3. 故障与失效基本概念
在机器人故障诊断与安全降级工程中，最容易混淆的一组术语是缺陷、故障、错误、失效。它们并不是同义词，而是描述“问题从潜伏到暴露、从内部到外部”的不同阶段。若团队在需求评审、测试报告和现场排障中使用同一套模糊说法，就会出现“同一个现象被记录成三种问题”“责任边界无法划分”“降级策略触发条件不一致”等后果。因此，本节先建立一套可操作的术语坐标系，再引出故障模式与影响分析（FMEA）的基础方法。
一、四个概念的本质区别
可以用“因果链”来理解四者：缺陷是静态的、潜伏的根源；故障是系统内部状态偏离预期；错误是故障在信息或计算层面的表现；失效是系统对外服务能力的丧失或降级。它们之间存在传播关系，但并非一一对应：一个缺陷可能长期不触发故障；一个故障可能被容错机制掩盖而不产生失效；一个失效也可能由多个故障叠加导致。
- 缺陷（Defect/Fault latent）：设计、制造、装配或软件实现中存在的非预期偏差，例如焊缝虚焊、参数标定错误、状态机缺少互斥保护。缺陷在未被激活前通常不可观测。
- 故障（Fault）：系统内部某部件或功能的状态偏离规定条件，例如编码器信号跳变、CAN 总线丢帧、关节温度超限。故障是“内部异常状态”，可能被检测到，也可能未被检测到。
- 错误（Error）：故障导致的信息、数据或计算结果不正确，例如位置估计值漂移、力矩指令符号反相、地图栅格被污染。错误是故障在“信息域”的体现。
- 失效（Failure）：系统或子系统在规定条件下无法完成规定功能，例如机器人无法保持站立、无法在指定时间内到达目标点、安全回路无法切断动力。失效是“对外可观测的功能丧失”。
记忆口诀：缺陷是“埋着的雷”，故障是“雷管发热”，错误是“引信传错信号”，失效是“炸了、功能没了”。诊断工程要做的，是在“雷管发热”阶段就识别并降级，而不是等到“炸了”才处理。
二、从缺陷到失效的传播路径
下面这张图展示了四类概念在机器人系统中的典型传播关系。注意图中同时存在检测点与容错屏障：故障可能被监控器发现并触发降级，也可能绕过屏障演化为错误，最终导致失效。理解这条链路，是后续设计诊断策略和降级等级的基础。
三、故障模式与影响分析（FMEA）基础
FMEA 是一种自下而上、结构化的风险分析方法：先枚举每个部件或功能的故障模式，再分析其局部影响、系统影响和最终后果，最后给出严重度（S）、发生度（O）、探测度（D）评分，计算风险优先数 RPN = S × O × D，并据此确定改进优先级。对机器人而言，FMEA 的价值在于把“可能怎么坏”提前写清楚，从而指导诊断点布置和降级策略设计。
实施 FMEA 通常遵循以下流程：
- 定义分析范围：明确系统边界，例如“移动底盘 + 机械臂 + 安全控制器”，并画出功能框图。
- 识别功能与故障模式：对每个功能问“它可能以什么方式失效？”例如“关节制动器”的故障模式包括“无法释放”“无法抱闸”“抱闸力不足”。
- 分析影响：区分局部影响（该部件）、系统影响（整机）和最终后果（人员伤害、任务失败、设备损坏）。
- 评分与排序：按 S/O/D 打分，计算 RPN，筛选高优先级项。
- 制定措施：设计改进、增加检测、设置降级策略，并指定责任人与验证方式。
提示：FMEA 不是一次性文档。机器人完成软硬件迭代、更换传感器型号或修改控制参数后，都应重新评估相关故障模式的 S/O/D 评分，否则风险排序会迅速失真。
四、案例：关节制动器故障的 FMEA 片段
下表给出一个简化的机器人关节制动器 FMEA 片段，用于说明如何把故障模式、影响、评分和降级措施对应起来。表中 RPN 越高，越需要优先处理。
| 功能 | 故障模式 | 局部影响 | 系统影响 | S | O | D | RPN | 降级/改进措施 |
|---|---|---|---|---|---|---|---|---|
| 关节制动 | 无法抱闸 | 关节自由转动 | 机械臂下垂、碰撞风险 | 9 | 3 | 4 | 108 | 增加抱闸电流检测；触发安全停机并锁定其他关节 |
| 关节制动 | 无法释放 | 关节被锁死 | 任务中断、电机过流 | 6 | 4 | 3 | 72 | 监测释放电流与位置偏差；降级为单关节禁用 |
| 关节制动 | 抱闸力不足 | 保持力矩下降 | 低速漂移、定位超差 | 7 | 5 | 5 | 175 | 增加力矩残差监控；限速运行并提示维护 |
五、常见误区与复盘要点
- 把失效当故障记录：现场报告写“机器人失效了”，但未说明是哪个部件、哪种状态偏离，导致无法定位根因。应记录“故障现象 + 错误数据 + 失效表现”三层信息。
- 忽略缺陷的潜伏性：只在故障发生后改代码，而不回溯设计缺陷，同类问题会在不同机型重复出现。
- FMEA 评分拍脑袋：S/O/D 没有依据历史数据、试验数据或行业标准，导致高风险项被低估。
- 降级策略与故障等级不匹配：轻微错误直接触发急停，或严重故障仅记录日志，都会破坏安全性与可用性的平衡。
注意：在安全降级设计中，必须明确“故障→错误→失效”的判定阈值和响应时间。例如，当位置残差超过阈值并持续 200 ms，应判定为故障；若连续 3 个周期仍无法恢复，则升级为错误并触发降级；若降级后仍无法维持安全状态，才进入失效处理流程。
掌握缺陷、故障、错误、失效的区别，并借助 FMEA 把故障模式、影响和降级措施结构化，是后续诊断算法设计、安全等级划分和现场排障的共同语言。只有术语一致、链路清晰，机器人的安全降级才能真正做到“早发现、可隔离、能恢复、有兜底”。