2. Snapdragon域控硬件架构解析
做Snapdragon域控的HIL验证，第一步不是写测试用例，而是把硬件架构拆成"能被观测"和"能被注入"两类接口。域控不是一块普通SoC板，它由应用处理器（SoC）、MCU安全岛、电源管理芯片（PMIC）、车载网络子系统和存储子系统共同构成。HIL台架的价值，就在于把这些内部信号从封装里"引出来"，让测试系统既能读，也能改。
SoC应用处理器：算力核心的可观测面
Snapdragon域控的SoC通常包含Kryo CPU集群、Adreno GPU、Hexagon DSP/NPU以及多路摄像头、显示接口。在HIL中，SoC本身不直接暴露内部总线，但可以通过以下路径观测：一是调试串口（UART）输出的启动日志与内核日志，用于判断启动阶段是否卡在引导加载程序或内核初始化；二是ADB/SSH通道，用于读取进程状态、CPU负载、内存占用和温度节点；三是性能计数器，通过/sys/class/devfreq或高通专用性能接口读取CPU/GPU频率与带宽占用。
可注入点方面，SoC侧最典型的是故障注入：通过调试接口触发内核panic、模拟DDR位翻转（需硬件支持）、或通过热控接口强制降频。例如在HIL中注入"CPU温度超过95℃"的虚拟传感器值，观察热管理策略是否触发降频并影响ADAS感知帧率。这类注入需要与PMIC和热管理驱动配合，不能只改一个寄存器。
MCU安全岛：功能安全的独立通道
MCU安全岛（通常基于Cortex-R52或类似锁步核）承担ASIL-D级别的安全监控、看门狗管理和安全状态切换。它与SoC之间通过共享内存、IPC或SPI通信。HIL中，MCU安全岛的可观测点包括：安全状态机的当前状态（Normal/Degraded/Safe）、看门狗喂狗计数、锁步核比较错误标志、以及安全岛与SoC之间的心跳信号。
可注入点非常关键：可以模拟SoC心跳丢失，观察MCU是否在预定时间内将系统切入安全状态；可以注入锁步核比较错误，验证错误处理路径；还可以通过调试口修改看门狗超时阈值，测试边界行为。这些注入直接决定功能安全验证的覆盖度，是HIL台架区别于普通台架的核心能力。
电源管理：上电时序与电压域
Snapdragon域控通常配有多路PMIC，管理SoC核心电压、DDR电压、IO电压、摄像头模组供电等。上电时序是HIL验证的重点：哪一路先起、哪一路后起、各路之间的延时要求，都直接影响启动成功率。可观测点包括各路电源的使能信号（EN）、电源良好信号（PG）、以及通过I2C/SPI读取的PMIC寄存器状态。
可注入点包括：拉低某一路PG信号模拟电源故障，观察系统是否按预期进入保护；通过I2C修改PMIC输出电压，测试欠压/过压保护阈值；控制EN信号时序，模拟上电顺序错误。这些注入需要HIL台架具备可编程电源和数字IO控制能力。
网络与存储子系统：数据通路的验证
车载网络通常包括车载以太网（100BASE-T1/1000BASE-T1）、CAN/CAN FD、以及LIN。HIL中，以太网可观测点包括链路状态、PHY寄存器、VLAN标签、TSN时间同步状态；可注入点包括丢包、延迟、错包、链路断开。CAN侧可观测报文周期、总线负载、错误帧；可注入点包括模拟节点丢失、报文篡改、总线短路。
存储子系统通常包括UFS/eMMC、DDR和外部Flash。可观测点包括读写带宽、IO延迟、坏块计数、DDR训练状态。可注入点包括模拟UFS读写错误、DDR位翻转（需硬件支持）、Flash写保护触发。这些注入用于验证文件系统容错和启动冗余机制。
可观测点与可注入点的对应关系
把上述内容整理成一张对应表，便于在HIL台架搭建时逐项核对。表中"观测方式"指测试系统如何读取该信号，"注入方式"指如何施加故障或激励，"典型用例"是该接口最常验证的场景。
| 子系统 | 可观测点 | 观测方式 | 可注入点 | 注入方式 | 典型用例 |
|---|---|---|---|---|---|
| SoC | 启动日志、CPU负载、温度、频率 | UART/ADB/性能计数器 | 内核panic、热控降频、DDR位翻转 | 调试接口/虚拟传感器 | 启动失败恢复、热管理策略验证 |
| MCU安全岛 | 安全状态、看门狗计数、锁步错误 | 共享内存/IPC/调试口 | 心跳丢失、锁步错误、看门狗阈值修改 | IPC消息阻断/寄存器改写 | 安全状态切换时间、故障响应 |
| PMIC | EN/PG信号、I2C寄存器、各路电压 | 数字IO采集/I2C读取 | PG拉低、电压偏移、EN时序错误 | 可编程电源/IO控制 | 上电时序验证、欠压保护 |
| 网络 | 链路状态、VLAN、报文周期、错误帧 | PHY寄存器/CAN分析仪 | 丢包、延迟、链路断开、报文篡改 | 以太网仿真/CAN注入 | 通信容错、TSN同步验证 |
| 存储 | 读写带宽、IO延迟、坏块计数 | 系统节点/驱动日志 | 读写错误、写保护触发 | 驱动层注入/硬件故障模拟 | 文件系统容错、启动冗余 |
需要特别注意的是，SoC与MCU安全岛之间的IPC通道、PMIC与SoC之间的电源控制信号、以及网络子系统的TSN时间同步，这三处是域控功能安全与实时性验证的交叉点。HIL台架在这三处的观测精度和注入粒度，直接决定了整个验证体系的可信度。例如，IPC心跳丢失的注入延迟如果超过MCU看门狗的超时阈值，测试结果就会失真。因此，在台架设计阶段就要明确各通道的时间精度要求，并在验收时用示波器或逻辑分析仪实测确认。