模块 9：航空航天与国防

航空航天与国防（A&D）系统是人类工程中最复杂的产物之一。一架现代战斗机包含数百万零部件、数十万条需求，且必须服役 30–50 年。这些特征使该行业成为 MBSE 的天然先驱。

复杂性驱动因素

• 安全关键性 — 失败可能导致人员伤亡。每一项设计决策都必须可追溯到安全证据。
• 超长生命周期 — B-52、F-16、欧洲台风战斗机等平台服役数十年，需要比任何单个工程师或承包商存续更久的模型。
• 多承包商集成 — 主承包商、子系统供应商和政府机构必须对系统形成共同理解。仅靠文档无法在数十个组织间维持一致性。
• 严格的监管要求 — 民用和军用适航当局要求结构化的合规证据，这使得基于模型的可追溯性极具价值。

美国国防部数字工程战略

2018 年，美国国防部发布了数字工程战略（Digital Engineering Strategy），标志着一个分水岭。该战略要求所有国防部项目从以文档为中心转向以模型为中心的采办和工程方法。其五大目标包括：规范化模型的开发和使用、提供权威的真实数据源、融入技术创新、建立数字工程基础设施、以及转变文化和人才队伍。

美国之外的发展

欧洲紧随其后推出了类似举措。英国国防部发布了《国防数字战略》，ESA（欧洲航天局）和空客等组织已将 MBSE 作为航天器和飞机项目的标准实践。在这些场景中，MBSE 不是可选项 — 而是合同要求。

航空航天与国防运作于一个密集的标准网络中。MBSE 模型并不取代这些标准 — 而是提供结构化的证据，表明标准已被满足。了解哪些标准至关重要，是该领域 MBSE 从业者的必备知识。

关键标准

MBSE 如何支持适航认证证据

适航认证当局（如 FAA、EASA、军用适航当局）要求提供结构化证据，证明系统满足其安全和性能需求。传统上，这些证据是堆积如山的文档 — 数千页的需求、测试报告和用电子表格维护的追溯矩阵。

MBSE 通过将可追溯性直接嵌入模型来改变这一局面。一条需求被链接到满足它的架构元素，该架构元素又链接到确认它的验证用例。当审计员问"给我看需求 X 的证据"时，答案是一个模型查询 — 而不是在文件柜中人工搜索。

SysML 是主流的建模语言，而统一架构框架（UAF，Unified Architecture Framework）则是国防体系之体系（system-of-systems）领域的主流架构框架。UAF（前身为 UPDM/MODAF/DoDAF）提供了一组标准化的视点，用于描述复杂的军事和企业架构。

UAF 提供了什么

UAF 将架构描述组织成一个视点网格，每个视点对应不同的利益相关方关注点。UAF 不是为建模单个系统而设计的，而是面向体系之体系 — 描述多个系统、组织和能力如何协同交付军事或企业任务。

UAF 视点概览

何时使用 UAF 而非单独使用 SysML

对于单个系统（例如一台雷达），使用 SysML 配合 OOSEM 或 MagicGrid 等方法通常就足够了。当需要描述体系之体系 — 多个系统、组织和作战流程如何协同时，UAF 就变得不可或缺。如果您的项目涉及联合军事行动、联盟互操作性或企业级能力规划，则很可能需要 UAF。

经过二十多年的应用，航空航天界已发展出一系列反复验证的 MBSE 模式 — 针对常见建模挑战的成熟方法。理解这些模式可以加速您自己的实践。

任务线程分析

任务线程（Mission Thread）追踪一个完整的作战场景，从触发到结果，跨越系统和组织边界。例如，一个监视任务线程可能从情报任务下达开始，经过卫星重新调度、图像捕获、下行链路、处理、分析，最终传递给作战指挥官。MBSE 将每个步骤建模为活动或动作，在每个边界处清晰定义接口和数据流。

作战场景建模

在设计系统之前，工程师先建模作战场景 — 用户将如何在其预定环境中与系统交互。在航空航天中，这些场景通常是安全关键的：发动机故障时会发生什么？通信中断时怎么办？MBSE 将这些场景捕获为序列模型或活动模型，并链接到它们所派生的需求和必须支持它们的架构元素。

失效模式建模

MBSE 将结构模型与安全分析连接起来。模型中的每个组件都可以标注失效模式、失效率和严重性分类。这使得能够从用于设计的同一模型中自动生成失效模式与影响分析（FMEA）和故障树分析（FTA）— 消除了安全分析在独立、断开的工具中执行时产生的不一致性。

跨承包商接口管理

在大型 A&D 项目中，不同承包商构建不同的子系统。这些子系统之间的接口具有合同约束力。MBSE 将接口捕获为带有类型化流的端口定义 — 电气、机械、数据和流体。当提出变更时，模型立即揭示哪些接口受到影响以及需要咨询哪些承包商。

示例：卫星地面站系统

假设一个卫星地面站需要与多个航天机构（NASA、ESA、JAXA）、多个卫星星座和多个最终用户组织对接。地面站必须处理数十种通信协议、严格的时序约束，以及从非密到绝密的不同安全密级。MBSE 模型在一个权威数据源中捕获所有这些接口、协议和约束 — 这是任何文档集合都无法在不出现矛盾的情况下做到的。

航空航天与国防可能引领了 MBSE 的采用，但这一旅程并非一帆风顺。了解该行业面临的挑战，对任何考虑 MBSE 的行业都有宝贵的借鉴意义。

模型规模

A&D 模型可以增长到数百万个元素。一个飞机项目可能有超过 200,000 条需求、数千个架构元素和数百万条追溯链接。当前工具在处理这种规模的模型时面临困难 — 性能下降、查询变慢、版本控制变得复杂。跨团队分区模型（联邦建模）有所帮助，但引入了同步挑战。

多工具集成

没有任何单一工具能覆盖所有 MBSE 需求。典型的 A&D 项目可能使用 Cameo Systems Modeler 进行 SysML 建模、DOORS 进行需求管理、Matlab/Simulink 进行仿真，以及一个专用工具进行安全分析。将这些工具集成起来，使变更能够一致地传播，本身就是一项重大工程挑战。OSLC（开放式生命周期协作服务）等标准有所帮助，但工具集成仍然脆弱且昂贵。

知识产权关注

当多个承包商共享一个模型时，知识产权边界变得至关重要。承包商 A 不希望承包商 B 看到其专有设计细节 — 只看到接口。通过受控访问的联邦建模是标准方法，但需要在模型元素级别进行细致的治理和工具支持的访问控制。

基于模型的证据的资质认定

认证当局拥有数十年审查文档的经验。审查模型是全新的领域。问题随之而来：审计员如何验证模型是正确的？什么构成充分的基于模型的证据？如何保证模型的完整性？业界仍在制定基于模型的认证标准和最佳实践，其中 DO-331（DO-178C 的模型驱动开发补充文件）是最成熟的指南。

文化阻力

航空航天与国防组织往往比较保守 — 这是有充分理由的。当生命依赖于工程严谨性时，"我们一直是这样做的"不仅仅是固执；它反映了来之不易的经验教训。引入 MBSE 需要证明基于模型的方法至少与基于文档的方法一样严谨，然后在此基础上展示额外的好处（一致性、自动化、复用）。