4. 故障注入平台与工具链搭建

飞控故障注入不是“在代码里随便改个变量”就能完成的工作。要让注入结果可信、可复现、可追溯，必须先把平台与工具链搭起来。这一节围绕实时仿真环境、MIL/SIL/HIL 三类在环方式、故障注入单元（FIU）以及数据采集与监控（DAQ/Monitor）展开，目标是让读者理解各环节的职责边界、连接关系和典型参数，并能据此规划一套可落地的验证环境。

一、四类在环方式：从纯模型到真实硬件

在环方式的核心区别在于“被测对象是什么”和“运行在什么时间基准上”。MIL（Model-in-the-Loop）阶段，控制器模型与被控对象模型都在仿真软件中运行，时间由求解器推进，适合验证控制律逻辑与算法正确性，此时注入的是模型内部的信号或参数，例如把高度反馈通道叠加一个 2 m 的阶跃偏置，观察姿态回路是否收敛。SIL（Software-in-the-Loop）阶段，控制器由模型自动生成 C 代码并在主机上编译运行，被控对象仍为模型，重点验证代码生成、定点/浮点差异和接口一致性，注入点通常位于软件接口层，如传感器输入结构体。HIL（Hardware-in-the-Loop）阶段，真实飞控计算机接入，被控对象与传感器、执行机构由实时仿真机模拟，通过 IO 板卡与飞控交联，注入发生在电气信号层，最接近真实故障。MIL/SIL 属于非实时或软实时，HIL 必须硬实时，典型步长 1 ms 甚至 0.5 ms，抖动需控制在步长的 10% 以内。

选择哪种方式取决于验证目标：算法早期用 MIL 快速迭代；代码集成后用 SIL 做回归；涉及硬件接口、时序、总线或电气故障时，必须上 HIL。三者不是替代关系，而是逐级递进的证据链。

二、实时仿真环境的关键约束

HIL 的实时仿真机需要满足确定性调度。以某型固定翼飞控验证为例，仿真模型包含气动、发动机、大气和传感器模型，解算周期设为 1 ms，通过 RTOS 的定时任务触发。若某步计算超时，仿真时间与真实时间脱节，注入的故障时序就失去意义。因此搭建时要关注三点：一是模型解算负载不超过 CPU 的 70%，留出余量；二是 IO 板卡的采样与更新与仿真步长对齐，避免混叠；三是仿真机与飞控之间的信号地、电平、阻抗匹配，例如 PWM 输出为 5 V TTL，而飞控接收为 3.3 V，需加电平转换，否则注入的“信号丢失”可能被误判为电平不匹配。

三、故障注入单元（FIU）的接入方式

FIU 是故障注入的执行机构，常见实现有继电器矩阵、模拟开关、可编程电阻和总线故障注入器。以传感器信号注入为例，若要在飞控与大气数据计算机之间注入“空速信号漂移”，可将 FIU 串接在信号线上，通过继电器切换真实信号与仿真信号，再叠加可编程电压偏置。对于 ARINC 429 或 CAN 总线，则使用总线故障注入器，在指定帧 ID 上修改数据字或制造校验错误。FIU 的通道数、切换时间、导通电阻和隔离电压是选型关键参数。切换时间应远小于故障持续时间，例如注入 100 ms 的脉冲故障，切换时间需小于 5 ms，否则故障边沿会被模糊。

四、数据采集与监控：让故障可观测

注入之后必须能回答“故障是否发生、系统如何响应、是否触发保护”。数据采集系统需要同步记录三类数据：飞控内部状态（姿态、角速率、模式字）、总线数据（传感器帧、指令帧）和电气信号（PWM 占空比、电压）。同步精度直接影响因果判断，建议所有采集通道共用同一时基，采样率至少为仿真步长的 2 倍。监控界面应设置阈值告警，例如俯仰角速率超过 60 °/s 持续 200 ms 即标记为异常，便于在回放时快速定位。

五、工具链的协同与配置示例

一套典型的 HIL 工具链包含：建模工具（如 Simulink）、代码生成工具、实时仿真机、IO 板卡、FIU、DAQ 和监控软件。它们之间的协同依赖统一的接口定义。下面给出一个简化的故障注入配置片段，用于描述“空速信号阶跃偏置”这一注入用例：

fault_case:
  name: "airspeed_step_bias"
  target: "ADC_CH3_airspeed"
  type: "analog_bias"
  start_time: 5.0s
  duration: 2.0s
  bias_voltage: 0.35V      # 对应约 15 m/s 空速偏置
  trigger: "auto"
  monitor:
    - signal: "pitch_rate"
      threshold: 60 deg/s
      window: 200ms
    - signal: "airspeed_valid"
      expect: false

该配置的含义是：在仿真第 5 s 时，对空速模拟通道叠加 0.35 V 偏置并持续 2 s，同时监控俯仰角速率是否超过 60 °/s、空速有效性标志是否置假。若两者均触发，说明故障被正确注入且飞控保护逻辑响应。注意，0.35 V 与 15 m/s 的对应关系取决于传感器标定曲线，实际使用前需根据量程和增益换算，不能直接套用。

六、搭建顺序与常见问题

建议按“先通后注、先静后动、先单后多”的顺序搭建：先让仿真机与飞控完成无故障闭环，确认信号链路和实时性正常；再接入 FIU，用直通模式验证切换不影响信号；然后注入单一故障，观察监控数据；最后叠加多故障或时序故障。常见问题包括：地环路导致模拟信号漂移、FIU 继电器抖动引入毛刺、DAQ 采样与仿真步长不同步造成相位偏差、总线注入器未正确终止导致通信中断。排查时优先用示波器观察注入点前后波形，再对照监控日志的时间戳，确认故障边沿与响应边沿的因果关系。