4. Stateflow模型的可测试性设计
Stateflow 模型能不能被高效地做 CI 与回归测试，很大程度上不取决于测试脚本写得多好，而取决于模型本身是否“可测试”。可测试性设计要解决的核心问题是：测试用例能否稳定地驱动模型进入目标状态、能否在关键点观察输出、能否把一次执行与预期结果做确定性比对。围绕这个问题，本节从层次结构、并行状态、事件驱动、数据作用域与测试接口五个方面展开，并给出可落地的设计约束。
一、层次结构：决定测试的“可达性”与“可观察性”
Stateflow 的层次结构由父状态、子状态、默认转移、历史节点等构成。层次越深，状态的可达路径越长，测试用例需要施加的输入序列也越长。可测试性设计的第一条原则是：把测试关注点放在边界清晰、职责单一的层次上。例如一个“档位控制”父状态包含 P、R、N、D 四个子状态，若测试只关心“从 P 到 D 是否经过 N”，就应把 N 作为显式中间状态保留，而不是用默认转移直接跳过，否则测试无法在 N 处设置观察点。
历史节点（History Junction）会显著影响回归测试的确定性。带历史节点的父状态在重新进入时会恢复到上次子状态，这使同一输入序列在不同前置历史下产生不同结果。可测试性做法是：对含历史节点的状态，测试用例必须显式声明“进入前历史状态”，或在测试接口中提供复位入口，把历史清空到已知初值。默认转移则应尽量指向确定的目标，避免依赖执行顺序的隐式默认。
二、并行状态：测试组合爆炸的来源
并行（AND）状态意味着多个子状态机同时活跃，其输出是各并行分支的组合。若一个父状态下有 3 个并行分支，每个分支有 4 个状态，理论组合为 4³=64 种，回归测试若穷举将迅速膨胀。可测试性设计不是消除并行，而是降低并行分支之间的耦合：让每个并行分支只依赖自己的局部数据，跨分支通信通过明确的共享数据或事件完成，并在测试接口中暴露每个分支的独立观察量。
实践中建议为每个并行分支定义独立的输出信号或观测变量，使测试可以“逐分支断言”，而不是只能对组合输出做整体比对。当某分支的输出不影响其他分支时，测试可用等价类方法只覆盖该分支的关键状态，而不必与其他分支做笛卡尔积。
三、事件驱动：让测试输入可确定、可复现
Stateflow 的转移多由事件触发。事件分为输入事件、本地事件、广播事件等。事件驱动模型的可测试性关键在于：事件的发生时刻与顺序必须可控。若模型依赖“某事件在若干步后自动广播”，测试就难以精确对齐。建议把外部激励统一为输入事件，由测试用例按步施加；本地事件仅用于同一时刻的内部联动，且其广播不应跨越测试观察边界。
另一个常见问题是事件与数据的竞争：同一仿真步内既有数据更新又有事件触发，执行顺序会影响结果。可测试性设计应明确“先更新数据、后处理事件”或反之，并在测试接口中固定该顺序，使回归结果可复现。
四、数据作用域：决定测试能否“注入”和“读取”
Stateflow 数据作用域包括 Input、Output、Local、Parameter、Data Store Memory 等。作用域直接决定测试接口的形态：Input 可由测试直接驱动，Output 可被测试直接读取，Local 只能在模型内部使用，Parameter 在仿真中通常只读。可测试性设计的原则是：凡是测试需要驱动或观察的量，都应落在 Input/Output 或可访问的 Data Store 上；纯内部中间量保持 Local，避免污染接口。
Data Store Memory 是跨状态、跨图共享数据的常用手段，但它也是测试隔离的难点：多个测试用例若共享同一 Data Store，前一个用例的残留值会影响后一个。可测试性做法是为每个测试用例提供初始化入口，在用例开始时把 Data Store 复位到约定初值，并在用例结束时校验其是否回到预期范围。
五、测试接口：把“可测试”落到可调用的边界上
测试接口是模型对外暴露的、供 CI 与回归测试使用的稳定边界。它通常包括：输入端口/输入事件、输出端口/观测信号、复位与初始化入口、模式选择（如正常/测试模式）、以及必要的探针点。设计时应遵循“接口稳定、内部自由”的原则：内部层次与并行结构可以重构，但只要测试接口不变，回归用例就无需大改。
下面这张图给出一个可测试性设计的结构关系：左侧是测试激励与接口，中间是 Stateflow 层次与并行结构，右侧是观测与断言。图中标注了数据作用域与事件路径，便于对照理解“哪些量可注入、哪些量可观察”。
六、把设计约束落到测试用例上
可测试性设计最终要能支撑回归测试的稳定执行。下面给出一份可直接参考的测试接口与用例设计清单，字段围绕 Stateflow 模型本身，不引入无关管理项。
| 设计项 | 可测试性要求 | 测试用例中的体现 |
|---|---|---|
| 层次结构 | 关键中间状态显式保留，默认转移目标确定 | 用例中显式经过 N 状态，断言 P→N→D 路径 |
| 历史节点 | 提供复位入口，进入前历史状态可声明 | 用例开始调用复位，再施加进入事件 |
| 并行分支 | 分支间低耦合，各分支有独立观测 | 逐分支断言，不穷举组合 |
| 事件驱动 | 外部激励统一为输入事件，顺序固定 | 按步施加事件序列，记录每步输出 |
| 数据作用域 | 需驱动/观察的量落在 Input/Output | Input 注入，Output 读取，Local 不直接访问 |
| Data Store | 用例前复位，用例后校验范围 | 初始化入口置初值，结束断言无残留 |
| 测试接口 | 接口稳定，内部可重构 | 回归用例只依赖接口，不依赖内部层次 |
综上，Stateflow 的可测试性设计不是测试阶段的补救，而是建模阶段就要做出的结构决策：层次上保留可达路径与复位入口，并行上降低分支耦合，事件上固定激励顺序，数据上明确作用域边界，接口上保持稳定。做到这五点，CI 与回归测试才能以较低成本持续运行，并在模型重构时保持用例的有效性。