3. 故障注入基础理论与分类

在 MicroAutoBox 快速原型环境中做故障注入，第一步不是接线，而是把“故障”本身说清楚。故障注入的本质，是在被控对象、传感器、执行器或控制器信号链上，人为引入一个受控的、可复现的偏差，然后观察系统响应是否满足预期。若故障模型定义不清，注入结果就无法与真实失效对应，测试结论也就失去意义。因此本节从时间维度、电气维度和功能维度三个视角，建立故障分类框架，并说明它们与安全机制触发之间的关系。

一、按时间特性分类：永久、间歇与瞬态

时间维度决定故障是否可恢复、是否可重复，直接影响测试用例的设计方式。

永久故障（Permanent Fault）指故障一旦发生便持续存在，直到人为修复。典型例子是传感器供电线断开、执行器驱动 MOSFET 击穿短路、线束被剪断。在 MicroAutoBox 上，永久故障通常通过继电器或模拟开关长期断开/短接某条信号线来实现，注入后整个测试周期内状态不变。它的测试重点是验证系统能否进入并保持在安全状态，而不是能否自动恢复。

间歇故障（Intermittent Fault）指故障反复出现又消失，具有随机或周期性。例如接插件接触不良、线束在振动下瞬时断开。这类故障最难诊断，因为它可能只在特定转速、温度或振动条件下出现。在快速原型中，可用可编程继电器按设定占空比和频率通断，模拟“接触时好时坏”。测试时需关注故障出现的频率、持续时间和间隔是否被诊断逻辑正确统计。

瞬态故障（Transient Fault）指持续时间极短、单次发生的扰动，如 EMC 干扰导致的单次信号跳变、电源瞬降引起的复位。它往往不改变硬件，但会污染采样值。MicroAutoBox 可通过在信号链中叠加短脉冲或使用高速开关注入毫秒甚至微秒级扰动。瞬态故障的验证重点是滤波、去抖和冗余比较等机制能否抑制误判。

二、按电气特性分类：开路、短路与漂移

电气维度描述故障在物理层如何改变信号，是选择注入硬件和注入点的主要依据。

开路故障指信号线或供电线断开，回路电流为零。对电压型传感器，控制器端可能因下拉电阻读到 0V；对电流型传感器则读到 0mA。开路注入常用常闭继电器串联在线路中，触发后断开。需要注意的是，开路后信号并非总是“零”，取决于控制器输入端的偏置电路，因此注入前应确认实际读值。

短路故障分为对电源短路、对地短路和线间短路。对电源短路使信号被拉高到电源电压，对地短路拉低到 0V，线间短路则使两路信号互相耦合。短路注入可用继电器将信号线切换到电源或地，或用低阻值电阻模拟部分短路。短路往往伴随大电流，可能损坏真实 ECU，因此在快速原型阶段应串入限流保护。

漂移故障指信号没有完全失效，而是缓慢偏离真实值，如传感器老化导致零点偏移或增益变化。漂移注入通常通过叠加一个缓慢变化的偏置电压或修改标定系数实现。它不会立即触发硬故障，但可能使闭环控制性能下降，是诊断“软故障”的重要对象。

三、功能故障与安全机制触发的关系

电气故障是“因”，功能故障是“果”。功能故障指系统无法完成预期功能，例如扭矩输出异常、转速控制失稳、通信报文丢失。安全机制则是介于两者之间的监控与响应层。理解这条因果链，才能设计出有意义的注入用例。

以加速踏板位置传感器为例：若注入对地短路，控制器读到 0V，功能层表现为“驾驶员无加速请求”，安全机制可能判定为传感器信号不合理，触发跛行回家模式。若注入漂移，信号缓慢偏高，功能层表现为非预期加速，安全机制则依赖双路传感器一致性比较来识别。可见，同一电气故障在不同安全机制配置下，触发路径和响应时间可能完全不同。

四、故障模型与注入参数的对应关系

把上述分类落到 MicroAutoBox 工程实现上，需要为每类故障确定可配置参数。下表给出常见故障模型与注入参数的对应示例，参数值为教学示例，实际工程中应根据被控对象和安全目标调整。

需要强调的是，故障注入不是“随便断一根线看会怎样”，而是先定义故障模型，再确定注入参数，最后用安全机制的响应来判定系统是否满足设计要求。永久故障验证安全状态的保持能力，间歇故障验证诊断策略的鲁棒性，瞬态故障验证抗干扰能力，开路/短路/漂移则分别覆盖硬失效与软失效。只有把分类框架与具体注入参数、观察指标对应起来，后续在 MicroAutoBox 上搭建的故障注入工程才具有可复现性和工程价值。