汽车越来越智能，越来越轻易，但也带来新平安隐患。
车道连结辅助系统，即LKAS，之前以L2主动驾驶焦点功能为卖点，开远程、开高速环路，都能让人类司机更轻松，如今成为各大智能车标配。
但就如许一个智能驾驶系统，在冲击下只需要1.3秒——稍一疏忽的时间，就会失控，从而在高速行驶中转向其他车道。
该结论来自平安范畴顶级会议NDSS上的新研究，获得了Best Poster Award（top 1/30），研究者里有多位中国小哥。
并且在主动驾驶范畴鲜有发声的字节跳动，显现在作者机构和申谢名单中。
咦？岂非？照样……？
不妨先一路深入看一看这项新研究，并且我们也找到了论文作者进行了答疑。
论文首要由两位加州大学欧文分校的作者领衔。
在论文中，他们使用不笼盖车道线的“脏路补丁”作为冲击载体，在最进步的开源车道连结辅助系统OpenPilot上测试：冲击126公里时速的车辆，只需要0.9秒就能让它失控；72公里时速行驶下的汽车，只需要1.3秒。
而平日情形下，人类司机发现车辆失控，并接纳办法的时间是2.3秒。今朝，一共有15个汽车品牌的52个车型支撑OpenPilot，包罗公共高尔夫、丰田凯美瑞、本田CR-V等。
受到波及的并不光仅只有使用了OpenPilot的车。研究团队透露，这一冲击适用于任何基于深度神经收集的车道连结系统，好比特斯拉的Autopilot，也或者会受到影响。
除了冲击方式具有普遍性，冲击结果也很显着。
论文中在3个场景中试验了冲击有效性。前两个场景采用的是comma2k19-1和comma2k19-1数据集，是真实世界高速公路场景。
第三个场景来自LGSVL-1数据集，模拟高速公路真切度可达到工业级别，整体究竟如下：
研究团队只针对前两个测试建造了演示视频——由变换后的摄像机图像，经由小车活动模型库输入生成。
换句话说，就是在BEV(俯视图)图像上放置了“脏路补丁”，从BEV生成摄像机输入，然后凭据汽车活动模型更新下一帧状况。
首先看一下主动驾驶车辆在高速行驶 (126km/h)的情形。
在没有冲击的时候，车辆行进还非常平稳，能连结在本身原有的车道。但经由添加了脏路补丁后，车辆（我们在车里的视角）就像“喝醉了酒”一般，敏捷驶出本身的车道。下面是正常情形和添加冲击后的视角对比情形：
第二个场景，是主动驾驶车辆中速行驶 (105km/h)的情形。进行冲击后，固然没有高速情形下“醉”得那么夸张，但照样可以看出行驶位置敏捷发生了偏移。
对比情形如下：
在第三个模拟场景中，主动驾驶车辆行驶速度为72km/h，在相对较为低速的情形下，造成冲击所用的时间为1.3s。
平日，LKAS被认为是专治走神瞌睡的辅助驾驶功能，但碰到这个“脏路补丁”，秒秒钟失控、出事儿，回响都来不及。
究竟是什么样的冲击，能够让主动驾驶LKAS变得如斯不不乱？
先简洁科普下道理，基于深度神经收集(DNN)的LKAS，属于L2主动驾驶系统手艺，最具代表性有OpenPilot和特斯拉的Autopilot，是当前使用最为普遍的智能驾驶手艺之一，并正被加倍普遍地使用。
但好用的同时，平安吗？究竟驾驶上路，每一个隐患都事关人身平安。
这就是研究者们睁开课题的初志，加州大学欧文分校的博士生、该研究配合一作沈骏杰说：“从这类系统的用户角度考虑，我很想知道究竟今朝最好的车道连结系统是否充沛平安，以及若何确保它的平安。”
2019年3月，他们正式立项，起头了针对LKAS平安性的研究。焦点的前提假设是：这些LKAS基于DNN，是不是直接冲击DNN就能造成损坏？
并没有那么简洁。想要损坏如许的LKAS，需要迈过“三座大山”：
第一，若何经由优化方式来系统，生成针对车道连结系统的恶意路面修复补丁(malicious road patch)。
第二，若何包管道路补丁的隐蔽性，避免引起驾驶员和行人猜忌。
第三，若何让生成的道路补丁能冲击一连多帧图像，并在车道连结系统受冲击改变车辆轨迹后还能包管冲击的有效性。
这项工作设计并实现了首个能够翻过“三座大山”的冲击方式，仅仅是一块“脏路补丁”。
他们假设冲击者拥有和被冲击对象一般的车道连结系统，并能经由逆向工程获悉该系统的细节，例如神经收集模型参数等。
若是被冲击对象是基于雷同OpenPilot这种开源车道连结系统，冲击者很轻易就能获得所有的模型参数和源代码。
若是被冲击对象采用的是雷同Tesla Autopilot这类闭源系统，冲击者也能经由逆向工程获得模型的构造和参数。
例如客岁腾讯科恩实验室就成功逆向出了Autopilot里面的模型，并成功动员了冲击。
不外， 这只是第一步。具体的冲击中，还需要生成基于车辆活动模型的输入。考虑到一连摄像机帧间冲击的互相依靠性，需要凭据补丁生成过程中驱动轨迹的转变，对摄像机输入进动作态更新。
研究人员使用自行车模型，来模拟汽车轨迹的转变，然后经由对未受冲击的原始摄像机输入，应用透视变换，来更新摄像机输入。
下图中红色方框，就是模型输入区域。在透视变换后，固然会造成一些失真和部门缺失，但位于中心的模型输入区域，仍然完整可用。
接下来生成恶意路面修复补丁，他们采用了一种优化方式——*多帧路径弯曲方针函数 (Multi-frame path bending objective function)。用它来替代方针函数，让汽车尽或者地发生偏离。
基于如许的方针函数，能够获得每个摄像机输入的梯度。但梯度下降并不克直接适用于更新恶意路面修复补丁。
研究人员将所有相机输入转换为BEV，让梯度对齐到沟通的比例尺，并接纳一个加权平均数，解决了这一问题。具体如下图所示：
同时，他们还将更新偏向限制在了灰度局限内，假装是一个正常(但肮脏的)道路补丁，如许能够加倍隐蔽地提议冲击。
那么问题来了，在实际世界中，发生这种冲击性的或者性若何？该若何应对？
研究团队称，这一冲击适用于任何基于深度神经收集的车道连结系统，接下来将会进一步完美冲击的适用性，进一步研究车道连结辅助系统中的破绽。
他们在论文中说，若是有人能够锐意为之，好比出于贸易或许金融目的，或许是企业之间的竞争，在实际世界中恶意提议冲击也不是弗成能。
究竟某社交..的运营合伙人，方才因为恶意举报友商被抓，再次证实竞争无所不消其极……
既然如斯，那么这个问题又该若何应对呢？论文作者之一沈骏杰从研究者的角度，给出了可行的方案。
他说：“这几年的确有好多研究者提出多种分歧的防御手段，例如匹敌练习，随机改变输入巨细和填充等。”
但这些防御手段只能对这个问题供应必然水平的缓解。“今朝还没有任何一种防御手段能完全解决匹敌样本的问题。”他说。
一种或者的偏向，是借助车辆辅助系统里面的其他信息，来交叉验证车道检测的究竟。好比，用雷达对于四周车的估量来判断本车的横向偏移。
所以，尽量在实际中发生雷同冲击的情形或者性很小，但在平安性没有法子获得包管的时候，主动驾驶可否完全可依靠，还需要接纳审慎立场。
在极端情形下，会要命。好比2016年5月，特斯拉的Autopilot因为卡车车体反光，摄像头并未识别对向的卡车，从而导致处于主动驾驶状况的Model S发生事变，导致驾驶员灭亡。
道路万万条，平安永远是第一条。
最后，解答下开首提出的“字节跳动之疑”。字节跳动并非结构主动驾驶，而是很前瞻性地把个中一名作者揽入麾下。
本次研究作者团队，来自加州大学欧文分校、字节跳动和东北大学，一共有6名研究人员。个中任教于美国东北大学的Xue Lin，本科卒业于清华。
两位一致进献第一作者来自加州大学欧文分校，离别是Takami Sato和沈骏杰。
沈骏杰，2013年本科卒业于杭州电子科技大学通信工程专业，2015年在北卡罗来纳州立大学获得较量机工程硕士学位。
2016年前去加州大学欧文分校攻读博士学位，指导先生是陈齐——论文通信作者。
陈齐于2012年卒业于南京大学较量机科学专业，之后前去密歇根大学念书，师从茅斫青传授，2018年在获得系统和收集平安博士学位，同年7月到场加州大学欧文分校，担当助理传授。
Takami Sato是沈骏杰的同门师弟，本科和硕士卒业于东京工业大学，于2019年在加州大学欧文分校攻读博士学位。此外，作者中还有一位加州大学欧文分校博士生，名为Ningfei Wang。
据沈骏杰介绍，他们首要专注于较量机平安研究。从2018年以来，环绕主动驾驶和智能交通系统的冲击和防御一共发布10多篇相关论文，离别在ACM CCS、Usenix Security、ICLR、EuroSys、NDSS发布。
这篇基于深度进修的车道连结辅助系统的平安性研究，是他们团队的最新功效。陈齐团队的研究人员之外，字节跳动的贾云瀚介入了这项研究。
贾云瀚2013年卒业于上海交通大学软件工程专业，之后前去密歇根大学攻读博士学位，师从茅斫青传授——和陈齐是同门师兄弟。
2018年博士卒业之后，他到场百度平安研究偏向的X实验室。2019年8月到场字节跳动听工智能实验室担当研究科学家。
贾云瀚近年来的研究同样集中在平安，稀奇是智能汽车平安范畴。2015年以来，贾云瀚在ACM CCS、NDSS等学术会议上揭橥15篇论文，获得过3项专利。
据悉，他作为自力研究者一作，与陈齐团队合作的论文，研究针对主动驾驶系统里面容标跟踪的冲击，已被ICLR 2020收录。
所以做什么买卖或者不素质，有人才，真的能够随心所欲。
当然，有人才的前提，是得有钱……
论文地址：
https://www.ndss-symposium.org/wp-content/uploads/2020/02/NDSS2020posters_paper_15.pdf
— 完 —
戳下图..，即可报名、到场交流群~
直播介绍 | 地平线焦点手艺解析系列课
进修规划 | 存眷AI成长新动态
量子位 QbitAI · 头条号签约作者
վ'ᴗ' ի 追踪AI手艺和产物新动态
喜欢就点「在看」吧 !
