2. DP系统架构与关键子系统分解

动力定位（DP）系统的FMEA不是从元器件清单开始的，而是从“系统边界”开始的。边界划不清，FMEA就会出现两种典型错误：一是漏项，把某个接口上的失效模式排除在分析范围之外；二是重复，同一个失效原因在多个子系统里被反复评估，导致风险被高估、措施被分散。因此本节的核心任务，是把DP系统分解为若干职责明确、接口清晰的子系统，并明确每个子系统的输入、输出以及与其他子系统的耦合关系，从而为后续的失效模式识别、严酷度与发生度评估提供一致的“分析坐标系”。

一、子系统划分的原则：按功能职责而非按设备位置

DP系统在物理上分布在驾驶台、机舱、推进器舱、配电间和船体各处，如果按“设备在哪里”来划分，很容易把同一功能链上的设备割裂开。更合理的做法是按功能职责划分，即每个子系统回答一个明确的问题：谁在决策？谁在感知？谁在执行？谁在供能？谁在提供位置基准？据此，DP系统通常划分为五个核心子系统：动力定位控制系统、传感器系统、参考系统、推进系统、电力系统。此外还有操作员接口、报警与安全系统、环境监测等辅助部分，在FMEA中可作为控制系统的组成部分或独立接口处理。

需要强调的是，传感器系统与参考系统在工程上常被混为一谈，但在FMEA中必须分开。传感器系统指陀螺罗经、风速风向仪、运动参考单元（MRU）等测量船体姿态与环境量的设备；参考系统指提供位置基准的设备，如DGPS、水声定位（HPR）、激光定位、张紧索系统等。二者失效机理、冗余方式和失效后果差异很大，分开分析才能准确评估位置丢失与艏向丢失的不同风险。

二、五个核心子系统的职责与关键接口

动力定位控制系统是决策核心，通常由DP控制器、操作面板、位置给定与推力分配算法组成。其输入是参考系统提供的位置与艏向、传感器提供的姿态与环境数据、操作员设定的目标位置；其输出是各推进器的推力指令（转速或螺距指令）以及推力分配结果。控制系统的关键接口是“向上”与操作员交互、“向下”向推进系统下发指令，因此其FMEA重点在于控制器冗余、推力分配算法失效、指令通道中断等。

参考系统提供船位与艏向基准，典型配置为两套DGPS加一套水声定位或激光定位，并配合张紧索系统作为备用。其输出是位置、艏向及其质量标识（如方差、状态字）。参考系统的接口特点是“多源输入、需一致性校验”，FMEA中要重点关注共因失效，例如两套DGPS共用同一根天线或同一路电源，表面冗余实际不独立。

传感器系统包括陀螺罗经、MRU、风速风向仪等，输出艏向、横摇纵摇、风速风向。它与参考系统的区别在于：传感器提供的是姿态与环境量，不直接给出绝对位置。其接口风险常出现在数据总线和串口分配上，例如多台设备共用同一串口服务器，单点故障会导致多路数据同时丢失。

推进系统包括艉部主推进器、艏侧推、全回转推进器等，接收控制系统指令并输出实际推力。其接口是“指令—反馈”闭环：控制系统下发指令，推进器反馈转速、螺距、舵角与运行状态。FMEA中需关注单台推进器失效、推进器反馈丢失、液压或变频单元故障等，并评估在推力分配约束下剩余推力是否仍满足船位保持能力。

电力系统为推进系统与控制系统供能，包括主发电机、配电板、变频驱动（VFD）、UPS等。其接口是功率流：发电机经配电板分配至各推进器变频单元，同时经UPS为控制系统与关键传感器供电。电力系统的FMEA重点是发电机与配电板的冗余、母线分段、UPS后备时间，以及“电力失效如何传导为推力丢失”这一跨子系统因果链。

三、接口关系：FMEA中最容易被低估的分析对象

从图中可以看出，五个子系统之间并非简单的串联，而是以控制系统为中心的多输入、单主输出结构，同时电力系统作为“底层支撑”横向贯穿所有子系统。这种结构决定了接口失效的三种典型形态。

第一种是数据接口失效。参考系统与传感器系统向控制系统提供数据，若数据总线、串口服务器或网络交换机故障，控制系统会同时失去多路输入。此时即使各设备本身正常，DP也可能因输入不足而降级或退出。FMEA中应把“数据链路”作为独立分析对象，明确其冗余路径是否真正独立。

第二种是指令接口失效。控制系统向推进系统下发推力指令，若指令通道中断或指令被错误解析，推进器可能保持上一指令、归零或满推力运行，后果差异极大。分析时要区分“指令丢失”与“指令错误”两种失效模式，前者偏保守停机，后者可能导致推力失衡。

第三种是能量接口失效。电力系统向推进系统供电、经UPS向控制系统和关键传感器供电。能量接口的特点是失效传播快、影响面广，且容易形成共因：若两套参考系统共用同一路UPS输出，则UPS故障会同时使两套参考系统失效，冗余名存实亡。因此FMEA中必须核查供电分配的独立性，而不仅是设备数量。

四、建立系统边界的实操方法

实际项目中，建议用一张“子系统—接口矩阵”来固化边界。矩阵的行是五个子系统，列是数据、指令、能量三类接口，单元格填写接口名称、冗余方式与共因风险点。例如“参考系统—控制系统”单元格填写“位置与艏向数据，双路串口，风险：共用串口服务器”；“电力系统—参考系统”单元格填写“UPS供电，风险：两套DGPS共用同一UPS输出”。这张矩阵既是FMEA的工作底稿，也是后续验证试验（如单点故障模拟）的测试清单来源。

还需要明确边界的“外沿”。船体、环境载荷、操作员本身不属于DP子系统，但会作为外部输入影响分析：环境载荷通过传感器进入系统，操作员通过操作面板进入系统。FMEA中应把这些外部输入作为假设条件写明，例如“假设操作员在报警后按规程响应”，否则失效后果的评估会失去基准。

完成上述分解后，每个子系统都有了明确的输入、输出与接口清单，FMEA团队便可以按子系统分工、按接口汇总，既不会漏掉跨系统的失效传播链，也不会在同一失效原因上重复评估。系统边界一旦确定，后续的失效模式识别、严酷度评定与验证试验设计就有了统一的分析基准。