1.置信度評估的動機(jī)、范圍和框架

2.建模&仿真管理

3.建模&仿真分析和描述

4.建模&仿真驗(yàn)證

3. 建模&仿真分析和描述

 M&S分析和描述旨在定義整個工具鏈，并確定可以通過仿真測試評估的參數(shù)空間。它定義了模型和仿真工具的范圍和限制，以及可能影響其結(jié)果的不確定性來源。

3.1 一般說明

 ADS制造商應(yīng)提供仿真工具鏈的完整描述，以及如何使用M&S數(shù)據(jù)來支持ADS驗(yàn)證策略。

ADS制造商應(yīng)提供測試目標(biāo)的清晰描述。

3.2 假設(shè)、已知限制和不確定性來源

ADS制造商應(yīng)詳細(xì)說明建模假設(shè)，以指導(dǎo)M&S工具鏈的設(shè)計。ADS制造商應(yīng)提供以下證據(jù)：

 ADS制造商應(yīng)提供證據(jù)，證明M&S與真實(shí)世界的相關(guān)性誤差對于測試目標(biāo)是可接受的。

 ADS制造商應(yīng)提供有關(guān)模型中不確定性來源的信息，這將代表最終不確定性分析的重要輸入，該分析將定義M&S工具鏈輸出如何受到所使用的M&S工具鏈的不同不確定性來源的影響。

3.3 范圍（模型的作用是什么？）

范圍定義了如何在ADS驗(yàn)證中使用M&S。仿真工具的置信度應(yīng)通過明確定義的M&S工具鏈的范圍來加強(qiáng)。

成熟的M&S應(yīng)該允許物理現(xiàn)象的虛擬化，其準(zhǔn)確度與認(rèn)證所需的保真度水平相匹配。因此，M&S環(huán)境將充當(dāng)ADS測試的“虛擬試驗(yàn)場”。

M&S工具鏈需要專門的場景和指標(biāo)進(jìn)行驗(yàn)證。用于驗(yàn)證的場景選擇應(yīng)該足夠多，以便有信心M&S工具鏈在未包含在驗(yàn)證范圍內(nèi)的場景中以相同的方式執(zhí)行。ADS制造商應(yīng)提供驗(yàn)證方案列表以及相應(yīng)的參數(shù)描述限制。

ODD分析是獲得M&S工具鏈必須考慮支持ADS驗(yàn)證的需求、范圍和效果的關(guān)鍵輸入。為場景（正常、緊急、故障、邊緣等場景）生成的參數(shù)將定義仿真工具鏈和仿真模型的外部和內(nèi)部數(shù)據(jù)。

3.4 危害分析

整個仿真工具鏈中使用的仿真模型和仿真工具應(yīng)根據(jù)其在最終ADS產(chǎn)品中出現(xiàn)安全錯誤的情況下的影響進(jìn)行調(diào)查。ISO26262提出了一種危害分析方法，該方法要求開發(fā)過程中使用一些危害分析工具證。為了得出仿真數(shù)據(jù)的危害程度，危害程度分析考慮以下參數(shù)：

（a）對人類安全的后果，例如ISO26262中的嚴(yán)重等級；

（b）M&S工具鏈結(jié)果影響ADS的程度。

下表提供了一個危害程度評估矩陣示例來演示此分析。ADS制造商可以根據(jù)其特定用例調(diào)整此矩陣。

 從危害程度評估的角度來看，評估的三種可能情況是：

4. 建模&仿真驗(yàn)證

 M&S的驗(yàn)證涉及對創(chuàng)建和構(gòu)建整個工具鏈的概念/數(shù)學(xué)模型的正確實(shí)施進(jìn)行分析。驗(yàn)證通過確保單個工具不會對一組無法測試的輸入表現(xiàn)出不切實(shí)際的行為來提高M(jìn)&S的可信度。該程序基于下文描述的步驟方法，包括代碼驗(yàn)證、計算驗(yàn)證和靈敏度分析。

4.1 代碼驗(yàn)證

代碼驗(yàn)證涉及測試的執(zhí)行，以證明沒有數(shù)值/邏輯缺陷影響仿真模型。

（a）制造商應(yīng)記錄正確代碼驗(yàn)證技術(shù)的執(zhí)行情況，例如靜態(tài)/動態(tài)代碼驗(yàn)證、收斂分析和與精確解決方案的比較（如果適用）。

（c）只要數(shù)據(jù)允許，制造商應(yīng)采用健全性/一致性檢查程序。

4.2 計算驗(yàn)證

 計算驗(yàn)證是為了處理影響M&S的數(shù)值誤差估計。

4.3 靈敏度分析

靈敏度分析旨在量化模型輸出值如何受到模型輸入值變化的影響，從而確定對仿真模型結(jié)果影響最大的參數(shù)。靈敏度研究還提供了確定仿真模型在受到參數(shù)微小變化時滿足驗(yàn)證閾值的程度的機(jī)會，因此它在支持仿真結(jié)果的可信度方面發(fā)揮著基礎(chǔ)作用。

4.4 驗(yàn)證

確定建?；蚍抡鎻腗&S的預(yù)期用途的角度準(zhǔn)確代表現(xiàn)實(shí)世界的程度的定量過程。建議在評估模型或仿真的有效性時考慮以下事項：  

（a）性能度量/指標(biāo)

 性能度量是用于比較ADS在仿真測試中的性能與在現(xiàn)實(shí)世界中的性能的指標(biāo)，性能度量是在M&S分析期間定義的，驗(yàn)證指標(biāo)可能包括：

     （b）適合度度量

        用于比較現(xiàn)實(shí)世界和仿真指標(biāo)的分析框架通常作為關(guān)鍵績效指標(biāo)（KPI）得出，指示兩組數(shù)據(jù)之間的統(tǒng)計可比性。驗(yàn)證應(yīng)表明這些KPI已得到滿足。

（c）驗(yàn)證方法論

（i）驗(yàn)證子系統(tǒng)模型，例如環(huán)境模型（道路網(wǎng)絡(luò)、天氣條件、道路用戶交互）、傳感器模型（無線電探測和測距（毫米波雷達(dá)）、光探測和測距（激光雷達(dá)）、攝像頭）、車輛模型（轉(zhuǎn)向、制動、動力總成）；       

（ii）驗(yàn)證車輛系統(tǒng)（車輛動力學(xué)模型與環(huán)境模型一起）；

        在M&S分析期間定義了相關(guān)閾值的要求，驗(yàn)證應(yīng)表明滿足這些KPI。

 評估員（認(rèn)證官）應(yīng)審核制造商提供的留檔，并可能對完整的集成工具進(jìn)行測試。如果仿真測試的輸出不能充分復(fù)制物理測試的輸出，評估員可以要求重復(fù)仿真和/或物理測試。測試的結(jié)果將被審查，結(jié)果中的任何偏差都應(yīng)與制造商溝通重新審查。需要充分的解釋來證明測試配置導(dǎo)致結(jié)果偏差的原因。

（h） 不確定性表征

本節(jié)涉及表征仿真工具鏈結(jié)果的預(yù)期變性。評估應(yīng)由兩個階段組成。在第一階段，從“M&S分析和描述”部分和“數(shù)據(jù)/輸入譜系”收集的信息用于表征輸入數(shù)據(jù)、模型參數(shù)和建模結(jié)構(gòu)中的不確定性。然后，通過仿真工具鏈傳播所有不確定性，量化模型結(jié)果的不確定性。根據(jù)模型結(jié)果的不確定性，ADS制造商在使用仿真測試作為ADS驗(yàn)證的一部分時需要引入適當(dāng)?shù)陌踩６取?

4.5 文檔結(jié)構(gòu)

 本節(jié)將定義如何收集和組織制造商提供給監(jiān)管當(dāng)局的留檔中的上述信息。

（a）ADS制造商應(yīng)制作一份使用此大綱結(jié)構(gòu)化的文檔（“仿真手冊”），為所呈現(xiàn)的主題提供證據(jù)； 

 （b）留檔應(yīng)與工具鏈的相應(yīng)發(fā)布和適當(dāng)?shù)闹С謹(jǐn)?shù)據(jù)一起交付；

 （c）制造商應(yīng)提供明確的參考，允許跟蹤留檔到工具鏈和數(shù)據(jù)的對應(yīng)關(guān)系；

 （d）留檔應(yīng)在工具鏈使用的整個生命周期內(nèi)保持。評估員可以通過評估制造商的留檔和/或進(jìn)行物理測試來審核ADS制造商。