曹飞：智能座舱安全体系的构建与思考

2021年10月15日-16日，由中国汽车工业协会、重庆两江新区管理委员会联合主办的“2021中国汽车供应链大会”在重庆举办，长安汽车、地平线作为官方合作伙伴全力支持本次大会。本届供应链大会主题为“补短铸长、融合创新——构建中国汽车供应链新生态”，共同探讨产业政策，交流分享技术，研判产业趋势，展示创新成果，旨在促进产业国内国际互动，凝聚产业链条上下齐心，共谋产业协同发展之路。其中，在10月15日下午举办的“跨界创新，打造智慧车联新体验”主题论坛上，招商局检测车辆技术研究院有限公司副总经理曹飞发表精彩演讲。以下内容为现场演讲实录：

各位朋友，下午好！我是来自招商车研的曹飞。我今天想和大家探讨的题目是“智能座舱安全体系的构建与思考”。

众所周知，智能座舱今天很多同仁在分享这方面的应用，这应该是丰富多彩的应用场景，座舱本身成为了一个实现空间塑造的核心载体，作为驾乘空间人车路相互协同的空间，日益成为科技化体现，也成为竞争差异化设计的焦点。智能座舱在加持了5G、大数据、人机交互之后不断地从机械式向本地化、网联化、智能化发展。

有一个关于智能座舱的用户需求，排前三位的可以看一下。下面是安全性，包括主动、被动安全。智能技术应用的同时，安全方面是值得重视的。座舱面临的安全问题，主要分成三个方面，一是大量交付应用带来的视觉分心，会带来驾驶风险，第一类是交互方面的风险。另外是各项技术的集成应用以及大量的控制器的应用带来了功能上的缺失、失效，操作不熟练、功能安全的问题。第三方面是车内外通信以及应用所带来的信息安全的问题。

首先，我们谈一谈智能座舱的人机交互安全问题。下午大家谈得比较多了，智能座舱人机交互的主要方式是：物理操控、触摸控制、语音交互、视觉交互、手势交互、生物识别。物理操控、触摸控制属于传统的交互方式。语音交互是人车交互的主流方式。视觉交互、手势交互、生物识别等属于新兴交互范畴。

研究发现，智能座舱人机交互过程中，驾驶员在驾车时需要手眼并用，才能形成完整的驾控闭环，所以，触摸屏的使用会对驾驶资源形成直接竞争，容易造成驾驶人的视觉分心、身体动作分心以及认知分心问题。

视觉分心是指：驾驶人视线从道路移开，转移至与驾驶不相关的任务的状态。可用视觉偏离总时长、事件平均单次视线偏离时长、单次视线偏离时长比例等指标来评价。身体动作分心是指：需要驾驶人将一只手从方向盘上拿下来操作设备的状态。用定量的手段来评判，单手脱离方向盘时长、手部占用情况变换次数、手部脱离方向盘时间占比等指标来评价。认知分心是指：驾驶人大脑在思考与驾驶任务无关的事情，但视线并未离开前方道路。可用驾驶人眼动指标和驾驶人生理指标来评判、来检测操作过程中带来的驾驶的分心。

总结提炼出来对于人机交付的设计要求，包括视线偏离的要求，对手脱离方向盘的要求时间，对设备在视线过程中所设计的范围的要求，甚至是设备响应也是非常关键的，设备响应过长对分心驾驶要求就更大，一般不超过250毫秒是可以接受的。如果超过了这个时间要给驾驶员提醒等待响应等等。

智能座舱的功能安全，刚才讲了随着智能座舱功能与日俱增，整个系统的复杂性也越来越高，功能安全已经成为一个不能忽视的问题。总的来说，引入功能安全有以下几个主要原因：首先是智能化给座舱功能安全带来的挑战，因为座舱向智能化发展后，电子信息系统更多地参与到智能座舱驾驶环境感知中。二是智能汽车技术变革带来了新的电子电气架构，座舱引入复杂域控制器，这种域集中式的控制平台也为智能座舱功能安全带来了更多的失效风险。三是传统的机械功能正大量被信息化模块控制，例如数字仪表盘取代机械仪表盘，会出现更多种类的失效现象。可以通过成熟的体系找到设计的问题，在研发的过程中加以保障，加以注意。

第三个方面是智能座舱的信息安全问题。

Upstream Security近两年的汽车信息安全报告中指出：1、到 2025 年，联网汽车将占全球汽车市场的80%以上；2、从2016年至2019年，汽车信息安全事件增加了600%，仅2019年一年就比2018年多了1倍；3、针对汽车的远程攻击事件比例在不断提升，已经达到了79.6%；4、2019年有57%的安全事件是基于主观犯罪目的，如车辆偷窃、信息窃取、系统破坏等，只有38%的事件是出于技术研究和安全警告目的。

在数据安全方面，今天谈的是驾驶舱内的信息安全的问题。由于舱内有各式各样的传感器（如麦克风，摄像头，驾驶行为监测系统等）采集用户特征、行为，产生大量数据，同时也产生数据安全隐患，应保护数据在其生命周期各环节的安全性。

在通信安全方面，智能座舱相关功能通过车内网络（域控制器）与底盘控制、自动驾驶等车控系统连通，需要加强通信数据真实性和完整性， 防止对车辆内部重要子系统的破坏。另外，V2X可以为智能座舱更高效交互提供连接基础，与外部进行数据交互。对外通信包含多种通信接口，如WiFi、蓝牙、蜂窝网络等，安全防护需要全面考虑。

智能座舱操作系统主要为车载信息娱乐服务以及车内人机交互提供控制平台，是汽车实现座舱智能化与多源信息融合的运行环境。智能座舱操作系统不能简单地将手机操作系统复制到车端，而应通过深度定制达到车辆信息安全的标准，操作系统安全技术主要集中在漏洞管理、身份认证、镜像保护以及资源管理等措施，强调访问控制策略的落实。

智能座舱在软件、硬件、应用程序也存在信息安全问题，这是重新定义信息安全。

最后，介绍一下我们招商车研已经开展的相关工作。

招商车研这个名字在整个行业中是今年5月份才开始出现，前身是重庆车辆检测研究院有限公司。今年5月招商局集团为了打造检验检测板块对我们进行了并购、由招商局集团和重庆发展投资有限公司控股，77%的股份是属于招商局，23%是重庆市财政发展投资有限公司所有。我们是从事相关业务多年的国家级的机构，拥有3个国家级的质量检验检测中心和多个面向智能网联汽车的科研技术平台。

公司在智能网联汽车方面的资质主要包括：国家市场监督管理总局授牌的国家智能网联汽车质量检验检测中心（重庆），交通部首批认定的自动驾驶封闭场地测试基地和自动驾驶技术交通运输行业研发中心，以及重庆市的一系列重点实验室和工程研究中心，同时也是重庆市自动驾驶道路测试管理单位之一。

我们建立了汽车智能座舱人机交互测试评价指标体系，重点是定量打造测评体系作为出发点，通过研发智能座舱人机交互安全测试系统，从人的生理、心理的测试系统，由头戴式眼动仪、多通道生理仪、脑电仪、数据采集与预处理系统、摄像机、手指运动轨迹追踪系统组成。可采集驾驶员眼动、脑电、心率、血压、表情、肢体动作信息，分析驾驶人对智能座舱可用性绩效、体验满意度、交互负荷、安全可靠、交互风险等，大家可以看到右侧，从交互的愉悦度，这些可以通过定量的一些指标来进行评判，交互绩效也是涉及到驾驶安全的重要的因素，这考察的HMI出错次数、步骤数、视线偏离率等。还有交互负荷和交互风险，这涉及到驾驶疲劳和驾驶风险的情况，这有纵向、横向的，纵向的是追尾的风险TTC，横向的是车道偏离风险TLC，进行定量的测试来评判整个交互系统的安全性。

第二个交互的评价，我们打造了室内室外的测试的环境，招商车研利用自身在法规检测、研发检测、自动驾驶测试、智能座舱人机交互测试评价方面的优势，已建立六自由度模拟驾驶器与封闭道路实车试验场景。汽车模拟驾驶人机交互测试平台具有汽车模拟驾驶与模拟道路测试场景及测试设备，建立了汽车智能座舱人机交互测试评价规范，可进行各种车型的智能座舱人机交互安全与体验测试评价。

接下来我们把它分解成一个评价的矩阵，包括了测试对象的分解，包括了测试功能点的定义，以及评价体系、指标的建立，包括任务、场景、流程等等，通过全面的矩阵的分析来评判交互系统的好坏。

第三个方面是信息安全方面，这也是重点关注的内容。我们主要是从入侵系统的测试，搭建了四个测试系统，系统的入侵测试，通过50余种典型的网络，包括攻击行为，比如说扫描窥探、暴力破解等等构建一套系统来进行入侵测试。第二，车联网的协议，通过机器学习方法所建立了一套数据测试库，根据流量来生成协议，特别是服务器和终端进行协议的模糊测试，对智能网联车的应用流量进行窃取、篡改、模拟攻击等一系列的方法对其进行测试。第三，密码的模块，通过算法的验证，反复测试，通过加密算法，整体解码等等安全防护测试来考察网联系统。第四，定位的欺骗与干扰，这是现实生活中经常发生的。我们建立了一套屏蔽的实验室，验证了一套设备在干扰的信号条件下如何保持特定的定位信息的输出，来验证它是否满足具有一定的抗干扰能力，等等一系列的方法。

最后我想谈谈商用密码，我们也做了大量的探索，目前获批了工信部在商业密码身份认证、互联，我们也准备在重庆的某个单位来开展大规模的商用密码的应用，针对商用密码在车机或者是智能座舱方面的应用，包括了安全的启动功能验证、数据隐私的验证、车外车内的通讯，这方面的各个方面的验证。也包括了诊断安全、OTA的升级等等一系列的对相关的加密的算法，非加密算法都进行了相关的研究。如何保证这些商业密码如何在智能座舱的应用，现在随着民办法的颁布，应该在这方面有广泛的应用，前期我们也开展了相关数据平台测试验证工作。

最后想介绍一下招商车研在重庆高新区投资了20多亿打造了新基地，这个新基地是试验场和实验室一体化运作，招商车研将以后以更好的形象，更好的平台，更高的水平为行业提供检测、认证服务。

以上是我今天分享的内容，招商车研愿携手行业伙伴，坚持“服务行业发展，成就社会价值”的企业宗旨，以车辆检测为核心，努力建设成为“高价值、综合性的技术服务商”的角度来为行业提供服务，谢谢大家！

（注：本文根据现场速记整理，未经演讲嘉宾审阅）