自動(dòng)化系統和網(wǎng)關(guān)的安全與保障

大部分汽車(chē)創(chuàng )新和特性相關(guān)新聞中都開(kāi)始提及全球三大趨勢。這三大趨勢塑造著(zhù)當前大環(huán)境，主要包括汽車(chē)的互聯(lián)化、電氣化和自動(dòng)化。這三大趨勢在創(chuàng )新和財務(wù)回報方面為企業(yè)提供了千載難逢的機遇，更重要的是，這些趨勢還創(chuàng )造了一項重大的使命。類(lèi)似最初在瑞典提出的“Vision Zero”等項目旨在減少因交通事故造成的傷亡，并在全球多個(gè)轄區作為一種模式進(jìn)行推廣。另一個(gè)類(lèi)似的項目是由美國國家安全委員會(huì )提出的“Road To Zero”，旨在將每年130萬(wàn)的道路交通死亡人數降至零?；ヂ?lián)化和自動(dòng)化技術(shù)為保障安全無(wú)憂(yōu)出行奠定了基礎 (National  Safety Council, 2018)。

讓車(chē)輛成為“車(chē)輪上的服務(wù)器”，這不僅關(guān)系到新型車(chē)輛的車(chē)載計算水平，而且還關(guān)系到車(chē)輛與車(chē)輛外部各種系統間的連接。最基本的系統之一就是全球導航衛星系統(GNSS)，包括GPS定位、DSRC或基于移動(dòng)網(wǎng)絡(luò )的車(chē)輛對車(chē)輛(V2V)和車(chē)輛對基礎設施(V2I)技術(shù)，它們允許車(chē)輛與其他車(chē)輛和基礎設施通信，如用于狀況感知的交通信號燈以及用于信息娛樂(lè )的數據連接。  互聯(lián)性對于軟件維護和更新也十分重要。美國的普通駕駛員平均每天在車(chē)里待1個(gè)小時(shí) (AAA Foundation for Traffic  Safety, 2019)，在車(chē)里的大部分時(shí)間里，互聯(lián)性對于提供娛樂(lè )和效用來(lái)說(shuō)必不可少。 

一個(gè)安全的系統需要可靠的設備，以防因設備故障發(fā)生事故；需要功能安全，以防因系統故障導致事故；還需要安全防護，以防因系統遭到黑客攻擊發(fā)生事故。這些功能的有機結合有效防范了人為錯誤，從而提高了車(chē)輛的總體安全性。

圖1 安全系統的要素

安全防護對于互聯(lián)車(chē)輛和自動(dòng)駕駛車(chē)輛來(lái)說(shuō)不可或缺，否則其功能安全性就會(huì )受到損害。自2015年以來(lái)，已發(fā)生超過(guò)25起車(chē)輛黑客事故，最嚴重的一次公開(kāi)事故影響了140萬(wàn)輛汽車(chē) (Drozhzhin, 2015)。到2030年，汽車(chē)所產(chǎn)生數據估值將達到7500億美元 (McKinsey & Company, 2016)。汽車(chē)系統十分復雜，每輛車(chē)有100多個(gè)ECU和1億多行代碼，高復雜性可能會(huì )造成更多無(wú)法預見(jiàn)的漏洞，就像大規模召回的情況一樣。隨著(zhù)無(wú)線(xiàn)接口的廣泛應用，允許不對車(chē)輛進(jìn)行物理訪(fǎng)問(wèn)即可修復安全漏洞。

與其他非汽車(chē)應用的安全嵌入式電子系統類(lèi)似，業(yè)內通過(guò)在汽車(chē)設計中采用先進(jìn)的核心安全原則來(lái)解決這些安全性挑戰。  汽車(chē)的外部接口不但需要抵御物理攻擊，還需要保持通信的完整性和保密性。這就需要安全的域隔離，并且系統也需要能夠抵御邏輯攻擊。車(chē)輛內部通信，以及各種ECU和汽車(chē)MCU的軟件操作，都需要得到保障。  需要車(chē)輛網(wǎng)關(guān)來(lái)安全可靠地互連和處理這些異構車(chē)載網(wǎng)絡(luò )中的數據。  網(wǎng)關(guān)提供物理隔離和協(xié)議轉換，用于在功能域（動(dòng)力傳動(dòng)、底盤(pán)與安全系統、車(chē)身控制、信息娛樂(lè )、遠程信息處理、ADAS）之間路由數據。功能域通過(guò)共享數據實(shí)現新功能。通過(guò)網(wǎng)關(guān)，工程師可設計出更穩健、功能性更強的車(chē)載網(wǎng)絡(luò )，從而增強駕駛體驗 (Simacsek, 2019)。

圖2 核心安全原則

車(chē)輛制造商(OEM)積極致力于研發(fā)新功能，以期從競爭中脫穎而出。自動(dòng)駕駛需要安全連接和功能域ECU之間的高帶寬通信，因此要想實(shí)現自動(dòng)駕駛，網(wǎng)關(guān)必不可少。  網(wǎng)關(guān)作為車(chē)載網(wǎng)絡(luò )的核心，也非常適合用來(lái)支持全車(chē)范圍的應用，如無(wú)線(xiàn)(OTA)更新和車(chē)輛數據分析，以及與OEM服務(wù)器（云）的安全通信。

圖3 網(wǎng)關(guān)具有對車(chē)輛數據的中央訪(fǎng)問(wèn)權

機器學(xué)習(ML)技術(shù)在自動(dòng)駕駛系統中的應用創(chuàng )造了其他潛在的攻擊手段。系統需要能夠避免機器學(xué)習模型可能被盜的情況，或者提供識別被盜機器學(xué)習模型的方法。系統需要防止用戶(hù)生物識別信息等與隱私相關(guān)的信息丟失，如果車(chē)輛具有用戶(hù)識別功能，那就可以用對抗性的方法保護系統免受這些系統的欺騙。機器學(xué)習還可以通過(guò)檢測異常情況來(lái)防范這些攻擊，或用于建立更強大的防御機制。

安全性是一種法律責任，因此對于汽車(chē)市場(chǎng)來(lái)說(shuō)至關(guān)重要。用戶(hù)需要能夠相信他們的車(chē)輛會(huì )做它應該做的事情。安全性還可以實(shí)現平臺合并和系統一致性。隨著(zhù)自動(dòng)化等級超過(guò)SAE 2級(L2)，持續監控駕駛環(huán)境的責任也從人類(lèi)駕駛員轉移到了自動(dòng)駕駛系統。

圖4 安全概念的演變

傳統的汽車(chē)安全，如ISO 26262等標準的功能安全定義，根據風(fēng)險的嚴重性、暴露率和可控性提供汽車(chē)安全完整性等級(ASIL)。這項標準還定義了V開(kāi)發(fā)模型，要求完全指定組件特性及其相應的規范和可追蹤性，按照其規范所做的修改也應可檢測。利用數據庫訓練機器學(xué)習模型，累積的訓練會(huì )違背初始時(shí)組件特性均已指定的假設。此外，自動(dòng)駕駛系統利用機器學(xué)習時(shí)，將軟件組件的層級架構實(shí)施成端到端的解決方案，這違背了ISO 26262標準的模塊化方案 (Salay & Czarnecki, 2018)。