2. 水下机器人系统边界划分与故障树范围界定
为什么边界划分决定故障树的质量
故障树分析最怕的不是“漏掉一个基本事件”，而是边界不清导致范围蔓延：把母船供电、操作员误操作、海况、甚至岸基维护流程都塞进同一棵树，结果树越画越大、逻辑门越接越乱，最后无法判断某个底事件到底该由谁负责。系统边界划分的任务，就是在建模前用一张“范围契约”明确：哪些硬件/软件属于本船、哪些接口只作为外部输入、哪些共因因素必须显式建模。
本例以一台典型的缆控观察型 ROV（额定深度 300 m，6 推进器矢量布置，带机械臂与成像声呐）为对象，按能源、推进、导航、控制、通信、负载六大子系统划定边界，并给出接口与共因因素的纳入/排除判据。
六大子系统的边界清单
边界划分的可操作做法是：对每个子系统列出“属于本系统”的部件，再列出“跨边界接口”，最后标注接口的故障归属（计入本树 / 作为外部条件 / 作为共因因素）。下表为示例对象的边界清单，参数为教学设定值。
| 子系统 | 纳入本树的部件（示例） | 跨边界接口 | 接口故障归属 |
|---|---|---|---|
| 能源 | 锂电池组 48 V/30 Ah、BMS、主接触器、DC-DC 24 V/12 V、配电板、保险丝 | 脐带缆供电（若外供电）、充电接口 | 脐带缆供电中断→外部条件；充电接口→排除 |
| 推进 | 6×无刷推进器、ESC 驱动器、螺旋桨、磁耦合密封 | 推进器安装座、水密接头 | 安装座结构失效→纳入；水密接头→纳入 |
| 导航 | IMU、深度计、DVL、罗经、高度计 | DVL 底跟踪丢失（环境） | 传感器故障→纳入；底质导致丢失→共因/外部条件 |
| 控制 | 主控计算机、运动控制板、深度/艏向 PID、故障保护逻辑 | 上位机操纵指令 | 控制软件失效→纳入；操纵失误→排除（另案人为因素） |
| 通信 | 脐带缆、光纤转换器、水面控制单元、水声备用链路 | 母船供电与绞车 | 缆体/转换器→纳入；母船电源→外部条件 |
| 负载 | 机械臂、成像声呐、照明、云台 | 负载对主电源的功率冲击 | 负载本体故障→纳入；功率冲击→共因因素 |
边界、接口与共因因素的关系图
下图把“船内六子系统—跨边界接口—树外对象”三层关系画在一起，并标出三类共因因素（供电母线、水密失效、软件公共模块）如何同时影响多个子系统。这正是仅靠文字难以快速看清的部分：共因因素不是某个子系统的部件，却必须作为独立分支进入故障树。
纳入与排除的判定规则
为避免“凭感觉划边界”，把判定写成可复核的规则，逐条对接口打勾：
- 物理归属规则：部件是否安装在本体或脐带缆上、由本船电源供电？是→纳入；否→列为外部条件。
- 任务期规则：故障是否可能发生在定深巡航任务窗口内？岸基维护、备件短缺→排除。
- 可控性规则：本船设计能否通过冗余、保护或降级来缓解？能→纳入并允许建冗余门；不能（如海况）→作为外部输入条件。
- 共因识别规则：同一因素是否可能同时使两个及以上子系统失效？是→必须单列为共因分支，不得分散到各子系统子树中重复计数。
共因因素最容易出错：若把“48 V 母线短路”分别写进能源、推进、通信三棵子树，会重复计算同一失效，导致顶事件概率被高估。正确做法是建一个共因门，与各子系统子树做“或”组合。
边界声明的交付形式
把上述结论固化成一段可引用的边界声明，作为后续层级分解的输入约束（示例值，可按实际艇型替换）：
系统：观察型ROV，额定深度300 m，6推进器矢量布置
顶事件：定深巡航任务失败（偏离设定深度±5 m 且无法在30 s内恢复）
分析范围：能源、推进、导航、控制、通信、负载六子系统本体及脐带缆
外部条件（不计入树，仅作输入）：
- 母船供电中断、绞车故障
- 海况≥4级、底质导致DVL丢失
- 操作员操纵失误（另案人为因素分析）
排除项：岸基维护、备件供应、运输损伤
共因因素（单列分支）：
CC-1 48V母线过压/欠压/短路
CC-2 壳体与接头水密失效
CC-3 主控公共软件（调度、看门狗）失效
接口归属：水密接头→纳入推进/通信子树；安装座结构→纳入推进子树结果如何验证边界是否合理
边界不是写完就结束，需做三项自检：其一，覆盖性检查——六大子系统是否都有至少一个中间事件入口，无遗漏；其二，无重叠检查——同一部件或同一共因是否只出现在一处；其三，可追溯检查——每个底事件都能回答“它属于哪个子系统、由谁负责修复”。三项通过后，边界声明即可冻结，进入下一阶段的层级分解。