Industrielle Robotercontroller können redundante Sensorik und Sicherheitsschaltungen verwenden, doch jede Fertigungsprüfung braucht einen klar definierten Umfang. IEEE 1149.1 Boundary Scan kann ausgewählte digitale Verbindungsfehler in kompatiblen Bausteinen erkennen; allein belegt es weder die Echtzeitreaktion eines Roboters noch funktionale Sicherheit oder ein sicheres Bewegungsverhalten.
Sicherheitsarchitektur: strukturelle Abdeckung und freigegebene Fehlertests
Redundanz und Diagnosemaßnahmen werden über die Maschinen-Risikobeurteilung und die Sicherheitsarchitektur ausgewählt und nicht als universelles zweikanaliges Design vorgeschrieben. Boundary Scan kann helfen, festgelegte zugängliche Verbindungen während der Fertigung zu prüfen, belegt aber nicht die Unabhängigkeit vollständiger Sicherheitskanäle.
Ein Funktionstest kann betriebliche Fehler aufdecken, während strukturelle Tests Unterbrechungen oder Brücken auf zugänglichen Netzen lokalisieren können. Keiner der Ansätze erfasst alle Ausfallmodi; ergänzende Inspektion, elektrische Prüfung und Sicherheitsvalidierung auf Anwendungsebene sind gemeinsam einzusetzen.
IEEE 1149.1 Boundary Scan stellt digitale Testfunktionen auf Pin-Ebene bereit, sofern der Baustein und seine BSDL-Beschreibung dies unterstützen. Die BSDL-Dokumentation von TI beschreibt bausteinspezifische Scan-Zellen, Verbindungsports und die Netzliste, die zur Erzeugung struktureller Tests benötigt wird. Der Zugriff hängt von der Kette, dem konfigurierten Baustein-Zustand, der Schaltungstopologie und der Testsoftware ab; nicht alle Prozessoren oder Pins bieten Boundary-Zellen.
Mit dieser JTAG-Kette lassen sich mehrere aussagekräftige strukturierte Tests durchführen:
Prüfungen zur Verbindungstrennung: Bei mit Spannung versorgten erforderlichen Scan-Bausteinen und unabhängig gesperrten gefährlichen Ausgängen können strukturelle Vektoren bestimmte Kurzschlüsse und Unterbrechungen zwischen zugänglichen digitalen Netzen erkennen. Dies belegt weder galvanische Trennung noch die Unabhängigkeit redundanter Kanäle; dafür sind geeignete elektrische und Sicherheitstests erforderlich.
Gezielte Fehlereinspeisung: Eine validierte Debug- oder Testschnittstelle kann genutzt werden, um einen definierten logischen Fehler für ein bestimmtes unterstütztes Design einzuspeisen. Der generische IEEE-1149.1-Boundary-Scan bietet keine deterministische Emulation aller physikalischen Sensorfehler oder Controller-Timingbedingungen.
- Stuck-at-Fehler: Wo die freigegebene Prüfvorrichtung und der Baustein-Testmodus es zulassen, einen definierten High- oder Low-Stimulus auf das ausgewählte Signal geben, während widersprüchliche Treiber deaktiviert sind. Ein statischer Logikpegel repräsentiert nur das angegebene Fehlermodell; er bildet nicht jede Unterbrechung, jeden Kurzschluss oder Sensorfehler nach. Die erforderliche Fehlererkennung und die Reaktion im sicheren Zustand sind im vorgesehenen Betriebsmodus unabhängig gegen die zugewiesene Sicherheits-Zeitanforderung zu messen.
- Timing-Fehler: Übergangszeit und Jitter in einem aktiven Sicherheitskreis erfordern geeignete Messgeräte oder einen freigegebenen Testcontroller. Langsame serielle Boundary-Scan-Vektoren sind keine kalibrierte Quelle für Nanosekunden-Jitter oder realistische Fehlerreaktionszeiten.
Abdeckungsbericht: Zählbare Fehler auf unterstützten Netzen anhand der tatsächlichen BSDL, Netzliste, Prüfvorrichtungen und des Fehlermodells erfassen. Die Fertigungs-Verbindungsabdeckung ist nicht automatisch identisch mit der diagnostischen Abdeckung in Funktionalen-Sicherheitsberechnungen nach IEC 61508 oder ISO 13849.
- Ungenutzte Pins nur dann, wenn Zellen und Konnektivität eine unbeabsichtigte Verbindung beobachtbar machen.
- Unterstützte Busverbindungen unter Berücksichtigung von Pull-Bauteilen, Treibern und konkurrierenden Ausgängen.
- Digitale BGA/LGA-Verbindungen, die trotz begrenztem physischem Zugriff steuerbar und beobachtbar sind.
- Kettenintegrität und unterstützte Identifikationsprüfungen, ohne diese als vollständige interne IC-Tests zu zählen.
Struktureller Boundary Scan rechtfertigt keine universelle Erhöhung der Sicherheits-Diagnoseabdeckung und belegt kein SIL 3/PL e. Solche Aussagen erfordern eine Sicherheitsanalyse und validierte Sicherheitsmechanismen unter den vorgesehenen Betriebsbedingungen.
Die Grundlage dafür liegt in umfassenden und sorgfältigen DFM/DFT/DFA-Reviews (Design for Manufacturability/Testability/Assembly) während der Entwurfsphase. Die korrekte Umsetzung von JTAG-Scan-Ketten in komplexen Designs mit extrem hoher Routingdichte wie HDI-PCB – einschließlich Integrität der Signalwege, Konfiguration der Abschlusswiderstände und physischem Layout der TAP-Schnittstelle – ist Voraussetzung, um ihr volles Potenzial zu nutzen.
Not-Aus-Schaltung: Verbindungsprüfungen von der Sicherheitsvalidierung trennen
Die Not-Aus-Validierung muss der vorgesehenen Maschinen-Risikobeurteilung und der freigegebenen Sicherheitsfunktion folgen. Das System kann Safe Torque Off oder andere Schutzmaßnahmen nutzen; die vollständige Abschaltung der Servostromversorgung ist nicht die einzige zulässige Architektur.
Verdeckte BGA-Lötstellen können den Sondenzugang erschweren. Manche nicht benetzten oder intermittierenden Verbindungen können einer bestimmten Röntgenansicht oder einem Funktionstest bei einer Betriebsbedingung entgehen. Boundary Scan kann eine elektrische Unterbrechung auf einem erfassten Netz aufdecken, wenn sie während des Tests vorliegt; er belegt jedoch nicht die mechanische Integrität oder Lebensdauer einer Lötstelle. Geeignete Inspektion und elektrische Prüfung sind mit dem produktspezifischen Umwelt- und Sicherheitsvalidierungsplan zu kombinieren.
Boundary Scan kann eine Teilmenge digitaler Verbindungsfehler aufdecken, aber nicht den vollständigen Not-Aus-Pfad prüfen, die Kontakttrennung eines Relais belegen oder die Sicherheitslogik des Prozessors validieren. Freigegebene Funktionstests und unabhängige Sicherheitsverifikation sind zu verwenden.
Der konkrete Betriebsablauf ist wie folgt:
- Eingangs-Verbindungsprüfung: Bei gesperrten gefährlichen Ausgängen einen zulässigen Prüfvorrichtungs-Stimulus und Boundary-Scan-Beobachtung nur dann nutzen, wenn der ausgewählte Baustein den relevanten Eingangszustand bereitstellt. Die vollständige Not-Aus-Reaktion muss im vorgesehenen Betriebsmodus separat geprüft werden.
- Bewertung des Logikpfads: Wenn der Prozessor eine zulässige Debug-Schnittstelle bereitstellt, können Registerbeobachtungen oder Single-Stepping die Softwareentwicklung unterstützen. Das Anhalten ändert die Ausführung und kann das Watchdog- oder Peripherieverhalten verändern; es validiert nicht die Not-Aus-Zeitfolge im laufenden Betrieb, die Filterung oder die vollständige Sicherheitsfunktion. Dafür ist der freigegebene Test im Betriebsmodus zu verwenden.
- Ausgangs-Verbindungsprüfung: Wenn das freigegebene Design einen Testzugriff auf Pin-Ebene zulässt, das strukturelle Netz bei physisch isoliertem oder unabhängig gesperrtem Aktuator prüfen. Ein aktives Sicherheitsrelais oder einen Bewegungsausgang nicht über ein generisches JTAG-Verfahren zwangsweise ansteuern.
Die Erstmusterprüfung sollte die Baugruppenkonfiguration, die strukturelle Scan-Abdeckung samt Ausschlüssen sowie die separat freigegebenen Funktions- und Sicherheitstests dokumentieren. Ein bestandener JTAG-Test zertifiziert nicht die Not-Aus-Performance eines Roboters.
Boundary Scan ist je nach Fehlermodell mit SPI/AOI/Röntgenprüfung zu kombinieren. SPI misst Lotpastenaufträge, AOI prüft sichtbare Baugruppenmerkmale und Röntgen untersucht projizierte oder rekonstruierte interne Strukturen. Boundary Scan testet ausgewählte elektrische Verbindungen. Jedes Verfahren hat Ausschlüsse; ihre Kombination deckt nicht automatisch jede Lötstelle ab und begründet keine funktionale Sicherheit.
Vergleich der Teststrategien für Sicherheitssteuerungs-PCBs
| Testverfahren | Abdeckung | Vorteile | Grenzen |
|---|---|---|---|
| Boundary-Scan/JTAG | Ausgewählte steuerbare und beobachtbare digitale Netze, einschließlich unterstützter BGA- oder Steckverbinderpfade | Kann den Sondenzugang für erfasste Netze reduzieren; wiederverwendbare strukturelle Vektoren für ausgewählte Unterbrechungen und Brücken | Gewöhnlicher digitaler Boundary Scan misst keine analogen oder Leistungseigenschaften; genaue Baustein-Zellen, BSDL, Topologie und sicherer Zugang bestimmen die Abdeckung |
| Nadeltest (Flying Probe) | Physisch zugängliche Knoten und unterstützte Bauteilmessungen innerhalb der Schaltungs- und Instrumentengrenzen | Keine teuren Prüfvorrichtungen erforderlich, flexible und schnelle Programmierung, ideal für Prototypen und Kleinserien | Der Durchsatz hängt von Abdeckung und Ausrüstung ab; der direkte Kontakt ist durch den Sondenzugang begrenzt, auch bei verdeckten BGA-Knoten |
| SPI/AOI/Röntgenprüfung | Lötstellenqualität, Bauteilaussehen (falsch/fehlend/verpolt), interne Lotkugelmorphologie von BGA/QFN | Hochpräzise, schnelle Erkennung physischer Defekte, Kern der Prozessqualitätskontrolle | Belegt keinen elektrischen Betrieb; sichtbare Markierungen können manche falschen Bauteile aufdecken, während interne Schäden oder Funktion andere Tests erfordern |
Watchdog und Testpulse: die laufende Schutzfunktion messen
In dynamisch arbeitenden Systemen reicht Redundanz allein nicht aus; kontinuierliche Gesundheitsüberwachungsmechanismen sind unerlässlich. Watchdog-Timer (WDT) und I/O-Testpulse sind zwei der am häufigsten eingesetzten dynamischen Selbsttestverfahren.
- Watchdog: Software bedient den konfigurierten Watchdog innerhalb des zulässigen Intervalls oder Fensters. Ein ausbleibender oder bei einem fenstergesteuerten Baustein ein zu früher Service kann den konfigurierten Reset auslösen oder, falls vorgesehen, eine konfigurierte Sperrung beziehungsweise einen sicheren Ausgangszustand bewirken. Ein erfolgreicher Service allein belegt weder die korrekte Programmausführung noch eine vollständige Sicherheitsabdeckung.
- Testpuls: Manche Sicherheits-I/O-Designs legen kurze Diagnosepulse an und beobachten einen definierten Rücklesepfad, um ausgewählte Fehler wie einen Kurzschluss zur Versorgung zu erkennen. Polarität, Breite und Intervall des Pulses sowie die Lastreaktion hängen vom freigegebenen I/O- und Aktuator-Design ab. Es ist zu bestätigen, dass die Last den Diagnosepuls toleriert und die Rücklesung die vorgesehenen Fehler ohne unbeabsichtigte Betätigung erkennt.
Die Fehlerreaktionszeit ist gegen die zugewiesene System-Sicherheitsanforderung zu validieren. Die zulässige Reaktion hängt von der Gefährdungsanalyse, der Prozesssicherheitszeit und den anwendbaren Anforderungen ab; es gibt keine einzige universelle Zeitgrenze für alle Robotercontroller.
Eine Debug-Schnittstelle kann Entwicklungsbeobachtungen unterstützen, aber JTAG ist kein kalibrierter Sicherheitsreaktions-Timer. Die vollständige Schutzfunktion ist mit unabhängiger Messtechnik, freigegebenen Fehlerstimuli und definierten sicheren Ausgangszuständen zu messen.
- Watchdog-Bewertung: Wenn der Baustein und der Sicherheitsplan das Anhalten im Debug zulassen, kann dies helfen, einen Watchdog-Pfad zu untersuchen. Der tatsächliche Timeout sowie die Reset- oder Sperrreaktion sind unabhängig zu messen, einschließlich des konfigurierten Watchdog-Takts, der Software-Interaktionen und aller erforderlichen sicheren Ausgänge.
- Bewertung des Diagnosepulses: Einen unterstützten digitalen Pfad mit definiertem Stimulus, definierter Erfassungsmethode und definierter Taktbeziehung testen. Standardmäßige serielle Boundary-Scan-Beobachtungen belegen nicht Pulsform, Pulsbreite oder Erfassungszeit im Mikrosekundenbereich der laufenden Sicherheitsfunktion.
Nadeltest und Boundary Scan können sich bei zugänglichen strukturellen Defekten ergänzen. Keiner von beiden belegt im Allgemeinen die Pulsbreite oder die Live-Erfassungszeit einer Sicherheitsdiagnose; dafür sind zeitbewusste Hardware und kalibrierte Messungen erforderlich.
SIL/PL-Zielzerlegung und Integration der DFT-Strategie in die Hardwarearchitektur
Das Erreichen eines bestimmten SIL- (Safety Integrity Level) oder PL-Ziels (Performance Level) ist eine Systementwicklungsaufgabe, die dem V-Modell-Entwicklungsprozess folgt. Sie beginnt mit den übergeordneten Sicherheitsanforderungen und setzt sich nach unten in Hardware- und Software-Implementierung sowie Validierungsmaßnahmen fort. Design for Testability (DFT) spielt dabei eine zentrale Brückenrolle – es ist keine nachträgliche Ergänzung nach dem Design, sondern eine Kernaktivität parallel zum Funktions- und Sicherheitsdesign. Eine gut durchdachte DFT-Strategie strafft die spätere Validierung, Produktionsprüfung und Felddiagnose und liefert zugleich belastbare objektive Nachweise für die Sicherheitszertifizierung.
Damit Boundary-Scan/JTAG die Grundlage der DFT-Strategie bildet, ist bereits zu Projektbeginn in der Schaltplan- und PCB-Layoutphase eine sorgfältige Planung erforderlich:
- Scan-Ketten-Design: Festlegen, welche ICs in die JTAG-Scan-Kette aufgenommen werden. Geeignete unterstützte Bausteine nach Prüfung von Spannungsdomänen, Zugriffsbeschränkungen, Boot-Zuständen und Fehlerisolierung der Kette einbeziehen. Die Länge der Scan-Kette berücksichtigen, da übermäßig lange Ketten die Testzeit erhöhen. Für komplexe Boards können mehrere unabhängige Scan-Ketten ausgelegt und von einem einzigen JTAG-Controller parallel verwaltet werden.
- Signalintegrität: Das JTAG-Taktsignal (TCK) reagiert sehr empfindlich auf die Signalqualität. Im PCB-Layout sicherstellen, dass TCK-Leiterbahnen so kurz wie möglich sind, von Störquellen fernbleiben und korrekt impedanzangepasst und abgeschlossen werden, um durch Signalreflexionen verursachte Testfehler zu vermeiden.
- Physische Schnittstelle: Für den JTAG-TAP-Port eine standardisierte, leicht anschließbare physische Schnittstelle (z. B. Stiftleisten mit 2,54 mm oder 1,27 mm Raster) entwerfen und sie auf dem PCB an einer für Prüfvorrichtungen oder Programmiergeräte gut zugänglichen Stelle platzieren.
Diese Aufgaben erfordern eine enge Zusammenarbeit mit erfahrenen professionellen PCB-Herstellern wie HILPCB während der DFM/DFT/DFA-Review-Phase. Deren Ingenieure können das Design aus Fertigungs- und Testsicht prüfen und Optimierungsvorschläge machen, etwa Testpunkte anpassen, um den Zugang für den Nadeltest zu verbessern, oder JTAG-Steckverbinder-Layouts vereinfachen, um den Montageprozess zu straffen.
Jede Platine, die das Werk verlässt, sollte eine eindeutige Seriennummer haben, und alle Testdaten, Reparaturaufzeichnungen und Komponenten-Chargeninformationen während der Produktion sollten mit dieser Seriennummer verknüpft und in einer Datenbank gespeichert werden.
Wenn Probleme im Feld auftreten, können wir schnell die vollständigen „Geburtsurkunden“ der Platine für die Ursachenanalyse abrufen oder sogar proaktiv Produkte aus derselben Charge zurückrufen, die potenzielle Risiken aufweisen könnten.
Serien- oder Los-Rückverfolgbarkeit, Testnachweise, Reparaturhistorie und Aufbewahrungsregeln sind für das tatsächliche Produkt und den Vertrag festzulegen. MES kann die Verwaltung von Aufzeichnungen unterstützen, doch ein JTAG-Protokoll oder eine Datenbank erfüllt für sich genommen keine Anforderungen von TÜV, UL oder der Funktionalen Sicherheit.
Sicherheitssteuerungs-PCBA: den Fertigungstestumfang definieren
Vor der Freigabe Abdeckung auf Board-Ebene, sichere Testzustände und Nachweise vereinbaren; System-Sicherheit erfordert eine separate Validierung.
Die Kombination aus Boundary-Scan/JTAG, Flying Probe und Röntgeninspektion sowie schlüsselfertige Turnkey-Montage-Dienstleistungen aus einer Hand sind verfügbar. Die Prüfabdeckung richtet sich nach dem konkreten Design und Fehlermodell; sie ist weder eine Funktionssicherheitszertifizierung noch ein Nachweis sämtlicher Lötstellen oder dynamischer Fehler. Verfügbare Ausrüstung, Prüfvorrichtungen, Programme, Ausschlüsse und separate Funktionstests mit dem Lieferanten bestätigen.
Ein robustes Rückverfolgbarkeits-/MES-System gewährleistet die Rückverfolgbarkeit in jeder Phase, von der Komponentenbeschaffung und SMT-Montage bis zur Endprüfung
Erforderliche Bauteil-, Los-, Montage-, Test- und Reparaturaufzeichnungen sowie Aufbewahrung und Abruf festlegen. Bestätigen, dass der Lieferant diese Felder liefern kann; eine Datenbank allein begründet keine Sicherheitszertifizierung.
Frühes Eingreifen während der Designphase bietet Expertenempfehlungen für das PCB-Layout und das JTAG-Kettendesign
Scan-Zugang, Testpunkte, Package-Abdeckung und Prüfvorrichtungs-Grenzen frühzeitig prüfen. Verbleibende Abdeckungslücken dokumentieren, statt vollständige Testbarkeit anzunehmen.
Vertraut mit funktionalen Sicherheitsstandards wie IEC 61508/ISO 13849, in der Lage, umfassende Testberichte und Produktionsprozessdokumentationen bereitzustellen, die den Anforderungen der Zertifizierungsstellen entsprechen.
Berichtsinhalt und Produktionsdokumentation mit dem Produktverantwortlichen und dem Bewertungsplan vereinbaren. Fertigungsunterlagen unterstützen die Prüfung, ersetzen aber keine unabhängige Konformitätsbewertung.
Fazit: Freigabe anhand eines definierten Abdeckungsplans
Für Robotercontroller-Boards ist Boundary Scan ein Teil eines abgestimmten DFT-Plans. Er kann die ausgewählte strukturelle Abdeckung verbessern, wenn kompatible Bausteine und ein sicherer Testzugang vorhanden sind – zusammen mit Inspektion, Funktionstests und Verifikation des Sicherheitssystems.
- In der Entwurfsphase Boundary Scan auswählen, wenn seine unterstützte Abdeckung die anderen DFT-Verfahren und die Sicherheitsarchitektur ergänzt.
- Während der Prototypenbewertung kann Boundary Scan definierte Unterbrechungen oder Kurzschlüsse auf zugänglichen digitalen Netzen erkennen. Unabhängigkeit der Redundanz, Not-Aus-Integrität und Fehlerreaktionszeit erfordern eine separate freigegebene Sicherheitsvalidierung.
- In der Produktion kann JTAG SPI, AOI, Röntgen und elektrische Tests ergänzen, doch verdeckte Lötfehler unterliegen weiterhin der tatsächlichen Fehlermodell-Abdeckung und den Inspektionsgrenzen.
- Über den Produktlebenszyklus hinweg versionierte Testergebnisse und Reparaturaufzeichnungen nach vereinbarten Rückverfolgbarkeitsregeln aufbewahren, um Fehleranalysen und die erforderlichen Bewertungsnachweise zu stützen.
Ein aussagekräftiger Fertigungsplan benennt die unterstützten Scan-Bausteine, BSDL- und Netzlistenversionen, sichere Prüfvorrichtungs-Zustände, zugängliche Netze, Testausschlüsse und Aufzeichnungen. Die unabhängige Sicherheitsverifikation bleibt Aufgabe des freigegebenen Systemprozesses; HILPCB kann den Board-Aufbau und den Testumfang gemeinsam mit dem Kunden prüfen.