CN116176281B - 动力电池的功能安全控制方法、装置、车辆及存储介质 - Google Patents

Abstract

本发明公开了一种动力电池的功能安全控制方法、装置、车辆及存储介质，属于动力电池控制技术领域，其中，动力电池的功能安全控制方法包括：确定控制器局域网总线的通信状态，其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常；响应于通信状态为正常，获取动力电池的有效总电压；根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻；根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果；根据第一判断结果，输出第一控制信号，其中，第一控制信号用于控制高压接触器。本发明解决了无法有效防止电动车辆动力电池非预期对外放电造成人员伤害的技术问题。

Description

动力电池的功能安全控制方法、装置、车辆及存储介质

技术领域

本发明属于动力电池控制技术领域，具体而言，涉及一种动力电池的功能安全控制方法、装置、车辆及存储介质。

背景技术

当前动力电池电压平台远超人体能承受的安全电压范围，如动力电池非预期对外放电，会对人员产生危害。为了规避这种风险，现有技术通过电池管理系统（BMS）的故障诊断来断开高压回路，以达到切断非预期对外放电的目的。

然而，现有技术中对故障诊断的覆盖度很难满足动力电池管理系统功能安全要求，会存在接收不到用以预判故障的数据信息、不能有效执行安全措施，进而无法有效防止电动车辆动力电池非预期对外放电造成人员伤害。

发明内容

本发明实施例提供了一种动力电池的功能安全控制方法、装置、车辆及存储介质，以至少解决无法有效防止电动车辆动力电池非预期对外放电造成人员伤害的技术问题。

根据本发明实施例的第一个方面，提供了一种动力电池的功能安全控制方法，应用于车辆，车辆包括动力电池，动力电池的功能安全控制方法包括：

确定控制器局域网总线的通信状态，其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常；响应于通信状态为正常，获取动力电池的有效总电压；根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻；根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果；根据第一判断结果，输出第一控制信号，其中，第一控制信号用于控制高压接触器。

可选的，动力电池的功能安全控制方法还包括：确定高压接触器的状态，其中，高压接触器的状态包括正常和异常；根据第一判断结果，输出第一控制信号包括：响应于高压接触器的状态为正常，根据第一判断结果，输出第一控制信号。

可选的，确定高压接触器的状态包括：确定高压接触器的硬件驱动状态；响应于高压接触器的硬件驱动状态为正常，确定高压接触器的驱动电流和驱动电压状态；响应于高压接触器的驱动电流和驱动电压状态为正常，确定高压接触器的关断路径状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的开路电流状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的时序状态。

可选的，动力电池的功能安全控制方法还包括：响应于通信状态为正常，采用端对端的通信保护机制对控制器局域网总线的通信信号进行数据保护。

可选的，获取动力电池的有效总电压包括：获取动力电池的初始总电压；根据第一预设有效性条件，对初始总电压的有效性进行判断得到第二判断结果；响应于第二判断结果表明初始总电压有效，将初始总电压作为有效总电压。

可选的，动力电池的功能安全控制方法还包括：获取动力电池的初始单体电压；根据第二预设有效性条件，对初始单体电压的有效性进行判断得到第三判断结果；根据第三判断结果，输出第二控制信号，其中，第二控制信号用于控制高压接触器。

可选的，车辆的绝缘状态包括第一绝缘故障和第二绝缘故障，第二绝缘故障的故障程度高于第一绝缘故障的故障程度；根据第一判断结果，输出第一控制信号包括：响应于第一判断结果表明车辆的绝缘状态为第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，或，响应于第一判断结果表明车辆的绝缘状态为第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，高压接触器断开信号用于控制高压接触器断开。

根据本发明实施例的第二方面，还提供了一种动力电池的功能安全控制装置，包括：

第一确定模块，用于确定控制器局域网总线的通信状态，其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常；获取模块，用于响应于通信状态为正常，获取动力电池的有效总电压；第二确定模块，用于根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻；判断模块，用于根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果；控制模块，用于根据第一判断结果，输出第一控制信号，其中，第一控制信号用于控制高压接触器。

可选的，第一确定模块还用于：确定高压接触器的状态，其中，高压接触器的状态包括正常和异常；控制模块还用于：响应于高压接触器的状态为正常，根据第一判断结果，输出第一控制信号。

可选的，第一确定模块还用于：确定高压接触器的硬件驱动状态；响应于高压接触器的硬件驱动状态为正常，确定高压接触器的驱动电流和驱动电压状态；响应于高压接触器的驱动电流和驱动电压状态为正常，确定高压接触器的关断路径状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的开路电流状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的时序状态。

可选的，动力电池的功能安全控制装置还包括通信模块，通信模块用于：响应于通信状态为正常，采用端对端的通信保护机制对控制器局域网总线的通信信号进行数据保护。

可选的，获取模块还用于：获取动力电池的初始总电压；根据第一预设有效性条件，对初始总电压的有效性进行判断得到第二判断结果；响应于第二判断结果表明初始总电压有效，将初始总电压作为有效总电压。

可选的，获取模块还用于：获取动力电池的初始单体电压；根据第二预设有效性条件，对初始单体电压的有效性进行判断得到第三判断结果；根据第三判断结果，输出第二控制信号，其中，第二控制信号用于控制高压接触器。

可选的，车辆的绝缘状态包括第一绝缘故障和第二绝缘故障，第二绝缘故障的故障程度高于第一绝缘故障的故障程度；控制模块还用于：根据第一判断结果，输出第一控制信号包括：响应于第一判断结果表明车辆的绝缘状态为第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，或，响应于第一判断结果表明车辆的绝缘状态为第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，高压接触器断开信号用于控制高压接触器断开。

根据本发明实施例的第三方面，还提供了一种车辆，包括存储器和处理器，存储器中存储有计算机程序，处理器被设置为运行计算机程序以执行上述第一方面任一实施例中所述的动力电池的功能安全控制方法。

根据本发明实施例的第四方面，还提供了一种非易失性存储介质，非易失性存储介质中存储有计算机程序，其中，计算机程序被设置为在计算机或处理器上运行时，执行上述第一方面任一实施例中所述的动力电池的功能安全控制方法。

在本发明实施例中，确定控制器局域网总线的通信状态，其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常；响应于通信状态为正常，获取动力电池的有效总电压；根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻；根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果；根据第一判断结果，输出第一控制信号，第一控制信号用于控制高压接触器。本发明在控制器局域网总线的通信状态正常的情况下获取动力电池的有效总电压，然后根据有效总电压确定绝缘电阻，再根据绝缘电阻确定高压接触器的控制信号，能够稳定的接收到用于预判故障的有效总电压，进而可以解决无法有效防止电动车辆动力电池非预期对外放电造成人员伤害的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明其中一实施例的动力电池的功能安全控制方法的流程图；

图2是根据本发明其中一实施例的动力电池的功能安全控制方法的流程示意图；

图3是根据本发明其中一实施例的动力电池的功能安全控制装置的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

根据本发明实施例，提供了一种动力电池的功能安全控制方法的实施例，需要说明的是，在附图的流程图示出的步骤可以在包含至少一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

该方法实施例还可以在包含存储器和处理器的电子装置、类似的控制装置或者车载终端中执行。以车载终端为例，车载终端可以包括一个或多个处理器和用于存储数据的存储器。可选地，上述车载终端还可以包括用于通信功能的通信设备以及显示设备。本领域普通技术人员可以理解，上述结构描述仅为示意，其并不对上述车载终端的结构造成限定。例如，车载终端还可包括比上述结构描述更多或者更少的组件，或者具有与上述结构描述不同的配置。

处理器可以包括一个或多个处理单元。例如：处理器可以包括中央处理器（central processing unit，CPU）、图形处理器（graphics processing unit，GPU）、数字信号处理（digital signal processing，DSP）芯片、微处理器（microcontroller unit，MCU）、可编程逻辑器件（field－programmable gate array，FPGA）、神经网络处理器（neural-network processing unit ，NPU）、张量处理器（tensor processing unit ，TPU）、人工智能（artificial intelligent，AI）类型处理器等的处理装置。其中，不同的处理单元可以是独立的部件，也可以集成在一个或多个处理器中。在一些实例中，电子装置也可以包括一个或多个处理器。

存储器可用于存储计算机程序，例如存储本发明实施例中的动力电池的功能安全控制方法对应的计算机程序，处理器通过运行存储在存储器内的计算机程序，从而实现上述的动力电池的功能安全控制方法。存储器可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至电子装置。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

通信设备用于经由一个网络接收或者发送数据。上述的网络具体实例可包括移动终端的通信供应商提供的无线网络。在一个实例中，通信设备包括一个网络适配器(network interface controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，通信设备可以为射频(radio frequency，RF)模块，其用于通过无线方式与互联网进行通讯。在本方案的一些实施例中，通信设备用于与手机、平板等移动设备连接，可以通过移动设备向车载终端发送指令。

显示设备可以为触摸屏式的液晶显示器（liquid crystal display，LCD）和触摸显示器（也被称为“触摸屏”或“触摸显示屏”）。该液晶显示器可使得用户能够与车载终端的用户界面进行交互。在一些实施例中，上述车载终端具有图形用户界面（graphical userinterface，GUI），用户可以通过触摸触敏表面上的手指接触和/或手势来与GUI进行人机交互，用于执行上述人机交互功能的可执行指令被配置/存储在一个或多个处理器可执行的计算机程序产品或可读存储介质中。

图1是根据本发明其中一实施例的动力电池的功能安全控制方法的流程图，该动力电池的功能安全控制方法应用于车辆，车辆包括动力电池，如图1所示，该方法包括如下步骤：

步骤S101，确定控制器局域网总线的通信状态。

其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常。

具体的，在步骤S101中，确定控制器局域网总线的通信状态包括以下步骤中的一项或多项：a，数据的CRC（Cyclic Redundancy Check，循环冗余校验码）校验；b，为每条报文内增加循环序列计数信号，然后报文接收端检查计数值是否正确；c，进行报文超时检测；d，进行报文ID（Identity Document，身份标识号）检测。

示例性的，若确定控制器局域网总线的通信状态包括上述a、b、c、d四个步骤，则当数据CRC校验通过，且计数值正确，且报文不超时，且报文ID检测正确时，控制器局域网总线的通信状态为正常，否则为控制器局域网总线的通信状态为异常。

可选的，在本发明的一些实施例中，当控制器局域网总线的通信状态为异常时，输出控制器局域网总线故障信息至车辆的显示设备和/或语音输出设备，以提示驾驶员提示对控制器局域网总线进行检修。

步骤S102，响应于通信状态为正常，获取动力电池的有效总电压。

具体的，在步骤S102中，在确定控制器局域网总线的通信状态为正常后，获取动力电池的有效总电压。在获取动力电池的过程中，获取到的电压存在无效总电压的情况，该无效总电压不能用于后续步骤。

需要注意的是，获取动力电池有效总电压需要通过CAN（Controller AreaNetwork，控制器局域网总线）通信从动力电池处获取，若控制器局域网总线的通信状态为异常，则获取动力电池的有效总电压过程中会存在数据丢失或数据无法传输的情况。

步骤S103，根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻。

具体的，在步骤S103中，考虑绝缘误差，根据有效总电压和预设计算公式，确定动力电池的正极或负极对车身地的绝缘电阻。

可选的，在本发明的一些实施例中，计算动力电池的正极或负极对车身地的绝缘电阻时，对绝缘电阻测量电路进行检测，若检测到绝缘电阻测量电路短路到地、短路到电源、开路将绝缘电阻标记为无效值，若计算出的绝缘电阻不在预设有效范围内，将绝缘电阻标记为无效值。

步骤S104，根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果。

具体的，在步骤S104中，可以根据绝缘电阻的阻值和预设阻值大小关系确定车辆的绝缘状态，得到的第一判断结果即为车辆的绝缘状态。

步骤S105，根据第一判断结果，输出第一控制信号。

具体的，在步骤S105中，第一控制信号用于控制高压接触器。不同的判断结果表示车辆的绝缘状态不同，然后根据不同的绝缘状态输出不同的第一控制信号以控制高压接触器。

需要说明的是，高压接触器用于控制动力电池接入车辆的状态，至少包括接入状态和未接入状态。

在本发明实施例中，确定控制器局域网总线的通信状态，其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常；响应于通信状态为正常，获取动力电池的有效总电压；根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻；根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果；根据第一判断结果，输出第一控制信号，第一控制信号用于控制高压接触器。本发明在控制器局域网总线的通信状态正常的情况下获取动力电池的有效总电压，然后根据有效总电压确定绝缘电阻，再根据绝缘电阻确定高压接触器的控制信号，能够稳定的接收到用于预判故障的有效总电压，进而可以解决无法有效防止电动车辆动力电池非预期对外放电造成人员伤害的技术问题。

可选的，动力电池的功能安全控制方法还包括：确定高压接触器的状态，其中，高压接触器的状态包括正常和异常；根据第一判断结果，输出第一控制信号包括：响应于高压接触器的状态为正常，根据第一判断结果，输出第一控制信号。

具体的，在该实施例中，还会对高压接触器的状态进行确定，在确定到高压接触器的状态后，若高压接触器的状态为正常，根据第一判断结果，输出第一控制信号。

可选的，在本发明的一些实施例中，当确定到高压接触器的状态为异常时，高压接触器不能根据第一控制信号执行相应的动作，此时，输出高压接触器故障信息至车辆的显示设备和/或语音输出设备，以提示驾驶员提示对高压接触器进行检修。

可选的，在本发明的一些实施例中，确定控制器局域网总线的通信状态和确定高压接触器的状态可以同步进行。

可以理解的是，确定高压接触器的状态为正常后执行后续步骤可以保证高压接触器在接收到步骤S105中的第一控制信号后，正常执行相应动作。

可选的，确定高压接触器的状态包括：确定高压接触器的硬件驱动状态；响应于高压接触器的硬件驱动状态为正常，确定高压接触器的驱动电流和驱动电压状态；响应于高压接触器的驱动电流和驱动电压状态为正常，确定高压接触器的关断路径状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的开路电流状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的时序状态。

具体的，在该实施例中，确定高压接触器的硬件驱动状态包括：周期性对高压正接触器、高压负接触器、充电负接触器、充电正接触器的硬件驱动状态进行检测，检测上述任一接触器的驱动状态为错误后，在预设时间内将相应的接触器的硬件状态确定为异常。在高压正接触器或高压负接触器的硬件状态信号为错误时，如果高压正接触器和高压负接触器处于吸合状态，在预设时间内禁止电池充电并降低电池的可用充放电功率，如果高压正接触器或高压负接触器的硬件状态信号为错误不恢复，在预设时间后断开高压正接触器和高压负接触器。在充电正接触器或充电负接触器的硬件状态信号为异常时，如果充电正接触器和充电负接触器处于吸合状态，在预设时间内禁止电池充电并降低电池的可用充放电功率，如果充电正继电器或充电负继电器的硬件状态信号为持续异常，主控制器在预设时间后断开充电正继电器和充电负继电器。

需要说明的是，本申请中，描述的主控制器可以为车辆主控制器。

具体的，在该实施例中，响应于高压接触器的硬件驱动状态为正常，确定高压接触器的驱动电流和驱动电压状态包括：周期性检测接触器的驱动电流和电压。当高压接触器的驱动电流大于I1A、电压大于U1V、高压ADC（Digital-to-Analog Converter，模拟数字转换器）采集的电压信号有效且诊断接触器外端电压满足闭合条件，在预设时间内控制相应高压接触器的状态为闭合，同时确定该高压接触器的驱动电流和驱动电压状态正常。当高压ADC采集的电压信号无效，在预设时间内确定该高压接触器的驱动电流和驱动电压状态为异常。

需要说明的是，其中I1为电流预设值，U1为电压预设值。电流数值后的A为安培，电压数值后的V为伏特。

具体的，在该实施例中，响应于高压接触器的驱动电流和驱动电压状态为正常，确定高压接触器的关断路径状态包括：判断高压接触器的控制电路能否控制高压接触器正常关断和打开，若高压接触器的控制电路能控制高压接触器正常关断和打开，确定高压接触器的关断路径状态为正常。

具体的，在该实施例中，响应于高压接触器的关断路径状态为正常，确定高压接触器的开路电流状态包括：当电池电流大于5A且电流信号有效，确定高压正接触器和高压负接触器的状态为正常，然后在第三预设时间内顺序断开高压接触器。

具体的，在该实施例中，响应于高压接触器的关断路径状态为正常，确定高压接触器的时序状态包括：主控制器没有低压供电时，主控制器的驱动电路应禁止使用；主控制器被唤醒时，高压正接触器和高压负接触器的初始化驱动指令为打开；在主控制器的驱动电路没有供电的情况下，接触器的默认状态均应为打开；在主控制器的驱动电路断电后，接触器应该在预设时间内完全打开。当主控制器的微处理器处于硬件复位或者软件复位的时候，接触器的状态应保持复位前的状态。前述每个条件都满足时，确定高压接触器的时序状态为正常。

可选的，在本发明的高压接触器的状态由驱动电流和驱动电压状态、硬件驱动状态、开路电流状态、时序状态和关断路径状态共同决定，前述任一状态为异常时，高压接触器的状态即为异常。

可选的，动力电池的功能安全控制方法还包括：响应于通信状态为正常，采用端对端的通信保护机制对控制器局域网总线的通信信号进行数据保护。

具体的，在该实施例中，端对端的通信保护机制为E2E（End to End）保护机制。端到端（E2E）保护机制是一种从数据起点，在数据发出直到收件者完全获取数据之间进行加密的解决方案。系统采用加密来保障数据的流通过程，避免不必要的泄露和盗取。

可选的，获取动力电池的有效总电压包括：获取动力电池的初始总电压；根据第一预设有效性条件，对初始总电压的有效性进行判断得到第二判断结果；响应于第二判断结果表明初始总电压有效，将初始总电压作为有效总电压。

具体的，获取初始总电压包括：在预设时间范围内通过高压ADC测量高压采样点高压接触器前后端电压，确定高压接触器两端电压，其精度为正负5V或正负1%。

具体的，在该实施例中，第一预设有效性条件为在预设时间内确定得到的动力电池的初始总电压（即高压接触器两端电压）与动力电池中的每个单体电池的单体电压之和之间的差小于预设差值。当初始总电压满足第一预设有效性条件时，可以将初始总电压作为有效总电压用于后续步骤。

示例性的，预设差值可以为30V，预设时间可以为500毫秒。

可选的，在本发明的一些实施例中，在预设时间范围内通过高压ADC诊断上述高压接触器电压，如果相应的高压ADC表示对地短路、对蓄电池短路、断路、通道比较错误，应在预设时间内将相应高压接触器状态设置为异常。

可选的，动力电池的功能安全控制方法还包括：获取动力电池的初始单体电压；根据第二预设有效性条件，对初始单体电压的有效性进行判断得到第三判断结果；根据第三判断结果，输出第二控制信号，其中，第二控制信号用于控制高压接触器。

具体的，在该实施例中，获取初始单体电压包括：测量动力电池中的每个单体电池的电压，其精度为正负5mV（毫伏）。

具体的，在该实施例中，第二预设有效性条件为动力电池中的任意一个单体电池的初始单体电压均在预设电压范围内，预设电压范围可选的设置为（0.5V，4.8V）。当初始总电压满足预设条件时，可以将初始总电压作为有效总电压用于后续步骤。

可选的，在本发明的一些实施例中，任意一个单体电池的初始单体电压不在预设电压范围内、单体电池电路短路、单体电池电路断路或LDO（低压差线性稳压器）参考错误时，将初始单体电压和初始总电压标记为无效值。

可选的，在本发明的一些实施例中，当检测到存在无效的初始总电压或初始单体电压时，通过第二控制信号控制高压接触器断开。

可选的，车辆的绝缘状态包括第一绝缘故障和第二绝缘故障，第二绝缘故障的故障程度高于第一绝缘故障的故障程度；根据第一判断结果，输出第一控制信号包括：响应于第一判断结果表明车辆的绝缘状态为第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，或，响应于第一判断结果表明车辆的绝缘状态为第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，高压接触器断开信号用于控制高压接触器断开。

需要注意的是，第一绝缘故障和第二绝缘故障的故障程度可以用绝缘电阻的值衡量。

具体的，在该实施例中，当动力电池正极对车身地或负极对车身地的绝缘电阻在第一预设值以下时，车辆的绝缘状态为第一绝缘故障。当动力电池正极对车身地或负极对车身地的绝缘电阻在第二预设值以下或绝缘电阻为无效值时，车辆的绝缘状态为第二绝缘故障。

确定车辆的绝缘故障后，若车辆的绝缘状态为第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，其中，高压接触器状态保持信号用于控制高压接触器保持当前状态，第一提示信息提示驾驶员当前车辆处于第一绝缘故障，存在触电安全风险。

确定车辆的绝缘故障后，若车辆的绝缘状态为第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，高压接触器断开信号用于控制高压接触器断开，第二提示信息提示驾驶员当前车辆处于第二绝缘故障，存在高触电安全风险。

需要说明的是，上述描述中出现的硬件均满足ASILD（安全可靠性认证标准）硬件指标和故障率。

需要说明的是，上述描述中出现的预设时间非同一时间，而是根据不同的需求设置的不同的预设时间。

可选的，如图2所示，在本发明的一些实施例中，动力电池的功能安全控制方法包括：系统启动后，进行系统状态监控，以确定系统状态故障，若系统状态故障为是（即系统状态存在故障），提示驾驶员故障；若系统状态故障为否（即系统状态为正常），对系统数据进行保护。

进一步的，确定系统数据错误，若系统数据错误为是（即系统数据有误），提示驾驶员故障；若系统数据错误为否（即系统数据无误），计算绝缘阻值；得到绝缘阻值后，进一步判断绝缘阻值是否低于500Ω/V（欧姆每伏），若判断结果为否（即绝缘阻值大于500Ω/V），此时重新执行计算绝缘阻值的步骤；若判断结果为是（即绝缘阻值低于500Ω/V），此时进一步判断绝缘阻值是否低于100Ω/V，若判断结果为否（即绝缘阻值不低于100Ω/V），提示驾驶员故障；若判断结果为是（即绝缘阻值低于100Ω/V），进一步判断车速是否小于5km/s（公里每秒），若判断结果为否（即车速不小于5km/s），提示驾驶员故障；若判断结果为是（即车速小于5km/s），延时断开接触器。

需要说明的是，确定系统状态故障包括：对高压接触器状态、硬件错误、开路电流、时序、关断路径进行监控。对数据进行保护包括：对CAN通信进行监测及E2E保护。确定系统数据错误包括：采集动力电池的总电压及单体电压，并校验总电压与单体电压和的合理性和有效性。

需要说明的是，系统状态存在故障时，提示驾驶员故障为提示驾驶员系统这状态存在故障；系统数据有误时，提示驾驶员故障为提示驾驶员系统数据存在错误；绝缘阻值低于100Ω/V时，提示驾驶员故障为提示驾驶员车辆当前存在绝缘故障（该绝缘故障对应上文中第二绝缘故障）；车速不小于5km/s，提示驾驶员故障为提示驾驶员车辆当前存在绝缘故障（该绝缘故障对应上文中第二绝缘故障）。

需要说明的是，延迟断开接触器中的接触器为高压接触器，延时的时间为预设时间。

需要说明的是，在本发明的一些实施例中，绝缘阻值低于500Ω/V时，也会提示驾驶员故障，此时故障提示为上述实施例描述的第一绝缘故障。该情况图2中未示出。

需要注意的是，图2所示流程图中，Y代表是，N代表否。上述系统指代电池管理系统。

综上所述，可以理解的是，本发明具有如下有益效果：

（1）提前检测功能链路的故障状态并作出预警，提示驾驶员及时恢复功能至正常状态，能够在电池发生绝缘故障时BMS能够正常做出使电池到达安全状态的动作。

（2）硬件设计从器件的选型设计使得硬件的随机失效率、单点失效率、潜在故障度指标能够达到ASILD级的状态，能够保证电池发生绝缘故障时BMS硬件状态安全稳定，支持BMS控制电池到达安全状态。

（3）通过对防止电池绝缘危害链路上各个功能模块安全状态的诊断，能够提前排除功能模块的异常状态，保证电池发生绝缘故障时BMS能够正常做出使动力电池到达安全状态的动作。

通过以上实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质（如ROM/RAM、磁碟、光盘）中，包括若干指令用以使得一台终端设备（可以是手机，计算机，服务器，或者网络设备等）执行本发明各个实施例所述的方法。

在本实施例中还提供了一种动力电池的功能安全控制装置，该系统用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”为可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图3是根据本发明其中一实施例的动力电池的功能安全控制装置200的结构框图，如图3所示，以动力电池的功能安全控制装置200进行示例，该系统包括：第一确定模块201，用于确定控制器局域网总线的通信状态，其中，控制器局域网总线用于车辆不同模块之间的通信，控制器局域网总线的通信状态包括正常和异常；获取模块202，用于响应于通信状态为正常，获取动力电池的有效总电压；第二确定模块203，用于根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻；判断模块204，用于根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果；控制模块205，用于根据第一判断结果，输出第一控制信号，其中，第一控制信号用于控制高压接触器。

可选的，第一确定模块201还用于：确定高压接触器的状态，其中，高压接触器的状态包括正常和异常；控制模块205还用于：响应于高压接触器的状态为正常，根据第一判断结果，输出第一控制信号。

可选的，第一确定模块201还用于：确定高压接触器的硬件驱动状态；响应于高压接触器的硬件驱动状态为正常，确定高压接触器的驱动电流和驱动电压状态；响应于高压接触器的驱动电流和驱动电压状态为正常，确定高压接触器的关断路径状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的开路电流状态；响应于高压接触器的关断路径状态为正常，确定高压接触器的时序状态。

可选的，动力电池的功能安全控制装置200还包括通信模块，图中未示出，通信模块与第一确定模块201连接用于：响应于通信状态为正常，采用端对端的通信保护机制对控制器局域网总线的通信信号进行数据保护。

可选的，获取模块202还用于：获取动力电池的初始总电压；根据第一预设有效性条件，对初始总电压的有效性进行判断得到第二判断结果；响应于第二判断结果表明初始总电压有效，将初始总电压作为有效总电压。

可选的，获取模块202还用于：获取动力电池的初始单体电压；根据第二预设有效性条件，对初始单体电压的有效性进行判断得到第三判断结果；根据第三判断结果，输出第二控制信号，其中，第二控制信号用于控制高压接触器。

可选的，车辆的绝缘状态包括第一绝缘故障和第二绝缘故障，第二绝缘故障的故障程度高于第一绝缘故障的故障程度；控制模块205还用于：根据第一判断结果，输出第一控制信号包括：响应于第一判断结果表明车辆的绝缘状态为第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，或，响应于第一判断结果表明车辆的绝缘状态为第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，高压接触器断开信号用于控制高压接触器断开。

本发明的实施例还提供了一种车辆，包括存储器和处理器，存储器中存储有计算机程序，处理器被设置为运行计算机程序以执行上述任一实施例中所述的动力电池的功能安全控制方法。

可选地，在本实施例中，上述车辆中的处理器可以被设置为运行计算机程序以执行以下步骤：

步骤S101，确定控制器局域网总线的通信状态。

步骤S102，响应于通信状态为正常，获取动力电池的有效总电压。

步骤S103，根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻。

步骤S104，根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果。

步骤S105，根据第一判断结果，输出第一控制信号。

可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。

本发明的实施例还提供了一种非易失性存储介质，非易失性存储介质中存储有计算机程序，其中，计算机程序被设置为在计算机或处理器上运行时，执行上述任一实施例中所述的动力电池的功能安全控制方法。

可选地，在本实施例中，上述计算机程序可以被设置为存储用于执行以下步骤的计算机程序：

步骤S101，确定控制器局域网总线的通信状态。

步骤S102，响应于通信状态为正常，获取动力电池的有效总电压。

步骤S103，根据有效总电压，确定动力电池的正极或负极对车身地的绝缘电阻。

步骤S104，根据绝缘电阻，对车辆的绝缘状态进行判断得到第一判断结果。

步骤S105，根据第一判断结果，输出第一控制信号。

可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的一些实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述模块的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，模块或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可为个人计算机、服务器或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (5)

1.一种动力电池的功能安全控制方法，应用于车辆，所述车辆包括动力电池，其特征在于，包括：

确定控制器局域网总线的通信状态，其中，所述控制器局域网总线用于所述车辆不同模块之间的通信，所述控制器局域网总线的所述通信状态包括正常和异常，其中，确定所述控制器局域网总线的所述通信状态包括以下步骤：a，数据的循环冗余校验码校验；b，为每条报文内增加循环序列计数信号，然后报文接收端检查计数值是否正确；c，进行报文超时检测；d，进行报文身份标识号检测；若确定所述控制器局域网总线的所述通信状态包括所述a、所述b、所述c、所述d四个步骤，则当数据循环冗余校验码校验通过，且计数值正确，且报文不超时，且报文身份标识号检测正确时，所述控制器局域网总线的所述通信状态为正常，否则所述控制器局域网总线的通信状态为异常；

响应于所述通信状态为正常，获取所述动力电池的有效总电压，包括：

获取所述动力电池的初始总电压，包括：在预设时间范围内通过高压模拟数字转换器测量高压采样点高压接触器前后端电压，确定所述高压接触器两端电压；

根据第一预设有效性条件，对所述初始总电压的有效性进行判断得到第二判断结果，其中，所述第一预设有效性条件为在所述预设时间范围内确定得到的所述动力电池的所述初始总电压，即高压接触器两端电压与所述动力电池中的每个单体电池的单体电压之和之间的差小于预设差值，当所述初始总电压满足所述第一预设有效性条件时，将所述初始总电压作为所述有效总电压；

响应于所述第二判断结果表明所述初始总电压有效，将所述初始总电压作为所述有效总电压；

所述获取所述动力电池的有效总电压还包括：

获取所述动力电池的初始单体电压；

根据第二预设有效性条件，对所述初始单体电压的有效性进行判断得到第三判断结果，其中，所述第二预设有效性条件为所述动力电池中的任意一个单体电池的所述初始单体电压均在预设电压范围内；若任意一个单体电池的所述初始单体电压不在所述预设电压范围内、单体电池电路短路、单体电池电路断路或低压差线性稳压器参考错误时，将所述初始单体电压和所述初始总电压标记为无效值；

根据所述第三判断结果，输出第二控制信号，其中，所述第二控制信号用于控制所述高压接触器；

根据所述有效总电压，确定所述动力电池的正极或负极对车身地的绝缘电阻；

根据所述绝缘电阻，对所述车辆的绝缘状态进行判断得到第一判断结果；

根据所述第一判断结果，输出第一控制信号，其中，所述第一控制信号用于控制高压接触器；

所述车辆的绝缘状态包括第一绝缘故障和第二绝缘故障，所述第二绝缘故障的故障程度高于所述第一绝缘故障的故障程度；

所述根据所述第一判断结果，输出第一控制信号包括：

响应于所述第一判断结果表明所述车辆的绝缘状态为所述第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，

或，

响应于所述第一判断结果表明所述车辆的绝缘状态为所述第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，所述高压接触器断开信号用于控制所述高压接触器断开；

还包括：

确定所述高压接触器的状态，其中，所述高压接触器的状态包括正常和异常；

所述根据所述第一判断结果，输出第一控制信号包括：

响应于所述高压接触器的状态为正常，根据所述第一判断结果，输出所述第一控制信号；

所述确定所述高压接触器的状态包括：

确定所述高压接触器的硬件驱动状态；

响应于所述高压接触器的硬件驱动状态为正常，确定所述高压接触器的驱动电流和驱动电压状态；

响应于所述高压接触器的驱动电流和驱动电压状态为正常，确定所述高压接触器的关断路径状态；

响应于所述高压接触器的关断路径状态为正常，确定所述高压接触器的开路电流状态；

响应于所述高压接触器的关断路径状态为正常，确定所述高压接触器的时序状态。

2.根据权利要求1所述的动力电池的功能安全控制方法，其特征在于，还包括：

响应于所述通信状态为正常，采用端对端的通信保护机制对所述控制器局域网总线的通信信号进行数据保护。

3.一种动力电池的功能安全控制装置，其特征在于，包括：

第一确定模块，用于确定控制器局域网总线的通信状态，其中，所述控制器局域网总线用于车辆不同模块之间的通信，所述控制器局域网总线的所述通信状态包括正常和异常，其中，确定所述控制器局域网总线的所述通信状态包括以下步骤中：a，数据的循环冗余校验码校验；b，为每条报文内增加循环序列计数信号，然后报文接收端检查计数值是否正确；c，进行报文超时检测；d，进行报文身份标识号检测；若确定所述控制器局域网总线的所述通信状态包括所述a、所述b、所述c、所述d四个步骤，则当数据循环冗余校验码校验通过，且计数值正确，且报文不超时，且报文身份标识号检测正确时，所述控制器局域网总线的所述通信状态为正常，否则所述控制器局域网总线的通信状态为异常；

获取模块，用于响应于所述通信状态为正常，获取动力电池的有效总电压，包括：

获取所述动力电池的初始总电压，包括：在预设时间范围内通过高压模拟数字转换器测量高压采样点所述高压接触器前后端电压，确定所述高压接触器两端电压；

根据第一预设有效性条件，对所述初始总电压的有效性进行判断得到第二判断结果，其中，所述第一预设有效性条件为在所述预设时间范围内确定得到的所述动力电池的所述初始总电压，即高压接触器两端电压与所述动力电池中的每个单体电池的单体电压之和之间的差小于预设差值，当所述初始总电压满足所述第一预设有效性条件时，将所述初始总电压作为所述有效总电压；

响应于所述第二判断结果表明所述初始总电压有效，将所述初始总电压作为所述有效总电压；

所述获取所述动力电池的有效总电压还包括：

获取所述动力电池的初始单体电压；

根据第二预设有效性条件，对所述初始单体电压的有效性进行判断得到第三判断结果，其中，所述第二预设有效性条件为所述动力电池中的任意一个单体电池的所述初始单体电压均在预设电压范围内；若任意一个单体电池的初始单体电压不在预设电压范围内、单体电池电路短路、单体电池电路断路或低压差线性稳压器参考错误时，将所述初始单体电压和所述初始总电压标记为无效值；

根据所述第三判断结果，输出第二控制信号，其中，所述第二控制信号用于控制所述高压接触器；

第二确定模块，用于根据所述有效总电压，确定所述动力电池的正极或负极对车身地的绝缘电阻；

判断模块，用于根据所述绝缘电阻，对所述车辆的绝缘状态进行判断得到第一判断结果；

控制模块，用于根据所述第一判断结果，输出第一控制信号，所述第一控制信号用于控制高压接触器；

根据所述绝缘电阻，对所述车辆的绝缘状态进行判断得到第一判断结果；

根据所述第一判断结果，输出第一控制信号，其中，所述第一控制信号用于控制高压接触器；

所述车辆的绝缘状态包括第一绝缘故障和第二绝缘故障，所述第二绝缘故障的故障程度高于所述第一绝缘故障的故障程度；

所述根据所述第一判断结果，输出第一控制信号包括：

响应于所述第一判断结果表明所述车辆的绝缘状态为所述第一绝缘故障，输出第一故障提示信息和高压接触器状态保持信号，

或，

响应于所述第一判断结果表明所述车辆的绝缘状态为所述第二绝缘故障，输出第二故障提示信息和高压接触器断开信号，其中，所述高压接触器断开信号用于控制所述高压接触器断开；

还包括：

确定所述高压接触器的状态，其中，所述高压接触器的状态包括正常和异常；

所述根据所述第一判断结果，输出第一控制信号包括：

响应于所述高压接触器的状态为正常，根据所述第一判断结果，输出所述第一控制信号；

所述确定所述高压接触器的状态包括：

确定所述高压接触器的硬件驱动状态；

响应于所述高压接触器的硬件驱动状态为正常，确定所述高压接触器的驱动电流和驱动电压状态；

响应于所述高压接触器的驱动电流和驱动电压状态为正常，确定所述高压接触器的关断路径状态；

响应于所述高压接触器的关断路径状态为正常，确定所述高压接触器的开路电流状态；

响应于所述高压接触器的关断路径状态为正常，确定所述高压接触器的时序状态。

4.一种车辆，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述权利要求1至2任一项中所述的动力电池的功能安全控制方法。

5.一种非易失性存储介质，其特征在于，所述非易失性存储介质中存储有计算机程序，其中，所述计算机程序被设置为在计算机或处理器上运行时，执行上述权利要求1至2任一项中所述的动力电池的功能安全控制方法。

Images