CN113065195B - 一种车辆信息安全威胁评估方法、装置、介质及电子设备 - Google Patents

Abstract

本申请实施例公开了一种车辆信息安全威胁评估方法、装置、介质及电子设备。该方法包括：根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；利用所述功能安全目标和信息安全目标确定攻击树模型；通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。本技术方案，可以融合信息安全技术和功能安全技术，并基于多维度的攻击方法对整车风险进行评估，提高了车辆安全威胁评估的准确率。

Description

一种车辆信息安全威胁评估方法、装置、介质及电子设备

技术领域

本申请实施例涉及智能网联汽车信息安全技术领域，尤其涉及一种车辆信息安全威胁评估方法、装置、介质及电子设备。

背景技术

随着市场经济的飞速发展，人们的生活水平也在不断提升。与此同时车辆的数量也在逐年增加，但是，由于交通事故频发，且造成了极大的人员伤亡和经济损失。因此，车辆的安全运行就显得至关重要。

在智能网联汽车信息安全开发中，为确定整车风险等级，通过结合STRIDE方法建立车辆安全威胁评估模型，对车辆安全威胁进行评估。

采用STRIDE方法建立车辆安全威胁评估模型，只考虑功能安全问题，无法规避边界问题，且无法整体考虑车辆的信息安全和功能安全威胁。

发明内容

本申请实施例提供一种车辆信息安全威胁评估方法、装置、介质及电子设备，融合信息安全技术和功能安全技术对整车风险进行评估，提高了车辆安全威胁评估的准确率。

第一方面，本申请实施例提供了一种车辆信息安全威胁评估方法，该方法包括：

根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

利用所述功能安全目标和信息安全目标确定攻击树模型；

通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。

第二方面，本申请实施例提供了一种车辆信息安全威胁评估装置，该装置包括：

目标确定模块，用于根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

攻击树模型确定模块，用于利用所述功能安全目标和信息安全目标确定攻击树模型；

车辆信息安全威胁得到模块，用于通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。

第三方面，本申请实施例提供了一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如本申请实施例所述的车辆信息安全威胁评估方法。

第四方面，本申请实施例提供了一种电子设备，包括存储器，处理器及存储在存储器上并可在处理器运行的计算机程序，所述处理器执行所述计算机程序时实现如本申请实施例所述的车辆信息安全威胁评估方法。

本申请实施例所提供的技术方案，根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；利用功能安全目标和信息安全目标确定攻击树模型；通过攻击方法对攻击树模型进行攻击，得到车辆信息安全威胁。本技术方案，可以融合信息安全技术和功能安全技术对整车风险进行评估，提高了车辆安全威胁评估的准确率。

附图说明

图1是本申请实施例一提供的车辆信息安全威胁评估方法的流程图；

图2是本申请实施例二提供的车辆信息安全威胁评估装置的结构示意图；

图3是本申请实施例四提供的一种电子设备的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本申请，而非对本申请的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本申请相关的部分而非全部结构。

在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各步骤描述成顺序的处理，但是其中的许多步骤可以被并行地、并发地或者同时实施。此外，各步骤的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。

实施例一

图1是本申请实施例一提供的车辆信息安全威胁评估方法的流程图，本实施例可适用于对车辆信息安全威胁进行评估的情况，该方法可以由本申请实施例所提供的车辆信息安全威胁评估装置执行，该装置可以由软件和/或硬件的方式来实现，并可集成于用于安全威胁评估的智能终端等设备中。

如图1所示，所述车辆信息安全威胁评估方法包括：

S110、根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能。

其中，在智能网联汽车信息安全开发中，为确定整车的风险等级，需要对车辆信息安全威胁进行评估。车辆信息安全威胁可以是指车辆系统存在的安全威胁。核心思路是从攻击者的角度通过识别威胁，尽可能多的发现产品架构和功能设计中的安全风险，以便制定措施消减威胁，规避风险，确保车辆的安全性。

在本实施例中，相关项定义可以是指系统功能的详细描述，以及系统与驱动程序的初步架构、依赖关系和交互。它还包含系统如何与环境和车辆级别的其他项交互的描述。此外，它还包含所有涉及的功能和子功能的详细信息、系统的范围和边界，以及范围中包含的任何输入或输出组件的描述。其中，系统功能可以是指安全气囊系统功能、制动系统功能、底盘控制系统功能、发动机控制系统功能以及线控系统功能等都是安全相关系统。系统范围可以是指系统具体包括的架构和功能等。例如，安全气囊系统主要由碰撞传感器、安全气囊电脑、SRS指示灯和气囊组件四部分组成。安全气囊只能使用一次。系统边界可以指各个系统所涉及的区域。例如，有些系统的边界包括ECU(Electronic Control Unit，电子控制单元)网关，而有些系统不包括ECU网关。

在本方案中，应用场景可以是指与故障相关的驾驶场景。驾驶场景包括公路类型、路面情况、车辆状态、环境条件、交通状况以及人员情况等方面。其中，公路类型可以是指国道、城市道路或者乡村道路等；路面情况可以是指湿滑路面、冰雪路面或者干燥路面等；车辆状态可以是指转向、超车、制动或者加速等；环境条件可以是指风雪交加、夜晚或者隧道灯等；交通状况可以是指拥堵、顺畅或者红绿灯等；人员情况可以是指乘客、路人等。

其中，功能安全可以是指依赖于系统或设备对输入的正确操作，它是全部安全的一部分。功能安全目标可以是指为了防止或降低危害而必须满足的安全目标。功能安全目标包括危险ASIL(Automotive Safety Integration Level，汽车安全完整性等级)等级和安全目标(Function Safety Goal，FSG)。其中，ASIL有四个等级，分别为A、B、C和D，其中A是最低的等级，D是最高的等级，四个等级中的每一个等级定义了ISO 26262(AutomotiveSafety Integrity Level，汽车安全完整性水平)中的相关项或者要素的必要的要求和安全措施，以避免不合理的风险。ISO 26262是适用于大批量产品的功能安全标准。FSG关注的是避免由于系统功能性故障导致的不可接受的风险。它关注的是系统发生故障后的行为，而不是系统原有的功能或性能。目的是当系统发生故障后，将系统进入安全的可控模式，避免对人身，财产造成伤害。例如，功能安全目标可以是防止安全气囊误点火或防止电池热失控等。

其中，信息安全可以是指一个对从单个和多个信息源获取的数据和信息进行关联、相关和综合，以获得精确的位置和身份估计，以及对态势和威胁及其重要程度进行全面及时评估的信息处理过程。信息安全目标可以是指能够保障信息的合法持有和使用者能够在任何需要该信息时获得保密的，没有被非法更改过的原装的信息的安全目标。例如，信息安全目标可以是保证车辆信息的隐私或保证车辆信息不被篡改等。

具体的，从车辆端获取车辆的相关项定义和应用场景，确定相关项的功能和非功能性的要求，以及相关项和环境之间的依赖性；相关项的边界、接口以及提出相关项与其他要素或者其他相关项之间的交互。并结合车辆具体的应用场景，确定车辆各个系统的功能安全目标和信息安全目标。

在本技术方案中，可选的，根据车辆的相关项定义和应用场景确定功能安全目标，包括：

通过所述相关项定义和应用场景确定整车级别及系统级别危险；

对各整车级别及系统级别危险进行评估，得到功能安全目标。

其中，整车级别及系统级别危险可以是指在具体驾驶场景下可能存在的功能危险。通过确定相关项定义，并结合具体的车辆应用场景，可以确定多个整车级别及系统级别危险。例如，整车级别及系统级别危险可以是安全气囊误点火，也可以是电池热失控。

在本方案中，确定整车级别及系统级别危险后，可以从多个维度对各整车级别及系统级别危险进行评估，确定危险ASIL等级和FSG。例如，整车级别及系统级别危险是安全气囊误点火，对应的FSG就是防止安全气囊误点火，危险ASIL等级可以是A等级；整车级别及系统级别危险是电池热失控，对应的FSG就是防止电池热失控，危险ASIL等级可以是B等级。

通过对各整车级别及系统级别危险进行评估，得到功能安全目标，可以对车辆信息中的功能安全威胁进行分析，提高了车辆的安全性。

在本技术方案中，可选的，对各整车级别及系统级别危险进行评估，得到功能安全目标，包括：

利用危险程度、暴露程度和可控程度对各整车级别及系统级别危险进行评估，得到功能安全目标。

其中，危险程度(Severity，S)可以是指对可能发生在潜在危害场景中的一个或者多个人员的伤害程度的预估。一般分为3个等级：S0无伤害；S1轻度和中度伤害；S2严重的和危及生命的伤害(有可能存活)；S3危及生命的伤害(存活不确定)，致命的伤害。

在本实施例中，暴露程度(Exposure，E)可以是指处于某种运行场景的状态，在该运行场景下，如果发生所分析的失效模式，可能导致危害。一般分为4个等级：E0不可能；E1非常低的概率；E2低概率；E3中等概率；E4高概率。

在本方案中，可控程度(Controllability，C)可以是指通过所涉及人员(驾驶员，乘客或者车辆外部的邻近人员)的及时反应，也可能通过外部措施的支持，避免特定的伤害或者损伤的能力。一般分为3个等级：C0可控；C1简单可控；C2一般可控；C3难以控制或者不可控。

在本方案中，由系统功能故障和应用场景组合成整车级别及系统级别危险，整车级别及系统级别危险确定后，根据危险程度、暴露程度和可控程度评估整车级别及系统级别危险的风险ASIL等级以及FSG。

示例性的，EPB(Electrical Park Brake，电子驻车系统)较传统的驻车制动器，除了驻车功能，还有动态起步辅助功能、紧急制动功能以及自动驻车功能等。以驻车功能为例，当驻车时，驾驶员通过按钮或其它方式发出制动请求，EPB系统在汽车的后轮上施加制动力，以防止车非预期滑行。该系统的整车级别及系统级别危险有：非预期制动失效、非预期制动启动。相同的危险在不同的场景下的风险是不一样的，所以要对不同的驾驶场景进行分析。若整车级别及系统级别危险为非预期制动失效，驾驶场景是车停在斜坡上，驾驶员不在车上。从危险程度、暴露程度和可控程度评估整车级别及系统级别危险的风险ASIL等级为D等级，FSG为防止制动失效。

通过从危险程度、暴露程度和可控程度对各整车级别及系统级别危险进行评估，可以对车辆信息中的功能安全威胁进行识别，提高了车辆的安全性。

在本技术方案中，可选的，根据车辆的相关项定义和应用场景确定信息安全目标，包括：

通过所述相关项定义和应用场景确定系统评价目标；

利用预设信息安全原则对系统评价目标进行评估，得到信息安全目标。

其中，系统评价目标(Target Of Evaluation，TOE)可以是指通信数据被监听、身份鉴别信息被盗取或者车辆被非法控制等危险目标。示例性的，TOE是通信数据被监听，对应的信息安全目标可以是防止通信数据被监听。

在本实施例中，预设信息安全原则可以是指隐私性(Confidenciality，C)、完整性(Integrity，I)以及可用性(Availability，A)。其中，C要求保护的车辆信息不被泄露；I要求保护的车辆信息的内容是完整的，没有被篡改；A要求保护的车辆信息是根据需要得到的。

在本方案中，通过相关项定义的内容，并结合具体的应用场景确定系统评价目标，并以隐私性、完整性以及可用性为基础，通过对车辆所需密码学的证书密钥、VIN(VehicleIdentification Number，车辆识别号码)、固件、敏感数据或者隐私数据等静态数据，以及车内通信数据、诊断数据、Debug数据或者log数据等动态数据进行系统评价目标识别，得到信息安全目标。其中，固件就是写入EPROM(可擦写可编程只读存储器)或EEPROM(电可擦可编程只读存储器)中的程序；敏感数据是指泄漏后可能会给社会或个人带来严重危害的数据；隐私数据一般指数据隐私保护；诊断数据可以是指通过读取汽车每个传感器的工作状态来判断故障，分析数据流可以精准的判断故障点获得的数据；log数据可以是指车辆测试时产生的测试数据。

通过从隐私性、完整性以及可用性对系统评价目标进行评估，可以对车辆信息中的信息安全威胁进行识别，提高了车辆的安全性。

在本技术方案中，可选的，通过所述相关项定义和应用场景确定系统评价目标，包括：

通过所述相关项定义和应用场景确定系统模型、用例模型和系统范围；

根据所述系统模型、用例模型和系统范围以及预设条件，确定系统评价目标。

在本实施例中，系统模型可以是指车辆中的各个系统模型。包括硬件技术架构、HSM(hardware security module，硬件安全模块)、PCB(Printed Circuit Board，印制电路板)板、调试接口、本地/远程诊断接口和外部通信接口等硬件结构，以及软件架构、安全启动、安全升级、安全诊断和数据存储等应用场景，以及网络拓扑结构、域隔离，和其他诸如PKI(Public Key Infrastructure，公钥基础设施)、OTA(Over-the-Air Technology，空中下载技术)和日志等应用。例如，系统模型可以是调试模型、刹车模型以及系统升级模型等；用例模型可以是车辆中的各个系统的具体执行过程。例如，用例模型可以是调试过程模型、刹车过程模型以及系统升级过程模型等；系统范围可以是指各个系统所涉及的区域。其中，域隔离是指将网络上设备配置为仅接受来自经过身份验证为同一隔离域成员的设备的连接。

其中，预设条件可以是指除了待分析系统之外的其他系统都是正常的条件。例如，对车辆端进行评估时，预设条件可以是云端或者机器端都是正常运行的。

通过根据系统模型、用例模型和系统范围以及预设条件，对系统评价目标进行确定，可以用于对车辆信息安全威胁进行识别，提高了车辆的安全性。

在本技术方案中，可选的，利用预设信息安全原则对系统评价目标进行评估，得到信息安全目标，包括：

利用预设信息安全原则，确定信息安全攻击模型；

基于所述信息安全攻击模型对系统评价目标进行评估，得到信息安全目标。

在本实施例中，信息安全攻击模型可以是指所所有可能存在的信息安全威胁因素。例如，信息安全攻击模型可以是用户通过越权方式访问车辆中的软件系统、软件系统中存在不安全的远程访问或者控制组件、攻击者通过操纵软件升级的确认机制，让软件系统拒绝正常的软件升级，或者让车辆在不恰当的时间和地点进行停车升级软件等。

基于信息安全攻击模型对系统评价目标进行评估，可以综合考虑车辆信息中的安全威胁因素，提高了车辆的安全性。

S120、利用所述功能安全目标和信息安全目标确定攻击树模型。

其中，攻击树模型可以用以表明车辆哪些组成部分的故障或外界事件或它们的组合将导致车辆发生一种给定故障的逻辑图。利用功能安全目标和信息安全目标对攻击树模型进行构建，根节点是功能安全目标和信息安全目标。

S130、通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。

在本实施例中，攻击方法可以是指攻击设备或者攻击时间等。攻击设备可以是指攻击者在对攻击树进行攻击时所使用的设备，攻击时间可以是指对攻击树进行攻击时所耗费的时间。

在本方案中，攻击树会利用信息安全攻击模型，以及常用的技术攻击手段，识别出的车辆信息安全威胁。从根开始到叶节点的一条路径，就认为是一条潜在的攻击路径，并在攻击树的每个节点上注出采用的攻击手段，具有相同攻击方式的节点可以使用技术攻击子树替代。针对攻击树上的每个攻击节点，都需要进行识别，包括攻击方法描述，风险评估及攻击难度，其攻击难度的评价可以基于IT行业信息安全标准ISO 18045、ISO 15408、通用CC标准并结合汽车领域的实际工作经验综合判断。

利用攻击方法从攻击者的角度对攻击树模型进行攻击，评估得到车辆信息安全威胁，尽可能多的发现产品架构和功能设计中的安全风险，以便制定措施消减威胁，规避风险，确保了车辆的安全性。

在本技术方案中，可选的，所述攻击方法包括时间、专业经验、知识信息、访问机会以及所需设备；

相应的，通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁，包括：

基于时间、专业经验、知识信息、访问机会以及所需设备对所述攻击树模型进行攻击，得到车辆信息安全威胁。

其中，时间可以是指对攻击树模型根节点中的目标进行攻击所需的时间；专业经验和知识信息可以是指攻击目标所需的经验和知识。访问机会可以是指车辆软件系统中的访问接口的难易程度；所需设备可以是指进行攻击是所需的具体设备。示例性的，以车辆系统调试密钥为攻击树模型根节点，时间可以是破解调试密钥所需的时间；专业经验和知识信息是指破解密钥所用到的具体经验和知识；访问机会可以是指软件系统中的接口访问的难易程度；所需设备可以是指进行破解密钥是所需的具体设备。

利用攻击方法从攻击者的角度对攻击树模型进行攻击，从于时间、专业经验、知识信息、访问机会以及所需设备多个维度进行识别，融合信息安全技术和功能安全技术对整车风险进行评估，提高了车辆安全威胁评估的准确率。

本申请实施例所提供的技术方案，根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；利用功能安全目标和信息安全目标确定攻击树模型；通过攻击方法对攻击树模型进行攻击，得到车辆信息安全威胁。通过执行本技术方案，可以融合信息安全技术和功能安全技术，并基于多维度的攻击方法对整车风险进行评估，提高了车辆安全威胁评估的准确率。

实施例二

图2是本申请实施例二提供的车辆信息安全威胁评估装置的结构示意图，如图2所示，车辆信息安全威胁评估装置包括：

目标确定模块210，用于根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

攻击树模型确定模块220，用于利用所述功能安全目标和信息安全目标确定攻击树模型；

车辆信息安全威胁得到模块230，用于通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。

在本技术方案中，可选的，目标确定模块210，包括：

整车级别及系统级别危险确定单元，用于通过所述相关项定义和应用场景确定整车级别及系统级别危险；

功能安全目标得到单元，用于对各整车级别及系统级别危险进行评估，得到功能安全目标。

在本技术方案中，可选的，功能安全目标得到单元，具体用于

利用危险程度、暴露程度和可控程度对各整车级别及系统级别危险进行评估，得到功能安全目标。

在本技术方案中，可选的，目标确定模块210，包括：

系统评价目标确定单元，用于通过所述相关项定义和应用场景确定系统评价目标；

信息安全目标得到单元，用于利用预设信息安全原则对系统评价目标进行评估，得到信息安全目标。

在本技术方案中，可选的，系统评价目标确定单元，具体用于：

通过所述相关项定义和应用场景确定系统模型、用例模型和系统范围；

根据所述系统模型、用例模型和系统范围以及预设条件，确定系统评价目标。

在本技术方案中，可选的，信息安全目标得到单元，具体用于：

利用预设信息安全原则，确定信息安全攻击模型；

基于所述信息安全攻击模型对系统评价目标进行评估，得到信息安全目标。

在本技术方案中，可选的，所述攻击方法包括时间、专业经验、知识信息、访问机会以及所需设备；

相应的，车辆信息安全威胁得到模块230，具体用于：

基于时间、专业经验、知识信息、访问机会以及所需设备对所述攻击树模型进行攻击，得到车辆信息安全威胁。

上述产品可执行本申请实施例所提供的方法，具备执行方法相应的功能模块和有益效果。

实施例三

本申请实施例还提供一种包含计算机可执行指令的介质，所述计算机可执行指令在由计算机处理器执行时用于执行一种车辆信息安全威胁评估方法，该方法包括：

根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

利用所述功能安全目标和信息安全目标确定攻击树模型；

通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。

介质——任何的各种类型的存储器设备或存储设备。术语“介质”旨在包括：安装介质，例如CD-ROM、软盘或磁带装置；计算机系统存储器或随机存取存储器，诸如DRAM、DDRRAM、SRAM、EDO RAM，兰巴斯(Rambus)RAM等；非易失性存储器，诸如闪存、磁介质(例如硬盘或光存储)；寄存器或其它相似类型的存储器元件等。介质可以还包括其它类型的存储器或其组合。另外，介质可以位于程序在其中被执行的计算机系统中，或者可以位于不同的第二计算机系统中，第二计算机系统通过网络(诸如因特网)连接到计算机系统。第二计算机系统可以提供程序指令给计算机用于执行。术语“介质”可以包括可以驻留在不同位置中(例如在通过网络连接的不同计算机系统中)的两个或更多介质。介质可以存储可由一个或多个处理器执行的程序指令(例如具体实现为计算机程序)。

当然，本申请实施例所提供的一种包含计算机可执行指令的介质，其计算机可执行指令不限于如上所述的车辆信息安全威胁评估操作，还可以执行本申请任意实施例所提供的车辆信息安全威胁评估方法中的相关操作。

实施例四

本申请实施例提供了一种电子设备，该电子设备中可集成本申请实施例提供的车辆信息安全威胁评估装置。图3是本申请实施例四提供的一种电子设备的结构示意图。如图3所示，本实施例提供了一种电子设备300，其包括：一个或多个处理器320；存储装置310，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器320执行，使得所述一个或多个处理器320实现本申请实施例所提供的车辆信息安全威胁评估方法，该方法包括：

根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

利用所述功能安全目标和信息安全目标确定攻击树模型；

通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁。

当然，本领域技术人员可以理解，处理器320还实现本申请任意实施例所提供的车辆信息安全威胁评估方法的技术方案。

图3显示的电子设备300仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图3所示，该电子设备300包括处理器320、存储装置310、输入装置330和输出装置340；电子设备中处理器320的数量可以是一个或多个，图3中以一个处理器320为例；电子设备中的处理器320、存储装置310、输入装置330和输出装置340可以通过总线或其他方式连接，图3中以通过总线350连接为例。

存储装置310作为一种计算机可读介质，可用于存储软件程序、计算机可执行程序以及模块单元，如本申请实施例中的车辆信息安全威胁评估方法对应的程序指令。

存储装置310可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储装置310可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储装置310可进一步包括相对于处理器320远程设置的存储器，这些远程存储器可以通过网络连接。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置330可用于接收输入的数字、字符信息或语音信息，以及产生与电子设备的用户设置以及功能控制有关的键信号输入。输出装置340可包括显示屏、扬声器等电子设备。

本申请实施例提供的电子设备，可以达到融合信息安全技术和功能安全技术对整车风险进行评估，提高了车辆安全威胁评估的准确率的目的。

上述实施例中提供的车辆信息安全威胁评估装置、介质及电子设备可执行本申请任意实施例所提供的车辆信息安全威胁评估方法，具备执行该方法相应的功能模块和有益效果。未在上述实施例中详尽描述的技术细节，可参见本申请任意实施例所提供的车辆信息安全威胁评估方法。

注意，上述仅为本申请的较佳实施例及所运用技术原理。本领域技术人员会理解，本申请不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本申请的保护范围。因此，虽然通过以上实施例对本申请进行了较为详细的说明，但是本申请不仅仅限于以上实施例，在不脱离本申请构思的情况下，还可以包括更多其他等效实施例，而本申请的范围由所附的权利要求范围决定。

Claims (10)

1.一种车辆信息安全威胁评估方法，其特征在于，包括：

根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

利用所述功能安全目标和信息安全目标确定攻击树模型；

通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁；

所述应用场景是指与故障相关的驾驶场景，所述驾驶场景包括公路类型、路面情况、车辆状态、环境条件、交通状况以及人员情况；

所述相关项定义是指系统功能的详细描述，以及系统与驱动程序的初步架构、依赖关系和交互，系统如何与环境和车辆级别的其他项交互的描述，所有涉及的功能和子功能的详细信息、系统的范围和边界，以及范围中包含的任何输入或输出组件的描述；

其中，所述根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标，包括：

从车辆端获取所述车辆的相关项定义和应用场景，确定相关项的功能和非功能性的要求，以及相关项和环境之间的依赖性；相关项的边界、接口以及提出相关项与其他要素或者其他相关项之间的交互；并结合所述车辆具体的应用场景，确定所述车辆各个系统的功能安全目标和信息安全目标。

2.根据权利要求1所述的方法，其特征在于，根据车辆的相关项定义和应用场景确定功能安全目标，包括：

通过所述相关项定义和应用场景确定整车级别及系统级别危险；

对各整车级别及系统级别危险进行评估，得到功能安全目标。

3.根据权利要求2所述的方法，其特征在于，对各整车级别及系统级别危险进行评估，得到功能安全目标，包括：

利用危险程度、暴露程度和可控程度对各整车级别及系统级别危险进行评估，得到功能安全目标。

4.根据权利要求1所述的方法，其特征在于，根据车辆的相关项定义和应用场景确定信息安全目标，包括：

通过所述相关项定义和应用场景确定系统评价目标；

利用预设信息安全原则对系统评价目标进行评估，得到信息安全目标。

5.根据权利要求4所述的方法，其特征在于，通过所述相关项定义和应用场景确定系统评价目标，包括：

通过所述相关项定义和应用场景确定系统模型、用例模型和系统范围；

根据所述系统模型、用例模型和系统范围以及预设条件，确定系统评价目标。

6.根据权利要求4所述的方法，其特征在于，利用预设信息安全原则对系统评价目标进行评估，得到信息安全目标，包括：

利用预设信息安全原则，确定信息安全攻击模型；

基于所述信息安全攻击模型对系统评价目标进行评估，得到信息安全目标。

7.根据权利要求1所述的方法，其特征在于，所述攻击方法包括时间、专业经验、知识信息、访问机会以及所需设备；

相应的，通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁，包括：

基于时间、专业经验、知识信息、访问机会以及所需设备对所述攻击树模型进行攻击，得到车辆信息安全威胁。

8.一种车辆信息安全威胁评估装置，其特征在于，包括：

目标确定模块，用于根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标；其中，所述相关项定义是由车辆中的至少一个系统组成的，能够实现或部分实现整车的功能；

攻击树模型确定模块，用于利用所述功能安全目标和信息安全目标确定攻击树模型；

车辆信息安全威胁得到模块，用于通过攻击方法对所述攻击树模型进行攻击，得到车辆信息安全威胁；

所述应用场景是指与故障相关的驾驶场景，所述驾驶场景包括公路类型、路面情况、车辆状态、环境条件、交通状况以及人员情况；

所述相关项定义是指系统功能的详细描述，以及系统与驱动程序的初步架构、依赖关系和交互，系统如何与环境和车辆级别的其他项交互的描述，所有涉及的功能和子功能的详细信息、系统的范围和边界，以及范围中包含的任何输入或输出组件的描述；

其中，所述根据车辆的相关项定义和应用场景确定功能安全目标和信息安全目标，包括：

从车辆端获取所述车辆的相关项定义和应用场景，确定相关项的功能和非功能性的要求，以及相关项和环境之间的依赖性；相关项的边界、接口以及提出相关项与其他要素或者其他相关项之间的交互；并结合所述车辆具体的应用场景，确定所述车辆各个系统的功能安全目标和信息安全目标。

9.一种计算机可读介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一项所述的车辆信息安全威胁评估方法。

10.一种电子设备，包括存储器，处理器及存储在存储器上并可在处理器运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-7中任一项所述的车辆信息安全威胁评估方法。

Images