第二章 可靠性理论基础：概率论与数理统计基础、失效模式与效应分析(FMEA)、故障树分析(FTA)
各位同学，咱们今天聊点硬核的。可靠性设计不是拍脑袋，它背后有一套完整的数学和逻辑工具。说白了，你得知道“这东西到底有多可靠”，以及“它万一坏了，会坏成什么样”。
我个人习惯，在讲任何可靠性方法之前，先让大家把概率论和数理统计的基础打牢。为什么？因为后面所有的FMEA、FTA，最终都要落到“概率”这两个字上。你连正态分布都搞不清楚，怎么去算失效率？
2.1 概率论与数理统计基础
航天系统里，我们最常打交道的是“随机事件”。比如一个继电器在发射过程中会不会误动作？一个焊点会不会在振动中疲劳断裂？这些都是随机事件。我们没法100%预测，但可以用概率来描述它。
几个核心概念，我建议你刻在脑子里：
- 概率密度函数 (PDF)：描述随机变量在某个取值点附近的概率分布。对于寿命数据，我们常用指数分布、威布尔分布。
- 累积分布函数 (CDF)：描述随机变量小于等于某个值的概率。在可靠性里，它直接对应“不可靠度”F(t)。
- 可靠度 R(t)：产品在时间t内正常工作的概率。R(t) = 1 - F(t)。
- 失效率 λ(t)：产品工作到t时刻后，在单位时间内发生失效的概率。著名的“浴盆曲线”就是λ(t)的典型形态。
重点： 航天级产品，我们通常要求其工作期处于浴盆曲线的“偶然失效期”。这时候λ(t)近似为常数，可以用指数分布建模。但千万别忘了，早期失效要通过老炼筛选剔除，耗损失效要通过寿命试验来规避。
我记得有一次做星载计算机的可靠性预计，一个刚毕业的同事直接用指数分布算MTBF（平均无故障时间），算出来好几百万小时。我问他：“你考虑过机械继电器和电解电容的耗损失效吗？”他愣住了。嗯，这就是只背公式不看物理背景的典型例子。
数理统计方面，你至少得会用：
- 点估计与区间估计：比如通过少量样本的寿命试验，去推断整批产品的MTBF范围。
- 假设检验：比如判断两个批次的元器件失效率是否有显著差异。
- 贝叶斯方法：在航天领域越来越重要。因为很多时候我们试验样本极少，需要结合先验信息（比如历史数据、专家经验）来更新后验概率。
我的一个小技巧： 在做可靠性预计时，别只盯着MIL-HDBK-217里的公式。那些公式是基于通用工业数据的。对于航天级器件，我建议你优先使用GJB/Z 299C或者供应商提供的实测数据。我曾经因为用了过时的通用数据，导致一个电源模块的可靠性预计值比实际测试值高了整整一个数量级——后来查出来是某批次电容的失效率模型没更新。
2.2 失效模式与效应分析 (FMEA)
FMEA，说白了就是“事前诸葛亮”。在产品设计阶段，就系统地想：这东西可能会怎么坏？坏了之后会有什么后果？有多严重？
我参与过好几个型号的FMEA工作，最深的一个体会是：FMEA不是填表游戏。很多团队把FMEA做成了“为了通过评审而填写的表格”，那完全失去了它的意义。
FMEA的核心步骤，我习惯这么走：
- 定义系统与功能：先画功能框图，搞清楚每个模块是干什么的。
- 识别失效模式：每个功能，可能以什么方式失效？比如“电源模块输出过压”、“通信总线数据错误”。
- 分析失效原因：为什么会这样？是元器件损坏、软件bug、还是外部干扰？
- 分析失效影响：对上一级、对系统、对任务有什么影响？
- 评估风险优先级 (RPN)：RPN = 严重度(S) × 发生频度(O) × 可检测度(D)。
- 制定改进措施：针对高RPN项，必须采取设计改进或检测手段。
注意： 航天系统的FMEA，严重度(S)的评分标准比汽车行业严格得多。比如“导致人员伤亡或任务失败”的严重度是9或10。而“导致功能降级但任务可继续”可能只有6或7。千万别把汽车FMEA的评分表直接拿来用，我见过有人把“卫星姿态失控”评了个7，那简直是灾难。
我曾经在一个项目中，对某型星载计算机的复位电路做FMEA。发现一个失效模式：“复位芯片输出持续低电平”。原因可能是芯片本身损坏或外部电容短路。影响呢？CPU持续复位，整机死机。严重度9，发生频度3，可检测度4，RPN=108。我们当时就加了一个看门狗定时器，并设计了复位信号监测电路。后来在热真空试验中，果然复现了复位芯片输出异常——但看门狗及时切到了备份复位源，系统没死机。嗯，这就是FMEA的价值。
FMEA表格示例（简化版）：
| 功能 | 失效模式 | 失效原因 | 影响 | S | O | D | RPN | 改进措施 |
|---|---|---|---|---|---|---|---|---|
| 电源供电 | 输出过压 | 反馈电阻开路 | 负载损坏 | 9 | 2 | 5 | 90 | 增加过压保护电路 |
| 数据通信 | 数据位翻转 | 单粒子效应 | 指令错误 | 8 | 4 | 3 | 96 | 增加EDAC纠错码 |
2.3 故障树分析 (FTA)
FMEA是“自下而上”的归纳法，而FTA是“自上而下”的演绎法。你想想看，如果系统发生了某个灾难性故障（顶事件），我们倒着推：是什么原因组合导致了它？
FTA用逻辑门（与门、或门、非门等）把事件连接起来，形成一棵倒置的树。我最喜欢FTA的一点是：它能清晰地展示“多因一果”的关系，特别适合分析冗余系统的可靠性。
FTA的基本步骤：
- 定义顶事件：比如“卫星姿态失控”、“推进剂泄漏”。
- 构建故障树：从顶事件开始，逐层分解，直到找到最基本的底事件（比如“某继电器触点粘连”、“某传感器输出超差”）。
- 定性分析：找出所有导致顶事件发生的“最小割集”。最小割集就是导致顶事件发生的最少底事件组合。
- 定量分析：如果知道每个底事件的失效率，就可以计算顶事件的发生概率。
关键点： 对于航天系统，我们特别关注“单点故障”——即一个底事件就能导致顶事件发生的最小割集。这种单点故障必须通过设计消除，或者用冗余来覆盖。我曾经在一个FTA分析中发现，某型太阳翼驱动机构的“电机堵转”是一个单点故障，直接导致太阳翼无法对日定向。后来我们增加了双绕组电机和独立驱动电路，把这个单点故障变成了“双点故障”。
定量分析时，你可能会用到一些概率计算。比如一个“或门”下的两个独立底事件，顶事件概率就是P(A)+P(B)-P(A)P(B)。如果失效率很小，可以近似为P(A)+P(B)。而“与门”下的两个独立底事件，顶事件概率就是P(A)×P(B)。你想想看，冗余设计为什么能大幅提高可靠性？就是因为“与门”把概率乘起来了。
避坑指南： 我曾经犯过一个错误——在FTA中假设所有底事件相互独立。但实际上，很多失效是有共因的。比如同一个电源模块给两个冗余通道供电，电源模块失效就是共因失效。这种情况下，两个通道的失效不是独立的，不能简单用乘法。后来我学会了在FTA中引入“共因失效”模型，或者用β因子法来修正。
FTA与FMEA的关系： 两者不是替代关系，而是互补关系。我个人的做法是：先用FMEA把系统所有可能的失效模式扫一遍，找出高风险项。然后针对这些高风险项，用FTA做深入的原因分析。FMEA是广度，FTA是深度。两者结合，才能把可靠性设计做扎实。
好了，这一章的内容就到这里。概率论是工具，FMEA是方法，FTA是逻辑。这三样东西，你如果能融会贯通，航天嵌入式系统的可靠性设计就算入了门。下一章，咱们聊聊具体的硬件可靠性设计技术——降额、冗余、容错，那才是真正动手干活的部分。