2. 冗余架构选型与权衡
冗余架构选型不是“越可靠越好”的单目标优化，而是在任务剖面约束下对可靠性、质量、功耗、成本与可恢复性做的多目标折中。航天电子中常见的五种形态——双机热备、三模冗余（TMR）、四模冗余（QMR）、冷备与温备——其本质差异在于冗余通道的加电状态、表决/切换方式以及故障覆盖能力。理解这些差异，才能把“选型”从经验判断变成可核算的工程决策。
一、五种架构的本质差异
双机热备由两个同时上电、同步运行的通道组成，主通道输出，备通道跟踪状态但不驱动负载，故障时由比较器或看门狗触发切换。它的优点是资源开销小、切换快（典型微秒到毫秒级），缺点是备机在主机故障前不参与输出，属于“检测—切换”型冗余，单点比较/切换逻辑本身需要额外防护。
三模冗余三个通道同时运行，输出经多数表决器（2/3 表决）产生结果。任一通道故障，表决结果仍正确，系统可继续工作，属于“屏蔽型”冗余，无需切换动作，故障瞬时被掩盖。代价是三个通道的功耗、质量与成本约为单机的三倍，且表决器是新的单点。
四模冗余在 TMR 基础上增加第四通道，常见形式是 2/2 分组表决或四取二表决，可在一次故障后仍保持表决能力，甚至支持故障通道在线隔离与重构。可靠性最高，但质量、功耗、成本与体积代价也最大，通常只用于长寿命、不可维修的高价值任务。
冷备备用通道不加电，主机故障后由切换开关上电并接管。功耗与磨损最低，但切换时间长（秒级甚至更长），且切换瞬间存在输出中断，备用通道的启动可靠性、切换开关可靠性成为关键。
温备备用通道加电但不输出，保持时钟同步与状态跟踪，切换时间介于热备与冷备之间（毫秒到百毫秒级），功耗低于热备但高于冷备，兼顾了切换速度与能耗。
二、可靠性不能只看“通道数”
设单通道在任务时间 t 内的可靠度为 R1(t)，且故障相互独立。冷备（理想切换、备机不通电故不退化）的可靠度近似为 Rcold = R1(1 + λt)，其中 λ 为单通道失效率；热备为 Rhot = 1 − (1 − R1)²；TMR 在完美表决下为 RTMR = 3R1² − 2R1³。以某星载计算机单通道 R1 = 0.98 为例（示例假设值）：
- 热备：1 − 0.02² = 0.9996
- TMR：3×0.98² − 2×0.98³ ≈ 0.9988
- 冷备（λt ≈ 0.02）：0.98×1.02 ≈ 0.9996
可见在单通道可靠度已很高时，热备与冷备的数值接近，但冷备的切换开关、上电启动过程会引入额外失效模式，实际可靠度往往低于理想值。TMR 的优势在于故障被瞬时屏蔽、无中断，这对姿态控制、时序敏感载荷比“数值上略高”更重要。QMR 则把可容忍故障数从 1 提升到 2，但可靠度提升呈边际递减，需用任务时长和不可维修性来论证其必要性。
三、给定任务剖面的选型示例
假设某低轨遥感电子单元任务剖面为：在轨寿命 5 年，发射段与姿态机动段对输出连续性要求为“不允许中断”，单机功耗 8 W、质量 1.2 kg、单机成本 100 万元（均为示例假设值）。可选方案对比如下：
| 架构 | 输出连续性 | 可容忍故障数 | 功耗 | 质量 | 相对成本 | 适用判断 |
|---|---|---|---|---|---|---|
| 双机热备 | 切换有短时中断 | 1 | ≈16 W | ≈2.4 kg | ≈2.0 | 一般连续输出任务 |
| TMR | 无中断 | 1 | ≈24 W | ≈3.6 kg | ≈3.0 | 不允许中断的关键任务 |
| QMR | 无中断 | 2 | ≈32 W | ≈4.8 kg | ≈4.0 | 长寿命不可维修高价值任务 |
| 冷备 | 秒级中断 | 1 | ≈8 W | ≈2.4 kg | ≈1.6 | 可容忍中断、功耗敏感 |
| 温备 | 毫秒级中断 | 1 | ≈12 W | ≈2.4 kg | ≈1.8 | 兼顾切换速度与功耗 |
按“不允许中断”这一硬约束，冷备与温备首先被排除；双机热备的切换中断虽短，但在姿态机动段仍可能造成控制周期丢失，风险不可接受。剩余 TMR 与 QMR 中，QMR 的功耗、质量、成本均比 TMR 高约 33%，而任务剖面只要求容忍一次故障，因此选 TMR。若任务改为 10 年寿命、在轨不可维修且单次故障后仍需长期运行，则 QMR 的第二次故障容忍能力才具备论证价值。
四、表决与切换逻辑的工程实现要点
TMR 的表决器可用 FPGA 实现三路数据的逐位多数表决：out = (A&B) | (A&C) | (B&C)。若三路为模拟量，则取中值（median）而非均值，避免故障通道把结果拉偏。表决器自身应做三取二的分组供电与独立时钟，防止成为单点。双机热备的切换判据通常由看门狗超时、输出比较失配、心跳丢失三者组合触发，切换开关建议采用磁保持继电器或高可靠模拟开关，并记录切换次数用于寿命评估。
温备的关键是“跟踪但不输出”：备机保持时钟同步、状态机同步，输出级使能关闭。切换时只需打开输出使能并接管总线，因此切换时间可压缩到毫秒级。冷备则必须考虑备机上电后的初始化时间、晶振起振时间与程序加载时间，这些都会直接叠加到切换中断时长上，选型时必须向总体如实申报。
五、选型检查清单（可直接用于评审）
- 任务剖面是否明确“允许输出中断”及最大中断时长？
- 要求容忍的故障数是一次还是两次？是否包含共因故障？
- 表决器/切换开关是否已做单点失效分析（FMEA）？
- 功耗、质量、成本预算是否与架构倍数匹配？
- 是否给出故障检测覆盖率与切换成功率的验证方法？
- 是否明确故障隔离后的降级工作模式与重构策略？
把上述约束量化后，架构选型就从“经验拍板”变成可追溯的工程决策：硬约束筛掉不可行方案，软指标在可行方案间排序，最终选择必须能回答“为什么不是另一个”。