故障安全：传感器坏了怎么办

真正可靠的系统不能只在所有零件正常时工作。探头可能断线，水泵可能卡住，网络可能中断，水箱也会空。设计时要问：最坏的单点故障发生后，系统会不会做出危险动作？

先选择安全默认状态

湿度读数消失时，是一直浇还是停止自动浇水？对教室花盆，停止并报警通常更安全，因为漏浇一小段时间可由人补救，持续开泵却可能漏水损坏设备。安全默认状态由后果决定，不是所有系统都统一关机。

识别不可能的读数

湿度突然超量程、温度一秒变化几十度、数值长时间完全不动，都可能是故障。系统应标记「未知」而不是把异常硬解释成干或湿。未知状态要有单独处理规则。

执行器也要被监督

发出开泵命令后，水流传感器却没有变化，可能是泵坏或水箱空；命令关闭后仍有水流，可能是开关卡住。用独立证据检查动作是否真的发生，叫执行反馈。

多重保护不要共用同一弱点

软件规定最多浇五秒之外，还可以有硬件定时断电、接水盘和人工总开关。如果所有保护都依赖同一个失灵控制器，就不是真正独立的保护。

报警要能帮助行动

「错误代码 17」不如「湿度探头 A 连续三次超量程，已暂停自动浇水，请检查接线」。报警应说明对象、现象、已采取的安全动作和建议检查顺序。

隐私也是安全的一部分

摄像头并非照顾植物的必要传感器，就不要为了「更智能」随意加入。只收集完成任务需要的数据，减少泄露和误用风险。

练一练：列出探头断线、水箱空、泵卡住、网络中断四种故障的检测方法、安全动作和用户提示。