1. 课程导入与总体设计定位
航天器冗余与故障管理总体设计，是连接任务需求与分系统实现的一类顶层设计工作。它要回答的核心问题不是"某个部件怎么备份"，而是"整星在什么故障下必须保持什么能力、由谁承担、如何验证"。因此，本课程把冗余与故障管理视为一个贯穿任务分析、架构设计、分系统接口、在轨运行与地面验证的完整工程闭环，而不是若干可靠性指标的简单叠加。
任务边界：管什么，不管什么
总体设计负责的是"故障管理架构"层面的决策，具体包括：故障模式与影响的分级、冗余层级与冗余度的确定、故障检测与隔离（FDI）的总体策略、重构与降级运行的权限划分、跨分系统的故障传播约束，以及故障管理相关的遥测、指令与地面支持接口。它不替代分系统内部的电路级冗余设计，也不替代单机内部的容错算法实现，但必须为这些设计规定输入条件与验收边界。
一个常见的边界误区是把"冗余"等同于"备份数量"。实际上，总体设计更关注冗余的可切换性、可观测性与可隔离性：备份存在但无法被检测、无法被隔离、无法被安全切换，在故障管理中不构成有效冗余。因此，总体设计必须同时定义故障的检测手段、判决门限、切换时序与切换后的状态确认方式。
设计输入与输出
总体设计的输入来自任务与系统两个层面。任务层面包括飞行阶段划分、关键功能清单、任务成功准则、允许的中断时间与降级运行要求；系统层面包括分系统组成、接口关系、单机可靠性数据、资源约束（质量、功耗、热、布局、通信带宽）以及运载与测控条件。输出则是一套可向下分解、可向上验证的故障管理设计基线，典型交付物包括：
- 故障模式清单与严酷度分级（按功能影响而非仅按部件失效概率）；
- 冗余架构方案：冗余层级、冗余度、切换方式（自动/地面指令/人工确认）；
- FDI 策略：检测点、检测量、门限、确认时间、隔离范围；
- 重构与降级运行规则：故障后允许的工作模式、能力损失与恢复路径；
- 故障管理接口文件：遥测参数、指令、地面判读与处置流程；
- 验证要求：故障注入项目、覆盖准则与通过判据。
这些输出并非一次性冻结，而是随设计阶段逐步细化。方案阶段允许以功能级冗余为主，初样阶段必须落实到单机与接口，正样阶段则要求故障管理逻辑可测试、可复现。
与分系统设计的接口关系
总体与分系统之间是"约束—反馈"的双向关系。总体向分系统下达故障管理要求，例如：姿态控制分系统在陀螺失效后须在限定时间内切换至备份敏感器并保持姿态稳定；电源分系统在单路失效后须保证关键负载不中断。分系统则向总体反馈可实现性、资源代价与新增故障模式。若分系统反馈某切换过程会引入瞬态扰动，总体需要重新评估该故障的严酷度等级或调整切换时序。
接口关系中最容易被忽视的是故障传播路径。一个分系统的保护动作可能触发另一分系统的连锁反应，例如电源限流导致加热器断电，进而引起温度越限并触发安全模式。总体设计必须识别这类跨系统耦合，并在接口文件中明确禁止或允许的传播方向。
全生命周期视角下的设计流程
从全生命周期看，冗余与故障管理设计大致经历任务分析、架构设计、接口协调、实现与集成、验证、在轨运行与改进六个阶段。各阶段并非线性推进，验证中发现的覆盖缺口会反向修改架构，在轨故障则会补充新的故障模式与处置规则。
图中左侧为设计输入，中部为总体设计的四类核心决策，右侧为输出基线；下方展示分系统接口的双向约束关系与验证反馈回路。需要强调的是，验证阶段发现的覆盖缺口会沿虚线反向修改架构与接口，在轨故障则补充新的故障模式，使整个流程呈闭环而非单向。
一个简化的教学示例
假设某遥感卫星的姿态控制分系统采用三轴稳定方案，关键敏感器为星敏感器与陀螺组合。总体设计可先给出如下示例性输入（以下参数为教学假设，非实测数据）：任务要求姿态稳定度优于 0.05°，单次故障后姿态保持时间不少于 30 分钟；星敏感器单机可用度 0.98，陀螺单机可用度 0.97；允许的切换瞬态不超过 0.1°。
据此，总体可确定：星敏感器采用双机热备，陀螺采用三正交加一斜装冗余；FDI 检测量取星敏感器输出与陀螺积分姿态的偏差，门限设为 0.08°，连续 3 个采样周期超限则判定星敏感器故障；隔离后自动切换至备份星敏感器，切换时序控制在 2 秒内，并在切换后 10 秒内确认姿态偏差回到 0.05° 以内。若切换后偏差仍超限，则降级至陀螺单独定姿并进入安全模式。
这一示例说明：总体设计输出的不是单一冗余数量，而是一组可检测、可判决、可切换、可确认的完整规则。分系统据此实现具体电路与算法，总体则据此设计故障注入验证项目，例如人为切断主星敏感器输出，观察切换时间与姿态偏差是否满足上述判据。