技術頻道

一般來說，這些電子產品易受到環境中的腐蝕性氣體、水分、汙染物和懸浮微粒的影響，讓敏感性電子元件與印刷電路板產生爬行腐蝕(Creep Corrosion)的失效現象，嚴重恐導致設備電氣短路故障的風險。然而，傳統爬行腐蝕驗證方法「混合流動氣體(Mixed Flowing Gas, MFG)」腐蝕試驗成本昂貴，並非能所有產業鏈的客群所接受並採用。 針對此一挑戰，國際電子生產商聯盟(International Electronics Manufacturing Initiative, iNEMI)於2018年8月特別針對爬行腐蝕的驗證發表了一份白皮書(圖1)，而電子產品驗證測試實驗室宜特科技與國際系統大廠也共同剖析造成爬行腐蝕的關鍵因子，並研究開發出符合經濟效益、簡便迅速地驗證電子產品爬行腐蝕失效的測試方法「iNEMI硫磺蒸氣(Flower of Sulfur, FoS)腐蝕試驗，期能協助產業鏈客群針對爬行腐蝕的失效問題進行預防措施並找出因應之對策。 圖1　國際電子生產商聯盟(International Electronics Manufacturing Initiative, iNEMI)的爬行腐蝕驗證白皮書(White Paper_iNEMI FoS Test) 爬行腐蝕常見於PCB/導線架封裝 爬行腐蝕是屬於硫化腐蝕(Sulfur Corrosion)其中一種的失效機理，典型的案例可由印刷電路板(PCB)與導線架封裝(Leadframe Packages)(圖2)元件最為常見。由於裸露的金屬銅接觸到環境中硫化物的腐蝕性氣體進行反應生成硫化亞銅(Cu2S)的腐蝕產物，其固體腐蝕物沿著電路與阻焊層/封裝材料表面遷移生長的過程，導致相鄰焊盤和電路間的電氣短路失效現象，此一現象稱之為爬行腐蝕的失效模式。 圖2　導線架封裝元件的爬行腐蝕(受限於導線架鍍層與封裝材料氣密性 一般在爬行腐蝕的誘發過程中是不需要任何電場作用就會發生的失效機制，因此其腐蝕產物的遷移與生長並無一定的方向性。而通常要促使爬行腐蝕失效機制的發生須具備以下兩個條件： ．可發生金屬硫化腐蝕的特徵位置，例如裸露的金屬銅或其所披覆的保護層緻密/氣密性不佳。 ．可誘發爬行機理產生的表面環境，例如環境中含有氯氣、臭氧或清潔度較差的表面以及懸浮微粒的汙染都將觸發爬行機理的發生(表1)。 MFG/FoS硫化腐蝕試驗差異之處 通常MFG腐蝕試驗可控制的試驗參數包括溫度、濕度、腐蝕性氣體的種類、濃度與流速等。除此之外，MFG為一流動式腐蝕反應器，其腐蝕性氣體的來源來自於腐蝕氣體鋼瓶並搭配一定的氣體流速1,000或1,500liter/hour不斷地置換反應器內部的腐蝕性氣體。由於其可控制的試驗參數眾多、架設複雜且能持續地提供新鮮的腐蝕性氣體的特性，因此對於實際終端的環境條件具備較高的模擬能力與試驗的應用性，但卻也同時造成試驗成本較高的問題。 而一般FoS腐蝕試驗可控制的試驗參數只包含溫度與濕度，另考量於FoS為一批式腐蝕反應器，其腐蝕性氣體的來源來自於密閉容器中的硫磺粉受溫度提高所釋放出的硫磺蒸氣(S8)。由於其可控制的試驗參數較少、架設簡易且為單一硫化物腐蝕性氣體的特性，因此使其具備較低的試驗成本，但卻也同時造成試驗應用性較低的問題。 除此之外，因受限於密閉式的實驗設計，其試驗的腐蝕反應速率容易受到測試樣品在試驗過程中所產生揮發性有機化合物(Volatile Organic Compounds, VOC)的影響而降低。若試驗的溫度越高或在測試樣品數量越多的情況下，腐蝕反應速率受到VOC的影響則會越顯著。因此一般傳統的FoS腐蝕試驗大多都被採用來針對不同的物料清單(Bill...

許多製藥廠商採用自動化方式進行前期生產、後段包裝，以及包裝之後的檢測過程，以減少因人工檢驗而導致效率低落和巨額的人事與管理成本。為了達到品質要求，許多廠商結合機器視覺系統及自動化機台(生產線機器)，透過圖形分析、顏色辨識、條碼辨識以及字元檢測，以實現最高品質及最高效益的生產線流程。 近年來，各地製藥廠商紛紛轉型，部署全自動化生產線。其中，液態藥瓶生產製造及檢測過程歷經層層關卡，借助機器視覺系統、總體檢測效率及檢測準確性都較以往的人力大幅提高。針對此需求，有廠商推出USB 3.1彩色工業相機，能夠在高速運轉的生產線上捕捉到每個經過藥瓶的圖像，然後經過後端圖像軟體分析，進行良品與不良品的篩選，同時也可以記錄圖像資料，以便後序可以快速查詢、追溯和檢索品項。 圖像記錄檢測瓶裝藥品　相對位置標準更準確 液態藥品裝瓶後，通常須要經過個檢測環節，來判斷藥液裝瓶是否夠量、瓶口是否有破損、瓶蓋是否壓裝到位，以確保藥量正確、藥瓶封裝完好，以及瓶內的真空度正常。因此在對瓶裝藥液進行檢測前，製藥商通常會先利用圖像感測器紀錄正常瓶口的特徵和藥液的標準位置。當每瓶藥液經過檢測鏡頭前時，相機會捕捉當前被檢測物體的特徵，然後將捕獲的圖像與先前拍攝的樣本圖像進行比對。檢測標準採用相對位置標準，因此不會因瓶子在傳送帶上受到微弱跳動的影響做出錯誤判斷。 USB 3.1工業相機監控/分析/優化製藥流程 USB工業相機現今已被廣泛安裝在機器輸送帶上，代替人眼進行判斷和測量，因為它能夠在高速移動過程中捕獲清晰的圖像，並能快速且準確地進行圖像資料的傳輸和處理。USB 3.1工業相機能在較為惡劣的環境下長時間連續運行，並能保證穩定、可靠的性能和準確的拍攝效率，較過去USB 2.0傳輸更為快速。將USB 3.1工業相機用在製藥過程中時，可以用來監控、分析和優化製藥流程，確保藥品品質，提高生產率。 空藥瓶在運送過程難免會碰撞缺損，為避免瓶內有碎玻璃混進以及之後瓶蓋無法密合，在填裝藥液之前可運用工業相機進行垂直瓶口檢測(圖1)，第一步篩選過濾有缺損或破碎瓶口的空藥瓶。為清楚呈現所拍攝之瓶口，業者所推出的USB 3.1相機搭載感光元件，提供高畫素及低噪點圖像品質，可捕捉快速透過產線的每一個藥瓶，拍攝後的圖像則可即時傳送至小電腦，透過電腦自動比對正常樣本圖像，之後小電腦便可下指令至自動化機器，將不符合標準的藥瓶送入廢品區淘汰。 圖1　使用垂直相機進行瓶口瑕疵檢測。 當藥瓶經過自動化機器填充完液體藥品後，便直接封口。一般醫療用藥液會有內塞先封住瓶口，接著再使用機器將外蓋(鋁蓋)內壓密合，以確保瓶內藥液不受污染或變質。先透過彩色工業相機垂直拍攝瓶蓋顏色，獲得的圖像傳輸至電腦，透過事先儲存設定的色彩，進行顏色比對，來辨識所經過的藥瓶是否正確。 接著，在下一個關卡架設側拍相機，取得的圖像經過量測軟體或程式來辨別液位高度，同時上下比對瓶蓋位置，確認是否每個瓶蓋都已密封。在此兩關卡上，不合格的藥瓶則如瓶口檢測後的結果，由小電腦自動下指令至自動化機器，送至廢品區。 而除了藥瓶檢測，許多製藥商會在藥瓶瓶身或瓶蓋上貼上或嵌入標籤號碼、日期或相關的藥品名稱。使用具高效穩健條碼辨識演算法的相機，能迅速地偵測並辨識任何方位的一維與二維條碼；也可設定只掃描特定的條碼圖形及方位；或設定感興趣區域(ROI)加速偵測及解碼效率。製藥廠商只須利用工業相機讀取標籤上或噴塗在包裝上的一維或二維條碼，就可以即時獲得藥品的詳細成分、生產日期等資訊。 機器視覺結合自動化生產提高製藥品質 上述條列機器視覺在藥瓶檢測的部分應用，然而機器視覺用以提高製藥工作的效率和準確度仍需仰賴與自動化製藥生產系統緊密結合，才能達到提高品質，提高效率和降低成本的目標。也由於藥瓶檢測常與自動化機配合使用，端看不同藥廠的需求以及不同廠家自動化機所提供不同的功能，對於機器視覺相關的應用也有不一樣的變化。然而，對於要求高品質和高可靠性的製藥廠商而言，USB 3.1工業相機的設計，在製藥過程中滿足了高速、高解析度、高畫質影像、完整色彩重現及高穩定性等需求。 (本文作者任職於兆鎂新)

然而，每項多樣化產品都會對接受治療的患者有著不同程度的風險影響，這促使美國食品藥品監督管理局(FDA)和歐盟(EU)醫療器材指令(MDD)CE標籤工作組，要求器材製造商通過各種產品設計來管理此風險。 醫療器材設計考量 工程團隊在設計醫療器材時，不僅應考慮開發出能在臨床應用中發揮效用的器材，還需保護患者的安全(如符合硬體電氣設計的IEC-60601-1、1-4與符合軟體生命週期流程的IEC-62304)、確保能順暢地在系統中傳遞資料(如符合HIPAA)以及包含日誌記錄和產品更新方法的器材生命週期(如符合FDA CFR 21)。 這些對安全與預期運作的考量並非僅針對醫療器材產業，它們也適用於人們與用於提高自動化水準的機器設備協作的其他產業。在工業領域，機器人已不再只是操作人員的奴僕，而是正日漸成為真正的獨立合作方，不過它們的宗旨還是以人類的安全為首。例如在汽車領域，隨著車輛自動化水準不斷提高，人類駕駛也迅速對日益增強的安全功能產生依賴。 在工業自動化領域，能直接影響系統安全的機器設備設計屬於「功能安全」範疇。「功能安全」旨用於滿足這些要求的一套特定標準和設計方法。雖然功能安全設計方法規定了預期運作路徑和失效路徑，但我們必須意識到有人可能會蓄意修改系統的預期運作，這使網路安全威脅不斷提升。 因此，當今要全面解決開發生產醫療器材的風險管理問題，功能安全和網路安全都必須被視為患者總體安全內在組成的一部分。系統設計可以有網路安全而沒有功能安全，但不可以只有功能安全卻不考慮網路安全。本文分兩個主題進行討論，即功能安全和網路安全： 1.功能安全概述和可用於達到不同安全完整性等級(SIL)的常見設計方法。 2.實施安全等級(SL)可能產生之威脅的網路安全評估概述。 功能安全旨在降低風險 功能安全旨在運用相關標準中規定的實踐(Practice)與規則監督設備的主要功能，減輕對人和/或環境危害風險的系統。一般來說，功能安全會持續監控受控設備(EUC)，當機器設備運作發生異常(例如機器故障)或外力導致的危險狀態時就會啟動。設備製造商在設計時會進行危險與風險評估，確認需要採取何種風險緩解措施。 功能安全系統可用簡單的設計，譬如加裝在電源上的限位開關(Limit Switch)，也可用複雜的設計，像是在製造場域內監控是否有人穿越黃色安全線的光達(LiDAR)系統(例如在組裝產線上太靠近移動中的卡車底盤)。足球是可以用來形容功能安全的一個貼切比喻，包括美式和英式足球在內。球員是受控設備(EUC)，裁判是安全相關系統。裁判掌握比賽規則並控制比賽，根據各種發生的情況停止和再次開始比賽，更重要的是對犯規的賽隊或球員進行處罰。 醫療器材設計功能安全不可缺 在美國，聯邦法規要求醫療器材製造商在有預備上市的醫療器材產品時必需通知FDA。根據「美國聯邦食品、藥品和化妝品法(FFDCA)」的規定，這被稱為「售前通知」或「510(K)通知」。根據該條款，FDA可依據具體應用，援引先前已在市場上合法銷售的器材，以實質等同(Substantial Equivalence)為由放行新器材的銷售。 然而，實質等同性在功能安全方面有些問題，因為設計本身及用於建構實質等同功能的器材物理屬性均有其獨特性。對於那些不屬於FDA控制範圍的器材和機器設備，當地政府要求製造商需從UL(前身為保險商實驗室)等獨立機構取得認證以符合安全標準。這種獨立性能讓標準在技術和市場力量的作用下發展演進，將利益衝突降到最低。 功能安全系統的目的在於降低風險。在機器設備功能異常時，功能安全系統有責任讓機器設備進入「安全狀態」。這意味著安全系統的可用性(系統在未來仍可運作的機率)是降低風險的重要因素。若功能安全系統在需要時發生故障是嚴重的事情，為了讓功能安全系統能在一天24小時可全天候的使用，功能安全系統的設計測試受到國際標準控制，並由獨立認證機構驗證。 圖1呈現的是受控設備(EUC，深灰色)和功能安全系統(淺灰色)之間的關係。功能安全系統隨時觀察EUC的運行。在圖1中，安全狀態指斷開致動器的電源。如果EUC的動作超出可能導致危險狀況的邊界，功能安全系統就會切斷致動器的電力。安全功能可以被視為一個獨立安全網：如果安全功能失效，EUC還是可以繼續工作，但它是在沒有安全網的情況下運作。 圖1　安全功能(淺灰色)與受控設備(深灰色)之間的關係 安全功能三個模組 安全功能本身通常由三個模組構成(圖2)，其中包含：感測器驅動邏輯控制器的輸入，然後由邏輯控制器驅動致動器。由這三個模組共同構成安全功能，有時也稱為「安全迴路」。此外，這三個模組也用於確定安全完整性等級(SIL)或安全迴路品質。 圖2　安全功能的三個模組 失效/降低風險與安全完整性等級 「失效(Failure)」在產業中被定義為終止正確的服務，其中「故障」(Fault)為導致功能失效的異常狀態，「誤差(Error)」指預期/正確值與實際值之間的落差。失效可分為兩大類型，安全失效不影響安全迴路的運作，也不會將設備過渡到「安全狀態」。危險失效則會影響「安全迴路」運作，也就是故障造成的誤差會引發失效。 IEC 61508 根據電氣/電子/可編程電子系統功能安全標準(IEC 61508)，共有從SIL1到SIL4的四種安全完整性等級，其為依據對監控受控設備的功能安全系統或安全迴路的風險降低能力而客觀定義的標準，細節請詳見表1。 有兩個因素決定安全完整性等級。首先是系統能力，它是一個品質指標，透過質化測量設計中由人為失誤所引發的潛在缺陷之數量。該指標是由提供證據證明標準中規定的流程得到遵循而決定。第二個因素是採用診斷指標減少隨機硬體故障，系統的安全完整性等級由兩個指標間的最低者決定。 醫療器材須定義安全狀態 設備製造商有責任根據設備的運作方式及製造商對危險和風險的評估，定義什麼是安全狀態。在某些情況下，安全狀態可以切斷馬達主電源或是機器設備主電源，讓內置的被動措施接手消除系統中的能量。具體情況取決於危險的類型。 像MRI這類的醫療器材，由於切斷電源後患者能離開該設備，因此這可以算是一種安全狀態。但對於重症加護病房的病患監護儀等其他類型的醫療器材，將切斷器材電源作為安全狀態可能會提升患者的風險。對於人工心肺機或生命支援呼吸器等重症加護設備，這個問題就更加嚴重，若將斷電當作安全狀態很可能造成患者身故或重傷。 有兩個條件可能導致系統進入安全狀態。第一個條件是安全功能檢測到受控設備或某種外部活動導致危險狀況；第二個條件是安全功能本身發現安全迴路中的系統故障。在EUC發生失效，造成安全迴路驅動EUC進入安全狀態的情況下，EUC設計本身需具備冗餘，才能被繼續使用。對於器材無法過渡到安全狀態且安全迴路失效的情況，安全迴路本身需要使用冗餘架構。這樣可提升安全迴路的可用性，進而提升受其保護的EUC的可用性。 遵循上級功能安全標準確保可用性 隨著時間推移，所有系統失效的機率都十分的高，而這一點對安全迴路而言更是重要的考量點。系統失效的兩個主要原因是隨機硬體故障和系統性失效。因為硬體故障的發生是隨機的，所以設計用於檢測系統失效的功能安全系統必須具有高可用性。 為了協助這些系統的設計，上級功能安全標準「IEC 61508：電氣/電子/可編程設計電子安全相關系統」羅列出設計這些系統的建議架構清單。該標準介紹了檢測安全迴路運作失效的措施，並針對依據安全功能所需之故障運作狀態的情況添加冗餘。 系統性失效可以採用標準中所提出的，經完善測試且先進的措施，透過設計流程得以減輕；該流程必須獨立管理，以避免受到系統製造商內部利益衝突的影響。現今有大量此類流程被投入使用，圖3所示的是IEC 61508標準提出的V模型，而圖4所示的是ISO 26262中業界一流的軟體設計流程。 圖3　摘自IEC 61508:2010第3部分的軟體設計流程 圖4　摘自ISO 26262:2018第6部分的設計流程 每個流程中，左邊為設計程序，右邊為驗證程序。V模型左側顯示的是專案定義與設計，右側顯示的是使用V模型底部的單元編碼進行的專案測試與整合。在測試基礎完整前不得開始實際的單元編碼。 該流程的第一步是全面理解最終狀態的面貌。這個層面的設計會產生需求列表。在這些需求完成審核且被接受後，就會產生架構規格，再根據架構規格創建功能模組(工作分工)和支援需求的介面。在完成對架構的定義、細化並經同行審核後，就會產生為每個模組及其介面的測試需求。在同行完成測試需求的審核和驗證後，就會開始進行測試台編碼。 此時，設計團隊可能已經用掉時程表上一半的時間，但卻連一行應用代碼都還沒有開始編寫。剩下的時程是為測試台進行編碼。測試台完成後基本上就已成功在望，因為設計團隊現在很有把握其編寫的功能代碼在設計上是正確的。最後就是單元編碼、驗證和確認，在這個流程中產生缺陷的可能性已經很低，但仍取決於當初設定的需求是否夠全面。擁有越完善的需求設定和與需求對應的測試台，發生缺陷的機率就越低。 第二個考量是隨機硬體故障。檢測和在某些情況下糾正隨機硬體故障的措施取決於電子裝置的故障方式。就位元化積體電路而言，故障原因包括製造差錯、外部粒子撞擊或元件的金屬遷移耗損。隨機硬體故障可能是永久性或暫時性的，根據故障的性質，它們可能對機器設備行為造成影響，可能導致危險失效，也可能不會對機器設備的運作造成影響。後者這種情況被視為「安全失效」；而被稱為「診斷功能」的措施是被設計用於檢測這些故障並在某些情況下糾正它們。最常用的診斷功能有： ．湧泉碼： 在現今所有的手機通訊系統中用於重組和糾正手機在基地台和設備間發生隨機訊號干擾時遇到的傳輸故障。 ．記憶體保護： 在現今運作的每台運算伺服器中用糾錯代碼(ECC)檢測和糾正受損記憶體資料。 ．冗餘： 安排一套與主要功能平行運作的額外資源。 在這三者中，冗餘是最完善的可用診斷功能，但也是成本最高的。參考圖5和圖6，最常見的冗餘類型包括「二取一」(1oo2)和「三取二」(2oo3)兩種術語。 圖5　「二取一」(1oo2)安全架構 圖6　「三取二」(2oo3)安全架構 全盤了解安全架構實現高穩定性方案 圖7所示的例子之中，1oo2安全架構用於診斷功能強化，形成能確定兩個通道中哪一個有故障情況的「二取一」診斷架構(1oo2D)，而此一架構能用於代替2oo3架構。 圖7　使用交叉通道診斷(1oo2D)的1oo2安全架構示例 在這個例子中有兩個安全通道：深灰色的安全通道A，淺灰色的安全通道B。每個通道都有自己的電源和時脈。而賽靈思的Zynq UltraScale+提供可配置在獨立場域中的功耗監測器和系統監控(Watchdog)計時器，用於監測設備中的其他場域。這些監測器是標準認證中的必備條件。最後，每個通道擁有大於98%的診斷機率，且每個通道使用不同的CPU和設計架構以增加多樣性。這種多樣化的環境運用不同的架構強化系統功能。 從整體架構來看，通過在各個通道間比較結果，能以大於99%的診斷機率檢測出單一故障(例如一個電源、一個時脈生成器或記憶體失效等)。一旦檢測到故障，依據通道狀態得到的診斷結果將通知正常通道和Voter發生故障，Voter隨即遵循正常運作通道所得的結果。 IEC 60601 60601標準用於規範可能導致危害的潛在有害排放，但沒有充分說明安全迴路品質(SIL)的系統性方法，以及如何將導致危害的設備置於安全狀態。風險管理流程留給醫療OEM廠商自行處理並使用ISO14971標準的文件進行調整。雖然這是個好的開始，但問題仍然存在，也就是用於減輕風險的安全迴路應具備怎樣的品質。 IEC 61508標準提出的準則和流程可用於任何電氣/電子或可編程設計的電子系統，毋須考慮安全迴路的最終應用。這意味著通過使用用於滿足特定標準的SIL水準的安全迴路設計，就可以被認為針對特定風險已達到風險降低的要求。 ISO 26262 ISO26262規格採取截然不同的做法，要求將機器設備本身設計為天生具備安全性。例如，當今較為新型的汽車採用了電子緊急剎車。這種剎車裝置取代了老式的機械剎車系統，完全獨立於用於在正常駕駛條件下讓汽車停止的主剎車裝置。這種新型的電子緊急剎車系統已經被整合進車內的安全功能，當汽車在危險速度下行駛時，不允許系統發揮作用。所以當速度高於5mph/8kph(安全作用極限)，系統會發出警告並且不發揮作用。其原理如下： 1.主剎車系統擁有冗餘液壓線路。 2.驅動液壓系統的致動器故障率極低。 鑒於歷史上總故障率很低，所以能夠移除完整的冗餘緊急剎車裝置，以內建安全功能的電子手剎車取代。這種根據預期功能評估危害的理念被稱為「安全目標」。隨後使用驅動此架構的各種診斷措施和失效模式(失效安全與失效運作)達到每一個安全目標。主要功能透過設計提供內在安全性。「手剎車」的安全目標是： 1.系統應阻止不利的剎車。 2.系統應在完全喪失主動力後持續運作。 3.系統應阻止導致失控的剎車。 設計隨後通盤考慮這些安全目標，採用各種方法和措施確保達成這些目標。為此，半導體業者如賽靈思，在設計旗下產品Zynq UltraScale+ MPSoC時就考慮到功能安全和安全需求，從而幫助設備開發者打造高穩定性的解決方案，用於實施安全高效的醫療設備。此外，安全性晶片特性可透過工具流、IP和軟體解決方案加強，並成為工業和醫療物聯網解決方案堆疊的一部分。就功能安全性來說，Zynq UltraScale+ MPSoC提供以下功能： ．三個獨立的運算區域，分別採用不同的時脈和電源以減低共因故障。 ．多個溫度感測器用於檢測工作限制條件。 ．On-chip診斷(ECC)可檢測使用者和配置RAM中的隨機硬體故障。 ．即時運算區域的系統功能。 ．安全認證工具與方法。 ．安全認證Zynq UltraScale+ MPSoC晶片和軟體。 賽靈思的功能安全技術針對功能安全設計的兩大關鍵領域設計。第一大關鍵領域為系統功能，透過賽靈思認證工具鏈實現，並評估異質化產品。第二大關鍵領域為隨機硬體故障容錯，透過獨特的診斷組合實現，包括運算區域內選擇性硬體冗餘、SRAM診斷功能和異質化運算資源中的冗餘等。除On-chip診斷外，賽靈思還整合針對特定設計的獨特製造技術，可提高設備級單一故障事件(SEU)免疫性。 本文將功能安全和網路安全問題與設備製造商的產品風險評估管理連結起來。工業領域應對產品安全相關風險的一些最佳實踐(如IEC 61508)及應對網路安全防護要求的最佳實踐(如IEC 62443)在醫療設備設計時加以運用。本文概述醫療設備設計時可採用的功能安全設計實踐和賽靈思功能，以提高安全性並更佳評估風險，並一次性通過監管審查以加快產品上市時程，進而減少產品召回的風險。賽靈思認為監管機構和設計工程師能透過結構化的功能安全設計時程，對整體產品設計、整體產品成本乃至病患的安全產生積極影響。安全和保障密不可分，因為沒有適當的網路安全防護措施，系統安全就無法滿足預期的工作要求。網路安全問題既涉及數位控制產品的操作完整性，也涉及供應鏈防護，同時適用於不同的終端產業。 (本文由賽靈思提供)

功耗/低延遲需求上揚　單核心設計漸難負荷 原則上，單個高速CPU核心可以透過時間切片運行多個獨立執行緒，以處理低延遲即時控制任務以及聯網和系統管理任務。不過，對於採用特定製程技術已達到如此高效能的核心晶片而言，其在功耗和複雜性方面的表現可能不甚理想。 對於運行在單個核心上的任何即時應用而言，還存在一個問題，即如何使執行緒和中斷處理常式輕鬆地按時完成任務。對於任何資源分享的實現，需要關注的一點是，不相關流程或中斷處理常式的運行會阻塞特定執行緒的運行時間。為了確保執行緒在各種沒有任何依賴關係的條件下按時完成任務，用於計算所需餘量值的保守演算法將要求留出相當大的一部分未分配的處理週期。 此外，還須要考慮頻繁進行任務切換的開銷及其對處理輸送量的影響。當單個核心處理大量中斷事件時，中斷處理及相關任務切換的開銷可能很大。一種選擇是透過更高的時脈速度構建更多的效能餘量。實際上，將應用分散到多個處理器核心可能更有意義。對於不主要依賴於單執行緒輸送量的任何多工應用，使用並行方式通常會提高能源效率、增加確定性並簡化開發過程。 有效進行多工作負載　雙核心設計備受青睞 雙核方案可以更有效地共用多工系統的工作負載。採用雙核方案時，還可以使用更低的核心時脈頻率，進而提高快閃記憶體的匹配度；此外，還有助於減少或消除處理器必須等待指令或資料從取指請求返回時的停頓週期(等候狀態)數(表1)。 在某些應用中，處理相關資料饋送任務的密切關聯特性仍然支援單一流水線。但是，在高效能嵌入式應用中執行不同的功能時，使用多個核心更有意義，因為各種功能的關聯程度相對鬆散。 例如，在採用韌體實現閉環控制的電源中，效能主要取決於將類比採樣轉換為數位所需的時間，隨後根據該時間資料計算新的工作週期，接著更新PWM。使用多核控制器時，透過在沒有其他優先順序任務執行的核心上運行延時關鍵型功能，可以確保該功能不受其他系統活動的阻礙。 與時間關鍵型控制回路計算並行工作時，另一個CPU核心可以執行其他任務，如PMBus通訊和系統監視功能。類似地，在馬達控制應用中，將控制回路處理和CAN介面協定棧拆分給不同的核心，確保馬達換相精確且具有確定性。 在專案開發時間方面，拆分處理還有其他優勢。但是，要利用這一優勢，兩個核心需要保持同質性，這一點很重要。一種傳統的多工處理方式是根據處理器類型劃分工作負載。針對乘法累加選項優化的流水線上將專門運行訊號處理程式，但幾乎沒有能力有效地運行控制程式碼，而通用處理器則負責處理分支密集型程式。 實際上，在許多即時應用中，這種架構很難處理。訊號處理操作通常取決於可能快速變化的外部條件。在不同核心間同步狀態所需的處理器間通訊實現起來可能很複雜，因為與用於將命令和狀態更新轉發到網路介面的消息相比，這種方案對時間同步的要求更為嚴格。 統一數位訊號控制器架構展妙用 統一的數位訊號控制器架構(如Microchip的dsPIC33)將兩種類型的執行特性融合到單一架構中，進而解決了上述同步問題。此類流水線不但能高速地進行乘法累加和矩陣運算，還具有快速分支能力和高中斷回應效能，因此參數和演算法可以動態地適應不斷變化的條件。 這最終簡化了複雜訊號處理演算法的軟體方案。然而，設計階段上的壓力則意味著，無論客戶選擇哪種架構，都會面臨程式碼整合的挑戰。在許多應用中，通訊和控制功能常常分別分配給不同領域專家的開發團隊。 整合來自兩個或更多團隊的程式碼時，將面臨著一個關鍵問題，即確定調度和任務優先順序如何在各團隊之間運作。看似微不足道的決策(例如各個任務的優先順序)也可能對應用的整體即時行為產生重大影響。決策不佳意味著重要任務將長時間得不到處理器的處理，而無法表現良好效能。透過將任務集分布在兩個處理器上，由最瞭解相關應用程式部分所使用執行緒的相對優先順序的工程師負責設置這些優先順序。 透過拆分處理，可更輕鬆地管理和分配資料記憶體，並確保在專案期間創建和調試的Makefile和連結描述檔設置在最終套裝軟體中仍然生效。這有助於減少軟體整合團隊的工作量，並縮短產品上市時間。 儘管已透過拆分處理優化了開發工作量和處理輸送量，MCU供應商(如Microchip)仍在不斷努力改進架構，致力於幫助用戶提高效能。以雙核dsPIC33CH為例，不僅提高中斷回應能力，且核心中還實現了額外的指令，以進一步提高DSP效能。 作為數位訊號控制器(DSC)，dsPIC33CH包含許多先進周邊，可降低系統成本並縮小電路板尺寸。這些周邊包括高速ADC、具有波形生成功能的DAC、類比比較器、類比可程式設計增益放大器和高解析度PWM發生器(解析度達250 ps)。 更智慧的周邊和周邊觸發訊號發生器等先進功能有助於減少電源或馬達控制應用中核心中斷的次數。例如，UART為LIN/J2602、IrDA、DMX和智慧卡協定擴展提供硬體支援，以降低軟體開銷。同樣，CAN-FD周邊支援位元流處理器和可程式設計自動重發功能，能夠獨立於CPU核心更加自主地運行。 Microchip的dsPIC33CH設計專為當今工程團隊的開發需求而優化，非常適合各種高效能和時間關鍵型實際嵌入式控制應用。此架構能夠充分滿足客戶的獨立設計、無縫整合需求。結果是，這種架構不但能夠提高效能，還有助於縮短產品上市時間、減小系統尺寸並降低成本(圖1)。 圖1　統一的數位訊號控制器架構有助於縮短產品上市時間、減小系統尺寸並降低成本。 (本文作者任職於Microchip)

近年來，寬能隙半導體碳化矽(SiC)元件得到了廣泛的重視與發展。其中，SiC MOSFET與Si MOSFET在特定的工作條件下會表現出不同的特性，當中不可忽視的一環即是SiC MOSFET在長期的閘極電應力下會產生臨界值電壓VGS(th)漂移現象。 本文將闡述如何透過調整閘極驅動的負電壓，來限制SiC MOSFET臨界值漂移的方法。 SiC MOSFET會引起VGS(th)漂移 由於寬能隙半導體SiC材料的固有特徵，以及不同於矽(Si)材料的半導體氧化層界面特性，會引起臨界值電壓變化以及漂移現象。要理解這些差異，解釋這些差異與材料本身特性的關係，評估其對應用、系統的影響，需要更多的研究及探索。 就靜態閘極偏壓而言，針對Si元件臨界值特性的標準測試流程並不適用於SiC MOSFET。因此，需要使用一種「測試/偏壓/測試」的新測試方法以評估SiC MOSFET的偏壓溫度不穩定性(Bias-Temperature Instabilities, BTI)特性。它可以區分VGS(th)的可恢復漂移以及永久性漂移。 除了靜態閘極偏壓引起的漂移以外，SiC MOSFET的臨界值電壓也會因元件的開關工作而產生額外的漂移，此額外的漂移衹有通過長期開關測試才能被觀測到。就目前所知，此效應源於柵氧陷阱的動態反應，此效應是目前SiC MOSFET技術的通用特性。 以英飛凌旗下的CoolSiC MOSFET為例，數據顯示，長期的開關應力會引起VGS(th)的緩慢增加。然而，不管所選擇的參數如何，從未發現臨界值電壓VGS(th)會出現負漂移。這一現象，在不同品牌、不同技術的SiC MOSFET上均可以觀測到，在相同偏壓條件下不同元件的VGS(th)漂移值是近似的。VGS(th)上升會導致RDS(on)的輕微上升，長期影響是通態損耗會增加。 需要注意的是，元件的基本功能不會被影響，主要有： •耐壓能力不會受影響 •元件的可靠性等級，如抗宇宙射線能力，抵抗濕氣的能力等不會受影響 •VGS(th)漂移會對總的開關損耗僅有輕微影響 影響VGS(th)漂移的參數主要包括： •開關次數，包括開關頻率與操作時間 •驅動電壓，主要是負關斷電壓VGS(off) 以下參數對開關操作引起的VGS(th)漂移的影響可以忽略：結溫、漏/源極電壓、漏極電流、開關斜率dv/dt，di/dt。 RDS(on)增加導致結溫升高 長期來看，對於給定的VGS(th)臨界值漂移的主要影響在於會增加RDS(on)。RDS(on)的增加會增加導通損耗，進而升高結溫。在計算功率循環時，須要把這因素導致的額外結溫增加也考慮進去。 此額外結溫的增加是否需要格外重視取決於實際應用及工況。在很多案例中，即便是20年工作壽命到期後，此額外結溫的增加仍然可以忽略不計。然而在另一些應用中結溫的增加可能就會很重要。因此，在這種情況下，就須要根據下述的設計指導進行驅動電壓選擇。 下面兩個例子(DC-AC逆變器中的半橋配置)說明了不同的影響結果，在不同應用中的固定範圍的VGS(th)漂移。第一個例子代表了應用案例中導通損耗(Pcon)占大部分，第二個例子考慮了開關損耗(Psw)和導通損耗平均分配。這兩個例子的參數列於表1。 這兩個範例顯示了VGS(th)漂移對損耗分布和結溫的不同影響。在圖1中，可預期在工作壽命結束時，兩個範例都有1V的相同VGS(th)漂移。 圖1　在應用中VGS(th)漂移對結溫的影響。 從表1中的範例1可以看出，當導通損耗占大部分時，VGS(th)的漂移將導致明顯的總損耗增加與結溫上升。對於這樣的應用，稍後會詳述必須考慮的設計準則。對於損耗平均分布於開關和導通損耗的應用，VGS(th)的漂移對總損耗和結溫僅有輕微影響。整體而言在其他的應用中若損耗主要由動態損耗決定，則VGS(th)漂移的影響幾乎可以忽略不計。 透過控制閘極負壓VGS(off)，VGS(th)漂移可以被限制在一個可接受的水平內。在任何情況下，關斷電壓的上限都是0V。同時，關斷電壓的下限需要根據開通電壓、開關頻率，以及操作時間來選擇一個合適的值，使RDS(on)的增加限制在一定範圍之內。 VGS(th)的動態漂移隨著開關次數的增加而增加，為了好理解，總的開關次數被轉化為10年內不間斷工作(24小時/7天)的歸一化的工作頻率。知道實際工作頻率(kHz)，目標壽命(年)，以及工作壽命之內系統工作的百分比，歸一化的工作頻率可以透過以下公式計算： 歸一化頻率fsw=實際工作頻率fsw×壽命×工作時間占比÷10 儘管基本晶片技術相同，CoolSiC MOSFET工作區域是分別針對在模組封裝與離散元件封裝而給出的。這是因為閘極訊號的過衝和下衝很大程度上取決於工作條件、電路設計和寄生參數。特別是，離散元件由於電路設計、應用條件、逆變器拓撲、閘極驅動設計、PCB布局和散熱設計具有更大的靈活性，所以推薦工作區(ROA)因而更加保守。由於這些原因，考慮到閘極驅動器設計的變化，計算離散元件的ROA時已加上了2V的潛在過衝電壓。對於模組，因為可以透過適當的閘極驅動器設計實現0V過衝，所以計算ROA時不須要考慮額外的過衝電壓。 以基於實際運作工況估算得出的歸一化開關頻率，可以從圖2和圖3之中找到已經包括潛在下衝電壓的最小關斷閘極電壓，分別用於離散元件和模組產品。 圖2　分立器件產品的最小關斷閘極電壓。 圖3　模組產品的最小關斷閘極電壓。 以下的例子可方便理解上述計算方法，如一個光伏逆變器的典型工作情況：實際工作頻率20kHz，目標工作壽命20年，工作佔比50%。 歸一化開關的工作頻率如下：20kHz×20yrs.×50%/10yrs.=20kHz 對於18V的導通電壓，採用離散元件的CoolSiC MOSFET，包括下衝在內的關斷閘極電壓必須介於-4.6V~0V之間。如果開通電壓為15V，使用模組封裝的MOSFET，包括下衝的關斷閘極電壓必須設計在-7.7V~0V之間。 制定推薦工作區的最低關斷電壓，是確保在整個產品壽命期間在Inom和Tj= 125℃工作時的RDS(on)不會增加超過初始值的15%。RDS(on)的增量取決於工作電流Id，和結溫Tj。最後要注意最低峰值閘極電壓絕不能超過數據表中的最大額定值。此要求與ROA無關。 VGS(th)漂移為長期效應　僅須考慮重複過衝/下衝電壓 VGS(th)漂移是一種長期效應，因此只需考慮重複的過衝和下衝電壓。由偶發性工況如電壓不穩、短路情況等引起的閘極電壓的過衝和下衝不應被考慮。 只有電壓尖峰直接到達晶片上的閘極-源極端，才會影響VGS(th)漂移而需要被考慮。要透過實驗量化電壓過衝和下衝尖峰值，理想情況下應直接在晶片端子處測量。但是，實際上這並非總是可行，因此以下指南提供了一個很好的估測方法： ．如果不需要隔離，請使用高頻寬(100MHz)探頭直接測量。 ．或者，如果隔離是必需的，則使用具有高頻寬和高共模抑制能力的差分探頭。 ．始終盡可能靠近晶片進行測量，閘極電壓過衝和下衝的形狀可能因各個逆變器而異，應考慮峰值電壓(圖4)。 圖4　閘極電壓過衝和下衝。 閘極導通電壓高於15V具反效果 以CoolSiC MOSFET為例，該產品可以使用18V閘極電壓，以獲得更好的電流處理能力。請注意，高於15V的閘極導通電壓具有兩種相反的效果： ．它降低典型的RDS(on)及RDS(on)對VGS(th)漂移的靈敏度。 ．在壽命結束時，使用18V閘極導通電壓產生的VGS(th)的漂移可能高於15V的閘極導通電壓，但由於較大的過驅動電壓，RDS(on)增加將會降低。 另外，還應該考慮到與15V導通電壓相比，短路峰值電流要高得多。因此，在18V導通電壓時，元件將無法維持數據手冊(Data Sheet)中所述在15V的導通電壓下的短路能力。 當工作在較低的負關斷閘極電壓(例如-2V而不是-5V)時，對應用的影響很小。但是應該考慮幾個與應用相關的參數： ．Eon和Eoff會略有變化 ．SiC MOSFET體二極管的正向電壓將降低 ．誤導通風險增加，可能會增加開通損耗。如在0V關斷、較高的的關斷閘極電阻、更大的閘極-源極迴路電感等情況中更加明顯。 須要強調的是，離散元件例如CoolSiC MOSFET，可以安全地在0V關斷電壓時順利工作。因此，指南中的值不會對性能產生任何負面的影響。此外，它甚至可以容許使用更簡單的單電壓閘極驅動電路設計。對使用單開關拓撲結構的CoolSiC MOSFET模組(如升壓電路)，通常可以使用0V閘極關斷。 (本文由英飛凌提供)

工業、汽車、IT和網路公司為功率電子、半導體、元件和系統的主要購買者與消費者。這些公司使用著各種可用的DC-DC轉換器拓撲結構，採用不同形式的降壓、升壓和SEPIC結構。在理想的情況下，這些公司會針對每個新專案使用專門的控制器。然而，採用新晶片需要大量投資，因為必須花費很多時間和成本來測試新元件是否符合汽車標準，以及驗證其在特定應用、條件和設備中的功能。顯然，為了降低開發和設計成本，針對不同應用應採用已經過批准和驗證的控制器。 用於產生電源的最常用拓撲結構是降壓轉換器。但是，這種拓撲結構僅限於從高於輸出的輸入電壓產生正輸出。當輸入電壓低於輸出電壓時，不能直接利用它來產生負電壓或提供穩定的輸出。產生輸出的這兩個方面在汽車電子中均相當重要，因為需要負電壓來為放大器供電，或者當輸入電壓軌顯著降低時，在冷啟動的情況下整個系統必須連續正常工作。本文將詳細介紹在SEPIC、Cuk和升壓轉換器中使用簡單降壓控制器的方法。 從公共輸入軌產生正負電壓簡化電源控制 圖1顯示了基於單個降壓控制器(具有兩路輸出)的雙極性電源設計。為了最大限度地利用該晶片，必須使用一路輸出來產生正電壓，使用第二路輸出來產生負電壓。此電路的輸入電壓範圍為6V~40V。VOUT1產生10A、3.3V的正電壓，VOUT2產生3A、-12V的負電壓。兩路輸出均由U1控制。第一路輸出VOUT1是簡單的降壓轉換器。第二路輸出的結構更複雜一些。VOUT2相對於GND為負，故使用差分放大器U2來檢測負電壓並將其調整為0.8V基準電壓。在這種方法中，U1和U2均以系統GND為基準，如此大幅簡化了電源的控制和功能。如果需要其他輸出電壓時，公式1則有助於計算RF2和RF3的電阻值。 圖1　LTC3892的電氣原理圖，可產生正負電壓。VOUT1為10A、3.3V，VOUT2為3 A、-12V。               公式1 VOUT2電源系採用Cuk拓撲結構，相關技術文獻中對此具有廣泛的介紹。為瞭解電源系元件上的電壓，需要使用公式2。     公式2 VOUT2效率曲線如圖2所示。這種方法的LTspice模擬模型參見此處。在本例中，LTC3892轉換器的輸入為10V~20V。輸出電壓為10A、+5V和5A、-5V。 圖2　14V輸入電壓時負輸出的效率曲線。 從波動輸入軌產生穩定電壓 圖3所示轉換器的電氣原理圖支援兩路輸出：VOUT1為10A、3.3V，VOUT2為3A、12V。輸入電壓範圍為6V~40V。VOUT1以類似方式創建，如圖1所示。第二路輸出是SEPIC轉換器。與上面的Cuk一樣，該SEPIC轉換器基於非耦合的雙分立電感解決方案。分立扼流圈的使用顯著擴大了可用磁性材料的範圍，這對於成本敏感型元件非常重要。 圖3　SEPIC結構的LTC3892在降壓應用中的電氣原理圖。   公式3 該轉換器在電壓下降和達到尖峰時(例如在冷啟動或電源切斷時)。軌電壓VIN圍繞相對標稱值12V下降或上升。但是，VOUT1和VOUT2均處於穩壓狀態，為關鍵負載提供穩定的電源。雙電感SEPIC轉換器可以輕鬆重新連接成單電感升壓轉換器。 相關LTspice模擬模型參見此處。它顯示了LTC3892轉換器的輸入為10V~20V。本文介紹了基於降壓控制器構建雙極性和雙輸出電源的方法。這種方法支援在降壓、升壓、SEPIC和Cuk拓撲中使用了相同的控制器，而這對於汽車和工業電子供應商來說是非常重要的，因為一旦經過核准，他們便可基於同一控制器設計出提供各種輸出電壓的電源。 (本文作者為ADI高級應用工程師)

電動運輸和分散式發電應用等工業電氣化都需要更多電池。這點對汽車和無人機等快速成長的運輸應用十分明顯，在蓄電與開發電動飛機方面也開始累積動能。這些電池並非獨立組件，而是存在更大系統裡的複雜零件，這些系統必須適當運作，才能確保安全和使用能源效率。電池管理系統(Battery Management Systems, BMS)包括硬體和嵌入式軟體，後者即時監控充電電池，在複雜應用時提供可靠電力。   根據Statista的預測，電動車(EV)的整體汽車市占率可望從2017年的1%成長到2025年的14%。各大車廠都正針對這個成長市場開發車輛。隨著車輛的電動化，多個電池組提供引擎、空調和車載資訊娛樂系統電力，監控和維持電池系統運作將成為關鍵的功能。工程師正在開發電池管理系統，確保這個複雜網路的順利運作，而這需要使用最先進的軟體工具。 快速製作BMS虛擬原型　模擬工具組合少不了 BMS是一種複雜、軟體驅動的電動車控制中心，負責監控電池電壓和溫度，並確保健康運作狀態、監控系統連線狀態、測量電流、計算充電狀態(State Of Charge, SOC)和健康狀態(State Of Health, SOH)；平衡電池單元間的電力輸入和輸出；以及建立電池和動力總成(Powertrain)或充電系統的連結等功能。隨著未來有越來越多系統仰賴電池供電，對快速製作BMS虛擬原型而言，這些模擬工具組合是不可或缺的幫手。 整體而言，BMS獨立確保電動車在最佳效能狀況下順利安全運作。它將資源分配給最能有效利用的區域，並預先通知操作者潛在問題。在最壞的情況下，BMS可實體斷開系統中的電池，避免可能危及車輛乘員的災難性故障。 設計如此複雜的控制中心是一大挑戰。工程師在開發BMS時，廠商提供的模擬解決方案可全程幫助他們，甚至在運作環境下即時管理BMS。舉例來說，ANSYS的電池管理解決方案包括基於物理的模擬來開發一個系統層級的電池系統與BMS，須利用ANSYS Twin Builder、ANSYS medini analyze和ANSYS SCADE embedded code 。 ANSYS medini analyze根據不同產業的不同標準，進行重要安全分析，包括危害和可操作性分析(HAZOP)、故障樹分析(FTA)、失效模式與效應分析(FMEA)，以及失效模式效應與診斷分析(FMEDA)。對車載系統而言，它會確認BMS軟體是否符合道路車輛ISO 26262功能安全標準。 安全分析的第一步是確認和描述BMS的功能和故障。一旦確認故障後，就能進行危害與風險分析(HARA)，透過決定汽車安全完整性等級(ASIL)和對應的安全目標和安全需求，確認危害事件及其對安全的衝擊。BMS的部分功能需要嚴謹的開發過程，達ISO 26262的最高安全完整性等級ASIL D。此要求對於軟體安全需求十分嚴格。 BMS通常包括三大結構組件(圖1)： ．一組由數個電池單元組成的電池組 ．一個開關箱 ．一個電子控制單元(ECU)，包括監控電池單元電壓、電流和溫度的軟體控制器。 圖1　以ANSYS Twin...

先進製程零件材料堆疊複雜為翹曲主因 為什麼翹曲導致後續可靠度問題，近期發生頻率這麼高呢？主要原因來自於越來越多廠商，在開發先進製程的晶片；而先進製程晶片，是由非常多不同材質、不同功能的晶片堆疊起來。例如MCM多晶片模組、系統級封裝與Fan-in/Fan-out等，這樣的元件使用的材料相當複雜且多元，堆疊在一起時，因材質本身熱膨脹係數不同(CTE)就會產生翹曲(圖1)。 圖1　先進製程晶片元件或多或少都會有翹曲現象，變形量符合IPC規範控制在一定程度內，都不會影響後續元件上板品質。 資料來源：左圖為iST；右圖為Akrometrix 除了晶片元件本身會發生翹曲外，晶片透過表面黏著技術(SMT)結合到電路板時，因晶片與電路板CTE不同，翹曲的狀況就會加劇。而當翹曲超過一定的幅度，就會造成SMT的焊接品質不良，也影響後續的可靠度測試結果。也因此，如何妥善安排這些溫度特性不同的材料依序堆疊，在加熱與散熱時不會互相影響，是相當嚴苛的技術挑戰。 在5~10年前，翹曲幅度控制在6~8mil以內，都還不至於影響後續SMT等製程；然而這幾年先進製程的材料種類複雜且反覆堆疊，受到溫度影響後的變形量已比5~10年前的樣品來的嚴重。根據宜特板階可靠度實驗室發現，隨著未來接腳數越來越多，晶片上板時，使錫膏(Solder Paste)與錫球可以接合順利所使用的治具鋼板(Stencil)，厚度就會越來越薄(圖2)，繼續維持在6~8mil的翹曲幅度，是否能夠像早期不至於影響SMT製程品質，令人堪憂。 圖2　左圖為傳統PCB，鋼板因接腳數較少，錫球用的不多，相對鋼板不需要太薄；右圖表示隨著先進製程的元件接腳數變多，錫球需要較多，鋼板就需要較薄。 資料來源：iST PCB翹曲過大易導致空焊與短路 當然，也不能將所有的問題放在零件身上，因為PCB也會有翹曲的狀況。原先以為PCB厚度只要超過1.6mm，PCB本身發生翹曲的機率會較小，但實則不然。宜特板階可靠度實驗室曾經有個經典案例，IC上板至PCB時，以為只是IC零件有翹曲問題(圖3)，但做了一連串的SMT製程參數調整之後，依舊發現空焊與短路問題，最終發現原因，不只是IC有翹曲，PCB也有翹曲，且翹曲變形量過大造成SMT異常。 圖3　左圖為哭臉變形元件使用哭臉鋼板；右圖為笑臉變形元件使用笑臉鋼板 資料來源：iST 除此之外，空焊短路還不是最嚴重的問題。更嚴重的是翹曲後的焊點，將會呈現拉伸與擠壓的形狀，完美的焊點應該是接近「球型」，而翹曲將導致焊點呈現「瘦高」或「矮胖」形狀，這些「非球型」的焊點，容易產生應力集中而斷裂，使得後續在可靠度驗證中，出現早夭現象的機率提高。 透過SMT解決翹曲方式，一是透過修改鋼板治具開孔大小，針對間距較大的地方給予較多的錫膏；二是透過鋼板治具抑制零件的變形。 修改SMT鋼板治具開孔大小治標不治本 然而這兩種解法必須多次驗證才能找出SMT最佳條件，若無法有效解決翹曲問題，可能得退回設計階段找尋其他材料來取代，曠日廢時。因此，若能在SMT前，取得晶片與PCB翹曲相關資訊。將可事半功倍。宜特板階可靠度實驗室使用相關量測翹曲的設備，可以針對元件與PCB來模擬翹曲的程度，再去調整SMT的參數設定，確保SMT過程中有良好的焊接品質；如此可避免因不良焊接品質導致影響可靠度驗證以及不必要的成本開銷。 翹曲量測的原理，是應用樣品上的參考光柵和它的影子之間的幾何干擾產生摩爾雲紋分布圖，進而計算出各圖元位置中的相對垂直位移，並可應用於模擬SMT回流焊溫度和操作環境條件、同時捕捉一個完整的歷史翹曲位移表現。而量測分析的速度非常快，約半小時就可得知元件在不同溫度的變形量，也能模擬溫度循環的環境，協助客戶與可靠度測試進行搭配，觀察產品在哪個溫度會達到最大的變形量， 並能在測試中思考如何改善與預防。 總結來說，在宜特板階可靠度實驗室觀察中，翹曲的問題勢必會持續存在，我們無法控制材料的特性，但如果透過篩選的方式，找出翹曲方向相同的零件與PCB，我們認為這不僅不會降低可靠度的壽命，也能協助IC設計業者找到完美翹曲比例，達到1+1>2的價值。 (本文作者為宜特科技零組件暨板階工程部經理)

智慧製造會應用大數據分析來提升現有的分析能力以及如預測性分析的全新能力，然後再運用資料(也就是大數據)在數量、速度、多樣性、準確性(即資料品質)和價值(分析)上的重大發展。這些得到提升的新能力(表1)被視為是延伸先進製程控制(APC)系列的一部分。 半導體製造設備和製程分析的出現和發展，部分是因為三個關鍵產業挑戰而形成。這些挑戰已存在數十年，並非是智慧製造或大數據革命才有。 但是，在某種程度上，這些是半導體製造業獨有的挑戰，這些挑戰分別為：設備和製程複雜性、製程動態和背景豐富性，以及不良的資料品質(在精確性和可用性方面)。 這些挑戰導致半導體產業分析解決方案無法嚴格做到資料驅動。機台、製程和分析領域知識或主題專業知識(SME)也是大部分晶圓製造廠解決方案的關鍵組成部分。因此，半導體產業的製程分析目前和未來也將以此為考量來設計和運用。實際上，通常SME輸入機制在各方面都有正式的界定，從資料收集、資料處理、參數選擇、模型建構、模型和限值優化到解決方案實施和維護。 定義維度能力識別分析方法 過去十年中，分析方法呈現爆炸式成長，而且許多方法都是利用大數據機會開發而得。識別和歸類這些分析法的一個方法是定義分析的維度能力，以及指定或規劃與這些維度的相關分析能力。 圖1提供半導體製造中與分析相關的維度分類。就這些維度來看，可從能力在每個維度中的價值來定義應用或分析。例如，主成份分析(PCA)(一種通常在多元分析(MVA)、故障偵測(FD)和設備健全監控(EHM)中使用的方法)是無監控且回應式分析；MVA通常為靜態和無狀態分析，並且不包含SME。 圖1　分析維度能力，以及傳統半導體製造APC解決方案對這些維度的對應，唯象模型是表示製程知識的物理模型形式；這些都是使用統計數據進行調整或修改。 在分析應用程式方面，當今晶圓製造廠中的FD大部分均為無監控、回應式、單變數、靜態和基於統計學的分析，並且在FD模型開發中結合SME。透過使用這些維度和其他維度的定義分析法和分析應用程式，可以為識別能力差距、提升機會以及(從長遠來看)改善路線提供框架。 半導體製造APC應用程式近年來的發展體現了工廠控制方法從回應式到預測式(甚至是主動式)的轉變。這主要是依靠大數據的爆炸式成長，其中對於更大數量和更長久資料存檔的支援在某種程度上使得預測式解決方案能夠破譯多變數參數互動的複雜性、描述系統動態、拒絕干擾和濾除資料品質問題。 在許多情況下，為利用大數據解決方案提供的平行計算和即時處理資料，必須重寫這些解決方案中的演算法。同時，還可以開發更易處理大數據的新演算法。例如，早期的預測式解決方案依靠單核CPU和序列處理，而大數據可使用偏最小二乘法(PLS)和支援向量機(SVM)在伺服器集群上進行平行計算。同樣，為處理更多資料而重寫自組織對應(SOM)和產生拓撲對應(GTM)等無監控資料探索技術，能夠讓使用者快速進行深入探索。 同樣地，可以重寫隱馬爾可夫模型(HMM)和粒子群演算法等耗時的統計技術，大大提高計算效率。但是，過多的技術和大量的資料不一定會帶來更深入的了解和預測式能力。筆者認為沒有一種方法或多種方法組合是萬靈丹；相反地，應利用現有資料來自訂符合應用程式的方法，但是，我們認為SME將繼續引導解決方案的開發和維護。 AI/大數據分析迅速竄起 AI可用來描述感知環境並採取措施完成目標的任何裝置或分析法。現在，AI通常用於類比人腦功能的裝置或分析法概念(例如在自動駕駛汽車的應用中)。人工神經網路(ANN)這類分析的一個例子已經存在了數十年，且此類AI分析法在大數據發展中再度出現。例如，深度學習(一種與結構化ANN非常類似的技術)利用分層抽象實現品質更高、速度更快的大量資料分析。 深度學習可用於解決大數據分析中的一些較高維度問題，包括從二維度影像(如晶圓圖)中提取複雜的圖案。深度學習技術得益於資料量大增，並使用資料驅動型受監控技術尋找資料中的關係。這些技術的主要缺點是相對無法在模型開發和維護中合併SME。所開發的模型通常不明確可用，因此難以評估，同時半導體製造分析中涉及的背景複雜性和動態阻礙深度學習使用大量且持續的資料量。 近年來，研究工作的重點是結合SME和AI技術，該方法有望在未來應用於生產現場。另一種獲得極大關注的大數據分析能力是背景分析，該分析使用通常稱為「網路爬蟲」的解決方案。這些應用程式會挖掘背景中的資料，並尋找有關係的圖案或分析結果，例如接近故障的零件。然後，這些應用程式會以非同步方式通知如工廠控制系統的應用程式，以便能夠採取適當的措施。這種方法還會使診斷和預測更具有可重構性。 大數據分析日益進步提升製造良率 當邁向智慧製造時，顯而易見的一點是分析法將在實現良率的過程中繼續發揮更大的作用，同時可使產量最大化並降低成本。大數據的進步將推動這些分析法的發展，筆者認為，到目前為止所取得的進展已經提供一些重要發現，這些發現將有助這些分析法達到最大能力。 第一個重要發現是，半導體產業期待開發或加強的許多分析法解決方案都可以利用相同的模型開發(靜態資料)和模型執行/維護(動態資料)結構。例如，用於PdM的6步模型開發流程(如圖2a和2b中所總結)可用於虛擬量測，甚至預測良率。使用通用的方法不僅能夠節省推廣這些技術所需的時間和精力，還能夠讓製造廠商交叉利用分析法持續進步。 圖2a　使用MVA預測器及其部分的PdM方法，包括故障前時間範圍以及預測置信度或範圍的某種表示。 圖2b　利用離線模型建構和最佳化提供合併SME機制的PdM方法，可用於多種APC預測能力。 第二個重要發現是，智慧製造將使這些分析法的應用範圍延伸。例如，透過將診斷、控制和預測從晶圓製造廠內擴展到供應鏈中，可以更有效控制客戶需求並提高解決區域良率等問題的能力。第三個可能是最重要的發現為，SME將在半導體產業的分析法應用程式中繼續發揮重要的作用。應用程式將有所不同，但設備和製程專業知識仍然會是半導體製造分析解決方案的關鍵組成部分。 (本文作者皆任職於應用材料)  

圖1　產品生命週期各階段系統檢查。 嵌入式產品開發需長時間查看性能表現 對於嵌入式系統，產品可靠性監測和認證流程可能需要長時間查看產品的性能表現。人工監測系統的可行性不高，效率低下；大資料分析難度也不小，而且還需要特定的分析方法。對於間歇性錯誤或條件性錯誤，只有在正確記錄事件和錯誤後才能排錯。開發人員可以隨時查看錯誤資料，將這些資訊輸出到外部進行分析，需要占用少量的記憶體空間，或者需要轉儲內部資訊。 自我診斷有助於確保產品品質 系統自我診斷和錯誤代碼或消息有助於保證產品開發和製造品質，優化測試時間和生產測試，甚至售後支援。如果出現錯誤，系統將會指示是哪些元件無法正常通訊而導致錯誤發生。技術人員可以輕鬆測試或排錯，維修產品。 另外，一些重要產品可能需要特定的運輸方式和物流方式，這些產品系統可以在內部記憶體記錄、追蹤有關環境和搬運方式的電子資料，例如碰撞、濕度和溫度。客戶可以在目的地分析這些資料，核實是否符合推薦的運輸和搬運方式。另一方面，使用者可以使用智慧手機檢索現場裝機的內部資訊，這些資訊對設備維護服務商非常有用，可以幫助公司通知員工為報修準備妥當，不僅節省了現場維護次數，還節省了報修時間。 結合NFC　除錯方式更智慧 儘管LED指示燈、LED螢幕和LCD螢幕提供錯誤資訊的能力有限，但新的智慧連接可以向使用者提供更多資訊，為採集資訊、除錯、質量檢驗和測試時間優化和售後支援開闢了一條新的途徑。嵌入式系統多數都有用於儲存某些系統參數的內部非揮發性記憶體。當這個EEPROM記憶體改用雙介面EEPROM時，還可使用無線通訊技術讀取錯誤資訊和系統健康狀態資料。 主動式RFID標籤是一個非常經濟的錯誤代碼記錄介質，可以通過NFC介面檢索電子標籤內部資料。NFC又稱近距離通訊，是一種基於射頻識別(RFID)的13.56 MHz載波無線通訊技術，當一個NFC設備靠近另一個NFC設備時，即可互連通訊。今天大多數手機都有NFC介面，可與主動式標籤通訊，為使用者在不同設備之間交換資訊。 以消費電子產品為例，主動式標籤對於自我診斷(Self-diagnosis)非常有用。在系統電力開始時，自我診斷將檢查系統的所有元件，並將健康狀態寫入主動式標籤中，便於產品出廠品質檢驗時讀取資料，如果所有參數都正常，則產品可以出廠。 整個系統測試概念還可以節省產品在生產線上的停留時間，讀取系統健康狀況只需要幾秒鐘的時間，設計一個使用者介面非常簡單的應用軟體，可以在智慧手機或讀取器上查看錯誤資訊內容。如果出現系統錯誤，系統將會指示是哪些元件無法正常通訊導致錯誤，方便技術人員測試偵錯或修理產品。此方法還可用於售後服務。使用者只需將智慧手機靠近白色家電的控制台，即可透過NFC讀取產品內部資訊，還可通過Wi-Fi或GPRS等WAN網路將資訊發送到中央伺服器，同時自動提交投訴(圖2)。 圖2　系統健康檢查智慧連接技術。 NFC智慧連接偵錯系統設計介紹 具備微控制器的嵌入式系統可以測試內部邏輯電路和所連的週邊設備。透過NFC在智慧手機上更新自我診斷報告，可以在手機上發出一些測試命令，進一步分析系統內部問題。NFC是一種非常經濟的無雜訊通訊方案，緊密的尺寸使其可以輕易整合到小系統中。如今大多數人都有智慧手機，使用者可用安卓手機應用測試系統，在螢幕上查看初步的測試資訊，包括錯誤類型。為了更好地理解，以下內容以計步器系統為例介紹這個過程，圖3是計步器系統的架構圖。 圖3　穿戴式計步器系統框圖。 該可穿戴式計步器採用STM32L系列微控制器，動態NFC/RFID標籤晶片M24SR64-Y接受13.56MHz RFID讀取器或NFC手機通過I2C介面發送的讀寫指令，有助於在計步器和手機之間建立低成本的RF通訊連接，內置EEPROM記憶體用於保存系統狀態和其他相關資訊(圖4)。 圖4　穿戴式計步器和PCB電路板。 為了在不打開系統的情況下使用系統除錯功能，我們開發了一款可以在沒有實體接觸的情況下與系統通訊的安卓手機應用，動態NFC/RFID標籤IC甚至不需要電源即可與RFID讀取器通訊；而檢查系統健康狀態，建立通訊連接，需要將手機靠近計步器(圖5)。 圖5　基於NFC的排錯系統。 在動態NFC/RFID標籤IC上有一個中斷引腳，當檢測到NFC訊號時，中斷引腳向主控制器發送中斷訊號，喚醒系統。透過使用中斷功能，系統可以運行已配置好的任務，檢查系統健康狀況，並在NFC標籤中寫入健康狀態數據，然後用手機讀取NFC標籤內的系統狀態資訊，並在螢幕上顯示系統狀態。例如螢幕上彈出「系統正常」資訊，表示系統完全正常，否則彈出「系統故障」，並說明故障區域(圖6)。 圖6　手機螢幕顯示系統狀態。 總而言之，系統智慧連接功能可以為用戶帶來很多好處，涵蓋從產品製造到售後的整個生命週期，有助於降低產品的總體成本。在目前的智慧連接技術中，NFC技術經濟實惠，對功率和空間需求都非常低，不論是小尺寸產品，還是體積大的家電，選擇無線通訊連接，NFC都是一個不錯的選擇。 (本文作者任職於意法半導體)