10、汽车安全事件风险评估详解

汽车安全事件风险评估详解

在汽车的安全领域，保障车辆免受各类安全威胁是至关重要的。接下来，我们将详细探讨汽车安全事件的风险评估方法，包括离线阶段和在线阶段的具体操作，以及如何根据评估结果采取相应的应对措施。

1. 安全事件的定义

ISO 27005 将安全事件定义为可能导致损害的负面事件。而根据 ISO/SAE 21434，安全事件是指车辆运行时由负面事件引发的威胁场景。具体来说，安全事件描述了电子控制单元（ECU）上受保护资产属性的违规情况，这些属性对应着威胁类别。我们采用 CIA 三元组（保密性、完整性、可用性）来定义威胁类别集合 (T = {保密性, 完整性, 可用性})。当感知到负面事件时，会将其映射到相应的威胁类别，如下表所示：
| 负面事件 | 威胁类别（CIA） |
| — | — |
| 未知数据来源 | 完整性 |
| 无法验证的固件 | 完整性 |
| 未经授权的数据访问 | 保密性 |
| 延迟的流量 | 可用性 |

安全事件 (sii) 可以正式表示为 (E × A × T) 的元素，其中 (E) 是 ECU 的集合，(A) 是资产的集合。例如，安全事件 (sii = (信息娱乐系统, 音量命令, 完整性)) 表示信息娱乐系统识别出一个无法验证完整性的音量命令。

2. 离线阶段

离线阶段通常由一组专家在车辆设计阶段进行一次，为在线评估阶段提供必要的输入，包括评级的损害场景和资产依赖图。该阶段包含以下几个步骤：
- 步骤 Ioff：损害识别与评估
- 首先，确定所有损害场景的集合 (D)，这通常在专