徐科華， 陳 謀， 吳慶憲

(1.南京航空航天大學(xué)，南京 211100; 2.上海飛機設(shè)計研究院，上海 200232)

0 引言

民用飛機機載系統(tǒng)設(shè)計及集成流程是關(guān)系飛機系統(tǒng)安全性、可靠性及系統(tǒng)性能的關(guān)鍵問題，直接影響飛機研制進度和成本，借鑒國際民機研制領(lǐng)域的先進流程及經(jīng)驗，結(jié)合當(dāng)前我國實際國情，研究嚴(yán)密且符合自身實際情況的系統(tǒng)設(shè)計流程是主機單位重點關(guān)注和解決的問題。國際上關(guān)于大型系統(tǒng)工程設(shè)計和集成長期以來一直都遵循嚴(yán)格的設(shè)計流程，早期國外機載系統(tǒng)集成大多使用瀑布式模型，即自頂而下的流水式模型。瀑布式系統(tǒng)開發(fā)模型雖然可用迭代方法改進開發(fā)過程中出現(xiàn)的問題，但該方法具有迭代次數(shù)多、時間周期長的缺點，不適合復(fù)雜大型系統(tǒng)開發(fā)。20世紀(jì)90年代初，提出了快速原型螺旋形開發(fā)技術(shù)，該方法包括3個主要回路，即虛擬開發(fā)、快速原型及制造與試驗評估，強調(diào)系統(tǒng)設(shè)計及反復(fù)迭代，過程比較復(fù)雜。在快速原型及瀑布式開發(fā)流程基礎(chǔ)上，先進的機載系統(tǒng)采用自頂而下的設(shè)計思想和自底而上的驗證思想，即把機載系統(tǒng)作為飛機的一個子系統(tǒng)對待，作為一個整體進行優(yōu)化設(shè)計與驗證，即V模型開發(fā)流程。V模型開發(fā)流程與傳統(tǒng)的瀑布型模式非常相似，但是V模型強調(diào)在設(shè)計階段對系統(tǒng)進行充分的驗證，當(dāng)前，民機制造商普遍采用V模型系統(tǒng)集成流程［1－2］。隨著民用飛機機載系統(tǒng)綜合性、復(fù)雜性的提高，機載系統(tǒng)綜合化、模塊化、開放式架構(gòu)已經(jīng)成為未來發(fā)展的趨勢;此外，隨著硬件性能的提高和嵌入式軟件的發(fā)展，飛機平臺對機載系統(tǒng)設(shè)備功能、性能要求不斷提高，其復(fù)雜性大幅增加;電子產(chǎn)品快速更新?lián)Q代也加速了機載系統(tǒng)更新?lián)Q代。因此，機載系統(tǒng)設(shè)計面臨復(fù)雜度提高和設(shè)計周期縮短的雙重壓力，設(shè)計方法和技術(shù)面臨新的挑戰(zhàn)，傳統(tǒng)的設(shè)計流程已難以適應(yīng)目前系統(tǒng)設(shè)計要求，迫切需要改進目前的設(shè)計思想和手段，對傳統(tǒng)設(shè)計流程進行再造及優(yōu)化，采用先進的設(shè)計方法和系統(tǒng)驗證環(huán)境，保證系統(tǒng)的安全性、可靠性和后向擴展性，降低系統(tǒng)研發(fā)成本［3－4］。

1 現(xiàn)有的機載系統(tǒng)設(shè)計流程分析

傳統(tǒng)民用飛機機載系統(tǒng)設(shè)計開發(fā)流程主要包括瀑布型流程和V形開發(fā)流程及螺旋式開發(fā)流程，下面對這3種開發(fā)流程進行分析。

1)瀑布式開發(fā)流程。

瀑布式開發(fā)流程是一種基礎(chǔ)性的流程式開發(fā)方式，適合于小型系統(tǒng)或需求比較明確的大中型系統(tǒng)［5］，如圖1所示。

圖1 瀑布式開發(fā)流程Fig.1 The cascade design procedure

瀑布式開發(fā)流程為:初步設(shè)計→詳細(xì)設(shè)計→硬件搭建→軟件編碼。采用線性設(shè)計、自頂向下逐步推進的方式，前一模塊的輸出作為下一模塊的輸入。模塊之間需要進行階段性評審。

瀑布式開發(fā)便于進行工程管理和評估，但并未很好地解決各個環(huán)節(jié)上的溝通問題，開發(fā)效率也不是很高。其原因主要包括:

①各個環(huán)節(jié)采用不同的描述方式，缺乏統(tǒng)一有效的描述，造成對需求和設(shè)計的理解發(fā)生偏差，導(dǎo)致設(shè)計錯誤的引入，造成研制發(fā)生錯誤，出現(xiàn)大量的后期更改;

②航空電子系統(tǒng)的開發(fā)主要采用任務(wù)功能依賴于資源平臺，即系統(tǒng)的應(yīng)用任務(wù)與系統(tǒng)資源平臺密切關(guān)聯(lián)，無法進行系統(tǒng)的并行設(shè)計，無法進行資源的復(fù)用;

③缺乏有效的仿真、驗證手段，沒有在系統(tǒng)設(shè)計的各個階段分別對系統(tǒng)設(shè)計進行必要的仿真和驗證，尤其沒有進行充分的需求驗證，無法保證各個階段任務(wù)完成的正確性、一致性;

④軟件開發(fā)各個階段之間銜接的程度和自動化程度不高。

2)V形開發(fā)流程。

機載系統(tǒng)V形開發(fā)流程是設(shè)計過程與綜合驗證過程緊密聯(lián)系在一起交叉進行的，如圖2所示。

圖2 V形開發(fā)流程Fig.2 V－shaped design procedure

在V形系統(tǒng)設(shè)計流程中，機載系統(tǒng)被劃分為設(shè)計過程和綜合驗證過程。系統(tǒng)設(shè)計過程按照自頂而下的方法層層分解進行;而系統(tǒng)綜合驗證過程則是自下而上逐步綜合的。由于系統(tǒng)設(shè)計過程不產(chǎn)生真實的設(shè)備和系統(tǒng)，這個過程又被稱為虛設(shè)計過程(Virtual Design Process);系統(tǒng)綜合驗證過程直接產(chǎn)生真實的設(shè)備和系統(tǒng)，被稱為實設(shè)計過程(Real Design Process)。

在系統(tǒng)設(shè)計過程中，每一層設(shè)計過程的設(shè)計輸入都是上一層設(shè)計過程的輸出，它的設(shè)計結(jié)果又是下一層設(shè)計工作的設(shè)計輸入，同時也是對應(yīng)層綜合驗證的依據(jù)。與系統(tǒng)設(shè)計過程相反，綜合驗證過程自下而上進行，每一層綜合的對象是下一層綜合驗證后交付的產(chǎn)品，綜合的依據(jù)則是相對應(yīng)設(shè)計層的設(shè)計規(guī)范。

V形設(shè)計流程是按照系統(tǒng)工程思想建立的完整而系統(tǒng)的設(shè)計方法流程，對指導(dǎo)機載系統(tǒng)設(shè)計工作起到了重要的作用。V形設(shè)計模型理論發(fā)展比較成熟，工程實踐經(jīng)驗積累豐富，在研制過程中對設(shè)計、綜合、驗證工具的要求相對較低，研制過程的質(zhì)量控制和技術(shù)狀態(tài)控制管理的難度也相對較低，適合在綜合化程度比較低、系統(tǒng)功能相對比較簡單的機載系統(tǒng)的研制過程中使用。目前國內(nèi)大部分機載系統(tǒng)研制過程采用這種設(shè)計方法［6－9］。

3)螺旋式開發(fā)流程。

螺旋式開發(fā)方法是當(dāng)今業(yè)界大力提倡的設(shè)計方法，其開發(fā)流程如圖3所示。

圖3 螺旋形設(shè)計及驗證流程Fig.3 The spiral design procedure and its verification process

螺旋形流程的設(shè)計過程如圖3a所示，每個設(shè)計過程都被分為設(shè)計層和驗證層兩個緊密聯(lián)系的部分，而不是僅僅包括設(shè)計層。所增加的驗證層使用快速原型的方法對本層的設(shè)計結(jié)果進行驗證。這種包括快速原型驗證的設(shè)計過程又被稱作虛擬快速原型設(shè)計過程，階段劃分上對應(yīng)于V形設(shè)計流程的虛設(shè)計過程(Virtual Design Process)。

螺旋形流程的綜合驗證過程如圖3b所示，系統(tǒng)綜合的過程非常明確地采用了自下而上的逐步綜合方法，在逐步綜合的每一層迭代都包含有設(shè)計修正，甚至一些設(shè)計開發(fā)工作，因此這一階段的工作被稱為系統(tǒng)綜合過程而不是系統(tǒng)試驗。因為這一過程是以實物而不是仿真模型進行的，因此系統(tǒng)的自下而上的逐步綜合驗證過程又被稱為實物綜合過程，階段劃分上對應(yīng)于V形設(shè)計流程的實設(shè)計過程(Real Design Process)。

螺旋式開發(fā)通過建模與模型驗證，建立用于模型驗證的原型平臺，解決了系統(tǒng)開發(fā)的正確性問題，建立起需求分析模型、功能分析和綜合模型。通過對模型進行形式化的驗證、測試、優(yōu)化，保證系統(tǒng)設(shè)計的正確性，通過自動化的模型轉(zhuǎn)換，保證各開發(fā)階段設(shè)計的一致性，從而提高機載系統(tǒng)開發(fā)的效率和軟件產(chǎn)品的可靠性。基于螺旋式軟件開發(fā)方法通過引入風(fēng)險評估機制，對各個階段模型進行螺旋式的迭代評估與驗證，從而在概念設(shè)計階段、原型仿真階段和系統(tǒng)初步設(shè)計階段降低研制的技術(shù)實現(xiàn)的風(fēng)險，減少因設(shè)計引入的錯誤，提高系統(tǒng)設(shè)計質(zhì)量。另外，通過基于模型驅(qū)動的開發(fā)方法，模型的自動轉(zhuǎn)換與代碼和文檔的自動生成，解決了軟件開發(fā)過程中的設(shè)計、代碼和文檔的一致性問題［10］。

2 傳統(tǒng)設(shè)計流程的局限性分析

傳統(tǒng)的設(shè)計方法主要包括系統(tǒng)需求與需求分析、系統(tǒng)方案論證、系統(tǒng)初步設(shè)計和詳細(xì)設(shè)計、系統(tǒng)軟硬件開發(fā)、系統(tǒng)模塊集成、系統(tǒng)綜合、系統(tǒng)驗收測試。在整個設(shè)計過程中，上一設(shè)計階段產(chǎn)生的結(jié)果是下一設(shè)計階段的輸入，相鄰兩個設(shè)計階段具有因果關(guān)系，緊密相聯(lián)。為了防止前一個階段的設(shè)計錯誤蔓延到后續(xù)的各個階段，在每一階段的設(shè)計任務(wù)完成后，都必須對其階段性產(chǎn)品及結(jié)果進行驗證、評審，認(rèn)定正確后再轉(zhuǎn)入下一設(shè)計階段。

經(jīng)過多年的實踐與研究分析，發(fā)現(xiàn)目前的系統(tǒng)設(shè)計開發(fā)過程存在如下不足情況。

1)需要以完整的、精確的需求分析為基礎(chǔ)才能開展下一步工作。按照要求，每個階段的輸入是上個階段的輸出，即只有在明確上一階段的輸出的條件下才能開展下一步的工作。對于簡單系統(tǒng)而言，在系統(tǒng)設(shè)計初始給出完整的需求是有可能的，但是，對于一個復(fù)雜的大系統(tǒng)，尤其是面對新系統(tǒng)的設(shè)計，這實際是難以做到的，而我國開展民機研制基礎(chǔ)比較薄弱，人員經(jīng)驗不足，更加劇了問題的嚴(yán)重性。

2)文本描述的缺陷。采用傳統(tǒng)的系統(tǒng)設(shè)計文件，無論是需求還是技術(shù)規(guī)范，均采用文本文檔進行說明。相對圖形化描述而言，僅用文字和數(shù)字表達準(zhǔn)確及正確進行閱讀理解都是費時費力的，難免出現(xiàn)差錯。隨著系統(tǒng)復(fù)雜性不斷增加，靜態(tài)的書面文檔通常很難提供足夠的系統(tǒng)動態(tài)行為描述和規(guī)范說明，對于不同文化背景的人，對文本的需求常常有不同的解釋或者文本需求本身存在有含糊不清的地方，因此，造成對需求理解的差異，設(shè)計出錯的概率增加。

3)無法直觀進行交流。在系統(tǒng)開發(fā)早期，設(shè)計師無法向用戶展示其設(shè)計成果，無法與用戶直接進行溝通，滿足用戶的需求，也無法對設(shè)計進行驗證，難以發(fā)現(xiàn)設(shè)計錯誤。通常情況下，用戶在與設(shè)計師共同完成需求分析之后就被排除在產(chǎn)品開發(fā)決策過程之外，用戶主要參與各階段的階段成果的評審，此時，只能憑借個人的經(jīng)驗，對系統(tǒng)設(shè)計提出意見，往往要等到設(shè)計過程完成，生產(chǎn)出樣品以后，用戶才能參與對產(chǎn)品設(shè)計的評價。這時，如果用戶發(fā)現(xiàn)設(shè)計者對其意圖的理解上有偏差，需要進行修改設(shè)計及研制，那么往往會對整個設(shè)計項目帶來很大的損失，甚至需要重新開始設(shè)計。

4)系統(tǒng)頂層設(shè)計和實現(xiàn)相分離。根據(jù)現(xiàn)行的開發(fā)流程，設(shè)計活動與相關(guān)測試活動之間存在著一種可追溯的對應(yīng)關(guān)系。即詳細(xì)設(shè)計的正確性通過單元測試來驗證，系統(tǒng)設(shè)計的正確性通過系統(tǒng)綜合集成測試來驗證，依此類推。也就是說，在傳統(tǒng)的設(shè)計過程中，越是在整個設(shè)計過程中處于上游的設(shè)計活動，其正確性得到確認(rèn)的時間越晚。上游設(shè)計是下游設(shè)計的基礎(chǔ)和依據(jù)，但是上游設(shè)計結(jié)果的正確性卻一直要等到下游設(shè)計完成之后才能得到確認(rèn)，這樣就無法保證下游的設(shè)計工作有一個正確的前提。缺乏系統(tǒng)需求的正確性驗證與測試性驗證，導(dǎo)致系統(tǒng)設(shè)計與實現(xiàn)相互分離。

5)缺乏協(xié)同設(shè)計。在系統(tǒng)開發(fā)過程中，通常硬件設(shè)計師和軟件設(shè)計師在自己工作方面都能滿足設(shè)計要求，而往往在系統(tǒng)進行綜合時，就未必能滿足用戶的需求。出現(xiàn)這種問題一般都是在系統(tǒng)的綜合階段(開發(fā)的后期)才能發(fā)現(xiàn)。據(jù)統(tǒng)計，后期發(fā)現(xiàn)設(shè)計錯誤進行修改所花費的費用是前期發(fā)生費用的10～1000倍，甚至更多。導(dǎo)致出現(xiàn)上述問題的原因是，在軟、硬件設(shè)計時，缺乏協(xié)同設(shè)計，忽略了各自間的相互聯(lián)系。

3 現(xiàn)行機載系統(tǒng)設(shè)計流程改進與再造

V形開發(fā)流程的最大特點是上一層的設(shè)計結(jié)果作為下一層的設(shè)計輸入，而不進行驗證，因此，導(dǎo)致最頂層的設(shè)計反而到最后才進行驗證，把前期的隱患帶入后期，造成設(shè)計更改困難，進度延遲，代價巨大，但是V形流程的需求、設(shè)計、系統(tǒng)綜合及驗證的關(guān)聯(lián)性、可追溯性確實具有強大的生命力，V模型的缺點可以結(jié)合螺旋形開發(fā)流程的優(yōu)點進行改進，采用螺旋形開發(fā)流程對V形開發(fā)流程進行改進和再造將是未來復(fù)雜系統(tǒng)設(shè)計、集成的主流方法，詳細(xì)過程如下。

在V形開發(fā)流程自頂而下設(shè)計過程的每一層次，引入快速原型設(shè)計概念進行迭代設(shè)計。每個設(shè)計過程都被分為設(shè)計層和驗證層兩個緊密聯(lián)系的部分，而不是僅僅包括設(shè)計層。所增加的驗證層使用快速原型的方法對本層的設(shè)計結(jié)果進行驗證。每一層的設(shè)計過程包括如下內(nèi)容。

1)來自上一層的設(shè)計要求是本層的設(shè)計輸入。

2)對該設(shè)計輸入進行需求分析，得到本層的設(shè)計要求(規(guī)范)。

3)依據(jù)本層設(shè)計要求(規(guī)范)開展詳細(xì)設(shè)計等工作，形成本層的設(shè)計結(jié)果。

4)建立系統(tǒng)快速原型、進行仿真驗證。

5)對設(shè)計結(jié)果進行評審。如果快速原型仿真證明設(shè)計是正確可行的，即可在對設(shè)計進行修正后轉(zhuǎn)入下一層工作;如果仿真結(jié)果發(fā)現(xiàn)設(shè)計存在根本的錯誤和問題，則需要重新進行本層的工作。

機載系統(tǒng)綜合及驗證過程相對于自頂而下層層分解的設(shè)計過程，是一個自下而上逐步綜合的迭代過程。每一個驗證迭代過程包括以下工作項目。

1)詳細(xì)設(shè)計或前一層綜合所產(chǎn)生的產(chǎn)品是本層綜合的對象，這個對象可能是軟硬件、設(shè)備、子系統(tǒng)或系統(tǒng)。

2)機載系統(tǒng)設(shè)計模型中對應(yīng)層設(shè)計的結(jié)果是本層進行測試驗證的依據(jù)，如系統(tǒng)綜合層的測試驗證依據(jù)是系統(tǒng)設(shè)計層產(chǎn)生的系統(tǒng)規(guī)范。

3)對綜合過程進行計劃，包括系統(tǒng)綜合構(gòu)形、綜合進行的步驟、綜合記錄數(shù)據(jù)的判據(jù)等。

4)按照計劃對真實軟硬件、設(shè)備或系統(tǒng)進行測試驗證。

5)根據(jù)測試驗證結(jié)果對所綜合的對象進行分析評估。

6)根據(jù)驗證結(jié)果對設(shè)計進行修正，并進行階段評審。如果系統(tǒng)綜合的結(jié)果符合本層設(shè)計要求，則可以進行下一階段的綜合工作;如果沒有達到設(shè)計要求，則需要根據(jù)測試驗證結(jié)果對設(shè)計進行修改，之后重新進行本層綜合過程。

上述設(shè)計流程如圖4所示。

通過采用螺旋形開發(fā)流程對V形開發(fā)流程進行改造，系統(tǒng)設(shè)計流程既具有V模型的虛設(shè)計過程及實設(shè)計過程，又體現(xiàn)了螺旋形模型強調(diào)層層驗證的優(yōu)勢，對開發(fā)大型復(fù)雜系統(tǒng)更有利。

圖4 改進的機載系統(tǒng)設(shè)計流程Fig.4 The improved design procedure for airborne system

4 結(jié)論

綜上所述，傳統(tǒng)的瀑布式開發(fā)流程、V形開發(fā)流程及螺旋形開發(fā)流程都存在一定的局限性，難以滿足大型綜合復(fù)雜系統(tǒng)的設(shè)計及集成要求。而采用螺旋形開發(fā)流程對現(xiàn)行的V形開發(fā)流程進行改造，具備兩個開發(fā)流程的優(yōu)點。因為系統(tǒng)設(shè)計和驗證不再是時間上相對獨立的兩個開發(fā)過程。在系統(tǒng)自頂而下虛設(shè)計過程中包含著系統(tǒng)的虛擬仿真驗證過程;在系統(tǒng)自下而上綜合的實設(shè)計過程中包括系統(tǒng)設(shè)計和開發(fā)工作。每個設(shè)計和綜合層次都需要對系統(tǒng)的設(shè)計進行驗證，并根據(jù)驗證結(jié)果對設(shè)計進行修正，所不同的是所驗證的對象逐漸由抽象變?yōu)榫唧w，由虛擬變?yōu)檎鎸崱?/p>

另外，改進后的開發(fā)流程使用設(shè)計與綜合驗證循環(huán)迭代的思想，縮短了設(shè)計驗證周期，盡可能在本階段的綜合驗證中發(fā)現(xiàn)并修正設(shè)計錯誤，降低設(shè)計風(fēng)險。但對用于設(shè)計和綜合驗證的工具和手段提出了很高的要求，對設(shè)計質(zhì)量保證和技術(shù)狀態(tài)控制的要求也比較高，非常適合在復(fù)雜的大型民用飛機機載系統(tǒng)設(shè)計研制過程中使用。目前，民機機載系統(tǒng)開發(fā)及集成工具正逐漸走向完善和成熟，在現(xiàn)階段可通過引進這些設(shè)計驗證工具，研究上述優(yōu)化的機載系統(tǒng)設(shè)計流程的工程實踐方法，逐漸在后續(xù)系統(tǒng)研制過程中嘗試使用。

［1］ OOLLA K，KHARGONEKAR P，TIKKU A，et al.A timedomain approach to model validation［J］.IEEE Transactions on Automatic Control，1994，39(5):951－959.

［2］ HENZINGER T A，HO P H，TOI H W.HyTech:A model checker for hybrid systems［J］.International Journal on Software Tools for Technology Transfer，1997，1:460－463.

［3］ 李向東，仇振安，蘇文強.懸掛物管理功能仿真通用技術(shù)應(yīng)用研究［J］.電光與控制，2011，18(10):82－86.

［4］ 李宏，吳衡，胡丙華，等.基于網(wǎng)絡(luò)通信架構(gòu)的分布式測試系統(tǒng)［J］.電光與控制，2011，18(10):73－75.

［5］ 金明霞，吳曉燕，朱昌葵.建模與仿真生命周期綜述［J］.計算機仿真，2003，20(8):46－48.

［6］ MAIER M W.Architecting principles for systems－of－systems［J］.System Engineering，1998，1(4):267－284.

［7］ LIU J，EKER J，JANNECK J W，et al.Actor－oriented control system design:A responsible framework perspective［J］.IEEE Transactions on control Systems Technology，2004，12(2):250－262.

［8］ OSES N，PIDD M，BROOKS R J.Critical issues in the development of component－based discrete simulation［J］.Simulation Modelling Practice and Theory，2004，12(7/8):495－514.

［9］ MURPHY B，WAKEFIELD A.Early verification and validation using model－based design ［J］.EDN，2009，54(13):39－41.

［10］ HARDEBOLLE C，BOULANGER F.Exploring multiparadigm modeling techniques［J］.Simulation，2009，85(11/12):688－708.