3. 中断诱因与故障模式分析
无人系统任务中断很少由单一原因瞬间造成，更多是某类诱因先使系统偏离正常状态，再通过控制链、数据链或能源链扩散，最终触发任务暂停、返航或安全降落。要设计可恢复机制，必须先建立“诱因—可观测征兆—影响范围—典型故障模式—恢复切入点”的对应关系。本节按通信中断、传感器失效、执行器故障、能源告警、环境突变与软件异常六类展开，重点说明它们的分类边界与特征差异。
一、通信中断：链路层与协议层要分开看
通信中断可分为物理层中断、链路层中断和协议层中断。物理层中断表现为射频信号强度骤降、误码率升高、丢包率超过阈值；链路层中断表现为心跳超时、重传次数耗尽、连接状态由 ESTABLISHED 转为 LOST；协议层中断则链路仍在，但消息序列号跳变、时间戳失序或 QoS 降级。三类诱因的恢复策略完全不同：物理层需要调整天线指向或切换频段，链路层需要重建连接，协议层需要重同步或丢弃过期指令。
以某巡检无人机为例，数传链路配置心跳周期 1 s、超时阈值 3 s、最大重传 5 次。当 RSSI 从 −75 dBm 降至 −92 dBm，丢包率由 0.5% 升至 18%，3 s 内未收到心跳，飞控判定链路丢失并进入悬停等待。此时若 10 s 内链路恢复且序列号连续，可继续任务；若序列号断裂超过 20 帧，则必须重新下发航点，不能直接续飞。这说明通信中断的恢复判断不仅看“是否连上”，还要看“状态是否一致”。
二、传感器失效：从数据合理性入手
传感器失效包括硬失效、软失效和漂移失效。硬失效是输出恒定值或完全无输出；软失效是数据仍在更新但噪声异常、跳变或卡死；漂移失效是缓慢偏离真值，短时间难以察觉。典型征兆包括：IMU 角速度方差突增、GPS 卫星数骤降且 HDOP 升高、视觉里程计特征点数量低于阈值、激光雷达点云缺失率超过 30%。
判断传感器是否失效，不能只看单帧，而应结合多源一致性。例如 GPS 与视觉里程计水平位置差超过 5 m 且持续 2 s，可判定其中一路异常；若 IMU 与磁力计航向差超过 15°，则优先怀疑磁干扰。恢复策略上，硬失效应切换冗余传感器；软失效可降权融合；漂移失效需要在线标定或重启对应节点。若冗余不足，则应降级任务，例如从自主导航降为定高悬停。
三、执行器故障：关注指令与响应的偏差
执行器故障包括电机堵转、舵机卡死、推力不对称、响应迟滞和饱和。其核心特征是“控制指令已发出，但系统响应与预期不符”。例如四旋翼某一电机转速指令为 70%，但反馈转速仅 20%，且电流升高，说明堵转或桨叶卡滞；固定翼舵面指令 10°，但姿态角速度无对应变化，说明舵机失效或连杆脱落。
执行器故障的危险在于会迅速引发姿态失控。因此恢复机制通常分两级：第一级是控制重构，例如四旋翼通过调整对角电机推力维持姿态，但会损失航向控制能力；第二级是任务降级，例如放弃原航线，就近安全降落。判断依据可设为：姿态角偏差超过 20° 且持续 1 s，或高度损失率超过 3 m/s，即触发紧急恢复。
四、能源告警：分级阈值与返航余量
能源告警不是简单的“电量低”，而应分为提示级、返航级和迫降级。以锂电池无人机为例，可设三级阈值：剩余电量 30% 为提示级，仅提醒任务人员；20% 为返航级，自动计算返航所需能量并中止非关键任务；10% 为迫降级，立即选择最近安全点降落。返航级判断必须结合风速、载重和返航距离，不能只看百分比。
例如返航距离 2 km、逆风 8 m/s、巡航速度 12 m/s，则返航时间约 167 s，按悬停功率 1.2 kW 估算需约 0.056 kWh；若当前剩余能量仅 0.05 kWh，则即使电量显示 18%，也应提前进入返航。能源告警的恢复切入点通常是任务优先级重排：先保安全，再保平台，最后保任务数据。
五、环境突变与软件异常：外部扰动与内部缺陷
环境突变包括突风、降雨、温漂、电磁干扰和 GNSS 欺骗。其特征是外部输入在短时间内超出设计包线，例如突风使姿态角速度峰值超过 60°/s，或 GNSS 位置跳变超过 50 m。软件异常则包括任务调度死锁、内存泄漏、消息队列溢出、状态机卡死和版本不兼容。软件异常往往没有明显物理征兆，但会表现为心跳正常而任务无进展、日志停止更新或 CPU 占用持续 100%。
两类诱因的恢复方式不同：环境突变应触发保护性悬停、降低灵敏度或切换导航源；软件异常应触发看门狗复位、节点重启或回滚到安全状态机。若软件异常反复出现，则不能只靠重启，必须定位到具体模块和触发条件。
六、分类与特征对照
六类诱因在可观测性、扩散速度和恢复难度上差异明显。通信中断通常可观测性强，但恢复依赖链路质量；传感器失效隐蔽性高，需多源交叉验证；执行器故障扩散最快，必须在秒级内响应；能源告警变化缓慢，但一旦进入迫降级余量极小；环境突变具有突发性，恢复重点是保护与降级；软件异常最难定位，恢复往往需要重启甚至回滚。实际系统中，多类诱因可能同时出现，例如强风导致姿态偏差，进而引发执行器饱和，再触发能源消耗加快。因此故障模式分析不能孤立看单类，而应建立耦合关系。
综上，中断诱因分析的目标不是罗列故障名称，而是把每类诱因转化为可检测、可判定、可恢复的工程条目。只有明确“什么征兆对应什么故障模式、什么条件下触发什么恢复动作”，后续的中断恢复机制才有稳定的输入和清晰的边界。