工程师一句话总结：IEC 62619:2022 (Ed 2.0) 规定工业锂电池 BMS 必须通过正式风险分析（FMEA/FTA）确定 SIL 安全等级目标，并按 Clause 8.2.2–8.2.4 验证过充电压控制、过充电流控制、过热控制三大功能——这是工业储能电池功能安全合规的基础门槛与长期验证办法。
1. Clause 8.1：功能安全分析框架
IEC 62619:2022 Clause 8.1 规定：任何承担安全关键功能的电气/电子/软件控制系统，都必须进行功能安全分析。这是 Ed 2.0 与 Ed 1.0 相比最重要的系统性提升。
参考功能安全标准：
| 标准 | 适用场景 | 说明 |
|---|---|---|
| IEC 61508 (all parts) | 通用功能安全 | 电气/电子/可编程电子安全相关系统 |
| IEC 60730-1:2020 Annex H | 自动电气控制 | 控制系统安全等级 Class B / Class C |
| ISO 13849 (all parts) | 机械安全 | 控制系统安全相关部件设计 |
风险评估的三步法（标准 8.1 a) → c)）：
- 危险分析：识别所有潜在危险源，覆盖电芯制造和电池系统制造两个层面
- 风险评估：对每个危险场景评估发生概率与后果严重度
- 安全等级目标确定：根据风险评估结果，确定应达到的安全完整性等级（SIL）或 Class B/C 目标
2. 风险评估全流程
关键要点：
- 危险分析覆盖两个制造过程：电芯制造 AND 电池系统制造
- 风险评估不是可选项——标准明确要求对"承担安全关键功能的任何控制方法"执行功能安全分析
- SIL 目标确定后，BMS 设计必须达到该等级（Clause 8.2.1）
3. BMS 定义与核心功能
3.1 标准定义（Clause 3.12）
IEC 62619 对 BMS 的定义非常精确，包含四个层面的功能：
| 层面 | 功能 | 说明 |
|---|---|---|
| 控制 | 对过充、过流、过放、过热进行电流控制 | 基本安全保护 |
| 监控 | 监测和管理电池状态（电压、温度、电流） | 实时状态感知 |
| 计算 | 报告或计算二次数据（SOC、SOH 等） | 衍生信息输出 |
| 环境管理 | 控制环境以保障安全、性能和寿命 | 系统级保护 |
注：BMS 可称为 BMU（Battery Management Unit）。
3.2 BMS 功能架构
4. BMS 四种部署架构（Figure 6）
IEC 62619:2022 Figure 6 显示了 BMS 功能的四种可能部署方式。这直接影响测试的适用层级和合格判定方式。
工程要点：
| 架构 | BMS 位置 | 测试影响 |
|---|---|---|
| A | 全部在 Pack 内 | Pack 级独立测试即可 |
| B | 全部在 Equipment 内 | 必须 Pack + Equipment 联合测试 |
| C | 分布在 Pack 和 Equipment | 完整系统联合评估 |
| D | 多 Pack + Equipment 混合 | 按实际部署架构评估 |
5. BMS 设计的关键参数
根据 Clause 8.2.1，BMS 必须持续评估以下参数以将电池维持在工作区域内：
| 参数 | 作用 | 依据 |
|---|---|---|
| 电压 | 判定过充/过放边界 | 电芯制造商定义的上下限电压 |
| 温度 | 判定过热/过冷边界 | 电芯制造商定义的操作温度范围 |
| 电流 | 判定过流/短路边界 | 电芯制造商定义的最大充放电电流 |
重要豁免：过放切断不是强制的——如果电芯制造商与客户达成协议，可以不做过放切断。但过充和过热的切断是必须的。
6. BMS 功能测试概要
Clause 8.2.1 明确要求 BMS 必须通过以下三项功能安全测试（详见标准 Clause 8.2.2-8.2.4）：
| 测试条款 | 测试名称 | 测试条件 | 合格判据 |
|---|---|---|---|
| 8.2.2 | 过充电压控制 | 超上限电压 10% 充电 | BMS 在超限前终止充电；无着火、无爆炸 |
| 8.2.3 | 过充电流控制 | 超最大充电电流 20% | BMS 检测过流并控制至下限；无着火、无爆炸 |
| 8.2.4 | 过热控制 | 冷却系统断开 + 超最高操作温度 5℃ | BMS 检测过热并终止充电；无着火、无爆炸 |
详见系列文章：IEC 62619 过充测试要求 →
7. 工程师实操建议
- 风险评估文档先行：在 BMS 设计启动前，必须完成正式的风险评估报告（FMEA 或 FTA），明确 SIL 目标等级。这是 IEC 62619 认证的前提条件。
- 架构影响联调范围：如果 BMS 部署在设备侧（架构 B/C/D），必须安排电池包与设备的联合测试——不能在 Pack 级单独完成所有验证。
- 过放豁免需书面确认：如果与客户约定不做过放切断，必须保留双方签字的书面协议。
- 监测精度裕量：BMS 的电压/温度/电流测量精度必须留有充足裕量，确保在最差工况下仍能正确判断安全边界。
- 终止方式冗余：考虑使用多种方式实现充电终止（如接触器 + FET 串联），以提升功能安全等级。
参考文献
- IEC 62619:2022, Clause 8.1 (General), Clause 8.2.1 (BMS requirements), Clause 3.12 (BMS definition)
- IEC 61508 (all parts), Functional safety of electrical/electronic/programmable electronic safety-related systems
- IEC 60730-1:2020 Annex H, Automatic electrical controls
- ISO 13849 (all parts), Safety of machinery – Safety-related parts of control systems
- IEC 62619:2022 Figure 6 — BMS 部署架构示意
- IEC 62619:2022 (Ed 2.0), Clause 8.2.2-8.2.4 — Control functions (voltage/current/temperature)
- IEC 62619:2022 (Ed 2.0), Clause 8.1.2 — Risk analysis and SIL target determination
关键事实
- Clause 8.1 强制风险分析：IEC 62619:2022 要求对任何承担安全关键功能的电气/电子/软件控制系统进行正式的功能安全分析，流程为 危险识别 → 风险评估 → SIL 目标确定。
- 三大控制功能 (Clause 8.2)：BMS 必须安全地控制三要素——8.2.2 过充电压控制、8.2.3 过充电流控制、8.2.4 过热控制。过放切断可根据电芯制造商与客户协议豁免。
- 参考功能安全标准：IEC 61508 (全系列) 用于 SIL 确定；IEC 60730-1:2020 Annex H 用于 Class B/C 级别；ISO 13849 (全系列) 用于 PL 级别。
- BMS 四种部署架构：BMS 可部署在电芯内（in-cell）、电池包内（in-pack）、设备侧（at equipment side），或混合分布（分布架构 C/D）。部署方式直接影响测试范围。
- 风险评估方法论：接受的分析方法包括 FMEA（失效模式与影响分析）和 FTA（故障树分析），须覆盖电芯制造和电池系统制造两个层面。
常见问题
Q: IEC 62619 BMS 功能安全怎么评估？需要达到什么等级？
A: 根据 IEC 62619:2022 Clause 8.1.2，BMS 必须经过正式风险分析（FMEA 或 FTA）确定安全完整性等级（SIL）目标。可引用标准：IEC 61508 确定 SIL 等级，IEC 60730-1 Annex H 确定 Class B/C 等级，或 ISO 13849 确定 PL 等级。具体等级取决于风险评估结果，标准没有预设最低等级。
Q: BMS 过充电压控制的测试条件是什么？
A: 根据 Clause 8.2.2，以超过电芯上限电压 10% 的电压对电池系统充电，BMS 必须在电压超限前终止充电回路（接触器、继电器、FET 或断路器均可），且不得发生着火或爆炸。
Q: BMS 的四种部署架构对测试有什么影响？
A: 架构 A（全在 Pack 内）可在 Pack 级独立测试；架构 B（全在设备端）必须 Pack + Equipment 联合测试；架构 C（分布部署）需完整系统联合评估；架构 D（多 Pack + Equipment 混合）按实际部署架构评估。测试必须覆盖所有承担安全功能的控制组件。
Q: 过放切断是强制的吗？为什么可以豁免？
A: 过放切断不是强制的。与过充和过热不同，过放通常不会直接导致热失控，而是可能导致电芯性能劣化。如果电芯制造商与客户达成协议，可以不做过放切断——但必须保留双方签字的书面协议，并在评估报告中说明理由。
Q: IEC 62619 BMS 功能安全与企业标准（如 GWM 企业标准）有什么区别？
A: IEC 62619 是国际标准，从功能安全方法论角度要求 BMS 进行系统化风险分析并确定 SIL 目标，但不限定具体 ASIC 芯片级实现。而企业标准（如 GWM 企业标准）通常进一步规定硬件诊断覆盖率、SPFM/LFM 指标、双路冗余设计等芯片级要求。建议以 IEC 62619 作为基准框架，以企业标准或 ISO 26262 进行落地细化。