2. 高端装备系统边界与故障定义
故障树分析（FTA）的第一步不是画树，而是把“系统”和“故障”这两件事说清楚。如果系统边界模糊、故障定义含糊，后续的建树、定性与定量分析都会失去意义。本节围绕三个核心问题展开：系统如何分层、故障相关术语如何区分、顶事件如何选取。
一、系统层级划分：从整机到元器件
高端装备通常按“整机—分系统—部件—元器件”四级划分，这一划分不是行政层级，而是功能与可更换性的工程约定。以一台工业六轴机器人为例：
- 整机层：机器人本体，对外表现为“完成焊接/搬运任务”的整体能力，是用户直接使用的对象。
- 分系统层：控制系统、伺服驱动系统、机械本体、传感与安全系统。每个分系统承担一项相对独立的功能。
- 部件层：伺服驱动器、减速机、编码器、控制器主板、示教器等可独立更换的单元。
- 元器件层：IGBT功率模块、电解电容、光电编码盘、MCU芯片、轴承滚珠等不可再分的失效单元。
层级划分的关键判据有三条：功能独立性（该层能否独立完成一项功能）、可更换性（现场能否整体拆换）、失效可观测性（该层失效能否被检测或定位）。三条判据同时满足，才适合作为独立分析层级。层级划分过粗，故障树会失去定位能力；划分过细，树规模爆炸且缺乏可维护性。工程上通常以“现场可更换单元（LRU）”作为部件层的实际边界。
二、五个术语的工程定义与区别
故障、失效、缺陷、异常、事故这五个词在日常语言中常被混用，但在FTA中必须严格区分，否则顶事件和底事件的逻辑关系会混乱。
| 术语 | 工程定义 | 关键特征 | 示例 |
|---|---|---|---|
| 缺陷 | 产品在设计、制造或装配中遗留的、尚未导致功能丧失的潜在偏差 | 潜伏性、可存在而不表现 | 焊点虚焊、密封圈安装偏心 |
| 故障 | 系统或单元丧失规定功能的状态或事件 | 功能性、可恢复或不可恢复 | 伺服驱动器过流报警停机 |
| 失效 | 故障发展到不可修复、功能永久丧失的状态 | 终态性、不可逆 | IGBT模块击穿短路 |
| 异常 | 参数偏离正常范围但功能尚未丧失的征兆状态 | 预警性、可观测 | 轴承温度由45℃升至72℃ |
| 事故 | 故障或失效导致人员伤害、财产损失或环境破坏的后果事件 | 后果性、安全性 | 机器人失控撞击导致人员受伤 |
五者的关系可以概括为一条演化链：缺陷在特定应力下诱发异常，异常未被抑制则发展为故障，故障不可修复则成为失效，失效若波及安全则升级为事故。FTA中，底事件通常取“故障”或“失效”级别，而“缺陷”多作为故障原因出现在更底层，“异常”则常作为监测信号或预警事件，“事故”一般作为顶事件的后果描述而非顶事件本身。
三、顶事件选取原则
顶事件是故障树分析的起点，也是整棵树的分析目标。选取不当，会导致树无法收敛或分析结果无工程价值。工程实践中遵循三条原则：
原则一：可观测。顶事件必须有明确的判据，能够通过测试、监测或使用记录判定其是否发生。例如“机器人定位精度超差±0.5mm”比“机器人性能下降”更适合作为顶事件，因为前者有量化阈值，后者无法判定。
原则二：可分解。顶事件必须能够向下展开为若干底事件的逻辑组合。如果某个顶事件无法找到合理的中间事件和底事件，说明它过于笼统或超出了当前分析范围。例如“整机可靠性不足”无法直接分解，而“伺服系统在连续运行8小时后出现过流停机”则可以分解到驱动器、电机、编码器、供电等分支。
原则三：有意义。顶事件应对应安全性、任务完成率、维修成本等工程关注点。FTA不是为建树而建树，顶事件的选择应直接服务于设计改进、故障定位或安全评估。例如在安全评估中，顶事件常取“人员伤害事故”；在维修性分析中，顶事件常取“现场不可快速修复的故障”。
四、边界划分的工程实例
以某型数控机床主轴系统为例，说明边界划分与顶事件选取的实际操作。该主轴系统由主轴电机、驱动器、编码器、轴承组、冷却单元组成。若分析目标是“主轴停转”，则：
- 整机层边界：数控机床，顶事件为“主轴停转导致加工中断”。
- 分系统层：主轴驱动分系统、机械支撑分系统、冷却分系统。
- 部件层：驱动器、主轴电机、编码器、前轴承、后轴承、冷却泵。
- 元器件层：驱动器IGBT、电机绕组、编码器光栅、轴承滚珠。
此时顶事件“主轴停转”满足可观测（转速传感器读数为零）、可分解（可展开为驱动故障、机械卡死、过热保护等分支）、有意义（直接导致加工中断和工件报废）。若将顶事件改为“主轴系统故障”，则过于宽泛，无法聚焦分析。
系统边界与故障定义的清晰程度，直接决定了FTA的可用性。层级划分提供分析粒度，术语区分提供逻辑精度，顶事件选取提供分析焦点。三者共同构成故障树分析的工程基础，也是后续建树、定性和定量分析的前提。