Boundary-Scan/JTAG для PCB управления промышленными роботами: покрытие и границы безопасности

Промышленные роботы-контроллеры могут использовать резервированные датчики и схемы безопасности, но каждый производственный тест должен иметь определённый охват. Boundary scan по IEEE 1149.1 способен обнаруживать отдельные дефекты цифровых соединений в совместимых устройствах; сам по себе он не подтверждает реакцию робота в реальном времени, функциональную безопасность или безопасное поведение движения.

Архитектура безопасности: структурное покрытие и утверждённые тесты отказов

Резервирование и диагностические меры выбираются по оценке рисков машины и архитектуре безопасности, а не предписываются как универсальная двухканальная схема. Boundary scan помогает проверить заданные доступные соединения при производстве, но не доказывает независимость полных каналов безопасности.

Функциональный тест может выявить эксплуатационные дефекты, а структурные тесты — локализовать обрывы или перемычки на доступных цепях. Ни один подход не охватывает все режимы отказов; сочетайте инспекцию, электрические испытания и валидацию безопасности на уровне приложения.

Boundary scan по IEEE 1149.1 предоставляет функции цифрового тестирования на уровне выводов, если устройство и его описание BSDL это поддерживают. Документация TI по BSDL описывает специфичные для устройства ячейки сканирования, порты соединения и список цепей, необходимый для генерации структурных тестов. Доступ зависит от цепочки, настроенного состояния устройства, топологии схемы и тестового программного обеспечения; не все процессоры или выводы имеют граничные ячейки.

С помощью этой цепочки JTAG можно выполнить ряд ценных структурированных тестов:

1. Проверки изоляции соединений: При поданном питании требуемых устройств сканирования и независимо заблокированных опасных выходах структурные векторы могут обнаруживать отдельные короткие замыкания и обрывы между доступными цифровыми цепями. Это не доказывает гальваническую развязку или независимость резервированных каналов; для этого нужны соответствующие электрические испытания и проверки безопасности.

2. Целевая инъекция отказов: Проверенный интерфейс отладки или тестирования можно использовать для ввода заданного логического отказа в конкретной поддерживаемой схеме. Универсальный boundary scan по IEEE 1149.1 не обеспечивает детерминированную эмуляцию всех физических отказов датчиков или условий синхронизации контроллера.

   • Отказ типа stuck-at: Если утверждённое тестовое приспособление и тестовый режим устройства это допускают, подайте заданный высокий или низкий уровень на выбранный сигнал при отключённых конфликтующих драйверах. Статический логический уровень представляет только указанную модель отказа; он не воспроизводит каждый обрыв, короткое замыкание или отказ датчика. Требуемое обнаружение отказа и реакцию безопасного состояния измеряйте отдельно в предусмотренном режиме работы с учётом назначенного требования к времени безопасности.
   • Отказы синхронизации: Время перехода и джиттер в активном контуре безопасности требуют подходящих приборов или утверждённого тестового контроллера. Медленные последовательные векторы boundary scan не являются калиброванным источником наносекундного джиттера или реалистичного времени реакции на отказ.

3. Отчётность о покрытии: Считайте обнаруживаемые дефекты на поддерживаемых цепях, используя фактические BSDL, список цепей, приспособления и модель отказов. Производственное покрытие соединений не автоматически совпадает с диагностическим покрытием в расчётах функциональной безопасности по IEC 61508 или ISO 13849.

   • Неиспользуемые выводы — только если ячейки и связность делают непреднамеренное соединение наблюдаемым.
   • Поддерживаемые шинные соединения с учётом pull-устройств, буферов и конкурирующих драйверов.
   • Цифровые соединения BGA/LGA, которые управляемы и наблюдаемы, несмотря на ограниченный физический доступ.
   • Целостность цепочки и поддерживаемые проверки идентификации, не считая их полными внутренними тестами ИС.

Структурный boundary scan не обосновывает универсальное увеличение диагностического покрытия безопасности и не доказывает SIL 3/PL e. Такие утверждения требуют анализа безопасности и валидированных механизмов безопасности в предусмотренных условиях эксплуатации.

Основа этого успеха — всесторонние и тщательные аудиты DFM/DFT/DFA (Design for Manufacturability/Testability/Assembly) на этапе проектирования. Обеспечение правильной реализации цепочек сканирования JTAG в сложных проектах с чрезвычайно высокой плотностью трассировки, таких как PCB HDI, включая целостность сигнальных путей, конфигурацию терминальных резисторов и физическую компоновку интерфейса TAP, — обязательное условие для раскрытия их полного потенциала.

Цепь аварийного останова: отделяйте проверки соединений от валидации безопасности

Валидация аварийного останова должна следовать предусмотренной оценке рисков машины и утверждённой функции безопасности. Система может использовать Safe Torque Off или другие защитные действия; полное отключение питания сервопривода — не единственная допустимая архитектура.

Скрытые соединения BGA могут ограничивать доступ щупов. Некоторые несмоченные или прерывистые соединения могут ускользнуть от конкретного рентгеновского снимка или функционального теста в одном режиме работы. Boundary scan может выявить электрический разрыв на охваченной цепи, если он присутствует во время теста; он не устанавливает механическую целостность или срок службы соединения. Сочетайте подходящую инспекцию и электрические испытания с планом экологической валидации и валидации безопасности конкретного продукта.

Boundary scan может выявить часть дефектов цифровых соединений, но не может проверить полный путь аварийного останова, доказать размыкание контактов реле или валидировать логику безопасности процессора. Используйте утверждённые функциональные тесты и независимую проверку безопасности.

Конкретный порядок работы следующий:

1. Проверка входных соединений: При заблокированных опасных выходах используйте разрешённый стимул приспособления и наблюдение boundary scan только тогда, когда выбранное устройство предоставляет соответствующее входное состояние. Полную реакцию аварийного останова необходимо проверять отдельно в предусмотренном режиме работы.
2. Оценка логического пути: Если процессор предоставляет разрешённый интерфейс отладки, наблюдение регистров или пошаговое выполнение могут помочь разработке программного обеспечения. Останов изменяет выполнение и может изменить поведение сторожевого таймера или периферии; он не валидирует синхронизацию аварийного останова в работающей системе, фильтрацию или полную функцию безопасности. Для этого свидетельства используйте утверждённый тест в рабочем режиме.
3. Проверка выходных соединений: Если утверждённая схема допускает тестовый доступ на уровне выводов, проверьте структурную цепь при физически изолированном или независимо заблокированном исполнительном механизме. Не принуждайте активное реле безопасности или выход движения через универсальную процедуру JTAG.

Проверка первого изделия должна документировать конфигурацию сборки, структурное покрытие сканирования и исключения, а также отдельно утверждённые функциональные тесты и испытания безопасности. Успешный JTAG не сертифицирует характеристики аварийного останова робота.

Сочетайте boundary scan с инспекцией SPI/AOI/рентген в соответствии с моделью отказов. SPI измеряет отложения паяльной пасты, AOI проверяет видимые признаки сборки, а рентген исследует проекционные или восстановленные внутренние структуры. Boundary scan тестирует выбранные электрические соединения. У каждого метода есть исключения; их сочетание не охватывает автоматически каждое соединение и не устанавливает функциональную безопасность.

Сторожевой таймер и тестовые импульсы: измерение работающей функции защиты

В динамически работающих системах одного резервирования недостаточно; необходимы механизмы непрерывного контроля состояния. Сторожевой таймер (WDT) и тестовые импульсы I/O — две наиболее часто используемые методики динамического самотестирования.

• Сторожевой таймер: Программное обеспечение обслуживает настроенный сторожевой таймер в пределах разрешённого интервала или окна. Пропущенное или, для оконного устройства, преждевременное обслуживание может вызвать настроенный сброс или заблокировать реакцию. Успешное обслуживание само по себе не доказывает правильное выполнение программы или полное покрытие безопасности.
• Тестовый импульс: Некоторые схемы безопасных I/O подают короткие диагностические импульсы и наблюдают заданный путь считывания для обнаружения отдельных отказов, например замыкания на питание. Полярность, длительность, интервал импульса и реакция нагрузки зависят от утверждённой схемы I/O и исполнительного механизма. Убедитесь, что нагрузка выдерживает диагностический импульс, а считывание обнаруживает заданные отказы без непреднамеренного срабатывания.

Валидируйте время реакции на отказ относительно назначенного системного требования безопасности. Допустимая реакция зависит от анализа опасностей, времени безопасности процесса и применимых требований; единого универсального предельного времени для всех контроллеров роботов не существует.

Интерфейс отладки может помогать наблюдениям при разработке, но JTAG не является калиброванным таймером реакции безопасности. Используйте независимые приборы, утверждённые стимулы отказов и заданные безопасные состояния выходов для измерения полной функции защиты.

1. Оценка сторожевого таймера: Если устройство и план безопасности допускают останов в отладке, это может помочь исследовать путь сторожевого таймера. Независимо измеряйте фактический тайм-аут, сброс или блокировку реакции, включая настроенный такт сторожевого таймера, программные взаимодействия и все требуемые безопасные выходы.
2. Оценка диагностического импульса: Тестируйте поддерживаемый цифровой путь с заданным стимулом, методом захвата и взаимосвязью тактов. Стандартные последовательные наблюдения boundary scan не доказывают форму, длительность или момент захвата микросекундного импульса в работающей функции безопасности.

Тест летающими щупами и boundary scan могут дополнять друг друга при доступных структурных дефектах. Ни один из них обычно не доказывает длительность импульса или момент захвата в реальном времени для диагностики безопасности; для этого нужны аппаратные средства с учётом времени и калиброванные измерения.

Декомпозиция целей SIL/PL и интеграция стратегии DFT в аппаратную архитектуру

Достижение конкретной цели SIL (Safety Integrity Level) или PL (Performance Level) — это системная инженерная работа, следующая процессу разработки по V-модели. Она начинается с верхнеуровневых требований безопасности и каскадно переходит к реализации аппаратного и программного обеспечения и мерам валидации. Design for Testability (DFT) играет в этом процессе ключевую связующую роль — это уже не запоздалая мысль после проектирования, а основная деятельность, параллельная функциональному проектированию и проектированию безопасности. Продуманная стратегия DFT упрощает последующую валидацию, производственное тестирование и полевую диагностику, одновременно предоставляя надёжные объективные доказательства для сертификации безопасности.

Чтобы Boundary-Scan/JTAG стал основой стратегии DFT, требуется тщательное планирование в самом начале проекта на этапах проектирования схемы и компоновки PCB:

• Проектирование цепочки сканирования: Определите, какие ИС следует включить в цепочку сканирования JTAG. Включайте подходящие поддерживаемые устройства после анализа доменов напряжения, ограничений доступа, состояний загрузки и изоляции отказов цепочки. Учитывайте длину цепочки, поскольку чрезмерно длинные цепочки увеличивают время тестирования. Для сложных плат можно спроектировать несколько независимых цепочек сканирования и параллельно управлять ими одним контроллером JTAG.
• Целостность сигнала: Тактовый сигнал JTAG (TCK) очень чувствителен к качеству сигнала. При компоновке PCB следите, чтобы трассы TCK были как можно короче, удалены от источников шума и правильно согласованы по импедансу и терминированы, чтобы избежать отказов теста из-за отражений сигнала.
• Физический интерфейс: Спроектируйте стандартный, легко подключаемый физический интерфейс (например, штыревые разъёмы с шагом 2,54 мм или 1,27 мм) для порта TAP JTAG и разместите его на PCB в месте, легко доступном для тестовых приспособлений или программаторов.

Этот комплекс задач требует тесного сотрудничества с опытными профессиональными производителями PCB, такими как HILPCB, на этапе аудита DFM/DFT/DFA. Их инженеры могут рассмотреть ваш проект с точки зрения производства и тестирования и предложить оптимизацию, например скорректировать расположение тестовых точек для улучшения доступа при тесте летающими щупами или оптимизировать компоновку разъёмов JTAG для упрощения процесса сборки.

Определите прослеживаемость по серийному номеру или партии, тестовые свидетельства, историю ремонта и правила хранения для фактического продукта и договора. MES помогает управлять записями, но журнал или база данных JTAG сами по себе не удовлетворяют требованиям сертификации TÜV, UL или функциональной безопасности.

Заключение: выпуск по определённому плану покрытия

Для плат контроллеров роботов boundary scan является частью согласованного плана DFT. Он может улучшить выбранное структурное покрытие при наличии совместимых устройств и безопасного тестового доступа — наряду с инспекцией, функциональными тестами и проверкой системы безопасности.

• На этапе проектирования выбирайте boundary scan, когда его поддерживаемое покрытие дополняет другие методы DFT и архитектуру безопасности.
• При оценке прототипа boundary scan может обнаружить заданные обрывы или замыкания на доступных цифровых цепях. Независимость резервирования, целостность аварийного останова и время реакции на отказ требуют отдельной утверждённой валидации безопасности.
• В производстве JTAG может дополнять SPI, AOI, рентген и электрические тесты, но скрытые дефекты пайки по-прежнему зависят от фактического покрытия модели отказов и ограничений инспекции.
• На протяжении жизненного цикла продукта сохраняйте версионированные результаты тестов и записи о ремонте по согласованным правилам прослеживаемости, чтобы поддерживать анализ отказов и требуемые доказательства оценки.

Полезный производственный план определяет поддерживаемые устройства сканирования, версии BSDL и списка цепей, безопасные состояния приспособлений, доступные цепи, исключения тестирования и записи. Независимая проверка безопасности остаётся обязанностью утверждённого системного процесса; HILPCB может проверить сборку платы и охват тестирования вместе с заказчиком.

Связанные материалы

• PCB HDI