基于传感器融合的 GNSS 欺骗攻击检测框架在自动驾驶车辆上的实验验证
内容提要
该文综述自动驾驶感知与定位系统的安全研究。攻击方面：多传感器融合在GPS欺骗下可遭FusionRipper攻击；INS辅助GPS可被磁力计欺骗；LiDAR感知存在欺骗与机器学习攻击风险；雷达可被单一恶意雷达伪造测量。防御方面：提出融合LiDAR强度与高度的鲁棒定位、基于IMU道路特征的无GNSS定位、深度学习检测GNSS伪距误差、深度神经网络位置检测与社区检测防伪造，以及高完整性GNSS与V2X融合架构。
延伸解读
攻击面不止GNSS：多传感器融合的连锁风险
文章列举的攻击表明，自动驾驶定位与感知的安全威胁并不局限于GNSS欺骗。FusionRipper可针对多传感器融合算法实施离线与逆行攻击；磁力计欺骗能误导INS辅助GPS；LiDAR感知存在欺骗与机器学习模型攻击；单一恶意雷达也能伪造相干测量。这意味着单一传感器加固难以覆盖全部风险，融合架构本身可能成为攻击入口，需从系统层面评估各传感器被操纵后的连锁影响。
防御思路分化：冗余定位与异常检测并行
文中防御方案呈现两条路径：一是减少对GNSS的依赖，如融合LiDAR强度与高度的鲁棒定位、基于IMU道路特征的无GNSS定位；二是加强异常检测，如深度学习检测GNSS伪距误差、深度神经网络位置检测与社区检测防伪造。前者提升系统在GNSS失效或被欺骗时的可用性，后者侧重识别异常输入。两者互补，但文章未给出统一框架下的性能对比，实际部署需结合场景权衡。
从实验到落地：验证条件与部署门槛
多项研究已在真实数据或大型自动驾驶车队中验证，例如LiDAR融合定位在车队中得到验证，社区检测方案只需少量位置采集小部分测量数据即可部署。但各方案的验证环境、攻击模型和数据集并不统一，成功率、准确率等指标难以直接横向比较。读者应注意，实验验证不等于量产安全，实际部署还需考虑传感器配置、计算开销和攻击者能力变化等因素。
Q&A
自动驾驶汽车的多传感器融合系统在GPS欺骗攻击下存在哪些具体风险？
FusionRipper攻击能以至少97%和91.3%的成功率实现离线和逆行攻击；INS辅助GPS可被磁力计欺骗，使攻击者达到离真实目的地30公里甚至更远的位置而不被检测到。
针对LiDAR感知系统有哪些已知的攻击方式？
LiDAR欺骗攻击是主要威胁模型，此外还存在针对机器学习模型的欺骗攻击可能性，研究者提出了优化方法和算法，并讨论了防御方向。
如何在不依赖GNSS的情况下实现车辆定位？
可以通过学习IMU传感器中加速度计和陀螺仪测量值的道路特征标志，分别基于卷积神经网络和集成随机森林的手工特征方法学习道路特征，并实时推导车辆位置。
深度学习如何用于检测GNSS伪距误差和避免轨迹偏离？
通过分析GNSS观测数据，采用基于深度学习的方法检测非直射路径接收与预测GNSS伪距误差，并构建类似Transformer的注意机制提高模型性能和泛化能力，实验表明该方法在车辆定位中具有更好的准确性和召回率，能避免轨迹偏离问题。
有哪些防御方案可以检测和抵御针对车辆定位的伪造攻击？
包括结合深度神经网络位置改变检测器的决策以区分伪造行为和移动，并通过图上的社区检测方法将接收到的帧序列分割为子序列以检测不同位置的同时传输；该方案只需在少量位置收集小部分测量数据，易于部署。
高完整性GNSS如何与视觉、LiDAR和V2X系统融合以提升自动驾驶安全？
将高完整性GNSS车道确定纳入基于视觉的体系结构可释放车道级机动能力并提供监督以保证安全；将精密GNSS纳入激光雷达系统可释放鲁棒性和额外回退以确保安全和效用；GNSS通过为未来V2X方案提供一致的定时和参考框架提供互操作性。
雷达系统可能遭受怎样的欺骗攻击？
攻击者可以使用单一的恶意雷达伪造车辆测量并同时伪造相干的物理测量结果，文章还讨论了一些抵御该攻击的对策。
