芯耀
994
近日，受到國(guó)內(nèi)汽車安全事故的影響，產(chǎn)業(yè)對(duì)智能駕駛的技術(shù)路線之爭(zhēng)再次成為焦點(diǎn)。其中有一種聲音很強(qiáng)烈，那就是搭載毫米波雷達(dá)的必要性，以及4D成像毫米波雷達(dá)將替代部分激光雷達(dá)和傳統(tǒng)毫米波雷達(dá)市場(chǎng)。
與此同時(shí)，人們意識(shí)到，安全不再是技術(shù)發(fā)展的“附加項(xiàng)”，而是決定智能駕駛能否落地的核心前提，于是安全再次成為車企在智能駕駛實(shí)現(xiàn)道路上的首要任務(wù)。
根據(jù)YOLE最新市場(chǎng)數(shù)據(jù)，全球車載毫米波雷達(dá)裝機(jī)量正呈現(xiàn)顯著增長(zhǎng)態(tài)勢(shì)，當(dāng)前市場(chǎng)總規(guī)模約2億顆，預(yù)計(jì)到2029年將突破3億顆，增幅達(dá)50%。從應(yīng)用趨勢(shì)看，ADAS系統(tǒng)正加速向多雷達(dá)配置演進(jìn)，3R（3雷達(dá)）和5R（5雷達(dá)）方案將成為主流，無(wú)雷達(dá)配置的ADAS系統(tǒng)將逐步退出市場(chǎng)。
然而，當(dāng)我們提到毫米波雷達(dá)，似乎過(guò)去不管是企業(yè)還是個(gè)人都很少會(huì)去討論4D毫米波雷達(dá)系統(tǒng)本身的安全防護(hù)問(wèn)題。因此在EAC2025易貿(mào)汽車產(chǎn)業(yè)展期間，與非網(wǎng)采訪到了加特蘭網(wǎng)絡(luò)安全架構(gòu)師章赟杰，就當(dāng)前市場(chǎng)上毫米波雷達(dá)的整體安全配置情況，行業(yè)面臨的挑戰(zhàn)，以及解決之道進(jìn)行了討論，希望給到行業(yè)一些啟發(fā)與借鑒。
圖 | 加特蘭網(wǎng)絡(luò)安全架構(gòu)師章赟杰；來(lái)源：加特蘭
關(guān)于加特蘭：
國(guó)內(nèi)頭部毫米波雷達(dá)供應(yīng)商，目前累計(jì)出貨量已突破1900萬(wàn)顆。2024年，公司在中國(guó)車載毫米波雷達(dá)芯片市場(chǎng)的占有率已達(dá)20%，2025年市占率有望進(jìn)一步提升至三分之一。
毫米波雷達(dá)安全防護(hù)現(xiàn)狀
早期雷達(dá)的芯片由于作為傳感器終端，其安全性一般會(huì)被忽視，通常只具備非?；A(chǔ)的安全防護(hù)，來(lái)對(duì)通信數(shù)據(jù)進(jìn)行完整性校驗(yàn)。
有部分產(chǎn)品甚至可能連這樣的基礎(chǔ)功能都是缺失的；有部分產(chǎn)品會(huì)配置獨(dú)立的安全島（Secure Island），通過(guò)物理的方式對(duì)系統(tǒng)進(jìn)行資源的隔離，以確保黑客或者惡意人員無(wú)法訪問(wèn)系統(tǒng)的敏感資源。此類系統(tǒng)一般具備安全啟動(dòng)、安全升級(jí)等必須功能，并具備基礎(chǔ)的密碼學(xué)引擎來(lái)支持不同場(chǎng)景的應(yīng)用。
而一些高級(jí)系統(tǒng)則在安全島的基礎(chǔ)上，還具備各種多樣的功能特性，例如外部存儲(chǔ)加密、密鑰安全、固件加密以及各種高速密碼學(xué)引擎，來(lái)支持多重通信加密等特性。
結(jié)合毫米波雷達(dá)在汽車領(lǐng)域的實(shí)際應(yīng)用，章赟杰透露：“當(dāng)前，在智能網(wǎng)聯(lián)汽車的安全威脅場(chǎng)景中，針對(duì)ADAS的傳感器欺騙攻擊正呈現(xiàn)出極高的技術(shù)可行性和安全危害性?！?/p>
毫米波雷達(dá)攻擊背后的“隱形殺手”
作為一種傳感器，毫米波雷達(dá)的操作系統(tǒng)和應(yīng)用軟件框架都相對(duì)較為固化，而大部分以往的系統(tǒng)缺乏安全啟動(dòng)、安全升級(jí)等必要特性，導(dǎo)致黑客往往通過(guò)固件自身安全特性，或者應(yīng)用編碼導(dǎo)致的漏洞進(jìn)行攻擊。
具體來(lái)講，黑客可通過(guò)供應(yīng)鏈滲透或遠(yuǎn)程漏洞利用等方式，在車輛雷達(dá)傳感器單元植入惡意代碼。這種嵌入式攻擊往往利用傳感器固件的安全缺陷（如未經(jīng)驗(yàn)證的固件更新機(jī)制），通過(guò)建立隱蔽的硬件后門實(shí)現(xiàn)持久化駐留。惡意代碼能在底層驅(qū)動(dòng)層對(duì)原始雷達(dá)信號(hào)數(shù)據(jù)進(jìn)行篡改，精準(zhǔn)模擬包括毫米波雷達(dá)、激光雷達(dá)在內(nèi)的多模態(tài)傳感器數(shù)據(jù)包。
對(duì)此，章赟杰表示：“該攻擊路徑得以實(shí)施的核心漏洞在于車載通信協(xié)議缺失基礎(chǔ)性安全機(jī)制，控制指令和點(diǎn)云數(shù)據(jù)的傳輸報(bào)文未部署完整性驗(yàn)證機(jī)制，同時(shí)通信數(shù)據(jù)缺乏最基本的加密保護(hù)。而各種攻擊導(dǎo)致的最嚴(yán)重結(jié)果是通過(guò)對(duì)點(diǎn)云數(shù)據(jù)的操縱，帶來(lái)對(duì)智駕系統(tǒng)的惡意攻擊，并最終產(chǎn)生人身傷害以及汽車企業(yè)的嚴(yán)重?fù)p害?！?/p>
那么，這類攻擊究竟能在多大程度上引發(fā)事故呢？
章赟杰告訴與非網(wǎng)：“盡管攻擊系統(tǒng)在多數(shù)情況下難以達(dá)成基本攻擊效果，但實(shí)測(cè)數(shù)據(jù)表明，當(dāng)車輛行駛過(guò)程中出現(xiàn)14%的特定攻擊時(shí)機(jī)（即‘攻擊窗口’），系統(tǒng)會(huì)產(chǎn)生超過(guò)2米的定位偏差——該偏差量已足以實(shí)現(xiàn)部分攻擊目的?！?/p>
研究發(fā)現(xiàn)，通過(guò)偽造雷達(dá)信號(hào)（雷達(dá)欺騙攻擊），定位偏差會(huì)在短時(shí)間內(nèi)急劇擴(kuò)大。其關(guān)鍵原因在于，在偏差快速擴(kuò)大的攻擊窗口階段，偽造的傳感器數(shù)據(jù)會(huì)主導(dǎo)車輛定位系統(tǒng)的核心運(yùn)算模塊。當(dāng)攻擊持續(xù)到后半段時(shí)，系統(tǒng)雖然能識(shí)別雷達(dá)數(shù)據(jù)異常，但由于糾錯(cuò)機(jī)制響應(yīng)延遲，無(wú)法及時(shí)修正路徑偏差。這種現(xiàn)象實(shí)質(zhì)上突破了多傳感器融合系統(tǒng)"多源校驗(yàn)、容錯(cuò)抗擾"的設(shè)計(jì)邏輯。
換言之，這種攻擊手段對(duì)黑客而言極具戰(zhàn)術(shù)價(jià)值：不僅能精準(zhǔn)操控車輛軌跡——通過(guò)偽造傳感器數(shù)據(jù)迫使車輛產(chǎn)生橫向偏移，實(shí)現(xiàn)強(qiáng)制變道甚至逆向行駛等危險(xiǎn)操作；更可怕的是，攻擊者只需連續(xù)觸發(fā)多個(gè)攻擊窗口，就能將初始的局部干擾升級(jí)為整車失控。尤其致命的是，整個(gè)攻擊過(guò)程極具隱蔽性，車載系統(tǒng)在遭受攻擊時(shí)仍會(huì)顯示"運(yùn)行正常"，這種偽裝極大延緩了安全防護(hù)機(jī)制的響應(yīng)時(shí)機(jī)，為攻擊者爭(zhēng)取到充足的操作窗口。
面對(duì)攻擊，如何各個(gè)擊破？
雷達(dá)系統(tǒng)自身涵蓋了從硬件、系統(tǒng)、通信到應(yīng)用軟件等各個(gè)層級(jí)，因此其整體設(shè)備的安全需要各個(gè)方面的共同協(xié)作。
從整體系統(tǒng)的角度，需要芯片廠商提供一個(gè)能夠?yàn)楣碳?、?shù)據(jù)、通信報(bào)文等資產(chǎn)提供完整防護(hù)能力的芯片及相關(guān)軟件能力，原生支持密碼學(xué)硬件加速器、密鑰生成和管理、安全啟動(dòng)等各種特性，從而為上層的系統(tǒng)級(jí)安全、安全通信提供完整的支撐能力。
應(yīng)用開(kāi)發(fā)者基于這些硬件特性開(kāi)發(fā)自身系統(tǒng)級(jí)的安全功能，例如安全診斷、安全升級(jí)、證書(shū)管理等各種特性功能，同時(shí)可以基于這些硬件特性對(duì)于安全通信進(jìn)行防護(hù)，由于整車通信網(wǎng)絡(luò)的架構(gòu)的不同，通信協(xié)議棧會(huì)基于硬件提供的密碼學(xué)硬件加速能力進(jìn)行不同類型的安全通信，例如SecOC、TLS等，以對(duì)通信數(shù)據(jù)流進(jìn)行防護(hù)。
應(yīng)用層系統(tǒng)需對(duì)上層App進(jìn)行應(yīng)用級(jí)加固，以實(shí)現(xiàn)系統(tǒng)級(jí)的安全防護(hù)。章赟杰認(rèn)為，通過(guò)以上端到端的防護(hù)方案，可有效保障雷達(dá)系統(tǒng)的整體安全性。
那么以上提到的安全功能是否一定要有專用安全芯片來(lái)保障？從系統(tǒng)的維度，我們又該把這顆芯片放在哪里？一般需要多強(qiáng)的自身配置呢？
對(duì)此，章赟杰表示：“對(duì)于整車而言，目前仍可能存在專用安全芯片的情況，但是越來(lái)越趨向于集成的方式。目前主流雷達(dá)芯片以SoC的形式集成安全子系統(tǒng)VSS（Vehicle Security Subsystem），來(lái)完成系統(tǒng)相關(guān)的安全功能，這種方案兼具低成本、高性能和高安全性優(yōu)勢(shì)?！?/p>
“不過(guò)，安全子系統(tǒng)的性能通常伴隨著應(yīng)用的場(chǎng)景不同而產(chǎn)生變化，例如對(duì)于Satellite Sensor架構(gòu)的雷達(dá)，由于其發(fā)送的數(shù)據(jù)是大量未經(jīng)處理的原始數(shù)據(jù)，數(shù)據(jù)量較Smart Sensor架構(gòu)的雷達(dá)而言大很多，因此其對(duì)于引擎的要求會(huì)大大提升，導(dǎo)致安全性的成本也會(huì)相應(yīng)增加?！?，章赟杰補(bǔ)充道。
魔高一尺，道高一丈，安全挑戰(zhàn)仍在繼續(xù)
魔高一尺，道高一丈。安全是一個(gè)動(dòng)態(tài)的攻防過(guò)程，在持續(xù)不斷的競(jìng)爭(zhēng)過(guò)程中，攻防雙方都會(huì)提升自己的技術(shù)能力。
從加特蘭的經(jīng)驗(yàn)來(lái)看，曾經(jīng)被認(rèn)為可以為通信提供充分完整性保護(hù)的SecOC，伴隨著分析技術(shù)的提升，其防護(hù)能力已顯不足，因此需要額外的通信加密，同時(shí)種種加密算法也在演進(jìn)。
“我們?cè)诶走_(dá)設(shè)備的網(wǎng)絡(luò)安全架構(gòu)上面投入了相當(dāng)長(zhǎng)的時(shí)間，產(chǎn)品也經(jīng)歷了各個(gè)不同類型的架構(gòu)演進(jìn)，從以前的EVITA-LIGHT架構(gòu)逐步演進(jìn)到了現(xiàn)在強(qiáng)制物理隔離的安全性更高的符合EVITA-FULL標(biāo)準(zhǔn)的CalShield TrustAnchor架構(gòu)，這是一個(gè)相當(dāng)漫長(zhǎng)的過(guò)程，但是其安全性的提升也是有目共睹的?！?章赟杰如是說(shuō)。
此外，針對(duì)安全校驗(yàn)可能導(dǎo)致控制指令延遲增加23%-45%的說(shuō)法，章赟杰表示認(rèn)同，他說(shuō)：“由于目前傳感器的數(shù)據(jù)一般具備實(shí)時(shí)性要求，因此其通信的時(shí)延至關(guān)重要。一旦使能了SecOC等校驗(yàn)技術(shù)，會(huì)顯著增加通信時(shí)延。因此，加特蘭針對(duì)通信使用的算法進(jìn)行了模型構(gòu)建，評(píng)估了當(dāng)前場(chǎng)景下極限的通信性能要求，并針對(duì)這個(gè)性能上限進(jìn)行了特殊優(yōu)化，例如SecOC中通常使用的CMAC等算法，來(lái)確保所有的算法能滿足用戶極限需求?！?/p>
據(jù)悉，加特蘭的技術(shù)架構(gòu)針對(duì)目前要求最嚴(yán)格的歐洲市場(chǎng)，在符合EVITA-FULL標(biāo)準(zhǔn)的基礎(chǔ)上，同時(shí)還提供了額外的特殊算法，類似Brainpool、國(guó)密算法等，能夠支持整體的安全防護(hù)。
此外，我們常說(shuō)密碼學(xué)算法是安全的基石，看似不起眼，但是某一塊基石的坍塌，可能導(dǎo)致整個(gè)大樓的崩潰。PQC算法就是其中的一塊基石。NIST（美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院）也出臺(tái)過(guò)一份路線圖，預(yù)計(jì)在2035年完成密碼學(xué)算法向PQC的遷移。
對(duì)此，加特蘭方面表態(tài)：“雖然毫米波雷達(dá)設(shè)備作為傳感器，其安全性導(dǎo)致的風(fēng)險(xiǎn)相較控制器等設(shè)備為低，但是作為智駕系統(tǒng)的重要傳感器之一，加特蘭正在積極地研究PQC技術(shù)，并集成到下一代產(chǎn)品中，來(lái)為用戶提供更強(qiáng)的安全保障?！?/p>
寫(xiě)在最后
正如前文所述，多傳感器融合系統(tǒng)可能因單一傳感器遭受攻擊而整體失效。毫米波雷達(dá)系統(tǒng)自身涵蓋了硬件、系統(tǒng)、通信以及應(yīng)用軟件等多個(gè)層級(jí)，其整體安全性并非單一環(huán)節(jié)可以保障，而是需要產(chǎn)業(yè)鏈上下游的各方協(xié)同合作。
這不僅需要Tier-1供應(yīng)商在技術(shù)研發(fā)與生產(chǎn)制造環(huán)節(jié)嚴(yán)格把控硬件與軟件的安全性，確保固件無(wú)漏洞、通信協(xié)議有保障；也需要OEM廠商在車輛集成與系統(tǒng)測(cè)試階段，充分驗(yàn)證傳感器與其他系統(tǒng)的兼容性與協(xié)同性，優(yōu)化多傳感器融合算法，提升系統(tǒng)的容錯(cuò)能力。
只有通過(guò)各方的共同努力，才能構(gòu)建起一個(gè)完善的智能駕駛安全生態(tài)，為智能網(wǎng)聯(lián)汽車的廣泛應(yīng)用筑牢安全防線，讓智能駕駛技術(shù)在安全的軌道上穩(wěn)健前行。
