1、ICS 35.020 CCS L 70 DB11 北京市地方标准 DB11/T 24702025 无人平台智能感知系统安全分析 技术规范 Technical specifications for security analysis of intelligent perception for unmanned platforms system 2025-09-23 发布 2026-01-01 实施北京市市场监督管理局发 布DB11/T 24702025 I 目 次 前言.II 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 无人平台智能感知系统构成.1 5 安全测试.1 6 结果分
2、析 .3 附录 A（资料性）无人平台智能感知系统说明.4 附录 B（资料性）无人平台智能感知干扰方法及攻击算法示例.7 附录 C（资料性）无人平台智能感知安全分析报告模板.10DB11/T 24702025 II 前 言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。本文件由北京市公安局提出并归口。本文件由北京市公安局组织实施。本文件起草单位：北京市公安局人工智能安全研究中心、中国标准化协会、清华大学、北京理工大学、北京瑞莱智慧科技有限公司、北京百度网讯科技有限公司、北京市标准化研究院。本文件主要起草人：蔡瑜坤、曹奇、孙毅、张晓飞、王崇鹏、王
3、东明、余珍风、周巧霖、刘云、封硕、陆秋婧、谭毓安、李元章、王晶、周治国、陆宇轩、徐艺溦、杨彬、孔凡真、辛铮、李建民。DB11/T 24702025 1 无人平台智能感知系统安全分析技术规范 1 范围 本文件规定了无人平台智能感知系统的安全测试和结果分析要求。本文件适用于无人平台智能感知系统的安全测试分析等工作。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 5271.31 信息技术 词汇 第31部分：人工智能 机器学习 3 术语和
4、定义 GB/T 5271.31界定的以及下列术语和定义适用于本文件。3.1 无人平台 unmanned platforms 搭载多路传感器、控制器、执行器等装置，具备复杂环境感知、智能决策、协同控制等功能，可实现自主运作的系统设备。常见如自动驾驶汽车、无人机、机器人等。3.2 对抗样本 adversarial examples 在数据中通过故意添加细微扰动所形成的输入样本，该样本可导致模型给出错误的输出。扰动既包括像素或特征层面的数值修改，也包括贴纸、特殊纹理等实体干扰，用于误导视觉或激光雷达感知，削弱模型的鲁棒性与决策可靠性。4 无人平台智能感知系统构成 4.1 无人平台智能感知系统通常由传
5、感器、智能感知算法、中间件与数据接口模块构成，实时采集和分析处理无人平台周边环境信息，例如行人、车辆、道路、建筑、交通标志及障碍物等。4.2 传感器负责多源异构数据的实时采集，包括但不限于摄像头、激光雷达、毫米波雷达、麦克风等，具体参见 A.2。4.3 智能感知算法对传感器获取的数据进行融合、处理与解析。算法输出结构化的感知信息，如目标类型、位置、速度、置信度等，支撑无人平台后续的决策规划与控制执行。其核心功能包括但不限于目标检测、语义分割、路径规划与避障、环境场景分类与事件检测等，具体参见 A.3。4.4 感知中间件与数据接口模块，用于协调不同设备间的数据交互、时序同步与数据格式转换，保障系
6、统的实时性与稳定性。DB11/T 24702025 2 5 安全测试 5.1 测试方案设计 根据无人平台的具体类型及安全需求等设定测试目标、测试数据集及测试方式。测试可采用仿真测试、封闭场地实验等方式开展。5.2 测试环境准备 5.2.1 测试环境搭建 搭建与无人平台实际操作环境相似的测试环境，应包含必要的硬件及软件。仿真测试应包括仿真环境地图、仿真测试软件、中间件接口软件等；封闭场地测试应包括实时控制系统、网络链接、显示分析系统等。5.2.2 传感器与智能感知算法选择 应准备与实际应用环境一致的传感器和智能感知算法，其技术规格应与实际运行条件相符。所选传感器应已完成标定与验证，所选算法应已完
7、成训练与验证，传感器参见A.2，智能感知算法参见A.3。5.3 测试数据集构建 5.3.1 基准数据集 基准数据集要求如下：a)应基于无人平台在典型运行场景构建；b)数据集场景应不少于10种；c)覆盖不低于设计使用场景的80；d)每类场景样本数量应不少于100个。5.3.2 特定场景数据集 特定场景数据集要求如下：a)构建本数据集应基于基准数据集采集环境，使用在特定场景采集及添加干扰方法等构建；b)特定场景应包含极端天气（如雾、雨、雪、沙尘）、复杂光照（如低照度、强逆光、强眩光、频闪）、高复杂度目标（如遮挡、微小/远距目标、密集人群等）、干扰（参见但不限于B.2）等；c)覆盖不低于上述场景的5
8、0；d)每类场景样本数量应不少于100个。5.3.3 对抗样本数据集 对抗样本数据集要求如下：a)构建本数据集应基于基准数据集采集环境，使用攻击算法（参见但不限于B.3）生成可通过传感器或识别算法接口输入的对抗样本数据；b)攻击算法应不少于5种；c)每类对抗样本数量应不少于100个，通过传感器采集的方式构建本数据集时，每类对抗样本数量应不少于10个。5.3.4 其他数据集 DB11/T 24702025 3 存在特定安全需要时，可构建其他数据集用于测试系统的其他安全能力。构建本数据集应基于基准数据集采集环境，每类样本数量应不少于100个。5.4 逐项测试 将按照 5.3 构建的数据集逐项输入到
9、智能感知系统中，执行 3 轮或以上测试。5.5 过程记录 记录测试过程所使用的设备的型号、系统参数、数据集组成信息及示例，每次测试的测试轮次、输入数据标签、输出结果、处理时间及异常情况。6 结果分析 6.1 确定分析指标 智能感知系统进行安全测试时，针对目标检测任务，宜将每一个对象类别视为一个单独的目标进行计算；针对语义分割任务，宜将对象区域每一个像素视为一个单独的目标进行计算；针对路径规划与避障、环境场景分类、事件检测等任务，宜将每一个实例视为一个单独的目标进行计算。根据具体应用需求，制定安全分析的指标体系，见表1。表1 分析指标表 关键维度 指标 定义 安全影响 检测准确性 精确率 检测结
10、果中正确目标的占比（TP/(TP+FP)）低精确率表示存在较多误检，可能导致系统错误决策。真实目标的检测情况 召回率 真实目标中被正确检测的占比（TP/(TP+FN)）低召回率（高漏检率）表示系统识别出真实目标或障碍物的能力较差，可能导致系统未能规避风险或及时响应，带来严重的安全隐患。漏检率 真实目标的漏检占比（1-召回率）虚假目标的检测情况 误检率 被误判为真实目标的占比（FP/(FP+TN)）高误检率容易使系统对非目标产生较多误判，浪费资源或引发误操作。抵御攻击能力攻击成功率 攻击成功占比（攻击成功样本数/总样本数）高攻击成功率说明系统在面对对抗样本时易被误导，可能威胁系统的安全性。精确率
11、衡量被系统判定为目标的样本中，真实为目标的比例。计算公式见式（1）。=100%（1）式中：Precision检测结果中正确目标的数量占比；TP目标被正确判断的数量，单位为个；FP非目标被错误判断为目标的数量，单位为个。DB11/T 24702025 4 召回率则是衡量所有真实目标中，被系统正确检测到的比例。计算公式见式（2）。=100%（2）式中：Recall真实目标中被正确检测的数量占比；FN目标被错误判断为非目标的数量，单位为个。误检率表示在所有真实为非目标的样本中，被错误检测为目标的比例。计算公式见式（3）。=100%（3）式中：FPR虚假目标的误判数量占比；TN非目标被正确判断的数量，
12、单位为个。漏检率表示在所有真实为目标的样本中，被漏检（未检测到）的比例。计算公式见式（4）。=(1 )100%（4）式中：FNR真实目标的漏检数量占比。攻击成功率表示数据成功干扰系统的比例。计算公式见式（5）。=_ 100%（5）式中：ASR样本攻击成功数量占比；_成功使系统出错的样本数量，单位为个；_测试时使用的样本总数量，单位为个。6.2 撰写分析报告 根据具体应用需求，开展综合分析并撰写分析报告，报告应包含分析概述、分析对象、系统测试、结果分析、完成时间、完成人签字、完成单位盖章等。报告模版参见附录C。DB11/T 24702025 5 附 录 A（资料性）传感器及智能感知算法样例 A.
13、1 概述 本附录列举了无人平台使用的常见传感器和智能感知算法。A.2 传感器 A.2.1 摄像头 具有视频摄像/传播和静态图像捕捉等基本功能，由感光组件及控制组件对可见光、红外、紫外等某一个或若干波段的光学图像进行采集、处理并转换成数字信号，可由并行端口、网络接口或USB接口等连接至计算机后，通过软件再还原成图像显示。无人平台使用的常见摄像头包含：a)前视/前远视：通常为单目/双目摄像头，安装在无人平台前部，主要功能为前进时的环境感知等；b)后视：通常为广角摄像头，安装在无人平台尾部，主要功能为后退时的环境感知等；c)周视/环视：通常为多个广角摄像头安装于无人平台左右侧下方以及前后侧下方四个位
14、置，其视场角较大，可以达到180以上。对采集的图像经过环视拼接处理后，可以输出无人平台周围的全景图，主要被用于无人平台周围510米内障碍物检测等。A.2.2 激光雷达 激光雷达是激光探测及测距系统的简称，由发射系统、接收系统、信息处理等组成，利用可见光和近红外光发射一个信号，经目标反射后被接收系统收集，通过测量反射光的运行时间而确定目标的距离。通常被安装在无人平台顶部用于探测无人平台在移动过程中的路况及障碍物。激光雷达的主要参数包括：探测距离、测距精度、线束、垂直/水平视场角（FOV）、角分辨率以及出点数等。A.2.3 毫米波雷达 毫米波雷达的工作频段主要分布在30GHz-300GHz，实际应
15、用中会根据国家法规和用途选择特定频段。通过对目标物体发送电磁波并接收回波来检测目标物体的距离、速度和角度。毫米波雷达通常被安装于无人平台最前端和最后端，被广泛应用于避障等。A.2.4 麦克风 具有音频采集和声波信号转换等基本功能，通过振膜或其它敏感元件接受声波后，由麦克风内的换能组件电路及控制组件对声波信号进行处理并转换成电子设备所能识别的模拟或数字信号，然后借由音频接口（如3.5mm接口、USB或无线连接）输入到电子设备后，由软件进行信号处理、分析和还原，实现声音的录制、传输或进一步应用。麦克风主要包含：a)定向麦克风：采用单指向性或超指向性设计，通常安装在无人平台前部，主要功能为采集特定方
16、向的声音信号，用于目标声源定位、语音识别、事件检测等；b)全向麦克风：采用全指向性设计，安装在无人平台顶部或中部，主要功能为均匀采集周围环境中的声音信号，适用于环境噪声监测或小型场景的环境声采集；c)麦克风阵列：由多个麦克风按特定几何结构排列组成，安装于无人平台的关键位置，通过多通道信号处理实现声源定位、噪声抑制和语音增强等功能。由于其高精度和抗干扰能力，主要被用于复杂环境下的目标检测、语音交互和场景分析等。DB11/T 24702025 6 A.3 智能感知算法 A.3.1 目标检测 目标检测任务通常运用图像、点云等数据处理技术，并借助深度学习等人工智能技术在智能交通、自主飞行、自主行动等场
17、景中检测识别出行人、车辆、建筑、标识、障碍物等环境信息。A.3.2 语义分割 语义分割任务旨在为图像、点云等数据的每个像素或空间位置分配对应的语义标签，其结果是将给定图像、点云划分为若干个有意义或感兴趣的区域，便于无人平台后续对环境进行理解，例如可行驶区域检测等。A.3.3 路径规划与避障 路径规划与避障任务是帮助无人平台在复杂环境中找到从起点到目标点的最优或可行路径，同时避开障碍物。A.3.4 环境场景分类 环境场景分类任务是通过分析传感器采集的数据，识别和分类无人平台当前所处的环境类型，支持导航、决策和任务执行。A.3.5 事件检测 事件检测任务是通过分析传感器采集的数据，识别和分类特定的
18、事件，支持无人平台的决策、控制、预警等。A.3.6 多目标追踪 对目标进行状态预测，基于运动模型预测下一帧状态，解决遮挡和交叉干扰问题，同时处理目标的新增、消失及ID切换，维护轨迹生命周期，支持无人平台的决策、控制、预警等。DB11/T 24702025 7 附 录 B（资料性）无人平台智能感知系统干扰方法及攻击算法示例 B.1 概述 本附录列举了进行无人平台智能感知系统安全分析涉及的常见干扰方法和常见攻击算法。B.2 常见干扰方法 B.2.1 对摄像头的干扰方式 常见干扰方式如下：a)通过向摄像头发射强光而使的相机拍摄的图像过度曝光而无法被感知系统失效；b)将干扰光束投射在物体上，使感知系统
19、将物体识别错误。B.2.2 对激光雷达的干扰方式 常见干扰方式如下：a)将激光雷达暴露在具备相同波长的强光源下，造成雷达无法从光源方向感知物体；b)通过添加噪声信号使激光雷达收集虚假数据来降低传感器数据的质量，从而影响无人平台的行为决策；c)通过激光脉冲在不同位置创建一个点来干扰无人平台系统。B.2.3 对毫米波雷达的干扰方式 常见干扰方式如下：a)向毫米波雷达发射虚假目标雷达信号，造成毫米波雷达误识别目标而失效；b)毫米波雷达接受来自非目标直接反射的回波信号，造成毫米波雷达误识别目标而失效。B.2.4 对麦克风的干扰方式 常见干扰方式如下：a)通过向麦克风发射高强度噪声或干扰音源，使得麦克风
20、采集的音频信号被干扰或淹没，导致感知系统失效；b)使用定向声源，将特定频率或模式的声音投射到麦克风附近，使感知系统对声源定位或音频事件识别错误。B.3 常见攻击算法 B.3.1 FGSM（Fast Gradient Sign Method）通过一阶梯度信息，快速生成对抗样本。扰动通过模型损失的梯度符号乘以微小常数得到。计算速度快，适用于初步测试模型的鲁棒性。但是攻击效果有限，尤其是对高防御性的模型。B.3.2 BIM（Basic Iterative Method）在FGSM的基础上迭代多次，每步生成微小扰动，逐步累加。相比FGSM生成更有效的对抗样本。但是计算成本较高。B.3.3 PGD（Pr
21、ojected Gradient Descent）DB11/T 24702025 8 在BIM的基础上增加投影步骤，使生成的样本始终在可控范围内。PGD被认为是白盒攻击中的“最强”基准方法。能生成鲁棒性较强的对抗样本。对计算资源需求较大。B.3.4 CW Attack（Carlini&Wagner Attack）利用优化算法生成对抗样本，通过调整目标函数的优化来确保样本能够成功迷惑模型。攻击效果强且控制扰动量。优化过程复杂，计算开销大。B.3.5 DeepFool 逐步寻找最小扰动，使样本跨越分类决策边界，达到干扰分类器的目的。生成的对抗样本扰动小。计算复杂度较高，不适合实时应用。B.3.6
22、JSMA（Jacobian-based Saliency Map Attack）利用模型的Jacobian矩阵，通过对重要特征施加扰动来生成对抗样本。可以更精准地控制特定区域的扰动。仅适用于白盒场景，且计算开销较高。B.3.7 EAD（Elastic-Net Attacks to Deep Neural Networks via Adversarial Examples）结合CW攻击和Elastic Net正则化，使用优化方法生成稀疏扰动的对抗样本。攻击效果强，且可控制扰动的稀疏性。计算资源需求大。B.3.8 STA（Spatial Transformation Attack）通过对输入样本进
23、行空间变换（如旋转、缩放）来生成对抗样本。对抗样本的变化具有物理可实现性。效果受限，尤其是对防御性强的模型。B.3.9 UPGD（Unrestricted Projected Gradient Descent）在PGD的基础上允许不受限的输入扰动，增强攻击灵活性。适合生成广义对抗样本。不可控性增加，应用场景受限。B.3.10 NES（Natural Evolution Strategies）使用进化算法来估计梯度，并使用这些估计值生成对抗样本。可用于模型不可访问的场景。攻击效率相对较低。B.3.11 SPSA（Simultaneous Perturbation Stochastic Appro
24、ximation）利用随机采样估计梯度，通过有限次数的查询来实现黑盒攻击。适用于查询次数有限的场景。在复杂模型上攻击效果不佳。B.3.12 GenAttack 基于遗传算法，通过模拟自然选择的方式生成对抗样本。灵活性高，适合无梯度信息的黑盒场景。计算代价高。B.3.13 Transfer Attack 通过一个可访问的代理模型生成对抗样本，期望样本在目标模型上具有同样的攻击效果。可以实现跨模型攻击。攻击效果依赖于模型间的相似性。B.3.14 Adversarial Patch DB11/T 24702025 9 在输入图像的某一位置贴上一个对抗补丁，利用模型对局部特征的敏感性生成对抗样本。适用
25、于实际物理世界的攻击。攻击效果容易受到模型防御策略的影响。B.3.15 AdvGAN 利用生成对抗网络（GAN）生成对抗样本，通过对抗训练来生成更鲁棒的对抗样本。生成的对抗样本多样性强。训练成本高。B.3.16 UAP（Universal Adversarial Perturbations）生成对多个输入样本都有效的通用扰动，通过白盒或黑盒方法实现。可以针对多样本一次性生成对抗样本。对某些输入的攻击效果有限。B.3.17 TFS(Towards Feature Space Adversarial Attack)通过扰动特定的中间层特征，诱导模型对输入的误分类。可以精确控制对抗扰动的位置。在黑盒
26、场景下不适用。B.3.18 ASA（Acoustic Spoofing Attack）通过伪造声源特征，干扰声源定位或声纹识别系统，或者使用声学反射器伪造声源位置，误导无人平台的声源定位系统。B.3.19 AdvPC（Adversarial 3D Point Clouds）通过生成可迁移的对抗扰动，干扰点云模型输出，但在高防御性模型中攻击效果可能较差且计算资源需求较大。B.3.20 LG-GAN（Label Guided Generative Adversarial Networks）利用生成对抗网络（GAN）结合标签引导生成针对特定目标的对抗点云，适用性可能受限于不同点云网络。B.3.21 ShapeAdv（Shape-Aware Adversarial 3D Point Clouds）通过扰动点云的几何形状生成形状感知的对抗样本，增强攻击隐蔽性，但计算量大且防御较强时效果可能下降。DB11/T 24702025 10附 录 C （资料性）无人平台智能感知系统安全分析报告模板 C.1 报告文件的页面格式见图C.1图C.3。单位为毫米 图 C.1 封面页格式 DB11/T 24702025 11 单位为毫米 图 C.2 内容页格式 DB11/T 24702025 12 单位为毫米 图 C.3 附录页格式
