功能安全测试方法学习笔记（一）

• 测试用例导出的九种方法

1. 需求分析：

含义：

分解安全需求，逐条设计测试用例，确保需求被完整覆盖。基于需求的用例导出方法是一种体系化的测试设计方法、它通过分析BCM（Body Control Module，车身控制模块）的需求规格说明书，识别出功能需求、性能需求和安全需求等，将其转化为可执行的测试用例。

其核心是将需求文档中的每一条需求分解、细化为具体的测试场景和测试步骤。

作用：避免遗漏关键测试点，适用于所有测试阶段。

示例：

EPB（电子驻车制动）系统要求在坡道停车时，自动保持车辆不溜车。测试用例包括不同坡度与环境下是否激活制动保持功能。

特点：

1. 需求可追溯性：每个测试用例都能追溯导原始需求
2. 覆盖完整性：确保所有需求都被测试覆盖
3. 结构化方法：系统性地需求转化为测试场景
4. 早期缺陷发现：在需求阶段就能发现模糊或不完整的需求

1. 外部和内部接口分析

含义：
系统中模块与模块、模块与外设之间存在接口。通过分析输入输出信号、通信协议、数据类型、频率、异常响应，导出针对接口正确性与鲁棒性的测试用例。

作用：

保证模块间通信契约一致；

捕捉异常接口行为及系统边界问题。

示例：
CAN 总线中 EPB 模块与 VCU（车辆控制单元）通信，需测试其是否能正确识别制动命令及状态上报。

特点：

1. 接口完整性保障
2. 异常通信路径验证
3. 信号覆盖全面
4. 支持软硬件联调

3、软硬件集成等价类生成与分析

含义：
通过将输入条件和环境配置划分为等价类（有效类、无效类），提取代表值进行测试，从而在较少用例下最大化覆盖。

作用：

降低测试数量；

快速验证输入范围的正确性。

示例：
雨量传感器信号输入划分为“无雨”“小雨”“暴雨”三类，分别验证自动雨刷开启逻辑。

特点：

1. 代表性强，避免冗余
2. 快速评估输入有效性
3. 适用于大量输入场景
4. 易与边界值法配合使用

4、边界值分析

含义：
重点测试参数的临界值和边界附近（如最大/最小/零点/空值等），因为错误最容易在这些临界点出现。

作用：

揭示边界缺陷；

提高故障暴露率。

示例：
检测胎压信号的上下阈值：1.8 Bar（低）、3.2 Bar（高）及临界值（1.79 / 3.21 Bar）时的系统响应。

特点：

1. 高故障覆盖率
2. 与等价类互补
3. 易于标准化测试
4. 突出极端场景验证

5. 基于知识或经验的错误猜测法

含义：
基于历史缺陷或经验直觉，猜测系统可能存在的弱点并针对性设计测试用例。

作用：

弥补结构化测试的盲区；

聚焦“高风险路径”。

示例：
在倒车状态下切换驾驶模式，系统是否仍然维持倒车影像显示，防止视觉中断。

特点：

1. 高风险区域针对性强
2. 不依赖完整模型
3. 快速生成用例
4. 丰富经验驱动设计

6. 功能的相关性分析

含义：
分析系统内部各功能间的依赖与协作关系，形成组合或链式测试路径，验证功能协同正确性。

作用：

验证模块间交互逻辑；

揭示系统状态不一致问题。

示例：
启动车辆后，自动大灯应根据环境光触发，而非静态点亮。测试需要联动“点火+光照+照明控制”三模块。

特点：

1. 关注“功能耦合”路径
2. 适用于集成测试阶段
3. 识别功能不一致缺陷
4. 有助于系统行为建模

7. 相关失效的共有限制条件、次序及来源分析

含义：
基于系统设计的失效模式（如FMEA），识别在特定输入顺序或资源冲突下系统的潜在故障机制，从而生成高风险测试路径。

作用：

验证系统对危险组合的防护能力；

分析源头、传播与约束关系。

示例：
测试在高温、CAN总线过载、制动命令冲突同时发生时，EPB系统是否仍能正常响应或安全降级。

特点：

1. 风险导向测试
2. 多因子组合建模
3. 避免共因失效
4. 体现安全设计完整性

8. 环境条件和操作用例分析

含义：
结合环境变化（温度、电压、干扰等）与用户操作行为，提取真实操作用例，导出系统行为测试路径。

作用：

验证系统在动态条件下的可靠性；

强化现实场景下的稳定性评估。

示例：
电池电压低至10.5V时，验证是否仍可完成EPB的释放操作；或者，在极寒环境下是否存在响应迟滞。

特点：

1. 强调运行环境适应性
2. 与可靠性测试配合密切
3. 与硬件层深度耦合
4. 覆盖极限场景

9. 现场经验分析

含义：
通过回顾现场测试、客户反馈或售后数据，挖掘系统实际运行中暴露出的隐患并再现为测试用例。

作用：

强化“现实世界”测试；

优化系统长期稳定性。

示例：
客户反馈在行驶过程中误触发EPB，重建类似状态以测试误触发防护机制。

特点：

1. 来自实际问题场景
2. 高可用性、实践导向
3. 增强用户行为适配性
4. 支持持续改进测试闭环

• 集成测试方法

1. 大爆炸集成

含义：

大爆炸集成属于非渐增式集成方法，也称为一次性组装或整体拼装。该方法将所有组件一次性集合到被测系统中，不考虑组件间的依赖关系与潜在风险，先完成单元测试，再直接将全部单元组装进行测试，最终形成完整软件系统。

目的：

以最短时间完成系统组装，并通过最少测试验证整体功能，追求快速交付。

优点：

1. 高效快速：在理想情况下，可迅速完成集成测试，大幅缩短测试周期。
2. 资源简化：所需驱动单元和桩单元极少（若有需求），降低辅助测试代码开发成本。
3. 操作简便：方法逻辑简单，无需复杂的分步集成策略。
4. 并行性强：各模块单元测试可并行开展，提升人力、物力资源利用率。

缺点：

1. 成功率低：由于未考虑组件依赖性，模块间接口、全局数据结构等问题易导致集成失败。
2. 定位困难：发现错误时，难以快速定位具体出错模块，增加调试与修复成本。
3. 风险遗留：大量接口问题可能绕过集成测试，遗留至后续系统测试阶段。

示例：

电动汽车电池管理系统（BMS）：将所有模块一次性集成到电池管理系统中，然后接通电源，模拟车辆实际运行时电池管理系统的工作状态。测试人员通过模拟各种工况，对车辆进行加速、减速、充电、放电、加降电压，来验证系统功能。其二，在车辆快速充电工况下，同时监测电压采集模块、电流采集模块和温度采集模块的数据是否准确上传至数据通信模块，充放电控制模块是否能根据这些数据正确控制充电电流，电池均衡模块是否能在电池组电量不均衡时及时启动均衡策略，以及温度采集模块在电池温度升高时，是否能准确触发散热风扇等执行器工作。

1. 增量方法

1. 自上而下的方法

含义：

采用与设计一致的顺序进行测试，优先验证系统的控制接口。先测试顶层组件，再逐步测试底层组件，可采用深度优先或广度优先策略。

目的：

从顶层控制出发，按设计思路测试系统，验证接口稳定性。

优点：

1. 较早验证主要控制和判断点，减少后期返工。
2. 深度优先策略可优先实现并验证完整功能，为后续测试奠定基础。
3. 尽早证实功能可行性。
4. 仅需一个驱动模块，降低开发与维护成本。
5. 与设计思路一致，可并行开展，适应环境或设计变更。
6. 支持故障隔离，便于定位问题模块或接口。

缺点：

1. 桩模块的开发与维护成本高。
2. 底层组件需求变更可能导致顶层组件修改，破坏已有测试包。
3. 底层组件行为验证滞后。
4. 底层模块增加时，系统复杂度上升，可能导致测试不充分。

示例：

将 ACC 系统的中央控制策略模块、雷达传感器信号处理模块、刹车执行器控制模块等一次性集成到 ACC 电子控制单元（ECU）中。接通电源后，模拟车辆在高速公路的跟车工况，测试人员通过设定目标车速和跟车距离，验证系统能否根据前车状态自动调节车速。

1. 自下而上的方法

含义：

从程序模块结构的最底层开始组装和测试，底层模块测试完成后，无需桩模块，直接通过驱动模块获取子模块信息。

目的：

从低依赖性的底层组件出发，按依赖关系逐层向上集成，验证系统稳定性。

优点：

1. 早期验证底层模块行为。
2. 初始阶段可并行集成，效率高于自顶向下策略。
3. 对被测模块的可测试性要求较低，驱动模块可灵活编写。
4. 减少桩模块工作量。
5. 支持故障隔离。

缺点：

1. 驱动模块开发工作量大。
2. 高层验证滞后，设计错误难以及时发现。
3. 系统集成至顶层时复杂度上升，底层异常覆盖困难。

示例：

将ESP 系统的底层传感器和执行器开始集成，逐步向上验证顶层控制算法，确保底层硬件可靠性后再整合整体功能。启动车辆后，模拟湿滑路面紧急转向工况，测试人员通过快速打方向盘，验证系统能否自动调节车轮制动力，防止车辆侧滑。

1. 三明治方法 - 自上而下与自下而上的组合

含义：

混合自顶向下与自底向上策略，将系统划分为三层，对目标层上层采用自顶向下集成，下层采用自底向上集成，最终在目标层会合。

目的：

综合自顶向下与自底向上集成的优点，平衡测试效率与接口验证。

优点：

1. 集合自顶向下与自底向上策略的优势，兼顾高层控制验证与底层功能测试。

缺点：

1. 目标层（中间层）在集成前可能测试不充分。
2. 适用范围：
3. 适用于大部分软件开发项目，尤其适合需要平衡不同层次测试的场景。

示例：

充电通信协议栈为中间层，同时向上集成充电管理应用层、向下集成硬件接口层，实现跨层功能协同测试。连接充电桩，模拟直流快充工况，测试人员通过充电桩发送充电指令，验证系统能否安全高效地完成充电流程。