📚 课程目录第4章设备状态模型与异常状态处理

4. 设备状态模型与异常状态处理

在半导体制造中，EAP（Equipment Automation Program）对设备的控制并非简单的“发命令—收结果”，而是围绕一套严格的状态模型展开。设备状态机定义了设备在任意时刻所处的合法状态，以及状态之间允许的迁移路径。SEMI E10 标准给出了设备状态与时间分类的通用框架，而 EAP 内部通常维护一套与之映射的本地状态机，两者必须保持同步，否则就会出现“设备实际已停机，EAP 仍认为在运行”这类危险的不一致。

SEMI E10 状态框架与 EAP 本地状态

SEMI E10 将设备时间划分为六大状态：非计划停机（Unscheduled Downtime）、计划停机（Scheduled Downtime）、工程时间（Engineering Time）、待机（Standby）、产品加工（Productive）以及非生产时间（Non-Scheduled Time）。其中待机又细分为工程待机、待料待机、待机无产品等子状态。EAP 并不需要完整复制 E10 的每一层，但必须建立清晰的映射关系。例如，EAP 的 RUN 状态对应 E10 的 Productive；IDLE 对应 Standby；DOWN 对应 Unscheduled Downtime；PM 对应 Scheduled Downtime。

实际工程中，EAP 本地状态机通常包含以下核心状态：OFFLINE（离线）、IDLE（空闲）、RUN（加工中）、PAUSE（暂停）、DOWN（故障停机）、PM（维护）、ENG（工程模式）。每个状态都有明确的进入条件、退出条件和允许的操作集合。例如，只有处于 IDLE 或 PAUSE 时，EAP 才允许下发新的加工配方；处于 RUN 时，除暂停和急停外，其他状态迁移请求应被拒绝。

状态同步机制与卡状态识别

EAP 与设备之间的状态同步通常通过 SECS/GEM 消息实现。设备通过事件报告（Event Report）主动上报状态变化，EAP 收到后更新本地状态机。但实际产线中，状态不同步是高频异常。常见原因有三类：一是设备端状态已变但事件丢失或延迟；二是 EAP 本地状态机因异常未正确迁移；三是通信中断期间设备状态发生变化，恢复后未做全量同步。

识别“设备卡在特定状态”需要建立多维度的判断依据。以设备卡在 RUN 状态为例，EAP 可监测以下信号：加工配方已下发但超过预期节拍时间仍未收到 ProcessEnd 事件；设备心跳正常但无任何过程数据更新；SECS 消息队列积压但设备无响应。此时 EAP 应触发“状态疑似卡死”告警，而非直接判定故障。判定逻辑可参考以下伪代码：

IF current_state == RUN
   AND elapsed_time > recipe_expected_duration * 1.5
   AND no ProcessEnd event received
   AND heartbeat_ok == true
THEN
   raise_alarm("STATE_STUCK_RUN", severity=WARNING)
   start_stuck_timer()

类似地，设备卡在 DOWN 状态时，若故障已清除但设备未自动回到 IDLE，EAP 应检测 DOWN 持续时间超过阈值且无活跃报警，提示操作员执行恢复。卡在 PAUSE 状态则常见于操作员暂停后忘记恢复，或恢复命令因通信问题未送达。

状态强制迁移与安全恢复流程

当确认设备状态与 EAP 不一致，且常规同步手段无法纠正时，需要执行状态强制迁移。强制迁移不是简单地把 EAP 本地状态改成目标状态，而是一套有严格前置条件和后置验证的操作流程。

前置条件检查：确认设备物理状态安全，无人员在设备内部作业；确认无活跃的严重报警；确认强制迁移的目标状态是当前物理状态允许的。例如，设备实际处于 DOWN 且故障未排除时，不允许强制迁移到 RUN。

迁移执行：通过 EAP 的维护界面或专用命令触发强制迁移。系统应记录操作人、时间戳、原状态、目标状态和迁移原因。迁移过程中，EAP 暂停对该设备的自动调度，避免在状态不一致期间下发新任务。

安全恢复验证：迁移完成后，必须执行一系列验证动作。向设备发送状态查询命令，确认设备端实际状态与 EAP 本地状态一致；检查关键传感器和执行器状态是否正常；对于涉及机械动作的设备，执行一次空跑或安全位置确认。只有全部验证通过，才将设备重新纳入自动调度。

注意：强制迁移是异常处理手段，不是常规操作。每次强制迁移都应触发事后复盘，分析状态不同步的根本原因，避免同类问题重复发生。频繁使用强制迁移会掩盖设备通信或控制逻辑的深层缺陷。

异常状态处理的实际案例

某刻蚀设备在加工过程中因射频电源瞬时告警触发 DOWN，EAP 正确同步为 DOWN 并停止派工。操作员清除告警后，设备端自动回到 IDLE，但 EAP 因事件丢失仍停留在 DOWN。此时 EAP 的卡状态检测逻辑发现：DOWN 状态持续超过 5 分钟，且设备端无活跃报警，同时设备心跳正常。系统自动触发“状态不一致”告警，并提示操作员执行同步。

操作员在维护界面选择“强制同步到 IDLE”，系统记录操作日志后执行迁移。迁移后 EAP 自动向设备发送 S1F3 状态查询，确认设备返回 IDLE，随后检查配方加载状态和机械手位置，全部正常后恢复自动派工。整个过程从告警到恢复约 90 秒，未造成批次报废。

这个案例说明，状态同步异常的处理关键在于：及时发现不一致、准确判断设备真实状态、安全执行强制迁移、完整验证恢复条件。EAP 的状态机设计应把“同步”和“恢复”作为一等公民，而不是事后补救的附属功能。