基于MBSE的民机功能需求辨识与确认.docx
《基于MBSE的民机功能需求辨识与确认.docx》由会员分享，可在线阅读，更多相关《基于MBSE的民机功能需求辨识与确认.docx（17页珍藏版）》请在冰点文库上搜索。
基于MBSE的民机功能需求辨识与确认
基于MBSE的民机功能需求辨识与确认
0 引言
正向设计方式,又称顺向工程（forwardengineering,FE）,不同于逆向工程（reverseengineering,RE）方式,是在工业产品开发中遵循序列严谨的研发流程。
其从功能与规格开始,逐次完成每个元件的设计、校验与组装、整机核装。
在飞机系统设计领域内,FE具有巨大的优势。
在物理架构层面,飞机总体系统涵盖结构力学设计、材料设计、空气动力设计等子系统设计;在功能架构层面,飞机系统由众多的子功能系统构成,如飞行控制系统、飞行管理系统、座舱系统、推力系统和电传电缆系统等。
因此,飞机系统的设计需要数量众多的子系统耦合完成,在设计过程中,为了避免不同子系统的需求发生冲突,需要不断地对系统设计方案进行调整直至找到满足需求的最佳设计[2]。
另一方面,在RE飞机的复杂高耦合系统时,由于子系统辨识的误差[3]和解耦计算时干扰的不确定性[4],会使设计结果产生偏差。
采用基于模型的系统工程（model-basedsystemsengineering,MBSE）的FE改进方法,以民机飞行场景——应急复飞为例,在MBSE框架下对民机系统搭建用例分析模型。
首先从原始功能需求出发,对由功能需求导出的黑盒架构设计进行逐步分析直至产生白盒模型架构,然后通过数值仿真从而将黑盒离散功能需求架构进行白盒连续功能的需求分析,从而完善功能需求并捕获新需求,最后利用MBSE架构中状态机仿真验证需求的完备性与合理性。
1 MBSE方法概述
1.1 复杂系统研发的双V过程
1978年,钱学森提出采用科学的组织管理的方法,并将系统工程的概念进行推广。
系统工程即使用科学的方法对系统的设计、制造和试验进行规划,以实现系统最优化。
根据国际系统工程学会给出的MBSE的定义为,从概念设计出发,使用建模方法逐次支持系统需求、设计、分析、验证和确认等活动,持续贯穿整个设计生命周期。
图1为MBSE中双V字模型（双V分别为Validation和Verification）结合具体的展示,在该图中,V字模型的右边描述了自底向上的系统设计黑盒模型过程,从原始需求文档的分析出发,依此设计分析飞机系统用例分析、黑盒功能设计活动图、黑盒功能序列图。
V字模型的左侧是根据驾驶员的离散时间操纵序列,从而将黑盒模型解析转换为白盒模型,对系统的功能模型进行验证,根据白盒模型完善需求覆盖表,确认新需求的有效性,验证新增需求的完备性和合理性,最终完成飞机系统的正向综合设计。
图1双V字模型
Fig.1DoubleVmodel
1.2 MBSE的应用现状
除去图1使用的基于系统工程双V字模型框架外,目前IBM公司研发的Rational集成系统/嵌入式实时开发流程Harmony方法也应用较为广泛。
其采用将V字模型的左半侧标注区域为采用MBSE方法的自顶向下的设计方案,该方案从系统的采集需求分析入手,对系统的功能层面进行分析,在设计综合阶段确定系统的架构基线,最后完成系统的软件设计分析与单元测试。
设计人员利用这一方法,根据系统模式和状态搭建出系统的黑盒模型,从而推导出所需要的系统功能,再将确定的功能和行为分配给子系统,得到衍生需求和接口需求。
在民用客机的系统设计领域中,传统方式是自底向上的系统功能系统控制文档（interfacecontroldocument,ICD）管理方法,其方式主要借助飞机设计师人工逐一建立需求和控制过程的转换连接关系。
工程实践分析表明这种ICD的系统迭代设计过程存在着诸多问题,如设计周期长、迭代过程重复性工作较高,飞机间不同的系统之间接口不明确等。
因此,找到能将需求与过程反馈匹配解决ICD的生成和控制是当前系统工程领域需要解决的问题。
在航空航天领域,MBSE方法得到了广泛使用。
美国BAE系统公司使用MBSE方法来设计航天器电子系统,完成可重用的结构框架,使得系统之间的数据能够以更有效的方式共享。
中国商用飞机有限公司基于MBSE的方法对民用客机上的健康管理系统进行设计,保证客户需求的可追溯性,并更好地在实际飞行场景中运用。
文献[13-14]将双V活动分解为4个基本部分,设计新的建模语言,用工具配置的思路来完善模型决策部分。
文献[15]将MBSE方法融合了互操作性来分析,建立基于模型的系统互操作性工程的概念建模,对民用航空领域中互操作性的重要性进行了分析讨论。
文献[16]用MBSE的方法考虑了系统对环境的影响。
文献[17]提出了MBSE的对航空工业系统中软件研制的验证与有效性确认的设计思路,提供给系统更有效的灵活性、适应性和更佳的过程效率。
以上对民机系统的研究在MBSE框架下着眼于子系统的特定功能建模以及功能需求的满足,但在将功能黑盒模型转换为白盒模型验证并捕获需求方面的研究并没有充分的探讨,因此旨在通过MBSE框架下民机在特定场景中的功能黑盒活动在白盒模型中完成需求分析和捕获,从而在设计阶段完成功能需求的验证和一次捕获,减少整机验证阶段的二次需求捕获工作量。
2 基于MBSE的典型民机功能需求架构设计方法
2.1 民机任务关键功能需求辨识
在自动化控制技术广为应用的今天,民用飞机在执行主体飞行过程即达到平流层后的平稳飞行主要是依靠飞机自身复杂的控制系统的运行,飞行机组成员在这个过程中是可以看作冗余备份系统。
但是,飞行机组成员在民用飞机的起飞、爬升和着陆阶段是主要系统控制输入变量的来源。
此外,一个显著的事实是,航空空难在飞行自动化系统的稳定性得到保证的今天仍然是处于高危的状态。
根据国际民航组织2017的年度安全报告,航空空难的发生次数频率仍是居高不下[18]。
国际飞行安全基金会的统计报告发现,航空空难在飞行任务的主要发生任务时间段是在起飞、爬升以及着陆这3个由机组成员控制民用飞机完成飞行任务的过程中[19],如图2所示。
图2空难分布图
Fig.2Aircrashdistributiondiagram
虽然这几个飞机任务阶段仅仅占据飞行全时段的约4%,但是由于飞行任务繁重,操作过程繁琐,使得飞行机组人员在执行飞行任务过程中难以完全按照标准的操作控制飞机系统,从而诱使空难发生。
因此,研究和分析机组飞行员参与控制飞机的这3大过程对于提升民用飞机的安全飞行,保证民用飞机的飞行状态始终在安全裕度内具有重要意义。
民用客机的着陆失败在飞机任务中是严重的事故。
飞机在降落到即将触地着陆前,由于机组驾驶员操作不当导致了飞机进场失误:
如下滑道指示器出现最大偏差、导航仪表不一致、侧风或顺风过大、能见度低于可着陆的最低标准、风切变、塔台航空管制指示等等情形,均需要驾驶员把机头拉起回到空中绕场重新着陆。
民用飞机在应急复飞场景的研究对于民机的关键功能需求辨识具有最佳代表性。
该过程覆盖了驾驶员控制飞机着陆、起飞以及爬升这3个事故高危的飞行时段,且驾驶员在执行应急复飞的飞行任务时,对于飞机的功能需求更加直接和明显。
因此,针对民用客机的应急复飞场景做完备的关键功能需求分析对于分析该关键场景中的流程具有一定的启示作用。
通过调研飞行员机组操作标准手册和民机标准操作步骤,总结民用客机在应急复飞阶段的关键性原始需求,驾驶员对于飞机功能的根需求如图3所示。
图3关键原始功能需求
Fig.3Crucialoriginalfunctionrequirement
2.2 民机功能需求架构辨识
对于在应急复飞中的民用飞机原始功能需求,根据驾驶员在操纵飞行时需要的标准输入控制量:
升降舵偏转角、方向舵偏转角、副翼偏转角以及油门开度量,即应急复飞场景用例可细分为着陆子用例所示的5个方面,分别是飞机调整速度、调整下沉率、调整侧偏距、复飞绕场进近和拉平着陆5个部分,如图4所示。
当驾驶员确定复飞绕场进近后,又可分为调整速度、调增方位、拉起起飞以及调定复飞推力这5个子用例。
图4是应急复飞场景中包含到的飞机功能原始需求的用例图。
图4用例包含图
Fig.4Usecaseincludeddiagram
在完成用例的设计后,构建活动图描述应急复飞用例中的工作流,以呈现功能需求在驾驶员层级上的具体要求。
在MBSE框架中,用可视化的方法将操作于环境之间的相互作用具体表达。
从功能需求层面对飞机系统运行在预期场景中的功能需求期望设计模块图如图5所示,显示了飞机在着陆过程中失效,选择复飞后再次进行绕场进近的活动图。
在接收到地面塔台的允许着陆指令后,驾驶员控制飞机开始进近着陆过程。
在着陆过程,当飞机状态无法达到安全着陆时,驾驶员控制飞机进入复飞过程,再次拉起飞机,完成绕场进近,最后着陆。
为了进一步精细化期望的需求设计,考虑利用活动图将用例和活动图中显示角色和模块的协作行为需求进行详细描述。
活动图依赖于具体的用例来表现场景。
复飞用例的活动图5模型模拟飞机第一次着陆失效,驾驶员拉平飞机高度,进行复飞再次着陆的场景。
飞机飞控系统接到来自驾驶员的着陆指令,进入直线下滑阶段,飞控系统探测到飞机高度已经达到拉平高度,随即检测速度和下沉率,若发现速度不在预定范围内,告知驾驶员需要进行复飞操作。
驾驶员拉起飞机进行绕场进行复飞,绕场完成后再次接到着陆指令完成着陆动作。
序列图由角色、模块的垂直生命线以及伴随在一定时间内按照顺序传递的一组信息构成。
在MBSE框架设计下,利用需求得到的序列图,如图6所示。
图5活动图
Fig.5Activitydiagram
图6序列图
Fig.6Sequencediagram
将飞行控制系统需要的控制量用序列化表示出来,但在实际中,驾驶员控制飞机的操作步骤是同步发生的,如驾驶员在操纵飞机时油门和操纵杆同步控制。
因此有必要将序列图进行离散时序上处理分析。
由于驾驶员在手动控制飞机飞行中,有驾驶杆的推拉操纵量、左右压杆的操纵量、脚蹬操纵量,油门杆操纵量这4项确定的控制量输入及对飞行管理系统的设置。
文献[20]中提到利用离散时序序列表示驾驶员的不同控制量的方法。
在应急复飞场景中,驾驶员的控制序列如图7所示。
图中的横轴代表时间,纵轴表示控制量的不同输入。
T1,T2和T3分别代表了驾驶员紧急拉起,飞机爬升及飞机开始绕场进近的时间节点。
图7驾驶员离散操纵序列
Fig.7Discreteoperationalsequenceofpilot
通过驾驶员离散操纵序列图,将飞机系统在完成紧急复飞这一场景中的功能需求同驾驶员的控制结合,并利用时间序列体现。
至此,完成了在MBSE框架下,对民机在应急复飞用例中的功能需求黑盒活动的分析构建。
3 基于数值仿真的典型民机功能需求辨识方法
民机功能需求反演到飞行系统上,其具体的表现将会表征为飞行曲线的波动。
因此,利用MBSE框架下构建的应急复飞场景黑盒活动模型,通过数值仿真的方法,将飞机功能需求的黑盒模型解析表现为白盒模型中清晰明确的飞机曲线中的特征点位,从而确认模糊需求的锚点并分析判断是否需要补充和提出新的需求。
考虑到仿真中的真实性,因此需要设计一个合理的驾驶员控制模型并将其包括在人机环系统的框架中,使得飞机的功能需求能够同飞机系统和驾驶员系统结合在一起,完成合理的仿真架构设计。
3.1 人机环系统框架设计
根据飞行动力学,决定飞机运动的是作用在其上的力和力矩[21]。
一名合格的飞机驾驶员正是通过机舱内部的交互设备操纵飞机的方向舵、升降舵、副翼及油门从而达到改变作用在飞机上的力和力矩进而达到控制飞机运动的目的。
与此同时人机模型的研究表明,绝大多数有人参与的控制器都具有不确定性和时滞特性。
即人在完成控制任务的时候由于生理或心理的隐式因素干扰,控制器的输入量会包括数值的误差和时间的滞后性。
因此在飞机应急复飞的控制过程中,驾驶员最终的行动与期望行动的偏差是不可避免的。
从而导致飞机执行应急复飞的任务中,每次的飞行轨迹都会不同。
驾驶员控制模型在过去的研究发展中[22]主要分为3大部分:
基于技能、基于规则和基于知识的。
其中,基于技能的模型设计将驾驶员在特定场景中控制飞机看作连续的控制行为。
基于规则的驾驶员控制模型是驾驶员将在不同的离散控制规则指引下对飞机的自动驾驶系统和飞机管理系统进行操控。
基于知识的驾驶员模型主要应用于驾驶员在不熟悉环境下做出应急决定从而维持飞机处在安全飞行裕度范围内部。
在研究中,考虑将驾驶员在t时刻的输入量δ设计为
P（t,δ）=e-δ tPexpect（t,δ）+ΔP（t,δ）
（1）
式中,e-δ t表示驾驶员的操作时滞特性;Pexpect表示期望的输出反馈。
此外,由于驾驶员在操作过程中的小误差随机性,因此可以将驾驶员的操纵动作误差用正态分布来表示。
即
（2）
另一方面,驾驶员在操纵飞机飞行过程中并不是单一的交互环境,在此过程中,驾驶员在座舱系统中同飞机的交互涵盖了驾驶员从座舱外部的环境的视觉效应感知飞机状态、驾驶员自身的生理感知、仪表系统的信息视觉反馈,操纵杆的力反馈特性及座舱声信号的信息反馈等等,如图8所示。
图8人机环系统框架
Fig.8Architectureofhumanmachineenvironmentsystem
此外在驾驶员应急复飞过程,由于从“正常进近着陆”瞬间转到“应急复飞”,飞行场景突变,这对飞行员的心理和行为能力将产生严重的负面影响。
因此,一个有效的人机环系统框架将在执行应急复飞过程中更好地反映驾驶员对飞机功能的需求反馈。
应急状态下的驾驶员注意力同正常状态下驾驶员的注意力相比更加集中,其注意范围处于收束的状态域内。
其在接收信号时会更加关注到由平视显示器（head-updisplay,HUD）画面和飞行视窗外部直观显示的飞机飞行状态。
同时,驾驶员模型对飞机输入量的正态分布会更加集中。
此时,对于飞行管理系统的额外操纵,由机组驾驶成员的非操纵杆驾驶员完成。
即在应急复飞场景下,飞机的控制量输入将全部由驾驶员完成,自动控制驾驶不参与飞机的舵面和襟翼控制量的输入。
3.2 数值仿真与辨识分析
仿真案例飞机模型采用Boeing747-400型号,飞机的基本参数参考了文献[23]中所构建的低速巡航条件下飞机动力学模型的机身参数、气动力参数、气动力矩参数等等相关参数。
整个仿真实验利用Eigen科学计算包来保证飞机状态计算的精确。
为将功能需求反应到人机环系统的实际建模中,实验中设置了速度保持控制器,俯仰姿态保持控制器和高度保持控制器以实现相关调速,调高以及调整俯仰姿态需求的功能黑盒解白。
具体的控制器设置采用比例-积分（proportion-integer,PI）控制器设计。
表1为飞行的机身参数,表2为气动力参数,表3为气动力矩参数。
表1Boeing747-400的机身参数
Table1FuselageparametersofBoeing747-400
表2Boeing747-400的气动力参数
Table2AerodynamicparameterofBoeing747-400
表3Boeing747-400的气动力矩参数
Table3AerodynamicmomentparameterofBoeing747-400
仿真过程中,初始设置飞机在着陆失效后进入应急复飞状态,拉起飞机并开始绕场进近,最终完成着陆。
实验中,将飞行员离散时序控制图设置为仿真期望节点。
标准实验及对照实验设置如表4所示。
表4标准实验及对照实验设置
Table4Standardexperimentandcontrolexperimentsimulationmethod
每组仿真实验进行100次,从每组实验中选取100次飞行轨迹曲线的中线。
图9、图10分别是飞行仿真实验中所选取中线的飞行高度三维轨迹图与侧方位观察时的仿真结果曲线图。
其中,XOY平面是飞行的水平面,Z轴表示竖直高度,X轴表示航行距离,Y轴表示偏航距离。
图9飞行曲线三维视图OXYZ
Fig.9Fightcurvethreedimensionsview OXYZ
图10飞行曲线侧视图OXZ
Fig.10Flightcurvesideview OXZ
在图9的飞行曲线中,驾驶员在确认第一次着陆失效后将立即执行紧急拉起复飞,在此过程中,飞机从着陆状态转换为爬升状态,对应于图中红色区间中的部分。
根据第3.2节中人机环系统的框架分析,在此应急过程中,由于驾驶员在应急状态下心理等诱发的负面影响,在操纵控制飞机时,控制量的误差正态分布会更加集中,导致飞机在飞行时更容易发生一些小幅度抖动,体现在飞行轨迹上则是飞机的轨迹会有明显程度的波动。
图9和图10中标注的飞机特征点表示反映飞机功能需求对应于驾驶员所做出的反馈起始点。
A点,飞机飞控系统检测到飞机着陆将失败,向驾驶员发出复飞的提示,驾驶员向塔台预警,并确认飞机系统推出着陆状态;B点,飞机达到最低点,此时的飞机功能需求子用例为拉起复飞,具体表现为状态图、序列图及离散时序图中驾驶员将纵向回拉操纵杆,控制副翼抬起机头,同时提升发动机功率;C点,飞机系统检测到离地高度及飞机姿态达到期望的复飞成功状态,此时功能需求为需要驾驶员执行基本的爬升动作,降低飞机的俯仰值,如离散时序控制图所示,驾驶员将降低纵向控制操纵杆的控制量;D、E、F、G这4个点为飞机进入绕场进近的曲率半径最小的位置,飞机功能需求为飞机转弯,加大飞机偏航角,对应于驾驶员横向拉动操纵杆。
4 MBSE的典型民机功能需求确认方法
4.1 基于用例的需求覆盖度确认
需求覆盖度是为了在设计的最后阶段确认功能的需求是满足飞机初始需要的,同时检查被遗漏的功能需求。
覆盖度确认可清晰地显示出被修改的需要关联的影响,方便设计人员快速地修改对应的设计,缩短设计周期[24]。
依据第2节对飞机功能需求的架构设计分析,同图3应急复飞过程的原始功能需求图以及图5、图6的MBSE正向设计过程中的功能结合,可得到原始需求与相应功能的关联表即图11，横轴代表民机系统中的系统级功能需求,纵轴代表用户需求。
由图11可知,在紧急复飞案例中,飞机系统级的基本功能需求在用例中得到了满足,需求能够被成功追溯显示,但是仍然存在部分原始需求没有得到满足,如拉起起飞这个原始需求中,并未明确关联SR003-速度控制和SR004-下沉率控制这两项具体的驾驶员用户操作的飞机功能需求。
因此,下一步需要结合白盒模型对当前存在缺陷的需求覆盖表进行完善。
图11需求覆盖
Fig.11Requirementscoverage
4.2 基于状态机的需求正确性确认
检查飞机在执行应急复飞过程中的需求覆盖表,其并未对飞控系统在拉起阶段中如何确认复飞状态给出需求（对应于第3节数值仿真阶段的B点附近状态）,但此类需求的不同会导致系统设计结果的不同,且对飞机应急复飞的过程有重要影响,故在需求确认阶段需要采用状态机来验证所增加的需求是适应飞机系统,对飞机系统的正常运行无故障影响。
实验中补充飞控系统在B点处状态的需求:
（1）当高度还未下降到最大拉平高度以下时,飞控系统确认飞机处于复飞状态后将增加发动机功率提前进入复飞状态;
（2）当高度小于最大拉平高度,速度或下沉率未达到标准状态时,触发复飞;
（3）当高度小于最大拉平高度,飞控系统判断不足以再次复飞时,飞机选择在危险情况下迫降。
细化完善后的需求覆盖表如图12所示。
将新的功能需求加入功能状态机中,执行飞机的功能状态机仿真,并将相应需要补充的需求增加,从而检验飞控系统是否可以按预期的设计运行下去,从而检查搭建的模型是否合理,设计与需求是否一致,以及用户的需求是否被实现[25]。
图12完善后的需求覆盖
Fig.12Modifiedrequirementscoverage
在执行状态机时,给定飞机系统即将处于应急复飞场景,将场景赋予状态机后,观察状态机在此场景下所处状态,与用户的需要对比,即可以检查根据提取出的需求进行的设计能否满足客户需要[26]。
执行搭建的状态机后,状态机图中粉色标框表示状态机可以成功运行到该框图即复飞确认阶段,并即将准备开始爬升进入绕场进近阶段。
即检验出飞控系统可以按预期的设计运行下去,搭建的模型是否合理[27],设计与需求一致,用户提出的原始期望需要与补充需求也得到了实现。
（1）功能需求的合理性检验:
图13为复飞过程的原始状态机。
仿真验证表明,在运行状态机后,图中红色标框指示运行成功,黄色标框指示运行成功但是有警告信息。
由此结合需求覆盖表可以确认系统的部分潜在功能需求并未提出。
图14为加入所捕获的新需求功能后的复飞过程状态仿真机。
运行状态机验证,结果显示复飞过程状态机成功运行。
因此,即说明通过追溯后捕获的功能需求具备合理性。
（2）功能需求的完备性检验:
完备性的仿真检验是为了确认在通过功能需求追溯在需求覆盖表中所增加的功能需求是必要的。
通过在整个系统中删除部分功能需求,以此来检验系统的运行是否能够正常。
图15是完备性状态机检验,在其中忽略了新加入功能需求——高度与最大拉平高度比较。
仿真运行显示,状态机在绕场进近阶段前的确认开始复飞阶段停止运行。
同时当状态机通过迫降着陆结束状态机运行时,状态机运行提示存在功能需求不足的警告信息。
因此,表明该完备性检验中功能需求的必要性,同时通过仿真说明了功能需求的完备性。
图13复飞过程原始状态机
Fig.13Go-aroundoriginalstatemachine
图14合理性检验
Fig.14Rationalityverification
图15完备性检验
Fig.15Completenessverification
5 结论
为将抽象分析过程具象化,使研究更具有代表性和工程实践特性,使用民机飞行场景中的紧急复飞场景作为研究案例。
从该场景的功能需求架构辨识开始,确认原始功能需求,构建功能活动图,将需求反演到驾驶员层级,得到在这一场景下的离散时序控制图,最后在功能架构层面,利用数值仿真的白盒模型方法完成对设计预期阶段功能的检验与新需求的获取,并使用状态机仿真对功能需求捕获后的完备性与合理性确认。
（1）相较以往的研究方法,可以更加清晰地确定系统功能对应于需求架构中的锚点,即在FE预研阶段完成功能需求验证。
通过黑盒模型中系统的功能需求架构辨识,得到并构建白盒模型。
仿真分析飞行曲线中的特征需求点表明,原始的民机需求并不能完全满足任务功能的完成。
因此需要增加新的需求功能,对客机的原始功能需求覆盖表进行完善,从而补充民机在飞行场景中的功能需求。
（2）通过基于MBSE框架下改进设计的FE方法,得到具备科学性需求捕获和验证的完备方法。
其在FE的双V框架的预设计阶段（即图1的左侧）即可利用白盒产生系统预期行为验证了功能的完整性,从而更好地为系统实现阶段（即图1的右侧部分）分析功能需求同驾驶员人在环系统之间的内在联系做准备。
（3）在基于数值仿真的需求辨识设计中,将MBSE框架下的黑盒功能活动模型解析为白盒功能模型表示,并在驾驶员的连续仿真模型中加入了根据MBSE需求设计框架中从原始需求导出的离散时序控制预期节点。
在白盒仿真验证中,通过判断系统行为在特征需求点处的性能达标从而确认功能需求的完整性。
升级会员 