3. 故障隔离基础与可观测性设计

冗余设计解决的是“有备份可用”，而故障隔离解决的是“知道谁坏了、坏在哪里、还能不能用”。在航天电子系统中，故障隔离能力本质上由可观测性决定：如果系统内部状态无法被测量、采样和判读，再完善的冗余架构也只能停留在“带故障运行”的层面，无法真正完成重构。本节从故障检测、定位、隔离三个层次出发，讨论测试点、遥测参数与健康表征量的设计方法。

一、检测、定位与隔离的层次关系

故障隔离通常分为三个递进层次。第一层是故障检测，回答“系统是否偏离正常状态”，输出是二值或置信度判断；第二层是故障定位，回答“偏离发生在哪个可更换单元或信号链环节”，输出是候选故障集合；第三层是故障隔离，通过切断、旁路或重构，把故障限制在最小范围，防止其传播到其他通道。

三者对可观测性的要求依次提高。检测只需要一个能反映整体偏差的观测量，例如总线误码率或电源纹波有效值；定位需要多个观测量之间的逻辑关系，例如同一传感器三路输出中哪一路与另外两路不一致；隔离则需要知道故障单元与系统其他部分的连接关系，才能确定切断哪条路径、保留哪条路径。

二、测试点设计：让故障“看得见”

测试点是可观测性的物理基础。设计测试点不是“哪里方便测就放哪里”，而是沿着信号链和能量链，在故障可能发生且需要被区分的位置布置可测节点。以某星载电源分系统为例，其信号链为“母线电压→分压调理→ADC→处理器→遥测”，若只在遥测端观察母线电压，当读数异常时无法区分是母线真实跌落、分压电阻漂移，还是 ADC 基准偏移。因此在分压调理前后各设一个测试点 TP1、TP2，在 ADC 输出端设 TP3，形成三点可分辨结构：TP1 正常而 TP2 异常，指向分压网络；TP2 正常而 TP3 异常，指向 ADC 或基准。

测试点设计需遵循三条原则。其一，可分辨性：相邻测试点之间应能对应到不同的故障模式，避免多个故障源映射到同一观测量。其二，可达性：测试点应能通过遥测、总线或维护接口被采集，不能只存在于图纸上。其三，非侵入性：测试点引入的负载、容性效应不能改变原信号链的正常工作点，通常要求测试支路输入阻抗远大于被测节点输出阻抗。

三、遥测参数与健康表征量

遥测参数是可观测性在数据层面的落地。并非所有测试点都需要下传，需要根据故障隔离需求筛选。一个实用的筛选依据是：该参数能否独立支撑一次“检测—定位”判断。若某参数只在特定工况下才有意义，应同时下传其工况标志，否则地面判读容易误判。

健康表征量（Health Indicator, HI）是从原始遥测中提取的、对故障敏感而对正常工况变化不敏感的特征量。常见形式包括：

• 残差型：HI = 实测值 − 模型预测值。例如用母线电压与负载电流估算预期压降，与实际压降比较，残差持续偏大即指向接触电阻增大。
• 一致性型：HI = 三路同类传感器输出的两两偏差。偏差超过容差带即指向其中一路失效。
• 趋势型：HI = 参数在滑动窗口内的变化率。例如某路电流缓慢单调上升，可能指向局部短路前兆。
• 统计型：HI = 噪声方差、误码率、超限次数。用于检测间歇性故障。

以三冗余温度采集为例，设三路传感器 A、B、C 的正常读数在 25 ℃ 附近，容差带 ±1.5 ℃。若某时刻读数为 A=25.2 ℃、B=25.0 ℃、C=31.8 ℃，则两两偏差为 |A−B|=0.2 ℃、|A−C|=6.6 ℃、|B−C|=6.8 ℃。前一对在容差内，后两对均超限，可判定 C 路为故障候选，A、B 一致可信。这一判断过程就是“一致性型 HI + 多数表决”的典型应用，其输出可直接驱动隔离逻辑：将 C 路从表决中剔除，系统降级为双冗余运行。

四、可检测性与可定位性的量化检查

设计完成后，需要用故障模式与影响分析（FMEA）反向核对：对每一个关键故障模式，是否存在至少一个健康表征量对其敏感，且该表征量在正常工况下不会误报。可检测性可用“故障响应幅值 / 正常波动幅值”的信噪比来粗略衡量，一般要求该比值大于 3，否则阈值设置会陷入“灵敏则误报、迟钝则漏报”的两难。

可定位性则要求故障模式与健康表征量之间形成可区分的映射。若两个不同故障模式对同一组 HI 产生相同响应，则它们不可区分，需要增加测试点或引入新的 HI。例如电源模块中“输入滤波电容失效”和“输出滤波电容失效”都可能表现为输出纹波增大，此时需分别观测输入侧和输出侧的纹波，才能定位到具体电容。

五、设计检查清单（示例）

综上，故障隔离的可实现性取决于可观测性设计的完整程度。测试点解决“测得到”，遥测参数解决“传得回”，健康表征量解决“判得准”，三者共同支撑检测、定位、隔离的闭环。设计时应从故障模式出发，逐项核对可检测性与可定位性，避免出现“有冗余、无隔离”的被动局面。