CN117644880B - 一种面向智能网联汽车的融合安全防护系统及控制方法 - Google Patents

Abstract

本发明涉及一种面向智能网联汽车的融合安全防护系统及控制方法，属于智能网联车辆的安全防护技术，解决了现有技术中对安全防护缺少独立系统的问题。本发明包括车端的监测模块、评估模块、防护模块和云端协同云平台。监测模块融合视听触多维感知技术，监测全域状态的安全风险；评估模块识别风险触发源并量化融合安全风险；防护模块生成融合安全多重防护策略，实施纵深、自适应的融合安全防护；云端协同云平台实时接收来自车端的全局安全风险信息和量化评估结果，判别融合安全量化评估与安全预警阈值，同时对安全危险事件致因溯源分析，求解优化安全措施，并对车端适时更新。当出现危险情况超出车端系统防护能力时，云端防护措施能够介入车辆控制。

Description

一种面向智能网联汽车的融合安全防护系统及控制方法

技术领域

本发明属于智能网联车辆的安全防护技术，特别涉及一种面向智能网联汽车的融合安全防护系统及控制方法。

背景技术

随着汽车智能化与网联化的飞速发展，自动驾驶技术显然成为了未来汽车发展的关键方向，而其中的核心问题便是安全性，安全直接影响自动驾驶的普及。智能网联车辆的自动驾驶系统功能复杂，智能化程度高，安全问题也再不限于传统车辆的被动安全与主动安全，自动驾驶安全面临着新挑战，如系统性能不足导致的安全问题、通过网络攻击操控车辆导致的安全问题等。智能网联汽车的自动驾驶系统涉及感知、规划、控制和车联网通信等多个子系统，每个子系统都有自己的首要功能，但是现有的安全设计未充分考虑整个系统的综合安全防护，即缺乏一个专门致力于系统安全问题的子系统，应对系统的综合安全风险并进行安全响应。

目前的自动驾驶关于安全的考虑通常会包含在路径规划子系统中，通过设置约束条件和成本函数对自动驾驶路径进行求解，从而输出一条安全的规划路径，但路径规划中除了安全之外还要考虑很多其他因素，比如遵守交通法规、车辆通过效率、驾乘人员舒适度等多方面因素。因此，路径规划的方法通常非常复杂，需要在多个因素之间进行权衡和决策，并不是对安全直接监护，从而导致对自动驾驶车辆的驾驶带来很大的潜在不确定性，对安全造成威胁。除了车辆来自自身系统的安全问题之外，随着车辆互联化水平的提高，通过网络攻击操控车辆的现象也屡见不鲜。基于当前的技术，自动驾驶系统一旦被操控，就成为了一个黑盒，难以通过任何外界手段直接终止车辆的危险行为，因此，缺少一种通过远程直接进行干预的技术手段来应对这种危险情况。同时随着智能车辆系统复杂性的提高，呈现出功能安全、预期功能安全、网络安全相互作用的趋势。但目前的自动驾驶安全防护系统及控制方法的研究，如：公告号为CN112389455B的专利和公开号为CN114715177A的专利申请，多为孤立地分析每种类型的安全风险，缺少系统性考虑，且针对多种安全风险并发的情况缺少有效的综合防护手段。

发明内容

鉴于上述问题，本发明提供了一种面向智能网联汽车的融合安全防护系统及控制方法，解决了以应对现有技术中的路径规划过程复杂、安全性低、车辆被恶意操控时无法及时干预的问题。

本发明一方面，提供了一种面向智能网联汽车的融合安全防护系统，包括设置于车端的监测模块、评估模块、防护模块和云端协同云平台；

监测模块用于采集监测信息；根据采集监测信息获得实时全局安全风险信息数据流；

评估模块包括功能失效安全分析子模块、性能降级安全分析子模块、网络攻击安全分析子模块和行车状态安全分析子模块；用于识别安全问题触发源，对安全事件触发条件进行分析，获得实时功能失效安全风险、系统性能降级安全风险、网络攻击安全风险、行车安全风险、车辆融合安全风险和车辆安全风险应对能力；通过功能失效安全风险、系统性能降级安全风险、网络攻击安全风险、行车安全风险和车辆融合安全风险获得实时车辆融合安全风险数据流；

防护模块，包括融合安全策略空间子模块、策略决策子模块和策略实施子模块；用于针对功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险的防护需求，生成融合安全多重防护策略并实施防护；

其中，融合安全策略空间子模块包括安全策略空间；融合安全策略空间是指多层次的安全防护策略集合。安全防护策略集合为策略决策子模块提供制定安全策略的数据库。

策略决策子模块根据评估模块获得的功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险对应的防护需求，在融合安全策略空间上映射为约束条件，进而求解融合安全多重防护策略组合；

策略实施子模块根据融合安全多重防护策略组合调用控制下层执行器实施防护；

云端协同云平台，通过实时全局安全风险信息数据流和实时车辆融合安全风险数据流构成的实时状态数据流与车端保持状态同步，当智能网联汽车的安全危险风险超过设定阈值时，向监管后台预警，触发监管关注机制，并根据评估模块实时反馈的车辆安全风险应对能力判定安全危险风险的可控程度，若超过车端可控能力范围，通过云端协同云平台远程介入降低安全风险；同时利用云端协同云平台的大数据储存分析子模块，对关键安全事件场景提取重要特征，并对安全危险事件进行溯源分析，识别安全危险事件引发原因；通过大数据储存分析子模块分析关键场景，获得更优融合安全策略及措施；使用更优安全措施作为车端更新的安全防护策略和措施对自动驾驶车进行控制。

可选地，监测模块根据采集监测信息从场的不安全条件、车的不安全状态和人的不安全行为融合视觉、听觉和触觉的多维信息，进行场的状态监测、车的状态监测和人的状态监测的全局安全风险检测，获得实时全局安全风险信息数据流。

可选地，功能失效安全分析子模块对监测模块输出的实时全局安全风险信息数据流进行子系统失效形式与子系统功能失效影响分析获得功能失效安全风险。

可选地，性能降级安全分析子模块包括ODD偏离度综合分析模块、人员误操作影响分析模块和系统输出置信度分析模块。

可选地，网络攻击安全分析子模块包括攻击形式分析模块、攻击部位分析模块和攻击危害分析模块。

可选地，行车状态安全分析子模块包括交通参与者违规风险分析模块和自车驾驶事故风险分析模块。

可选地，车的状态监测用于对车辆基础控制系统的功能失效进行监测；车辆基础控制系统的功能失效监测包括转向控制系统监测、刹车控制系统监测、动力系统检测和能源管理系统监测。

本发明的另一方面，提供了一种面向智能网联汽车的融合安全防护控制方法，体步骤如下：

步骤1、监测模块采集监测信息；

步骤2、将监测信息进行融合；获得视觉、听觉和触觉的多维信息；获得系统全局状态空间；

步骤3、由系统全局状态空间获得实时全局安全风险信息数据流；并实时同步至云端协同云平台；

步骤4、根据实时全局安全风险信息数据流，评估模块识别安全问题触发源，分析安全问题触发条件，从功能失效安全分析、性能降级安全分析、网络攻击安全分析和行车状态安全分析获得实时功能失效安全风险、系统性能降级安全风险、网络攻击安全风险、行车安全风险和车辆安全风险应对能力；基于车辆安全风险应对能力更新行车安全风险，获得车辆融合安全风险的量化评估结果；将量化评估结果传输至防护模块并实时同步至云端协同云平台；

车辆安全风险应对能力的表达式为：

其中，表示车辆风险应对能力；G表示风险能力状态传递函数；/>表示功能失效安全风险评估值；/>表示系统性能降级安全风险值；/>表示网络攻击安全风险评估值；

基于车辆风险应对能力更新行车安全风险，获得车辆融合安全风险的量化评估结果，表达式为：

其中，表示车辆融合安全风险评估值；/>表示行车安全风险；

步骤5、针对功能失效安全风险、性能降级安全风险、网络攻击安全风险和行车安全风险的多重防护需求，构建安全策略空间；根据量化评估结果，在安全策略空间中获得融合安全多重防护策略组合；对融合安全多重防护策略组合进行求解获得最终融合安全多重防护策略并实施最终融合安全多重防护策略；

步骤6、云端协同云平台将实时接收的全局安全风险信息数据流和量化评估结果进行融合，获得智能网联汽车的安全危险风险；将智能网联汽车的安全危险风险与安全预警阈值进行判别获得安全预警情况，并根据安全预警情况决定云端协同云平台是否远程介入车端控制；

步骤7、云端协同云平台根据安全预警情况，对关键安全场景进行特征提取；基于关键安全场景的特征进行安全事件引发原因分析，寻找更优安全措施；

步骤8、使用更优安全措施作为车端更新的安全防护策略和措施对自动驾驶车进行控制。

与现有技术相比，本发明至少具有现如下有益效果：

（1）本发明的监测模块，融合视听触多维感知技术，提取场-车-人安全交互信息，监测全域状态的安全风险，包括场的不安全条件，车的不安全状态，人的不安全行为。车辆、环境与人员的全部状态会实时同步至云端协同平台。

（2）本发明根据监测模块的安全风险信息，车端主体部分的评估模块识别安全问题触发源，进一步分析安全问题触发条件，从4个维度综合分析多重安全风险，并结合系统实时的应对能力水平，综合量化评估当前的融合安全状态。车辆的融合安全状态会实时同步至云端协同平台。

（3）本发明根据评估模块的量化评估结果，车端主体部分的防护模块针对多重防护需求，生成融合安全多重防护策略，实施纵深、自适应的融合安全防护。

（4）本发明的云端的协同部分实时接受来自车端的全域状态信息和量化评估结果，将融合安全量化评估与安全预警阈值进行判别，若超过阈值，则进行安全预警，触发后台监管关注机制，若车端的防护应对能力不足，则要进行远程介入防护；云端协同平台根据预警情况，对关键安全场景进行特征提取并记录，利用大模型技术，对安全事件致因溯源分析，确定最优安全措施。当出现危险情况时，能够及时干预车辆的驾驶行为，提高了自动驾驶的安全性。

附图说明

附图仅用于示出具体实施例的目的，而并不认为是对本发明的限制。

图1为本发明的融合安全防护系统的示意图；

图2为本发明的融合安全防护控制方法的流程图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本发明的实施例及实施例中的特征可以相互组合。另外，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

本发明的一个具体实施例，如图1-图2，公开了一种面向智能网联汽车的融合安全防护系统，包括设置于车端的监测模块、评估模块、防护模块和云端协同云平台；

监测模块利用车载摄像头、激光雷达、毫米波雷达、道路最大附着力传感器、车载T-box、驾驶室内摄像头、驾驶室麦克风、方向盘心率检测传感器、车载诊断系统（OBD）、以太网分析仪、车载网关和电池管理监测系统采集监测信息（即场、车和人全域信息）；根据采集监测信息从场的不安全条件、车的不安全状态和人的不安全行为的三个维度，融合视觉、听觉和触觉的多维信息，进行场的状态监测、车的状态监测和人的状态监测的全局安全风险检测（即监测全局安全风险信息），实现智能网联车辆的全局风险感知。

其中，场的状态监测包括自然环境感知、行车安全状态感知和虚拟网络场感知。自然环境感知包括降雨量、降雪量、光照强度和可见度等；行车安全状态感知包括自车行驶状态、交通参与对象状态和路面触觉等；虚拟网络场的感知包括卫星互联网、车云网络和V2X通信监测等。

车的状态监测，使用车载诊断系统采集车辆各子系统功能及通信状态，对车辆基础控制系统的功能失效进行监测；使用以太网分析仪采集车辆自动驾驶系统的感知、规划和控制系统间信息，对车辆自动驾驶系统性能表现进行监测；使用车载网关采集车辆各子系统间通讯情况，对车载网络安全状态进行监测。

具体地，车辆基础控制系统的功能失效监测包括转向控制系统监测、刹车控制系统监测、动力系统检测和电池（能源）管理系统监测等；对车辆自动驾驶系统性能表现监测包括感知系统性能监测、规划决策性能监测和自动驾驶控制性能监测等；对车载网络安全状态监测包括漏洞扫描监测、入侵监测和安全日志监控监测等。

人的状态监测包括驾驶员状态感知、驾驶员意图识别分析、驾驶员误操作预测和乘客状态感知；驾驶员状态感知包括驾驶员的专注力、心理状态和生理状态等；乘客状态感知包括是否存在干扰驾驶潜在行为等。

进一步地，监测模块基于采集的监测信息，建立系统全局状态空间（即：场-车-人系统状态空间），表达式为：

；

其中：表示场的状态子空间；/>表示自车的状态子空间；/>表示驾乘人员的状态子空间。

进一步地，场的状态子空间的表达式为：

；

其中，表示降水量；/>表示降水类型；/>表示温度；/>表示光线亮度；/>表示可见度；/>表示交通参与者的状态子空间；/>表示车辆与外部网络通讯的状态子空间；

具体地，交通参与者的状态子空间的表达式为：

；

其中，表示交通参与者的类型；/>表示交通参与者的行驶速度；/>表示交通参与者的加速度；/>表示交通参与者的行驶方向；/>表示交通参与者的位置信息。

车辆与外部网络通讯的状态子空间的表达式为：

；

其中，表示网络流量；/>表示网络访问的部位和类型。

进一步地，自车的状态子空间的表达式为：

；

其中，表示自车的物理子状态空间；/>表示从车载自诊断系统读取的故障码信息；/>为车内网络状态子空间；/>表示性能表现状态空间；

进一步地，，/>表示自车的行驶速度，/>表示自车的加速度，表示自车的行驶方向，/>表示自车的位置，/>表示通过轮胎感知到的地面最大附着力；

进一步地，，/>表示车内CAN网络通讯状态，/>为车内LIN网络通讯状态，/>表示车内以太网通讯状态。

驾乘人员的状态子空间的表达式为：

；

其中，表示驾驶员的状态子空间；/>表示乘员的对干扰驾驶员驾驶行为的评估分数。

进一步地，，/>表示驾驶员专注力的评估分数，/>表示驾驶员心理状态（焦虑、紧张、平静），/>驾驶员的生理状态。

通过系统全局状态空间获得实时全局安全风险信息数据流。

可选地，车载摄像头用于自然环境感知；同时车载摄像头与激光雷达和毫米波雷达共同用于感知车辆的交通参与者的状态；道路最大附着力传感器设置于车辆的轮胎上，通过轮胎测量道路最大附着力和反馈道路类型；通过监测车载T-box接收到的信息监测车联网的威胁攻击。

优选地，车载摄像头为360⁰摄像头，激光雷达为128线固态激光雷达，毫米波雷达为调频连续波雷达。

可选地，驾驶室内摄像头设置多个；驾驶室内摄像头一用于探测驾驶员的面部特征和头部姿态，以及检测眼睛是否闭合，对驾驶员的专注力进行评估打分，驾驶室内摄像头二与驾驶室麦克风共同识别驾驶员意图与乘客干扰驾驶的潜在行为；

可选地，方向盘心率检测传感器用于监测驾驶员的生理状态（心率是否有病理性异常）及心理状态（心跳快慢反应情绪状态）。

优选地，驾驶室内摄像头二位于车内中央为360^o摄像头，设置于车内中央。

以上提到的监测硬件设备可以是自车原装设备，监测模块拥有信息获取权限，也可以是本防护系统增添的专用硬件设备。

举例来说，监测模块对场的监测，包括通过车载摄像头采感知环境的可见度，车载摄像头、激光雷达、毫米波雷达，识别车辆周围交通参与者的类型（如行人、车辆、路障等）、位置信息、速度信息、加速度、行进方向等，通过摄像头获得交通标识上的限速信息，轮胎上的道路最大附着力传感器反馈路面附着情况与具体的路面类型；对车的监测通过车载OBD读取故障码信息，分析故障码内容，如C0040 - 右前刹车传感器故障，识别出现的故障类型并监测刹车系统是否运行正常，通过T-BOX监测出入车辆的网络流量是否出现突然剧增，以监测网络攻击；对人的监测包括通过车载摄像头采集的图像和视频数据，进行眼动分析、头部姿态分析，确定驾驶员的疲劳状态和注意力集中情况，以确定驾驶接管水平；通过方向盘心率检测获取驾驶员心率快、慢信息，来确定驾驶员是否焦虑、紧张等心理状态和是否生病等生理状态。

评估模块，包括功能失效安全分析子模块、性能降级安全分析子模块、网络攻击安全分析子模块和行车状态安全分析子模块；用于识别安全问题触发源，对安全事件触发条件进行分析，推演安全风险的具体影响，获得功能失效安全风险、系统性能降级安全风险、网络攻击安全风险、行车安全风险、车辆融合安全风险和车辆安全风险应对能力。

其中，功能失效安全分析子模块采用失效模式及效应分析模型（FEMA），对监测模块输出的故障码信息进行子系统失效形式与子系统功能失效影响分析获得功能失效安全风险，表达式为：

其中，表示功能失效安全风险评估值；/>表示功能失效类型，表示根据对应失效类型分析的失效影响分析。

进一步地，，/>表示第n种功能失效类型对于子系统安全造成影响的严重程度，/>表示第n种功能失效类型对应的发生概率。

性能降级安全分析子模块用于分析由于车辆系统预期功能安全相关的安全风险；包括ODD偏离度综合分析模块、人员误操作影响分析模块和系统输出置信度分析模块等。

ODD的偏离度综合分析模块基于设计运行域状态分布，通过计算实际场状态的信息熵进行评评估，ODD偏离度的表达式为：

其中，表示基于设计运行域状态分布，为目前实际状态的似然度。

人员误操作影响分析模块基于TensorFlow深度学习框架，预测驾驶员行为，赋予发生概率，并结合事件树分析不同误操作行为造成的子系统影响，获得人员误操作发生的安全风险，表达式为：

表示根据人员状态计算的误操作发生的安全风险值。

系统输出置信度分析模块，采集车内网络状态子空间，分析感知、规划、控制系统间的数据的置信度，表达式为：

其中，表示数据的置信度值。

由ODD偏离度综合分析模块、人员误操作影响分析模块和系统输出置信度分析模块获得系统性能降级安全风险，表达式为：

其中，表示系统性能降级安全风险值。

网络攻击安全分析子模块用于分析车辆因受到外部网络攻击威胁引起的安全风险；包括攻击形式分析模块、攻击部位分析模块和攻击危害分析模块等。

建立网络攻击威胁分析模型TARA，通过分析流量数据与访问类型，确认攻击部位，分析攻击危害对子系统造成的影响，获得网络攻击安全风险，表达式为：

其中，表示网络攻击安全风险评估值；/>表示网络攻击类型；表示根据对应攻击类型分析的攻击威胁影响分析；/>表示受到第i种网络攻击类型时对于子系统安全造成影响的严重程度；/>表示第i种网络攻击类型对应的攻击威胁可行性。

进一步地，行车状态安全分析子模块用于评估车辆行驶过程中的行车安全风险；包括交通参与者违规风险分析模块和自车驾驶事故风险分析模块等。

其中，交通参与者违规风险分析模块用于获得交通参与者违规风险值，表达式为：

其中，表示交通参与者违规风险值；/>表示交通参与者的状态子空间；表示形式化的交通法规。

自车驾驶事故风险分析模块用于获得驾驶碰撞安全风险值（即驾驶碰撞安全风险），表达式为：

其中，表示驾驶碰撞安全风险值；/>为交通参与者的状态子空间；/>表示形式化的交通法规。

行车安全风险的表达式为：

其中，表示行车安全风险值；/>表示行车安全风险值评估的调节系数，越大表示安全评估值越激进。

4维安全风险分析举例来说，评估模块通过读取车载OBD数据是否有刹车系统的故障码，来判断车辆的刹车系统是否处于正常运行状态，并且要通过故障码类型来分析对车辆安全风险造成的影响，如读取到刹车开关信号电压过低，可能导致刹车灯无法正常工作，此时虽然刹车系统有故障，但并不影响汽车制动的安全功能，安全风险较小，但是如果读取到制动压力不足的故障，可能导致制动功能失效，在巨大的安全风险。（功能失效安全分析）评估模块根据监测模块感知到天气类型为暴雨天气，此时可见度下降，评估模块就要对自动驾驶系统的感知模块性能下降进行评估，具体方式可以通过分析当前的环境条件与感知系统标定的运行设计域（ODD）的偏离程度进行评估，并根据偏离程度分析此时自动驾驶系统的感知信息的置信度（性能降级评估）。评估模块根据车辆周围交通参与者的状态信息，一方面通过判断其是否违反交通规则，来评估对自车造成的安全风险，另一方面对周围交通参与者的行为进行预测，在一定的预测时间窗内（比如：3秒）生成预测轨迹，检查与自车未来轨迹冲突情况，计算两个预计碰撞时间作为安全风险评估的依据（行车状态安全分析）。评估模块根据监测模块的反馈，侦测到网络攻击了车载娱乐系统，导致无法正常播放音乐，此时安全风险较小，但如果攻击了车辆通信网络，导致了CAN数据过载，ABS功能无法正常工作，此时安全风险大且严重程度高。（网络攻击安全分析）根据不同维度的安全风险形式与安全风险影响分别进行量化打分，输出4个维度的安全风险评估指标。

评估模块融合安全分析车辆物理结构及物理结构之间的相互作用，构建风险传输路径，建立整车级安全虚拟（Cyber）模型，获得风险能力状态传递函数G，用于分析和预测车辆内部系统中不同安全风险的传播和相互影响，获得车辆风险应对能力水平，表达式为：

其中，代表车辆风险应对能力。

车辆风险应对能力水平分析举例来说遇到由于未知场景造成的安全风险的时候原车辆的自动驾驶系统的性能是否可以支持执行既定的安全回退策略，安全回退策略依赖的执行机构比如转向机是否能够正常工作，避免事故发生。

基于车辆的风险应对能力更新行车安全风险/>，获得车辆融合安全风险，表达式为：

其中，表示车辆融合安全风险评估值。

本发明的评估模块首先对4个维度的安全风险（功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险）进行分别分析获得4维安全风险评估结果，之后融合安全分析根据多重安全并发风险，结合车端系统的安全风险应对能力水平，量化评估获得车辆融合安全风险。

通过4维安全风险评估结果与车辆融合安全风险评估值获得实时车辆融合安全风险数据流。

实时全局安全风险信息数据流和实时车辆融合安全风险数据流组成实时状态数据流。

融合安全风险评估在不同类型安全风险量化分析的指标的基础上，分析指标内在关联联系，举例来说，在大雪天气中，自然环境条件偏离了自动驾驶系统的感知子系统ODD，感知系统性能下降，系统尝试寻求降级使用，如果此时驾驶室内对驾驶人的感知结果判断为注意力集中、身体指标正常，具备随时接管能力，那么此时的安全风险仅存在自动驾驶系统中，可进行车辆操作权移交，要求驾驶员接管；但如果此时驾驶员注意力分散，需要较长的反应时间接管，那么融合安全风险就要基于以性能降级安全风险（基于人的不安全状态进行评估）为条件，对预估的行车安全风险（建立在其他三种安全风险为零）更新为后验安全风险，即车辆融合安全评估（考虑了性能降级安全风险）。

防护模块，包括融合安全策略空间子模块、策略决策子模块和策略实施子模块。用于针对功能失效安全风险、性能降级安全风险、网络攻击安全风险和行车安全风险的等多重防护需求，设计定义安全策略空间，涵盖包括纵深防御、从被动到自适应防护的所有可采取的安全多重防护策略并实施防护。

进一步地，融合安全策略空间子模块的安全策略空间的表达式为：

其中，SP表示安全策略空间，表示第m种安全防护策略或决策选项，比如自适应网络隔离、自动驾驶系统紧急停车、危险行为规避管控、危险场景紧急避险等安全防护策略。

策略决策子模块根据评估模块输出的融合安全风险评估结果，在安全策略空间上决策一个或一系列有效策略形成融合安全多重防护策略组合，以实现全面、多层次的安全防护。

进一步地，防护模块的策略决策子模块为生成式预训练获得的最终的融合安全策略决策模型（如GPT模型），用于在融合安全策略空间上创建融合安全多重防护策略组合。该模型以融合安全评估结果作为代价函数，将来自评估模块的4维安全风险评估结果，语义化成详细的场景安全风险描述文本序列；模型根据输入场景安全风险描述文本序列自主生成适用的防护策略文本，这些防护策略文本描述了如何应对特定的安全威胁和风险情境。同时该模型支持输出安全策略推理逻辑链，提高了初始安全策略决策模型的解释性。

进一步地，在初始安全策略决策模型的训练过程中，会结合极端场景下，专家经验模型的反馈决策对模型输出的原始策略进行修正，以提升初始安全策略决策模型的性能，获得最终的融合安全策略决策模型，表达式为：

其中，表示融合安全多重防护策略组合，/>，R表示思维链推理和决策过程的语言描述，T表示将安全风险评估结果语义化场景安全风险文本序列。

最后，策略实施子模块根据策略决策子模块的融合安全防护策略组合调用控制下层执行器实现融合安全防护策略落地，执行具体的操作，达成融合安全防护效果。

举例来说，当车辆处于自动驾驶模式并遇到浓雾天气时，感知系统性能受限，车辆的刹车系统ECU由于网络攻击受到大量无效请求的注入，从而导致刹车系统无法接收到正确的控制信号，刹车功能失效，同时驾驶员的状态被检测为注意力分散。防护模块从评估模块得到一个极高的安全综合量化评估风险值，防护模块被激活。从评估模块获得的当前各方面的安全风险评估结果可以得知，此时防护模块需要应对三种类型的安全防护需求：一是自动驾驶系统性能不足，需要人类驾驶员介入接管；二是人类驾驶员分散了注意力，丧失了接管能力；三是车辆刹车系统由于网络攻击受到干扰，无法正确执行控制指令。防护模块结合上述提到的三维的安全风险评估结果，生成风险场景文本序列，输入GPT模型，在安全决策空间上，决策生成融合安全防护策略组合。例如：根据人车控制权防护移交机制，对驾驶人员进行接管请求，利用网络隔离数据，隔断刹车系统的无效请求来源，恢复正常功能，根据目前行车安全风险评估结果，在进行接管请求后，若驾驶员不具备处理当前危险情况的能力或者情况异常紧急不容得进行控制权交接，本发明的安全防护系统直接介入，操作车辆进行紧急场景下的避险或者靠边安全停车。

云端协同云平台，通过实时上传监测模块与评估模块的数据流与车端保持状态同步，包括车辆状态空间数据与车辆4维安全评估结果及融合安全评估值，当智能网联汽车的安全危险风险超过设定阈值时，向监管后台预警，触发监管关注机制，并根据车端评估模块实时反馈的风险应对能力（）判定安全危险风险的可控程度，如果超过车端防控能力范围，则通过远程介入的方式实施远程防护；同时利用云平台的大数据储存分析子模块，对关键安全事件场景提取重要特征，包括道路拓扑信息、基础设施、交通对象、驾驶员行为状态、环境信息与网络通信信息，进行记录保存，并对安全事件进行溯源分析，识别安全事件引发原因和/或推导安全危险事件时间线，最后通过大数据储存分析子模块分析，寻找更优融合安全策略及措施，更新优化车端安全策略空间及GPT模型，提升安全防护系统的综合防护水平。

云端的远程介入防护举例来说，当车载的安全防护系统全部失效时，执法人员可以通过云端利用车辆系统设计预留的“合法访问”加密接口，对车辆外部对车辆行为进行干预，即刻停止车辆危险行为，或者操作车辆驶离当前危险区域。

本发明的另一个具体实施例，公开一种面向智能网联汽车的融合安全防护控制方法，使用前述面向智能网联汽车的融合安全防护系统，具体步骤如下：

步骤1、监测模块通过摄像头、激光雷达、毫米波雷达、道路最大附着力传感器采集物理环境场信息；通过车载T-Box监测虚拟信息场的网络威胁攻击；通过车载诊断系统（OBD）、车辆以太网分析仪、车载网关采集的车辆状态信息监测车辆各系统运行状态；通过采集驾驶室内摄像头、驾驶室麦克风、方向盘心率检测传感器的信息监测车内驾乘人员状态；获得监测信息（场、车和人全域信息）。

优选地，物理环境场信息包括自然环境状态、交通参与者态势和交通标识信息。

步骤2、将监测信息进行融合，获得视觉、听觉和触觉的多维信息，获得系统全局状态空间，表达式为：

。

步骤3、由系统全局状态空间获得全局安全风险信息，并实时同步至云端协同云平台。

步骤4、根据监测模块的全局安全风险信息，评估模块识别安全问题触发源，分析安全问题触发条件，推演安全风险的具体影响，从功能失效安全分析、性能降级安全分析、网络攻击安全分析和行车状态安全分析的4个维度综合分析多重安全风险（、、/>、/>）。

使用评估模块融合安全分析车辆物理结构及物理结构之间的相互作用，构建风险传输路径，建立整车级安全虚拟（Cyber）模型，获得风险能力状态传递函数G，用于分析和预测车辆内部系统中不同安全风险的传播和相互影响，获得车辆风险应对能力水平，表达式为：

其中，表示车辆风险应对能力；G表示风险能力状态传递函数；/>表示功能失效安全风险评估值；/>表示系统性能降级安全风险值；/>表示网络攻击安全风险评估值；

基于车辆的风险应对能力更新行车安全风险/>，获得车辆融合安全风险的量化评估结果，表达式为：

其中，表示车辆融合安全风险评估值（即量化评估结果）；/>表示行车安全风险；融合安全评估值与4维安全评估值共同组成车辆融合安全风险数据流。

步骤5、针对功能失效安全风险、性能降级安全风险、网络攻击安全风险和行车安全风险的多重防护需求，构建安全策略空间；根据量化评估结果，在安全策略空间中获得融合安全多重防护策略组合；对融合安全多重防护策略组合进行求解获得最终融合安全多重防护策略并防护模块实施最终融合安全多重防护策略；

步骤6、云端协同云平台将实时接收的全局安全风险信息数据流和量化评估结果进行融合，获得智能网联汽车的安全危险风险；将智能网联汽车的安全危险风险与安全预警阈值进行判别获得安全预警情况，并根据安全预警情况决定云端协同云平台是否远程介入车端控制；

步骤7、云端协同云平台根据安全预警情况，对关键安全场景进行特征提取；基于关键安全场景的特征进行安全事件引发原因分析，寻找更优安全措施；

步骤8、使用更优安全措施作为车端更新的安全防护策略和措施对自动驾驶车进行控制。

本发明的面向智能网联汽车的融合安全防护系统及控制方法，全面监测车辆状态，综合量化评估车辆安全风险，并根据安全风险类型和程度进行安全防护，同时通过云端技术与监管平台连接，支持远程安全介入和在线更新。系统整体包括车端的系统主体部分和云端的协同部分。车端的主体部分监测全局风险，量化评估安全状态，生成融合安全防护策略并实施。云端的协同部分一是负责向监管后台进行风险预警，并根据安全危害可控程度实施远程介入防护，另一方面记录危险场景，并通过分析安全事件致因，制定最优防护策略，更新车端防护程序。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (9)

1.一种面向智能网联汽车的融合安全防护系统，其特征在于，包括设置于车端的监测模块、评估模块、防护模块和云端协同云平台；

监测模块用于采集监测信息；根据采集监测信息获得实时全局安全风险信息数据流；

评估模块包括功能失效安全分析子模块、性能降级安全分析子模块、网络攻击安全分析子模块和行车状态安全分析子模块；用于识别安全问题触发源，对安全事件触发条件进行分析，实时分析功能失效安全风险、系统性能降级安全风险、网络攻击安全风险、行车安全风险，获取融合安全风险，将所述评估模块涉及的功能失效安全风险、系统性能降级安全风险、网络攻击安全风险、行车安全风险、融合安全风险的评估结果组成车辆融合安全风险数据流；

防护模块，包括融合安全策略空间子模块、策略决策子模块和策略实施子模块；用于针对功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险的防护需求，生成融合安全多重防护策略并实施防护；

云端协同云平台，通过实时全局安全风险信息数据流和实时车辆融合安全风险数据流构成的实时状态数据流与车端保持状态同步，当智能网联汽车的安全危险风险超过设定阈值时，向监管后台预警，触发监管关注机制，并根据评估模块实时反馈的融合安全风险判定安全危险风险的可控程度，若超过车端可控能力范围，通过云端协同云平台远程介入降低安全风险；同时利用云端协同云平台的大数据储存分析子模块，对关键安全事件场景提取重要特征，并对安全危险事件进行溯源分析，识别安全危险事件引发原因；通过大数据储存分析子模块分析关键场景，获得更优融合安全策略及措施；使用更优安全措施作为车端更新的安全防护策略和措施对自动驾驶车进行控制；

云端协同云平台将实时接收的全局安全风险信息数据流和量化评估结果进行融合，获得智能网联汽车的安全危险风险；

其中，监测模块根据采集监测信息从场的不安全条件、车的不安全状态和人的不安全行为融合视觉、听觉和触觉的多维信息，进行场的状态监测、车的状态监测和人的状态监测的全局安全风险检测，获得实时全局安全风险信息数据流；

结合功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险获得车辆融合安全风险的量化评估结果；

基于车辆风险应对能力更新行车安全风险，获得车辆融合安全风险的量化评估结果，表达式为：

其中，表示车辆融合安全风险评估值；/>表示行车安全风险；表示车辆风险应对能力；

车辆安全风险应对能力的表达式为：

其中，G表示风险能力状态传递函数；表示功能失效安全风险评估值；/>表示系统性能降级安全风险值；/>表示网络攻击安全风险评估值。

2.根据权利要求1所述的融合安全防护系统，其特征在于，所述场的状态监测包括自然环境感知、行车安全状态感知和虚拟网络场感知；

所述人的监测包括驾驶员状态感知、驾驶员意图识别分析、驾驶员误操作预测和乘客状态感知。

3.根据权利要求1所述的融合安全防护系统，其特征在于，所述车的状态监测包括车辆基础控制系统的功能失效监测、车辆自动驾驶系统性能表现监测和车载网络安全状态监测。

4.根据权利要求1所述的融合安全防护系统，其特征在于，所述功能失效安全分析子模块对监测模块输出的实时全局安全风险信息数据流进行子系统失效形式与子系统功能失效影响分析获得功能失效安全风险。

5.根据权利要求1所述的融合安全防护系统，其特征在于，所述性能降级安全分析子模块包括ODD偏离度综合分析模块、人员误操作影响分析模块和系统输出置信度分析模块。

6.根据权利要求1所述的融合安全防护系统，其特征在于，所述网络攻击安全分析子模块包括攻击形式分析模块、攻击部位分析模块和攻击危害分析模块。

7.根据权利要求1所述的融合安全防护系统，其特征在于，所述行车状态安全分析子模块包括交通参与者违规风险分析模块和自车驾驶事故风险分析模块。

8.根据权利要求1所述的融合安全防护系统，其特征在于，所述融合安全策略空间子模块包括安全策略空间；融合安全策略空间包括多个安全多重防护策略；

所述策略决策子模块根据评估模块获得的功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险对应的防护需求，在融合安全策略空间上生成融合安全多重防护策略组合；

所述策略实施子模块根据融合安全多重防护策略组合调用控制下层执行器实施防护。

9.一种面向智能网联汽车的融合安全防护控制方法，其特征在于，具体步骤如下：

步骤1、监测模块采集监测信息；

步骤2、将监测信息进行融合；获得视觉、听觉和触觉的多维信息；获得系统全局状态空间；

步骤3、由系统全局状态空间获得实时全局安全风险信息数据流；并实时同步至云端协同云平台；

步骤4、根据实时全局安全风险信息数据流，评估模块识别安全问题触发源，分析安全问题触发条件，从功能失效安全分析、性能降级安全分析、网络攻击安全分析和行车安全状态分析获得功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险；结合功能失效安全风险、系统性能降级安全风险、网络攻击安全风险和行车安全风险获得车辆融合安全风险的量化评估结果；将所述风险量化评估结果生成车辆融合安全风险数据流传输至防护模块并实时同步至云端协同云平台；

步骤5、针对功能失效安全风险、性能降级安全风险、网络攻击安全风险和行车安全风险的多重防护需求，在融合安全策略空间上映射为约束条件，对融合安全多重防护策略组合进行求解获得最终融合安全多重防护策略并实施最终融合安全多重防护策略；

步骤6、云端协同云平台实时接收全局安全风险信息数据流和车辆融合安全风险数据流，获得智能网联汽车的安全危险风险；将智能网联汽车的安全危险风险与安全预警阈值进行判别获得安全预警情况，并根据安全预警情况决定云端协同云平台是否远程介入车端控制；

步骤7、云端协同云平台根据安全预警情况，对关键安全场景进行特征提取；基于关键安全场景的特征进行安全事件引发原因分析，寻找更优安全措施；

步骤8、适时通过系统升级，将云端协同云平台优化的安全措施更新至车端防护模块的安全防护策略空间。