導(dǎo)航ISO26262證中的測試方案)
摘要ISO 26262功能安全標(biāo)準(zhǔn)對車載安全相關(guān)電氣電子系統(tǒng)提出可復(fù)現(xiàn)、可審計(jì)、雙向可追溯的驗(yàn)證要求GNSS定位作為高階智駕、ADAS定位鏈的關(guān)鍵輸入僅依靠實(shí)車上路測試難以覆蓋低概率邊界故障也無法滿足取證審核對測試條件可控、過程留痕的硬性約束。GNSS信號模擬器可在實(shí)驗(yàn)室環(huán)境可控生成多星座射頻導(dǎo)航信號、故障注入場景與差分改正電文支持傳導(dǎo)、輻射、HIL硬件在環(huán)多種接入方式面向ASIL分級需求完成弱信號持續(xù)衰減、衛(wèi)星星座動態(tài)切換、SSR差分電文異常、可控欺騙信號注入等邊界場景驗(yàn)證輸出帶時(shí)間戳、參數(shù)快照的完整測試日志構(gòu)建從安全需求、測試用例、執(zhí)行記錄到判定結(jié)論的合規(guī)證據(jù)鏈?zhǔn)擒囈?guī)導(dǎo)航接收機(jī)、定位引擎通過ISO26262評估的核心驗(yàn)證工具。關(guān)鍵詞gnss導(dǎo)航信號模擬器GNSS信號模擬器gnss信號模擬設(shè)備國產(chǎn)gnss信號源1 ISO26262對車載GNSS定位系統(tǒng)的驗(yàn)證約束ISO 26262:2018國內(nèi)等同轉(zhuǎn)化為GB/T 34590系列基于風(fēng)險(xiǎn)分析確定汽車安全完整性等級ASIL覆蓋概念階段、產(chǎn)品開發(fā)、驗(yàn)證確認(rèn)、生產(chǎn)運(yùn)維全安全生命周期[1]。其中系統(tǒng)級開發(fā)章節(jié)ISO 26262-4明確安全相關(guān)系統(tǒng)的驗(yàn)證測試必須具備可復(fù)現(xiàn)性、可追溯性、可審計(jì)性測試用例應(yīng)從技術(shù)安全需求TSR導(dǎo)出建立需求與測試結(jié)果之間雙向追溯矩陣用于安全案例Safety Case舉證[2][5]。車載GNSS定位屬于典型的外部輸入依賴系統(tǒng)其失效模式包含信號遮擋丟星、載噪比持續(xù)降低、衛(wèi)星星座拓?fù)渫蛔儭⒉罘指恼龜?shù)據(jù)錯(cuò)誤、惡意欺騙信號誘導(dǎo)定位漂移等。上述很多場景在開放道路中屬于偶發(fā)事件實(shí)車路測無法穩(wěn)定復(fù)現(xiàn)環(huán)境溫度、電磁背景、衛(wèi)星軌道每天均發(fā)生變化每次測試輸入條件不一致審核方通常不接受僅依靠路測數(shù)據(jù)單獨(dú)作為功能安全驗(yàn)證證據(jù)。同時(shí)ISO 26262-8對工具確認(rèn)Tool Confidence提出要求用于安全相關(guān)驗(yàn)證的測試設(shè)備需要完成工具風(fēng)險(xiǎn)評估與確認(rèn)證明模擬器本身的系統(tǒng)誤差、同步誤差、射頻輸出偏差不會引入不可控的誤判模擬器的固件版本、場景腳本、通道配置、時(shí)序參數(shù)都必須納入版本管控所有測試記錄按標(biāo)準(zhǔn)要求留存[3]。工具確認(rèn)環(huán)節(jié)中第三方CNAS認(rèn)可機(jī)構(gòu)出具的計(jì)量校準(zhǔn)證書是證明模擬器輸出量值溯源性的關(guān)鍵材料模擬器的偽距精度、通道時(shí)延、射頻功率、1PPS同步抖動等關(guān)鍵指標(biāo)需依據(jù)JJF 1471《全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準(zhǔn)規(guī)范》完成定期校準(zhǔn)為工具置信度評估提供客觀可采信證據(jù)[10]。2 GNSS模擬器適配ISO26262驗(yàn)證的基礎(chǔ)能力邊界GNSS信號模擬器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多頻多星座相干射頻信號完成衛(wèi)星軌道、衛(wèi)星鐘差、電離層、對流層、多徑衰減、多普勒效應(yīng)建模支持載體軌跡與姿態(tài)角實(shí)時(shí)驅(qū)動可對接HIL仿真主機(jī)獲取整車動力學(xué)數(shù)據(jù)實(shí)現(xiàn)整車級閉環(huán)仿真。國產(chǎn)GNSS信號源近年來發(fā)展迅速部分設(shè)備已能滿足車規(guī)功能安全測試對精度、時(shí)序、日志留存的要求。以同步天下SYN5206型GNSS模擬器為例其偽距誤差≤0.05m、偽距率誤差≤0.02m/s、內(nèi)部通道延遲≤5ns、1PPS輸出抖動≤5ns數(shù)據(jù)更新率可達(dá)1000Hz支持五星座18信號與163通道輸出、單衛(wèi)星通道獨(dú)立功率調(diào)控功率分辨力0.1dB、大小信號雙路輸出-165dBm0dBm并具備計(jì)量模式、遠(yuǎn)程網(wǎng)絡(luò)控制、仿真數(shù)據(jù)導(dǎo)出等能力可覆蓋車規(guī)功能安全測試對底層精度、時(shí)延與日志留存的基礎(chǔ)條件[11]。面向ISO26262功能安全驗(yàn)證模擬器不能只滿足普通性能測試指標(biāo)必須同時(shí)具備以下四項(xiàng)核心合規(guī)能力1參數(shù)全可控每顆衛(wèi)星的信號功率、偽距、載波相位、多普勒、電文字段可獨(dú)立配置可實(shí)現(xiàn)長時(shí)間穩(wěn)態(tài)弱信號、階梯式功率跌落、瞬時(shí)斷星等工況功率分辨力建議達(dá)到0.1dB量級以復(fù)現(xiàn)城市峽谷微弱信號漸變的真實(shí)特征。2故障可注入支持SSR高精度差分改正電文篡改、延遲、丟包、字段越界支持實(shí)驗(yàn)室受控條件下的欺騙信號注入用于接收機(jī)欺騙檢測、完好性監(jiān)控算法驗(yàn)證。故障仿真建議以軟件選件方式實(shí)現(xiàn)避免改動硬件主體。3時(shí)序與同步可溯源具備1PPS輸入輸出同步接口保障多星座信號統(tǒng)一時(shí)間基準(zhǔn)完整記錄仿真配置快照、載體軌跡、射頻輸出參數(shù)、接收機(jī)觀測數(shù)據(jù)支持廣播星歷、偽距、電離層對流層誤差、載體運(yùn)動狀態(tài)等原始仿真數(shù)據(jù)導(dǎo)出支撐審計(jì)追溯降低人工轉(zhuǎn)錄帶來的證據(jù)失真風(fēng)險(xiǎn)。4接口適配靈活兼容三種主流測試鏈路——同軸傳導(dǎo)注入用于單板模組測試微波暗室OTA輻射完成整機(jī)與天線耦合效應(yīng)驗(yàn)證千兆網(wǎng)口對接HIL平臺實(shí)現(xiàn)GNSSIMU融合定位的閉環(huán)驗(yàn)證腳本與配置文件可納入版本管理系統(tǒng)。需要特別說明的是欺騙信號仿真僅用于接收機(jī)反欺騙、完好性監(jiān)測安全機(jī)制驗(yàn)證**實(shí)驗(yàn)室受控環(huán)境開展禁止在開放空間非法發(fā)射欺騙信號該類測試項(xiàng)目需要與ISO/SAE 21434車輛網(wǎng)絡(luò)安全評估協(xié)同實(shí)施[6]。3 面向ISO26262的典型測試場景與用例設(shè)計(jì)測試用例必須源自HARA危害分析與風(fēng)險(xiǎn)評估、FMEA失效模式分析每條用例綁定對應(yīng)的技術(shù)安全需求TSR明確判定準(zhǔn)則、失效閾值、安全機(jī)制觸發(fā)時(shí)限。以下為車規(guī)GNSS定位高頻邊界測試場景。3.1 長時(shí)間弱信號跟蹤與信號逐步衰減場景城市峽谷、高架橋下、林蔭路段會造成GNSS載噪比持續(xù)下降、可視衛(wèi)星數(shù)量減少屬于車載定位高頻連續(xù)降級工況。模擬器將衛(wèi)星載噪比從正常4045dB·Hz緩慢衰減至接收機(jī)跟蹤門限附近2025dB·Hz維持?jǐn)?shù)分鐘至數(shù)十分鐘穩(wěn)態(tài)弱信號驗(yàn)證接收機(jī)跟蹤環(huán)路、RAIM故障檢測、完好性標(biāo)志輸出、GNSS/IMU組合導(dǎo)航接管邏輯確認(rèn)系統(tǒng)不會輸出不可信定位結(jié)果。該場景驗(yàn)證定位降級過程安全可控彌補(bǔ)實(shí)車路測弱信號持續(xù)時(shí)間不可控的短板單衛(wèi)星獨(dú)立功率調(diào)節(jié)能力可以模擬真實(shí)道路中各衛(wèi)星非同步衰減現(xiàn)象。3.2 衛(wèi)星星座動態(tài)切換、瞬時(shí)丟星與多星遮擋場景車輛駛?cè)胨淼?、大型建筑遮擋區(qū)域時(shí)可視衛(wèi)星會快速消失駛出后星座快速重建。模擬器通過腳本時(shí)序控制衛(wèi)星可視狀態(tài)模擬連續(xù)丟星、多星同時(shí)消失、衛(wèi)星分批重新捕獲等工況驗(yàn)證接收機(jī)星歷更新、周跳檢測、保護(hù)等級PL計(jì)算邏輯。針對ASIL-B及以上等級定位系統(tǒng)該場景需要多次重復(fù)執(zhí)行統(tǒng)計(jì)完好性告警漏檢、誤告警概率作為安全論證素材。模擬器支持外部整車動力學(xué)軌跡導(dǎo)入疊加星座遮擋時(shí)序可復(fù)現(xiàn)車輛轉(zhuǎn)彎、加減速的真實(shí)車載工況[11]。3.3 SSR差分電文異常注入場景高階自動駕駛普遍采用SSR差分改正實(shí)現(xiàn)RTK/PPP-RTK厘米級定位。差分鏈路存在報(bào)文損壞、改正數(shù)超限、傳輸時(shí)延突變、服務(wù)中斷等失效風(fēng)險(xiǎn)。模擬器對SSR電文實(shí)施異常注入改正數(shù)階躍錯(cuò)誤、報(bào)文隨機(jī)丟幀、星座子集改正失效等驗(yàn)證定位引擎識別異常、剔除錯(cuò)誤差分、降級至單點(diǎn)定位、向上游域控上報(bào)定位不可用標(biāo)志的安全機(jī)制是當(dāng)前高精度車規(guī)定位取證的重點(diǎn)新增測試項(xiàng)。測試完成后完整留存被篡改電文字段與時(shí)間戳歸入安全證據(jù)包。3.4 受控欺騙信號注入與完好性檢測場景該場景目的不是觀測接收機(jī)被欺騙后的定位偏移而是驗(yàn)證接收機(jī)欺騙識別、信號質(zhì)量監(jiān)控等安全防護(hù)機(jī)制。在正常導(dǎo)航信號基礎(chǔ)上腳本可控注入欺騙信號控制偽距、載波相位偏移速率復(fù)現(xiàn)轉(zhuǎn)發(fā)式、生成式欺騙典型特征檢驗(yàn)接收機(jī)是否按時(shí)限識別異常、觸發(fā)告警、凍結(jié)定位輸出避免錯(cuò)誤位置進(jìn)入規(guī)劃控制模塊。該測試必須在屏蔽暗室或傳導(dǎo)鏈路中完成規(guī)避對外空間射頻干擾風(fēng)險(xiǎn)并同步開展ISO/SAE 21434網(wǎng)絡(luò)安全評估[6]。4 完整測試實(shí)施流程滿足審核取證要求1前置工具確認(rèn)與版本鎖定依據(jù)ISO 26262-8開展模擬器工具置信度TCL評估識別工具引入風(fēng)險(xiǎn)核驗(yàn)射頻精度、通道同步、電文生成正確性采用CNAS認(rèn)可計(jì)量機(jī)構(gòu)出具的校準(zhǔn)證書佐證量值溯源鎖定模擬器固件版本、仿真腳本、HIL接口配置納入配置管理測試過程禁止無記錄固件升級[3]。2測試環(huán)境搭建與鏈路標(biāo)定依據(jù)被測對象選擇傳導(dǎo)注入或暗室OTA方案完成射頻線纜、衰減器、功分器鏈路損耗標(biāo)定并輸出校準(zhǔn)報(bào)告消除鏈路誤差帶來判定爭議大小雙信號輸出接口可分別適配微弱信號邊界測試和強(qiáng)信號飽和測試[11]。3用例執(zhí)行與全要素日志記錄每個(gè)測試場景啟動自動歸檔全套配置快照包含星座配置、功率時(shí)序、多徑模型、SSR電文、載體軌跡、時(shí)間同步信息同步采集接收機(jī)原始觀測、定位解算、完好性標(biāo)志、域控交互報(bào)文全部日志攜帶全局時(shí)間戳保障多源數(shù)據(jù)時(shí)序?qū)R優(yōu)先使用設(shè)備原生導(dǎo)出仿真原始數(shù)據(jù)減少人工記錄帶來的錯(cuò)誤。4結(jié)果判定、偏差分析與閉環(huán)對照TSR安全目標(biāo)判定用例通過或失敗缺陷項(xiàng)進(jìn)入缺陷管理修改完成后復(fù)用完全一致的仿真腳本復(fù)測復(fù)現(xiàn)故障并確認(rèn)整改效果復(fù)測記錄與原始測試記錄綁定保障追溯鏈完整。5證據(jù)打包匯入安全案例匯總HARA、FMEA、需求雙向追溯矩陣、模擬器計(jì)量校準(zhǔn)證書、工具確認(rèn)報(bào)告、原始測試日志、測試報(bào)告形成可提交第三方評估機(jī)構(gòu)的完整安全證據(jù)包。5 模擬器測試與實(shí)車路測的定位關(guān)系合規(guī)論證要點(diǎn)模擬器仿真測試不能替代實(shí)車驗(yàn)證在ISO26262體系中二者是互補(bǔ)關(guān)系不存在相互替代GNSS仿真測試優(yōu)勢在于邊界故障場景可控、可反復(fù)復(fù)現(xiàn)、變量隔離適合故障注入、降級邏輯、異常電文、欺騙檢測等高風(fēng)險(xiǎn)邊界驗(yàn)證設(shè)備計(jì)量自檢能力還可定期復(fù)核射頻、偽距、動態(tài)指標(biāo)保障長期測試一致性實(shí)車路測優(yōu)勢在于引入真實(shí)電離層對流層、真實(shí)城市多徑、車載天線耦合、整車電磁環(huán)境用于校驗(yàn)仿真模型保真度對應(yīng)標(biāo)準(zhǔn)的確認(rèn)階段Validation舉證。行業(yè)評估普遍采信閉環(huán)驗(yàn)證策略FMEA識別風(fēng)險(xiǎn)→模擬器批量遍歷邊界場景完成Verification驗(yàn)證→實(shí)車采集典型場景數(shù)據(jù)→將路測數(shù)據(jù)回放到模擬器復(fù)測交叉校驗(yàn)算法表現(xiàn)。EN 16803-4已定義真實(shí)道路GNSS數(shù)據(jù)采集與測試場景設(shè)計(jì)驗(yàn)證的工程方法為“仿真覆蓋邊界、實(shí)車校準(zhǔn)模型、回放閉環(huán)復(fù)核”提供標(biāo)準(zhǔn)化支撐該邏輯更容易獲得ISO26262審核機(jī)構(gòu)認(rèn)可[8]。6 現(xiàn)存局限與測試風(fēng)險(xiǎn)管控提示1仿真模型保真度風(fēng)險(xiǎn)電離層、城市多徑、車載天線方向圖均屬于數(shù)學(xué)建模近似仿真環(huán)境和真實(shí)道路存在客觀差異。需要開展模型不確定性分析在安全案例中寫明仿真假設(shè)條件、模型誤差上限即便配置多徑仿真選件仿真多徑依然不能等同于真實(shí)城市多徑不可直接等效實(shí)車測試結(jié)果。2通道同步誤差風(fēng)險(xiǎn)多通道模擬器通道間時(shí)間、相位同步誤差直接影響RTK、雙天線定向解算結(jié)果通道內(nèi)部時(shí)延、1PPS抖動是工具確認(rèn)階段重點(diǎn)核查硬件指標(biāo)需要按計(jì)量周期定期校準(zhǔn)[10]。3場景覆蓋完備性風(fēng)險(xiǎn)測試腳本基于FMEA導(dǎo)出無法窮盡全部未知風(fēng)險(xiǎn)場景仿真測試必須與ISO 21448預(yù)期功能安全SOTIF的未知場景分析相結(jié)合[7]。4工具變更管控風(fēng)險(xiǎn)模擬器固件升級、仿真引擎更新、啟用功能選件都需要重新開展工具確認(rèn)評估舊版本測試結(jié)果不能直接繼承沿用[3]。參考文獻(xiàn)[1] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary[S]. Geneva: ISO, 2018.[2] ISO 26262-4:2018, Road vehicles — Functional safety — Part 4: Product development at the system level[S]. Geneva: ISO, 2018.[3] ISO 26262-8:2018, Road vehicles — Functional safety — Part 8: Supporting processes[S]. Geneva: ISO, 2018.[4] ISO 26262-10:2018, Road vehicles — Functional safety — Part 10: Guideline on ISO 26262[S]. Geneva: ISO, 2018.[5] GB/T 34590.4—2022道路車輛 功能安全 第4部分產(chǎn)品開發(fā)系統(tǒng)層面修改采用ISO 26262-4:2018[S]. 北京中國標(biāo)準(zhǔn)出版社2022.[6] ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering[S]. Geneva: ISO, 2021.[7] ISO 21448:2022, Road vehicles — Safety of the intended functionality[S]. Geneva: ISO, 2022.[8] EN 16803-4:2024, Space — Use of GNSS-based positioning for road Intelligent Transport Systems (ITS) — Part 4: Definitions and system engineering procedures for the design and validation of test scenarios[S]. Brussels: CEN/CENELEC, 2024.[9] BD 420012—2015北斗/全球衛(wèi)星導(dǎo)航系統(tǒng)GNSS信號模擬器 性能要求及測試方法[S]. 北京中國衛(wèi)星導(dǎo)航系統(tǒng)管理辦公室2015.[10] JJF 1471—2024全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準(zhǔn)規(guī)范[S]. 北京國家市場監(jiān)督管理總局2024. GNSS信號模擬器在車規(guī)導(dǎo)航ISO26262證中的測試方案
摘要ISO 26262功能安全標(biāo)準(zhǔn)對車載安全相關(guān)電氣電子系統(tǒng)提出可復(fù)現(xiàn)、可審計(jì)、雙向可追溯的驗(yàn)證要求GNSS定位作為高階智駕、ADAS定位鏈的關(guān)鍵輸入僅依靠實(shí)車上路測試難以覆蓋低概率邊界故障也無法滿足取證審核對測試條件可控、過程留痕的硬性約束。GNSS信號模擬器可在實(shí)驗(yàn)室環(huán)境可控生成多星座射頻導(dǎo)航信號、故障注入場景與差分改正電文支持傳導(dǎo)、輻射、HIL硬件在環(huán)多種接入方式面向ASIL分級需求完成弱信號持續(xù)衰減、衛(wèi)星星座動態(tài)切換、SSR差分電文異常、可控欺騙信號注入等邊界場景驗(yàn)證輸出帶時(shí)間戳、參數(shù)快照的完整測試日志構(gòu)建從安全需求、測試用例、執(zhí)行記錄到判定結(jié)論的合規(guī)證據(jù)鏈?zhǔn)擒囈?guī)導(dǎo)航接收機(jī)、定位引擎通過ISO26262評估的核心驗(yàn)證工具。關(guān)鍵詞gnss導(dǎo)航信號模擬器GNSS信號模擬器gnss信號模擬設(shè)備國產(chǎn)gnss信號源1 ISO26262對車載GNSS定位系統(tǒng)的驗(yàn)證約束ISO 26262:2018國內(nèi)等同轉(zhuǎn)化為GB/T 34590系列基于風(fēng)險(xiǎn)分析確定汽車安全完整性等級ASIL覆蓋概念階段、產(chǎn)品開發(fā)、驗(yàn)證確認(rèn)、生產(chǎn)運(yùn)維全安全生命周期[1]。其中系統(tǒng)級開發(fā)章節(jié)ISO 26262-4明確安全相關(guān)系統(tǒng)的驗(yàn)證測試必須具備可復(fù)現(xiàn)性、可追溯性、可審計(jì)性測試用例應(yīng)從技術(shù)安全需求TSR導(dǎo)出建立需求與測試結(jié)果之間雙向追溯矩陣用于安全案例Safety Case舉證[2][5]。車載GNSS定位屬于典型的外部輸入依賴系統(tǒng)其失效模式包含信號遮擋丟星、載噪比持續(xù)降低、衛(wèi)星星座拓?fù)渫蛔儭⒉罘指恼龜?shù)據(jù)錯(cuò)誤、惡意欺騙信號誘導(dǎo)定位漂移等。上述很多場景在開放道路中屬于偶發(fā)事件實(shí)車路測無法穩(wěn)定復(fù)現(xiàn)環(huán)境溫度、電磁背景、衛(wèi)星軌道每天均發(fā)生變化每次測試輸入條件不一致審核方通常不接受僅依靠路測數(shù)據(jù)單獨(dú)作為功能安全驗(yàn)證證據(jù)。同時(shí)ISO 26262-8對工具確認(rèn)Tool Confidence提出要求用于安全相關(guān)驗(yàn)證的測試設(shè)備需要完成工具風(fēng)險(xiǎn)評估與確認(rèn)證明模擬器本身的系統(tǒng)誤差、同步誤差、射頻輸出偏差不會引入不可控的誤判模擬器的固件版本、場景腳本、通道配置、時(shí)序參數(shù)都必須納入版本管控所有測試記錄按標(biāo)準(zhǔn)要求留存[3]。工具確認(rèn)環(huán)節(jié)中第三方CNAS認(rèn)可機(jī)構(gòu)出具的計(jì)量校準(zhǔn)證書是證明模擬器輸出量值溯源性的關(guān)鍵材料模擬器的偽距精度、通道時(shí)延、射頻功率、1PPS同步抖動等關(guān)鍵指標(biāo)需依據(jù)JJF 1471《全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準(zhǔn)規(guī)范》完成定期校準(zhǔn)為工具置信度評估提供客觀可采信證據(jù)[10]。2 GNSS模擬器適配ISO26262驗(yàn)證的基礎(chǔ)能力邊界GNSS信號模擬器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多頻多星座相干射頻信號完成衛(wèi)星軌道、衛(wèi)星鐘差、電離層、對流層、多徑衰減、多普勒效應(yīng)建模支持載體軌跡與姿態(tài)角實(shí)時(shí)驅(qū)動可對接HIL仿真主機(jī)獲取整車動力學(xué)數(shù)據(jù)實(shí)現(xiàn)整車級閉環(huán)仿真。國產(chǎn)GNSS信號源近年來發(fā)展迅速部分設(shè)備已能滿足車規(guī)功能安全測試對精度、時(shí)序、日志留存的要求。以同步天下SYN5206型GNSS模擬器為例其偽距誤差≤0.05m、偽距率誤差≤0.02m/s、內(nèi)部通道延遲≤5ns、1PPS輸出抖動≤5ns數(shù)據(jù)更新率可達(dá)1000Hz支持五星座18信號與163通道輸出、單衛(wèi)星通道獨(dú)立功率調(diào)控功率分辨力0.1dB、大小信號雙路輸出-165dBm0dBm并具備計(jì)量模式、遠(yuǎn)程網(wǎng)絡(luò)控制、仿真數(shù)據(jù)導(dǎo)出等能力可覆蓋車規(guī)功能安全測試對底層精度、時(shí)延與日志留存的基礎(chǔ)條件[11]。面向ISO26262功能安全驗(yàn)證模擬器不能只滿足普通性能測試指標(biāo)必須同時(shí)具備以下四項(xiàng)核心合規(guī)能力1參數(shù)全可控每顆衛(wèi)星的信號功率、偽距、載波相位、多普勒、電文字段可獨(dú)立配置可實(shí)現(xiàn)長時(shí)間穩(wěn)態(tài)弱信號、階梯式功率跌落、瞬時(shí)斷星等工況功率分辨力建議達(dá)到0.1dB量級以復(fù)現(xiàn)城市峽谷微弱信號漸變的真實(shí)特征。2故障可注入支持SSR高精度差分改正電文篡改、延遲、丟包、字段越界支持實(shí)驗(yàn)室受控條件下的欺騙信號注入用于接收機(jī)欺騙檢測、完好性監(jiān)控算法驗(yàn)證。故障仿真建議以軟件選件方式實(shí)現(xiàn)避免改動硬件主體。3時(shí)序與同步可溯源具備1PPS輸入輸出同步接口保障多星座信號統(tǒng)一時(shí)間基準(zhǔn)完整記錄仿真配置快照、載體軌跡、射頻輸出參數(shù)、接收機(jī)觀測數(shù)據(jù)支持廣播星歷、偽距、電離層對流層誤差、載體運(yùn)動狀態(tài)等原始仿真數(shù)據(jù)導(dǎo)出支撐審計(jì)追溯降低人工轉(zhuǎn)錄帶來的證據(jù)失真風(fēng)險(xiǎn)。4接口適配靈活兼容三種主流測試鏈路——同軸傳導(dǎo)注入用于單板模組測試微波暗室OTA輻射完成整機(jī)與天線耦合效應(yīng)驗(yàn)證千兆網(wǎng)口對接HIL平臺實(shí)現(xiàn)GNSSIMU融合定位的閉環(huán)驗(yàn)證腳本與配置文件可納入版本管理系統(tǒng)。需要特別說明的是欺騙信號仿真僅用于接收機(jī)反欺騙、完好性監(jiān)測安全機(jī)制驗(yàn)證**實(shí)驗(yàn)室受控環(huán)境開展禁止在開放空間非法發(fā)射欺騙信號該類測試項(xiàng)目需要與ISO/SAE 21434車輛網(wǎng)絡(luò)安全評估協(xié)同實(shí)施[6]。3 面向ISO26262的典型測試場景與用例設(shè)計(jì)測試用例必須源自HARA危害分析與風(fēng)險(xiǎn)評估、FMEA失效模式分析每條用例綁定對應(yīng)的技術(shù)安全需求TSR明確判定準(zhǔn)則、失效閾值、安全機(jī)制觸發(fā)時(shí)限。以下為車規(guī)GNSS定位高頻邊界測試場景。3.1 長時(shí)間弱信號跟蹤與信號逐步衰減場景城市峽谷、高架橋下、林蔭路段會造成GNSS載噪比持續(xù)下降、可視衛(wèi)星數(shù)量減少屬于車載定位高頻連續(xù)降級工況。模擬器將衛(wèi)星載噪比從正常4045dB·Hz緩慢衰減至接收機(jī)跟蹤門限附近2025dB·Hz維持?jǐn)?shù)分鐘至數(shù)十分鐘穩(wěn)態(tài)弱信號驗(yàn)證接收機(jī)跟蹤環(huán)路、RAIM故障檢測、完好性標(biāo)志輸出、GNSS/IMU組合導(dǎo)航接管邏輯確認(rèn)系統(tǒng)不會輸出不可信定位結(jié)果。該場景驗(yàn)證定位降級過程安全可控彌補(bǔ)實(shí)車路測弱信號持續(xù)時(shí)間不可控的短板單衛(wèi)星獨(dú)立功率調(diào)節(jié)能力可以模擬真實(shí)道路中各衛(wèi)星非同步衰減現(xiàn)象。3.2 衛(wèi)星星座動態(tài)切換、瞬時(shí)丟星與多星遮擋場景車輛駛?cè)胨淼?、大型建筑遮擋區(qū)域時(shí)可視衛(wèi)星會快速消失駛出后星座快速重建。模擬器通過腳本時(shí)序控制衛(wèi)星可視狀態(tài)模擬連續(xù)丟星、多星同時(shí)消失、衛(wèi)星分批重新捕獲等工況驗(yàn)證接收機(jī)星歷更新、周跳檢測、保護(hù)等級PL計(jì)算邏輯。針對ASIL-B及以上等級定位系統(tǒng)該場景需要多次重復(fù)執(zhí)行統(tǒng)計(jì)完好性告警漏檢、誤告警概率作為安全論證素材。模擬器支持外部整車動力學(xué)軌跡導(dǎo)入疊加星座遮擋時(shí)序可復(fù)現(xiàn)車輛轉(zhuǎn)彎、加減速的真實(shí)車載工況[11]。3.3 SSR差分電文異常注入場景高階自動駕駛普遍采用SSR差分改正實(shí)現(xiàn)RTK/PPP-RTK厘米級定位。差分鏈路存在報(bào)文損壞、改正數(shù)超限、傳輸時(shí)延突變、服務(wù)中斷等失效風(fēng)險(xiǎn)。模擬器對SSR電文實(shí)施異常注入改正數(shù)階躍錯(cuò)誤、報(bào)文隨機(jī)丟幀、星座子集改正失效等驗(yàn)證定位引擎識別異常、剔除錯(cuò)誤差分、降級至單點(diǎn)定位、向上游域控上報(bào)定位不可用標(biāo)志的安全機(jī)制是當(dāng)前高精度車規(guī)定位取證的重點(diǎn)新增測試項(xiàng)。測試完成后完整留存被篡改電文字段與時(shí)間戳歸入安全證據(jù)包。3.4 受控欺騙信號注入與完好性檢測場景該場景目的不是觀測接收機(jī)被欺騙后的定位偏移而是驗(yàn)證接收機(jī)欺騙識別、信號質(zhì)量監(jiān)控等安全防護(hù)機(jī)制。在正常導(dǎo)航信號基礎(chǔ)上腳本可控注入欺騙信號控制偽距、載波相位偏移速率復(fù)現(xiàn)轉(zhuǎn)發(fā)式、生成式欺騙典型特征檢驗(yàn)接收機(jī)是否按時(shí)限識別異常、觸發(fā)告警、凍結(jié)定位輸出避免錯(cuò)誤位置進(jìn)入規(guī)劃控制模塊。該測試必須在屏蔽暗室或傳導(dǎo)鏈路中完成規(guī)避對外空間射頻干擾風(fēng)險(xiǎn)并同步開展ISO/SAE 21434網(wǎng)絡(luò)安全評估[6]。4 完整測試實(shí)施流程滿足審核取證要求1前置工具確認(rèn)與版本鎖定依據(jù)ISO 26262-8開展模擬器工具置信度TCL評估識別工具引入風(fēng)險(xiǎn)核驗(yàn)射頻精度、通道同步、電文生成正確性采用CNAS認(rèn)可計(jì)量機(jī)構(gòu)出具的校準(zhǔn)證書佐證量值溯源鎖定模擬器固件版本、仿真腳本、HIL接口配置納入配置管理測試過程禁止無記錄固件升級[3]。2測試環(huán)境搭建與鏈路標(biāo)定依據(jù)被測對象選擇傳導(dǎo)注入或暗室OTA方案完成射頻線纜、衰減器、功分器鏈路損耗標(biāo)定并輸出校準(zhǔn)報(bào)告消除鏈路誤差帶來判定爭議大小雙信號輸出接口可分別適配微弱信號邊界測試和強(qiáng)信號飽和測試[11]。3用例執(zhí)行與全要素日志記錄每個(gè)測試場景啟動自動歸檔全套配置快照包含星座配置、功率時(shí)序、多徑模型、SSR電文、載體軌跡、時(shí)間同步信息同步采集接收機(jī)原始觀測、定位解算、完好性標(biāo)志、域控交互報(bào)文全部日志攜帶全局時(shí)間戳保障多源數(shù)據(jù)時(shí)序?qū)R優(yōu)先使用設(shè)備原生導(dǎo)出仿真原始數(shù)據(jù)減少人工記錄帶來的錯(cuò)誤。4結(jié)果判定、偏差分析與閉環(huán)對照TSR安全目標(biāo)判定用例通過或失敗缺陷項(xiàng)進(jìn)入缺陷管理修改完成后復(fù)用完全一致的仿真腳本復(fù)測復(fù)現(xiàn)故障并確認(rèn)整改效果復(fù)測記錄與原始測試記錄綁定保障追溯鏈完整。5證據(jù)打包匯入安全案例匯總HARA、FMEA、需求雙向追溯矩陣、模擬器計(jì)量校準(zhǔn)證書、工具確認(rèn)報(bào)告、原始測試日志、測試報(bào)告形成可提交第三方評估機(jī)構(gòu)的完整安全證據(jù)包。5 模擬器測試與實(shí)車路測的定位關(guān)系合規(guī)論證要點(diǎn)模擬器仿真測試不能替代實(shí)車驗(yàn)證在ISO26262體系中二者是互補(bǔ)關(guān)系不存在相互替代GNSS仿真測試優(yōu)勢在于邊界故障場景可控、可反復(fù)復(fù)現(xiàn)、變量隔離適合故障注入、降級邏輯、異常電文、欺騙檢測等高風(fēng)險(xiǎn)邊界驗(yàn)證設(shè)備計(jì)量自檢能力還可定期復(fù)核射頻、偽距、動態(tài)指標(biāo)保障長期測試一致性實(shí)車路測優(yōu)勢在于引入真實(shí)電離層對流層、真實(shí)城市多徑、車載天線耦合、整車電磁環(huán)境用于校驗(yàn)仿真模型保真度對應(yīng)標(biāo)準(zhǔn)的確認(rèn)階段Validation舉證。行業(yè)評估普遍采信閉環(huán)驗(yàn)證策略FMEA識別風(fēng)險(xiǎn)→模擬器批量遍歷邊界場景完成Verification驗(yàn)證→實(shí)車采集典型場景數(shù)據(jù)→將路測數(shù)據(jù)回放到模擬器復(fù)測交叉校驗(yàn)算法表現(xiàn)。EN 16803-4已定義真實(shí)道路GNSS數(shù)據(jù)采集與測試場景設(shè)計(jì)驗(yàn)證的工程方法為“仿真覆蓋邊界、實(shí)車校準(zhǔn)模型、回放閉環(huán)復(fù)核”提供標(biāo)準(zhǔn)化支撐該邏輯更容易獲得ISO26262審核機(jī)構(gòu)認(rèn)可[8]。6 現(xiàn)存局限與測試風(fēng)險(xiǎn)管控提示1仿真模型保真度風(fēng)險(xiǎn)電離層、城市多徑、車載天線方向圖均屬于數(shù)學(xué)建模近似仿真環(huán)境和真實(shí)道路存在客觀差異。需要開展模型不確定性分析在安全案例中寫明仿真假設(shè)條件、模型誤差上限即便配置多徑仿真選件仿真多徑依然不能等同于真實(shí)城市多徑不可直接等效實(shí)車測試結(jié)果。2通道同步誤差風(fēng)險(xiǎn)多通道模擬器通道間時(shí)間、相位同步誤差直接影響RTK、雙天線定向解算結(jié)果通道內(nèi)部時(shí)延、1PPS抖動是工具確認(rèn)階段重點(diǎn)核查硬件指標(biāo)需要按計(jì)量周期定期校準(zhǔn)[10]。3場景覆蓋完備性風(fēng)險(xiǎn)測試腳本基于FMEA導(dǎo)出無法窮盡全部未知風(fēng)險(xiǎn)場景仿真測試必須與ISO 21448預(yù)期功能安全SOTIF的未知場景分析相結(jié)合[7]。4工具變更管控風(fēng)險(xiǎn)模擬器固件升級、仿真引擎更新、啟用功能選件都需要重新開展工具確認(rèn)評估舊版本測試結(jié)果不能直接繼承沿用[3]。參考文獻(xiàn)[1] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary[S]. Geneva: ISO, 2018.[2] ISO 26262-4:2018, Road vehicles — Functional safety — Part 4: Product development at the system level[S]. Geneva: ISO, 2018.[3] ISO 26262-8:2018, Road vehicles — Functional safety — Part 8: Supporting processes[S]. Geneva: ISO, 2018.[4] ISO 26262-10:2018, Road vehicles — Functional safety — Part 10: Guideline on ISO 26262[S]. Geneva: ISO, 2018.[5] GB/T 34590.4—2022道路車輛 功能安全 第4部分產(chǎn)品開發(fā)系統(tǒng)層面修改采用ISO 26262-4:2018[S]. 北京中國標(biāo)準(zhǔn)出版社2022.[6] ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering[S]. Geneva: ISO, 2021.[7] ISO 21448:2022, Road vehicles — Safety of the intended functionality[S]. Geneva: ISO, 2022.[8] EN 16803-4:2024, Space — Use of GNSS-based positioning for road Intelligent Transport Systems (ITS) — Part 4: Definitions and system engineering procedures for the design and validation of test scenarios[S]. Brussels: CEN/CENELEC, 2024.[9] BD 420012—2015北斗/全球衛(wèi)星導(dǎo)航系統(tǒng)GNSS信號模擬器 性能要求及測試方法[S]. 北京中國衛(wèi)星導(dǎo)航系統(tǒng)管理辦公室2015.[10] JJF 1471—2024全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號模擬器校準(zhǔn)規(guī)范[S]. 北京國家市場監(jiān)督管理總局2024.