Les contrôleurs de robots industriels peuvent employer des capteurs redondants et des circuits de sécurité, mais chaque test de fabrication doit avoir un périmètre défini. Le boundary scan IEEE 1149.1 peut détecter certains défauts d'interconnexion numérique dans des composants compatibles ; il ne démontre pas à lui seul la réponse temps réel d'un robot, sa sécurité fonctionnelle ni un comportement de mouvement sûr.
Architecture de sécurité : couverture structurelle et tests de défauts approuvés
La redondance et les mesures de diagnostic sont choisies lors de l'analyse des risques de la machine et de l'architecture de sécurité ; elles ne sont pas imposées comme une conception universelle à deux canaux. Le boundary scan peut aider à vérifier des connexions accessibles définies pendant la fabrication, mais ne démontre pas l'indépendance de canaux de sécurité complets.
Un test fonctionnel peut révéler des défauts opérationnels, tandis que des tests structurels peuvent localiser des ouvertures ou des ponts sur des réseaux accessibles. Aucune approche ne couvre tous les modes de défaillance ; combinez inspection, test électrique et validation de sécurité au niveau applicatif.
Le boundary scan IEEE 1149.1 expose des fonctions de test numérique au niveau des broches lorsque le composant et sa description BSDL le prennent en charge. La documentation BSDL de TI décrit les cellules de scan propres au composant, les ports de liaison et le netlist nécessaire pour générer des tests structurels. L'accès dépend de la chaîne, de l'état configuré du composant, de la topologie du circuit et du logiciel de test ; tous les processeurs ou broches n'offrent pas de cellules de frontière.
Avec cette chaîne JTAG, il est possible d'exécuter une série de tests structurés à forte valeur :
Contrôles d'isolement des interconnexions : Lorsque les alimentations requises des composants de scan sont établies et que les sorties dangereuses sont inhibées de manière indépendante, des vecteurs structurels peuvent détecter certains courts-circuits et ouvertures entre réseaux numériques accessibles. Cela ne prouve pas l'isolement galvanique ni l'indépendance de canaux redondants ; ces propriétés exigent des tests électriques et de sécurité adaptés.
Injection ciblée de défauts : Une interface de débogage ou de test validée peut servir à injecter un défaut logique défini pour une conception prise en charge donnée. Le boundary scan IEEE 1149.1 générique ne fournit pas d'émulation déterministe de tous les défauts physiques de capteurs ni des conditions temporelles du contrôleur.
- Défaut bloqué (stuck-at) : Lorsque le montage de test approuvé et le mode de test du composant le permettent, appliquez une stimulation haute ou basse définie au signal choisi, les pilotes conflictuels étant désactivés. Un niveau logique statique ne représente que le modèle de défaut spécifié ; il ne reproduit pas toutes les ouvertures, tous les courts-circuits ou toutes les défaillances de capteur. Mesurez séparément la détection de défaut requise et la réponse en état sûr dans le mode de fonctionnement prévu, par rapport à l'exigence temporelle de sécurité allouée.
- Défauts temporels : Le temps de transition et la gigue dans une boucle de sécurité active exigent des instruments adaptés ou un contrôleur de test approuvé. Les vecteurs boundary-scan série lents ne constituent pas une source étalonnée de gigue nanoseconde ni de temps de réaction de défaut réaliste.
Rapport de couverture : Comptez les défauts détectables sur les réseaux pris en charge à l'aide du BSDL, du netlist, des montages et du modèle de défaut réels. La couverture des interconnexions de fabrication n'est pas automatiquement identique à la couverture diagnostique des calculs de sécurité fonctionnelle IEC 61508 ou ISO 13849.
- Broches inutilisées uniquement lorsque les cellules et la connectivité rendent une connexion involontaire observable.
- Connexions de bus prises en charge, en tenant compte des dispositifs de polarisation, des tampons et des pilotes concurrents.
- Connexions numériques BGA/LGA contrôlables et observables malgré un accès physique limité.
- Intégrité de la chaîne et contrôles d'identification pris en charge, sans les compter comme des tests internes complets du CI.
Le boundary scan structurel ne justifie pas une augmentation universelle de la couverture diagnostique de sécurité et ne prouve pas SIL 3/PL e. Ces affirmations exigent une analyse de sécurité et des mécanismes de sécurité validés dans les conditions de fonctionnement prévues.
Le fondement de cette réussite réside dans des revues DFM/DFT/DFA approfondies et minutieuses (Design for Manufacturability/Testability/Assembly) pendant la phase de conception. Garantir la mise en œuvre correcte des chaînes de scan JTAG dans des conceptions complexes à très forte densité de routage, comme le PCB HDI, y compris l'intégrité des chemins de signal, la configuration des résistances de terminaison et la disposition physique de l'interface TAP, est un prérequis pour exploiter tout leur potentiel.
Circuit d'arrêt d'urgence : séparer les contrôles d'interconnexion de la validation de sécurité
La validation de l'arrêt d'urgence doit suivre l'analyse des risques de la machine prévue et la fonction de sécurité approuvée. Le système peut utiliser le couple de sécurité coupé (Safe Torque Off) ou d'autres actions de protection ; couper toute l'alimentation du servo n'est pas la seule architecture légitime.
Les joints BGA cachés peuvent limiter l'accès des sondes. Certaines connexions non mouillées ou intermittentes peuvent échapper à une vue radiographique particulière ou à un test fonctionnel dans une condition de fonctionnement donnée. Le boundary scan peut révéler une discontinuité électrique sur un réseau couvert lorsqu'elle est présente pendant le test ; il n'établit pas l'intégrité mécanique ni la durée de vie d'un joint. Combinez une inspection et des tests électriques adaptés avec le plan de validation environnementale et de sécurité propre au produit.
Le boundary scan peut révéler un sous-ensemble de défauts d'interconnexion numérique, mais il ne peut pas exercer le chemin complet d'arrêt d'urgence, prouver la séparation des contacts d'un relais ni valider la logique de sécurité du processeur. Utilisez des tests fonctionnels approuvés et une vérification de sécurité indépendante.
Le déroulement opérationnel concret est le suivant :
- Contrôle d'interconnexion d'entrée : Les sorties dangereuses étant inhibées, utilisez une stimulation de montage autorisée et l'observation boundary-scan uniquement lorsque le composant choisi expose l'état d'entrée concerné. La réponse complète à l'arrêt d'urgence doit être testée séparément dans son mode de fonctionnement prévu.
- Évaluation du chemin logique : Si le processeur expose une interface de débogage autorisée, l'observation des registres ou l'exécution pas à pas peut aider au développement logiciel. L'arrêt de l'exécution la modifie et peut changer le comportement du chien de garde ou des périphériques ; cela ne valide pas la temporisation de l'arrêt d'urgence en fonctionnement, le filtrage ni la fonction de sécurité complète. Utilisez le test en mode de fonctionnement approuvé pour cette preuve.
- Contrôle d'interconnexion de sortie : Si la conception approuvée permet un accès de test au niveau des broches, vérifiez le réseau structurel avec l'actionneur physiquement isolé ou inhibé de manière indépendante. Ne forcez pas un relais de sécurité actif ou une sortie de mouvement via une procédure JTAG générique.
L'inspection du premier article doit documenter la configuration de l'assemblage, la couverture du scan structurel et ses exclusions, ainsi que les tests fonctionnels et de sécurité approuvés séparément. Un succès JTAG ne certifie pas les performances d'arrêt d'urgence d'un robot.
Combinez le boundary scan avec l'inspection SPI/AOI/rayons X selon le modèle de défaut. Le SPI mesure les dépôts de pâte à braser, l'AOI contrôle les caractéristiques visibles de l'assemblage et les rayons X examinent les structures internes projetées ou reconstruites. Le boundary scan teste des interconnexions électriques sélectionnées. Chaque méthode a ses exclusions ; leur combinaison ne couvre pas automatiquement chaque joint ni n'établit la sécurité fonctionnelle.
Comparaison des stratégies de test des PCB de contrôle de sécurité
| Méthode de test | Couverture | Avantages | Limites |
|---|---|---|---|
| Boundary-Scan/JTAG | Réseaux numériques contrôlables et observables sélectionnés, y compris les chemins BGA ou connecteurs pris en charge | Peut réduire les besoins d'accès des sondes pour les réseaux couverts ; vecteurs structurels réutilisables pour certaines ouvertures et certains ponts | Le boundary scan numérique ordinaire ne mesure pas les performances analogiques ou de puissance ; les cellules exactes du composant, le BSDL, la topologie et l'accès sûr déterminent la couverture |
| Test à sonde volante | Nœuds physiquement accessibles et mesures de composants prises en charge dans les limites du circuit et de l'instrument | Pas besoin de montages coûteux, programmation souple et rapide, idéal pour les prototypes et les petites séries | Le débit dépend de la couverture et de l'équipement ; le contact direct est limité par l'accès des sondes, y compris les nœuds BGA cachés |
| Inspection SPI/AOI/rayons X | Qualité des joints de brasure, aspect des composants (erroné/absent/inversé), morphologie interne des billes de brasure BGA/QFN | Détection physique de défauts à haute précision et grande vitesse, cœur du contrôle qualité du processus | N'établit pas le fonctionnement électrique ; les marquages visibles peuvent révéler certains composants erronés, tandis que les dommages internes ou la fonction exigent d'autres tests |
Chien de garde et impulsions de test : mesurer la fonction de protection en fonctionnement
Dans les systèmes à fonctionnement dynamique, la redondance seule ne suffit pas ; des mécanismes de surveillance continue de l'état de santé sont essentiels. Le chien de garde (WDT) et les impulsions de test d'E/S comptent parmi les techniques d'autotest dynamique les plus utilisées.
- Chien de garde : Le logiciel réarme le chien de garde configuré dans l'intervalle ou la fenêtre autorisé. Un réarmement manquant ou, pour un dispositif à fenêtre, prématuré peut déclencher la réinitialisation configurée ou provoquer l’inhibition configurée des sorties de sécurité. Un réarmement réussi ne prouve pas à lui seul une exécution correcte du programme ni une couverture de sécurité complète.
- Impulsion de test : Certaines conceptions d'E/S de sécurité appliquent de brèves impulsions de diagnostic et observent un chemin de relecture défini pour détecter des défauts sélectionnés, comme un court-circuit à l'alimentation. La polarité, la largeur et l'intervalle de l'impulsion, ainsi que la réponse de la charge, dépendent de la conception approuvée des E/S et de l'actionneur. Vérifiez que la charge tolère l'impulsion de diagnostic et que la relecture détecte les défauts prévus sans actionnement involontaire.
Validez le temps de réaction au défaut par rapport à l'exigence de sécurité système allouée. La réponse autorisée dépend de l'analyse des dangers, du temps de sécurité du processus et des exigences applicables ; il n'existe pas de limite temporelle universelle unique pour tous les contrôleurs de robot.
Une interface de débogage peut aider aux observations de développement, mais le JTAG n'est pas un chronomètre de réponse de sécurité étalonné. Utilisez une instrumentation indépendante, des stimuli de défaut approuvés et des états de sortie sûrs définis pour mesurer la fonction de protection complète.
- Évaluation du chien de garde : Si l'arrêt en débogage est autorisé par le composant et le plan de sécurité, il peut aider à explorer un chemin de chien de garde. Mesurez indépendamment le délai d'expiration réel, la réinitialisation ou l'inhibition des sorties de sécurité, y compris l'horloge de chien de garde configurée, les interactions logicielles et toutes les sorties sûres requises.
- Évaluation de l'impulsion de diagnostic : Testez un chemin numérique pris en charge avec une stimulation définie, une méthode de capture et une relation d'horloge définies. Les observations boundary-scan série standard ne prouvent pas la forme, la largeur ni le moment de capture d'une impulsion de l'ordre de la microseconde dans la fonction de sécurité en fonctionnement.
Le test à sonde volante et le boundary scan peuvent se compléter pour les défauts structurels accessibles. Ni l'un ni l'autre ne prouve généralement la largeur d'impulsion ou le moment de capture en direct d'un diagnostic de sécurité ; cela nécessite un matériel sensible au temps et des mesures étalonnées.
Décomposition des objectifs SIL/PL et intégration de la stratégie DFT dans l'architecture matérielle
Atteindre un objectif SIL (Safety Integrity Level) ou PL (Performance Level) donné est un travail d'ingénierie système qui suit le processus de développement en V. Il commence par les exigences de sécurité de haut niveau et se décline vers la mise en œuvre matérielle et logicielle ainsi que les mesures de validation. La conception pour la testabilité (DFT) joue un rôle de pont essentiel dans ce processus : elle n'est plus une réflexion après conception, mais une activité centrale parallèle à la conception fonctionnelle et de sécurité. Une stratégie DFT bien pensée rationalise la validation ultérieure, les tests de production et le diagnostic terrain, tout en fournissant des preuves objectives solides pour la certification de sécurité.
HILPCB propose DFM/DFT/DFA et une traçabilité MES par numéro de série des composants, essais et réparations. Les contrôles et dossiers peuvent soutenir la certification sans démontrer la couverture diagnostique SIL/PL du système.
Faire du Boundary-Scan/JTAG le fondement de la stratégie DFT exige une planification minutieuse dès le début du projet, lors de la conception du schéma et de la disposition du PCB :
- Conception de la chaîne de scan : Déterminez quels CI doivent être inclus dans la chaîne de scan JTAG. Incluez les composants pris en charge appropriés après examen des domaines de tension, des restrictions d'accès, des états de démarrage et de l'isolement des défauts de chaîne. Tenez compte de la longueur de la chaîne, car des chaînes excessivement longues augmentent le temps de test. Pour les cartes complexes, plusieurs chaînes de scan indépendantes peuvent être conçues et gérées en parallèle par un seul contrôleur JTAG.
- Intégrité du signal : L'horloge JTAG (TCK) est très sensible à la qualité du signal. Lors de la disposition du PCB, assurez-vous que les pistes TCK sont aussi courtes que possible, éloignées des sources de bruit et correctement adaptées en impédance et terminées pour éviter les échecs de test dus aux réflexions de signal.
- Interface physique : Concevez une interface physique standard et facile à connecter (par exemple des barrettes au pas de 2,54 mm ou 1,27 mm) pour le port TAP JTAG, et placez-la sur le PCB à un emplacement facilement accessible aux montages de test ou aux programmateurs.
Cette série de tâches exige une collaboration étroite avec des fabricants de PCB professionnels expérimentés comme HILPCB pendant la phase de revue DFM/DFT/DFA. Leurs ingénieurs peuvent examiner votre conception du point de vue de la fabrication et des tests, et proposer des optimisations telles que l'ajustement de l'emplacement des points de test pour améliorer l'accessibilité du test à sonde volante, ou l'optimisation de la disposition des connecteurs JTAG pour simplifier le processus d'assemblage.
Définissez la traçabilité par numéro de série ou par lot, les preuves de test, l'historique des réparations et les règles de conservation pour le produit et le contrat réels. Le MES peut aider à gérer les enregistrements, mais un journal ou une base de données JTAG ne satisfait pas à lui seul aux exigences de certification TÜV, UL ou de sécurité fonctionnelle.
PCBA de contrôle de sécurité : définir le périmètre des tests de fabrication
Avant la libération, convenez de la couverture au niveau de la carte, des états de test sûrs et des preuves ; la sécurité système nécessite une validation séparée.
Demandez la couverture Boundary-Scan/JTAG, sonde volante et rayons X pour la conception réelle. Confirmez avec le fournisseur l'équipement, les montages, les programmes, les exclusions et les tests fonctionnels séparés disponibles.
Spécifiez les enregistrements requis des composants, lots, assemblages, tests et réparations, ainsi que leur conservation et leur récupération. Confirmez que le fournisseur peut fournir ces champs ; une base de données seule n'établit pas la certification de sécurité.
Examinez tôt l'accès au scan, les points de test, la couverture des boîtiers et les contraintes des montages. Consignez les lacunes de couverture résiduelles plutôt que de supposer une testabilité complète.
Convenez du contenu du rapport et de la documentation de production avec le responsable produit et le plan d'évaluation. Les enregistrements de fabrication appuient l'examen mais ne remplacent pas une évaluation de conformité indépendante.
Conclusion : libérer selon un plan de couverture défini
Pour les cartes de contrôleur de robot, le boundary scan fait partie d'un plan DFT coordonné. Il peut améliorer la couverture structurelle sélectionnée lorsque des composants compatibles et un accès de test sûr sont disponibles, aux côtés de l'inspection, des tests fonctionnels et de la vérification du système de sécurité.
Les essais intégrés peuvent comprendre boundary scan JTAG, sonde volante, radiographie et FCT selon la carte ; ils ne certifient pas le système de sécurité et ne détectent pas universellement les défauts en temps réel.
- En phase de conception, choisissez le boundary scan lorsque sa couverture prise en charge complète les autres méthodes DFT et l'architecture de sécurité.
- Lors de l'évaluation du prototype, le boundary scan peut détecter des ouvertures ou courts-circuits définis sur des réseaux numériques accessibles. L'indépendance de la redondance, l'intégrité de l'arrêt d'urgence et le temps de réaction au défaut exigent une validation de sécurité approuvée séparée.
- En production, le JTAG peut compléter le SPI, l'AOI, les rayons X et les tests électriques, mais les défauts de brasure cachés restent soumis à la couverture réelle du modèle de défaut et aux limites d'inspection.
- Tout au long du cycle de vie du produit, conservez des résultats de test versionnés et des enregistrements de réparation selon les règles de traçabilité convenues, pour appuyer l'analyse des défaillances et les preuves d'évaluation requises.
Un plan de fabrication utile précise les composants de scan pris en charge, les versions BSDL et netlist, les états sûrs des montages, les réseaux accessibles, les exclusions de test et les enregistrements. La vérification indépendante de sécurité reste la responsabilité du processus système approuvé ; HILPCB peut examiner la construction de la carte et le périmètre de test avec le client.