1. 课程导入与航天器测试全景

航天器一旦发射入轨，绝大多数故障都无法像地面设备那样“停机检修”。因此，航天器研制的核心逻辑不是“出了问题再修”，而是在发射前把问题逼出来、在轨时把异常兜住。故障注入与异常恢复测试，正是支撑这一逻辑的两类关键试验手段：前者主动制造故障，验证系统“能不能发现、能不能隔离”；后者验证系统在异常发生后“能不能自主或地面干预下恢复”。

先厘清定义。故障注入（Fault Injection）是指通过硬件、软件或半实物手段，人为向被测对象引入可控的、可复现的故障或异常激励，观测系统响应是否满足设计预期。它注入的对象可以是单机、总线、供电、传感器信号，也可以是软件变量、内存位、任务调度时序。异常恢复测试（Anomaly Recovery Test）则是在故障已发生或异常已被触发的条件下，检验航天器的故障检测、隔离、重构、安全模式进入与退出、地面遥控恢复等机制是否有效。二者常成对出现：注入是“制造异常”，恢复是“验证处置”，合起来构成一条完整的“故障—检测—处置—恢复”验证链。

为什么必须做这两件事？因为航天器的可靠性指标（如寿命、可用度、单点故障容忍能力）无法仅靠分析和仿真证明。以某低轨遥感卫星为例，其姿控分系统要求“陀螺单机失效后 3 秒内完成故障隔离并切换备份，姿态偏差不超过 0.05°”。这个指标只能通过真实注入陀螺输出异常（如零偏跳变、数据冻结、超量程）并观测切换过程来确认。若只做数学仿真，往往忽略总线延迟、软件任务周期抖动、备份机加电时序等真实因素，结论不可信。

把这两类测试放回型号研制流程，才能看清它们的位置。航天器研制通常经历方案、初样、正样、发射与在轨测试几个阶段。方案阶段以分析和仿真为主，故障注入多用于“故障模式与影响分析（FMEA）”的验证性仿真；初样阶段开始有电性星、结构星，故障注入以电缆模拟盒、断电器、信号源为主，重点验证接口和供配电逻辑；正样阶段进入系统级测试，故障注入与异常恢复测试成为环境试验、EMC 试验、软件确认测试的固定科目；发射前则通过发射场测试再次抽检关键恢复路径。可见，故障注入不是某个阶段的“附加项”，而是贯穿初样到发射前的验证主线。

上图把本课程的知识地图压缩成一条主线：研制流程定位 → 注入手段 → 被测对象与观测点 → 恢复机制 → 验证反馈。左侧五类注入手段对应不同的试验环境与逼真度；中间是被测对象和必须采集的观测点；右侧是恢复机制的五个层次；底部虚线表示验证结果要回流到 FMEA 和恢复策略，形成迭代。

学习本课程，建议按“先建立验证闭环意识，再掌握具体手段”的路径推进。第一阶段理解故障注入与异常恢复在型号流程中的位置，能读懂 FMEA、测试大纲和恢复策略文档；第二阶段掌握硬件注入、软件注入、总线注入的具体实现，包括断电器接线、变量篡改点选择、1553B 错误帧构造；第三阶段进入系统级综合，能把注入用例、观测点、判据组织成可执行的测试序列；第四阶段面向排障与复盘，能从遥测异常反推注入是否有效、恢复是否达标。

需要特别强调的是，故障注入不是“随便搞坏一个东西看系统反应”。有效的注入必须满足可控、可复现、可观测三个条件。可控指注入时机、幅度、持续时间可精确设定；可复现指同一用例重复执行结果一致；可观测指注入前后有明确的遥测、日志或总线数据作为判据。以陀螺零偏注入为例，若只把陀螺输出拉偏，却不记录注入时刻、偏置量和姿控切换时间，测试结论就无法支撑“3 秒内隔离”的指标验证。

异常恢复测试同样有边界。并非所有异常都要求航天器自主恢复：单粒子翻转导致的软件位错误，通常由看门狗复位或EDAC 纠正；而姿控陀螺永久失效，则需要主备切换甚至进入安全模式等待地面干预。因此恢复策略的设计必须与故障等级、任务阶段、能源状态匹配。测试时要验证的正是这种匹配关系——该自主恢复的能否自主恢复，该转安全模式的能否正确转入，该等地面指令的能否保持可控状态。