今天介绍一项有趣的建模仿真的研究。

说它有趣，是因为这个研究横跨了建模仿真、军用软硬件敏捷和系统工程多个领域。

这项研究的大意是，通过MBSE工具建立卫星开发过程的模型（瀑布和敏捷两种开发方式），然后通过蒙特卡洛仿真，量化估算出两种开发方式的成本和进度。

根据对瀑布和敏捷两种方式的成本和进度仿真结果对比，这项研究得出了如下结论——在交付大规模安全关键的网络物理系统（如卫星）时，敏捷开发方式在时间和成本上的表现，优于NASA系统工程手册上的瀑布开发方式。

除了通过建模仿真给出了上述结论，这项研究还详细介绍了卫星开发的规模化敏捷+持续保障的敏捷开发方法论。所以还是值得一读的——因为规模化敏捷框架，以及CAP持续保障插件中的大部分（如BDD、CI/CD、混沌工程、ATDD、待办事项backlog、完成的定义等），都来自软件工程和敏捷社区；用敏捷开发方式开发的卫星，可以看做是软件定义卫星。

1. 研究内容

1.1 研究动机

在航天领域，卫星开发面临着多方面的需求，包括复杂的技术要求、严格的法规和安全标准，以及长项目周期。

这些因素导致卫星开发面临巨大的挑战。NASA系统工程手册中传统的瀑布开发方式，已经无法克服这些挑战。

因此，研究者们开始探索将敏捷方法应用于大规模、安全关键的网络物理系统（如卫星）的可能性，以解决传统的瀑布开发方式存在的诸多问题。

敏捷方法能够适应需求变化、加快交付周期、降低成本，并管理日益增加的复杂性。

1.2 研究目标

这项研究通过建模（LML 生命周期建模语言）和仿真（蒙特卡洛仿真），量化分析瀑布开发和敏捷开发在开发大规模、安全关键的网络物理系统（如卫星）时的成本和时间进度表现。

同时还特别关注如何通过特定的适应性调整，使其在满足法规和安全标准的同时，提高开发速度和灵活性。

2. 相关知识

这项研究基于Innoslate MBSE工具，使用 LML 建模语言对瀑布开发流程和敏捷开发流程进行建模。

然后再用 Innoslate 内置的蒙特卡洛仿真器，用三角分布来模拟开发流程各阶段的时间的不确定性。

蒙特卡洛仿真器可以直接读取LML建模的项目开发流程各阶段的信息，然后运行蒙特卡洛仿真，生成仿真结果。

所以我们需要先来了解这几个东西：

LML 建模语言

Innoslate 的流程建模功能

Innoslate 的蒙特卡洛仿真器

三角分布

2.1 生命周期语言（LML）

LML（生命周期建模语言）是 SPEC Innovations 公司为系统工程师设计的开放标准建模语言 ，用来捕获、连接、沟通整个系统生命周期的各种信息。

LML 建模语言支持系统的全生命周期，覆盖概念、利用、支持和退役四个阶段，并把项目管理、系统工程、验证确认（V&V）、部署、维护等所有学科统一到同一框架中。

那为什么创建 LML 建模语言呢？不是已经有SysML和UML建模语言了么？

LML 建模语言的创建者，给出的理由是现有建模语言存在多种局限性：

UML和SysML的不足：UML和SysML虽然在软件和系统工程领域广泛应用，但它们主要面向对象建模，对于非软件工程师、测试人员、运维人员等其他系统生命周期参与者来说难以理解。这些语言缺乏对系统全生命周期（从概念到退役）的全面支持。

跨学科沟通困难：在复杂的系统工程中，不同学科背景的人员（如电气工程师、机械工程师、项目经理等）需要一种通用语言来沟通系统需求、设计和验证。现有的建模语言往往无法满足这种跨学科的需求。

系统工程的复杂性：现代系统工程涉及多个阶段（概念、设计、开发、测试、部署、维护、退役）和多种利益相关者（如客户、开发者、测试人员、运维人员）。传统的文档驱动方法难以有效管理这种复杂性，而基于模型的系统工程（MBSE）需要一种能够全面捕捉系统信息的语言。

LML 建模语言的设计目标：

全生命周期支持：支持系统的全生命周期，包括概念、开发、使用、支持和退役阶段。它整合了所有生命周期学科（如项目管理、系统设计、验证与验证、部署和维护）。

简单易用：提供一种简单、直观的语言，能够被不同背景的人员理解和使用。它避免了复杂的符号和术语，而是采用直观的图表和逻辑结构。

与其他语言的互操作性：可以轻松转换为其他建模语言（如BPMN、UML、SysML等），从而支持不同工具和平台之间的数据共享和互操作性。

动态仿真能力：支持动态仿真，允许在设计阶段对系统行为进行验证和优化，从而减少开发成本和风险。

LML 的核心工件

LML将实体分为12个主要类别（下图），包括：

文档实体：如Artifact、Statement、Requirement

功能模型实体：如Action、Input/Output

物理模型实体：如Asset、Resource、Connection

参数和项目实体：如Characteristic、Cost、Decision、Location、Risk、Time

通过这些类别，LML提供了一个简单但完整的框架来描述任何系统。

SPEC Innovations 公司的 Innoslate® 建模软件将 LML 作为底层模型实现，提供时间线图、甘特图、资源图、风险图等多种视图，所有图形均直接读取 LML 实体和关系，无需手动同步。

在 Innoslate 中使用 LML 的典型流程

创建实体：在模型编辑器中添加 Action、Requirement、Asset 等。

定义属性：为每个实体填写属性值（如持续时间、成本、风险概率）。

建立关系：使用拖拽或右键菜单创建 “satisfied‑by”、 “traced‑to” 等关系，并在需要时为关系添加属性（如触发条件）。

选择视图：切换到时间线图、甘特图或自定义报表，系统自动从 LML 数据生成可视化。

导出/共享：模型可导出为 LML XML、CSV 或 PDF，亦可通过 REST API 与其他工具同步。

2.2 Innoslate 建模工具

在Innoslate中创建项目流程模型（如系统建模、需求分析等）主要通过其内置的MBSE功能实现。

下面是概要的操作步骤：

创建新项目

进入流程建模界面

使用活动图构建流程

补充模型元素

关联需求与文档

下面两个图分别为这个研究的瀑布开发方式（基于NASA系统工程手册中的过程模型）和敏捷开发方式（基于规模化敏捷）的项目流程模型：

2.3 Innoslate 蒙特卡洛仿真工具

创建好流程模型后，就可以用 Innoslate 内置的仿真子系统进行仿真。

仿真子系统支持离散事件仿真和蒙特卡洛仿真两种仿真方式。

Innoslate 在其仿真子系统中提供了专门的 Monte Carlo Simulator（下图）。

Monte Carlo Simulator 是一套集成在系统模型内部的统计仿真工具，能够在同一平台上对系统的成本、进度、资源、性能等关键属性在不确定性下进行统计分析。

通过定义概率分布、设置样本数、运行仿真并查看直观的图表与统计报告，用户可以快速获得系统行为的概率分布、识别风险关键因素，并据此进行项目决策与优化。

这个蒙特卡洛仿真器与 Innoslate 的系统模型保持实时同步，能够直接读取模型中已定义的概率分布、约束和逻辑关系，避免了使用外部仿真工具时常见的模型不一致问题。

整个仿真过程与模型保持实时同步，避免了外部仿真工具常见的模型不一致问题，是 MBSE 环境中进行分析评估的高效手段。

用蒙特卡洛仿真器进行蒙特卡洛仿真的操作步骤如下：

1. 准备模型并定义不确定性

在 Innoslate 中使用 LML 或 SysML 完成系统结构、需求、资源等建模。

对需要进行随机抽样的属性（如任务持续时间、部件成本、故障率等）设置概率分布（正态、均匀、三角分布等），并在属性面板中勾选 “随机变量”。

2. 打开 Monte Carlo Simulator

在左侧导航栏选择 Simulators → Monte Carlo Simulator（或在模型视图右键 → “Run Monte Carlo”）。界面会显示当前模型的概览以及可配置的仿真参数。

3. 设置仿真参数

运行次数‍：设定要生成的随机样本数量（常用 1 000 ~ 10 000 次，取决于模型规模与所需精度）。

输出变量：勾选希望记录的关键指标，如总成本、完工时间、资源利用率、关键路径任务等。

随机种子（可选）：为保证可重复性，可手动指定种子值。

4. 执行仿真

点击 “Run” 按钮，系统会在后台并行生成随机实例并运行离散事件模型。进度条会实时显示已完成的样本比例。

5. 查看与分析结果

图形视图：左侧状态栏显示仿真进度；中部的时间条形图展示不同时间段的资源分配；下方的资源条形图显示各资源的使用情况；右侧柱状图提供关键指标的分布概览。

统计报告：点击 “Report” 可生成包含均值、标准差、置信区间、直方图等的完整报告。

6. 导出与共享

结果表格、图形和报告均可导出为 CSV、Excel、PDF 或 HTML格式。

7. 迭代改进

根据仿真结果，调整模型中的概率分布、资源配置或工序顺序，重新运行 Monte Carlo Simulator，形成闭环的评估与决策优化过程。

2.4 三角分布在蒙特卡洛仿真中的应用

三角分布是一种连续概率分布，其概率密度函数（PDF）呈三角形，由三个关键参数定义：

最小值（a）：可能的最小值。

最可能值（b）（众数）：分布的最高点。

最大值（c）：可能的最大值。

三角分布通过整合最小值、最可能值和最大值，为蒙特卡洛仿真提供了一种灵活且直观的建模工具，尤其适合数据稀缺但需体现不确定性的场景。其简单性和计算效率使其在项目管理、风险评估等领域广泛应用。

三角分布的适用场景

当历史数据不足，但专家能提供最小、最可能、最大值时，三角分布提供了一种简单且合理的模型。例如项目工期估计（最短3天，最长10天，最可能6天）。

优势：比均匀分布更贴近现实（考虑了最可能值）。计算高效，适合大规模仿真。

局限性：若真实分布复杂（如多峰），三角分布可能过于简化。

蒙特卡洛仿真估算项目时间进度的步骤的示例：

对项目的每个阶段，用三角分布生成随机成本和时间值。

累加所有阶段的时间，得到单次仿真的总成本和时间。

重复1万次，生成总时间进度的概率分布。

3. 卫星开发任务说明

为了对瀑布开发方式和敏捷开发方式进行建模仿真，这项研究创建了一个虚构的卫星系统的开发任务。

3.1 卫星系统总体背景和开发目标

这部分主要描述了卫星系统的总体背景和开发目标，包括卫星的任务、设计目标、关键特性以及它所处的运行环境。

1. 卫星任务目标

卫星的主要任务是提供高分辨率地球成像和气象监测能力，支持环境监测、灾害响应、资源管理和气象观测。

卫星的设计目标是实现快速的重访时间和全球覆盖，确保能够频繁地获取地球表面的图像和气象数据。

2. 卫星特性

发射质量：卫星的发射质量为 250 kg。

功率需求：卫星配备 1 kW 太阳能阵列，用于支持其操作所需的电力。

通信能力：卫星支持 S 波段（125 Kbps 上行，2 Mbps 下行）和 X 波段（650 Mbps 下行）通信，用于高效的数据传输。

轨道类型：卫星运行在 低地球轨道（LEO），优化其轨道特性以实现频繁的重访时间和连续的全球覆盖。

3. 卫星运行环境

卫星运行在LEO低地球轨道，轨道高度在 400 km 至 1200 km 之间。

卫星需要在极端的太空环境中运行，包括高辐射、温度变化和微小流星撞击等。

3.2 卫星子系统分解

下表为根据MOSA原则，对各个子系统及其功能进行划分。

这些子系统是卫星正常运行的基础，每个子系统都承担着特定的任务，并且相互协作以实现卫星的整体功能。

3.3 对两种开发方式的假设

说明：

工作流：瀑布开发方式采用线性阶段门流程，而敏捷开发方式采用迭代和增量式开发，结合了持续保障插件（CAP）以确保安全和合规。

规划：瀑布开发方式在项目开始前定义完整的集成主计划，而敏捷开发方式采用SAFe规模化敏捷中的多年路线图，按季度分解为增量，并进一步分解为2周一次的 Scrum 冲刺。

材料/组件：两种开发方式都假设所有材料和组件从项目开始就可用，不会导致延误。

劳动力可用性：两种开发方式都假设技能型劳动力可用。

CI/CD 流水线：敏捷开发方式提供持续集成和持续交付（CI/CD）流水线，支持硬件在环（HIL）和软件在环（SIL）测试，而瀑布开发方式没有这一特性。

集成/测试：两种开发方式都假设测试环境随时可用。

监管合规和安全：瀑布开发方式在阶段门进行验证，而敏捷开发方式在每个冲刺和增量中自动持续验证。

材料成本：两种开发方式的材料成本均为固定 500 万美元。

人力成本：两种开发方式的每小时人力成本均为 120 美元。

4. 瀑布vs敏捷两种卫星开发方法

4.1 瀑布开发方式说明

瀑布开发方式是一种传统的、线性的开发方法，将项目开发过程划分为多个阶段，每个阶段依次进行，前一个阶段的输出是后一个阶段的输入。

卫星瀑布开发方式遵循 NASA 的系统工程手册，分为以下阶段：

Phase A：概念和需求开发：确定任务概念，评估可行性，识别关键技术需求。这一阶段的输出是概念研究报告和初步需求。

Phase B：初步设计和技术成熟：进行系统设计的初步规划，完成风险分析，成熟关键技术。输出包括初步设计评审（PDR）结果和成熟的需求。

Phase C：详细设计和制造：完成系统详细设计，开始制造组件。进行关键设计评审（CDR），确保设计满足所有任务需求。

Phase D：总装、集成和测试：将各个子系统组装起来，进行综合测试，确保系统满足任务要求，为发射做好准备。

下图为用 LML 建模的瀑布开发方式的各个阶段的流程模型。

4.2 瀑布开发方式的时间和成本估算

瀑布开发方式的成本和时间估算方法，分别基于 NASA 的系统工程手册和成本估算指南（2015 年版），结合开发团队的经验和历史数据。

时间进度估算方法

仿真工具：在 Innoslate 蒙特卡洛仿真器上进行了蒙特卡洛仿真。

输入参数：专家修正过的每个阶段（阶段A到阶段D）的最短时间、最可能时间和最长时间。

迭代次数：进行多次（如 1000 次）随机抽样，每次抽样生成一个可能的开发路径。

输出结果：计算每次迭代的总持续时间，最终得到平均值和标准差。

成本估算方法

材料成本：

假设所有材料和组件从项目开始就可用，不会导致延误。

材料成本固定为 500 万美元。

人力成本：

根据每个阶段任务所需的人力资源和持续时间估算。

根据假设，每小时人力成本为120美元。

通过工作分解结构（WBS）将项目分解为更小的子系统和任务，分别估算每个部分的成本，然后汇总。

4.3 敏捷开发方式说明

敏捷开发方式是一种迭代、增量的开发方法，强调快速响应变化、持续交付价值和团队协作。

在大型复杂组织中，主流的敏捷方法是规模化敏捷（SAFe）。

对于网络物理系统来说，主要遵循《Industrial DevOps》一书中的九大原则（下图）。

这九大原则是诺格和洛马的军用软硬件敏捷专家，以规模化敏捷（SAFe）为核心，结合网络物理系统的相关特性总结出来的。

下面以卫星开发为例，说明这九个敏捷原则。

第一个原则是价值流动的组织。根据卫星开发的价值流，组织分层的交付团队。

第二个原则是多个时间尺度的敏捷规划。

第三个原则是数据驱动的决策。

第四个原则是考虑变化和速度的架构设计。

第五个原则是管理队列，创造价值的无缝流动。

第六个原则是建立多个MVP和NVP时间点上不同卫星子系统交付团队的节奏，并确保它们之间的同步。

第七个原则是卫星的不同子系统之间要尽早集成、经常集成。

第八个原则是测试左移。

第九个原则是成长心态。

按照敏捷开发最佳实践，敏捷开发过程可分为多个最小可行产品（MVP）和下一个可行产品（NVP），每个 MVP/NVP 都是一个完整的开发周期，包括需求分析、设计、开发、测试和交付。

MVP 1：基础结构和电源系统：建立卫星的基本框架和电源系统，确保卫星能够正常运行。

NVP 2：命令与数据处理：开发卫星的中央处理和数据管理系统，确保卫星能够接收和执行命令。

NVP 3：姿态确定与控制：实现卫星的姿态控制，确保卫星能够精确指向目标。

NVP 4：推进系统：开发推进系统，支持卫星的轨道机动和姿态修正。

NVP 5：通信系统：集成通信系统，确保卫星与地面站之间的数据传输。

NVP 6：热控系统：开发热控系统，确保卫星在极端太空环境中的温度稳定。

NVP 7：载荷系统：集成科学仪器和数据处理能力，支持卫星的主要任务。

NVP 8：全系统集成：将所有子系统集成到一个完整的卫星系统中，进行全面测试。

NVP 9：发射准备：确保卫星准备好发射，满足所有监管要求。

下图为用 LML 建模的敏捷开发方式的各个MVP/NVP阶段的流程。

由于卫星属于大型、安全关键型网络物理系统，所以在卫星开发中，敏捷开发方式还需要结合持续保障插件（CAP），以确保安全和合规性。

4.4 敏捷开发方式的时间和成本估算

敏捷开发方式的时间进度估算方法，和瀑布开发方式的时间进度估算方式一样，也是采用蒙特卡洛仿真。区别在于基于采用的项目阶段是上述的各个MVP/NVP阶段。

敏捷开发方式的成本估算方法，同样基于 NASA 的成本估算指南（2015 年版）。区别在于，估算人天成本时，是基于采用的项目阶段是上述的各个MVP/NVP阶段和分层的团队组织结构。

4.5 持续保障插件（CAP）

持续保障插件（CAP）是专门设计用于支持敏捷开发的安全和合规框架，用来将安全和合规需求嵌入到敏捷开发的每个阶段。

通过 CAP，敏捷开发团队能够在快速迭代的同时，确保项目的安全性和合规性，从而提高项目的成功率和可靠性。

CAP 通过人员、流程和工具这三个维度的一系列具体的技术措施（见下表），来确保卫星开发过程中的安全性、可靠性和合规性。

5. 仿真分析

5.1 瀑布开发方式的建模仿真分析

建模仿真环境与工具

建模仿真平台：Innoslate

建模语言：生命周期建模语言（LML）

开发方法：基于 NASA 系统工程手册的过程模型，严格遵循 Phase A-D 的线性开发过程。

仿真结果

平均开发时间：5.89 年。

标准差：1.53 个月。

人力成本：7,858,335.14 美元。

材料成本：5,000,000 美元（固定）。

瀑布开发方式的开发周期较长，平均需要5.89年，人力成本较高，达到 7,858,335.14 美元。

尽管标准差较小（1.53 个月），表明开发时间相对稳定，但整体进度较慢，难以适应快速变化的需求。

这种开发方式适合需求明确且稳定的项目，但在卫星开发中，可能导致项目进度延迟和成本超支。

5.2 敏捷开发方式的仿真结果

建模仿真环境与工具

建模仿真平台：Innoslate

建模语言：生命周期建模语言（LML）

开发方法：采用规模化敏捷方法（SAFe），结合持续保障插件（CAP），将卫星开发过程分解为多个最小可行产品（MVP）和下一个可行产品（NVP）。

仿真结果

平均开发时间：2.4 年。

标准差：1 个月。

人力成本：2,636,244.12 美元。

材料成本：5,000,000 美元（固定）。

敏捷开发方式的开发周期显著缩短，平均只需2.4年，人力成本大幅降低至 2,636,244.12 美元。标准差较小（1 个月），表明开发时间的不确定性较低。

敏捷开发方式通过迭代开发和持续集成，能够快速适应需求变化，减少返工，提高开发效率。

结合 CAP，敏捷开发方式还能确保项目的安全性和合规性，适合复杂且需求多变的卫星开发项目。

5.3 瀑布开发方式与敏捷开发方式仿真结果的综合对比

通过对比可以看出，敏捷开发方式在开发时间、人力成本和适应性方面具有显著优势，尤其适合复杂且需求多变的卫星开发项目。

6. 总结

6.1 研究结果

本研究通过建模和仿真，比较了瀑布开发方式和敏捷开发方式在卫星开发中的表现。结果表明，敏捷开发方式在开发时间、成本和适应性方面具有显著优势。

敏捷开发方法通过迭代开发、持续集成和持续保障插件（CAP），能够显著缩短开发周期（从瀑布开发方式的 5.89 年缩短到 2.4 年），降低人力成本（从 7,858,335.14 美元降低到 2,636,244.12 美元），同时保持较低的时间不确定性（标准差从 1.53 个月降低到 1 个月）。

6.2 敏捷开发方式的优势

敏捷方法因为嵌入 CAP框架，支持持续的安全和合规检查，确保项目在快速迭代的同时，不会牺牲安全性和合规性。

通过模块化架构、基于模型的系统工程（MBSE）和数字孪生等技术，敏捷方法还能够显著减少集成复杂性，提高开发效率。

此外，敏捷方法的灵活性使其能够快速适应需求变化，减少返工，提高项目的成功率。

6.3 面临的挑战

尽管敏捷开发方式在卫星开发中表现出显著优势，但也面临一些挑战。

例如，敏捷方法需要团队成员具备较高的数字化技能水平，特别是在 MBSE 和数字孪生、CI/CD等技术方面。

此外，敏捷方法需要持续的客户参与和反馈，这可能会增加项目的管理复杂性。在安全关键领域，如航天，还需要进一步研究敏捷方法对任务可靠性、成本和可扩展性的影响。

6.4 未来研究方向

未来的研究可以进一步探讨敏捷方法在实际卫星开发项目中的应用效果，特别是在任务可靠性、长期维护和成本控制方面的表现。

此外，研究还可以探索如何将敏捷方法与其他开发方式（如瀑布开发方式）结合，形成混合开发模式，以充分利用各自的优势。

通过这些研究，可以为航天领域提供更有效的开发方法，以应对未来的挑战。

6.5 总结

本研究通过仿真和分析，证明了敏捷方法在卫星开发中的可行性和优势。

敏捷方法不仅能够显著缩短开发周期和降低成本，还能够通过持续保障插件（CAP）确保项目的安全性和合规性。

尽管存在一些挑战，但敏捷方法为航天领域提供了一种新的开发模式，具有广阔的应用前景。