BMU-Architektur für den Schienenverkehr, ausgelegt auf SIL2-Zertifizierungsbereitschaft

Projekt kurz zusammengefasst: Für einen europäischen Hersteller industrieller Batteriesysteme entwickelte Promwad eine Dual-MCU-BMU-Plattform auf Basis von NXP S32K37xx + S32K1xx — die primäre MCU übernimmt Verarbeitung und Steuerung, während eine sekundäre unabhängige MCU Safety-Monitoring, Watchdog-Überwachung und Fehlererkennung bereitstellt. Die Lösung ist als eine einzige Platine umgesetzt, die über alle BMU-Rollen im System hinweg skaliert, den externen Industrie-PC eliminiert und einen klaren Pfad zur SIL2-Zertifizierung bietet. Die Architektur ist auf Automotive, Energiespeicher und industrielle Automatisierung übertragbar.

Kunde & Herausforderung

Der Kunde stellt industrielle Batteriesysteme für den Schienenverkehr und die industrielle Automatisierung her. Die Battery Management Unit (BMU) ist der Steuerungskern: Sie verwaltet Lade- und Entladevorgänge, überwacht den Zellzustand, steuert das thermische Verhalten und behandelt Fehlerzustände.

Im bestehenden System lief die Batteriemanagement-Anwendung des Kunden auf einem dedizierten Industrie-PC: einer sperrigen, teuren x86 Box. Der Kunde wollte diese Lösung eliminieren. Gleichzeitig musste die neue BMU die SIL2-Anforderungen gemäß den Standards EN 50126 / EN 50128 / EN 50129 erfüllen, die Umweltanforderungen nach EN 50155 einhalten und sich über industrielle Kommunikationsprotokolle in ein übergeordnetes System integrieren lassen.

SIL2 erfordert einen vollständigen Safety Lifecycle mit auditierbarer Dokumentation: Fehleranalyse, Safety Concept, Verifikationsberichte. Eine Architektur, die der Zertifizierungsprüfung nicht standhält, wirft das Projekt mehrere Phasen zurück, und die Time-to-Market verschiebt sich um Monate. Der Kunde brauchte einen Partner, der sowohl die Elektronik als auch die Zertifizierungslogik end-to-end übernimmt.

Lösung

Promwad entwickelte eine Dual-Prozessor-BMU-Architektur, bei der die Funktionen zwischen der Main MCU (NXP S32K37xx) und einer unabhängigen Safety MCU (NXP S32K1xx) aufgeteilt sind. Ein dedizierter SPI-Kanal verbindet die Prozessoren, mit Integritätsprüfungen auf Protokollebene und Überwachung für den sicherheitsrelevanten Datenaustausch. Diese Trennung unterstützt den SIL2-Zertifizierungspfad, indem sie die Safety-Überwachung von der Hauptsteuerlogik isoliert und die Grundlage für unabhängiges Monitoring, Diagnostik und auditierbare Safety-Nachweise schafft. 

Skalierbare BMU-Architektur

Das BMU-System arbeitet auf drei Ebenen. Auf der obersten Ebene koordiniert das SoM (ARM Cortex-A55, NXP i.MX93, Linux) mehrere Primary-BMU-Controller im gesamten Zug. Jede Primary BMU verwaltet bis zu 20 Secondary-Einheiten. Ohne das SoM arbeitet dieselbe Platine je nach Konfiguration entweder als Primary oder als Secondary BMU. Ein Hardwaredesign deckt alle drei Rollen ab, die Unterscheidung erfolgt bei der Montage über die Konfiguration und das optionale SoM Modul. 

Die Unterscheidung zwischen „Primary“ und „Secondary“ erfolgt während der Montagephase.

Während der Architekturstudien analysierte das Promwad Team zwei verschiedene Lösungen, bevor die finale Entscheidung getroffen wurde: ein optionales SoM (Konzept A) oder eine einheitliche Platine mit einem anderen Mikrocontroller (Konzept B). Konzept A wurde aufgrund niedrigerer Komponentenkosten, kürzerer Entwicklungszeit und größerer Fertigungsflexibilität ausgewählt.

Zusätzlich zur Architekturarbeit definierte und entwickelte das Team: 

• Schaltpläne, PCB und mechanisches Gehäuse, ausgelegt auf die Betriebs- und Umweltanforderungen nach EN 50155. 

• Firmware-Stacks mit MISRA-Compliance und Unit-Test-Coverage. 

• BMS-Anwendung des Kunden, von x86 auf ARM portiert: BSP, Secure Boot, Cybersecurity. 

• Zertifizierungsstrategie für akkreditierte Labore. 

Über dieses Projekt hinaus: wiederverwendbare Plattform

Die Architektur eignet sich auch für Projekte über diesen konkreten Anwendungsfall hinaus. Promwad passt dieselbe Basis für sicherheitskritische Geräte in rauen Umgebungen an. 

Was sich wiederverwenden lässt: 

• Dual-MCU-Architektur mit unabhängigem Safety-Kanal für SIL1-/SIL2-Geräte. 

• Kommunikations-Stack (CANopen, TRDP, J1939, Ethernet, Bluetooth) mit galvanischer Trennung. 

• Compliance-Toolchain: geprüfte Labore, Testplanstruktur, praktische Erfahrung mit EN 50155 / EMV / SIL2. 

• Safety-Dokumentation: FMEDA, Safety Concept und Traceability Matrix als Vorlagen. 

Die Plattform verkürzt die Time-to-Market für neue sicherheitskritische Produkte. Architekturentscheidungen, Dokumentationsbasis und Compliance-Prozesse sind bereits ausgearbeitet.

Ergebnisse

Der Kunde erhielt ein vollständiges BMU-Entwicklungspaket: Dual-MCU-Architektur, Hardwaredesign (Schaltpläne, PCB, Gehäusekonzept), Roadmap für die Firmware-Migration, Plan für die Portierung von x86 auf ARM sowie eine Zertifizierungsstrategie mit definiertem SIL2-Pfad. 

Mehr zu unserer Arbeit im Bereich Automotive Vision

• Energiespeicher: entdecken Sie unsere Engineering-Expertise in Batteriespeichersystemen — von der BMS-Architektur bis hin zu IEC-61508-konformen Designs für Industrie- und Versorgungsanwendungen.
   
• FPGA-Architekturdesign: sehen Sie, wie wir Leistungselektronik und FPGA-Engineering kombiniert haben, um einen leistungsstarken industriellen Wechselrichter zu entwickeln.
   
• IEC 61508: lesen Sie unsere Übersicht zu IEC 61508 — dem Functional-Safety-Standard hinter der SIL-Klassifizierung und den Anforderungen an den Safety Lifecycle.