ADI ADBMS6830 BMS AFE 工程化 — 16 节 / 双 ADC 同步冗余 / isoSPI Ring / ASIL D 路径

ADI BMS AFE 历史可切成 4 阶段,每阶段一个关键 IC:

为什么从 18S 单 ADC 退到 16S 双 ADC?ADI 在 datasheet 里没明写,但工程逻辑是:单 ADC 18S 走极限 cell 数(配 96V 模组)是 portable / 工业血统的延续,EV traction pack 主流是 60V 模组(16S × 3.7V NMC ≈ 60V 或 16S × 3.2V LFP ≈ 51V),与车规模块化 BMS slave 板更对齐。让出 2 个 cell,换双 ADC 冗余架构 + 完整功能安全文档,把电压测量路径的诊断覆盖拉到 ASIL D 系统所需水平(ASIL D 是系统级属性,靠 isoSPI 菊花链 + host 落地,不是单芯片自带)— 这是面向 EV 主驱 pack 的换代决策。

ADBMS683x 是当前主流系列,核心 4 颗 IC + 配套桥 + pack-level 监测:

关键认知:

• ADBMS6830 vs ADBMS6830B — B 是新版(2024 Rev.0 datasheet),改进了部分时序与 OTP 配置,新设计推荐用 B;6830 与 6830B pin 兼容
• ADBMS6822 dual isoSPI 桥 — 与 BQ79600 类似角色,dual port 是 ring topology 的关键(BQ79600 也有 dual port 支持 ring)
• ADBMS2950 — pack-level 监测:主电流 shunt + pack 总压 + 快速过流 ADC(独立 overcurrent alert 线,最小延迟),ASIL D qualified,与 ADBMS6830 配套但独立 IC
• 命名不随 cell 数单调 — ADBMS6817 = 8S、ADBMS6815 = 12S、ADBMS6830 = 16S(高料号 ≠ 多 cell,选型易错);6817/6815 lifetime TME < 1.5 mV(比 6830 的 < 2 mV 更紧,cell 少误差预算宽松),全 cell 转换 304 µs

从 LTC6813 → ADBMS6830 的换代,核心不是参数升级而是 架构 + 文档 + 集成度三跳:

1. 单 ADC → 双 ADC 冗余:C-ADC 连续转换(每 1 ms 出结果)、S-ADC 独立测量路径(每 8 ms),片内冗余比较器把 C-ADC 的 8 ms 平均值与同步 S-ADC 结果逐 cell 比对,不依赖 MCU 软件二次触发 — 把电压测量路径的 DC 拉到 ASIL D 冗余度(系统级 ASIL D 仍靠 daisy + host)
2. AEC-Q100 grade-1 全面 + Safety Manual + FMEDA(WFS 功能安全变体):从 portable / 工业 LTC 血统升级到 EV traction pack 主线
3. 集成 passive balance N-FET + 300 mA + PWM autonomous:LTC6813 多需外置 FET,ADBMS6830 像 TI BQ79616 一样片上集成,Tier-1 BOM 省 16 颗 MOSFET + driver

C-ADC(Cell ADC,主路径)给 MCU 提供主测量数据:

S-ADC(Safety ADC,冗余路径)是 完整独立的第二套 ADC,不是简化的比较器或 dual-slope:

为什么强调"独立测量路径":单一 reference / 单一 bias 是 BMS AFE 最常见的共因失效源 — reference 漂 1% 等于全 16 cell 同时偏 ~30 mV,若主 / 冗余 ADC 共用该 reference,则两路一起漂、都漏检。ADBMS6830 让 S-ADC 走 independent measurement path,正是为覆盖这类共因失效 — 这是 ASIL D 冗余里最关键的设计选择。

差值比对由片内冗余比较器做,不需 MCU 参与 — 但必须由固件周期触发 ADCV RD=1(或 ADSV)才会执行(漏调 = 潜伏失效,见 §7.7):

• 执行 ADCV RD=1 时,硬件把 |C-ADC[i] − S-ADC[i]|(每 cell)与 Control Register Group C 里配的阈值(典型 ≥ 5 mV)比对
• 超阈值 → CSxFLT bit[i] 置 1(每 cell 一 bit);为防潜伏失效,比较器本身冗余实现,任一比较器报失配都置 CSxFLT
• C-ADC 后的 IIR 滤波也冗余实现,两个独立 SPI slave 读出后逐位比对
• 整体 FAULTS register 置位 → isoSPI 上抛 host + 桥 NFAULT 拉低

关键认知:比对在片内冗余比较器 + 不靠 MCU 是这条 SM 能拿到高 DC 的关键;若靠 MCU 比对,会引入 MCU 软件失效 + SPI 延迟两条共因失效路径。代价是固件必须真的周期跑 RD=1 — 否则 S-ADC 睡着、冗余名存实亡(§7.7)。

两派在 ASIL D 单片硬件能力上的差异核心是 同步性 + 共因覆盖:

事实判断:对主驱 pack ASIL D 必走 + 价格不敏感(L4 高端 / 商用车 / robotaxi)项目,ADBMS6830 架构优势直接;对性价比敏感 + 中国新势力性价比首选,BQ79616 价格优势 + EVM 充分胜出。

800V pack 串 192 cell(NMC × 16S × 12 颗 = 192 cell ≈ 770 V),典型配置:

• Host MCU 在 12V 域(S32K344 lock-step / TC397)
• ADBMS6822 桥(MCU 侧)— dual isoSPI 收发,翻 SPI ↔ isoSPI
• 12 颗 ADBMS6830 stack — 每颗跨 16 cell ≈ 60V,各自 GND 是自己 16 cell 负端(pack 内部 floating)
• isolation barrier — 变压器隔离 ~5 kV surge / 100 V working
• 双 port — port A 正向 daisy(bottom → top),port B 反向(top → bottom),形成 ring

物理层参数(量产 Tier-1 必查):

线缆开断是 BMS 故障第一大类。ring topology 利用双 port 让 host 双向访问:

• 正常:bottom A → top → loop → top B → bottom,双路径冗余
• A 段断:host 检测 timeout 1-2 ms,切换 port B 反向访问,完整数据保留,仅记 DTC 警告
• A + B 双断(同段):该段失能 → 进 FAIL_SAFE → pack 断主接触器
• 概率:同段双断 $\sim 10^{-6}/\text{h}$,远低于 ASIL D FTTI 量化要求

ASIL D 要求:ring 必启用 + 两 port 都接 + bridge NFAULT → MCU FCCU — 三者缺一不可。

覆盖类:ADC 失效 / reference 漂 / bias 故障 / 单 cell 漂(详 §2)。电压测量路径 SPFM ≥ 99% · 单芯片内覆盖 — 这是 ADBMS6830 架构优势的最大体现(但"单芯片"只覆盖测量功能这一元素,系统 ASIL D 仍需 L2-L4)。

通信层是 BMS 的第二大失效面 — 数据从 AFE 跨高压侧到 MCU,任何线缆故障 / EMI 干扰 / 桥失效都可能让 MCU 拿到错数据或拿不到。ADBMS6830 在通信层叠加两道独立机制 — PEC 校验把"传错"覆盖,双 port ring 把"传不通"覆盖:

• PEC(CRC-15) 每帧校验 — 单 bit / 任意奇数 bit 错误必检(漏检率 = 0),随机错误图样残余漏检率 $\sim 2^{-15}$
• port A + port B 独立物理路径 — 单线断不丢数据
• timeout 1-2 ms 检测 + 切换 — host 自动切 port

覆盖类:单线断 / 单段开路 / EMI 干扰。SPFM ≥ 99% · 同段双断 $\sim 10^{-6}/\text{h}$。

L1 + L2 让单 AFE / 单段通信故障可控,但 12 颗 AFE 的故障要在 FTTI 内传给 MCU 才有意义 — 桥不仅做协议翻译,更是 12 颗 AFE 故障的汇集 + 上报通道,NFAULT 引脚是硬实时旁路(不靠 SPI 排队):

• 桥状态机 — 收 12 颗 AFE FAULTS register,SPI 上抛 host
• NFAULT 引脚(硬线) — active low,任 SM 触发拉低,不靠 SPI · 硬实时
• 桥自检 — WD + CRC + clock monitor,桥失效自身 NFAULT

覆盖类:桥失效 / SPI 卡死 / 故障上报延迟。FTTI ~10 ms 内传给 MCU。

故障传到 MCU 还差最后一步 — 决策"是否进 FAIL_SAFE"本身也可能失效(单 MCU 算错就误判 / 漏判)。L4 用 lock-step MCU + FCCU + SBC 三件套把决策路径也做成冗余:

• lock-step core(S32K344 / TC397)— 两 core 同步执行比对
• FCCU 故障收集 — NFAULT → ERROR_PIN + 软件故障源汇总
• SBC / safe state(FS65 / FS86)— 断接触器 / pyro fuse / MSD

系统级 ASIL D:SPFM ≥ 99% · LFM ≥ 90% · PMHF < 10 FIT · 满足 GB 38031-2020 + UN R100。ADI 对 ADBMS6830 提供 Safety Manual + FMEDA,并有面向 ISO 26262 的功能安全料号变体(WFS 后缀);正确的 ASIL 归属是"器件提供 ASIL D 所需 SM + 安全文档,系统靠 isoSPI 菊花链落地",而非"单芯片即 ASIL D"。

L2-L4 等同(都是 daisy ring + 桥 + lock-step MCU),差异在 L1:ADBMS6830 双 ADC 同步覆盖共因失效更好(瞬态干扰下,两路读同一现实,差值有意义),BQ79616 主+redundancy path 异步,瞬态下两路读到不同瞬时值,差值的物理意义弱。对静态稳定测量两者等同,对瞬态 / EMI 环境(SiC 主驱旁)ADBMS6830 略胜。

四层路径对应 Safety Mechanism Catalog 的标准分类:L1 = hardware redundancy(硬件冗余类),L2 = communication integrity(通信完整性类),L3 = fault aggregation(故障汇集类),L4 = system supervision(系统监督类)。BMS 项目的 ISO 26262 V-cycle 在 SEooC 阶段把 L1-L3 作为 ADBMS6830 + ADBMS6822 的 AoU 输出给 Tier-1,Tier-1 在系统集成时落实 L4。

192 个 NMC cell 串联,用 16S 的 ADBMS6830 恰好 12 颗,每颗跨自己的 16 cell:

关键:每颗只看自己 16 cell 的局部电位(≤ 67 V),整包 806 V 的高压差全部由 isoSPI 变压器隔离承担,芯片本身从不面对全包电压 — 这是 daisy + 隔离物理层替代逐颗 opto 的根本收益。

平衡电流受内置 FET 300 mA/cell 上限约束,反推外部平衡电阻下限,再算均衡时间与热:

• 电阻下限:满充最坏,Rbal ≥ 4.2 V / 0.30 A = 14 Ω → 取 15 Ω(E12 就近,留余量)
• 电流范围:Ibal = Vcell / Rbal → 满充 4.2 V = 280 mA(< 300 mA ✓)、标称 3.7 V = 247 mA、放空 2.5 V = 167 mA
• 均衡时间:纠正 ΔQ = 250 mAh 失配,按平均 220 mA → t = 250 mAh / 220 mA ≈ 1.14 h
• 外部电阻功耗:Pbal = Ibal² × Rbal,满充 = (0.28 A)² × 15 Ω ≈ 1.18 W/cell → 选 ≥ 2 W(或 2× 1210 分散热)
• 板级热:16 cell 同时满平衡 → 16 × 1.18 ≈ 19 W 集中在单颗 AFE 周边,这是 §7.2 过热陷阱的根;量产 8 cell 一组轮转把瞬时热腰斩到 ~9.5 W,并给 die 留散热间隔

为什么不用更小 Rbal 拉大电流:15 Ω 已把 280 mA 顶到内置 FET 峰值(内置为低-RDSon FET,主要限流靠外部 Rbal、自身耗散小);再降 Rbal 电流虽仍受 FET 峰值封顶,但 ~19 W 外部电阻热更集中、逼近 die 过温 autonomous shutdown,得不偿失。要更快均衡应转 active balancing(面积代价 3-5×),而非硬拉 passive 电流。注:此处 280 mA/15Ω 是激进最大电流档;量产按热预算 derate 靠 8-cell 轮转 + 散热 + 限时(见 §7.2 交叉说明),而非改用大 Rbal 砍电流(那会把均衡时间拉长 ~7×)。

双 ADC 冗余要"及时"才有安全意义 — 把检测→上报→决策→执行的时间预算和 OV 一类 SG 的 FTTI(典型 ~100 ms)对齐:

闭环红线:整条链的安全前提是 ADCV RD=1(或 ADSV)真的在按 ≤ FTTI/2 的周期跑 — 否则 S-ADC 全程 dormant、CSxFLT 永不评估,上表 20-30 ms 预算全部落空(潜伏失效,见 §7.7)。检测周期(8 ms)已是四阶段里最小项,把它排进固件确定性调度是这颗芯片安全设计的第一优先级。

四家的市场定位差异主要由 架构选择(同步 vs 异步冗余)+ 价格分层 + 已有客户生态 三者驱动 — 不是单一参数胜负,而是各自占据不同细分:

参数对照不是为了找"全胜"型号(没有),而是看 Tier-1 在 冗余架构 / 精度 / 速度 / 价格 / 文档 五个维度的权重排序后哪家最匹配:

实务选型不是按"哪个最好"问,而是按"安全等级要求 + 价格预算 + 既有生态"三轴定位 — 这条决策树覆盖 80% 量产场景:

• 顶级安全(L4 / robotaxi)+ 同步冗余必需 + 价不是核心 → ADBMS6830(欧洲 OEM 延续 + 中国头部高端新平台)
• 走量 + 性价比 + 整 EVM + Field 中文支持 → BQ79616-Q1(BYD / Polestar / 增程主流)
• 大众系 + 已有 NXP MCU 生态 → MC33775A(整 NXP toolchain + SafeAssure)
• 历史项目 / 美系 legacy → MAX17853(新项目让位 ADBMS683x)

事实判断:ADBMS6830 vs BQ79616 是当代 EV 主驱 pack 两强,前者架构胜出做高端,后者价格胜出做走量;Tier-1 大厂常 dual-source(两套设计),避免单一供应商风险。

现象:一颗 / 一段 daisy 通信概率失败 · PEC 高错率 根因:(A) 段间未加 100 Ω 端接(差分线反射);(B) IPA / IMA 接反(类似 BQ79616 COMH/COML);(C) 变压器中心抽头浮空 规避:严按 EVAL-ADBMS6830 参考 layout · 端接 100 Ω 双端 · 极性 silk + EVM 测过差分波形 · 变压器选 Pulse PE-68386NL / Halo TG110 真实故事:某 Tier-1 800V pack EOL 50% 失败,根因 IPA/IMA 极性反 · 改 silk 后 0 失败

现象:平衡 5-10 min 后 die 温 > 105°C 自动 shutdown 根因:(A) 16 cell 同时 PWM 100% · §5.2 算出的 ~19 W 外部 Rbal 热全集中在单颗 AFE 周边回灌 die(内置为低-RDSon FET、自身耗散小,主热在外部电阻);(B) PCB 散热不足 · LQFP_EP 底盘未焊到大铜 / 散热过孔不够;(C) 单次均衡时长过长 · 热量无间隙累积到 die 温边界 规避:8 cell 一组轮转(瞬时热 19 → ~9.5 W)· 留 8 cell 散热间隔 · EP pad 接 ≥ 4 散热过孔 + 底层大铜 · 限制单次均衡时长(分段 duty)。注意(与 §5.2 交叉口径):热源在外部 Rbal(内置低-RDSon FET 自身耗散小),过热对策靠散热 + 轮转 + 限时,不是把 Rbal 拉到 100-120 Ω 把电流砍到 ~40 mA——后者均衡时间拉长 ~7×,等于废掉 §5.2 的 280 mA/15Ω worked design;§5.2 的 15Ω/280 mA 是激进最大电流档,量产若受热预算约束可 derate 电流(降 duty / 缩轮转组),仍以散热设计为主而非用大电阻硬砍 真实故事:储能 50 kWh pack 平衡 30 min thermal shutdown · 改 8 cell 轮转 OK

现象:field DTC 频出 OV/UV alarm · 实际 cell 正常 根因:(A) NMC 3.7V 阈值套用到 LFP 3.2V;(B) 阈值预留过紧 · cell 暂态尖峰触发;(C) 数字 LPF 截止过高 · 噪声穿透 规避:NMC OV 4.25V / UV 2.5V · LFP OV 3.65V / UV 2.0V 分套 · 上下留 5-10% 缓冲 · 单 cell > 3 次连发才进 fault · LPF 设 50-100 Hz 真实故事:某 LFP 储能用 NMC 阈值,field 30% 车每天报 UV · 全 fleet OTA 改阈

现象:CSxFLT 频繁触发 · 实际两 ADC 都在 spec 内 根因:(A) 阈值配 < 2 mV(两路独立 TME 各自就 2 mV);(B) 两路 LPF 截止不同 · 暂态相位差;(C) 平衡 PWM 边沿干扰 · 两路读到不同瞬态 规避:plausibility 阈 ≥ 5 mV(2 × TME + 余量)· 两路 LPF 配相同 · 平衡 PWM 暂停后读 + 多次确认才进 fault 真实故事:pre-production 阈 1 mV · DV 阶段 80% pack 报伪 CSxFLT — 这是 ADBMS6830 独有的陷阱(BQ79616 redundancy path 不暴露此问题)

现象:5 年后 SOC 估算偏 ±5%,用户投诉里程虚标 根因:(A) cell 老化容量分散 + ADC lifetime 漂叠加;(B) 未用双 ADC 二次校 · 只信 C-ADC 长期累积;(C) 平衡未及时跟进 · 失配从 30 mV → 100 mV 规避:月级周期跑 C-ADC vs S-ADC 长期 trend 比对(ADBMS6830 独占优势!)· SoH 算法纳入 ADC drift 模型 · 平衡阈降到 20 mV · 维护期主动 balance 真实故事:早期 EV 车 5 年 SOH 误差 8% · OTA 加双 ADC 比对算法 + 平衡策略

现象:上电或长空闲后前几帧 PEC 失败 / 读不到最上层几颗 AFE 根因:(A) isoSPI 进 IDLE / 低功耗后需 wake-up 长差分脉冲逐颗唤醒;(B) 12 颗菊花链唤醒延迟逐级累加,host 未等就绪就发命令;(C) ring 只唤醒一端 规避:上电 / 唤醒后先发 wake pulse,按 datasheet 单颗 ready 时间 × 颗数留 margin(数百 µs ~ ms 级)再轮询就绪位;ring 两端都唤醒 真实故事:某 pack 冷启动偶发顶层 3 颗 timeout,加 wake + ready 轮询后清零

现象:功能全正常,但 CSxFLT 永不触发;safety 审计发现 S-ADC 结果寄存器长期不更新 根因:固件只跑普通 ADCV(RD=0),从不跑 ADCV RD=1 / ADSV → S-ADC 不转换、C-S 比对从不执行 → ASIL D 冗余名存实亡(latent fault,平时零症状) 规避:调度里显式周期跑 ADSV / ADCV RD=1(≤ FTTI/2);上电自检读 S-ADC 结果新鲜度;把"冗余在跑"作为例行 safety 诊断项持续监控 真实故事:DV 阶段 FMEDA 评审发现某 firmware 分支漏调 RD=1,S-ADC 全程 dormant · 补周期调度后 CSxFLT 才活

前 7 条是配置 / 布板层陷阱;下面三条是正常配置下仍会咬人的边界工况,量产前必须专门验:

• -40°C 冷启动 + 菊花链唤醒延迟:低温下 VREG 启动 + ADC 建立时间变长,叠加 12 颗 wake 逐级传播,首个"全栈有效读"的延迟逼近 FTTI 下界 → 把冷启动首读延迟纳入 FTTI 预算,或上电先进受控 pre-charge、暂缓即时判 OV/UV
• 单颗 AFE 掉电(其 16-cell 段塌陷):该颗断链使正向 daisy 到其上游全断;ring port B 反向仍可达"另一侧"AFE,但掉电段本身失能 → 必进 FAIL_SAFE。要在设计上区分"通信段断(ring 可救)vs AFE 供电失效(不可救、必 safe state)",否则 ring 冗余会掩盖真故障
• 满平衡 + 高环温的 die 温边界:16 cell 满占空 PWM 时内置 FET 导通损耗 + 板级 ~19 W 回灌,LQFP_EP 结温逼近 autonomous shutdown;余量由 θJA 与 EP 焊接质量决定 → corner 在 Tmax 环温叠满平衡,须以 8-cell 轮转 + EP ≥ 4 散热过孔把结温压回 spec