3. 航空航天电子系统故障模式
航空航天电子系统工作在强辐射、宽温、强振动和供电受限的复合环境中，其故障模式与地面工业电子有本质差异。理解这些故障模式，关键不是记住名称，而是弄清“什么物理机制触发了什么电学异常，异常又如何沿信号链和供电链扩散”。本节按“器件级—电路级—系统级”三层展开，并给出可观察的特征与传播路径。
一、单粒子翻转（SEU）：存储与逻辑状态的随机位翻转
高能粒子（质子、重离子、中子）穿过硅片时，沿轨迹电离产生电子—空穴对，若在敏感节点收集到足够电荷，就会使触发器、SRAM 单元或锁存器状态翻转。其典型特征是：器件不损坏、可恢复、位置随机、时间不可预测。翻转率与粒子通量、节点临界电荷、工艺尺寸相关，通常用 FIT（10⁹ 小时失效数）或位翻转率（upsets/bit/day）度量。
工程上区分几类相关现象：SEU 只翻转单个或少数位；MBU（多位翻转）一次影响相邻多位；SEL（单粒子锁定）则触发寄生晶闸管导通，形成大电流低阻通路，必须断电才能解除，属于破坏性风险；SEFI（单粒子功能中断）使器件进入不可控状态。对 SRAM 型 FPGA 配置存储器，SEU 会直接改变逻辑功能，因此常配合配置存储器回读与刷新（scrubbing）。
可观察特征：ECC 纠正计数增加、CRC 校验失败、寄存器读回值与写入值不一致、状态机跳到非法状态。判断依据是“同一地址反复出错但器件功能正常”，与硬故障的“固定位恒错”相区分。
二、时钟失效：时序基准的丢失、漂移与毛刺
时钟是数字系统的节拍源，其失效往往比数据错误更致命。常见形态包括：晶振因振动或温漂导致频率偏移；PLL 失锁（LOL）导致输出频率跳变或停振；时钟树某分支因辐射或电源噪声产生毛刺，被下游触发器当作有效边沿采样；时钟完全丢失使看门狗无法被正常“喂狗”。
时钟失效的传播具有放大性：一个毛刺可能被多级触发器逐级采样，形成错误状态；PLL 失锁会使依赖此时钟的总线、ADC 采样、通信接口同时失步。检测手段通常包括独立参考时钟比对、PLL 锁定指示引脚监测、时钟丢失检测电路（missing clock detector）以及看门狗对“喂狗节拍”的间接监视。
三、电源跌落：欠压、掉电与上电复位时序
电源跌落可由负载突变、母线瞬断、电池内阻上升或辐射引起的短路电流造成。其表现分三类：欠压（brownout）使逻辑门翻转阈值漂移、ADC 基准失准；瞬断使部分器件复位而部分器件未复位，形成状态不一致；上电/掉电时序错误使 CPU 先于外设就绪，导致初始化失败。
关键参数是复位阈值 VPOR、欠压检测门限和电源保持时间。若电源在 VPOR 附近反复穿越，会引发反复复位（reset oscillation）。工程上常用电压监控器（SVS）产生干净复位，并用大容量储能电容维持关键器件在瞬断期间的供电。可观察特征：复位计数异常增加、非易失存储写入不完整、通信接口反复重连。
四、程序跑飞与死锁：控制流的失控与停滞
程序跑飞（程序失控）指 CPU 因 SEU、堆栈溢出、非法跳转或中断向量被破坏，执行流偏离正常路径，可能跳入数据区、执行非法指令或陷入死循环。死锁则指多个任务/进程互相等待对方持有的资源，或单任务等待一个永不会到来的事件，系统“活着但不再推进”。
两者表现不同：跑飞常伴随非法指令异常、总线错误、看门狗超时；死锁则表现为看门狗仍被某个高优先级任务正常喂狗，但关键任务不再更新输出。因此仅靠“喂狗”无法覆盖死锁，需要任务级心跳或窗口看门狗配合。检测跑飞的常用手段是程序流监控（如填充 NOP 陷阱区、检查返回地址合法性）和指令超时计数。
五、传感器与总线故障：数据源与传输通道的异常
传感器故障包括：开路/短路、漂移、卡死（输出恒定）、噪声增大、量程饱和。总线故障包括：CAN/1553B/SPI/I²C 的位错误、CRC 错误、总线短路、终端电阻失效、仲裁丢失、节点掉线。航空航天中常采用双余度或三余度传感器与总线，通过比较与表决识别故障通道。
判断传感器“卡死”的实用方法是：在系统输入不变时监测其输出方差，若长时间方差趋近于零而其他同类传感器仍有正常波动，则判定为卡死。总线故障则通过错误计数器、重传次数和总线负载率联合判断。
六、故障传播路径：从器件到系统的扩散
上述故障并非孤立，它们沿三条链路传播：数据链（传感器→总线→处理器→执行机构）、时序链（时钟→采样→通信→控制周期）、能量链（电源→器件→负载）。一条链上的异常会耦合到其他链，例如电源跌落引起时钟毛刺，时钟毛刺造成总线位错误，位错误又导致程序跑飞。
从图中可以看出，故障治理不能只盯单点。工程上通常按“检测—隔离—恢复”组织：器件级用 ECC、TMR、scrubbing 抑制 SEU；电路级用独立时钟监控、电压监控器和总线 CRC 保证基准与通道可信；系统级用窗口看门狗、任务心跳和状态回滚处理跑飞与死锁。恢复策略则按严重度分级：瞬时错误重试、可恢复错误回滚、不可恢复错误切换余度或安全模式。