關(guān)于自動(dòng)駕駛預(yù)期功能安全風(fēng)險(xiǎn)評(píng)估方法的詳解

上?？匕?a target="_blank">信息安全軒轅實(shí)驗(yàn)室提出基于零日漏洞的自動(dòng)駕駛預(yù)期功能安全危害和風(fēng)險(xiǎn)評(píng)估方法，該方法涉及自動(dòng)駕駛技術(shù)和高級(jí)駕駛輔助技術(shù)安全領(lǐng)域，借鑒零日漏洞的分析評(píng)估方法，為自動(dòng)駕駛預(yù)期功能安全危害和風(fēng)險(xiǎn)評(píng)估提供參考。

一、背景

隨著自動(dòng)駕駛技術(shù)高級(jí)駕駛輔助系統(tǒng)的發(fā)展，對(duì)道路車輛的安全性要求也越來越全面和具體。道路車輛可接受的安全級(jí)別除了信息安全和功能安全之外，還應(yīng)滿足預(yù)期功能安全。ISO 21448標(biāo)準(zhǔn)中將預(yù)期功能安全（SOTIF）定義為不存在由于預(yù)期功能不足或人為的合理可預(yù)見的誤用所引起的危害而由此危害造成的不合理風(fēng)險(xiǎn)。

道路車輛主要由三層組成：感知，思考和動(dòng)作。在外部環(huán)境影響方面，存在極端或特定天氣條件影響傳感器，傳感器受到某些設(shè)備的干擾等風(fēng)險(xiǎn)。在內(nèi)部系統(tǒng)的局限性方面，執(zhí)行系統(tǒng)的局限性存在風(fēng)險(xiǎn),在人為因素影響方面，在車輛行駛過程中會(huì)出現(xiàn)駕駛員操作失誤或在車輛自動(dòng)駕駛出現(xiàn)錯(cuò)誤時(shí)駕乘人員無所作為等情況。這些都是可能會(huì)威脅到道路車輛預(yù)期功能安全的原因。這些因素可以看作是威脅道路車輛預(yù)期功能安全的觸發(fā)事件。

該方法提出了基于零日漏洞的自動(dòng)駕駛預(yù)期功能安全風(fēng)險(xiǎn)評(píng)估方法，基于零日漏洞安全評(píng)估方法，建立預(yù)期功能安全系統(tǒng)的零日漏洞模型并以風(fēng)險(xiǎn)圖的形式表示模型。

二、模型

1.簡(jiǎn)易模型

該方法將情景作為一個(gè)整體進(jìn)行建模，在建模過程中將其劃分為多個(gè)場(chǎng)景，場(chǎng)景之間的轉(zhuǎn)移便是觸發(fā)事件。

每一個(gè)節(jié)點(diǎn)便是一個(gè)場(chǎng)景，每一個(gè)連接線便是一個(gè)觸發(fā)事件。藍(lán)色路徑視為真正造成危害的風(fēng)險(xiǎn)路徑

2.詳細(xì)模型

在詳細(xì)模型中，我們以三元組的形式表示一個(gè)觸發(fā)事件，即觸發(fā)事件t，源場(chǎng)景sc1和目標(biāo)場(chǎng)景sc2。g1表示場(chǎng)景sc1所具備的功能，是作用在sc1上的觸發(fā)事件的前置條件c_pre。v1是場(chǎng)景sc1執(zhí)行后的輸出值，是作用在sc1上的觸發(fā)事件的后置條件c_post。

不同的觸發(fā)事件之間可以是“先后順序”的關(guān)系，可以是“或”的關(guān)系，也可以是“與”的關(guān)系

三、風(fēng)險(xiǎn)評(píng)估流程

該方法提出的基于零日漏洞的自動(dòng)駕駛預(yù)期功能安全風(fēng)險(xiǎn)評(píng)估方法，具體包括以下五個(gè)步驟：

步驟一：對(duì)預(yù)期功能安全系統(tǒng)進(jìn)行分析，針對(duì)特定的情景S基于零日漏洞的攻擊圖創(chuàng)建風(fēng)險(xiǎn)圖模型HG；

步驟二：基于風(fēng)險(xiǎn)圖模型HG依次找出所有場(chǎng)景sc0, sc1, …, scn的風(fēng)險(xiǎn)路徑。風(fēng)險(xiǎn)路徑需要經(jīng)過可達(dá)性驗(yàn)證后才視為是成立的，風(fēng)險(xiǎn)路徑是由一系列的已知和未知的觸發(fā)事件依次組成；

生成的風(fēng)險(xiǎn)路徑

步驟三：分別計(jì)算已知觸發(fā)事件的安全值SK和未知觸發(fā)事件的安全值SUK，已知觸發(fā)事件和未知觸發(fā)事件安全值的計(jì)算采用不同的算法，旨在將定性的安全問題轉(zhuǎn)換為定量的安全值，以實(shí)現(xiàn)對(duì)預(yù)期功能安全評(píng)估的量化；

步驟四：基于動(dòng)態(tài)權(quán)重的方式，計(jì)算預(yù)期功能安全系統(tǒng)的安全值svs，實(shí)現(xiàn)對(duì)預(yù)期功能安全系統(tǒng)的整體安全評(píng)估；

步驟五：基于步驟四所得預(yù)期功能安全系統(tǒng)的安全值svs，對(duì)預(yù)期功能安全系統(tǒng)架構(gòu)進(jìn)行動(dòng)態(tài)調(diào)整，并對(duì)調(diào)整后的預(yù)期功能安全系統(tǒng)進(jìn)行再次評(píng)估，直到所得已知觸發(fā)事件安全值SK、未知觸發(fā)事件安全值SUK和預(yù)期功能安全系統(tǒng)安全值svs全部小于所設(shè)定的對(duì)應(yīng)閾值，即全部符合設(shè)定的安全要求。

四、結(jié)論

該方法提出的基于零日漏洞的自動(dòng)駕駛預(yù)期功能安全危害和風(fēng)險(xiǎn)評(píng)估方法，可以對(duì)已知的觸發(fā)事件和未知的觸發(fā)事件進(jìn)行量化，以確定在給定系統(tǒng)安全性閾值svs的情況下，道路車輛的系統(tǒng)設(shè)計(jì)（尤其是自動(dòng)駕駛系統(tǒng)設(shè)計(jì)）是否可以接受。本評(píng)估方案主要通過研究已知和未知漏洞來提高公路車輛的安全性，并提出通過動(dòng)態(tài)調(diào)整將已知觸發(fā)事件和未知觸發(fā)事件對(duì)SOTIF的影響降至最低。
? ? ? ? fqj