電源單元是電子系統中最為關鍵的組件之一，電源的運行狀況會影響整個系統的功能。在IEC 61508所定義的工業功能安全范疇內，電源是電氣/電子/可編程電子(E/E/PE)安全相關系統(SRS)及其他子系統的組成要素和輔助服務單元。鑒于IEC 61508對功能安全(FS)合規性的三項關鍵要求和所推薦的診斷措施，開發符合工業功能安全要求的電源可能會頗具挑戰性。
IEC 61508-4將E/E/PE系統定義為基于一個或多個E/E/PE設備并起到控制、保護或監測作用的系統。E/E/PE設備的范圍包括系統中的所有組成要素，如電源、傳感器（及其他輸入設備）、數據高速傳輸路徑（及其他通信路徑）、執行器（及其他輸出設備）。同時，根據定義，安全相關系統是指一種指定系統，它既要實現使受控設備(EUC)達到或維持安全狀態所需的安全功能，又要通過自身或與其他E/E/PE SRS及風險降低措施配合，實現必要的安全完整性來達成所需的安全功能。如圖1所示，除了執行特定安全功能所需的硬件和軟件外，電源也是E/E/PE SRS的輔助服務單元之一。
基本功能安全標準將共因失效(CCF)定義為一個或多個事件引起的失效引發多通道系統中兩個或更多獨立通道同時失效，進而導致系統失效。一個典型例子是電源失效，它可能會導致SRS發生多種危險失效。如圖2所示，假設24V輸入對12VCC和5VCC輸出短路，24V電源的失效將導致后續電路出現危險失效。
在滿足功能安全要求時，考慮CCF至關重要，因為它會影響對IEC 61508三項關鍵要求的合規性，即系統安全完整性、硬件安全完整性和架構約束。IEC 61508標準中對于某些情況下的CCF和電源要求如下：
IEC 61508-1第7.6.2.7節要求，在分配整體安全要求時，要考慮發生CCF的可能性。該節還要求，在分配安全要求時被視為獨立的EUC控制系統、E/E/PE SRS及其他風險降低措施，不應共用可能因失效而導致所有系統出現危險失效模式的公共電源。
同樣，在合成相關元件以實現所需系統能力(SC)時，IEC 61508-2第7.4.3.4節注釋1指出，為了實現足夠的獨立性，一種可行方法是確保不存在會導致所有系統出現危險失效模式的公共電源失效。
對于具有片內冗余的集成電路，IEC 61508-2附錄E也提出了多項規范性要求，比如對輸入和輸出（如電源等）進行隔離、采取措施避免由電源故障引起的危險失效等。
雖然以上條款禁止共用可能因失效而導致所有系統出現危險失效模式的公共電源，但在設計系統時遵循這一規定會增大占用空間，導致路板尺寸變大且成本上升。要想繼續使用公共電源，一種方法是實施充足的電源監控措施。通過這種方式，根據安全要求，電源給E/E/PE SRS帶來的危險失效即使不能完全消除，也能降低到可接受的水平。關于有效的電源監控如何解決共因失效問題的更多討論，請參閱博客文章“電源的功能安全”。
由于需要檢測電源中的失效情況，基本功能安全標準規定了針對系統性和隨機性硬件失效的檢測要求和建議。
在控制系統性故障的要求方面，IEC 61508-2第7.4.7.1節要求E/E/PE SRS的設計應能耐受包括電磁干擾在內的環境應力。IEC 61508-2表A.16中引用了該條款，將針對電源缺陷（如電壓擊穿、電壓變化、過壓(OV)、低電壓及其他現象）的一些措施描述為強制性措施，任何SIL等級都要遵守此項要求。具體參見表1。
表1. IEC 61508-2表A.16中關于電源監控的要求
在IEC 61508-2表A.1的分立硬件組件項下，展示了在量化隨機性硬件失效的影響時，可假定電源可能出現的故障和失效情況。具體參見表2。同時，IEC 61508-2 表A.9展示了針對電源推薦的診斷措施及相應的最大可聲明診斷覆蓋率。表3顯示了更多來自IEC 61508-7第A.8節的細節。
在進行安全分析時，表2和表3都非常有用，因為每個組件的失效模式以所采用診斷技術的診斷覆蓋率都是計算λ值（即SIL指標：危險失效概率和安全失效比率(SFF)）的輸入參數。
表2. 根據IEC 61508-2表A.1假定的電源故障和失效情況
表3. 針對電源推薦的診斷措施
圖3a展示了一個電壓控制診斷措施的示例。在此示例中，邏輯控制器子系統的電源（通常為后置穩壓器或LDO形式）由MAX16126 進行監測。如果電源監控器檢測到任何超出范圍的電壓（無論是過壓還是欠壓），將導致由微控制器和其他邏輯設備組成的邏輯控制器子系統與電源斷開連接，同時MAX16126的FLAG引腳會被置位。通過這種方式，邏輯控制器子系統可以切換到安全狀態。同樣，如果不進行欠壓檢測，這種電路也可用作帶安全關斷功能的過壓保護診斷措施。
掃碼查看LTC3351更多詳情
另一方面，圖3b展示了一個帶安全關斷功能的斷電診斷措施的示例。在此示例中，LTC3351的熱插拔控制器將電源連接到邏輯控制器子系統，而其同步開關控制器以降壓模式運行，為一組超級電容器充電。如果電源電壓超出過壓或欠壓閾值，LTC3551將使邏輯控制器子系統與電源斷開連接，同步控制器將以升壓轉換器的模式反向運行，從超級電容器組向邏輯控制器子系統供電。這將為邏輯控制器子系統提供足夠的時間，將內部狀態保存到非易失性存儲器中，并通過斷電程序將所有輸出設置為安全狀態。
除了CCF、電源失效以及推薦的診斷措施外，IEC 61508還強調了電源在E/E/PE SRS中正常運行的重要性。這一點在標準的第六部分附錄B.3中有所體現，其中討論了在假設失效率恒定的情況下，如何使用可靠性方框圖方法評估硬件失效概率。除了傳感器、邏輯子系統和最終元件子系統的范圍外，電源的運行也被納入其中，如以下示例所示。
當電源失效導致斷電斷路型E/E/PE SRS斷電并使系統斷路進入安全狀態時，電源不會影響SRS的PFDavg。
如果系統是通電斷路型，或者電源存在可能導致E/E/PE SRS不安全運行的失效模式，則應在評估中考慮電源因素。
此類假設使得電源在E/E/PE SRS中的正常運行至關重要，因為這關系到電源是否會影響危險失效概率的計算，而這正是IEC 61508的關鍵要求之一。
本文深入探討了基本功能安全標準對E/E/PE安全相關系統電源的規范性要求和指導性要求。首先闡述了電源在E/E/PE SRS中的作用。接著討論了禁止使用公共電源的共因失效問題，并展示了如何通過電源監控來消除CCF。此外，還介紹了與電源相關的系統性和隨機性硬件失效的要求，并提到了針對電源推薦的診斷措施。最后，根據電源的運行模式（斷電斷路型或通電斷路型），探討了電源對于計算SRS危險失效概率的影響。
??點擊探索ADI“芯”世界
