2. 验证与交付的输入输出体系
卫星任务设计结果要进入验证与交付环节，首先必须回答一个基础问题：验证的输入到底是什么，交付的输出又是什么。如果输入只是一堆零散的文档和模型文件，验证人员无法判断“验证对象是否完整”；如果输出只是若干份报告，交付方也无法证明“需求已被逐条覆盖”。因此，本节把验证与交付看作一个受控的数据转换过程：一组形式化、可追溯的输入制品，经过验证活动，转化为一组可交付、可验收的输出制品。
一、五类核心输入制品
任务设计结果通常以五种形态存在，它们分别承担不同的验证职责：
- 任务设计结果的形式化描述：把轨道、姿态、能源、热控、测控等设计结论写成机器可解析的结构化表达，例如轨道六根数、姿态指向四元数、功率平衡表、测控可见性窗口表。它是验证的“被检对象本体”，而不是叙述性说明。
- 接口数据包（ICD）：定义星上各分系统之间、星地之间的数据格式、时序、协议、电气与机械接口。验证时用于检查接口一致性，例如遥测帧长度、指令码、总线周期是否与设计一致。
- 仿真模型：包括轨道动力学模型、姿态控制模型、电源与热模型、通信链路模型等。它是验证的“可执行代理”，用于在实物不可用或成本过高时复现设计行为。
- 分析报告：记录设计计算过程、假设、边界条件与结论，例如覆盖分析报告、链路预算报告、构型干涉分析报告。它提供验证的“推理依据”。
- 需求基线：经评审冻结的需求集合，带唯一标识、版本和追溯关系。它是验证的“判据来源”，所有验证项都必须能追溯到某条基线需求。
这五类输入不是并列关系，而是有层次的：需求基线定义“应该做到什么”，形式化描述和仿真模型表达“设计成了什么”，接口数据包约束“怎么连接”，分析报告解释“为什么成立”。验证活动本质上是在这四者之间建立一致性证据。
二、输入到输出的对应关系
验证与交付的输出并非简单的一份总报告，而是与输入一一对应的证据链。常见的输出制品包括：
- 验证项清单与验证矩阵：每条需求对应一个或多个验证方法（分析、仿真、测试、检查），并记录验证状态。
- 验证结果记录：仿真日志、测试原始数据、分析复算结果，带时间戳、版本号和执行环境。
- 偏差与问题报告：记录未通过项、偏差原因、影响范围和处理结论。
- 交付基线包：冻结后的设计描述、ICD、模型、报告和验证证据的集合，带版本和校验信息。
- 验收结论：对需求基线覆盖情况的最终判定，明确哪些需求已满足、哪些带偏离接受。
对应关系的核心是双向追溯：从需求基线出发，能找到对应的设计描述、模型、接口和验证证据；从任一验证结果出发，也能回溯到它覆盖的需求条目。缺少任一方向，交付就存在“验证盲区”或“证据悬空”。
三、一个可操作的追溯示例
假设需求基线中有一条：REQ-PWR-012：在光照期，电源分系统应保证母线电压不低于 28.0 V，持续供电能力不小于 1200 W。
对应的输入制品为：形式化描述中的功率平衡表（含光照/阴影期负载剖面）、电源仿真模型、链路与能源分析报告、电源分系统 ICD。验证时，用仿真模型在给定轨道和负载剖面下运行，输出母线电压曲线和功率余量曲线；分析报告给出最坏工况下的计算过程；ICD 确认母线电压采样接口的量程和精度满足测量要求。验证输出则包括：仿真日志、电压曲线数据文件、覆盖该需求的验证项记录、以及结论“满足，余量 8.3%”。
这个例子说明，一条需求的验证不是“跑一次仿真”就结束，而是要把形式化描述、模型、报告、接口四类输入同时纳入证据链，缺一不可。
四、输入输出体系的整体关系
下图给出五类输入制品与验证交付输出之间的对应关系。图中左侧为输入，右侧为输出，中间是验证活动；箭头表示追溯与证据流向，而不是简单的先后顺序。
五、交付前的输入输出一致性检查
在正式交付前，建议按以下顺序做一次输入输出一致性检查，而不是直接打包发送：
- 需求覆盖检查：遍历需求基线，确认每条需求至少有一个验证项，且验证方法合理。对“仅分析验证”的高风险需求，应补充仿真或测试证据。
- 版本一致性检查：确认形式化描述、ICD、仿真模型、分析报告引用的需求基线版本一致，避免“用旧模型验证新需求”。
- 接口闭合检查：ICD 中定义的每个接口，在形式化描述和仿真模型中都有对应实现或建模，不存在“接口悬空”。
- 证据完整性检查：每条验证结果记录应包含执行时间、执行环境、输入版本、输出数据和判定结论，缺一不可。
- 偏差闭环检查：所有未通过项都应有偏差报告，并明确处理方式（修改设计、调整需求、偏离接受），不能只记录不闭环。
六、常见问题与判断依据
实际工作中，输入输出体系最容易出现三类问题。第一类是形式化描述不完整，例如只有轨道参数没有姿态指向，导致仿真模型无法复现设计状态；判断依据是“模型输入是否全部来自形式化描述”。第二类是ICD 与模型脱节，例如 ICD 定义了总线周期 100 ms，但仿真模型按 200 ms 运行；判断依据是“接口参数是否在模型中有对应配置”。第三类是验证证据无法追溯，例如报告只写“满足要求”但没有数据文件和版本号；判断依据是“能否从结论反查到原始数据”。
把输入输出体系建立清楚，验证与交付就不再是“补材料”，而是设计结果的自然延伸：设计时按形式化、接口、模型、报告、基线五类制品组织输出，验证时按需求逐条建立证据，交付时按基线包整体冻结。这样既保证了验证的完整性，也让交付物具备可审查、可复现、可验收的基础。