模擬器在車規(guī)導(dǎo)航ISO26262證中的測(cè)試方案)
摘要ISO 26262功能安全標(biāo)準(zhǔn)對(duì)車載安全相關(guān)電氣電子系統(tǒng)提出可復(fù)現(xiàn)、可審計(jì)、雙向可追溯的驗(yàn)證要求GNSS定位作為高階智駕、ADAS定位鏈的關(guān)鍵輸入僅依靠實(shí)車上路測(cè)試難以覆蓋低概率邊界故障也無法滿足取證審核對(duì)測(cè)試條件可控、過程留痕的硬性約束。GNSS信號(hào)模擬器可在實(shí)驗(yàn)室環(huán)境可控生成多星座射頻導(dǎo)航信號(hào)、故障注入場(chǎng)景與差分改正電文支持傳導(dǎo)、輻射、HIL硬件在環(huán)多種接入方式面向ASIL分級(jí)需求完成弱信號(hào)持續(xù)衰減、衛(wèi)星星座動(dòng)態(tài)切換、SSR差分電文異常、可控欺騙信號(hào)注入等邊界場(chǎng)景驗(yàn)證輸出帶時(shí)間戳、參數(shù)快照的完整測(cè)試日志構(gòu)建從安全需求、測(cè)試用例、執(zhí)行記錄到判定結(jié)論的合規(guī)證據(jù)鏈?zhǔn)擒囈?guī)導(dǎo)航接收機(jī)、定位引擎通過ISO26262評(píng)估的核心驗(yàn)證工具。關(guān)鍵詞gnss導(dǎo)航信號(hào)模擬器GNSS信號(hào)模擬器gnss信號(hào)模擬設(shè)備國(guó)產(chǎn)gnss信號(hào)源1 ISO26262對(duì)車載GNSS定位系統(tǒng)的驗(yàn)證約束ISO 26262:2018國(guó)內(nèi)等同轉(zhuǎn)化為GB/T 34590系列基于風(fēng)險(xiǎn)分析確定汽車安全完整性等級(jí)ASIL覆蓋概念階段、產(chǎn)品開發(fā)、驗(yàn)證確認(rèn)、生產(chǎn)運(yùn)維全安全生命周期[1]。其中系統(tǒng)級(jí)開發(fā)章節(jié)ISO 26262-4明確安全相關(guān)系統(tǒng)的驗(yàn)證測(cè)試必須具備可復(fù)現(xiàn)性、可追溯性、可審計(jì)性測(cè)試用例應(yīng)從技術(shù)安全需求TSR導(dǎo)出建立需求與測(cè)試結(jié)果之間雙向追溯矩陣用于安全案例Safety Case舉證[2][5]。車載GNSS定位屬于典型的外部輸入依賴系統(tǒng)其失效模式包含信號(hào)遮擋丟星、載噪比持續(xù)降低、衛(wèi)星星座拓?fù)渫蛔?、差分改正?shù)據(jù)錯(cuò)誤、惡意欺騙信號(hào)誘導(dǎo)定位漂移等。上述很多場(chǎng)景在開放道路中屬于偶發(fā)事件實(shí)車路測(cè)無法穩(wěn)定復(fù)現(xiàn)環(huán)境溫度、電磁背景、衛(wèi)星軌道每天均發(fā)生變化每次測(cè)試輸入條件不一致審核方通常不接受僅依靠路測(cè)數(shù)據(jù)單獨(dú)作為功能安全驗(yàn)證證據(jù)。同時(shí)ISO 26262-8對(duì)工具確認(rèn)Tool Confidence提出要求用于安全相關(guān)驗(yàn)證的測(cè)試設(shè)備需要完成工具風(fēng)險(xiǎn)評(píng)估與確認(rèn)證明模擬器本身的系統(tǒng)誤差、同步誤差、射頻輸出偏差不會(huì)引入不可控的誤判模擬器的固件版本、場(chǎng)景腳本、通道配置、時(shí)序參數(shù)都必須納入版本管控所有測(cè)試記錄按標(biāo)準(zhǔn)要求留存[3]。工具確認(rèn)環(huán)節(jié)中第三方CNAS認(rèn)可機(jī)構(gòu)出具的計(jì)量校準(zhǔn)證書是證明模擬器輸出量值溯源性的關(guān)鍵材料模擬器的偽距精度、通道時(shí)延、射頻功率、1PPS同步抖動(dòng)等關(guān)鍵指標(biāo)需依據(jù)JJF 1471《全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號(hào)模擬器校準(zhǔn)規(guī)范》完成定期校準(zhǔn)為工具置信度評(píng)估提供客觀可采信證據(jù)[10]。2 GNSS模擬器適配ISO26262驗(yàn)證的基礎(chǔ)能力邊界GNSS信號(hào)模擬器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多頻多星座相干射頻信號(hào)完成衛(wèi)星軌道、衛(wèi)星鐘差、電離層、對(duì)流層、多徑衰減、多普勒效應(yīng)建模支持載體軌跡與姿態(tài)角實(shí)時(shí)驅(qū)動(dòng)可對(duì)接HIL仿真主機(jī)獲取整車動(dòng)力學(xué)數(shù)據(jù)實(shí)現(xiàn)整車級(jí)閉環(huán)仿真。國(guó)產(chǎn)GNSS信號(hào)源近年來發(fā)展迅速部分設(shè)備已能滿足車規(guī)功能安全測(cè)試對(duì)精度、時(shí)序、日志留存的要求。以同步天下SYN5206型GNSS模擬器為例其偽距誤差≤0.05m、偽距率誤差≤0.02m/s、內(nèi)部通道延遲≤5ns、1PPS輸出抖動(dòng)≤5ns數(shù)據(jù)更新率可達(dá)1000Hz支持五星座18信號(hào)與163通道輸出、單衛(wèi)星通道獨(dú)立功率調(diào)控功率分辨力0.1dB、大小信號(hào)雙路輸出-165dBm0dBm并具備計(jì)量模式、遠(yuǎn)程網(wǎng)絡(luò)控制、仿真數(shù)據(jù)導(dǎo)出等能力可覆蓋車規(guī)功能安全測(cè)試對(duì)底層精度、時(shí)延與日志留存的基礎(chǔ)條件[11]。面向ISO26262功能安全驗(yàn)證模擬器不能只滿足普通性能測(cè)試指標(biāo)必須同時(shí)具備以下四項(xiàng)核心合規(guī)能力1參數(shù)全可控每顆衛(wèi)星的信號(hào)功率、偽距、載波相位、多普勒、電文字段可獨(dú)立配置可實(shí)現(xiàn)長(zhǎng)時(shí)間穩(wěn)態(tài)弱信號(hào)、階梯式功率跌落、瞬時(shí)斷星等工況功率分辨力建議達(dá)到0.1dB量級(jí)以復(fù)現(xiàn)城市峽谷微弱信號(hào)漸變的真實(shí)特征。2故障可注入支持SSR高精度差分改正電文篡改、延遲、丟包、字段越界支持實(shí)驗(yàn)室受控條件下的欺騙信號(hào)注入用于接收機(jī)欺騙檢測(cè)、完好性監(jiān)控算法驗(yàn)證。故障仿真建議以軟件選件方式實(shí)現(xiàn)避免改動(dòng)硬件主體。3時(shí)序與同步可溯源具備1PPS輸入輸出同步接口保障多星座信號(hào)統(tǒng)一時(shí)間基準(zhǔn)完整記錄仿真配置快照、載體軌跡、射頻輸出參數(shù)、接收機(jī)觀測(cè)數(shù)據(jù)支持廣播星歷、偽距、電離層對(duì)流層誤差、載體運(yùn)動(dòng)狀態(tài)等原始仿真數(shù)據(jù)導(dǎo)出支撐審計(jì)追溯降低人工轉(zhuǎn)錄帶來的證據(jù)失真風(fēng)險(xiǎn)。4接口適配靈活兼容三種主流測(cè)試鏈路——同軸傳導(dǎo)注入用于單板模組測(cè)試微波暗室OTA輻射完成整機(jī)與天線耦合效應(yīng)驗(yàn)證千兆網(wǎng)口對(duì)接HIL平臺(tái)實(shí)現(xiàn)GNSSIMU融合定位的閉環(huán)驗(yàn)證腳本與配置文件可納入版本管理系統(tǒng)。需要特別說明的是欺騙信號(hào)仿真僅用于接收機(jī)反欺騙、完好性監(jiān)測(cè)安全機(jī)制驗(yàn)證**實(shí)驗(yàn)室受控環(huán)境開展禁止在開放空間非法發(fā)射欺騙信號(hào)該類測(cè)試項(xiàng)目需要與ISO/SAE 21434車輛網(wǎng)絡(luò)安全評(píng)估協(xié)同實(shí)施[6]。3 面向ISO26262的典型測(cè)試場(chǎng)景與用例設(shè)計(jì)測(cè)試用例必須源自HARA危害分析與風(fēng)險(xiǎn)評(píng)估、FMEA失效模式分析每條用例綁定對(duì)應(yīng)的技術(shù)安全需求TSR明確判定準(zhǔn)則、失效閾值、安全機(jī)制觸發(fā)時(shí)限。以下為車規(guī)GNSS定位高頻邊界測(cè)試場(chǎng)景。3.1 長(zhǎng)時(shí)間弱信號(hào)跟蹤與信號(hào)逐步衰減場(chǎng)景城市峽谷、高架橋下、林蔭路段會(huì)造成GNSS載噪比持續(xù)下降、可視衛(wèi)星數(shù)量減少屬于車載定位高頻連續(xù)降級(jí)工況。模擬器將衛(wèi)星載噪比從正常4045dB·Hz緩慢衰減至接收機(jī)跟蹤門限附近2025dB·Hz維持?jǐn)?shù)分鐘至數(shù)十分鐘穩(wěn)態(tài)弱信號(hào)驗(yàn)證接收機(jī)跟蹤環(huán)路、RAIM故障檢測(cè)、完好性標(biāo)志輸出、GNSS/IMU組合導(dǎo)航接管邏輯確認(rèn)系統(tǒng)不會(huì)輸出不可信定位結(jié)果。該場(chǎng)景驗(yàn)證定位降級(jí)過程安全可控彌補(bǔ)實(shí)車路測(cè)弱信號(hào)持續(xù)時(shí)間不可控的短板單衛(wèi)星獨(dú)立功率調(diào)節(jié)能力可以模擬真實(shí)道路中各衛(wèi)星非同步衰減現(xiàn)象。3.2 衛(wèi)星星座動(dòng)態(tài)切換、瞬時(shí)丟星與多星遮擋場(chǎng)景車輛駛?cè)胨淼?、大型建筑遮擋區(qū)域時(shí)可視衛(wèi)星會(huì)快速消失駛出后星座快速重建。模擬器通過腳本時(shí)序控制衛(wèi)星可視狀態(tài)模擬連續(xù)丟星、多星同時(shí)消失、衛(wèi)星分批重新捕獲等工況驗(yàn)證接收機(jī)星歷更新、周跳檢測(cè)、保護(hù)等級(jí)PL計(jì)算邏輯。針對(duì)ASIL-B及以上等級(jí)定位系統(tǒng)該場(chǎng)景需要多次重復(fù)執(zhí)行統(tǒng)計(jì)完好性告警漏檢、誤告警概率作為安全論證素材。模擬器支持外部整車動(dòng)力學(xué)軌跡導(dǎo)入疊加星座遮擋時(shí)序可復(fù)現(xiàn)車輛轉(zhuǎn)彎、加減速的真實(shí)車載工況[11]。3.3 SSR差分電文異常注入場(chǎng)景高階自動(dòng)駕駛普遍采用SSR差分改正實(shí)現(xiàn)RTK/PPP-RTK厘米級(jí)定位。差分鏈路存在報(bào)文損壞、改正數(shù)超限、傳輸時(shí)延突變、服務(wù)中斷等失效風(fēng)險(xiǎn)。模擬器對(duì)SSR電文實(shí)施異常注入改正數(shù)階躍錯(cuò)誤、報(bào)文隨機(jī)丟幀、星座子集改正失效等驗(yàn)證定位引擎識(shí)別異常、剔除錯(cuò)誤差分、降級(jí)至單點(diǎn)定位、向上游域控上報(bào)定位不可用標(biāo)志的安全機(jī)制是當(dāng)前高精度車規(guī)定位取證的重點(diǎn)新增測(cè)試項(xiàng)。測(cè)試完成后完整留存被篡改電文字段與時(shí)間戳歸入安全證據(jù)包。3.4 受控欺騙信號(hào)注入與完好性檢測(cè)場(chǎng)景該場(chǎng)景目的不是觀測(cè)接收機(jī)被欺騙后的定位偏移而是驗(yàn)證接收機(jī)欺騙識(shí)別、信號(hào)質(zhì)量監(jiān)控等安全防護(hù)機(jī)制。在正常導(dǎo)航信號(hào)基礎(chǔ)上腳本可控注入欺騙信號(hào)控制偽距、載波相位偏移速率復(fù)現(xiàn)轉(zhuǎn)發(fā)式、生成式欺騙典型特征檢驗(yàn)接收機(jī)是否按時(shí)限識(shí)別異常、觸發(fā)告警、凍結(jié)定位輸出避免錯(cuò)誤位置進(jìn)入規(guī)劃控制模塊。該測(cè)試必須在屏蔽暗室或傳導(dǎo)鏈路中完成規(guī)避對(duì)外空間射頻干擾風(fēng)險(xiǎn)并同步開展ISO/SAE 21434網(wǎng)絡(luò)安全評(píng)估[6]。4 完整測(cè)試實(shí)施流程滿足審核取證要求1前置工具確認(rèn)與版本鎖定依據(jù)ISO 26262-8開展模擬器工具置信度TCL評(píng)估識(shí)別工具引入風(fēng)險(xiǎn)核驗(yàn)射頻精度、通道同步、電文生成正確性采用CNAS認(rèn)可計(jì)量機(jī)構(gòu)出具的校準(zhǔn)證書佐證量值溯源鎖定模擬器固件版本、仿真腳本、HIL接口配置納入配置管理測(cè)試過程禁止無記錄固件升級(jí)[3]。2測(cè)試環(huán)境搭建與鏈路標(biāo)定依據(jù)被測(cè)對(duì)象選擇傳導(dǎo)注入或暗室OTA方案完成射頻線纜、衰減器、功分器鏈路損耗標(biāo)定并輸出校準(zhǔn)報(bào)告消除鏈路誤差帶來判定爭(zhēng)議大小雙信號(hào)輸出接口可分別適配微弱信號(hào)邊界測(cè)試和強(qiáng)信號(hào)飽和測(cè)試[11]。3用例執(zhí)行與全要素日志記錄每個(gè)測(cè)試場(chǎng)景啟動(dòng)自動(dòng)歸檔全套配置快照包含星座配置、功率時(shí)序、多徑模型、SSR電文、載體軌跡、時(shí)間同步信息同步采集接收機(jī)原始觀測(cè)、定位解算、完好性標(biāo)志、域控交互報(bào)文全部日志攜帶全局時(shí)間戳保障多源數(shù)據(jù)時(shí)序?qū)R優(yōu)先使用設(shè)備原生導(dǎo)出仿真原始數(shù)據(jù)減少人工記錄帶來的錯(cuò)誤。4結(jié)果判定、偏差分析與閉環(huán)對(duì)照TSR安全目標(biāo)判定用例通過或失敗缺陷項(xiàng)進(jìn)入缺陷管理修改完成后復(fù)用完全一致的仿真腳本復(fù)測(cè)復(fù)現(xiàn)故障并確認(rèn)整改效果復(fù)測(cè)記錄與原始測(cè)試記錄綁定保障追溯鏈完整。5證據(jù)打包匯入安全案例匯總HARA、FMEA、需求雙向追溯矩陣、模擬器計(jì)量校準(zhǔn)證書、工具確認(rèn)報(bào)告、原始測(cè)試日志、測(cè)試報(bào)告形成可提交第三方評(píng)估機(jī)構(gòu)的完整安全證據(jù)包。5 模擬器測(cè)試與實(shí)車路測(cè)的定位關(guān)系合規(guī)論證要點(diǎn)模擬器仿真測(cè)試不能替代實(shí)車驗(yàn)證在ISO26262體系中二者是互補(bǔ)關(guān)系不存在相互替代GNSS仿真測(cè)試優(yōu)勢(shì)在于邊界故障場(chǎng)景可控、可反復(fù)復(fù)現(xiàn)、變量隔離適合故障注入、降級(jí)邏輯、異常電文、欺騙檢測(cè)等高風(fēng)險(xiǎn)邊界驗(yàn)證設(shè)備計(jì)量自檢能力還可定期復(fù)核射頻、偽距、動(dòng)態(tài)指標(biāo)保障長(zhǎng)期測(cè)試一致性實(shí)車路測(cè)優(yōu)勢(shì)在于引入真實(shí)電離層對(duì)流層、真實(shí)城市多徑、車載天線耦合、整車電磁環(huán)境用于校驗(yàn)仿真模型保真度對(duì)應(yīng)標(biāo)準(zhǔn)的確認(rèn)階段Validation舉證。行業(yè)評(píng)估普遍采信閉環(huán)驗(yàn)證策略FMEA識(shí)別風(fēng)險(xiǎn)→模擬器批量遍歷邊界場(chǎng)景完成Verification驗(yàn)證→實(shí)車采集典型場(chǎng)景數(shù)據(jù)→將路測(cè)數(shù)據(jù)回放到模擬器復(fù)測(cè)交叉校驗(yàn)算法表現(xiàn)。EN 16803-4已定義真實(shí)道路GNSS數(shù)據(jù)采集與測(cè)試場(chǎng)景設(shè)計(jì)驗(yàn)證的工程方法為“仿真覆蓋邊界、實(shí)車校準(zhǔn)模型、回放閉環(huán)復(fù)核”提供標(biāo)準(zhǔn)化支撐該邏輯更容易獲得ISO26262審核機(jī)構(gòu)認(rèn)可[8]。6 現(xiàn)存局限與測(cè)試風(fēng)險(xiǎn)管控提示1仿真模型保真度風(fēng)險(xiǎn)電離層、城市多徑、車載天線方向圖均屬于數(shù)學(xué)建模近似仿真環(huán)境和真實(shí)道路存在客觀差異。需要開展模型不確定性分析在安全案例中寫明仿真假設(shè)條件、模型誤差上限即便配置多徑仿真選件仿真多徑依然不能等同于真實(shí)城市多徑不可直接等效實(shí)車測(cè)試結(jié)果。2通道同步誤差風(fēng)險(xiǎn)多通道模擬器通道間時(shí)間、相位同步誤差直接影響RTK、雙天線定向解算結(jié)果通道內(nèi)部時(shí)延、1PPS抖動(dòng)是工具確認(rèn)階段重點(diǎn)核查硬件指標(biāo)需要按計(jì)量周期定期校準(zhǔn)[10]。3場(chǎng)景覆蓋完備性風(fēng)險(xiǎn)測(cè)試腳本基于FMEA導(dǎo)出無法窮盡全部未知風(fēng)險(xiǎn)場(chǎng)景仿真測(cè)試必須與ISO 21448預(yù)期功能安全SOTIF的未知場(chǎng)景分析相結(jié)合[7]。4工具變更管控風(fēng)險(xiǎn)模擬器固件升級(jí)、仿真引擎更新、啟用功能選件都需要重新開展工具確認(rèn)評(píng)估舊版本測(cè)試結(jié)果不能直接繼承沿用[3]。參考文獻(xiàn)[1] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary[S]. Geneva: ISO, 2018.[2] ISO 26262-4:2018, Road vehicles — Functional safety — Part 4: Product development at the system level[S]. Geneva: ISO, 2018.[3] ISO 26262-8:2018, Road vehicles — Functional safety — Part 8: Supporting processes[S]. Geneva: ISO, 2018.[4] ISO 26262-10:2018, Road vehicles — Functional safety — Part 10: Guideline on ISO 26262[S]. Geneva: ISO, 2018.[5] GB/T 34590.4—2022道路車輛 功能安全 第4部分產(chǎn)品開發(fā)系統(tǒng)層面修改采用ISO 26262-4:2018[S]. 北京中國(guó)標(biāo)準(zhǔn)出版社2022.[6] ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering[S]. Geneva: ISO, 2021.[7] ISO 21448:2022, Road vehicles — Safety of the intended functionality[S]. Geneva: ISO, 2022.[8] EN 16803-4:2024, Space — Use of GNSS-based positioning for road Intelligent Transport Systems (ITS) — Part 4: Definitions and system engineering procedures for the design and validation of test scenarios[S]. Brussels: CEN/CENELEC, 2024.[9] BD 420012—2015北斗/全球衛(wèi)星導(dǎo)航系統(tǒng)GNSS信號(hào)模擬器 性能要求及測(cè)試方法[S]. 北京中國(guó)衛(wèi)星導(dǎo)航系統(tǒng)管理辦公室2015.[10] JJF 1471—2024全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號(hào)模擬器校準(zhǔn)規(guī)范[S]. 北京國(guó)家市場(chǎng)監(jiān)督管理總局2024. GNSS信號(hào)模擬器在車規(guī)導(dǎo)航ISO26262證中的測(cè)試方案
摘要ISO 26262功能安全標(biāo)準(zhǔn)對(duì)車載安全相關(guān)電氣電子系統(tǒng)提出可復(fù)現(xiàn)、可審計(jì)、雙向可追溯的驗(yàn)證要求GNSS定位作為高階智駕、ADAS定位鏈的關(guān)鍵輸入僅依靠實(shí)車上路測(cè)試難以覆蓋低概率邊界故障也無法滿足取證審核對(duì)測(cè)試條件可控、過程留痕的硬性約束。GNSS信號(hào)模擬器可在實(shí)驗(yàn)室環(huán)境可控生成多星座射頻導(dǎo)航信號(hào)、故障注入場(chǎng)景與差分改正電文支持傳導(dǎo)、輻射、HIL硬件在環(huán)多種接入方式面向ASIL分級(jí)需求完成弱信號(hào)持續(xù)衰減、衛(wèi)星星座動(dòng)態(tài)切換、SSR差分電文異常、可控欺騙信號(hào)注入等邊界場(chǎng)景驗(yàn)證輸出帶時(shí)間戳、參數(shù)快照的完整測(cè)試日志構(gòu)建從安全需求、測(cè)試用例、執(zhí)行記錄到判定結(jié)論的合規(guī)證據(jù)鏈?zhǔn)擒囈?guī)導(dǎo)航接收機(jī)、定位引擎通過ISO26262評(píng)估的核心驗(yàn)證工具。關(guān)鍵詞gnss導(dǎo)航信號(hào)模擬器GNSS信號(hào)模擬器gnss信號(hào)模擬設(shè)備國(guó)產(chǎn)gnss信號(hào)源1 ISO26262對(duì)車載GNSS定位系統(tǒng)的驗(yàn)證約束ISO 26262:2018國(guó)內(nèi)等同轉(zhuǎn)化為GB/T 34590系列基于風(fēng)險(xiǎn)分析確定汽車安全完整性等級(jí)ASIL覆蓋概念階段、產(chǎn)品開發(fā)、驗(yàn)證確認(rèn)、生產(chǎn)運(yùn)維全安全生命周期[1]。其中系統(tǒng)級(jí)開發(fā)章節(jié)ISO 26262-4明確安全相關(guān)系統(tǒng)的驗(yàn)證測(cè)試必須具備可復(fù)現(xiàn)性、可追溯性、可審計(jì)性測(cè)試用例應(yīng)從技術(shù)安全需求TSR導(dǎo)出建立需求與測(cè)試結(jié)果之間雙向追溯矩陣用于安全案例Safety Case舉證[2][5]。車載GNSS定位屬于典型的外部輸入依賴系統(tǒng)其失效模式包含信號(hào)遮擋丟星、載噪比持續(xù)降低、衛(wèi)星星座拓?fù)渫蛔?、差分改正?shù)據(jù)錯(cuò)誤、惡意欺騙信號(hào)誘導(dǎo)定位漂移等。上述很多場(chǎng)景在開放道路中屬于偶發(fā)事件實(shí)車路測(cè)無法穩(wěn)定復(fù)現(xiàn)環(huán)境溫度、電磁背景、衛(wèi)星軌道每天均發(fā)生變化每次測(cè)試輸入條件不一致審核方通常不接受僅依靠路測(cè)數(shù)據(jù)單獨(dú)作為功能安全驗(yàn)證證據(jù)。同時(shí)ISO 26262-8對(duì)工具確認(rèn)Tool Confidence提出要求用于安全相關(guān)驗(yàn)證的測(cè)試設(shè)備需要完成工具風(fēng)險(xiǎn)評(píng)估與確認(rèn)證明模擬器本身的系統(tǒng)誤差、同步誤差、射頻輸出偏差不會(huì)引入不可控的誤判模擬器的固件版本、場(chǎng)景腳本、通道配置、時(shí)序參數(shù)都必須納入版本管控所有測(cè)試記錄按標(biāo)準(zhǔn)要求留存[3]。工具確認(rèn)環(huán)節(jié)中第三方CNAS認(rèn)可機(jī)構(gòu)出具的計(jì)量校準(zhǔn)證書是證明模擬器輸出量值溯源性的關(guān)鍵材料模擬器的偽距精度、通道時(shí)延、射頻功率、1PPS同步抖動(dòng)等關(guān)鍵指標(biāo)需依據(jù)JJF 1471《全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號(hào)模擬器校準(zhǔn)規(guī)范》完成定期校準(zhǔn)為工具置信度評(píng)估提供客觀可采信證據(jù)[10]。2 GNSS模擬器適配ISO26262驗(yàn)證的基礎(chǔ)能力邊界GNSS信號(hào)模擬器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多頻多星座相干射頻信號(hào)完成衛(wèi)星軌道、衛(wèi)星鐘差、電離層、對(duì)流層、多徑衰減、多普勒效應(yīng)建模支持載體軌跡與姿態(tài)角實(shí)時(shí)驅(qū)動(dòng)可對(duì)接HIL仿真主機(jī)獲取整車動(dòng)力學(xué)數(shù)據(jù)實(shí)現(xiàn)整車級(jí)閉環(huán)仿真。國(guó)產(chǎn)GNSS信號(hào)源近年來發(fā)展迅速部分設(shè)備已能滿足車規(guī)功能安全測(cè)試對(duì)精度、時(shí)序、日志留存的要求。以同步天下SYN5206型GNSS模擬器為例其偽距誤差≤0.05m、偽距率誤差≤0.02m/s、內(nèi)部通道延遲≤5ns、1PPS輸出抖動(dòng)≤5ns數(shù)據(jù)更新率可達(dá)1000Hz支持五星座18信號(hào)與163通道輸出、單衛(wèi)星通道獨(dú)立功率調(diào)控功率分辨力0.1dB、大小信號(hào)雙路輸出-165dBm0dBm并具備計(jì)量模式、遠(yuǎn)程網(wǎng)絡(luò)控制、仿真數(shù)據(jù)導(dǎo)出等能力可覆蓋車規(guī)功能安全測(cè)試對(duì)底層精度、時(shí)延與日志留存的基礎(chǔ)條件[11]。面向ISO26262功能安全驗(yàn)證模擬器不能只滿足普通性能測(cè)試指標(biāo)必須同時(shí)具備以下四項(xiàng)核心合規(guī)能力1參數(shù)全可控每顆衛(wèi)星的信號(hào)功率、偽距、載波相位、多普勒、電文字段可獨(dú)立配置可實(shí)現(xiàn)長(zhǎng)時(shí)間穩(wěn)態(tài)弱信號(hào)、階梯式功率跌落、瞬時(shí)斷星等工況功率分辨力建議達(dá)到0.1dB量級(jí)以復(fù)現(xiàn)城市峽谷微弱信號(hào)漸變的真實(shí)特征。2故障可注入支持SSR高精度差分改正電文篡改、延遲、丟包、字段越界支持實(shí)驗(yàn)室受控條件下的欺騙信號(hào)注入用于接收機(jī)欺騙檢測(cè)、完好性監(jiān)控算法驗(yàn)證。故障仿真建議以軟件選件方式實(shí)現(xiàn)避免改動(dòng)硬件主體。3時(shí)序與同步可溯源具備1PPS輸入輸出同步接口保障多星座信號(hào)統(tǒng)一時(shí)間基準(zhǔn)完整記錄仿真配置快照、載體軌跡、射頻輸出參數(shù)、接收機(jī)觀測(cè)數(shù)據(jù)支持廣播星歷、偽距、電離層對(duì)流層誤差、載體運(yùn)動(dòng)狀態(tài)等原始仿真數(shù)據(jù)導(dǎo)出支撐審計(jì)追溯降低人工轉(zhuǎn)錄帶來的證據(jù)失真風(fēng)險(xiǎn)。4接口適配靈活兼容三種主流測(cè)試鏈路——同軸傳導(dǎo)注入用于單板模組測(cè)試微波暗室OTA輻射完成整機(jī)與天線耦合效應(yīng)驗(yàn)證千兆網(wǎng)口對(duì)接HIL平臺(tái)實(shí)現(xiàn)GNSSIMU融合定位的閉環(huán)驗(yàn)證腳本與配置文件可納入版本管理系統(tǒng)。需要特別說明的是欺騙信號(hào)仿真僅用于接收機(jī)反欺騙、完好性監(jiān)測(cè)安全機(jī)制驗(yàn)證**實(shí)驗(yàn)室受控環(huán)境開展禁止在開放空間非法發(fā)射欺騙信號(hào)該類測(cè)試項(xiàng)目需要與ISO/SAE 21434車輛網(wǎng)絡(luò)安全評(píng)估協(xié)同實(shí)施[6]。3 面向ISO26262的典型測(cè)試場(chǎng)景與用例設(shè)計(jì)測(cè)試用例必須源自HARA危害分析與風(fēng)險(xiǎn)評(píng)估、FMEA失效模式分析每條用例綁定對(duì)應(yīng)的技術(shù)安全需求TSR明確判定準(zhǔn)則、失效閾值、安全機(jī)制觸發(fā)時(shí)限。以下為車規(guī)GNSS定位高頻邊界測(cè)試場(chǎng)景。3.1 長(zhǎng)時(shí)間弱信號(hào)跟蹤與信號(hào)逐步衰減場(chǎng)景城市峽谷、高架橋下、林蔭路段會(huì)造成GNSS載噪比持續(xù)下降、可視衛(wèi)星數(shù)量減少屬于車載定位高頻連續(xù)降級(jí)工況。模擬器將衛(wèi)星載噪比從正常4045dB·Hz緩慢衰減至接收機(jī)跟蹤門限附近2025dB·Hz維持?jǐn)?shù)分鐘至數(shù)十分鐘穩(wěn)態(tài)弱信號(hào)驗(yàn)證接收機(jī)跟蹤環(huán)路、RAIM故障檢測(cè)、完好性標(biāo)志輸出、GNSS/IMU組合導(dǎo)航接管邏輯確認(rèn)系統(tǒng)不會(huì)輸出不可信定位結(jié)果。該場(chǎng)景驗(yàn)證定位降級(jí)過程安全可控彌補(bǔ)實(shí)車路測(cè)弱信號(hào)持續(xù)時(shí)間不可控的短板單衛(wèi)星獨(dú)立功率調(diào)節(jié)能力可以模擬真實(shí)道路中各衛(wèi)星非同步衰減現(xiàn)象。3.2 衛(wèi)星星座動(dòng)態(tài)切換、瞬時(shí)丟星與多星遮擋場(chǎng)景車輛駛?cè)胨淼?、大型建筑遮擋區(qū)域時(shí)可視衛(wèi)星會(huì)快速消失駛出后星座快速重建。模擬器通過腳本時(shí)序控制衛(wèi)星可視狀態(tài)模擬連續(xù)丟星、多星同時(shí)消失、衛(wèi)星分批重新捕獲等工況驗(yàn)證接收機(jī)星歷更新、周跳檢測(cè)、保護(hù)等級(jí)PL計(jì)算邏輯。針對(duì)ASIL-B及以上等級(jí)定位系統(tǒng)該場(chǎng)景需要多次重復(fù)執(zhí)行統(tǒng)計(jì)完好性告警漏檢、誤告警概率作為安全論證素材。模擬器支持外部整車動(dòng)力學(xué)軌跡導(dǎo)入疊加星座遮擋時(shí)序可復(fù)現(xiàn)車輛轉(zhuǎn)彎、加減速的真實(shí)車載工況[11]。3.3 SSR差分電文異常注入場(chǎng)景高階自動(dòng)駕駛普遍采用SSR差分改正實(shí)現(xiàn)RTK/PPP-RTK厘米級(jí)定位。差分鏈路存在報(bào)文損壞、改正數(shù)超限、傳輸時(shí)延突變、服務(wù)中斷等失效風(fēng)險(xiǎn)。模擬器對(duì)SSR電文實(shí)施異常注入改正數(shù)階躍錯(cuò)誤、報(bào)文隨機(jī)丟幀、星座子集改正失效等驗(yàn)證定位引擎識(shí)別異常、剔除錯(cuò)誤差分、降級(jí)至單點(diǎn)定位、向上游域控上報(bào)定位不可用標(biāo)志的安全機(jī)制是當(dāng)前高精度車規(guī)定位取證的重點(diǎn)新增測(cè)試項(xiàng)。測(cè)試完成后完整留存被篡改電文字段與時(shí)間戳歸入安全證據(jù)包。3.4 受控欺騙信號(hào)注入與完好性檢測(cè)場(chǎng)景該場(chǎng)景目的不是觀測(cè)接收機(jī)被欺騙后的定位偏移而是驗(yàn)證接收機(jī)欺騙識(shí)別、信號(hào)質(zhì)量監(jiān)控等安全防護(hù)機(jī)制。在正常導(dǎo)航信號(hào)基礎(chǔ)上腳本可控注入欺騙信號(hào)控制偽距、載波相位偏移速率復(fù)現(xiàn)轉(zhuǎn)發(fā)式、生成式欺騙典型特征檢驗(yàn)接收機(jī)是否按時(shí)限識(shí)別異常、觸發(fā)告警、凍結(jié)定位輸出避免錯(cuò)誤位置進(jìn)入規(guī)劃控制模塊。該測(cè)試必須在屏蔽暗室或傳導(dǎo)鏈路中完成規(guī)避對(duì)外空間射頻干擾風(fēng)險(xiǎn)并同步開展ISO/SAE 21434網(wǎng)絡(luò)安全評(píng)估[6]。4 完整測(cè)試實(shí)施流程滿足審核取證要求1前置工具確認(rèn)與版本鎖定依據(jù)ISO 26262-8開展模擬器工具置信度TCL評(píng)估識(shí)別工具引入風(fēng)險(xiǎn)核驗(yàn)射頻精度、通道同步、電文生成正確性采用CNAS認(rèn)可計(jì)量機(jī)構(gòu)出具的校準(zhǔn)證書佐證量值溯源鎖定模擬器固件版本、仿真腳本、HIL接口配置納入配置管理測(cè)試過程禁止無記錄固件升級(jí)[3]。2測(cè)試環(huán)境搭建與鏈路標(biāo)定依據(jù)被測(cè)對(duì)象選擇傳導(dǎo)注入或暗室OTA方案完成射頻線纜、衰減器、功分器鏈路損耗標(biāo)定并輸出校準(zhǔn)報(bào)告消除鏈路誤差帶來判定爭(zhēng)議大小雙信號(hào)輸出接口可分別適配微弱信號(hào)邊界測(cè)試和強(qiáng)信號(hào)飽和測(cè)試[11]。3用例執(zhí)行與全要素日志記錄每個(gè)測(cè)試場(chǎng)景啟動(dòng)自動(dòng)歸檔全套配置快照包含星座配置、功率時(shí)序、多徑模型、SSR電文、載體軌跡、時(shí)間同步信息同步采集接收機(jī)原始觀測(cè)、定位解算、完好性標(biāo)志、域控交互報(bào)文全部日志攜帶全局時(shí)間戳保障多源數(shù)據(jù)時(shí)序?qū)R優(yōu)先使用設(shè)備原生導(dǎo)出仿真原始數(shù)據(jù)減少人工記錄帶來的錯(cuò)誤。4結(jié)果判定、偏差分析與閉環(huán)對(duì)照TSR安全目標(biāo)判定用例通過或失敗缺陷項(xiàng)進(jìn)入缺陷管理修改完成后復(fù)用完全一致的仿真腳本復(fù)測(cè)復(fù)現(xiàn)故障并確認(rèn)整改效果復(fù)測(cè)記錄與原始測(cè)試記錄綁定保障追溯鏈完整。5證據(jù)打包匯入安全案例匯總HARA、FMEA、需求雙向追溯矩陣、模擬器計(jì)量校準(zhǔn)證書、工具確認(rèn)報(bào)告、原始測(cè)試日志、測(cè)試報(bào)告形成可提交第三方評(píng)估機(jī)構(gòu)的完整安全證據(jù)包。5 模擬器測(cè)試與實(shí)車路測(cè)的定位關(guān)系合規(guī)論證要點(diǎn)模擬器仿真測(cè)試不能替代實(shí)車驗(yàn)證在ISO26262體系中二者是互補(bǔ)關(guān)系不存在相互替代GNSS仿真測(cè)試優(yōu)勢(shì)在于邊界故障場(chǎng)景可控、可反復(fù)復(fù)現(xiàn)、變量隔離適合故障注入、降級(jí)邏輯、異常電文、欺騙檢測(cè)等高風(fēng)險(xiǎn)邊界驗(yàn)證設(shè)備計(jì)量自檢能力還可定期復(fù)核射頻、偽距、動(dòng)態(tài)指標(biāo)保障長(zhǎng)期測(cè)試一致性實(shí)車路測(cè)優(yōu)勢(shì)在于引入真實(shí)電離層對(duì)流層、真實(shí)城市多徑、車載天線耦合、整車電磁環(huán)境用于校驗(yàn)仿真模型保真度對(duì)應(yīng)標(biāo)準(zhǔn)的確認(rèn)階段Validation舉證。行業(yè)評(píng)估普遍采信閉環(huán)驗(yàn)證策略FMEA識(shí)別風(fēng)險(xiǎn)→模擬器批量遍歷邊界場(chǎng)景完成Verification驗(yàn)證→實(shí)車采集典型場(chǎng)景數(shù)據(jù)→將路測(cè)數(shù)據(jù)回放到模擬器復(fù)測(cè)交叉校驗(yàn)算法表現(xiàn)。EN 16803-4已定義真實(shí)道路GNSS數(shù)據(jù)采集與測(cè)試場(chǎng)景設(shè)計(jì)驗(yàn)證的工程方法為“仿真覆蓋邊界、實(shí)車校準(zhǔn)模型、回放閉環(huán)復(fù)核”提供標(biāo)準(zhǔn)化支撐該邏輯更容易獲得ISO26262審核機(jī)構(gòu)認(rèn)可[8]。6 現(xiàn)存局限與測(cè)試風(fēng)險(xiǎn)管控提示1仿真模型保真度風(fēng)險(xiǎn)電離層、城市多徑、車載天線方向圖均屬于數(shù)學(xué)建模近似仿真環(huán)境和真實(shí)道路存在客觀差異。需要開展模型不確定性分析在安全案例中寫明仿真假設(shè)條件、模型誤差上限即便配置多徑仿真選件仿真多徑依然不能等同于真實(shí)城市多徑不可直接等效實(shí)車測(cè)試結(jié)果。2通道同步誤差風(fēng)險(xiǎn)多通道模擬器通道間時(shí)間、相位同步誤差直接影響RTK、雙天線定向解算結(jié)果通道內(nèi)部時(shí)延、1PPS抖動(dòng)是工具確認(rèn)階段重點(diǎn)核查硬件指標(biāo)需要按計(jì)量周期定期校準(zhǔn)[10]。3場(chǎng)景覆蓋完備性風(fēng)險(xiǎn)測(cè)試腳本基于FMEA導(dǎo)出無法窮盡全部未知風(fēng)險(xiǎn)場(chǎng)景仿真測(cè)試必須與ISO 21448預(yù)期功能安全SOTIF的未知場(chǎng)景分析相結(jié)合[7]。4工具變更管控風(fēng)險(xiǎn)模擬器固件升級(jí)、仿真引擎更新、啟用功能選件都需要重新開展工具確認(rèn)評(píng)估舊版本測(cè)試結(jié)果不能直接繼承沿用[3]。參考文獻(xiàn)[1] ISO 26262-1:2018, Road vehicles — Functional safety — Part 1: Vocabulary[S]. Geneva: ISO, 2018.[2] ISO 26262-4:2018, Road vehicles — Functional safety — Part 4: Product development at the system level[S]. Geneva: ISO, 2018.[3] ISO 26262-8:2018, Road vehicles — Functional safety — Part 8: Supporting processes[S]. Geneva: ISO, 2018.[4] ISO 26262-10:2018, Road vehicles — Functional safety — Part 10: Guideline on ISO 26262[S]. Geneva: ISO, 2018.[5] GB/T 34590.4—2022道路車輛 功能安全 第4部分產(chǎn)品開發(fā)系統(tǒng)層面修改采用ISO 26262-4:2018[S]. 北京中國(guó)標(biāo)準(zhǔn)出版社2022.[6] ISO/SAE 21434:2021, Road vehicles — Cybersecurity engineering[S]. Geneva: ISO, 2021.[7] ISO 21448:2022, Road vehicles — Safety of the intended functionality[S]. Geneva: ISO, 2022.[8] EN 16803-4:2024, Space — Use of GNSS-based positioning for road Intelligent Transport Systems (ITS) — Part 4: Definitions and system engineering procedures for the design and validation of test scenarios[S]. Brussels: CEN/CENELEC, 2024.[9] BD 420012—2015北斗/全球衛(wèi)星導(dǎo)航系統(tǒng)GNSS信號(hào)模擬器 性能要求及測(cè)試方法[S]. 北京中國(guó)衛(wèi)星導(dǎo)航系統(tǒng)管理辦公室2015.[10] JJF 1471—2024全球?qū)Ш叫l(wèi)星系統(tǒng)GNSS信號(hào)模擬器校準(zhǔn)規(guī)范[S]. 北京國(guó)家市場(chǎng)監(jiān)督管理總局2024.