Dans une commande de robot industriel, la sécurité fonctionnelle dépend autant de l’architecture que de sa réalisation physique. Les mécanismes à deux canaux, l’arrêt d’urgence et le chien de garde ne peuvent remplir leur fonction que si les interconnexions du PCB restent stables dans les conditions mécaniques et thermiques prévues. La refusion BGA à faible taux de vides fait donc partie du plan de maîtrise des risques pour les FPGA, SoC et processeurs qui portent des fonctions critiques.
Un vide dans un joint BGA ne provoque pas automatiquement une défaillance. Sa taille, sa position, sa distribution, l’alliage, le boîtier et les sollicitations déterminent son importance. L’objectif de fabrication doit être relié à des critères d’acceptation propres au produit, puis vérifié par SPI, AOI, rayons X et inspection du premier article (FAI). Cette démarche fournit des preuves de procédé utiles à une conception suivant IEC 61508 ou ISO 13849, sans remplacer l’analyse de sécurité ni la certification du système.
Architecture de sécurité à deux canaux et qualité des joints BGA
La redondance à deux canaux permet d’exécuter une fonction critique sur des voies indépendantes qui se surveillent mutuellement. Une divergence doit conduire l’équipement vers un état sûr. La couverture de diagnostic (DC) mesure la proportion de défauts dangereux que le système peut détecter.
Une valeur théorique de DC peut être compromise par une défaillance de cause commune (CCF), c’est-à-dire un événement capable d’affecter simultanément plusieurs voies. Sur un PCB, les joints des FPGA ou SoC en boîtier BGA comptent parmi les interconnexions à analyser, car ces composants peuvent regrouper des centaines ou des milliers d’E/S associées aux deux canaux.
Les vides réduisent localement la section de brasure et peuvent modifier la tenue mécanique ou thermique du joint. Sous vibrations ou cycles de température, un joint insuffisamment robuste peut devenir intermittent. Si l’interconnexion concernée transporte une synchronisation ou une donnée de surveillance croisée, la panne peut réduire l’efficacité du diagnostic logiciel.
La refusion sous vide et l’optimisation du profil thermique peuvent abaisser le taux de vides. Les niveaux cités, inférieurs à 25 % ou plus strictement inférieurs à 10 %, sont des objectifs possibles et non des seuils universels : le boîtier, la zone projetée, l’emplacement des vides et la spécification du client doivent définir l’acceptation. La fabrication d’un PCB HDI destiné à un BGA complexe doit en parallèle valider l’échappement, l’empilage et la fabricabilité avant la mise en série.
Circuit d’arrêt d’urgence : associer soudure THT et BGA
Le circuit d’arrêt d’urgence constitue une barrière essentielle. Selon le principe de sécurité positive, une défaillance doit conduire à l’arrêt ou à la coupure d’énergie prévue. Les architectures traditionnelles utilisent boutons mécaniques, relais de sécurité et logique câblée ; ces composants sont souvent montés en technologie traversante THT pour supporter des efforts mécaniques élevés. L’intégration d’une partie de la logique de sécurité dans un MCU ou un FPGA BGA apporte de la souplesse, mais ajoute des interconnexions invisibles à l’inspection optique. Un joint dégradé sur le chemin de traitement de l’arrêt d’urgence peut allonger le temps de réaction au défaut ou empêcher la reconnaissance correcte du signal.
Une carte moderne doit donc maîtriser les deux procédés. Les relais, connecteurs et autres composants traversants exigent un remplissage et une mouillabilité conformes au dessin. Les BGA porteurs de signaux critiques demandent un profil de refusion, un objectif de vides et une inspection radiographique adaptés. La FAI vérifie que les opérations SMT et THT traduisent bien les exigences de conception avant l’autorisation du lot.
Principes de sécurité à vérifier sur le PCBA
- Intégrité physique : une architecture à deux canaux ou un arrêt d’urgence reste dépendant de la fiabilité mesurée des joints et des conducteurs. Le diagnostic logiciel ne répare pas une connexion matérielle permanente ou intermittente.
- Vides évalués selon le risque : leur effet potentiel concerne tenue mécanique, transfert thermique et stabilité de l’interconnexion. Leur acceptation doit tenir compte de la géométrie et des contraintes du produit.
- Procédé documenté : une refusion BGA maîtrisée soutient les objectifs SIL/PL, mais ne les établit pas à elle seule. Les métriques de sécurité restent celles de l’architecture complète.
- Vérification traçable : SPI, AOI, rayons X et FAI doivent produire les preuves définies dans le plan qualité des circuits critiques.
Chien de garde, impulsions de test et intégrité du signal
Le chien de garde vérifie que le processeur émet une impulsion dans le délai prévu ; sinon, il déclenche la remise à zéro ou l’état sûr défini. Des impulsions de test périodiques permettent aussi de détecter une ouverture ou un court-circuit sur les E/S et les liaisons capteurs. Leur temporisation et leur forme d’onde doivent rester dans les limites du circuit de réception. Un joint BGA dégradé peut créer une connexion intermittente et perturber ces mécanismes. L’effet électrique direct d’un vide sur l’inductance ou la capacité du joint dépend toutefois de sa géométrie et ne doit pas être supposé sans analyse. Pour les fronts rapides, l’intégrité du chemin complet — boîtier, via, piste, retour et terminaison — doit être simulée puis mesurée.
Une refusion BGA à faible taux de vides vise surtout la répétabilité des joints et la réduction des défauts susceptibles d’évoluer avec les sollicitations. L’assemblage SMT doit relier impression de pâte, placement, profil de refusion et inspection aux critères temporels et de fiabilité du système de sécurité.
Objectifs SIL/PL, FMEDA et preuves du procédé d’assemblage
Le développement en sécurité fonctionnelle décompose l’objectif SIL (Safety Integrity Level) ou PL (Performance Level) entre sous-systèmes matériels et logiciels. Pour le matériel, l’analyse examine notamment taux de défaillance λ, tolérance aux défauts matériels (HFT) et fraction de défaillances sûres (SFF). La FMEDA formalise les modes de défaillance, leurs effets et leur couverture diagnostique.
Les bibliothèques telles que SN 29500 fournissent des données de taux de défaillance sous des hypothèses d’installation et d’utilisation correctes. La qualité d’assemblage ne doit pas être masquée par ces valeurs génériques. Si le profil de refusion, la géométrie de pâte ou les résultats radiographiques ne sont pas maîtrisés, l’équipe sécurité doit traiter cette incertitude dans ses hypothèses et essais.
Un fournisseur capable de documenter son procédé de refusion BGA à faible taux de vides apporte des données d’entrée plus crédibles à la qualification. Cela ne justifie pas automatiquement l’emploi d’un taux de défaillance plus faible dans la FMEDA : toute valeur doit être étayée par la norme, les données de fiabilité ou les essais acceptés par l’organisme d’évaluation.
Effet du procédé BGA sur les métriques de sécurité
| Dimension évaluée | Refusion BGA standard | Refusion BGA à faible taux de vides |
|---|---|---|
| Taux de vides des joints | Plus élevé et variable, potentiellement >25 % dans l’exemple cité | Objectif contrôlé, typiquement <10 % dans l’exemple cité |
| Couverture de diagnostic (DC) | Une connexion intermittente non détectée peut réduire la DC effective et contribuer à une CCF. | Un procédé stable réduit ce risque, sans garantir à lui seul l’indépendance des canaux. |
| Temps de réaction au défaut | Une intermittence peut retarder ou perturber la détection du défaut. | La répétabilité des interconnexions contribue à un chemin stable ; le temps doit être mesuré au niveau système. |
L’inspection aux rayons X 2D ou 3D rend visibles les joints cachés sous le boîtier. Elle permet de mesurer la taille et la proportion projetée des vides et de rechercher ponts, ouvertures ou défauts Head-in-Pillow (HIP). Pour une carte critique, une inspection de 100 % des BGA peut être spécifiée, mais le plan doit préciser la méthode, les vues, la résolution et les critères d’acceptation.
La combinaison SPI/AOI/rayons X couvre des défauts complémentaires : volume et position de pâte avant placement, défauts visibles après refusion, puis connexions cachées sous BGA. Ces contrôles peuvent être définis dans un service d’assemblage de prototypes avant de figer les paramètres de série.
De la FAI à la série : maintenir un procédé de brasage stable
L’inspection du premier article (FAI) ne se limite pas à vérifier que le premier prototype fonctionne. Elle valide la chaîne de production : approvisionnement des composants, gestion de la pâte, programme de placement, profil de température et critères des inspections SPI, AOI et rayons X.
Sur les premières cartes, les essais destructifs et non destructifs prévus peuvent inclure l’analyse radiographique des BGA, la vérification du niveau de vide et du profil thermique, ainsi que le taux de remplissage et la mouillabilité des joints THT. Les résultats sont consignés dans le rapport FAI utilisé pour autoriser la petite série et démontrer à un organisme tel que TÜV que le procédé est documenté et répétable.
La FAI établit une référence ; la constance des lots suivants demande ensuite maîtrise des changements, surveillance des paramètres et critères de réaction. Une certification de contrôleur de robot ne découle pas du seul rapport FAI, mais celui-ci fournit une partie des preuves de fabrication.
Périmètre d’assemblage HILPCB à confirmer au devis
- Procédé de refusion : évaluer la disponibilité de la refusion sous vide, le profil thermique et l’objectif de vides pour le boîtier et l’alliage concernés.
- Moyens d’inspection : confirmer SPI 3D, AOI en ligne et rayons X 3D, ainsi que les rapports livrables pour le projet.
- Dossier de certification : définir les données FAI et la traçabilité nécessaires au dossier IEC 61508 ou ISO 13849, sans transférer la responsabilité de certification du produit.
- Assemblage mixte : vérifier la combinaison SMT et THT pour un [PCB multicouche](/products/multilayer-pcb/) réunissant BGA haute densité et composants traversants de puissance.
Vernis de tropicalisation ou encapsulation en milieu industriel
Poussière, huile, humidité et variations de température peuvent accélérer corrosion, contamination ou fatigue d’un PCB de robot. Une protection supplémentaire peut être nécessaire après analyse de l’environnement. Les deux solutions citées sont le vernis de tropicalisation et le potting ou encapsulation.
Vernis de tropicalisation : un film polymère mince de 25 à 75 microns est appliqué sur la surface. Le matériau, la propreté et la couverture doivent être qualifiés pour isoler humidité et contaminants sans recouvrir connecteurs, points de test ou interfaces thermiques. Dans une zone BGA dense, la pulvérisation sélective peut aider à contrôler la dépose.
Potting ou encapsulation : une résine époxy ou silicone enrobe toute la carte ou une zone particulière. Elle peut renforcer la protection contre humidité, poussière, produits chimiques, chocs et vibrations, mais complique la réparation et modifie le comportement thermique. Cette option peut convenir à une carte placée au bout d’un bras robotisé ou dans une zone fortement vibrante.
Ces protections réduisent certains risques environnementaux sans rendre la carte indéfaillible. Le choix dépend du profil de mission, du coût, de la thermique, de la masse et de la réparabilité.
Relais de sécurité et qualité de la soudure traversante THT
Malgré la généralisation du SMT, la soudure traversante THT reste adaptée aux relais de sécurité, connecteurs de puissance et certains optocoupleurs qui supportent des efforts mécaniques ou des courants élevés.
Une soudure froide ou un trou insuffisamment rempli peut compromettre la fonction de sécurité autant qu’un défaut sur une interconnexion BGA. Le fournisseur doit donc maîtriser brasage à la vague ou brasage sélectif et documenter les critères applicables aux cartes mixtes. Le service d’assemblage traversant peut être évalué avec les exigences de remplissage, mouillabilité, tenue mécanique et inspection du projet.
Spécifier une refusion BGA faible vide pour un PCB de robot
La refusion BGA à faible taux de vides soutient la fiabilité d’un contrôleur industriel, mais elle ne remplace ni l’architecture à deux canaux ni la validation de l’arrêt d’urgence, du chien de garde et du temps de réaction. Son rôle est de fournir des interconnexions répétables, associées à des critères mesurables et à une traçabilité de procédé.
Le dossier RFQ doit préciser les boîtiers BGA, l’alliage, la finition, le taux de vides et sa méthode de calcul, les zones critiques, le profil thermique, l’échantillonnage ou l’inspection à 100 %, les limites SPI/AOI/rayons X, la FAI, les composants THT et la protection environnementale.
HILPCB peut examiner ce périmètre de fabrication et d’assemblage à partir des fichiers de conception et des exigences IEC 61508 ou ISO 13849 du client. L’acceptation finale doit rester fondée sur les rapports d’inspection, les essais du contrôleur et l’évaluation de sécurité du système complet.