TI BQ79616-Q1 BMS AFE 工程化 — 16 节监测 / 平衡 / Daisy-chain / ASIL D 路径

3 颗 cell monitor(+ 备用 fab 的 616H)+ 1 颗 daisy-chain bridge 构成完整 chip set,cell monitor 之间只有 cell 数差异:

关键认知:

• pin-to-pin + 软件兼容 — 同一 PCB 三颗都能上,Tier-1 用一套 layout 覆盖 12/14/16 模组(大幅减项目数);datasheet 另列 pin 兼容的 SPI 变体(BQ79652/654/656-Q1)与 48V standalone 版 BQ75614-Q1,选型时按接口需求取
• H 后缀 ≠ 高精度 — 常见误解(旧稿曾写「H = ± 0.75 mV」是错的):TI E2E 实锤 H 与非 H 无物理差异、规格完全相同,H 只是指定另一晶圆厂投产,价值在 dual-source 供货保障,不是更高精度或更长寿命
• 不含 MCU — AFE 本身不跑代码,所有计算都在外部 master MCU 上(常配 NXP S32K3 / TI TMS570 / Infineon AURIX)

800V pack 串约 192-216 个 cell(取决于化学体系),用 16S BQ79616-Q1 串多颗:

daisy-chain 合格堆叠上限 35 颗(TI 官方 spec;6-bit 地址空间 $2^6=64$ 是寻址容量,合格堆叠 ≠ 地址空间)= 远超 pack 实际需要(800V pack 仅 12-14 颗),~2.5 倍冗余余量足够做 ring 拓扑 + 旁路坏颗。

ADC 是 AFE 价值核心,SAR 架构(Main 16-bit + AUX 14-bit,post-SAR 数字 LPF)+ 内置精密参考。datasheet 的 total channel accuracy 是非对称带(不是单一 ± 值),下表按 SLUSE81F 电气特性表逐档列:

关键认知:TI 的「redundancy path」是片内 AUX ADC(datasheet:the AUX ADC path serves as a redundancy path to the Main ADC),不是与 Main 同级的匹配第二套 ADC — AUX 精度显著更粗(@25℃ -7.5/+5.4 mV,约 Main 的 3-4×),定位是「诊断用交叉核」:Main 测的电压用 AUX 再测一次,两者偏差超阈值 → 拉 fault。这与 ADI ADBMS6830 的双匹配 ADC 同步冗余是两条不同路线:BQ79616 靠一主一粗诊断核拿诊断覆盖(性价比),ADBMS6830 靠两路同级 ADC 同刻比对拿更广共因失效覆盖(高安全溢价)。plausibility 阈值须留够(≥ 2×AUX TME + 余量,典型 ≥ 15-20 mV),否则伪 fault 频发。

16 路内置 balance MOSFET(片上 N-FET),不需外置 balance MOSFET,Tier-1 BOM 直接省 16 颗 MOSFET + driver:

• 类型:passive(电阻放电)— 电流由 cell 电压与串在 CB 引脚的外部平衡电阻共同决定(内置 CBFET 只做通断,低-RDSon、自身耗散小),把高压 cell 能量耗为热
• 电流:datasheet 上限 240 mA / cell @ 75℃ 环温(更低环温可支持更高电流);典型 Rbal 取 15-18 Ω 使满充电流落在 240 mA 内 — 平衡 1 Ah 失配约需 4 h
• 两个热点:datasheet 明示 passive 平衡在 PCB 上产生 2 个热点——器件(内置 CBFET) + 外部平衡电阻,layout 须分别散热
• autonomous control:温度监测自动暂停 / 恢复(过温保护内置,不需 MCU 干预)
• 同时启用:可配置任意子集 16 cell 同时平衡(典型量产策略 8 cell 一组轮转防热点)

为什么 TI 选 passive 而非 active:active balancing(cell-to-cell DC-DC)需 16 颗变压器或多绕组,面积代价 3-5×,2024-2026 主流 BMS 仍 passive 主导(active 仅在 EV bus / 长寿命储能里见到)— TI BQ79616 跟随主流。

8 个通用 GPIO,主用途是温度 NTC + 电流分流 + 用户自定义诊断:

通信链路是 BQ79616 的差异化设计 — isolated differential daisy-chain,1 对差分线穿整个 800V pack:

• PHY:differential,isolated — datasheet 支持 电容耦合或变压器耦合 两种隔离(典型 100 V working / 5 kV surge),Tier-1 按跨压与 EMI 需求选
• 速率:1 Mbps(UART baud;调试可降 250 kbps)
• 协议:TI 私有 daisy-chain 帧(CRC + 序号),端口 COMH / COML
• stackable:合格堆叠最多 35 颗(TI 官方;6-bit 地址空间寻址 64,合格上限 35,故 $35\times 16=560$ cells)
• ring topology:可配置成 ring(单线断仍可从两端双向访问)
• 桥接:必须配 BQ79600-Q1 bridge 把 daisy ↔ SPI / UART(MCU 不直接说 daisy),或用一颗 BQ7961x 作 UART base 直连 host

One-Time-Programmable 存储用户配置(OV / UV 阈值 / 平衡 R / NTC β):

• 可写次数 1 次(production line 一次烧死)
• 典型陷阱:Tier-1 在 EVM 阶段误烧 → 整颗 IC 报废(防办法:用 RAM 配置直到 DV 通过)
• lock bit:烧后 lock,防 field 篡改(功能安全 + cybersecurity 双需求)

12 颗 BQ79616-Q1 串接 — 每颗在物理上跨 16 cell(~60V)堆叠,总 192 cells = ~710V(标称 3.7V/cell;满充 4.0V/cell 时约 768V):

• bottom AFE:接 BQ79600-Q1 bridge,通信参考为 12V 低压侧(host MCU 域)
• bottom → next:上行 / 下行各 1 对差分线(2 对共 4 线),通过 isolation barrier 跨 ~60V
• 依次堆叠:每颗 AFE 把上一颗的数据 + 自己测的转发给下一颗
• top AFE:最顶端 16 cell 的电压通过整条链路回流到 bottom

关键认知:每颗 AFE 的 GND 是自己 16 cell 的负端(在 pack 内部 floating),pack 内电压差全靠 isolation barrier 隔开 — 这是 daisy-chain 替代逐颗 opto / iso-SPI 的根本优势。

线缆开断 / 接触失效是 BMS 故障第一大类。ring topology 让 host 可以从 bottom 或 top 两端访问每颗 AFE:

• 正常:bottom → ... → top,数据正向传
• 某段断线:host 检测到 timeout,从 top 反向访问(BQ79600-Q1 支持 top 端也有 bridge,或 single bridge ring 回环)
• 覆盖:任何 1 段线断都不丢监测(故障级别 1 警告,不进 FAIL_SAFE)
• 代价:布线 + bridge 多 1 颗,Tier-1 在 ASIL D 项目里几乎必选

物理布线约束:

下表按 datasheet 的诊断 / 安全机制描述综合归纳为 13 类(非 TI 官方逐条编号),每类覆盖一个独立失效模式,DC 为工程典型区间:

器件带 ASIL D 硬件能力,但系统达到 ASIL D 必须把 SM 全开 + daisy ring + bridge fault path + lock-step MCU 联合。下表对比「基础集成(SM 未全开)」与「完整 ASIL D 系统集成」两种部署(左列不是器件天花板,是未拉满冗余的低集成度用法):

Tier-1 量产实操:EV 主驱 / pack BMS 必走 ASIL D(GB 38031-2020 / UN R100 强约束)— BQ79616 + BQ79600 + S32K3 lock-step + ring topology 是 2024-2026 中国新势力的事实标准组合。

13 类 SM 对应 Safety Mechanism Catalog 的标准分类:ABIST/LBIST = SM 自检类,OV/UV/OT = monitoring 类,CRC = communication integrity 类,redundancy path = hardware redundancy 类。BMS 项目的 DIA 把这 13 条作为 Tier-2 AoU 提给 Tier-1,Tier-1 必逐条 verify。

192 个 NMC cell 串联,用 16S 的 BQ79616-Q1 恰好 12 颗,每颗跨自己的 16 cell:

关键:每颗只看自己 16 cell 的局部电位(≤ 67 V),整包 806 V 的高压差全部由 daisy isolation barrier(电容或变压器耦合)承担,芯片本身从不面对全包电压 — 这是 daisy + 隔离物理层替代逐颗 opto 的根本收益。

平衡电流受内置 CBFET 240 mA/cell @ 75℃ 上限约束,反推外部平衡电阻下限,再算均衡时间与热:

• 电阻下限:满充最坏,Rbal ≥ 4.2 V / 0.24 A = 17.5 Ω → 取 18 Ω(E12 就近,留余量)
• 电流范围:Ibal = Vcell / Rbal → 满充 4.2 V = 233 mA(< 240 mA ✓)、标称 3.7 V = 206 mA、放空 2.5 V = 139 mA
• 均衡时间:纠正 $\Delta Q=250$ mAh 失配,按平均 190 mA → t = 250 mAh / 190 mA ≈ 1.3 h
• 外部电阻功耗:Pbal = Ibal² × Rbal,满充 = (0.233 A)² × 18 Ω ≈ 0.98 W/cell → 选 ≥ 1.5-2 W(或 2× 1210 分散热)
• 板级热:16 cell 同时满平衡 → 16 × 0.98 ≈ 15.7 W 集中在单颗 AFE 周边,这是 §8.2 过热陷阱的根;量产 8 cell 一组轮转把瞬时热腰斩到 ~7.8 W,并给 die 留散热间隔

为什么不用更小 Rbal 拉大电流:18 Ω 已把 233 mA 顶到内置 CBFET 的 240 mA @ 75℃ 上限;再降 Rbal 会越限(除非环温更低)且把 ~16 W 外部电阻热更集中、逼近 die 过温 autonomous shutdown,得不偿失。要更快均衡应转 active balancing(面积代价 3-5×),而非硬拉 passive 电流。注:量产若受热预算约束,靠 8-cell 轮转 + 散热 + 限时 derate(见 §8.2),而非改用大 Rbal 砍电流(那会把均衡时间拉长数倍)。

主+AUX 冗余要"及时"才有安全意义 — 把检测→上报→决策→执行的时间预算和 OV 一类 SG 的 FTTI(典型 ~100 ms)对齐:

闭环红线:整条链的安全前提是 Main/AUX 诊断比对真的在按 ≤ FTTI/2 的周期跑 — 否则 AUX ADC 全程不参与、redundancy 名存实亡,上表预算全部落空(潜伏失效,见 §8.7)。把这个诊断周期排进固件确定性调度是这颗芯片安全设计的第一优先级。

现象:整条 daisy 通信失败,host 看 12 颗全 timeout 根因:COMH / COML 差分对接反,或段间隔离元件(耦合电容 / 变压器)接反 规避:严按 datasheet pin map + BQ79616EVM-021 reference layout 布线 · 极性 silk + EVM 上测过差分波形再放量 真实故事:某 Tier-1 800V pack EOL 大批通信失败,根因 COMH/COML 极性反 · 改 silk 后清零

现象:平衡数分钟后片内温度超限,autonomous 停平衡,SOC 渐失配,field 投诉电量虚标 根因:(A) 16 cell 同时满 duty,§5.2 算出的 ~16 W 外部 Rbal 热 + 内置 CBFET 导通损耗集中在单颗 AFE 周边(datasheet 明示器件 + 电阻两个热点);(B) PCB 散热不足;(C) 单次均衡时长过长,热无间隙累积 规避:8 cell 一组轮转(瞬时热 15.7 → ~7.8 W)· 留 8 cell 散热间隔 · 限制单次均衡时长(分段 duty)· 电阻区与器件区分开散热。注意(与 §5.2 交叉口径):热对策靠散热 + 轮转 + 限时 derate,不是把 Rbal 拉大砍电流(那会把均衡时间拉长数倍,废掉 18Ω/233 mA worked design);18 Ω 已顶在 240 mA @ 75℃ 上限 真实故事:储能 pack 平衡 30 min thermal shutdown · 改 8 cell 轮转 OK

现象:EMC noise 触发误报,field DTC 频出 open-wire alarm,实际采样线正常 根因:(A) 阈值预留过紧,cell sense 线上暂态尖峰触发;(B) 主动 pull-up/down 诊断电流与外部 RC 时间常数不匹配;(C) 数字 LPF 截止过高,噪声穿透 规避:严按 datasheet 推荐阈值 + 匹配外部 RC filter · 在 EVM 上过 EMC 测试再 OTP 烧 · 单点 > 数次连发才进 fault 真实故事:某项目 open-wire 阈过紧,field 频报伪 DTC · 放宽阈值 + 加连发确认后清零

现象:整颗 IC 报废(单颗 $ 7-10 × 12 颗 ≈ 100 美金 / pack) 根因:OTP 只能烧 1 次,EVM / DV 阶段误触发烧写 → 配置写死无法改 规避:EVM / DV 阶段一律用 RAM register 配置,只有 PV 通过后才烧 OTP · lock bit 烧后防 field 篡改 真实故事:某 Tier-1 EVM 调试误烧 OTP,整批 IC 报废 · 后续流程强制"RAM 配置直到 DV 通过"

现象:产线 OTP 烧写失败 / 部分烧写,IC 配置不完整 根因:datasheet 明确 die 温 > 55℃ 不启动 OTP 编程、且 VBAT 须 ≥ 11 V(OTP_PROG 窗口);产线在高温工位或模组欠压时烧 → 烧写不启动或半烧 规避:烧 OTP 前确认 die temp < 55℃ + 模组总压 ≥ 11 V + 电源稳定 · 把这两条作为产线 OTP 工位的 interlock 真实故事:某产线夏季高温工位 OTP 良率骤降,根因工位环温使 die > 55℃ · 加温控 + 电压检查后恢复

现象:EMI 干扰 daisy bits → CRC fail 高 → 平衡 / 通信频繁中断 根因:daisy 差分线走线靠近 SiC 主驱 PWM 边沿(dv/dt > 50 kV/µs),共模干扰耦合进差分对 规避:daisy 物理隔离 ≥ 100 mm + shielded twisted pair + 屏蔽接 chassis 单点接地 · 或在 pack 内做接地隔离规划 · ring topology 让单段 CRC 抖动可反向重取 真实故事:某 800V 集成 pack daisy 贴近逆变器母排,CRC 错率高 · 挪线 + 加屏蔽后清零

现象:功能全正常,但主/冗余偏差 fault 永不触发;safety 审计发现 AUX ADC 结果长期不更新 根因:固件从不周期触发 Main/AUX 诊断比对 → AUX ADC 不参与、冗余交叉核从不执行 → ASIL D 冗余名存实亡(latent fault,平时零症状) 规避:调度里显式周期跑 Main/AUX 诊断(≤ FTTI/2);上电自检读 AUX 结果新鲜度;把"冗余在跑"作为例行 safety 诊断项持续监控 真实故事:DV 阶段 FMEDA 评审发现某 firmware 分支漏调冗余诊断,AUX 全程 dormant · 补周期调度后偏差 fault 才活(对照姊妹页 ADBMS6830 §7.7 的 RD=1 漏调,是同一类跨厂陷阱)

前 7 条是配置 / 布板层陷阱;下面三条是正常配置下仍会咬人的边界工况,量产前必须专门验:

• -40℃ 冷启动 + 菊花链唤醒传播延迟:低温下 VREG 启动 + ADC 建立时间变长,叠加 12 颗 daisy 逐级唤醒传播,首个"全栈有效读"的延迟逼近 FTTI 下界 → 把冷启动首读延迟纳入 FTTI 预算,或上电先进受控 pre-charge、暂缓即时判 OV/UV
• 单颗 AFE 掉电(其 16-cell 段塌陷)vs 通信段断:该颗断链使正向 daisy 到其上游全断;ring 反向仍可达"另一侧"AFE,但掉电段本身失能 → 必进 FAIL_SAFE。要在设计上区分"通信段断(ring 可救)vs AFE 供电失效(不可救、必 safe state)",否则 ring 冗余会掩盖真故障
• 满平衡 + 高环温的 die 温边界:240 mA 是 75℃ 环温下的额定,高于 75℃ 环温叠 16 cell 满 duty 时内置 CBFET 导通损耗 + 板级 ~16 W 回灌,HTQFP 结温逼近 autonomous shutdown;余量由 θJA 与散热焊接质量决定 → corner 在 Tmax 环温叠满平衡,须以 8-cell 轮转 + 散热过孔 + 高温 derate 电流把结温压回 spec