4. 车载网络安全标准与法规
车载网络安全不是“把防火墙装进车里”这么简单。它涉及整车生命周期、供应链协同、型式认证与持续运维。理解 ISO/SAE 21434、UN R155/R156、ISO 24089 与 WP.29 之间的关系，是建立验证与审计工程体系的起点。本节从标准定位、核心机制、合规流程和常见误区四个层面展开。
一、标准与法规的定位：谁管什么
这些文件并非互相替代，而是分别覆盖“工程方法”“准入法规”“软件更新”“国际协调”四个维度。可以用一张关系图看清它们的边界与衔接。
从图中可见，WP.29 是法规协调平台，UN R155/R156 是强制准入要求，ISO/SAE 21434 与 ISO 24089 是支撑合规的工程方法标准。企业若只做 21434 而不建 CSMS，无法通过 R155 认证；只建 CSMS 而无 21434 的 TARA 与验证证据，审计时也站不住脚。
二、核心机制：CSMS 与 SUMS 到底要什么
UN R155 要求制造商建立网络安全管理系统（CSMS），其核心不是一份文档，而是一套可运行、可审计、可持续改进的闭环。关键要素包括：
- 风险识别与评估：对整车、系统、组件进行 TARA，识别资产、威胁、攻击路径与影响。
- 风险处置：选择规避、缓解、转移或接受，并保留决策依据。
- 威胁监测与响应：量产后的漏洞情报、事件监测、应急响应与修复流程。
- 供应链管理：对供应商提出网络安全要求，获取其证据并纳入整车证据链。
- 持续改进：定期评审、内审、管理评审与纠正措施。
UN R156 则要求软件更新管理系统（SUMS），重点在于 OTA 与线下更新的安全性和可控性。它要求明确更新范围、依赖关系、兼容性、失败回滚、用户告知与法规符合性。ISO 24089 为 SUMS 提供了更细的工程流程，包括更新包构建、签名验证、版本管理、车辆状态检查与更新后验证。
关键区别：CSMS 管“车不被攻破”，SUMS 管“软件变更不引入新风险”。两者在 OTA 场景下强耦合：一次 OTA 既可能修复漏洞，也可能引入新攻击面，因此必须同时走网络安全评估与软件更新流程。
三、合规流程：从 TARA 到型式认证
实际项目中，合规不是线性文档流，而是多角色协同的证据链。下面给出一个可落地的流程清单，便于审计时逐项核对。
| 阶段 | 主要活动 | 输出证据 | 对应标准/法规 |
|---|---|---|---|
| 概念阶段 | 定义资产、边界、TARA、网络安全目标 | TARA 报告、网络安全概念 | ISO/SAE 21434 |
| 开发阶段 | 安全需求分解、架构设计、接口加固 | 需求追溯矩阵、设计评审记录 | ISO/SAE 21434 |
| 验证阶段 | 漏洞扫描、渗透测试、模糊测试、合规测试 | 测试报告、缺陷闭环记录 | ISO/SAE 21434 / R155 |
| 更新管理 | 更新包签名、依赖检查、回滚策略、OTA 验证 | SUMS 流程记录、更新验证报告 | UN R156 / ISO 24089 |
| 运维阶段 | 威胁监测、漏洞响应、事件复盘、持续改进 | 监测日志、响应记录、管理评审 | UN R155 / CSMS |
| 认证阶段 | 提交 CSMS/SUMS 审核、型式认证、工厂审查 | 认证证书、审核报告 | WP.29 / UN R155/R156 |
在审计视角下，最常被追问的是“证据是否可追溯”。例如，某条安全需求来自哪个威胁场景？该威胁的 TARA 评分依据是什么？对应的测试用例覆盖了哪些攻击路径？如果这些链条断裂，即使技术做得再好，也难以通过合规审查。
四、案例与误区：为什么“做了渗透测试”不等于合规
某 Tier1 在项目后期才引入网络安全团队，完成了渗透测试并修复了高危漏洞，但在 R155 审核时仍被开出不符合项。原因是：没有在概念阶段进行 TARA，安全需求无法追溯到威胁；供应商未提供网络安全证据；量产后的威胁监测流程缺失。这说明合规关注的是“全生命周期能力”，而非单点测试结果。
常见误区：
- 把 ISO/SAE 21434 当成“文档模板”，只补文件不建流程。
- 认为 UN R155 只针对整车厂，忽视供应链证据传递。
- 把 SUMS 等同于“OTA 服务器”，忽略车辆端更新条件检查与回滚。
- 在审计前突击补记录，导致时间线与实际开发过程矛盾。
正确的做法是：在项目启动时即建立网络安全计划，明确角色、职责、交付物与评审节点；将 TARA 与需求管理、测试管理、变更管理打通；对供应商提出可验证的网络安全要求；在运维阶段建立漏洞情报与事件响应机制。这样，CSMS 与 SUMS 才能成为可审计、可复用的工程资产，而不是一次性认证负担。
合规证据链检查示例（审计用）：
1. 资产清单 -> 2. TARA 报告 -> 3. 安全需求 -> 4. 设计文档
-> 5. 测试用例 -> 6. 测试报告 -> 7. 缺陷闭环 -> 8. 更新记录
-> 9. 监测日志 -> 10. 管理评审
若任一环节缺失或时间倒置，视为证据链断裂。总结来看，ISO/SAE 21434 提供工程方法，UN R155/R156 提供准入要求，ISO 24089 补充软件更新工程，WP.29 提供国际法规框架。验证与审计工程的核心任务，是把这些要求转化为可执行、可追溯、可复现的证据链，并贯穿整车从概念到报废的全生命周期。