1. 项目概述与BQ28Z620芯片定位在电池供电设备的设计与维护中电池管理系统BMS的角色就好比是人体内的“神经系统”和“免疫系统”。它不仅要实时感知电池的“生命体征”——电压、电流、温度还要基于这些数据进行复杂的“诊断”和“决策”比如估算剩余电量、预测寿命、执行安全保护。而这一切功能的基石是测量数据的绝对精确和系统本身的安全可靠。如果测量失准就像医生用错了体温计所有诊断都将失去意义如果系统能被随意篡改就如同家门大开安全无从谈起。德州仪器TI的BQ28Z620正是为应对这些核心挑战而设计的一款高度集成的电池管理芯片。它远不止是一个简单的“电量计”。在我经手过的多个电动工具、便携式医疗设备和后备电源项目中BQ28Z620因其全生命周期数据记录、硬件级安全认证和灵活的现场校准能力成为了在可靠性要求严苛场景下的首选方案。它把BMS工程师最关心的几个问题“电池历史上经历过什么”、“我的系统是否被非法访问过”以及“测量值到底准不准”通过芯片内部固化的机制给出了系统级的答案。简单来说BQ28Z620的技术价值体现在三个层面记录、守护与修正。它像一位尽职的“电池档案管理员”持续记录运行中的极限数据它也是一位“安全卫士”通过密钥和哈希算法把守数据访问的大门它更是一位“校准技师”提供了让工程师可以亲手微调测量精度使其与真实物理世界对齐的工具集。本文将围绕这三大核心功能结合手册要点与工程实践拆解其实现原理、操作步骤并分享在实际部署中积累的“避坑”经验。2. 生命周期数据收集为电池建立“黑匣子”电池的寿命和健康状况不仅取决于它的化学年龄更与其使用历史息息相关。一次偶然的过温、一次短暂的过充或过放都可能对电池造成不可逆的损伤并在未来以容量骤降或内阻激增的形式表现出来。BQ28Z620的生命周期数据收集Lifetime Data Collection功能就是为了捕捉这些关键历史瞬间而设计的。2.1 功能机制与数据内容这个功能本质上是一个在芯片RAM中运行的环形缓冲区持续记录多项关键参数的极值最大值或最小值以及重要事件计数。它的设计非常巧妙平衡了数据记录的实时性和Flash存储器的寿命。其工作逻辑如下使能与停止通过设置ManufacturingStatus()寄存器中的[LF_EN]位为1来启用。一旦启用总固件运行时间计数器便开始计时。该功能会在两种情况下停止芯片进入永久失效Permanent Fail状态或手动将[LF_EN]位清零。数据写入策略为减少对数据闪存Data Flash, DF的擦写次数延长芯片寿命数据并非实时写入Flash。它仅在以下条件触发时才将RAM中的数据快照写入Flash定期差异写入每10小时检查一次如果RAM中的生命周期数据与Flash中已保存的数据不同则执行写入。永久失效前在芯片即将进入永久失效状态、并禁用Flash更新之前会强制写入一次保留“临终”前的关键数据。复位事件每次芯片复位复位计数器递增都会触发一次写入。主动刷新命令主机可以通过发送LifetimeDataFlushMAC命令随时要求将RAM数据写入Flash。记录的核心数据项电压记录每个电芯Cell的历史最高电压。这对于分析是否发生过充电均衡异常或过压情况至关重要。电流记录历史最大充电或放电电流。有助于判断电池是否承受过超出设计范围的脉冲负载。温度记录电芯的最高和最低温度。是判断热滥用Thermal Abuse最直接的证据。安全事件记录触发SafetyStatus()的安全事件如过压、欠压、过流、过温等次数以及最后一次安全事件发生时的循环计数Cycle Count。这能帮助定位故障是突发性的还是累积性的。电源事件记录复位次数包括完全复位、部分复位和看门狗复位以及关机次数。异常的复位频率可能暗示着硬件不稳定或软件故障。实操心得数据解读的价值我曾处理过一个案例某批设备在野外部署数月后部分电池包容量衰减异常。通过读取生命周期数据发现这些异常电池包都记录有数次短暂的“最高温度”峰值接近电芯上限而正常电池包没有。结合电源事件记录中的频繁复位最终定位到是设备中某个功耗模块的间歇性短路导致局部过热并引发保护复位。如果没有这个“黑匣子”我们很可能将问题简单归咎于电池批次质量无法找到真正的根因。2.2 工程配置与数据读取实践在量产或开发中配置此功能通常遵循以下流程进入FULL ACCESS模式首先你需要使用正确的密钥通过MACSubcmd()命令将芯片从出厂默认的SEALED或UNSEALED模式切换到FULL ACCESS模式。这是配置ManufacturingStatus()等制造相关寄存器的前提。启用生命周期记录向ManufacturingStatus()寄存器写入特定值将[LF_EN]位置1。这个操作通常在生产测试流程的最后阶段进行确保电池从出厂起的所有经历都被记录。数据读取方法生命周期数据存储在数据闪存的特定位置。在UNSEALED或FULL ACCESS模式下可以通过发送相应的MAC命令具体命令码需查阅芯片数据手册中关于Data Flash映射的部分来读取这些数据。读取到的通常是原始数据需要根据手册中的格式进行解析。生产流程中的集成在自动化测试站ATE上可以在完成所有校准和配置后发送启用命令。同时可以增加一个测试项读取并验证生命周期数据区是否已成功初始化例如检查总运行时间是否为0或一个很小的值。注意事项Flash寿命与数据完整性BQ28Z620的数据闪存有擦写次数限制通常为10万次左右。生命周期数据的“定期差异写入”机制正是为了保护Flash。但工程师需要注意如果电池频繁上下电导致复位或在恶劣环境下频繁触发安全事件可能会加速该区域Flash的损耗。虽然对大多数应用来说这不成问题但在极端场景下需评估此风险。此外在芯片进入永久失效前写入数据是一个非常重要的安全特性确保了故障信息不会丢失。3. 设备安全SHA-1 HMAC认证与三级访问控制对于BMS而言安全有两层含义一是电池本身的使用安全二是电池数据与配置的系统安全。BQ28Z620通过一套基于密钥和加密哈希算法的硬件安全机制构建了坚固的访问壁垒。3.1 三级安全模式详解芯片定义了三种安全操作级别构成了一个权限金字塔SEALED密封模式这是芯片出厂后的默认模式或通过命令进入的常规运行模式。在此模式下主机如设备主控MCU只能读取标准命令如电压、电流、温度、SOC、SOH等寄存器。所有扩展MAC命令、数据闪存包含配置参数、生命周期数据、学习数据的访问均被禁止。这防止了终端用户或普通应用程序篡改关键参数。UNSEALED解封模式此模式下除了SEALED模式下的所有权限外主机获得了对所有数据闪存的读写权限。你可以读取生命周期数据、修改电池配置参数需谨慎、执行校准等。这是进行设备维护、诊断和重新配置所需的模式。FULL ACCESS完全访问模式这是最高权限级别。在UNSEALED基础上进一步允许修改安全密钥本身以及访问一些最底层的制造测试功能。芯片出厂时即处于此模式以便烧录初始密钥。产品交付后除非需要进行密钥轮换等极高权限操作否则不应长期处于此模式。模式切换需要通过MACSubcmd()命令发送对应的密钥对来完成且密钥必须连续发送中间不能插入其他命令。3.2 SHA-1 HMAC认证流程深析为了防止未授权设备冒充合法主机进行通信BQ28Z620支持基于SHA-1的HMAC基于哈希的消息认证码认证。其过程是一个典型的“挑战-应答”协议主机发起挑战主机生成一个160位20字节的随机数作为消息M。这个随机数应使用符合安全标准的随机数生成器产生。构造与计算主机和芯片各自持有相同的128位认证密钥KD。认证过程的核心是计算HMAC(M) H[KD || H(KD || M)]其中H是SHA-1哈希函数||是拼接操作。第一次哈希将密钥KD与消息M拼接并填充至512位进行SHA-1运算得到中间结果HMAC1。第二次哈希再将密钥KD与HMAC1拼接、填充进行第二次SHA-1运算得到最终的160位摘要HMAC2。这个双重哈希结构增强了安全性。设备验证主机通过MACData()寄存器将随机消息M发送给芯片。芯片内部使用相同的密钥KD和算法计算出自己的HMAC结果HMAC3。比对与认证主机读取芯片计算出的HMAC3与自己计算的HMAC2进行比较。如果两者完全一致则证明芯片拥有正确的密钥KD认证成功。手册中给出的操作步骤MAC命令0x0000正是封装了这一过程。需要注意的是消息M的格式为小端序LSB在前。实操心得密钥管理与安全实践密钥存储主机端的认证密钥KD必须安全存储例如存储在MCU的安全区域如TrustZone或安全芯片SE中绝不能以明文形式存在于软件代码里。生产烧录芯片的Unseal/Full Access/Authentication密钥应在生产线上通过TI的编程工具如bqStudio配合编程器进行烧录并立即进入SEALED模式。烧录过程应在安全环境中进行密钥一旦烧录在FULL ACCESS模式外是不可读的。认证频率不必每次通信都进行完整的HMAC认证这会影响性能。通常可以在设备启动时或执行敏感操作如进入UNSEALED模式前进行一次认证。认证通过后可以建立一个安全会话。防重放攻击由于HMAC认证依赖于随机数M每次认证的M都必须不同这自然防止了重放攻击攻击者记录一次认证过程并重复发送。3.3 密钥修改与安全操作示例修改密钥如Unseal Key或Full Access Key是风险极高的操作必须确保当前处于FULL ACCESS模式。手册给出了一个清晰的示例将Unseal Key改为0x0123, 0x4567 Full Access Key改为0x89AB, 0xCDEF。其通过MACSubcmd()发送的数据块结构为[命令码] [密钥数据] [校验和] [数据长度]具体到示例向地址0x3E写入数据块[0x35, 0x00, 0x23, 0x01, 0x67, 0x45, 0xAB, 0x89, 0xEF, 0xCD]0x35 0x00这是SecurityKey()命令的代码小端序。0x23 0x01新的Unseal Key (LSB0x0123)。0x67 0x45新的Unseal Key (MSB0x4567)。0xAB 0x89新的Full Access Key (LSB0x89AB)。0xEF 0xCD新的Full Access Key (MSB0xCDEF)。向地址0x60写入校验和与长度[0x0A, 0x0C]校验和0x0A是前面10个字节数据之和0x350x00...0xCD的位取反Bitwise Inversion。长度0x0C表示数据长度为12字节10字节数据2字节校验和与长度这里需注意实际长度计算需严格遵循手册定义示例中0x0C可能对应特定上下文。关键警告两个密钥例如Unseal Key的两部分必须在4秒内连续发送否则芯片将拒绝该请求。这在编写通信驱动时必须严格保证建议在发送第一部分后禁用中断或确保通信不被阻塞。4. 生产校准从原理到实践的精度修正校准是连接芯片ADC读数与真实物理世界的桥梁。BQ28Z620提供了电压、电流、温度的完整校准链。校准的核心思想是施加一个已知的、精确的基准源如高精度电压源、电流源、恒温槽读取芯片ADC的原始输出然后计算出一个“增益Gain”和“偏移Offset”系数写入数据闪存使芯片最终的测量结果与基准源一致。4.1 校准使能与原始数据读取所有校准操作的前提是开启制造状态下的校准使能位并配置芯片输出原始ADC数据。进入校准模式首先通过向MACSubcmd()写入0x002D来设置ManufacturingStatus()[CAL_EN]位。这个位是校准功能的“总开关”。选择原始数据输出模式接着向MACSubcmd()写入0xF081或0xF082。0xF081使能电压、电流、温度的原始ADC数据输出。0xF082在0xF081功能基础上额外在库仑计数器输入SRP, SRN内部短路。这个模式专门用于电流偏移校准可以消除外部PCB走线引入的微小偏移。读取MACData()使能后芯片会定期约每250ms更新MACData()寄存器块。数据格式为一系列16位有符号整数2‘s complement代表了各个通道的原始ADC码值。数据块开头有一个8位计数器ZZ和状态字节YY用于同步。必须等待ZZ计数器至少递增2即至少完成一次数据更新后再读取以确保数据是新鲜的、稳定的。4.2 分步校准实践与计算4.2.1 电芯电压Cell Voltage校准这是最基础的校准目标是修正每个电芯电压测量通道的增益误差。施加基准使用高精度电压源对第一个电芯VCELL1VC1-VSS和第二个电芯VCELL2VC2-VC1分别施加一个已知电压值例如VCELL1 3500mV,VCELL2 3600mV。电压值应在电芯正常工作范围内且尽量远离零点以减小相对误差。读取原始ADC值使能原始输出0xF081后从MACData()中读取ADCCELL1对应BBbb和ADCCELL2对应CCcc。为了抑制噪声必须进行多次采样如16次或32次并取平均值。每次采样前都应检查ZZ位是否已递增。计算增益计算公式为Cell Gain (VCELL1 VCELL2) / ( (ADCCELL1 ADCCELL2) * N / 2^16 )其中N为电芯数量例如2。这个公式的本质是将两个电芯的基准电压之和与两个ADC码值之和所代表的“电压总和”进行比较求出一个整体的比例系数。对于多节电芯此方法假设各通道增益误差一致是一种高效的批量校准方法。若需更高精度应对每个电芯单独校准。写入与验证将计算出的Cell Gain值写入数据闪存对应的位置。然后移除电压源让芯片测量实际电压或施加另一个已知电压通过标准命令Voltage()读取验证其是否与万用表测量值一致。如偏差超出允许范围如±5mV需重复步骤2-4。4.2.2 电流Current校准电流校准相对复杂涉及偏移Offset和增益Gain两部分。BQ28Z620硬件已有改进偏移通常很小但高精度应用仍需校准。CC偏移校准可选目标消除当电流为零时ADC读数不为零的系统误差。操作确保SRP和SRN引脚间电流绝对为0使用0xF082模式内部短路输入。读取ADCCCAAaa取平均。计算CC Offset ADCCC * Coulomb Counter Offset Samples。其中Coulomb Counter Offset Samples是一个来自数据闪存的固定参数用于将ADC码值转换为电流单位。注意手册指出因硬件改进此步骤通常不需要。仅在观察到明显的零漂时才进行。板级偏移校准可选目标消除PCB板上的热电偶效应或其他不对称性引入的额外偏移。操作在0xF081模式外部通路下同样确保零电流。读取ADCCC。计算Board Offset (ADCCC * Coulomb Counter Offset Samples) - CC Offset。这实际上测量的是内部短路与外部通路之间的差值。CC增益/容量增益校准必须目标修正电流测量的比例系数直接影响安时mAh计量的准确性。操作施加一个已知的、稳定的电流如1A恒流放电。读取ADCCC并取平均。计算CC Gain I_CC / (ADCCC * Coulomb Counter Offset Samples - CC Offset Board Offset)Capacity Gain 298261.6178 / CC Gain关键点Capacity Gain用于将电荷计数转换为容量值mAh其计算依赖于一个固定的常数298261.6178该常数与芯片内部ADC和积分器的设计相关。4.2.3 温度Temperature校准温度校准主要是修正偏移。芯片内部有一个温度传感器外部可通过TS引脚连接热敏电阻NTC。内部温度传感器校准将芯片置于恒温环境中记录精确的环境温度TEMP_TINT单位0.1°C。从DAStatus2()读取芯片报告的内部温度原始值TINT需转换为0.1°C单位。计算新的偏移TINT_offset_new TEMP_TINT - (TINT TINT_offset_old)其中TINT_offset_old是数据闪存中的旧值。然后将新值写回。外部TS1传感器校准将连接在TS1引脚上的热敏电阻置于恒温环境记录温度TEMP_TS1。从DAStatus2()读取TS1通道的报告温度TS1。计算新偏移TS1_offset_new TEMP_TS1 - (TS1 TS1_offset_old)写回数据闪存。校准现场实录与避坑指南设备准备校准必须在稳定的环境中进行。电压源、电流源的精度和稳定性至少要比芯片目标精度高一个数量级。温度校准需要高精度恒温槽或温度校准仪。热平衡进行电流校准时大电流会导致采样电阻Sense Resistor发热从而改变其阻值引入误差。必须在电流稳定、电阻温度达到平衡后再开始采样读数。同样温度传感器校准必须等待热平衡。通信稳定性校准过程中需要频繁通过I2C读取MACData()。务必确保I2C通信稳定无错包。建议在读取关键数据后增加校验如读取两次对比。校准顺序建议按照电压 - 电流偏移-增益 - 温度的顺序进行。因为电流校准可能依赖稳定的电压基准虽然BQ28Z620是差分测量影响较小而温度测量相对独立。数据备份在开始校准前务必先读取并备份数据闪存中的所有原始配置参数一旦校准计算或写入错误可能导致芯片无法正常工作。拥有备份可以快速恢复。退出校准模式所有校准步骤完成后必须发送0x002D命令清除[CAL_EN]位退出校准模式。忘记这一步芯片将一直输出原始ADC数据无法进行正常的电量计功能。5. 标准I2C命令解析与系统集成要点完成底层校准和安全配置后BQ28Z620在应用中主要通过一组符合SBSSmart Battery System规范的标准I2C命令与主机通信。理解这些命令是集成BMS功能的关键。5.1 关键状态与数据命令芯片的I2C从机地址为0x557位。以下是一些最常用且至关重要的命令Temperature()(0x06/0x07)返回电池温度单位0.1K。注意它报告的是Pack Configuration中[TEMPS]位所选的温度源内部或外部。在配置时需根据实际使用的传感器进行设置。Voltage()(0x08/0x09)返回电池包的总电压单位为mV。这是所有电芯电压的加和。Current()(0x0C/0x0D)返回瞬时电流单位为mA。正值表示充电负值表示放电。AverageCurrent()(0x14/0x15)返回平均电流基于一定时间窗口通常数秒的滤波值比瞬时电流更稳定常用于电量计算。RelativeStateOfCharge()(0x2C/0x2D)荷电状态SOC即常说的“电量百分比”范围0-100%。这是电量计算法的核心输出。StateOfHealth()(0x2E/0x2F)健康状态SOH反映电池当前最大容量相对于设计容量的百分比是电池老化程度的重要指标。BatteryStatus()(0x0A/0x0B)一个位图寄存器包含了丰富的状态标志位如FDBit 4完全放电标志。FCBit 5完全充电标志。DSGBit 6放电指示1放电中。OCABit 15过充报警。主机应定期轮询此寄存器以监控电池状态。5.2 控制命令与制造访问ManufacturerAccess()/ControlStatus()(0x00/0x01)这是一个多功能寄存器。写入时其行为等同于MACSubcmd()用于发送所有制造、校准、安全相关的扩展命令。读取时它返回控制状态字其中SEC1和SEC0位直接指示当前的安全模式Sealed/Unsealed/Full AccessAUTH位指示认证状态CALM位指示自动校准模式是否开启。这是判断芯片当前操作权限最直接的方法。MACSubcmd()(0x3E/0x3F) 与MACData()(0x40~0x5F)这是访问芯片高级功能的“后门”。如前所述所有安全操作、校准使能、原始数据读取、生命周期数据刷新、密钥修改等都通过向MACSubcmd()写入特定命令码来实现而数据则通过MACData()块进行交换。MACDataSum和MACDataLen用于保证数据块传输的完整性。5.3 系统集成常见问题排查通信失败现象主机无法读取任何数据或读取全为0xFF/0x00。排查检查I2C物理连接上拉电阻通常4.7kΩ、电源、地线。确认I2C地址是否正确0x55。使用逻辑分析仪抓取I2C波形看是否有ACK应答。检查芯片是否处于SEALED模式。在SEALED模式下只有标准命令可读尝试读取扩展地址如MACData会返回错误或无应答。尝试发送Unseal Key如果已知进入UNSEALED模式再试。SOC跳变或不准确现象电量百分比显示不稳定或与真实容量不符。排查首要检查校准电压、电流校准不准是导致SOC计算错误的根本原因。重新执行校准流程。检查Design Capacity、Cycle Count等参数配置是否正确。确认电池化学参数Ra表、Qmax等是否已通过学习周期Learning Cycle成功更新。一个未学习的电量计其SOC精度是很差的。检查MaxError()寄存器0x0E/0x0F它会告SOC估算的预期误差范围。如果误差持续很大说明学习数据可能有问题。无法进入UNSEALED/FULL ACCESS模式现象发送密钥后读取ControlStatus()发现模式未改变。排查确认发送的密钥字节序是否为小端LSB在前。确认两个密钥字是否在4秒内连续发送中间无其他命令。如果是在修改密钥后出现请确认使用的是新密钥还是旧密钥。芯片是否已处于永久失效Permanent Fail状态某些PF状态会锁定模式切换。安全认证失败现象HMAC认证结果不匹配。排查对比主机和芯片使用的认证密钥KD是否完全一致。检查随机数M的生成和发送格式20字节小端序。检查HMAC计算过程特别是SHA-1的填充步骤是否严格遵循FIPS 180-4规范。可以使用已知的测试向量进行验证。确认在发送M和读取HMAC3之间等待了足够的延时手册建议250ms。将BQ28Z620集成到产品中远不止是连接I2C线那么简单。它要求工程师深入理解其安全模型、校准哲学和数据记录机制。从生产线的校准工装开发到产品软件中的安全认证流程和故障诊断逻辑每一个环节都需要精心设计。这颗芯片提供的是一套强大的工具而能否打造出安全、精准、长寿的电池系统则取决于使用这些工具的匠心。