做到两个微秒进行一次测量，这个频率已经足够去完成整个电池特性的分析了，这些都是我们未来技术的发展趋势。

另外，在电流电压传感器方面，隔离智能电流电压应用，应该也是后续进一步提高电流和电压测量精度的趋势之一。在采用超低温飘的分流电阻来保证有完整的电流精准，在板极的层次上对整个精密的电阻进行测试，同时能够满足非常严酷的汽车上的电池兼容的测试要求。在精密的电流电压传感器的基础上，才能做到电流同步测量的能力。因为不可能在每一个电池系统模块上都放一个特别精密的电阻，因此其实这些电流的来源都是来自于模块的电阻测量，在这一块需要有一个总的电流基准源去把整个电流的精度，通过分发式的方式逐步映射到每一个电池模块上，这一块既可以是得到多个电流的精确测量，也可以兼顾到整个Busbar连接的可靠性，同时也有多个电流测量的备份，这都是高功能安全的设计思路。

在热失控的温度测量上，也要注意跟传统温度测量的区别。比如现在大部分使用的电池管理系统，NTC的传感器都是零下40度到125度的范围，再往上的话可能就会出现问题。在热失控的过程中，整个温度快速上升的过程，实际上是要接近200度左右，然后继续上升。从我的观点来看，如果是要满足测量热失控范围内的传感器，就要满足到至少200度，因为现在很多传感器都是有固定安装式或者贴片式，中间会有耐压的树脂或者类似的材料，在高温的时候耐压会下降，会带来一些安全性上的问题。在热时间上也必须要做选择，现在一些温度传感器，热时间长度比较长，对传统的测量是问题不大的，因为温度是变化比较缓慢。但是，对于监测热失控来说，对热时间的选取是比较关键的考虑因素。此外，传感器的电路测量上，为了避免NTC的传感器温度越高，内阻越小，所以在内短路时，温度急剧上升时候电阻的表现，实际上和传感器短路的表现差不多的。如果是为了准确地测量出传感器到底是因为短路失效了还是热失控了，在匹配的温度传感器的测量接口上也必须使用这种自动匹配接口的ADC。但是，如果ADC的放大系数不变化的话，到了高温阶段之后，很难分辨出来到底是温度传感器短路了还是电池热失控了，因此在ADC里面会根据这个阻值不断调整，去匹配测量温度的大小，在每个阶段都可以把ADC的取值得到一个比较宽泛的范围，这样能够准确判断究竟是传感器失效了，还是热失控了，这也是我们需要关注的一个技术点。

车用多核处理器在电池管理系统中的应用

汽车级的多核处理器在这几年得到飞速发展，未来技术发展路线上，应该要能够满足多核复杂计算和校验的功能。大家可能会有一个疑问，处理器技术如此发展，是否会给电池管理系统成本带来很大的压力？实际上不是这样的，因为芯片技术发展也很快，在成本上来看，基本上比使用单核处理器还要便宜得多，因此在成本、趋势上来看，使用最新技术的多核处理器也是我们重要的趋势。

现在电池管理系统算法越来越复杂，基于手动编程的开发方法，已经不能满足现在的要求。因此，现在基本上都是基于模型的开发，在整个算法大的体系上面，其实主要是分为三个大块，主要是分为安全性的算法、动力性的算法和耐久性的算法。实际上，每一个算法的要求和计算能力的要求是不一样的，比如安全性算法来说，它对实时的要求是最高的，比如发现过压、欠压、过温或过热，在需要安全性算法能够实时地进行处理，计算的频率要高。并且安全性算法涉及到很多跟整车接口的东西，比如说单体数据的处理、整车的通讯，通讯也是保障整个安全很重要的一个硬件基础之一。

动力性是要求整个精度要高，比如像SOC、SOP、SOE计算方面，比如像SOC方面，计算量变大了，但是对于整个过程来说，我需要它能够不受干扰地做运算，在合适的时间内能够得到比较准确的结果，这是我们比较关注的一些内容。这一块算法的更新频率就会相对较低，对SOC、SOP、SOE的算法，可能在实验室进行不停地实验，对电池进行大量的测试和标定，然后建模，通过对模型之间的估计算法去得到准确的SOC的值。这一块算法可能对于大部分客户都是一样的，它不需要频繁地根据不同项目去进行更新。这一块更新频率比较低，但是对电芯的依赖程度提高很多，对算法的可靠性要求提高很多。

关于耐久性，主要涉及到电池，其实主要对能量型的电池容量的预估，其次是基于整个容量级别的均衡算法的结构。主要问题是辨识的问题，因此它的计算频率就更低了。例如，对SOH的估算，很有可能大部分时间都碰不上合适的时机输出结果，计算频率就更低了，更多要求的是准确地辨识出控制对象的特征。这块也是跟动力性算法是类似的，更新频率更低了，团队研发很长时间之后才会做一次更新。

对这三个算法来说，整个计算周期要求是不太一样的。安全性控制，要在10毫秒以内处理完所有单体的电压、电流，甚至绝缘电阻、总电压、电流的数据，来做出准确的判断，电池是否处于安全的情况，然后对整车进行汇报和联合控制。但是对SOC、SOP的估算过程中，我只需要50毫秒更新就可以了。对于耐久性来说，周期就不定了，因为电池现在都是要使用很长时间，我们对SOH的修正周期是不定的。

算法的开发

对于安全性开发来说，可能需要较大的团队来适应不同的整车厂、不同的客户、不同的项目，整个工作主要是以算法调试、匹配、标定为主，它跟项目的相关性相当高；对于动力性开发来说，团队建设上可能就需要熟悉电化学、材料的技术人员，对电池的测试数据进行相关的拟合、建模，以及得到最终合适的算法，它需要的团队其实并不是很多，因为对大部分项目来说，其实变化是不太大的。对耐久性开发来说，对电池的相关程度就更高了，可能需要一个长期的实验，比如对电池衰减老化的过程进行建模，探索一些自学习、自标定的复杂算法，这一块可能就要匹配一些比较高端的团队。这些算法的过程当中，从耐久性和安全性上，项目的相关度是逐渐提升的，但是算法的难度保密性也是反过来的。因此在开发上，特别希望把这三块开发结合，并且针对不同的应用能够得到我们合适的联合开发模式。

我们做到了这三个算法完整的解耦，并且独立运行在独立的处理器上。也就是说，对这三块算法，现在能够做到独立建模、独立开发、独立下载、独立验证，以及联合调试和联合验证的功能。换句话说，我的BMS在不同项目里面，对于处理安全性算法这一块的技术团队，它接触不到关于耐久性和动力性的内容。在整个程序的刷写、更新上可以独立对每个算法进行更新。

这一功能主要通过Simulink里的一个技术来实现，它是对于代码生成和编译的过程。这一块建立起来以后，能使程序在开发过程中考虑到几个不同核心之间算法的分配，又可以独立定义每一个Target在程序中的联合共享机制和开发模式，对现在的结构来说，每一个模块都是单独开发的，可以统一有一个。

在共享内存的机制上，现在主要涉及的是通过安全性算法的核来对外设进行管理，在对外设进行管理的同时，三个承担不同算法的独立处理器都具有独立的内存区和代码区，同时也可以通过共享内存来共享数据，也可以跨过共享内存去访问一个核的私有内存区。在这个结构下，对于整个体系安全来说，也可以达到一个比较高的程度，但是这个情况可能发生率就非常非常小。

另外两个LockStep主要是用来做核计算的验证，这个要求都是ASIL-D级别的要求，主要是两种校验模式，一种叫延迟的LockStep，就是我们把每一条CPU指令都延迟给到LockStep核，当它计算出来以后，和整个主核心计算延迟两个核进行比较，当比较一致之后，认为整个处理器是工作在正常的情况下。另外我们叫AntiLockStep，就是每一条指令都反向执行，执行完之后，每一条指令在CPU输出的结果都必须是相反的结果，才能够得到现在这个核工作在比较正常的情况下，这个都是LockStep另外两个核的应用。

在多核处理器平台上我们采用LockStep多核处理器，对电池管理系统来说，我个人觉得是一个必然的趋势，在这个过程当中，使用多核处理器平台也能够使得我们在算法方面、测试方面、开发方面得到很多益处，特别是在计算能力方面能够得到大量的提升，比如对SOC的拟合算法完全可以不受CAN总线打断的干扰，不需要受安全性实时控制的切断，它对提高对电量积分的精度也都有很大的好处。

电池管理系统的总线

电池管理系统的拓扑架构，有主控的BMU，BMU通过CAN总线连到每一个CMU上，通过CMU对每一节电池进行测量，进行均衡等工作。这样的结构我个人认为是比较适合于商用车，或者是整个分箱结构体积比较大，分布比较远的电池系统。因为CAN总线的电磁兼容性，以及作为总线的结构上来说，对于安全方面是有很好的基础的。另外对于商用车、客车这些结构，本地有很大的控制需求，例如热管理的需求、控制风扇、加热片、继电器等，因此使用这样的结构会使得CMU有能力处理一些本地的控制工作，使用CAN总线这个结构，势必这个地方要嵌入一个MCU，这个MCU可以用来干点其他的事情，比较适合本地的处理。

但是现在如果要保证实时安全，在安全性算法上要做到10个毫秒一个周期。可以简单计算一下，按照单体电压和温度的数据来算，实际上就算采用一兆比特每秒的波特率，对于CAN总线的负载率也会达到60%以上，这对于整个总线的压力是非常大的。传统CAN总线来说，一般控制CAN的负载率在30%以下才是稳定可靠，能够满足各种恶劣汽车电子要求的设计指标。因此，在这样的需求背景下，实际上CAN总线对数据交换来说是不够用的。另外对单体温度来说，是按照每一串一个单体温度来做计算的。这一点也是我们对电池管理系统安全上比较坚持的观点。

现在大家比较流行一种设计，做整个系统的热仿真，仿真后可以用几个温度传感器代表大部分电池的温度，这对降低成本来说是比较好的方案。但是面临三元电池，对于热失控的监控要求，对热失控第一时间的获取，实际上是达不到的。比如说电池系统里面150电池，如果只布置20个温度传感器，甚至有些电池管理系统就布置5个温度传感器，我个人觉得可能对整个电池系统安全来说是不够的。因此，在这样的数据处理周期下，现在开始应用一些CANFD的总线技术。其实CANFD总线技术是BOSCH2011年提出来了的，整个物理接口和CAN总线是兼容的，也采用同样的物理层。在2015年的时候，已经正式在11898标准里面得到了更新，因此它也是标准的CAN总线的协议接口。对我们来说，对之前的CAN总线的拓扑架构都不用变，只要采用一些新的收发器、新的CAN控制器，就能实现CANFD通讯。

其实CANFD通讯理解起来非常简单，在CAN总线通信当中，整个数据帧里面有八个字节是传数据的，在CANFD的技术里面，把这八个字节的数据速率提高了，速率最高可以提高8倍。在这样的情况下，现在内网数据采用了500K的基础，CAN通信速率和4兆的FD，现在整个满足10个毫秒以内的整个数据传送的负载率下降了15%左右，是非常稳定的CAN总线结构。

BMS的拓扑架构

另外一种拓扑架我也想和大家一起探讨，就是关于DaisyChain菊花链的结构，这种结构也是现在随着汽车电子技术发展非常有竞争力的一种BMS拓扑的架构。我认为这种架构非常适合于乘用车，或者是集中式的BMS以及紧凑的高能量密度的电池系统。它就是通过整个BMU，通过整个菊花链的方式，把整个CMU串联起来。在CMU这个结构上完全是通过单体电压测量芯片的功能来实现的，也就是说，在整个CMU上面是不需要CPU的，只需要一颗测量芯片就能满足要求。

为什么说这个结构适用于乘用车？因为经过实际测量，对于菊花链这种通信方式，在电子兼容方面还是达不到CAN总线的等级，因此对大客车来说，如果菊花链串得很远，或者在不同分箱结构之间连接，都会有很多电磁兼容和不可靠的现象难以处理。但是在乘用车里面，对整个车来说就是一个整体的电池组，整个在空间拓扑结构上也比较小，因此可以把整个控制系统用菊花链串起来，这样可以在每一个节点省掉一个CPU，省掉一个电源模块，省掉一个CAN收发器，对于成本的控制和整个电子系统集成度提高是非常有利的。

对菊花链的方案来说，需要关注的是整个对电池模块系统不均衡带来的影响。可以看到在整个菊花链的测量方案上，它是不需要供电的，但是芯片工作肯定都是需要供电的。它从哪里取电呢？实际上是从电池上直接取电的，电池上取电，所有工作的能力都是需要耗散能量，因此，当每一块电池的数据从上往下这样传递的时候，对于这块芯片它只用传一片芯片的数据，而这块芯片需要传两块芯片的数据，到最底下的芯片需要传递所有芯片的数据，因此这块芯片的耗电量会比上面所有芯片耗电量都要高。从长期应用来看，如果是长期的单向通讯会会主动造成电池模块不均衡。一般解决方案是什么？一般都会做成一个环形结构，菊花链的结构会在整个MCU再出一个链条，这个链条一直传上去之后再折回来形成一个环形的结构。在传递数据的时候，一会儿是从上往下传，一会儿又返回来，逆时针传递，让每一个芯片传递的数据量保持均衡。能够减轻传递带来不均衡的效果。但是这也看电池的一致性和均衡能力问题。

菊花链的电磁兼容性是一定要着重去考察的一个项目，它会对整个系统可靠性，甚至在一些严酷的，比如说像脉冲群的严酷打击下，甚至会有失效的可能性。在这块来说，比较着重关注的主要是BCI大电量注入的电磁兼容考察。可以把多个菊花链串在一起进行电流注入实验，如果在隔离变压器或者隔离电容这一块的选取以及接地和耦合电容不合理的话，在这样一些典型干扰下是会出现很大的问题。在电动汽车的运行上面，其实对于整个产生BCI的干扰其实也是比较强的，这一块是我们在使用菊花链的时候需要关注的重点。

我们认为在商用车的架构上，CAN总线的拓扑还是比较合适的结构。在未来大量数据传送的情况下，CANFD的技术可能会得到比较好的应用，在乘用车方面我们推荐采用菊花链的结构，可以获得比较高的、紧凑的、集成度比较高的设计，以及在成本方面也可以得到有效的控制。

模型开发和验证在电池管理系统中的应用

在电池管理系统中，算法复杂度是非常高的，客户的需求变化也非常多，有时候整个项目也要求比较紧，核心算法和各种应用接口程序互相交织，都有各种版本并行。如何保证算法和程序的正确性、稳定性，不导致严重的安全事故，主要是基于模型的开发。对汽车电子这个领域也是比较成熟的模式，现在主要就是遵循，就是从整个系统功能定义开始，都要形成逐级标准流程的验证和校核，在自动代码生成和实时仿真的过程当中对整个算法进行校验。对于最新的模型开发来说，还要满足像功能安全、ASPICE的要求，以及像AutoSAR软件程序的架构。

简单来说，也就是对于整个模型开发的过程，从系统需求分析开始，软件架构的设计，以及到软件建模、自动代码生成的时候，每个都要对应相应的测试过程。这些测试过程可以通过标准的工具来辅助实现，比如比较流行的dSPACE的工具、ETAS的测试工具。在单元测试、软件模块测试方面，像类似标准开发软件对软件覆盖率，对软件的故障方面也都有很好的解决效果。在自动代码生成方面，比如像模型的单元测试、定点化，以及定点化的校验过程中，像dSPACE等都是不错的的工具。在整个建模过程当中，对于算法的结构来说和底层的架构，通过AutoSAR、RTE的标准接口形成这么一个结构。底层的基础软件和AutoSAR的结构也可以通过第三方的软件做支持，比较有名的比如像EB提供的解决方案等等都能够提供类似底层，这块通过软件对Autosar架构的生成，来实现整个电池管理系统软件的架构，满足Autosar架构。也就是说现在整个复杂的算法，经过整个基于模型的开发过程，会有详细的一系列流程，包括在建模仿真阶段的验证，一些标准库的集合和规范的建模，以及在模型测试阶段进行的标准模型静态测试、代码规范的检查、动态代码的覆盖率都集成了一系列体系的开发工具。

在代码生成阶段主要是定点化过程产生的差异，需要进行严格的校验，最终通过HIL来实现对整个算法安全的验证。这个软件层次架构上，从整个芯片抽象层，一直到模型接口形成一系列的集成化开发环境。在自动编码生成、编译、链接、加密的过程中也实现了自己独特的、按照标准要求的过程。在这个过程当中，三个核之间的程序和算法都是可以独立测试、验证和下载。这个过程中会对每个算法进行加密。在这个过程当中，像我们一贯要求的，MIL、SIL、PIL、HIL都是保证整个开发过程的安全性的必要过程。这一块，也可以通过第三方的工具来快速实现自己的开发架构。

最后，整个HIL是对整个算法最终测试的最重要的工具，对HIL来说，需要有比较复杂的系统来模拟整个电池系统，比如德国的设备，能够模拟出所有的电池单体，也模拟出电流、电压，以及绝缘电阻温度等各种特性。在这块来说，主要的难点是电池的建模，需要对电池，不管是从材料、电化学、物理特性还是热传递等方面，模型建得越准确，对电池管理系统的测试就会越全面。

我们只有基于模型的开发，满足ISO26262和ASPICE安全的要求，在AutoSAR的架构下，有完整的架构体系才能够满足我们电池管理系统软件这方面的可靠性和质量的开发。

总结

对于汽车电子方面的进步，对电池管理系统推动的一些综述，首先是先进传感器的技术会带来电池管理系统在电池监控、测量方面的进步，尤其是在热失控、高压安全、电池安全等等方面。随着模型算法的复杂度增加，未来采用LockStep多核处理器是一个必然的趋势，新型总线的技术，包括CANFD和菊花链对提高电池管理系统架构上是有很大的帮助。基于汽车电子的标准，基于模型的开发流程是保证电池管理系统软件可靠性，保证算法的稳定性、正确性的有效方法。这些先进汽车电子技术在电池管理系统中的应用，能够有效提高电池管理系统的功能安全性、算法的先进性和系统的可靠性。