I controller dei robot industriali possono impiegare sensori ridondanti e circuiti di sicurezza, ma ogni test di produzione deve avere un ambito definito. Il boundary scan IEEE 1149.1 può rilevare selezionati difetti di interconnessione digitale nei dispositivi compatibili; da solo non dimostra la risposta in tempo reale di un robot, la sicurezza funzionale né un comportamento di movimento sicuro.
Architettura di sicurezza: copertura strutturale e test dei guasti approvati
La ridondanza e le misure diagnostiche vengono scelte tramite la valutazione dei rischi della macchina e l'architettura di sicurezza, non imposte come progetto universale a due canali. Il boundary scan può aiutare a verificare connessioni accessibili specificate durante la produzione, ma non dimostra l'indipendenza di canali di sicurezza completi.
Un test funzionale può rivelare difetti operativi, mentre i test strutturali possono localizzare aperture o ponti su reti accessibili. Nessun approccio copre tutti i modi di guasto; combinare ispezione, test elettrico e validazione della sicurezza a livello applicativo.
Il boundary scan IEEE 1149.1 espone funzioni di test digitale a livello di pin quando il dispositivo e la sua descrizione BSDL lo supportano. La documentazione BSDL di TI descrive le celle di scan specifiche del dispositivo, le porte di collegamento e la netlist necessaria per generare test strutturali. L'accesso dipende dalla catena, dallo stato configurato del dispositivo, dalla topologia del circuito e dal software di test; non tutti i processori o i pin offrono celle di confine.
Con questa catena JTAG è possibile eseguire una serie di test strutturati di elevato valore:
Controlli di isolamento delle interconnessioni: Con le alimentazioni richieste dei dispositivi di scan attive e le uscite pericolose inibite in modo indipendente, i vettori strutturali possono rilevare determinati cortocircuiti e aperture tra reti digitali accessibili. Ciò non prova l'isolamento galvanico né l'indipendenza dei canali ridondanti; per questo servono test elettrici e di sicurezza adeguati.
Iniezione mirata di guasti: Un'interfaccia di debug o test validata può essere usata per iniettare un guasto logico definito per uno specifico progetto supportato. Il boundary scan IEEE 1149.1 generico non fornisce un'emulazione deterministica di tutti i guasti fisici dei sensori o delle condizioni di temporizzazione del controller.
- Guasto stuck-at: Dove il fixture approvato e la modalità di test del dispositivo lo consentono, applicare uno stimolo alto o basso definito al segnale selezionato con i driver in conflitto disabilitati. Un livello logico statico rappresenta solo il modello di guasto specificato; non riproduce ogni apertura, cortocircuito o guasto del sensore. Misurare separatamente il rilevamento del guasto richiesto e la risposta in stato sicuro nella modalità operativa prevista, rispetto al requisito temporale di sicurezza assegnato.
- Guasti di temporizzazione: Il tempo di transizione e il jitter in un anello di sicurezza attivo richiedono strumenti adeguati o un controller di test approvato. I vettori seriali boundary-scan lenti non sono una sorgente calibrata di jitter al nanosecondo né di tempi di reazione realistici ai guasti.
Rendicontazione della copertura: Contare i difetti rilevabili sulle reti supportate usando l'effettiva BSDL, netlist, fixture e modello di guasto. La copertura delle interconnessioni di produzione non è automaticamente identica alla copertura diagnostica nei calcoli di sicurezza funzionale IEC 61508 o ISO 13849.
- Pin inutilizzati solo quando celle e connettività rendono osservabile una connessione indesiderata.
- Connessioni bus supportate, tenendo conto di dispositivi di pull, buffer e driver concorrenti.
- Connessioni digitali BGA/LGA controllabili e osservabili nonostante l'accesso fisico limitato.
- Integrità della catena e controlli di identificazione supportati, senza contarli come test interni completi dell'IC.
Il boundary scan strutturale non giustifica un aumento universale della copertura diagnostica di sicurezza e non prova SIL 3/PL e. Tali affermazioni richiedono un'analisi di sicurezza e meccanismi di sicurezza validati nelle condizioni operative previste.
La base di questo successo risiede in revisioni DFM/DFT/DFA complete e accurate (Design for Manufacturability/Testability/Assembly) durante la fase di progettazione. Garantire la corretta implementazione delle catene di scan JTAG in progetti complessi con densità di routing estremamente elevata, come il PCB HDI, inclusi integrità dei percorsi di segnale, configurazione delle resistenze di terminazione e layout fisico dell'interfaccia TAP, è un prerequisito per sfruttarne appieno il potenziale.
Circuito di arresto di emergenza: separare i controlli di interconnessione dalla validazione di sicurezza
La validazione dell'arresto di emergenza deve seguire la valutazione dei rischi della macchina prevista e la funzione di sicurezza approvata. Il sistema può usare il Safe Torque Off o altre azioni protettive; togliere tutta l'alimentazione al servo non è l'unica architettura legittima.
I giunti BGA nascosti possono limitare l'accesso delle sonde. Alcune connessioni non bagnate o intermittenti possono sfuggire a una particolare vista radiografica o a un test funzionale in una condizione operativa. Il boundary scan può rivelare una discontinuità elettrica su una rete coperta quando è presente durante il test; non stabilisce l'integrità meccanica o la durata di un giunto. Combinare ispezione e test elettrici adeguati con il piano di validazione ambientale e di sicurezza specifico del prodotto.
Il boundary scan può rivelare un sottoinsieme di difetti di interconnessione digitale, ma non può esercitare il percorso completo dell'arresto di emergenza, provare la separazione dei contatti di un relè o validare la logica di sicurezza del processore. Usare test funzionali approvati e una verifica di sicurezza indipendente.
Il flusso operativo concreto è il seguente:
- Controllo dell'interconnessione di ingresso: Con le uscite pericolose inibite, usare uno stimolo del fixture consentito e l'osservazione boundary-scan solo quando il dispositivo selezionato espone lo stato di ingresso pertinente. La risposta completa all'arresto di emergenza deve essere testata separatamente nella modalità operativa prevista.
- Valutazione del percorso logico: Se il processore espone un'interfaccia di debug consentita, l'osservazione dei registri o il single stepping possono assistere lo sviluppo software. L'arresto modifica l'esecuzione e può cambiare il comportamento del watchdog o delle periferiche; non valida la temporizzazione dell'arresto di emergenza in funzione, il filtraggio o la funzione di sicurezza completa. Per tale evidenza usare il test approvato in modalità operativa.
- Controllo dell'interconnessione di uscita: Se il progetto approvato consente l'accesso di test a livello di pin, verificare la rete strutturale con l'attuatore fisicamente isolato o inibito in modo indipendente. Non forzare un relè di sicurezza attivo o un'uscita di movimento tramite una procedura JTAG generica.
L'ispezione del primo articolo deve documentare la configurazione dell'assemblaggio, la copertura dello scan strutturale e le esclusioni, oltre ai test funzionali e di sicurezza approvati separatamente. Un esito positivo del JTAG non certifica le prestazioni di arresto di emergenza di un robot.
Combinare il boundary scan con l'ispezione SPI/AOI/raggi X in base al modello di guasto. SPI misura i depositi di pasta saldante, AOI controlla le caratteristiche visibili dell'assemblaggio e i raggi X esaminano strutture interne proiettate o ricostruite. Il boundary scan testa interconnessioni elettriche selezionate. Ogni metodo ha esclusioni; la loro combinazione non copre automaticamente ogni giunto né stabilisce la sicurezza funzionale.
Confronto delle strategie di test per PCB di controllo di sicurezza
| Metodo di test | Copertura | Vantaggi | Limiti |
|---|---|---|---|
| Boundary-Scan/JTAG | Reti digitali controllabili e osservabili selezionate, inclusi percorsi BGA o connettori supportati | Può ridurre la necessità di accesso con sonde per le reti coperte; vettori strutturali riutilizzabili per determinate aperture e ponti | Il boundary scan digitale ordinario non misura prestazioni analogiche o di potenza; le celle esatte del dispositivo, il BSDL, la topologia e l'accesso sicuro determinano la copertura |
| Test a sonda volante | Nodi fisicamente accessibili e misurazioni dei componenti supportate entro i limiti del circuito e dello strumento | Nessuna necessità di fixture costose, programmazione flessibile e rapida, ideale per prototipi e piccole serie | La produttività dipende dalla copertura e dalle attrezzature; il contatto diretto è limitato dall'accesso delle sonde, inclusi i nodi BGA nascosti |
| Ispezione SPI/AOI/raggi X | Qualità dei giunti di saldatura, aspetto dei componenti (errato/mancante/invertito), morfologia interna delle sfere di saldatura BGA/QFN | Rilevamento fisico dei difetti ad alta precisione e velocità, nucleo del controllo qualità del processo | Non stabilisce il funzionamento elettrico; le marcature visibili possono rivelare alcuni componenti errati, mentre danni interni o funzionalità richiedono altri test |
Watchdog e impulsi di test: misurare la funzione di protezione in esercizio
Nei sistemi a funzionamento dinamico la sola ridondanza non basta; sono essenziali meccanismi di monitoraggio continuo dello stato di salute. Il watchdog timer (WDT) e gli impulsi di test I/O sono due delle tecniche di autotest dinamico più utilizzate.
- Watchdog: Il software serve il watchdog configurato entro l'intervallo o la finestra consentiti. Un servizio mancante o, per un dispositivo a finestra, prematuro può attivare il reset configurato o inibire la risposta. Un servizio riuscito da solo non prova l'esecuzione corretta del programma né una copertura di sicurezza completa.
- Impulso di test: Alcuni progetti di I/O di sicurezza applicano brevi impulsi diagnostici e osservano un percorso di rilettura definito per rilevare guasti selezionati, come un cortocircuito verso l'alimentazione. Polarità, larghezza e intervallo dell'impulso e la risposta del carico dipendono dal progetto approvato di I/O e attuatore. Verificare che il carico tolleri l'impulso diagnostico e che la rilettura rilevi i guasti previsti senza azionamenti indesiderati.
Validare il tempo di reazione ai guasti rispetto al requisito di sicurezza di sistema assegnato. La risposta consentita dipende dall'analisi dei pericoli, dal tempo di sicurezza del processo e dai requisiti applicabili; non esiste un unico limite temporale universale per tutti i controller robotici.
Un'interfaccia di debug può assistere le osservazioni di sviluppo, ma il JTAG non è un timer calibrato per la risposta di sicurezza. Usare strumentazione indipendente, stimoli di guasto approvati e stati di uscita sicuri definiti per misurare la funzione di protezione completa.
- Valutazione del watchdog: Se il dispositivo e il piano di sicurezza consentono l'arresto in debug, può aiutare a esplorare un percorso watchdog. Misurare indipendentemente il timeout effettivo, il reset o l'inibizione della risposta, inclusi il clock del watchdog configurato, le interazioni software e tutte le uscite sicure richieste.
- Valutazione dell'impulso diagnostico: Testare un percorso digitale supportato con stimolo, metodo di cattura e relazione di clock definiti. Le comuni osservazioni seriali boundary-scan non provano forma, larghezza o temporizzazione di cattura di un impulso al microsecondo nella funzione di sicurezza in esercizio.
Il test a sonda volante e il boundary scan possono completarsi a vicenda per i difetti strutturali accessibili. Nessuno dei due in genere prova la larghezza dell'impulso o la temporizzazione di cattura dal vivo di una diagnostica di sicurezza; servono hardware sensibile al tempo e misurazioni calibrate.
Scomposizione degli obiettivi SIL/PL e integrazione della strategia DFT nell'architettura hardware
Raggiungere uno specifico obiettivo SIL (Safety Integrity Level) o PL (Performance Level) è un'attività di system engineering che segue il processo di sviluppo a V. Parte dai requisiti di sicurezza di livello superiore e si estende verso il basso fino all'implementazione hardware e software e alle misure di validazione. Il Design for Testability (DFT) svolge in questo processo un ruolo di ponte cruciale: non è più una riflessione successiva al progetto, ma un'attività centrale parallela alla progettazione funzionale e di sicurezza. Una strategia DFT ben ponderata snellisce la successiva validazione, i test di produzione e la diagnostica sul campo, fornendo al contempo solide prove oggettive per la certificazione di sicurezza.
Rendere il Boundary-Scan/JTAG fondamento della strategia DFT richiede un'attenta pianificazione fin dall'inizio del progetto, nelle fasi di schema elettrico e layout PCB:
- Progettazione della catena di scan: Stabilire quali IC includere nella catena di scan JTAG. Includere gli opportuni dispositivi supportati dopo aver esaminato domini di tensione, restrizioni di accesso, stati di avvio e isolamento dei guasti della catena. Considerare la lunghezza della catena, poiché catene eccessivamente lunghe aumentano il tempo di test. Per le schede complesse si possono progettare più catene di scan indipendenti e gestirle in parallelo con un unico controller JTAG.
- Integrità del segnale: Il clock JTAG (TCK) è molto sensibile alla qualità del segnale. Durante il layout PCB, assicurarsi che le piste TCK siano il più corte possibile, lontane da sorgenti di rumore e correttamente adattate in impedenza e terminate per evitare guasti di test dovuti a riflessioni del segnale.
- Interfaccia fisica: Progettare un'interfaccia fisica standard e facilmente collegabile (ad esempio header con passo 2,54 mm o 1,27 mm) per la porta TAP JTAG, e posizionarla sul PCB in un punto facilmente accessibile ai fixture di test o ai programmatori.
Questa serie di attività richiede una stretta collaborazione con produttori PCB professionali ed esperti come HILPCB durante la fase di revisione DFM/DFT/DFA. I loro ingegneri possono esaminare il progetto dal punto di vista della produzione e dei test, offrendo suggerimenti di ottimizzazione come l'adeguamento della posizione dei punti di test per migliorare l'accessibilità del test a sonda volante o l'ottimizzazione del layout dei connettori JTAG per semplificare il processo di assemblaggio.
Definire tracciabilità per numero di serie o lotto, evidenze di test, storico riparazioni e regole di conservazione per il prodotto e il contratto effettivi. Il MES può aiutare a gestire i registri, ma un log o database JTAG da solo non soddisfa i requisiti di certificazione TÜV, UL o di sicurezza funzionale.
PCBA di controllo di sicurezza: definire l'ambito dei test di produzione
Prima del rilascio, concordare copertura a livello di scheda, stati di test sicuri ed evidenze; la sicurezza di sistema richiede una validazione separata.
Richiedere copertura Boundary-Scan/JTAG, sonda volante e raggi X rispetto al progetto effettivo. Confermare con il fornitore attrezzature, fixture, programmi, esclusioni e test funzionali separati disponibili.
Specificare i registri richiesti di componenti, lotti, assemblaggio, test e riparazioni, nonché conservazione e recupero. Confermare che il fornitore possa fornire questi campi; un database da solo non stabilisce la certificazione di sicurezza.
Esaminare presto accesso allo scan, punti di test, copertura dei package e vincoli dei fixture. Registrare le lacune di copertura residue invece di presumere una testabilità completa.
Concordare contenuto del rapporto e documentazione di produzione con il responsabile del prodotto e il piano di valutazione. I registri di produzione supportano la revisione ma non sostituiscono una valutazione di conformità indipendente.
Conclusione: rilasciare secondo un piano di copertura definito
Per le schede dei controller robotici, il boundary scan è una parte di un piano DFT coordinato. Può migliorare la copertura strutturale selezionata quando sono disponibili dispositivi compatibili e un accesso di test sicuro, insieme a ispezione, test funzionali e verifica del sistema di sicurezza.
- Nella fase di progettazione, scegliere il boundary scan quando la sua copertura supportata completa gli altri metodi DFT e l'architettura di sicurezza.
- Durante la valutazione del prototipo, il boundary scan può rilevare aperture o cortocircuiti definiti su reti digitali accessibili. L'indipendenza della ridondanza, l'integrità dell'arresto di emergenza e il tempo di reazione ai guasti richiedono una separata validazione di sicurezza approvata.
- In produzione, il JTAG può integrare SPI, AOI, raggi X e test elettrici, ma i difetti di saldatura nascosti restano soggetti all'effettiva copertura del modello di guasto e ai limiti di ispezione.
- Per tutto il ciclo di vita del prodotto, conservare risultati di test versionati e registri di riparazione secondo le regole di tracciabilità concordate, per supportare l'analisi dei guasti e le evidenze di valutazione richieste.
Un piano di produzione utile specifica i dispositivi di scan supportati, le versioni BSDL e netlist, gli stati sicuri dei fixture, le reti accessibili, le esclusioni di test e i registri. La verifica indipendente di sicurezza resta responsabilità del processo di sistema approvato; HILPCB può esaminare la costruzione della scheda e l'ambito dei test con il cliente.