EX-SCHUTZ & ANLAGENSICHERHEIT



 Beseitigung systematischer Schwachstellen, Kontrolle zufälliger Hardwareausfälle 

Robustes, sicheres Stromversorgungsdesign

Analog Devices, Inc.

Während in Teil 1 dieser Serie, siehe Prozesstechnik Ausgabe 6/2025, gezeigt wurde, welche Anforderungen die Norm IEC 61508 an Stromversorgungen stellt, um funktionale Sicherheit zu erreichen, bietet Teil 2 Einblicke in die Anwendung der Grundsätze der grundlegenden Norm für funktionale Sicherheit zur Vermeidung systematischer Ausfälle und zur Kontrolle zufälliger Hardwareausfälle, um ein sicheres Design von Stromversorgungen zu gewährleisten.

IEC 61508

Neben der Kenntnis der Anforderungen der Norm für funktionale Sicherheit ist es wichtig, die Arten von Fehlern zu kennen, die sicherheitsrelevante Systeme daran hindern können, beim Start den sicheren Zustand zu erreichen, also eine sichere Stromversorgung zu gewährleisten.

Eine Sicherheitsfunktion kann entweder positive Maßnahmen zur Vermeidung gefährlicher Situationen durchführen oder die Ausführung bestimmter Maßnahmen verhindern, um einen sicheren Zustand aufrechtzuerhalten. Wie in Abbildung 1 dargestellt, kann eine Sicherheitsfunktion entweder einen systematischen oder einen zufälligen Ausfall aufweisen. Systematische Ausfälle betreffen sowohl die Hardware als auch die Software. Diese Ausfälle treten aufgrund einer bestimmten Ursache deterministisch auf und können durch eine Änderung des Designs und andere Maßnahmen beseitigt werden. Beispielsweise enthält die Norm IEC 61508 normative Techniken und Maßnahmen, mit denen systematische Fehler vermieden und kontrolliert werden können.

Andererseits können zufällige Ausfälle nur bei der Hardware auftreten. Diese Arten von Ausfällen resultieren aus einem oder mehreren möglichen Degradationsmechanismen in der Hardware, die zu einem zufälligen Zeitpunkt auftreten. Daher können zufällige Hardwareausfälle nur durch Diagnosemaßnahmen und ein geeignetes Architekturdesign kontrolliert werden.

​Abbildung 1: IEC 61508: Systematische Ausfälle vs. zufällige Hardwareausfälle.​

Abbildung 2: Überlegungen zur Überwachung der Stromversorgung.

Kontrolle systematischer Ausfälle

Ungeachtet des Sicherheitsintegrationsniveaus (SIL) sind Maßnahmen gegen Spannungsausfälle und andere gefährliche Ausfälle der Stromversorgung zwingend erforderlich, um systematische Ausfälle unter Kontrolle zu halten. Dies kann in Form von passiven Maßnahmen erfolgen, wie zum Beispliel dem Einsatz passiver Schutzvorrichtungen (wie Sicherungen und Zenerdioden), der richtigen Leistungsreduzierung von Komponenten und der Zuweisung ausreichender Sicherheitsmargen. Bei den aktiven Maßnahmen kann es sich um Maßnahmen zur Diagnose der Stromversorgung handeln, wie zum Beispiel den Einbau von Überspannungsschutzvorrichtungen, die zeitgefensterte Überwachung der Stromversorgung mit Zeitfenstern, die Sekundärspannungsregelung, die Strombegrenzung und andere aktive Schutzschaltungen. Diese Maßnahmen zur Kontrolle systematischer Ausfälle sind wichtig für die Umsetzung eines Stromversorgungsdesigns, das auf die Einhaltung eines bestimmten SIL abzielt.

Neben der Einhaltung der erforderlichen Leistungsanforderungen in Bezug auf Elektrik, Wärmeverhalten, Mechanik, elektromagnetische Verträglichkeit, Produktsicherheit und andere damit verbundene Normen sind unter anderem folgende Fragen zu berücksichtigen.

  • Werden alle Spannungen ordnungsgemäß überwacht, um eine korrekte Einschaltsequenz zu gewährleisten? Werden verschiedene Faktoren berücksichtigt, die die Ausgangsgenauigkeit eines Netzteils beeinflussen, wenn Sie die Schwellenwerte für Überspannung (OV) und Unterspannung (UV) des Netzteilmonitors einstellen, um eine nahtlose Sequenzierung und Diagnose zu ermöglichen. Dies ist in Abbildung 2 zu sehen.
  • Wurden ausreichende Schutzmaßnahmen, beispielsweise Überspannungsschutz usw., oder andere Maßnahmen zur Verbesserung der elektromagnetischen Störfestigkeit getroffen? Wurde Schutzmaßnahmen wie OV/UV-Schutz wie beim MAX6399, Überspannungsschutz wie beim LTC4364, Verpolungsschutz, Rückstromschutz und Strombegrenzung berücksichtigt, wie in Abbildung 3 dargestellt.
  • Werden bewährte Komponenten gemäß ihren Spezifikationen mit ausreichender Leistungsreduzierung (Derating) verwendet, beispielsweise 67 % der Belastungsbedingungen?4 Eine ausreichendes Derating umfasst die Sicherstellung, dass Komponenten in ihrem sicheren Betriebsbereich arbeiten, sowie die Verwendung zusätzlicher Sicherheitsmargen, wie in Abbildung 4 dargestellt. So bietet beispielsweise ein für 125 Grad Celsius ausgelegtes Bauteil eine ausreichendes Derating, wenn es bei einer Umgebungstemperatur von 55 Grad Celsius und einer Anstiegstemperatur von 85 Grad Celsius betrieben wird.

Abbildung 4: Einsatz von Schutzvorrichtungen zur Verbesserung der elektromagnetischen Störfestigkeit.

  • Welche anderen systematischen Fehlerquellen müssen noch berücksichtigt werden?
  • Gegen-EMK (elektromotorische Gegenkraft), die Eingangskreise beschädigen kann7
  • Timing-/Impulsbreitenprobleme, die zu Kreuzleitung führen können
  • Heiße Stellen, die zu einem thermischen Durchgehen führen können, wie in Abbildung 5 dargestellt


Kontrolle zufälliger Hardwareausfälle

Um die Auswirkungen von zufälligen Hardwarefehlern auf die Leistung sicherheitsrelevanter Systeme zu analysieren und zu quantifizieren, wird ein Dokument zur Fehlermöglichkeits-, Einfluss- und Diagnoseanalyse (FMEDA) verwendet. Die Eingaben dieses Dokuments umfassen Ausfallrate, Anwendung und Informationen zum Hardware-Design. Die Ausgaben des Dokuments zeigen die Blockausfallmodi und -auswirkungen, die Ausfallraten λSD, λSU, λDD und λDU, die Diagnoseabdeckung für jeden Ausfallmodus sowie die SIL-Metriken. Diese sind in Abbildung 6 dargestellt.

Abbildung 6: Zusammensetzung des FMEDA-Dokuments.

Die Analyse eines Produkts mittels FMEDA umfasst weitere Anforderungen.

  • Die Analyse der Ausfallmodi von Komponenten, die zur Implementierung der Sicherheitsfunktion verwendet werden.
  • Einsatz zusätzlicher Sicherheitsmaßnahmen (Diagnosemaßnahmen)/integrierter Selbsttests (BISTs) gegen gefährliche, unentdeckte Ausfälle, um die SIL-Kennzahlen entsprechend zu verbessern.
  • Durchführung von Iterationen, bis die erforderlichen Kennzahlen für die sichere Ausfallquote (SFF) und die Wahrscheinlichkeit eines gefährlichen Ausfalls (PFH/PFDavg) erreicht sind.
  • Weitere Überlegungen betreffen die Verwendung von Komponenten, die den Anforderungen der funktionalen Sicherheit entsprechen9 und mehrere Vorteile bieten, oder die Verwendung von FS-fähigen Bauteilen von Analog Devices, die Sicherheitsanwendungshinweise10 enthalten, um Informationen zur Ausfallrate eines ICs, zur Ausfallmodusverteilung (FMD) und zur Pin-Ausfallmodus- und Auswirkungsanalyse (FMEA) anzuzeigen und so die System-FMEDA zu beschleunigen.


Schlussfolgerung

Zusammenfassend lässt sich sagen, dass die Grundlage für ein robustes und sicheres Stromversorgungsdesign ein strenger Ansatz für das Fehlermanagement gemäß IEC 61508 ist. Die Behandlung systematischer Fehler ist von größter Bedeutung. Diese deterministischen Fehler müssen durch proaktive Entscheidungen beim Design beseitigt werden, beispielsweise durch die Implementierung einer Spannungsüberwachung mit Zeitfenster, einem ausreichenden Derating der Komponenten sowie die Integration eines Überspannungsschutzes. Durch frühzeitige passive und aktive Maßnahmen im Entwicklungszyklus können Entwickler Risiken wie thermisches Durchgehen und Spannungsausfälle mindern und sicherstellen, dass das Stromversorgungssystem auch unter Belastung innerhalb seines definierten sicheren Betriebsbereichs bleibt.

Darüber hinaus muss das Design die Unvorhersehbarkeit zufälliger Hardwareausfälle berücksichtigen. Diese lassen sich zwar nicht allein durch das Design beseitigen, können jedoch durch die Quantifizierung der Risiken mittels FMEDA effektiv bewältigt werden. Durch die sorgfältige Analyse von Ausfallraten und die Einbeziehung von Diagnosefunktionen wie BISTs können Entwickler die Auswirkungen von Hardwareverschleiß kontrollieren, um stringente SIL-Anforderungen zu erfüllen. Letztendlich sorgt die Synergie zwischen der Beseitigung systematischer Schwachstellen und der Kontrolle zufälliger Hardwareausfälle dafür, dass die Stromversorgung nicht nur als Energiequelle, sondern auch als zuverlässige Grundlage für funktionale Sicherheitssysteme fungiert.

Über den Autor

Bryan Angelo Borres ist TÜV-zertifizierter Ingenieur für funktionale Sicherheit mit Schwerpunkt auf industrieller funktionaler Sicherheit. Als Senior Power Applications Engineer unterstützt er Komponentenentwickler und Systemintegratoren bei der Entwicklung funktional sicherer Stromversorgungsprodukte, die den industriellen Standards für funktionale Sicherheit wie beispielsweise IEC 61508 entsprechen. Bryan ist Mitglied des IEC National Committee der Philippinen für IEC TC65/SC65A und des IEEE Functional Safety Standards Committee. Er hat außerdem ein Postgraduierten-Diplom in Leistungselektronik und verfügt über mehr als sieben Jahre umfassende Erfahrung in der Entwicklung effizienter und robuster leistungselektronischer Systeme.


Autor



Bryan Angelo Borres, 
Senior Functional Safety Engineer 

Analog Devices, Inc.

Ex-Schutz & Anlagensicherheit

Ex-Schutz & Anlagensicherheit

  Impressum  -   AGB  -   Datenschutz