1. 课程导入与测试验证全景
NVIDIA DRIVE 是面向自动驾驶的高性能计算平台，其域控系统把 SoC、MCU、传感器接口、车载网络、供电与散热整合在一个车规级控制器内。测试与验证的目标不是“把功能跑一遍”，而是用可追溯的证据证明：在规定的运行设计域（ODD）内，系统功能正确、性能达标、失效可控，并满足功能安全与信息安全要求。本课程围绕这一目标展开，最终落到一个可复现的实战项目上。
一、DRIVE 域控系统的分层架构
理解测试对象，先要看清它的分层。以典型的 NVIDIA DRIVE 域控为例，可划分为四层：
- 算力层：DRIVE AGX SoC（如 Orin/Thor 系列），内部含 CPU 集群、Ampere/Blackwell 架构 GPU、深度学习加速器 DLA、可编程视觉加速器 PVA，运行 QNX/Linux 与 CUDA、TensorRT 栈。
- 安全岛层：独立 MCU（如 Infineon TC3xx 或等效安全控制器），运行 AUTOSAR，承担安全监控、看门狗、电源时序与降级控制。
- 接口层：车规以太网（100/1000BASE-T1）、CAN/CAN FD、LIN、GMSL/CSI-2 摄像头链路、PCIe 扩展、GNSS/IMU 同步接口。
- 物理层：电源管理芯片（PMIC）、液冷或风冷散热、结构件与连接器，决定温度、功耗与振动边界。
测试必须覆盖层内与层间：SoC 内部算力调度、SoC 与 MCU 的安全交互、域控与整车网络的报文一致性、以及物理层在温度与电压边界下的稳定性。任何一层缺失，都会让“通过”失去意义。
二、测试验证目标：从“功能正确”到“证据可追溯”
域控测试的目标可归纳为四类，它们共同构成验收依据：
- 功能正确性：感知、规划、控制、诊断等功能在正常与边界输入下输出符合预期。例如摄像头输入 1920×1080@30fps，感知模块应在规定时延内输出目标列表，且目标 ID 在连续帧间保持稳定。
- 性能与实时性：端到端时延、帧率、CPU/GPU 占用率、内存带宽、网络抖动必须落在设计预算内。典型预算示例：感知推理 ≤ 50 ms，规划 ≤ 20 ms，控制 ≤ 10 ms，整链路 ≤ 100 ms。
- 安全与可靠性：功能安全（ISO 26262 ASIL 等级）、预期功能安全（SOTIF）、信息安全（ISO/SAE 21434）要求失效可检测、可降级、可恢复。例如 MCU 在 20 ms 内未收到 SoC 心跳，应触发安全状态。
- 环境与耐久：温度、电压、振动、EMC 边界下功能不降级。示例条件：-40℃～+85℃、9～16 V 供电、随机振动 10～2000 Hz。
这四类目标对应不同的验证手段：功能用 HIL/SIL 与场景测试，性能用 profiling 与压力测试，安全用故障注入与 FMEA，环境用环境舱与 EMC 实验室。测试计划必须把每条需求映射到具体用例、环境与判据，形成需求—用例—结果—缺陷的追溯链。
三、V 模型与敏捷迭代的关系
V 模型强调“左侧分解需求、右侧逐层验证”的对应关系：系统需求→系统架构→软件/硬件设计→单元实现，右侧依次是单元测试、集成测试、系统测试、验收测试。它的价值在于每一层验证都能回溯到对应层的设计输入，避免“测了但没测到点上”。
敏捷迭代则强调短周期、持续集成、快速反馈。二者并不矛盾：V 模型提供验证的结构与追溯骨架，敏捷提供节奏与自动化手段。实际做法是：把 V 模型右侧的验证活动拆成可自动化的用例集，纳入 CI 流水线，每次代码或模型变更触发 SIL 回归；HIL 与实车测试按迭代周期集中执行。这样既保留追溯性，又获得迭代速度。
四、课程实战项目说明
本课程以一个“前向感知与安全降级”实战项目贯穿始终。项目对象是一台搭载 DRIVE AGX 的域控样件，输入为前视摄像头与 CAN 车速信号，输出为感知目标列表与安全降级指令。项目分四个阶段推进：
- 阶段一：环境搭建。连接域控、摄像头、CAN 工具与 HIL 台架，确认供电时序、网络通信与时间同步正常。
- 阶段二：功能与性能验证。用录制回放与场景注入验证感知输出，用 profiling 采集时延与占用率，判断是否满足预算。
- 阶段三：安全与故障注入。模拟摄像头断流、CAN 报文丢失、SoC 心跳超时，观察 MCU 是否在 20 ms 内进入安全状态并记录诊断码。
- 阶段四：回归与报告。把用例纳入 CI，生成含需求追溯、通过率、缺陷分布的验证报告。
每个阶段都要求给出可观测的证据：日志、波形、性能曲线、诊断码与测试报告。课程结束时，你将能够独立完成一个域控子系统的测试方案设计、用例编写、执行与结果判读，并理解 V 模型与敏捷迭代如何在真实项目中协同工作。