GB／T 41295.3-2022  功能安全应用指南 第3部分：测试验证

GB/T41295.3—2022

6.2考虑基于硬件详细设计来规划硬件测试用例，

a) 模块级的功能测试，如：使用（V)HDL测试平台； b) 顶层功能测试： 嵌人式环境的功能测试； 通过对门级网表的仿真进行测试，包括时序、参考模型等

7.3开展软件静态测试，包括： a）对采用的编码规则进行符合性检查，确保代码符合所有的编码规则，对于出现不符合的情况， 有相应的论证以说明不符合不会导致潜在的安全隐患，所有的不符合情况及其论证宜文档化； b）对软件的结构化和模块化特性进行度量粉煤灰标准，包括圈复杂度等； c）宜采用专业化工具开展软件静态测试。 7.4开展软件动态测试，宜考虑以下内容： a）至少从模块（函数）和模块（函数）集成两个层面开展软件动态测试； b 软件动态测试的测试用例生成方法和覆盖率程度满足表2；对于某些模块如果达不到100%覆 盖率有合理性论证，例如，调用了第三方已有的安全库、防御性编程等，不符合情况及其论证宜 文档化； c）宜采用专业化工具开展软件动态测试

7.3开展软件静态测试，包括

注1：第三列中的参考（属于资料性的，而非规范性的）“C.x.x"显示了GB/T20438.7一2017中附录C给出的技 术/措施的详细描述。 注2：HR表示强烈推荐，R表示推荐，一表示不推荐也不反对， 注3：该表引用自GB/T20438.3一2017中表B.2，并进行适当修改， 根据安全完整性等级选择适当的技术/措施， 当100%覆盖率不能实现时（比如防御性代码的语句覆盖率），给予适当的说明

GB/T41295.32022

8.1集成测试宜由功能安全系统研发团队的测试人员完成，测试人员宜不同于硬件和软件设计人员。 8.2基于功能安全系统架构设计和系统级失效分析的结论设计集成测试的用例。 3.3执行功能、黑盒和性能测试，以证明集成后的组件或系统满足预期的目的，宜至少满足表3的相关 内容

GB/T41295.3—2022

表3功能和性能测试（续）

构现场见证下完成 9.2故障插人测试的用例宜由第三方功能安全评估机构根据设计文档和失效分析记录等形成，并在测 武前与功能安全系统研发团队沟通确定；故障插入测试可在器件级、组件级和系统级开展 9.3故障插入测试的执行程度如表4所示，在低测试程度下，测试至少在组件或系统级，包括不同单元间 的数据连接。在中等或高程度下，测试应用于元器件级，并以足够的严格度来验证声明的诊断覆盖率。

表4故障插入测试的程度

9.4故障插人测试的目的如下！

验证硬件失效分析（例如：FMEA或FMEDA）和软件失效分析（例如：软件HAZOP，软件 FTA)对于故障影响判定的正确性（例如：安全失效、危险失效的划分）； D 验证初始化时/运行时执行的诊断测试是否切实有效，以及在诊断到故障后是否采取了正确 的动作（包括进入安全状态，指示灯变化，上位监控软件报警等）； 验证组件/系统的故障响应是否符合设计意图； d） 验证允许的在线维护过程，如模块的更换，运行是否符合设计意图； e） 验证安全通信设计的正确性。 9.5 5故障插人测试的流程考虑如下过程： 收集所需的输人材料，包括软硬件详细设计、软硬件失效分析报告等； b） 设计故障插入测试用例，并形成故障插入测试计划； c）准备故障插入待测系统、测试环境和测试设备，对待测系统进行功能和性能检查（见第5章的

9.5故障插入测试的流程考虑如下过程：

地基标准规范范本GB/T41295.32022

d）执行故障插入测试，并记录测试时间、现象和人员等信息；如在测试过程中发现问题宜执行设 计修改，并返回到第三步重新开始测试，已完成的测试是否需要重复取决于设计修改后的影响 程度； e 编制故障插人报告。 9.6 在确定故障插人测试点时考虑以下方面： a） 在失效分析中对于失效影响判定不明晰的地方，包括对安全还是危险能不能诊断到的判定； 失效模式的失效率较大； C 系统运行时用于故障揭露的所有诊断措施； d）完成特定功能的专用复杂器件（如模数转换芯片）； 对于某些复杂器件的内部依靠软件实现的诊断措施； 安全通信过程的故障诊断措施。 注：由于功能安全系统的元器件/模块较多，一般情况对所有元器件/模块的失效模式进行故障模拟是不现实的，需 筛选出具有代表性的测试点，通过对代表性测试点的故障插入可证明对该部分信号链路的诊断能力是否确实 发挥作用。 典型故障插人测试用例如表5所示，对于功能安全系统考虑表5中的适用测试用例

表5故障插入测试的测试项

GB/T41295.3—2022

表5故障插入测试的测试项（续）

GB/T41295.32022

无缝钢管标准GB/T41295.3—2022