IDDMBSE: Integrating Data-Driven and Model-Based Systems Engineering for Trusted Autonomous Cyber-Physical Systems

技术摘要：IDDMBSE —— 集成数据驱动与基于模型的系统工程

问题陈述
自主网络物理系统（CPS）日益依赖于将传统的基于模型的组件（运动学、规划器、控制器）与数据驱动的机器学习与人工智能（ML/AI）组件（感知网络、学习策略）交织在一起的混合架构。虽然基于模型的系统工程（MBSE）为复杂系统设计提供了严谨的框架，但它缺乏容纳数据驱动组件的原生方法论。相反，ML/AI 虽然提供了强大的推理能力，但在系统中往往表现为“黑盒”，缺乏对需求的正式追溯性。目前的工业实践通常将 ML/AI 子系统视为被动植入基于模型脚手架中的黑盒，导致系统脆弱、设计周期缓慢且认证依据薄弱。在系统工程（SE）方法论中存在一个关键差距，即无法原生跨越 MBSE 严谨且可追溯的 V 模型过程与现代自主性技术栈经验性及数据驱动的本质。

方法论：IDDMBSE
本文提出了 IDDMBSE（集成数据驱动与基于模型的系统工程），该方法通过在每一步骤中叠加一个数据驱动循环来扩展标准的 MBSE V 模型过程。该方法以 SysML 作为核心表示，并将**自主性技术栈（autonomy stack）**视为一等公民架构元素，而非不透明的负载。

该方法由需求库驱动，确保仅在第一性原理模型不足以保证满足需求时，才部署数据驱动工作。该框架集成了三个结构化扩展：

1. 数据驱动增强（Data-Driven Augmentation）： V 模型过程的每一步（结构、行为、映射、需求、权衡、验证）都通过 ML/AI 组件、其训练数据和不确定性剖面进行增强。
2. 自主性技术栈建模（Autonomy Stack Modeling）： 将感知-规划-控制技术栈建模为一个 SysML 模块，具有直接绑定到可执行实现（如 ROS 2）的结构、行为和参数端口。
3. 混合权衡架构（Hybrid Trade-off Architecture）： 设计空间探索结合了基于模型的优化（针对易处理组件）与数据驱动的评估（针对学习型组件）。

核心贡献：工具链
该方法论通过一个由三个主要工具组成的互操作开源工具链来实现，所有工具都通过一个共享的 SysML 模型中心进行耦合：

1. PERFECT (PERFormance Evaluation Composable Tool-suite，性能评估可组合工具套件)：

   • 功能： 将 SysML 系统架构映射到可执行的 ROS 2 自主技术栈，用于可扩展的性能评估。
   • 机制： 它暴露了一个 SysML 配置（profile），将系统模块与 ROS 2 节点及参数绑定。PERFECT 综合生成启动配置，将仿真任务分发到计算池（使用 Isaac Sim 或 Gazebo），并将结果聚合回 SysML 参数图。
   • 创新点： 与标准基准测试套件不同，PERFECT 维持了一条“数字线程”，其中实验配置源自并反馈至 SysML 模型，确保了架构与测量之间的可追溯性。

2. TRADES-X (TRadeoff Analysis and DEsign Space Exploration，权衡分析与设计空间探索)：

   • 功能： 执行混合基于模型与数据驱动的设计空间探索。
   • 机制： 它将设计空间分解为两个阶段：
     • 基于模型的优化 (MBO)： 使用第一性原理模型对设计空间进行剪枝，并生成候选方案的帕累托最优前沿（Pareto-optimal frontier）。
     • 数据驱动的优化 (DDO)： 使用 PERFECT 作为执行骨干，对生存下来的候选方案进行统计实验。
   • 创新点： 它将需求划分为不同的类别（基于模型 vs. 数据驱动），并利用自动微分按敏感度对需求进行排名，将定性优先级转化为定量分析。

3. VERITAS (VERIfication of Trusted Autonomous Systems，受信任自主系统验证)：

   • 功能： 提供一种结合了形式化、数据驱动和运行时验证的统一保障工作流。
   • 机制：
     • 数学验证： 将 SysML 图编译为时序自动机（UPPAAL），进行形式化证明。
     • 数据驱动验证： 使用 PERFECT 仿真实验来估计难以进行形式化建模的组件的故障率和置信区间。
     • 运行时监控： 合成观测器（例如信号时序逻辑监视器），以检测已部署技术栈中的规范违规。
   • 创新点： 只有通过所有三个验证模块的候选设计才会被视为“经过保障的”，从而从单一来源提供多维度的保障论证。

结果与演示
该框架在**自主地面机器人（AGR）**的整个开发生命周期中进行了演示，并在 NVIDIA Isaac Sim 的对抗性地形测试场中进行了测试：

• 传感器套件选择 (TRADES-X)： 该工具链通过 MBO 将 8,192 个候选传感器配置减少到 92 个帕累托最优候选方案，并进一步筛选出 7 个用于数据驱动评估的生存者，最终选定了一个推荐设计。
• 风险敏感路径规划 (PERFECT)： 框架评估了 RA-RRT* 规划器相对于 RRT* 在不同噪声和风险水平下的表现。结果显示，风险规避策略实现了更低的极值路径长度和更少的失败，PERFECT 为这些对比所需的分布式实验提供了支持。
• 行为树验证 (VERITAS)： 该工具支持从行为树规范自动生成模型和在线监视器合成，实现了任务计划的形式化验证。
• 鲁棒感知 (共形预测/Conformal Prediction)： 系统实现了共形预测，为目标检测器提供了无分布假设的保证。PERFECT 生成了必要的闭环、带地面真值标签的数据，用于校准系统，同时 TRADES-X 优化了安全裕度与导航保守性之间的权衡。
• 受保障的多机器人协作： 框架扩展到了机器人团队，将高层舰队需求分解为信号时序逻辑（STL）规范。VERITAS 验证了执行轨迹，成功识别出了一个机器人路径中的轻微违规，而仅靠合成技术可能会遗漏该违规。

意义与主张
论文声称，IDDMBSE 解决了自主 CPS 集成缺口的核心原因：即缺乏一种将 ML/AI 组件视为 V 模型过程中一等公民且受需求驱动的方法论。通过将这些组件集成到统一的 SysML 表示中，该框架实现了：

• 可追溯性： 通过单一模型将 ML/AI 组件、系统结构和需求联系起来。
• 可扩展性： 在消耗稀缺的数据驱动评估资源之前，利用基于模型的先验知识对设计空间进行剪枝。
• 保障性： 闭合形式化模型、统计证据与运行时监控之间的环路，以支持“受信任自主性”（即能够在可验证的安全保证下进行自我监控和自我调整的系统）。

作者指出，目前的实现依赖于 SysML v1 工具，这引入了“脆弱且受限于 GUI”的底层连接。未来的工作重点是将 IDDMBSE 重新构建在 SysML v2 / KerML 基础上，以实现语言原生的组合性、API 优先的集成，以及与用于 V 模型过程的智能体 AI 更紧密的耦合。