[Leitura de artigo] Situação da pesquisa e desafios da segurança na direção autônoma

Título do artigo: Segurança de direção autônoma: estado da arte e desafios
Ano de publicação: 2022-IoTJ (IEEE Internet of Things Journal)
Informações do autor: Cong Gao (Universidade de Correios e Telecomunicações de Xi'an), Geng Wang (Universidade de Xi'an dos Correios e Telecomunicações), Weisong Shi (Universidade Estadual de Wayne, EUA), Zhongmin Wang (Universidade de Correios e Telecomunicações de Xi'an), Yanping Chen (Universidade de Correios e Telecomunicações de Xi'an) Nota: Um documento de revisão sobre segurança na
direção autônoma , publicado na edição principal da Internet of Things em 2022 IEEE Internet of Things Journal (Região 1, Academia Chinesa de Ciências/CCF-C Journal)

Explicação da terminologia

• IoVs: Internet de Veículos Internet de Veículos
• V2X: Tecnologia de comunicação sem fio veicular para tudo
• V2V: Veículo para Veículo, Veículo para Veículo
• V2I: Veículo para infraestrutura Veículo para instalação
• V2P: Veículo para Pedestre Veículo para Pedestre
• V2N: Veículo para Rede Veículo para Rede

Resumo

A indústria de direção autônoma desenvolveu-se rapidamente na última década. Embora a condução autónoma se tenha tornado, sem dúvida, uma das tecnologias mais promissoras deste século, o seu desenvolvimento enfrenta múltiplos desafios, entre os quais a segurança é a questão principal. Neste artigo, fornecemos uma análise abrangente da segurança na direção autônoma. Primeiro, é proposta a superfície de ataque da direção autônoma. Depois de analisar o funcionamento da direção autônoma a partir dos aspectos dos principais componentes e tecnologias, a segurança da direção autônoma é explicada a partir de quatro dimensões: 1) sensores; 2) sistema operacional; 3) sistema de controle; 4) veículo para tudo (V2X). ) comunicação. A segurança do sensor foi estudada a partir de cinco aspectos: autoposicionamento do sensor e percepção ambiental. A análise de segurança dos sistemas operacionais é a segunda dimensão dos sistemas operacionais, que se concentra principalmente nos sistemas operacionais de robôs. Em termos de segurança do sistema de controle , discutimos principalmente as vulnerabilidades e medidas de proteção da LAN do controlador. A quarta dimensão, segurança da comunicação V2X , é discutida a partir de quatro tipos de ataques: 1) autenticidade/identificação; 2) disponibilidade; 3) integridade dos dados; 4) confidencialidade, com soluções correspondentes. Além disso, também são apontadas as deficiências dos métodos existentes em quatro dimensões. Finalmente, é proposta uma estrutura conceitual de defesa multicamadas para proteger o fluxo de informações das comunicações externas para o veículo físico autônomo.

Palavras-chave: Superfície de ataque, direção autônoma, rede de área de controle, serviço de distribuição de dados, sistema operacional de robô, segurança, sensor, veículo não tripulado, comunicação veículo-para-tudo (V2X) Comunicação em rede)

1. Introdução

Com o desenvolvimento de carros inteligentes, os veículos autônomos têm atraído cada vez mais a atenção da pesquisa. Acredita-se que os carros autônomos sejam benéficos para aliviar o congestionamento do tráfego e reduzir os acidentes de trânsito. No entanto, a atual tecnologia de condução autônoma ainda não está madura e ainda está em fase de desenvolvimento. A segurança dos passageiros e do próprio veículo está longe de ser garantida [1], [2]. Por exemplo, em 2018, durante um teste de estrada no Arizona, um carro autônomo da Uber colidiu com um pedestre empurrando uma bicicleta pela estrada [3]. Este é o primeiro acidente de carro autônomo do mundo que resulta na morte de um pedestre. O incidente posteriormente gerou uma discussão acalorada sobre a segurança dos carros autônomos.

1.1.Segurança na direção autônoma

Um veículo autônomo é um sistema abrangente, incluindo principalmente sistema de posicionamento , sistema de percepção , sistema de planejamento e sistema de controle [4]. A segurança dos veículos autônomos geralmente se refere à segurança durante a condução, incluindo a segurança dos sensores , sistemas operacionais , sistemas de controle e comunicações V2X (veículo para tudo) .

• 1) Segurança do sensor: A segurança do sensor trata principalmente da segurança de componentes reais, como sensores e chips integrados. Por exemplo, os carros autônomos do Google usam uma variedade de sensores para detectar o ambiente de direção. Os dados coletados do sensor são usados ​​para analisar se o veículo está em condições de condução seguras.
• 2) Segurança do sistema operacional: A segurança do sistema operacional refere-se à garantia da integridade e disponibilidade do sistema operacional e à prevenção de acesso não autorizado. Atualmente, a maioria dos carros autônomos são desenvolvidos com base em sistemas robóticos. Por exemplo, a plataforma de carro autônomo da Baidu, Apollo[5], é baseada no mais famoso sistema operacional de robô ROS[6]. ROS é uma plataforma de middleware robótica que fornece funções básicas de sistema operacional para clusters de computadores heterogêneos. No entanto, o ROS não foi originalmente projetado com a segurança em mente. Outros sistemas operacionais semelhantes também apresentam esse problema.
• 3) Segurança do sistema de controle: A segurança do sistema de controle garante que o sistema de tomada de decisão a bordo dê instruções corretas para a direção, aceleração, desaceleração e estacionamento do veículo autônomo com base nos dados ambientais coletados e nos dados do próprio veículo. No entanto, à medida que aumentam os tipos de interfaces externas de veículos, novas superfícies de ataque continuam a surgir. Portanto, o sistema de controle é vulnerável a invasões ilegais.
• 4) Segurança de comunicação V2X: A segurança de comunicação V2X refere-se à segurança de veículo para veículo (V2V), veículo para infraestrutura (V2I), veículo para pedestre (V2P) e veículo para rede (V2N) comunicações. O projeto do sistema de rede do veículo deve garantir que as comunicações acima não sejam atacadas. Além disso, as informações sobre os veículos circundantes e as condições ambientais provenientes das comunicações V2X contribuem ainda mais para a segurança do veículo.

1.2. Superfície de ataque

O conceito de superfície de ataque é geralmente creditado a Michael Howard, da Microsoft. Foi introduzido informalmente como um indicador de segurança do sistema de software [7].

As primeiras pesquisas de superfície de ataque [8]-[12] focaram principalmente em sistemas de software, estabelecendo uma base sólida para pesquisas subsequentes. Michael Howard acredita que a superfície de ataque é um conjunto de características de ataque: soquetes abertos, endpoints RPC abertos, pipes nomeados abertos, serviços, etc. [7]. Manadhata et al.[12] deram a definição de superfície de ataque ao sistema como um subconjunto de recursos que um invasor pode usar para atacar o sistema.

Ren et al. [2] dividiram brevemente as ameaças à segurança que cercam os veículos autônomos em três grupos de superfícies de ataque: 1) vários sensores; 2) sistemas de controle de acesso de veículos; 3) protocolos de rede de veículos.

A literatura recente sobre superfícies de ataque tem se concentrado principalmente na criação de medidas empíricas e teóricas para a superfície de ataque de sistemas de software ou redes de computadores [13], como [14]-[17].

No domínio da condução autónoma, destacam-se os seguintes documentos dignos de nota na superfície de ataque.

Maple et al.[18] desenvolveram uma arquitetura de referência para análise de superfície de ataque de veículos autônomos conectados (CAVs) usando uma perspectiva híbrida de comunicação funcional.

Salfer e Eckert [19] propuseram um método automatizado para avaliação de superfície de ataque e vulnerabilidade de unidade de controle eletrônico automotivo (ECU) com base em dados de desenvolvimento e imagens flash de software.

Checkoway et al.[20] conduziram uma análise detalhada da superfície de ataque externa de automóveis. Este trabalho concentra-se principalmente na intrusão remota.

A literatura [21] discute as áreas de ameaça dos sistemas de infoentretenimento de veículos. Foram identificadas sete vulnerabilidades e 15 superfícies de ataque potenciais para sistemas de infoentretenimento em veículos baseados em Linux.

Chattopadhyay e outros [22] desenvolveram uma estrutura de projeto de segurança para veículos autônomos. A estrutura inclui um modelo de alto nível que define a superfície de ataque de veículos autônomos em três camadas.

Dominic e outros [23] propuseram uma estrutura de avaliação de risco para condução autônoma e direção autônoma colaborativa. Um modelo de ameaça é proposto com base no modelo de ameaça descrito pela National Highway Traffic Safety Administration (NHTSA) [24] e nos requisitos de segurança descritos pelo projeto E-safety Vehicle Intrusion Protected Applications (EVITA) [25]. A superfície de ataque é dividida em cinco categorias: 1) Superfície de ataque inercial/odometria; 2) Sensor de distância; Sistema de Posicionamento Global (GPS); 4) Atualização de mapa; 5) V2V/V2I.

Petit e Shladover [26] estudaram potenciais ataques cibernéticos contra veículos autônomos. As superfícies de ataque de veículos autônomos e veículos autônomos cooperativos são analisadas separadamente.

Através da análise da literatura acima, dividimos aproximadamente a superfície de ataque da direção autônoma em três categorias . Conforme mostra a figura 1, são sensores , sistemas veiculares e V2X . Para sensores: GNSS/IMU significa Sistema Global de Navegação por Satélite e Unidade de Medição Inercial. LiDAR é a abreviatura de Light Detection and Ranging. Sistema de bordo: OBD-II é a abreviatura do sistema de diagnóstico de bordo de segunda geração. TPMS significa Sistema de monitoramento de pressão dos pneus. ADAS é a abreviatura de Sistema Avançado de Assistência à Condução. Para V2X: OTA significa sem fio. É essencialmente apenas um sinônimo de wireless. DSRC é a abreviatura de Comunicações Dedicadas de Curto Alcance. A Figura 1 não é exaustiva, mas pretende levantar questões de segurança para veículos autônomos.

1.3.Conteúdo e Roteiro

O estado da investigação e os desafios dos quatro aspectos da condução autónoma acima referidos são revistos e as deficiências das soluções existentes são apontadas. Os principais componentes e tecnologias relacionadas à direção autônoma são introduzidos; as questões de segurança de sensores como câmeras, GNSS/IMUs, sensores ultrassônicos, radar de ondas milimétricas e lidar são focadas . A discussão sobre a segurança do sistema operacional concentra-se principalmente no ROS. Introdução detalhada ao Data Distribution Service (DDS) com segurança aprimorada adotado pelo ROS versão 2. A análise de segurança de sistemas de controle concentra-se principalmente na Controller Area Network (CAN). A vulnerabilidade da rede CAN é analisada com base em 5 caminhos de ataque: 1) OBD-II; 2) carregador de veículo elétrico; 3) CD player; 4) abrangente; 5) Bluetooth. Dois tipos de métodos de proteção são propostos: 1) métodos de proteção baseados em criptografia/autenticação e 2) métodos de proteção baseados em detecção de intrusão. O mais recente progresso do padrão de rede de área de controle baseado em barramento CAN (CAN FD) é apresentado. A segurança da comunicação V2X é analisada com base em 4 tipos de ataques: 1) autenticação/identificação; 2) disponibilidade; 3) integridade dos dados; 4) confidencialidade. Além disso, são revisadas medidas de segurança de rede em veículos baseadas em blockchain. Finalmente, são apresentados 6 incidentes reais de segurança com carros autônomos. Em seguida, é proposta uma estrutura conceitual de defesa multicamadas para a segurança da direção autônoma;

O restante deste artigo está estruturado da seguinte forma. Na Seção 2, revisamos os principais componentes e tecnologias dos sistemas de direção autônoma. Na Seção 3, discutimos a segurança de cinco sensores principais para veículos autônomos. Na Seção 4, analisamos a segurança dos sistemas operacionais populares de veículos autônomos. Concentre-se no ROS, que domina o campo da condução autônoma. A quinta parte discute a segurança de sistemas de controle baseados em barramento CAN. São apresentadas as fraquezas, ataques e medidas de proteção das redes CAN. Com base no CAN FD, é proposto um novo padrão CAN. A sexta parte resume os ataques e soluções para comunicações via Internet de Veículos. Na Seção VII-a, são introduzidos seis incidentes de segurança reais de veículos autônomos. Esses eventos são divididos em 4 categorias: 1) segurança do sensor; 2) segurança do sistema operacional; 3) segurança do sistema de controle; 4) segurança da comunicação V2X. Na Seção VII-b, propomos uma estrutura conceitual de defesa para segurança da informação automotiva. Por fim, apresentamos nossas conclusões na Seção 8.

2.Tecnologia de condução autônoma

2.1.Composição

2.2. Tecnologia

3. Segurança do sensor

3.1.Câmera

3.2.GNSS (Sistema de Navegação Global)/IMU (Unidade de Medição Inercial)

3.3. Sensor ultrassônico

3.4. Radar de ondas milimétricas

3.5.LiDAR

3.6. Validação cruzada multissensor

3.7. Falha do sensor

4. Segurança do sistema operacional

4.1. Primeiro sistema operacional de robô móvel

4.2.ROS

4.3.Segurança ROS

4.4.Aprimoramentos de segurança do ROS2

4.5.Desvantagens do ROS2

5. Segurança do sistema de controle

5.1.PODE

5.2.

6. Segurança de comunicação V2X

Quando um carro autônomo circula na estrada, ele se torna parte do IoV. V2X é um termo genérico usado para descrever o mecanismo de comunicação da Internet de Veículos. Conforme mencionado na Seção 1, esses mecanismos geralmente incluem V2V, V2I, V2P e V2N. Os veículos podem obter uma série de informações de trânsito (como condições de trânsito em tempo real, pedestres, status do veículo ao redor, etc.) por meio do V2X. Proteger as comunicações V2X é uma área importante da direção autônoma. Esta seção discute principalmente: Riscos e soluções de segurança V2X .

6.1.Comunicação V2X

Os quatro métodos de comunicação no V2X são mostrados na figura:

• No V2V, os cenários de aplicação mais comuns são ruas urbanas e rodovias, onde os veículos enviam dados entre si para compartilhar informações. Essas informações incluem a velocidade do veículo, direção do movimento, aceleração, frenagem, posição relativa, direção, etc. Ao prever o comportamento de condução de outros veículos, os veículos podem tomar medidas de segurança antecipadamente.
• No V2I, os dispositivos montados em veículos se comunicam com unidades rodoviárias de pontos de infraestrutura (rsu). rsu obtém informações sobre veículos próximos e publica informações em tempo real no portal.
• No V2P, os veículos identificam o comportamento dos pedestres próximos por meio de múltiplos sensores. Quando necessário, avisos podem ser dados com luzes e buzinas. Espera-se que os pedestres estejam cientes do perigo potencial até então.
• Na V2N, os dispositivos no veículo se comunicam com servidores em nuvem para trocar informações. A nuvem (servidor) armazena e analisa os dados carregados e fornece diversos serviços ao veículo, como: navegação, monitoramento remoto, assistência de emergência e entretenimento automotivo.

6.2.Ataques e soluções de comunicação V2X

Hasrouy et al.[153] classificaram os ataques V2X de acordo com o serviço comprometido. Os ataques são divididos em quatro categorias:

• 1) Autenticidade/identificação;
• 2) Disponibilidade;
• 3) Integridade dos dados;
• 4) Mantenha-o confidencial.
• Aqui, conduzimos um estudo aprofundado com base nesta classificação e revisamos alguma literatura bem conhecida. A Tabela 1 resume estudos representativos nestas quatro categorias:

6.3.Simulador de comunicação V2X

A pesquisa sobre segurança de comunicação V2X requer forte apoio experimental. Uma vez que a realização de experiências num ambiente real consome mão de obra e outros recursos materiais, experiências excessivas podem ser uma perda de tempo para tecnologias de condução autónoma imaturas. Geralmente existem dois tipos de simuladores: 1) Simulador de Rede e 2) Simulador de Tráfego . Um simulador de rede é usado para testar o desempenho de protocolos e aplicações de rede, e um simulador de tráfego é usado para gerar trajetórias de veículos.

A Tabela II resume simuladores comumente usados ​​em pesquisas de comunicação V2X, conforme mostrado na figura abaixo.

6.4. Desvantagens dos métodos existentes

7. Discussão e Soluções

8.Conclusão

A segurança é o principal requisito para a condução autônoma. Este artigo conduz pesquisas retrospectivas e prospectivas a partir de quatro aspectos: 1) segurança do sensor; 2) segurança do sistema operacional; 3) segurança do sistema de controle; 4) segurança da comunicação V2X. Cada caminho de ataque é discutido detalhadamente junto com as defesas existentes contra eles. Os problemas de segurança dos veículos autônomos são causados ​​pela intrusão e adulteração de dados por hackers, que se enquadram na categoria de segurança da informação.Portanto, este trabalho propõe uma estrutura conceitual para construir uma segurança da informação veicular eficiente. No entanto, para que a produção em massa de veículos autónomos seja alcançada, será necessária investigação adicional sobre a superfície de ataque dos módulos de condução autónoma, tanto por parte do meio académico como da indústria. Esperamos que este artigo chame a atenção das comunidades de computação e automotiva.