Teza: niezawodność sygnału dyskretnego nie jest własnością pojedynczego poziomu napięcia, układu scalonego ani programu. Jest dowodzoną własnością kompletnego kontraktu obejmującego granicę fizyczną, energię i odniesienie, zgodność nadajnika z odbiornikiem, czas, semantykę, stany zasilania, usterki oraz dokładną konfigurację sprzętu i oprogramowania.

Na schemacie systemowym interfejs dyskretny bywa jedną linią opisaną READY, ENABLE, VALID albo FAULT. W rzeczywistym urządzeniu ta linia ma źródło energii, skończoną impedancję, drogę prądu powrotnego, pojemność, ochronniki, progi, histerezę, opóźnienie, zachowanie podczas resetu oraz reakcję na przerwanie przewodu i zwarcia. Po drugiej stronie odbiornik musi przekształcić nieidealny przebieg elektryczny w informację, a logika systemowa musi rozstrzygnąć nie tylko „zero czy jeden”, lecz także „czy wartość jest ważna, świeża i wiarygodna”.

W pocisku problem jest szczególnie wymagający. Elektronika może pozostawać przez lata bezczynna, a następnie ma działać natychmiast po uruchomieniu, przy szybko zmieniającym się zasilaniu, ograniczonym budżecie energii, gwałtownym przyspieszeniu, drganiach i zakłóceniach. Czas lotu jest krótki, możliwość naprawy nie istnieje, a błąd pojedynczego bitu może zatrzymać sekwencję, ukryć awarię albo skierować system w niewłaściwy stan. Z tego powodu „działało na stole” jest dopiero obserwacją jednego przypadku, nie dowodem zgodności.

Po opanowaniu materiału czytelnik powinien umieć:

  1. wyznaczyć granicę interfejsu i przypisać odpowiedzialność obu stronom;
  2. zbudować budżet napięciowy, prądowy i czasowy z jawnymi tolerancjami;
  3. odróżnić wartość logiczną od ważności i świeżości informacji;
  4. dobrać rodzinę wejścia lub wyjścia do obciążenia i modelu usterek;
  5. przeprowadzić jeden sygnał przez przewód, ochronę, kondycjonowanie, synchronizację, oprogramowanie i diagnostykę;
  6. powiązać wymaganie z analizą, próbą, kryterium decyzji oraz kontrolowaną konfiguracją;
  7. wskazać, które zmiany wymagają regresji lokalnej, a które ponownego otwarcia całego argumentu zgodności.

Zakres, bezpieczeństwo i status danych

Artykuł opisuje ogólne interfejsy elektroniki pokładowej, w tym rozwiązania stosowane w lotnictwie, technice kosmicznej, pojazdach i urządzeniach przemysłowych. Standard ECSS-E-ST-50-14C obejmuje punkt–punktowe interfejsy analogowe i dyskretne przeznaczone do pomiaru stanów oraz sterowania urządzeniami kosmicznymi, w tym poziomy, impedancje, czasy i ochronę.ecss50 Nie obejmuje semantyki słów danych ani wymagań złączy, dlatego nie może sam zamknąć warstwy znaczenia lub instalacji. Jest użytecznym źródłem metody, ale nie stanowi automatycznie wymagania dla dowolnego pocisku wojskowego. Właściwe wymagania programu, platformy i producenta mają pierwszeństwo.

pominięto rzeczywiste mapy wyprowadzeń, poziomy, kody, czasy, prądy testowe, topologie zabezpieczeń oraz logikę blokad, uzbrajania, zapalnika i inicjacji współczesnego uzbrojenia. Nie opisano też metod identyfikowania ani wymuszania stanów nieznanego portu wojskowego. Dane te muszą zostać uzupełnione ręcznie z zatwierdzonej dokumentacji konkretnego programu przez uprawniony personel.

Nieznanego, uszkodzonego ani odnalezionego zespołu wojskowego nie wolno zasilać, otwierać, resetować, zwierać, mierzyć omomierzem, podłączać do analizatora lub generatora ani traktować jako zwykłej elektroniki laboratoryjnej. Pozornie pasywny przewód może prowadzić do naładowanego kondensatora, baterii rezerwowej albo urządzenia inicjowanego elektrycznie. Obiekt należy zabezpieczyć i przekazać właściwemu zespołowi EOD.

W przykładach stosuje się następujące oznaczenia statusu danych:

Oznaczenie Znaczenie
[WYM] fikcyjne wymaganie przyjęte dla studium
[KAT] granica gwarantowana w dokumentacji elementu lub standardzie
[ZAŁ] jawne założenie projektowe wymagające potwierdzenia
[OBL] wynik obliczenia wynikający z podanych danych
[POM] wynik, który w rzeczywistym programie powinien pochodzić z pomiaru
[DEC] decyzja projektowa wraz z podaną podstawą
[REG] zależność wskazująca wymagany zakres regresji

Wszystkie wartości liczbowe w studiach są fikcyjne i nie opisują żadnego istniejącego pocisku. Obliczenia pokazują metodę. Nie zastępują kart katalogowych, analizy najgorszego przypadku ani prób reprezentatywnego sprzętu.

Pięć warstw kontraktu

Kompletność interfejsu najłatwiej oceniać w pięciu kolejnych warstwach. Każda odpowiada na inne pytanie i pozostawia inne martwe pole.

Warstwa Pytanie dowodowe Podstawowy artefakt Typowy błąd
granica fizyczna gdzie dokładnie obowiązują deklarowane właściwości? rysunek granicy, ICD, model wiązki pomiar przy układzie pomija złącze, przewód i przesunięcie odniesienia
zgodność źródło–obciążenie czy każde dopuszczalne źródło steruje każdym dopuszczalnym odbiornikiem? budżet poziomów, prądów i impedancji porównanie wartości typowych zamiast gwarantowanych granic
czas i stany zasilania czy informacja pozostaje poprawna podczas zboczy, resetów i ramp zasilania? diagram czasowy, macierz stanów zasilania próba wyłącznie w stanie ustalonym
usterki i reakcja jaki skutek dają przerwy, zwarcia, utrata odniesienia i błędna konfiguracja? macierz usterek powiązana z FMEA stan domyślny zostaje uznany za poprawną informację
semantyka systemowa czy odbiorca rozumie elektryczny stan zgodnie z intencją? tabela prawdy, słownik danych, próba końcowa poprawne napięcie prowadzi do błędnej decyzji programu

Model nie jest listą pięciu niezależnych kontroli. Tworzy ciąg przyczynowy:

wymaganie funkcjonalne
        ↓
znaczenie i ważność informacji
        ↓
wymagany stan elektryczny oraz czas
        ↓
źródło — przewód — ochrona — odbiornik
        ↓
synchronizacja i przetwarzanie
        ↓
decyzja systemowa
        ↓
obserwowalny skutek

Przerwanie tego ciągu w dowolnym miejscu odbiera podstawę do stwierdzenia, że „interfejs działa”.

Granica interfejsu i podział odpowiedzialności

Granica interfejsu jest fizycznym miejscem, w którym obowiązki przechodzą pomiędzy elementami konfiguracji. Może to być para zacisków modułu, styki złącza, koniec wiązki albo strony bariery izolacyjnej. Musi być identyczna w wymaganiu, modelu, ICD i próbie.

Jeżeli nadajnik gwarantuje poziom na wyprowadzeniu układu scalonego, a odbiornik wymaga go na końcu kilkumetrowej wiązki, spadek przewodu pozostaje bez właściciela. Podobny problem powstaje, gdy próba mierzy sygnał względem masy konstrukcyjnej, a odbiornik interpretuje go względem lokalnego powrotu sygnałowego.

Dokument zarządzania interfejsem powinien wskazywać co najmniej:

  • element źródłowy i odbiorczy;
  • fizyczną płaszczyznę pomiaru;
  • kierunek przepływu informacji i energii;
  • właściciela rezystora podciągającego, terminacji i ochrony;
  • odniesienie napięcia oraz drogę prądu powrotnego;
  • wymagania w stanach włączenia, wyłączenia, resetu i awarii;
  • wersję sprzętu, oprogramowania, obrazu FPGA oraz tabel kalibracyjnych;
  • metodę weryfikacji każdej właściwości.

ECSS-E-ST-10-24C Rev.1 ujmuje zarządzanie interfejsem jako proces identyfikacji, definiowania, zatwierdzania, kontroli, implementacji, weryfikacji i walidacji przez cały cykl życia.ecss1024 Wniosek praktyczny jest istotniejszy niż sama nazwa dokumentu: interfejs nie jest zamknięty po narysowaniu schematu. Pozostaje kontrolowaną własnością produktu.

Semantyka: bit, komenda, status i ważność

Stan elektryczny nie jest jeszcze znaczeniem. Niskie napięcie może oznaczać asercję alarmu, zamknięcie styku, nieobecność zasilania, zwarcie do powrotu albo niezasilony nadajnik. Dlatego opis powinien rozdzielać co najmniej cztery poziomy:

  1. stan fizyczny — napięcie, prąd lub impedancja;
  2. stan odbiornika — niski, wysoki, okno pośrednie lub błąd;
  3. stan logiczny — asercja albo deasercja funkcji;
  4. stan informacji — ważna, nieważna, przejściowa lub nieaktualna.

Pojęcia asserted i deasserted oznaczają odpowiednio stan aktywny (asercję) i nieaktywny (deasercję) funkcji. Oddzielają znaczenie od polaryzacji. Zapis „FAULT: stan aktywny odpowiada niskiemu poziomowi elektrycznemu” jest jednoznaczniejszy niż FAULT = 0, ponieważ inwersja może wystąpić w nadajniku, izolatorze, FPGA i programie.

Komenda opisuje intencję sterownika. Status powinien opisywać zaobserwowany stan. Odczyt rejestru wyjściowego potwierdza tylko zapis intencji; odczyt napięcia terminala dowodzi działania części toru elektrycznego; pomiar prądu obejmuje obciążenie; czujnik skutku fizycznego może potwierdzić ruch lub zmianę stanu mechanizmu. Są to kolejne, coraz pełniejsze dowody, lecz każdy ma własne usterki.

Dla sygnału statusowego użyteczna jest enumeracja:

ASSERTED_VALID
DEASSERTED_VALID
TRANSITION
INVALID_ELECTRICAL
STALE
NOT_AVAILABLE

STALE nie oznacza niepoprawnego poziomu napięcia. Trzeba jednak rozdzielić trzy znaczenia czasu:

Rodzaj aktualności Co rzeczywiście potwierdza Czego nie potwierdza
aktualność próbki tor właśnie sklasyfikował poziom elektryczny że źródło nadal działa i zmienia stan
żywotność źródła źródło odświeżyło znacznik, sygnał testowy albo inną obserwację że czujnik fizyczny nie zaciął się
aktualność stanu fizycznego niezależna obserwacja potwierdza rzeczywisty skutek poprawności całego toru przy wszystkich usterkach

Ciągle zasilany i próbkowany styk może więc dostarczać świeżą próbkę poziomu, lecz sam nie dowodzi żywotności źródła ani ruchu mechanizmu. Statyczny przewód nie ma licznika ramek ani CRC. Jeżeli funkcja wymaga wykrycia „zamrożonego” sygnału, musi otrzymać osobny mechanizm żywotności lub niezależną obserwację skutku; w przeciwnym razie ograniczenie pozostaje jawne.

Rodziny interfejsów i kryteria wyboru

Nie istnieje jedna najlepsza topologia. Wybór powinien wynikać z semantyki, odległości, wymaganej diagnostyki, różnicy potencjałów, obciążenia, czasu i modelu usterek.

Interfejsy niesymetryczne i różnicowe

Wejście niesymetryczne interpretuje napięcie przewodu względem wspólnego odniesienia. Jest oszczędne, lecz spadek i przesunięcie odniesienia bezpośrednio zużywają margines. Prąd powrotny musi mieć zdefiniowaną drogę; nazwa GND na dwóch schematach nie tworzy idealnego węzła w instalacji.

Interfejs różnicowy reaguje przede wszystkim na różnicę napięć dwóch żył. Odrzuca zakłócenie wspólne tylko w określonym zakresie napięcia wspólnego i przy zachowanej symetrii. Przekroczenie zakresu wspólnego może błędnie przełączyć albo uszkodzić odbiornik, nawet gdy napięcie różnicowe pozostaje małe.

Wyjścia przeciwsobne, otwarty dren i stan wysokiej impedancji

Wyjście przeciwsobne aktywnie wymusza oba stany. Zapewnia małą impedancję i szybkie przejścia, ale konflikt dwóch nadajników tworzy duży prąd. Analiza musi objąć błędny kierunek portu, reset, rozruch oraz przypadek, w którym dwa urządzenia są zasilane w różnej kolejności.

Otwarty dren lub otwarty kolektor aktywnie wymusza jeden stan, a drugi powstaje przez rezystor podciągający. Umożliwia współdzielenie linii i prostą translację poziomów, lecz czas narastania zależy od rezystancji i pojemności, a stan wysoki jest podatny na upływy. ICD musi wskazywać właściciela rezystora. Dwa niezależne rezystory podciągające połączone równolegle mogą zwiększyć prąd stanu niskiego ponad zdolność sterownika.

Stan wysokiej impedancji umożliwia oddanie linii innemu nadajnikowi. W FPGA rzeczywiste bufory trójstanowe znajdują się zwykle na obrzeżu wejść i wyjść; „wewnętrzne” połączenia trójstanowe są zazwyczaj realizowane przez multipleksery.bruno Logika przekazania własności musi zapewniać przerwę przed załączeniem drugiego nadajnika i deterministyczny stan podczas konfiguracji.

Styki i wejścia kodowane rezystancyjnie

Styk bezpotencjałowy, często określany angielskim terminem dry contact, nadal ma opór zamknięcia, izolację otwarcia, minimalne obciążenie, odbicia, trwałość i zależność od środowiska. Bardzo mały prąd może nie zapewniać wiarygodnego kontaktu przez warstwy powierzchniowe. Omron wskazuje, że przy małych obciążeniach wzrost rezystancji może wynikać z tworzenia filmu, a przydatność trzeba potwierdzić w rzeczywistych warunkach pracy.omron

Prąd zwilżający może poprawiać wiarygodność styku, ale nie jest uniwersalną stałą. Zwiększa pobór energii i wpływa na termikę, opóźnienie oraz testowanie. Nota TI o rozszerzaniu wejść pokazuje rozwiązania dla styków do zasilania i powrotu, przełączników trójstanowych, wejść rezystancyjnych, multiplekserów, przetworników A/C oraz układów wielokanałowych; wskazuje również zależność opóźnienia od okresu odpytywania i sposobu podawania prądu zwilżającego.tiswitch Jest to katalog mechanizmów, nie gotowy projekt lotny.

Kodowanie rezystancyjne może rozróżniać stan otwarty, zamknięty, przerwę i zwarcie przy użyciu jednego przewodu. Oszczędza masę wiązki, lecz przenosi ciężar na analizę tolerancji rezystorów, źródła, przewodu, upływów, napięcia odniesienia i przetwornika.

Izolacja i translacja poziomów

Translator dopasowuje poziomy logiczne, ale nie rozdziela galwanicznie odniesień. Izolator przerywa drogę prądu stałego, lecz potrzebuje energii po obu stronach i nadal ma pojemność bariery, opóźnienie, zachowanie awaryjne oraz określony stan wyjścia przy utracie nośnej.

Układy jednokierunkowe z jawnym zezwoleniem są łatwiejsze do przeanalizowania niż automatycznie wykrywające kierunek. Nota TI rozdziela pasywne translatory z tranzystorem i rezystorami podciągającymi, automatyczne rozwiązania dla wyjść przeciwsobnych i otwartego drenu oraz układy ze wsparciem częściowego zaniku zasilania.titrans Zgodność nazwy rodziny nie zastępuje sprawdzenia progów, obciążenia, prądu w stanie niezasilonym Ioff, sekwencji zasilania i zachowania wyjścia.

Budżet elektryczny i czasowy

Wartości typowe pomagają przewidywać zachowanie, ale nie dowodzą zgodności. Budżet używa gwarantowanych granic dla temperatury, napięcia, procesu, obciążenia i przewidywanej degradacji.

Dla stanu wysokiego podstawowy margines wynosi

$$NM_H=V_{OH,\min}-V_{IH,\min}.$$

W instalacji należy odjąć spadek przewodu, przesunięcie odniesienia, tętnienie i zakłócenie:

$$NM_{H,\mathrm{inst}} = V_{OH,\min} -\Delta V_{\mathrm{wire},\max} -\Delta V_{\mathrm{ref},\max} -\Delta V_{\mathrm{noise},\max} -V_{IH,\min}.$$

Dla stanu niskiego:

$$NM_{L,\mathrm{inst}} = V_{IL,\max} - \left( V_{OL,\max} +\Delta V_{\mathrm{wire},\max} +\Delta V_{\mathrm{ref},\max} +\Delta V_{\mathrm{noise},\max} \right).$$

Dodatni margines nie wystarcza, jeżeli obwód przekracza dopuszczalny prąd, moc albo energię impulsu. Trzeba oddzielnie sprawdzić margines funkcjonalny i naprężeniowy.

Prąd upływu przesuwa węzeł o wartość zależną od rezystancji zastępczej:

$$\Delta V_{\mathrm{leak}}=I_{\mathrm{leak}}R_{\mathrm{th}}.$$

Przy wielu odbiornikach sumują się upływy, pojemności i drogi przez ochronniki urządzeń niezasilonych. Dopuszczalna liczba odbiorników, określana jako fan-out, jest więc warunkiem zachowania poziomu i czasu, a nie tylko liczbą wyprowadzeń.

Dla linii z otwartym drenem narastanie można przybliżyć:

$$V(t)=V_P\left(1-e^{-t/(R_PC_L)}\right),$$

a czas osiągnięcia progu wysokiego:

$$t_H=-R_PC_L\ln\left(1-\frac{V_{IH}}{V_P}\right).$$

Prąd w stanie niskim wynosi w przybliżeniu:

$$I_L=\frac{V_P-V_{OL}}{R_P}.$$

Zmniejszenie $R_P$ przyspiesza zbocze, lecz zwiększa prąd, moc i obciążenie nadajnika. Dodanie pojemności poprawiającej odporność na krótkie zakłócenia zmniejsza natomiast margines czasowy. Każda korekta EMC musi zatem uruchamiać regresję funkcjonalną.

Budżet opóźnienia obejmuje:

$$t_{\mathrm{E2E}} = t_{\mathrm{źródła}} +t_{\mathrm{przewodu}} +t_{\mathrm{ochrony}} +t_{\mathrm{filtru}} +t_{\mathrm{odbiornika}} +t_{\mathrm{CDC}} +t_{\mathrm{logiki}} +t_{\mathrm{programu}}.$$

Składnik t_CDC oznacza przejście między domenami zegarowymi (clock-domain crossing). Nie jest stałą właściwością przewodu: zależy od mechanizmu synchronizacji i fazy zdarzenia względem zegara odbiornika.

Należy liczyć granice minimalne i maksymalne. Minimalne opóźnienie może naruszyć kolejność lub czas martwy, a maksymalne — termin reakcji. Dla kilku kanałów ważny bywa również rozrzut różnicowy.

Studium I: status styku od końca wiązki do programu

Wymaganie i architektura

Rozważmy fikcyjny, nieoperacyjny tor statusowy mechanizmu:

zasilanie pomiarowe 12 V
    │
 rezystor podciągający
    │
wejście pomiarowe ─ filtr RC ─ okna progowe ─ FPGA/MCU
    │
   wiązka
    │
rezystor szeregowy 1 kΩ
    ├── styk
    └── rezystor 10 kΩ równoległy do styku
    │
  powrót

Styk zwiera rezystor 10 kΩ, pozostawiając w obwodzie rezystor 1 kΩ. Przy otwartym styku prąd płynie przez oba rezystory. Przerwanie przewodu powoduje wzrost napięcia do wartości zasilania, a zwarcie do powrotu — spadek prawie do zera.

Przyjmujemy:

  • [WYM] stan styku ma zostać rozpoznany w czasie nie dłuższym niż 12 ms;
  • [WYM] przerwa i zwarcie do powrotu mają być odróżniane od poprawnego stanu;
  • [WYM] żaden pomiar w oknie nieokreślonym nie może zostać przedstawiony jako poprawna asercja lub deasercja;
  • [ZAŁ] zasilanie pomiarowe wynosi od 10,8 do 13,2 V;
  • [ZAŁ] rezystor podciągający ma $4{,}7 \mathrm{k\Omega}\pm2\%$;
  • [ZAŁ] rezystory przy styku mają $1{,}0 \mathrm{k\Omega}\pm2\%$ i $10 \mathrm{k\Omega}\pm2\%$;
  • [ZAŁ] maksymalny opór zamkniętego styku wynosi $100 \Omega$, a całej pętli przewodów $20 \Omega$;
  • [ZAŁ] łączny konserwatywny wpływ błędu pomiaru, upływów, odniesienia i zakłócenia mieści się w $\pm0{,}20 \mathrm{V}$;
  • [POM] odbicia badanego typu styku w pełnym środowisku nie przekraczają 6 ms; przed uzyskaniem takich danych wartość jest tylko założeniem.

Budżet poziomów

Dla zamkniętego styku najmniejsza rezystancja dolnej gałęzi wynosi

$$R_{\mathrm{C,min}}=0{,}98\cdot1\,000=980 \Omega.$$

Największa:

$$R_{\mathrm{C,max}} = 1{,}02\cdot1\,000+100+20 = 1\,140 \Omega.$$

Napięcie węzła jest napięciem dzielnika:

$$V_S=V_Z\frac{R_D}{R_P+R_D}.$$

Najmniejsze napięcie zamkniętego styku:

$$V_{\mathrm{C,min}} = 10{,}8 \frac{980}{4\,794+980} = 1{,}833 \mathrm{V}.$$

Największe:

$$V_{\mathrm{C,max}} = 13{,}2 \frac{1\,140}{4\,606+1\,140} = 2{,}619 \mathrm{V}.$$

Po uwzględnieniu dodatkowego przedziału $\pm0{,}20 \mathrm{V}$ zamknięty styk powinien dawać od 1,63 do 2,82 V.

Dla styku otwartego dolna gałąź zawiera oba rezystory. Jej skrajne wartości wynoszą:

$$R_{\mathrm{O,min}}=980+9\,800=10\,780 \Omega,$$

$$R_{\mathrm{O,max}}=1\,020+10\,200+20=11\,240 \Omega.$$

Stąd:

$$V_{\mathrm{O,min}} = 10{,}8 \frac{10\,780}{4\,794+10\,780} = 7{,}476 \mathrm{V},$$

$$V_{\mathrm{O,max}} = 13{,}2 \frac{11\,240}{4\,606+11\,240} = 9{,}363 \mathrm{V}.$$

Po dodaniu przedziału niepewności otrzymuje się 7,28–9,56 V.

Na tej podstawie można ustanowić robocze okna:

Zakres napięcia Interpretacja
poniżej 0,8 V zwarcie do powrotu
1,2–3,2 V styk zamknięty, stan ważny
6,8–9,8 V styk otwarty, stan ważny
powyżej 10,2 V przerwa przewodu albo zwarcie do zasilania
pozostałe przedziały stan przejściowy lub nierozstrzygnięty

Okna pozostawiają jawne pasma ochronne. Napięcie nie jest klasyfikowane na siłę, gdy mieści się pomiędzy nimi.

Rachunek ujawnia także martwe pole: przerwa przewodu i zwarcie do zasilania mogą dawać podobny wynik. [DEC] Tor wykrywa klasę „linia utraciła poprawne kodowanie”, ale nie lokalizuje jednoznacznie każdej przyczyny. Jeżeli lokalizacja jest wymaganiem, potrzebna jest dodatkowa obserwacja lub inna topologia.

Filtr, histereza i czas

Przyjmijmy filtr z rezystorem $4{,}7 \mathrm{k\Omega}\pm10\%$ i kondensatorem $22 \mathrm{nF}$ o tolerancji $+20\%$. Maksymalna stała czasowa wynosi:

$$\tau_{\max} = 5{,}17 \mathrm{k\Omega} \cdot26{,}4 \mathrm{nF} = 0{,}136 \mathrm{ms}.$$

Pięć stałych czasowych daje około 0,68 ms. Nie jest to dokładny czas przekroczenia konkretnego progu, lecz konserwatywne przybliżenie ustalenia. Dokładny wynik powinien korzystać z progów, impedancji źródła i modelu ochronników.

Odbiornik próbkuje wejście co 0,5 ms i wymaga 16 kolejnych zgodnych klasyfikacji. Okno stabilności wynosi 8 ms. Maksymalny budżet:

Składnik Wartość maksymalna
ustalenie toru analogowego 0,68 ms
faza względem próbkowania 0,50 ms
16 zgodnych próbek 8,00 ms
synchronizacja i logika sprzętowa 0,01 ms
publikacja stanu przez zadanie programu 1,00 ms
suma 10,19 ms

[OBL] Pozostaje 1,81 ms zapasu do wymagania 12 ms. Zapas nie jest jeszcze kwalifikacją: zależy od prawdziwego czasu odbić, tolerancji zegara, obciążenia procesora i zachowania filtru przy obu kierunkach przejścia.

Histereza progów zapobiega wielokrotnemu przełączaniu przy małych oscylacjach napięcia, ale nie zastępuje eliminacji odbić. Jeżeli styk przechodzi pomiędzy pełnymi oknami „otwarty” i „zamknięty”, każde przejście jest elektrycznie poprawne, choć mechanicznie należy do jednego zdarzenia.

Synchronizacja i model informacji

Wyjście klasyfikatora jest asynchroniczne względem zegara FPGA lub mikrokontrolera. Pierwszy przerzutnik może naruszyć warunki przygotowania i podtrzymania, dlatego nie powinien rozgałęziać się do logiki. Łańcuch synchronizujący zmniejsza prawdopodobieństwo propagacji metastabilności, lecz nie gwarantuje przechwycenia dowolnie krótkiego impulsu. Liczbę stopni należy uzasadnić częstotliwością zegara, częstością zdarzeń, wymaganym prawdopodobieństwem awarii i danymi technologii; zwyczaj „zawsze dwa” nie jest obliczeniem.bruno,salauyou

W tym studium sygnał reprezentuje stan, nie krótkie zdarzenie. [DEC] Impulsy krótsze od ustanowionego czasu akceptacji mogą zostać odrzucone. Gdy funkcja wymaga zachowania każdego zdarzenia, trzeba użyć zatrzasku, rozciągania impulsu, licznika zdarzeń lub uzgadniania, a także ustanowić maksymalną częstość zdarzeń.

Program otrzymuje strukturę:

wartosc       = AKTYWNY | NIEAKTYWNY
waznosc       = WAZNA | PRZEJSCIE | NIEWAZNA
aktualnosc    = AKTUALNA | NIEAKTUALNA
diagnostyka   = BRAK | ZWARCIE_DO_POWROTU | UTRATA_KODOWANIA_LINII
znacznik_czasu = czas ostatniej zaakceptowanej zmiany

AKTUALNA oznacza tutaj wyłącznie, że klasyfikator w wymaganym czasie utworzył nową, ważną próbkę elektryczną. Nie dowodzi żywotności źródła ani sprawności mechanizmu. Do takiego dowodu potrzebna jest korelacja z ruchem, drugim kontaktem, czujnikiem położenia, kontrolowanym pobudzeniem albo próbą systemową.

Macierz zasilania

Tor pomiarowy FPGA/MCU Oczekiwany stan elektryczny Stan informacji
wyłączony wyłączony brak wymuszenia NOT_AVAILABLE
włączony reset poprawne napięcie może istnieć INVALID, bez publikacji stanu
włączony inicjalizacja klasyfikacja i filtracja w toku TRANSITION
włączony gotowy okno poprawne VALID
włączony zawieszony lub bez aktualizacji napięcie może pozostać poprawne STALE
zapad napięcia toru dowolny możliwe przejścia przez progi INVALID do ponownego ustalenia
wyłączony włączony zależny od ochrony i polaryzacji spoczynkowej NOT_AVAILABLE, zakaz interpretacji

Dowód, decyzja i regresja wejścia statusowego

Minimalny program dowodowy obejmuje:

  • przemiatanie napięcia przez wszystkie progi przy skrajnych temperaturach i zasilaniach;
  • pomiar histerezy i opóźnienia obu kierunków;
  • odtworzenie zarejestrowanych odbić oraz dłuższego drżenia styku;
  • wprowadzenie przerwy, zwarcia do powrotu i zwarcia do zasilania na zatwierdzonym stanowisku;
  • zmianę fazy zdarzenia względem próbkowania;
  • wszystkie kolejności włączenia i wyłączenia toru oraz logiki;
  • drgania z rejestratorem zdolnym zauważyć krótkie przerwy;
  • próbę końcową od fizycznego styku do wartości i flagi widzianej przez funkcję systemową.

[DEC] Interfejs można uznać za zgodny dopiero wtedy, gdy okna pozostają rozłączne, czas mieści się w wymaganiu, stany nieokreślone nie są przedstawiane jako ważne, a wszystkie deklarowane klasy usterek wywołują przewidzianą reakcję.

[REG] Zmiana rezystora przy styku otwiera budżet napięciowy, progi, diagnostykę przerwy i próbę temperatury. Zmiana kondensatora otwiera czas, eliminację odbić i odporność EMC. Zmiana okresu zadania programu otwiera opóźnienie i świeżość. Zmiana wiązki otwiera spadki, zakłócenia, drgania oraz macierz usterek.

Wejścia asynchroniczne: informacja o stanie a informacja o zdarzeniu

Synchronizator poziomu nadaje się do sygnału, który pozostaje stabilny wystarczająco długo. Nie tworzy kolejki. Krótki impuls może wypaść całkowicie pomiędzy zboczami zegara.

Najczęstsze mechanizmy przenoszenia zdarzeń mają odmienne ograniczenia:

Mechanizm Zaleta Warunek i martwe pole
rozciągnięcie impulsu prosta obsługa następne zdarzenie nie może nadejść przed zwolnieniem
zatrzask zdarzenia zachowanie krótkiego impulsu trzeba jednoznacznie rozstrzygnąć kasowanie i ponowne uzbrojenie
bit przełączany impuls zamienia się w zmianę poziomu dwa zdarzenia przed obserwacją mogą się wzajemnie skasować
uzgadnianie żądanie–potwierdzenie brak utraty przy dowolnej relacji zegarów większe opóźnienie i możliwość zakleszczenia
licznik zdarzeń zachowuje wielokrotność wymaga przeniesienia wielobitowego stanu
asynchroniczna kolejka „pierwszy wszedł, pierwszy wyszedł” (FIFO) obsługa szybkich serii większa złożoność, kontrola przepełnienia i przejścia wskaźników między domenami zegarowymi (CDC)

Metastabilności nie da się „zasymulować” w zwykłej symulacji RTL jako pełnego zjawiska analogowego. Można natomiast sprawdzić architekturę: pierwszy stopień nie rozgałęzia się, atrybuty i rozmieszczenie są poprawne, ścieżki mają właściwe ograniczenia, a logika reaguje poprawnie na dopuszczalną niepewność jednego cyklu.

Oprogramowanie odpytywane okresowo dodaje własną fazę i drganie czasowe. Jeżeli okres wynosi $T_P$, samo położenie zdarzenia daje niepewność niemal od zera do $T_P$. Obsługa przerwania zmniejsza średnie opóźnienie, lecz nie zastępuje zatrzaśnięcia przyczyny: przerwanie może być zamaskowane, połączone z innymi przyczynami albo wielokrotnie wzbudzone przez drżenie styku.

Wyjścia mocy i charakter obciążenia

Wyjście sterujące obciążeniem trzeba oceniać jako tor energii:

źródło zasilania
      ↓
ochrona i rozdział
      ↓
klucz mocy
      ↓
wiązka
      ↓
obciążenie
      ↓
skutek fizyczny

Wyjście wysokostronne łączy obciążenie z dodatnią szyną. Jest naturalne dla obciążenia połączonego z powrotem i może zawierać ograniczenie prądu oraz diagnostykę. Zwarcie wyjścia do powrotu obciąża wówczas sterownik.

Wyjście niskostronne łączy obciążenie z powrotem. Sterowanie kluczem bywa prostsze, ale obciążenie pozostaje połączone z dodatnią szyną. Zwarcie jego dolnego końca do powrotu może ominąć sterownik i zasilić obciążenie mimo komendy wyłączenia. Wybór topologii jest więc decyzją o zachowaniu awaryjnym, nie tylko o wygodzie sterowania.

Obciążenie rezystancyjne wyznacza głównie prąd i moc ustaloną. Obciążenie pojemnościowe pobiera prąd rozruchowy zależny od ESR oraz impedancji źródła. Obciążenie indukcyjne magazynuje energię:

$$E_L=\frac{1}{2}LI^2.$$

Po wyłączeniu prąd wymaga kontrolowanej drogi zaniku. Dioda, ogranicznik przepięcia albo aktywna demagnetyzacja zmieniają napięcie klucza, emisję i czas zwolnienia mechanizmu. Ochrony elektrycznej nie można dobierać niezależnie od wymaganego czasu mechanicznego.

Standard ECSS-E-ST-20-21C rozdziela stronę źródła energii i elektryczny aktuator jako obciążenie, wspierając powtarzalne definiowanie ich granicy.ecss2021 Metoda jest przenośna, lecz konkretne wymagania pocisku muszą pochodzić z jego programu.

Studium II: sterowanie cewką z diagnostyką skutku

Wymaganie i dane

Rozważmy fikcyjną cewkę mechanizmu pomocniczego, niezwiązaną z inicjacją materiału energetycznego.

  • [WYM] stan nieaktywny ma być osiągany po zaniku komendy;
  • [WYM] przerwa obciążenia, zwarcie do powrotu, pozostanie wyjścia włączonego i brak skutku mechanicznego mają być rozróżniane w granicach zdolności obserwacji;
  • [ZAŁ] zasilanie wynosi 20–30 V;
  • [ZAŁ] rezystancja cewki w temperaturze 20°C wynosi $24 \Omega\pm10\%$;
  • [ZAŁ] współczynnik temperaturowy przewodnika wynosi $0{,}00393/\mathrm{K}$;
  • [ZAŁ] zakres temperatury cewki wynosi od −40 do +85°C;
  • [ZAŁ] indukcyjność wynosi 60–100 mH;
  • [ZAŁ] ograniczenie prądu klucza wynosi 2,2 A;
  • [ZAŁ] błąd całego toru pomiaru prądu nie przekracza $\pm0{,}05 \mathrm{A}$;
  • [ZAŁ] ogranicznik podczas wyłączenia utrzymuje około 48 V na indukcyjności; dokładna topologia nie jest tu określana.

Prąd najgorszego przypadku

Najmniejsza rezystancja występuje dla dolnej tolerancji i temperatury −40°C:

$$R_{\min} = 24\cdot0{,}9 \left[1+0{,}00393(-40-20)\right] = 16{,}507 \Omega.$$

Największa:

$$R_{\max} = 24\cdot1{,}1 \left[1+0{,}00393(85-20)\right] = 33{,}144 \Omega.$$

Prąd ustalony mieści się zatem w przedziale:

$$I_{\max}=\frac{30}{16{,}507}=1{,}817 \mathrm{A},$$

$$I_{\min}=\frac{20}{33{,}144}=0{,}603 \mathrm{A}.$$

[OBL] Prawidłowe obciążenie może więc zmieniać prąd około trzykrotnie. Próg diagnostyczny wyznaczony wyłącznie na podstawie wartości nominalnej powodowałby fałszywe rozpoznanie przerwy w wysokiej temperaturze albo przeciążenia w niskiej.

Przykładowe okno „prąd poprawny po ustaleniu” można ustanowić jako 0,45–2,0 A. Dolny zapas względem obliczonego minimum wynosi 0,153 A, a po odjęciu błędu pomiaru 0,103 A. Górny zapas wynosi 0,183 A, po odjęciu błędu 0,133 A. Są to zapasy niewielkie; starzenie, spadek wiązki i samonagrzewanie wymagają dalszego modelu.

Narastanie i zanik prądu

Stała czasowa cewki wynosi:

$$\tau=\frac{L}{R}.$$

Dla skrajnych kombinacji otrzymuje się w przybliżeniu od

$$\frac{60 \mathrm{mH}}{33{,}144 \Omega}=1{,}81 \mathrm{ms}$$

do

$$\frac{100 \mathrm{mH}}{16{,}507 \Omega}=6{,}06 \mathrm{ms}.$$

Diagnostyka nie może porównywać prądu z oknem ustalonym bezpośrednio po komendzie. Potrzebuje okna rozruchowego albo modelu obwiedni. Zbyt krótki czas wygaszania diagnostyki da fałszywy werdykt „przerwa obciążenia”, a zbyt długi ukryje rzeczywistą przerwę.

Maksymalna energia magnetyczna przy podanych założeniach wynosi:

$$E_{\max} = \frac{1}{2}\cdot0{,}1\cdot1{,}817^2 = 0{,}165 \mathrm{J}.$$

Przy idealizowanym stałym napięciu 48 V na indukcyjności pierwsze przybliżenie czasu zaniku prądu wynosi:

$$t_{\mathrm{demag}} \approx \frac{LI}{V} = \frac{0{,}1\cdot1{,}817}{48} = 3{,}79 \mathrm{ms}.$$

Rezystancja cewki pomaga w rozpraszaniu energii, a rzeczywiste napięcie zależy od topologii, dlatego wynik nie jest gwarancją. [DEC] Ogranicznik należy oceniać wspólnie z tolerancją indukcyjności, prądem początkowym, temperaturą, powtarzalnością impulsów i dopuszczalnym napięciem klucza.

Jeżeli przy zwarciu ograniczenie 2,2 A działa przez 2 ms przy 30 V, źródło może dostarczyć energię rzędu:

$$E_{\mathrm{fault}} \le 30\cdot2{,}2\cdot0{,}002 = 0{,}132 \mathrm{J}.$$

Nie jest to energia rozpraszana wyłącznie w tranzystorze; dzieli się między klucz, przewód, źródło i miejsce zwarcia. Wartość pokazuje jednak, dlaczego czas wykrycia, ograniczenie prądu i liczba ponowień muszą być analizowane razem.

Decyzja o topologii

[DEC] Wybrano klucz wysokostronny, ponieważ obciążenie jest połączone z powrotem, a zwarcie przewodu do powrotu ma zostać przekształcone w wykrywane przeciążenie zamiast ominięcia klucza. Decyzja nie chroni przed zwarciem wyjścia do dodatniej szyny ani wewnętrznym zwarciem klucza. Jeżeli niezamierzone zasilenie obciążenia jest hazardem niedopuszczalnym, potrzebny jest niezależny środek odcięcia wynikający z analizy bezpieczeństwa.

Stan wyjścia jest obserwowany w czterech miejscach:

  1. rejestr komendy;
  2. napięcie terminala;
  3. prąd obciążenia;
  4. czujnik skutku mechanicznego.

Dopiero ich relacja umożliwia sensowną diagnozę.

Macierz usterek

Komenda Napięcie terminala Prąd Skutek mechaniczny Najbardziej prawdopodobna klasa
wyłącz niskie zerowy stan spoczynkowy działanie prawidłowe
wyłącz wysokie obecny stan aktywny wyjście zwarte lub zasilone z pominięciem sterownika
włącz wysokie zerowy brak przerwa cewki lub wiązki
włącz niskie ograniczony lub wysoki brak zwarcie do powrotu albo aktywne ograniczenie
włącz wysokie w poprawnym oknie brak po wymaganym czasie zacięcie mechaniczne, rozłączenie napędu lub błąd czujnika skutku
włącz wysokie nieprawidłowo mały niepewny zwiększona rezystancja, częściowa przerwa, błędne zasilanie
dowolna niespójne niespójny niespójny utrata odniesienia, błąd pomiaru albo usterka wspólna

Macierz nie lokalizuje automatycznie wszystkich przyczyn. Przykładowo brak skutku przy prawidłowym prądzie może oznaczać zacięcie mechanizmu, ale także uszkodzenie czujnika. Poprawny werdykt brzmi „brak potwierdzonego skutku”, dopóki dodatkowa obserwacja nie rozdzieli hipotez.

Stan wyłączony i diagnostyka

Słaby prąd diagnostyczny w stanie wyłączonym może wykrywać przerwę, ale może też częściowo zasilać obciążenie, świecić wskaźnikiem albo naruszać rzeczywisty stan spoczynkowy. Jest dopuszczalny wyłącznie wtedy, gdy analiza obciążenia wykazuje odpowiedni margines.

nie podano dopuszczalnych prądów diagnostycznych ani sposobu testowania urządzeń inicjowanych elektrycznie. Dla takich urządzeń obowiązują wyłącznie kontrolowane wymagania programu, zatwierdzone testery i procedury bezpieczeństwa.

Automatyczne ponawianie po przeciążeniu nie jest neutralne. Każda próba dostarcza energię i wywołuje cykl cieplny. Tryb ponawiania, odłączenia zatrzaskowego lub ograniczenia zwrotnego trzeba oceniać na poziomie systemu.

Dowód i regresja wyjścia mocy

Program dowodowy powinien objąć:

  • prąd ustalony i przebieg przejściowy dla temperatur oraz granic zasilania;
  • tolerancję cewki i reprezentatywny opór wiązki;
  • energię wyłączenia oraz napięcie klucza;
  • przerwę obciążenia, zwarcie do powrotu i niezamierzone zasilenie terminala;
  • utknięcie wyjścia w stanie włączonym i wyłączonym;
  • poprawny prąd bez skutku mechanicznego;
  • rzeczywisty czas ruchu i zwolnienia;
  • sekwencję resetu sterownika podczas przepływu prądu;
  • wielokrotne usterki przerywane i ograniczenie liczby ponowień;
  • badanie środowiskowe z pomiarem krótkich przerw i zmian parametrów.

[DEC] Zgodność wymaga jednoczesnego spełnienia budżetu prądu, energii, czasu mechanicznego i diagnostyki. Samo przełączenie cewki przy napięciu nominalnym nie wystarcza.

[REG] Zmiana cewki otwiera prąd, czas, energię i progi diagnostyczne. Zmiana ogranicznika otwiera napięcie klucza, czas zwolnienia, EMC i trwałość. Zmiana oprogramowania ponawiania otwiera energię skumulowaną, termikę, rejestrację usterek i reakcję systemową. Zmiana czujnika skutku otwiera czas wiarygodności oraz macierz rozróżnialności usterek.

Ochrona portu jest koordynacją energii

Ochronnik nie usuwa energii. Zmienia jej drogę, ogranicza napięcie, rozprasza część impulsu albo przekazuje ją do innego węzła. Kompletny tor ochrony obejmuje:

źródło zaburzenia
      ↓
impedancja przewodu i złącza
      ↓
element ograniczający prąd
      ↓
ogranicznik napięcia
      ↓
pojemności i struktury wejścia
      ↓
odniesienie, do którego płynie prąd

Rezystor szeregowy ogranicza prąd ochronnika wejściowego i wraz z pojemnością tworzy filtr. Powoduje jednak spadek przy upływie i wydłuża zbocze. Ogranicznik przepięcia ma napięcie zacisku zależne od prądu i szybkości impulsu. Mały element może spełniać moc średnią, a nie wytrzymać energii krótkiego zdarzenia.

Trzeba rozdzielić:

  • wyładowanie elektrostatyczne o małej energii i bardzo szybkim zboczu;
  • szybką serię impulsów;
  • udar o większej energii;
  • długotrwałe przepięcie;
  • odwrotną polaryzację;
  • różnicę potencjałów odniesień;
  • prąd wynikający z niezasilonej domeny.

MIL-STD-461H, aktywny od 17 kwietnia 2026 r., ustanawia wymagania dotyczące emisji i podatności elektromagnetycznej urządzeń oraz podsystemów DoD i podkreśla ich zastosowanie na określonej granicy wyposażenia, a nie automatycznie do całej platformy lub pojedynczego modułu wewnętrznego.mil461 Zgodność z jedną próbą EMC nie dowodzi odporności na wszystkie wymienione mechanizmy.

Studium III: sygnał między dwiema domenami zasilania

Problem

Rozważmy fikcyjny sygnał zezwolenia przekazywany z domeny A do FPGA w domenie B. Obie domeny mogą włączać się i wyłączać niezależnie, a ich odniesienia mogą mieć niedopuszczalną dla bezpośredniego połączenia różnicę potencjałów.

Wymagania:

  • [WYM] asercja jest aktywna stanem wysokim;
  • [WYM] utrata zasilania dowolnej strony ma prowadzić do deasercji lub stanu nieważnego, nigdy do ważnej asercji;
  • [WYM] podczas dowolnej sekwencji zasilania nie może powstać zaakceptowany impuls;
  • [WYM] maksymalne opóźnienie po ustanowieniu gotowości obu stron wynosi 10 µs;
  • [ZAŁ] maksymalny prąd upływu wyjścia odbiorczego wynosi 25 µA;
  • [ZAŁ] maksymalny próg stanu niskiego FPGA wynosi 0,8 V;
  • [ZAŁ] lokalne zakłócenie i błąd odniesienia po stronie B zużywają nie więcej niż 0,15 V;
  • [ZAŁ] izolator ma gwarantowane maksymalne opóźnienie 0,25 µs i określony stan niski po utracie nośnej;
  • [ZAŁ] logika odbiorcza próbkuje z częstotliwością 1 MHz i wymaga czterech zgodnych próbek;
  • [ZAŁ] synchronizacja wewnętrzna FPGA pracuje z zegarem 10 MHz.

Dlaczego bezpośrednie połączenie jest niewystarczające

Jeżeli sygnał 5 V zostanie podany przez 10 kΩ na pin niezasilonej domeny B, a wewnętrzna dioda ograniczy napięcie do około 0,3 V, prąd może wynieść:

$$I_{\mathrm{back}} \approx \frac{5-0{,}3}{10\,000} = 0{,}47 \mathrm{mA}.$$

Taki prąd może podnieść wyłączoną szynę, częściowo zasilić logikę albo wprowadzić układ w stan nieobjęty specyfikacją. Mała wartość prądu nie oznacza dopuszczalności. Potrzebna jest jawna gwarancja pracy przy częściowym zaniku zasilania albo fizyczne odłączenie.

[DEC] Zastosowano izolację galwaniczną z niezależnym zasilaniem obu stron, jawnym stanem wyjścia przy utracie strony nadawczej i sprzętowym zezwoleniem po stronie B. Izolacja została wybrana z powodu różnicy odniesień, a nie dlatego, że każdy sygnał między dwiema szynami wymaga bariery.

Rezystor ustalający stan

Wyjście strony B ma zewnętrzny rezystor $10 \mathrm{k\Omega}\pm2\%$ do powrotu. W najgorszym przypadku napięcie wytworzone przez upływ wynosi:

$$V_{\mathrm{leak,max}} = 25 \mathrm{\mu A}\cdot10{,}2 \mathrm{k\Omega} = 0{,}255 \mathrm{V}.$$

Po dodaniu zakłócenia 0,15 V:

$$V_{\mathrm{low,wc}}=0{,}405 \mathrm{V}.$$

Margines do granicy 0,8 V wynosi:

$$NM_L=0{,}8-0{,}405=0{,}395 \mathrm{V}.$$

Rezystor 47 kΩ dałby od samego upływu 1,175 V, czyli przekroczyłby przyjęty próg. [DEC] Wartość 10 kΩ wynika z budżetu, a nie z przyzwyczajenia do „słabego podciągnięcia”.

Przy stanie wysokim rezystor obciąża wyjście prądem około:

$$I_H=\frac{3{,}3}{9{,}8 \mathrm{k\Omega}}=0{,}337 \mathrm{mA}.$$

Zdolność wyjścia i wynikowe $V_{OH}$ muszą być potwierdzone przez [KAT] konkretnego elementu.

Czas i asymetria przejść

Cztery zgodne próbki przy 1 MHz tworzą czas od 3 do 4 µs, zależnie od fazy przejścia. Dodając maksymalnie:

  • 0,25 µs izolatora;
  • 4,00 µs filtru próbkowego;
  • 0,20 µs dwóch cykli synchronizacji przy 10 MHz;

otrzymuje się:

$$t_{\mathrm{E2E,max}}=4{,}45 \mathrm{\mu s}.$$

[OBL] Zapas do wymagania 10 µs wynosi 5,55 µs. Trzeba osobno policzyć asercję i deasercję, ponieważ izolator, filtr i logika mogą być asymetryczne.

Bariera ma pasożytniczą pojemność, przez którą szybka zmiana napięcia wspólnego przenosi prąd. Odporność na takie zjawisko opisuje parametr CMTI, czyli odporność na strome zmiany napięcia wspólnego. Analog Devices przedstawia pomiar polegający na przykładaniu dodatnich i ujemnych szybkich zmian napięcia pomiędzy stronami bariery i obserwacji wyjścia dla obu stanów logicznych.adi Wynik katalogowy części nie obejmuje automatycznie pojemności płytki, izolowanej przetwornicy, ekranów i aparatury pomiarowej.

Macierz stanów zasilania

Domena A Domena B Bariera Zezwolenie odbiornika Interpretacja
wyłączona wyłączona bez energii wyłączone NOT_AVAILABLE
włączona wyłączona nadajnik może działać wyłączone sprzętowo brak asercji, zakaz zasilania wstecznego
wyłączona włączona brak nośnej stan niski DEASSERTED_INVALID
rozruch włączona możliwe przejścia zablokowane TRANSITION
gotowa rozruch B sygnał może istnieć zablokowane do B_READY TRANSITION
gotowa gotowa prawidłowa transmisja aktywne VALID
zapad napięcia dowolnej strony dowolny zachowanie przejściowe natychmiast blokowane INVALID
rekonfiguracja FPGA włączona wyjście izolatora poprawne logika systemowa zablokowana INVALID do ponownej inicjalizacji

Sprzętowe B_READY nie może zależeć wyłącznie od pierwszej instrukcji programu. Powinno wynikać z ustalenia zasilania, zegara, konfiguracji i niezbędnych testów. Po resecie FPGA wewnętrzny stan portu zależy od rodziny, banku, trybu konfiguracji i zewnętrznej polaryzacji spoczynkowej. Dokument AMD UG861 pokazuje dla konkretnej rodziny Spartan UltraScale+ zależność funkcji od banku, standardu I/O, sterowania siłą, szybkością zbocza i stanu przed konfiguracją; nie wolno przenosić tych właściwości na inne rodziny bez ich dokumentacji.amd861

Dowód i regresja połączenia domen

Próba musi objąć wszystkie kolejności włączania, wyłączania, krótkie zaniki, powolne rampy i pozostawiony ładunek na szynach. Obserwuje się jednocześnie napięcia obu domen, prąd wsteczny, wyjście izolatora, wejście FPGA, zezwolenie i stan widziany przez program.

Należy również zbadać:

  • dodatnie i ujemne zaburzenia wspólne;
  • asercję oraz deasercję;
  • utratę jednej strony podczas aktywnego sygnału;
  • reset i pełną rekonfigurację FPGA;
  • brak zegara odbiorczego;
  • błędny obraz konfiguracji;
  • opóźnienie i krótkie impulsy dla wszystkich faz próbkowania;
  • degradację lub przerwę zasilania izolowanej strony.

[DEC] Poprawny poziom w stanie ustalonym nie dowodzi zgodności. Warunkiem akceptacji jest brak zaakceptowanej asercji we wszystkich niedozwolonych stanach oraz zachowanie opóźnienia po ustanowieniu gotowości.

[REG] Zmiana sufiksu izolatora może zmienić stan awaryjny i otwiera pełną macierz zasilania. Zmiana rezystora ustalającego otwiera margines upływu oraz obciążenie stanu wysokiego. Zmiana częstotliwości zegara lub filtru otwiera czas i minimalną szerokość impulsu. Zmiana obrazu FPGA otwiera stan przed konfiguracją, własność portu, synchronizację, ograniczenia czasowe i próbę końcową.

Stan domyślny, bezpieczny i zdegradowany

Stan domyślny jest wynikiem elektrycznej polaryzacji spoczynkowej, gdy nie działa aktywny nadajnik. Stan bezpieczny wynika z analizy zagrożeń. Nie są synonimami.

Niski poziom może wyłączać jeden mechanizm, lecz asertować alarm lub komendę aktywną stanem niskim. Wysoka impedancja może być bezpieczna tylko wtedy, gdy zewnętrzny element wymusza właściwy stan. Zachowanie bez zasilania, w resecie i po utracie zegara musi być analizowane oddzielnie.

Topologia energize-to-run wymaga energii do utrzymania funkcji; przerwa przewodu prowadzi zwykle do wyłączenia, ale zwarcie do zasilania może ją utrzymać. Topologia energize-to-trip wymaga energii do przejścia ochronnego; utrata źródła może uniemożliwić reakcję. Żadnej z nich nie można nazwać ogólnie „bezpieczną” bez określenia awarii, fazy i wymaganego rezultatu.

Redundancja dwóch kanałów nie istnieje, jeżeli dzielą one:

  • ten sam przewód powrotny;
  • wspólny rezystor podciągający;
  • jeden pin złącza;
  • wspólne zasilanie bez separacji;
  • tę samą błędną konfigurację;
  • jeden czujnik lub ten sam błąd semantyczny;
  • wspólny element monitorujący zdolny zablokować oba kanały.

Stan zdegradowany powinien mówić, która funkcja i który dowód zostały utracone. INVALID nie może być bezrefleksyjnie zastępowane wartością domyślną. Program powinien mieć osobną reakcję dla braku asercji, nieważnej informacji, utraty świeżości i potwierdzonej usterki.

FPGA, mikrokontroler i własność portu

Pin układu programowalnego nie ma jednej niezmiennej funkcji. Może przejść kolejno przez stan po włączeniu, konfigurację, program rozruchowy, próbę produkcyjną, aplikację i tryb diagnostyczny. Każda warstwa może zmienić kierunek, polaryzację, rezystor wewnętrzny, siłę sterowania lub funkcję alternatywną.

W FPGA piny są zorganizowane w banki dzielące zasilanie, napięcie odniesienia i zasoby terminacji. Ograniczenie IOSTANDARD jest częścią projektu elektrycznego. Podobnie konfiguracja siły wyjścia i szybkości zbocza wpływa na spadek napięcia, odbicia, emisję i zakłócenia jednoczesnego przełączania.

W mikrokontrolerze port wejścia–wyjścia ogólnego przeznaczenia (GPIO) po resecie może być wejściem wysokiej impedancji, wejściem analogowym albo funkcją alternatywną. Bezpieczna inicjalizacja często wymaga najpierw wpisania wartości do zatrzasku wyjściowego, a dopiero potem włączenia sterownika. Odwrotna kolejność może wytworzyć impuls.

Własność portu powinna mieć jawny automat:

POWER_OFF
   ↓
HARDWARE_DEFAULT
   ↓
CONFIGURATION
   ↓
SELF_TEST
   ↓
APPLICATION_OWNS_PORT
   ↓
DEGRADED albo SAFE

Przejście do APPLICATION_OWNS_PORT następuje dopiero po potwierdzeniu konfiguracji, zegara, zasilania, wejść i warunków systemowych. Reset jednego kontrolera nie kasuje fizycznego stanu obciążenia ani zamiarów drugiego kanału.

ICD i pakiet dowodowy

Tabela nazw sygnałów nie jest kompletnym dokumentem kontroli interfejsu (ICD). Każdy wiersz powinien dać się rozwinąć w sześć powiązanych grup informacji:

Grupa Pytanie, na które musi odpowiadać ICD Minimalny ślad dowodowy
tożsamość i semantyka czy to komenda, status czy zdarzenie; co znaczą asercja, nieważność i brak aktualności; kto jest źródłem prawdy? tabela prawdy, kierunek, właściciel decyzji i reakcja na stany niejednoznaczne
elektryka gdzie jest granica; kto dostarcza energię, odniesienie, polaryzację i terminację; jakie są gwarantowane poziomy, prądy, impedancje, upływy i pojemności? dwustronny budżet najgorszego przypadku wraz z zachowaniem ochronników
czas jakie są szerokości impulsów, częstość zmian, czasy zboczy, opóźnienia, synchronizacja i okres obserwacji? diagram czasowy z granicami minimalnymi i maksymalnymi dla obu kierunków
zasilanie co dzieje się przy każdej kolejności włączenia, resecie, rekonfiguracji, spadku napięcia, wolnej rampie i pozostałym ładunku? macierz stanów domen, blokad i ważności informacji
usterki jaki skutek mają przerwy, zwarcia, utrata odniesienia, utknięcie sterownika, błędny kierunek lub polaryzacja i usterki wspólne? macierz FMEA powiązana z obserwacją, wykryciem i reakcją systemową
konfiguracja i dowód do których części, rewizji płytki i wiązki, obrazu FPGA, programu, parametrów, stanowiska i procedury odnosi się werdykt? identyfikatory wersji, dane wzorcowania, niepewność, wyniki i odstępstwa

Taki pakiet pozwala odtworzyć zachowanie bez wiedzy ustnej i łączy szczegół elektryczny z decyzją systemową. Zmiana rezystora, obrazu FPGA albo czasu odpytywania jest zmianą interfejsu, nawet gdy nazwa przewodu pozostaje ta sama.

Strategia prób: od modelu do dowodu

Próby nie powinny być katalogiem aparatury. Powinny wynikać z mapy:

wymaganie
   ↓
ryzyko lub mechanizm błędu
   ↓
model
   ↓
bodziec
   ↓
obserwacja
   ↓
kryterium
   ↓
werdykt
   ↓
zapis konfiguracji

Przykładowa macierz:

Wymaganie Ryzyko Metoda Kryterium
rozpoznanie stanu wysokiego mały margines przy temperaturze analiza najgorszego przypadku i przemiatanie progu wszystkie wyniki poza regionem nieokreślonym z wymaganym zapasem
brak fałszywego impulsu przy rozruchu różne rampy domen próba sekwencji zasilania brak zaakceptowanej asercji
wykrycie przerwy polaryzacja spoczynkowa imituje poprawny stan kontrolowane wprowadzenie przerwy właściwa flaga w wymaganym czasie
zachowanie krótkiego zdarzenia impuls między próbkami przemiatanie szerokości i fazy gwarantowana akceptacja powyżej limitu i odrzucenie poniżej limitu
wyłączenie cewki energia indukcyjna pomiar napięcia, prądu i czasu granice klucza i czasu mechanizmu nieprzekroczone
poprawna semantyka inwersja w jednej warstwie próba końcowa wymagany skutek dla obu stanów i usterek

Poziomy weryfikacji

  1. Analiza. Budżety DC, RC, energia, stany zasilania, FMEA i czas.
  2. Symulacja obwodu. Przebiegi przejściowe, elementy nieliniowe, skrajne tolerancje.
  3. Symulacja logiki. Filtry, automaty, liczniki, reakcje na zdarzenia i błędy.
  4. Sprzęt inżynierski. Rzeczywiste źródło i odbiornik połączone reprezentatywnym przewodem.
  5. Próba ze sprzętem w pętli (HIL). Rzeczywisty port, obciążenie lub jego model impedancyjny, oprogramowanie i czas misji.
  6. Próby środowiskowe. Temperatura, drgania, EMC i przewidywane zaburzenia z równoczesnym monitorowaniem funkcji.
  7. Próba końcowa. Końcowa konfiguracja sprzętu, oprogramowania, wiązki i złączy.
  8. Odbiór egzemplarza. Kontrola wykonania bez niepotrzebnego zużywania sprzętu.

GSFC-STD-1000I, które w sierpniu 2025 r. zastąpiło rewizję H, zaleca wczesne badanie interfejsów elektrycznych, protokołu i zgodności oprogramowania na makiecie lub egzemplarzu inżynierskim, zanim niezgodność dotrze do integracji systemowej.gsfc Ten sam dokument zaleca próbę integralności miedzianych ścieżek interfejsu po końcowym połączeniu złączy lotnych. Wniosek nie brzmi „należy kopiować program NASA”, lecz „dobrze napisany ICD nie usuwa potrzeby wczesnego połączenia rzeczywistych końców i końcowej kontroli konfiguracji”.

Aparatura i jej wpływ

Analizator logiczny pokazuje stan już zinterpretowany według własnego progu. Nie ujawni małego marginesu napięcia, jeżeli jego próg różni się od progu odbiornika.

Oscyloskop pokazuje zbocza, odbicia i impulsy, lecz pojemność sondy może zmienić wysokoimpedancyjną linię. Zacisk masowy zwykłej sondy może zewrzeć dwie domeny, które miały być rozdzielone.

Skrzynka dostępowa dodaje rezystancję, pojemność, odgałęzienia i nowe styki. Powinna mieć identyfikator konfiguracji oraz własny budżet. Tester cyfrowy ustawiający tylko zero i jeden nie emuluje rzeczywistego styku, cewki ani uszkodzenia przewodu.

Wynik próby powinien rozróżniać:

  • zgodność — ważny pomiar spełnia kryterium;
  • niezgodność — ważny pomiar narusza kryterium;
  • nierozstrzygnięcie — wynik pasuje do kilku nierozdzielonych hipotez;
  • nieważność — stanowisko, konfiguracja lub spójność pomiarowa nie pozwalają wydać werdyktu.

Środowisko pocisku zmienia priorytety

Długa faza magazynowania i krótka faza działania tworzą nietypowy profil życia. Interfejs może przez lata nie zmieniać stanu, dlatego usterka latentna pozostaje niewidoczna aż do chwili użycia. Test wbudowany powinien mieć jawne pokrycie: sprawdzenie rejestru nie obejmuje sterownika, przewodu i obciążenia; odczyt terminala nie potwierdza skutku mechanicznego.

Gwałtowne przyspieszenie i drgania mogą powodować:

  • chwilowe przerwy styków;
  • drżenie przekaźników i mikroprzełączników;
  • zmianę rezystancji połączeń;
  • ugięcie płytki i złączy;
  • zakłócenia odniesienia;
  • impulsy na wejściach o małym marginesie.

Rejestrator użyty podczas próby musi mieć pasmo i znaczniki czasu odpowiednie do krótkich zjawisk. Wolny dziennik programu może nie zobaczyć impulsu, który zdążył przełączyć sprzętowy zatrzask.

Temperatura zmienia rezystancję styków i cewek, upływy, progi, opóźnienia izolatorów oraz ograniczenie prądu. Próba po ustaleniu temperatury nie zawsze pokrywa szybki rozruch zimnej elektroniki i późniejsze samonagrzewanie.

Ograniczony budżet energii zachęca do okresowego odpytywania, impulsowego prądu zwilżającego i wyłączania monitorów. Każda oszczędność tworzy jednak okna niewidoczności. Harmonogram zasilania jest częścią zdolności diagnostycznej.

Diagnostyka eksploatacyjna

Objaw „fałszywa krawędź” może wynikać z zakłócenia, odbicia styku, przejścia przez próg, metastabilności, błędu odczytu i kasowania albo niewłaściwej konfiguracji. Zwiększenie czasu filtracji może ukryć kilka z tych objawów, ale nie wskazuje przyczyny i może naruszyć czas reakcji.

Skuteczna lokalizacja porównuje kolejne punkty:

przebieg na terminalu
      ↓
wyjście odbiornika
      ↓
stan po synchronizacji
      ↓
stan po filtracji
      ↓
rejestr zdarzenia
      ↓
wartość programu
      ↓
decyzja systemowa

Brak przejścia na terminalu kieruje analizę do źródła lub przewodu. Przejście na terminalu i brak za odbiornikiem wskazują próg, ochronę lub zasilanie. Poprawny stan sprzętowy i błędna wartość programu wskazują konfigurację, własność portu, polaryzację lub wyścig programowy.

Przy usterce przerywanej trzeba zachować pierwsze dane przed demontażem. Wymiana modułu może usunąć warunki odtworzenia, a jednocześnie pozostawić uszkodzoną wiązkę. Liczniki usterek powinny mieć nasycenie, czas lub kontekst fazy oraz kontrolowaną politykę kasowania.

Konfiguracja i regresja

Twierdzenie „interfejs został zakwalifikowany” dotyczy dokładnej konfiguracji. Minimalny rekord bazowy powinien wiązać:

sprzęt źródła
+ sprzęt odbiornika
+ wiązka i złącza
+ zasilanie
+ elementy ochronne
+ obraz FPGA
+ oprogramowanie wbudowane
+ konfiguracja portów
+ progi i filtry
+ dane kalibracyjne
+ stanowisko
+ procedura
+ środowisko

Numer płytki bez identyfikatora obrazu FPGA nie określa zachowania portu. Wersja programu bez tabeli parametrów nie określa eliminacji odbić. Numer części izolatora bez pełnego wariantu może nie określać stanu awaryjnego.

Regresję należy wyprowadzać z zależności, a nie z nazwy zmienionego pliku:

Zmiana Minimalnie otwierane dowody
rezystor podciągający poziomy, prąd, RC, moc, stan niezasilony
kondensator wejściowy czas, minimalny impuls, EMC, rozruch
wiązka lub złącze spadek, odniesienie, pojemność, drgania, energia zwarcia
typ sterownika poziomy, prąd, usterki, termika, stany zasilania
cewka lub aktuator prąd, energia, czas, diagnostyka skutku
izolator lub translator opóźnienie, odporność na strome zmiany napięcia wspólnego (CMTI), prąd w stanie niezasilonym (Ioff), stan awaryjny, sekwencja zasilania
obraz FPGA standard I/O, polaryzacja spoczynkowa, własność portu, przejścia między domenami zegarowymi (CDC), czas, rozruch
oprogramowanie wbudowane polaryzacja, filtrowanie, odpytywanie, ważność, reakcja na błąd
próg diagnostyczny pokrycie usterek, fałszywe alarmy, temperatura, niepewność
aparatura lub adapter obciążenie toru, niepewność, reprezentatywność próby

Regresja różnicowa jest właściwa, gdy zmiana ma ograniczony i dobrze zrozumiały zasięg, a niezmienione dowody są jednoznacznie związane z niezmienioną konfiguracją. Ponowna pełna bramka jest potrzebna po zmianie tezy bezpieczeństwa, topologii, znaczenia sygnału, modelu usterek, zasadniczego budżetu, domen zasilania albo architektury monitorowania.

Kryteria ukończenia interfejsu

Interfejs jest inżyniersko domknięty dopiero wtedy, gdy sześć bramek ma identyfikowalny dowód:

  1. Granica: znane są punkt pomiaru, odniesienie, źródło energii, droga powrotna oraz właściciele terminacji i ochrony.
  2. Zgodność: gwarantowane granice źródła i odbiornika zachowują margines po uwzględnieniu przewodu, upływów, temperatury, zakłóceń oraz ograniczeń napięcia, prądu, mocy i energii.
  3. Czas i informacja: ustalono opóźnienia obu kierunków, zachowanie krótkich i wielokrotnych zdarzeń oraz rozróżnienie wartości, ważności, aktualności próbki i żywotności źródła.
  4. Stany i usterki: przeanalizowano każdą kolejność zasilania, reset, rekonfigurację, zasilanie wsteczne, przerwy, zwarcia, utratę odniesienia oraz usterki nierozróżnialne.
  5. Skutek i próba: wiadomo, która obserwacja potwierdza kolejno komendę, napięcie, prąd i rzeczywisty skutek, a wynik ma kryterium i niepewność.
  6. Konfiguracja i zmiana: werdykt wskazuje dokładne wersje sprzętu, wiązki, FPGA, programu, parametrów i stanowiska oraz zakres regresji po przewidywanej zmianie.

Negatywna albo nieznana odpowiedź nie zawsze oznacza zły projekt. Oznacza jednak otwarte założenie, którego nie wolno ukryć pod etykietą „prosty sygnał cyfrowy”.

Synteza

Trzy studia prowadzą do tego samego wyniku.

W wejściu statusowym nominalny poziom nie wystarczał. Dopiero kodowanie rezystancyjne, budżet tolerancji, jawne okna nieważności, eliminacja odbić, synchronizacja oraz model VALID/INVALID/STALE zamieniły napięcie w informację. Rachunek ujawnił także nierozróżnialność przerwy i zwarcia do zasilania.

W sterowaniu cewką komenda nie dowodziła ani przepływu energii, ani skutku mechanicznego. Temperatura rozszerzyła zakres prawidłowego prądu niemal trzykrotnie, indukcyjność wprowadziła energię i czas zaniku, a macierz komenda–napięcie–prąd–skutek rozdzieliła klasy usterek. Decyzja o topologii wynikała z zachowania przy zwarciu.

W sygnale pomiędzy domenami poprawny poziom przy obu zasilaniach włączonych nie mówił nic o rozruchu. Dopiero analiza zasilania wstecznego, stanu awaryjnego izolatora, zewnętrznej polaryzacji spoczynkowej, opóźnienia, gotowości FPGA i wszystkich kombinacji zasilania wykazała, kiedy sygnał może zostać uznany za ważny.

Najsilniejszy dowód interfejsu składa się z pięciu zgodnych elementów: dwustronnego budżetu, diagramu czasu, macierzy zasilania, macierzy usterek i próby końcowej w oznaczonej konfiguracji. Wtedy bit przestaje być nieudokumentowanym założeniem. Staje się kontrolowaną informacją, której pochodzenie, ważność, ograniczenia i reakcję na awarię można prześledzić od źródła energii aż do decyzji systemowej.

Źródła