各部件都合格不等于装上就合格：联合试车补的是匹配性证据
一、这是三层不同的证明，别把它们混成一句话
据公开报道，有商业航天企业把一、二级发动机与伺服机构装在一起做了联合摇摆热试车，随后交付总装，官方说法是验证真实点火环境下的协调性、匹配性和可靠性。这条新闻在制造业和工业软件里的可迁移价值，不在”点火”这个动作，而在于它把一句常见的话拆成了三层。
部件合格证明的是单个零件在其出厂检测条件下满足规格。装配合格证明的是尺寸、连接、力矩、间隙这些界面关系按图样做到位了。系统在真实载荷下合格证明的是接通之后，在动态、热、振动同时存在的环境里，控制链路能够稳定工作并且按预期中止。
三层的证据来源完全不同，因此后一层不能被前一层替代。现实中大量的现场问题不是”哪个件坏了”，而是”每个件都对，一起就不对”。这类问题在部件检测里根本不可见，因为它的成因正是相互作用：一个执行机构单独测试响应很好，接上控制回路之后出现持续振荡；一个传感器单独标定精度足够，装上之后受结构热变形影响产生系统偏差。
我们要说的是：这三层不是”越往上越严格”的量变，而是三种不同性质的证明。企业在质量体系里常常只写满前两层，把第三层交给”整机调试时再看”——于是所有匹配性问题都成了进度风险。
二、只有联合验证才能暴露的四类问题
第一类，控制回路与执行机构的共振与滞后。部件级测试里执行机构是开环或者被理想负载拖着走的，而真实系统里它带着负载、通过结构传力，并且反馈信号还要经过传感器与滤波器。回路增益、相位裕度、执行机构的死区与摩擦，这几个量组合起来会形成低频极限环或者中频振荡——任何一项单独看都在合格范围内。判据必须在闭环条件下取：给定指令波形，记录响应与指令的偏差、超调与衰减比。
第二类，时序与联锁。多个部件按顺序动作，问题出在重叠窗口：某一步还没到位，下一步已经发出指令；或者故障信号与执行动作之间缺少互锁，导致状态机进入未定义分支。这类失效与物理环境无关，只与顺序有关，所以它是软件与控制系统最容易漏、也最难在单机测试里复现的一类。
第三类，热与振动的耦合。部件级环境试验通常一次只加一种应力，但真实工况里两者叠加：振动改变接触热阻，温升改变结构刚度与间隙，间隙又改变振动响应。单向叠加的裕度评估会低估，联合条件下才看得出参数漂移和共振点迁移。
第四类，共因失效。同一热源、同一振动环境、同一供电或者同一固件版本，让多个”互相独立”的部件同时出问题。部件级检测在设计上假设独立性，因此它结构上无法发现共因。识别共因的方法是列出所有共享资源清单——共享的电源、时钟、安装面、固件、供应商批次，再对每一项做单点失效推演。
三、把三个形容词换成可测指标
“协调性、匹配性、可靠性”这类说法在报告里几乎必然出现，但形容词不能作为放行依据。我们给客户做这类试验设计时，要求三个词各自落到一组量上，缺任何一组就不算有判据。
| 说法 | 可测的代理量 | 怎么取 | 合格的写法 |
|---|---|---|---|
| 协调性 | 指令与反馈的跟踪误差、各执行通道间的时间差、闭环增益与相位裕度 | 同步采集指令、反馈与内部状态，同一时钟基准 | 在指定指令谱下误差与相位裕度不越过设定线 |
| 匹配性 | 界面处的力与位移传递关系、固有频率间隔、参数漂移随温度的变化曲线 | 在结构界面与安装点布测点，扫频加温度过程 | 界面传递特性与预设模型偏差在一定范围内，且无频率重合 |
| 可靠性 | 在规定条件下完成规定动作的次数、故障模式与中止原因分布 | 逐次记录触发条件、异常事件与中止原因 | 每一类故障有明确归零路径，不出现未解释的异常 |
其中”匹配性”最容易被草率处理，因为它需要一个参照模型。参照模型从哪来（设计计算、仿真还是首件实测）要在试验之前定下，否则事后总能找到”和哪个模型比都算通过”的比法。
四、试验设计要预先写清的六项
联合验证的成本极高，一次机会要拿到最多证据，靠的就是事先写死这几项。事后补的任何一条都可能让整批数据作废。
- 工况矩阵。不是”跑几种情况”，而是把影响因子列出来（指令幅度、速率、温度状态、载荷条件、供电状态），指定哪些组合必做、哪些用边界代表。矩阵要能回答”哪些区域没测过”。
- 测量点位与采样率。点位按传路径布置而不是按方便布置；采样率按待测信号的最高有效频率成分定标并留裕度，各通道必须共时钟。事后最常见的损失是”这个现象没采到”。
- 判据与裕度。每一条判据在试验前给定数值界限与处理方式，写清”超出之后是判失败、判复测还是判继续”。裕度怎么算（相对设计值还是相对上一件合格品）也要写明。
- 失效中止条件。什么现象出现就中止、由谁中止、中止后的安全状态是什么。这一条决定试验能不能做——没有中止条件的方案在评审阶段就通不过。
- 复现方法。任何一次异常都要能被复现或者被合理排除。做法是保留注入条件、控制参数、固件版本与环境数据，让异常可以被重新触发，而不是只留一句”现场抖动”。
- 数据留存格式与责任。原始数据格式、通道命名、导出频率、留存时长、由谁归档。这一项看起来最像行政工作，实际上它决定后面所有分析和 AI 辅助能不能用起来。
五、数据接进软件系统，以及 AI 只能站在哪里
这类试车数据一旦要进分析系统，会撞到三个具体困难，我们项目里几乎每次都遇到。
多源高频时间对齐。传感器、控制器内部日志、视频、环境记录来自不同设备，各自时钟与写入策略不同，毫秒级偏差就会让因果顺序颠倒——看起来像振动引发异常，实际反过来。做法是统一时基、留至少一路共同时标信号，并在软件侧对齐而不是在人工侧对齐。
通道命名口径。同一物理量在不同设备里的名称、单位、正负方向、零点定义经常不一致。命名表必须在试验前锁定并随数据一起发布，否则每个分析人员都会做一套自己的换算，结论无法合并。这一页纸的价值比看上去大得多。
异常样本极少导致模型无法验收。真实试车里绝大部分数据是正常数据，故障现象可能只出现极少数几次。用这种数据训练”自动判读”模型，测试集根本无法覆盖故障类，指标再高也不能作为放行依据。可行的路径是反过来：不做”故障分类”，而做偏离提示——用正常数据建立基线，把偏离基线的片段交给人判读；判读结论再回写成规则。
AI 在这类流程里的正确位置是三处：判读辅助（把可疑片段排到前面，并给出触发原因）、异常提示（基线偏离检测）、报告生成（把已有判据、实测结果与图表按模板组织成文）。它不能站的位置是判据本身。判据涉及责任划分与放行权限，必须是人写的、可追溯的、能解释”为什么是这个数值”的。把模型输出当成判据，等于把放行权交给了不可解释的东西。
六、预算有限时的”缩小版联合验证”
多数制造企业没有做整机联合试验的条件，但”三层证明”这件事不需要航天预算也能做。我们把缩小版拆成三步，客户通常可以从第三步往前推。
第一步，先给关键接口做半实物验证。挑出相互作用最强的那条链路——通常是控制器、执行机构与被控对象——把纯仿真的那一侧换成实物，其余保持在环模型。它暴露的是第一类问题里的共振与滞后，成本远低于整机试验。
第二步，用边界工况代替全工况。矩阵做不全时，与其随机抽几个点，不如把每个因子的上下限各做一遍，因为匹配性问题多半在边界显现。要接受”中间区域靠模型插值”这个前提，并明确标注它没被实测覆盖。
第三步，把判据与中止条件写在试验之前，并强制留数据。哪怕只做一次最简试验，只要工况矩阵、采样配置、判据与原始数据留存这四件做到了，它就成为可比较的基线；下次再补一点，证据是可以累积的。反过来说，做了很多次但每次都只留一句”试验正常”，次数再多也不构成匹配性证据。
洹拓科技在工业 AI 项目里给客户的建议始终是这一条：先问”哪一层证明是空的”，再决定投多少钱。部件检测、装配检验与系统级联合验证各自的成本差一个量级，但缺哪一层，风险就在哪一层等着。把这件事量化成放行清单上的三栏——部件、装配、系统联试——每一项后面挂上对应的可测指标与数据来源，比在报告结尾写一句”经测试合格”要有用得多。