3. ADAS功能规范与法规要求
在EyeQ平台的ADAS量产验证中，功能规范与法规要求不是两份独立的文档，而是同一验证活动的两个约束面：法规给出“必须达到什么”，功能规范给出“在什么条件下、以什么精度、以什么降级策略达到”。验证工程师需要把Euro NCAP、NHTSA、ISO 15622、ISO 11270等外部要求，翻译成可执行的测试用例、通过判据和ASIL安全目标，才能让验证结果既满足型式认证，又支撑功能安全论证。
一、四类外部要求的定位差异
Euro NCAP是消费者测评体系，决定车型能否拿到五星，其AEB、LSS、ACC等测试场景以“避免碰撞或减轻伤害”为判据，强调目标车、行人、自行车等弱势道路使用者。NHTSA更偏向美国联邦机动车安全标准与NCAP，对FCW、AEB的报警时机和制动减速度有明确要求，且对误报率敏感。ISO 15622针对ACC，规定速度控制、跟车时距、目标丢失后的退出行为；ISO 11270针对LKA/LSS，规定车道保持的横向控制边界、脱手检测与退出策略。四者的关系可以概括为：NCAP管“表现好不好”，NHTSA管“合不合规”，ISO管“功能怎么定义、怎么退出”。
在EyeQ项目中，这些要求最终会落到感知输出接口上。例如ISO 15622要求ACC在目标丢失后必须在限定时间内退出或降级，对应到EyeQ就是目标跟踪模块的TTC（碰撞时间）与目标存在置信度必须在该时间内完成状态切换；ISO 11270要求LKA在驾驶员脱手后逐级报警并退出，对应到EyeQ就是方向盘力矩或电容传感信号与车道线曲率输出的联合判断。验证时不能只看最终功能，而要检查这些中间信号是否在规范窗口内变化。
二、ASIL等级与安全目标的映射
功能安全目标来自ISO 26262的危害分析与风险评估。对ADAS而言，典型危害是“非预期制动”“非预期转向”“漏报导致未制动”。以AEB为例，若危害事件的可控性较低、严重度较高，通常被分配到ASIL B或ASIL D；FCW的报警类功能一般可到ASIL A或QM。ASIL等级直接决定验证深度：ASIL D要求更高的诊断覆盖率、更严格的故障注入和更完整的证据链。
需要特别注意的是，ASIL等级不是对整个功能“一刀切”，而是按安全目标分解到具体信号链。EyeQ内部，感知输出、融合决策、执行请求可能分属不同ASIL等级。验证计划必须按信号链逐段确认：某段是ASIL B，就不能用QM的测试强度去覆盖。下表给出一个典型ADAS功能的ASIL分配示例，用于说明验证强度的差异。
| 功能 | 典型安全目标 | 参考ASIL | 验证重点 |
|---|---|---|---|
| AEB城市工况 | 避免非预期制动与漏制动 | ASIL B/D | 故障注入、TTC边界、误触发率 |
| FCW | 报警及时且不误报 | ASIL A/QM | 报警时机、虚警统计 |
| ACC | 目标丢失后安全退出 | ASIL B | 退出时序、降级策略 |
| LKA | 非预期转向可控 | ASIL B/D | 横向控制边界、脱手检测 |
三、性能指标如何转成可测判据
法规和NCAP文本里的“及时”“准确”必须转成数值判据。常见做法是定义三类指标：感知指标、决策指标、执行指标。感知指标包括目标检测率、距离误差、车道线曲率误差；决策指标包括TTC计算误差、报警提前量；执行指标包括制动减速度建立时间、横向加速度限值。以AEB为例，Euro NCAP CCRs场景要求在一定车速下避免碰撞，验证时可将其拆为：目标检测距离误差≤设定阈值、TTC误差≤设定阈值、制动请求到减速度建立的延迟≤设定阈值。三个条件同时满足，才判定该场景通过。
这些阈值不是拍脑袋定的，而是从功能规范反推。例如ISO 15622对ACC跟车时距有明确范围，验证时就要检查EyeQ输出的时距估计是否落在范围内，并在目标切换时观察是否出现跳变。若跳变超过规范允许的斜率，即使最终值正确，也应判为不通过，因为中间过程可能引发乘员不适或后车追尾风险。
四、验证覆盖的闭环关系
把上述内容串起来，可以看到一条从外部要求到验证证据的闭环链路：法规与NCAP提出功能要求，功能规范将其细化为性能指标与降级策略，危害分析确定ASIL等级，验证计划据此设计场景、判据和故障注入，最终形成可追溯的证据。下图用信号链与约束关系表达这一闭环，重点展示四类外部要求如何分别作用于感知、决策、执行三个环节，并共同约束ASIL与性能指标。
图中红色虚线表示验证证据对功能规范的反馈：当某个场景反复不通过时，需要回到功能规范确认阈值是否合理，或回到危害分析确认ASIL分配是否偏低。这种反馈在量产验证中很常见，尤其是AEB误触发率与NCAP通过率之间存在张力时，必须通过调整判据或增加场景来平衡。
五、实操中的判据示例
以ISO 15622的ACC目标丢失退出为例，验证用例可以这样写：设定本车以80 km/h跟随前车，时距1.5 s；前车在2 s内变道离开，EyeQ目标跟踪模块应在目标丢失后0.5 s内将目标状态置为无效，并在1.5 s内发出退出请求或降级提示。验证时通过CANoe记录目标状态、TTC、时距估计和退出请求信号，检查时间戳是否满足窗口。若目标状态在0.5 s内未置无效，即使最终退出正确，也判为不通过，因为中间过程可能让驾驶员误以为ACC仍在工作。
再以LKA为例，ISO 11270要求脱手后逐级报警。验证时可模拟方向盘力矩传感器信号从正常握持逐渐变为零，观察EyeQ输出的报警等级是否按“视觉提示→声音报警→退出”的顺序在规范时间内切换。这里的关键不是报警本身，而是切换时序和退出后的横向控制是否平滑归零。若退出瞬间方向盘出现阶跃回正，说明横向控制降级策略不满足规范，需要回到功能规范修改退出斜率。
综上，ADAS功能规范与法规要求的验证，核心是把外部文本转成内部可测判据，再按ASIL等级决定验证深度。Euro NCAP和NHTSA决定场景与合规边界，ISO 15622和ISO 11270决定功能定义与退出行为，ASIL决定故障注入和证据强度。只有把四者映射到EyeQ的感知、决策、执行信号链上，并保留版本与追溯关系，量产验证才具备可审核、可复现的基础。