2. 航空航天电子系统失效模式与故障树基本要素

故障树分析（FTA）在航空航天电子领域之所以有效，是因为它把“系统为什么会失效”这个模糊问题，拆解成一组可枚举、可推理、可验证的基本要素。要建立一棵能用于工程判断的故障树，首先必须清楚两件事：一是航空航天电子系统究竟会以哪些方式失效；二是故障树本身由哪些符号和层级构成。前者决定树的“内容”，后者决定树的“语法”。

一、典型失效模式的四个来源

航空航天电子系统的失效很少是单一原因造成的，通常可归入四类来源：电子硬件失效、软件异常、环境应力和接口故障。它们的作用机理不同，在故障树中的位置和展开方式也不同。

电子硬件失效是最直观的一类。典型形式包括：电阻、电容、电感等无源器件的参数漂移或开路短路；二极管、三极管、MOSFET 的击穿与漏电流增大；集成电路的闩锁、单粒子翻转、栅氧击穿；连接器插针氧化、焊点疲劳开裂、PCB 走线断裂。硬件失效往往有明确的物理位置和可测量的电参数，例如某电源模块输出纹波由 50 mV 上升到 300 mV，或某 FPGA 配置存储器在辐照后出现位翻转。这类事件在故障树中通常作为底事件，并可通过 FMEA 或测试数据给出失效率。

软件异常是航空航天电子区别于一般电子系统的关键。软件不会“磨损”，但会因需求缺陷、边界条件、时序竞争、内存越界、任务调度超时、数值溢出等原因产生异常输出。例如飞控软件在传感器数据跳变时未做合理性判断，导致控制律输出饱和；或通信协议栈在丢包重传时进入死锁。软件异常在故障树中常表现为“某功能输出错误”的中间事件，其下再分解为具体的代码路径或逻辑条件。

环境应力是诱发和加速失效的外部因素。航空航天环境包括高低温循环、振动与冲击、低气压、湿度、盐雾、电磁干扰和空间辐射。环境应力本身不一定直接损坏器件，但会通过热胀冷缩、疲劳、腐蚀、介质击穿等机理使硬件参数退化。例如，-55℃～+125℃ 的温度循环会使 BGA 焊点产生热疲劳裂纹；随机振动会使连接器接触电阻瞬时增大。在故障树中，环境应力通常作为底事件或与硬件失效组合的“与门”输入。

接口故障发生在系统边界上，包括电气接口、数据接口和机械接口。典型形式有：供电电压跌落或浪涌、地环路干扰、差分信号共模超限、总线协议不匹配、连接器插拔力不足导致接触不良、光电隔离器件老化。接口故障的特点是“单点影响面大”，一个连接器故障可能同时导致多个下游功能失效，因此在故障树中常被提升为中间事件，向下再分解为机械、电气和协议三个分支。

二、故障树的层级与事件类型

故障树是一种倒置的树形逻辑图，顶端是系统级的不希望事件，向下逐层分解，直到不需要或不能再分解的基本事件。它的基本要素包括事件、逻辑门和转移符号。

顶事件是分析的目标，通常定义为系统级或分系统级的失效状态，例如“飞控计算机丧失俯仰控制输出”“导航系统输出位置误差超限”。顶事件必须边界清晰、可观测、可判定，不能写成“系统不可靠”这类模糊表述。

中间事件是由下层事件通过逻辑门组合产生的失效状态，它既是上层门的输入，又是下层门的输出。中间事件的作用是把复杂失效逐级拆解，使每一层只处理有限的原因集合。例如“电源模块无输出”可分解为“输入电源中断”“内部开关管失效”“反馈环路开路”等中间事件。

底事件是故障树的最底层，表示不再继续分解的基本失效原因，如“电容 C12 开路”“软件模块 A 未处理空指针”“连接器 J3 第 5 针接触电阻大于 1 Ω”。底事件应具备明确的失效判据和可获取的失效率数据，否则故障树无法进行定量计算。

逻辑门描述事件之间的因果逻辑。最常用的是“与门”和“或门”。与门表示所有输入同时发生才导致输出事件，常用于冗余系统或需要多个条件同时满足的失效场景；或门表示任一输入发生即导致输出事件，常用于串联环节或单点故障。实际分析中还会用到禁门、优先与门、异或门等，但在航空航天电子故障树中，与门和或门覆盖了绝大多数情况。

转移符号用于处理大型故障树的重复子树和跨页连接。转移出去符号表示该子树在别处继续展开，转移进来符号表示此处引用另一处的子树。它的价值在于避免同一逻辑分支被重复绘制，同时保持树的结构完整和可读性。

三、失效模式与故障树要素的对应关系

把失效模式映射到故障树要素，是建模时最关键的判断。硬件失效通常落在底事件层，但若某硬件失效由多个机理共同导致，也可先设为中间事件再向下展开。软件异常往往先以“功能输出错误”的中间事件出现，再分解到具体的逻辑条件或代码路径。环境应力既可作为独立底事件，也可与硬件失效通过“与门”组合，表示“应力存在且器件薄弱”才导致失效。接口故障则常作为中间事件，向下覆盖机械、电气和协议三个方向。

下面这张图把四类失效来源、故障树的三级事件和逻辑门组织在同一张关系图中，用于快速定位某一失效模式在树中的典型位置。

从图中可以看出，顶事件通过或门向下展开为四个中间事件，分别对应硬件、软件、接口和环境四类失效来源。硬件分支下用或门连接电容开路和 MOSFET 击穿两个底事件；软件分支用与门表示“空指针”与“边界溢出”同时出现才导致输出异常；接口分支用或门连接连接器接触不良和温度循环疲劳；环境分支用与门表示温度循环与辐射共同作用才导致应力累积失效。转移符号单独列出，用于处理重复子树。

四、建模时的关键判断

在实际建模中，最容易出错的是事件层级和逻辑门的选择。一个经验规则是：如果下层事件中任意一个发生就会导致上层事件，用或门；如果必须全部发生才导致上层事件，用与门。对于冗余设计，通常用与门表示“两套冗余同时失效”；对于串联环节，通常用或门表示“任一环节失效即导致系统失效”。

另一个关键是底事件的粒度。底事件不能太粗，否则无法定量；也不能太细，否则树会膨胀到无法维护。一般以“有独立失效率数据、有明确失效判据、可独立更换或修复”为底事件的划分标准。例如，“电源模块失效”太粗，应分解到“开关管击穿”“反馈电阻开路”“输出电容短路”等；而“某个焊点内部晶粒结构变化”又太细，通常归入“焊点疲劳开裂”即可。

掌握失效模式的四类来源和故障树的五类基本要素之后，下一步就可以进入具体的建树流程：确定顶事件、定义边界、逐层分解、选择逻辑门、标注转移符号，并最终形成可用于定性割集分析和定量概率计算的结构化模型。