面向设计阶段的韧性：概念阶段评估汽车系统架构韧性能力的成熟度模型

《Proceedings of the Design Society》：Resilience-by-design: maturity model for assessing the resilience capabilities of automotive systems architecture in the concept phase

　　

互联自动驾驶汽车（Connected and Autonomous Vehicles，CAV）的复杂度持续提升，使得系统韧性难以保障。韧性指系统在遭受扰动时仍能维持功能与可用性，同时确保安全性。设计具备韧性的系统需要在概念阶段早期开展系统级分析，识别并缓解风险，从而保障可靠性与可用性。研究人员提出了汽车韧性成熟度模型（Automotive Resilience Maturity Model，ARMM），该模型基于系统架构对汽车系统的韧性水平进行评估。

该研究发表于《Proceedings of the Design Society》，聚焦于日益复杂的移动出行系统中互联自动驾驶汽车（CAV）的韧性设计与评估问题。当前汽车系统因交互增多、安全要求提升及法规标准约束，面临极高安全关键性挑战，传统的安全分析与网络安全分析无法覆盖韧性的全范围内涵。韧性被定义为系统在遭遇意外扰动事件时维持预期功能与可用性的能力，涵盖网络攻击、环境变化、内部故障等多类风险。在概念阶段，系统架构已确定关键决策与成本基础，但现有实践缺乏对架构韧性的可量化、可追溯评估，且安全分析（HARA/SOTIF）、网络安全分析（TARA）通常独立进行，缺少跨学科统一评价框架。为此，研究人员开发了汽车韧性成熟度模型（ARMM），旨在为汽车系统架构提供分阶段、可比较、可集成的韧性评估工具，填补技术系统层面韧性成熟度模型的空白。

作者采用设计科学研究方法（Design Science Research Methodology，DSRM）开展研究，通过系统性文献综述筛选现有模型，结合13位系统设计与架构领域专家的深度访谈验证模型有效性，并将模型嵌入系统工程流程。具体技术路径包括：基于DSRM五阶段流程构建模型框架，利用系统性文献检索（覆盖Scopus、IEEE Xplore、SpringerLink、Web of Science数据库）分析现有韧性评估模型缺陷，采用半结构化专家访谈法收集反馈并迭代优化模型，最终将模型与RFLP（需求-功能-逻辑-物理）及FAS（功能架构系统）等架构方法对接实现工程落地。

研究结果分为以下部分：

1. 1.
   问题分析。明确汽车领域韧性的定义与行为特征，指出概念阶段架构决策的重要性及当前评估缺乏层级化、可追溯性、跨域融合与流程集成等问题，据此提出ARMM需满足的五项需求：分层韧性评估、与架构元素可追溯、衔接安全与网络安全分析、跨学科可理解性及流程集成。
2. 2.
   研究现状分析。系统性文献综述表明，现有韧性模型多聚焦组织层面或基础设施层面，针对CAV技术系统架构的分层成熟度模型缺失，REMIND等汽车领域框架虽具指导意义但缺乏正式评估体系。
3. 3.
   汽车韧性成熟度模型（ARMM）。模型定义六个能力等级（CL0至CL5）：CL0（非韧性）无检测与适应能力；CL1（韧性监测）具备扰动检测与状态标识；CL2（基础韧性）支持受控降级与故障安全模式；CL3（功能韧性）引入冗余与回退策略以维持受限功能；CL4（运行韧性）可自主恢复至原始性能水平；CL5（自适应韧性）通过机器学习与自配置实现超越原有能力的适应性提升。模型指标覆盖功能、子系统及物理组件，可与现有工程实践融合。
4. 4.
   ARMM在系统设计流程中的集成。模型嵌入INCOSE系统设计与分析框架，以系统架构为核心资产，结合HARA与TARA分析结果识别韧性资产，通过分层指标评估形成闭环改进路径。
5. 5.
   访谈结果与讨论。专家验证显示模型逻辑清晰且覆盖韧性全阶段，但需加强流程集成、明确输入输出工件、提供应用指南与工具支持，研究人员据此优化了过程嵌入与跨学科接口。

研究结论指出，ARMM首次实现了概念阶段汽车系统架构韧性的分层量化评估，其跨学科特性与既有安全标准兼容，可支撑工业界在开发早期识别并弥补韧性缺陷。未来工作将通过实车项目验证模型可扩展性，细化各等级评估指标并开发配套工具插件，推动其成为类似Automotive SPICE的行业通用框架，进而催生汽车韧性工程师等新职业角色，使韧性成为与安全、网络安全并列的核心开发目标。