电源单元在电子系统中扮演着为关键的角色之一，其运行状况直接影响着整个系统的功能。在 IEC 61508 所定义的工业功能安全范畴内，电源是电气 / 电子 / 可编程电子（E/E/PE）安全相关系统（SRS）及其他子系统的重要组成要素和辅助服务单元。然而，鉴于 IEC 61508 对功能安全（FS）合规性的三项关键要求和所推荐的诊断措施，开发符合工业功能安全要求的电源面临着诸多挑战。
E/E/PE 安全相关系统中的电源
IEC 61508 - 4 将 E/E/PE 系统定义为基于一个或多个 E/E/PE 设备并起到控制、保护或监测作用的系统。E/E/PE 设备涵盖了系统中的所有组成要素，如电源、传感器（及其他输入设备）、数据高速传输路径（及其他通信路径）、执行器（及其他输出设备）。安全相关系统不仅要实现使受控设备（EUC）达到或维持安全状态所需的安全功能，还要通过自身或与其他 E/E/PE SRS 及风险降低措施配合，实现必要的安全完整性来达成所需的安全功能。如图 1 所示，除了执行特定安全功能所需的硬件和软件外，电源也是 E/E/PE SRS 的辅助服务单元之一。
电源和共因失效
基本功能安全标准将共因失效（CCF）定义为一个或多个事件引起的失效引发多通道系统中两个或更多独立通道同时失效，进而导致系统失效。电源失效就是一个典型例子，它可能会导致 SRS 发生多种危险失效。如图 2 所示，假设 24V 输入对 12VCC 和 5VCC 输出短路，24V 电源的失效将导致后续电路出现危险失效。
在满足功能安全要求时，考虑 CCF 至关重要，因为它会影响对 IEC 61508 三项关键要求的合规性，即系统安全完整性、硬件安全完整性和架构约束。IEC 61508 标准中对于某些情况下的 CCF 和电源要求如下：
IEC 61508 - 1 第 7.6.2.7 节要求，在分配整体安全要求时，要考虑发生 CCF 的可能性。该节还要求，在分配安全要求时被视为独立的 EUC 控制系统、E/E/PE SRS 及其他风险降低措施，不应共用可能因失效而导致所有系统出现危险失效模式的公共电源。
同样，在合成相关元件以实现所需系统能力（SC）时，IEC 61508 - 2 第 7.4.3.4 节注释 1 指出，为了实现足够的独立性，一种可行方法是确保不存在会导致所有系统出现危险失效模式的公共电源失效。
对于具有片内冗余的集成电路，IEC 61508 - 2 附录 E 也提出了多项规范性要求，比如对输入和输出（如电源等）进行隔离、采取措施避免由电源故障引起的危险失效等。
虽然以上条款禁止共用可能因失效而导致所有系统出现危险失效模式的公共电源，但在设计系统时遵循这一规定会增大占用空间，导致路板尺寸变大且成本上升。要想继续使用公共电源，一种方法是实施充足的电源监控措施。通过这种方式，根据安全要求，电源给 E/E/PE SRS 带来的危险失效即使不能完全消除，也能降低到可接受的水平。关于有效的电源监控如何解决共因失效问题的更多讨论，请参阅博客文章 “电源的功能安全”。
电源失效和诊断
由于需要检测电源中的失效情况，基本功能安全标准规定了针对系统性和随机性硬件失效的检测要求和建议。
在控制系统性故障的要求方面，IEC 61508 - 2 第 7.4.7.1 节要求 E/E/PE SRS 的设计应能耐受包括电磁干扰在内的环境应力。IEC 61508 - 2 表 A.16 中引用了该条款，将针对电源缺陷（如电压击穿、电压变化、过压（OV）、低电压及其他现象）的一些措施描述为强制性措施，任何 SIL 等级都要遵守此项要求。具体参见表 1。
在 IEC 61508 - 2 表 A.1 的分立硬件组件项下，展示了在量化随机性硬件失效的影响时，可假定电源可能出现的故障和失效情况。具体参见表 2。同时，IEC 61508 - 2 表 A.9 展示了针对电源推荐的诊断措施及相应的可声明诊断覆盖率。表 3 显示了更多来自 IEC 61508 - 7 第 A.8 节的细节。
在进行安全分析时，表 2 和表 3 都非常有用，因为每个组件的失效模式以所采用诊断技术的诊断覆盖率都是计算 λ 值（即 SIL 指标：危险失效概率和安全失效比率（SFF））的输入参数。
图 3a 展示了一个电压控制诊断措施的示例。在此示例中，逻辑控制器子系统的电源（通常为后置稳压器或 LDO 形式）由 MAX16126 进行监测。如果电源监控器检测到任何超出范围的电压（无论是过压还是欠压），将导致由微控制器和其他逻辑设备组成的逻辑控制器子系统与电源断开连接，同时 MAX16126 的 FLAG 引脚会被置位。通过这种方式，逻辑控制器子系统可以切换到安全状态。同样，如果不进行欠压检测，这种电路也可用作带安全关断功能的过压保护诊断措施。
另一方面，图 3b 展示了一个带安全关断功能的断电诊断措施的示例。在此示例中，LTC3351 的热插拔控制器将电源连接到逻辑控制器子系统，而其同步开关控制器以降压模式运行，为一组超级电容器充电。如果电源电压超出过压或欠压阈值，LTC3551 将使逻辑控制器子系统与电源断开连接，同步控制器将以升压转换器的模式反向运行，从超级电容器组向逻辑控制器子系统供电。这将为逻辑控制器子系统提供足够的时间，将内部状态保存到非易失性存储器中，并通过断电程序将所有输出设置为安全状态。
电源的运行
除了 CCF、电源失效以及推荐的诊断措施外，IEC 61508 还强调了电源在 E/E/PE SRS 中正常运行的重要性。这一点在标准的第六部分附录 B.3 中有所体现，其中讨论了在假设失效率恒定的情况下，如何使用可靠性方框图方法评估硬件失效概率。除了传感器、逻辑子系统和终元件子系统的范围外，电源的运行也被纳入其中，如以下示例所示。
当电源失效导致断电断路型 E/E/PE SRS 断电并使系统断路进入安全状态时，电源不会影响 SRS 的 PFDavg。
如果系统是通电断路型，或者电源存在可能导致 E/E/PE SRS 不安全运行的失效模式，则应在评估中考虑电源因素。
此类假设使得电源在 E/E/PE SRS 中的正常运行至关重要，因为这关系到电源是否会影响危险失效概率的计算，而这正是 IEC 61508 的关键要求之一。
