EC 61508 电源故障诊断：失效管控与量化评估方案

IEC 61508 功能安全体系将电源失效划分为系统性故障与随机硬件故障两大类别，并分别制定强制性管控、量化诊断要求，是电源实现 SIL 等级合规的核心依据

标准 IEC 61508-2 第 7.4.7.1 条明确，E/E/PE 安全相关系统硬件架构必须具备抵御电磁干扰等各类环境应力的能力。配套附表 A.16 将电源各类异常缺陷纳入全 SIL 等级强制管控清单，覆盖介质击穿、电压漂移、过压 OV、欠压 UV 等典型电源故障，任何安全完整性等级的设备都不能豁免该类防护设计。参考表 1：IEC 61508-2 表 A.16 电源监控强制要求。

工程落地：两类标准化电源诊断方案

依托专用监控与储能电源芯片，可快速落地 IEC 61508 规定的诊断机制，形成电压异常监测、断电安全关断两套成熟硬件方案。

2.1 电压超限实时诊断（MAX16126 方案）

该电路用于后端 LDO、稳压供电链路的电压全域监测，适配逻辑控制器子系统供电防护A。 例如ADI的MAX16126 实时采集输出电压，一旦检测到过压、欠压超出设定阈值，立刻驱动双向 N 沟道 MOSFET 切断后级主控供电，同时拉低 FLAG 故障锁存引脚，强制整机切换至安全运行状态。 该架构可灵活裁剪，去除欠压检测支路后，可单独作为过压安全关断保护电路使用。图 1a：基于 MAX16126 的电压控制诊断电路

图1. 针对电源推荐的诊断措施的图示说明。

2.2 断电储能式安全关断（LTC3351 方案）

针对突发断电、瞬时掉电工况，采用ADI的 LTC3351 超级电容备用电源方案，实现故障停机前完整安全收尾流程。 正常运行阶段，芯片内置热插拔通路完成系统供电接入，同步降压单元持续为超级电容组储能；当输入电压触发过压 / 欠压阈值时，前端供电通路即刻断开，芯片切换升压工作模式，由超级电容反向为逻辑主控持续供电。 缓冲供电时长可保障设备完成三项关键安全操作：将实时运行参数存入非易失存储器、执行整机断电程序、把全部输出端口置为安全稳态。图 1b：LTC3351 断电安全关断诊断电路。

电源运行架构对安全指标计算的决定性影响

除故障诊断、共因失效 CCF 管控外，IEC 61508 第六部分附录 B.3 明确，电源常态化运行逻辑直接改变硬件失效概率评估模型，需纳入可靠性框图 RBD 全域分析，与传感器、逻辑单元、执行器同等权重考量。

标准根据系统安全动作逻辑，划分两类架构，对应差异化 PFDavg 计算规则：

断电断路型系统电源失效会直接切断系统供电，设备自动停机并维持安全稳态，电源故障不会加剧危险工况，因此电源模块无需纳入 PFDavg 指标计算。

通电断路型系统系统依靠持续供电维持安全功能，电源任意异常失效模式均可能引发非安全运行状态，在进行 FMEDA 与 PFDavg 量化分析时，必须完整计入电源各类失效风险。

该架构判定规则体现出电源设计的底层重要性：诊断电路、防护机制的选型，不仅用于抑制故障发生，更会直接改变整机 SIL 评级的量化计算结果，是实现功能安全合规不可忽视的核心环节。

深圳市中芯巨能电子有限公司代理销售ADI/亚德诺半导体旗下系列IC电子元器件，常备ADI/亚德诺半导体现货库存，原厂货源，保证原厂原装正品，一片起订，满足您从研发到批量生产的所有大小批量采购需求。如需产品规格书、样片测试、采购、原厂生产排单等需求，请加客服微信：13310830171。