4. 失效模式与影响分析
在冗余感知可靠性工程中，FMEA（失效模式与影响分析）与FMECA（失效模式、影响及危害性分析）是把“可能怎么坏”转化为“优先防什么”的核心方法。它并不追求一次性穷举所有故障，而是通过结构化推理，把组件级失效模式、传播路径、系统级影响与检测手段串成可验证的证据链。对冗余系统而言，FMEA尤其重要：冗余可能掩盖单点失效，也可能因共因失效而整体退化，因此必须同时分析“独立失效”和“相关失效”。
一、失效模式分类：先定义“坏”的形态
失效模式是部件或功能偏离规定状态的具体表现形式。分类的目的不是贴标签，而是决定后续分析粒度、检测策略与冗余配置。工程上常按以下维度划分：
- 按时间特性：突发失效（如短路、断裂）与渐变失效（如漂移、磨损、老化）。突发失效适合用冗余切换与快速隔离，渐变失效更适合趋势监测与预测性维护。
- 按可观测性：显性失效（可被自检或人工立即发现）与隐性失效（潜伏至下一次任务或测试才暴露）。隐性失效是冗余系统最危险的来源，因为备用通道可能早已失效。
- 按范围：局部失效、功能失效、接口失效、共因失效。共因失效指同一外部应力或设计缺陷同时影响多个冗余通道，如共用电源、共用时钟、同一软件缺陷。
- 按严重度：从无影响、轻微降级、任务中断到安全危害，通常与FMECA的严重度等级S对应。
二、FMEA/FMECA方法流程：从功能到证据
FMEA通常以“功能—部件—失效模式—原因—影响—检测—措施”为主线。FMECA在此基础上增加危害性分析，即对严重度与发生概率进行量化排序。一个可落地的流程如下：
- 界定分析边界：明确系统、子系统、接口与任务剖面，避免把外部环境全部纳入或遗漏关键接口。
- 建立功能框图与冗余结构：标出串联、并联、表决、冷备/热备关系，识别单点失效与共因路径。
- 识别失效模式与原因：对每个部件列出至少一种失效模式，并追溯到设计、制造、环境、软件或人为原因。
- 分析局部影响与系统影响：局部影响描述部件自身功能丧失，系统影响描述对任务、安全、冗余降级的影响。
- 评估检测与补偿：记录现有自检、交叉校验、看门狗、人工巡检等检测手段，以及冗余切换、降级运行等补偿措施。
- 计算风险并排序：用RPN或危害性矩阵确定优先改进项，形成闭环措施与验证证据。
在冗余感知场景中，FMEA表应额外增加“冗余通道状态”和“共因暴露”两列。例如，双通道传感器中，若两通道共用同一供电，则供电失效应标记为共因失效，其严重度不能按单通道失效计算。
三、失效传播路径与影响评估：把“坏”追到系统边界
失效传播路径描述失效从起因到最终影响的传递链。常见路径包括：部件内部物理退化 → 接口信号异常 → 控制器误判 → 执行器误动作 → 任务失败；或隐性失效 → 冗余切换失败 → 系统降级 → 安全边界被突破。影响评估需要回答三个问题：影响是否可逆？是否影响安全？是否影响任务完成？
评估时建议采用“三层影响”模型：局部层（部件功能）、通道层（冗余支路）、系统层（任务与安全）。每一层都要标注检测点与可观测信号，否则影响评估只是猜测。对于共因失效，应单独绘制传播路径，检查是否存在共享电源、共享时钟、共享散热、共享软件模块或共享维护操作。
四、案例与场景：双通道温度传感器的FMEA
某冗余感知系统采用双通道温度传感器进行表决。若只做单通道FMEA，会得到“单通道漂移→表决降级→可接受”的结论。但加入共因分析后，发现两通道共用同一LDO供电。LDO电压跌落时，两通道同时输出异常，表决器可能误判为“一致有效”，导致系统输出错误温度。此时影响评估必须从“通道层”上升到“系统层”，并标记为安全相关失效。
改进措施包括：为两通道配置独立LDO与独立参考地；增加电源电压监测作为第三路独立信号；在表决逻辑中加入“变化率一致性”检查，防止共因漂移被误判为正常。验证时需注入电压跌落、参考地偏移和单通道漂移三类故障，确认检测覆盖率与切换时间满足要求。
五、常见误区与复盘
误区1：只分析硬件，忽略软件与接口。软件死循环、通信超时、协议解析错误同样会传播为系统失效，应纳入FMEA范围。
误区2：把冗余当作绝对安全。冗余只对独立失效有效，对共因失效可能无效甚至放大风险。必须单独列出共因路径。
误区3：RPN阈值一刀切。不同任务阶段、不同安全等级对S、O、D的权重不同，应结合危害性矩阵而非单一数值决策。
误区4：措施没有验证证据。FMEA的闭环不是“已增加冗余”，而是“已通过故障注入证明检测与切换有效”。
复盘时建议检查三件事：失效模式是否覆盖了显性、隐性与共因三类；传播路径是否标注了可观测检测点；影响评估是否区分了任务影响与安全影响。只有把这三件事做成可追溯的证据链，FMEA/FMECA才能真正支撑冗余感知系统的可靠性设计与失效验证。