一种基于神经网络替代模型的具有非线性接触特性的花键齿轮传动系统装配精度预测新方法

《CIRP Journal of Manufacturing Science and Technology》：A new assembly accuracy prediction method of spline-gear transmission systems with nonlinear contact behaviour via neural network surrogate model

　　安明·奥古斯蒂诺·多安|莱奥妮·梅尔德特|蒂姆·博克穆勒|尼克拉斯·波尔|约阿希姆·梅特涅希|马蒂亚斯·魏戈尔德
德国黑森州达姆施塔特市，达姆施塔特工业大学生产管理、技术与机床研究所（PTW），Otto-Berndt-Stra?e 2，邮编64287

**摘要**
混沌工程是一种在软件开发中已被验证的有效方法，它通过刻意引发受控故障来揭示并解决系统漏洞，从而提升系统的弹性。尽管这一技术在信息技术领域已得到广泛应用，但在工业生产领域的应用仍较为有限，尽管工业生产同样需要具备强大的弹性。本文通过系统性的文献综述，探讨了混沌工程在工业环境中的适用性，并明确了其实施所需的条件。文中提出了正式化的需求定义，为构建结构化的流程模型奠定了基础。该流程模型得到了概念上的阐述，并与现有的风险管理方法进行了比较，凸显了其在提升工业生产环境弹性方面的独特优势与实际价值。

1. **引言**
环境变化以及内部和外部业务因素给工业生产带来了巨大风险，企业必须采取弹性策略来应对这些风险[1]。因此，提升系统的弹性对于确保工业领域的长期竞争力至关重要[2]。这些风险需要主动管理。根据国际标准化组织（ISO）的定义，风险是指“不确定性对目标产生的影响”[3]，通常由不可预见的干扰所引发。这类干扰可能包括上游供应商的物料供应不足或中断、生产计划与控制失误、劳动力短缺、设备故障或性能下降，以及需求波动等。这些干扰会对工业生产造成严重影响[4]。

为了在未来保持竞争力，工业企业必须能够有效应对此类干扰。这种能力被称为弹性。弹性是指能够预见并应对实际或潜在的生产干扰，及早发现其发生，防止其出现，降低其严重程度，减轻其影响，快速恢复，适应这些干扰并从中学习的能力[5]。目前已有多种弹性评估与建议工具，例如Chari等人提出的弹性指南，它能帮助了解组织当前的弹性水平，并指出需要加强的能力以进一步提升弹性[6]。然而，目前还缺乏通过实验方法实现系统持续改进的全面方法，尤其是那些能够增强系统可靠性的方法。混沌工程为此提供了一种有前景的解决方案——这是一种在信息技术行业早已成熟的方法，它通过刻意在系统中引入干扰，来分析系统在恶劣生产条件下的行为，识别弱点并加以改进[7]。在这一框架下，混沌工程旨在实现三个层面的目标：与性能相关的目标[8]–[13]、定性目标[14]–[26]，以及经济目标[27]–[28]。

不过，混沌工程在工业生产中的应用尚未得到充分探索，也缺乏将其系统地移植到其他领域的参考框架。因此，本研究旨在开发一种有效将混沌工程原则应用于工业生产的方法。为实现这一目标，第2节将对混沌工程进行详细介绍，第3节则分析其在工业生产中的适用性。在此基础上，第4节将通过系统性文献综述，明确在工业生产中应用混沌工程的具体需求，并对这些需求进行分类和整理。第5节则提出了一个简化混沌工程实施与执行的流程模型，这也是本文的核心内容。第6节将该流程模型与现有的风险管理方法进行对比评估。第7节通过一个实际案例展示混沌工程的典型应用。最后，第8节概述了混沌工程在工业生产中未来的潜在应用前景。

2. **混沌工程的现状**
在软件开发中，混沌工程被定义为“通过对系统进行实验，以增强人们对系统在复杂生产环境中保持稳定能力的信心”[7]。这一过程涉及主动识别系统中的弱点，从而预防潜在的干扰。这些弱点是通过设计并执行混沌实验来发现的，而混沌实验是混沌工程的核心组成部分，其目的是在受控但具有干扰性的场景下测试系统的弹性[9]。在本文中，我们使用“事件”一词来代替“干扰”，因为“事件”通常指任何影响系统性能或可用性的意外状况，这一术语更符合工业生产的用语习惯。

需要明确区分“事件”与“错误”。错误指的是工业生产系统中某个特定且局部的故障，代表了问题的根本原因。而事件则涵盖了该错误在生产系统中产生的更广泛影响，无论是在车间层面还是整个供应链中。图1给出了一个示例。

混沌工程起源于2000年代的Netflix等公司，当时它已形成了若干核心原则，这些原则后来成为了软件行业中这一领域的指导方针[21]、[29]、[30]。本章将介绍这些原则、目标以及在工业生产中采用混沌工程的初步步骤。

下载：高分辨率图片（153KB）
下载：全尺寸图片
图1. 一个损坏的机器部件展示了错误（缺陷本身）与事件（供应链延迟及由此引发的车间问题）之间的区别。

2.1 **原则**
混沌实验的开展遵循五个核心原则[7]，如图2所示：

- **关于稳定状态行为的假设**：首先需定义稳定状态，即系统在正常情况下的性能表现。稳定状态应表现为在短时间内可测量的系统输出。随后，需要假设即使进行混沌实验，系统仍能保持稳定状态。
- **真实事件的变体**：在此阶段，需要引入代表真实事件的变量。任何可能使系统偏离稳定状态的事件都可作为潜在变量。这些变量的优先级可根据其潜在影响或预期出现频率来确定。
- **在生产环境中进行混沌实验**：为了获得最真实的结果，混沌实验应在实际生产环境中进行，即在真实的系统环境中、在真实的条件下执行。
- **混沌实验的自动化**：从长远来看，目标是实现混沌实验的自动化，以确保其能够持续执行。
- **最小化影响范围**：为减少对客户的影响，必须尽量缩小混沌实验带来的影响范围。影响范围指的是混沌实验所造成的影响的规模和程度。

下载：高分辨率图片（197KB）
下载：全尺寸图片
图2. 混沌工程的原则：假设是基础，通过引入真实事件的变体、在生产环境中进行混沌实验以及实现这些过程的自动化，最终可实现最小化影响范围的目标。

2.2 **目标**
像工业生产这样的分布式系统表现出非线性动态特性，其内部关系极为复杂，且对初始条件极为敏感，哪怕是微小的变化都可能导致截然不同且难以预测的结果[31]。因此，分布式系统的错误率较高，而且错误的性质会随着系统负载的变化而变化，进一步增加了复杂性。混沌工程旨在理解这种不可预测的行为，并增强人们对系统的信心。系统对偏离稳定状态的抵抗能力越强，人们对其性能的信任度就越高。所发现的弱点则为系统的进一步发展和改进提供了机会[28]。此外，混沌工程还旨在收集系统在正常状态和受干扰状态下的相关数据[15]。这也能带来经济利益，因为通过防止系统故障，可以节省成本、避免收入损失并节省时间[9]。

2.3 **现有混沌工程方法的讨论**
刻意在系统中引入错误本身就存在一定的风险。最大的危险是可能造成超出预设范围的损害，进而引发不可预测的后果。通过全面的观察和监控，可以降低这种风险。然而，如果监控不足，风险就会显著上升。如果系统状态没有得到准确定义，也会增加风险，因为这可能导致对混沌工程可能带来的后果判断失误，进而威胁到系统的安全[32]。

即便采取了安全措施，被测试的系统仍可能出现故障，或者混沌实验可能产生错误结果。还需要注意的是，混沌工程虽然被视为提升系统性能的手段，但它无法避免所有可能的故障[33]。

除了上述风险之外，混沌工程的另一缺点是其复杂性。它需要大量的资源、时间以及具备深入系统理解能力的专业人才，这无疑会增加相应的成本[33]。因此，必须确保实施混沌工程的成本低于通过预防潜在系统故障所能节省的费用。

就工业生产而言，目前尚未发现有企业真正应用混沌工程。在此背景下，需要明确区分“事件模拟”与“混沌工程”。事件模拟主要在规划阶段使用，用于支持战略性的供应链决策[34]–[37]，而混沌工程则是针对运营系统，通过主动注入故障来评估并提升系统的弹性。两者的关键区别在于实施时机和目的：前者是预先规划，后者则是对运行中的系统进行弹性测试。目前已有初步尝试将信息物理系统（CPS）和数字孪生技术与混沌工程结合，应用于连续制造流程中[38]–[39]。虽然连续制造和离散制造共同构成了工业生产系统，但离散制造领域尚未得到充分研究。此外，目前还缺乏适用于工业环境的通用框架来推动混沌工程的推广。不过，已有研究表明混沌工程确实适合应用于工业领域[40]，因此有必要进一步探索其在提升工业生产弹性的中的应用潜力。

3. **混沌工程在工业生产中的应用**
要有效应用混沌工程，有两个关键前提：系统的分布式特性和复杂性[41]。随着连接性和数字化技术的进步，这些特性在工业生产中越来越普遍。

**工业生产作为分布式系统**
混沌实验是在分布式系统中进行的[21]。尽管目前还没有一个被普遍接受的分布式系统定义，但在信息技术领域，分布式系统通常被描述为“一个网络化的计算机系统，其中的进程和资源分布在多台计算机上”[42]。工业生产本质上也具有这些特征。在不同的组织层级，如车间[34]和供应链[35]，各种任务和资源都被分配到不同的组件中。例如，在车间里，不同的机器和工艺虽然地理位置分散，但却高度集成在一起，体现了现代生产环境中的相互依赖性[34]。工业生产向信息物理系统的转变进一步凸显了其分布式特性[38]。鉴于这些相似性，原本为高度可靠且容错能力强的信息技术环境设计的混沌工程，完全有可能提升工业生产系统的弹性，尤其是在操作技术基础设施层面[40]。

**工业生产作为复杂系统**
混沌工程是为具有混沌行为的复杂系统设计的，这类系统的输入与输出关系难以预测，因此很难用传统方式对其行为进行建模[21]。由于不可预见的事件[4]或产品品种数量的增加[36]、[37]，生产系统的复杂性不断上升。一般来说，系统复杂性的三个主要驱动因素包括：问题的复杂性源于需要做出的大量决策，而非线性相互依赖关系则源于各种随机过程之间的相互作用。此外，问题的维度还取决于系统中需要考虑的实体数量，如机器和订单等[34]。矩阵式生产系统等生产模式也进一步体现了这些相互关联的特性[43]。

综上所述，工业生产本质上既具有分布式特性，又具有复杂性，因此非常适合应用混沌工程来提升其弹性。不过，由于缺乏通用的指导原则，每家企业都需要根据自身情况进行调整。因此，还需要进一步的研究，以便在更广泛的工业领域推广这一技术[15]、[18]、[21]、[44]。为弥补现有差距并建立将混沌工程融入工业生产的系统化方法，明确了三个目标：1.明确将混沌工程应用于工业生产的需求与要求；2.构建实施混沌工程的流程模型；3.将该流程模型与现有类似方法进行对比评估；4.明确在工业生产中应用混沌工程的需求。为确定相关需求并进一步制定在工业生产中部署混沌工程的标准，依据Baumeister等人的框架[45]开展了系统性文献综述。其目的是结合混沌工程在信息技术领域的起源及其潜在的工业应用场景，得出具体的实施要求。该综述遵循PRISMA（系统评价和元分析首选报告项目）所规定的总体结构，同时根据ISO/IEC/IEEE 29148:2018系统与软件需求标准，增加了基于引文的检索以及需求评估内容。综述过程包含四个主要步骤：检索、筛选、评估与综合。图3总结了这一流程，有关筛选流程及所涉及文献的详细信息可见[46]。最终共有55篇原始文献被选中用于定性综合分析，这些结果随后根据ISO/IEC/IEEE 29148:2018标准中SyRS规定的类别进行分类整理。本研究考虑的主要类别包括功能需求、运营规划需求、系统模式与状态需求以及性能需求。研究结果汇总为需求清单，如表1所示。

下载：高分辨率图片（489KB）
下载：完整尺寸图片
图3. 基于Borrengo等人[48]的PRISMA流程图

4.1 混沌实验的功能需求
本节阐述了混沌实验应具备的功能要求。在开展实验之前，必须先确定错误类型及注入点[20]、[49]。在定义故障时的一项基本要求是确保系统能够承受所引入的错误[50]。如果混沌实验取得成功，应实现自动化处理，以便更便捷地重复实验[24]、[27]。

4.2 混沌实验的运营规划
参与混沌工程的人员首先需要了解其基本原理，认识其优势与挑战，同时还需对自身的现有知识水平与技能进行评估[15]、[18]。混沌工程需要灵活且非官僚化的项目架构，严格的任务划分会降低效率，应由最熟悉相关情况的人员来执行混沌实验[21]。工作团队需了解混沌实验的相关信息，包括实验目的、预期结果、预计持续时间以及可能产生的影响[9]。此外还需确定负责审批混沌工程的人员，并获得其批准[9]、[10]。

混沌实验的观察、监控与文档记录
在混沌实验开展前、期间及之后，都必须对系统进行观察[10]、[51]，重点关注注入的错误、这些错误带来的影响以及系统与稳定状态的偏差[14]、[19]。观察应在系统边界处进行，因为稳定状态指标是由系统的输出而非内部属性决定的[15]、[52]、[53]。除了被动观察外，还应对混沌实验进行主动监控[54]。一旦检测到错误，必须在紧急情况下通过可控方式停止混沌实验[17]、[52]、[55]。适当的监控既包括对混沌实验的监控，也包括对系统正常运行的监控[56]。系统需配备协调良好的监控工具[54]、[57]。整体准备阶段的结果需记录在测试计划中，该计划需包含关于混沌实验的关键细节[58]。此外，还需记录混沌实验的执行过程[56]，并收集能够支撑系统观察结果的证据[8]。

4.3 系统的技术特性
在开展混沌实验时，所有流程与组件都应被视为系统的有机组成部分[38]、[52]。被测试的系统必须是分布式系统，可视为具有不可预测行为的复杂非线性系统[21]、[52]。必须预先建立专门针对混沌实验带来的挑战设计的弹性机制[15]。需提供性能数据，以验证系统运行是否在允许的范围内[9]。

稳定状态
实验前的系统稳定状态需被明确定义，这样才能量化系统的典型行为、混沌实验的结果以及由此带来的改进效果[38]、[57]。稳定状态可作为系统的输出进行测量，也可作为实验的性能指标[30]、[52]、[59]。

4.4 性能要求
决定混沌实验性能的因素有三个：预设的假设，以及以指标和控制组形式呈现的衡量标准。
假设：每个混沌实验都必须有明确的假设，该假设需阐述所引入的干扰与系统响应之间的预期关系[8]、[24]。假设需说明系统预期会对混沌实验作出何种反应[15]、[60]，并且是基于预先定义的稳定状态来制定的[25]。假设还应表明，即便进行了混沌实验，系统仍会保持在规定的容差范围内，不会偏离稳定状态[9]、[53]、[59]。
指标：这些容差必须从一开始就基于具体指标明确界定[24]、[39]。
控制组：为验证假设的成立，需要设置对照组与实验组[7]。对照组是反映系统在正常运行状态下表现的可测量输出，可用于判断系统是否呈现出正确且预期的行为。实验组则代表在混沌实验过程中系统的输出[13]。假设应表明，在实施混沌实验后，对照组与实验组之间不应存在可测量的差异[13]。

表1. 适用于工业生产中混沌工程应用的需求清单，F表示固定需求，O表示可选需求，同时标注了相应流程模型中的对应步骤。
需求描述 F/O 来源 流程步骤
功能需求 Predefined error injection F[20]、[49] 整体准备阶段
Error tolerance assurance F[50] 整体准备阶段
Automation O[24]、[27] 后续阶段
运营规划 Chaos Engineering competency F[15]、[18] 整体准备阶段
Flexible team structure F[21] 整体准备阶段
Chaos Experiment awareness F[9]、[24]、[54] 整体准备阶段
Approval process F[9]、[10] 整体准备阶段
观察、监控与文档记录 Observation F[10]、[14]、[15]、[19]、[51]、[52]、[53] 观察、监控与文档记录阶段
Monitoring tools F[54]、[57] 观察、监控与文档记录阶段
Monitoring F[54] 观察、监控与文档记录阶段
Emergency intervention F[17]、[56] 观察、监控与文档记录阶段
Test plan F[58] 观察、监控与文档记录阶段
系统技术特性 Holistic system perspective F[38]、[52] 系统技术特性阶段
Design of Chaos Experiments System characteristics F[21]、[52] 系统技术特性阶段
Design of Chaos Experiments Resilience mechanism F[15] 系统技术特性阶段
Design of Chaos Experiments Performance data F[9] 系统技术特性阶段
Design of Chaos Experiments Stable state F[38]、[57] 系统技术特性阶段
Design of Chaos Experiments Measurable stable state F[30]、[52]、[59] 系统技术特性阶段
Design of Chaos Experiments Hypothesis F[8]、[24] 系统技术特性阶段
Design of Chaos Experiments System response hypothesis F[15]、[25]、[60] 系统技术特性阶段
Design of Chaos Experiments Resilience validation hypothesis F[9]、[53]、[59] 系统技术特性阶段
Design of Chaos Experiments Metrics F[24]、[39] 系统技术特性阶段
Design of Chaos Experiments Control and experimental groups F[13] 系统技术特性阶段

5. 工业生产中的混沌工程流程模型
本章介绍了将已确定的各项需求转化为结构化流程模型的成果，该模型可用于在工业生产中实施混沌实验。需求向流程模型的转化采用系统化方法，先将各项需求进行分类，再按照时间顺序与模型中的对应阶段对应起来。这些需求类别为流程构建提供了基础框架。图4展示了用于在工业生产中实施混沌工程的流程模型可视化图。

下载：高分辨率图片（743KB）
下载：完整尺寸图片
图4. 用于实施混沌实验的通用混沌工程流程模型

5.1 整体准备阶段
首先需要进行整体准备工作。第一步是让负责团队熟悉混沌工程的实践方法，长期目标是让混沌实验成为常规操作，无需再持续收集相关信息[53]。之后需全面了解所涉及的生产系统，对此可借助系统描述来实现。需要描述的三个关键要素如下：
1. 人员结构：包括对员工队伍、他们的操作流程以及相关程序框架的分析。
2. 生产流程：需要对生产流程进行全面考察，范围从单个机器级的操作延伸到更广泛的价值流层面。
3. 基础设施：涵盖硬件与软件元素以及与之相关的流程。

随后需在系统正常运行状态下对其进行分析，重点关注现有的弹性机制[50]、[61]。通过这类观察可以识别系统的弱点与局限，记录系统中已知的薄弱环节与故障[39]、[57]。通过分析这些弱点，可以确定潜在的错误发生位置与故障模式[12]、[62]，这些即为开展混沌实验的起点。

5.2 混沌实验的设计
在设计混沌实验时，需先确定事故等级。这一过程中需要考虑两个关键维度。第一个维度是观察层级，包括两个层次：由车间层面代表的中观层级，以及由供应链层面代表的宏观层级[63]。第二个维度源自[1]的弹性工业生产系统层级划分，可能包括基础设施硬件层、员工层、管理层以及面向服务的软件层出现的错误。事故等级是由这两个维度共同决定的，混沌实验可能会同时涉及多个事故层级。本质上，事故等级决定了错误被注入系统的范围，也就是混沌实验的适用范围与限制条件[20]、[49]。不同观察层级的维度与事故的组合关系如图5所示。

确定事故等级后，需进一步明确具体的事故场景。这些场景可以通过多种方式确定。一种方法是数据驱动法，即根据早期系统描述中识别出的历史错误来选择事故场景[17]、[30]、[51]，这些错误可能包括过去的系统故障或专家意见[40]、[64]。例如车间层面的价值流弹性评估[65]，以及基于物料清单的供应链风险管理[66]。所选择的错误应当具有针对性，能够影响系统状态，但同时要控制在可容忍的范围内，以此测试系统的边界。这些错误还可以与其他错误组合使用，以进行进一步测试[13]、[20]、[61]。另一种错误类型是完全故障，即系统不会恢复，而会在可容忍的范围内崩溃，并触发相应的警报[20]。重要的是要确保工业生产系统具备内置的弹性机制，能够有效应对引入的错误。Chari等人[6]提出了识别相关能力的方法。

下载：高分辨率图片（150KB）
下载：完整尺寸图片
图5. 事故层级的维度及示例案例

之后，需通过多种因素共同定义动态系统的稳定状态：各指标的可接受范围、这些指标之间的相互关系，以及它们随时间的变化趋势。每个指标的范围都是基于直接的系统观察或历史数据建模预先确定的[38]、[57]，在工业生产中，通常会选用那些容易被监测的生产指标作为参考。用于描述中观层面动态工业生产系统的指标包括周期时间、处理时间或平均故障间隔时间[67]、[68]、[69]；而在宏观层面，则有积压订单、库存水平、交货周期和发货率[70]、[71]。这些指标构成了假设检验中的控制组和实验组。需要提出多个假设并对其进行优先级排序。由于无法在一个系统中测试所有故障，因此必须根据实施难度对混沌实验进行优先级划分[50]、[53]、[64]。一种方法是根据实验可能带来的影响程度来确定优先级，即考虑所引入问题可能造成的严重后果。对系统影响越大，该实验的优先级就越高[53]。另一个考量因素是发生概率，那些针对更可能出现的故障场景的实验会获得更高优先级[15]、[50]。此外，还可以依据知识拓展程度来决定优先级，那些能带来更多学习机会的实验应被优先处理[21]、[50]、[51]。诸如失效模式与效应分析（FMEA）或故障树分析（FTA）之类的成熟风险分析方法，可用于系统地评估和确定混沌实验的优先级[22]、[56]、[72]。“假设情景”分析有助于评估潜在后果并为决策提供依据[9]、[10]、[16]。混沌工程与类似风险管理方法的结合方式将在第6节中详细阐述。专家意见也可作为确定优先级的依据。专家们能够识别出系统特有的薄弱环节，并根据以往测试获得的洞察结果优化混沌实验，从而确保解决最关键的缺陷[15]、[50]。另外，实验的难度也会影响其优先级，通常较简单的实验会先被执行[15]。另一种方法则是按照特定顺序评估系统各组成部分的熟悉程度[14]、[73]：•已知已知——对系统已有充分了解的方面；•已知未知——已察觉但尚未完全理解的方面；•未知已知——虽被理解但未被明确识别的方面；•未知未知——既不知情也不理解的方面。最后，组织层面的限制也会影响优先级判定。混沌实验可选择在已经处于容量极限或存在关键瓶颈的系统区域开展，这样就能确保测试工作集中在最脆弱的组件上[73]。一旦选定某个假设，就必须明确界定混沌实验的范围。决定范围的两个关键因素是影响范围以及实验所处的环境[24]、[53]。所谓影响范围，指的是混沌实验在系统中可能引发的故障波及程度[49]、[74]。这一范围的确定可参考系统描述以及混沌实验的优先级设定[49]。起初，应尽可能缩小影响范围，以降低引发意外严重故障的风险。虽然一定程度的系统故障在所难免，但仍需努力将负面影响控制在可接受范围内[9]、[41]。实验环境也需明确界定。混沌实验既可在实际生产环境中进行，也可在测试环境中开展。在真实生产环境中进行实验能够保证结果的高度真实性和可靠性，因为测试条件与实际运行条件不存在差异[7]、[9]、[27]。不过，这种方法需要投入大量资源[75]。从工业生产的实际角度出发，由于存在产量损失、安全风险以及巨大的经济影响，即便旨在提升系统的韧性，这种方案也很少可行。作为一种替代方案，混沌实验可以在类似学习工厂的受控测试环境中进行[76]，这样即便出现意外故障，也能降低系统受损的风险。不过，在此类环境中获得的实验结果未必能直接应用于实际生产环境。为提高测试结果的准确性，测试环境应尽可能贴近实际生产状况[24]、[38]。另一种方法是利用数字孪生技术，它可将系统的物理过程、计算功能以及信息与计算技术整合起来，用于实验研究[39]。最后，混沌实验也可以完全通过模拟来完成[77]。虽然模拟能为测试提供可控且可重复的环境，但由于其抽象性，其结果可能无法完全反映现实系统的运行特征，如图6所示。测试计划的制定过程中会记录实验的准备工作、设计内容，包括执行方法、应急干预方案、已知风险、潜在影响、依赖关系、学习目标及相关指导原则[58]。此外，该文档还会说明混沌实验的目的、对系统行为的预期、监控机制、制造混乱的手段，以及当混沌实验出现不可预测行为时用于恢复系统到初始状态的应急干预方案[12]、[54]、[79]。下载：高分辨率图片（167KB）下载：完整尺寸图片图6. 生产环境、真实性与成本之间的相互关系。5.3 混沌实验的观察与监控一旦混沌实验设计完成，便可在“演练日”期间启动[10]、[12]、[21]、[80]。“演练日”是指所有参与团队聚集在一起开展混沌实验并随后进行评估的时段。通过模拟紧急情况，在系统中制造出真实的混乱状态，这种方式既能保证实验的可控性与安全性，又能收集有关系统行为的证据[9]。在组织“演练日”时，需在“知情式”与“不知情式”两种模式中选择一种[9]。知情式模式的特点是参与者会提前被告知演练日的安排以及故障的性质[9]，这有助于维护企业秩序，促进各方尽早讨论问题[10]、[27]。而在不知情式模式下，参与者不会提前获知相关情况[9]、[21]，这种方式能更真实地考验团队的应对能力[81]。最初，实验应通过手动方式而非自动化手段来开展，这样才能深入理解相关方法与工具的运作原理[15]、[54]。在整个实验过程中，持续的系统监控至关重要[51]，且需按照第4.2节的要求进行。实验的主要目标是评估人为引入的故障所带来的后果，可通过系统稳定状态之外的偏差程度来衡量[9]。与此同时，还需对系统边界处的情况展开观察[15]、[52]、[53]。这些观测数据有助于追踪事件发展、总结经验，并纠正混沌实验所引发的错误[10]、[12]。数据是收集证据的主要形式，因此必须通过对数据进行清洗、筛选、分类和建模，才能为后续分析做好准备[54]、[80]、[82]。最后，所有实验的整个过程都需详细记录下来[56]，包括从系统层面和业务层面来看那些异常或值得注意的系统行为[12]。同时还要记录控制组与实验组的性能表现，以便进行对比[13]。实验的操作流程、持续时间以及参与人员也需要被记录下来[9]、[79]。一旦混沌实验开始，就必须持续验证预定的假设[27]。具体做法是分析实验组数据，查看其是否偏离系统稳定状态[7]、[52]。如果即使实施了混沌实验，实验组的各项指标仍保持在可接受范围内，那么该假设就得到验证。此时应扩大影响范围后再次进行实验。一旦影响范围达到最大值，实验即可视为完成，此时便可提出新的、更为复杂的假设[15]。如果由于系统出现意外且异常的行为，导致控制组的指标超出预设阈值，那么该假设就会被否定，这说明系统存在需要解决的薄弱环节。在采取相应纠正措施后，还需重新对系统进行测试，以确认上述薄弱环节已被消除[15]、[59]，之后再重新启动混沌工程流程。5.4 系统优化当某个假设被证伪后，就需要对混沌实验所揭示的故障问题进行分析，从而找出并消除系统中的薄弱点[10]、[83]。此外，还需对混沌实验本身的实施过程进行剖析，以消除其中的缺陷[53]。为消除已发现的薄弱环节，必须向相关责任部门提出相应的改进措施[8]、[10]、[24]、[53]。在解决了确定的薄弱环节后，还需通过再次开展混沌实验来验证改进效果[21]、[58]。5.5 混沌实验的后续处理在混沌实验完成后，团队必须立即开展后续工作[27]。需对实验的实施过程进行总结，同时记录下重要的发现[21]、[49]。反馈意见对于在企业中成功推行混沌工程至关重要[57]、[73]，它不仅有助于改进现有工作，还能为未来的混沌实验指明方向。如果混沌实验取得了成功，那么由于混沌工程本身是一种迭代式的方法，实现自动化就能进一步提升实验的可重复性与效率[21]、[27]。要实现自动化，首先需要让混沌实验能够自动执行[7]、[9]、[53]。接下来的自动化步骤则是，在检测到系统薄弱环节时自动终止实验，这样可以避免系统出现潜在故障[24]、[41]。此后，自动化还应扩展到混沌实验的分析环节，确保假设能够得到自动评估。如果某个假设被否定，就需要及时通知相关责任团队[21]、[24]。进一步的自动化举措还包括自动生成混沌实验并为其确定优先级。为此，系统必须具备必要的信息支持，以确保仅开展那些具有明确可量化假设期望值的实验[21]、[53]、[80]。在自动化的最终阶段，通过混沌工程发现的薄弱环节也应能被自动加以弥补[21]、[80]。最后，还需要对企业在混沌工程方面的实施效果进行评估，以此为未来的实验工作指明方向。其中有两个关键因素至关重要：对混沌工程的接受程度以及其发展成熟度。发展成熟度体现的是混沌实验的安全性与有效性，而接受程度则反映了混沌工程应用的范围与深度。需要强调的是，混沌工程既要得到广泛接受，又要具备足够的成熟度，否则其引入可能会带来危险，或者根本无法发挥应有的作用[15]、[21]、[24]、[53]。6 与现有风险管理方法的比较评估由于工业生产中的韧性策略是基于风险来制定的，因此也有必要对风险管理方法进行研究[84]。风险管理与传统韧性策略的主要区别在于，前者更侧重于应对低概率、高后果的事件，而难以有效处理那些不可预见的突发状况，而这正是传统风险管理方法的核心缺陷[85]。有必要将混沌工程与现有的风险管理方法区分开来，因为后者在混沌实验的评估与优先级确定等方面能够发挥作用，从而凸显出混沌工程的重要性。图7展示了对各类风险管理方法进行文献综述的流程。最终共确定了四种现有的风险管理方法，并分析了它们与混沌工程之间的相似之处与差异。马尔可夫分析。马尔可夫分析[86]与混沌工程在关注系统理解以及场景模拟方面存在共性。这两种方法都需要明确故障类型，并为在特定条件下测试系统行为创造合适的实验环境。不过，混沌工程的范围更广，除了建模之外，还涵盖通用准备、观察与监控技术以及系统优化等更多环节。而这些内容在马尔可夫分析中并不存在，后者仅限于建模层面，无法为系统优化提供可行的方案。下载：高分辨率图片（148KB）下载：完整尺寸图片图7. 相关风险管理流程的文献综述流程图。确定性场景分析。确定性场景分析[87]的许多步骤与混沌实验的准备工作及开发过程相契合，因此它能够有效地补充混沌工程的作用，尤其体现在为场景优先级排序和故障定义提供结构化方法，进而提升混沌工程的整体实验效率。不过，两者也存在明显差异，因为确定性场景分析并不涉及在真实生产环境或类似生产环境中故意引入故障或影响范围事件，而是侧重于理论上的故障分析以及建议的提出，同时既不考虑影响范围的问题，也不涉及系统优化措施的落实。虽然有相关建议，但并不存在直接的系统优化或迭代反馈机制。这一点从确定性场景分析通常仅为一次性操作，而混沌工程则是持续运行的事实中可以进一步看出。随机场景分析方面，随机场景分析[86]与混沌工程的准备阶段较为相似，两者都需要深入理解系统以确保模拟模型的准确性。随机场景分析还需要确定误差及其分布作为输入参数[86]。两者最显著的差异在于试验次数的影响：在随机场景分析中，增加试验次数可以提高结果的可靠性[88]；而在混沌工程中，每次试验的可靠性相当，因此增加试验次数带来的收益相对较小。随机场景分析采用通用的仿真方法，适用于多种场景，而混沌工程则旨在了解系统在人为引入错误时的行为。与主要依赖仿真结果来获取洞察的随机场景分析不同，混沌工程更注重从错误注入期间及之后的系统行为中学习。这种差异也体现在后期处理上：随机场景分析以结果为导向，仅执行有限次数，而混沌工程则依靠迭代和自动化执行来不断提升系统的弹性。

系统动力学方面，与混沌工程类似，系统动力学[89]也需要明确界定系统边界，并在初期就了解系统状况。这两种方法都旨在探索系统在不同场景下的行为。尽管存在这些相似之处，系统动力学仍在多个方面与混沌工程有所不同：它无需准备或构建实验环境，也不包括实验后的观察、监控或系统迭代改进。相反，它仍是一种基于抽象模型的仿真方法，而非针对实际系统。因此，系统动力学更像是一种独立的仿真方法，虽可应用于混沌工程框架中，但无法延伸至直接的系统实验层面。

通过比较可以看出，混沌工程是一种更为全面的方法，涵盖了迭代实验的所有阶段——包括实施准备等环节，而所对比的风险管理流程则主要侧重于系统建模技术。尽管这些流程并不完备，但根据具体应用场景，它们仍可应用于混沌工程更大框架中的特定阶段。附录中的表3展示了所考虑的风险管理方法可应用于流程模型的哪些步骤。

7. 混沌工程的典型应用

为说明所提出的混沌工程流程模型的适用性，本文以图8所示的学习工厂中的详细价值流形式展开一个应用案例，从而以清晰且系统的方式展示流程模型各阶段的应用方式。

7.1 学习工厂应用案例中流程模型的应用

首先，需要构建两个矩阵来指导概念验证[90]：一个是将可能发生的故障与受其影响的机器对应起来的故障-机器矩阵，另一个是将候选的恢复机制与可应用这些机制的机器对应起来的恢复机制-机器矩阵。这两个矩阵共同提供了关于故障及其潜在缓解措施的结构性、流程层面的视角，有助于确定故障注入点及应对策略选项。在此基础上，选择那些能在现有基础设施下制造、且特别适合用于演示混沌工程应用案例的产品。

第一个产品是模块化阀岛[91]，在气动控制系统中具有重要作用。此外，该应用案例还考虑了第二个产品：气缸用适配板[92]。为增加案例的复杂性，这两个产品需要在不同的加工中心同时进行加工。制造过程始于对原材料的 incoming inspection（到货检验），随后通过锯切将材料切割成所需长度。在加工过程中，零件会被加工成规定的尺寸，包括为不同阀门或安装接口制作孔洞和螺纹。其中，加工阶段尤为重要，因为两种产品的制造依赖于不同的加工策略和机床配置：阀岛通常在五轴加工中心上加工，而适配板则在三轴加工机上生产。如果用三轴加工机加工阀岛，则需要额外的重新装夹操作，这可能会影响整体工艺时间和效率。此阶段还会进行尺寸检查。在后续的装配阶段，预先检验合格的阀门会被安装到相应部件上；而适配板则跳过这一装配步骤，直接进入最终质量检验。之后，这两种产品都要经过一系列功能测试。最后，成品将被调试、包装并准备发货。基于这一价值流，可以以结构化的方式应用混沌工程，每个步骤都提供了发现潜在故障的机会。在下一节中，图4所示的流程模型中的各步骤将以粗体标出，而每步中的具体任务则用斜体表示。

前期准备阶段的重点是深入理解系统及其脆弱性。混沌实验由那些已经十分熟悉混沌工程、混沌实验的执行方式及其相关组件的研究人员来完成，因此无需额外培训或熟悉过程。研究团队会明确界定系统的恢复目标及性能指标。为了全面了解系统，还会绘制完整的价值流图，涵盖供应商环节、计算机数控加工、中间缓冲、装配、检验及交付等流程。该映射图为识别适合注入干扰的关键节点提供了概念基础。

下载：下载高分辨率图片（357KB）
下载：下载全尺寸图片

图8. 试点生产系统价值流的简化示意图，虚线表示资源重新分配机制。

在“设计混沌实验”阶段，需先完成故障目录的编制，以便识别可能的故障[93]。由于五轴加工过程存在瓶颈效应且容易引发连锁延迟，因此被选为干扰目标。通过FMEA分析，每8小时工作班次中，五轴加工机床出现故障且持续时间达90分钟的情况被评定为高风险：严重程度高、发生概率中等、难以预测。根据流程模型，这属于硬件层面的中观级故障。选择场景的最现实方法是随机从外部关闭五轴机床，但故意导致机床故障可能会对机床造成严重损坏，同时也可能危及员工安全。因此，这里选择了通过模拟关闭的方式来实施实验。为此，会在生产过程中随机要求工人离开机床，使其停机90分钟。稳定状态指标是基于历史数据的直接观测值，以每班次的产出量来表示。对于阀岛和适配板而言，其八小时加工过程的平均产出允许的波动范围为±20%。在此条件下，阀岛的平均吞吐量为每班次44.96件，而适配板的每小时吞吐量为每班次47.44件。按照稳定性标准，这意味着每班次至少需要生产35.97个阀岛和37.95个适配板。针对该故障，共考虑了三种恢复机制：临时重新分配生产资源、建立安全库存以及购置备用机床。所谓资源重新分配，是指当五轴加工中心发生故障时，适配板的生产会中断，在这种情况下，原本用于制造适配板的三轴加工中心会被临时调用来继续生产阀岛。安全库存则是一种基于库存的机制，即在加工阶段后积累未组装的阀体作为缓冲，以此使下游流程不受加工中断的影响。购置备用机床则属于结构性恢复机制，即通过购买额外的五轴加工中心来弥补主要加工资源的故障。在“确定混沌实验优先级”阶段，会根据所考虑的恢复机制提出不同的假设，每种机制对应一个假设。由于购置备用机床需要高额投资成本，因此在本次案例中不予考虑。同样，从成本控制的角度来看，建立安全库存也会因占用资金而被视为不可取。因此，最终选择了基于生产资源重新分配的假设。该假设认为，即便五轴加工中心发生故障，由于生产任务会被临时转移到三轴加工机上，包含阀岛和适配板加工在内的整个加工系统依然能够保持稳定。因此，该实验旨在验证这种临时资源重新分配以及在三轴加工机上加工阀岛的做法是否能够有效缓解五轴加工设备的短期故障。实验的覆盖范围被限定在本案例的铣削工序内，该工序与其他前后工序相互隔离，以避免故障影响波及其他环节。实验是在学习工厂环境中进行的。

“观察与监控”阶段是实验实际执行的阶段。在实验过程中，五轴加工中心上的阀岛加工会被中断90分钟，而三轴加工中心上的阀岛加工则继续进行。与此同时，适配板的加工也会暂停。三轴加工机上用于加工阀岛的程序是从五轴加工机复制而来并稍作调整的。不过，用于加工阀岛的工具会从五轴加工机移至三轴加工机上进行安装。记录显示，生产资源重新分配所需的准备时间为44分钟，而在故障发生后，重新启动所需的时间为11分钟，这一时间包括五轴加工机上阀岛加工的重新启动以及三轴加工机上适配板加工的重新启动。实验结果显示，适配板的吞吐量降至每班次37.69件，超出了既定的稳定范围，而阀岛的吞吐量仍保持在每班次39.23件的稳定范围内。由于混沌实验是在模拟环境中进行的，不存在重大风险，因此安全规范主要涉及一般的职业健康与安全问题。

“改进”阶段则用于解决偏离稳定状态的问题。首先会对混沌实验及暴露出的薄弱环节进行分析。根据实验数据可知，额外的重新装夹操作会使三轴加工机上阀岛的加工时间增加约3分钟。而对稳定状态的破坏影响更大的则是三轴加工机为加工阀岛所花费的准备时间，平均约为44分钟。这一现象主要是由于所有用于加工阀岛的工具都需要从五轴加工机转移到三轴加工机，然后再转回来，由此导致了时间损失。因此，这一方面是改进的重点。为解决这一问题，对三轴加工机上的铣削程序进行了修改，使得原本用于制造适配板的那套工具也能用于加工阀岛。修改程序后，再次进行了混沌实验。

在再次进行混沌实验时，会对结果进行再次观察和监控。实验过程中，适配板的吞吐量上升至每班次37.95件，而阀岛的吞吐量则达到每班次40.63件。生产资源重新分配所需的准备时间缩短至28分钟，而恢复正常生产所需的时间仍约为11分钟。总体而言，实验结果表明生产效率保持在预定的稳定范围内。最后，还需要进行一些后续工作：更新FMEA以反映调整后的风险等级，根据资源重新分配的规范和调度参数修订流程文档，同时收集操作人员的反馈。为保持持续准备状态，计划在非关键的生产时段定期自动触发故障模拟。所有用于实验的数据均公开可用[94]。此外，表2总结了该实验的关键性能指标。

表2. 混沌工程实验的关键参数与结果，干扰持续时间为90分钟，稳定性区间为±20%。
类别 指标 单位 非优化状态 优化后状态 参考稳定状态（每班产量）
阀门岛 每班产量 部件/班 44.96 47.44
适配板 每班产量 部件/班 47.44 40.63

稳定性区间定义（±20%）：
阀门岛 下限 部件/班 35.97 39.23
适配板 下限 部件/班 37.95 37.69

干扰与准备参数：
干扰持续时间：分钟 90
三轴系统准备时间（启动）：秒 27491695
三轴系统准备时间（停止）：秒 445423
三轴系统总准备时间：秒 31942118
阀门岛三轴系统循环时间：秒 778
干扰期间（8小时班次）的产量：
阀门岛 每班产量 部件/班 39.23 40.63
适配板 每班产量 部件/班 37.69 37.95

表3. 混沌工程中现有风险管理方法的比较：表示该方法适用于某工艺步骤，而表示不适用。

7.2. 使用案例中需求满足情况的讨论
如后文所述，表1中所列的大部分需求都得到了满足。首先从功能需求来看，故障注入被定义为5轴加工中心的故障。由于存在多种弹性机制可用于应对此类故障，系统应能承受这种干扰。目前此使用案例中尚未实现混沌工程的自动化，这属于未来的研究方向。与运营规划相关的需求部分得到满足，因为该实验是在专为研究弹性生产系统而设计的学习型工厂环境中进行的。因此，研究人员和工作人员已经熟悉混沌工程的理念，无需额外的审批流程即可开展实验。与观察、监控和文档记录相关的需求也得到了满足。在混沌工程实验过程中，既有研究人员进行监控，也有技术系统记录诸如加工时间之类的生产相关数据。此外，由于故障是模拟产生的而非实际发生的，因此实验设计无需紧急干预。设计阶段的成果会记录在实验计划中，该计划会在混沌工程实验开始时执行[93]。

就技术需求而言，相关的性能数据都有记录，包括循环时间、准备时间和产量。系统中还实现了以生产资源重新分配形式的弹性机制。该系统是一个复杂的分布式制造系统，拥有两个并行生产不同产品的生产线，并且能够将其中一个流程转移到另一台机器上。稳定状态的需求也得到了满足，因为系统的稳定状态是通过产量来明确定义的，且可以量化衡量。与假设相关的需求也同样得到满足。假设明确指出，通过资源重新分配，系统能保持在预定的稳定状态。其核心指标为产量，控制条件为无干扰的稳定运行，而实验条件则为发生故障时的产量。

总之，该使用案例满足了大部分既定需求。其中一些问题主要涉及与培训及授权相关的运营规划需求，因为实验是由已有专业能力的团队执行的；另外还有自动化方面的问题，不过为了聚焦混沌工程的核心原理和流程模型，这些方面暂未考虑。

8. 结论与未来工作
本文提出了四个重要发现：首先，探讨了混沌工程在提升工业生产系统弹性方面的潜力；其次，系统地明确了在工业环境中有效应用混沌工程所需的条件；第三，基于这些条件开发出了更为完善的流程模型，以便将混沌工程融入工业生产流程；第四，通过与现有风险管理方法的比较，凸显了混沌工程作为一种综合方法的优势，随后通过学习型工厂环境中的简单示例对其进行了进一步说明。然而目前，所提出的方法仍处于学习型工厂阶段，因为在实际生产环境中直接实施混沌工程往往不可行，因为这可能会带来产量损失和经济效益方面的问题。“白日梦工厂”理念[95]、[96]、[97]、[98]为这一领域提供了合适的框架，它设想生产系统能够主动探索潜在的未来场景，通过模拟预测优化运营，并通过学习合成场景来调整自身。在这一框架下，混沌工程作为一种有针对性的实验工具，可用于主动识别漏洞并优化应对策略。一个特别有前景的方向是将其与强化学习相结合，让智能体在训练过程中通过可控的故障模拟获得自适应控制策略，从而在动态且不确定的生产环境中提升系统的弹性和响应能力[99]、[100]。未来的工作将按照图6所示的三个不同精度/成本层级展开，以第7节中的示例为依据。首先是从仿真开始，结合机器学习进行生产调度和故障分析[101]；在此基础上，利用数字孪生技术更全面地评估系统的弹性[102]；最后，在学习型工厂环境中进行验证，以评估如何在实际运行条件下结合运用仿真和数字孪生技术。

作者贡献声明
Anh Minh Augustino Doan：撰写——初稿、方法论、概念设计。
Leonie Meldt：撰写——初稿、方法论、概念设计。
Tim Bokemüller：方法论、概念设计。
Niklas Pohl：实验研究。
Joachim Metternich：监督指导。
Matthias Weigold：监督指导。

关于写作过程中生成式AI及AI辅助技术的声明
在准备本文档时，作者使用了ChatGPT来提升文本的可读性和语言表达水平。在使用这些工具后，作者对内容进行了必要的审阅和修改，并对最终发表的内容承担全部责任。