电源在工业功能安全系统中的关键作用
在现代电子系统中，电源单元扮演着至关重要的角色。其运行状态不仅影响系统整体性能，还直接关系到系统的稳定性与安全性。根据IEC 61508标准，电源是电气/电子/可编程电子（E/E/PE）安全相关系统（SRS）及其子系统的重要组成部分和辅助服务单元。由于该标准对功能安全（FS）合规性提出了三项核心要求，并推荐了多种诊断措施，因此设计符合工业功能安全要求的电源系统是一项复杂而具有挑战性的任务。
电源在E/E/PE安全相关系统中的定位
IEC 61508-4将E/E/PE系统定义为基于一个或多个E/E/PE设备，用于控制、保护或监测的系统。该系统涵盖的设备范围广泛，包括电源、传感器（及其他输入设备）、数据传输路径（及其他通信路径）、执行器（及其他输出设备）。根据标准定义，安全相关系统是一种专门设计用于使受控设备（EUC）达到或维持安全状态的系统，它通过自身或与其他E/E/PE SRS及风险降低措施协同工作，实现必要的安全完整性。
如图1所示，除了执行安全功能所需的硬件和软件外，电源也被视为E/E/PE SRS的辅助服务单元之一。
共因失效与电源设计
共因失效（CCF）是指由单一事件引发多个独立通道同时失效的现象，这在多通道系统中可能导致整体系统失效。电源失效是CCF的典型示例，它可能引发安全相关系统（SRS）中多个危险失效。
如图2所示，若24V输入对12VCC和5VCC输出发生短路，电源故障将导致后续电路出现危险失效。
在满足功能安全要求的过程中，CCF是一个必须重点考虑的因素，因为它可能影响IEC 61508标准中关于系统安全完整性、硬件安全完整性和架构约束的三项关键要求。标准中对CCF和电源的处理方式包括：
- IEC 61508-1第7.6.2.7节指出，在分配整体安全要求时，应考虑CCF的可能性，并要求独立的EUC控制系统、E/E/PE SRS及其他风险降低措施不应共用可能引发危险失效的公共电源。
- IEC 61508-2第7.4.3.4节注释1建议，在合成相关元件以实现所需系统能力（SC）时，应确保不存在可能导致所有系统出现危险失效的公共电源。
- IEC 61508-2附录E对具有片内冗余的集成电路提出了多项规范性要求，包括对电源进行隔离、防止电源故障引发危险失效等。
尽管上述规定有助于提升系统安全性，但在实际设计中，避免使用公共电源可能导致电路板面积增加和成本上升。为解决这一问题，可采用充分的电源监控措施，以将危险失效概率降低至可接受水平。
电源失效与诊断措施
为检测电源中的失效情况，IEC 61508标准对系统性和随机性硬件失效提出了明确的检测要求和建议。
在系统性故障方面，IEC 61508-2第7.4.7.1节要求E/E/PE SRS应具备抵御环境应力（如电磁干扰）的能力。表A.16中列出了针对电源缺陷（如电压击穿、电压波动、过压、欠压等）的强制性措施，适用于所有SIL等级。
在随机性硬件失效方面，IEC 61508-2表A.1列出了电源可能发生的故障和失效模式，而表A.9则提供了推荐的诊断措施及其最大可声明诊断覆盖率。表3则展示了来自IEC 61508-7第A.8节的更多细节。
图3a展示了一个电压控制诊断措施的示例。MAX16126用于监测逻辑控制器子系统的电源（通常为后置稳压器或LDO）。当检测到电压超出范围时，逻辑控制器将与电源断开，并通过FLAG引脚发出信号，使系统进入安全状态。
图3b则展示了一个带安全关断功能的断电诊断措施。LTC3351的热插拔控制器在电源电压异常时断开连接，并通过超级电容器组为逻辑控制器供电，使其有足够时间保存状态并进入安全模式。
电源的运行模式与安全评估
除了CCF和诊断措施，IEC 61508还强调了电源在E/E/PE SRS中正常运行的重要性。在标准第六部分附录B.3中，讨论了在失效率恒定假设下，如何使用可靠性方框图方法评估硬件失效概率。
电源的运行模式（断电断路型或通电断路型）直接影响其是否应纳入危险失效概率（PFDavg）的计算中。若电源失效导致系统进入安全状态，则其对PFDavg无影响。反之，若电源存在可能导致系统不安全运行的失效模式，则必须在评估中予以考虑。
总结
本文系统分析了IEC 61508标准对E/E/PE安全相关系统中电源的规范性与指导性要求。首先明确了电源在系统中的功能定位，随后探讨了共因失效问题及其解决方案，包括电源监控措施。接着介绍了针对电源的系统性和随机性硬件失效要求，并列举了推荐的诊断方法。最后，分析了电源运行模式对安全失效概率计算的影响。