随着汽车不断朝着智能网联化方向发展，各种安全风险也随之而来。人工智能的引入，更加复杂的软件系统，万物互联的网络环境，使得原来只存在于网络的安全威胁扩展到汽车领域。由于汽车的移动属性，这种威胁将带来的是更加直接的破坏和损失。所以需要采取措施，控制安全风险，避免灾难发生，这也是智能网联汽车得以健康发展的必要保证。

3.2 项目目标

本项目目标是，通过在车载智能终端部署监控系统软硬件，监控车辆基础平台、自动驾驶系统、网络系统、智能终端操作系统、数据系统使用过程中出现的安全风险，及时发现和报警，记录关键信息，用以分析查找漏洞，为防范系统性风险创造条件。具体有四大目标：

第一、自动驾驶监管

对自动驾驶/ADAS系统的数据进行监控；通过采集异常情况数据，支持厂家及时发现自动驾驶/ADAS系统相关缺陷及不足，采取措施修补漏洞、改进产品设计，降低损失。
对驾驶员相关数据进行监控；通过采集驾驶员行为数据，分析人为因素在安全事故中的影响，支持厂家及主管部门进行事故原因分析，针对性的采取措施，降低行车安全风险。
加强车辆基础平台部分的安全监控；通过采集车辆关键数据，支持厂家对故障、事故、失控等情况进行原因分析，改进设计，提高质量，降低风险。
对驾驶员进行安全提示；针对监管中发现的极度危险状况，提示驾驶员进行检查维修，避免人身伤害和财产损失。

交通安全监管

对车辆运行情况进行监控；实时提取车辆速度位置等运行信息，支持主管部门进行城市交通管理，数据分析。提高道路通行效率，应对突发交通状况。
对交通运行环境进行监管，利用车载传感器的探测能力，将汽车变为城市交通的移动传感器。探测道路情况、天气条件、交通运行情况等交通信息。
进行交通安全风险管理；针对重大交通事件，提示驾驶员采取措施回避措施，避免交通拥堵，防止灾害事件升级。针对突发交通事件，驾驶员可以通过监管模块，一键报警，快速上传交通状况信息，

第三、网络、信息监管

对车内外网络系统进行监控；对不安全节点，不安全网站，非法访问，恶意攻击等行为进行监控，收集相关数据，支持厂家和主管部门及时发现漏洞，采取补救措施，消除风险因素。
对车内系统进行OTA情况进行监控；包括进行数字签名验证，版本信息记录，升级情况记录等。

第四、个人数据监管

对用户个人敏感数据进行监控；监督非法获取个人敏感信息的行为，支持厂家及主管部门采取措施，制止非法盗用活动。
对车辆和用户关键信息进行保护；通过身份鉴权和数据脱敏等手段，保护车辆及用户关键信息不被截获、篡改和盗用，保障车辆正常合法使用。

4 系统性能及功能需求定义

4.1 系统架构及功能定义

监管模块系统架构

一、系统架构及功能定义

监管模块由四大部分组成：数据采集、数据监管、存储传输、风险预警。

1、数据采集：

数据采集模块，通过智能终端OS，采集GSM模块数据信息，用于外部网络监管。
数据采集模块，通过智能终端OS，采集GNSS信息，记录车辆位置信息，监控车辆运行状况。
数据采集模块，通过智能终端OS，采集V2X信息，记录V2X网络数据，并监控V2X网络运行状态。
数据采集模块，通过智能终端OS，采集CAN、Lin、Ethnet，数据。记录并监控车辆基础平台的运行状态。
数据采集模块，通过智能终端OS，采集智能终端OS运行数据，APP运行数据，个人用户数据。监控智能终端运行状态，并监控用户个人数据的使用情况。

2、数据监管：

身份鉴权模块，存储车辆身份信息，通过与云端平台通讯，确认监管模块登录云端平台，认证监管模块身份信息，确认监管模块和车辆其他控制器及防盗模块绑定关系（防拆功能）。在系统OTA过程中进行数字签名验证，在智能终端启动过程中监督系统安全启动。
密钥管理模块，存储身份鉴权模块所需的密码数据，存储加密传输模块所需的密码信息。
数据分析模块，分析采集模块获取的内网、外网、OS、APP、用户关键数据进行分析，发现安全事件，触发报警。截取安全事件相关的详细采样数据，根据需要存储或上传。

3、存储传输：

加密传输模块，加密传输需要实时采集的车辆位置信息等基础数据。加密传输安全事件相关的详细采样数据。
数据存储模块，缓冲数据采集模块获取的详细数据，当数据分析模块触发安全事件报警时，截取详细数据片段，根据需要存储或上传。

4、警告报警：

根据云端平台发出的预警信息，通过智能终端OS向用户发出预警。
遭遇交通意外，驾驶员触发“道路安全事件”报警，向云平台发出报警信息

总体技术要求

三、电气性能测试要求

项目	要求
过电压性能	符合GB/T 28046.2-2011中4.3的试验要求和试验方法。
供电电压缓降和缓升性能	符合GB/T 28046.2-2011中4.5的试验要求和试验方法。
反向电压性能	符合GB/T 28046.2-2011中4.7的第2种情况的试验要求和试验方法。
耐机械振动性能	符合GB/T 28046.3-2011中4.1的试验要求和试验方法。
耐机械冲击性能	符合GB/T 28046.3-2011中4.2的试验要求和试验方法。
低温性能	符合GB/T 28046.4-2011中5.1.1的试验要求和试验方法。
高温性能	符合GB/T 28046.4-2011中5.1.2的试验要求和试验方法。
温度梯度性能	符合GB/T 28046.4-2011中5.2的试验要求和试验方法。
湿热循环性能	符合GB/T 28046.4-2011中5.6试验1的试验要求和试验方法。

4.2 数据采集模块功能及性能需求定义

4.2.1 外网数据采集

1）GSM数据

GSM数据采集更新频率为1s，应包括以下信息：

项目	单位
时刻
当前网络
信号强度
连接状态
上传速度
下载速度
发送数据量
接收数据量
当前网络连接

2）导航定位数据采集

导航定位相关数据采集更新频率为1s，应包括以下信息：

项目	单位
定位状态
定位时间
可用卫星数
信噪比
DOP值
差分状态和校正时段
参考站号
跟踪状态
UTC时间
纬度
经度
高度
速度
地面航向
磁偏角
加速度
角速度

3）V2X数据采集

主要收集可能影响到车辆行驶安全的临近节点的发送的数据，更新频率为100ms，包括位置速度等基础信息和V2X网络的运行状态信息。详见下表：

V2X基础信息
项目
车辆ID
时刻
位置（经纬度）
位置（海拔）
车头方向角
车体尺寸
速度
三轴加速度
横摆角速度
转向信号
方向盘转角

V2X网络信息
项目	单位
时刻
当前网络
信号强度
连接状态
上传速度
下载速度
发送数据量
接收数据量
已连接节点数量

4.2.2 智能终端OS内部数据采集

1）OS数据采集

主要包括系统基础数据和OTA相关数据采集，更新频率为10s，包括以下信息：

CPU使用情况
硬盘使用情况
内存使用情况
系统进程监控数据
OTA升级相关信息

2）APP数据采集

主要采集各种应用APP的使用情况数据，更新频率为1s，包括以下内容：

各APP使用时长
各APP使用频次
各APP崩溃、重启情况
各APP上传、下载流量
各APP网络连接情况
各APP系统资源占用情况

3）个人用户数据采集

主要采集驾驶员个人身份数据，和个人偏好数据，更新频率为10s，包括以下内容：

用户身份
用户输入动作
操作频次
各种服务的使用时长
各种服务的使用频次

4.2.3 内网数据采集

1）CAN数据采集

车辆控制系统网络涉及的数据，通过整车控制器采集后，由CAN总线发送给智能终端。监管模块通过智能终端OS采集CAN网络信息，用于数据分析。数据更新频率分为100ms，1s，10s三种。具体采集内容见下表。

整车状态		车速


































自动驾驶/ADAS









驾驶员	行为信息








动力系统	发动机






	电机系统
















	动力电池系统














	燃料系统

	供电系统








底盘&传动	变速箱


	车轮


	制动系统


	转向系统

	底盘控制



车身	辅助功能








	环境控制





OEM自定义

4）Ethnet数据采集

如果OEM采用Ethnet向智能终端传送部分/全部车辆控制数据，则通过终端OS采集Ethnet数据。内容同上表。

4.3 数据监管模块功能及性能需求定义

4.3.1 鉴权、认证

1）车辆身份鉴权

当车辆上电时，应与云端通讯，登录云平台，建立通讯连接。
登录同时应进行车辆身份鉴权，确认车辆是否为合法用户。
当因为GSM网络问题无法通讯时，检测GSM信号，当信号恢复时再次尝试通讯。
当GSM信号正常，无法通讯时。反复尝试几次仍无效后，记录安全事件“网络连接异常”，下一次系统重启之前，不再尝试。

智能终端防拆认证

监管模块应和整车控制器（新能源/混动车）或ECU（燃油车/或混动车）应建立绑定关系。
当车辆钥匙上电时，进行绑定认证。认证通过后，反馈“车辆绑定认证通过”标志。
当认证失败时，反馈安全事件“车辆绑定失败”
当再次上电，绑定认证通过后，可以清除安全事件“车辆绑定失败”

OTA升级认证

监控OTA签名认证的结果，将验证记录传送给数据分析模块。

4）智能终端安全启动认证

监控智能终端安全启动认证结果，将认证记录传送给数据分析模块。（启动过程能否监控？？？）

4.3.2 敏感信息、密钥管理

1）车辆身份信息

存放加密后的车辆身份信息，管理访问权限。
存放车辆身份信息加密密钥，管理访问权限。

2）车辆绑定密钥

存放车辆绑定密钥，管理访问权限。

3）CAN通讯加密密钥

存放CAN通讯加密传输所需密钥，管理密钥使用权限。

4.3.3 数据分析

1）外网数据采分析

GSM数据分析

监控智能终端对外网的访问行为，对比白名单，发现不安全的访问行为，触发“系统安全事件”，上传相关数据。
分析、整理GSM网络接入情况的数据（如信号强度、当前网络、连接状态等），实时上传相关信息。
严密监控车辆远程控制系统的工作情况，监控外部攻击和疑似恶意操作行为，如有异常，触发“系统安全事件”，上传相关数据。

GNSS数据分析

监控GNSS欺骗、干扰等行为，一经发现触发“系统安全事件”，上传相关数据。
分析、整理GNSS信号的接收情况（如定位状态、定位时间、可用卫星数、信噪比、DOP值、UTC时间等等），实时上传相关信息。

V2X数据分析

监控V2X网络的连接、运行情况，（如信号强度，连接状态，连接车辆数量等）
监控V2X网络中的恶意攻击、非法节点、网络拥塞、数据延迟等安全风险，如有异常，触发“系统安全事件”，上传相关数据。

2）OS数据分析

OS运行数据分析

备份OS工作日志（系统日志、安全日志、程序日志等）
记录对系统工作日志的操作行为，发现对系统工作日志非法删除、修改等动作，触发“系统安全事件”，上传相关数据。
日志监控，分析系统工作日志中记录的系统攻击、致命错误等重大事件，触发“系统安全事件”，上传相关数据。

APP运行数据分析

进程监控，通过系统进程数据，对比白名单，查找非法运行的应用程序。发现非法程序，触发“系统安全事件”，上传相关数据。
通过系统工作日志及其他采集的信息，统计程序的运行时间、使用频率、运行错误、资源消耗等情况，整理归档上传。
监控应用程序网络访问行为，一旦发现程序未经申报的访问行为，触发“系统安全事件”，上传相关数据。

个人用户数据

监控应用程序采集用户信息的行为（如密码、指纹、面部图像、声音等），如发现与实现申报的行为不符，触发“系统安全事件”，上传相关数据。
？？？？

3）内网数据分析

CAN/Ethnet数据分析

监控内部网络节点，对比白名单，检查网络节点的合法性。发现非法设备接入，触发“系统安全事件”，上传相关数据。
监控内部网络的运行情况，发现攻击、恶意行为、严重故障等安全隐患，触发“系统安全事件”，上传相关数据。
监控自动驾驶/ADAS系统激活情况下的车辆运行状况。分析并发现系统故障、车辆失控、车辆事故、事故征候等情况，触发“系统安全事件”，上传相关数据。

4.4 存储&传输模块功能及性能需求定义

4.4.1 数据存储

对采集的数据进行缓冲，采取循环覆盖的方式，保存当前时刻以前五分钟之内的数据。
当“系统安全事件”被触发，截取当前时刻以前五分钟，及当前时刻之后两分钟内的数据片段进行上传
当报警功能被触发时，截取当前时刻以前五分钟，及当前时刻之后两分钟内的数据片段进行上传
当发生系统离线时，暂存需要上传的数据，等待连接恢复时补发

4.4.2 加密传输

监管模块上传的数据分为三类，实时上传数据、事件触发上传数据、企业自定义上传数据。

1）实时上传数据

监管模块实时上传的数据，主要用于交通管理和用于支持行政管理的大数据分析活动。根据数据的变化规律，采用11ms、1s、10s、三种不同的采样频率。

当GSM信号正常时系统实时上传数据。信号不佳时，由监管模块暂时存储数据，等待网络信号恢复时补发。暂存数据的时间限制为一小时，超过一小时，数据将循环覆盖。

采样时间100ms
项目	单位/状态
车速
发动机/电机转速
挡位
加速踏板踩下
加速踏板开度
刹车踏板踩下
刹车踏板开度
方向盘转角
故障灯状态
（自适应）定速巡航激活状态
巡航车速设定值
自动驾驶激活状态
ADAS激活状态
人工接管请求
ESP激活状态
ABS激活状态
TCS激活状态
自动刹车
自动驻车
气囊状态
横向加速度
横摆角速度
时间
DSM驾驶员提醒激活状态
车辆卫星定位信号

采样时间1s
项目	单位/状态
轮胎压力
轮胎温度
车辆身份认证状态
驾驶席重力传感器
高压互锁故障
绝缘电阻
电瓶电压
定位状态
定位时间
可用卫星数
信噪比
DOP值
差分状态和校正时段
参考站号
跟踪状态
UTC时间
纬度
经度
高度
速度
地面航向
时刻
当前网络
信号强度
连接状态

采样时间10s
项目	单位/状态
SOC
油量
发动机温度
电机温度
电机控制器温度
雨刷工作模式
雨刷工作状态
玻璃加热工作状态
车灯工作模式
车灯开启状态

2）事件触发上传数据

事件触发上传数据，是由“系统安全事件”，或者驾驶者报警触发的“道路安全事件”，引发的数据上传。

“系统安全事件”被触发，将截取事件发生前三分钟，到事件发生之后两分钟，共五分钟的全部数据，进行冻结存储。待网络信号可用时上传云端。若网络信号始终不可用，受存储容量限制，系统将从倒数第二次存储的数据开始，丢弃部分冻结的数据。

“道路安全事件”被触发，将截取事件发生前三分钟，到事件发生之后两分钟，共五分钟的全部数据，进行冻结存储。待网络信号可用时上传云端。若网络信号始终不可用，受存储容量限制，系统将从倒数第二次存储的数据开始，丢弃部分冻结的数据。

企业自定义上传数据

企业自定义数据，由各整车厂根据需求自行定制，用于排查故障详细原因。数据采取实时上传方式，信号不佳时，由监管模块暂时存储数据，等待网络信号恢复时补发。暂存数据的时间限制为一小时，超过一小时，数据将循环覆盖。

4.5 警告报警模块功能及性能需求定义

4.5.1 警告

云端平台发布的公共警告（预警）信息，应通过监控模块，实时以语音+文字的模式输出到智能终端输出设备。

车载监管模块项目需求分析报告

3.1 项目来源