📚 课程目录第4章故障注入平台搭建

4. 故障注入平台搭建

故障注入平台不是单一工具，而是一套围绕“注入—触发—观测—判定”闭环构建的测试基础设施。它需要把故障源、被测目标、接口适配和监控采集四部分连接起来，使一次注入既能精确施加到目标位置，又能被完整记录和判定。本节从硬件平台、软件工具链、目标系统接口和监控机制四个层面展开，说明如何搭建一个可用于星载存储可靠性测试的故障注入平台。

一、硬件平台：故障源与目标板的物理连接

硬件平台的核心是“故障源”与“被测目标”之间的物理通路。星载存储通常以 NAND Flash、NOR Flash、SRAM、MRAM 或 eMMC 等器件为存储介质，故障注入需要在这些器件的接口信号、供电轨或数据总线上施加扰动。常见的硬件故障源包括：

电源扰动模块：通过可编程电源或高速开关，在存储器件供电引脚上产生电压跌落、毛刺或掉电序列，用于模拟单粒子瞬态、电源噪声或复位异常。
总线信号注入模块：在地址、数据或控制总线上串入多路复用器或 FPGA 逻辑，对特定周期内的信号进行翻转、延迟或屏蔽，模拟位翻转、时序违例或协议错误。
辐照与粒子源：在真实单粒子效应测试中，使用重离子加速器或质子源照射器件，通过束流参数控制注量率，属于物理级故障注入。
FPGA 故障注入板：在目标存储控制器与存储阵列之间插入 FPGA，实时修改读写数据、命令序列或 ECC 校验位，实现可控、可重复的逻辑级注入。

以 FPGA 注入板为例，典型连接方式是：存储控制器输出经注入板进入存储器件，注入板同时旁路采集原始信号。注入板内部维护一张“注入配置表”，记录目标地址、注入位、触发条件和注入次数。当控制器发起对目标地址的写操作时，注入板在数据线上翻转指定比特，再转发给存储器件；读操作时则按配置决定是否翻转返回数据。这种结构使注入位置、注入时刻和注入强度都可编程控制。

硬件平台搭建时，应优先保证注入通路对正常功能“透明”：未触发注入时，信号延迟和电平畸变应控制在接口时序裕量之内，否则会把平台自身缺陷误判为器件故障。

二、软件工具链：从注入配置到结果分析

软件工具链负责把测试意图转化为硬件动作，并回收测试数据。一个完整的工具链通常包含以下环节：

注入配置生成：以脚本或配置文件描述注入目标，例如“对地址 0x0001_2000 的第 3 位在第 100 次写操作时翻转一次”。配置项一般包括目标器件、地址范围、数据位、触发条件、注入次数和持续时间。
注入执行控制：通过 JTAG、UART、以太网或 PCIe 与注入板通信，下发配置、启动注入、暂停或终止测试。执行过程中需要记录每次注入的时间戳和实际生效参数。
目标程序加载：向被测存储控制器或处理器加载测试固件，固件负责执行读写遍历、ECC 校验、数据比对和错误上报。
数据采集与解析：收集注入日志、错误计数、ECC 纠正/不可纠正事件、总线异常和系统复位记录，按注入编号关联。
结果判定与报告：根据“是否出现错误、错误是否可纠正、系统是否恢复”等判据，统计故障率、错误传播路径和恢复成功率。

下面给出一个注入配置的示例片段，用于说明工具链中配置文件的组织方式。该示例为教学假设，不代表真实器件参数：

injection:
  target: NAND_FLASH_0
  address: 0x00012000
  bit: 3
  trigger: write_count == 100
  action: flip_once
  duration_ms: 50
  monitor:
    - ecc_corrected
    - ecc_uncorrectable
    - read_compare_fail

工具链的关键在于“可追溯”：每一次注入都必须能对应到唯一的注入编号，并能回查到当时的地址、数据、触发条件和监控结果。缺少追溯能力时，后续的故障复现和根因分析将无法进行。

三、目标系统接口：注入点与观测点的接入

目标系统接口决定了故障注入平台能否“无侵入”地接入星载存储系统。星载存储的典型接口包括：

存储器件接口：NAND Flash 的 CLE/ALE/RE/WE/IO[7:0]，NOR Flash 的地址/数据总线，eMMC 的 CMD/DAT/CLK。注入点通常选在控制器与器件之间的总线上。
控制器调试接口：JTAG、SWD 或专用调试串口，用于加载固件、读取寄存器和触发内部状态采集。
系统级接口：遥测遥控总线、CAN、SpaceWire 或以太网，用于把监控数据回传到地面测试设备。
供电接口：为电源扰动注入提供可控供电入口，同时引出电压/电流监测点。

接入时应遵循“先观测、后注入”的顺序：先在不注入的条件下采集正常读写波形和时序裕量，确认接口适配不会引入额外误码；再逐步增加注入强度，观察系统响应。对于总线注入，建议使用高输入阻抗探头并行采集，避免因探头负载改变总线电平。

四、监控机制：如何判断故障是否被触发和传播

监控机制是故障注入平台的“眼睛”。没有可靠的监控，注入就只是盲目的扰动。星载存储测试中常用的监控手段包括：

ECC 事件监控：统计可纠正错误和不可纠正错误的数量与地址分布，判断位翻转是否被纠错码捕获。
数据比对监控：在写入时记录原始数据，读取时逐字节比对，直接发现未被 ECC 覆盖的数据错误。
总线协议监控：捕获命令、地址和数据相位，检查是否出现协议违例、超时或重试。
系统状态监控：监测复位次数、看门狗触发、任务超时和遥测异常，判断故障是否传播到系统级。
电流/电压监控：记录供电轨的瞬态变化，关联电源扰动与存储错误。

监控数据需要与注入事件在时间轴上对齐。一种实用做法是：注入板在每次注入时输出一个硬件触发脉冲，监控设备以该脉冲为基准采集前后各一段时间窗口的数据。这样可以把“注入发生”与“错误出现”之间的延迟精确测量出来，用于分析故障传播路径。

从图中可以看出，平台各层之间不是单向的：软件工具链下发配置，硬件平台执行注入，目标系统产生响应，监控机制采集状态并回传，最终由软件工具链完成判定。硬件触发脉冲把注入事件与监控数据在时间上对齐，是保证结果可解释的关键。搭建时应先打通监控通路，再接入注入通路，最后联调闭环，避免在无法观测的情况下盲目注入。

平台联调阶段应设置“空注入”对照：即执行完整流程但不实际翻转任何位。若空注入下仍出现错误计数，说明接口适配或监控逻辑存在问题，必须先排除平台自身误报，再开展真实注入测试。

综上，故障注入平台的搭建可以概括为：硬件平台提供可控的物理扰动通路，软件工具链负责配置、执行与判定，目标系统接口保证无侵入接入，监控机制提供可追溯的观测数据。四者协同工作，才能支撑星载存储可靠性测试中“注入—观测—判定—复现”的完整闭环。