4. 故障模式与影响分析
冗余管理与故障切换能否真正生效，前提是先把“故障从哪来、长什么样、会往哪里传”分析清楚。故障模式与影响分析（FMEA）在星载计算机上不是一张纸面表格，而是决定冗余粒度、表决策略、切换阈值和恢复动作的输入。若把单粒子翻转当成永久损坏去处理，会浪费宝贵的复位与重构机会；若把共因故障当成独立故障去投票，三模冗余会在同一时刻一起失效。本节围绕常见故障源、单粒子效应、永久与瞬态故障、共因故障以及故障传播路径展开，并给出可落地的分析组织方式。
一、星载计算机的常见故障源
星载计算机工作在辐射、真空、大温差和长时无人维护的环境中，故障源可归为五类。第一类是空间辐射：高能质子、重离子和俘获电子穿过器件时沉积电荷，引发单粒子效应，长期累积还会造成总剂量效应和位移损伤。第二类是环境应力：−40 ℃～+85 ℃的循环温度使焊点、BGA 球栅和键合线反复热胀冷缩，最终出现疲劳开裂；真空环境下无法靠对流散热，局部热点会加速器件退化。第三类是电源与供电异常：母线瞬态跌落、浪涌、二次电源纹波超标，会让 CPU 内核欠压复位或存储器写入错误。第四类是设计与工艺缺陷：时序余量不足、跨时钟域同步不当、FPGA 配置存储器对辐射敏感、闩锁敏感区未做限流保护。第五类是软件与接口故障：任务死锁、堆栈溢出、看门狗误触发、总线协议违例、EDAC 纠错能力被突发多位错误击穿。
做 FMEA 时，对每个故障源要记录三件事：发生概率的量级、被探测的难易、以及一旦发生对整机功能的影响等级。例如“SRAM 单位翻转”发生率高但可被 EDAC 纠正，影响等级低；“CPU 闩锁导致供电轨短路”发生概率低，但若限流保护失效，影响等级为灾难性。这种“概率×可探测性×影响”的组合，才是后续冗余资源分配的真正依据。
二、单粒子效应：瞬态故障的主要来源
单粒子效应（SEE）是单个高能粒子穿过敏感节点时电离产生电子—空穴对，被电路收集后改变节点逻辑状态的现象。按后果可分为几类：单粒子翻转（SEU）改变存储单元或触发器的值，属于可恢复的软错误；单粒子瞬态（SET）在组合逻辑中产生窄脉冲，若被下游触发器在时钟沿采到就变成 SEU；单粒子功能中断（SEFI）使器件进入非预期状态，如状态机跑飞、锁相环失锁；单粒子闩锁（SEL）在 CMOS 结构中形成可控硅通路，导致大电流，必须断电才能解除；单粒子烧毁（SEB）和栅穿（SEGR）则直接造成永久损坏。
以某星载计算机的 SRAM 型 FPGA 为例，配置存储器对 SEU 尤其敏感。假设在轨实测翻转率约为 2×10⁻⁵ 次/比特/天，配置区共 4 Mbit，则平均每天约 80 次配置位翻转。若不做刷新，这些翻转会逐渐改变布线连接和查找表内容，最终导致功能错误。工程上通常采用三模冗余加配置存储器定时刷新：把关键寄存器做 TMR 表决，同时以 10 ms 周期回读并纠正配置帧。这里的判断依据是：刷新周期必须远小于“累积到足以改变功能所需的翻转数”的时间，同时刷新本身不能引入过大的总线占用。
三、永久故障与瞬态故障的区分与处理
瞬态故障的特点是“发生—影响—可恢复”，器件本身没有损坏，复位、重写或刷新后即可恢复正常。永久故障则是物理结构不可逆改变，如 SEL 未及时断电导致金属化熔断、焊点开裂、栅氧击穿。间歇故障介于两者之间：焊点微裂纹在温度变化时通断不定，表现为时好时坏，最容易被误判为瞬态故障而反复复位。
区分方法不能只看“复位后是否恢复”，因为永久故障也可能在复位后短暂正常。工程上采用“故障计数器+时间窗”策略：同一位置在 10 分钟内连续出现 3 次以上同类错误，且 EDAC 纠正后仍反复，则判定为疑似永久故障，将该副本隔离并切换到备份。以某型号星载计算机的实测数据为例，在轨 3 年共记录 1247 次 SEU，其中 1243 次经 EDAC 纠正后未再复现，4 次在同一地址反复出现，最终确认为存储单元永久损伤。这个比例说明：绝大多数是瞬态故障，但必须保留识别永久故障的机制。
四、共因故障：冗余设计的真正对手
共因故障指一个共同原因导致多个本应独立的冗余副本同时失效。星载计算机中典型的共因源包括：同一电源母线为三个 CPU 供电，母线跌落使三机同时复位；同一时钟源经不同缓冲器分发，时钟源失效使三机同时停摆；同一辐射事件同时击中三个相邻芯片的敏感区；同一版软件中的同一缺陷在三机中同时触发。共因故障的可怕之处在于它直接绕过表决机制——三模冗余假设“最多一机出错”，若三机同时出错，表决器输出错误结果且无法察觉。
应对共因故障的核心思路是“物理与逻辑双重隔离”。物理上，三个副本应使用独立电源、独立时钟、独立布线和足够的芯片间距；逻辑上，采用异构冗余，例如一机用 PowerPC、一机用 SPARC、一机用 FPGA 软核，避免同一指令集或同一编译器缺陷同时发作。此外，表决器本身也要有自检能力，当三机输出完全一致但与该任务的历史行为模型不符时，应触发安全模式而非盲目信任。
五、故障传播路径与 FMEA 分析组织
故障传播路径描述错误从源头到最终影响的链路。以“SRAM 配置位翻转”为例，传播链为：粒子击中配置存储单元 → 配置位翻转 → 查找表逻辑功能改变 → 组合逻辑输出错误 → 下游触发器在时钟沿采样 → 状态机进入非法状态 → 控制输出异常 → 执行机构误动作。链路上每个节点都是可插入检测或阻断措施的位置：配置区可用回读刷新阻断，触发器可用 TMR 表决阻断，状态机可用非法状态检测阻断，输出端可用限幅或互锁阻断。
组织 FMEA 时，建议按“故障源—故障模式—局部影响—传播路径—最终影响—检测手段—对策—残余风险”八列展开。对每个故障模式，先判断它是瞬态还是永久，再判断是否存在共因可能，最后确定检测点和阻断点。例如“看门狗误触发”这一模式，局部影响是 CPU 复位，传播路径是复位信号拉低导致任务中断，最终影响是短时功能丢失；检测手段是复位计数器，对策是双看门狗互检加复位原因记录，残余风险是复位期间若恰好发生关键指令丢失。只有把残余风险也写清楚，FMEA 才真正闭环。
综上，星载计算机的故障分析要同时回答四个问题：故障从哪来、是什么类型、会沿什么路径传播、用什么手段在哪个节点阻断。单粒子效应提供了瞬态故障的主要来源，永久故障需要靠故障计数与隔离策略识别，共因故障要求物理与逻辑双重隔离，而故障传播路径则决定了检测点和阻断点的布置。把这四者写进 FMEA，冗余管理与故障切换才有可靠的依据。