從功能安全到資訊安全：SGS協助智慧載具與無人機建構整合安全設計

一、智慧載具安全風險從故障延伸至網路攻擊

智慧載具與無人機的運作安全，涉及硬體、軟體及通訊系統間的相互影響。從功能安全角度來看，感測器漂移或失效、軟體邏輯錯誤、電源或推進系統故障，以及資料毀損或遺失，都可能造成非預期行為；從資訊安全角度來看，全球導航衛星系統（GNSS）訊號欺騙或干擾、指令鏈路遭劫持或阻斷、惡意韌體更新，以及身分、權限或金鑰遭濫用，也可能影響載具控制。SGS建議業者於產品開發階段同步評估故障與攻擊情境，作為安全需求與測試規劃的依據。

二、結合功能安全與資訊安全，評估系統可信賴性

智慧載具的系統可信賴性（Dependability），涉及功能、性能、可靠度、功能安全及資訊安全等面向，並須配合品質管理、系統工程、組態與變更控制。採用AI或自動化功能的產品，亦宜依應用情境評估相關功能限制與預期功能安全議題。功能安全著重於辨識故障及規劃適當的安全回應，例如透過合理性檢查、系統診斷、看門狗機制（Watchdog）、故障偵測與隔離，搭配降級運作、備援及重新配置等措施，並依任務情境評估受控降落或終止任務等處置，有助於降低故障導致不可接受風險的可能性。

三、關注資訊安全對飛行與控制功能的影響

網路攻擊可能改變載具行為，因此資訊安全評估除了資料保護，也須考量對飛行與控制功能的影響。無人機與智慧載具宜關注GNSS與導航資料、指揮控制鏈路、軟體與韌體更新，以及身分、金鑰與權限管理，並評估指令與更新來源驗證、欺騙與異常偵測、可疑資料隔離及安全復原等措施。以GNSS資料異常為例，系統可透過異常偵測與其他可信輸入進行交叉評估，隔離可疑位置資料，再依設備能力與任務情境，評估替代導航、有限度懸停或受控降落等回應方式，並保留事件紀錄，作為後續測試與殘餘風險評估的依據。

四、串聯風險分析與測試，建立可追溯的驗證證據

安全設計須將風險分析結果轉化為需求、控制措施與測試項目。業者可依「分析、建置、驗證（Analyze－Build－Prove）」流程，於分析階段運用攻擊樹（Attack Tree）、FMEA、FTA、FMEDA及風險模型；建置階段參考MISRA C／C++、CERT C／C++等程式設計規範，搭配靜態分析與受控開發流程；驗證階段則透過故障注入、模糊測試（Fuzz Testing）、整合測試及滲透測試，評估系統實際反應。此外，MIL、SIL、HIL及VIL等迴路測試可依產品與測試目的採用，逐步評估異常處理、資料可信度判斷、降級模式及任務復原等行為，有助於業者在進入實際道路或飛行測試前，累積設計與風險控制措施的驗證證據。

五、SGS協助企業整合功能安全、資安與合規需求

智慧載具與無人機的安全驗證，須綜合考量產品用途、任務情境、目標市場，以及適用法規與合約要求。SGS可依產品與應用需求，提供功能安全、資訊安全、可靠度、測試驗證及第三方評估等相關技術服務，協助企業串聯安全需求、系統架構、設計實作、測試結果與殘餘風險紀錄，支持產品安全與合規評估。

歡迎洽詢SGS，了解智慧載具與無人機相關測試驗證服務。Email 📩 jeff-tw.chang@sgs.com