4. 逻辑门与故障树结构表达
故障树之所以能成为航空航天电子系统安全性评估的通用语言，核心在于逻辑门把“底事件如何组合导致顶事件”这一因果结构形式化了。逻辑门不是画图符号，而是对系统失效机理的一种数学承诺：一旦选定某种门，就等于声明了底事件与顶事件之间的布尔关系、失效传播路径以及可用的定量计算方法。选错门，即使底事件概率再准，顶事件结果也会失真。本节按“语义—使用约束—航空航天电子实例”三条线索，逐一梳理六类常用逻辑门。
与门（AND）：冗余与串联约束的语义
与门表示所有输入事件同时发生，输出事件才发生，布尔式为 T = A·B·…。在航空航天电子中，与门最典型的语义是“冗余失效”：双余度飞控计算机通道 A 与通道 B 同时失效，才导致该功能丧失。使用约束有三点必须注意。第一，与门要求输入事件在统计上相互独立，若两通道共用同一电源模块或同一时钟源，共因失效会使“同时发生”的概率被严重低估，此时应引入共因失效模型或改用带共因修正的与门结构。第二，与门在概率上取乘积，量级下降很快，因此对底事件概率的精度更敏感，工程上通常要求底事件数据来自同一数据源或同一环境条件。第三，与门不表达时序，若“同时”实际有先后要求，应改用优先与门。
或门（OR）：单点失效与串联链路
或门表示任一输入事件发生，输出即发生，布尔式为 T = A+B+…。它对应“串联可靠性”或“单点失效”语义：电源模块输出过压、母线短路、负载输入级击穿，任一发生都会导致供电功能失效。或门是故障树中出现频率最高的门，也是最容易被滥用的门。使用约束在于：或门隐含“任一底事件独立足以致顶事件”，因此必须确认没有隐藏的抑制条件。例如某电子设备虽由单路电源供电，但下游有钳位保护，则“电源过压”并不必然导致设备失效，此时应在或门支路中串入“保护电路失效”事件，或改用禁门表达抑制条件。此外，或门在定量上取概率和（小概率时近似），当底事件数量多且概率不小时，需用容斥公式避免高估。
表决门（Voting / k-out-of-n）：余度管理的核心
表决门表示 n 个输入中至少有 k 个发生，输出才发生，记作 k/n。三余度飞控常用的 2/3 表决即属此类：三个通道中任意两个失效，表决结果才不可信。表决门的使用约束比与门、或门更严格。首先，n 个输入必须属于同一功能、同一层级的可比对象，不能把电源失效和传感器失效混入同一表决门。其次，表决门默认各通道独立且失效可检测，若某通道失效后未被隔离，表决逻辑会退化为或门甚至更差。第三，k 的取值直接决定安全性与可用性的权衡：k 越小越安全但误报停机概率越高，k 越大可用性越好但漏检风险上升。工程上常配合“失效检测覆盖率”参数修正表决门概率，而不是直接套用理想 k/n 公式。
禁门（Inhibit）：条件抑制关系的表达
禁门由一个主输入和一个条件输入构成，只有当条件满足时，主输入才能传播到输出，布尔式为 T = A·C，其中 C 为禁门条件。它与与门形式相似，但语义不同：与门强调两个事件都是失效事件，禁门强调条件是一个“使能/抑制”状态，通常不是失效本身。航空航天电子的典型用法是“温度超限时禁止某电路工作”：主输入为“功率管过流”，条件为“散热失效导致结温超过 150 ℃”，只有两者同时成立才输出“功率级烧毁”。使用约束是：禁门条件必须可观测、可判定，否则故障树无法定量；条件事件一般不参与底事件概率统计，而作为条件概率处理。若条件本身也是失效事件，应改用与门以免语义混淆。
异或门（XOR）：互斥状态的精确刻画
异或门表示输入中有且仅有一个发生时输出发生，布尔式为 T = A⊕B。它适合表达“两种互斥失效模式之一”，例如某继电器要么粘连要么断开，二者不会同时成立。在航空航天电子中，异或门常用于双态器件的失效模式分解，或用于差分信号链中“正端失效”与“负端失效”的互斥判断。使用约束非常明确：异或门要求输入事件在物理上互斥，若实际可能同时发生，异或门会漏掉“两者同时发生”这一状态，导致顶事件概率被低估。因此使用前必须确认互斥性来自器件物理机理，而非人为假设。异或门在定量上取 P(A)+P(B)-2P(A∩B)，当互斥成立时交叉项为零。
优先与门（PAND）：时序相关的失效传播
优先与门表示输入事件按指定顺序发生，输出才发生，例如 A 先于 B 发生。它对应“时序敏感”的失效链：先出现时钟漂移，再出现数据锁存错误，才导致总线通信失效；若顺序相反，系统可能已进入安全状态而不会触发顶事件。优先与门是六类门中语义最强、建模最难的一类。使用约束包括：必须明确顺序定义（A 先于 B，还是 B 先于 A），必须确认该顺序在物理上不可逆，且需要底事件具有时间戳或可排序的失效机理。定量分析时优先与门不能简单用乘积，需要引入顺序统计或马尔可夫模型，工程上常借助动态故障树工具求解。若顺序关系不确定，应退回与门并补充说明，避免给出虚假的精确结果。
工程落地：从语义到可计算结构
把上述六类门用于实际故障树时，建议按以下顺序固化建模动作。第一步，先写清顶事件与底事件的物理定义，明确“失效”的判据是功能丧失、性能超差还是安全边界突破。第二步，对每一层因果链逐条追问：是全部同时、任一即可、达到 k 个、有条件抑制、互斥二选一，还是存在先后顺序。第三步，为每个门标注独立性假设与数据来源，凡涉及共因、时序、条件概率的，在门旁加注说明，避免后续定量时误用乘积公式。第四步，用最小割集检查结构合理性：与门产生高阶割集，或门产生低阶割集，若某单点失效意外出现在高阶割集中，说明门型选错或事件层级划分有误。
综上，六类逻辑门在航空航天电子系统中各有明确的语义边界：与门管冗余、或门管单点、表决门管余度管理、禁门管条件抑制、异或门管互斥状态、优先与门管时序链。选门的本质是选因果模型，只有语义、约束与数据三者一致，故障树才具备可计算、可评审、可追溯的工程价值。