3. 故障注入基本原理与分类

故障注入的本质，是在被测系统正常工作的通路上人为制造一个“不该出现”的物理或电气条件，并观察系统是否能在规定时间内识别、隔离或降级。要理解它，先要理解一个基本模型：任何一条信号链都可以拆成驱动端、传输路径、负载端三段，故障注入就是在这三段中的某一点，改变电压、电流、阻抗或时序中的至少一个量。dSPACE 的故障注入单元（FIU）本质上是一组可编程的半导体开关与电阻网络，它把“改哪一段、改成什么值、持续多久”变成可脚本化的参数。

从电气行为看，所有故障都可以归入两类扰动：改变通路阻抗（开路、短路、对地、对电源）和改变信号本身（偏移、漂移、间歇、总线故障）。前者改变的是“连接关系”，后者改变的是“数值与时间”。理解这条分界线，是选择注入硬件和判断预期结果的前提。

下面把每一类故障放到实际注入场景中说明。假设被测对象是一个 0–5 V 模拟量传感器通道，ECU 内部上拉 2.2 kΩ 到 5 V，传感器输出阻抗约 1 kΩ，采样周期 10 ms，故障判定阈值为“电压 < 0.3 V 或 > 4.7 V 持续 50 ms”。

开路注入时，FIU 断开传感器与 ECU 之间的串联开关。此时 ECU 端因上拉电阻被拉到接近 5 V，若上拉较弱则呈现不确定的悬空电压。判断依据是：电压脱离正常区间且电流趋近于零。开路故障最容易被误判为“对电源短路”，因此需要结合电流测量或上拉阻值来区分。

短路指两根信号线之间被低阻连通。对于差分或双线传感器，短路会让两线电压趋于一致，差分值被压缩到接近 0。注入时通常用 0.5–2 Ω 的功率电阻模拟线束搭接，而不是理想 0 Ω，以更接近真实线束故障。

对地短路与对电源短路是短路的两类特殊形式，区别在于参考点。对地短路把信号钳到 0 V 附近，对电源短路把信号钳到 12 V 或 24 V 电源轨。注入时要注意：如果 ECU 端有上拉，对地短路会形成持续电流，可能烧毁上拉电阻，因此实际测试中应限制注入时间或使用限流电阻。

信号偏移是在正常信号上叠加一个固定直流分量。例如正常输出 2.5 V，注入 +0.5 V 偏移后变为 3.0 V。偏移不改变信号形状，只改变零点，因此常用于验证 ECU 的零点校准和合理性检查逻辑。

漂移是幅值随时间缓慢变化，典型实现是让注入电阻或偏置电压按斜坡变化，例如每秒增加 0.1 V。漂移考验的是 ECU 对“缓慢超出范围”的识别能力，而不是瞬时跳变。判定时通常观察电压是否在若干秒内单调越界。

间歇故障是最接近真实线束接触不良的一类。它按设定的通断时序反复切换，例如 100 ms 正常、50 ms 开路，循环 20 次。间歇故障的关键参数是故障占空比、单次持续时间、重复次数。ECU 的故障确认计数器（如 5 次采样中 3 次异常）会决定它是否最终置位故障码。

总线故障作用于 CAN、CAN FD、LIN 等通信总线，常见形式包括：CAN_H 对地短路、CAN_L 对电源短路、CAN_H 与 CAN_L 短接、终端电阻开路、位翻转。注入后观察的是错误帧计数、总线负载率、节点是否进入 Bus Off。例如 CAN_H 对地短路会让显性电平异常，节点持续发送错误帧，最终可能触发 Bus Off。

把上述分类落到 dSPACE 工具链上，注入方式大致对应三类硬件：继电器/半导体开关用于开路和间歇通断；可编程电阻网络用于短路、对地、对电源和漂移；信号叠加模块用于偏移和总线电平扰动。配置时，每个注入点都要明确四个参数：注入位置（驱动端/路径/负载端）、故障类型、故障值（电阻、电压、时间）、持续时间与重复次数。

实际执行时，建议按“单故障 → 组合故障 → 时序故障”的顺序推进。先验证单一开路或对地短路能否被正确识别，再叠加偏移与间歇，最后验证总线故障与功能降级的联动。每次注入前记录基线电压、电流和通信状态，注入后记录故障码、响应时间和恢复行为。只有基线、注入、恢复三段数据都完整，才能判断 ECU 的故障处理逻辑是否真正符合安全需求。