0 引言

姿态显示功能用于向机组人员显示姿态信息^[1]，该功能故障或失效会导致灾难性后果，是飞机上具有最高安全等级的功能。由于姿态显示功能具有多系统集成、多接口形式、多冗余特性等特点，综合架构设计比较复杂，故其设计过程需要严格遵循系统工程正向设计理论^[2]。然而，尽管基于系统工程的正向设计在飞机设计领域已经应用了多年，但随着飞机系统复杂性提升，飞机系统综合设计仍是一个难点。这一问题的关键在于由于缺乏规范的复杂系统架构设计过程，飞机系统架构设计要求与缺乏规范的设计过程之间的矛盾日益突出^[3]。

在民用飞机及其系统的设计过程中，首要考虑的性能是安全性，并且在设计、生产以及运营过程中要严格遵守相关适航标准^[4]。传统的安全性分析方法主要依赖于工程经验，随着系统复杂程度的增加，很难完整列举系统的所有失效模式和相关影响^[5]。这主要是因为系统设计与安全性分析数据无法统一表示，导致系统设计无法展示其安全性属性，同时安全性分析结果也无法直接反馈到系统设计模型中。

针对上述种种问题，多名学者和工程师考虑以基于模型的方式进行研究，在飞机系统设计研究方面，中国航空无线电电子研究所谷青范等人设计了一种适用于航电系统架构的设计方法，以支持分布式协同设计^[6]；陈国慧等人证明了基于模型的自动刹车系统设计可以快速、有效地对系统需求、架构设计进行确认^[7]；康文文等人通过对地面减速系统的设计研究表明了基于模型的方法可以有效实现多层级多系统的系统架构集成设计^[8]。在安全性分析及研究方面，徐小杰等人在其研究中提出了航空装备开展初步飞机安全性分析工作的详细步骤，成功将基于模型的方法引入到飞机级安全性工作中^[9]。此外，展万里等人基于AltaRica模型的结果，进行平展化研究，并探讨了如何自动生成故障树^[10]。

根据已发表的研究成果，基于模型的系统工程在解决多系统集成架构设计的复杂性、提升架构设计的效率和质量方面发挥了重要作用。同时，基于模型的安全性分析也因其可以提高安全分析效率的特点，正逐渐实现传统安全性分析方法自动化。然而，目前大多数相关研究仅限于初步工程应用阶段，鲜有探讨基于模型的系统工程（model-based systems engineering，简称MBSE）和基于模型的安全性分析（model-based safety analysis，简称MBSA）在民用飞机功能的架构设计过程中的结合问题。因此，本文以民用飞机航电级功能提供姿态显示为例，参考当前主流的MBSE方法论，研究架构设计和故障树分析的流程和建模方法，力求为复杂系统架构开发设计的需求分解、系统集成和验证提供有效参考。

1 基于模型的航电功能开发

1.1 工程中基于模型的设计应用

当前，在航空航天装备的研制过程中，一些航空巨头如波音、空客和通用电气等公司，广泛采用了MBSE方法进行设计以减少迭代周期、降低研发成本，并显著提升综合性能。例如，空客公司在A350飞机的研制过程中应用了MBSE方法，通过顶层运行场景分析和需求导向的设计工作，成功提高了沟通效率和设计准确性^[11]。国内航空工业正在将MBSE作为集团发展战略，建立流程全线贯通、数据高度融合、平台无缝集成的工程应用体系以实现研发体系的跨越升级^[12]。

国外在较早阶段就开始MBSA的研究，并逐步开发出各种成熟的软件产品。欧盟与航空研究机构和先进企业建立合作平台，共同开发了一套MBSA方法论和软件工具平台，并促进了该技术的推广和应用^[13]。

1.2 RFLP方法论

目前，世界上主流的MBSE方法论有IBM Harmony SE方法论、No Magic MagicGrid方法论、Thales Arcadia方法论等。

Harmony SE方法论整个流程按照需求、功能、架构三个层次展开，分为需求分析、功能分析、设计综合三部分。No Magic MagicGrid方法论以矩阵的形式展示，纵向分为需求、行为、结构、参数，横向则分为问题域和解决域。Thales Arcadia方法论则分为运行分析、功能和非功能分析、逻辑架构设计、物理架构设计四部分。

虽然三种方法有所不同，但它们都遵循需求-功能-逻辑-物理（RFLP）的分析设计过程。需求分析是定义产品的需求，理解用户想要的产品和服务；功能分析是定义并分解产品的功能，确定产品需要具有的功能以及子功能；逻辑设计从初步实现的角度定义实现系统的逻辑组件及逻辑接口；物理设计则从物理实现的角度定义最终实现系统的物理组件实体及物理接口。

2 面向安全的航电系统架构设计和分析方法

2.1 传统架构设计方法

传统的航电系统架构设计通常是基于波音、空客等已有的架构进行修改，通过自然语言的方式传递需求，并进行软硬件的设计和迭代。然而，这种设计方式存在一些问题，例如无法在早期验证架构的安全性，也无法识别设计过程中的错误。

这样的设计方式会导致迭代周期长，产品设计需反复修改，有些图形难以准确表达模块之间的关联关系，接口控制文档（ICD）的设计也会遇到困难，在设计架构时对功能分解考虑不足，这些因素都会对整个设计过程产生负面影响。

为了克服这些问题，可以采用基于模型的方式进行设计和分析。这些方法和工具可以帮助设计人员以更直观、更规范的方式描述系统，从而提高设计效率和质量，并有效降低设计过程中的风险。

2.2 基于模型的架构设计与分析流程

按照ARP4754A^[14]的飞机/系统设计流程，结合ARP4761的安全性评估指南^[15]，本节以飞机功能的需求作为输入设计航电功能架构，细化RFLP设计过程，并在其中穿插安全性建模步骤，提出一套基于模型的面向航电功能设计的架构设计分析流程，如图1所示。

1）需求架构设计

需求架构的意义在于识别架构设计的任务和目标，确认航电各分系统的运行场景，以获取航电级功能的完整需求，确保架构设计的各相关专业人员对系统设计目标具有统一理解。

2）功能架构设计

功能架构设计的目的是覆盖功能需求，按照航空运输协会（ATA）的规定，将航电级功能分配至分系统。根据功能分配结果，对各分系统的功能进行分解，并明确功能块之间的交互内容，从而形成颗粒度适当的功能架构。同时，根据分系统功能架构和安全性需求分析结果，识别失效状态及其相关分类，并建立功能与失效状态之间的关系。

3）逻辑架构设计

在逻辑架构层级，从初步实现的角度进行功能分组，即定义逻辑组件。逻辑定义的过程要考虑功能架构之间的功能交互强度，以使得每个逻辑组件都与分系统的核心任务功能密切相关。

4）物理架构设计

物理架构设计的目的是确保功能接口需求实现的全覆盖，解决多个设备连接协调性问题。针对系统逻辑架构定义，参考典型机型物理设备，从为逻辑组件配置物理资源和设置冗余特性的角度进行系统设备定义。并根据逻辑交互关系将相同类型的逻辑参数集成至物理端口。最后，根据物理设备的传输路径和功能失效模式构建故障树，并进行分析以评估架构是否满足安全性要求，若无法满足，则回溯至需求分析阶段进行迭代。

功能、逻辑和物理架构模型之间的分配关系如图2所示。通过建立每一层模型之间的纵向映射关系，能够确保需求、功能、逻辑和物理之间的完整追溯关系。

3 姿态显示功能建模实例

飞机上的姿态显示功能是由多个系统共同实现的。采用ATA的分类和编号标准，主要涉及到惯性基准系统（ATA34 IRS）、飞行控制系统（ATA27 FCS）、显示系统（ATA31 DS）以及综合模块化航电（ATA42 IMA）的支持。IRS、DS、IMA属于航电系统，FCS不属于航电系统，但是承担了IRS关键数据的表决功能，在源端提高了关键数据的完整性。

依托于前文所总结的架构设计与分析流程，参考某国产机型架构，在Enterprise Architect平台上采用SysML对姿态显示功能进行建模，并进行故障树分析迭代架构。

3.1 姿态显示需求建模

对于姿态显示功能，首先从主机下发的需求规范、通用技术规范等约束文件完成航电功能的需求捕获，并从ARINC标准、以往国产架构设计信息等材料中完善其他相关需求，并对其进行需求分析以确认运行逻辑。表1为通过需求管理工具捕获的需求（部分）。

在上述工作完成之后，将捕获的需求转换成SysML需求图以作为架构设计的依据。生成的需求图（部分）如图3所示。图中每个需求元素具有唯一的名称（name）、标号（ID）和文本规范（text），名称是对需求内容的概括，标号与需求管理工具的编号相对应，文本规范则是详细的需求规范内容。

3.2 功能架构建模

根据需求分析结果，在模型中创建ATA分系统清单以分配航电功能，具体关系如表2所示。根据分配关系构建航电级功能分配图如图4所示。对于分配结果，将分解功能作为ATA分系统顶功能，以该分系统完全负责此功能的原则，从数据感知、数据处理、数据输出的角度进行功能分解，同时定义功能模块之间的交互信息（即功能参数，function parameter）。

通过功能定义图清晰地描述功能之间的分解关系和功能参数。在定义好各分系统的功能和功能参数之后，建立功能交互图以明确功能之间的协作关系。IRS需要提供IRS姿态信息至FCS和DS，FCS对IRS姿态信息进行表决并提供表决姿态信息至DS，DS使用接收到的信号进行显示。各分系统的功能定义图以及综合功能交互图构成了姿态显示功能的功能架构，为后续系统架构的设计提供了顶层接口约束。除此之外，还使用追溯（trace）关系建立功能与需求的联系，确认功能对需求的覆盖。

3.3 逻辑架构建模

为使各分系统内部功能强耦合，同时又清楚定义功能之间传输的具体数据，基于功能架构信息从初步实现的角度进行功能分组和参数分解，IRS逻辑定义图定义了四个逻辑组件：三轴加速度传感器应用、角速度传感器应用、惯性信息数模转换应用、惯性基准单元应用。而对于飞行控制系统，不仅需要明确姿态具体内容，还需要精确表决姿态当前的变化率，故将功能参数IRS姿态信息分解成IRS俯仰角数据、IRS滚转角数据、俯仰角旋转速率、滚转角旋转速率四条逻辑参数。与功能交互图不同，考虑到对功能架构的全面承接，在逻辑交互建模阶段对每一条逻辑参数都在其对应的发送逻辑组件上定义逻辑组件端口；相应的，接收逻辑组件也定义接收端口。提供姿态显示逻辑交互图如图5所示，每个逻辑参数，只能有一个对应的发送逻辑端口，但是可能存在多个接收逻辑端口，即一发多收情况。IRS俯仰角数据由IRU_APP发送至FCM_APP和PFD_APP，而FCM_APP通过接收处理IRS数据，得出的表决姿态数据仅输入至PFD_APP。

3.4 物理架构建模

在物理架构设计中，区别需要由计算机设备或可编程硬件实现的逻辑软件和需要由机械设备实现的逻辑硬件。逻辑软件可初步决策驻留位置，逻辑硬件初步决策实现形式，将逻辑组件分配至物理设备类。完成物理设备类定义之后，考虑安全性需求，考虑各物理设备冗余特性，根据物理设备与其他设备通信的需求，确定配置的物理端口类型以及物理设备实例。同时，考虑逻辑参数的实现形式，逻辑参数分解成具有数据类型要求的物理参数。

对于姿态显示功能，物理架构定义阶段需要构建物理设备定义图和物理设备端口定义图。物理设备定义图如图6所示，定义物理设备Gyroscope Sensors Class用于承载逻辑组件Angular Velocity_APP，同时设置三个实例，说明其实际冗余备份为3。

物理设备端口定义图如图7所示，考虑到数据实现类型所需路由的端口，物理设备类型设置不同类型的输入输出端口，其所属的实例均会生成实际的输入输出端口。如惯性基准系统通过自身传感器感知的数据为模拟量，通过ADM模块将模拟量转换成A429类型以供IRU数据计算，对于FCM，为保证数据源的完整性，以A664网络的形式发送数据。

完成物理架构定义工作后，分析数据通信特性，将逻辑参数归集于物理设备端口，创建物理交联图如图8所示，对于逻辑架构中的一条逻辑参数，在物理架构中结合冗余特性会被分解成多条物理参数，如IRS俯仰角数据，发送端物理设备有三部IRU，接收端物理设备有三部FCM和四部IDU，考虑到模型可见性，对物理交联图物理参数部分作简化处理。图中蓝色线表示模拟量，黑色线表示A429数据，红色线表示A664数据，绿色线表示A818数据。

3.5 基于模型生成故障树

根据ARP4754A的系统架构开发章节和ARP4761的初步安全性评估章节，系统研制的各个阶段都有相应的安全性评估过程，FTA作为主要的安全性评估方法，是一种逻辑性强、表达直观的系统安全性分析方法。传统的故障树分析方法与系统设计往往不是同步进行的，导致失效模式与系统架构的一致性难以保证。为了解决这个问题，可以基于架构设计模型，根据定义的失效状态，通过对物理架构进行遍历来构建相应的故障树。

基于标准功能架构定义考虑，当发生功能丧失和功能失效两种情况时，应充分考虑影响功能的失效以及失效组合，定义的失效状态如表3所示。

根据功能失效类别以及物理设备端到端传输路径，定义每个物理设备自身失效模式和输入输出端口功能失效模式，分别建立整条物理参数传输路径上所有设备输入和输出之间的失效致因关系。在假设当前物理设备失效的情况下，逆着数据信息流动的方向查找导致该故障原因以构建故障树。

以一台显示器丧失为例建立故障树，如图9所示。并且基于底层物理设备的失效概率计算故障树顶层事件的失效概率。根据故障树分析结果，改进功能、逻辑、物理架构以满足安全性要求，并确保功能需求分配的合理性。

4 结论

本文将MBSE和MBSA理论应用于民用飞机航电级功能架构设计研究中，得到了民机航电系统架构模型，并通过故障树分析架构设计的安全性。实践结果表明：

1）通过架构生成故障树，可视化每个物理设备的失效率，能够在设计过程中考虑到安全性，在早期发现可能存在的潜在故障和风险，从而降低设计错误率，提高整体设计安全性。

2）基于模型的设计方法可以重复使用现有模型，并简化对象定义和文档生成过程，从而提高设计效率。具体而言，使用这种方法能够将架构设计时间缩短约20%~25%。

3）基于模型的架构设计使得设计过程更加规范、准确且可追溯，从而提高系统的正确性和一致性。通过使用模型，工程师可以借助模型更好地理解和掌握系统的特性，评估系统的性能、可靠性和可用性，确保设计满足预期要求，并优化系统设计以提高质量。

未来的研究可以进一步扩展深化方法和技术的应用，以适应更加复杂和多样化的系统设计需求。

参考文献