1. 课程导入
当一架多旋翼无人机在120米高空突然丢失遥控链路，或者电池电压在返航途中骤降，飞控系统必须在毫秒级时间内做出判断：继续执行任务、悬停等待、自动返航，还是立即迫降？这一连串决策的背后，就是失效保护（Failsafe）机制。本课程将围绕"如何设计、配置并验证一套可靠的Failsafe体系"展开，帮助学习者从原理到实操建立完整的知识框架。
一、学习目标
完成本课程后，学习者应能够达到以下四个层次的能力目标：
- 理解层：准确解释Failsafe、失效模式、安全边界、冗余设计等核心概念，区分"失效"与"故障"的差异。
- 分析层：针对遥控链路丢失、GPS失锁、电池低压、IMU异常、地理围栏越界等典型场景，分析触发条件与系统响应逻辑。
- 配置层：在ArduPilot/PX4等主流飞控中完成FS_THR_ENABLE、BATT_FS_LOW_ACT、FS_GCS_ENABLE等关键参数配置。
- 验证层：设计地面测试与飞行测试方案，通过日志分析、注入故障、断链模拟等手段验证Failsafe动作是否按预期执行。
核心观点：Failsafe不是"出事后补救"，而是"设计时就假设一定会出事"。验证的价值在于把纸面配置转化为可观测、可复现、可信任的安全行为。
二、核心概念辨析
在进入具体技术细节前，需要先厘清几个容易混淆的术语。失效（Failure）指系统组件丧失规定功能；故障（Fault）是可能导致失效的异常状态；失效保护（Failsafe）则是系统在检测到异常后，主动进入的一种预设安全状态。三者构成"原因—事件—响应"的链条。
另一个关键概念是安全边界（Safety Boundary），它由时间边界、空间边界和能量边界共同定义。例如：链路丢失后必须在3秒内触发返航（时间），返航路径不得穿越禁飞区（空间），剩余电量必须支撑返航加15%余量（能量）。Failsafe验证的本质，就是确认这三类边界在真实扰动下仍然成立。
三、整体课程框架与学习路径
本课程共30章，按照"概念—机制—配置—验证—复盘"的逻辑递进组织。下图展示了课程的整体知识架构与学习路径，帮助学习者建立全局认知。
从上图可以看出，课程遵循"先建立概念、再掌握机制、然后学会验证、最后通过案例巩固"的路径。每一层都以前一层为基础，避免学习者在尚未理解失效模式分类时就直接跳入参数配置。
四、典型场景与验证思维
为了建立直观认知，先看一个典型场景：某四旋翼在自动任务飞行中，遥控器突然关机。此时飞控检测到RC信号丢失，若FS_THR_ENABLE=1且FS_THR_VALUE=975，则触发返航模式。但问题在于：返航高度是否已设置？返航路径是否安全？GPS是否仍然有效？如果GPS同时失效，返航是否还能执行？
这个场景揭示了Failsafe验证的核心思维：单一失效往往不是最危险的，组合失效才是。因此验证不能只测"断遥控"，还要测"断遥控+丢GPS""低压+强风""围栏触发+链路异常"等叠加场景。
验证三原则：①可观测——每个Failsafe动作都要有日志或遥测证据；②可复现——测试条件必须明确记录，他人可重复；③可判定——提前定义通过/失败标准，避免"看起来没问题"。
五、关键参数与验证清单
下表列出了本课程将反复涉及的核心参数及其验证要点，建议学习者在后续章节中对照使用。
| 参数/机制 | 作用 | 典型值 | 验证要点 |
|---|---|---|---|
| FS_THR_ENABLE | 遥控链路丢失保护使能 | 1（启用） | 断链后是否在设定时间内触发返航/降落 |
| FS_THR_VALUE | 触发保护的PWM阈值 | 975 | 接收机输出低于阈值时是否正确识别 |
| BATT_FS_LOW_ACT | 低压保护动作 | 2（返航） | 电压降至阈值后动作是否与配置一致 |
| FS_GCS_ENABLE | 地面站链路保护 | 1 | 数传中断后是否按预设动作执行 |
| FENCE_ENABLE | 地理围栏使能 | 1 | 越界后是否触发返航或悬停 |
| FS_OPTIONS | 连续保护选项 | 按需 | 连续触发时是否进入更安全状态 |
六、常见误区与学习建议
初学者在Failsafe学习中常陷入三个误区。第一，把"配置了"等同于"验证了"——参数写入飞控并不代表动作正确，必须通过实际断链或故障注入确认。第二，只关注单一失效——真实事故往往是多因素叠加，验证设计要覆盖组合场景。第三，忽视日志分析——飞行日志是验证的唯一客观证据，不会看日志就无法判断Failsafe是否真正生效。
安全提醒：所有断链测试和故障注入必须在空旷、无人的场地进行，并提前设置好手动接管方案。禁止在人群上方或禁飞区附近进行Failsafe验证飞行。
建议的学习方法是：每学完一个Failsafe机制，立即在仿真环境（如SITL）中复现一次，再在真实飞机上进行地面测试，最后才安排飞行验证。通过"仿真—地面—飞行"三级递进，既能保证安全，又能加深理解。
# 示例：查看当前Failsafe相关参数（ArduPilot）
param show FS_THR_ENABLE
param show FS_THR_VALUE
param show BATT_FS_LOW_ACT
param show FS_GCS_ENABLE
param show FENCE_ENABLE
# 示例：地面断链测试前检查RC信号
rc 0 # 查看当前遥控输入通道值
status # 查看飞控状态与模式本课程的目标不是让学习者记住一堆参数，而是建立一种"假设会失效、验证能安全"的工程思维。当你能在设计阶段就预判失效路径，在测试阶段用数据证明保护有效，在复盘阶段从日志中找到改进点，你就真正掌握了Failsafe的核心能力。