Conception de circuits imprimés de sécurité fonctionnelle pour les contrôleurs de robots

La conception des circuits imprimés de sécurité fonctionnelle pour les contrôleurs de robots collaboratifs doit impérativement garantir que, en cas de défaillance, le circuit imprimé du contrôleur de sécurité du cobot la détecte et ramène le système à un état sûr défini dans le délai de réponse requis. La certification aux normes IEC 61508 (SIL) et ISO 13849 (PL) repose sur la redondance, la couverture des diagnostics, l'indépendance face aux défaillances de cause commune, l'intégrité de l'isolation et la disponibilité de preuves pour les audits. L'architecture du circuit imprimé et la constance de la production ont un impact direct sur la réussite de la certification et la conformité du cobot en production de masse.

Highleap Electronics accompagne la fabrication de systèmes électroniques critiques en assurant la maîtrise des processus de construction, d'assemblage et de vérification nécessaires aux audits de certification. L'accent est mis sur des éléments mesurables : indépendance des canaux, distances d'isolation, fiabilité des diagnostics et qualité de la documentation conforme aux exigences d'audit – et non pas seulement sur une carte qui s'allume. Pour les systèmes servo associés, qui partagent souvent des exigences similaires en matière de fiabilité et de validation dans les programmes de robotique, consultez notre présentation de l'assemblage de cartes de circuits imprimés pour la commande d'articulations de robots.

Normes de sécurité fonctionnelle pour les contrôleurs de cobots

Les normes de sécurité fonctionnelle évaluent si la fonction de sécurité mise en œuvre répond aux objectifs de risque et si le processus de développement est systématique et vérifiable. Pour les contrôleurs de sécurité des cobots, les examinateurs analyseront comment les décisions prises au niveau du circuit imprimé préservent l'indépendance, empêchent la propagation dangereuse des défauts et permettent de justifier les affirmations de couverture de diagnostic utilisées dans l'analyse de sécurité.

• Niveaux d'intégrité de sécurité (SIL) : La norme IEC 61508 définit les niveaux SIL 1 à 4 en fonction de la probabilité de défaillance dangereuse. Les fonctions de sécurité des cobots visent généralement le niveau SIL 2 et parfois le niveau SIL 3, obtenus grâce à la tolérance aux pannes matérielles, aux diagnostics et aux contrôles systématiques conformes aux hypothèses de l'analyse FMEDA.
• Niveaux de performance (PL) : La norme ISO 13849 définit les niveaux de performance (PL) a à e. De nombreuses applications de cobots ciblent le niveau de performance d, utilisant généralement une architecture de catégorie 3 (canaux redondants avec surveillance) avec une couverture de diagnostic élevée et un risque de cause commune contrôlé.
• Définition d'un état sûr : La certification débute à partir d'un état sûr défini. Pour les cobots, il s'agit souvent d'un arrêt contrôlé suivi d'une suppression du couple ou d'une coupure de courant, avec un retour d'information confirmant que l'état réel correspond à l'état commandé.
• Attentes en matière de preuves : Les auditeurs approuvent les documents et les preuves de test. La justification de la conception, les résultats des analyses AMDEC/AMDEC, les rapports de vérification et les contrôles de production doivent être établis dès la conception afin d'éviter toute lacune lors du lancement de la certification.

Architecture de sécurité redondante sur le circuit imprimé

La redondance n'offre une tolérance aux pannes que si les canaux restent indépendants et résistants aux défaillances de cause commune. C'est au niveau du circuit imprimé que l'indépendance est le plus souvent compromise : alimentation, synchronisation, points de blocage de routage partagés, ou couplage involontaire dû à la proximité de la masse et du circuit imprimé.

• Séparation physique des canaux : Définir clairement les zones de placement et de routage pour chaque canal, avec des points de passage contrôlés. Lorsque des zones d'exclusion sont nécessaires, s'assurer de leur faisabilité et de leur application lors des phases de conception, de fabrication et de conception ; coordination Fabrication de PCB Le soutien permet de prévenir les violations de dernière minute.
• Domaines de pouvoir indépendants : Chaque canal doit disposer d'une régulation et d'une protection distinctes afin qu'une défaillance d'un seul composant n'entraîne pas l'arrêt complet des deux canaux. Il est recommandé de segmenter les domaines dès le début et de superviser chaque rail.
• Indépendance de l'horloge et de la réinitialisation : Évitez les oscillateurs partagés ou la génération de réinitialisation, car ils constituent des points de défaillance uniques. Si une référence commune est utilisée, justifiez-la dans l'analyse et prévoyez des mécanismes de détection et d'atténuation.
• Stratégie au sol comme décision de sécurité : Que l'on utilise des masses séparées ou une référence unique contrôlée, documentez l'approche et analysez comment elle empêche le couplage des défauts tout en respectant les exigences CEM.
• Échange de signaux sans propagation : La surveillance croisée ne doit pas permettre qu'un court-circuit ou un blocage sur un canal entraîne un comportement non sécurisé sur l'autre. Utilisez la mise en mémoire tampon/l'isolation et des états de tirage définis pour limiter le comportement en cas de défaillance.

Conception de la couverture de diagnostic et de la détection des pannes

La couverture diagnostique n'est pas automatique ; elle est conçue. Les contrôleurs de sécurité doivent détecter les défaillances dangereuses avec un comportement prévisible malgré le bruit, les variations de température et le vieillissement. Une conception robuste associe chaque défaut dangereux plausible à une méthode de détection et à une réaction sûre, puis le prouve par des tests de vérification.

• Surveillance de l'état de sortie : Les sorties de sécurité (contacteur, STO, frein, relais) doivent comporter un retour d'information indépendant confirmant leur état réel. Des contacts auxiliaires, la détection de courant/tension ou des voies de confirmation redondantes réduisent le risque de non-détection de contacts soudés ou de sorties bloquées.
• Vérification de la plausibilité des entrées : Il convient de vérifier la concordance des capteurs/entrées redondants, l'absence de valeurs hors plage et de défauts persistants. Définissez des plages de tolérance et de temporisation afin d'éviter les détections manquées et les déclenchements intempestifs.
• Circuits de surveillance matériels : Des mécanismes de surveillance indépendants détectent les blocages du processeur et imposent un état sûr sans intervention logicielle. La conception du timing doit être justifiée afin qu'il ne soit ni trop sensible ni trop lent au regard des exigences de sécurité.
• Assistance à l'autotest : Les tests du processeur, de la mémoire et des périphériques nécessitent une alimentation et une fréquence d'horloge stables pendant leur exécution ; la conception du circuit imprimé doit prendre en charge des références prévisibles afin que les résultats des autotests soient valides.
• Surveillance des communications : La communication de sécurité repose sur le CRC, les compteurs et la détection de dépassement de délai. La mise en œuvre sur le circuit imprimé doit garantir une synchronisation stable et l'intégrité du signal afin d'éviter les déclenchements intempestifs dus à la gigue ou au couplage de bruit induits par la disposition des composants.

Isolation, fuite et dégagement pour les circuits imprimés de sécurité des robots

Les barrières d'isolation empêchent la propagation des défauts entre les domaines et font fréquemment l'objet d'audits, car les risques d'espacement et de fuite sont mesurables. La conception des circuits imprimés doit garantir les distances de fuite et d'isolement non seulement sur le papier, mais aussi après assemblage, retouche et exposition à l'environnement.

• Spécifications de tension d'isolement : Sélectionnez les composants d'isolation en utilisant la tension de service, les conditions de défaut crédibles et les marges de surtension, et non uniquement les conditions de fonctionnement nominales.
• Règles de surveillance et d'autorisation : Définir les exigences d'espacement pour les surfaces et les couches internes. Un contrôle précis est nécessaire. PCB multicouche La construction permet de maintenir les distances entre les différentes couches, découpes et plans.
• Comportement de l'isolateur numérique en cas de défaut : Comprendre les modes de défaillance (circuit ouvert, court-circuit, sortie indéfinie) et concevoir des circuits de réception permettant de détecter les défauts ou de les forcer vers des sorties sécurisées.
• Impact de l'assemblage sur l'isolation : Les résidus, les projections de soudure et les revêtements peuvent réduire la distance de fuite effective ou créer des chemins de fuite. Définissez des contrôles d'assemblage et des critères de réception pour préserver l'intégrité de l'isolation.

Contrôles de production pour les cartes PCBA homologuées pour la sécurité

La certification exige la preuve que les ensembles de production sont conformes aux hypothèses de conception analysées. L'approche la plus efficace consiste à définir les caractéristiques critiques pour la sécurité et à les maîtriser par des inspections ciblées, des essais et une gestion rigoureuse des modifications.

• Traçabilité des matériaux (le cas échéant) : Pour les composants critiques pour la sécurité (circuits intégrés de supervision, isolateurs, références, E/S de sécurité), définissez des règles d'approvisionnement et enregistrez les informations critiques relatives au lot et à la date afin que les enquêtes puissent distinguer les problèmes systématiques des défaillances aléatoires.
• Validation du processus : Valider les procédés de fabrication en fonction des caractéristiques qui influent sur les affirmations relatives à la sécurité — indépendance des canaux, intégrité de l'isolation et circuits de diagnostic — et non pas seulement la qualité cosmétique générique.
• Rapports d'inspection et d'essais : Conserver les preuves d'inspection et d'essai dans des formats adaptés aux audits. Contrôlé Assemblage de PCB Les packages de documentation permettent de démontrer la cohérence de la production.
• Changer le contrôle: Toute modification apportée aux pièces, aux fournisseurs, aux matériaux ou aux procédés doit déclencher une évaluation d'impact sur la sécurité et des étapes de revérification définies avant la mise en service.

Documentation de certification et preuves d'audit

Les organismes de certification évaluent la conformité à l'aide de la documentation. Une documentation complète assure la traçabilité, depuis les exigences de sécurité jusqu'aux décisions de conception, en passant par l'analyse des défaillances, les résultats de vérification et les contrôles de production ; les auditeurs peuvent ainsi suivre le raisonnement sans faire d'hypothèses.

• Justification de la conception : Expliquez pourquoi l'architecture du circuit imprimé, la stratégie d'isolation et les diagnostics répondent aux exigences de sécurité. Dans la mesure du possible, établissez un lien entre les décisions clés et les normes en vigueur, ainsi que votre définition d'état sûr.
• Couverture FMEA / FM(E)DA : Inclure les modes de défaillance liés aux circuits imprimés (circuits ouverts/courts-circuits, défaillances des joints de soudure, fuites de contamination, défaillances d'isolation) et documenter la détection et l'atténuation de chacun.
• Rapports de tests de vérification : Fournissez des preuves concernant le temps de réaction aux pannes, le comportement de diagnostic et l'application de l'état de sécurité. Les preuves environnementales et de contrainte peuvent être étayées par tests de fiabilité lorsque cela est nécessaire pour la robustesse des conditions de fonctionnement.
• Documentation de fabrication : Les instructions de travail, les critères d'inspection et les spécifications de processus doivent être suffisants pour permettre aux auditeurs de confirmer que les unités de production mettent en œuvre la conception validée.

Pour les programmes de cobots, la certification de sécurité et l'état de préparation à la production sont étroitement liés : le circuit imprimé doit être conçu pour la détection des défauts et une réaction sûre, et la production doit pouvoir le prouver de manière cohérente tout au long du cycle de vie du produit.