1. 课程导入与航空航天电子故障注入验证全景
航空航天电子系统的可靠性，不能只靠“设计时觉得没问题”来保证。飞控计算机在强电磁干扰下会不会输出错误舵面指令？综合航电在总线数据异常时能否进入安全状态？卫星星载电子在单粒子翻转后是否会锁死？这些问题如果等到飞行或在轨阶段才暴露，代价往往不可接受。故障注入验证，就是在受控条件下主动把“故障”引入系统，观察系统是否按预期检测、隔离、恢复或降级，从而把可靠性从主观判断变成可观测、可追溯、可审查的证据。
本课程的目标不是教会读者写一个简单的错误注入脚本，而是建立一条完整的工程能力链：能从适航或任务需求中识别出必须验证的失效模式，能针对飞控计算机、综合航电和星载电子等真实对象设计注入方案，能在试验中采集有效数据，最终形成审查方认可的符合性证据。学完本课程，读者应能独立完成从“需求条目”到“验证证据包”的闭环设计，并理解每一步的判定依据。
故障注入在适航符合性验证中的定位
在民用航空领域，适航审查并不直接要求“必须做故障注入”，而是要求表明系统满足CCAR/FAR/CS 25.1309等条款对安全性的要求。对于A级或B级系统，通常需要表明：任何单点故障不会导致灾难性后果，组合故障的影响已被充分评估。故障注入正是支撑这一表明过程的重要方法之一。它属于“试验验证”与“分析验证”的结合：通过注入预设故障，获取系统在故障条件下的实际响应，用来证实安全性分析中假设的失效影响、故障检测覆盖率和重构逻辑确实成立。
需要明确的是，故障注入不是随机“搞破坏”。每一次注入都应追溯到具体的失效模式、安全性目标或验证需求。例如，飞控计算机的“舵面指令通道输出卡滞”这一失效模式，对应的是“必须能被余度管理逻辑检测并在规定周期内隔离”的安全性需求。注入方案必须说明：注入位置在哪里、故障表现形式是什么、持续时间多长、系统处于什么工作状态、成功判据是什么。没有这些要素，注入结果无法作为证据使用。
核心定位：故障注入是适航符合性验证中“安全性分析假设”的实证手段。它把FMEA、FTA中纸面推演的失效影响，变成可测量、可复现的试验数据。
典型机载电子系统对象
本课程聚焦三类典型对象，它们的故障注入方法差异明显，但验证逻辑相通。
飞控计算机：通常采用余度架构，如双余度或三余度，内部包含指令通道、监控通道和表决逻辑。注入重点包括：传感器输入信号漂移或冻结、交叉通道数据比对不一致、CPU运算结果异常、输出驱动级短路或开路。验证关注的是故障检测时间、余度切换成功率、切换瞬态是否引起舵面异常偏转。
综合航电系统：以ARINC 429、AFDX等总线为纽带，连接显示控制、飞行管理、大气数据等模块。注入重点包括：总线数据帧丢失、标签错误、刷新率下降、校验错误、端系统虚拟链路拥塞。验证关注的是数据完整性监控、降级显示逻辑和飞行员告警是否正确触发。
卫星星载电子：面临空间辐射环境，单粒子翻转、单粒子锁定和总剂量效应是主要威胁。注入重点包括：存储器位翻转、寄存器状态跳变、看门狗超时、电源模块欠压。验证关注的是EDAC纠错覆盖率、自主复位恢复时间和安全模式进入逻辑。
从需求到证据链的整体路线图
本课程按“需求→设计→注入→观测→判定→证据”的主线推进，但每一章会聚焦其中一个环节的真实工程细节。路线图可以概括为五个阶段。
第一阶段：需求解析与失效模式映射。从适航条款或任务书出发，识别安全性目标，再通过FMEA/FTA确定需要验证的失效模式。例如，某飞控计算机的安全性目标要求“单点故障不得导致灾难性后果”，FMEA识别出“指令通道输出卡滞”为需验证的失效模式，对应验证需求为“余度管理逻辑应在200ms内检测并隔离该故障”。
第二阶段：注入方案设计。针对每个失效模式，确定注入位置、注入方式、故障模型、持续时间和系统工作状态。以“指令通道输出卡滞”为例，注入位置可选在CPU输出寄存器或D/A转换器输入端；注入方式可用软件钩子强制写入固定值；故障模型为“输出值冻结在最后一次有效值”；持续时间为500ms；系统状态为自动驾驶接通、平飞阶段。
第三阶段：注入执行与数据采集。在试验台或半实物仿真环境中执行注入，同步采集总线数据、通道状态字、舵面指令和告警信号。关键采集参数包括采样率、触发条件和时间戳精度。例如，以1kHz采样率记录三个余度通道的输出值，触发条件为注入使能信号上升沿。
第四阶段：结果判定与覆盖率评估。将采集数据与成功判据比对。若余度管理逻辑在180ms内检测到通道不一致并完成隔离，且切换瞬态引起的舵面偏转小于0.5°，则判定通过。同时统计该注入用例覆盖的失效模式比例，评估检测覆盖率是否满足安全性目标。
第五阶段：证据整理与审查提交。将注入记录、原始数据、分析报告和结论汇总为证据包，确保每个结论都能追溯到具体用例和数据。证据包应包含：注入用例清单、试验环境描述、原始数据文件、判据比对表、覆盖率统计和遗留风险说明。
学习建议：本课程后续章节会反复使用“失效模式→注入用例→观测数据→判据”这条链路。建议读者在每章学习时，都尝试把当前内容映射到这条链路的某个环节，避免把故障注入学成孤立的工具操作。
本课程的能力目标
完成本课程后，读者应具备以下能力：能独立阅读适航条款和安全性分析报告，提取可验证的失效模式；能针对飞控计算机、综合航电和星载电子设计合理的注入方案；能配置典型注入工具并采集有效数据；能依据判据判断验证是否通过；能整理出结构完整、可追溯的证据包。这些能力不依赖特定型号或特定工具，而是可迁移到不同航空航天电子系统的验证工作中。
故障注入验证的本质，是用可控的故障换取可信的结论。航空航天电子系统不允许用真实飞行或真实在轨来试错，故障注入就是在实验室里把“如果……会怎样”变成“我们已经验证过，结果是……”。本课程将沿着这条路线，从需求到证据，逐步展开。