XIL测试台中的可扩展保真度

　　这是一系列文章中的第二部分，这些文章解决了与自动和半自动车辆的验证和确认相关的工程挑战和机遇。单击此处阅读第 1 部分。

　　第二部分：XIL 测试台中的可扩展保真度

　　在电气/电子 （E/E） 系统的设计方面，开发方法和验证与确认 （V&V） 工具在过去几十年中取得了显着进步。如今，模型驱动开发 （MDD） 方法和“X”在环 （XIL） 验证方法已成为开发安全可靠的车辆 E/E 系统的有效手段。

　　XIL 设备代表所谓的“数字孪生”，它是在连接到环境模型和测试的电子控制单元 （ECU） 网络上执行软件功能的系统模型。通常用于创建数字双胞胎的两个关键行业标准是功能模型接口 （FMI） 和 AUTOSAR。

　　FMI 是一个开放的、独立于工具的标准，受到许多工具供应商的广泛支持，可用于动态模型的模型交换任务（外部求解器）和协同仿真（内部求解器）。FMI 指定 XML 文件和编译的 C 代码的组合，所有这些都捆绑到功能模型单元 （FMU） 中，代表分布式 E/E 系统周围的传感器、执行器和工厂环境。FMU 允许扩展环境模型的保真度以满足验证意图，而无需更改测试台接口。FMU 还可以在系统级 FMI 主模拟中表示 ECU 本身。

　　AUTOSAR 合作伙伴关系是 OEM 制造商、一级汽车供应商、半导体制造商、软件供应商和工具供应商的联盟。考虑到当前和未来市场中不同的汽车 E/E 架构，该合作伙伴关系为汽车软件架构建立了一个开放的、事实上的行业标准。XIL 测试平台中 AUTOSAR 的意义在于它提供了正式的平台概念和硬件抽象，允许在流程中非常早地和持续地考虑数字双胞胎的时序行为和信号通信，因为 ECU 模型的保真度得到扩展。

　　在 MDD 系统工程过程中，ECU 的行为模型会根据车辆系统的通信网络、传感器、执行器和 ECU 周围的工厂环境模型进行测试——所有这些都包括所谓的 Model-In-the -Loop （MIL） 抽象级别。一旦验证了 MIL 级别的行为模型，它就会自动转换为 C/C++ 代码，然后重新测试——所有这些都代表了软件在环 （SIL） 抽象级别。最终，生成的代码被集成到 ECU 硬件和平台软件（又名固件）中，并再次进行重新测试——为我们提供了硬件在环“HIL”抽象级别。HIL 级别的测试也可以使用 ECU 硬件模型来执行——为我们提供了一个虚拟硬件在环 （“vHIL”） 抽象级别。

　　为了满足测试的目的，XIL 配置的准确度必须足以提供足够的覆盖率和置信度。各种 XIL 配置的保真度范围可能非常广泛。利用虚拟 ECU 仿真技术的 vHIL 配置涵盖最广泛的范围。通过这种配置，ECU 硬件模型的准确性可以扩展，而平台和应用软件是部署在最终车辆中的实际代码（类似于 HIL）。这有助于在平台上以相对于验证意图的最佳精度测试最终生产软件。这个概念被称为“可扩展保真度”。

　　可扩展保真度很重要，因为最适合测试驾驶性能的数字双胞胎可能与最有效地验证嵌入式软件是否满足某些安全或安保要求的数字双胞胎不同。要确定数字双胞胎是否足够准确，需要明确而具体地说明必须准确验证的内容，以便确定所需的保真度“正确水平”。

　　正确的保真度很重要，因为过于简单的数字双胞胎无法为每个验证问题提供足够的细节，而高精度的数字双胞胎还有其他权衡，例如开发周期长、成本更高以及模拟性能可能不足。通常，速度最快且成本最低的数字孪生模型仍然可以提供足够的保真度来解决问题。

　　为了有效地完成所需的大量测试，团队不能仅仅依赖基于硬件的装备，因为项目中每个软件开发人员或验证工程师可用的装备通常太少。此外，硬件装备只能在实时挂钟时间执行。或者，在 MIL、SIL 或虚拟 HIL （vHIL） 级别进行测试可以显着加快测试周期，使这些模型更适合许多验证要求。由于模型测试只需要一台 PC，因此可以保持成本效益。

　　确保测试框架支持在单个系统级仿真中混合 XIL 抽象级别的能力对效率而言也至关重要。这是有效验证大多数现代 ADAS、ADS 和 AV 车辆系统中常见的高度分布式、多核和多 ECU E/E 设计类型的关键。并非多 ECU 系统仿真场景中的每个 ECU 数字孪生都需要具有该特定 ECU 可用的最高保真度。

　　最后，确保 XIL 测试平台内的可扩展保真度提供了许多成本节约优势：

　　在汽车项目中更早发现问题，而这些问题的修复成本最低

　　增加 V&V 覆盖范围可提高安全性，增强安全性，并在问题部署到现场之前识别问题

　　利用混合保真度测试台支持多 ECU 系统所需的大量 V&V 循环。

　　本系列的第三部分将讨论测试重用和相关注意事项。

　　审核编辑：郭婷