📚 课程目录第2章 HIL系统架构与故障注入接口

2. HIL系统架构与故障注入接口

在航空航天HIL（硬件在环）系统中，故障注入不是独立设备，而是嵌入在实时仿真机、I/O板卡、总线接口、信号调理与故障注入单元之间的一条“可控通路”。理解这条通路的关键，是搞清楚每个环节在系统中的位置、信号流向以及故障注入单元从何处接入。只有把架构关系看清楚，后续的故障建模、注入配置和异常判读才有物理依据。

一、HIL系统的分层结构

典型的航空航天HIL系统可以按信号流向分为四层：

实时仿真层：由实时仿真机（如dSPACE、NI PXI、Speedgoat等）运行飞控、发动机、液压或航电模型，以固定步长（常见1 ms、0.5 ms甚至100 μs）计算被控对象状态，输出控制指令与激励信号。
I/O与总线层：包括模拟量输入/输出板卡、数字量板卡、ARINC 429、CAN、MIL-STD-1553、RS-422/485、AFDX等总线接口卡，负责仿真机与真实机载设备之间的信号转换与协议收发。
信号调理层：完成电平转换、隔离、滤波、放大、阻抗匹配和传感器激励，使仿真机输出的低压信号能够匹配真实设备的电气特性，同时保护仿真设备不被反向电压或短路损坏。
故障注入层：由故障注入单元（FIU）或故障注入板卡构成，串接在信号调理与真实设备之间，或直接接入总线链路，通过继电器矩阵、模拟开关、可编程电阻和总线收发器实现开路、短路、串扰、信号漂移、总线错误帧等故障。

这四层不是简单串联，而是存在多条并行通路：模拟信号走调理与FIU，总线信号走总线接口与FIU，离散量走数字I/O与FIU。故障注入单元的位置决定了它能影响哪一段信号，也决定了故障是否会被真实设备“看到”。

二、故障注入单元的接入方式

故障注入单元在HIL系统中的接入位置，直接决定了故障类型和影响范围。工程上常见三种接入方式：

1. 串联接入（信号通路串接）：FIU串接在信号调理输出与真实设备输入之间。以模拟量为例，仿真机输出0~10 V的舵面位置指令，经调理后进入FIU，FIU内部继电器矩阵可将该线路切换为开路、对地短路、对电源短路，或串入可编程电阻模拟线路阻抗漂移。这种接入方式对真实设备完全透明，故障效果最接近真实线缆故障。

2. 总线链路接入：对于ARINC 429、CAN或MIL-STD-1553总线，FIU通过总线耦合器或收发器接入差分对。它可以修改特定标签（Label）的数据字、插入错误校验位、制造总线短路或终端电阻丢失。例如在ARINC 429中，将某一路Label 203（高度数据）的SSM位强制置为“故障”状态，验证航电设备是否能够正确识别并降级。

3. 旁路注入（并联接入）：FIU不切断原信号，而是通过模拟开关在信号线上叠加干扰或漏电流。这种方式适合验证传感器信号漂移、地环路干扰等软故障，但需要仔细设计注入阻抗，避免影响正常信号完整性。

接入位置选择原则：故障注入点应尽量靠近真实设备端，而不是靠近仿真机端。因为靠近仿真机端的故障可能被信号调理环节滤除或隔离，真实设备根本“看不到”故障，导致测试无效。

三、信号调理与故障注入的配合

信号调理层在故障注入中扮演双重角色：一方面它保证正常信号的电气匹配，另一方面它可能限制故障的传播。例如，调理板上的隔离放大器会阻断对地短路故障向仿真机侧蔓延，保护仿真设备；但同时也可能使真实设备端的短路故障无法被仿真机感知。因此，在规划故障注入点时，需要明确每个故障是“单向影响”还是“双向影响”。

以某型飞控HIL台架为例，舵面位置反馈信号采用LVDT传感器，调理板提供5 kHz激励并解调输出±10 V信号。若在调理板与FIU之间注入开路故障，仿真机侧仍能测量到调理板输出，但真实飞控计算机接收到的反馈信号丢失，从而触发LVDT故障告警。若在FIU与真实设备之间注入同样的开路，则仿真机侧和真实设备侧同时失去信号，故障影响范围更大。这两种接法的测试目的不同，前者验证设备端故障检测逻辑，后者验证系统级容错切换。

四、典型故障注入参数与观察点

在实际配置中，故障注入单元的可编程参数通常包括：

故障持续时间：如50 ms、200 ms、持续到测试结束，用于区分瞬态故障和永久故障。
故障触发条件：定时触发、外部事件触发（如仿真机某状态变量超过阈值）、手动触发。
注入通道选择：单通道、多通道同步、按总线标签选择。
故障严重程度：短路电阻值（如0.1 Ω、1 Ω、10 Ω）、串入电阻值、信号偏移量。

对应的观察点应设置在真实设备端和仿真机端两侧：真实设备端的告警输出、总线报文、执行机构响应；仿真机端的模型状态变量、I/O采集值、故障标志位。只有两侧数据同时记录，才能判断故障是否被正确检测、系统是否按预期降级或重构。

注意：故障注入单元自身的继电器和开关存在动作延迟（典型1~10 ms）和接触电阻（典型50~200 mΩ）。对于高频信号或小信号测量，这些非理想特性可能引入额外误差，需要在测试前进行通道校准和延迟补偿。

五、架构设计中的常见问题

在HIL系统集成阶段，故障注入接口的规划常出现以下问题：

注入点与调理板功能重叠：例如调理板已具备开路检测功能，若FIU在其后注入开路，调理板可能先报故障，掩盖真实设备端的响应。此时应将FIU接在调理板之前，或关闭调理板的诊断功能。
总线终端电阻被FIU切断：在1553总线中，FIU串接时若未保留终端匹配，会导致总线反射和通信误码，产生非预期故障。正确做法是在FIU内部为每个总线通道配置可切换的终端电阻。
地环路干扰：FIU与真实设备若使用不同接地参考，注入短路故障时可能形成地环路，引入额外噪声。应确保FIU与真实设备共地，或使用隔离型FIU通道。
故障注入与仿真步长不同步：若FIU动作发生在仿真步长中间，可能导致仿真机采集到半更新状态。建议将FIU触发与仿真机同步信号对齐，或在故障注入前后各保留一个完整步长的稳定期。

理解HIL系统架构与故障注入接口的位置关系，是后续进行故障建模、注入序列设计和异常判读的基础。在实际工程中，建议先画出信号链路图，标注每个环节的电气特性、接入点和观察点，再据此配置FIU通道和测试用例，避免“注入了故障但设备看不到”或“故障影响范围超出预期”两类典型问题。