2019年12月05日 | 深度剖析：自动驾驶的安全考量

让车辆成为“车轮上的服务器”，这不仅关系到新型车辆的车载计算水平，而且还关系到车辆与车辆外部各种系统间的连接。最基本的系统之一就是全球导航卫星系统(GNSS)，包括GPS定位、DSRC或基于移动网络的车辆对车辆(V2V)和车辆对基础设施(V2I)技术，它们允许车辆与其他车辆和基础设施通信，如用于状况感知的交通信号灯以及用于信息娱乐的数据连接。互联性对于软件维护和更新也十分重要。美国的普通驾驶员平均每天在车里待1个小时 (AAA Foundation for Traffic Safety, 2019)，在车里的大部分时间里，互联性对于提供娱乐和效用来说必不可少。  

一个安全的系统需要可靠的设备，以防因设备故障发生事故；需要功能安全，以防因系统故障导致事故；还需要安全防护，以防因系统遭到黑客攻击发生事故。这些功能的有机结合有效防范了人为错误，从而提高了车辆的总体安全性。

安全系统的要素

安全防护对于互联车辆和自动驾驶车辆来说不可或缺，否则其功能安全性就会受到损害。自2015年以来，已发生超过25起车辆黑客事故，最严重的一次公开事故影响了140万辆汽车 (Drozhzhin, 2015)。到2030年，汽车所产生数据估值将达到7500亿美元 (McKinsey & Company, 2016)。汽车系统十分复杂，每辆车有100多个ECU和1亿多行代码，高复杂性可能会造成更多无法预见的漏洞，就像大规模召回的情况一样。随着无线接口的广泛应用，允许不对车辆进行物理访问即可修复安全漏洞。 

与其他非汽车应用的安全嵌入式电子系统类似，业内通过在汽车设计中采用先进的核心安全原则来解决这些安全性挑战。  汽车的外部接口不但需要抵御物理攻击，还需要保持通信的完整性和保密性。这就需要安全的域隔离，并且系统也需要能够抵御逻辑攻击。车辆内部通信，以及各种ECU和汽车MCU的软件操作，都需要得到保障。  需要车辆网关来安全可靠地互连和处理这些异构车载网络中的数据。  网关提供物理隔离和协议转换，用于在功能域（动力传动、底盘与安全系统、车身控制、信息娱乐、远程信息处理、ADAS）之间路由数据。功能域通过共享数据实现新功能。通过网关，工程师可设计出更稳健、功能性更强的车载网络，从而增强驾驶体验 (Simacsek, 2019)。 

核心安全原则

车辆制造商(OEM)积极致力于研发新功能，以期从竞争中脱颖而出。自动驾驶需要安全连接和功能域ECU之间的高带宽通信，因此要想实现自动驾驶，网关必不可少。  网关作为车载网络的核心，也非常适合用来支持全车范围的应用，如无线(OTA)更新和车辆数据分析，以及与OEM服务器（云）的安全通信。

网关具有对车辆数据的中央访问权

机器学习(ML)技术在自动驾驶系统中的应用创造了其他潜在的攻击手段。系统需要能够避免机器学习模型可能被盗的情况，或者提供识别被盗机器学习模型的方法。系统需要防止用户生物识别信息等与隐私相关的信息丢失，如果车辆具有用户识别功能，那就可以用对抗性的方法保护系统免受这些系统的欺骗。机器学习还可以通过检测异常情况来防范这些攻击，或用于建立更强大的防御机制。

汽车安全的标准考量

安全性是一种法律责任，因此对于汽车市场来说至关重要。用户需要能够相信他们的车辆会做它应该做的事情。安全性还可以实现平台合并和系统一致性。随着自动化等级超过SAE 2级(L2)，持续监控驾驶环境的责任也从人类驾驶员转移到了自动驾驶系统。 

安全概念的演变

传统的汽车安全，如ISO 26262等标准的功能安全定义，根据风险的严重性、暴露率和可控性提供汽车安全完整性等级(ASIL)。这项标准还定义了V开发模型，要求完全指定组件特性及其相应的规范和可追踪性，按照其规范所做的修改也应可检测。利用数据库训练机器学习模型，累积的训练会违背初始时组件特性均已指定的假设。此外，自动驾驶系统利用机器学习时，将软件组件的层级架构实施成端到端的解决方案，这违背了ISO 26262标准的模块化方案 (Salay & Czarnecki, 2018)。 

自动驾驶系统的安全性不仅要注重传统的功能安全性，还要考虑行为安全性。作为驾驶策略的一部分，自动驾驶系统需要学习与非自动车辆和行人交互。它们需要学习预测其他参与方的行为，还需要预测危险和安全关键的情况，即便是边缘情况也不例外。自动驾驶系统需要防范周围动态环境可能带来的风险，即使是在硬件或软件无故障的情况下。

汽车安全专家正在开发ISO/PAS 21448标准，即预期功能安全(SOTIF)，用于涵盖ISO 26262未涉及的场景。对于某些场景来说，为开发ISO/PAS 21448 SOTIF所进行的大量工作并未有效覆盖边缘情况以及不安全的未知条件。对于自动驾驶市场的其他场景来说，这项标准可能会限制或扼杀创新，特别是它关系到自动驾驶领域机器学习的使用。

实现自动驾驶的安全

为了实现安全无忧的自动驾驶，系统需要具备以下特性： 

・可靠：超低故障率（汽车级品质）

・安全：强大的故障检测能力(ISO 26262 ASIL D)

・可用：正确操作准备就绪（能够区分安全相关和非安全相关的故障）

・容错：即便在发生故障时，也可以继续操作（降低性能/功能，仅可继续操作重要功能）

・可信赖：故障预测功能能够提前检测故障（离线测试）

当争论被表述为安全的自动驾驶系统要始终遵守交通规则时，我们在现实世界中却会观察到与严格的规则相应、有时候甚至是相反的某些场景，存在社会规范可以使大多数复杂的系统进行更高效的运作。这些社会规范允许在某些情况下违反交通规则，比如在即将驶入车道时，绕过抛锚车辆或被拦下的车辆。有时，违反交通规则并不是故意为之，而是避免交通事故的必要措施。自动驾驶系统需要配有决策矩阵，从而选择可接受的违反交通规则的方式，以实现更安全、高效的驾驶。

（有时）需要遵守的规则

恩智浦认为ISO 26262和ISO/PAS 21448(SOTIF)在定义安全自动驾驶系统方面互为补充且不可或缺。ISO 26262可解决因电子系统故障造成的安全风险，ISO/PAS 21448 SOTIF为设计验证和确认任务提供指导，以检测因定义或设计缺陷导致的功能行为故障。

最后