1.置信度評(píng)估的動(dòng)機(jī)、范圍和框架

2.建模&仿真管理

3.建模&仿真分析和描述

4.建模&仿真驗(yàn)證

3. 建模&仿真分析和描述

 M&S分析和描述旨在定義整個(gè)工具鏈，并確定可以通過(guò)仿真測(cè)試評(píng)估的參數(shù)空間。它定義了模型和仿真工具的范圍和限制，以及可能影響其結(jié)果的不確定性來(lái)源。

3.1 一般說(shuō)明

 ADS制造商應(yīng)提供仿真工具鏈的完整描述，以及如何使用M&S數(shù)據(jù)來(lái)支持ADS驗(yàn)證策略。

ADS制造商應(yīng)提供測(cè)試目標(biāo)的清晰描述。

3.2 假設(shè)、已知限制和不確定性來(lái)源

ADS制造商應(yīng)詳細(xì)說(shuō)明建模假設(shè)，以指導(dǎo)M&S工具鏈的設(shè)計(jì)。ADS制造商應(yīng)提供以下證據(jù)：

 ADS制造商應(yīng)提供證據(jù)，證明M&S與真實(shí)世界的相關(guān)性誤差對(duì)于測(cè)試目標(biāo)是可接受的。

 ADS制造商應(yīng)提供有關(guān)模型中不確定性來(lái)源的信息，這將代表最終不確定性分析的重要輸入，該分析將定義M&S工具鏈輸出如何受到所使用的M&S工具鏈的不同不確定性來(lái)源的影響。

3.3 范圍（模型的作用是什么？）

范圍定義了如何在ADS驗(yàn)證中使用M&S。仿真工具的置信度應(yīng)通過(guò)明確定義的M&S工具鏈的范圍來(lái)加強(qiáng)。

成熟的M&S應(yīng)該允許物理現(xiàn)象的虛擬化，其準(zhǔn)確度與認(rèn)證所需的保真度水平相匹配。因此，M&S環(huán)境將充當(dāng)ADS測(cè)試的“虛擬試驗(yàn)場(chǎng)”。

M&S工具鏈需要專門的場(chǎng)景和指標(biāo)進(jìn)行驗(yàn)證。用于驗(yàn)證的場(chǎng)景選擇應(yīng)該足夠多，以便有信心M&S工具鏈在未包含在驗(yàn)證范圍內(nèi)的場(chǎng)景中以相同的方式執(zhí)行。ADS制造商應(yīng)提供驗(yàn)證方案列表以及相應(yīng)的參數(shù)描述限制。

ODD分析是獲得M&S工具鏈必須考慮支持ADS驗(yàn)證的需求、范圍和效果的關(guān)鍵輸入。為場(chǎng)景（正常、緊急、故障、邊緣等場(chǎng)景）生成的參數(shù)將定義仿真工具鏈和仿真模型的外部和內(nèi)部數(shù)據(jù)。

3.4 危害分析

整個(gè)仿真工具鏈中使用的仿真模型和仿真工具應(yīng)根據(jù)其在最終ADS產(chǎn)品中出現(xiàn)安全錯(cuò)誤的情況下的影響進(jìn)行調(diào)查。ISO26262提出了一種危害分析方法，該方法要求開(kāi)發(fā)過(guò)程中使用一些危害分析工具證。為了得出仿真數(shù)據(jù)的危害程度，危害程度分析考慮以下參數(shù)：

（a）對(duì)人類安全的后果，例如ISO26262中的嚴(yán)重等級(jí)；

（b）M&S工具鏈結(jié)果影響ADS的程度。

下表提供了一個(gè)危害程度評(píng)估矩陣示例來(lái)演示此分析。ADS制造商可以根據(jù)其特定用例調(diào)整此矩陣。

 從危害程度評(píng)估的角度來(lái)看，評(píng)估的三種可能情況是：

4. 建模&仿真驗(yàn)證

 M&S的驗(yàn)證涉及對(duì)創(chuàng)建和構(gòu)建整個(gè)工具鏈的概念/數(shù)學(xué)模型的正確實(shí)施進(jìn)行分析。驗(yàn)證通過(guò)確保單個(gè)工具不會(huì)對(duì)一組無(wú)法測(cè)試的輸入表現(xiàn)出不切實(shí)際的行為來(lái)提高M(jìn)&S的可信度。該程序基于下文描述的步驟方法，包括代碼驗(yàn)證、計(jì)算驗(yàn)證和靈敏度分析。

4.1 代碼驗(yàn)證

代碼驗(yàn)證涉及測(cè)試的執(zhí)行，以證明沒(méi)有數(shù)值/邏輯缺陷影響仿真模型。

（a）制造商應(yīng)記錄正確代碼驗(yàn)證技術(shù)的執(zhí)行情況，例如靜態(tài)/動(dòng)態(tài)代碼驗(yàn)證、收斂分析和與精確解決方案的比較（如果適用）。

（c）只要數(shù)據(jù)允許，制造商應(yīng)采用健全性/一致性檢查程序。

4.2 計(jì)算驗(yàn)證

 計(jì)算驗(yàn)證是為了處理影響M&S的數(shù)值誤差估計(jì)。

4.3 靈敏度分析

靈敏度分析旨在量化模型輸出值如何受到模型輸入值變化的影響，從而確定對(duì)仿真模型結(jié)果影響最大的參數(shù)。靈敏度研究還提供了確定仿真模型在受到參數(shù)微小變化時(shí)滿足驗(yàn)證閾值的程度的機(jī)會(huì)，因此它在支持仿真結(jié)果的可信度方面發(fā)揮著基礎(chǔ)作用。

4.4 驗(yàn)證

確定建?；蚍抡鎻腗&S的預(yù)期用途的角度準(zhǔn)確代表現(xiàn)實(shí)世界的程度的定量過(guò)程。建議在評(píng)估模型或仿真的有效性時(shí)考慮以下事項(xiàng)：  

（a）性能度量/指標(biāo)

 性能度量是用于比較ADS在仿真測(cè)試中的性能與在現(xiàn)實(shí)世界中的性能的指標(biāo)，性能度量是在M&S分析期間定義的，驗(yàn)證指標(biāo)可能包括：

     （b）適合度度量

        用于比較現(xiàn)實(shí)世界和仿真指標(biāo)的分析框架通常作為關(guān)鍵績(jī)效指標(biāo)（KPI）得出，指示兩組數(shù)據(jù)之間的統(tǒng)計(jì)可比性。驗(yàn)證應(yīng)表明這些KPI已得到滿足。

（c）驗(yàn)證方法論

（i）驗(yàn)證子系統(tǒng)模型，例如環(huán)境模型（道路網(wǎng)絡(luò)、天氣條件、道路用戶交互）、傳感器模型（無(wú)線電探測(cè)和測(cè)距（毫米波雷達(dá)）、光探測(cè)和測(cè)距（激光雷達(dá)）、攝像頭）、車輛模型（轉(zhuǎn)向、制動(dòng)、動(dòng)力總成）；       

（ii）驗(yàn)證車輛系統(tǒng)（車輛動(dòng)力學(xué)模型與環(huán)境模型一起）；

        在M&S分析期間定義了相關(guān)閾值的要求，驗(yàn)證應(yīng)表明滿足這些KPI。

 評(píng)估員（認(rèn)證官）應(yīng)審核制造商提供的留檔，并可能對(duì)完整的集成工具進(jìn)行測(cè)試。如果仿真測(cè)試的輸出不能充分復(fù)制物理測(cè)試的輸出，評(píng)估員可以要求重復(fù)仿真和/或物理測(cè)試。測(cè)試的結(jié)果將被審查，結(jié)果中的任何偏差都應(yīng)與制造商溝通重新審查。需要充分的解釋來(lái)證明測(cè)試配置導(dǎo)致結(jié)果偏差的原因。

（h） 不確定性表征

本節(jié)涉及表征仿真工具鏈結(jié)果的預(yù)期變性。評(píng)估應(yīng)由兩個(gè)階段組成。在第一階段，從“M&S分析和描述”部分和“數(shù)據(jù)/輸入譜系”收集的信息用于表征輸入數(shù)據(jù)、模型參數(shù)和建模結(jié)構(gòu)中的不確定性。然后，通過(guò)仿真工具鏈傳播所有不確定性，量化模型結(jié)果的不確定性。根據(jù)模型結(jié)果的不確定性，ADS制造商在使用仿真測(cè)試作為ADS驗(yàn)證的一部分時(shí)需要引入適當(dāng)?shù)陌踩６取?

4.5 文檔結(jié)構(gòu)

 本節(jié)將定義如何收集和組織制造商提供給監(jiān)管當(dāng)局的留檔中的上述信息。

（a）ADS制造商應(yīng)制作一份使用此大綱結(jié)構(gòu)化的文檔（“仿真手冊(cè)”），為所呈現(xiàn)的主題提供證據(jù)； 

 （b）留檔應(yīng)與工具鏈的相應(yīng)發(fā)布和適當(dāng)?shù)闹С謹(jǐn)?shù)據(jù)一起交付；

 （c）制造商應(yīng)提供明確的參考，允許跟蹤留檔到工具鏈和數(shù)據(jù)的對(duì)應(yīng)關(guān)系；

 （d）留檔應(yīng)在工具鏈使用的整個(gè)生命周期內(nèi)保持。評(píng)估員可以通過(guò)評(píng)估制造商的留檔和/或進(jìn)行物理測(cè)試來(lái)審核ADS制造商。