1. 课程导入与航天器V&V策划总览
航天器一旦发射，几乎无法像地面设备那样返厂维修。一个未被发现的接口定义错误、一次未覆盖的热真空工况、一段未验证的故障保护逻辑，都可能演变为整星失效。因此，航天器系统工程从一开始就把"证明它是对的"作为与"把它做出来"同等重要的任务，这就是验证与确认（Verification and Validation，简称V&V）存在的根本理由。
验证与确认：两个必须分清的概念
验证（Verification）回答的问题是："我们是否正确地建造了产品？"它关注的是产品与既定需求的符合性——需求说太阳翼输出功率不低于1200W，那么实测是否达到；需求说星务计算机在单粒子翻转后100ms内完成复位，那么测试是否满足。验证的对象是"需求到实现的映射"，依据是设计输入文件、接口控制文件、技术指标。
确认（Validation）回答的问题是："我们是否建造了正确的产品？"它关注的是产品在真实任务环境下能否完成用户真正想要的功能——卫星在轨能否按预期成像、通信、定轨，用户拿到的数据产品是否可用。确认的对象是"需求本身的正确性与完整性"，依据是任务书、用户需求、飞行任务剖面。
二者的联系在于：验证是确认的基础，确认是验证的归宿。没有充分的验证，确认就失去可信的实物支撑；没有确认，验证可能只是"精确地满足了一堆错误的需求"。在工程实践中，验证偏"符合性、可测量、逐条闭环"，确认偏"任务适用性、端到端、场景驱动"。
V&V在航天器系统工程中的位置
航天器研制通常遵循"任务分析—需求分解—设计—制造—集成—测试—发射—在轨运行"的主线。V&V不是这条主线末端的一道工序，而是与设计并行、贯穿始终的闭环活动。需求一旦确定，验证方法、验证层级、验证时机就应同步规划；设计一旦冻结，验证矩阵就应可追溯地覆盖每一条需求。
从层级上看，V&V覆盖部件级、分系统级、整星级、系统级（含地面段、测控段、运载接口）乃至在轨运行级。低层级验证为高层级验证提供信心，高层级验证暴露低层级无法发现的接口与耦合问题。典型的"验证金字塔"是：底部大量部件级试验，中部适量分系统级试验，顶部少量整星级试验与在轨确认。
策划的输入与输出
V&V策划不是凭空写一份计划，它的输入必须明确、可追溯。核心输入包括：任务书与用户需求（决定"确认什么"）、系统需求规格书（决定"验证什么"）、接口控制文件（决定"接口怎么验"）、飞行任务剖面（决定"在什么场景下验"）、约束与资源条件（决定"能验到什么程度"）、历史型号经验数据（决定"哪些坑要提前防"）。
策划的输出则是一套可执行的V&V体系，至少包含：V&V总计划（策略、组织、职责、里程碑）、验证矩阵与需求追溯表（每条需求对应验证方法、层级、阶段、判据、责任人）、试验大纲与细则、测试用例与判据、资源与进度计划、确认与在轨验证方案。这些输出不是一次性文档，而是随设计迭代持续更新的活文件。
全生命周期框架
从时间维度看，V&V贯穿方案阶段、初样阶段、正样阶段、发射前、在轨运行五个主要阶段。方案阶段重点是需求可验证性分析与验证策略制定；初样阶段以电性、结构、热控等专项试验为主，暴露设计缺陷；正样阶段进行整星环境试验与接口匹配试验；发射前完成最终状态确认与发射场测试；在轨阶段通过遥测数据与任务执行结果完成最终确认。
一个常见的误区是把V&V等同于"最后测一遍"。实际上，越早介入V&V，纠错成本越低。需求阶段发现一条不可验证的需求，修改成本可能只是一次评审；正样阶段才发现，可能意味着重新设计、重新投产、重新试验，代价呈数量级上升。