3. 失效与故障概念
在无人机失效保护与Failsafe验证中，最容易被混用的词就是“失效”“故障”“错误”。很多工程讨论之所以争论不休，往往不是技术方案有分歧，而是术语没有对齐。例如飞控日志里出现“IMU故障”，它究竟指传感器硬件坏了、数据漂移了，还是软件判断逻辑触发了保护？如果概念边界不清，后续的失效模式分析、可靠性指标计算和Failsafe验证都会失去共同语言。因此，本节先把这组基础术语放在同一张关系图上辨析清楚。
核心结论：失效（Failure）是“功能终止”的结果；故障（Fault）是“可能导致失效的异常状态或缺陷”；错误（Error）是“系统内部状态与期望值之间的偏差”。失效模式描述“怎么坏”，失效影响描述“坏了以后会怎样”，失效概率与可靠性则从统计角度回答“多久坏一次、能撑多久”。
一、从缺陷到后果：四个术语的因果链
可以把它们理解为一条从“潜在原因”到“可观测后果”的链条。以无人机电调为例：某批次MOSFET焊接存在虚焊，这是制造缺陷，属于故障；电机电流采样出现异常波动，飞控内部状态与期望不一致，这是错误；当虚焊在振动下彻底断开，电调无法驱动电机，这是失效；而“电调输出开路”就是该失效的失效模式；由此导致无人机失去一个动力轴、姿态失控，则是失效影响。
这条链并非总是线性发生。故障可能长期潜伏而不引发错误，错误也可能被冗余机制纠正而不发展为失效。Failsafe设计的价值，正是在链条的早期环节进行检测、隔离或降级，避免“故障→错误→失效→事故”一路传导。
二、失效模式与失效影响：FMEA 的两列核心
失效模式（Failure Mode）回答“元件或功能以什么方式失去规定功能”。同一部件可以有多种失效模式，例如电池的失效模式包括容量骤降、内阻升高、输出断路、热失控等。失效影响（Failure Effect）回答“该模式对上一层系统造成什么后果”，需要区分局部影响、上层影响和最终影响。
在无人机FMEA表中，通常按“部件→功能→失效模式→失效原因→局部影响→系统影响→严重度→检测方法→补偿措施”组织。严重度（Severity）评估后果有多严重，发生度（Occurrence）评估失效概率高低，检测度（Detection）评估能否在飞行前或飞行中及时发现。三者共同决定风险优先数，指导Failsafe策略的优先级。
| 术语 | 英文 | 回答的问题 | 无人机示例 |
|---|---|---|---|
| 故障 | Fault | 哪里存在异常隐患？ | GPS天线馈线接头松动 |
| 错误 | Error | 内部状态偏了多少？ | 位置估计与惯导积分偏差增大 |
| 失效 | Failure | 什么功能终止了？ | GPS无法输出有效定位 |
| 失效模式 | Failure Mode | 怎么坏的？ | 信号丢失、跳变、固定值输出 |
| 失效影响 | Failure Effect | 坏了会怎样？ | 返航漂移、悬停画圈、失控 |
| 失效概率 | Failure Probability | 多久坏一次？ | λ=1×10⁻⁵ /h，MTBF=100000h |
| 可靠性 | Reliability | 规定条件下能撑多久？ | R(10h)=0.9999 |
三、失效概率与可靠性：从“定性”走向“定量”
失效概率通常用失效率λ表示，单位是“次/小时”或FIT（1 FIT = 10⁻⁹次/小时）。若失效率近似恒定，则可靠度 R(t)=e^(−λt)，平均无故障时间 MTBF=1/λ。例如某飞控IMU的λ=2×10⁻⁵/h，则MTBF为50000小时，单次10小时任务的可靠度约为0.9998。这个数字看起来很高，但若无人机有20个关键部件串联，系统可靠度会迅速下降，这正是余度设计和Failsafe存在的统计依据。
# 串联系统可靠度快速估算
R_system = R1 × R2 × ... × Rn
# 例：飞控0.9998 × 电调0.9995 × 电机0.9997 × 电池0.9990
# R_system ≈ 0.9980，即约每500次任务出现1次失效
# 失效率与MTBF
MTBF = 1 / λ
λ = FIT × 1e-9 # 1 FIT = 1e-9 /h辨析要点：“故障”强调原因和状态，“失效”强调功能结果，“错误”强调信息偏差。可靠性是概率语言，Failsafe是工程对策。可靠性回答“会不会坏”，Failsafe回答“坏了怎么办”。两者不能互相替代。
四、案例与常见误区
某物流无人机在航线中突然触发返航，事后检查发现空速管进水导致空速读数冻结。按术语拆解：空速管进水是故障；空速与地速、姿态推算不一致是错误；空速信号冻结、无法反映真实速度是失效；其失效模式为“固定值输出”；失效影响是飞控误判失速风险并触发返航；若该型空速管失效率为5×10⁻⁵/h，则属于失效概率问题；而飞控在检测到空速异常后仍能安全返航，体现的是系统可靠性与Failsafe策略的共同作用。
常见误区：①把“故障”和“失效”当同义词，导致FMEA中原因和后果混写；②只写失效模式不写失效影响，无法评估严重度；③把可靠性高等同于安全，忽略单点失效和共因失效；④用“概率低”作为不设计Failsafe的理由，忽视后果严重度。正确做法是：先分清术语层级，再分别做定性与定量分析，最后用Failsafe验证闭环。
掌握这组术语后，后续的FTA故障树、FMEA分析、余度管理和Failsafe触发逻辑才有统一的语义基础。术语清晰，验证才可复现；边界明确，保护才可度量。