1. 航天电子系统任务剖面与失效严酷度

航天电子系统的冗余设计不是“多加几套备份”这么简单。冗余的规模、层级、切换方式和隔离边界，取决于任务剖面中每个阶段对电子系统的真实需求，以及一旦失效会造成什么后果。因此，冗余设计的第一步不是画电路，而是把任务剖面、失效模式与严酷度对应起来，形成可量化的冗余需求与故障隔离指标。

一、任务剖面：四个阶段，四种失效后果

典型航天任务可划分为发射段、入轨段、在轨运行段和再入返回段。每个阶段电子系统的工作环境、可维修性和失效后果差异极大，这直接决定了冗余策略。

发射段：电子系统承受高振动、高冲击和强噪声，箭上计算机、惯组、伺服控制器同时工作。此阶段一旦关键电子设备失效，任务在数分钟内即告失败，且无任何在轨维修可能。因此发射段通常采用“热备份+多数表决”策略，例如三模冗余（TMR）飞控计算机，三套独立通道同步运行，输出经表决器取多数结果。

入轨段：变轨发动机点火、姿态调整频繁，电子系统需在推进系统工作期间保持控制闭环。此阶段失效可能导致入轨偏差甚至无法入轨，严酷度仍为灾难级，但持续时间较短，冗余可侧重“快速切换”而非长期容错。

在轨运行段：任务周期最长，电子系统面临空间辐射、单粒子翻转（SEU）、总剂量效应和热循环。此阶段失效后果取决于任务类型：通信卫星转发器失效可能只损失部分容量，而导航卫星原子钟失效则直接影响服务精度。在轨段冗余设计需兼顾长期可靠性与资源约束，常采用“冷备份+定期自检+地面指令切换”或“降级运行”策略。

再入返回段：返回器电子系统需在高温、过载和黑障条件下完成导航、制导与控制。此阶段失效可能导致返回舱偏离落区或解体，严酷度为灾难级，且同样不可维修。冗余设计需保证在传感器、计算机和执行机构任一环节单点失效时仍能安全返回。

二、失效严酷度分级与冗余需求映射

工程上通常将失效严酷度分为四级：Ⅰ级（灾难性）导致任务失败或人员伤亡；Ⅱ级（严重）导致任务降级或部分功能丧失；Ⅲ级（轻微）导致非关键功能损失；Ⅳ级（可忽略）不影响任务。冗余需求与严酷度直接挂钩：Ⅰ级失效必须由冗余或故障隔离措施消除单点，Ⅱ级失效允许降级但需可检测并隔离，Ⅲ级以下可接受无冗余。

以某型星载计算机为例，其任务剖面与严酷度映射如下表所示（示例参数，用于说明方法）：

三、单点失效、共因失效与故障传播路径

单点失效（SPF）指某一环节失效即导致系统功能丧失，且无冗余路径可替代。识别SPF的方法是沿信号链和供电链逐级检查：从传感器→采集电路→处理器→执行驱动→执行机构，以及从电源→配电→各模块供电，任何一处没有并联路径且严酷度为Ⅰ级，即为SPF。例如，若三模冗余计算机共用同一个时钟源，时钟失效将同时使三套通道失效，该时钟即为SPF。

共因失效（CCF）指多个冗余通道因同一原因同时失效，常见诱因包括：共用电源、共用时钟、共腔体热失效、共连接器、软件同版本缺陷、空间辐射同时击中多通道。CCF是冗余设计中最隐蔽的威胁，因为冗余数量无法降低其发生概率。工程上通过“物理隔离、电气隔离、软件多样性、时序错开”来抑制CCF。

故障传播路径指一个模块失效后，通过电源、总线、时钟或热耦合影响其他模块的路径。例如，某模块短路导致母线电压跌落，可能使全部模块复位；某模块总线驱动器故障持续拉低总线，可能阻塞整个通信。故障隔离指标要求：任一模块失效后，传播到其他模块的影响必须被限制在可接受范围内，且隔离时间满足任务阶段要求。

四、从任务剖面到冗余需求与隔离指标

把上述分析落到工程上，需要输出三类可检查的指标：

• 冗余度指标：对Ⅰ级失效功能，要求至少双余度且单点失效后功能不中断；对Ⅱ级失效功能，允许单余度但需具备故障检测与降级能力。例如，飞控计算机要求三余度，数传发射机允许双余度冷备。
• 故障隔离指标：规定隔离边界与隔离时间。例如，任一模块短路后，母线电压跌落不超过10%，隔离动作在50ms内完成；任一总线节点故障后，总线通信恢复时间不超过200ms。
• 共因失效抑制指标：冗余通道之间需满足物理间距≥50mm、独立供电、独立时钟、软件版本差异或时序错开≥10ms等要求，以降低CCF概率。

以某返回式卫星为例，其再入段GNC系统采用三余度惯性测量单元（IMU），三套IMU独立供电、独立安装于不同舱段，输出经表决后送入飞控计算机。若一套IMU失效，表决器自动剔除其数据，系统仍以双余度运行；若两套同时失效，系统降级为单余度并触发告警，但返回舱仍可依靠剩余一套完成姿态控制。该设计将再入段Ⅰ级失效概率从单套的10⁻⁴降低到三套同时失效的10⁻¹²量级（示例计算，假设失效独立），同时通过物理隔离将共因失效概率控制在可接受范围。

总结来说，任务剖面决定了“什么时候不能坏”，严酷度决定了“坏了有多严重”，冗余需求决定了“要几套”，故障隔离指标决定了“坏了怎么不扩散”。四者环环相扣，构成航天电子冗余设计的逻辑起点。