導航ISO26262證中的測試方案)
摘要ISO 26262功能安全標準對車載安全相關電氣電子系統(tǒng)提出可復現(xiàn)、可審計、雙向可追溯的驗證要求GNSS定位作為高階智駕、ADAS定位鏈的關鍵輸入僅依靠實車上路測試難以覆蓋低概率邊界故障也無法滿足取證審核對測試條件可控、過程留痕的硬性約束。GNSS信號模擬器可在實驗室環(huán)境可控生成多星座射頻導航信號、故障注入場景與差分改正電文支持傳導、輻射、HIL硬件在環(huán)多種接入方式面向ASIL分級需求完成弱信號持續(xù)衰減、衛(wèi)星星座動態(tài)切換、SSR差分電文異常、可控欺騙信號注入等邊界場景驗證輸出帶時間戳、參數(shù)快照的完整測試日志構建從安全需求、測試用例、執(zhí)行記錄到判定結論的合規(guī)證據(jù)鏈是車規(guī)導航接收機、定位引擎通過ISO26262評估的核心驗證工具。關鍵詞gnss導航信號模擬器GNSS信號模擬器gnss信號模擬設備國產(chǎn)gnss信號源1 ISO26262對車載GNSS定位系統(tǒng)的驗證約束ISO 26262:2018國內(nèi)等同轉化為GB/T 34590系列基于風險分析確定汽車安全完整性等級ASIL覆蓋概念階段、產(chǎn)品開發(fā)、驗證確認、生產(chǎn)運維全安全生命周期[1]。其中系統(tǒng)級開發(fā)章節(jié)ISO 26262-4明確安全相關系統(tǒng)的驗證測試必須具備可復現(xiàn)性、可追溯性、可審計性測試用例應從技術安全需求TSR導出建立需求與測試結果之間雙向追溯矩陣用于安全案例Safety Case舉證[2][5]。車載GNSS定位屬于典型的外部輸入依賴系統(tǒng)其失效模式包含信號遮擋丟星、載噪比持續(xù)降低、衛(wèi)星星座拓撲突變、差分改正數(shù)據(jù)錯誤、惡意欺騙信號誘導定位漂移等。上述很多場景在開放道路中屬于偶發(fā)事件實車路測無法穩(wěn)定復現(xiàn)環(huán)境溫度、電磁背景、衛(wèi)星軌道每天均發(fā)生變化每次測試輸入條件不一致審核方通常不接受僅依靠路測數(shù)據(jù)單獨作為功能安全驗證證據(jù)。同時ISO 26262-8對工具確認Tool Confidence提出要求用于安全相關驗證的測試設備需要完成工具風險評估與確認證明模擬器本身的系統(tǒng)誤差、同步誤差、射頻輸出偏差不會引入不可控的誤判模擬器的固件版本、場景腳本、通道配置、時序參數(shù)都必須納入版本管控所有測試記錄按標準要求留存[3]。工具確認環(huán)節(jié)中第三方CNAS認可機構出具的計量校準證書是證明模擬器輸出量值溯源性的關鍵材料模擬器的偽距精度、通道時延、射頻功率、1PPS同步抖動等關鍵指標需依據(jù)JJF 1471《全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準規(guī)范》完成定期校準為工具置信度評估提供客觀可采信證據(jù)[10]。2 GNSS模擬器適配ISO26262驗證的基礎能力邊界GNSS信號模擬器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多頻多星座相干射頻信號完成衛(wèi)星軌道、衛(wèi)星鐘差、電離層、對流層、多徑衰減、多普勒效應建模支持載體軌跡與姿態(tài)角實時驅(qū)動可對接HIL仿真主機獲取整車動力學數(shù)據(jù)實現(xiàn)整車級閉環(huán)仿真。國產(chǎn)GNSS信號源近年來發(fā)展迅速部分設備已能滿足車規(guī)功能安全測試對精度、時序、日志留存的要求。以同步天下SYN5206型GNSS模擬器為例其偽距誤差≤0.05m、偽距率誤差≤0.02m/s、內(nèi)部通道延遲≤5ns、1PPS輸出抖動≤5ns數(shù)據(jù)更新率可達1000Hz支持五星座18信號與163通道輸出、單衛(wèi)星通道獨立功率調(diào)控功率分辨力0.1dB、大小信號雙路輸出-165dBm0dBm并具備計量模式、遠程網(wǎng)絡控制、仿真數(shù)據(jù)導出等能力可覆蓋車規(guī)功能安全測試對底層精度、時延與日志留存的基礎條件[11]。面向ISO26262功能安全驗證模擬器不能只滿足普通性能測試指標必須同時具備以下四項核心合規(guī)能力1參數(shù)全可控每顆衛(wèi)星的信號功率、偽距、載波相位、多普勒、電文字段可獨立配置可實現(xiàn)長時間穩(wěn)態(tài)弱信號、階梯式功率跌落、瞬時斷星等工況功率分辨力建議達到0.1dB量級以復現(xiàn)城市峽谷微弱信號漸變的真實特征。2故障可注入支持SSR高精度差分改正電文篡改、延遲、丟包、字段越界支持實驗室受控條件下的欺騙信號注入用于接收機欺騙檢測、完好性監(jiān)控算法驗證。故障仿真建議以軟件選件方式實現(xiàn)避免改動硬件主體。3時序與同步可溯源具備1PPS輸入輸出同步接口保障多星座信號統(tǒng)一時間基準完整記錄仿真配置快照、載體軌跡、射頻輸出參數(shù)、接收機觀測數(shù)據(jù)支持廣播星歷、偽距、電離層對流層誤差、載體運動狀態(tài)等原始仿真數(shù)據(jù)導出支撐審計追溯降低人工轉錄帶來的證據(jù)失真風險。4接口適配靈活兼容三種主流測試鏈路——同軸傳導注入用于單板模組測試微波暗室OTA輻射完成整機與天線耦合效應驗證千兆網(wǎng)口對接HIL平臺實現(xiàn)GNSSIMU融合定位的閉環(huán)驗證腳本與配置文件可納入版本管理系統(tǒng)。需要特別說明的是欺騙信號仿真僅用于接收機反欺騙、完好性監(jiān)測安全機制驗證**實驗室受控環(huán)境開展禁止在開放空間非法發(fā)射欺騙信號該類測試項目需要與ISO/SAE 21434車輛網(wǎng)絡安全評估協(xié)同實施[6]。3 面向ISO26262的典型測試場景與用例設計測試用例必須源自HARA危害分析與風險評估、FMEA失效模式分析每條用例綁定對應的技術安全需求TSR明確判定準則、失效閾值、安全機制觸發(fā)時限。以下為車規(guī)GNSS定位高頻邊界測試場景。3.1 長時間弱信號跟蹤與信號逐步衰減場景城市峽谷、高架橋下、林蔭路段會造成GNSS載噪比持續(xù)下降、可視衛(wèi)星數(shù)量減少屬于車載定位高頻連續(xù)降級工況。模擬器將衛(wèi)星載噪比從正常4045dB·Hz緩慢衰減至接收機跟蹤門限附近2025dB·Hz維持數(shù)分鐘至數(shù)十分鐘穩(wěn)態(tài)弱信號驗證接收機跟蹤環(huán)路、RAIM故障檢測、完好性標志輸出、GNSS/IMU組合導航接管邏輯確認系統(tǒng)不會輸出不可信定位結果。該場景驗證定位降級過程安全可控彌補實車路測弱信號持續(xù)時間不可控的短板單衛(wèi)星獨立功率調(diào)節(jié)能力可以模擬真實道路中各衛(wèi)星非同步衰減現(xiàn)象。3.2 衛(wèi)星星座動態(tài)切換、瞬時丟星與多星遮擋場景車輛駛入隧道、大型建筑遮擋區(qū)域時可視衛(wèi)星會快速消失駛出后星座快速重建。模擬器通過腳本時序控制衛(wèi)星可視狀態(tài)模擬連續(xù)丟星、多星同時消失、衛(wèi)星分批重新捕獲等工況驗證接收機星歷更新、周跳檢測、保護等級PL計算邏輯。針對ASIL-B及以上等級定位系統(tǒng)該場景需要多次重復執(zhí)行統(tǒng)計完好性告警漏檢、誤告警概率作為安全論證素材。模擬器支持外部整車動力學軌跡導入疊加星座遮擋時序可復現(xiàn)車輛轉彎、加減速的真實車載工況[11]。3.3 SSR差分電文異常注入場景高階自動駕駛普遍采用SSR差分改正實現(xiàn)RTK/PPP-RTK厘米級定位。差分鏈路存在報文損壞、改正數(shù)超限、傳輸時延突變、服務中斷等失效風險。模擬器對SSR電文實施異常注入改正數(shù)階躍錯誤、報文隨機丟幀、星座子集改正失效等驗證定位引擎識別異常、剔除錯誤差分、降級至單點定位、向上游域控上報定位不可用標志的安全機制是當前高精度車規(guī)定位取證的重點新增測試項。測試完成后完整留存被篡改電文字段與時間戳歸入安全證據(jù)包。3.4 受控欺騙信號注入與完好性檢測場景該場景目的不是觀測接收機被欺騙后的定位偏移而是驗證接收機欺騙識別、信號質(zhì)量監(jiān)控等安全防護機制。在正常導航信號基礎上腳本可控注入欺騙信號控制偽距、載波相位偏移速率復現(xiàn)轉發(fā)式、生成式欺騙典型特征檢驗接收機是否按時限識別異常、觸發(fā)告警、凍結定位輸出避免錯誤位置進入規(guī)劃控制模塊。該測試必須在屏蔽暗室或傳導鏈路中完成規(guī)避對外空間射頻干擾風險并同步開展ISO/SAE 21434網(wǎng)絡安全評估[6]。4 完整測試實施流程滿足審核取證要求1前置工具確認與版本鎖定依據(jù)ISO 26262-8開展模擬器工具置信度TCL評估識別工具引入風險核驗射頻精度、通道同步、電文生成正確性采用CNAS認可計量機構出具的校準證書佐證量值溯源鎖定模擬器固件版本、仿真腳本、HIL接口配置納入配置管理測試過程禁止無記錄固件升級[3]。2測試環(huán)境搭建與鏈路標定依據(jù)被測對象選擇傳導注入或暗室OTA方案完成射頻線纜、衰減器、功分器鏈路損耗標定并輸出校準報告消除鏈路誤差帶來判定爭議大小雙信號輸出接口可分別適配微弱信號邊界測試和強信號飽和測試[11]。3用例執(zhí)行與全要素日志記錄每個測試場景啟動自動歸檔全套配置快照包含星座配置、功率時序、多徑模型、SSR電文、載體軌跡、時間同步信息同步采集接收機原始觀測、定位解算、完好性標志、域控交互報文全部日志攜帶全局時間戳保障多源數(shù)據(jù)時序?qū)R優(yōu)先使用設備原生導出仿真原始數(shù)據(jù)減少人工記錄帶來的錯誤。4結果判定、偏差分析與閉環(huán)對照TSR安全目標判定用例通過或失敗缺陷項進入缺陷管理修改完成后復用完全一致的仿真腳本復測復現(xiàn)故障并確認整改效果復測記錄與原始測試記錄綁定保障追溯鏈完整。5證據(jù)打包匯入安全案例匯總HARA、FMEA、需求雙向追溯矩陣、模擬器計量校準證書、工具確認報告、原始測試日志、測試報告形成可提交第三方評估機構的完整安全證據(jù)包。5 模擬器測試與實車路測的定位關系合規(guī)論證要點模擬器仿真測試不能替代實車驗證在ISO26262體系中二者是互補關系不存在相互替代GNSS仿真測試優(yōu)勢在于邊界故障場景可控、可反復復現(xiàn)、變量隔離適合故障注入、降級邏輯、異常電文、欺騙檢測等高風險邊界驗證設備計量自檢能力還可定期復核射頻、偽距、動態(tài)指標保障長期測試一致性實車路測優(yōu)勢在于引入真實電離層對流層、真實城市多徑、車載天線耦合、整車電磁環(huán)境用于校驗仿真模型保真度對應標準的確認階段Validation舉證。行業(yè)評估普遍采信閉環(huán)驗證策略FMEA識別風險→模擬器批量遍歷邊界場景完成Verification驗證→實車采集典型場景數(shù)據(jù)→將路測數(shù)據(jù)回放到模擬器復測交叉校驗算法表現(xiàn)。EN 16803-4已定義真實道路GNSS數(shù)據(jù)采集與測試場景設計驗證的工程方法為“仿真覆蓋邊界、實車校準模型、回放閉環(huán)復核”提供標準化支撐該邏輯更容易獲得ISO26262審核機構認可[8]。6 現(xiàn)存局限與測試風險管控提示1仿真模型保真度風險電離層、城市多徑、車載天線方向圖均屬于數(shù)學建模近似仿真環(huán)境和真實道路存在客觀差異。需要開展模型不確定性分析在安全案例中寫明仿真假設條件、模型誤差上限即便配置多徑仿真選件仿真多徑依然不能等同于真實城市多徑不可直接等效實車測試結果。2通道同步誤差風險多通道模擬器通道間時間、相位同步誤差直接影響RTK、雙天線定向解算結果通道內(nèi)部時延、1PPS抖動是工具確認階段重點核查硬件指標需要按計量周期定期校準[10]。3場景覆蓋完備性風險測試腳本基于FMEA導出無法窮盡全部未知風險場景仿真測試必須與ISO 21448預期功能安全SOTIF的未知場景分析相結合[7]。4工具變更管控風險模擬器固件升級、仿真引擎更新、啟用功能選件都需要重新開展工具確認評估舊版本測試結果不能直接繼承沿用[3]。參考文獻[1] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary[S]. Geneva: ISO, 2018.[2] ISO 26262-4:2018, Road vehicles — Functional safety — Part 4: Product development at the system level[S]. Geneva: ISO, 2018.[3] ISO 26262-8:2018, Road vehicles — Functional safety — Part 8: Supporting processes[S]. Geneva: ISO, 2018.[4] ISO 26262-10:2018, Road vehicles — Functional safety — Part 10: Guideline on ISO 26262[S]. Geneva: ISO, 2018.[5] GB/T 34590.4—2022道路車輛 功能安全 第4部分產(chǎn)品開發(fā)系統(tǒng)層面修改采用ISO 26262-4:2018[S]. 北京中國標準出版社2022.[6] ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering[S]. Geneva: ISO, 2021.[7] ISO 21448:2022, Road vehicles — Safety of the intended functionality[S]. Geneva: ISO, 2022.[8] EN 16803-4:2024, Space — Use of GNSS-based positioning for road Intelligent Transport Systems (ITS) — Part 4: Definitions and system engineering procedures for the design and validation of test scenarios[S]. Brussels: CEN/CENELEC, 2024.[9] BD 420012—2015北斗/全球衛(wèi)星導航系統(tǒng)GNSS信號模擬器 性能要求及測試方法[S]. 北京中國衛(wèi)星導航系統(tǒng)管理辦公室2015.[10] JJF 1471—2024全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準規(guī)范[S]. 北京國家市場監(jiān)督管理總局2024. GNSS信號模擬器在車規(guī)導航ISO26262證中的測試方案
摘要ISO 26262功能安全標準對車載安全相關電氣電子系統(tǒng)提出可復現(xiàn)、可審計、雙向可追溯的驗證要求GNSS定位作為高階智駕、ADAS定位鏈的關鍵輸入僅依靠實車上路測試難以覆蓋低概率邊界故障也無法滿足取證審核對測試條件可控、過程留痕的硬性約束。GNSS信號模擬器可在實驗室環(huán)境可控生成多星座射頻導航信號、故障注入場景與差分改正電文支持傳導、輻射、HIL硬件在環(huán)多種接入方式面向ASIL分級需求完成弱信號持續(xù)衰減、衛(wèi)星星座動態(tài)切換、SSR差分電文異常、可控欺騙信號注入等邊界場景驗證輸出帶時間戳、參數(shù)快照的完整測試日志構建從安全需求、測試用例、執(zhí)行記錄到判定結論的合規(guī)證據(jù)鏈是車規(guī)導航接收機、定位引擎通過ISO26262評估的核心驗證工具。關鍵詞gnss導航信號模擬器GNSS信號模擬器gnss信號模擬設備國產(chǎn)gnss信號源1 ISO26262對車載GNSS定位系統(tǒng)的驗證約束ISO 26262:2018國內(nèi)等同轉化為GB/T 34590系列基于風險分析確定汽車安全完整性等級ASIL覆蓋概念階段、產(chǎn)品開發(fā)、驗證確認、生產(chǎn)運維全安全生命周期[1]。其中系統(tǒng)級開發(fā)章節(jié)ISO 26262-4明確安全相關系統(tǒng)的驗證測試必須具備可復現(xiàn)性、可追溯性、可審計性測試用例應從技術安全需求TSR導出建立需求與測試結果之間雙向追溯矩陣用于安全案例Safety Case舉證[2][5]。車載GNSS定位屬于典型的外部輸入依賴系統(tǒng)其失效模式包含信號遮擋丟星、載噪比持續(xù)降低、衛(wèi)星星座拓撲突變、差分改正數(shù)據(jù)錯誤、惡意欺騙信號誘導定位漂移等。上述很多場景在開放道路中屬于偶發(fā)事件實車路測無法穩(wěn)定復現(xiàn)環(huán)境溫度、電磁背景、衛(wèi)星軌道每天均發(fā)生變化每次測試輸入條件不一致審核方通常不接受僅依靠路測數(shù)據(jù)單獨作為功能安全驗證證據(jù)。同時ISO 26262-8對工具確認Tool Confidence提出要求用于安全相關驗證的測試設備需要完成工具風險評估與確認證明模擬器本身的系統(tǒng)誤差、同步誤差、射頻輸出偏差不會引入不可控的誤判模擬器的固件版本、場景腳本、通道配置、時序參數(shù)都必須納入版本管控所有測試記錄按標準要求留存[3]。工具確認環(huán)節(jié)中第三方CNAS認可機構出具的計量校準證書是證明模擬器輸出量值溯源性的關鍵材料模擬器的偽距精度、通道時延、射頻功率、1PPS同步抖動等關鍵指標需依據(jù)JJF 1471《全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準規(guī)范》完成定期校準為工具置信度評估提供客觀可采信證據(jù)[10]。2 GNSS模擬器適配ISO26262驗證的基礎能力邊界GNSS信號模擬器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多頻多星座相干射頻信號完成衛(wèi)星軌道、衛(wèi)星鐘差、電離層、對流層、多徑衰減、多普勒效應建模支持載體軌跡與姿態(tài)角實時驅(qū)動可對接HIL仿真主機獲取整車動力學數(shù)據(jù)實現(xiàn)整車級閉環(huán)仿真。國產(chǎn)GNSS信號源近年來發(fā)展迅速部分設備已能滿足車規(guī)功能安全測試對精度、時序、日志留存的要求。以同步天下SYN5206型GNSS模擬器為例其偽距誤差≤0.05m、偽距率誤差≤0.02m/s、內(nèi)部通道延遲≤5ns、1PPS輸出抖動≤5ns數(shù)據(jù)更新率可達1000Hz支持五星座18信號與163通道輸出、單衛(wèi)星通道獨立功率調(diào)控功率分辨力0.1dB、大小信號雙路輸出-165dBm0dBm并具備計量模式、遠程網(wǎng)絡控制、仿真數(shù)據(jù)導出等能力可覆蓋車規(guī)功能安全測試對底層精度、時延與日志留存的基礎條件[11]。面向ISO26262功能安全驗證模擬器不能只滿足普通性能測試指標必須同時具備以下四項核心合規(guī)能力1參數(shù)全可控每顆衛(wèi)星的信號功率、偽距、載波相位、多普勒、電文字段可獨立配置可實現(xiàn)長時間穩(wěn)態(tài)弱信號、階梯式功率跌落、瞬時斷星等工況功率分辨力建議達到0.1dB量級以復現(xiàn)城市峽谷微弱信號漸變的真實特征。2故障可注入支持SSR高精度差分改正電文篡改、延遲、丟包、字段越界支持實驗室受控條件下的欺騙信號注入用于接收機欺騙檢測、完好性監(jiān)控算法驗證。故障仿真建議以軟件選件方式實現(xiàn)避免改動硬件主體。3時序與同步可溯源具備1PPS輸入輸出同步接口保障多星座信號統(tǒng)一時間基準完整記錄仿真配置快照、載體軌跡、射頻輸出參數(shù)、接收機觀測數(shù)據(jù)支持廣播星歷、偽距、電離層對流層誤差、載體運動狀態(tài)等原始仿真數(shù)據(jù)導出支撐審計追溯降低人工轉錄帶來的證據(jù)失真風險。4接口適配靈活兼容三種主流測試鏈路——同軸傳導注入用于單板模組測試微波暗室OTA輻射完成整機與天線耦合效應驗證千兆網(wǎng)口對接HIL平臺實現(xiàn)GNSSIMU融合定位的閉環(huán)驗證腳本與配置文件可納入版本管理系統(tǒng)。需要特別說明的是欺騙信號仿真僅用于接收機反欺騙、完好性監(jiān)測安全機制驗證**實驗室受控環(huán)境開展禁止在開放空間非法發(fā)射欺騙信號該類測試項目需要與ISO/SAE 21434車輛網(wǎng)絡安全評估協(xié)同實施[6]。3 面向ISO26262的典型測試場景與用例設計測試用例必須源自HARA危害分析與風險評估、FMEA失效模式分析每條用例綁定對應的技術安全需求TSR明確判定準則、失效閾值、安全機制觸發(fā)時限。以下為車規(guī)GNSS定位高頻邊界測試場景。3.1 長時間弱信號跟蹤與信號逐步衰減場景城市峽谷、高架橋下、林蔭路段會造成GNSS載噪比持續(xù)下降、可視衛(wèi)星數(shù)量減少屬于車載定位高頻連續(xù)降級工況。模擬器將衛(wèi)星載噪比從正常4045dB·Hz緩慢衰減至接收機跟蹤門限附近2025dB·Hz維持數(shù)分鐘至數(shù)十分鐘穩(wěn)態(tài)弱信號驗證接收機跟蹤環(huán)路、RAIM故障檢測、完好性標志輸出、GNSS/IMU組合導航接管邏輯確認系統(tǒng)不會輸出不可信定位結果。該場景驗證定位降級過程安全可控彌補實車路測弱信號持續(xù)時間不可控的短板單衛(wèi)星獨立功率調(diào)節(jié)能力可以模擬真實道路中各衛(wèi)星非同步衰減現(xiàn)象。3.2 衛(wèi)星星座動態(tài)切換、瞬時丟星與多星遮擋場景車輛駛入隧道、大型建筑遮擋區(qū)域時可視衛(wèi)星會快速消失駛出后星座快速重建。模擬器通過腳本時序控制衛(wèi)星可視狀態(tài)模擬連續(xù)丟星、多星同時消失、衛(wèi)星分批重新捕獲等工況驗證接收機星歷更新、周跳檢測、保護等級PL計算邏輯。針對ASIL-B及以上等級定位系統(tǒng)該場景需要多次重復執(zhí)行統(tǒng)計完好性告警漏檢、誤告警概率作為安全論證素材。模擬器支持外部整車動力學軌跡導入疊加星座遮擋時序可復現(xiàn)車輛轉彎、加減速的真實車載工況[11]。3.3 SSR差分電文異常注入場景高階自動駕駛普遍采用SSR差分改正實現(xiàn)RTK/PPP-RTK厘米級定位。差分鏈路存在報文損壞、改正數(shù)超限、傳輸時延突變、服務中斷等失效風險。模擬器對SSR電文實施異常注入改正數(shù)階躍錯誤、報文隨機丟幀、星座子集改正失效等驗證定位引擎識別異常、剔除錯誤差分、降級至單點定位、向上游域控上報定位不可用標志的安全機制是當前高精度車規(guī)定位取證的重點新增測試項。測試完成后完整留存被篡改電文字段與時間戳歸入安全證據(jù)包。3.4 受控欺騙信號注入與完好性檢測場景該場景目的不是觀測接收機被欺騙后的定位偏移而是驗證接收機欺騙識別、信號質(zhì)量監(jiān)控等安全防護機制。在正常導航信號基礎上腳本可控注入欺騙信號控制偽距、載波相位偏移速率復現(xiàn)轉發(fā)式、生成式欺騙典型特征檢驗接收機是否按時限識別異常、觸發(fā)告警、凍結定位輸出避免錯誤位置進入規(guī)劃控制模塊。該測試必須在屏蔽暗室或傳導鏈路中完成規(guī)避對外空間射頻干擾風險并同步開展ISO/SAE 21434網(wǎng)絡安全評估[6]。4 完整測試實施流程滿足審核取證要求1前置工具確認與版本鎖定依據(jù)ISO 26262-8開展模擬器工具置信度TCL評估識別工具引入風險核驗射頻精度、通道同步、電文生成正確性采用CNAS認可計量機構出具的校準證書佐證量值溯源鎖定模擬器固件版本、仿真腳本、HIL接口配置納入配置管理測試過程禁止無記錄固件升級[3]。2測試環(huán)境搭建與鏈路標定依據(jù)被測對象選擇傳導注入或暗室OTA方案完成射頻線纜、衰減器、功分器鏈路損耗標定并輸出校準報告消除鏈路誤差帶來判定爭議大小雙信號輸出接口可分別適配微弱信號邊界測試和強信號飽和測試[11]。3用例執(zhí)行與全要素日志記錄每個測試場景啟動自動歸檔全套配置快照包含星座配置、功率時序、多徑模型、SSR電文、載體軌跡、時間同步信息同步采集接收機原始觀測、定位解算、完好性標志、域控交互報文全部日志攜帶全局時間戳保障多源數(shù)據(jù)時序?qū)R優(yōu)先使用設備原生導出仿真原始數(shù)據(jù)減少人工記錄帶來的錯誤。4結果判定、偏差分析與閉環(huán)對照TSR安全目標判定用例通過或失敗缺陷項進入缺陷管理修改完成后復用完全一致的仿真腳本復測復現(xiàn)故障并確認整改效果復測記錄與原始測試記錄綁定保障追溯鏈完整。5證據(jù)打包匯入安全案例匯總HARA、FMEA、需求雙向追溯矩陣、模擬器計量校準證書、工具確認報告、原始測試日志、測試報告形成可提交第三方評估機構的完整安全證據(jù)包。5 模擬器測試與實車路測的定位關系合規(guī)論證要點模擬器仿真測試不能替代實車驗證在ISO26262體系中二者是互補關系不存在相互替代GNSS仿真測試優(yōu)勢在于邊界故障場景可控、可反復復現(xiàn)、變量隔離適合故障注入、降級邏輯、異常電文、欺騙檢測等高風險邊界驗證設備計量自檢能力還可定期復核射頻、偽距、動態(tài)指標保障長期測試一致性實車路測優(yōu)勢在于引入真實電離層對流層、真實城市多徑、車載天線耦合、整車電磁環(huán)境用于校驗仿真模型保真度對應標準的確認階段Validation舉證。行業(yè)評估普遍采信閉環(huán)驗證策略FMEA識別風險→模擬器批量遍歷邊界場景完成Verification驗證→實車采集典型場景數(shù)據(jù)→將路測數(shù)據(jù)回放到模擬器復測交叉校驗算法表現(xiàn)。EN 16803-4已定義真實道路GNSS數(shù)據(jù)采集與測試場景設計驗證的工程方法為“仿真覆蓋邊界、實車校準模型、回放閉環(huán)復核”提供標準化支撐該邏輯更容易獲得ISO26262審核機構認可[8]。6 現(xiàn)存局限與測試風險管控提示1仿真模型保真度風險電離層、城市多徑、車載天線方向圖均屬于數(shù)學建模近似仿真環(huán)境和真實道路存在客觀差異。需要開展模型不確定性分析在安全案例中寫明仿真假設條件、模型誤差上限即便配置多徑仿真選件仿真多徑依然不能等同于真實城市多徑不可直接等效實車測試結果。2通道同步誤差風險多通道模擬器通道間時間、相位同步誤差直接影響RTK、雙天線定向解算結果通道內(nèi)部時延、1PPS抖動是工具確認階段重點核查硬件指標需要按計量周期定期校準[10]。3場景覆蓋完備性風險測試腳本基于FMEA導出無法窮盡全部未知風險場景仿真測試必須與ISO 21448預期功能安全SOTIF的未知場景分析相結合[7]。4工具變更管控風險模擬器固件升級、仿真引擎更新、啟用功能選件都需要重新開展工具確認評估舊版本測試結果不能直接繼承沿用[3]。參考文獻[1] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary[S]. Geneva: ISO, 2018.[2] ISO 26262-4:2018, Road vehicles — Functional safety — Part 4: Product development at the system level[S]. Geneva: ISO, 2018.[3] ISO 26262-8:2018, Road vehicles — Functional safety — Part 8: Supporting processes[S]. Geneva: ISO, 2018.[4] ISO 26262-10:2018, Road vehicles — Functional safety — Part 10: Guideline on ISO 26262[S]. Geneva: ISO, 2018.[5] GB/T 34590.4—2022道路車輛 功能安全 第4部分產(chǎn)品開發(fā)系統(tǒng)層面修改采用ISO 26262-4:2018[S]. 北京中國標準出版社2022.[6] ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering[S]. Geneva: ISO, 2021.[7] ISO 21448:2022, Road vehicles — Safety of the intended functionality[S]. Geneva: ISO, 2022.[8] EN 16803-4:2024, Space — Use of GNSS-based positioning for road Intelligent Transport Systems (ITS) — Part 4: Definitions and system engineering procedures for the design and validation of test scenarios[S]. Brussels: CEN/CENELEC, 2024.[9] BD 420012—2015北斗/全球衛(wèi)星導航系統(tǒng)GNSS信號模擬器 性能要求及測試方法[S]. 北京中國衛(wèi)星導航系統(tǒng)管理辦公室2015.[10] JJF 1471—2024全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準規(guī)范[S]. 北京國家市場監(jiān)督管理總局2024.