■ 高亞輝 王松 朱靜 王琴 劉明 / 中國(guó)航發(fā)控制所

相對(duì)于傳統(tǒng)的實(shí)現(xiàn)方式，基于模型的FADEC系統(tǒng)軟件開(kāi)發(fā)可以在前端完成約55%的設(shè)計(jì)活動(dòng)，通過(guò)更早地發(fā)現(xiàn)、解決設(shè)計(jì)中存在的問(wèn)題，提高了迭代效率。

航空發(fā)動(dòng)機(jī)全權(quán)限數(shù)字式電子控制（FADEC）系統(tǒng)基于模型的軟件開(kāi)發(fā)的工作量大且過(guò)程繁復(fù)。傳統(tǒng)的開(kāi)發(fā)模式是先對(duì)主機(jī)需求直接進(jìn)行分解，再傳遞給軟件開(kāi)發(fā)人員進(jìn)行手工編碼和報(bào)告，然后在半物理模型上進(jìn)行驗(yàn)證和調(diào)試。這種模式缺少桌面設(shè)計(jì)過(guò)程（即多專(zhuān)業(yè)協(xié)同，完成信號(hào)處理、故障檢測(cè)、余度管理、故障對(duì)策、控制律、健康監(jiān)視與告警等算法與邏輯的設(shè)計(jì)建模與模型集成，模型集成前需由各專(zhuān)業(yè)設(shè)計(jì)人員自己完成相應(yīng)模塊的單元測(cè)試），在軟件完成編碼、半物理或臺(tái)架試驗(yàn)甚至是飛行試驗(yàn)時(shí)才會(huì)暴露問(wèn)題，迭代成本和風(fēng)險(xiǎn)都很高；而且手工編碼和報(bào)告的效率低，無(wú)法滿(mǎn)足主機(jī)日益頻繁的變更需求。針對(duì)上述問(wèn)題，創(chuàng)新團(tuán)隊(duì)引入了桌面原型技術(shù)，如圖1所示。通過(guò)構(gòu)建系統(tǒng)級(jí)的詳細(xì)設(shè)計(jì)數(shù)字原型，借助建模仿真手段，將設(shè)計(jì)與驗(yàn)證活動(dòng)前移，在軟件開(kāi)發(fā)之前先進(jìn)行設(shè)計(jì)驗(yàn)證與迭代，從而更早發(fā)現(xiàn)設(shè)計(jì)問(wèn)題，提高研發(fā)效率，具體如圖2所示。

圖1 桌面原型流程

模型構(gòu)建

為了降低建模門(mén)檻、提高建模效率，創(chuàng)新團(tuán)隊(duì)從底層的基準(zhǔn)模塊庫(kù)、頂層的通用模型架構(gòu)和中間層的應(yīng)用算法共用基礎(chǔ)模塊（CBB）等3個(gè)維度構(gòu)建基礎(chǔ)模型。

基準(zhǔn)模塊庫(kù)

創(chuàng)新團(tuán)隊(duì)基于Simulink建模元素和Stateflow建模工具，針對(duì)FADEC系統(tǒng)的特點(diǎn)開(kāi)發(fā)了基準(zhǔn)模塊庫(kù)，主要包括基準(zhǔn)邏輯庫(kù)和基準(zhǔn)動(dòng)態(tài)庫(kù)?；鶞?zhǔn)邏輯庫(kù)包括若干邏輯建模模塊，具備一定復(fù)雜度的獨(dú)立邏輯功能。基準(zhǔn)動(dòng)態(tài)庫(kù)包括各類(lèi)動(dòng)態(tài)算法，與Simulink自帶的傳遞函數(shù)相比，考慮了軟件離散化的特性，并增加了狀態(tài)量的過(guò)程控制接口。用基準(zhǔn)動(dòng)態(tài)庫(kù)建模帶來(lái)的好處是能支持自動(dòng)代碼生成，仿真狀態(tài)與實(shí)際FADEC系統(tǒng)的產(chǎn)品狀態(tài)更接近，能實(shí)現(xiàn)Simulink自帶模型庫(kù)無(wú)法實(shí)現(xiàn)的工程應(yīng)用中碰到的各類(lèi)變種算法。

圖2 原路徑與基于模型的FADEC系統(tǒng)軟件開(kāi)發(fā)技術(shù)實(shí)施路徑對(duì)比

通用模型架構(gòu)

根據(jù)FADEC系統(tǒng)的特點(diǎn)，項(xiàng)目構(gòu)建了通用模型架構(gòu)。項(xiàng)目研發(fā)時(shí)，只需在確定的模型架構(gòu)下設(shè)計(jì)局部的算法，節(jié)省了模型架構(gòu)的設(shè)計(jì)時(shí)間，保證了不同項(xiàng)目結(jié)構(gòu)的一致性，便于設(shè)計(jì)結(jié)果和設(shè)計(jì)人員的高效復(fù)用。通用模型架構(gòu)的頂層結(jié)構(gòu)包括飛機(jī)模塊（plane）、電子控制器模塊（EEC）、執(zhí)行機(jī)構(gòu)模塊（actuator）、發(fā)動(dòng)機(jī)模塊（engine）和傳感器模塊（sensor）。

應(yīng)用算法CBB

對(duì)于FADEC系統(tǒng)中信號(hào)處理、故障檢測(cè)、余度管理、控制律等一些通用算法，可以整理、封裝，形成應(yīng)用算法CBB庫(kù)。

仿真驗(yàn)證

建模規(guī)范與檢測(cè)工具

開(kāi)發(fā)FADEC系統(tǒng)建模規(guī)范主要出于以下幾個(gè)方面考慮：一是減少模型及基于模型生成自動(dòng)代碼的缺陷；二是增加模型的可讀性；三是規(guī)避Matlab工具本身存在的一些缺陷；四是更好地支持驗(yàn)證與確認(rèn)、報(bào)告自動(dòng)生成等工具的使用；五是專(zhuān)業(yè)層面的特殊約束要求。

建模規(guī)范主要包括如下幾類(lèi)內(nèi)容：命名規(guī)范、模型體系架構(gòu)設(shè)計(jì)、Simulink建模規(guī)范和Stateflow建模規(guī)范。

為了確保設(shè)計(jì)人員按照建模規(guī)范進(jìn)行模型構(gòu)建，創(chuàng)新團(tuán)隊(duì)開(kāi)發(fā)了與建模規(guī)范對(duì)應(yīng)的模型規(guī)則檢查工具，設(shè)計(jì)人員完成建模后，運(yùn)用該工具對(duì)模型進(jìn)行自動(dòng)分析檢查，對(duì)檢查出的不符合項(xiàng)進(jìn)行更改完善。

形式化模型驗(yàn)證

對(duì)于集成后的FADEC系統(tǒng)模型，創(chuàng)新團(tuán)隊(duì)采取如下分級(jí)測(cè)試的方式：一是將模型按照系統(tǒng)功能劃分為幾大部分，如主燃油控制、風(fēng)扇導(dǎo)葉控制、壓氣機(jī)導(dǎo)葉控制等，借助Matlab自帶形式化驗(yàn)證工具（design verifier）對(duì)每個(gè)功能模塊進(jìn)行修正判定條件（MC/DC）100%覆蓋度測(cè)試；二是系統(tǒng)模型整體測(cè)試，以滿(mǎn)足系統(tǒng)需求為主，不要求MC/DC 100%覆蓋度。

模型變更

模型設(shè)計(jì)與仿真驗(yàn)證完后，需要建立模型與需求的雙向追溯關(guān)系，追溯顆粒度為最小模型模塊（對(duì)應(yīng)軟件的單元函數(shù)），主要有確認(rèn)設(shè)計(jì)與需求的符合性和便于變更域影響分析兩個(gè)用途。

創(chuàng)新團(tuán)隊(duì)開(kāi)發(fā)的變更域影響自動(dòng)分析工具主要有兩個(gè)功能：如有模型變更，自動(dòng)識(shí)別并篩選出與該模型相關(guān)的需求；如有需求變更，自動(dòng)識(shí)別與該需求相關(guān)的模型，生成模型清單并可通過(guò)超鏈接定位到模型。

報(bào)告生成

為了使設(shè)計(jì)人員的精力集中在模型設(shè)計(jì)本身，將繁復(fù)的報(bào)告撰寫(xiě)工作交給機(jī)器，創(chuàng)新團(tuán)隊(duì)開(kāi)發(fā)了桌面原型設(shè)計(jì)報(bào)告自動(dòng)生成工具。當(dāng)設(shè)計(jì)人員完成建模、信息注釋、數(shù)據(jù)定義并建立需求與模型的雙向追溯關(guān)系之后，文檔生成引擎從這些數(shù)據(jù)源提取信息，自動(dòng)生成符合歸檔要求的設(shè)計(jì)報(bào)告。桌面原型設(shè)計(jì)報(bào)告數(shù)據(jù)源關(guān)系如圖3所示，其中信息注釋為記錄的關(guān)鍵設(shè)計(jì)思路，嵌入在模型中的注釋模塊中，數(shù)據(jù)字典為所有模型數(shù)據(jù)。

桌面原型設(shè)計(jì)報(bào)告自動(dòng)生成工具主要功能有：開(kāi)發(fā)注釋插件；模型注釋信息提??；基于鏈接關(guān)系提取需求；模型參數(shù)信息生成；通用基礎(chǔ)模塊識(shí)別；模型版本差異信息生成；通用、專(zhuān)屬信息分離等。

圖3 桌面原型設(shè)計(jì)報(bào)告數(shù)據(jù)源關(guān)系

符合性測(cè)試與驗(yàn)收

以模型為基準(zhǔn)的軟件符合性測(cè)試驗(yàn)收的對(duì)象包括各個(gè)層級(jí)，除了軟件單元測(cè)試，其他層級(jí)的軟件測(cè)試模型均為介入式。對(duì)不同層級(jí)的軟件測(cè)試采取不同的手段，包括軟件代碼仿真測(cè)試和目標(biāo)機(jī)系統(tǒng)測(cè)試等，如圖4所示。

軟件代碼仿真測(cè)試

為了加快研發(fā)速度，降低對(duì)硬件環(huán)境的依賴(lài)，大量的軟件測(cè)試工作在仿真下完成，包括開(kāi)環(huán)測(cè)試和閉環(huán)測(cè)試。開(kāi)環(huán)測(cè)試在軟件部件測(cè)試、集成測(cè)試和系統(tǒng)測(cè)試都有涉及，閉環(huán)測(cè)試只在系統(tǒng)測(cè)試層級(jí)涉及。對(duì)于開(kāi)環(huán)測(cè)試和部件測(cè)試，基于模型進(jìn)行符合性驗(yàn)收的介入方式不一樣。在開(kāi)環(huán)測(cè)試中，對(duì)于基于模型自動(dòng)代碼生成的項(xiàng)目，應(yīng)用桌面原型完成模型測(cè)試和代碼測(cè)試，將測(cè)試結(jié)果傳遞給軟件工程師，納入整個(gè)軟件測(cè)試結(jié)果中，對(duì)模型產(chǎn)生的代碼部分軟件工程師不再額外測(cè)試。閉環(huán)測(cè)試的4種方式中有兩種與開(kāi)環(huán)測(cè)試的方式相同，即將基于模型產(chǎn)生的測(cè)試數(shù)據(jù)傳遞給軟件仿真測(cè)試平臺(tái)，或者將軟件仿真的測(cè)試數(shù)據(jù)傳遞給模型。此外，還有兩種在線(xiàn)符合性測(cè)試方法。與離線(xiàn)符合性測(cè)試相比，在線(xiàn)符合性測(cè)試可以實(shí)現(xiàn)隨機(jī)測(cè)試輸入的注入，即測(cè)試人員可以隨機(jī)任意給出模型和軟件的輸入，看二者運(yùn)行結(jié)果是否一致。

圖4 以模型為基準(zhǔn)的軟件符合性測(cè)試驗(yàn)收方法

目標(biāo)機(jī)系統(tǒng)測(cè)試

軟件在真實(shí)目標(biāo)機(jī)（電子控制器）中運(yùn)行時(shí)的某些時(shí)序特征，如低優(yōu)先級(jí)大周期速率組任務(wù)被高優(yōu)先級(jí)小周期速率組任務(wù)中斷等，在仿真測(cè)試模式下無(wú)法體現(xiàn)，因此軟件代碼仿真測(cè)試層級(jí)主要測(cè)試軟件邏輯，對(duì)于時(shí)序的符合性測(cè)試主要在目標(biāo)機(jī)系統(tǒng)測(cè)試層級(jí)進(jìn)行。

針對(duì)軟件多速率組任務(wù)調(diào)度與時(shí)序特征，需要在常規(guī)模型的基礎(chǔ)上，額外增加功能模型模擬，這一部分模型模擬目標(biāo)機(jī)本身的時(shí)間機(jī)制和操作系統(tǒng)調(diào)度機(jī)制，不參與應(yīng)用軟件的自動(dòng)代碼生成或手工編碼。由于目標(biāo)機(jī)本身的時(shí)序運(yùn)行結(jié)果是受自身硬件特征和操作系統(tǒng)特征確定，無(wú)法通過(guò)任務(wù)調(diào)度模型的仿真數(shù)據(jù)控制，因此以模型為基準(zhǔn)的軟件符合性測(cè)試方法可以采用如下離線(xiàn)符合性測(cè)試方法：將目標(biāo)機(jī)系統(tǒng)閉環(huán)測(cè)試數(shù)據(jù)傳遞給任務(wù)調(diào)度模型仿真測(cè)試平臺(tái)，將軟件測(cè)試用例注入到模型，將模型運(yùn)行結(jié)果與軟件運(yùn)行結(jié)果進(jìn)行一致性對(duì)比。

結(jié)束語(yǔ)

創(chuàng)新團(tuán)隊(duì)聚焦航空發(fā)動(dòng)機(jī)FADEC系統(tǒng)詳細(xì)設(shè)計(jì)，研究了基于模型進(jìn)行控制與軟件開(kāi)發(fā)的主要過(guò)程和關(guān)鍵技術(shù)，包括模型構(gòu)建、仿真驗(yàn)證、模型變更、設(shè)計(jì)報(bào)告生成和軟件符合性測(cè)試驗(yàn)收等環(huán)節(jié)，達(dá)到了降低建模門(mén)檻、提升建模質(zhì)量、實(shí)現(xiàn)MC/DC100%覆蓋度測(cè)試、自動(dòng)生成符合歸檔格式的設(shè)計(jì)報(bào)告和對(duì)軟件的符合性測(cè)試驗(yàn)收的效果，并最終實(shí)現(xiàn)了提高FADEC系統(tǒng)軟件設(shè)計(jì)迭代效率的目標(biāo)。