GNSS信号模拟器在车规导航ISO26262验证中的测试方案

原创

西安同步天下-马工

发布于 2026-11-15 09:29:54

170

摘要：ISO 26262功能安全标准对车载安全相关电气电子系统提出可复现、可审计、双向可追溯的验证要求；GNSS定位作为高阶智驾、ADAS定位链的关键输入，仅依靠实车上路测试难以覆盖低概率边界故障，也无法满足取证审核对测试条件可控、过程留痕的硬性约束。GNSS信号模拟器可在实验室环境可控生成多星座射频导航信号、故障注入场景与差分改正电文，支持传导、辐射、HIL硬件在环多种接入方式，面向ASIL分级需求完成弱信号持续衰减、卫星星座动态切换、SSR差分电文异常、可控欺骗信号注入等边界场景验证，输出带时间戳、参数快照的完整测试日志，构建从安全需求、测试用例、执行记录到判定结论的合规证据链，是车规导航接收机、定位引擎通过ISO26262评估的核心验证工具。

关键词：gnss导航信号模拟器，GNSS信号模拟器，gnss信号模拟设备，国产gnss信号源

1 ISO26262对车载GNSS定位系统的验证约束

ISO 26262:2018（国内等同转化为GB/T 34590系列）基于风险分析确定汽车安全完整性等级ASIL，覆盖概念阶段、产品开发、验证确认、生产运维全安全生命周期[1]。其中系统级开发章节ISO 26262-4明确：安全相关系统的验证测试必须具备可复现性、可追溯性、可审计性，测试用例应从技术安全需求TSR导出，建立需求与测试结果之间双向追溯矩阵，用于安全案例（Safety Case）举证[2][5]。

车载GNSS定位属于典型的外部输入依赖系统，其失效模式包含信号遮挡丢星、载噪比持续降低、卫星星座拓扑突变、差分改正数据错误、恶意欺骗信号诱导定位漂移等。上述很多场景在开放道路中属于偶发事件，实车路测无法稳定复现；环境温度、电磁背景、卫星轨道每天均发生变化，每次测试输入条件不一致，审核方通常不接受仅依靠路测数据单独作为功能安全验证证据。

同时ISO 26262-8对工具确认（Tool Confidence）提出要求：用于安全相关验证的测试设备，需要完成工具风险评估与确认，证明模拟器本身的系统误差、同步误差、射频输出偏差不会引入不可控的误判；模拟器的固件版本、场景脚本、通道配置、时序参数都必须纳入版本管控，所有测试记录按标准要求留存[3]。

工具确认环节中，第三方CNAS认可机构出具的计量校准证书是证明模拟器输出量值溯源性的关键材料，模拟器的伪距精度、通道时延、射频功率、1PPS同步抖动等关键指标，需依据JJF 1471《全球导航卫星系统（GNSS）信号模拟器校准规范》完成定期校准，为工具置信度评估提供客观可采信证据[10]。

2 GNSS模拟器适配ISO26262验证的基础能力边界

GNSS信号模拟器可同步生成北斗、GPS、Galileo、GLONASS、QZSS多频多星座相干射频信号，完成卫星轨道、卫星钟差、电离层、对流层、多径衰减、多普勒效应建模；支持载体轨迹与姿态角实时驱动，可对接HIL仿真主机获取整车动力学数据，实现整车级闭环仿真。国产GNSS信号源近年来发展迅速，部分设备已能满足车规功能安全测试对精度、时序、日志留存的要求。国产GNSS模拟器其伪距误差≤0.05m、伪距率误差≤0.02m/s、内部通道延迟≤5ns、1PPS输出抖动≤5ns，数据更新率可达1000Hz，支持五星座18信号与163通道输出、单卫星通道独立功率调控（功率分辨力0.1dB）、大小信号双路输出（-165dBm～+0dBm），并具备计量模式、远程网络控制、仿真数据导出等能力，可覆盖车规功能安全测试对底层精度、时延与日志留存的基础条件[11]。

面向ISO26262功能安全验证，模拟器不能只满足普通性能测试指标，必须同时具备以下四项核心合规能力：

（1）参数全可控：每颗卫星的信号功率、伪距、载波相位、多普勒、电文字段可独立配置；可实现长时间稳态弱信号、阶梯式功率跌落、瞬时断星等工况；功率分辨力建议达到0.1dB量级，以复现城市峡谷微弱信号渐变的真实特征。

（2）故障可注入：支持SSR高精度差分改正电文篡改、延迟、丢包、字段越界；支持实验室受控条件下的欺骗信号注入，用于接收机欺骗检测、完好性监控算法验证。故障仿真建议以软件选件方式实现，避免改动硬件主体。

（3）时序与同步可溯源：具备1PPS输入输出同步接口，保障多星座信号统一时间基准；完整记录仿真配置快照、载体轨迹、射频输出参数、接收机观测数据；支持广播星历、伪距、电离层对流层误差、载体运动状态等原始仿真数据导出，支撑审计追溯，降低人工转录带来的证据失真风险。

（4）接口适配灵活：兼容三种主流测试链路——同轴传导注入用于单板模组测试；微波暗室OTA辐射完成整机与天线耦合效应验证；千兆网口对接HIL平台，实现GNSS+IMU融合定位的闭环验证；脚本与配置文件可纳入版本管理系统。

需要特别说明的是，欺骗信号仿真仅用于接收机反欺骗、完好性监测安全机制验证，仅限实验室受控环境开展，禁止在开放空间非法发射欺骗信号；该类测试项目需要与ISO/SAE 21434车辆网络安全评估协同实施[6]。

3 面向ISO26262的典型测试场景与用例设计

测试用例必须源自HARA危害分析与风险评估、FMEA失效模式分析，每条用例绑定对应的技术安全需求TSR，明确判定准则、失效阈值、安全机制触发时限。以下为车规GNSS定位高频边界测试场景。

3.1 长时间弱信号跟踪与信号逐步衰减场景

城市峡谷、高架桥下、林荫路段会造成GNSS载噪比持续下降、可视卫星数量减少，属于车载定位高频连续降级工况。模拟器将卫星载噪比从正常40～45dB·Hz缓慢衰减至接收机跟踪门限附近（20～25dB·Hz），维持数分钟至数十分钟稳态弱信号，验证接收机跟踪环路、RAIM故障检测、完好性标志输出、GNSS/IMU组合导航接管逻辑，确认系统不会输出不可信定位结果。该场景验证定位降级过程安全可控，弥补实车路测弱信号持续时间不可控的短板；单卫星独立功率调节能力可以模拟真实道路中各卫星非同步衰减现象。

3.2 卫星星座动态切换、瞬时丢星与多星遮挡场景

车辆驶入隧道、大型建筑遮挡区域时，可视卫星会快速消失，驶出后星座快速重建。模拟器通过脚本时序控制卫星可视状态，模拟连续丢星、多星同时消失、卫星分批重新捕获等工况，验证接收机星历更新、周跳检测、保护等级PL计算逻辑。针对ASIL-B及以上等级定位系统，该场景需要多次重复执行，统计完好性告警漏检、误告警概率，作为安全论证素材。模拟器支持外部整车动力学轨迹导入，叠加星座遮挡时序，可复现车辆转弯、加减速的真实车载工况[11]。

3.3 SSR差分电文异常注入场景

高阶自动驾驶普遍采用SSR差分改正实现RTK/PPP-RTK厘米级定位。差分链路存在报文损坏、改正数超限、传输时延突变、服务中断等失效风险。模拟器对SSR电文实施异常注入：改正数阶跃错误、报文随机丢帧、星座子集改正失效等，验证定位引擎识别异常、剔除错误差分、降级至单点定位、向上游域控上报定位不可用标志的安全机制，是当前高精度车规定位取证的重点新增测试项。测试完成后完整留存被篡改电文字段与时间戳，归入安全证据包。

3.4 受控欺骗信号注入与完好性检测场景

该场景目的不是观测接收机被欺骗后的定位偏移，而是验证接收机欺骗识别、信号质量监控等安全防护机制。在正常导航信号基础上，脚本可控注入欺骗信号，控制伪距、载波相位偏移速率，复现转发式、生成式欺骗典型特征；检验接收机是否按时限识别异常、触发告警、冻结定位输出，避免错误位置进入规划控制模块。该测试必须在屏蔽暗室或传导链路中完成，规避对外空间射频干扰风险，并同步开展ISO/SAE 21434网络安全评估[6]。

4 完整测试实施流程（满足审核取证要求）

（1）前置工具确认与版本锁定：依据ISO 26262-8开展模拟器工具置信度TCL评估，识别工具引入风险，核验射频精度、通道同步、电文生成正确性；采用CNAS认可计量机构出具的校准证书佐证量值溯源；锁定模拟器固件版本、仿真脚本、HIL接口配置，纳入配置管理，测试过程禁止无记录固件升级[3]。

（2）测试环境搭建与链路标定：依据被测对象选择传导注入或暗室OTA方案；完成射频线缆、衰减器、功分器链路损耗标定并输出校准报告，消除链路误差带来判定争议；大小双信号输出接口可分别适配微弱信号边界测试和强信号饱和测试[11]。

（3）用例执行与全要素日志记录：每个测试场景启动自动归档全套配置快照，包含星座配置、功率时序、多径模型、SSR电文、载体轨迹、时间同步信息；同步采集接收机原始观测、定位解算、完好性标志、域控交互报文；全部日志携带全局时间戳，保障多源数据时序对齐；优先使用设备原生导出仿真原始数据，减少人工记录带来的错误。

（4）结果判定、偏差分析与闭环：对照TSR安全目标判定用例通过或失败；缺陷项进入缺陷管理，修改完成后，复用完全一致的仿真脚本复测，复现故障并确认整改效果；复测记录与原始测试记录绑定，保障追溯链完整。

（5）证据打包汇入安全案例：汇总HARA、FMEA、需求双向追溯矩阵、模拟器计量校准证书、工具确认报告、原始测试日志、测试报告，形成可提交第三方评估机构的完整安全证据包。

5 模拟器测试与实车路测的定位关系（合规论证要点）

模拟器仿真测试不能替代实车验证，在ISO26262体系中二者是互补关系，不存在相互替代：GNSS仿真测试优势在于边界故障场景可控、可反复复现、变量隔离，适合故障注入、降级逻辑、异常电文、欺骗检测等高风险边界验证，设备计量自检能力还可定期复核射频、伪距、动态指标，保障长期测试一致性；实车路测优势在于引入真实电离层对流层、真实城市多径、车载天线耦合、整车电磁环境，用于校验仿真模型保真度，对应标准的确认阶段（Validation）举证。

行业评估普遍采信闭环验证策略：FMEA识别风险→模拟器批量遍历边界场景完成Verification验证→实车采集典型场景数据→将路测数据回放到模拟器复测，交叉校验算法表现。EN 16803-4已定义真实道路GNSS数据采集与测试场景设计验证的工程方法，为“仿真覆盖边界、实车校准模型、回放闭环复核”提供标准化支撑，该逻辑更容易获得ISO26262审核机构认可[8]。