上海市控制安全信息安全宣元实验室提出了一种基于零日漏洞的自动驾驶预期功能安全危害和风险评估方法。该方法涉及自动驾驶技术和先进的驾驶辅助技术安全性领域。它借鉴了零日漏洞的分析和评估方法，为自动驾驶预期的功能安全危害和风险评估提供了参考。 1.背景随着用于自动驾驶技术的高级驾驶员辅助系统的发展，道路车辆的安全要求变得越来越全面和具体。除了信息安全性和功能安全性之外，道路车辆可接受的安全级别还应满足预期的功能安全性。 ISO21448标准将预期功能安全性（SOTIF）定义为不存在因预期功能不足或人为合理且可预见的误用引起的危害而引起的不合理风险。道路车辆主要由三层组成：感知，思考和行动。就外部环境影响而言，存在诸如极端或特定天气条件影响传感器以及某些设备干扰传感器的风险。就内部系统的局限性而言，执行系统的局限性处于危险之中。就人为因素而言，在车辆驾驶过程中会出现驾驶员操作失误，或者当车辆在自动驾驶过程中发生失误时，驾驶员和乘员无所作为。这些都是可能威胁道路车辆预期功能安全的原因。这些因素可以被认为是触发事件，威胁着道路车辆的预期功能安全。该方法提出了一种基于零日漏洞的自动驾驶仪预期功能安全风险评估方法。基于零日漏洞安全评估方法，建立了预期功能安全系统的零日漏洞模型，并以风险图的形式表示该模型。 2.模型1.简单模型此方法对场景进行整体建模，并在建模过程中将其分为多个场景，场景之间的转换是触发事件。每个节点都是一个场景，每个连接线都是一个触发事件。蓝色路径被认为是实际造成伤害的风险路径。 2.详细模型在详细模型中，我们以三元组的形式表示触发事件，即触发事件t，源场景sc1和目标场景sc2。 g1表示场景sc1的功能，并且是作用在sc1上的触发事件的前提c_pre。 v1是执行场景sc1后的输出值，并且是作用于sc1的触发事件的后置条件c_post。不同的触发事件可以以“序列”形式存在。关系，即“或”关系，或“与”关系。 3.风险评估过程提议的方法基于零日漏洞，基于自动驾驶的预期功能安全性。风险评估方法具体包括以下五个步骤：步骤1：分析预期的功能安全系统并创建风险图基于针对特定场景S的零日漏洞的攻击图对HG进行建模;步骤2：根据风险图模型HG依次查找绘制所有方案sc0，sc1，...，scn的风险路径。仅在可及性验证之后，风险路径才被认为是有效的。风险路径依次由一系列已知和未知触发事件组成；生成的风险路径步骤3：分别计算已知触发事件的安全值SK与未知触发事件的安全值SUK不同，使用不同的算法来计算已知触发事件和未知触发事件的安全值。将定性安全问题转换为定量安全值，以实现对预期功能安全评估的量化;步骤4：基于动态权重法，计算预期功能安全系统的安全值svs，以实现预期功能安全系统的整体安全评估。步骤5：基于在步骤4中获得的预期功能安全系统的安全值svs，对预期功能安全性进行动态调整系统架构，并重新评估调整后的预期功能安全系统，直到获得已知的触发事件安全性值为止SK，未知触发事件安全值SUK和预期功能安全系统安全值svs均小于相应设置的相应阈值，即均满足设置的安全要求。 4.结论该方法提出了一种基于零日漏洞的自动驾驶预期功能安全危害和风险评估方法，该方法可以量化已知触发事件和未知触发事件来确定情况