1 引 言

　　信息和通信技術(shù)的日新月異帶動(dòng)了智能駕駛技術(shù)的發(fā)展，以提高交通安全和效率為目標(biāo)，汽車智能化、網(wǎng)聯(lián)化已成為汽車產(chǎn)業(yè)發(fā)展的必然趨勢，不同國家和組織爭先推出相關(guān)政策和新技術(shù)。無人駕駛技術(shù)是當(dāng)今社會(huì)和前沿科學(xué)技術(shù)發(fā)展的重要方向之一，對于社會(huì)的多個(gè)領(lǐng)域諸如城市建設(shè)、交通出行、經(jīng)濟(jì)發(fā)展和國防力量有著不可估量的重要意義。

　　無人駕駛汽車通過車載傳感系統(tǒng)感知汽車行駛過程中的道路環(huán)境狀況，同時(shí)對獲取的信息進(jìn)行分析處理，自動(dòng)規(guī)劃行車路線并對車輛進(jìn)行導(dǎo)航，從而到達(dá)預(yù)定目的地。其中環(huán)境感知技術(shù)的功能如同人類的眼睛和耳朵一樣，主要由激光雷達(dá)、視覺攝像頭、毫米波雷達(dá)、全球定位系統(tǒng) (GPS) 等設(shè)備組成。該技術(shù)主要用來獲取無人駕駛汽車周圍詳細(xì)的環(huán)境信息，并為規(guī)劃與決策模塊提供豐富的數(shù)據(jù)，既包括障礙物的位置、形狀、類別及速度信息，也包括對一些特殊場景的語義理解 ( 如施工區(qū)域、交通信號燈及交通路牌等 )。無人駕駛汽車規(guī)劃與決策環(huán)節(jié)的安全性以環(huán)境感知技術(shù)的安全為前提，一旦無人車的感知系統(tǒng)受到攻擊，將會(huì)導(dǎo)致傳感器獲取的信息失真及錯(cuò)誤的識別結(jié)果，進(jìn)而規(guī)劃不正確的駕駛策略，極有可能引發(fā)車禍，造成嚴(yán)重的生命與財(cái)產(chǎn)損失。此類攻擊手段廉價(jià)、高效且隱蔽、不需要直接訪問正在使用的系統(tǒng)，因此對無人車的安全性造成巨大的威脅。例如，2019 年騰訊科恩實(shí)驗(yàn)室的研究人員以特斯拉 Model S 為對象，針對其搭載的“Autopilot”進(jìn)行了安全性研究，找到了使用物理攻擊欺騙特斯拉自動(dòng)駕駛系統(tǒng)的方法。該方法通過在道路特定位置貼上幾個(gè)貼紙，使得處在自動(dòng)駕駛模式的汽車并入反向車道。因此，具有一定防御性的環(huán)境感知系統(tǒng)對整個(gè)無人駕駛汽車的安全性和穩(wěn)定性起到了先決的作用，研究無人車感知系統(tǒng)對抗主動(dòng)攻擊的防御問題是保證其安全行駛的關(guān)鍵。

　　本文針對無人系統(tǒng)感知設(shè)備研究實(shí)時(shí)攻擊防御與高精度數(shù)據(jù)恢復(fù)方法。通過研究不同傳感器之間信息的交疊關(guān)系和語義相關(guān)性，建立信息交叉數(shù)學(xué)模型和虛假信息干擾數(shù)學(xué)模型。同時(shí)，根據(jù)信息交叉模型判斷致錯(cuò)傳感器，并采用矩陣補(bǔ)全和矩陣分解等方法對失真信息進(jìn)行高精度重構(gòu)恢復(fù)。隨著無人車產(chǎn)業(yè)的發(fā)展，無人車攻擊等安全性研究將愈發(fā)重要，因而本研究在科學(xué)研究和工程應(yīng)用上都極具現(xiàn)實(shí)意義。

　　2 無人車感知系統(tǒng)攻擊

　　圖 1 是整個(gè)車載感知系統(tǒng)的架構(gòu)。該系統(tǒng)的 3 種傳感器　( 激光雷達(dá)、相機(jī)和毫米波雷達(dá) ) 數(shù)據(jù)需進(jìn)行時(shí)間同步，將所有的時(shí)間誤差控制在毫秒級。結(jié)合傳感器數(shù)據(jù)，感知系統(tǒng)以幀為基礎(chǔ)進(jìn)行檢測、分割、分類等計(jì)算，最后利用多幀信息進(jìn)行多目標(biāo)跟蹤，將相關(guān)感知結(jié)果輸出。由于無人車行駛環(huán)境的復(fù)雜性，感知系統(tǒng)是多種傳感設(shè)備間的數(shù)據(jù)補(bǔ)充與冗余備份的功能模塊。如果沒有數(shù)據(jù)恢復(fù)的防御機(jī)制，任何一個(gè)傳感設(shè)備遭受外部攻擊都將對無人車安全行駛造成巨大的威脅。

圖 1 無人車車載感知系統(tǒng)的架構(gòu)

　　2.1 攝相機(jī)攻擊

　　攝像機(jī)作為無人車中必備的一種器件，具有目標(biāo)檢測功能， 如行人、車輛、紅綠燈，車道線、交通標(biāo)識檢測等。但在應(yīng)對道路結(jié)構(gòu)復(fù)雜、人車混雜的交通環(huán)境時(shí)，相機(jī)感知技術(shù)還存在很多不足，如存在目標(biāo)檢測困難、易受近距離攻擊等問題。而對視覺傳感器的近距離攻擊主要是通過添加有害信息使視覺檢測系統(tǒng)出錯(cuò)，進(jìn)而導(dǎo)致錯(cuò)誤的駕駛策略。

　　添加有害信息的方法一般是通過透鏡印刷的方式。透鏡圖像的特點(diǎn)是從不同角度觀察同一個(gè)交通標(biāo)志時(shí)，得到的結(jié)果不同，具體攻擊原理如圖 2 所示。此外，當(dāng)標(biāo)志牌上印刷兩種不同的交通標(biāo)志時(shí)，攝像機(jī)的角度和人眼角度觀察到的標(biāo)志信息不同，如圖 3 所示。

圖 2 透鏡圖像的生成過程及其成像特點(diǎn)

　　圖 3 攻擊示例

　　2.2 激光雷達(dá)攻擊

　　針對激光雷達(dá)的攻擊主要分為對傳感器底層感知原理的攻擊與感知算法層的攻擊。其中底層原理攻擊主要包括 3 種方式 ：激光距離欺騙攻擊、激光角度欺騙攻擊和激光致盲攻擊。激光雷達(dá)的底層感知源自激光時(shí)間飛行 (Time of Flight)原理，即激光發(fā)射器發(fā)出激光脈沖波，內(nèi)部定時(shí)器開始計(jì)算時(shí)間 t1;激光波碰到物體后部分能量返回，當(dāng)激光接收器收到返回激光波時(shí)，停止內(nèi)部定時(shí)器，此時(shí)間段記為 t2;光速表示為C。則激光雷達(dá)到物體的距離如公式 (1) 所示：

(1)

　　通過發(fā)射和接收激光束，分析激光遇到目標(biāo)對象后的折返時(shí)間，計(jì)算出到目標(biāo)對象的相對距離。然后利用此過程中收集到的目標(biāo)對象表面大量密集點(diǎn)的三維坐標(biāo)、反射率和紋理等信息，快速得到被測目標(biāo)的三維模型以及線、面、體等各種相關(guān)數(shù)據(jù)。進(jìn)一步建立三維點(diǎn)云圖，繪制出環(huán)境地圖，以達(dá)到環(huán)境感知的目的。激光跟蹤測量雷達(dá)系統(tǒng)組成中同時(shí)包含測距和測角兩個(gè)探測分系統(tǒng)，對任何一個(gè)探測系統(tǒng)的有效干擾都會(huì)影響激光跟蹤測量雷達(dá)的總體性能，即可以通過對其中任何一個(gè)探測分系統(tǒng)的干擾實(shí)現(xiàn)對激光雷達(dá)的干擾。

　　近年來國內(nèi)外對激光雷達(dá)攻擊的研究有轉(zhuǎn)向感知算法層攻擊的趨勢。Cao 等研究認(rèn)為一些特殊三維結(jié)構(gòu)的物體也會(huì)令激光雷達(dá)受到對抗攻擊，由此錯(cuò)誤地把某些物體當(dāng)做行人， 或者對特殊形狀的障礙物視而不見。隨后，該團(tuán)隊(duì)提出了一種LiDAR-Adv 方法，可生成逃避激光雷達(dá)檢測的對抗物體。其中， 針對激光雷達(dá)所制作的對抗樣本如圖 4 所示。將對抗樣本放在路徑中央 ( 如圖 5)，配置激光雷達(dá)的汽車直到逼近對抗樣本時(shí)才檢測出該目標(biāo)，以至于躲閃不及。該研究揭示了基于自動(dòng)駕駛的激光雷達(dá)感知系統(tǒng)存在潛在的漏洞。

　圖 4 LiDAR-Adv 生成的激光雷達(dá)對抗樣本

　　圖 5 激光雷達(dá)對抗樣本 ( 障礙物 ) 的檢測失效

　　3 感知系統(tǒng)防御方法

　　目前對無人車感知系統(tǒng)攻擊的防御方法主要是針對單一傳感器采取的一些改善和防御，其可以從一定程度上減小攻擊帶來的影響，但尚未形成系統(tǒng)全面的攻擊檢測和防御體系。本文采用矩陣補(bǔ)全和矩陣分解等方法對攻擊致錯(cuò)的數(shù)據(jù)進(jìn)行高精度恢復(fù)，形成一套完整的以檢測手段與數(shù)據(jù)恢復(fù)算法為核心的攻擊防御方案。

　　3.1 建立多傳感器信息交叉數(shù)學(xué)模型及攻擊檢測

　　雖然無人車在行駛中的環(huán)境信息是實(shí)時(shí)變化的，但是不同的傳感器對環(huán)境的感知一直存在著空間信息的冗余和交叉，這種相互的交叉和重疊導(dǎo)致傳感器兩兩之間存在相關(guān)性。如果能夠在空間域上建立傳感器之間恒定不變的相關(guān)性，那么就能夠以此判斷某個(gè)時(shí)刻是否有傳感器發(fā)生異?；虮还?。

　　除了空間域上的相關(guān)性，每個(gè)傳感器自身感知的信息在不同的時(shí)刻也存在著相關(guān)性。本文將傳感器自身在不同時(shí)間的相關(guān)性稱為自相關(guān)性，而將不同的傳感器在空間域上的相關(guān)性稱為互相關(guān)性。利用時(shí)間域的自相關(guān)性檢測被攻擊導(dǎo)致的錯(cuò)誤， 再結(jié)合空間域上的互相關(guān)性定位被攻擊的傳感器，這是本文利用感知信號之間的相關(guān)性做定位和檢測的核心思想。圖 6 描述了多傳感器信息交叉模型的建立。

圖 6 多傳感器之間的信息相關(guān)性

        在分析多傳感數(shù)據(jù)相關(guān)性之前，需先將多傳感器 ( 包括攝像頭、激光雷達(dá)、紅外傳感器、超聲波傳感器、GPS 傳感器等) 在空間或時(shí)間上的冗余或互補(bǔ)信息進(jìn)行提取，以獲得被測對象的一致性解釋或描述。具體地，多傳感器數(shù)據(jù)提取的方法如下：

　　(1) 收集 N 個(gè)不同類型的傳感器 ( 有源或無源的 ) 對目標(biāo)的觀測數(shù)據(jù)。

　　(2) 對傳感器的輸出數(shù)據(jù)( 離散的或連續(xù)的時(shí)間函數(shù)數(shù)據(jù)、輸出矢量、成像數(shù)據(jù)或一個(gè)直接的屬性說明 ) 進(jìn)行特征提取的變換，提取代表觀測數(shù)據(jù)的特征矢量 Yi;特征提取的過程可以表征為。其中，函數(shù) fe 表征編碼過程，即通過卷積、池化、下采樣等方法整合更為底層的特征，如圖像紋理、顏色等;函數(shù) fd 表征解碼過程，一般采用上采樣來還原到原始圖片的分辨率。

　　(3) 對特征矢量 Yi 進(jìn)行模式識別處理 ( 如聚類算法、自適應(yīng)神經(jīng)網(wǎng)絡(luò)或其他能將特征矢量 Yi 變換成目標(biāo)屬性判決的統(tǒng)計(jì)模式識別法 ) 完成各傳感器關(guān)于目標(biāo)的說明。

　　以目標(biāo)檢測為例，視覺傳感器得到的特征矢量用表示; 激光雷達(dá)得到的特征矢量用表示;GPS 得到的特征矢量用表示;IMU 得到的特征矢量用表示;則所有傳感器的特征矢量數(shù)據(jù)P 可以表示為 。這些傳感器在做目標(biāo)檢測或定位時(shí)，兩兩之間一定存在著空間上的互相關(guān)和時(shí)間上的自相關(guān)。因此，可以用相關(guān)性矩陣 S 表示它們在空間上的互相關(guān)性;矩陣 C 表示單個(gè)傳感器在時(shí)間域上的自相關(guān)性 ( 以激光雷達(dá)為例，CL 表示激光雷達(dá)在不同時(shí)刻的自相關(guān)性矩陣;表示不同時(shí)刻激光雷達(dá)的特征矢量 )，具體如公式 (2) ～ (3) 所示：

　　(2)

　　(3）

　　通過分析傳感器之間的互相關(guān)性和自相關(guān)性，建立相關(guān)性表示的數(shù)學(xué)模型，研究攻擊致錯(cuò)的特征在相關(guān)性模型中的傳遞規(guī)律，得到錯(cuò)誤傳遞的函數(shù)，可以為進(jìn)一步定位攻擊來源和偏差計(jì)算提供理論依據(jù)。接著，根據(jù)傳感器之間信息交叉的特點(diǎn)和不同傳感器特征矢量的數(shù)據(jù)形態(tài)選擇合適的數(shù)據(jù)相關(guān)性表示形式。同時(shí)，建立既能夠橫向體現(xiàn)隨著環(huán)境恒定不變的感知數(shù)據(jù)交叉特性，又能夠縱向區(qū)分特征矢量中不同物理量在相關(guān)性表達(dá)中的貢獻(xiàn)，且保證錯(cuò)誤不在相關(guān)性模型中湮沒的方法。

　　3.2 基于矩陣補(bǔ)全的數(shù)據(jù)恢復(fù)方法

　　接下來重點(diǎn)考慮如何根據(jù)錯(cuò)誤傳遞機(jī)理去定位被攻擊或出現(xiàn)異常的傳感器，及如何最大化地修復(fù)錯(cuò)誤的特征數(shù)據(jù)，減少錯(cuò)誤對感知結(jié)果的影響。矩陣補(bǔ)全 (Matrix Completion， MC) 是一種補(bǔ)全缺失信息的方法。在矩陣的元素存在未知或缺失的情況下，矩陣補(bǔ)全可根據(jù)已知元素估計(jì)出未知元素，從而將矩陣恢復(fù)完整。矩陣補(bǔ)全起源于機(jī)器學(xué)習(xí)，即已知部分樣本( 這些樣本來自擁有低秩協(xié)方差矩陣的過程 )，需要估計(jì)那些缺失或未知的數(shù)據(jù)。目前矩陣補(bǔ)全已廣泛應(yīng)用于機(jī)器學(xué)習(xí)、工程控制、圖像和視頻處理。本文采用基于矩陣補(bǔ)全的方法對由于無人車被攻擊而失真的感知信息進(jìn)行重建，最終對感知信息進(jìn)行高精度的恢復(fù)。首先，假設(shè)矩陣 X 為無人車待恢復(fù)的感知信號;M 為感知信號被攻擊后的原始信號;且 M 中部分元素因被攻擊而失真。然后，通過矩陣補(bǔ)全的方法找到矩陣 X，使得 X 中的元素盡量逼近 M 中沒有被攻擊的部分，而 X 中其他元素作為失真信息的逼近估計(jì)。圖 7 為采用矩陣補(bǔ)全方法對失真信號進(jìn)行重建的原理圖。標(biāo)準(zhǔn)矩陣補(bǔ)全問題可建模為如下形式的秩最小化約束優(yōu)化模型：

　　(4)

　　其中，Ω ∈ [n1]×[n2](n1 = {1, 2, …, n1}, n2 = {1, 2, …,n2}) 為采樣元素的索引集合;PΩ(·) 為正交投影算子，表示當(dāng)(i,j) ∈ Ω 時(shí)，Mi,j 為采樣元素，則模型可進(jìn)一步表示為公式(5)：　

　(5)

圖 7 采用矩陣補(bǔ)全對失真信號的數(shù)據(jù)容錯(cuò)恢復(fù)原理框圖

　　當(dāng)采樣數(shù)據(jù)存在誤差時(shí)，上述模型可進(jìn)一步修正為公式

　　(6)：

　　對標(biāo)準(zhǔn)矩陣補(bǔ)全問題中 X 的求解大致可分為 4 類：基于核范數(shù)松弛的矩陣補(bǔ)全模型、基于矩陣分解的矩陣補(bǔ)全模型、基于非凸函數(shù)松弛的矩陣補(bǔ)全模型及其他類型的矩陣補(bǔ)全模型。這些矩陣補(bǔ)全模型關(guān)注的都是如何基于目標(biāo)矩陣的先驗(yàn)低秩性從少量采樣觀察中補(bǔ)全缺失元素。它們的主要區(qū)別在于秩函數(shù)的松弛方式不同，從而導(dǎo)致模型的凸性各異，模型求解效率和可擴(kuò)放性也因此不同。在實(shí)際使用中，需結(jié)合矩陣的規(guī)模， 以及對數(shù)據(jù)精度的要求選擇合適的松弛補(bǔ)全模型。

　　4 實(shí)驗(yàn)設(shè)計(jì)與結(jié)果

　　4.1 實(shí)驗(yàn)建立

　　實(shí)驗(yàn)在開源的自動(dòng)駕駛仿真軟件 Carla Simulator 上進(jìn)行。Carla Simulator 是 Intel Visual Computing Lab 推出的一款開源模擬器，主要用于城市自動(dòng)駕駛研究。Carla 支持城市自動(dòng)駕駛系統(tǒng)底層開發(fā)、訓(xùn)練和驗(yàn)證。Carla 通過ServerClient 方式使車輛與虛擬世界進(jìn)行交互。Client API 采用 Python 編寫，Client 向 Server 發(fā)送 command 和 meta- command。其中，command 為控制車輛的轉(zhuǎn)向、加速和剎車;meta-command 針對的是 Server 的行為，主要有重啟模擬器、改變環(huán)境特征和修改傳感器組等。Carla 可以加入不同天氣和光照等環(huán)境特征以及車輛和行人的密度等影響，并且可以根據(jù)需求配置傳感器( 包括彩色相機(jī)、深度相機(jī)、激光雷達(dá)、IMU、GPS 等 )，從而實(shí)時(shí)獲取動(dòng)態(tài)仿真數(shù)據(jù)，以供用于自動(dòng)駕駛仿真測試。視覺相機(jī)采用 RGB 彩色相機(jī)和深度相機(jī)，其圖像參數(shù)均為 800×600;鏡頭水平視場角均為 100°;激光雷達(dá)為 32 線激光雷達(dá);俯仰角范圍為 -26.8°～ 2°;旋轉(zhuǎn)頻率為1200 r/min。實(shí)驗(yàn)中模擬強(qiáng)光對激光雷達(dá)進(jìn)行攻擊，使得點(diǎn)云數(shù)據(jù)缺失。硬件平臺(tái)主要為聯(lián)想移動(dòng)工作站 TinkPad P51， 其配置如表 1，具體過程分為 4 個(gè)步驟。

表 1 硬件平臺(tái)配置

       (1) 傳感數(shù)據(jù)采樣與特征提取

　　視覺感知包含目標(biāo)檢測和定位。在自動(dòng)駕駛感知系統(tǒng)中， 只有 GPS 是屬于絕對定位的，其他定位方式都需要在結(jié)構(gòu)化的環(huán)境下提取相應(yīng)的環(huán)境特征。一旦受到外界的主動(dòng)攻擊，使得特征矢量丟失，很容易出現(xiàn)系統(tǒng)定位或檢測失效的問題。例如，如果自動(dòng)駕駛車輛的視覺定位系統(tǒng)被強(qiáng)光攻擊，且沒有激光雷達(dá)恢復(fù)定位的特征，那么將會(huì)對自動(dòng)駕駛的行車帶來重大的安全隱患。因此，通過多傳感融合來對抗外在攻擊的定位方案對于自動(dòng)駕駛的安全性是必不可少的。

圖 8 激光點(diǎn)云定位框架

圖 8 為激光點(diǎn)云定位框架。首先，通過事先采集的點(diǎn)云信息和激光點(diǎn)云構(gòu)建激光雷達(dá)地圖 ( 反射值地圖和高度值地圖 )，并根據(jù)激光反射強(qiáng)度與激光高度等物理世界特征量構(gòu)建地圖。然后，通過車輛上的傳感器實(shí)時(shí)匹配自身獲取的數(shù)據(jù)和之前構(gòu)造的特征地圖，從而解算出載體的相對位姿。而點(diǎn)云匹配定位的過程是一個(gè)優(yōu)化問題，只要定義好損失函數(shù)，那么求解最小化損失函數(shù)就是載體定位的過程。此外，圖像對齊是用優(yōu)化的方法求解航向角 yaw，并采用 SSD-HF (SSD-Sum of Squared Difference Histogram Filter) 的優(yōu)化方法解算 x 和y。(x, y) 表示載體在激光雷達(dá)地圖上的平面坐標(biāo)點(diǎn)，高度信息z 直接從點(diǎn)云數(shù)據(jù)中獲取。最后，激光定位算法輸出位姿信息X(x, y, z, yaw)。當(dāng)搭載了激光雷達(dá)的載體在一次掃描中觀測到點(diǎn)云 Lm，則將 Lm 在激光雷達(dá)坐標(biāo)系下的位姿記為 YLm;激光雷達(dá)載體相對于地圖的坐標(biāo)系為 X(t)。根據(jù)激光雷達(dá)觀測原理可寫出激光雷達(dá)觀測公式：

　　(7)

　　其中，ρ 為測量距離;α、β 分別為激光脈沖的測量角; H(t) 表示觀測矩陣;v 為測量噪聲。若一次掃面的點(diǎn)云數(shù)量為 k， 則激光雷達(dá)的點(diǎn)特征矢量觀測公式為：

   　(8)       

　　在定位任務(wù)中，激光雷達(dá) Lidar 的特征矢量可以表示為;在檢測任務(wù)中，激光雷達(dá) Lidar 的特征向量可以表示為

; 表示檢測目標(biāo)相對車體坐標(biāo)系 的位置; 表示檢測框的高度和寬度;θ 為檢測框內(nèi)是檢測目標(biāo)的置信度。

　　慣 性 測 量 單 元 ( I M U ) 的 特 征 矢 量 為 ：，

　　其中表示航向角、俯仰角和橫滾角三姿態(tài);表示三軸速度;表示三軸加速度;表示三軸角速度。GPS 特征矢量，(x, y, z) 為車體的三維坐標(biāo)。自動(dòng)駕駛車輛通過車載攝像頭采集車輛周圍的圖像。采集到的圖片以 RGB 格式輸入目標(biāo)檢測系統(tǒng)，檢測系統(tǒng)調(diào)用深度卷積神經(jīng)網(wǎng)絡(luò)算法對 RGB 圖像進(jìn)行特征提取，最終從圖片中提取的特征能有效描述目標(biāo)物體的信息。目標(biāo)物體檢測結(jié)果采用向量 表示。其中，表示目標(biāo)物體在圖像坐標(biāo)系上的坐標(biāo)值;  表示檢測框的高度和寬度;v 表示目標(biāo)物體的類別編號;p 表示目標(biāo)物體的置信度。

　　(2) 分析特征數(shù)據(jù)并建立相關(guān)性模型

　　根據(jù)上一步得到的各個(gè)傳感器感知數(shù)據(jù)的特征矢量，建立不同傳感器之間恒定不變的互相關(guān)性和各傳感器基于時(shí)間不變的自相關(guān)性模型。設(shè) Correlation_space() 表示互相關(guān)性模型的數(shù)學(xué)函數(shù)，Correlation_time() 表示自相關(guān)性模型的數(shù)學(xué)函數(shù)，矩陣 Sconstant 表示感知器之間固有的相關(guān)性關(guān)系矩陣。

　　(3) 攻擊檢測和定位

　　根據(jù)相關(guān)性模型的數(shù)學(xué)表示，實(shí)時(shí)計(jì)算傳感器互相關(guān)性和自相關(guān)性，并與 Sconstant 表示的感知器之間固有的相關(guān)性比對。若完全一致，則表示當(dāng)前感知系統(tǒng)沒有被攻擊或出現(xiàn)異常;若兩者不一致，則代表傳感器出現(xiàn)異常，然后根據(jù)自相關(guān)性定位被攻擊的傳感器。攻擊檢測和定位的實(shí)例如圖 9 所示，其中s(a, b) 表示傳感器 a 與 b 之間的特征相關(guān)性。具體的檢測流程如下：

　?、俑鶕?jù)相關(guān)性模型，計(jì)算沒有攻擊時(shí)傳感器之間的互相關(guān)性，得到互相關(guān)性矩陣 Sconstant 和各傳感器的自相關(guān)性矩陣

　?、诓捎酶咧仡l脈沖激光器作為干擾源對激光雷達(dá)進(jìn)行距離攻擊;

　　③實(shí)時(shí)采集感知的環(huán)境信息，分別對感知數(shù)據(jù)進(jìn)行特征提取;

　　④分別采用時(shí)間相關(guān)性模型和空間相關(guān)性模型對提取的特征進(jìn)行相關(guān)性計(jì)算，得到各傳感器基于時(shí)間的自相關(guān)性矩陣

　　，以及傳感器之間的互相關(guān)性;

　?、荼容^自相關(guān)性矩陣 與 ，若前后不一致，則初步定為受攻擊傳感器;

　?、尥ㄟ^ 與 S 比對，進(jìn)一步確認(rèn)上一步定位的傳感器與其他傳感器之間的相關(guān)性是否出錯(cuò)，若是，則該傳感器被定為受攻擊傳感器。

　　圖 9 攻擊定位

　　(4) 失真數(shù)據(jù)恢復(fù)

　　當(dāng)檢測到某個(gè)傳感器被攻擊時(shí)，聯(lián)立各個(gè)傳感器的特征信息，建立原始感知信號矩陣M 。其中，M 中未被攻擊的傳感器感知的特征信息元素集合稱為指標(biāo)集，而在M 中被攻擊的信息稱為缺失元素。根據(jù)原始感知信號矩陣M ，建立矩陣補(bǔ)全數(shù)學(xué)模型，重構(gòu)感知信號矩陣 X ?；诤朔稊?shù)松弛的建模方法涉及復(fù)雜的矩陣奇異值分解，所以會(huì)導(dǎo)致模型的求解效率和可擴(kuò)放性(Scalability，也稱為可擴(kuò)展性) 受限。而基于矩陣分解的建模方法是一類可替代的矩陣補(bǔ)全模型構(gòu)建方法，其基本思路是將目標(biāo)矩陣分解為 2 個(gè)低秩矩陣L 和Q 的乘積，從而避免了復(fù)雜的矩陣奇異值分解，加速了算法的執(zhí)行效率。采用矩陣分解的矩陣補(bǔ)全建模如公式 (9)：

其中，k 為預(yù)測的矩陣秩界，該模型采用分塊坐標(biāo)下降算法 ( 俗稱交替最小化算法 ) 求解，如果能夠預(yù)先獲取合適的 k 值，那么該模型可以在較小的時(shí)間復(fù)雜度內(nèi)獲得相當(dāng)精度的解。此外，對任意秩為 r 的矩陣 X ∈ Rn1×n2，若 k > r，則公式

　　(10) 成立：則公式 (10) 的解即為全局最優(yōu)解，即，然后通過 中對應(yīng)的值來填充M 中缺失的部分。

　　4.2 實(shí)驗(yàn)結(jié)果

　　傳統(tǒng)點(diǎn)云的補(bǔ)全方法大多依托點(diǎn)云集本身對點(diǎn)云集細(xì)節(jié)進(jìn)行補(bǔ)償，或通過對抗生成網(wǎng)絡(luò)對 3D 點(diǎn)云模型的部分缺失補(bǔ)償，不適用于本實(shí)驗(yàn)的戶外場景。由于針對性攻擊造成的包覆目標(biāo)外側(cè)所有點(diǎn)云缺失的特殊場景，因此本文對比實(shí)驗(yàn)采用的是點(diǎn)云查找補(bǔ)全法。圖 10 結(jié)果顯示，本文提出的方法能夠較好地恢復(fù)被攻擊缺失的感知目標(biāo)信息。其中，圖 10(a) 表示正常情況下，激光雷達(dá)檢測到一輛車;圖 10(b) 表示該車輛遭到攻擊后，點(diǎn)云信息完全缺失;圖 10(c) 表示基于傳統(tǒng)補(bǔ)全法恢復(fù)的激光點(diǎn)云可視效果圖;圖 10(d) 表示本文方法恢復(fù)的激光點(diǎn)云可視效果圖。

圖 10 激光雷達(dá)點(diǎn)云數(shù)據(jù)攻擊與恢復(fù)

　　數(shù)據(jù)恢復(fù)的精度通過恢復(fù)的點(diǎn)云數(shù)據(jù)在兩個(gè)維度上的平均相對誤差來評估，可以表示為公式 (11) ～ (13)(n 為實(shí)驗(yàn)測試次數(shù) )：

　　(11)（12）（13）

表 2 兩種恢復(fù)方法的實(shí)驗(yàn)結(jié)果

表 2 所示為兩種恢復(fù)方法的實(shí)驗(yàn)結(jié)果。從表 2 可知，與點(diǎn)云補(bǔ)全方法相比，本文方法所恢復(fù)的目標(biāo)點(diǎn)云信息精度更高、耗時(shí)更少。結(jié)合圖 10 的數(shù)據(jù)可視圖可知，由于雷達(dá)激光是呈射線水平均勻散射狀發(fā)出，故會(huì)被目標(biāo)車輛吸收或遮擋等。因此，造成了依據(jù)規(guī)則點(diǎn)云恢復(fù)的點(diǎn)云空間大于實(shí)際缺失的點(diǎn)云空間，測量位置偏移。而本文采用的方法通過與視覺感知數(shù)據(jù)的相關(guān)性準(zhǔn)確定位缺失的點(diǎn)云，有效地約束了失真范圍。

　　5 討論與分析

　　目前國內(nèi)外對于無人車近距離攻擊的安全研究尚處于比較早期的階段，對無人車近距離攻擊的防御方法主要集中在單一傳感器上，尚未形成系統(tǒng)的攻擊檢測和防御體系。目前，對于視覺攻擊的防御主要有 2 種方法。一種是針對相機(jī)感知原理底層的防御方法，有研究通過增加冗余的方式部署激光雷達(dá)，針對光學(xué)反射偽裝背景紋路、亮度相似的障礙物進(jìn)行防御，但該方法需要探討兩種不同感知設(shè)備對同一攻擊源產(chǎn)生不同置信度的邏輯判斷。而人為地設(shè)計(jì)冗余傳感器置信度判定的方法不適用于多變復(fù)雜的道路攻擊場景，故此方法屬于僅探測，這意味著該類方法在對抗樣本上僅能報(bào)警，卻不能將對抗樣本完全識別。另一種是針對感知算法層面的防御方法，通過不斷輸入新類型的對抗樣本并執(zhí)行對抗訓(xùn)練，從而不斷提升網(wǎng)絡(luò)的魯棒性。這種基于深度學(xué)習(xí)的訓(xùn)練方法雖然從一定程度上減少對抗樣本對傳感器識別的影響，但總是會(huì)存在新的對抗樣本，同樣不適用于復(fù)雜多變的道路攻擊場景。本研究通過冗余傳感之間的相關(guān)性，恢復(fù)攻擊目標(biāo)的檢測，為傳統(tǒng)基于規(guī)則式的感知算法提供了新的研究思路。

　　此外，針對激光雷達(dá)攻擊的防御主要有針對激光感知原理底層的防御方法和針對激光感知算法層面的防御方法。前者的策略包括：(1) 通過在光學(xué)和光電裝置中安裝快光電開關(guān)、濾光片，防止激光致盲;(2) 研究抗激光結(jié)構(gòu)，例如夾層結(jié)構(gòu)， 防止敵激光能量對己方裝備的破壞;(3) 通過對技術(shù)參數(shù)嚴(yán)格保密，如對己方激光信號采取編碼技術(shù)，加大敵方干擾難度;(4) 研制和發(fā)展特種耐高溫材料的殼體，使其難以被激光武器燒毀和穿透。但是，這些方法只能在一定程度上降低被攻擊的風(fēng)險(xiǎn)，

　　沒有對被攻擊后的數(shù)據(jù)進(jìn)行恢復(fù)的措施。

　　針對 LiDAR-Adv 生成的激光雷達(dá)對抗樣本，使用本文算法分析相機(jī)與激光的相關(guān)性，恢復(fù)檢測出對抗樣本，能夠解決自動(dòng)駕駛激光雷達(dá)感知系統(tǒng)的潛在問題。本文利用傳感器之間的信息相關(guān)性，建立無人車車載傳感器信息交叉數(shù)學(xué)模型與虛假信息干擾數(shù)學(xué)模型，對被攻擊傳感器進(jìn)行實(shí)時(shí)檢測。同時(shí)， 采用矩陣補(bǔ)全方法對攻擊致錯(cuò)的數(shù)據(jù)進(jìn)行高精度恢復(fù)，形成一套完整的以檢測手段與數(shù)據(jù)恢復(fù)算法為核心的攻擊防御方案。

　　6 結(jié)論

　　本文采用基于矩陣補(bǔ)全的方法對由于無人車被攻擊而失真的感知信息進(jìn)行重建，最終對感知信息進(jìn)行高精度的恢復(fù)。通過矩陣補(bǔ)全的方法找到恢復(fù)的感知信號矩陣，盡量逼近原始信號中沒有被攻擊的部分。實(shí)驗(yàn)結(jié)果顯示，本文方法能夠較好地恢復(fù)被攻擊缺失的感知目標(biāo)信息。由于真實(shí)的無人車測試場景需要路測的條件，且需在無人車感知系統(tǒng)基本完善的情況下進(jìn)行。因此，未來將在實(shí)際場景中對不同傳感器進(jìn)行攻擊和防御的實(shí)驗(yàn)驗(yàn)證，迭代完善攻擊檢測和數(shù)據(jù)恢復(fù)方法。此外，下一步將優(yōu)化傳感器特征提取和數(shù)據(jù)融合方式，提高算法執(zhí)行的效率和精度，使防御技術(shù)更為精準(zhǔn)高效。