孫 奕,李 巖,沈長達,郭 弘,黃志煒,毛 曉,李致君
(1.廈門市美亞柏科信息股份有限公司,福建 廈門361008; 2.司法鑒定科學研究院 上海市司法鑒定專業技術服務平臺 司法部司法鑒定重點實驗室,上海200063)
2021 年4 月,上海車展上一位特斯拉車主由于剎車失靈發生事故而維權,同年8 月,“美一好”創始人林某某駕駛開啟自動駕駛功能的蔚來汽車與正在作業的工程車相撞身亡。上述公眾關注度較高的案件中均提及了汽車電子數據鑒定,并將鑒定過程作為證明事實的關鍵環節。 隨著我國城市建設的高速發展和人民生活水平的日益提高,汽車已經逐漸成為人們日常生活中不可或缺的一部分。 根據公安部公布的數據,截至2021 年9 月,全國機動車保有量高達3.9 億輛,其中汽車2.97 億輛,全國機動車駕駛人高達4.76 億,其中汽車駕駛人有4.39 億。 與此同時,在新能源造車企業的帶動下,隨著車聯網、自動駕駛等技術的廣泛應用,汽車的智能化水平迅速提高,其中包含的電子數據種類和數量均顯著增長。
20 世紀70 年代,美國通用公司在汽車中安裝了用于記錄碰撞時安全氣囊數據的裝置,汽車中的電子數據發展起源于該裝置,是事件數據記錄系統(Event Data Recorder,EDR)的雛形。 通過在此基礎上不斷擴充完善,于20 世紀90 年代基本形成了現代EDR。 2006 年美國國家公路交通安全管理局(NHTSA)將 EDR 寫入法規中,我國于 2017 年頒布的GB 7258—2017《〈機動車運行安全技術條件〉國家標準第2 號修改單》強制要求自2022 年1 月1 日起新生產的機動車輛都應配備符合GB 39732—2020《汽車事件數據記錄系統》,或者符合GB/T 38892—2020《車載視頻行駛記錄系統》。 目前,EDR作為不可或缺的汽車組件,已成為汽車中關鍵的電子數據來源。
在信息技術飛速發展和交通管理水平顯著提高的背景下,公共交通車輛、出租車、大型貨車、危險物質運輸車輛以及新能源汽車上的車載電子設備種類和數量均有較大提升。 20 世紀70 年代,歐盟、日本等國家就開始以立法形式在部分客運車輛及貨車上強制安裝使用汽車行駛記錄儀。 我國自20世紀80 年代后期開始研制使用汽車行駛記錄儀,2003 年9 月1 日開始實施推薦性國家標準GB/T 19056—2003 《汽車行駛記錄儀》。 自 2004 年 7 月起,汽車行駛記錄儀開始在全國營運客車車輛上逐步推廣應用。 與此同時,行車記錄儀、娛樂系統、導航系統、T-Box 等新型設備也出現在各類車輛上,使得汽車從單純的交通運輸工具逐步演變為一個可移動的智能空間,且其所承載的數據也更為豐富和復雜,蘊含更大的證據價值。
汽車電子數據鑒定的第一類需求是事故調查,即確定交通事故的原因和責任。 在涉及人的層面,主要關注駕駛人是誰、駕駛人在事發時是否有操作失誤、駕駛人是否有違法違規行為(比如接打電話、使用手機、超速、疲勞駕駛、隨意停車等);在涉及車的層面,主要關注車輛的剎車、轉向等控制系統是否正常運作、車上的傳感器是否正常工作、行車記錄儀是否錄制了事發時的畫面等;其他層面的關注點主要包括車輛起火原因、周圍的行人、障礙物位置和狀態等。 第二類需求是根據電子數據查找操作痕跡或者溯源。 智能網聯汽車面臨被入侵的風險,如遠程控制車輛并干擾駕駛、鎖定車輛勒索錢財等都是以往罕見的犯罪行為。 事故的利益相關方可能采用刪除、篡改數據或記錄的方式來隱匿對自身不利的證據。 此外,通過篡改汽車的系統或數據以達到突破功能或安全性的限制, 或者通過篡改車輛識別號來“洗白”盜搶車輛,這些都可通過電子數據來溯源。第三類需求是對汽車電子數據的功能性鑒定,通常發生在侵權訴訟或者合規性審查中。 而自動駕駛系統的功能性鑒定將成為未來具有潛力的需求。
除了以上三類需求外,汽車電子數據在案件偵查和保險理賠中也有廣泛的需求,例如提取汽車中的聯系人和通話記錄、藍牙/Wi-Fi/USB 設備連接記錄、被盜車輛的行駛軌跡,收集車輛駕駛人的語音、人像和操作習慣等信息。
2012 年,美國國家標準技術研究院(NIST)和聯邦調查局(FBI)下屬的數字取證科學工作組(SWGDE)發布了Best Practices for Vehicle Infotainment and Telematics Systems 標準,對于汽車電子數據的保全、處理、設備要求、提取和分析提出了系統性要求,該標準在2021 年發布了3.0 版本草案。 結合國內司法鑒定工作的實際需求,司法部于2020 年5 月正式發布并實施了司法行政行業標準《汽車電子數據檢驗技術規范》,這也是國內首個面向汽車電子數據檢驗與鑒定的標準。 該標準對汽車電子數據檢驗中所涉及的儀器設備、現場檢驗和實驗室檢驗的基本流程要求進行了分類闡述。
目前,國際上知名度較高的汽車取證專用工具是博世(BOSCH)公司的CDR 和Berla 公司的iVe。由于上述工具的主要客戶都是在海外市場,廠商前期對國內車型研究較少,對于中外合資及國產車型的支持有限,特別是暫無法支持特斯拉等較為矚目的新興品牌。 國內許多電子數據取證企業也在研發相關的本土化產品,但尚未打造形成完整的生態鏈。
汽車作為一個極為復雜的系統,整合了多個不同類型的子系統,其中負責在多個電子控制系統間進行數據傳輸的通信協議是車輛總線。 目前,應用最為廣泛的車輛總線是博世公司開發的控制器局域網絡(Cantroller Area Network, CAN)總線,其構成如圖 1 所示。

圖1 汽車CAN 總線結構
車輛總線連接了多個不同的子系統,這些子系統是汽車電子數據的主要來源。 另一種車輛數據交互方式是車聯網(Internet of Vehicles,IoV)。 一個典型的車聯網系統由主機、車載T-Box、手機APP 及后臺系統四個部分構成,具體如圖2 所示。 其中,車載T-Box 主要用于和后臺系統/手機APP 通信,實現手機APP 的車輛信息顯示與控制。 T-Box 通過4G/5G 遠程無線通信、GPS 衛星定位、加速度傳感器和CAN 通信功能,實現車輛遠程監控、遠程控制、安全監測和報警、遠程診斷等多種在線應用。

圖2 車聯網架構
筆者現將汽車中主要的數據來源列舉如下:
(1)電子控制單元(Electronic Control Unit,ECU),又稱“行車電腦”“車載電腦”“電控單元”。 同普通的單片機一樣,由微處理器(CPU)、存儲器(ROM、RAM)、輸入/輸出接口(I/O)、模數轉換器(A/D)以及整形、驅動等大規模集成電路組成。 常見的ECU 包括發動機管理系統(Engine Management System,EMS)、自動變速箱控制單元(Transmission Control Unit,TCU)、車身控制模塊(Body Control Module,BCM)、車身電子穩定控制系統(Electronic Stability Program,ESP)、電池管理系統(Battery Management System,BMS)以及整車控制器(Vehicle Control Unit,VCU)。
汽車電控單元主要服務于汽車的行駛控制,通常存儲容量較小,其中除了存儲電控單元的基本信息外, 在電控單元發生故障時還會存儲故障信息。以發動機控制單元為例,其存儲的信息包括車架號、IBS 零件號、生產日期、編程數據以及故障碼等信息。 此外,為了更好地改進車輛的排放水平,減少污染物的排放,國際標準針對排放系統提出故障檢測的需求并提出凍結幀的概念,即當排放系統出現故障碼時,ECU 也會同時存儲出現故障碼時的數據及相關參數,比如發生故障時的車速、時間等信息。
(2)EDR 是一種監控汽車數據記錄的系統,整合于車輛氣囊控制模塊內部,用于記錄車輛碰撞前(激活前或到觸發條件)特定時間段內的車輛速度、發動機轉速、油門踏板位置、制動踏板操作情況,以及車輛碰撞后一定時間段內的速度和加速度的變化情況。 EDR 數據記錄內容通常包括以下幾類:
①事件恢復時車輛的系統狀態,數據包含車輛車架號、電腦零件號、設備供應商和事件恢復時車輛的點火周期等。
②發生事故時的系統狀態,數據包含事件記錄的完整情況、事故發生時的車輛點火周期、駕駛位和副駕駛位的安全帶狀態、安全氣囊報警燈狀態、事件數、水平車輛最大變化車速及時間、橫向車輛最大變化車速及時間、事件發生時ECU 的供電電壓等。
③氣囊展開命令相關數據,數據包括駕駛員前部安全氣囊展開指令及時間、乘客前部安全氣囊展開指令及時間、駕駛員和乘客膝部安全氣囊展開指令、左側和右側安全氣囊及氣簾展開指令。
④碰撞前5 s 數據,數據包括車速、加速踏板位置、發動機節氣門百分比、剎車狀態、發動機轉速、ABS 狀態、方向盤轉角、四輪轉速、四輪胎壓及狀態、定速巡航狀態等。
⑤碰撞后數據,數據包括車輛橫向和縱向速度變化量等。
(3)車載信息娛樂系統(In-Vehicle Infotainment,IVI),俗稱“車機”,是利用車載專用中央處理器基于車身總線系統和互聯網服務形成的車載綜合信息處理系統。 目前,車輛所安裝的車機能夠實現包括導航、輔助駕駛、故障檢測、車輛信息顯示、車身控制、無線通信、在線娛樂以及與手機聯動等一系列應用。 根據安裝的時間點進行分類,車機可分為原裝車機(也稱前裝車機)和加裝車機(也稱后裝車機)。表1 列出了常見的車機類型和操作系統。原裝車機系統一般都接入了車載CAN 總線中,因此可提取到車輛信息、狀態信息(如開關門狀態、座椅狀態、油門踏板狀態、剎車踏板狀態)、車輛速度以及行駛里程等信息。加裝車機通常無法接入車輛CAN總線,通常不會保存車輛的狀態和傳感器信息。 以目前最常見的基于Android 操作系統的加裝車機為例,其硬件方案多數采用CPU+eMMC(Embedded Multi Media Card,嵌入式多媒體卡)架構。

表1 常見的車機系統及其平臺
(4)行駛記錄儀俗稱汽車的“黑匣子”,是對車輛行駛速度、時間、里程以及有關車輛行駛的其他狀態信息進行記錄、存儲,并可通過接口實現數據輸出的數字式電子記錄裝置。 現階段市面上安裝使用的不同行駛記錄儀產品具有多種形態,常見的產品形態包括普通汽車行駛記錄儀、視頻行駛記錄儀和智能行駛記錄儀。根據國家標準GB/T 19056—2012《汽車行駛記錄儀》,行駛記錄儀上存儲的數據主要有行駛速度、位置記錄信息、事故疑點(停車前20 s速度、位置、信號狀態等)、超時駕駛記錄、車輛行駛狀態信號、總里程、駕駛員登錄信息、記錄儀供電信息等(設備應保存數據周期為7 d)。
(5)行車記錄儀。 區別于根據國家規定強制安裝的“行駛記錄儀”,行車記錄儀是車主或駕駛人為了避免事故糾紛等原因, 在車內安裝的能夠循環攝錄行車過程影像的記錄設備。 隨著物聯網和移動計算技術的發展,行車記錄儀也從早期的單一攝錄功能,發展為集影像攝錄、動態導航、4G/5G 聯網、AI 助手以及流媒體后視鏡等功能于一身的綜合智能設備。
行車記錄儀中存儲的數據主要以視頻數據為主,多數行車記錄儀采用了外置可移動存儲卡(如TF/SD 卡),設備開始工作后按照設定的配置(如錄制時間段和視頻分辨率),將行車過程中錄制的視頻直接保存到存儲卡中。 行車記錄儀的視頻格式根據廠商不同而不同,部分行車記錄儀會采用私有格式或編碼, 需要特定的解碼器進行解碼才能播放,部分具備GPS 定位模塊的行車記錄儀,可將GPS 車速以及定位信息和GPS 時間直接標注在視頻中。若發生事故時,此類數據對車輛整體狀態的分析有較大幫助。
(6)車載 T-Box(Telematics Box),是車聯網系統的組成部分。 T-Box 根據安裝時間可分為前裝和后裝, 前裝主要是T-Box 廠商通過OEM 的方式提供相關服務,將汽車生產與CAN 總線直接相連,可獲得車規級的系統保證,提供完整的供電設計,保證可靠性;后裝主要是通過汽車診斷口進行插接,可代替OBD(On-Board Diagnostic)設備,也可通過破線方式進行安裝。
目前,車輛上的T-Box 應用大致分為兩類:一類主要安裝于新能源汽車,數據內容包括整車數據、驅動電機數據、燃料電池數據、發動機數據、車輛位置數據、極值數據以及報警數據等;另一類安裝于部分燃油動力汽車,主要用于汽車租賃等行業。
根據汽車電子數據的來源和交互方式,提取其中的電子數據主要有以下幾種基本方法,各種方法并不是相互獨立的,需要根據實際情況綜合使用。
(1)基于 OBD 接口的數據提取,主要適用于CAN 總線連接的設備,如 ECU 和 EDR 等。 數據提取使用專用提取工具進行。 當前大部分車輛使用的OBD 接口是符合 SAE J1962 標準的 OBD-II 接口。 在汽車可以正常啟動的情況下,可在方向盤下方等位置找到該接口。 數據提取過程使用車內供電系統,不需要額外電源。 在汽車無法正常啟動的情況下,由于缺少供電,需要拆卸模塊并使用外部電源供電后提取。 根據車型不同,需使用不同的連接線。 在提取過程中應避免翻轉、碰撞、移動模塊,否則新產生的事件記錄可能會覆蓋原有數據。通常情況下,EDR 安裝在安全氣囊控制模塊的內部,因此對EDR 數據的提取主要針對安全氣囊的控制模塊進行,而安全氣囊模塊屬于ECU 的一種,故EDR 的數據提取方式通常跟ECU 的提取方式基本一致。
(2)數據導出至外接存儲介質,主要適用于具有USB、SD 卡插槽等通用物理接口的設備,如行駛記錄儀、T-Box、信息娛樂系統等。 數據提取使用設備自帶的導出功能進行。 在國家強制要求安裝行駛記錄儀設備的車輛上,行駛記錄儀的安裝位置相對較為固定,通常安裝在駕駛室頂部、中控臺面、中控收音機附近或副駕駛手套箱附近。 不同形態的行駛記錄儀設備都預留有外部物理接口,用于提取設備內部記錄數據。 通常可通過車輛給行駛記錄儀設備供電,用U 盤接入行駛記錄儀USB 口,根據設備提示操作按鍵導出VDR 文件。 針對視頻行駛記錄儀或智能行駛記錄儀設備,行車數據和視頻數據一般存在SD 卡或內置硬盤中,除通過U 盤文件導出方法,還可直接讀取SD 卡或硬盤獲取行車數據和視頻數據。
(3)拆卸模塊或存儲介質,拆卸模塊主要為了暴露內部的隱藏接口或觸點,或解決無法供電、無法進行數據交互等問題。 拆卸存儲介質主要適用于具有可見、可拆卸存儲介質的設備,如行車記錄儀、信息娛樂系統等。
汽車中常見的存儲介質是SD 存儲卡、硬盤和閃存芯片,拆卸存儲介質宜在斷電后進行,拆下的存儲介質即可按照常規方式進行提取和分析。 拆卸模塊或存儲介質通常在斷電時進行,以避免帶電操作造成數據存儲異常。 部分行駛記錄儀設備配有內部電源,如需拆卸設備提取數據,應先關閉設備背部電源開關進行斷電,否則由于拆卸過程產生的新數據可能造成舊數據覆蓋丟失。
寶馬等品牌的信息娛樂系統包含的內置硬盤帶有ATA 加密,且加密密鑰根據以太網MAC 地址、藍牙MAC 地址、序列號等信息生成。 如果ATA 密鑰被移除,硬盤裝回車機后將不能被正常識別,因此在檢驗完成后仍需還原該ATA 加密。 使用JTAG或者直接拆焊芯片讀取的方式通常作為其他數據提取方法都無效時的最后選擇。
(4)基于協議交互的數據提取,對于具有串口的行駛記錄儀、信息娛樂系統等設備可通過命令行發送指令提取對應數據,數據交換格式也較為統一。 在通過CAN 總線或者車聯網進行數據交互時,通過 UDS(Unified Diagnostic Services)及 DoIP(Diagnostic over IP)協議的數據包進行捕獲和解析,可以得到大量有用的信息。
使用eMMC 存儲芯片的信息娛樂系統、T-Box等設備, 制造商為了方便燒錄程序和后期升級,會在電路板上預留讀寫eMMC 的測試點,通過焊線或對應的夾具引出到TF 卡的PCB 上,可將eMMC 掛載讀取或制作鏡像。針對特定文件系統(如QNX6FS)的鏡像可進一步恢復數據。 一些T-Box 設備電路板上具有ST-LINK 等特定接口,也適用該方法進行提取。 使用Android 系統的信息娛樂系統, 可使用adb 進行數據提取。對于需要獲取root 權限的情形,可參照Android 手機取證進行。
(5)基于車聯網的數據提取,主要適用于接入車聯網的T-Box 和信息娛樂系統等。 針對車聯網APP 的取證是其中一個重要途徑,目前主流品牌車輛都推出了可遠程操控的車聯網APP,如奧迪的myAudi、寶馬的myBMW 等。 其數據存儲也分為汽車端、操控端(手機等)和云端幾部分。
(6)基于安全漏洞的數據提取。 早期基于WinCE系統的信息娛樂系統,廠商為了方便升級和減少開發成本,將第三方導航程序放在外部存儲中,即可在外部存儲路徑執行。 通過制作相應版本的數據提取程序替換導航程序,即可獲取文件系統的鏡像。 由于漏洞利用的技術門檻較高,實踐中通常由信息安全或取證行業的廠商針對漏洞開發相應的工具。
在實踐操作中,汽車取證同樣遵循電子數據取證的一般流程。 參考德國聯邦信息安全辦公室(BSI)發布的指南以及文獻[16]提出的技術框架,本文提出一種改進的汽車電子數據鑒定技術框架,主要分為以下六個階段:
(1)方案策劃。 根據委托人提供的需檢車輛信息(車型、出廠年份、識別號等),收集相關手冊與技術文檔,查閱知識庫中該車型的檢驗策略與步驟,指派具有資質的鑒定人員。 對于特殊狀態的需檢車輛(如涉水、涉爆)還需制定安全措施,以防止對檢驗人員造成意外傷害。
(2)操作準備。 通過現場勘驗,逐一發現并識別待檢汽車上的接口和組件,評估提取操作對數據完整性的影響,確定各個數據來源的檢驗順序和檢驗方式,準備數據提取工具和適配的連接線纜與轉接口。
(3)數據獲取。 根據(1)的方案和(2)的發現,分別在現場和實驗室獲取檢驗所需的原始數據。 其中:現場檢驗主要通過OBD、USB 等接口讀取或導出數據;實驗室檢驗主要針對可拆卸的模塊和存儲介質、JTAG 提取等難度較高的操作,以及云端數據獲取等對環境和時效沒有特別要求的檢驗過程。
(4)數據檢驗。 利用廠商工具、汽車取證工具和一般電子數據取證工具對各個來源獲取的數據進行解密和解碼,篩選與委托要求相關的數據,轉化為可直接處理的數據格式。
(5)數據分析。 根據委托要求對各類數據進行關聯分析和計算,形成與委托要求相對應的鑒定意見,為案件調查提供有用信息。 必要時給出潛在的關聯數據來源提示。
(6)形成報告。 與其他電子數據鑒定類似,形成的鑒定報告需包括檢驗方法、工具、數據獲取情況、檢驗步驟、分析說明和鑒定意見。 報告內容應確保各個環節的使用者均可以正確理解。
2019 年5 月,某高速公路發生一起大貨車追尾轎車的重大交通事故,事故造成轎車乘員一死一傷。 根據大貨車司機描述,發生碰撞事故時前車處于停止狀態。 由于事發路段較為偏僻,無現場監控視頻和途徑現場車輛的行車記錄儀數據,辦案機關委托某機構對事故車輛進行鑒定,以確定事故發生時的車輛狀態。
案件中被追尾的轎車已嚴重損壞,委托人送檢時已經由專業人員將車輛的EDR 模塊從事故車輛中拆下,本案例在實驗室中對送檢EDR 模塊進行數據提取。 通過查詢廠商資料,分別確定電源正、電源接地、CAN_H 以及 CAN_L 針腳位置,如圖 3 所示。 再通過USB 轉CAN 連接線與檢驗工作站連接,使用EDR 數據提取工具讀取數據。

圖3 EDR 接口定義
由于提取所獲得的數據為加密的私有格式,進一步使用廠商提供的配置文件和工具進行轉換解碼后,即可獲得該EDR 中所導出的原始數據記錄,其中包括該車碰撞前5 s 的狀態數據,如表2所示。

表2 車輛碰撞前5 s 的EDR 數據
經分析, 事故轎車事發前5 s 車速為0, 發動機轉速保持在640 r·min,剎車、油門踏板均為未踩下狀態。 據此可推斷,該車在事故發生時處于發動機怠速的停止狀態。 由于轎車后方被大貨車碰撞,觸發了安全氣囊彈出,因此安全氣囊起爆前的數據能夠客觀反映出車輛碰撞發生前的狀態。 最終,電子數據鑒定結果與現場痕跡勘驗結果、駕駛員的口供均能相互印證,成為辦案機關的定案依據。
某市市郊高速公路發生一起由大貨車導致的16 車連環相撞的交通事故,由于事故現場情況較為復雜,辦案機關將肇事大貨車的車載行駛記錄儀送檢,要求鑒定大貨車在事發時間的行駛狀態,以確定事故原因。
從大貨車駕駛室中拆下的型號為BSJ_A6BD的“北斗雙模”行駛記錄儀,正面檢見USB 接口,背面檢見連接通信天線和車輛的數據接口,未檢見內置電源。使用背面的24 針接口為其供12V 直流電,將空白U 盤連接到USB 接口, 通過菜單中的導出選項導出數據,得到以“D+年月日_ 時分_ 車牌號.VDR”形式命名的文件。
經過檢驗發現,該VDR 文件數據格式符合GB/T 19056—2012《汽車行駛記錄儀》附錄 A 的規定:在03H 數據幀處,解析得到車輛在2021-05-19 的累計行駛里程數為430 210.9km;在05H 數據幀處,解析得到本車輛識別碼、車輛號牌信息(如圖4 所示);后續可繼續解析得到行駛速度記錄、位置信息記錄、事故疑點記錄、超時駕駛記錄等重點數據。 其中,行駛速度記錄信息如表3 所示,超時駕駛記錄數據如表4 所示,部分數據已經過脫敏處理。

表3 車輛行駛速度記錄

表4 超時駕駛記錄

圖4 VDR 文件數據示例
經分析可知:該車在事發時最高行駛速度為76 km·h;事發當天,車輛駕駛員自早上 6 時 45 分開始駕駛車輛,直至中午12 時18 分事發,已連續駕駛5.5 h。 根據以上結果,辦案機關結合現場勘驗(事發路段限速80 km·h)以及司機供述(該車僅有一名隨車駕駛員)綜合分析認定,造成該起事故的主要原因是大貨車司機疲勞駕駛、精力不集中,因而未及時采取有效制動而追尾。
隨著汽車智能化程度的日益提高和新能源汽車的快速普及推廣,汽車中包含的海量電子數據能夠為交通事故調查和現場重建、刑事案件偵查分析工作提供很多幫助。 同時,自動駕駛、人工智能和車聯網等技術使得汽車和云服務器、手機智能終端的結合也更為緊密,因此,汽車電子數據鑒定必將很快成為電子數據檢驗鑒定不可或缺的組成部分。 由于智能網聯汽車涉及的品牌、車型和系統眾多,針對不同車型的取證技術研究將有多個研究分支,在該層面上各種汽車取證工具預期將形成差異化競爭。 此外,相當數量的車載電子模塊尚無統一的標準約束,其安裝位置、硬件平臺、系統平臺再到上層應用都不盡相同,通常涉及復雜的技術和操作方法,而這些不確定性將成為汽車電子數據鑒定的另一挑戰。