DO‑254 物理测试到底在“测什么”？

物理测试到底在"测什么"？一次把概念讲透

"我们已经做了板级测试，也在 FPGA 上跑过程序了，这还不算物理测试吗？"

如果你在 DO‑254 项目里问过、或被问过这句话，那么这一篇文章，就是写给你的。

一、先给结论：DO‑254 物理测试 ≠ 板级测试

在 DO‑254 语境下，"物理测试"是一个有明确技术边界的概念。

✅ 它不是简单的上板跑功能 ✅ 不是示波器看 IO 波形 ✅ 也不是人工脚本点几下就结束

DO‑254 的物理测试，本质上是：

在目标 FPGA 器件和真实运行环境中，对"设计实现"是否满足"硬件需求"进行系统性验证。

这句话有三个关键词：

目标 FPGA 器件
真实运行环境
验证硬件需求

少一个，都不成立。

二、DO‑254 为什么强调"目标运行环境"？

在 DO‑254 第 6.3.1 节中，有一段经常被引用的原文（简化理解）：

当无法在目标运行环境中验证硬件需求时，才允许使用其他验证方法，并且必须进行合理性说明。

很多工程师忽略了这句话的工程含义：

✅ 在 FPGA 上测试，是首选 ✅ 仿真，是补充 ✅ 而不是反过来

也正因如此，FAA 在相关指导文件中明确提到：

要求在器件自身的运行环境中，测量和记录通过测试所达到的验证覆盖率。

这句话直接把"覆盖率"，从仿真世界，拉进了物理测试世界。

三、DO‑254 物理测试到底测哪些东西？

从工程角度看，DO‑254 物理测试主要覆盖四大类验证目标。

下面我们一类一类拆。

1️⃣ 功能一致性验证（Functional Equivalence）

这是最基础、但最容易被低估的一类。

验证目标只有一句话：

FPGA 在真实器件上的行为，是否与 RTL 仿真模型一致？

注意，这里不是"功能是否看起来正常"，而是------逐周期、逐接口、逐条件的一致性。

✅ 输入激励：来自测试向量 ✅ 输出结果：来自 FPGA 实际引脚 / 接口 ✅ 对比对象：RTL 仿真结果

这也是为什么在 DAL‑A / DAL‑B 项目中，审查员极其关注：

测试向量从哪里来？
是否与仿真共用？
是否存在人工"二次实现测试逻辑"的风险？

👉 在实际工程中，采用"仿真与物理测试共用 Testbench"，已经成为非常成熟的做法。像 DVS‑254 自动化物理测试系统，本质上就是把 HDL 仿真器（如 ModelSim）直接用作物理测试的驱动源，让同一套测试程序同时作用于：

RTL 仿真模型
板级 FPGA 器件

这一步，直接解决了等效性与可追溯性问题。

2️⃣ 时序与接口行为验证（Timing & Interface）

这是仿真最不可靠、但物理测试最有价值的部分。

典型包括：

IO 时序边界
ready/valid 类接口的竞争条件
异步输入的真实行为
接口初始化阶段（特别是上电后）

仿真里你看到的是：

理想时钟 + 理想延迟

而真实 FPGA 上你面对的是：

抖动、偏移、延迟、偶发异常

DO‑254 并不要求你"穷尽所有物理细节"，但要求你证明：

✅ 设计在合理的物理边界内是稳定和可预测的

这正是物理测试不可替代的地方。

3️⃣ 覆盖率导向的验证（Coverage‑Driven Test）

这是很多团队第一次被审查员"卡住"的地方。

在普通项目中：

覆盖率 = 仿真覆盖率

在 DO‑254 项目中：

✅ 物理测试，同样要有覆盖率概念

并且是：

与需求关联的覆盖率
在器件自身运行环境中测得

这也是为什么 FAA 明确支持：

将 HDL 仿真器中的覆盖率测量机制，应用于 FPGA 的物理验证。

工程上，这几乎不可能靠手工完成。

像 DVS‑254 这一类平台的一个核心价值就在于：

覆盖率统计机制直接继承自仿真环境
但执行对象，变成了真实 FPGA

这一步，解决的是审查语言的问题，而不仅仅是工程效率。

4️⃣ 鲁棒性与 Worst‑Case 验证（Robustness）

如果说前面三类是"你应该做的"，那这一类是：

DAL‑A / DAL‑B 项目中，你"必须证明"的。

鲁棒性测试通常包括：

电压变化
时钟异常
接口异常
极限频率运行

DO‑254 并不接受一句话：

"我们认为不会发生"

而是更接近：

"如果发生了，系统行为是否仍然受控？"

这类测试，几乎只能在物理测试平台上完成。

也是为什么像 DVS‑254 这类系统，会专门提供：

自动电源管理
可控电压变化
worst‑case 场景覆盖机制
高速接口（DDR3 / PCIe）支持

四、为什么"零散的物理测试"是不够的？

很多团队其实"做了物理测试"，但依然不过审，原因通常只有一个：

物理测试没有被纳入 DO‑254 的验证体系中。

典型问题包括：

测试脚本不可追溯
测试向量与需求无关联
无法证明测试完整性
结果不可复现

DO‑254 要的不是"你测过"，而是：你如何证明你测得"足够"。

这正是自动化物理测试系统存在的意义。

五、小结：这一篇你要真正理解的是什么？

如果你只记住三点，请记住这三点：

1️⃣ DO‑254 的物理测试，是"验证需求"的手段，不是形式

2️⃣ 物理测试必须与仿真、覆盖率、需求建立关系

3️⃣ 没有系统化平台，物理测试几乎无法通过审查