上?？匕残畔踩庌@實驗室提出基于零日漏洞的自動駕駛預(yù)期功能安全危害和風(fēng)險評估方法，該方法涉及自動駕駛技術(shù)和高級駕駛輔助技術(shù)安全領(lǐng)域，借鑒零日漏洞的分析評估方法，為自動駕駛預(yù)期功能安全危害和風(fēng)險評估提供參考。

一、背景

隨著自動駕駛技術(shù)高級駕駛輔助系統(tǒng)的發(fā)展，對道路車輛的安全性要求也越來越全面和具體。道路車輛可接受的安全級別除了信息安全和功能安全之外，還應(yīng)滿足預(yù)期功能安全。ISO 21448標(biāo)準(zhǔn)中將預(yù)期功能安全（SOTIF）定義為不存在由于預(yù)期功能不足或人為的合理可預(yù)見的誤用所引起的危害而由此危害造成的不合理風(fēng)險。

道路車輛主要由三層組成：感知，思考和動作。在外部環(huán)境影響方面，存在極端或特定天氣條件影響傳感器，傳感器受到某些設(shè)備的干擾等風(fēng)險。在內(nèi)部系統(tǒng)的局限性方面，執(zhí)行系統(tǒng)的局限性存在風(fēng)險,在人為因素影響方面，在車輛行駛過程中會出現(xiàn)駕駛員操作失誤或在車輛自動駕駛出現(xiàn)錯誤時駕乘人員無所作為等情況。這些都是可能會威脅到道路車輛預(yù)期功能安全的原因。這些因素可以看作是威脅道路車輛預(yù)期功能安全的觸發(fā)事件。

該方法提出了基于零日漏洞的自動駕駛預(yù)期功能安全風(fēng)險評估方法，基于零日漏洞安全評估方法，建立預(yù)期功能安全系統(tǒng)的零日漏洞模型并以風(fēng)險圖的形式表示模型。

二、模型

1.簡易模型

該方法將情景作為一個整體進行建模，在建模過程中將其劃分為多個場景，場景之間的轉(zhuǎn)移便是觸發(fā)事件。

每一個節(jié)點便是一個場景，每一個連接線便是一個觸發(fā)事件。藍色路徑視為真正造成危害的風(fēng)險路徑

2.詳細模型

在詳細模型中，我們以三元組的形式表示一個觸發(fā)事件，即觸發(fā)事件t，源場景sc1和目標(biāo)場景sc2。g1表示場景sc1所具備的功能，是作用在sc1上的觸發(fā)事件的前置條件c_pre。v1是場景sc1執(zhí)行后的輸出值，是作用在sc1上的觸發(fā)事件的后置條件c_post。

不同的觸發(fā)事件之間可以是“先后順序”的關(guān)系，可以是“或”的關(guān)系，也可以是“與”的關(guān)系

三、風(fēng)險評估流程

該方法提出的基于零日漏洞的自動駕駛預(yù)期功能安全風(fēng)險評估方法，具體包括以下五個步驟：

步驟一：對預(yù)期功能安全系統(tǒng)進行分析，針對特定的情景S基于零日漏洞的攻擊圖創(chuàng)建風(fēng)險圖模型HG；

步驟二：基于風(fēng)險圖模型HG依次找出所有場景sc0, sc1, …, scn的風(fēng)險路徑。風(fēng)險路徑需要經(jīng)過可達性驗證后才視為是成立的，風(fēng)險路徑是由一系列的已知和未知的觸發(fā)事件依次組成；

生成的風(fēng)險路徑

步驟三：分別計算已知觸發(fā)事件的安全值SK和未知觸發(fā)事件的安全值SUK，已知觸發(fā)事件和未知觸發(fā)事件安全值的計算采用不同的算法，旨在將定性的安全問題轉(zhuǎn)換為定量的安全值，以實現(xiàn)對預(yù)期功能安全評估的量化；

步驟四：基于動態(tài)權(quán)重的方式，計算預(yù)期功能安全系統(tǒng)的安全值svs，實現(xiàn)對預(yù)期功能安全系統(tǒng)的整體安全評估；

步驟五：基于步驟四所得預(yù)期功能安全系統(tǒng)的安全值svs，對預(yù)期功能安全系統(tǒng)架構(gòu)進行動態(tài)調(diào)整，并對調(diào)整后的預(yù)期功能安全系統(tǒng)進行再次評估，直到所得已知觸發(fā)事件安全值SK、未知觸發(fā)事件安全值SUK和預(yù)期功能安全系統(tǒng)安全值svs全部小于所設(shè)定的對應(yīng)閾值，即全部符合設(shè)定的安全要求。

四、結(jié)論

該方法提出的基于零日漏洞的自動駕駛預(yù)期功能安全危害和風(fēng)險評估方法，可以對已知的觸發(fā)事件和未知的觸發(fā)事件進行量化，以確定在給定系統(tǒng)安全性閾值svs的情況下，道路車輛的系統(tǒng)設(shè)計（尤其是自動駕駛系統(tǒng)設(shè)計）是否可以接受。本評估方案主要通過研究已知和未知漏洞來提高公路車輛的安全性，并提出通過動態(tài)調(diào)整將已知觸發(fā)事件和未知觸發(fā)事件對SOTIF的影響降至最低。
? ? ? ? fqj