独立黑盒测试 · SOTIF 风险分析

仿真全绿,不代表量产安全。

AutoDriveGPT 提供独立黑盒测试、场景边界探索、异常行为复现与 SOTIF 风险分析,帮助智能驾驶研发团队识别验证盲区,形成可复现、可追溯的工程证据。

寰驱智能 OMNIDRIVE 旗下平台
独立第三方
黑盒测试 · 不接触源码
可复现 · 可追溯
签署 NDA

技术能力

四项核心能力,覆盖从场景探索到风险论证的完整验证链路。

📐

场景与边界测试

解决什么问题
现有测试用例覆盖不足,ODD 边界和异常条件组合未被充分验证。
使用什么方法
场景参数扰动、ODD 边界探索、异常条件组合测试。
需要什么输入
仿真平台、测试场景定义、ODD 说明、被测系统接口。
能交付什么结果
边界测试记录、异常条件组合清单、未覆盖场景识别。
🔁

异常行为复现

解决什么问题
偶发异常难以定位,问题无法稳定复现,根因分析无从下手。
使用什么方法
触发条件记录、输入数据回放、运行配置还原、复现步骤固化。
需要什么输入
异常现象描述、相关日志、运行配置、仿真环境信息。
能交付什么结果
可复现的测试用例、触发条件分析、复现步骤文档。
⚠️

SOTIF 风险分析

解决什么问题
预期功能不足、触发条件和不安全场景缺乏系统性识别与论证。
使用什么方法
基于 ISO 21448 的触发条件分析、已知与未知不安全场景识别、风险论证。
需要什么输入
系统功能描述、ODD 定义、已知问题清单、测试记录。
能交付什么结果
风险分析报告、触发条件清单、改进建议、论证材料。
🔬

仿真模型与工具置信度

解决什么问题
仿真模型和工具的可信度不明确,测试结果能否代表真实情况存疑。
使用什么方法
模型适用范围分析、工具验证证据审查、已知局限识别、结果可信度评估。
需要什么输入
仿真模型说明、工具版本与配置、验证证据、测试结果。
能交付什么结果
置信度评估报告、模型局限说明、结果可信度结论。

技术方法与边界

黑盒测试能做什么、不能做什么,一次性说清楚。

✓ 黑盒测试能做到

  • 通过被测系统对外接口(CAN/FlexRay/以太网、目标列表、轨迹等)注入扰动,暴露规划、控制、降级或人机交互的脆弱性
  • 对 ODD 边界参数进行系统化扰动,识别现有用例未覆盖的异常条件组合
  • 记录异常触发的完整条件:输入数据、运行配置、日志、时间戳和复现步骤
  • 将发现的异常转化为可复现的参数化场景,支持导入客户自身回归体系
  • 基于 ISO 21448 框架对预期功能不足、触发条件和不安全场景进行分析论证

✗ 黑盒测试的局限

  • 不接触源代码,无法直接定位代码级根因;根因需结合日志、接口和因果链推断
  • 不替代型式试验、道路试验、第三方认证或监管申报
  • 不能证明整车安全或道路行为,仅能识别仿真环境中的可观察异常
  • 不承诺"发现所有未知风险"——未知场景在发现前缺少完整描述
  • 仿真结果不等于实车结果,需场地/道路交叉验证才能确认量产影响

服务与交付

三档服务,按项目阶段和需求深度对号入座。

服务层级 主要交付物
初步技术评估 需求范围界定、数据条件评估、测试可行性判断。
专项测试 测试记录、异常清单、复现材料。
深度分析支持 根因分析、风险论证、改进建议。

报价依据(按项目评估,不承诺固定工作天数)

  • 测试对象与功能范围
  • 场景数量与复杂度
  • 数据准备工作量
  • 仿真环境与平台
  • 分析深度要求
  • 交付物要求

具体报价在初步技术评估后根据上述因素确定。所有服务均按实际交付范围结算,不包含认证评审费用。

交付物与证据链

不止 PPT 和截图。每一项发现都附带可复现、可追溯、可导入客户工具链的原始证据。

🎬
场景与执行
  • 参数化场景文件(OpenX 或客户指定格式)
  • 场景来源、许可与版本记录
  • 仿真配置快照(工具版本、软件哈希)
  • 随机种子与种子策略说明
  • 完整执行日志与时间戳
🐛
问题单与复现
  • 原始现象描述与失败帧
  • 触发条件与输入数据
  • 可执行复现步骤
  • 严重度分级与置信度标注
  • 影响路径分析
🔍
证据与根因
  • 原始输出导出(日志、传感器数据)
  • 脱敏回放材料
  • 四级因果链:日志级→功能级→系统级→工程级
  • 区分"观察异常""疑似触发""已确认根因""需实车验证"
  • 已知问题排除说明
  • 报告统一标注"非认证、非放行意见"
📦
知识移交
  • 场景导出脚本与数据字典
  • 工具说明与退出计划
  • 交付格式不依赖我方私有服务持续在线
  • 项目结束后数据删除证明
  • 退出报告与遗留风险说明

工程案例

低油门 gear=0 死锁 —— 基于 AutoDriveGPT 自有决策模块的内部验证案例。

内部验证案例 · 基于 AutoDriveGPT FSM v2 + SafetyController
工程背景
故障类型:复合场景 gear=0 + 低油门 + 无前车
被测系统:AutoDriveGPT FSM v2 + SafetyController v1
仿真平台:CARLA 0.9.15(同步模式,fixed_delta=0.05s)
测试速度:25.2 km/h(L2 城区巡航)
注入方式:黑盒注入,第 200 帧激活
问题描述:ego 车辆以 25.2 km/h 巡航,FSM 状态全程 CRUISE,常规仿真报告显示"正常"。第 200 帧注入 gear=0 + 低油门 + 无前车复合故障后,安全控制器虽触发 STOP_IMMEDIATE,但制动力度仅 0.05,车辆以近全速滑行 117.7 米才停下。
测试量级
1
场景模板数
独立模板
3
故障参数组合
gear=0+低油门+无前车
2
实际执行数
修复前 + 修复后
1天
审计耗时
含根因与修复
3行
修复代码量
STOP_IMMEDIATE 分支
统计口径:场景模板=独立场景定义;参数组合=注入的故障参数数量;实际执行=修复前后各 1 次完整仿真(每次约 230 帧,约 11.5 秒)。审计耗时含根因定位、修复、回归验证全程。
覆盖范围
ODD 边界:L2 城区巡航纵向控制,低油门/低速边界;
异常条件组合:gear=0(无动力响应)+ 油门低于阈值(PID 无法补偿)+ tracked=[](AEB 无触发源);
注入时机:第 200 帧,车辆稳定巡航后注入;
地图与车辆:Town05_Opt 地图,Audi A2 车辆模型。
异常统计(修复前)
1/1
异常触发率
确定性故障
100%
异常复现率
可稳定复现
0
误报数量
人工复核确认
1.50s
响应延迟
30 帧
异常触发率=异常触发次数/有效执行次数=1/1=100%(确定性故障);异常复现率=复现成功/复现尝试=100%;误报数量=经人工复核确认为真实缺陷,无误报。
可复现证据
触发条件:frame=200 注入 gear=0 + 低油门 + tracked=[];
关键日志(修复前):
[frame 200] 安全控制器触发! level=STOP_IMMEDIATE | reason=gear0_low_throttle
[frame 200-229] brake 渐进递增 0.05 → 1.00
[frame 230] v=0.0 km/h | 制动距离 117.7m
运行配置:CARLA 0.9.15、Python 3.12、BehaviorFSM v2、SafetyController v1、sync fixed_delta=0.05s;
复现脚本:carla_injection_demo_v3.py(可执行复现步骤)。
分析过程
根因定位:SafetyController v1 的 STOP_IMMEDIATE 分支按前方距离计算所需减速度:
decel = ego_speed² / (2 × max(front_dist, 0.5))
brake = min(1.0, decel / max_deceleration)
注入时 front_dist 设为 50m(无前车),计算出 decel≈0.05,导致系统渐进轻踩而非满刹。
SOTIF 定性:安全层"存在"且"触发了",但决策逻辑与故障类型不匹配——系统按"距离前车太近"的逻辑处理了一个"动力系统死锁"的确定性故障(对应 ISO 21448 Clause 6 未知不安全场景、Clause 7 评估分类)。
改进建议(修复方案)
在 compute_command() 的 STOP_IMMEDIATE 分支增加故障类型判断,确定性死锁直接满刹:
if self.fault_type == 'gear0_low_throttle':
  return {'steer': 0.0, 'throttle': 0.0, 'brake': 1.0,
        'hand_brake': False, 'safety_level': self.level.name,
        'reason': 'STOP_IMMEDIATE gear=0 full_brake'}
改动量:3 行代码。同步将该参数组合纳入回归测试库,防止同类问题复发(ISO 21448 Clause 10)。
验证结果(修复后)
1.00
初始制动力
0.05 → 1.00
3.4m
制动距离
117.7m → 3.4m
0.85s
响应时间
1.50s → 0.85s ↓43%
17帧
响应帧数
30帧 → 17帧 ↓43%
关键日志(修复后):
[frame 200] v=22.6 km/h | safety=STOP_IMMEDIATE | thr=0.00 brk=1.00 | inject=YES
[frame 217] 已刹停! v=0.0 km/h | brake=1.00 | 制动距离 3.4m
ISO 21448 映射:Clause 6 发现盲区 → Clause 7 分类 → Clause 9 修复验证 → Clause 10 纳入回归。
适用边界
测试范围:本案例为 AutoDriveGPT 自有决策模块(FSM v2 + SafetyController)在 CARLA 仿真环境中的内部验证,非客户项目;
已知局限:仅覆盖纵向控制确定性故障(gear=0)的处理逻辑,未覆盖横向控制、感知异常、多车交互;
环境局限:仿真结果(CARLA 0.9.15, Town05_Opt)不等于实车结果,需场地/道路交叉验证才能确认量产影响;
量产影响测算(假设性):若该缺陷流入量产,10 万辆 × 5,000 元 = 5 亿元直接损失(假设性风险影响测算,非实际发生数据)。
本案例为 AutoDriveGPT 自有决策模块的内部仿真验证,数据基于实际测试记录。仿真结果不等于实车结果,需场地/道路交叉验证。本案例不代表任何真实客户项目,不暗示已通过任何认证或评审,所有输出标注为"非认证、非放行意见",不构成量产放行依据。5 亿元为假设性风险影响测算,非实际损失。

合作流程

从初步评估到交付复盘,清晰可控的四步流程。

初步技术评估

沟通需求范围、数据条件与测试目标,判断测试可行性,形成评估结论。

方案与报价

基于测试对象、场景范围、分析深度等因素制定方案并给出报价依据。

执行与交付

按约定范围执行测试与分析,交付测试记录、异常清单、复现材料或风险报告。

复盘与支持

交付后提供结果说明与答疑,必要时支持改进验证与后续分析。

合作模式与准入机制

不是一次性永久合作,而是可验证、可续约、可终止的长期准入机制。

合作模式

12 个月非独家框架协议 + 逐项目工作说明书(SOW)+ 年度复审。

首轮合作以单一车型、单一功能、单一版本、单一样本集的小额付费 PoC 开始,通过后方可进入量产试点;规模化合作须另行完成供应商分级、信息安全测评、法务和合规审批。供应商持续满足主体、资质、能力、数据安全、项目质量及财务稳定性要求,方可续约。

首轮六道准入闸门

1
主体与资质

营业执照、授权书、签字权证明、签约/收款/开票主体一致性。

2
测绘数据处理

原始测绘数据、重要数据、个人信息不得违规出境。

3
数据安全

数据最小化、境内存储、访问控制、可验证删除、NDA 前置。

4
网络安全

环境隔离、加密传输、漏洞管理、安全事件响应机制。

5
SOTIF 证据链

场景、种子、日志、复现包、根因链可追溯,报告标注"非认证、非放行意见"。

6
合同与责任

责任不可外包、违约赔偿、审计权、立即终止权、数据删除义务。

评分晋级机制

盲样 / PoC
≥75分
通过后方可进入单车型试点
单车型试点
≥80分
通过后方可进入扩围合作
年度复审
≥85分
且无红线问题,方可续约

🚫 一票否决红线

  • 主体或资质无法核实
  • 原始测绘数据、重要数据或个人信息违规出境
  • 供应商主张其报告可替代量产放行或第三方认证
  • 篡改、隐瞒或编造缺陷证据
  • 未授权使用客户数据或训练模型
  • 核心交付人员与承诺不一致

🔒 客户保留权利

即使签约,客户仍保留以下权利,AutoDriveGPT 不得以框架协议或 SOW 条款加以限制:

📋
项目准入审批
🔒
代码与场景冻结
🔁
复现验证
✅
放行审批
🔍
审计权
🗑️
数据删除
⚡
立即终止
📊
年度复审

数据安全与 IP

数据最小化、境内存储、可验证删除。客户核心 IP 始终留在客户手中。

🔒
数据最小化

优先使用脱敏、合成或低敏数据。默认不收集原始视频、点云、GNSS、高精地图和可识别轨迹。确需保留的高敏数据,由客户法务/合规确认后处理。

🇨🇳
境内存储与访问控制

数据存储于中国境内,访问按人员和用途分级控制,全程加密。不跨境传输,不使用境外云服务处理客户数据。

🏠
客户受控环境

支持"客户提供全部基础设施,我方仅提供脚本和方法"的部署方式。测试可在客户自有仿真环境中执行,数据不出客户域。

🗑️
可验证删除

项目结束后提供数据删除证明(含密钥销毁记录)。客户有权在通知后审计数据处理、访问日志和版本记录。

📜
NDA 前置

免费评估阶段同样签署保密协议。不先传数据再补 NDA。保密覆盖人员、关联方、存储介质和项目结束后的删除义务。

⚖️
IP 与模型条款

背景 IP 各自保留;项目 IP(场景、脚本、问题本体、报告)归客户。承诺不使用客户数据训练、微调或评测我方模型。

关于我们

独立第三方,专注智能驾驶验证盲区识别。

熊亮

寰驱智能科技有限公司(OMNIDRIVE)创始人

独立底层算法研究员,深度掌握 CARLA 等仿真引擎底层逻辑,独立开发自动驾驶全栈代码。从感知、规划到控制,每一层都亲手写过、调过、踩过坑。

创立寰驱智能科技有限公司(OMNIDRIVE Technologies),旗下 AutoDriveGPT 平台专注为智能驾驶系统提供独立黑盒测试、场景边界探索、异常行为复现与 SOTIF 风险分析服务。不挂靠任何仿真器厂商,不卖工具,只交付可复现、可追溯的工程证据。

技术标准与适用性说明

ISO 21448:2022 — 预期功能安全(SOTIF)
作为相关技术分析依据,用于指导预期功能不足、触发条件和不安全场景的识别与论证。标准适用性需根据具体产品功能、市场和项目范围分别判断。
UNECE R171 — 驾驶控制辅助系统法规
适用于特定类型驾驶控制辅助系统的法规要求,与 ISO 21448 分属不同范畴。涉及 R171 时需单独评估其适用范围,不得将两者混为一谈。
AutoDriveGPT 提供的是技术分析与测试服务,不替代任何认证机构的评定,不暗示为 SGS、中汽研或其他认证机构,不承诺通过任何认证或评审。所有报告统一标注"非认证、非放行意见",不构成量产放行依据,由客户复核后决定是否纳入缺陷库或安全档案。只有在具备真实证据时,才会宣称符合某项具体要求。

主体信息(公开透明)

中文公司名寰驱智能科技有限公司
英文公司名OmniDrive Technologies
全球品牌OMNIDRIVE
技术平台AutoDriveGPT
创始人熊亮
商务邮箱xiongliang@autodrivegpt.cn
联系电话熊先生 19067922611
数据存储地中国境内
品牌架构:OMNIDRIVE(寰驱智能)为母公司及全球品牌,AutoDriveGPT 为旗下自动驾驶基础模型与智能决策平台,autodrivegpt.cn 为技术平台官网。签约主体、收款主体、开票主体均为寰驱智能科技有限公司,保持一致。

免费申请初步技术评估

提交以下信息,我们将与您沟通需求范围、数据条件与测试可行性。不承诺每次评估都能发现问题。

⚠ 请勿通过本表单提交敏感资料 请勿提交源代码、仿真日志、模型文件、客户数据或其他敏感资料。具体项目资料将在双方确认保密和安全传输安排后提供。
提交即表示您同意我们的隐私政策。我们仅将您的信息用于技术评估沟通,不会用于其他用途。

其他联系方式

✉
商务邮箱:xiongliang@autodrivegpt.cn
📱
联系电话:熊先生 19067922611
🕐
服务时间:工作日 09:00 - 18:00
企业微信二维码

企业微信
扫码添加 · 备注「评估」

常见问题

关于服务范围、数据安全与合作方式。

AutoDriveGPT 是认证机构吗?+

不是。AutoDriveGPT 提供独立的技术分析与测试服务,不替代 SGS、中汽研或任何认证机构的评定,也不承诺通过任何认证或评审。所有报告统一标注"非认证、非放行意见",不构成量产放行依据,由客户复核后决定是否纳入缺陷库或安全档案。

测试会接触我的源代码吗?+

不会。我们采用黑盒测试方法,通过被测系统的对外接口和仿真环境进行测试,不接触源码。具体数据交接方式会在双方确认保密安排后确定。

初步技术评估一定能发现问题吗?+

不承诺。初步技术评估的目的是判断测试可行性和界定需求范围,是否能发现问题取决于系统本身和测试条件。我们只基于真实测试数据给出结论。

ISO 21448 和 UNECE R171 是什么关系?+

两者分属不同范畴。ISO 21448 是预期功能安全标准,用于指导 SOTIF 分析;UNECE R171 是驾驶控制辅助系统的法规要求,适用于特定类型系统。涉及具体项目时需分别判断适用性,不混为一谈。

如何保证项目数据安全?+

双方签署 NDA,具体项目资料不在公开表单中传输,而是在确认保密和安全传输安排后提供。测试过程中接触的数据仅用于约定的测试与分析目的。

报价如何确定?+

报价基于测试对象、场景数量与复杂度、数据准备工作、仿真环境、分析深度和交付要求等因素综合评估。不承诺固定工作天数,具体在初步技术评估后确定。