主标题：汽车功能安全测试：案例实操 + 通用规则（ISO 26262）

副标题：需求评审・用例设计・场景选型・导出方法（以 AEB 功能为例）

页脚：适用场景：汽车电子 ECU/ADAS/ 自动驾驶功能安全测试

第 2 页：目录

1. 案例背景：AEB 功能安全需求定义
2. 需求评审：规则 + AEB 案例落地
3. 用例编辑：逻辑 + AEB 三维拆解
4. 测试场景选用：分类 + AEB 专属场景
5. 用例导出方法：适配原则 + AEB 实操
6. 用例设计要求：标准化模板 + AEB 填写示例
7. 用例导出方法深解：逻辑 + AEB 验证
8. 通用实操注意事项
9. 跨功能复用：从 AEB 到其他安全功能的迁移
10. 总结：核心逻辑与通用方法论

第 3 页：案例背景：AEB 功能安全需求定义（贯穿案例）

标题：贯穿案例：AEB 功能安全核心需求（ASIL B 级）安全目标：避免车辆与前方障碍物（车辆 / 行人 / 骑行者）发生碰撞，或减轻碰撞伤害核心功能安全需求（量化表述）：

第 4 页：需求评审：规则 + AEB 案例落地

标题：需求评审：规则（跨功能适用）+ AEB 案例验证

一、通用评审规则（所有功能安全需求均需遵守）

通用评审维度	标准（ISO 26262 合规）	作用
可测试性	需求需量化指标（时间、距离、电压等），无歧义；避免 “快速响应”“功能正常” 等模糊表述	确保测试可执行、结果可判定
安全目标覆盖	每个需求必须直接关联 1 个及以上安全目标，无孤立需求	确保测试对准安全核心，不偏离目标
ASIL 等级匹配	需求明确标注 ASIL 等级（A-D），且测试严苛度与等级匹配（等级越高，需覆盖的故障场景越全面）	平衡测试资源与风险，避免过度 / 不足测试
FTTI 合理性	故障容忍时间间隔（FTTI）需在技术可行范围内，与硬件 / 软件响应能力匹配	确保需求可落地，无技术矛盾
诊断覆盖率	安全相关故障需明确 DTC 触发条件，诊断覆盖率目标需符合 ASIL 等级要求（如 ASIL B≥99%，ASIL D≥99.9%）	确保故障可诊断、可追溯

通用说明：任何功能安全需求均需满足 “量化、可测试、关联安全目标、标注 ASIL 等级” 四大通用要求（ISO 26262-6:2018 Clause 9）。

二、AEB 案例落地（需求 AEB-SR-01 评审示例）

评审维度	AEB-SR-01 评审结果	对应规则验证
可测试性	通过（车速≤120km/h、响应时间≤500ms，量化无歧义）	符合 “量化指标” 要求
安全目标覆盖	通过（关联 “碰撞避免 / 伤害减轻” 安全目标）	符合 “目标关联” 要求
ASIL 等级匹配	通过（标注 ASIL B，需覆盖单故障场景）	符合 “等级匹配” 要求
FTTI 合理性	通过（500ms 响应时间技术可实现）	符合 “技术可行” 要求
诊断覆盖率	不适用（该需求为功能触发，诊断要求见 AEB-SR-05）	符合 “分需求明确” 要求

输出：《功能安全需求评审报告》（模板可跨功能复用），需明确 “通过 / 不通过” 及整改意见。

第 5 页：用例编辑：逻辑 + AEB 三维拆解

标题：用例编辑：逻辑（跨功能适用）+ AEB 实操

一、编辑逻辑

1. 单一目标原则：每个用例仅验证 1 项安全需求或 1 个测试点，避免 “一用例多目标” 导致结果模糊；
2. 失效导向原则：用例设计需聚焦 “失效预防”（正常场景）和 “故障响应”（失效场景），而非仅验证正常功能；
3. 可追溯原则：每个用例必须关联唯一需求 ID，确保测试结果可回溯至安全需求；
4. 步骤可执行原则：测试步骤需明确 “操作动作 + 判断条件”，无专业歧义（任何测试工程师均可按步骤执行）。

二、编辑维度

通用编辑维度	通用拆解思路	跨功能示例（除 AEB 外）
需求拆解维度	安全需求→子需求→测试点→操作步骤	ESP 需求 “紧急制动时防抱死”→子需求 “轮速≥80km/h 时防抱死”→测试点 “轮速 80km/h 下的制动压力调节”→步骤：加速、制动、记录压力
故障注入维度	硬件故障→软件故障→通讯故障→环境故障	ACC 需求 “车速保持”→故障注入 “ACC ECU 供电欠压”“CAN 总线断连”“高温环境”→验证功能降级策略
风险预判维度	基于行业经验 + 历史问题，预判潜在失效	自动驾驶感知功能→预判 “摄像头遮挡”“雷达信号衰减”→补充专项用例

三、AEB 案例落地（对应需求 AEB-SR-01）

通用编辑维度	AEB 用例拆解示例	对应通用逻辑验证
需求拆解维度	需求 AEB-SR-01→测试点 “120km/h 车速下 500ms 制动响应”→步骤：加速→模拟障碍物→记录时间	符合 “单一目标 + 可追溯” 原则
故障注入维度	衍生用例：“雷达信号延迟 100ms 时，120km/h 车速下制动响应”→验证故障响应	符合 “失效导向” 原则
风险预判维度	衍生用例：“雨天环境下，120km/h 车速下制动响应”→基于历史 “雨天雷达误报” 问题	符合 “风险预判” 原则

输出：《测试用例清单》（含用例 ID、需求 ID、测试点、优先级），清单模板可跨功能复用。

第 6 页：测试场景选用：分类 + AEB 专属场景

标题：测试场景选用：分类（归纳总结内容）+ AEB 专属场景

一、场景分类（ISO 26262 故障注入通用框架）

场景分类	定义	跨功能适用范围
硬件故障场景	模拟传感器、ECU、执行器等硬件失效（断路、短路、参数漂移）	所有依赖硬件的功能（AEB、ESP、ACC、自动驾驶）
通讯故障场景	模拟总线断连、信号丢失、校验错误、报文延迟等通讯失效	所有依赖 CAN/LIN/Ethernet 通讯的功能
软件故障场景	模拟标定数据错误、软件死锁、E2E 校验失败、功能逻辑错误	所有软件控制类功能（AEB、ESP、自动驾驶决策）
环境故障场景	模拟高温、低温、高湿、电磁干扰（EMC）、极端路况等环境失效	所有车载功能（尤其 ADAS、自动驾驶）
冗余功能场景	模拟主功能 / 传感器失效后，冗余系统的切换逻辑	高 ASIL 等级功能（ASIL C/D，如自动驾驶感知融合、AEB 双传感器）
多故障叠加场景	模拟 2 种及以上故障同时发生（如硬件故障 + 通讯故障）	ASIL C/D 级功能（ASIL A/B 可抽样覆盖关键组合）

二、AEB 专属场景（通用分类落地）

场景分类	AEB 专属场景示例	对应 AEB 需求 ID	通用规则验证
硬件故障场景	ECU 供电欠压（9V）/ 过压（16V）、雷达引脚断路	AEB-SR-04	符合 “硬件故障” 通用分类
通讯故障场景	禁用雷达 CAN 通讯（280301 命令）、CAN 总线断连	AEB-SR-03	符合 “通讯故障” 通用分类
软件故障场景	篡改 AEB 制动阈值标定数据、E2E 校验码错误	AEB-SR-01	符合 “软件故障” 通用分类
环境故障场景	-40℃低温 / 85℃高温、雨天雷达信号衰减	AEB-SR-01	符合 “环境故障” 通用分类
冗余功能场景	雷达失效后切换至摄像头单传感器模式	AEB-SR-03	符合 “冗余功能” 通用分类
多故障叠加场景	供电欠压（9V）+ 雷达信号丢失	AEB-SR-03/04	符合 “多故障叠加” 通用分类（ASIL B 抽样）

通用选用原则：

• ASIL A：覆盖 “正常场景 + 核心硬件 / 通讯故障”；
• ASIL B：覆盖 “正常场景 + 全类别单故障 + 简单环境故障”；
• ASIL C/D：覆盖 “全类别单故障 + 多故障叠加 + 极端环境故障 + 冗余功能故障”。

第 7 页：用例导出方法：适配原则（来源ISO 26262） + AEB 实操

标题：用例导出方法：适配原则（跨功能适用）+ AEB 实操

一、通用导出方法（ISO 26262 推荐，跨功能复用）

通用导出方法	通用核心原理	通用适用 ASIL 等级	跨功能示例（ESP）
需求分析法	直接拆解安全需求为测试用例，确保需求全覆盖	全等级（基础方法）	ESP 需求 “轮速≥80km/h 时防抱死”→导出 “80km/h 轮速下的制动压力调节测试”
接口分析法	基于功能核心接口（输入 / 输出）设计用例，验证信号交互	全等级（基础方法）	ESP 接口 “轮速传感器→ECU→制动执行器”→导出 “轮速信号异常时 ECU 响应测试”
边界值分析法	测试参数边界（最小值 / 最大值 / 临界值），聚焦失效高发区	B 及以上（强化方法）	ESP 轮速边界 “0km/h（静止）、120km/h（最大值）”→导出 “120km/h 轮速下的防抱死测试”
错误猜想法	基于行业经验预判潜在失效，补充需求未覆盖场景	B 及以上（强化方法）	ESP 预判 “制动液压力传感器故障”→导出 “压力信号跳变时的防抱死响应测试”
现场经验法	结合历史测试 / 实车问题，设计专项用例验证改进	B 及以上（强化方法）	ESP 历史问题 “低温下防抱死响应延迟”→导出 “-40℃低温下的轮速调节测试”
相关性分析法	多参数交互影响测试（如车速 + 负载 + 环境）	C/D（核心方法）	ESP 多参数 “轮速 80km/h + 制动液压力 15MPa + 高温 85℃”→导出 “多参数组合下的防抱死测试”
环境条件分析法	极端环境 + 功能测试，验证环境适应性	C/D（核心方法）	ESP 极端环境 “-40℃低温 + 电磁干扰”→导出 “恶劣环境下的防抱死稳定性测试”

二、通用适配原则（跨功能关键）

1. 等级匹配原则：ASIL 等级越高，需采用的导出方法越全面（基础方法 + 强化方法 + 核心方法）；
2. 风险导向原则：高风险测试点（如冗余功能、故障响应）需叠加多种导出方法，低风险点可简化；
3. 效率平衡原则：避免过度测试（如 ASIL A 无需使用相关性分析法），控制用例数量与测试周期。

注：适配原则（来源ISO 26262不同测试层级推荐用例导出方法不同）

三、AEB 案例落地（ASIL B 级）

通用导出方法	AEB 用例导出示例（对应 AEB-SR-01）	适配原则验证
需求分析法	120km/h 车速下，AEB 500ms 内触发制动（基础用例）	符合 “基础方法全覆盖”
接口分析法	雷达发送障碍物信号后，ECU 200ms 内接收并处理（信号交互用例）	符合 “基础方法全覆盖”
边界值分析法	30km/h（最小值）、120km/h（最大值）车速下的制动响应测试	符合 “ASIL B 强化方法”
错误猜想法	雷达信号延迟 100ms 时，AEB 制动响应时间≤600ms（故障用例）	符合 “ASIL B 强化方法”
现场经验法	雨天环境下，120km/h 车速下的制动响应测试（历史问题用例）	符合 “ASIL B 强化方法”
相关性分析法	可选（ASIL B 无需强制，抽样 1 条：80km/h + 雨天）	符合 “效率平衡” 原则
环境条件分析法	可选（ASIL B 无需强制，抽样 1 条：-40℃低温 + 120km/h）	符合 “效率平衡” 原则

通用输出：《测试用例导出清单》（含方法类型、适用等级、风险优先级），可跨功能复用模板。

第 8 页：用例设计要求：通用标准化模板 + AEB 填写示例

标题：用例设计：通用标准化模板（跨功能适用）+ AEB 填写示例

一、通用设计要求（所有功能安全用例均需遵守）

1. 8 大必填项（ISO 26262 强制要求）：用例 ID、关联需求 ID、ASIL 等级、测试目的、测试环境、前置条件、测试步骤、预期结果；
2. 量化判定要求：预期结果需含 “量化指标 + 判定标准”（如 “响应时间≤500ms”“制动距离≤5m”），避免模糊表述；
3. 环境明确要求：测试环境需明确 “硬件配置 + 软件版本 + 工具链”，确保测试可重复；
4. 风险优先级要求：用例需标注优先级（P1 高 / P2 中 / P3 低），优先级与 ASIL 等级正相关（ASIL D→P1，ASIL A→P3）。

二、通用标准化模板（跨功能复用）

通用必填项	通用填写规范	AEB 用例填写示例（用例 ID：AEB-UC-001）
用例 ID	项目编号 - 模块 - ASIL 等级 - 序号（规则统一）	AEB-UC-001（项目 AEB - 模块 AEB-ASIL B - 第 1 条）
关联需求 ID	对应功能安全需求编号（唯一关联）	AEB-SR-01
ASIL 等级	明确标注（A/B/C/D）	B
测试目的	简洁说明 “验证什么安全点 + 什么条件”	验证车速 120km/h 时，AEB 识别前方障碍物后 500ms 内触发制动的有效性
测试环境	硬件 + 软件 + 工具链（明确版本 / 型号）	实车：2024 款 XX 车型 + AEB ECU V2.1 + 雷达 V1.5 + 摄像头 V3.0；工具：CANoe 11.0 + 车速测试仪
前置条件	测试前的初始状态（含功能 / 环境 / 故障码）	1. 车辆电量≥90%；2. AEB 功能开启；3. 无 DTC 存储；4. 道路无障碍物、天气晴朗
测试步骤	按顺序编写 “操作动作 + 判断条件”（每步 1 动作）	1. 控制车辆加速至 120km/h，匀速行驶；2. 前方 10m 放置标准车辆模型；3. 触发 AEB 识别指令；4. 记录制动响应时间；5. 停止测试，恢复初始状态
预期结果	量化判定标准（通过 / 失败明确）	1. AEB 制动响应时间≤500ms；2. 制动无跑偏；3. 无 DTC 触发；4. 制动距离≤5m
优先级	按 ASIL 等级 + 风险标注（P1/P2/P3）	P1（ASIL B + 核心安全点）

注意：所有功能用例均避免 “功能正常”“响应及时” 等模糊表述，必须量化指标（时间、距离、电压、压力等）。

第 9 页：用例导出方法深解：逻辑 + AEB 验证

标题：方法深解：通用逻辑（跨功能适用）+ AEB 验证

一、方法组合逻辑（跨功能关键）

1. 基础方法（需求 + 接口分析）：所有功能的 “保底方法”，确保安全需求与核心接口无遗漏；

   • 通用逻辑：无论 ASIL 等级，均需 100% 覆盖需求与接口，这是功能安全测试的底线；
   • 示例：AEB、ESP、ACC 均需通过这两种方法导出基础用例，确保 “正常场景 + 核心交互” 覆盖。

2. 强化方法（边界值 + 错误猜想 + 现场经验）：ASIL B 及以上的 “必选方法”，聚焦失效高发区；

   • 通用逻辑：边界参数（如车速、电压、温度）和历史问题是失效高频场景，需单独强化；
   • 示例：AEB 的车速边界（120km/h）、ESP 的轮速边界（120km/h）、ACC 的跟车距离边界（1.5m），均需通过边界值分析法导出用例。

3. 核心方法（相关性 + 环境条件分析）：ASIL C/D 的 “强制方法”，应对复杂失效；

   • 通用逻辑：高 ASIL 等级功能需考虑 “多因素叠加失效”，单一方法无法覆盖风险；
   • 示例：自动驾驶感知功能（ASIL D）需通过相关性分析法导出 “车速 + 环境 + 障碍物类型” 多参数组合用例。

二、通用导出校验规则（跨功能复用）

1. 需求覆盖校验：所有安全需求是否均有至少 1 条用例对应？（不允许需求遗漏）；
2. 等级匹配校验：所用导出方法是否与 ASIL 等级匹配？（不允许 ASIL D 仅用基础方法）；
3. 可执行校验：所有用例的步骤、环境、预期结果是否明确？（不允许无法执行的用例）；
4. 风险覆盖校验：高风险测试点（如冗余功能、故障响应）是否叠加多种方法？（不允许高风险点仅 1 条用例）。

三、AEB 案例验证（ASIL B 级）

通用校验规则	AEB 校验结果	通用逻辑验证
需求覆盖校验	通过（5 项需求均对应≥2 条用例）	符合 “无需求遗漏” 要求
等级匹配校验	通过（使用基础 + 强化方法，未过度使用核心方法）	符合 “等级匹配” 要求
可执行校验	通过（所有用例步骤、环境、预期结果明确）	符合 “可执行” 要求
风险覆盖校验	通过（冗余功能用例叠加边界值 + 错误猜想方法）	符合 “高风险强化” 要求

第 10 页：通用实操注意事项（跨功能适用）

标题：实操落地：通用注意事项

1. 故障注入合规性：

   • 通用规则：修改 ECU 标定数据、禁用通讯、硬件故障注入等操作，需提前获得供应商授权，避免硬件损坏或软件锁死；
   • 通用工具：推荐使用 CANoe（通讯故障注入）、dSPACE（台架故障注入），确保操作合规。

2. 数据留存要求：

   • 通用规则：测试数据（信号日志、故障码、视频记录、用例执行结果）需留存至少 3 年（ISO 26262 审计要求）；
   • 通用格式：日志文件命名规范（项目 - 模块 - 用例 ID - 日期），如 “AEB-AEB-UC-001-20240520.log”。

3. 团队协作要求：

   • 通用规则：测试前需与系统工程师确认冗余逻辑、安全目标，与安全经理同步 ASIL 等级测试要求，避免用例偏离；
   • 通用输出：《测试用例评审报告》（需系统工程师、安全经理、测试工程师三方签字确认）。

4. 可重复性要求：

   • 通用规则：相同测试环境下，用例执行结果需一致（重复 3 次，通过率≥95%）；
   • 通用措施：测试前校准工具（如车速测试仪、压力传感器），记录环境变量（温度、湿度）。

第 11 页：跨功能复用 + 总结

一、跨功能复用：从 AEB 到其他安全功能的迁移

功能类型	通用规则复用要点	专属调整建议
ESP（ASIL B）	复用需求评审维度、用例编辑逻辑、场景分类、导出方法组合	重点强化 “轮速信号故障”“制动压力调节故障” 场景
ACC（ASIL B）	复用标准化模板、导出方法、实操注意事项	重点强化 “跟车距离边界”“前车速度突变” 场景
自动驾驶感知（ASIL D）	复用场景分类、导出方法组合逻辑、数据留存要求	需增加 “多传感器融合故障”“极端天气环境” 场景，使用所有导出方法
电池管理系统（BMS，ASIL C）	复用需求评审规则、用例编辑原则、校验规则	重点强化 “电压 / 温度边界”“电芯故障” 场景，使用核心导出方法

二、总结：核心逻辑与通用方法论

1. 通用核心：功能安全测试的本质是 “风险导向”—— 以安全需求为根，以 ASIL 等级为纲，以量化指标为尺，确保 “失效可预防、故障可响应、测试可追溯”；
2. 通用方法论：需求评审（合规性）→ 用例编辑（失效导向）→ 场景选用（等级匹配）→ 方法导出（组合覆盖）→ 用例设计（标准化）→ 实操落地（合规可重复）；
3. 复用关键：案例（如 AEB）是 “载体”，通用规则（如评审维度、编辑逻辑、导出方法）是 “核心”，掌握通用规则即可跨功能快速落地测试。

备注：上述结论皆为个人理解，错误处还请各位前辈指导指正。本文未附任何链接点击需谨慎