4. 总体设计中的可靠性建模
可靠性建模是航天器总体方案论证阶段把“可靠性要求”转化为“可分析、可分配、可验证”的工程对象的关键环节。总体设计人员面对的不是单个元器件，而是由分系统、单机、冗余通道、交叉链路和重构逻辑构成的系统。可靠性框图（RBD）、故障树（FTA）和马尔可夫模型（Markov）是三类最常用的建模工具，它们回答的问题并不相同：RBD 回答“系统在什么串并联结构下能完成任务”，FTA 回答“哪些底层事件组合会导致顶事件发生”，马尔可夫模型回答“系统在可修复、可切换、有共因或降级状态时，随时间如何迁移”。选错模型，往往不是算不出来，而是算出来的结果与总体方案的真实失效逻辑不对应。
三类模型的适用场景与选择依据
在总体方案中，RBD 最适合任务成功路径清晰、单元失效相互独立、以“通/断”描述成败的场合。例如某遥感卫星的数据传输分系统，由两台发射机、两套天线馈电网络和一条星上存储转发链路组成，若要求“至少一路发射通道可用且存储转发正常”，就可以用 RBD 表达为“发射通道并联后再与存储转发串联”。RBD 的优点是直观、便于做可靠性分配和冗余权衡，缺点是难以直接表达修复、切换失败、共因失效和降级工作。
FTA 适合从“不希望发生的顶事件”向下追溯。总体设计中常见的顶事件包括“整星任务失败”“姿态失控超过 30 分钟”“关键载荷数据丢失”。FTA 通过与门、或门、表决门把顶事件分解到分系统、单机和元器件级事件，特别适合识别单点故障、共因故障和最小割集。它不强调时间过程，而强调逻辑组合，因此常用于安全性分析和故障模式影响分析之后的深化。
马尔可夫模型适合状态多、存在修复和切换、失效与修复速率可近似为指数分布的场合。例如带自主重构的姿控计算机，存在“双机正常”“单机降级”“切换中”“双机失效”等状态，且故障检测、切换和修复都有速率，这时用 RBD 或纯 FTA 都难以刻画状态转移。马尔可夫模型能给出瞬态可用度、稳态可用度和平均失效前时间，但状态数随单元数增长很快，总体设计中通常只对关键分系统或关键冗余链建立马尔可夫模型。
建模步骤：从任务剖面到可计算模型
无论采用哪类模型，总体设计中的可靠性建模都应遵循一条共同主线：先定义任务成功判据，再划定系统边界，然后选择模型形式，最后进行量化与校核。以某低轨通信卫星的“载荷数据下传”任务为例，任务成功判据可定义为“在过站可见弧段内，将缓存数据完整下传至地面站”。系统边界包括星上存储单元、发射机、天线、供电和星务控制接口，不包括地面站接收设备。若只考虑发射通道冗余，可先建立 RBD；若还要分析“星务控制接口异常导致发射机无法开机”，则需补充 FTA；若发射机具备故障后自动切换且切换过程可能失败，则应对发射通道建立马尔可夫模型。
RBD 的建模步骤较为直接：第一步，把系统分解为功能独立的单元，并明确每个单元的失效判据；第二步，根据任务成功路径画出串联、并联、表决或旁联结构；第三步，代入各单元可靠度，计算系统可靠度。例如上述发射通道采用双机并联，单机在任务时间内的可靠度为 0.98，则并联通道可靠度为 1−(1−0.98)²=0.9996；再与存储单元串联，若存储可靠度为 0.995，则系统可靠度约为 0.9946。这个结果可直接用于判断当前冗余方案是否满足 0.99 的分配指标。
FTA 的建模步骤更强调逻辑完整性：先选定顶事件，再逐层向下分解，直到不可再分或已有数据支撑的底事件。分解时必须明确逻辑门类型，尤其注意“或门”会放大失效概率，“与门”则要求多个事件同时发生。完成树形结构后，通过布尔代数求最小割集，割集中只有一个底事件的即为单点故障。例如“姿控失效”若由“陀螺共因失效”单独导致，则它是一个一阶割集，必须在总体方案中通过异构冗余或隔离设计消除。
马尔可夫模型的建模步骤相对抽象，但总体设计中可按固定流程推进：定义状态集合，列出所有可能的转移及其速率，建立状态转移率矩阵，再根据任务时间求解瞬态可用度或稳态可用度。以双机热备计算机为例，状态可设为 S0（双机正常）、S1（单机降级）、S2（切换中）、S3（双机失效）。若单机失效率 λ=1×10⁻⁵/h，切换成功率 0.99，修复率 μ=0.1/h，则可通过求解状态方程得到任务 1000 h 的可用度。实际工程中通常借助工具求解，但总体设计人员必须清楚每个状态和转移率的物理含义，否则模型会退化为数学游戏。
总体方案中的组合使用与注意事项
三类模型并非互斥。总体设计中常见的做法是：用 RBD 完成整星级可靠性分配和冗余权衡，用 FTA 对关键顶事件做安全性深化，用马尔可夫模型对可修复、可重构的关键分系统做可用度校核。需要注意的是，RBD 和 FTA 通常假设单元失效独立，若存在共因失效，应在模型中显式增加共因事件或共因因子；马尔可夫模型的状态数应控制在可解释范围内，避免为追求精细而引入无法获取的转移率。所有模型都应记录假设条件、数据来源和适用边界，并在总体方案迭代时同步更新，否则可靠性建模结果将无法支撑设计决策。