硬件在環(huán)仿真（HIL）對(duì)于自動(dòng)駕駛來(lái)說(shuō)有何意義？

[首發(fā)于智駕最前沿微信公眾號(hào)]在談及自動(dòng)駕駛時(shí)，經(jīng)常會(huì)聽到“硬件在環(huán)”這個(gè)詞，硬件在環(huán)本質(zhì)上是一種把真實(shí)硬件（通常是控制器、執(zhí)行器或傳感器接口）放進(jìn)一個(gè)由計(jì)算機(jī)實(shí)時(shí)模擬的虛擬車輛/環(huán)境里的測(cè)試方法。簡(jiǎn)而言之，就是把諸如自動(dòng)駕駛域控制器、傳感器網(wǎng)關(guān)或者制動(dòng)ECU——接到一臺(tái)“模擬的世界”上，虛擬的道路、其他交通參與者、傳感器回波、定位信號(hào)都被實(shí)時(shí)計(jì)算并送回真實(shí)硬件，硬件按照收到的信號(hào)做決定（比如下發(fā)制動(dòng)指令），再把動(dòng)作反饋到模擬器里，從而形成閉環(huán)。這種“環(huán)”就是硬件在環(huán)（Hardware-In-the-Loop，簡(jiǎn)稱HIL）。

把真實(shí)硬件套進(jìn)虛擬世界，有兩個(gè)關(guān)鍵要點(diǎn)，一是實(shí)時(shí)性，模擬必須以接近真實(shí)世界的時(shí)間尺度運(yùn)行，否則控制器的時(shí)序和延遲表現(xiàn)無(wú)法真實(shí)展現(xiàn)；二是接口還原，虛擬環(huán)境要通過(guò)各類總線、模擬信號(hào)甚至視頻流，真實(shí)地驅(qū)動(dòng)目標(biāo)硬件的輸入輸出口。HIL把“實(shí)驗(yàn)室可控”和“硬件真實(shí)性”兩者結(jié)合起來(lái)，是自動(dòng)駕駛系統(tǒng)開發(fā)里不可或缺的一環(huán)。

HIL在自動(dòng)駕駛開發(fā)中的關(guān)鍵作用

在自動(dòng)駕駛的開發(fā)周期里，HIL扮演著多面手的角色。它是快速驗(yàn)證控制邏輯與硬件接口的試金石。自動(dòng)駕駛控制器和底層執(zhí)行單元之間有大量的消息、狀態(tài)和時(shí)序要求，從油門、制動(dòng)到轉(zhuǎn)向，從冗余傳感器切換到故障隔離，若只靠軟件仿真，將難以得到保證。當(dāng)把真實(shí)控制器接入HIL平臺(tái)，就能在可控場(chǎng)景里觀察到真實(shí)硬件在不同工況下的反應(yīng)、總線負(fù)載情況以及異常處理流程，從而在早期發(fā)現(xiàn)接口不匹配、時(shí)延超限或異常轉(zhuǎn)態(tài)未覆蓋的問(wèn)題。

自動(dòng)駕駛仿真模擬圖，圖片源自：網(wǎng)絡(luò)

HIL還可以對(duì)極端與罕見(jiàn)場(chǎng)景進(jìn)行重復(fù)測(cè)試。真實(shí)道路上某些邊緣情形出現(xiàn)概率極低，但對(duì)安全影響極大，比如冰面打滑下的多軸失效、復(fù)雜交叉口的多方?jīng)Q策沖突、多個(gè)傳感器同時(shí)被遮擋或遭遇干擾等，都屬于這類情況。HIL可以把這些情況在短時(shí)間內(nèi)反復(fù)跑數(shù)千次，觀察控制器行為、記錄失敗模式、調(diào)優(yōu)安全策略，可有效降低硬件后期真實(shí)投入市場(chǎng)的隱藏風(fēng)險(xiǎn)。

HIL還是連通模型仿真（MIL/SIL）與道路測(cè)試的橋梁。在開發(fā)流程里，先是模型在模型環(huán)（MIL）或軟件在環(huán)（SIL）里驗(yàn)證算法邏輯，再推進(jìn)到HIL把真實(shí)硬件納入驗(yàn)證鏈路，最后才到實(shí)車道路測(cè)試。這樣分層驗(yàn)證不僅節(jié)省成本，也大幅降低把問(wèn)題帶到真實(shí)車輛上的概率。HIL同時(shí)也是回歸測(cè)試與持續(xù)集成的重要工具，每次軟件或硬件變更，都可以在HIL上運(yùn)行一套自動(dòng)化的回歸場(chǎng)景，及時(shí)捕捉回歸缺陷。

HIL對(duì)合規(guī)與功能安全驗(yàn)證也非常重要。在ISO 26262的功能安全框架，隨著開發(fā)進(jìn)入高安全等級(jí)（ASIL）的要求，必須對(duì)硬件/軟件在失效情況下的行為有充分論證與測(cè)試證據(jù)。HIL能模擬傳感器失效、通信丟包、執(zhí)行器遲滯等故障，檢驗(yàn)系統(tǒng)的診斷、限速或棄權(quán)（fallback）邏輯是否滿足安全要求。對(duì)于SOTIF（意圖功能安全）相關(guān)的邊界條件與未知失效模式，HIL提供了一個(gè)可控的試驗(yàn)臺(tái)。

實(shí)施HIL測(cè)試的技術(shù)要點(diǎn)與常見(jiàn)做法

要把HIL做得有價(jià)值，需要把握不少技術(shù)細(xì)節(jié)，實(shí)時(shí)仿真能力就是其中之一。實(shí)時(shí)仿真能力不只是“跑得快”那么簡(jiǎn)單，而是仿真平臺(tái)必須保證在固定步長(zhǎng)內(nèi)完成車輛動(dòng)力學(xué)、傳感器模型和環(huán)境邏輯的計(jì)算，并在規(guī)定時(shí)間窗口前把數(shù)據(jù)輸出給真實(shí)硬件。控制器通常以幾十到幾百赫茲運(yùn)行，一些低層控制回路甚至要求千赫級(jí)別的更新頻率，仿真平臺(tái)的計(jì)算鏈路、操作系統(tǒng)調(diào)度和網(wǎng)絡(luò)傳輸都要精心設(shè)計(jì)，避免抖動(dòng)（jitter）和超時(shí)。

傳感器建模是HIL成敗的核心之一。攝像頭、雷達(dá)、激光雷達(dá)、毫米波雷達(dá)、超聲波、GNSS/IMU等，每類傳感器的物理特性不同，模擬方式也差異很大。對(duì)于攝像頭，逼真的圖像流（包含光照變化、雨雪、光暈和運(yùn)動(dòng)模糊）對(duì)感知算法驗(yàn)證至關(guān)重要；對(duì)于雷達(dá)和激光雷達(dá)，回波模型需要考慮多徑、反射強(qiáng)度、噪聲和分辨率；對(duì)于定位系統(tǒng)，仿真需要支持差分定位、遮擋導(dǎo)致的跳變以及多路徑誤差。常見(jiàn)的做法是把傳感器仿真和物理引擎耦合，或者采用基于錄制的傳感器流來(lái)校準(zhǔn)模型輸出，以提升感知層在HIL的可信度。

圖片源自：網(wǎng)絡(luò)

接口與協(xié)議層的還原同樣重要。自動(dòng)駕駛系統(tǒng)里常見(jiàn)的通信方式包括CAN、Ethernet（包括UDP/TCP和以太網(wǎng)AVB/TSN）、FlexRay、LIN，以及模擬與數(shù)字I/O。HIL平臺(tái)要能模擬這些總線的負(fù)載、時(shí)延、幀丟失和優(yōu)先級(jí)沖突。特別是在多域控制器和域網(wǎng)互聯(lián)的架構(gòu)下，總線擁塞或優(yōu)先級(jí)倒置會(huì)直接影響控制決策，HIL可以提前發(fā)現(xiàn)這些系統(tǒng)級(jí)的問(wèn)題。

故障注入是HIL的強(qiáng)項(xiàng)之一?？梢栽诜抡胬锒x傳感器噪聲上限突增、通信丟包率提高、執(zhí)行器信號(hào)飽和、時(shí)鐘漂移甚至電源瞬變，然后觀察整車控制器的降級(jí)策略是否按預(yù)期工作。好的HIL測(cè)試不僅關(guān)注“系統(tǒng)能否完成任務(wù)”，更會(huì)關(guān)注“系統(tǒng)在不滿足理想條件時(shí)能否安全退回”，這正是自動(dòng)駕駛安全設(shè)計(jì)的核心。

自動(dòng)化與測(cè)量是提升HIL效率的另一個(gè)關(guān)鍵。一個(gè)成熟的HIL實(shí)驗(yàn)室會(huì)把場(chǎng)景庫(kù)、回歸套件、數(shù)據(jù)采集和結(jié)果判定自動(dòng)化，測(cè)試報(bào)告可以在測(cè)試后自動(dòng)生成并歸檔。為了度量系統(tǒng)的性能，常用的指標(biāo)包括決策延遲、控制穩(wěn)態(tài)誤差、軌跡偏差、碰撞概率估計(jì)、誤報(bào)與漏報(bào)率、以及在故障觸發(fā)下的安全完成率等。這些指標(biāo)需要在HIL環(huán)境里用可復(fù)現(xiàn)的腳本與基準(zhǔn)場(chǎng)景來(lái)收集，以便長(zhǎng)期比較和回歸追蹤。

最后要注意的是，不同層級(jí)的HIL有不同側(cè)重點(diǎn)。整車級(jí)HIL（vehicle-levelHIL）關(guān)注控制與執(zhí)行在車輛動(dòng)力學(xué)和車身系統(tǒng)耦合下的表現(xiàn)；傳感器信號(hào)級(jí)HIL強(qiáng)調(diào)傳感器回波與感知算法的交互；而網(wǎng)絡(luò)級(jí)HIL則用于評(píng)估域間通信與分布式?jīng)Q策的正確性。把這些層級(jí)組合成一條完整的驗(yàn)證鏈路，可以從模塊級(jí)到系統(tǒng)級(jí)逐步放大測(cè)試范圍。

HIL的局限與如何與道路測(cè)試配合

HIL雖然很強(qiáng)大，但它不是萬(wàn)能的。模型不可能做到與真實(shí)環(huán)境完全真實(shí)，無(wú)論是車輛動(dòng)力學(xué)、輪胎與路面相互作用，還是復(fù)雜光學(xué)現(xiàn)象和電磁干擾，仿真模型總有簡(jiǎn)化與假設(shè)。對(duì)感知而言，真實(shí)世界的不可預(yù)測(cè)性（偶發(fā)的反光、臟污鏡頭、復(fù)雜背景物體等）往往難以完全在仿真里還原。因此，過(guò)度依賴HIL而忽視封閉場(chǎng)地和開放道路的實(shí)車驗(yàn)證，會(huì)留下“仿真覆蓋但現(xiàn)實(shí)失效”的風(fēng)險(xiǎn)。

圖片源自：網(wǎng)絡(luò)

有些硬件行為只在物理世界里才會(huì)顯現(xiàn)，比如某些電子元件在溫度極限下的非線性失真、連接器的物理松動(dòng)、焊點(diǎn)微裂紋導(dǎo)致的間歇性接觸等，僅依靠HIL難以完全覆蓋。HIL能模擬信號(hào)層面的異常，但對(duì)這些真實(shí)物理失效的模擬需要額外的環(huán)境試驗(yàn)（溫度、振動(dòng)、濕度）與實(shí)際硬件老化試驗(yàn)來(lái)補(bǔ)充。

HIL的角色其實(shí)是一個(gè)“高效的中間層”，在軟件開發(fā)和硬件交付的早期與中期，用HIL做大批量、低風(fēng)險(xiǎn)、可重復(fù)的驗(yàn)證與回歸；在產(chǎn)品走向成熟前，再把通過(guò)HIL的結(jié)果帶入封閉場(chǎng)地和城市道路測(cè)試，用現(xiàn)實(shí)環(huán)境去補(bǔ)足仿真盲區(qū)。換句話說(shuō)，HIL把“危險(xiǎn)與稀有事件”的驗(yàn)證搬到可控實(shí)驗(yàn)室，而道路測(cè)試則把“真實(shí)世界物理邊界”補(bǔ)齊，這兩者互為支撐，缺一不可。

HIL能產(chǎn)出大量數(shù)據(jù)和看似精確的度量，但這些度量的可信度取決于場(chǎng)景的代表性與模型的精度。陳列一長(zhǎng)串通過(guò)HIL的性能數(shù)字固然有說(shuō)服力，但必須透明地說(shuō)明測(cè)試覆蓋范圍、模型假設(shè)與不確定性邊界，只有這樣才能讓管理層、審計(jì)方或法規(guī)審查者真正理解結(jié)果的含義。

為什么HIL值得重視

把真實(shí)硬件放進(jìn)模擬世界，這個(gè)想法看起來(lái)很簡(jiǎn)單，但在自動(dòng)駕駛這樣既復(fù)雜又安全敏感的系統(tǒng)里，它帶來(lái)的價(jià)值極為實(shí)際。HIL在縮短開發(fā)周期、降低測(cè)試成本、快速?gòu)?fù)現(xiàn)邊緣場(chǎng)景、支撐功能安全論證和實(shí)現(xiàn)自動(dòng)化回歸這幾方面，都有不可替代的作用。它讓自動(dòng)駕駛系統(tǒng)能在“零風(fēng)險(xiǎn)”的實(shí)驗(yàn)室內(nèi)，把系統(tǒng)逼問(wèn)到極限并修補(bǔ)漏洞，然后把更穩(wěn)定、更安全的版本帶到賽道和城市里去驗(yàn)證。

想要把HIL用好，智駕最前沿有幾點(diǎn)建議。要從項(xiàng)目一開始就把HIL納入驗(yàn)證策略，而不是把它當(dāng)成最后的合格門檻；要建立可復(fù)用的場(chǎng)景庫(kù)和自動(dòng)化回歸流程，把測(cè)試碎片化并持續(xù)執(zhí)行；要重視傳感器模型與接口協(xié)議的真實(shí)性，尤其是對(duì)感知和通信鏈路做深入校準(zhǔn)；要把HIL的測(cè)試結(jié)果與實(shí)車試驗(yàn)的數(shù)據(jù)互相比對(duì)，形成“模型校正—模型驗(yàn)證—實(shí)車驗(yàn)證—再校正”的閉環(huán)；最后，要保持對(duì)仿真局限的警覺(jué)，把環(huán)境應(yīng)力試驗(yàn)和長(zhǎng)時(shí)間的硬件可靠性試驗(yàn)作為必要補(bǔ)充。