4. 验证总体方案设计

边界工况验证的成败，往往在方案设计阶段就已决定大半。所谓验证总体方案，是把“要验证什么、用什么手段验证、验证到什么程度、结果如何判定、证据如何追溯”这五件事一次性说清楚，并形成一份可执行、可审查、可追溯的验证计划框架。它上承任务书与指标分解，下接具体试验与仿真执行，是连接需求与证据的中枢。

一、验证策略的选择逻辑

验证策略的核心是回答“用哪种手段获得可信证据”。工程上常用的手段包括：纯数学仿真、半物理仿真（含硬件在环）、地面物理试验、外场试验、在轨飞行验证。选择时通常从三个维度权衡：物理保真度（是否包含真实敏感器、执行机构、动力学环境）、覆盖能力（能否遍历边界工况）、成本与周期。

一个实用的判断原则是：越靠近边界的工况，越需要高保真手段兜底；越远离边界的工况，越可以用仿真大范围扫描。例如，验证姿控系统在正常姿态机动下的稳定性，纯数字仿真即可覆盖大量参数组合；而验证“单推力器故障 + 大角速度 + 敏感器饱和”这类复合边界，则必须用半物理仿真或物理试验，因为故障注入的真实时序和饱和非线性很难在纯数字模型中完全复现。

策略选择还应明确“验证层级”。通常分为三级：部件级（单机性能与接口）、分系统级（GNC 闭环功能与性能）、系统级（全航天器在真实任务剖面下的表现）。层级越高，边界工况的耦合越强，越需要高保真手段；层级越低，越适合用仿真和自动化测试快速迭代。

二、试验矩阵设计

试验矩阵是把“边界工况”转化为“可执行验证项”的桥梁。它的基本结构是：行代表工况，列代表验证手段与判据。设计时先做边界识别，再做组合裁剪，最后做优先级排序。

边界识别可从四个来源入手：指标边界（如最大角速度、最小控制精度）、环境边界（如高低温、振动、真空）、故障边界（如单机失效、通信中断）、任务边界（如快速机动、长期对地定向）。识别出的边界工况往往数量庞大，必须裁剪。裁剪原则是：保留对任务成败影响最大的组合，合并物理机理相同、仅参数不同的工况。

下面给出一个简化的试验矩阵示例，用于说明字段与组织方式。表中参数为教学示例，实际项目需根据任务书重新确定。

矩阵设计完成后，应检查覆盖完整性：每个关键指标是否至少有一条验证项？每个高风险故障模式是否被覆盖？如果发现缺口，需要补充工况或调整手段。

三、仿真与试验的层次关系

仿真与试验不是并列关系，而是递进与互补关系。合理的层次是：先用数字仿真做广域扫描，识别出敏感参数和危险区域；再用半物理仿真对关键边界做闭环验证，引入真实硬件和故障注入；最后用物理试验或飞行试验对最高风险项做最终确认。每一层的结果都应反馈修正上一层模型，形成“仿真指导试验、试验修正仿真”的迭代。

这种层次关系可以用下面的信号链与数据流图表示。图中展示了从需求到证据的传递路径，以及仿真与试验之间的双向修正关系。

四、可追溯验证计划框架的落地

可追溯性是验证计划框架的灵魂。没有追溯，验证就变成一堆孤立的数据，无法回答“这个指标到底验没验、用什么验的、结果在哪”。落地时建议抓住三条主线：

• 需求追溯线：从任务书指标出发，逐级分解到分系统、部件，每个指标对应至少一个验证项，每个验证项标注需求编号。
• 证据追溯线：每个验证项产生一份证据包，包含原始数据、处理脚本、判据对比、结论。证据包与验证项编号一一对应。
• 变更追溯线：设计变更后，自动识别受影响的验证项，标记为“待重验”，避免用旧证据覆盖新状态。

在实际操作中，可以用一张追溯矩阵表来承载这三条线。矩阵的行是需求编号，列是验证项编号，交叉格填写验证状态（未开始 / 进行中 / 通过 / 不通过 / 待重验）。每周评审时只看矩阵中的“不通过”和“待重验”项，就能快速掌握验证风险。

五、方案评审的检查要点

验证总体方案完成后，应组织一次专项评审。评审不是走过场，重点检查以下问题：边界工况识别是否遗漏了关键故障模式？试验矩阵中高风险项是否都有高保真手段覆盖？仿真与试验的层次是否清晰、接口是否明确？追溯矩阵是否完整、编号是否唯一？资源与进度是否匹配？

如果评审中发现某个高风险边界工况既没有仿真覆盖、也没有试验安排，这就是方案级缺陷，必须回到策略选择环节重新分配手段。如果发现追溯矩阵中存在“孤儿验证项”（没有对应需求）或“孤儿需求”（没有验证项），也需要在评审中闭环。

最后，验证总体方案不是一次成型的文档，而是随设计成熟度逐步细化的活框架。初样阶段可以粗到“分系统级 + 主要边界”，正样阶段必须细到“部件级 + 全部关键边界 + 明确判据”。保持框架的稳定性和内容的可迭代性，才能在边界工况验证中真正做到“验有所依、据可追溯”。