4. 系统安全评估（SSA）：故障树分析（FTA）、失效模式与影响分析（FMEA）
各位工程师，咱们今天聊聊系统安全评估，简称 SSA。说白了，这就是给飞控系统做一次“全身体检”。
我经常跟团队里年轻人讲，设计做完了，别急着高兴。你得问自己一句：“万一这里坏了，会怎样？” 这就是 SSA 的核心思想。它包含两大工具：FTA 和 FMEA。一个从上往下找原因，一个从下往上查影响。嗯，咱们一个一个说。
4.1 故障树分析（FTA）：从顶事件往下挖
FTA，我个人习惯叫它“追根溯源法”。它从一个最不希望发生的事件开始，比如“飞控系统失控”，然后一层层往下拆，直到找到最根本的故障原因。
为什么要用 FTA？
你想想看，飞控系统那么复杂，一个故障可能是多个原因叠加的结果。FTA 能帮你理清逻辑关系，找到最薄弱的环节。我在做某型无人机项目时，就靠 FTA 发现了一个隐藏很深的共因故障——两个冗余传感器居然共用了一个电源模块。这要是没发现，后果不堪设想。
FTA 的基本步骤：
- 定义顶事件：比如“俯仰通道失控”。
- 构建故障树：用“与门”和“或门”连接下层事件。
- 定性分析：找出最小割集，也就是导致顶事件发生的最少故障组合。
- 定量分析：如果数据够，可以算算顶事件发生的概率。
关键点：FTA 是演绎法，从结果推原因。它特别适合分析那些“一失万无”的灾难性故障。
下面这张图，是我手绘的一个简化版故障树，帮你理解逻辑关系：
我的小技巧：画故障树时，别贪多。先聚焦在“灾难性”和“危险性”故障上。那些轻微故障，留给 FMEA 去处理就行。
4.2 失效模式与影响分析（FMEA）：从底事件往上查
FMEA 跟 FTA 正好相反。它是从最底层的元器件或功能模块开始，问自己：“如果这个零件坏了，会发生什么？”
说白了，FMEA 就是一张“故障清单”。我建议每个飞控项目都做一份。我曾经在一个项目中，因为时间紧，跳过了 FMEA，结果试飞时发现一个电阻虚焊导致整个电源纹波超标，差点炸机。从那以后，我再也不敢省这一步了。
FMEA 的核心要素：
| 项目 | 说明 | 我的经验 |
|---|---|---|
| 失效模式 | 这个零件怎么坏的？ | 比如“开路”、“短路”、“漂移” |
| 失效原因 | 为什么会坏？ | 比如“过压”、“过热”、“老化” |
| 失效影响 | 对系统有什么后果？ | 比如“失去高度保持功能” |
| 严重度（S） | 后果有多严重？ | 1-10 分，10 分最严重 |
| 发生度（O） | 发生的概率？ | 1-10 分，10 分最频繁 |
| 检测度（D） | 能不能提前发现？ | 1-10 分，10 分最难发现 |
| 风险优先数（RPN） | S × O × D | RPN 越高，越要优先处理 |
注意：RPN 只是一个参考值，别迷信它。有时候一个 RPN 只有 20 的故障，但后果是机毁人亡，那也得优先处理。我见过有人为了降低 RPN 而故意把严重度打低，这是自欺欺人。
4.3 FTA 与 FMEA 的配合使用
这两个工具不是二选一，而是搭档。我通常的做法是：
- 先用 FMEA 做全面扫描：把系统里每个模块、每个零件的潜在故障都列出来。
- 再用 FTA 做深度分析：针对 FMEA 中发现的“高 RPN”或“灾难性”故障，建一棵故障树，找到根本原因。
举个例子。FMEA 发现“舵机卡死”这个故障的 RPN 很高。那我们就用 FTA 往下挖：舵机卡死的原因是什么？可能是“电机烧毁”，也可能是“齿轮卡住”，还可能是“控制信号异常”。一层层挖下去，直到找到可以采取具体措施的那个点。
总结一下：FMEA 是“广撒网”，FTA 是“重点捕捞”。两者结合，才能把飞控系统的安全漏洞堵死。
嗯，关于 SSA 的内容，今天就先聊到这儿。记住，安全评估不是一次性的工作，而是贯穿整个开发周期的。每次设计变更，都得重新审视一遍。