基于故障注入的测试性验证试验是指在装备使用或内场环境中，采用故障注入技术对故障模式进行有效复现，并用测试性设计规定的方法进行检测/隔离^[1]。基于故障注入的试验方法的关键技术是故障注入^[2-3]，其试验结果是评估测试性水平的主要信息来源^[4-5]。

随着新型装备不断向复杂化、集成化方向发展，面向实装的故障注入出现许多新问题：①装备物理封装严密或模块不可拆卸，导致故障注入器的访问深度无法满足部分故障模式的注入需求；②对装备实施直接故障注入时，容易对一些模块造成不可修复的损坏，比如后驱动故障注入中电流大小可能会对集成电路物理结构造成破坏，电源的短路故障会引起电源电路的永久性损坏等^[6]；③装备各功能单元间传递耦合关系比较复杂，部分故障模式进行物理注入后导致装备很难恢复至正常状态^[7]，比如高频高集成雷达装备，以及光电装备等精密度要求较高的装备。上述问题的存在制约了测试性验证试验的开展，降低了评估结果置信度，而等效故障注入可以依托现有故障注入手段，实现对所选故障样本的有效注入^[8]。目前，关于等效故障注入的相关研究较少，文献[8]提出了基于故障传递特性的等效故障注入方法，解决了位置不可访问的故障注入问题，但需要等效故障与原故障的状态空间完全一致，降低了该方法的应用范围；文献[9]通过故障传播分析选择等效故障注入样本，但不能反映故障的行为状态特性；文献[10]研究了针对外场可更换模块的等效故障注入方法，但没有给出具体建模分析方法，也缺乏对不确定性信息的考虑。上述等效方法大都没有研究故障行为关系，相关性矩阵获取困难。由于装备故障之间普遍存在耦合现象，某一故障的发生会引起其他单元模块也出现相同的故障现象^[11]，这种传播关系与装备自身结构紧密相关，而故障行为模型^[12]能够描述故障传播关系和故障行为状态，因此可以通过建立故障行为模型分析等效故障模式。

针对以上分析，提出一种基于“故障模式-功能-状态”(Failure mode-Function-State，FFS)故障行为模型的等效故障注入方法。首先，通过融合装备的结构信息、不确定性信息和层次性信息，建立FFS故障行为模型，在此基础上，由故障模式-故障模式相关矩阵、故障模式-功能相关矩阵和功能-状态相关矩阵计算得到故障模式-状态相关矩阵；然后，基于故障模式-状态相关矩阵进行故障模式等效性分析，获得等效故障模式；最后，将该方法应用于某装备发射控制系统，验证方法的有效性。

1 基于多元信息的FFS故障行为层次化建模 1.1 故障行为总体建模思路

故障行为建模采用定性分析、功能描述或者数学建模的方法对复杂装备故障发生时的行为状态进行准确描述^[13]，良好的故障行为模型应既能准确反映装备结构信息^[14]，又能描述建模要素间的关联关系。

故障行为总体建模思路如图 1所示。装备复杂的关联关系造成很难直接求解故障模式-状态相关关系，而由于测试性设计中一般根据功能设置测试点，使得故障模式-功能、功能-状态关联关系更易于求解，因此提出将“功能”作为FFS基本建模要素，通过功能与故障模式和状态的关系计算故障模式-状态相关矩阵。故障模式-功能-状态之间又存在2种不确定性信息:一是故障模式对功能的一定影响、可能影响、不影响3种关系^[15]，二是工作环境或测试设备引起状态检测不确定性，因此要求FFS模型能够表征不确定信息。同时，复杂装备的故障行为模型应考虑层次化信息，通过逐层细化的建模方法对系统各层次故障行为进行描述，既可以降低建模难度，又便于模型的删减和修改。另外，装备确定的结构连接关系是故障行为建模的确定性信息，是保证模型的准确性关键，故障行为建模必须以装备功能结构为基础。

由图 1可知，故障行为模型的多元信息包括确定性信息、不确定性信息和层次性信息。确定性信息可用有向图D_C={C, E_C}描述，其中：C={c₁, c₂, …, c_n}为系统单元组件，c_i为约定建模层次的组成单元；E_C=[e_ij]_n×n为系统的功能结构连接矩阵，e_ij表示模型节点间的有向连接关系。故障模式与状态之间的不确定性关系可用Bayes网络^[16]表示为B_FmS={F^m, S, E_B, }，其中：F^m为故障模式集，F_i^m为分析对象的潜在故障模式；S={s₁, s₂, …, s_n}为状态集，s_i为受故障模式影响的状态；E_B为有向边矩阵，表示故障模式与状态的关联关系；为故障模式-状态关联概率。层次性信息表示为L={l₁, l₂, …, l_r}，其中l_r为系统的第r个层次。

1.2 FFS故障行为模型

基于多元信息的FFS故障行为建模流程如图 2所示。

首先，明确进行故障行为建模的装备层次，根据该层次对象的功能结构和故障模式影响分析结果，确定对象中的单元模块组成及相互连接关系，并用有向边连接起来。然后，根据装备的测试性设计定义的信号集确定信号流向，并将状态节点添加到相应的单元模块，状态节点的添加需要熟悉掌握装备的物理结构和原理特性。最后，处理故障模式、功能和状态不确定性信息，进而获得故障模式-状态相关矩阵。

融合多元信息的FFS模型用有向图表示为D_FBM={C, F^m, F^u, S, E, P, L}，构成模型的基本要素定义如下：功能集F^u={F₁^u, F₂^u, …, F_k^u}，F_i^u表示故障模式影响的功能；有向边矩阵E表示模型节点间的有向关联关系；概率集P=[(p_ij^mu, p_ij^us)]，p_ij^mu为故障模式与功能之间的关联概率，p_ij^us为故障模式关联的功能异常时，状态也异常的概率；约定层次信息L=l_r，l_r为约定建模层次。

2 基于FFS模型的故障行为特性分析

首先，定义表征故障行为特性的有关概念。

定义1  故障模式-故障模式相关矩阵R^mm=[r_ij^mm]_m×m。其中：r_ij^mm表示故障模式F_i^m与故障模式F_j^m之间的相关关系。

定义2  故障模式-功能相关矩阵R^mu=[r_ij^mu]_m×k。其中：r_ij^mu表示故障模式F_i^m与功能F_j^u的相关关系。

定义3  功能-状态相关矩阵R^us=[r_ij^us]_k×w。其中：r_ij^us表示功能F_i^u与状态s_j的相关关系。

定义4  故障模式-状态相关矩阵R^ms=[r_ij^ms]_m×w。其中：r_ij^ms表示故障模式F_i^m与状态s_j的相关关系。

定义5  故障模式层次相关矩阵R^mr=[r_ij^mr]_u×m。其中：r_ij^mr表示紧邻上一层次故障模式与约定层次故障模式的关联关系。

定义6  F_i^m的行为状态向量V_i^s定义为矩阵R^ms=[r_ij^ms]_m×w中第i行所有为1的元素构成的向量，即故障模式F_i^m发生时状态空间的异常变化。

首先计算故障模式-故障模式相关矩阵，故障模式之间的邻接矩阵为A_mm=[a_ij]_m×m，如果故障模式F_i^m与F_j^m有直接关联关系，则a_ij=1，根据矩阵乘法，设A_mm²=(a_ij⁽²⁾)，且

a_ij⁽²⁾=1的充要条件是:k使得a_ik=a_kj=1，即存在故障模式结点F_k^m，使得F_i^m经过e(F_i^m, F_k^m)和e(F_k^m, F_j^m)两条边可以到达F_j^m。同理，A_mm^l=(a_ij^(l))(l≤n)中a_ij^(l)=1表示F_i^m经过l条边e(F_i^m, F_k^m), …, e(F_k^m, F_j^m)可以到达F_j^m。则故障模式-故障模式相关矩阵为

为计算故障模式与功能之间的关联概率，定义以下规则：

规则1  故障模式与功能的关系为一定影响，则p_ij^mu=P(F_j^uF_i^m)=1。

规则2  故障模式与功能的关系为可能影响，则

式中：h_ik=1表示故障模式与功能有关联关系；P(F_i^m)为组件c_i的故障模式故障概率，由故障模式影响及危害性分析(Failure Mode Effect and Critically Analysis, FMECA)得到；P(F_j^u)为组件c_i的功能故障率，新装备的功能可靠性等数据匮乏，很难直接获得功能故障率，根据式(4)和式(5)可得到故障模式关联的功能故障率:

式中: P_alloc(F_j^u)为故障模式F_i^m平均分配到关联的功能上的故障概率；F^m(F_i^u)为故障模式与功能有关联关系的功能集。

规则3  故障模式与功能的关系为不影响，则p_ij^mu=P(F_j^uF_i^m)=0。

由上述计算规则可得故障模式与功能的邻接矩阵为，则故障模式-功能相关矩阵可以由R^mm和A_mu进行矩阵相乘得到:

式中:Bool()为布尔变换；I为单位矩阵。

为计算功能-状态相关矩阵R^us=[r_ij^us]_k×w，首先需要确定状态的检测概率。为方便表述，设p=p_ij^us，采用Beta分布Be(p; α, β)作为检测概率的先验分布^[17]，表示为

式中：B(α, β)为Beta函数:p为节点条件概率；α、β为分布超参数。

均值和方差分别为

装备在研制过程中的测试性试验相关数据较少，首先基于专家评判确定先验分布，为降低专家评判的主观性，采用梯形模糊数描述专家经验信息，第i个专家给出的包含置信度δ_i的梯形模糊数为，其中：分别为下限和上限，为最可能区间值，第i个专家的权重为

则节点概率的梯形模糊数为

根据梯形模糊数可得节点概率的先验分布一阶矩和二阶矩分别为

联合式(8)、式(9)、式(12)、式(13)，根据式(14)的约束优化模型即可得先验分布超参数α, β：

然后，将先验分布和研制阶段的试验信息通过Bayes融合得到节点概率的验后分布^[18-19]。对于任意一个状态s_i执行N_i次测试，成功次数为n_i，失败次数为N_i－n_i，则根据试验样本X_i确定的节点概率密度函数为

将先验分布Be(p; α, β)和节点概率密度函数f(X_i|p)代入Bayes融合公式，可得状态检测概率的验后分布为

因此，功能-状态相关矩阵R^us=[r_ij^us]_k×w为

故障行为模型中各节点不是一一对应的关系，节点间可能存在重边，由以下规则去除节点间的重边。

规则4  对于节点F_i^m到s_k间的路径path_ijk，基于式(18)合并重边:

基于有向图的传递特性，设定合理相似度，将去除重边的相关矩阵代入式(19)可得约定层次故障模式-状态相关矩阵R^ms。

则紧邻上一层次故障模式-状态相关矩阵可表示为

3 基于FFS故障行为模型的故障等效分析

等效故障模式是指故障发生后具有相同行为状态空间的2个或2个以上的故障模式^[20]。结合故障模式-状态相关矩阵给出等效故障的定义，即在约定层次l_r上，对于故障模式F_i^m和F_j^m，若其对应的行为状态向量满足V_i^s=V_j^s，则故障模式F_j^m为故障模式F_i^m的等效故障模式。

一般来说，在结构简单、故障间耦合性较强的试验对象中比较容易出现行为状态向量相同的故障模式，但对于功能结构复杂的装备，其行为状态空间较大，找到2个行为状态向量完全相同的故障模式的概率较小，因此定义等效故障模式集，通过故障模式集对故障模式进行等效。

定义7  等效故障模式集。在约定层次l_r上，若行为状态向量满足如下关系：

则称故障模式集{F_j^m, F_h^m, …, F_k^m}为故障模式F_i^m的等效故障模式集，即F_i^m发生的行为状态与{F_j^m, F_h^m, …, F_k^m}同时发生时的行为状态相同。

一般来说，在约定层次内即可找到等效故障模式，对于在约定层次不存在等效故障模式的不可注入故障，则根据层次化模型，在紧邻下一层次寻找等效故障或等效故障集。依据GJB/Z 1391—2006^[21]，低层次故障模式是紧邻上一层次的故障原因，低层次产品故障模式对高一层次的影响是紧邻上一层次产品的故障模式。假设l_r层存在故障模式F_i^m不可注入，由层次化模型可得其包含的l_r+1层的故障模式集为{F₁^m, F₂^m, …, F_n^m}，通过式(19)和式(20)获得l_r层和l_r+1层的故障模式-状态关联关系，然后按照上述等效分析方法分析其不同层次间的等效故障或等效故障集。

根据以上分析，基于FFS故障行为模型的等效故障注入流程如图 3所示。

4 实例分析

如图 4所示，某装备发射控制系统由主控模块、同步通信模块、通信管理模块、直流电源模块等7个模块单元组成，主要完成与各互联单元的信息交互、数据处理和状态控制等功能。

根据生产方和使用方最终确定的FMECA，该系统共有47个故障模式，根据GJB 2072—94^[22]确定实施故障注入的样本量为67个。按照测试性验证试验流程分别进行故障样本分配和样本抽取后进行故障注入，发现共有包含9个故障模式的13个故障样本由于注入点受限或注入后会造成不可修复的损坏而无法进行故障注入，不可注入率约为19%。

根据系统的层次结构和FMECA信息，建立发射控制系统FFS故障行为模型如图 5所示，不失问题一般性，这里仅给出同步通信模块和模数转换模块的l₂层模型信息。由于底层模块间关联度较低，故l₂的层次行为模型不考虑不同模块间关联故障。

以同步通信模块为例对等效故障注入进行详细分析。试验过程中，发现译码控制故障(F₁^mSC)和信号外回路干扰(F₄^mSC)2个故障模式无法注入。由图 5可得同步通信模块的故障模式邻接矩阵为

代入式(1)和式(2)可得故障模式-故障模式相关矩阵为

同步通信模块中故障模式与功能之间的关系均为一定影响，则根据规则1可得

将式(23)、式(24)代入式(6)可得故障模式-功能相关矩阵为

将由梯形模糊数得到的节点概率先验分布一阶矩和二阶矩代入式(14)可得状态概率先验分布矩阵为

研制阶段针对设计功能对状态进行的测试数据如表 1所示。

将先验分布和状态测试数据代入式(15)、式(16)，进行Bayes融合可得行为状态概率验后分布矩阵为

因此，功能-状态相关矩阵为

将式(25)和式(28)代入式(19)可得同步通信模块故障模式-状态相关矩阵为

根据故障模式等效定义可得F₁^mSC、F₂^mSC、F₃^mSC互为等效故障模式。因此，不可注入故障模式F₁^mSC可由F₂^mSC或F₃^mSC进行等效注入，试验中选择F₃^mSC进行等效，通过故障注入系统进行故障注入，假设故障注入器是完全可靠的，启动机内测试(Built-in Test, BIT)，采用测试性设计规定的检测方法发现同步通信协议故障指示灯亮(s₁)，测试Testloop1：recv全0(s₂)，与建模分析结果一致。由于l₂层为模型的最低层，因此F₄^mSC无法等效，需进行不可注入故障审查。

同理，可得模数转换模块故障模式-状态相关矩阵为

因此，F₁^mAD与F₅^mAD，F₂^mAD与F₃^mAD为等效故障模式，根据式(21)可得F₂^mAD和F₃^mAD的等效故障模式集为{F₁^mAD, F₄^mAD}、{F₄^mAD, F₅^mAD}，则对于不可注入故障模式F₂^mAD，可由F₃^mAD等效，也可由故障模式集{F₁^mAD, F₄^mAD}或{F₄^mAD, F₅^mAD}等效，试验中选择采用F₃^mAD进行等效，启动BIT，采用测试性设计规定的检测方法发现自检Test Fail(s₁)、测试通道AD X:Test Error(s₂)、模数转换故障指示灯亮(s₃)，与建模分析结果一致。

采用相同方法对发射控制系统其他模块进行故障行为特性和故障模式等效性分析，等效故障注入后的试验结果如表 2所示。

由上述分析过程及等效故障注入结果可知：

1) 装备的复杂性导致很难直接获得故障模式与状态的关联关系，而通过图 1可以看出，基于多元信息构建的FFS故障行为模型将试验对象的功能作为建模要素，有效解决了故障模式-状态相关矩阵获取难的问题。

2) FFS故障行为模型以装备结构信息为基础，融合了故障模式、功能和状态之间的不确定性信息，使得故障行为模型具备表征不确定性知识的能力，相比于传统的确定性建模，考虑因素更加全面，获得的行为状态关系更加准确。

3) 由同步通信模块的详细分析可知，对于不可注入故障模式F₁^mSC，可以通过故障行为模型进行等效故障注入，等效后的行为状态与建模分析结果一致。如表 2所示，采用基于FFS故障行为模型的方法进行等效注入后，发射控制系统的可注入样本由54个提高到63个，故障注入率提高约16.7%，有效增加了测试性验证试验的故障注入样本。

5 结论

1) 本文方法能够基于故障行为建模，通过求解故障模式与状态的关联关系进行等效故障注入。

2) FFS故障行为模型将“功能”作为基本建模要素，通过获取故障模式-功能和功能-状态相关矩阵，能够求解出准确的故障模式-状态相关矩阵。

3) FFS故障行为模型综合了不确定性、确定性和层次化结构等复杂装备的多元信息，能够更加准确地描述故障模式与状态的关联关系，而且层次化的结构也保证模型具有较好的扩展性。

4) 本文方法能够获得不可注入故障的等效故障模式或等效故障模式集，有效增加了故障注入样本，例如，某发射控制系统在进行故障等效后，故障注入率提高约16.7%。

本文方法通过邻接矩阵分析故障模式的等效性，对于复杂系统在较高约定层次的故障模式等效性分析，计算复杂度较高，如何降低计算复杂度，提高分析效率有待进一步研究。另外，若要进一步提高故障注入率，还需要深入研究更加有效的故障注入方法。

致谢   感谢北京电子工程总体研究所王承红高级工程师和刘丹丹高级工程师提供的试验验证对象，感谢中国航天科工集团有限公司潘国庆高级工程师提供的部分试验设备。