4. 测试用例设计基础

AUTOSAR系统级测试面对的是由多个ECU、复杂通信矩阵和数百个软件组件构成的分布式系统。测试人员往往需要在有限的时间内，从近乎无限的输入组合中筛选出高价值的测试用例。黑盒测试方法不关心内部实现细节，仅从需求规格和外部行为出发，恰好契合系统级测试的验证目标。本章将深入探讨等价类划分、边界值分析、决策表、状态转换测试四种核心黑盒方法在AUTOSAR系统级测试中的具体应用策略，并结合实际工程场景剖析其适用边界与组合使用技巧。

4.1 等价类划分：从无限输入到有限代表

核心原理

等价类划分的核心思想是将系统的输入域划分为若干互不相交的子集，每个子集中的所有输入对于测试目标而言具有“等价”的预期结果。在AUTOSAR系统级测试中，这种等价性通常体现在信号值域、报文周期、诊断服务ID、故障码（DTC）类别等维度。例如，对于车速信号（VehicleSpeed），0-300 km/h的物理范围可以划分为有效类（0-250）、无效类（>250）、特殊类（负值或无效位）。测试人员只需从每个类中选取一个代表性值进行测试，即可覆盖该类的全部行为特征。

判断方法或操作流程

1. 识别输入条件：从系统需求中提取所有外部输入，包括CAN/LIN/以太网信号、传感器值、操作指令、诊断请求等。
2. 划分有效与无效类：依据需求规格，将每个输入条件划分为有效等价类（系统应正常响应的输入）和无效等价类（系统应拒绝或报错的输入）。
3. 细化子类：对于复杂输入（如枚举型模式值），每个合法枚举值可视为独立有效类；对于连续量，按物理意义分段。
4. 为每类设计代表用例：每个等价类至少设计一个测试用例，确保覆盖所有类。

案例拆解：BMS电池电压信号测试

某纯电动车型的BMS（电池管理系统）通过CAN向VCU（整车控制器）发送电池总电压信号，物理范围0-500V，分辨率0.1V，偏移量0。需求规定：电压在200V-450V时为正常工作区；低于200V触发欠压警告；高于450V触发过压故障；超过500V或小于0V视为信号无效。测试团队应用等价类划分：有效类包括正常区（取300V）、欠压区（取150V）、过压区（取480V）；无效类包括负值（-5V）、超上限（550V）。每个类设计一个用例，共5个用例覆盖全部行为分支。实际测试中发现，当电压为550V时，VCU正确进入了故障安全模式，但仪表盘显示异常——这暴露了显示模块对无效信号处理不一致的缺陷。

4.2 边界值分析：缺陷高发区的精准打击

核心原理

经验表明，大量软件缺陷集中在输入域的边界附近。边界值分析在等价类的基础上，专门针对边界及其邻近值设计测试用例。对于AUTOSAR系统，边界值不仅包括数值边界（如温度阈值-40°C、85°C），还包括时间边界（如报文超时时间100ms）、计数边界（如DTC发生次数阈值3次）和状态边界（如模式切换的临界条件）。

判断方法或操作流程

实战场景：CAN报文超时检测

AUTOSAR COM模块负责监控周期报文的接收超时。某雷达传感器报文周期为20ms，超时时间配置为50ms。测试用例设计如下：报文在49ms到达（应正常接收）、50ms到达（临界值，需确认需求定义）、51ms到达（应触发超时）。同时测试连续丢失1帧、2帧、3帧（超时计数器阈值）时的不同降级策略。测试发现，当报文在第50ms恰好到达时，由于系统时钟抖动，部分ECU判定超时，部分判定正常——这暴露了超时判断未考虑时钟同步误差的问题，最终通过增加5ms滞回区间解决。

4.3 决策表：复杂条件组合的系统化覆盖

核心原理

当系统行为由多个条件的组合决定时，决策表提供了一种系统化的分析工具。它将所有条件（Condition）的可能取值组合与对应的动作（Action）映射为一张矩阵。在AUTOSAR系统级测试中，决策表特别适用于故障响应策略、电源模式管理、驾驶模式切换等涉及多输入逻辑判断的场景。例如，VCU的扭矩仲裁逻辑可能同时考虑加速踏板位置、制动踏板状态、车速、挡位、故障等级等多个条件。

判断方法或操作流程

1. 列出所有条件：从需求中提取影响决策的独立条件，每个条件取真/假或有限个离散值。
2. 列出所有动作：系统在该决策下可能执行的动作集合。
3. 构造决策表：计算条件组合总数（各条件取值数相乘），去除不可能组合，形成规则列。
4. 化简合并：对于动作相同的规则，若条件取值不影响结果，可合并为“无关项”（用“-”表示）。
5. 生成测试用例：每条化简后的规则至少设计一个测试用例。

案例拆解：自动紧急制动（AEB）系统

AEB系统需要根据前方障碍物距离、相对速度、驾驶员制动意图、系统故障状态四个条件决定是否触发紧急制动。条件包括：距离（近/中/远）、相对速度（高/低）、制动踏板（踩下/未踩下）、系统状态（正常/故障）。理论上4个条件共2×2×2×2=16种组合。通过决策表化简后得到8条有效规则：例如“距离近+速度高+未踩制动+系统正常”触发全制动；“距离近+速度高+已踩制动+系统正常”仅增强制动助力；“系统故障”无论其他条件如何均不触发AEB并点亮警告灯。测试团队依据8条规则设计了8个测试用例，覆盖了所有决策路径，相比随机组合测试减少了50%的用例量，同时保证了100%的决策覆盖率。

4.4 状态转换测试：动态行为验证的基石

核心原理

AUTOSAR系统大量使用状态机建模，如ECU的启动/关闭流程、诊断会话控制（默认/编程/扩展）、电源模式管理（唤醒/运行/休眠）、通信状态（网络模式/预备/总线关闭）。状态转换测试基于状态图，验证系统在接收事件后是否按照规格正确迁移状态，并执行相应的状态动作。其核心要素包括：状态（State）、事件（Event）、迁移（Transition）、动作（Action）和守卫条件（Guard）。

判断方法或操作流程

• 绘制状态图：从需求中提取所有状态、事件、迁移和动作，形成完整的状态转换图。
• 设计覆盖策略：状态覆盖（每个状态至少访问一次）、迁移覆盖（每条迁移至少执行一次）、路径覆盖（关键路径组合）。
• 考虑非法事件：测试在当前状态下不应发生的事件，验证系统是否忽略或正确报错。
• 验证守卫条件：对于带守卫条件的迁移，分别测试条件满足和不满足的场景。

实战场景：ECU休眠与唤醒状态机

某车身控制器（BCM）的状态机包含四个状态：休眠（Sleep）、唤醒（Awake）、运行（Run）、故障（Fail）。事件包括：KL15上电、CAN报文唤醒、定时器超时、故障发生、故障清除。测试团队设计了以下用例：①休眠→收到CAN唤醒报文→唤醒→运行（正常路径）；②运行→KL15下电→等待超时→休眠（正常关闭）；③运行→检测到内部故障→故障→故障清除→运行（故障恢复）；④休眠→收到非法唤醒源（如LIN错误帧）→应保持在休眠状态（非法事件处理）。测试中发现，当BCM在故障状态收到KL15下电事件时，系统错误地直接进入休眠而非先进入安全状态，导致故障信息丢失。该缺陷通过状态转换测试被及时捕获。

4.5 方法组合与工程实践建议

核心原理

在实际AUTOSAR系统级测试中，单一方法往往不足以充分覆盖。等价类与边界值通常结合使用，用于信号级测试；决策表适用于逻辑判断密集的功能；状态转换则用于验证动态行为。四者并非互斥，而是互补关系。例如，测试一个电源管理功能时，先用状态转换覆盖模式切换路径，再用决策表验证不同条件下的切换决策，最后用等价类和边界值细化每个条件的具体取值。

方法选择决策清单

常见误区与复盘

• 误区一：等价类划分后不再做边界值。等价类只能保证“类”的代表性，无法覆盖边界处的特殊逻辑。
• 误区二：决策表条件过多导致组合爆炸。应优先使用“无关项”化简，或采用Pairwise方法降维。
• 误区三：状态转换测试只测正常路径。非法事件和守卫条件不满足的路径往往隐藏更多缺陷。
• 误区四：忽略时序和并发。AUTOSAR系统是分布式实时系统，多个事件同时到达时的行为需要额外设计并发测试用例。

综上所述，等价类、边界值、决策表和状态转换是AUTOSAR系统级测试的四大基石。它们各自解决不同维度的问题，组合使用能够构建出结构清晰、覆盖充分、可追溯的测试用例集。在实际项目中，测试人员应根据功能特性和风险等级灵活选择方法，并始终以需求可追溯性和缺陷发现效率作为衡量用例质量的核心指标。