工业机器人控制PCB的边界扫描/JTAG：覆盖率与安全边界

工业机器人控制器可能采用冗余传感和安全电路，但每项制造测试都必须界定范围。IEEE 1149.1 边界扫描可检测兼容器件中选定的数字互连缺陷；它本身并不能证明机器人的实时响应、功能安全或安全运动行为。

安全架构：结构覆盖率与经批准的故障测试

冗余和诊断措施通过机械风险评估与安全架构来选择，而不是作为通用的双通道设计强制规定。边界扫描有助于在制造期间验证指定的可访问连接，但不能证明完整安全通道的独立性。

功能测试可发现运行缺陷，而结构测试可定位可访问网络上的开路或桥接。两种方法都无法覆盖所有失效模式；应将互补的检测、电气测试和应用级安全验证结合使用。

IEEE 1149.1 边界扫描在器件及其 BSDL 描述支持的前提下提供数字引脚级测试功能。TI 的 BSDL 文档介绍了器件特定的扫描单元、连接端口以及生成结构测试所需的网表。可访问性取决于扫描链、配置的器件状态、电路拓扑和测试软件；并非所有处理器或引脚都提供边界单元。

利用这条 JTAG 扫描链，可以执行一系列高价值的结构化测试：

1. 互连隔离检查： 在所需扫描器件电源已上电、危险输出已独立禁止的情况下，结构向量可检测可访问数字网络之间的某些短路和开路。这并不能证明电气隔离或冗余通道的独立性；这些需要相应的电气与安全测试。

2. 定向故障注入： 可使用经过验证的调试或测试接口，针对特定受支持设计注入定义的逻辑故障。通用 IEEE 1149.1 边界扫描无法对所有物理传感器故障或控制器时序条件进行确定性仿真。

   • 固定故障： 在经批准的夹具和器件测试模式允许时，在禁用冲突驱动的情况下，向选定信号施加定义的高电平或低电平激励。静态逻辑电平只代表指定的故障模型；它不能复现所有开路、短路或传感器故障。应在预期工作模式下，依据分配的安全时序要求，独立测量所需的故障检测和安全状态响应。
   • 时序故障： 实时安全回路中的跳变时序和抖动需要合适的仪器或经批准的测试控制器。低速串行边界扫描向量不是纳秒级抖动或真实故障反应时序的校准源。

3. 覆盖率报告： 使用实际 BSDL、网表、夹具和故障模型，统计受支持网络上的可检测缺陷。制造互连覆盖率并不自动等同于 IEC 61508 或 ISO 13849 功能安全计算中的诊断覆盖率。

   • 仅在单元与连通性使非预期连接可观测时，才计入未使用引脚。
   • 受支持的总线连接，并考虑上拉/下拉器件、缓冲器和竞争驱动器。
   • 尽管物理访问受限，但仍可控制和观测的 BGA/LGA 数字连接。
   • 扫描链完整性和受支持的标识检查，且不将其计为完整的 IC 内部测试。

结构边界扫描无法证明安全诊断覆盖率得到普遍提升，也不能证明 SIL 3/PL e。此类声明需要在预期工作条件下进行安全分析并验证安全机制。

这一成功的基础在于设计阶段开展全面、细致的 DFM/DFT/DFA 评审（可制造性/可测试性/可装配性设计）。在 HDI PCB 等布线密度极高的复杂设计中，确保 JTAG 扫描链正确实现——包括信号路径完整性、终端电阻配置和 TAP 接口的物理布局——是发挥其全部潜力的前提。

急停电路：将互连检查与安全验证分开

急停验证必须遵循预期的机械风险评估和经批准的安全功能。系统可采用安全转矩关断或其他保护动作；切断伺服的全部电源并非唯一合理的架构。

隐藏的 BGA 焊点会限制探针访问。某些未润湿或间歇性连接可能躲过某一特定 X 射线视图或某一工作条件下的功能测试。当受覆盖网络上存在电气不连续时，边界扫描可在测试期间发现它；但这不能确定焊点的机械完整性或寿命。应将适当的检测与电气测试同产品特定的环境和安全验证计划结合起来。

边界扫描可揭示部分数字互连缺陷，但无法检验完整的急停路径、证明继电器触点分离或验证处理器安全逻辑。应使用经批准的功能测试和独立安全验证。

具体操作流程如下：

1. 输入互连检查： 在危险输出已禁止的情况下，仅当所选器件能暴露相关输入状态时，才使用允许的夹具激励和边界扫描观测。完整的急停响应必须在预期工作模式下单独测试。
2. 逻辑路径评估： 如果处理器提供允许的调试接口，寄存器观测或单步执行可辅助软件开发。暂停会改变执行，并可能改变看门狗或外设行为；它不能验证实时急停时序、滤波或完整安全功能。此类证据应通过经批准的工作模式测试获得。
3. 输出互连检查： 如果经批准的设计允许引脚级测试访问，在执行器物理隔离或独立禁止的情况下验证结构网络。不要通过通用 JTAG 流程强行驱动活动安全继电器或运动输出。

首件检验应记录装配配置、结构扫描覆盖率及其排除项，以及单独批准的功能和安全测试。JTAG 通过并不能证明机器人的急停性能。

应根据故障模型将边界扫描与 SPI/AOI/X-Ray 检测结合使用。SPI 测量焊膏沉积，AOI 检查可见装配特征，X 射线检查投影或重建的内部结构。边界扫描测试选定的电气互连。每种方法都有排除项；它们的组合不会自动覆盖每个焊点，也不能确立功能安全。

看门狗与测试脉冲：测量运行中的保护功能

在动态运行的系统中，仅有冗余还不够；持续的健康监测机制必不可少。看门狗定时器（WDT）和 I/O 测试脉冲是两种最常用的动态自检技术。

• 看门狗： 软件在允许的间隔或窗口内为配置的看门狗提供服务。若未及时服务，或对于窗口型器件服务过早，可触发配置的复位或抑制响应。成功服务本身并不能证明程序执行正确或安全覆盖完整。
• 测试脉冲： 某些安全 I/O 设计会施加短暂诊断脉冲，并观测定义的读回路径，以检测选定的故障，例如对电源短路。脉冲极性、宽度、间隔和负载响应取决于经批准的 I/O 与执行器设计。应确认负载能承受诊断脉冲，且读回能在不引起意外动作的情况下检测预期故障。

应依据分配的系统安全要求验证故障反应时间。允许的响应取决于危害分析、过程安全时间和适用要求；不存在适用于所有机器人控制器的单一通用时限。

调试接口可辅助开发观测，但 JTAG 不是经过校准的安全响应计时器。应使用独立仪器、经批准的故障激励和定义的安全输出状态来测量完整的保护功能。

1. 看门狗评估： 如果器件和安全计划允许调试暂停，它可能有助于探查看门狗路径。应独立测量实际超时、复位或抑制响应，包括配置的看门狗时钟、软件交互和所有必需的安全输出。
2. 诊断脉冲评估： 使用定义的激励、捕获方法和时钟关系测试受支持的数字路径。标准串行边界扫描观测无法证明运行安全功能中的微秒脉冲形状、脉冲宽度或捕获时序。

飞针测试和边界扫描可以互补，用于检测可访问的结构缺陷。二者通常都不能证明安全诊断的脉冲宽度或实时捕获时序；这需要具备时序感知能力的硬件和经过校准的测量。

硬件架构中的 SIL/PL 目标分解与 DFT 策略整合

达成特定的 SIL（安全完整性等级）或 PL（性能等级）目标是一项系统工程工作，遵循 V 模型开发流程。它从顶层安全要求开始，逐层分解到硬件和软件实现及验证措施。可测试性设计（DFT）在此过程中发挥关键的桥梁作用——它不再是设计完成后的补充，而是与功能设计和安全设计并行的核心活动。经过充分考虑的 DFT 策略可简化后续验证、生产测试和现场诊断，同时为安全认证提供有力的客观证据。

要使 边界扫描/JTAG 成为 DFT 策略的基础，需要在项目伊始的原理图设计和 PCB 布局阶段进行周密规划：

• 扫描链设计：确定哪些 IC 应纳入 JTAG 扫描链。在审查电压域、访问限制、启动状态和链故障隔离后，纳入合适的受支持器件。考虑扫描链长度，因为过长的链会增加测试时间。对于复杂板卡，可设计多条独立扫描链，并由单个 JTAG 控制器并行管理。
• 信号完整性：JTAG 时钟信号（TCK）对信号质量高度敏感。在 PCB 布局时，确保 TCK 走线尽可能短、远离噪声源，并正确进行阻抗匹配和端接，以防信号反射导致测试失败。
• 物理接口：为 JTAG TAP 端口设计标准、易于连接的物理接口（例如 2.54mm 或 1.27mm 间距排针），并将其布置在 PCB 上便于测试夹具或编程器访问的位置。

这一系列任务需要在 DFM/DFT/DFA 评审阶段与 HILPCB 等经验丰富的专业 PCB 制造商密切合作。其工程师可从制造和测试角度审查设计，提出优化建议，例如调整测试点位置以改善飞针测试可访问性，或优化 JTAG 连接器布局以简化装配流程。

应针对实际产品和合同定义序列号或批次可追溯性、测试证据、维修历史和保留规则。MES 有助于管理记录，但 JTAG 日志或数据库本身并不能满足 TÜV、UL 或功能安全认证要求。

结论：依据明确的覆盖率计划放行

对于机器人控制器板卡，边界扫描是协同 DFT 计划的一部分。在提供兼容器件和安全测试访问的情况下，它可与其他检测、功能测试和安全系统验证一起，提高选定的结构覆盖率。

• 在设计阶段，当边界扫描的受支持覆盖率能补充其他 DFT 方法和安全架构时，选择使用它。
• 在原型评估期间，边界扫描可检测可访问数字网络上定义的开路或短路。冗余独立性、急停完整性和故障反应时间需要单独的安全验证并获得批准。
• 在生产期间，JTAG 可补充 SPI、AOI、X 射线和电气测试，但隐藏焊点缺陷仍受实际故障模型覆盖率和检测限的约束。
• 在产品生命周期中，按照约定的可追溯性规则保留带版本号的测试结果和维修记录，以支持失效分析和所需的评估证据。

有用的制造计划应明确受支持的扫描器件、BSDL 和网表版本、安全夹具状态、可访问网络、测试排除项和记录。独立安全验证仍由经批准的系统流程负责；HILPCB 可与客户一起审查板级制造和测试范围。

相关链接

• HDI PCB