故障安全与恢复：异常时也要可预测

可靠系统不仅在正常状态表现正确，还要在传感器断线、电源波动、程序卡住和用户误操作时进入可接受状态。故障安全不是永不失败，而是失败方式受控制、可发现、可恢复。

安全默认状态

传感器无效时不应显示0℃并继续普通判断，而要标未知、停止依赖该数据的自动动作并提示检查。默认动作由后果分析决定，不是所有设备一律关闭。

看门狗与心跳

看门狗可在程序失去响应时复位，但若根因未清除，会陷入重启循环。保存复位原因、限制频率，并确保启动阶段输出保持安全。心跳灯只能证明某段代码在运行，不证明全部功能正确。

欠压与掉电

电压缓慢下降时数字系统可能行为不定，应使用欠压检测让控制器在阈值下复位或停机。关键配置写入非易失存储时要防止掉电造成半写状态。

告警与可操作信息

提示应包含对象、现象、系统已采取动作和建议检查，如“温度传感器无响应，声音告警已停用，请检查接口”。错误码可保留给维修日志，但不能是用户唯一信息。

恢复需要确认

故障消失后先确认数据稳定，再恢复普通状态；危险动作不应在用户毫无准备时自动补执行旧命令。

测试：拔传感器、降低电压、卡住任务、快速按键，记录检测时间、安全动作、提示和恢复过程。