论文速览 | MobiCom 2024 | Malicious Attacks against Multi-Sensor Fusion in Autonomous Driving | 多传感器融合在自
论文速览 | MobiCom 2024 | 基于多传感器融合技术的自动驾驶系统恶意攻击研究
1 引言
近年来随着技术的进步自动驾驶技术得到了迅速发展其中感知系统在自动驾驶汽车中扮演着核心角色其稳定性和可靠性尤为关键现有的自动驾驶感知系统通常采用多传感器融合方法以整合来自不同传感器（如LiDAR摄像头和雷达）的数据然而尽管如此对这类系统的脆弱性问题仍知之甚少本研究首次提出了一种能够同时针对LiDAR摄像头和雷达等传感器进行攻击的方法从而深入揭示了传统多传感器融合方法的潜在安全隐患
2 动机
2.1 研究背景
目前已有相关研究针对单一传感器（例如摄像头或LiDAR）展开攻击研究。然而随着自动驾驶技术的发展车辆普遍采用了多传感器融合系统这些传统手段已显现出不足因此在深入分析的基础上本研究团队提出了一种新型的综合性攻击方案能够实现对多种关键感知设备的同时性攻击
2.2 动机
传统攻击方式的局限性 ：
- 单一传感器攻击：难以适应多传感器融合系统的特点。
- 多传感器组合攻击：在实际操作中存在诸多困难。
- 主动攻击雷达：具有较高的技术难度且应用价值有限。
基于此，研究团队旨在开发一种低成本、高隐蔽性且灵活的攻击方法。
3 方法
3.1 攻击对象设计
该团队开发了一种新型复合型对抗物体，在其表面覆盖了金属箔与彩色贴片，并采用硬纸板作为基础材料。这种装置可通过被动反射机制同时对三种传感器发起攻击
3.2 攻击流程
- 场景选择：确定目标场景并模拟不同驾驶条件。
- 对象生成：在离线环境下生成不同数量、大小、颜色和方向的对抗物。
- 攻击实施：通过无人机悬停对抗物来执行攻击任务。
3.3 数学建模
为了最大化攻击效果，研究团队提出了一个优化问题：
\min_{N, P} \quad M(X_{\text{camera}}, X_{\text{lidar}}, X_{\text{radar}}) + \alpha N + \beta L_{\text{area}}
其中：
M 代表感知系统输出的检测信心度。
N 代表对抗目标数量。
P 包含对象尺寸、位置、朝向及颜色特征。
基于对 T_{\text{camera}}(), T_{\text{lidar}}(), 和 T_{\text{radar}}() 的构建模型的过程中, 团队能够从而实现对不同参数对传感器输出的影响进行有效的模拟与分析。
4 实验和结果
4.1 实验设置
为了考察所提出的攻击方法的实际效果，研究团队在真实的自动驾驶测试平台上展开了系统性的实验研究。该测试平台配备了一辆具有多种先进传感器的一辆小型自动驾驶汽车（Lincoln MKZ）。这些传感器包括激光雷达、毫米波雷达以及超声波测距仪等。其详细配置如下：
- LiDAR 型号：Velodyne VLP-32C
- 摄像头型号：Allied Vision Mako G-319
- 该雷达型号为 TI AWR1843；其工作频率则为 77 GHz.
在本实验中，我们设置了两条不同的道路场景，并分别构建了自动驾驶车辆在这些路线上行驶的模拟环境。在每条路线上均布置了一辆黑色Honda sedan作为被攻击的目标。
4.2 结果分析
我们通过以下几个关键指标来评估攻击的有效性：
- 检测召回率（Recall）：LiDAR、摄像头和雷达感知模型在攻击前后分别呈现的检获率。
- 攻击成功率（ASR）：每帧传感器数据中，车辆位置被成功遮蔽的概率。
4.2.1 场景一
沿第一条道路开展数据采集工作共获得343帧图像数据。在攻击前阶段,LiDAR、摄像头和雷达系统分别实现了探测召回率达到97%、99%和100%。经实验测试,在遭受两个面积仅达约[...]的小型抗干扰物体攻击后,三种传感器系统的探测召回率明显降低
- LiDAR ：从0.97降至0.04
- 摄像头 ：从0.99降至0.07
- 雷达 ：从1.00降至0
最终多传感器融合系统的检测召回率为0.1，攻击成功率（ASR）高达90% 。
4.2.2 场景二
在沿着第二条道路行驶时，我们获取了共351帧的观测数据。遭受攻击之前，在LiDAR、摄像头和雷达设备上实现了92%、100%和100%的检测召回率。然而，在遭受攻击之后，为了进一步验证系统的鲁棒性与稳定性，在三种主要传感器上分别进行了性能评估，并引入了两个面积合计为S_{total}= 0.26\text{m}^2的对抗物体作为干扰源
- LiDAR ：从0.92降至0.06
- 摄像头 ：从1.00降至0.01
- 雷达 ：从1.00降至0
最终多传感器融合系统的检测召回率为0.1，攻击成功率同样达到了90% 。
4.3 攻击后果
为了验证攻击的真实影响, 研究团队对开源自动驾驶平台Baidu Apollo进行了额外测试. 将经过攻击处理的感知数据输入到百度Apollo的规划系统中, 我们观察到了以下现象:
- 非攻击场景：自动驾驶系统在距目标车辆8米时能准确地减速停车。
- 对抗场景下：自动驾驶系统未能识别目标车辆的存在，最终引发了致命事故。
由于攻击的成功导致目标车辆在远距离时被完全隐藏；但近距离时的间歇性检测结果却被系统误判为异常情况；从而忽视了潜在的危险。
4.4 攻击鲁棒性
4.4.1 无人机稳定性
为了深入评估无人机定位误差对其攻击效果的具体影响，在实际操作条件下进行了一系列系统测试。实证结果表明，在定位误差不超过0.15m以及角度偏差控制在12^\circ的情况下（检测召回率达到约0.1），该攻击手段仍能保持有效性。研究表明该攻击方法对定位误差具有较强的抗干扰能力。
4.4.2 行驶方向和速度
在不同的行驶方向和速度下，攻击效果存在一定差异，在总体上仍能保持较高的攻击成功率。详细说明如下：
在左侧车道行驶时测试覆盖率为0.12，在右侧车道行驶时覆盖率为0.09，并且在后方行驶时覆盖率同样为0.09；以5、10、15和20 km/h的速度进行测试时分别获得了覆盖率为0.12、0.08、0.11和0.07的结果
这些结果表明行驶方向和速度对攻击效果影响较小 。
4.4.3 通过车辆
在测试期间进行实验时，在有其他车辆通过目标车的情况下进行测试，并观察到攻击仍能成功实施。该实验结果表明，在有其他车辆通过目标车的情况下进行测试时的检测召回率约为0.11，并进一步表明经过车辆对攻击效果的影响较小。
4.5 替代物体载体
除了无人机之外,研究团队还探索了多种替代方案.他们尝试将对抗物伪装成类似车辆的广告并安装在目标车上.经过一系列实验验证,在这些场景下该技术同样表现出色:
在未受攻击情况下，LiDAR、摄像头和雷达三种传感器的检测召回率分别达到92%、100%和100%。然而，在遭受攻击后，这些传感器的检测召回率显著下降至6%、1%以及零水平，并且系统的整体抗干扰能力也仅能达到**99%**的成功探测概率。
5 不足和未来展望
5.1 不足
- 攻击实施复杂性：无人机虽然具备精准悬停的能力受限于技术限制和环境复杂性的影响。
- 防御措施：现有的防御策略面临着难以克服的技术挑战，在实际应用场景中难以实现全面防护。
5.2 未来展望
- 提升攻击手段 ：在对抗物体设计方面采取更为先进的策略，在提高检测难度的同时实现对该场景的有效突破。
- 构建防御体系 ：深入研究并开发先进融合算法，在确保系统稳定性的基础上显著增强其安全防护能力。
6 总结
通过本文的详细分析可以看到多传感器融合系统在自动驾驶中的脆弱性，并掌握一种创新且有效的攻击手段。该方法不仅揭示了系统的潜在风险还为未来的系统设计提供了重要的参考依据。希望本文能为读者提供深入理解这一前沿领域研究现状及未来发展方向的宝贵资料。如果你有任何问题或建议欢迎在评论区与我们讨论！