2. 星务计算机的故障模式与影响分析

星务计算机（On-Board Computer, OBC）是卫星平台的"大脑"，承担遥测采集、姿态控制指令分发、任务调度、星地通信管理等核心职能。一旦发生故障，轻则任务降级，重则整星失效。因此，在设计与验证阶段就必须系统性地识别"可能怎么坏、坏了会怎样、如何被察觉"，这正是故障模式与影响分析（FMEA）要解决的问题。本节围绕常见故障类型、故障模式分类、FMEA方法以及故障传播机制四个层面展开。

一、常见故障类型：硬件、软件与环境

星务计算机的故障来源可归为三大类，它们在触发机理、可观测性和处置手段上差异明显。

硬件故障主要来自元器件老化、单粒子效应（SEE）、热循环应力和焊点/连接器失效。典型对象包括：CPU内核、SRAM/Flash存储器、看门狗电路、电源模块、1553B或CAN总线收发器、晶振。例如，单粒子翻转（SEU）会使SRAM中某一比特由0翻转为1，若该比特位于程序计数器或关键标志位，可能引发指令跳飞；单粒子锁定（SEL）则可能导致CMOS器件大电流闭锁，必须靠断电重启恢复。

软件故障通常表现为任务死循环、堆栈溢出、内存越界、优先级反转、时序超限和通信协议解析错误。软件故障往往具有"可复现但难定位"的特点，例如某周期任务因等待一个永不释放的信号量而阻塞，导致看门狗超时复位，但复位后又能正常运行，形成间歇性故障。

环境故障指由空间环境或平台环境诱发的故障，包括高能粒子辐射、极端温度、真空冷焊、振动冲击以及电磁干扰（EMI）。环境因素常常是硬件与软件故障的"催化剂"，例如温度骤变导致晶振频偏，进而使串口通信误码率上升。

二、故障模式分类

从工程处置角度，星务计算机的故障模式可按"表现形态"和"持续时间"两个维度分类。

• 按表现形态：永久性故障（如器件击穿）、间歇性故障（如虚焊、接触不良）、瞬态故障（如SEU、电源毛刺）。
• 按持续时间：瞬时故障（微秒至毫秒级）、短时故障（秒至分钟级）、长期故障（持续到人工干预）。
• 按影响范围：局部故障（单模块）、功能故障（某条功能链失效）、系统故障（整机不可用）。

分类的意义在于：瞬态故障适合用重试、EDAC纠错、三模冗余表决来掩盖；永久性故障则需要切换备份机或重构任务。若不加区分地统一处理，会造成资源浪费或漏判。

三、FMEA方法在星务计算机上的落地

FMEA的核心是"自下而上"地枚举每个部件的失效模式，逐级推导其对上层功能的影响，并给出严重度（S）、发生度（O）、探测度（D）评分，最终计算风险优先数 RPN = S × O × D。对星务计算机，建议按以下步骤执行：

1. 划分分析层级：元器件级 → 板卡级 → 模块级 → 整机级 → 分系统级。
2. 建立功能框图：明确每个模块的输入、输出与依赖关系，作为影响传播的路径依据。
3. 枚举失效模式：对每个部件列出"怎么坏"，如CPU"停止输出"、"输出错误数据"、"输出延迟"。
4. 分析局部影响与最终影响：例如看门狗失效 → 无法复位CPU → 整机死机 → 姿态失控。
5. 评分并排序：对高RPN项优先设计缓解措施，如增加EDAC、双看门狗、任务超时监控。

下表给出一个简化的星务计算机FMEA片段（示例数据，仅用于说明方法）：

从表中可见，SRAM单比特翻转的RPN最高，应优先采用EDAC或三模冗余；看门狗失效虽然发生度低，但严重度高，需采用双看门狗互检。

四、故障传播机制

故障不会孤立存在，它会沿功能链、供电链、时序链和信息链传播。理解传播路径，才能在设计监测点时"卡住"关键节点。

以"电源电压跌落"为例：电源模块输出纹波增大 → CPU供电不足 → 复位电路误触发 → CPU反复重启 → 任务调度器丢失状态 → 姿态控制指令中断 → 卫星姿态偏离。这条链上，若在电源输出端设置欠压监测，就能在最早环节报警，避免故障扩散到姿态层。

再以"软件任务死锁"为例：某任务占用互斥锁后异常退出 → 其他任务永久阻塞 → 看门狗超时 → 整机复位 → 复位后若异常条件仍存在，则形成周期性复位。此时仅靠看门狗无法根治，必须结合任务级心跳监测和锁超时释放机制。

故障传播的三种典型路径可归纳为：能量路径（电源、热）、信息路径（总线、内存、指令流）、时序路径（时钟、中断、任务调度）。FMEA分析时应分别沿这三条路径追踪影响。

图中三条路径分别对应能量、信息和时序，监测点A（电源输出）、B（内存EDAC）、C（任务心跳）分别卡在各自路径的早期环节。设计时若能在这些位置部署监测，就能把故障"截断"在局部，避免演化为系统级失效。

综上，星务计算机的FMEA需要把硬件、软件、环境三类故障源统一纳入分析框架，按能量、信息、时序三条路径追踪传播，并在关键节点设置监测与缓解措施。只有这样，才能把"故障模式"从纸面清单转化为可执行的健康管理策略。