评估用于飞机设计和认证的MBSE方法与工具：一种比较视角 Claudio Mirabella、 Michele Tuccillo 和 Pierluigi Della Vecchia

《Systems》：Evaluating MBSE Approaches and Tools for Aircraft Design and Certification: A Comparative Perspective Claudio Mirabella, Michele Tuccillo and Pierluigi Della Vecchia

　　**摘要**
本文评估了两种基于模型的系统工程（MBSE）工具链，这两种工具链支持根据欧洲航空安全局（EASA）CS-23修正案6进行飞机认证。适航性要求及相关可接受的合规手段被数字化为系统建模语言（SysML）模型，这些模型保留了文档结构，并编码了验证所需的参数和表达式。CS-23子部分C要求的机动性和阵风飞行包线被用作比较工作流程集成、鲁棒性和工件生成的代表性案例。一种实现方法结合了Eclipse Papyrus和MATLAB来导出和解析SysML模型，并执行自动化计算和报告。第二种方法使用CATIA Magic Systems of Systems Architect（MSoSA）将模板字段导出为JSON，并通过活动图运行C++例程。这两种工具链都生成与认证相关的输出，包括设计空速、极限载荷系数和飞行包线图，同时相对于以文档为中心的做法提高了可追溯性。比较表明，Papyrus/MATLAB方法支持快速原型设计，但对法规文本的变化更敏感；而基于MSoSA的方法减少了对文本-模式解析的依赖，并提供了更集成的执行。这些结果表明，MBSE可以提高准备认证证据的效率，其采用与否的权衡取决于许可成本、集成工作量和组织成熟度。

**1. 引言**
认证是一个系统的、强制性的过程，应用于复杂的工业产品，以验证其是否符合法规、安全和性能标准，特别是在操作对财产和人类生命构成高风险的情况下。航空航天产品受到联邦航空管理局（FAA）和欧洲航空安全局（EASA）等监管机构的严格审查。这种监督对设计和制造组织有重大影响，这些组织不仅必须有效地与监管机构合作，还必须建立内部程序来生成、维护和发布证明符合所有适用要求的数据和工件。量化与此过程相关的影响已被证明是困难且繁琐的[1]。
FAA和EASA采用了一组由美国材料与试验协会（ASTM）国际组织发布的文档，以促进北美和欧洲司法管辖区之间的法规互操作性[2]。虽然这一政策提供了显著的好处——例如在选择认证基础方面的灵活性——但它也引入了挑战，包括跨引用多个文档的复杂性和手动过程中的错误风险[3,4,5]。此外，共识标准包含许多标准，申请人通常无法提前确定哪一组标准可能适用于他们提出的设计[6]。尽管专家和认证工程师可以推导出受认证约束的方法[7,8]——解决认证过程的不同方面——但设计和制造组织在高度竞争的环境中运作，在这种环境中，响应能力可能比技术成就更为重要。
航空监管机构正在积极召开会议和研讨会，并与行业利益相关者合作，以塑造未来的认证格局。例如，2026年的EASA Part 21研讨会和认证会议[9]推动了到2030年实现完全数字化、以数据为中心的认证过程的战略目标，该过程遵循以下原则：
- 数字认证过程的可持续性，强调标准化和成本效率。
- 安全性和安全性，重点关注安全的数字访问、数据保护以及产品和服务的安全部署。
- 合规性，涉及数据管理、数据互操作性以及数据格式和规则的标准化。
- 可扩展性，目标是通过扩大工具和技术的适用范围来降低成本，包括可能转移到其他工业领域。
尽管提出的时间表雄心勃勃，但它强调了研究支持认证过程的数字工具和方法的重要性。
新技术的引入受到缺乏与传统飞机架构相当的精确程序、要求和安全标准的阻碍。一个显著的例子是在紧急情况下评估等效的安全性和操控性能——特别是当一个或多个发动机失效时——对于采用分布式推进机制的飞机[10,11]。这可能会导致航空工业，特别是在通用航空市场中的竞争力和创新能力随时间下降[12]。EASA强调，认证主要是一个工程过程，申请人通过认证文件来证明合规性。本文讨论的方法旨在建立一个MBSE工具链，以支持这些文件的集成管理，提高认证项目数据库内的可追溯性和可维护性。
为了实现这一目标，那不勒斯费德里科二世大学（UNINA）与米兰理工大学（POLIMI）和都灵理工大学（POLITO）合作，启动了“数字创新通用航空飞机认证”（DIGACE）研究项目。该倡议应用基于模型的系统工程（MBSE）技术来数字化适航性规则和合规手段（MoC），整合了EASA CS-23修正案6和ASTM标准的内容[13,14]。更广泛地说，MBSE方法已被应用于复杂的工业产品，以将利益相关者的需求和操作能力与系统架构和设计特性联系起来[15]。其他具有类似复杂性的工业领域，以及在设计和制造阶段都有监管参与的领域，也采用了MBSE技术来改善沟通，并支持高效检索和提供与认证相关的信息[16]。
MBSE的采用促进了专用工具和编码机制的发展，包括系统建模语言（SysML）。SysML提供了一种正式的、结构化的符号，用于表示复杂系统和管理与认证相关的信息。本文开发的数字认证框架结合了SysML以及MATLAB/Simulink和C++代码套件，并通过两种实现进行了演示：一种基于Eclipse Papyrus，另一种使用CATIA Magic Systems of Systems Architect（MSoSA）。这些实现支持自动化解析、计算和生成认证工件，从而简化了制造商的关键认证活动，并可能提高与监管机构在认证过程中的数据和信息交换效率。更广泛地说，MBSE方法可以提高认证效率[17,18,19]，支持创新技术的整合[20,21]，并有助于为非常规设计保持安全裕度[22,23,24]，至少在认证层面是这样。认证过程基于申请人和监管机构之间以认证文件和工件形式进行的复杂信息交换，这可能是引入MBSE技术的理想应用场景[25]。此外，工业环境中采用MBSE在经济上也是可行的[26]，特别是对于产品生命周期复杂的复杂产品，使用全面和综合的MBSE方法[27,28]。文献中还讨论了其他数字化方法[29,30,31,32]，航空研究和工业界对此也有热烈的讨论。
本研究考察了EASA CS-23子部分C，该部分规定了飞机认证的结构要求。在申请新的型式证书（TC）时，申请人必须证明设计具有足够的结构强度，以满足其预期的操作用途[33]。EASA和FAA发布的监管指南规定了结合机动性和阵风载荷的飞行包线的构建。由此产生的载荷系数用于确定关键结构组件的尺寸，随后在地面测试中进行验证。这一阶段确定了极限载荷，即机体在不发生永久变形的情况下可以承受的最大载荷[34]。因此，飞行包线是认证中的一个基本要素，确保在操作条件下符合安全标准和结构完整性。其准确确定对于传统和创新的飞机配置都至关重要，因为它直接影响设计决策和认证结果。出于这些原因，本研究中使用机动性和阵风飞行包线作为示例，以展示所提出的基于MBSE的数字认证工具链的能力。

**2. 认证格局**
本节研究了欧洲航空安全局（EASA）针对通用航空飞机（CS-23）的认证规范，特别是子部分C（结构）。由于这些规范在高级别上规定了要求，它们依赖于外部文档来确保合规性，特别是由美国材料与试验协会（ASTM国际）发布的共识标准。在每个CS-23段落下，明确指出了相关的ASTM标准作为参考的合规手段（AMC）。CS-23框架还允许申请人使用两种替代的AMC：EASA CS-23修正案4——该修正案计划停止使用，目前仅适用于在欧盟认证的飞机——以及非常轻型飞机认证规范（CS-VLA）。后者的范围较窄，仅适用于最大起飞重量（MTOW）不超过450.00公斤且乘客数量不超过2人的飞机。本研究参考了AMC1，即ASTM国际标准，来开发数字认证框架。以下部分描述了建立这一框架的两种方法。图1总结了当前的EASA认证格局，并明确引用了ASTM F3116/F3116M设计载荷和条件标准规范[35]。其他涉及子部分C高级别要求的ASTM标准包括：
- F3396/F3396M简化载荷标准实践[36]，适用于小型、简单且失速速度不超过45.00节的小型飞机。
- F3331-18飞机水载荷标准实践[37]，适用于水上飞机的结构设计载荷。
ASTM还发布了其他标准，在某些部分涉及与子部分C相关的结构设计载荷和条件，例如F2245-23轻型运动飞机的设计和性能标准规范[38]。尽管F2245-23也涉及其他EASA子部分，并且仍适用于1级飞机，但本研究重点关注F3116/F3116M，因为它适用于所有符合正常类别认证要求的飞机。这些标准为构建机动性和阵风飞行包线提供了详细的程序，这是航空监管机构所要求的。申请人必须证明在所得飞行包线内的所有相关空速和极限载荷组合都符合强度要求。ASTM标准规定了机动性极限载荷系数和阵风极限载荷系数的限制。例如，机动性极限载荷系数定义为……

**3. 参考飞机架构**
图2展示了用于生成认证工件的参考飞机架构，包括机动性和阵风飞行包线。该飞机大致基于Tecnam P2012 Traveller，代表了一种4级、低速的通勤类设计。表1总结了启动飞行包线计算所需的输入数据。作为初步步骤，阵风强度是根据适用的认证要求自动确定的。为了简洁起见，省略了几个与本节描述类似的额外初步步骤，例如在最大连续功率下确定最大水平飞行速度。图2. 使用两种数字认证框架分析的参考飞机架构的三视图表示。表1. 用于评估机动性和阵风飞行包线的参考飞机输入数据。表2和表3报告了使用Eclipse Papyrus/MATLAB和CATIA MSoSA/C++数字认证框架获得的计算空速和相应的极限载荷因子。由于两次运行使用了略有不同的计算策略和输入值，因此输出结果也有所不同。这些结果表明，这两种实现都可以适应飞机输入数据集的变化，因此可以应用于不同的飞机架构。本工作的主要目标是评估和比较两种不同的自动化方法来生成这些认证文件，因此不需要数值结果完全一致。然而，两种解决方案非常接近。表2. Papyrus/MATLAB架构在机动性和阵风飞行包线评估过程中执行的几何分析总结。表3. CATIA MSoSA/C++架构在机动性和阵风飞行包线评估过程中执行的几何分析总结。在参考文献[13]中，基于MATLAB的数字认证框架被扩展到额外的CS-23子部分。在未来的工作中，作者将把CATIA MSoSA数字认证框架应用于三种传统飞机架构，并生成支持结构符合性的认证文件，这些文件由Python（2.7用于内部脚本，2.9用于外部工具）配套库支持。本研究的范围有限，提供了通用航空中两种MBSE方法的概述。分析仅限于CS-23子部分C的可接受合规性手段，并特别关注适用于第23部分认证的飞机的机动性和阵风飞行包线的推导。该程序广泛适用于通用航空飞机。4. 数字认证工作流程图3展示了数字认证框架的一般概念设计。申请人在使用MBSE数字认证框架时应遵循的一般工作流程如下：首先，申请人将框架所需的信息编码为可用格式。通过构建SysML模型来编码认证和证明规则。无论使用哪种工具，申请人都必须以数字方式形式化法规，定义一组适当的具有属性的模板，这些属性可以存储数据、公式和其他相关信息，从而与原始文档一一对应地构建一个可用的SysML模型。同时，申请人必须构建一个包含大量描述所考虑设计架构的数字数据库。至少必须将几何形状和机翼-机身空气动力特性包含在一个一致的输入文件中。一旦输入准备就绪，框架就会解析模型并构建计算例程所需的结构化变量，无论申请人是使用本文提出的Papyrus/MATLAB还是CATIA MSoSA/C++实现。然后，例程会自动填充法规数据和公式。计算开始，结果会与法规界限进行核对。最后，计算例程生成可用于创建认证文件的数据和认证信息——图表、表格以及Word或PDF格式的完整认证文件。这些文件对于向航空监管机构证明合规性是必要的，符合整个航空行业使用的既定程序。图3. 数字认证框架及其一般概念设计。总体而言，认证文件的生成是一致且连贯的，并通过一个稳定、明确定义的过程进行自动管理。这些文件背后的认证计算是完全自动化的，这最大限度地减少了这一阶段出错的风险。数字认证框架有以下缺点：尽管其结构和逻辑相对简单，但框架的功能性依赖于法规，并且对认证文件的变化非常敏感。更新SysML模型可能很繁琐，需要受过培训的人员。即使在组织内部有必要的专业知识，实施对SysML模型的更改也需要时间和财务资源，而这在通用航空领域的小型制造公司中往往是有限的。在第二种数字认证框架中包含了对此缺陷的更高水平的韧性，如第5.2节所示。飞机输入数据可能需要一定程度的细节，而这在认证和制造过程的各个阶段可能都不可用。因此，框架的范围必须保持有限，并专注于特定的子部分。这种限制可以被视为一种局限性；然而，它也可以提高可维护性，因为它符合国际系统工程委员会（INCOSE）的指导，该委员会建议避免使用过于宽泛的SysML模型，因为这可能会影响可维护性[39]。最后，尽管该框架展示了将MBSE方法应用于复杂工业过程，但它最终仍然依赖于基于文档的输出来证明符合航空法规。执行结束时生成的认证文件仍然是文档，如证明报告、表格和图表。SysML模型的复杂性主要在于定义和实现适当的模板集，以捕获建模对象的属性。对于EASA法规及其相关的可接受合规性手段，本文中的工作主要依赖于两种用户定义属性的选择：一种属性定义为字符串的零到多重性向量。该字段的目的是捕获与模型元素相关的公式、方程、不等式和其他复杂信息。另一种属性定义为浮点数的零到多重性向量。该字段的目的是捕获ASTM文档、段落和小段落中的简单数字和数值数据。用户定义的模板将捕获EASA CS-23段落和ASMT International F3116/F3116M段落和小段落。一旦这些SysML构造被定义，就可以建立数字认证过程，无论是通过专用的导出和解析工作流程还是通过建模环境中的专有工具。图4展示了Eclipse Papyrus建模环境中SysML轮廓图的示例，用户在其中定义新的模板。在这个例子中，定义了一个新的SysML元素，该元素继承了SysML需求元素的属性。还引入了几个属性：TestValue1和TestValue2是具有零到多重性的字符串属性。这些字符串可以包含任何允许的值，包括公式和数据。CertificationLevel表示EASA认证级别，从Level 1（最多两名乘客的飞机）到Level 4（最多十九名乘客的飞机）。PerformanceLevel可以取高速或低速的值，并标识飞机性能级别。本文讨论的模型中使用的模板是从图4所示的示例中派生出来的，经过了一些改进，以提高模型的灵活性和可用性。图4. 轮廓图的一个示例。模板的属性显示了多重性区间的下限和上限，其中星号表示无限多重性。为了说明目的，改编自[13]。5. 两种方法的比较本节比较了在通用航空飞机认证背景下实施MBSE技术的两种策略。比较的范围仅限于子部分C。第5.1节描述了Eclipse Papyrus建模方法及其相关的MATLAB/Simulink配套代码，后者解析生成的SysML模型并启动与认证相关的计算。这种实现是评估更广泛数字认证框架的有效研究工具。然而，在解析阶段依赖正则表达式被认为不适合行业级应用。第5.2节提出了另一种使用CATIA MSoSA功能的实现方法，包括用于自动执行外部代码的活动图。这种方法通过用户定义的模板更好地捕获ASTM标准中的信息，并通过消除解析中的正则表达式使用来提高可靠性。5.1. DIGACE实现图5通过追踪其执行逻辑并总结其功能架构来展示Papyrus/MATLAB数字认证框架的结构。DIGACE实现包括三个阶段，旨在实现认证规范合规性验证的数字化。MATLAB的表达性语法支持类定义，其方法可以直接从SysML模型解析的信息中生成。由此产生的MATLAB套件无需调用Simulink例程或高级MATLAB工具箱。相反，它提供了一个专注于使用SysML模型中编码的信息来自动构建机动性和阵风飞行包线的计算框架。尽管这里采用的解析策略简单有效，但它可能对证明文档的变化敏感。ASTM共识标准会定期更新和修订，版本之间的修订可能很大。图5. DIGACE研究项目实现了基于Eclipse Papyrus SysML建模环境的数字认证框架。SysML模型自动生成一个UML文件（可以视为类似于复杂的XML文件），可以使用MATLAB进行解析。解析策略基于正则表达式。尽管这种实现不太可靠，但构建设施的过程相对较快，且底层逻辑简单。图6提供了Eclipse Papyrus建模环境及其SysML层次结构表示的概览。源文档的段落和小段落结构以一一对应的方式建模，保留了认证信息的逻辑组织。在这种实现中，解析器依赖于正则表达式，并使用模型元素标识符导航层次结构。一旦找到目标元素，解析器就会使用与该特定要求相关的正则表达式扫描其文本内容。然而，当发布修订版的认证文件时，文本和正则表达式之间的这种耦合可能会导致解析错误。尽管解析器对于模型的固定版本是可靠的，但在多个文档修订时它的鲁棒性较差，这限制了其在通用数字认证工作流程中的适用性。在这种实现中，SysML模型提供的自动化和集成功能较少；尽管如此，它仍然能够捕获认证信息并将其编码为可用的文本形式。自动化可以使用外部工具（如MATLAB）来实现。图6. Eclipse Papyrus包含树和ASTM F3116/F3116M 4.5.1.1 限制机动载荷因子段落。图中给出了模型元素文本内容的放大视图。这种数字认证框架的实现包括以下阶段：阶段1：建模。使用SysML的结构化语法将认证数据编码为数字模型，生成符合国际系统工程委员会（INCOSE）标准的UML文件。该文件在结构上类似于传统的XML文件，其中包含从EASA CS-23和合规性手段（MoC）文档中提取的文本信息，以及描述关系、模板和模型元素的元数据。这一阶段的输出是一个包含所有认证要求和证明方法的结构化变量，准备用于在专用MATLAB类中实现的MATLAB函数。阶段2：解析和计算。MATLAB程序读取UML文件并使用正则表达式解析与认证相关的信息。正则表达式相对容易使用和操作，尽管对于行业级应用来说，最终的解析过程可能不够可靠。提取的数据填充了定义子部分C计算的限制、约束和参数的结构化变量。例如，飞行包线的构建参考了ASTM F3116/F3116M标准规范中的设计载荷和条件，第4.4节，飞行载荷[35]，第3页。阶段3：工件生成。使用MATLAB的Report Generator API生成飞行包线图和正式的认证报告。这些输出形成了分为三类认证工件：认证演示数据、项目和工件。通过认证合规性检查表自动确保合规性，并系统地跟踪这一过程，这是该过程的一个特点，提高了可追溯性。MATLAB编程环境提供了强大的功能，能够高效且高度自动化地生成认证报告。在这项工作中，实现结合了MATLAB内置函数和自定义类文件，使得开发周期相对较短。相比之下，Eclipse Papyrus建模环境提供的自动化功能较少，用于协调工作流程的执行，导致所提出的认证过程的SysML基础设施集成程度较低。因此，生成的数字认证基础设施在可追溯性和验证生成的认证工件方面提供的支持有限，尽管实施所需的时间和成本相对较低。此外，用户必须依赖一套在SysML建模环境之外运行的外部工具和工作流程，这使得端到端的过程在实际使用中不够流畅。这种方法使得自动化提取、计算和报告成为可能，减少了人工工作量，提高了准确性，同时保持了与监管标准的合规性。5.2. CATIA MSoSA 实施

图7展示了CATIA/C++ 实施与之前工作流程的不同之处：基于SysML的数字编码和解析过程都在一个环境中完成，这一点由包围CATIA Magic Systems of Systems Architect (MSoSA)的蓝色方块表示。对CATIA MSoSA的实施进行了评估，以确定其提供基于MBSE的认证的更集成方法的能力。与之前的工作流程不同，这种环境允许通过活动图直接在建模平台内执行任务，减少了对外部工具的依赖。在这种方法中，解析完全与计算功能的定义解耦，并且独立于CATIA MSoSA环境。预计该工作流程将非常稳健，因为它利用了 Stereotypes 的属性：当一个元素具有用户定义的 Stereotypes 且其字段非空时，它们的内容会被导出到一个JSON文件中，该文件具有可以传递给C++例程的一致结构。这种分离提高了基于MBSE的数字认证框架的可维护性和可用性。

图7. CATIA MSoSA数字认证框架依赖于内部活动图的定义。一个配套的内部定义的Python代码解析模型并将ASTM证明要求保存到JSON文件中。然后，该JSON文件被传递给C++代码，后者创建的类文件直接遵循ASTM法规的计算方法。图8展示了一个活动图的示例，如CATIA MSoSA建模环境中所显示的。这个特定的示例指的是定义和执行一个内部Python例程，该例程扫描模型并将其元素解析到JSON文件中，以便C++例程使用。

图9显示了用于表示ASTM国际标准段落和子段落结构的用户定义的SysML Stereotype。尽管这个Stereotype在定义上很简单，但它捕获了证明符合高级EASA CS-23要求所需的大部分信息。CS-23要求使用概念上相似但属性略有不同的Stereotype来表示。值得注意的是，这些Stereotypes保留了TestValue字段，这些字段被定义为从零到多个的字符串向量。额外的属性编码了与认证相关的特征，包括认证级别、性能级别、申请人是否寻求特技飞行的批准以及安装的发动机类型。过程从从SysML模型的XML结构中提取数据开始，以生成一个JSON文件。这个文件作为一组独立C++例程的输入，这些例程旨在执行与认证相关的计算，特别是根据ASTM F3116/F3116M第4.4节“飞行载荷”[35]（对应于EASA CS-23的AMC1，修正案6）进行飞行包络的确定。数据提取是通过活动图触发的Python脚本自动完成的，确保了无论模型如何更新都能保持一致性。提取过程遵循ASTM标准的Stereotype属性，并利用了Stereotype的字段。请参阅第4节以获取关于Stereotypes及其属性的详细描述。

很容易指示Python例程搜索具有非空字段的模型元素。生成的JSON文件将所有所需参数组织成与C++套件兼容的格式，然后C++套件生成飞行包络图。通过这种方式，有效地避免了第5.1节中描述的解析过程中的问题，提高了执行效率和结果的稳定性。

图10展示了CATIA MSoSA SysML建模环境中的包含树。这种视图方便地表示了监管SysML模型的层次结构，并保留了源文档的段落和子段落组织。解析器可以利用这种层次结构，可以配置为在结构的特定层级查询模型元素。图11展示了CATIA MSoSA建模环境中的一个元素标签页。该标签页显示了选定的模型元素及其相关属性。TestValue1和TestValue2属性被填充了从监管文本中提取的字符串值。一旦导出到JSON文件中，这些值就可以用来参数化计算方法并启动认证计算阶段。

C++套件具有以下结构：

一个C++源文件访问包含ASTM数据和公式的JSON文件，并实例化一个结构化对象。这个对象在其他类中提供函数和方法，这些类包含数据和公式字符串，然后这些数据被转换为可重用的函数。

一组类定义了飞行包络边界和其他初步量，例如参考高度处的标准大气属性。计算设计空速，包括最大设计水平空速。

其他类实现了飞行包络的构建，并生成用于图形表示机动和阵风飞行包络的输出文件。最终的PDF图是通过一系列可以手动执行或由C++代码自动调用的独立脚本生成的。该过程自动识别最终的机动和阵风飞行包络几何形状，并在每个分支上进行检查。

这种方法展示了在单一平台内集成建模、数据提取和计算的可行性。通过活动图协调任务，CATIA MSoSA简化了认证工作流程，最小化了人工干预，并确保了所有操作的可追溯性。在实际使用中，CATIA MSoSA环境可以通过直接从适当定义的活动图执行的自定义库进行扩展，而底层的数据交换步骤对最终用户来说是透明的。因此，航空设计组织可以专注于CATIA MSoSA的培训，而无需用户直接与执行证明计算的后端代码交互。在本工作中介绍的应用中，证明例程是用C++实现的；然而，编程语言的选择并不构成所提出方法的限制。

图8. CATIA MSoSA建模环境提供了一个丰富且易于使用的环境。该图中的活动图创建了包含ASTM国际证明信息的JSON文件，准备好用于所有后续计算。

图9. CATIA MSoSA建模环境允许定义自定义的SysML Profile Diagram，如图所示。这个Stereotype解决了ASTM国际文档中的段落和子段落问题。Stereotype的属性显示了多重性符号，指示了多重性区间的下限和上限，其中星号表示无限多重性。

图10. CATIA MSoSA包含树允许方便地组织模型，保留了ASTM国际文档中段落和子段落之间的层次关系。

图11. 元素定义的示例。段落4.5.1.1 来自ASTM F3116/3116M标准规范的极限机动载荷因子。

6. 结果

本节简要列出了使用两种MBSE方法开发数字认证框架所获得的一系列结果。

6.1 部分展示了如何在MATLAB/Simulink环境中将模型导出为结构化变量。计算使得创建认证工件（如表格和图表）成为可能。阵风和机动飞行包络图作为示例展示。

6.2 部分展示了使用CATIA MSoSA构建的数字认证框架。选定的输出仍然是根据ASTM证明要求以及本文的比较分析得到的机动和阵风飞行包络。

6.1. Eclipse Papyrus和MATLAB/Simulink结果

MATLAB/Simulink环境具有构建结构化变量的足够设施，如图12所示。代码读取并解析SysML模型，并生成名为ASTM的结构化变量。这个结构化变量按照F3116/F3116M标准的主要部分名称顺序呈现数据。

图12. ASTM结构化变量按照F3116/F3116M文档的主要部分顺序呈现证明要求。

图13 展示了其中一个子字段的内容，特别是与评估极限机动载荷因子相关的字段。ASTM变量包含函数句柄和数值数据，准备好用于所有后续的认证相关计算。

图13. ASTM结构化变量包括直接从SysML模型提取的函数句柄和数值，导出为UML文件。MATLAB/Simulink代码创建可以包含在技术认证报告中的认证工件。

图14 显示了机动和阵风飞行包络图。这些图表是最重要的认证工件，用于显示符合EASA CS-23 Subpart C高级要求的情况。

6.2. CATIA MSoSA和C++结果

列表1显示了使用CATIA自动生成的JSON文件。可以看出，使用的命名法与图4中表示的用户定义的Stereotype一致。该文件可以很容易地被C++例程读取，使用现代C++标准的适当设施。JSON内容包括C++算法用来组装和执行所需计算方法的数值参数和表达式，产生的输出符合监管期望。因此，工作流程在内部是一致的，并遵循EASA接受的ASTM国际证明指令。C++代码读取JSON文件并生成一个结构化变量，概念上类似于第6.1节中描述的变量。为了开始证明计算以显示符合Subpart C的要求，一组飞机数据被包含在一个单独的JSON文件中。

列表1. 解析操作后的ASTM JSON文件结构。

图15 显示了CATIA MSoSA数字认证框架的结果是一组认证工件，例如机动和阵风飞行包络，这些工件在本文中用作比较工具。

图15. 使用CATIA MSoSA和C++代码构建的数字认证框架可以生成类似的认证工件，例如图中显示的阵风和机动飞行包络。

7. 讨论

第6节展示了如何应用两种MBSE方法来显示符合高级EASA CS-23认证要求。本节提出了一组观察结果，旨在支持对比较结果的解释。

图16 提供了本研究中评估的两种方法的定性比较。五个参数在三个级别（低、中、高）上进行评分。下面定义和讨论了五个关键绩效指标（KPIs）。

图16. 本研究中考虑的两种提出的数字认证方法比较的关键绩效指标（KPIs）的图形表示。

采用和可行性：这个KPI捕捉了采用每种方法的实际可行性以及从数字认证框架的概念设计到实际部署所需的估计时间。它定性地捕捉了实施框架所需的总开发工作量，包括：创建最小的SysML Profile Diagram集合和定义所需的Stereotypes。在SysML模型中编码认证和证明规则。在计算工作流程中实现SysML监管模型的导出、解析和使用。本质上，这可以通过构建与SysML模型高效工作的配套代码套件来减少。

最耗时的活动是从监管文档中提取和形式化相关信息到SysML模型中。一旦模型建立，相关计算例程的实现相对直接。

Eclipse Papyrus是一个开源的SysML建模环境，可以相对快速地采用，采用成本主要反映在学习图形用户界面所需的时间上。MATLAB是许可软件，涉及采购成本；然而，它支持快速开发复杂的认证计算工作流程。相比之下，CATIA MSoSA涉及更高的采购成本和更陡峭的学习曲线。C++实现可以设计为支持强大可靠的证明例程；然而，这些优势通常需要更大的开发工作量。对于小型航空设计和制造组织来说，Eclipse Papyrus/MATLAB框架可能是一个实际的选择，特别是在MATLAB已经在现有工程工作流程中使用的情况下。如果需要，可以使用模型转换语言（如Epsilon [40]）来扩展Eclipse Papyrus。然而，采用自定义自动化插件应该通过对预期应用的仔细前期评估来证明其合理性。采用CATIA MSoSA在技术上是可行的，但对于这样的组织来说可能代表了相当大的投资。尽管C++在安全关键软件开发中广泛使用，但集成和维护C++后端仍然需要专门的知识和流程成熟度。总体而言，采用基于MBSE的认证工具链所需的组织变革是可行的，但这些变革通常需要对既定的管理和执行实践进行调整，这在较小的组织中可能较难实施。

**运营效率：**该关键绩效指标（KPI）衡量了在使用数字认证框架时可以实现的自动化程度。数字认证框架的合理性在于减少并在可能的情况下消除认证步骤中的人工干预，因为许多一致性和可追溯性差距、不一致性以及错误都发生在手动信息交换和手动编辑过程中。Eclipse Papyrus并未提供在建模环境中执行认证工作流的原生功能；然而，通过外部工具（如MATLAB）可以实现令人满意的自动化水平。相比之下，CATIA MSoSA通过活动图支持集成工作流执行，使许多认证步骤能够自动完成。在实际应用中，用户可以触发预定义的程序来执行认证和验证任务，而无需直接处理中间数据交换。一旦生成了认证工件，该环境就提供了高效的报告生成能力，可以通过与所考虑的认证任务相匹配的模板进行配置。理想情况下，该框架应在实际环境中自动化整个流程；然而，在早期采用阶段，创建、更新和维护数字认证数据库所需的工作量可能会超出框架的运营能力。因此，本研究中将运营效率作为KPI进行了评估。

**鲁棒性和正确性：**该KPI评估了数字认证框架在EASA法规和ASTM验证文件变更下的可靠性。它还反映了法规内容被正确解释并转化为一致认证工件的程度。Eclipse Papyrus/MATLAB实现依赖于一种相对脆弱的解析方法——这种方法基于正则表达式，应用于从法规来源转录的SysML/UML表示——在参考文件发生重大变化时稳定性会降低。尽管MATLAB解析器具有错误处理、故障安全行为和防止无声故障的保护机制，但工作流仍然对底层规则内容的变化敏感。如下面所讨论的，这种敏感性也会影响可维护性。相比之下，CATIA MSoSA通过用户定义的SysML样式提取法规内容。Python辅助程序首先识别携带相关样式的模型元素，然后仅将非空字段导出到JSON输入中，从而减少了对文本-模式匹配的依赖。这种方法提高了鲁棒性，并增加了成功执行的可能性；同时也支持可用性和可维护性。在实际应用中，当法规结构发生使建模层次无效的变化时（例如，段落和子段落的重大重组或需要不同建模模式的变化），通常会出现故障。

**可维护性：**该KPI评估了数字认证框架在运行条件下的维护难度。如上所述，Eclipse Papyrus/MATLAB工具链的稳定性相对较低，通常需要更多的维护工作才能保持完全运行。其结构不够直观，个别维护任务往往需要更多努力。例如，当认证法规发生显著变化时，必须根据更新的法规文本验证解析程序并重新验证，这可能既耗时又繁琐。相比之下，CATIA MSoSA/C++实现更加稳健，通常需要较少的维护活动。其解析机制本质上更加稳定，因为它依赖于结构化的SysML样式而不是直接操作法规文本。一旦SysML内容得到更新，该框架可以在不需要对解析逻辑进行大量修改的情况下适应需求的重大变化。此外，框架组件是模块化和自包含的，这有助于在正常运行条件下提高可维护性。

**合规性证据：**该KPI评估了数字认证框架在生成完整且可用的认证工件方面对合规过程的支持程度。在基于MATLAB的实现中，需求、计算和生成输出之间的可追溯性相对有限，尽管工作流可以生成包含图表、表格和法规摘录的认证报告（如参考文献[13]所示）。相比之下，CATIA MSoSA环境提供了更集成化的认证状态和相关工件的视图。其报告向导可以配置为一致地整合生成的数据，支持图表、表格和叙述元素的协调组装。因此，工件生成是自动化的，将其包含在认证报告中也更加直接。此外，当支持的C++程序设计为保留工件与相应认证要求之间的链接时，这些链接可用于驱动报告生成并进一步增强可追溯性。

当前工作的范围有限，对CATIA MSoSA报告向导的评估不够彻底，因此未包括在内。主要目标是在CATIA MSoSA环境中建立和展示数字认证能力，本研究已经实现了这一目标。未来的工作将展示在CATIA MSoSA中实现的更广泛的数字认证框架，并由基于Python的验证库支持以生成认证工件。Eclipse Papyrus/MATLAB数字认证框架已在参考文献[13]中介绍。本研究的范围仅限于EASA CS-23，子部分C；然而，这一限制并不妨碍所提出方法论扩展到其他子部分。特别是，增强的可追溯性机制和验证与确认能力的集成代表了可以在更广泛的飞机认证过程中应用的转移优势。比较的基准仍然是第4节中讨论的经典基于文档的方法。航空监管机构目前主要通过表格、图表和技术报告等认证工件来评估合规性；因此，这些输出目前无法从认证工作流中移除。相反，所提出的数字认证框架可以用来提高可追溯性和鲁棒性，并减少生成和维护认证证据的手动工作。

无论使用Eclipse Papyrus与MATLAB/Simulink还是CATIA MSoSA与C++可执行文件来实现MBSE数字认证框架，MBSE技术在通用航空飞机认证中的优势都是显而易见的。自动化流程实现了需求和工件的可追溯性，显著减少了错误并降低了出错的风险。这些好处是因为计算方法和整个流程遵循了EASA和FAA认可的合规手段，从而实现了可访问、可维护且适应飞机架构的数字认证数据库。因此，认证过程在一致性、连贯性和清晰度方面得到了改进，使申请者能够更有效地与监管机构交换信息。然而，正如许多复杂工业环境中所面临的，获取所需技术和实施基于MBSE的认证工具链可能成本高昂，对于小型设计组织来说可能负担不起。此外，工具链的技术复杂性可能在设计和制造部门内造成知识障碍。

MATLAB/Simulink和CATIA MSoSA都涉及显著的许可成本，这可能会阻碍小型或中型航空设计和制造公司的采用。对于行业级应用，一个理想的解决方案可能是将CATIA MSoSA与一套C++工具集成在其数字认证工作流中。在这种配置下，C++可执行文件在后台运行，而用户仅通过SysML模型进行系统设计级别的交互。这种分离允许申请人单独培训SysML建模环境的人员，同时将配套代码库视为可以内部管理或作为技术服务外包的后端组件。CATIA MSoSA还提供了一个方便的报告向导，用于创建包含图表、公式、表格和其他相关数据的认证工件。对于通用航空领域典型的小型组织来说，采用MATLAB/Simulink结合其他数字工具来实现MBSE框架可能要求较低，尤其是在已经具备MATLAB专业知识的情况下。然而，这样的工具链可能提供的任务特定功能不如CATIA MSoSA这样的集成环境。

MATLAB/Simulink实现稳定性较低，因为使用Eclipse Papyrus等能力较弱的工具创建的SysML模型提供的功能较少，因此探索起来较为困难。正则表达式有效地将需求与验证计算联系起来；然而，对ASTM文件的重大修改可能导致代码在解析UML文件时失败。在最佳情况下，代码会生成错误；在最坏的情况下，它可能会在解析过程中无声运行而不显示任何问题。CATIA MSoSA实现通过使用更丰富的样式避免了这个问题（如第5.2节所讨论的）。Python辅助代码不是依赖于正则表达式，而是扫描UML文件中具有非空TestValue字段的模型元素，为C++可执行文件创建JSON输入文件。这种方法本质上更加稳定且易于维护，因为它嵌入在CATIA MSoSA环境中。

讨论表明，在CATIA MSoSA中实现的MBSE数字认证框架，并由C++代码套件支持，既可行又能满足申请者、认证工程师和认证专家的实际需求。该工具链可以自动化认证工作流的很大一部分，尽管本研究仅针对EASA CS-23，子部分C，但潜在的方法论可以扩展到其他子部分[13]，包括涉及系统、发动机、螺旋桨及相关领域的部分。CATIA MSoSA提供了一个灵活的、即用型环境，用于集成工作流执行，而Eclipse Papyrus为SysML建模提供了一个可行的开源替代方案，但在协调和执行建模环境中的端到端认证工作流方面提供的支持较为有限。

**结论：**本研究探讨了将MBSE工具链应用于解决飞机认证挑战的方法。适航性要求使用SysML进行了数字化，这使得认证数据及其相关元数据能够被结构化编码。本研究的主要目的是展示两种基于MBSE的方法来开发数字认证框架，从而为研究和比较这一复杂工程过程的替代方法提供参考。对这两种方法进行了定性比较。第一种方法使用Eclipse Papyrus作为建模环境，并与MATLAB/Simulink集成进行解析和计算。这种配置允许通过生成填充了来自正式规范的数据的结构化变量来快速进行与认证相关的计算。第二种方法利用CATIA Magic Systems of Systems Architect (MSoSA)，通过活动图自动化认证工作流，并使用C++可执行文件协调计算。这两种实现都支持生成认证工件和综合报告，无论是通过MATLAB的API还是CATIA MSoSA中的文档模板。

未来的工作将重点使用定量关键绩效指标（KPI）在工业环境中验证这些框架，并通过改进建模和解析阶段之间的关系来提高鲁棒性。