4. 故障树分析与最小割集方法
故障树分析（FTA）是一种从“不希望发生的顶事件”出发，自上而下逐层追溯其发生原因的演绎分析方法。在航天器冗余与故障管理总体设计中，它承担着两个关键任务：一是把“任务失败”这类笼统的顶层后果，分解为可定位、可验证的底层故障事件组合；二是通过最小割集求解，量化识别哪些单点或组合是真正的薄弱环节，从而为冗余配置提供依据。
顶事件与边界定义
构建故障树的第一步不是画图，而是明确顶事件及其边界。以某遥感卫星“在轨成像任务失败”为顶事件，需先界定：任务失败指连续两个轨道圈次内无法获取有效遥感图像，且无法通过地面指令恢复。边界条件包括：不考虑地面测控站故障、不考虑发射段故障、仅分析入轨后至寿命末期的在轨阶段。这些约定决定了故障树的深度和范围，避免分析无限扩散。
顶事件确定后，需定义系统级功能链。典型成像任务链为：姿态确定→姿态控制→载荷供电→载荷成像→数据存储→数据下传。任一环节失效且无冗余接管，都可能导致任务失败。故障树正是沿着这条功能链向下展开。
故障树构建：从顶事件到底事件
以“成像任务失败”为顶事件T，第一层分解为三个中间事件：E1 姿态异常、E2 载荷无法工作、E3 数据无法下传。三者通过或门连接，因为任一发生且未被冗余覆盖，都会导致任务失败。
继续向下展开。E1姿态异常可分解为“姿态确定失效”与“姿态控制失效”的与门组合——只有确定和控制同时失效，姿态才会不可恢复。姿态确定失效又由“星敏感器A故障”与“星敏感器B故障”通过或门构成，因为两台星敏感器互为冗余，任一台可用即可维持确定功能。姿态控制失效则由“陀螺A故障”与“陀螺B故障”或门构成。
E2载荷无法工作分解为“载荷供电失效”与“载荷本体故障”。载荷供电失效由“电源模块A故障”与“电源模块B故障”或门构成；载荷本体故障由“焦平面组件故障”与“信号处理单元故障”或门构成。
E3数据无法下传分解为“存储失效”与“发射机失效”。存储失效由“存储器A故障”与“存储器B故障”或门构成；发射机失效由“发射机A故障”与“发射机B故障”或门构成。
最小割集求解与工程含义
最小割集是指导致顶事件发生的最少底事件组合，且其中任一事件去除后顶事件不再发生。对上述故障树，由于第一层为或门，三个中间事件各自独立导致顶事件，因此每个中间事件下的最小割集即为该分支的割集。
以E1姿态异常为例，其下为与门连接“姿态确定失效”和“姿态控制失效”，因此E1的割集为两个子事件的组合。而“姿态确定失效”下为或门连接星敏A和星敏B，故其割集为{星敏A}和{星敏B}。综合后，E1的最小割集为{星敏A, 陀螺A}、{星敏A, 陀螺B}、{星敏B, 陀螺A}、{星敏B, 陀螺B}。这意味着：只要一台星敏和一台陀螺同时失效，姿态异常即发生。若系统仅配置两台星敏和两台陀螺，则存在4条双故障路径，冗余度不足。
类似地，E2载荷无法工作的最小割集为{电源A, 焦平面}、{电源A, 信号处理}、{电源B, 焦平面}、{电源B, 信号处理}。E3数据无法下传的最小割集为{存储A, 发射A}、{存储A, 发射B}、{存储B, 发射A}、{存储B, 发射B}。
从工程角度看，最小割集的阶数直接反映薄弱程度。一阶割集（单点故障）最危险，必须消除；二阶割集表示需要两个独立故障同时发生，通常可接受，但若两个底事件共享电源、时钟或结构，则独立性不成立，实际风险仍高。例如星敏A和星敏B若共用同一供电母线，则母线故障会同时导致两者失效，此时{星敏A, 星敏B}退化为单点故障。
冗余需求推导
基于最小割集，可反向推导冗余配置需求。原则是：任何一阶割集必须通过增加冗余或降级运行消除；二阶割集需验证事件独立性，若不独立则需隔离或增加第三通道。
以姿态确定为例，若要求“任意单点故障不影响任务”，则星敏A和星敏B不能共用供电和数据处理通道。若要求“任意双点故障不影响任务”，则需配置三台星敏，使最小割集阶数提升至三阶。实际工程中，遥感卫星通常采用两台星敏加一台陀螺组合，通过卡尔曼滤波实现故障检测与隔离，将部分双故障路径转化为可重构状态。
对于载荷本体，焦平面和信号处理为串联关系，任一失效即导致载荷不可用。若焦平面无法冗余，则必须提高其可靠性指标，或设计旁路工作模式，使信号处理故障时仍能通过备份通道输出原始数据。
分析结果的使用与迭代
故障树分析不是一次性工作。当冗余配置调整后，需重新构建故障树并求解最小割集，验证薄弱环节是否消除。例如增加第三台星敏后，姿态确定失效的最小割集变为三阶，单点与双点故障均不会导致确定功能丧失。此时可更新故障树，确认顶事件概率下降至可接受水平。
此外，最小割集还可用于分配可靠性指标。若顶事件允许失效概率为1×10⁻⁴，则各最小割集的概率之和需小于该值。通过分配各底事件的失效率预算，可指导元器件选型、筛选等级和冗余通道数量。例如星敏单台失效率若为5×10⁻⁵/年，两台冗余后组合失效率约为2.5×10⁻⁹/年，远低于预算，说明冗余充分。
综上，故障树分析与最小割集方法为航天器冗余设计提供了从顶事件到底事件的完整追溯链条。通过识别最小割集，设计者能够定量判断哪些环节需要增加冗余、哪些环节需要提高独立性，从而在重量、功耗和成本约束下实现最优的故障管理总体方案。