本文为系列第二篇，详细说明了系统性失效与随机失效的关键区别，两类失效都会阻碍安全相关系统进入安全状态；文章着重强调，电源设计需遵循 IEC 61508 等相关标准，以此实现安全设计。系统性失效具备确定性特征，涵盖硬件故障与软件故障，必须通过前瞻性设计优化予以根除，例如元器件降额选型、搭建可靠的过压保护电路、增设完备的电源监测回路等方案。
　　与之相反，元器件老化劣化引发的硬件随机失效，需要依靠诊断方案与架构设计实现管控，主要借助失效模式、影响与诊断分析（FMEDA）完成量化评估。妥善管控两类失效 —— 消除系统性缺陷、管控硬件随机失效，是产品达到规定安全完整性等级（SIL）的必要条件。
　　IEC 61508 标准相关回顾
　　开展安全相关系统（如安全电源）设计工作时，除了明晰功能安全标准的规范要求，还需要掌握各类会导致安全相关系统无法切换至安全状态的失效类型。安全功能既可以通过主动动作规避危险工况，也能够通过限制非必要操作维持系统安全。如图 1 所示，从失效维度划分，安全功能故障分为系统性失效和随机失效两类。

　　系统性失效同时包含硬件失效与软件失效，这类失效由特定诱因确定性触发，可通过优化设计等手段彻底消除。举例而言，IEC 61508 给出了标准化规范方法与管控措施，用以规避和控制系统性失效。

　　图 1 IEC 61508 标准：系统性失效与硬件随机失效对比，图片由博多电力系统提供

　　图 2 电源监测设计考量要点 [1,2,3]，图片由博多电力系统提供
　　而随机失效仅会发生在硬件层面，由硬件内部一种或多种老化劣化机理在随机时段触发。因此，硬件随机失效只能依靠诊断策略与合理的架构设计进行管控。
　　系统性失效的管控
　　无论目标安全完整性等级（SIL）等级高低，都必须落实针对击穿故障及其他电源高危失效的防控措施，以此管控系统性失效。被动防控手段包括选用保险丝、稳压二极管等无源保护器件、合理执行元器件降额设计、预留充足的工作裕量。
　　主动防控手段则依托电源诊断电路实现，例如增设过压保护、区间式电源监控、次级稳压控制、限流电路及其他有源保护线路。若电源产品设计需要满足指定 SIL 等级，上述系统性失效管控措施必不可少。
　　除了满足基础性能指标、遵循电气、热学、机械、电磁兼容、产品安全等各类配套标准外，设计人员还需重点思考下述问题：

　　是否完成全电压信号监测，保障电源上电时序正常设定电源监测芯片过压（OV）、欠压（UV）阈值时，需要综合各类影响电源输出精度的因素，实现时序平稳切换与故障诊断，相关设计参考见图 2。

　　是否配置浪涌保护等防护方案，提升系统抗电磁干扰能力可参考 MAX6399 芯片的过压 / 欠压保护、LTC4364 浪涌抑制器件、防反接输入、防反向电流与限流保护等设计方案，如图 3 所示。

　　图 3 依托保护电路提升系统可靠性 [2]，图片由博多电力系统提供
　　量产元器件是否严格遵照规格书选型并完成足额降额，例如负载率控制在额定值的 67%[4] 足额降额设计要求元器件始终工作在安全工作区并预留富余工作裕量，详见图 4。例如标称耐温 125℃的器件，在环境温度 55℃、结温 85℃工况下使用，即可实现有效降额 [4,5,6]。

　　此外还需关注：还有哪些系统性失效模式需要针对性整改？反向电动势（反电动势）是否存在损毁前端输入电路的风险 [7]时序与脉冲宽度异常会不会造成器件直通导通？同时还要排查局部热点问题，避免器件热失控，相关实测对比如图 5。

　　图 4 防护设计优化电磁抗扰性能 [6]，图片由博多电力系统提供

　　图 5 电路板满载工况下放电（左）、充电（右）两种工作模式的热点分布对比 [8]，图片由博多电力系统提供（PDF 文件）
　　硬件随机失效的管控
　　失效模式、影响与诊断分析（FMEDA）用于分析、量化硬件随机失效对安全相关系统性能造成的影响，分析输入参数包含元器件失效率、产品应用场景、硬件设计资料；输出内容涵盖各模块失效模式与失效后果、四种失效率参数 λSD、λSU、λDD、λDU、各失效模式诊断覆盖率以及安全完整性等级（SIL）相关指标，各项内容构成见图 6。
　　基于 FMEDA 开展产品分析需满足三项要求：，拆解实现安全功能所用元器件的各类失效模式；第二，增设安全诊断措施 / 内置自检（BIST）电路，规避危险未检出失效，优化 SIL 指标；第三，反复迭代优化设计，直至产品安全失效分数（SFF）、平均危险失效概率（PFH/PFDavg）达标。

　　除此以外，设计可选配符合功能安全规范的元器件 [9]，例如亚德诺（Analog Devices）推出的功能安全专用芯片，原厂配套安全应用笔记 10，内含芯片失效率、失效模式分布（FMD）、引脚失效模式与影响分析（FMEA）数据，可大幅缩短整机 FMEDA 的分析周期。

　　图 6 FMEDA 分析构成框架，图片由博多电力系统提供
　　总结
　　总而言之，遵循 IEC 61508 规范、建立完善的失效管控体系，是打造高可靠安全电源的基础。管控系统性失效是重中之重，这类确定性故障需要在设计阶段提前优化，通过区间电压监测、元器件足额降额、浪涌防护集成等设计方案彻底消除。在产品研发前期同步落地无源与有源防护设计，能够规避热失控、电压击穿等隐患，确保电源系统在极限工况下仍运行在安全区间。
　　与此同时，硬件随机失效具备不可预判的特性，无法仅依靠结构设计完全消除，需要借助 FMEDA 量化失效风险加以管控。设计人员精准核算器件失效率、配套内置自检（BIST）等诊断覆盖方案，就能削弱硬件老化带来的负面影响，满足严苛的 SIL 等级要求。归根结底，统筹落实系统性失效消除与硬件随机失效管控两项工作，才能让电源不只作为电能供给单元，更成为整套功能安全系统稳定可靠的支撑