3. 船舶推进冗余等级与失效模式分析

冗余设计的目标不是“多装一台电机”，而是让系统在可预见的故障下仍能维持可接受的能力。要做到这一点，必须先回答两个问题：哪些故障会一次性削弱整套推进能力？削弱到什么程度时，系统还能跑、还能跑多远？本节围绕单点故障、共因故障与降级运行三类场景，建立冗余等级划分方法，并以双电机推进系统为例完成一次FMEA初步演练。

一、从故障后果反推冗余等级

冗余等级不应按设备数量划分，而应按“故障发生后系统剩余能力”划分。工程上常用三个判据：剩余推进功率比例、可维持航速、以及是否满足安全返港或脱险要求。以某内河客船双电机推进系统为教学示例（参数为合理假设）：单机额定功率400 kW，双机总额定800 kW，设计航速12 kn；单机满功率时航速约9.5 kn，单机70%功率时约8 kn。据此可把冗余划分为四级：

• R0 无冗余：任一关键故障即导致推进能力丧失，不允许用于主推进。
• R1 降级冗余：单点故障后剩余功率≥50%，可维持≥8 kn，能自主返港但需限速。
• R2 部分冗余：单点故障后剩余功率≥50%且关键辅助系统（冷却、励磁、控制电源）仍完整，可维持接近设计航速。
• R3 高冗余：在R2基础上，共因故障（如共用冷却回路、共用直流母线、共用控制网络）不会同时使两台电机失效。

划分的关键在于“故障边界”要画到共用资源为止。很多设计看似双机冗余，但两台变频器共用一套冷却水泵和一路24 V控制电源，实际只达到R1。因此冗余等级评定必须沿能量流、信号流和冷却流三条路径同时检查。

二、三类失效场景的区分

单点故障指某一独立部件失效即造成功能丧失，且无并联路径承接。双电机系统中，单台电机绕组短路、单台变频器IGBT击穿、单只螺旋桨缠网都属于单点故障，其后果通常是损失50%功率，落入R1降级运行。共因故障指同一诱因使多个“看似冗余”的通道同时失效，典型如共用冷却水泵停转导致两台变频器同时过温跳闸、单路24 V电源失电使两套控制器同时黑屏、共用CAN总线短路使双机失去遥控。共因故障是冗余设计中最隐蔽的杀手，它能把名义上的R2直接打回R0。降级运行不是故障本身，而是故障后的受控状态，需要明确剩余能力、允许航速、续航时间与返港策略。

三者的关系可以这样理解：单点故障决定“冗余够不够宽”，共因故障决定“冗余够不够独立”，降级运行决定“故障后还能不能安全收场”。冗余等级划分必须三者同时满足，缺一不可。

三、FMEA初步演练：以共用冷却回路为例

FMEA的核心是把“失效模式—原因—局部影响—系统影响—现有探测—严重度—建议措施”串成一条可核查的链。下面以“共用冷却回路海水泵停转”为演练对象，给出可直接填写的分析行（示例数据为教学假设，非实测）：

填写时有两个易错点。第一，严重度要按“系统级后果”打分，而不是按部件损坏程度打分：泵轴承卡死本身只是部件故障，但它导致双机同时失去推进，严重度应取9而非4。第二，探测手段必须能真正在故障扩大前给出信号，若只有“过温停机”而无“流量低报警”，则探测有效性不足，应在建议措施中补齐。

四、把分析结果落回冗余等级

完成上述FMEA后，可对每条高严重度项追问一句：该故障发生后，系统剩余能力对应哪一级？若答案是R1而设计目标是R3，则说明该共用资源必须拆分或增加独立备份。以本例为例，把冷却回路改为双泵自动切换、控制电源改为双路隔离、控制网络改为双环后，共因路径被切断，系统才真正达到R3。反之，若只在图纸上标注“双电机”，却保留单泵、单电源、单网络，则冗余等级只能评为R1，降级运行预案也必须按R1编写：限速8 kn、避开狭窄航道、优先返港，并明确单程续航时间。

本节的方法可直接迁移到后续测试环节：冗余等级决定了需要做哪些故障注入试验，FMEA中的高严重度项则决定了试验的优先级与判据。把等级、场景、措施三者对齐，双电机推进系统的冗余设计才具备可验证性。