3. 航空航天典型故障模式梳理

在HIL（硬件在环）故障注入与异常验证中，第一步不是急着写注入脚本，而是把“要注入什么”说清楚。航空航天系统对故障的容忍度极低，但故障本身的表现形式却高度结构化：绝大多数异常最终都会落到传感器、执行机构、总线、电源这四类物理通道上。本节按这四类通道梳理典型故障模式，给出可注入的数学/逻辑模型、教学示例参数以及结果判读依据，为后续故障注入用例设计提供“词汇表”。

一、传感器通道：漂移、卡死、饱和

传感器是飞控、导航、动力等系统的“输入源”，其故障直接影响控制律的输入可信度。三类典型模式在信号层面的表现差异明显，注入时通常以“真实值 → 故障值”的映射函数实现。

漂移（Drift/Bias）：输出随时间的缓慢偏移，常见于温漂、零偏老化。注入模型可写为 y(t)=x(t)+k·t+b，其中k为漂移速率，b为初始偏置。教学示例：某角速率陀螺量程±200°/s，注入k=0.05°/s²、b=0.2°/s，运行60 s后偏差达3.2°/s，已接近某些控制回路的告警阈值。漂移的难点在于“慢”，短时测试不易暴露，需配合长时或趋势判据。

卡死（Stuck/Freeze）：输出冻结在某一固定值，不再跟随真实量。注入模型为 y(t)=x(t₀)，t≥t₀。示例：在t₀=10 s时把迎角传感器冻结在4.5°，此后真实迎角变化但反馈恒为4.5°。卡死对闭环控制的危害最大，因为控制器会持续基于错误反馈修正，可能引发振荡或发散。

饱和（Saturation）：输出被限制在量程上下限，或被人为钳位。注入模型为 y(t)=clamp(x(t), y_min, y_max)。示例：把某压力传感器上限钳位到额定值的85%，当真实压力超过该值时反馈不再增长，导致系统误判“压力已稳定”。饱和与卡死的区别在于：饱和仍随输入变化，只是被截断；卡死则完全不变。

二、执行机构通道：卡阻与迟滞

执行机构（舵机、作动筒、推力矢量机构等）的故障往往表现为“指令与响应不一致”。与传感器不同，执行机构故障会直接改变系统的物理输出，因此注入时通常需要同时监测指令、反馈和实际位置。

卡阻（Jam/Stuck）：执行机构输出被机械或逻辑锁定，不再响应指令。注入模型为 y(t)=y(t₀)，t≥t₀。示例：某舵机在t₀=8 s时卡阻在+3.2°，此后指令继续变化但舵面反馈恒为+3.2°。卡阻的判据是“指令-反馈偏差持续超过阈值且无恢复趋势”。

迟滞（Hysteresis）：输出不仅取决于当前指令，还取决于历史路径，表现为上行与下行曲线不重合。注入模型可用 y(t)=f(x(t), sign(ẋ))，即根据指令变化方向选择不同的映射曲线。示例：某作动筒上行增益1.02、下行增益0.97，在±10°往复指令下形成约0.5°的迟滞环。迟滞对高精度姿态控制影响显著，尤其在极限环振荡分析中必须考虑。

三、总线通道：丢帧与错帧

航空航天广泛使用ARINC 429、MIL-STD-1553B、CAN、AFDX等总线。总线故障在HIL中通常以“帧级”注入，而不是简单断线。

丢帧（Frame Loss）：按概率或周期丢弃指定帧。示例：对某1553B消息设置5%丢帧率，或每20帧丢1帧。判据是接收端消息更新周期出现缺口，或校验计数增加。

错帧（Corrupted Frame）：保持帧结构但篡改数据字段、校验和或时序。示例：将某CAN帧的CRC字段翻转1位，或将数据域第3字节加偏移。错帧比丢帧更隐蔽，因为接收端可能通过校验发现，也可能因校验策略宽松而“带病使用”。

四、电源通道：跌落与瞬断

电源故障是航电系统最危险的共因故障之一。HIL中通常用可编程电源或电子负载模拟。

电压跌落（Sag/Droop）：电压在短时间内低于额定值但未完全中断。示例：28 V母线在50 ms内跌落到18 V，再恢复。判据是设备是否触发欠压复位、是否出现输出异常。

瞬断（Momentary Interruption）：电压在极短时间内归零或接近零。示例：28 V母线中断5 ms。瞬断对含开关电源的设备影响取决于其保持时间（hold-up time），若保持时间不足则设备复位。

五、故障模式速查表（教学示例）