一、单点故障风险分析

传统移动电源的安全保护完全依赖BMS MCU的软件保护：MCU通过ADC监测温度、电压、电流，超过阈值时通过GPIO控制保护MOS切断回路。这种单级保护架构存在单点故障风险：当BMS MCU死机、ADC失效或软件跑飞时，全部保护功能瘫痪，电芯在异常状态下继续充放电，可能导致过热、起火等严重安全事故。

新国标背景下，安全保护的可靠性要求显著提升。实佳电子在NFC模块中集成硬件比较器和与门逻辑，构建BMS软件保护与NFC硬件保护的双重冗余架构，将安全完整性等级从SIL-1提升至SIL-2。

二、双重保护架构

2.1 第一级：BMS软件保护

BMS MCU通过ADC持续监测电芯温度、电压、电流，当参数超过预设阈值时，MCU通过GPIO输出保护信号，控制保护MOS切断充放电回路。这是常规保护路径，响应时间为10-50ms（含ADC采样、软件判断、GPIO输出延迟）。

2.2 第二级：NFC硬件保护

NFC模块上集成LM393硬件比较器和74HC08与门逻辑，构建不依赖BMS MCU的独立硬件保护路径。

•      NTC温度信号直接输入LM393比较器的同相端，参考电压由分压电阻设定（对应60℃阈值）。

•      当NTC温度超过阈值时，比较器输出高电平，输入74HC08与门的一个输入端。

•      与门的另一个输入端接BMS保护信号（BMS正常时为高电平，使能硬件保护路径）。

•      与门输出直接连接保护MOS的栅极，任一输入触发即切断回路。

•      全程不经过BMS MCU，纯硬件逻辑，响应时间<1ms（实测0.8ms）。

2.3 与门逻辑的核心作用

74HC08与门实现两路保护信号的「或」逻辑（通过低电平有效配置）：

关键场景：当BMS MCU死机时，BMS保护信号可能停留在任意状态，但NFC硬件比较器在温度超限时独立触发，通过与门直接切断保护MOS，确保安全。

三、响应时间对比

NFC硬件保护响应时间0.8ms，比BMS软件保护快12-62倍。在电芯热失控的早期阶段，毫秒级的响应差异可能意味着安全与事故的区别。

四、安全完整性等级（SIL）提升

增加NFC硬件冗余保护后，系统从单点失效（SIL-1）提升为双重冗余（SIL-2）。两路保护路径相互独立（BMS MCU vs NFC硬件比较器），共因失效概率低，整体安全失效概率降低一个数量级。

五、硬件电路设计

5.1 核心器件

硬件保护电路的增量BOM成本约0.75元，相对于整体安全等级的提升，具有极高的性价比。

5.2 阈值设定方法

过温保护阈值通过分压电阻设定：

1.    确定目标保护温度（如60℃），查表得NTC在60℃时的阻值（约2.5kΩ）。

2.    计算该阻值在分压电路中的输出电压（V_ref = VCC × R_fixed / (R_ntc + R_fixed)）。

3.    用精密电阻分压产生相同的参考电压，接入比较器反相端。

4.    NTC电压接比较器同相端，温度升高→NTC阻值减小→同相端电压升高→超过反相端参考电压→比较器输出高电平触发保护。

阈值精度取决于电阻精度（±1%）和NTC精度（±1%），综合阈值误差约±2℃。如需更高精度，可使用数字电位器或MCU动态调整参考电压。

六、对BMS设计的影响

NFC硬件冗余保护对BMS设计的影响极小：

•      不需要修改BMS架构：BMS原有保护电路完全保留，NFC硬件保护并联接入。

•      仅需一根连接线：NFC模块的硬件保护输出引脚并联到BMS保护MOS的栅极（或保护IC的触发引脚）。

•      不需要额外GPIO：硬件保护不占用BMS GPIO，纯硬件触发。

•      不需要修改BMS软件：BMS软件无需任何改动，硬件保护独立工作。

•      模块已集成全部电路：LM393、74HC08、NTC、阈值电阻均在NFC模块上，客户不需要额外设计。

七、实测验证

实佳电子对双重保护架构进行了实测验证：

八、结论

基于NFC模块的硬件冗余保护架构，通过在模块上集成LM393比较器和74HC08与门逻辑，构建了BMS软件保护与NFC硬件保护的双重冗余体系。在BMS MCU死机或ADC失效等单点故障场景下，NFC硬件保护可在0.8ms内独立触发，将系统安全完整性等级从SIL-1提升至SIL-2。该方案增量BOM成本仅约0.75元，不需要修改BMS架构和软件，是移动电源新国标下提升安全等级的高性价比方案。

常见问题

Q1：BMS已经有硬件过流保护了，还需要NFC硬件过温保护吗？

A：需要。BMS的硬件过流保护通常只针对过流/短路（用专用保护IC或比较器），而过温保护大多依赖MCU软件实现。NFC硬件保护补充的是过温保护的硬件冗余，与过流保护形成互补。两者覆盖不同的故障类型，共同提升整体安全性。

Q2：硬件保护阈值固定为60℃，客户想调整怎么办？

A：标准模块阈值设定为60℃（最常用的过温保护点）。如需调整阈值，有两种方式：①定制款：实佳在生产时更换阈值设定电阻，可设定为55℃、65℃等任意值；②动态阈值：使用带DAC的比较器或数字电位器，由BMS通过I2C动态调整阈值。定制款不增加成本，仅需在订单中注明阈值要求。

Q3：硬件保护触发后怎么恢复？

A：硬件比较器输出为锁存型还是非锁存型可配置。标准配置为非锁存：温度降至阈值以下（如50℃）后比较器自动复位，保护MOS恢复导通，系统恢复正常。如需锁存型（触发后必须手动复位），可在比较器输出端增加RS触发器，定制实现。建议使用非锁存型，用户体验更好。

Q4：双重保护会不会误触发？

A：误触发概率低。两个原因：①硬件比较器阈值经过精密电阻设定（±1%），且有迟滞设计（比较器正反馈电阻），避免阈值附近的振荡误触发；②BMS保护信号作为与门的使能端，BMS正常工作时可通过软件屏蔽硬件保护（如工厂测试模式）。实测在-20℃至60℃全温度范围内未出现误触发。