2. 飞控故障模式与异常场景分类

飞控系统的故障注入与异常场景验证，第一步不是写测试用例，而是把“可能坏在哪里、坏成什么样”讲清楚。飞控是一个典型的闭环安全关键系统：传感器提供状态估计输入，飞控计算机完成控制律解算，执行机构驱动舵面与动力，通信链路连接机载设备与地面站，电源为全系统供电，而外部环境与任务剖面则决定系统承受的扰动边界。任何一环偏离正常行为，都可能通过闭环反馈放大为姿态失控、航迹偏差甚至坠机。因此，本节按故障的物理来源与传播路径，将飞控异常划分为六类：传感器故障、执行机构故障、通信故障、计算资源故障、电源故障、环境扰动与任务异常。

一、传感器故障：从“读数不对”到“状态估计失真”

传感器故障的核心特征是：飞控计算机接收到的物理量测量值与真实值不一致。常见模式包括：

• 卡死（Stuck）：输出固定在某一常数，例如陀螺仪某轴角速率长期保持 0.02 rad/s 不变。此时若其余轴正常，姿态解算会逐渐累积错误。
• 漂移（Drift）：输出随时间缓慢偏离真值，如加速度计零偏以 0.01 g/s 增长。短时飞行可能仅表现为航迹缓慢偏移，长航时则导致高度或速度估计发散。
• 噪声增大（Noise）：测量方差显著上升，例如气压高度计噪声从 0.5 m 增至 5 m，高度控制回路出现高频抖动。
• 偏差（Bias）：输出存在固定偏移，如磁力计航向偏差 15°，直接影响航向保持精度。
• 饱和/削顶（Saturation）：输出被限制在量程边界，如陀螺量程 ±200 °/s，实际角速率 300 °/s 时输出恒为 200 °/s，导致角速率反馈失效。
• 间歇失效（Intermittent）：输出时好时坏，常由接插件接触不良或线缆磨损引起，最难复现与定位。

传感器故障的注入通常采用“信号层叠加”方式：在真实传感器输出上叠加偏置、增益误差、噪声、延迟或直接替换为固定值。验证重点是：飞控是否能在故障后仍保持可控，或至少触发降级/告警。例如，三余度陀螺中单轴卡死，余度管理应能通过比较表决隔离故障源；若双轴同时漂移，则需依赖其他传感器（如加速度计、GPS）进行交叉校验。

二、执行机构故障：控制指令与物理响应脱节

执行机构包括舵机、电机、电调、伺服作动器等。其故障模式直接改变控制效能：

• 卡死：舵面固定在某一偏度，如副翼卡死在 +5°，飞机持续滚转。
• 失效回中：舵机失去动力后回到中立位，控制面不再响应指令。
• 效率下降：舵面实际偏度仅为指令的 60%，操纵响应变弱。
• 反向：舵面运动方向与指令相反，闭环正反馈，极易迅速失控。
• 振荡/抖舵：舵面高频小幅摆动，可能由伺服内部反馈故障或机械间隙引起。
• 饱和/速率限制：舵机最大偏转速率受限，大机动时跟不上指令。

执行机构故障注入常通过舵机测试台、力矩加载器或直接修改飞控输出通道实现。验证时需观察：故障后飞控是否识别到控制效能下降，是否重新分配剩余舵面，是否触发告警并进入安全模式。例如，四旋翼单电机失效后，飞控应通过增加对角电机转速并降低总距来维持姿态，若失效电机位于关键方向，则需触发迫降。

三、通信故障：链路中断、延迟与数据损坏

飞控通信包括机载总线（CAN、RS-422、ARINC 429、Ethernet）与无线链路（遥控、遥测、数据链）。典型故障模式有：

• 链路中断：数据完全丢失，如遥控信号丢失后飞控进入失控保护。
• 延迟增大：端到端延迟从 20 ms 增至 200 ms，闭环相位裕度下降，可能诱发振荡。
• 丢包/错帧：周期性数据出现缺失或 CRC 校验失败，状态估计出现跳变。
• 数据损坏：位翻转导致指令值异常，如油门指令从 50% 跳变为 90%。
• 总线拥塞：多节点同时发送导致仲裁失败，关键帧延迟。

通信故障注入可使用网络损伤仪、总线分析仪或软件模拟器，在链路层注入丢包、延迟、抖动、误码。验证重点是：飞控是否具备超时检测、数据有效性判断、链路切换与降级策略。例如，CAN 总线某节点连续 3 帧未收到，应触发该节点失效告警；若关键指令链路中断超过 500 ms，应进入预设安全状态。

四、计算资源故障：算力、内存与任务调度异常

飞控计算机并非永远“算得过来”。计算资源故障包括：

• CPU 过载：控制周期从 5 ms 延长至 15 ms，控制律相位滞后。
• 内存泄漏/耗尽：长时间运行后堆栈溢出，任务崩溃。
• 任务超时/死锁：关键任务未在截止时间内完成，输出旧值或默认值。
• 数值异常：除零、溢出、NaN 传播，导致控制输出无效。
• 看门狗复位：系统异常后重启，期间飞控失去控制。

此类故障注入可通过在飞控软件中插入延时、占用内存、触发异常分支或使用硬件故障注入器实现。验证时需关注：飞控是否具备时间监控、内存保护、任务健康检查与安全恢复机制。例如，控制任务超时 2 个周期应触发降级，切换至备份控制律或直接进入姿态保持。

五、电源故障：电压跌落、瞬断与浪涌

电源是飞控的“血液”。故障模式包括：

• 电压跌落：主电源从 12 V 降至 9 V，传感器与舵机可能复位或输出异常。
• 瞬断：供电中断 50 ms，飞控计算机可能重启。
• 浪涌/过压：电压尖峰击穿敏感器件。
• 电池电量耗尽：剩余电量不足以维持飞行，需触发返航或迫降。
• 多电源切换失败：主备电源切换时出现短暂断电。

电源故障注入可使用可编程电源、电子负载或继电器切换板，模拟电压跌落、瞬断与浪涌。验证重点是：飞控是否能在电源异常时保持关键功能，是否具备掉电保护、数据保存与安全降落逻辑。

六、环境扰动与任务异常：外部边界与任务逻辑偏离

环境扰动包括风切变、湍流、温度骤变、电磁干扰、GPS 信号遮挡/欺骗。任务异常包括航点错误、任务超时、载荷异常、返航路径被占用等。这类故障往往不直接损坏硬件，但会显著改变系统工作边界。例如，突风 15 m/s 导致姿态偏差超限，飞控应能通过增稳控制抑制；GPS 欺骗导致位置跳变，飞控应通过惯导与视觉交叉验证识别异常。

环境扰动与任务异常的注入通常通过环境模拟器、任务脚本修改或外部信号模拟实现。验证重点是：飞控是否具备边界保护、任务重规划与安全中止能力。

七、分类的工程意义与验证策略

将故障分为六类，不是为了罗列，而是为了在验证中做到“覆盖有据、优先级明确”。传感器与执行机构故障直接影响闭环稳定性，应优先注入并验证余度管理与控制重构；通信故障考验链路健康管理与降级逻辑；计算资源故障关注实时性与任务完整性；电源故障决定系统在极端条件下的生存能力；环境与任务异常则检验飞控在边界条件下的鲁棒性与任务决策能力。

在实际工程中，建议建立一张“故障模式—注入方法—观测信号—通过准则”的对照表。例如：

故障类别	典型注入	关键观测	通过准则示例
传感器卡死	陀螺某轴输出固定 0.02 rad/s	姿态角偏差、余度表决标志	2 s 内隔离故障轴，姿态偏差 < 3°
舵机卡死	副翼固定在 +5°	滚转角速率、剩余舵面偏度	触发告警并进入安全模式，滚转可控
通信丢包	遥控链路丢包率 30%	指令更新周期、失控保护计时	500 ms 内进入失控保护，姿态保持
CPU 过载	控制任务延时 10 ms	控制周期抖动、任务超时计数	超时 2 周期触发降级，无发散
电源瞬断	主电源中断 50 ms	飞控复位标志、传感器状态	不重启或重启后 1 s 内恢复控制
突风扰动	侧风 15 m/s 阶跃	姿态偏差峰值、恢复时间	偏差 < 10°，3 s 内恢复配平