容错模型预测控制(FT-MPC)原理与Matlab仿真：从故障诊断到控制重构

1. 从“能控”到“能扛”：为什么线性时不变系统需要容错MPC

搞控制的人都有过这种体会：模型预测控制（MPC）在仿真里跑得行云流水，跟踪精度、约束满足样样漂亮，但一放到真实设备上，就总有种“纸上学来终觉浅”的落差。原因往往不在MPC本身，而是真实系统里藏着各种不确定性，尤其是执行器故障和传感器故障。一个阀门卡涩、一个电机绕组短路，如果控制器浑然不觉，继续按健康模型计算控制量，轻则性能退化，重则整个回路振荡失稳。

这恰恰是容错模型预测控制（Fault-Tolerant Model Predictive Control, FT-MPC）要解决的问题。它的思路很直接：让控制器不仅会算最优控制序列，还能感知系统“哪里不对劲”，然后自动调整控制策略，让系统在一部分组件失效的情况下，依然保持稳定、保住关键性能指标。

本文围绕线性时不变（LTI）系统，把FT-MPC这件事拆开揉碎讲清楚：从故障诊断（FDI，故障检测与隔离）怎么和MPC结合，到约束处理、稳定性保证、Matlab仿真实现，再到我踩过的坑和调试经验。适合正在做预测控制课题的研究生、做设备健康管理的工程师，以及想从理论走向代码实现的入门者。

先说一个总体判断：FT-MPC在工程上落地，最难的不是MPC本身，而是故障信息和MPC框架的“缝合”。诊断模块给出故障的大小和位置，预测模型要随之修正，约束条件和目标函数也得跟着调整。如果只是把MPC和FDI简单拼在一起，大概率在故障瞬间出现控制量跳变，甚至直接触发输入饱和。

2. 容错模型预测控制的整体设计思路

2.1 一个被低估的前提：先想清楚“故障后系统还剩余什么”

在设计FT-MPC之前，我建议先做一个“故障后能力盘点”。这听起来像管理学的词，但在控制里非常实在。一套完整的执行机构可能有冗余配置，某个执行器失效后，剩下的执行器能否覆盖原有的控制自由度？传感器失效后，状态是否仍然可观？

对线性时不变系统，这个问题可以转化为可控性和可观测性的重新校验。以常见的执行器部分失效为例，假设标称模型为：

[ x(k+1) = Ax(k) + Bu(k) ]

当第 (i) 个执行器发生部分失效时，实际控制输入变为 (\Gamma u(k))，其中 (\Gamma) 是一个对角矩阵，对角元素 (\gamma_i \in [0,1]) 表示剩余的有效增益。(\gamma_i=1) 是健康状态，(\gamma_i=0) 是完全失效，介于两者之间是部分失效。此时系统变为：

[ x(k+1) = Ax(k) + B\Gamma u(k) ]

关键在于：MPC的预测模型必须使用 (B\Gamma)，而不是标称的 (B)。很多人忽略这一点，故障发生时还用旧模型滚动优化，相当于拿着过期的地图找路，结果自然不可靠。

另外还要注意，执行器部分失效往往意味着控制能力下降，原本能到达的可行域变小。因此，即使诊断出了故障，MPC的约束可能需要重新调整。比如标称情况下输入约束是 (|u| \leq 1)，故障后等效输入变为 (|\gamma_i u_i| \leq 1)，如果控制律不修正，会出现实际输入受限但控制器认为还在范围内的情况。

2.2 FT-MPC的三层架构：检测、重构、优化

我在项目里习惯把FT-MPC拆成三个层次：

• 第一层：故障检测与诊断（FDD）。这一步回答两个问题：系统有没有出故障？如果出了，出在哪里、严重到什么程度？常用的手段有基于残差的方法（观测器、卡尔曼滤波器）、基于参数辨识的方法（递推最小二乘、子空间辨识）以及基于数据驱动的方法（机器学习分类器）。对于LTI系统，卡尔曼滤波器加残差卡方检验是我最常用的组合，计算量小，效果稳定。

• 第二层：预测模型重构。根据诊断得到的故障信息，在线修正MPC内部的预测模型。执行器故障就改 (B\Gamma)，传感器故障就需要剔除对应测量通道，或者对状态估计进行修正。模型重构是FT-MPC和普通自适应控制的本质区别，前者是离散的、基于事件触发的模型切换，后者是连续的、渐变的参数更新。

• 第三层：约束与目标函数重构。故障后系统的剩余能力下降，为了保证递推可行性和闭环稳定性，需要调整MPC的约束条件或代价函数。一种做法是在目标函数里加入对控制增量 (\Delta u) 的惩罚，避免输入突变；另一种做法是采用“部分性能退化”策略：正常运行追求最优跟踪精度，故障后优先保证稳定性，牺牲响应速度。

这套三层架构最大的好处是模块化。FDD模块可以独立替换，预测模型重构和MPC求解器解耦，调试的时候可以单独验证每一层。我在Matlab里的实现就是把这三层分别封装成函数，后续换算法只需要替换对应接口。

2.3 为什么选择LTI系统作为切入点

很多读者可能会想：既然要研究容错控制，为什么不直接上手非线性系统或复杂工业过程？我的建议是先吃透LTI情形。原因有三个：

第一，LTI系统的可观性、可控性、稳定性分析有完备理论工具。故障诊断里的残差生成、MPC里的稳定性证明，都依赖这些基础结论。连LTI都没吃透，非线性情形更是一团乱麻。

第二，LTI模型是很多实际系统的良好近似。机电系统在某个工作点附近的小范围运动、热工系统在稳态工况附近的调节，都可以建模为LTI。工程中大量MPC应用都是基于LTI模型线性化后做的。

第三，LTI系统的仿真验证成本低。Matlab里建一个状态空间模型几行代码搞定，各种工具箱支持完善，便于快速验证算法思路。等到思路清晰了，再往非线性、时变方向扩展也不迟。

3. FTPC核心算法拆解：MPC、FDI与容错机制的协同

3.1 标准MPC的数学基础与约束处理

在进入容错之前，先把标准MPC的数学形式摆清楚。假设LTI系统的离散状态空间模型为：

[ x(k+1) = Ax(k) + Bu(k) ] [ y(k) = Cx(k) ]

其中 (x \in \mathbb{R}^n) 是状态，(u \in \mathbb{R}^m) 是控制输入，(y \in \mathbb{R}^p) 是测量输出。MPC在每个采样时刻 (k) 求解如下有限时域最优控制问题：

[ \min_{U_k} ; J = \sum_{i=0}^{N-1} \left( |x(k+i|k) - x_{ref}|_Q^2 + |u(k+i|k)|R^2 \right) + |x(k+N|k)|{P}^2 ]

满足：

[ x(k+i+1|k) = Ax(k+i|k) + Bu(k+i|k) ] [ x(k|k) = x(k) ] [ u_{min} \leq u(k+i|k) \leq u_{max}, \quad i=0,\dots,N-1 ] [ x(k+i|k) \in \mathcal{X}, \quad i=1,\dots,N ]

其中 (N) 是预测时域，(Q) 是状态权重矩阵，(R) 是控制权重矩阵，(P) 是终端代价矩阵，(\mathcal{X}) 是状态约束集合。

这里有个关键点：\|x(k+i|k)\|_Q^2表示加权二次型，即 (x^T Q x)。(Q) 和 (R) 的选择直接决定控制性能。(Q) 大意味着重跟踪精度，(R) 大意味着重控制能量消耗。

MPC求解器的任务是在线解这个二次规划（QP）问题。Matlab里可以用quadprog，也可以用更快的自定义求解器。对于采样周期在毫秒级的系统，求解效率就是硬指标，后面第5节我会具体介绍怎么在Matlab里搭起来。

3.2 故障建模：执行器、传感器与系统故障的区别

做容错控制，第一步是给故障一个形式化的描述。我见过不少初学者在这个环节含糊，导致后续诊断算法没有针对性。故障通常分三类：

执行器故障——最常见的类型，表现为控制信号无法完全作用于系统。模型可以写成：

[ u_{actual}(k) = \Gamma u_{commanded}(k) + f_u(k) ]

(\Gamma) 是执行器效率矩阵，(f_u(k)) 是加性偏置故障。举例：一个液压阀门的增益下降了30%，对应 (\gamma = 0.7)；一个电机控制信号完全断开，对应 (\gamma = 0)。

传感器故障——测量值与真实状态不一致。模型为：

[ y(k) = Cx(k) + f_y(k) ]

常见的传感器故障有恒定偏差（(f_y(k) = c)）、增益退化（(y = \alpha Cx)，(\alpha < 1)）、完全失效（(y = 0)）。传感器故障不直接影响系统动力学，但会污染状态估计，进而误导控制器。

系统故障——系统本身参数发生变化，比如 (A) 或 (B) 矩阵的元素偏移。这类故障最难处理，因为等于系统模型本身错了，需要在线参数辨识来修正。

在FT-MPC研究中，执行器故障是最常被研究的对象，因为它的影响最直接，而且和MPC的控制重构天然匹配。传感器故障通常放在FDD层面解决，比如用状态估计器的残差来识别并剔除故障通道。

3.3 容错机制的两种路径：主动容错与被动容错

容错控制本身有两条流派：被动容错和主动容错。我理解这两者的关系就像“兜底”和“修复”的关系。

被动容错：设计一个固定反馈控制器，对一定范围内的故障不敏感。典型方法是(H_\infty)鲁棒控制，把故障视为有界扰动，通过设计鲁棒控制器来保证最坏情况下的稳定性。优点是响应快、无需FDD模块；缺点是保守性大，故障程度超出设计范围就无能为力，而且性能折损明显。

主动容错：依赖FDD模块在线识别故障，然后重构控制器。FT-MPC属于主动容错，因为MPC的预测模型和约束都可以随故障信息在线调整。主动容错的优点是针对性强、性能好，缺点是需要FDD模块的准确性和实时性。如果FDD给出错误诊断，容错效果会适得其反。

在实际工程项目里，两者常结合使用。MPC本身有一定鲁棒性，能容忍小的模型失配和小幅扰动，这是它的“被动容错”基底；当FDD检测到显著故障时，再启动模型重构，这是“主动容错”的体现。这样的双层设计比纯被动或纯主动更抗造。

4. 故障诊断在FT-MPC中的角色与实现方案

4.1 基于卡尔曼滤波的残差生成与故障检测

在LTI系统里，卡尔曼滤波是生成残差的黄金标准方案。思路不复杂：基于健康模型对状态做最优估计，然后将真实测量值与估计值的差作为“残差”。系统健康时，残差是零均值白噪声（理论上的要求）；故障发生时，残差均值或方差发生变化，就像正常情况下水龙头滴水均匀，突然水变浑浊了，你立刻能察觉到不对劲。

离散卡尔曼滤波公式如下——预测步：

[ \hat{x}(k|k-1) = A\hat{x}(k-1|k-1) + Bu(k-1) ] [ P(k|k-1) = AP(k-1|k-1)A^T + Q_{KF} ]

更新步：

[ K(k) = P(k|k-1)C^T \left( CP(k|k-1)C^T + R_{KF} \right)^{-1} ] [ \hat{x}(k|k) = \hat{x}(k|k-1) + K(k)\left( y(k) - C\hat{x}(k|k-1) \right) ] [ P(k|k) = \left( I - K(k)C \right) P(k|k-1) ]

这里残差定义为：

[ r(k) = y(k) - C\hat{x}(k|k-1) ]

正常情况下，(r(k)) 的协方差理论值为 (S(k) = CP(k|k-1)C^T + R_{KF})。当执行器故障发生时，系统动力学改变，残差均值不再为零；当传感器故障发生时，残差直接表现出异常。

4.2 卡方检验与故障隔离的实用策略

残差有了，怎么从残差里判断是否故障？最实用的手段是卡方检验。构造检验统计量：

[ \eta(k) = r(k)^T S(k)^{-1} r(k) ]

理论情况下，(\eta(k)) 服从自由度为 (p)（即输出维度）的卡方分布。设定一个置信水平 (\alpha)（通常取 0.05 或 0.01），查表得到阈值 (\eta_{th})。当 (\eta(k) > \eta_{th}) 时，判定系统发生故障。

这个方案在工程里很可靠，但要注意一个实际问题：残差是瞬时值，单次超限可能是噪声尖峰导致的误报。我的做法是加一个“N中取M”的滑窗判据：连续M次采样中有N次超阈值，才确认故障发生，就像电路里的消抖滤波。

故障隔离（确定具体哪个执行器/传感器故障），可以借助多个观测器构成的滤波器组实现。每个观测器对应一个故障假设：观测器1假设执行器1故障，观测器2假设执行器2故障，以此类推。哪个观测器和实际系统最匹配（残差最小），就判断哪个故障发生。这种方法叫“多模型自适应估计”（MMAE），在LTI系统里效果相当不错。

4.3 诊断信息如何传递给MPC：一种“事件触发”接口

FDD模块输出的故障信息要传递给MPC，我推荐用“事件触发”的方式，而非连续传递。因为MPC是滚动优化，每个采样周期更新一次，如果FDD频繁改动预测模型，很容易导致控制指令抖振。事件触发的逻辑是：只有当故障诊断结果发生显著变化时（比如执行器效率从0.95降到0.6），才触发MPC的模型重构。

Matlab里实现这个接口可以用一个简单的结构体fault_info，包含：

MPC求解器每次迭代前检查这个结构体的内容，如果fault_extent相对上一次有超过阈值的跳变，就重新计算 (B\Gamma) 并重新初始化QP问题；否则沿用上一轮的模型，只是继续滚动求解。

上面这个设计让我踩了好几次坑，后面第6节会详细讲跳变处理和约束收缩的问题。

5. Matlab仿真实现：从零搭建FT-MPC验证平台

5.1 仿真对象：一个欠阻尼二自由度系统

为了兼顾可读性和物理意义，我选了一个常见的二自由度质量-弹簧-阻尼系统，也是很多控制论文里的标准算例。模型为双积分器加阻尼项：

[ m_1\ddot{z}_1 + c_1(\dot{z}_1 - \dot{z}_2) + k_1(z_1 - z_2) = u_1 ] [ m_2\ddot{z}_2 + c_2(\dot{z}_2 - \dot{z}_1) + k_2(z_2 - z_1) = u_2 ]

设状态 (x = [z_1, \dot{z}_1, z_2, \dot{z}_2]^T)，控制量为 (u = [u_1, u_2]^T)，输出为两个质量块的位置。取一组合理参数后，离散化得到：

[ A = \begin{bmatrix} 0.9975 & 0.0332 & 0.0012 & 0.0001 \ -0.1502 & 0.8657 & 0.1498 & 0.0167 \ 0.0012 & 0.0001 & 0.9975 & 0.0332 \ 0.1498 & 0.0167 & -0.1502 & 0.8657 \end{bmatrix}, \quad B = \begin{bmatrix} 0.0005 & 0 \ 0.0331 & 0 \ 0 & 0.0005 \ 0 & 0.0331 \end{bmatrix} ]

（这个矩阵就是根据实际连续模型在采样时间 (T_s=0.01s) 下离散得到，带初始阻尼的数值。）

这个系统的特点是：欠阻尼、有振荡、两个通道存在轻微耦合。用它验证FT-MPC，能直观看到故障导致振荡加剧后控制器如何处理。

5.2 分步实现：FDI模块、MPC在线求解器、重构逻辑

第一步：FDI模块（基于卡尔曼滤波）

function fault_info = fdi_kalman(A, B, C, y, u, x_est, P, Q_kf, R_kf, fault_info_prev, params) % 卡尔曼滤波预测 x_pred = A * x_est + B * u; P_pred = A * P * A' + Q_kf; % 卡尔曼滤波更新 residual = y - C * x_pred; S = C * P_pred * C' + R_kf; K = P_pred * C' / S; x_est = x_pred + K * residual; P = (eye(size(A)) - K * C) * P_pred; % 卡方检验 eta = residual' / S * residual; eta_th = chi2inv(0.995, size(C, 1)); % 99.5%置信度 % 故障确认逻辑：连续3次超阈值才触发 persistent counter; if isempty(counter) counter = 0; end if eta > eta_th counter = counter + 1; else counter = 0; end if counter >= 3 % 这里简化处理：故障定位默认在第一个执行器 % 实际项目可以用MMAE多模型估计做隔离 fault_info = struct('fault_type', 1, 'fault_location', 1, ... 'fault_extent', 0.5, 'timestamp', now); else fault_info = struct('fault_type', 0, 'fault_location', 0, ... 'fault_extent', 1, 'timestamp', now); end end

这个模块的 “persistent counter” 就是前面提到的滑窗判据，起到防误报作用。如果想做更精致的故障隔离，把这里换成MMAE滤波器组即可。

第二步：MPC在线求解器（基于QPFast简化版）

在Matlab里，我推荐先用quadprog做基准版本，调试通过后再换高性能求解器（如OSQP、FORCES Pro）。基准版本的核心代码如下：

function u_opt = mpc_solve(A, B, C, x0, x_ref, N, Q, R, P, u_min, u_max) % 构建预测矩阵 nx = size(A, 1); nu = size(B, 2); % 搭建增广系统矩阵 A_aug = zeros(nx * N, nx); B_aug = zeros(nx * N, nu * N); for i = 1:N A_aug((i-1)*nx+1:i*nx, :) = A^i; for j = 1:i B_aug((i-1)*nx+1:i*nx, (j-1)*nu+1:j*nu) = A^(i-j) * B; end end % 构建QP矩阵 Q_bar = kron(eye(N), Q); R_bar = kron(eye(N), R); P_bar = zeros(nx*N, nx*N); P_bar(end-nx+1:end, end-nx+1:end) = P; H = B_aug' * (Q_bar + P_bar) * B_aug + R_bar; f = B_aug' * (Q_bar + P_bar) * (A_aug * x0 - x_ref_vec); % 约束 lb = repmat(u_min, N, 1); ub = repmat(u_max, N, 1); % 求解QP opts = optimoptions('quadprog', 'Display', 'off', 'Algorithm', 'interior-point-convex'); U = quadprog(H, f, [], [], [], [], lb, ub, [], opts); u_opt = U(1:nu); end

这里的核心是预测矩阵 (B_{aug}) 的构建。每个块A^(i-j)*B表示第j步的控制量对第i步状态的脉冲响应。时域 (N) 越大，矩阵越稠密，求解时间越长。我在实际项目中通常取 (N=10)，在性能和实时性之间比较平衡。

第三步：容错重构逻辑

function [A_m, B_m, u_min_m, u_max_m] = reconfigure_model(A, B, fault_info) % 执行器故障：修正B矩阵 Gamma = eye(size(B, 2)); if fault_info.fault_type == 1 loc = fault_info.fault_location; Gamma(loc, loc) = 1 - fault_info.fault_extent; end B_m = B * Gamma; A_m = A; % 约束修正：故障通道的实际输入上限变小 u_min_m = u_min; u_max_m = u_max; for i = 1:size(B, 2) if Gamma(i,i) < 1 u_max_m(i) = min(u_max_m(i), 1/Gamma(i,i) * 0.5); % 保守收缩 u_min_m(i) = max(u_min_m(i), -1/Gamma(i,i) * 0.5); end end end

这里最关键的代码就是B_m = B * Gamma。故障程度50%意味着控制效率减半，预测模型里的输入增益也必须减半。u_max_m的保守收缩处理则是避免控制器过于乐观地使用故障通道。

5.3 两种闭环验证方式对比：m脚本 vs Simulink

用Matlab做验证有两种路线：纯m脚本和Simulink模型。我的经验是：

• 纯m脚本：适合算法迭代早期。整个仿真就是一个for循环——每个采样周期依次调用FDI、模型重构、MPC求解、状态更新四个函数。调试方便，变量都在workspace里，打disp就能看中间量。缺点是系统结构不够直观，状态方程复杂时容易写错。

• Simulink：适合做最终演示和参数整定。把FDI和MPC封装成MATLAB Function模块，被控对象用Continuous/Discrete状态空间模块，用Scope观察输出。Simulink的优势是可以直观看到信号流的传递，但也容易被模块连接错误折腾。

我个人习惯先写纯m脚本跑通逻辑，再搭Simulink做演示。

6. 典型故障注入实验与仿真结果分析

6.1 故障场景1：执行器部分失效（效率下降50%）

仿真参数设置：

• 采样周期 (T_s = 0.01s)
• 预测时域 (N = 10)
• 权重矩阵：(Q = diag(10, 1, 10, 1))，(R = 0.1I)
• 约束：(|u_i| \leq 2)
• 参考轨迹：(z_1) 跟踪方波，(z_2) 保持零位

在 (t = 3s) 时刻，执行器1的增益突然下降到原来的50%。我做了三组对比：无容错（FDI不接入MPC）、FDI+MPC重配置、理想情况（已知故障）。结果如下：

数据很能说明问题：无容错时，MPC按健康模型计算控制量，实际控制效果只有预期的一半，闭环增益变小，等效于系统在低增益反馈下运行，于是产生了持续的振荡。FT-MPC因为它预测模型修正及时，故障后约0.4s就恢复了稳定跟踪。

值得注意的是，故障后系统在FDI未确认故障前（检测延迟的几拍），状态已经偏离了参考轨迹。这个偏差大小取决于FDI检测速度。使用“连续3次超阈”判据时，检测延迟大约3~5个采样周期，即30-50ms，对慢过程影响很小；但对快速系统，这个延迟可能造成较大超调。处理办法是在FDI判定前就加入一个轻度的鲁棒约束，比如在MPC目标函数中增加控制增量惩罚项 (\lambda |\Delta u|^2)，这样即使模型失配期间，控制器也不会过于激进。

6.2 故障场景2：传感器恒偏差故障

第二个场景：传感器1在 (t = 5s) 时出现恒定偏差 (+0.5)。无容错情况下，MPC看到的状态位置有偏差，会持续产生一个错误的控制指令，导致输出存在稳态误差。FT-MPC的做法是：FDI模块检测到传感器残差异常后，将该通道从输出矩阵 (C) 中临时剔除，改用卡尔曼滤波器的预测值作为该通道的状态估计。

观测到的效果：FT-MPC能够维持正常工作，输出基本无差；而在无容错设计里输出直接偏移。这验证了故障诊断在传感器层面的核心价值——不是控制律本身变了，而是给控制器的“眼睛”擦亮了。

有一点要强调：传感器故障时的模型重构，不是修改 (B)，而是修改状态估计器中的 (C) 和 (R_{KF})。如果错误地把传感器故障当作执行器故障处理，会让控制器针对一个根本不存在的执行器问题做补偿，系统大概率会失控。因此FDD的隔离精度直接影响容错效果。

6.3 结果启示：何时该修改模型、何时该修改约束

通过这组实验，我总结出一个策略矩阵：

这个表可以作为实际项目设计的快速参考。核心原则是：先区分故障位置，再决定重构策略；能修模型就不改约束，必须改约束时宁严勿宽。

7. 工程落地中常见的坑与排查技巧

7.1 坑1：故障瞬间的控制量跳变

这是FT-MPC最容易出现的问题。原因很好理解：FDI模块在某一拍确认故障，模型立即从 (B) 切换为 (B\Gamma)，MPC计算出的第一个控制量会有明显跳变，导致系统产生不必要的瞬态。

我推荐的解法是从以下两方面入手：

• 在MPC目标函数中加入控制增量权重（即 (R_\Delta |\Delta u|^2) 项），让控制器自发地限制变化速率；
• 对模型切换做“软过渡”——不要把 (B\Gamma) 一锤子切过去，而是用一阶惯性滤波：

[ B_{used}(k) = \alpha B_{used}(k-1) + (1-\alpha) B\Gamma ]

其中 (\alpha) 是平滑系数，通常取0.6~0.9。这样模型过渡有个短暂过程，控制量不会突然改变。代价是故障完全补偿的速度稍慢，但对工程系统来说值得。

7.2 坑2：故障程度估计不准导致性能恶化

FDI模块给出的fault_extent往往有误差。如果估计值比实际值严重，控制器会过度缩减有效输入范围，性能下降；如果估计值比实际值轻，模型失配残留，可能又回到振荡状态。

我踩过这个坑后，做了一个“带不确定性的鲁棒重构”：不是用点估计 (\hat{\gamma})，而是用区间 ([\hat{\gamma}{low}, \hat{\gamma}{high}])。MPC求解时按最保守情况设计（即使用较低的增益），同时用扩张状态观测器补偿未建模偏差。测试下来，即使fault_extent误差达到20%，系统仍然稳定。

7.3 坑3：递归可行性丢失导致QP求解失败

这是MPC经典难题：时域 (N) 有限、约束太紧时，存在无可行解的情况。故障后问题更容易触发。比如执行器故障导致控制能力下降，原先可达的目标在未来几步内达不到，QP求解器报错。

两条实用思路：

• 引入软约束：把硬状态约束改为带松弛变量的软约束，目标函数惩罚松弛量。这个在Matlab里改动很小，却能让求解器始终有解，是工程MPC的标准操作；
• 收缩参考值：检测到QP不可行时，放弃当前参考轨迹，将参考值暂时调整到一个可达的状态（比如当前状态附近），待系统恢复稳定后再回到原始参考。

我在代码里通常“软约束为主、参考收缩为辅”配合使用，两条腿走路。

7.4 坑4：FDI误报vs漏报的权衡

FDI的阈值设定直接关系到误报率和漏报率。阈值设得低，故障一出现就能检测到，但噪声也可能触发报警；阈值设得高，噪声免疫，但小故障可能漏检。

这里没有“万能阈值”，但有实用的调参方法：先采集一段正常运行数据，计算残差统计量的实际分布（不要只看理论卡方分布，因为模型不准会导致残差偏大），取95%~99%分位数作为阈值基线；然后注入不同类型、不同幅度的故障，检查检测延迟和误报率，微调阈值。这个流程用Matlab的仿真环境做起来很快，比纯靠理论分析靠谱得多。

7.5 一个调试技巧：给仿真加“状态观测窗口”

做FT-MPC仿真时，我强烈建议把所有中间量都记录下来：模型切换标志、故障估计值、残差统计量、QP求解时间、控制指令增量等。定一个sim_log结构体存下来，仿真结束后用tiledlayout画在一张图里，就能快速定位问题出在哪一层。很多时候你以为MPC有问题，其实FDI误报了；你以为FDI误报，其实是模型的离散化步长太大。没有统一的观测窗口，排查问题全靠猜。

8. 代码框架速览与扩展方向

8.1 一个完整的仿真主循环伪代码

%% FT-MPC 主循环 % 初始化 x = x0; u = zeros(nu, 1); fault_info = struct('fault_type', 0, 'fault_extent', 1); % 预分配日志 T = 10 / Ts; % 仿真时长 log_x = zeros(nx, T); log_u = zeros(nu, T); log_fault = zeros(2, T); for k = 1:T % 测量输出（真实系统，含传感器噪声和故障） y_meas = C * x + sensor_fault(k); % 1. FDI诊断 fault_info = fdi_kalman(A, B, C, y_meas, u, x_est, P, Q_kf, R_kf, fault_info, params); % 2. 模型重构 [B_used, u_min_m, u_max_m] = reconfigure_model(A, B, fault_info); % 3. MPC求解 u = mpc_solve(A, B_used, C, x_est, x_ref(:,k), N, Q, R, P, u_min_m, u_max_m); % 4. 系统状态更新（真实系统，含执行器故障） x = A * x + B * apply_actuator_fault(u, k); % 记录日志 log_x(:,k) = x; log_u(:,k) = u; log_fault(1,k) = fault_info.fault_type; log_fault(2,k) = fault_info.fault_extent; end

这个主循环结构简单清晰，适合在此基础上做各种扩展。如果你想加入传感器故障，只需修改y_meas的生成方式，并在FDI模块里增加传感器残差的判别逻辑。

8.2 从单模型到多模型：扩展1——切换系统FT-MPC

LTI系统是很好的起点，但很多实际系统是多工况运行的。比如飞行器在不同飞行阶段、机床在不同加工模式，都对应不同的LTI模型。扩展思路是：用多个卡尔曼滤波器并行运行，每个滤波器对应一个工况模型，FDI不仅诊断故障，还要做模型切换决策。MPC层面则要处理“bumpless transfer”问题，避免模型切换时控制量跳变，用第7.1节里的软过渡方案就能解决。

8.3 从线性到非线性：扩展2——基于线性化模型的非线性FT-MPC

对于弱非线性系统，可以考虑“在每个采样点对当前状态做线性化，得到时变LTI模型，再套用本文框架”。这种方法叫线性时变MPC（LTV-MPC）。实现上只需要在MPC求解前，根据当前状态重新计算 (A(k)) 和 (B(k))，预测模型从常值矩阵变为时变矩阵序列。故障诊断部分同样要基于时变模型改造卡尔曼滤波器。整体思路是本文LTI框架的自然推广。

8.4 从模型驱动到数据驱动：扩展3——引入机器学习故障诊断

如果系统复杂到难以精确建模（比如非线性摩擦、参数大范围变化），可以向数据驱动方法扩展：用历史故障数据训练分类器（通俗地说就是让机器“见过”各种故障模式），在线把实时测量特征送入分类器，得到故障类型和程度，再做同样的MPC重构。常见的做法是CNN+LSTM、attention机制等，Matlab的Deep Learning Toolbox可以原生支持。核心界面重要性：无论诊断用的什么模型，最终输出仍是一个fault_info结构体——这也是模块化设计带来的好处。

9. 关于FT-MPC的整体评价与个人使用体会

就我自己的实践体验来说，FT-MPC的价值不是“万能药”，而是一种“边感知边调整”的控制哲学。设计它的过程中，我感受最深的是：容错能力的上限，往往由故障诊断的准确性决定，而不是由MPC的优化能力决定。预测控制本身再强，给它的模型是错的，它也只能在错误的方向上“最优”。因此，如果准备在这个方向深耕，建议分配60%的精力在FDD上，40%留给MPC重构——这与很多人直觉上“MPC是主角”的想法正好相反。

在工具链方面，Matlab作为研究验证平台仍然是优选。Model Predictive Control Toolbox 和 System Identification Toolbox可以大幅减少代码量，但如果你希望吃透每个细节，我建议先用quadprog手写一版全部核心逻辑，再去用工具箱。亲手从零搭建的代码，调试过程中踩过的坑，比任何工具箱自带的示例都值钱。

另外一个细节想提醒：仿真结果和实物实验的差距往往在“故障的实际表现”上。仿真里设置的阶跃突变故障，在实物上通常是一个渐变过程（比如轴承磨损是缓慢的）。这意味着FDI模块不仅要处理突变的“硬故障”，还要能检测缓变的“软故障”。处理soft fault的一个有效手段是CUSUM累积和检验，它对小幅度渐变比卡方检验更灵敏。这个方向可以在后续研究里专门展开。

如果你打算把FT-MPC真正用到一个实际系统上，我最后再分享一个经验：先做仿真、再做半实物、最后全实物。每一步都要重新标定FDI的阈值和MPC的权重。每一次系统的“去理想化”都可能暴露新的问题，但也正因如此，容错控制在工程中才显得如此不可替代。

这个方向上值得深入的话题还有很多，比如随机系统的随机MPC容错、分布式系统的协同容错、以及如何把设备健康度预测与MPC重配置结合起来做预测性维护，都是很好的后续方向。希望这篇内容能帮你把FT-MPC的框架搭建起来，少走一些我走过的弯路。