储能BMS安全状态控制方法、系统及电子设备与流程

本发明涉及储能电池管理，具体而言，涉及一种储能bms安全状态控制方法、系统及电子设备。

背景技术：

1、随着储能系统的规模化应用，其安全性至关重要。相关技术的储能电池管理系统（battery management system，bms）通常采用软件架构实现状态监测与保护功能。然而，在相关技术中，bms的安全机制设计往往存在架构耦合度高的问题。相关技术方案多将安全保护逻辑与非安全功能（如荷电状态（state of charge，soc）估算、通讯等）混合部署，或仅依赖单一软件层级进行状态判断与执行控制。这种设计导致系统缺乏独立于主控制逻辑之外的硬件级容错与监控机制。例如，当作为控制核心的安全管理层因软件异常、死机或逻辑错误而失效时，系统无法在安全管理层失效的极端情况下触发独立的高压切断动作。此时，即使电池发生严重故障，高压继电器仍可能保持在闭合状态，导致储能电池无法及时与电网断开，从而引发热失控、火灾甚至电网波动等严重安全事故。综上可知，相关技术中的储能bms中安全机制设置时考虑因素不全面，导致当安全管理层失效时保护失效，无法有效切断高压。

2、针对上述的问题，目前尚未提出有效的解决方案。

技术实现思路

1、本发明实施例提供了一种储能bms安全状态控制方法、系统及电子设备，以至少解决相关技术中的储能bms中安全机制设置时考虑因素不全面，导致当安全管理层失效时保护失效，无法有效切断高压的技术问题。

2、根据本发明实施例的一个方面，提供了一种储能bms安全状态控制方法，包括：采用功能层采集储能bms所监测的储能电池的电池状态数据，基于电池状态数据生成控制请求，并通过安全数据接口将携带控制请求的安全数据包发送至安全管理层；采用安全管理层基于安全数据包确定当前安全状态，以及当前安全状态对应的当前安全等级，并基于当前安全等级生成硬件执行器控制指令；采用安全监控层监测安全管理层的运行状态，并在安全管理层运行异常时执行高压切断动作，其中，高压切断动作独立于安全管理层执行，用于直接控制储能电池断开与电网的电路连接，其中，功能层，安全管理层和安全监控层运行于相互独立的硬件平台上。

3、可选的，在安全数据包还携带有循环冗余校验码、时间戳和滚动计数器的情况下，采用安全管理层基于安全数据包确定当前安全状态，以及当前安全状态对应的当前安全等级，包括：采用安全管理层基于安全数据包中的循环冗余校验码，对安全数据包的数据载荷进行循环冗余校验，得到第一校验结果，其中，第一校验结果用于指示安全数据包在传输过程中是否发生数据损坏；采用安全管理层基于安全数据包中的滚动计数器的计数值，与预设的预期序列号进行比较，得到第二校验结果，其中，第二校验结果用于指示安全数据包是否出现丢包、重复接收或乱序；采用安全管理层基于安全数据包中的时间戳，与当前系统时间进行比较，得到第三校验结果，其中，第三校验结果用于指示安全数据包是否超过预设的新鲜度阈值；采用安全管理层基于第一校验结果、第二校验结果和第三校验结果，以及控制请求中指示的故障类型，确定当前安全状态。

4、通过以上方式，通过多维度的动态校验机制，有效过滤了传输过程中产生的异常数据，确保仅基于完整、有序且新鲜的安全数据包来触发高压切断指令，显著提升了储能bms在复杂电磁环境或通信拥塞场景下的故障识别准确率与安全响应可靠性。

5、可选的，采用安全管理层基于第一校验结果、第二校验结果和第三校验结果，以及控制请求中指示的故障类型，确定当前安全状态，包括：采用安全管理层在第一校验结果、第二校验结果和第三校验结果均指示校验通过的情况下，解析控制请求中指示的故障类型，并根据故障类型确定当前安全状态；采用安全管理层在第一校验结果、第二校验结果和第三校验结果中任一校验结果指示校验失败的情况下，确定存在通信异常，并根据预设的通信故障策略确定当前安全状态。

6、通过以上方式，实现了通信数据完整性与业务逻辑安全性的双重保障。该机制有效区分了“电池本体故障”与“通信链路故障”两类不同性质的风险：在通信正常时，确保故障判定的准确性；在通信异常时，优先执行保守的安全策略，防止因数据错误导致的误判或漏判。这种基于多维度校验结果的分级响应机制，不仅提高了bms对恶意攻击（如重放、篡改）和随机干扰的抵御能力，还显著提升了系统在复杂电磁环境下的功能安全水平，避免了因通信失效引发的非预期停机或保护失效事故，从而保障了储能系统的全生命周期安全运行。

7、可选的，该方法还包括：采用安全管理层根据控制请求指示的故障类型确定目标安全等级，并将目标安全等级与当前安全等级进行比较，得到比较结果；在目标安全等级高于当前安全等级的情况下，采用安全管理层直接将当前安全等级更新为目标安全等级，并将当前安全状态更新为与目标安全等级对应的安全状态；在目标安全等级低于当前安全等级的情况下，采用安全管理层启动恢复延迟计时，并在故障解除且恢复延迟计时指示恢复延迟完成后，将当前安全等级更新为目标安全等级，并将当前安全状态更新为与目标安全等级对应的安全状态；在目标安全等级等于当前安全等级的情况下，保持当前安全等级和当前安全状态不变。

8、通过以上方式，引入上述基于等级比较的差异化更新逻辑，特别是针对降级场景的“故障解除+恢复延迟”双重校验机制，有效避免了在故障间歇性出现或边界模糊场景下，系统因状态频繁跳变而产生的震荡现象，以及因过早恢复运行而引发的二次安全风险，显著提升了储能bms在复杂工况下的运行稳定性和控制逻辑的可靠性。

9、可选的，该方法还包括：采用安全监控层采集功能层执行储能电池的控制程序的实际执行时间和实际执行顺序，并将实际执行时间与对应的预期执行时间范围进行比较，以及将实际执行顺序与预定执行顺序进行比较；在采用安全监控层检测到实际执行时间超出预期执行时间范围，或者实际执行顺序与预定执行顺序不符时，判定为功能层单次异常；在采用安全监控层连续检测到预设次数的单次异常的情况下，向安全管理层发送报警信号或执行高压切断动作。

10、通过以上方式，设置独立于功能层代码逻辑的时序与顺序监测机制，能够精准识别并阻断因软件逻辑错误或时序违背导致的潜在危险，从而在安全管理层之外构建了一道针对软件深层次故障的独立防线，有效避免了因功能层失控而无法及时切断高压的安全隐患，提升了储能电池管理系统在软件异常工况下的整体安全性。

11、根据本发明实施例的一个方面，提供了一种储能bms安全状态控制系统，包括：功能层，运行于第一硬件平台，配置为采集储能bms所监测的储能电池的电池状态数据，基于电池状态数据生成控制请求，并通过安全数据接口将携带控制请求的安全数据包发送至安全管理层；安全管理层，运行于第二硬件平台，且第二硬件平台独立于第一硬件平台；安全管理层配置为基于安全数据包确定当前安全状态，以及当前安全状态对应的当前安全等级，并基于当前安全等级生成硬件执行器控制指令；安全监控层，运行于第三硬件平台，且第三硬件平台独立于第一硬件平台及第二硬件平台；安全监控层配置为监测安全管理层的运行状态，并在安全管理层运行异常时执行高压切断动作，其中，高压切断动作独立于安全管理层执行，用于直接控制储能电池断开与电网的电路连接。

12、可选的，功能层、安全管理层和安全监控层通过物理上独立的多条通信通道进行数据交换，多条通信通道包括主通道、冗余通道和紧急通道，其中：主通道用于传输预定常规数据；冗余通道用于在主通道故障时作为备用数据传输通道；紧急通道用于传输紧急故障信号。

13、通过以上方式，设置主通道保常规、冗余通道保连续、紧急通道保生存的三重通信机制，有效避免了因单一通信链路故障导致的安全机制失效问题，确保在主通道异常时系统仍能通过冗余通道维持正常控制逻辑，或通过紧急通道直接触发高压切断动作，从而显著提升了储能bms在通信故障场景下的安全防护可靠性。

14、可选的，第一硬件平台、第二硬件平台以及第三硬件平台之间传输的数据包采用安全传输协议封装，其中，安全传输协议包括：固定魔数校验，用于验证对应数据包的起始合规性；源芯片标识和目标芯片标识，用于验证对应数据包的发送源和接收目标；序列号防重放校验，用于校验对应数据包是否被重复发送；时间戳新鲜度检查，用于验证对应数据包的时间有效性；循环冗余校验，用于验证对应数据包的完整性。

15、通过以上方式，设置芯片间通信的多重防护机制，确保了跨平台数据交互的准确性、时效性和安全性，提升了储能bms在复杂电磁环境或遭受恶意攻击时的整体鲁棒性。

16、根据本发明实施例的另一方面，还提供了一种非易失性存储介质，所述非易失性存储介质存储有多条指令，所述指令适于由处理器加载并执行任意一项所述的储能bms安全状态控制方法。

17、根据本发明实施例的另一方面，还提供了一种电子设备，包括一个或多个处理器和存储器，所述存储器用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现任意一项所述的储能bms安全状态控制方法。

18、根据本发明实施例的另一方面，还提供了一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现任一项所述的储能bms安全状态控制方法的步骤。

19、在本发明实施例中，通过采用功能层采集储能bms所监测的储能电池的电池状态数据，基于电池状态数据生成控制请求，并通过安全数据接口将携带控制请求的安全数据包发送至安全管理层；采用安全管理层基于安全数据包确定当前安全状态，以及当前安全状态对应的当前安全等级，并基于当前安全等级生成硬件执行器控制指令；采用安全监控层监测安全管理层的运行状态，并在安全管理层运行异常时执行高压切断动作，其中，高压切断动作独立于安全管理层执行，用于直接控制储能电池断开与电网的电路连接，其中，功能层，安全管理层和安全监控层运行于相互独立的硬件平台上，达到了通过设置独立于功能层和安全管理层的安全监控层，在监测到安全管理层运行异常时独立执行高压切断动作的目的，从而实现了核心安全模块失效时仍能通过硬件级冗余手段强制断开电网连接，保障储能系统安全运行的技术效果，进而解决了相关技术中的储能bms中安全机制设置时考虑因素不全面，导致当安全管理层失效时保护失效，无法有效切断高压的技术问题。