1. 飞控系统与故障注入验证导论
飞控系统（Flight Control System，FCS）是飞行器实现姿态稳定、航迹跟踪与任务执行的“神经中枢”。它并不是单一软件，而是由传感器、飞控计算机、执行机构、供电与总线网络共同构成的闭环系统。理解故障注入与异常场景验证，第一步必须把飞控系统的组成与信号流向看清楚，否则后续注入什么、在哪里注入、如何判断结果都无从谈起。
从信号链角度看，飞控系统可划分为四个层次。感知层包括惯性测量单元（IMU）、大气数据系统（ADS）、磁力计、GNSS 接收机等，负责把飞行器的角速率、加速度、姿态、空速、位置等物理量转换为数字信号。计算层是飞控计算机（FCC），通常采用双余度或三余度架构，运行控制律、导航滤波、余度管理与健康监控。执行层包括舵机、电机电调、推力矢量机构等，把控制指令转换为气动或推力动作。能源与网络层提供供电、ARINC 429、CAN、RS-422、以太网等总线通信，是各层之间的“血管”。
所谓故障注入（Fault Injection），是指在受控条件下，人为地向系统引入一个已知的、可复现的故障或异常，用以观察系统在故障下的行为、余度切换、告警与降级逻辑是否正确。它与“等故障自然发生”有本质区别：故障注入强调可控、可观测、可复现。注入对象可以是传感器数据、总线报文、软件变量、供电电压，甚至是执行机构的反馈信号。注入方式则分为物理注入（断线、串接电阻、信号发生器替换）、总线注入（伪造或篡改报文）、软件注入（在仿真模型或代码中修改数值、置位故障标志）三类。
异常场景验证的目标不是“让系统坏掉”，而是回答三个问题：故障是否被正确检测？检测后系统是否按设计降级或重构？降级后的飞行品质与安全性是否仍在可接受范围内。这三个问题对应检测覆盖率、重构正确性和残余能力评估三个维度，也是适航审查中重点关注的内容。
适航与安全性要求为故障注入提供了“标尺”。以民用飞机为例，CCAR/FAR/CS 25.1309 要求系统失效概率与其后果等级匹配：灾难性失效概率需低于 10⁻⁹/飞行小时，危险性失效低于 10⁻⁷，较大失效低于 10⁻⁵。ARP4754A 规定研制保证流程，ARP4761 给出安全性评估方法（FHA、PSSA、SSA），DO-178C 约束机载软件生命周期，DO-254 约束复杂电子硬件。故障注入验证正是证明“这些分析结论在真实系统中成立”的关键手段。
本课程实践路线图按“认识系统—搭建环境—设计用例—执行注入—分析结果—形成证据”推进。下面这张图给出飞控信号链与故障注入点的对应关系，帮助建立整体空间感。
结合上图，可以明确本课程的核心工作对象：注入点①对应传感器故障（如 IMU 漂移、ADS 卡死），注入点②对应计算与逻辑故障（如表决器错误、健康监控漏报），注入点③对应执行机构故障（如舵机卡滞、电调失效），注入点④对应通信与供电故障（如总线丢帧、电压跌落）。每一类故障都需要设计对应的异常场景、观测量和判据。
以 IMU 角速率漂移为例，说明一次典型注入验证的完整过程。假设三余度 IMU 中 A 通道俯仰角速率在 10 s 时刻开始以 0.5 °/s² 的速率漂移，持续 5 s。注入前需记录三通道原始值、表决输出、健康标志与告警状态。注入后观察：健康监控是否在漂移超过阈值（示例阈值设为 2 °/s）后 200 ms 内将 A 通道标记为故障？表决逻辑是否自动切换到 B、C 通道？切换瞬间俯仰角速率输出是否出现超过 1 °/s 的跳变？若切换平滑且告警正确，则该项通过；若出现跳变或漏报，则需回溯控制律与监控阈值设计。
再看总线注入的示例。在 CAN 总线上以 20 ms 周期发送舵面指令报文，注入手段为每 10 帧丢弃 1 帧，持续 3 s。观测接收端的帧计数、超时计数与降级标志。若接收端在连续 3 帧丢失后进入降级模式并保持舵面在安全位置，则说明通信监控逻辑有效。这类验证的关键是把“故障—检测—响应—残余能力”串成一条可观测的证据链，而不是只看某一个信号是否异常。
安全性要求还决定了验证的严格程度。对于灾难性后果相关的功能，注入测试需要覆盖所有已识别的失效模式，并证明在最坏情况下系统仍能保持安全飞行或安全降级。对于较大后果相关的功能，可适当抽样，但抽样必须基于失效模式与影响分析（FMEA）的结果，不能随意选取。适航审查时，注入用例、注入配置、原始数据、判据与结论需要形成可追溯的验证证据包。
本课程后续将围绕上述路线展开：先建立飞控系统与故障注入的基本概念，再进入仿真环境搭建、注入工具使用、典型传感器与总线故障用例设计、执行与数据采集、结果分析与报告撰写，最后结合适航安全性要求完成综合验证项目。学习时建议始终带着三个问题：这个故障在真实系统中如何发生？注入后系统应该有什么反应？我用什么数据证明它反应正确？把这三个问题贯穿始终，故障注入就不再是“制造异常”，而是一种严谨的安全性验证方法。