故障注入系统设计可控地制造错误

故障注入系统的价值，是让“错误”按计划、有边界、可撤销地发生。它不是几组继电器简单拼在一起，而是测试链路的一部分。

设计前先列出受影响的物理量：断路、对地短路、对电源短路、线间短路、接触不良或间歇故障。不同故障对电压、电流和能量等级的要求不同。不能执行的组合要明确禁止，不能让操作员通过随意点击把高压或大电流接进不适配的通道。

一条正常的故障注入通道至少包含三态要求：正常直通、故障态、以及安全复位态。正常直通时，接触电阻、寄生电容和漏电要尽量小，不能因为“旁路系统接入”就改变原信号质量。故障态必须与该线路的额定电压、额定电流和能量边界匹配。系统还要能回读当前状态，避免软件显示与真实继电器不一致。

故障矩阵应按“目标线号、正常路径、故障类型、允许条件、持续时间、恢复方式”建立。同一条信号线在同一时刻只允许一个故障源生效。高压相关故障要与高压状态、互锁和放电时间联动，不能只由普通界面按钮控制。

验证先从假负载或低压试验回路开始。用万用表确认直通、断路、短路三种状态，再检查复位后阻值是否回到基线。随后接入控制器，用一次短时、低风险注入确认软件采集和诊断时序，最后才进入完整测试用例。

间歇故障要记录开始时间、结束时间、触发周期和抖动方式。测试结果不仅看控制器是否报故障，还要看故障出现、恢复、去抖和功能降级是否符合要求。故障撤销后要执行清码和功能恢复检查，防止下一条用例继承错误状态。

故障注入的最高原则不是“制造得越像越好”，而是任何错误都在已知边界内发生，并且能够被可靠地撤销。测试系统自身也必须具备可诊断、可验证、可维护的安全属性。