测试系统模型的方法与流程

1.本发明涉及测试系统模型的方法，并且涉及配置成执行这种方法的软件测试台。


背景技术：

2.复杂的系统、比如飞行器是由许多相互关联和相互依存的子系统和设备组成。每台设备必须符合与安全和/或性能相关的某些要求。这种设备的示例可以是特定的阀、轮胎或致动器。此外，每个子系统和整个复杂系统各自具有其自身的与安全和/或性能相关的要求。子系统的示例可以是起落架子系统，或者可以是控制表面子系统。
3.随着复杂系统变得越来越复杂，因此每台设备、子系统和整个复杂系统的验证也变得越来越复杂。随着更多部件被添加到复杂系统中，每台设备对其他设备、子系统和整个复杂系统的行为的相互作用和影响已经变得越来越多，并且难以预测。因此，在设备特征与系统要求之间存在不明显并且无法提前预测的关系。使仅测试“已知”为受设备变化影响的系统要求的已知方法继续会增加可能遗漏系统性能或功能的偏差的风险。替代性地，每当存在任何设备变化就简单测试所有系统要求会给系统开发带来巨大的成本和进度负担。
4.需要减轻这种负担，并且需要了解设备与子系统之间的复杂的相互作用和关系如何影响设备、子系统和整个复杂系统的其他要求。


技术实现要素：

5.本发明的第一方面提供了一种测试系统模型的方法，该系统模型包括系统参数和三个或更多个设备模型，其中，每个设备模型包括设备参数，该设备参数模拟相应设备的参数，该方法包括：a.对设备模型中的一个设备模型的设备参数进行一系列改变，使得设备模型中的所述一个设备模型的设备参数采用该设备参数的一系列测试值；b.对系统模型进行操作以确定系统参数的一系列测试值，其中，该系统参数的每个测试值根据设备参数的测试值中的相应的一个测试值来确定；c.确定设备模型中的选定的所述一个设备模型的权重，其中，设备模型中的所述一个设备模型的权重指示系统参数对设备模型中的所述一个设备模型的设备参数的一系列变化的灵敏度；以及d.输出设备模型中的所述一个设备模型的权重。
6.可选地，设备模型中的选定的所述一个设备模型的权重是标准化权重，并且该方法包括：确定设备模型中的每个设备模型的非标准化权重；对非标准化权重求和以获得总权重；以及在步骤c中根据设备模型中的选定的所述一个设备模型的非标准化权重和总权重来确定标准化权重。
7.可选地，系统模型还包括系统阈值，并且该方法还包括：根据该系统阈值和系统参数的测试值中的一个测试值确定测试指标，其中，该测试指标指示该系统参数的测试值中的所述一个测试值与系统阈值的符合性程度；以及输出该测试指标。
8.可选地，该方法还包括：将设备参数设置为相应的基线值；以及对系统模型进行操作以确定系统参数的基线值，其中，该系统参数的基线值根据设备参数的基线值确定。
9.可选地，该系统模型还包括系统阈值，并且该方法还包括：根据系统阈值和系统参数的基线值来确定基线指标，其中，该基线指标指示系统参数的基线值与系统阈值的符合性程度；以及输出基线指标。
10.可选地，设备模型中的所述一个设备模型还包括特征参数，该特征参数模拟设备的相应的特征的参数，该方法包括：a.对该特征参数进行一系列改变，使得该特征参数采用特征参数的一系列测试值；b.对系统模型进行操作以确定该系统参数的一系列测试值，其中，该系统参数的每个测试值根据该特征参数的测试值中的相应的一个测试值来确定；c.确定特征权重，其中，该特征权重指示该系统参数对该特征参数的一系列变化的灵敏度；以及d.输出特征权重。
11.可选地，设备模型中的所述一个设备模型还包括特征参数，该特征参数模拟设备的相应的特征的参数，该方法包括：a.对该特征参数进行一系列改变，使得该特征参数采用特征参数的一系列测试值；b.对系统模型进行操作以确定设备模型中的所述一个设备模型的设备参数的一系列测试值，其中，设备模型中的所述一个设备模型的设备参数的每个测试值根据该特征参数的测试值中的相应的一个测试值确定；c.确定特征权重，其中，该特征权重指示设备模型中的所述一个设备模型的设备参数对该特征参数的一系列变化的灵敏度；以及d.输出特征权重。
12.可选地，每个设备参数模拟飞行器的相应的设备的参数。
13.可选地，输出包括显示。
14.可选地，对设备模型中的每个设备模型执行步骤a至步骤d。
15.可选地，对设备模型中的每个设备模型以一个接一个的方式执行步骤a和步骤b。
16.可选地，步骤a包括同时改变多个设备参数；并且在步骤b中根据多个设备参数的相应的一组测试值确定系统参数的每个测试值。
17.本发明的另一方面提供了一种测试台，该测试台配置成通过根据本发明的第一方面的方法测试系统模型。
附图说明
18.现在将参照附图描述本发明的实施方式，在附图中：
19.图1示出了系统模型；
20.图2示出了结合有图1的系统模型的测试台；
21.图3是示出系统模型的一部分的详细视图；
22.图4示出了测试值曲线；
23.图5是给出根据本发明的第一方法的示例的流程图；
24.图6是给出根据本发明的第二方法的示例的流程图；
25.图7是给出根据本发明的第三方法的示例的流程图；以及
26.图8示出了替代性系统模型。
具体实施方式
27.基于模型的方法可以用于模拟和理解复杂系统的设备与子系统之间的关系，而无需进行大量的真实环境测试。基于模型的方法可以有助于减少所需的测试次数。然而，通常
已知的基于模型的方法并不侧重于提供满足要求的证明，也不侧重于为什么执行某些测试而不是其他测试的理由。这两者都是在受控制环境、比如飞行器中的必需项。
28.图1示出了系统模型10，该系统模型是复杂系统、比如飞行器的模型。复杂系统模型包括多个子模型12a至12e、14、16、18。子模型包括：设备模型12a至12e；子系统的子系统模型、比如航空电子功能模型14、航空电子物理模型16；以及环境模型18。如果开发了更精确的模型来描述特定子模型正在模拟的真实环境设备，或者如果使用了新的设备或子系统(作为试验或永久改变)，则可以替换或互换子模型。
29.每个设备模型12a至12e包括一组特性。该组特性可以由一组设备特征组成，每个设备特征描述物理设备的属性，比如：设备的物理尺寸；设备的物理限制(例如应力，应变等)；设备的零件的制造公差；或者设备如何操作(例如哪些零件移动以及这些零件如何移动)。替代性地，该组特性可以由该物理设备的一组设备要求组成(其可以由人类设计师设置或经由机器学习工具等进行设置)。替代性地，该组特性可以包括一组设备特征和一组设备要求。
30.航空电子功能模型14描述了系统内的任何软件或控制逻辑的行为。航空电子功能模型14可以设置复杂系统的要求和限制，并且定义用户如何可以通过用户输入端20与复杂系统进行交互。例如，可能要求起落架致动器不能在起落架门被关闭的同时操作——这会导致起落架与起落架门相撞。
31.航空电子物理模型16描述了复杂系统的物理相互作用和信号——本质上描述了复杂系统在其上操作的物理硬件。例如，信号的产生不是瞬时的，因此信号可能具有电流瞬态和可限定的传播速度，这可能会影响设备模型12a至12e或其他子模型将如何响应。
32.最后，复杂系统还可以包括通过环境模型18模拟的子系统。环境模型18可以定义复杂模型如何与环境相互作用的物理学。例如，所述物理学可以描述风速和风向对飞行器轮的影响，或者温度对飞行器的液压装置的流体流速的影响。
33.航空电子功能模型14仅与航空电子物理模型16相互作用，并且航空电子物理模型16与设备模型12a至12e相互作用，因为在复杂系统中物理信号与每台设备相互作用。在系统模型10内，在复杂系统中直接耦接的设备模型12a至12e之间、并且也在航空电子物理模型16与可以由航空电子物理模型16所指示的每个设备模型12a至12e之间定义了直接的相互作用。也可以发生双向的相互作用，具体地，也可以在设备模型12a至12e与环境模型18之间发生双向的相互作用。图1示出了仅与五个设备模型12a至12e的所有这些相互作用。
34.重要的是要注意，仅仅因为每个子模型可以被很好地定义和理解，对于整个系统模型10来说很少是这样的。事实上，这种自底向上的知识很少有助于解释子模型之间的相互作用或整个系统模型10的行为。由于安全和性能要求，这使得对系统模型10的任何改变的验证非常耗时且困难，因为系统的一个部分的改变可能会意外地影响系统的另一(看似无关的)部分，从而导致无法满足系统模型10的系统要求，或者导致无法满足航空电子功能模型14的航空电子要求。
35.图2图示了用于测试系统模型10的测试台24。测试台24是用各种软件探头对系统模型10进行测试的环境。测试台24记录并测试系统模型10的子模型之间的关系。
36.测试台24包括多个探头26。探头26对每个设备模型12a至12e和其他子模型14、16、18进行采样以监测任何特定要求或者更广泛的操作要求。为了监测要求，探头26可以测量
符合性状态并且可选地测量符合性指标。符合性状态将监测是否满足要求。符合性指标将监测关于如何满足要求的更详细的信息：例如可能是要求的一定比例的实际性能值。例如，如果要求是“性能应大于90％”，则探头26可以确认是否通过了阈值的90％以及性能的实际水平。这些要求可以由人类或由机器学习工具的输出来设置。每个设备模型12a至12e可以被分配有多个探头26。航空电子功能模型14、环境模型18和航空电子物理模型16也被探测。并非每个要求或设备模型都需要被探测，但是，通常更多的数据会产生更好且更准确的结果。探头26每隔一段时间进行一次采样。
37.除了探头26之外，操作场景的数据库28可以作为输入被供应至航空电子功能模型14(可选地经由系统用户输入端20)并且被供应至环境模型18，然而根据系统模型10，进入其他子模型中的输入也可以被供应。每个操作场景都是操作系统模型10的可能的方法。每个操作场景还可以包括如何使用飞行器的程序的知识，这可以是一系列操作，并且/或者还包括异常事件。例如，一个操作场景可以包括飞行器的标准的起飞和降落的所有步骤。在使用中，每个操作场景可以向用户输入端20发送飞行员在执行该操作场景时可以/将要执行的所有步骤，并且还可以与环境模型18通信以提供该操作场景所必要的环境条件(例如模拟为起飞提供升力的控制表面上的气流)。
38.由于测试台24在一个或更多个操作场景下操作系统模型10，探头26通过测量符合性状态来监测对任何要求的违反。除了简单地监测违反之外，探头26还通过测量符合性指标来监测特定要求的性能值(在适当的情况下)以确定该值与违反相应要求的接近程度。例如，如果要求设备不能在高于100℃的温度下操作，则探头26可以量化设备的温度与要求的温度、比如85℃的接近程度。该性能值要求可以基于要求标准化。符合性指标给出每个设备模型如何相互作用的更多指示，并且可以为在某种操作条件下接近要求的每个设备模型产生警告。这可以给出设备可能需要重新设计或更换的指示。相比之下，二进制验证过程、比如符合性状态只会提供是否达到要求的指示。使用符合性指标来评估要求提供了对设备和子系统的关系以及设备和子系统与操作场景的关系的了解。
39.测试台24还包括验证覆盖系统、比如设备模型调谐器29。设备模型调谐器29可以改变其所连接的设备模型的特性。设备模型调谐器29可以连接至每个设备模型12a至12e或者如图2中所示仅连接至设备模型的子组、例如12a、12b、12d。
40.如前文所提及的，每个设备模型12a至12e定义了复杂系统的物理设备，并且每个物理设备都被制造成某些可接受的公差。典型的设备模型可以定义为理想化的物理设备，该理想化的物理设备具有与每个公差内的中间平均值相匹配的特性。设备模型12a至12e被定义成使得在相应的公差范围内的任何特性值都将通过所有已知的功能要求。然而，来自一个或更多个设备模型12a至12e的特性值的某些组合可能会影响其他设备模型12a至12e的要求，并且导致无法满足要求和/或改变与所述要求相对应的符合性指标。这种影响也可能影响到航空电子功能或系统要求。例如，阀的固有频率的一些组合可以组合成使得航空电子功能模型14经受大幅振荡的传感器数据，从而导致航空电子功能模型14采取错误动作，或者导致系统级性能要求(例如飞行器减速)失败。
41.测试台24操作设备模型调谐器29，以使设备模型12a至12e在其公差范围内的特性变化或改变，以便构建子模型之间和/或子模型的要求之间的关系的数据库和/或可视化结果。这可以通过在运行操作场景并且使用探针26来测量与理想化设备模型特性相比的符合
性状态和符合性指标时一次一个地改变单个设备模型特性以系统的方式来完成。一旦这充分完成，那么测试台24就可以操作设备模型调谐器29以一次两个地改变两个设备特性。这可以在运行操作场景并且使用探头26来测量与理想化的设备模型特性相比的符合性状态和符合性指标时完成。通过改变两个设备特性，可以测试两个特性之间的相互关系。例如，串联的两个阀只有在两个阀都具有特定特性时才可能导致无法满足要求。此过程可以在改变三个、四个、五个或更多个特性的情况下重复。可以完成的测试量的仅有限制是时间和计算能力。应当理解的是，改变最有可能相互影响的相同或直接相关的子系统的设备零件的多个特性是对资源的最有效的利用。然而，该过程将只需要对每个复杂系统执行一次，并且可选地在对复杂系统进行改变后执行。因此，相比于可以投入到单个设备验证检查的资源，明显更多的资源可以被分配至构建准确的数据库/可视化结果。这将导致与改变复杂系统模型相关的所有未来设备验证检查的减少，因为数据库/可视化结果可以用于将验证过程引导至与某些要求有密切联系的特定测试。
42.除了在可接受的公差范围内改变设备模型特性或者作为在可接受的公差范围内改变设备模型特性的替代方案，设备模型调谐器29可以修改一个或更多个设备模型12a至12e以模拟：设备内的部件故障(例如阀中的密封故障)；设备内的部件磨损；已知的轻微制造缺陷；以及甚至整个设备模型的改变(例如将液压致动器改为电动致动器)。
43.通过经由测试台24操作系统模型10，设备和/或要求变化对要求的影响可以经由探头26测量，并且被可视化(例如，使用图表来描述设备模型与要求之间的边缘权重)。这种可视化结果的示例在图3中示出。图3示出了系统要求30以及三个设备模型12a至12c。
44.系统要求30是“失去正常液压动力后，飞行器应在3300m以内停止在跑道上”。因此，系统要求30具有系统参数(停止距离)和系统阈值(3300m)。在下文给出的示例中，系统参数具有3200m的基线值。
45.第一设备模型12a与选择器阀相关，并且包括选择器阀设备要求40、第一选择器阀特征要求41和第二选择器阀特征要求42。
46.选择器阀设备要求40是“选择器阀泄漏量应在1立方厘米/分钟以下”。因此，选择器阀设备要求40具有设备参数(选择器阀泄漏量)和设备阈值(1立方厘米/分钟)。在下文给出的示例中，设备参数被设置为0.9立方厘米/分钟的基线值。
47.第一选择器阀特征要求41是“套筒与阀芯之间的间隙为10微米+/-1微米”。因此，特征要求41具有特征参数(套筒与阀芯之间的间隙)、特征下阈值(9微米)和特征上阈值(11微米)。
48.第二选择器阀特征要求42是“第一级孔口尺寸为15微米+/-2微米”。因此，特征要求42具有特征参数(第一级孔口尺寸)、特征下阈值(13微米)和特征上阈值(17微米)。
49.第二设备模型12b与伺服阀相关，并且包括伺服阀设备要求50、第一选择器阀特征要求51和第二选择器阀特征要求52。
50.伺服阀设备要求50是“伺服阀泄漏量应在300立方厘米/分钟以下”。因此，伺服阀设备要求50具有设备参数(伺服阀泄漏量)和设备阈值(300立方厘米/分钟)。在下文给出的示例中，设备参数被设置为290立方厘米/分钟的基线值。
51.第一伺服阀特征要求51是“套筒与阀芯之间的间隙为10微米+/-1微米”。因此，特征要求51具有特征参数(套筒与阀芯之间的间隙)、特征下阈值(9微米)和特征上阈值(11微
米)。
52.第二伺服阀特征要求52是“第一级孔口尺寸为15微米+/-1微米”。因此，特征要求52具有特征参数(第一级孔口尺寸)、特征下阈值(14微米)和特征上阈值(16微米)。
53.第三设备模型12c与蓄能器(其用作备用电源)相关，并且包括蓄能器设备要求60、第一蓄能器特征要求61和第二蓄能器特征要求62。
54.蓄能器设备要求60是“备用电源应包含6升的在填充时加压至206巴的流体”。因此，蓄能器设备要求60具有设备参数(流体体积)和设备阈值(6升)。在下文给出的示例中，设备参数被设置为6.1升的基线值。
55.第一蓄能器特征要求61是“容器形状包含12.5升的容积”。因此，特征要求61具有特征参数(容器容积)和特征值(12.5升)。
56.第二蓄能器特征要求62是“在没有液压流体的情况下，气体预充压力在20℃+/-0.5℃下为100巴+/-1巴”。因此，特征要求62具有特征参数(气体预充压力)、特征下阈值(99巴)和特征上阈值(101巴)。
57.每个设备参数(选择器阀泄漏量、伺服阀泄漏量或电源容量)都可能对系统参数(飞行器停止距离)产生影响。也就是说，选择器阀泄漏量的变化可能导致飞行器停止距离的变化；伺服阀泄漏量的变化可能导致飞行器停止距离的变化；并且/或者电源容量的变化可能导致飞行器停止距离的变化。
58.下文表1给出了与3200m的基线值相比，设备参数的变化如何影响飞行器停止距离的一些示例。表1还示出了与设备参数的每个值相关的指标。
[0059][0060]
因此，在该示例中，飞行器停止距离对伺服阀泄漏量比对选择器阀泄漏量更灵敏，因此，选择器阀泄漏量增加10％仅导致停止距离增加0.3％，而伺服阀泄漏量增加10％会导致停止距离更高地增加3％。
[0061]
表1包括3200m的基线值的基线指标(3.0％)以及基于所示各种测试值的测试指标。因此例如，3210m的测试值具有2.7％的测试指标，并且3150m的测试值具有4.5％的测试
指标。
[0062]
表1中所示的指标指示停止距离与系统阈值(3300m)的符合性程度。每个指标都是根据系统阈值(3300m)和相应的测试值计算的。在该示例中，3200m的基线值的基线指标计算为(3300-3200)/33＝3.0％，3150m的测试值的测试指标计算为(3300-3150)/33＝4.5％，等等。因此在这种情况下，因为3150m的测试值比3200m的测试值离阈值更远，所以3150m的测试值具有更高的符合性程度，并且因此具有更高的百分比。
[0063]
可以使用计算指标的其他方法——例如，指标可以被表示为阈值的百分比(例如3150/33＝95.45％)或者绝对值(例如3300m-3150m＝150m)而不是百分比。
[0064]
图4在三幅图表上示出了六个数据点101至106。这六个数据点101至106与表1中的测试值相对应。例如，数据点101示出了与伺服阀泄漏量的-10％的变化(即从290立方厘米/分钟的基线值至261立方厘米/分钟的测试值的变化)相关的停止距离的1.5％的变化；数据点104示出了与选择器阀泄漏量的+10％的变化(即从0.9立方厘米/分钟的基线值到0.99立方厘米/分钟的测试值的变化)相关的0.3％的变化；并且数据点105示出了与电源容量的-10％的变化(即从6.1升的基线值到5.49升的测试值的变化)相关的0.15％的变化。
[0065]
通过扫掠每个设备参数的一系列变化，得到图4中所示的曲线111至113。举例来说，示出了九个数据点，在示出的九个数据点中，伺服阀泄漏量在一系列步骤中增加，步骤中的一个步骤是10％的增加，这提供了停止距离的3％的增加，如表1中所指示的以及由数据点102所指示的。
[0066]
伺服阀泄漏量曲线111下方的区域标记为a、b；选择器阀泄漏量曲线112下方的区域标记为c、d；并且蓄能器曲线113下方的区域标记为e、f。
[0067]
这些区域在数学上可以被定义为：
[0068][0069][0070][0071][0072]
其中，maxpos是设备参数的最大正变化，并且maxneg是设备参数的最大负变化。
[0073]
这些区域中的每个区域定义了与模型12a至12c中的一者相关的非标准化设备权重。因此，伺服阀的非标准化设备权重为a+b，选择器阀的非标准化设备权重为c+d，并且电源的非标准化设备权重为e+f。
[0074]
标准化设备权重(new)在数学上可以定义如下：
[0075][0076]
伺服阀模型12a的标准化设备权重(new)为：
[0077]
[0078]
选择器阀模型12b的标准化设备权重(new)为：
[0079][0080]
蓄能器模型12c的标准化设备权重(new)为：
[0081][0082]
举例来说，如果a＝b＝900；c+d＝150；以及e+f＝900，则对于伺服阀模型12a来说，标准化设备权重为46％；对于选择器阀模型12b来说，标准化设备权重为8％；以及对于蓄能器模型12c来说，标准化设备权重为46％。图4的可视化结果包括这些标准化设备权重(new)。
[0083]
在上文的示例中，只有一个设备参数变化，以计算非标准化设备权重，但在替代性实施方式中，两个或更多个设备参数可以同时变化。在改变第一设备参数和第二设备参数的最简单的情况下，这些区域在数学上可以定义为：
[0084][0085]
其中：ep1的％变化是第一设备参数的％变化；ep2的％变化是第二设备参数的％变化；maxpos1是第一设备参数的最大正变化；maxneg1是第一设备参数的最大负变化；maxpos2是第二设备参数的最大正变化；并且maxneg2是第二设备参数的最大负变化。
[0086]
因此，在这些替代性实施方式中，多个设备参数同时被改变；并且系统参数的每个测试值是根据多个设备参数的相应的一组测试值来确定的。
[0087]
在上文的示例中，通过分析与系统要求30相关的系统参数(飞行器停止距离)对于与设备要求40、50、60相关的设备参数(选择器阀泄漏率、伺服阀泄漏率和电源容量)的变化的灵敏度来获得标准化设备权重(new)。相同的原理可以用于通过分析与系统要求30相关的系统参数(飞行器停止距离)对于与特征41、42、51、52、61、62相关的特征参数(阀芯尺寸等)的变化的灵敏度来计算标准化特征权重(nfw)。
[0088]
特征权重在数学上可以定义为：
[0089][0090]
标准化特征权重(nfw)在数学上可以定义为：
[0091][0092]
其中，总权重是所有设备特征的特征权重之和，即：
[0093][0094]
每个特征参数都可能对系统参数(飞行器停止距离)产生影响。例如，与特征41(选择器阀的第一级孔口尺寸)相关的特征参数的变化可能导致飞行器停止距离的变化；与特
征51(伺服阀的第一级孔口尺寸)相关的特征参数的变化可能导致飞行器停止距离的变化，等等。
[0095]
示例性标准化特征权重(nfw)在图3中示出。例如，设备特征41(选择器阀的第一级孔口尺寸)相对于系统要求30(停止距离)具有2％的标准化特征权重(nfw)，并且设备特征51(伺服阀的第一级孔口尺寸)相对于系统要求30(停止距离)具有24％的标准化特征权重(nfw)。
[0096]
在上文的示例中，通过分析系统要求30(飞行器停止距离)对于与特征41、42；51、52；61、62相关的特征参数的变化的灵敏度来获得标准化特征权重(nfw)。相同的原理可以用于通过分析与设备要求40、50、60中的一者相关的设备参数(伺服阀泄漏量、选择器阀泄漏量或蓄能器容积)对于特征参数(例如与图3中所示的特征41、42、51、52、61、62中的任意特征相关的特征参数)的变化的灵敏度来计算相对于设备要求40、50、60的其他标准化特征权重(nfw)。
[0097]
每个特征参数都可能对设备参数(伺服阀泄漏量、选择器阀泄漏量或蓄能器容积)产生影响。例如，与特征41(选择器阀的第一级孔口尺寸)相关的特征参数的变化可能导致与设备要求40(选择器阀泄漏量)相关的设备参数的变化；与特征51(伺服阀的第一级孔口尺寸)相关的特征参数的变化可能导致与设备要求50(伺服阀泄漏量)相关的设备参数的变化，等等。图3中示出了相对于设备要求40、50、60的示例性标准化特征权重(nfw)。例如，特征41(选择器阀的第一级孔口尺寸)相对于设备要求40(选择器阀泄漏量)具有40％的标准化特征权重(nfw)，并且特征51(伺服阀的第一级孔口尺寸)相对于设备要求50(伺服阀泄漏量)具有50％的标准化特征权重(nfw)。
[0098]
在该示例中的测试台24可以按如下方式操作。设备模型调谐器29修改伺服阀的阀芯尺寸，这影响第一伺服阀特征要求51(该特征要求涉及套筒与阀芯之间的间隙)。
[0099]
然后，测试台24被操作成：i)将操作场景输入到系统模型10中；并且，ii)使用探头26来测量符合性状态和符合性指标(满足要求的量的变化，其示出了阀芯的修改与要求之间的相互关系)。可以将结果与符合性状态和符合性指标进行比较。在该示例中的符合性指标的变化示出的是，对阀芯尺寸的修改可以意外地影响系统要求30。
[0100]
因此，当阀芯尺寸的变化发生时，测试台24检查飞行器是否仍能在3300m内停止。换句话说，在阀芯修改造成额外泄漏的情况下，执行测试以检查蓄能器流体体积是否足够。
[0101]
上述方法的益处是，因为不需要重新运行大量不必要的测试，因此减少了验证时间，并且因为不需要针对最坏的情境进行过度设计，因此可以更有效地使用可用的设备。
[0102]
修改对要求的影响可以经由探头26测量并且被可视化(例如，使用图表描述设备与要求之间的边缘加权，或者通过显示如图3中所示的new和/或nfw)。
[0103]
图5是流程图，该流程图给出了用于设备模型12b的46％的标准化设备权重(new)的计算示例。
[0104]
首先，在步骤200中，通过测试台24将系统模型的设备参数、特征参数和任何其他相关的参数设置成相应的基线值。
[0105]
然后，在步骤201中，测试台24操作系统模型10以确定停止距离的基线值。该基线值(在上文的示例中为3200m)是根据设备参数和特征参数以及任何其他相关的参数的基线值确定的。
[0106]
接着，在步骤202处，确定基线指标(在上文的示例中，基线指标为3.0％)。
[0107]
接下来，测试台24对设备模型12a的设备参数(伺服阀泄漏量)进行一系列改变使得设备参数采用一系列测试值；操作系统模型以确定系统参数(停止距离)的一系列测试值；并且确定用于设备参数(伺服阀泄漏量)的每个测试值的测试指标。
[0108]
在该示例中，通过重复步骤203至205产生系列。在步骤203中，通过设备模型调谐器29将设备参数(伺服阀泄漏量)设置成采用该系列中的下一个测试值。在步骤204中，操作探头26以根据设备参数(伺服阀泄漏量)的当前测试值确定系统参数(停止距离)的测试值。在步骤205中，由探头26根据系统阈值(3300m)和系统参数(停止距离)的当前测试值来确定测试指标。测试指标指示系统参数(停止距离)的当前测试值与系统阈值(3300m)的符合性程度。
[0109]
一旦对maxneg与maxpos之间的所有测试值已经重复了步骤303至305，在步骤205中，如上所述，由探头26确定权重。权重指示系统参数(停止距离)对设备参数(伺服阀泄漏量)的一系列变化的灵敏度。
[0110]
最后，在步骤207中，通过探头26输出指标以及权重。输出可以例如呈显示器的形式，或者存储以供以后分析。
[0111]
图5是流程图，该流程图给出了用于设备模型12b的46％的标准化设备权重(new)和指标的计算示例。可以针对系统模型10的一些或所有设备模型一个接一个地执行该过程。替代性地，可以仅针对设备模型中的一个设备模型执行该过程。
[0112]
在图6中示出了类似的过程，以用于产生用于设备模型12c的特征要求61的30％的标准化特征权重(nfw)和指标。在图7中示出了类似的过程，以用于产生用于设备模型12a的特征要求41的2％的标准化特征权重(nfw)和指标。
[0113]
在图8中示出了更复杂的系统模型，该系统模型可以使用上述方法进行测试。图8的系统模型具有五个子模型：模拟制动控制系统的制动控制系统模型130；模拟蓄能器的蓄能器模型64；模拟停车制动阀的停车制动阀模型66；模拟监测软件的监测软件模型68；以及模拟命令软件的命令软件模型70。
[0114]
监测软件模型68和命令软件模型70也可以被定义为制动控制系统模型130的元件，然而，为清楚起见，监测软件模型68和命令软件模型70在该示例中被示出为不同的设备模型。
[0115]
在该示例中，制动控制系统模型130具有三个系统要求：第一系统要求130a，其中，当飞行器在停放时没有动力的情况下，飞行器应针对所有重心位置在质量达最大停机重量时在倾斜达5度的跑道上在风速达100节的情况下保持静止；第二系统要求130b，其中，单个故障不应导致非命令制动；以及第三系统要求130c，其中，单个故障不应导致50％或更多的制动损失。
[0116]
设备要求68a要求的是，监测软件应在制动器处的压力大于40巴并且飞行机组需求小于10巴时检测到非命令制动。
[0117]
设备要求70a要求的是，命令软件应在检测到非命令制动时使主动制动阀分离。
[0118]
设备要求64a要求的是，蓄能器应在被完全填满后消耗10立方厘米流体时输送至少20巴。
[0119]
设备要求66a要求的是，停车制动阀应在移除电源时保持在on位置。
[0120]
停车制动阀模型66还具有用于停车制动阀部件(例如，用于操纵阀芯以启用停车制动器的锁)的特征要求74a。特征要求74a要求的是，锁应以至少10n的力将阀芯保持就位。模型66还包括设计特征74b——在这种情况下，设备的设计特征74b限定了锁的尺寸。
[0121]
在该示例中，设备模型调谐器对设计特征74b(锁的尺寸)进行修改并且测试台被操作成：i)将操作场景输入到复杂系统模型；并且，ii)使用探针测量权重和测试指标。可以将结果与未涉及锁的修改的基线值进行比较。该示例中的变化可能表明，对锁的尺寸进行修改会意外地导致50％或更多的制动损失，从而未达到第三系统要求130c。
[0122]
可以看出的是，锁尺寸的变化对可用力有很大的影响，这可能导致停车制动器的错误行为，最终导致多个制动器的制动损失，并且导致不符合单个故障不应导致50％或更多的制动损失的要求。
[0123]
在不了解相互关系的情况下，可以在不测试停车制动阀和已知要求是否仍满足安全要求的情况下对设备的设计特征74b(锁的尺寸)进行修改。操作设备模型调谐器29以扫过锁的公差可能会表明，在某一时刻通常的制动压力(大约8巴)开始上升，从而降低对当飞行机组需求小于10巴时制动压力不应超过40巴的要求的符合性。如果探头检测到正常制动压力为8巴，但在公差边缘处观察到增加至10巴，则符合性已经从80％降低到75％。这可以用于指示锁的尺寸与看似无关的监测软件要求68a之间的依赖关系。
[0124]
图1或图8的系统模型的指标都可以实时监测。当对设计特征、设备参数或特征参数进行改变时，可以监测与设备要求或特征要求相关的指标的任何变化，即使没有预期到与系统要求相关的指标会受到影响也是如此。
[0125]
在出现“或”字时，这应解释为意味着“和/或”，使得所涉及的项目不一定是相互排斥的，并且可以以任何适当的组合使用。
[0126]
尽管上文已经参照一个或更多个优选实施方式描述了本发明，但应当理解的是，在不脱离所附权利要求中限定的本发明的范围的情况下可以进行各种变型或改型。