2. 航空航天电子系统失效机理与故障模式
故障注入验证的有效性，首先取决于对真实失效物理的理解是否准确。如果注入的故障在物理上不可能发生，或者发生位置、发生概率与真实工况严重偏离，那么验证结论就无法支撑型号的可靠性评估。本节围绕机载与星载电子系统中最典型的六类失效机理展开，并给出从失效机理到注入目标的映射方法。
一、六类典型失效物理
单粒子翻转（SEU）是空间辐射环境中最常见的软错误。高能粒子穿过半导体敏感区时，沿径迹电离产生电子—空穴对，当收集电荷超过临界电荷 Qcrit 时，存储单元逻辑状态翻转。以 65 nm SRAM 为例，其 Qcrit 约为 1～3 fC，在轨 LET 阈值约 1～5 MeV·cm²/mg。SEU 的特点是可恢复、不损伤器件，但会造成寄存器、存储器、配置位流的内容错误。与之相关的还有单粒子瞬态（SET），在组合逻辑中产生窄脉冲，若被下游触发器捕获则转化为 SEU；以及单粒子锁定（SEL），属于硬故障，需断电恢复。
总剂量效应（TID）是累积性损伤。电离辐射在栅氧化层中积累陷阱电荷，导致阈值电压漂移、漏电流增大、载流子迁移率下降。典型指标是器件在 100 krad(Si) 下的参数退化量。TID 的显著特征是渐进退化：初期表现为时序余量减小、驱动能力下降，后期才出现功能失效。因此注入目标不应只是"功能错误"，还应包括"时序参数漂移"。
互连开路/短路是封装与 PCB 层级的物理缺陷。开路常见于焊点疲劳、键合线断裂、通孔裂纹；短路常见于锡须生长、CAF 导电阳极丝、焊料桥连。这类故障具有位置确定、模式离散的特点，注入时应精确到网络节点而非笼统的"某模块失效"。
元器件老化包括电迁移、热载流子注入、TDDB 栅氧击穿、电解电容干涸等。老化导致的参数漂移具有时间累积性，注入时通常用参数偏移量而非逻辑翻转来建模，例如将某放大器增益下调 15%、将时钟路径延时增加 200 ps。
电源瞬变包括浪涌、跌落、尖峰和纹波超标。机载 28 V 母线在负载突卸时可能产生 50 V 以上瞬态，星载母线在太阳阵切换时会出现毫秒级跌落。其影响是全局性、传播性的，会同时扰动多个功能单元，注入时需考虑电压幅值、持续时间、上升沿速率三个维度。
时钟漂移表现为频率偏移、占空比失真和抖动增大。晶振老化、温漂、PLL 失锁都会引起时钟异常。时钟是同步系统的"心跳"，其漂移会引发建立/保持时间违例，进而产生亚稳态传播。
二、FMEA/FTA 驱动的映射方法
从失效机理到注入目标，不能靠经验拍脑袋，而应通过 FMEA 与 FTA 建立可追溯的映射关系。FMEA 自下而上枚举失效模式及其影响，FTA 自上而下分解顶事件到基本事件，两者结合可以确定"哪些故障值得注入、注入在哪里、注入什么量级"。
具体做法分四步。第一步，从 FMEA 表中提取严酷度等级为 I 类（灾难性）和 II 类（致命性）的失效模式，作为注入候选集。第二步，对每个候选失效模式，用 FTA 追溯其对应的底事件，底事件即为注入点的物理位置。第三步，根据失效机理确定注入参数类型：SEU 对应位翻转，TID 对应参数漂移，互连故障对应网络断开/短接，电源瞬变对应电压幅值/持续时间，时钟漂移对应频率/相位偏移。第四步，依据 GJB/Z 299C 等标准中的失效率数据，为每个注入目标分配权重，权重高的优先注入。
以某星载数据处理单元为例，FMEA 识别出"FPGA 配置位翻转导致输出错误"为 II 类失效模式。通过 FTA 分解，底事件包括：配置存储器 SEU、配置刷新逻辑失效、看门狗未及时复位。对应的注入目标分别为：配置 SRAM 位翻转、刷新控制寄存器位翻转、看门狗计数器清零。注入量级参考在轨 LET 谱，取 LET=10 MeV·cm²/mg 对应的翻转截面进行等效。
三、注入参数与判据
确定注入目标后，还需明确注入参数和判据。下表给出六类失效机理对应的典型注入参数与观察判据，参数值为示例性参考，实际使用时应根据器件手册和在轨环境模型调整。
| 失效机理 | 注入参数 | 典型量级（示例） | 观察判据 |
|---|---|---|---|
| SEU | 翻转位地址、翻转时刻 | 单次翻转 / 多位翻转 | 输出数据错误、EDAC 纠正计数 |
| TID | 阈值电压偏移、漏电流增量 | ΔVth = 50 mV / Ileak ×2 | 时序余量、功耗电流 |
| 互连开路 | 网络节点、断开阻抗 | 阻抗 > 1 MΩ | 信号悬空、接收端电平异常 |
| 互连短路 | 相邻网络、短接阻抗 | 阻抗 < 10 Ω | 信号串扰、驱动电流增大 |
| 元器件老化 | 增益、偏置、延时 | 增益 -15% / 延时 +200 ps | 输出幅度、相位裕度 |
| 电源瞬变 | 幅值、持续时间、上升沿 | 跌落 50% / 10 ms | 复位次数、数据保持性 |
| 时钟漂移 | 频率偏移、抖动 RMS | ±5% / 抖动 50 ps | 建立保持违例、误码率 |
需要强调的是，注入参数的量级选择应遵循"边界优先"原则：优先注入刚好使系统处于失效临界点的参数值，而不是随意选取极端值。例如，电源跌落注入时，先通过预实验确定使系统复位的最小跌落幅值和最短持续时间，再以此作为注入基准。这样既能暴露真实薄弱环节，又避免因过度注入导致所有测试用例都失败而失去区分度。
四、从失效物理到验证闭环
建立映射关系后，故障注入验证就形成了完整闭环：失效机理提供物理依据，FMEA/FTA 提供逻辑路径，注入目标提供操作对象，注入参数提供量化输入，观察判据提供结果判定。这个闭环使得每一次注入都有明确的物理意义和可追溯的验证目的，而不是盲目地"随机打故障"。
在实际工程中，建议将映射关系维护为一张可追溯矩阵，行对应 FMEA 中的失效模式编号，列对应注入目标、注入参数、判据和测试用例编号。当设计变更或器件替换时，只需更新矩阵中受影响的行，即可快速调整注入方案，保证验证活动与最新设计状态同步。