当前位置：首页 > news >正文

自动驾驶多模态感知中的时序错位攻击与防御

news 2026/5/28 11:57:33

1. 自动驾驶多模态感知中的时序错位攻击研究

自动驾驶系统的环境感知能力是其安全运行的基础，而多模态传感器融合（MMF）技术通过整合摄像头、激光雷达等异构传感器的数据，实现了对周围环境的全面理解。然而，这种融合技术高度依赖精确的时间同步机制，一旦时间同步出现问题，将导致严重的感知性能下降。本文将深入探讨一种新型攻击方式——时序错位攻击（DEJAVU），它通过操纵车载网络中的时间同步机制，破坏多模态数据的时序对齐，从而影响自动驾驶系统的感知能力。

1.1 多模态传感器融合的核心挑战

现代自动驾驶系统通常配备多种传感器，包括摄像头、激光雷达和雷达等。这些传感器各有优势：摄像头能捕捉丰富的语义信息，激光雷达提供精确的深度测量，而雷达则在各种天气条件下都能稳定检测速度。然而，单一传感器也存在固有缺陷，如摄像头对光照变化敏感，激光雷达缺乏纹理信息等。多模态传感器融合技术正是为了弥补这些缺陷而生，它通过整合不同传感器的数据，提供更准确、更鲁棒的环境感知。

多模态融合面临的核心挑战之一是时空对齐问题。由于不同传感器的采样频率和数据处理延迟各不相同，摄像头通常以30-60Hz的频率采集图像，激光雷达则以10-20Hz的频率扫描环境。这种异步性导致来自不同传感器的数据在时间上并不严格对齐，因此在进行融合前，系统必须确定哪些观测数据对应于同一物理时刻，这一过程称为时序对齐。

关键提示：时序对齐的精确性直接影响融合效果。即使是微小的时序错位（如几十毫秒），也可能导致语义不一致的融合结果，进而引发物体误检、定位错误等严重问题。

1.2 时序错位攻击（DEJAVU）的工作原理

DEJAVU攻击利用了自动驾驶系统中三个关键的安全假设漏洞：

时钟同步安全性假设：系统假设基于gPTP（广义精确时间协议）的同步基础设施是安全的，能维持所有电子控制单元（ECU）之间的全局时间一致性。然而，gPTP设计时并未考虑对抗环境，缺乏加密认证机制，容易遭受主时钟欺骗、延迟注入等攻击。
时间戳完整性假设：系统假设传感器ECU是可信的，会提供准确的时间戳。但实际上，ECU可能通过OTA更新漏洞或物理访问被攻陷，攻击者可篡改数据包中的时间戳。
中间件完整性假设：系统假设ROS2等通信中间件能确保数据的完整性、真实性和新鲜性。但ROS2默认配置缺乏强认证和加密，容易遭受消息伪造和重放攻击。

DEJAVU攻击通过破坏上述一个或多个假设，向传感器数据流中注入精心设计的时序扰动。攻击者不需要修改传感器数据本身，只需操纵时间戳或时钟同步机制，就能导致系统融合不同时刻采集的数据，产生错误的感知结果。

1.2.1 攻击实施方式

根据攻击者的能力不同，DEJAVU攻击可分为三种实现方式：

PTP同步破坏攻击：攻击者通过冒充主时钟或篡改同步消息，破坏整个网络的时间同步。这种方法不需要直接修改传感器数据包，但会导致所有节点的时间基准出现偏差。
时间戳篡改攻击：攻击者直接修改传感器数据包中的时间戳字段，使系统误判数据的采集时间。这种攻击更为精准，可以针对特定传感器实施。
ROS2节点冒充攻击：攻击者在ROS2网络中冒充合法传感器节点，发布带有错误时间戳的数据包，干扰正常的融合过程。

1.3 攻击对感知性能的影响

通过在实际自动驾驶系统和仿真环境中的测试，研究人员发现DEJAVU攻击对不同类型的感知任务产生了显著影响：

3D物体检测：激光雷达数据的时序错位对物体检测影响尤为严重。实验显示，仅单帧激光雷达数据延迟（约100ms）就可使车辆检测的mAP（平均精度）下降高达88.5%。
多目标跟踪（MOT）：摄像头数据的时序错位对跟踪任务影响更大。三帧摄像头延迟（约90-100ms）会导致多目标跟踪准确率（MOTA）下降73%。

这种差异反映了不同感知任务对传感器模态的依赖程度：物体检测更依赖激光雷达提供的精确几何信息，而跟踪任务则更依赖摄像头提供的连续外观特征。

1.3.1 实际影响案例

在实际测试中，时序错位攻击导致了多种危险场景：

幽灵刹车：系统误检前方不存在的障碍物而紧急制动
碰撞风险：系统未能及时检测到真实障碍物
定位漂移：连续的小时序误差累积导致定位严重偏离

这些情况在高速公路等高速场景下尤为危险，可能造成严重的安全事故。

2. 时序错位攻击的技术实现细节

2.1 汽车以太网测试平台上的攻击验证

为了验证DEJAVU攻击的可行性，研究团队搭建了一个硬件在环（HIL）的汽车以太网测试平台，该平台模拟了真实自动驾驶车的传感器网络架构。

测试平台由四个树莓派节点组成：

摄像头节点：模拟摄像头，回放KITTI数据集中的图像
激光雷达节点：模拟激光雷达，回放KITTI数据集中的点云
融合节点：运行多模态融合算法
恶意节点：实施攻击

所有节点通过支持时间敏感网络（TSN）的汽车以太网交换机连接，并使用ROS2进行通信。平台采用PTP（精确时间协议）进行时间同步，模拟真实车辆的网络环境。

2.1.1 PTP同步攻击实施

攻击者通过以下步骤破坏时间同步：

恶意节点宣称自己具有更高质量的时钟，被选举为新的主时钟（Grandmaster）
攻击者定期将主时钟时间向后调整（如每0.22秒后退0.20秒）
这一调整通过网络同步传播到所有节点，导致它们的本地时钟出现偏差
传感器节点继续发布数据，但时间戳与实际采集时间不符

这种攻击造成的效果是：虽然数据包中的时间戳看起来连续，但实际上对应着不同物理时刻采集的数据。当融合节点尝试对齐这些数据时，就会产生语义上的不一致。

2.2 攻击参数与效果分析

研究人员测试了两种典型的攻击策略：

固定延迟攻击：对所有目标传感器的数据包施加固定的时间偏移（如100ms）
- 影响：导致感知输出出现系统性偏差，如检测框位置偏移
- 适用场景：需要稳定干扰感知结果的攻击
随机延迟攻击：对每个数据包施加随机的时间偏移（如-50ms到+50ms之间的随机值）
- 影响：破坏数据的时间连续性，特别影响跟踪等时序敏感任务
- 适用场景：制造混乱，使系统难以维持稳定的环境认知

测试结果表明，即使是微小的时序扰动（几十毫秒），也足以显著降低感知性能。这种攻击的隐蔽性很强，因为数据内容本身没有被篡改，传统的异常检测机制难以发现。