2. Jetson工业项目验收标准框架

Jetson平台进入工业现场后，验收争议往往不是“板子能不能跑”，而是“需求规格里的一句话，如何变成可测量、可判定、可追溯的验收准则”。例如需求写“系统应在检测到人员进入危险区后200 ms内切断动力”，验收时就必须落到具体信号链：摄像头帧到达时间、推理耗时、GPIO输出延迟、安全继电器动作时间，以及测量这些环节所用的仪器与判据。验收标准框架的核心，就是建立“需求条目—设计要素—验证方法—验收准则—证据”的双向映射，而不是在验收现场临时解释需求。

从需求规格到验收准则的映射方法

映射的第一步是把需求拆成可验证的原子条目。一条合格的需求应包含对象、条件、动作、阈值和时间约束。以“AGV在1.5 m内识别行人并减速至0.3 m/s以下”为例，可拆为：感知距离≥1.5 m、识别准确率≥99%（在指定光照与数据集下）、从识别到速度指令输出的端到端延迟≤150 ms、减速后速度≤0.3 m/s。每条需求再指定验证层级：单元级、集成级、系统级或现场级。

第二步是选择验证方法。工业验收常用四类方法：检查（I）、分析（A）、演示（D）、测试（T）。对Jetson系统而言，算力余量、温升、功耗适合分析加测试；安全功能响应时间必须测试；接口定义与线束走向适合检查；极端场景下的失效行为适合演示加测试。方法选定后，验收准则必须写成“通过/不通过”的客观判据，避免“运行稳定”“响应及时”这类不可判定表述。

第三步是建立追溯矩阵。矩阵的行是需求ID，列是设计模块、验证方法、验收准则、证据文件和责任人。Jetson项目中，需求ID可映射到具体组件：REQ-PERF-003对应TensorRT引擎、REQ-SAFE-007对应GPIO安全输出与看门狗、REQ-ENV-002对应散热与宽温设计。验收时逐行核对证据，任何一行缺失即视为未闭环。

IEC 61508/ISO 13849对Jetson系统的适用性裁剪

IEC 61508是功能安全通用标准，强调安全生命周期、SIL等级与硬件/软件安全完整性；ISO 13849面向机械安全控制系统，以PL（Performance Level）和类别（Cat.）描述安全相关控制部分。Jetson本身是通用计算平台，通常不直接作为安全控制器认证，而是作为“非安全通道”承担感知、决策或人机交互，安全动作由独立的安全PLC、安全继电器或安全IO模块执行。因此裁剪的关键是：明确Jetson在安全链中的角色，把安全完整性要求分配给真正承担安全功能的部件。

裁剪时可按以下逻辑处理。第一，划分安全相关与非安全相关功能。若Jetson仅输出“建议减速”而最终切断由安全回路完成，则Jetson侧按非安全通道管理，但仍需定义其失效对安全回路的影响，例如误报导致频繁停机、漏报导致安全回路未触发。第二，确定所需PL或SIL。以ISO 13849为例，若风险图评估结果为PL d、Cat. 3，则安全回路需采用双通道、交叉监控和诊断覆盖；Jetson可作为诊断信息源，但不能替代双通道结构。第三，对Jetson侧实施“适用性裁剪”：保留与安全相关的接口约束、失效模式、诊断和响应时间要求，裁剪掉与通用计算平台无关的元器件级安全认证要求，改以系统级验证和现场测试覆盖。

具体到Jetson项目，裁剪后的验收准则通常包括：安全输出必须由独立看门狗监控，看门狗超时时间≤安全响应时间的50%；Jetson与安全PLC之间采用心跳+序列号校验，连续丢失3帧即进入安全状态；任何软件更新后必须重新执行安全功能响应时间测试；温度、电压、内存异常时，Jetson应在规定时间内通知安全PLC或自行进入受限状态。这些准则不要求Jetson达到SIL 3，但要求它在安全链中“可预测地失效”。

裁剪后的验收执行要点

裁剪不是降低要求，而是把要求放到正确的位置。对Jetson系统，验收时应重点核查三类证据。第一类是性能与热证据：在最高环境温度下连续运行，记录tegrastats中的GPU频率、温度、功耗，确认无降频且帧率满足准则。第二类是安全接口证据：用示波器或逻辑分析仪测量从“危险信号输入”到“安全输出断开”的端到端时间，确认不超过安全响应时间；同时验证心跳丢失、看门狗超时、内存异常等故障注入下，系统是否在规定时间内进入安全状态。第三类是追溯证据：每条需求都有对应的测试用例、原始数据和判定结论，测试用例覆盖正常、边界和故障三类场景。

最后，验收准则应随项目阶段滚动细化。方案阶段确定需求条目与验证方法；集成阶段完成接口与性能测试；现场阶段完成环境适应性与安全功能确认。每次变更需求或更新软件，都应重新评估受影响的验收准则并更新追溯矩阵，确保交付时“每条需求都有证据，每条证据都有判据”。