3. 航天器功能失效模式与影响分析

功能FMEA（Functional Failure Mode and Effects Analysis）是航天器总体设计阶段最经济、最有效的可靠性分析手段之一。它不依赖详细的零部件图纸，而是在功能架构确定之后、详细设计展开之前，以“功能”为分析对象，自顶向下逐层追问：这个功能可能以什么方式失效？失效后对上一层功能和整星任务造成什么后果？后果有多严重？发生可能性有多大？能否被现有手段发现？通过这一连串追问，总体设计人员可以在方案早期就锁定那些“一旦失效就导致任务失败”的薄弱环节，并把有限的冗余资源、测试资源和验证资源优先投向它们。

一、功能FMEA的分析对象与层次

功能FMEA的起点是功能树，而不是产品结构树。总体设计通常先把任务分解为若干任务阶段（如发射段、入轨段、在轨正常运行段、机动段、离轨段），再把每个阶段所需的功能逐层展开。例如“姿态确定与控制”功能可分解为“敏感器测量—姿态解算—控制律计算—执行机构驱动”等子功能。分析时约定：约定层次为被分析功能所在层级，最低约定层次为不再继续分解的功能单元。对每个功能单元，逐一识别其失效模式，再向上追溯影响，向下追溯原因。

需要强调的是，功能FMEA的“失效模式”描述的是功能丧失的方式，而不是零件的物理损伤形式。例如“陀螺输出姿态角速度”这一功能，其失效模式可写为“无输出”“输出恒值”“输出噪声超限”“输出标度因数偏差超限”，而不是“轴承磨损”。物理损伤属于后续硬件FMEA的范畴。总体设计阶段抓住功能级失效模式，才能与任务成功准则直接挂钩。

二、故障模式分类

为便于统一评估，工程上通常按失效的时序特征和可恢复性对故障模式分类。常见分类包括：

• 突发性失效：功能在某一时刻突然完全丧失，如电源模块短路导致母线掉电。其特点是发生前无明显征兆，对任务冲击大。
• 渐变性失效：性能参数随时间缓慢漂移，如蓄电池容量衰减、陀螺漂移缓慢增大。可通过趋势监测提前发现。
• 间歇性失效：功能时好时坏，如接插件接触不良、软件在特定时序下偶发死锁。这类故障最难定位，也最容易被误判为“已恢复”。
• 功能降级：功能未完全丧失但性能不满足指标，如推力器推力下降但仍可工作，属于部分失效。
• 误动作/非指令动作：功能在不该动作时动作，如推力器误开机、阀门误打开，其后果有时比功能丧失更严重。

分类的意义在于：不同类别对应不同的检测手段和冗余策略。突发性失效靠冗余切换，渐变性失效靠趋势预警与阈值管理，间歇性失效靠多次复现与接触可靠性设计，误动作则要靠指令表决与使能互锁来抑制。

三、严酷度与发生概率评估

严酷度（Severity，S）描述失效后果的严重程度，通常按对任务、航天器、人员的影响划分为若干等级。发生概率（Occurrence，O）描述该失效模式在设计寿命内发生的可能性，可依据相似产品数据、元器件失效率手册或工程判断给出定性等级。二者结合可形成风险矩阵，用于确定分析重点和冗余要求。

下表给出一套适用于总体设计阶段的示例分级，仅作为教学参考，实际型号应依据本型号的任务成功准则和可靠性大纲确定。

评估时要注意两点。第一，严酷度应针对“最终影响”而非局部影响。例如某敏感器失效本身只造成一个测量通道丢失，但若该通道是姿态控制唯一反馈源，则最终影响是姿态失控，严酷度应为Ⅰ级。第二，发生概率应针对“失效模式”而非“产品”。同一产品不同失效模式的概率可能相差几个数量级，必须分别评估。

四、单点故障与关键故障路径识别

单点故障（Single Point Failure，SPF）是指某一故障单独发生即可导致任务失败或航天器丧失关键功能，且没有冗余或冗余不可用。识别SPF是功能FMEA最重要的输出之一。判断时不能只看“有没有备份”，还要看备份是否真正独立、切换是否可靠、共因失效是否存在。例如主备两台计算机若共用同一路供电和同一时钟源，则供电或时钟故障会同时打掉主备，仍属单点故障。

关键故障路径是指从初始失效到最终任务失败的因果链。一条典型路径可能包含多个环节：某接插件接触不良→该路遥测丢失→星务软件误判为敏感器故障→触发错误重构→姿态控制失去有效反馈→整星进入安全模式失败。识别关键路径的价值在于找到链路上最薄弱的环节，并在该环节插入阻断措施，如增加独立遥测、改进重构判据、设置重构使能条件等。

五、分析流程与结果表达

功能FMEA的典型流程可概括为：确定分析范围与约定层次→建立功能框图→识别失效模式→分析失效原因与局部影响→逐层追溯最终影响→评定严酷度与发生概率→识别单点故障与关键路径→提出改进措施并跟踪闭环。整个过程应形成可追溯的分析记录，而不是一次性文档。

下图以“姿态确定与控制”功能为例，给出功能FMEA从功能分解到单点故障与关键路径识别的逻辑关系。图中左侧为功能层次，中部为失效模式与影响追溯，右侧为严酷度、发生概率与单点故障判定，底部为改进措施反馈。该图用于说明分析要素之间的连接关系，不替代具体型号的分析表格。

六、面向总体设计的实施要点

第一，功能FMEA必须与功能架构同步迭代。功能架构一变，失效模式和影响关系就可能改变，分析记录应及时更新，避免“一次分析、长期挂账”。第二，严酷度评定要由总体牵头，联合分系统共同确认，防止分系统只从自身视角把影响评低。第三，单点故障清单应作为总体设计评审的强制输入，任何未关闭的Ⅰ级单点故障都应视为设计未冻结。第四，关键故障路径要落实到具体的检测点、判据和处置动作，不能只停留在“已识别”层面。第五，分析结果应与FTA、可靠性框图、测试性设计相互印证，形成一致的风险视图。

在实际型号中，功能FMEA通常以表格形式记录，字段包括功能名称、约定层次、失效模式、失效原因、局部影响、最终影响、严酷度、发生概率、检测方法、现有措施、改进措施、责任人、关闭状态等。总体设计人员应重点关注严酷度为Ⅰ、Ⅱ级且发生概率不低于3的条目，以及所有单点故障条目。对这些条目，要么通过冗余消除单点，要么通过独立检测和可靠重构把故障限制在局部，要么通过专项试验证明其发生概率足够低。三者至少落实其一，才能认为风险受控。

综上，功能FMEA把“功能—失效—影响—风险—措施”串成一条可追溯的链条，使总体设计在资源有限的条件下能够优先加固最关键的功能环节。掌握失效模式分类、严酷度与发生概率评估、单点故障和关键故障路径识别这四项核心能力，是开展后续冗余设计、故障检测与重构设计的基础。