4. 可靠性建模与指标分配

星载计算机的可靠性论证不能停留在“选用高等级器件”这样的定性判断上。要回答“整机十年寿命末期的可靠度是多少”“哪个模块是短板”“指标如何分解到各板卡”这类问题，必须建立可计算的模型。本节围绕三类主流建模方法——可靠性框图（RBD）、故障树分析（FTA）与马尔可夫模型——说明它们各自回答什么问题、如何建立、如何求解，并给出星载计算机可靠性指标分配与预计的工程做法。

一、可靠性框图：串并联结构与系统可靠度

可靠性框图把系统按功能失效逻辑拆成方块的串并联组合。串联表示“任一失效则系统失效”，并联（冗余）表示“全部失效才系统失效”。设各单元可靠度为 R_i，则：

• 串联：R_s = ∏R_i，单元越多、单点越多，系统可靠度下降越快；
• 并联（热备）：R_s = 1 − ∏(1 − R_i)，两单元各 0.9 时系统为 0.99；
• 表决（k/n）：如三模冗余 TMR，R_s = R³ + 3R²(1−R)，R=0.9 时为 0.972。

以某星载计算机为例：电源模块采用双路并联，CPU 采用 TMR 表决，存储器采用带 EDAC 的单模块（视为串联单元），总线接口为串联。若取十年末各单元可靠度：电源单路 0.95、CPU 单机 0.92、存储器 0.90、总线接口 0.93，则电源并联后为 1−(0.05)²=0.9975，CPU 表决后为 0.92³+3×0.92²×0.08≈0.9816，整机串联可靠度约为 0.9975×0.9816×0.90×0.93≈0.820。可见存储器与总线接口是主要短板，这正是 RBD 的价值：快速定位薄弱环节。

二、故障树分析：从顶事件向下追溯

RBD 是“自下而上”的可靠度合成，故障树则是“自上而下”的失效溯源。以“星载计算机输出错误指令”为顶事件，向下用与门、或门展开：或门表示任一底事件发生即导致上层事件，与门表示全部底事件同时发生才导致上层事件。典型底事件包括单粒子翻转导致寄存器错误、EDAC 未纠正的双比特错误、看门狗未及时复位、时钟失锁等。

故障树的关键产物是最小割集。若某最小割集只含一个底事件，说明存在单点失效，必须通过冗余或监控消除。例如“看门狗失效”若单独构成割集，则无论 CPU 冗余多少度，系统仍可能因看门狗单点而失效。工程上常把故障树与 FMEA 联合使用：FMEA 自下而上列出失效模式与影响，故障树自上而下验证顶事件是否被充分覆盖，两者互为补充。

三、马尔可夫模型：刻画可修复与状态转移

当系统存在维修、切换、降级等动态行为时，RBD 与故障树难以表达“故障后修复再投入”的过程，此时用马尔可夫模型。设系统状态为正常、单机故障、双机故障等，用状态转移率 λ（失效率）和 μ（修复率）建立微分方程组，求解各状态概率。以双机热备可修复系统为例，状态 0 为双机正常，状态 1 为单机工作，状态 2 为双机失效。稳态可用度可近似为 A ≈ (μ² + 2λμ)/(μ² + 2λμ + λ²)，当 μ≫λ 时可用度接近 1。星载计算机若不可维修，则 μ=0，模型退化为纯可靠性计算，此时更关注任务时间内的瞬时可靠度而非稳态可用度。

四、指标分配：把整机要求分解到单元

指标分配是“自上而下”的过程。设整机十年可靠度要求 R_sys≥0.85，常用三种方法：

1. 等分配法：假设各单元同等重要，n 个串联单元各分得 R_i=R_sys^1/n。若 n=4，则每个单元需达 0.85^0.25≈0.960，对存储器偏严。
2. 加权分配法：按复杂度、技术成熟度、失效影响赋予权重 w_i，使 Σw_i=1，单元分配值为 R_i=R_sys^w_i。复杂度高、成熟度低的单元权重小，分配值更宽松，避免不可实现。
3. AGREE 分配法：考虑单元重要度与失效影响，适用于有冗余的系统，分配结果与 RBD 结构直接对应。

分配完成后必须做“可实现性检查”：若某单元分配值高于当前器件水平可达到的可靠度，则需调整架构（增加冗余、降额、选用更高等级器件）或重新分配权重。

五、可靠性预计：自下而上核算

预计是分配的反过程。星载计算机常用元器件计数法：查 GJB/Z 299 或类似手册得到各类器件的失效率 λ_G，乘以质量系数 π_Q、环境系数 π_E、温度系数 π_T 等修正因子，得到工作失效率 λ_p=λ_G·π_Q·π_E·π_T。整机失效率为各单元失效率之和，可靠度按 R(t)=e^−λt 计算。

例如某板卡含 120 个器件，加权后总失效率 λ=1.2×10⁻⁵/h，则十年（87600h）可靠度 R=e^{−1.2×10⁻⁵×87600}≈e^−1.051≈0.35。若整机要求 0.85，显然不满足，必须通过冗余或降额把 λ 降到约 1.8×10⁻⁶/h 量级。预计结果与分配值比对，若预计值低于分配值，说明设计有余量；反之则需迭代改进。

综上，可靠性建模与指标分配的核心逻辑是：用 RBD 建立结构模型并定位薄弱环节，用 FTA 排查单点失效，用马尔可夫处理动态与可修复场景；分配自上而下分解指标，预计自下而上核算能力，两者迭代收敛，最终使星载计算机在给定任务剖面下满足可靠度要求。