本页目录
工程 · 可靠性、装配与 bring-up
第一块板最危险的读数往往不是“没有数据”，而是限流器正在保护它；bring-up 的专业性，体现在知道何时停、停下来要保留什么证据。
学习层：把第一次上电变成一棵可停止的决策树
1. 具体情境：电流一上来就顶到限流，下一步不是继续加大电源
低压教学节点刚从装配台回来。目检没有明显问题，工程师设置了可断电、限流的电源后上电，电流快速升高，某条 rail 没有到达预期，MCU 也没有复位释放。此时“多试几次”“把限流调大”都会破坏诊断证据，甚至让一个可控故障变成器件损坏。
本页把 FMEA、容差/热、故障树、bring-up 顺序、测量证据和停止条件放在一起。示例都限于低压、限流、可断电教学系统；不涉及市电施工、带电市电测量、建筑配电或高能电池包操作。
2. 揭示前预测：先决定何时停止
- 若实测启动电流达到电源限流值，下一步应继续观察并提高限流，还是停止并断电检查？
- 对 \(P_{nom}\) 乘以正容差后再估计温升，最坏温度会比只用名义功率高还是低？
- FMEA 中严重度 \(S\)、发生度 \(O\)、可探测度 \(D\) 都增加时，教学 RPN 会增加还是减少？
预测完成后，实验才显示风险分数、温度余量和 bring-up 决策树。RPN 的乘法是教学排序工具，不是某个标准的通用阈值；真实风险仍需团队定义严重度、暴露、检测方法和后果。
3. 公式桥：从风险排序到停止条件
教学 FMEA 先用三个 1–10 的等级：严重度 \(S\)、发生度 \(O\)、可探测度 \(D\)。排序分数为
它没有物理单位，也不能与温度或电流直接比较。热/容差账本则保留单位：若功率正容差为 \(\delta_P\)，
其中 \(T_A\) 是环境温度（°C），\(\theta_{JA}\) 是封装到环境的热阻（°C/W），\(P\) 是 W。温度余量为 \(M_T=T_{limit}-T_{max}\)，必须明确 \(T_{limit}\) 来自哪份器件资料或项目教学门槛。
限流上电的最小证据是
若 \(M_I\le0\) 或 \(M_T\le0\)，或 rail/复位/温度不满足项目条件，应停止、断电、保存波形和配置；等号不是“刚好通过”。只有电流、热和 guard band 余量都严格为正，才能推进。默认教学输入 \(P_{nom}=0.45\ \mathrm{W}\)、\(\delta_P=20\%\)、\(T_A=25\ ^\circ\mathrm{C}\)、\(\theta_{JA}=40\ ^\circ\mathrm{C/W}\)，得到 \(T_{max}=46.6\ ^\circ\mathrm{C}\)；它只是说明如何做量纲检查。
4. 互动实验：风险账本和 bring-up 决策树
无 JavaScript 时的静态 fallback：教学输入为 \(S=8\)、\(O=3\)、\(D=4\)，所以 \(RPN=96\)；名义功率 \(0.45\ \mathrm{W}\)、正容差 \(20\%\)、环境 \(25\ ^\circ\mathrm{C}\)、热阻代理 \(40\ ^\circ\mathrm{C/W}\)、教学温度上限 \(85\ ^\circ\mathrm{C}\)；限流 \(250\ \mathrm{mA}\)、启动峰值 \(180\ \mathrm{mA}\)、实测静态电流 \(30\ \mathrm{mA}\)；当前阶段为“限流上电”，故障为“无”，证据项 6/6。温度上限、热阻和风险等级均必须在真实项目中回到具体数据与批准的验收计划。
| 账本项 | 默认读数 | 单位 / 解释 |
|---|---|---|
| 教学 RPN | 96 | 无量纲；\(SOD\)，用于排序 |
| 最坏功率 | 0.54 | W；名义功率 × 1.20 |
| 最坏温度代理 | 46.6 | °C；\(T_A+P_{max}\theta\) |
| 温度余量 | 38.4 | °C；教学上限减最坏温度 |
| 启动电流余量 | 70 | mA；限流减峰值 |
| 静态电流余量 | 220 | mA；限流减实测静态电流 |
| 实测静态电流 | 30 | mA；fallback 证据输入 |
| 当前 bring-up 阶段 | 限流上电 | 通过前一阶段才可推进 |
| 证据完成度 | 6 / 6 | 项；配置、波形、读数和停止条件 |
| 决策 | 可继续到 rail/复位检查 | 所有余量严格为正；等号时 STOP |
调高严重度、容差、功率或启动峰值，树上的“停止”分支会改变。把电流或温度余量调到恰好为零也会 STOP，不能以“没有超出”为理由推进。选择短路、卡总线或过热等教学故障时，先保持限流并断电；故障注入是可逆的诊断实验，不是带电硬件试错。
5. 真实修正：FMEA 不是算出一个神奇的可靠度
FMEA 的价值在于把失效模式、原因、局部影响、系统影响、现有控制、检测证据和责任人放在同一行。\(S\)、\(O\)、\(D\) 的标度必须有定义和例子；不同团队的 6 分不能直接比较。RPN 高不代表一定先发生，RPN 低也不代表可以忽略单点灾难性后果，必要时要单独设置严重度门槛。
容差与热必须覆盖输入电压、负载、元件容差、温度、通风、铜箔和装配变化。\(\theta_{JA}\) 不是脱离 PCB 的材料常数；封装、铜面积、气流和邻近热源会改变它。若器件数据手册给出结温、降额或瞬态限制，应把原文版本和条件写进证据，而不是用教学 \(40\ ^\circ\mathrm{C/W}\) 替代。
故障树适合沿“顶事件 → 中间事件 → 基本事件”反推证据。例如“节点复位”可能来自 rail 下陷、复位脚噪声、时钟未起振或固件看门狗；每一条路径都应有独立可观测量，否则无法区分原因。
6. Bring-up 顺序与测量方案
- 资料/目检：核对 BOM、装配方向、极性、连接器、丝印和版本；拍照并记录板号。
- 断电连通：测电源对地阻值、短路、关键网连通和隔离边界；不要用“电阻很小”直接断言有故障，要结合并联电容与器件模型。
- 限流上电：从最低风险的输入/rail 开始，记录设定电压、限流、输入电流、各 rail、复位和温度；每次只推进一个阶段。
- 时钟/复位：先证明电源和复位稳定，再看时钟、启动脚和最小 MCU 状态；示波器触发与探头配置进入记录。
- 总线/负载：按 22–26 讲的总线、瞬态、回流、SI 和测试点账本逐项接入；不要把所有传感器一次性接上。
- 故障注入：先定义预期安全状态、限流和停止条件，再断电改变一个故障；保留故障前后证据和恢复动作。
停止条件包括：电流达到或超过限流值、rail 超出项目/数据手册范围、温度达到或超过批准上限、出现不可解释的振荡/复位、保护件动作、测量连接不再可控。停止不是失败标签，而是保护系统和保留可解释性的设计动作。
7. 项目迁移与验收
把每次 bring-up 写成可复现记录：板号和版本、环境、输入与限流、阶段、仪器/探头、原始波形、读数、假设、通过/停止条件、故障、修正和下一步。最终进入 28 讲的验证矩阵时，每一行都要能指向一次测量、一个模型计算或一个约束来源；没有证据的“通过”只能标为待验证。
1. 可靠性是时间和证据的问题
可靠性不只是“元件额定值够大”。它还包括重复上电、温度循环、连接器插拔、污染、振动、老化、软件状态和维修路径。课程在这里先建立工程纪律：先定义失效，再定义检测，再定义停止和恢复，最后才讨论试验次数。
对于低功耗节点，休眠/唤醒切换也可能是寿命应力：电源树的瞬态、总线热插拔、传感器反向供电和 MCU 复位状态都要纳入 FMEA。
2. 测量证据的最小元数据
任何“电流正常”“温度可接受”“总线通过”都至少附上：板号/版本、日期、输入电压、限流、负载状态、仪器型号或配置、探头位置、采样带宽、原始文件和判据。型号数字和标准条款会变化；若使用数据手册额定值，保存版本与适用条件。
3. 模型失效边界
RPN 不产生失效率；热阻乘功率不描述瞬态热点；故障树的逻辑结构也不自动给出事件概率。教学实验只能检验公式、排序和停止流程是否自洽，不能替代寿命试验、统计可靠性、安规或正式认证。
4. 资料与边界
电路、功率和测量基础可查 MIT OCW 6.002: Circuits and Electronics 与 MIT OCW 6.071J: Introduction to Electronics, Signals, and Measurement。工程设计、风险、实验和持续改进的框架可查 ABET Criteria for Accrediting Engineering Programs，可靠性与适用测试标准的正式入口是 IEEE Standards。本页不伪造具体器件额定值、寿命模型或动态限值。
5. 小结
可靠性判断要把失效模式、热/容差、故障树、限流上电、测量证据和停止条件连起来。先保护系统，再保护证据，最后推进阶段。下一讲把 01–27 讲留下的账本合成一个可审计的低功耗多传感器节点，并给出真正的最终验收。