1. 课程导入
在工业自动化、汽车电子、轨道交通、医疗设备与能源控制等领域，控制器一旦失效，后果往往不仅是停机，而可能直接威胁人身安全与环境。因此，这类承担安全职责的控制器被称为安全控制器。本课程围绕安全控制器展开，核心问题是：我们如何证明一个控制器在正常与异常条件下都足够安全？答案落在两个关键词上——验证与故障注入。
一、什么是安全控制器
安全控制器是能够在规定安全完整性等级（SIL/ASIL/PL）下，执行安全功能并维持安全状态的控制器。它通常由冗余处理单元、安全输入输出、诊断电路、看门狗、安全通信与安全操作系统构成。与普通控制器相比，它的差异不在“功能更强”，而在“失效可控”：当内部出现随机硬件故障或系统性错误时，控制器必须能检测、响应并进入安全状态，而不是继续输出危险指令。
可以用一个简化的信号链来理解它的工作方式：传感器采集 → 安全输入 → 双通道处理与交叉比较 → 安全输出 → 执行机构，同时诊断模块持续监控并驱动看门狗。下面这张图展示了安全控制器的典型结构与验证关注点。
二、验证与故障注入的关系
验证是“证明安全功能符合要求”的全过程，包含需求评审、静态分析、单元测试、集成测试、硬件在环测试与安全评估。故障注入则是验证中最具说服力的一类手段：它主动把故障“塞进”系统，观察控制器能否检测、隔离并进入安全状态。二者不是并列关系，而是包含关系——故障注入是验证的关键子集，也是评估诊断覆盖率与安全完整性的直接证据来源。
三、整体知识框架
本课程后续内容可归纳为四条主线，它们共同构成从概念到落地的完整路径：
- 基础与标准：IEC 61508、ISO 26262、ISO 13849 等标准中的安全完整性、失效模式与诊断覆盖率概念。
- 验证方法：需求追踪、静态分析、单元与集成测试、硬件在环、形式化验证与安全评估。
- 故障注入技术：硬件注入、软件注入、通信注入、环境注入与仿真注入，以及注入点选择与用例设计。
- 工程落地：测试平台搭建、自动化脚本、结果判定、缺陷复盘与安全案例编写。
| 阶段 | 主要活动 | 典型输出 | 关键指标 |
|---|---|---|---|
| 需求与设计 | 安全需求分解、架构冗余设计 | 安全需求规格、架构图 | 需求可追踪率 |
| 验证准备 | 测试计划、注入点识别、平台搭建 | 测试用例、注入清单 | 用例覆盖率 |
| 故障注入 | 执行注入、采集响应、判定安全态 | 注入日志、响应记录 | 故障检测覆盖率 DC |
| 评估与复盘 | 缺陷分析、安全案例编写 | 验证报告、安全案例 | 残余失效率 |
四、案例场景：从一次“未检出”说起
某安全控制器在双通道交叉比较中，通道 A 的 RAM 发生单比特翻转。理论上诊断模块应在下一个诊断周期内检出并触发安全状态。但在一次故障注入测试中，测试人员通过调试接口篡改通道 A 的中间变量，系统却继续输出正常指令。复盘发现：该变量未被纳入交叉比较范围，诊断覆盖率被高估。修复方案是扩大比较域并增加周期性内存自检。
注入点：通道A 中间变量 motor_cmd
注入方式：调试接口写入错误值
期望响应：诊断检出 → 看门狗复位 → 输出禁用
实际响应：无检出，继续输出
根因：变量未参与交叉比较，DC 评估偏高
修复：扩大比较域 + 增加 RAM 自检周期五、工程价值与学习目标
掌握安全控制器验证与故障注入，能带来三方面价值：第一，降低安全风险，提前暴露危险失效；第二，满足功能安全标准与认证要求，缩短合规周期；第三，提升团队对系统失效行为的理解，反哺架构设计。学完本课程，你应当能够：
- 解释安全控制器、安全功能、安全状态与安全完整性等级的基本概念。
- 依据标准设计验证策略，并识别关键验证活动。
- 针对硬件、软件、通信与环境选择合适故障注入方法。
- 搭建故障注入测试环境，编写注入用例并判定结果。
- 基于注入结果评估诊断覆盖率，完成缺陷复盘与安全案例编写。
安全控制器验证不是一次性的测试动作，而是一条贯穿需求、设计、实现、测试与评估的证据链。故障注入则是这条链上最锋利的检验工具。接下来，我们将从基础概念与标准出发，逐步进入验证方法与故障注入的实操世界。