3. 法规与标准概览
在车型网络安全认证与量产审核工程中，法规与标准并不是“参考资料”，而是决定项目能否上市、能否持续合规的硬约束。UN R155、UN R156 属于联合国法规层面的强制准入要求，ISO/SAE 21434 是工程方法标准，GB 44495 等中国国家标准则把网络安全要求落到国内车型准入与监管体系中。理解它们之间的层级、对象和交付物关系，是后续做 CSMS 体系、TARA 分析、测试验证和审核证据链的起点。
一句话抓住主线：UN R155 管“车辆网络安全与 CSMS”，UN R156 管“软件更新与 SUMS”，ISO/SAE 21434 提供“怎么做”的工程流程，GB 44495 等国内标准把“在中国市场怎么做、做到什么程度”转化为可检验的合规要求。
一、核心原理：法规、标准、认证与审核的四层关系
很多团队容易把“法规”和“标准”混为一谈。法规回答“必须做什么、谁负责、不合规会怎样”，标准回答“用什么流程、方法、证据来证明做到了”。在车型项目中，它们形成如下四层结构：
- 法规层：UN R155、UN R156 是联合国欧洲经济委员会法规，属于型式批准准入条件；GB 44495 等是中国国家标准/强制要求，直接约束国内车型。
- 体系层：CSMS（网络安全管理体系）和 SUMS（软件更新管理体系）是法规要求企业建立并持续运行的管理体系，不是单个车型的一次性文档。
- 工程层：ISO/SAE 21434 定义网络安全工程全生命周期活动，包括概念、开发、生产、运维、报废各阶段的 TARA、需求、验证、监控与响应。
- 审核层：认证机构或审核方通过体系审核、车型审核、测试报告、证据记录，判断企业是否满足法规与标准要求。
因此，一个车型要同时回答三个问题：企业有没有可运行的 CSMS/SUMS？车型有没有完成网络安全工程活动并留下证据？软件更新有没有安全、可控、可追溯的机制？
二、UN R155/R156：准入法规的核心要求
UN R155 的核心是“网络安全型式批准”。它要求制造商建立 CSMS，并证明该体系已应用于具体车型。CSMS 不是一张证书，而是一套覆盖开发、生产、后市场的管理能力，包括风险识别、风险评估、风险处置、验证确认、监控响应和持续改进。车型层面需要提交网络安全相关文档，说明关键资产、威胁场景、风险处置措施和验证结果。
UN R156 的核心是“软件更新型式批准”。它要求制造商建立 SUMS，确保软件更新在发布前经过评估、验证和授权，更新过程可追溯、可回滚、可告知用户，并保证更新不影响车辆安全与合规状态。R156 关注的不只是 OTA，也包括线下刷写和诊断更新。
| 法规/标准 | 核心对象 | 关键要求 | 典型交付物 |
|---|---|---|---|
| UN R155 | 车辆网络安全 + CSMS | 建立并运行 CSMS，完成车型风险评估与处置，持续监控与响应 | CSMS 体系文件、车型网络安全文档、TARA 报告、测试证据 |
| UN R156 | 软件更新 + SUMS | 建立 SUMS，更新前评估、验证、授权，更新可追溯、可回滚 | SUMS 体系文件、更新影响分析、更新验证报告、用户告知记录 |
| ISO/SAE 21434 | 网络安全工程流程 | 全生命周期 TARA、需求、设计、验证、监控与响应 | 网络安全计划、TARA、安全需求、验证报告、监控响应记录 |
| GB 44495 等 | 中国车型网络安全合规 | 结合国内监管要求，明确网络安全、软件升级、数据与接口等要求 | 合规声明、测试报告、体系证据、车型技术文档 |
三、ISO/SAE 21434：把法规要求变成工程动作
ISO/SAE 21434 是道路车辆网络安全工程标准，它不直接规定“必须装某个防火墙”，而是规定“必须用可审计的流程识别风险、定义需求、验证效果”。其核心方法链可以概括为：
- 资产识别：识别车辆电子电气架构中的关键资产，如网关、域控制器、T-Box、诊断接口、OTA 通道、密钥与证书。
- TARA：进行威胁分析与风险评估，确定资产价值、攻击路径、影响等级和风险值。
- 安全需求：把风险处置转化为可验证的安全需求，如安全启动、安全通信、访问控制、入侵检测、日志审计。
- 设计与实现：在架构、软件、硬件和供应链中落实安全需求，并管理接口与依赖。
- 验证与确认：通过测试、渗透、仿真和审核证明措施有效。
- 监控与响应：量产后的漏洞监控、事件响应、更新修复和持续改进。
在量产审核中，审核员通常不会只看“有没有 TARA”，而会追问：TARA 的输入是否覆盖真实架构？风险处置是否落到需求？需求是否被测试覆盖？测试失败后是否闭环？这些问题正是 ISO/SAE 21434 与 UN R155 审核之间的连接点。
四、GB 44495 等国内标准：中国市场的落地要求
GB 44495 等国内标准面向中国市场的车辆网络安全与软件升级管理，强调与国内监管体系、数据安全、个人信息保护、关键信息基础设施等要求的衔接。对车企而言，不能简单把 UN R155/R156 的文档翻译成中文就认为满足国内要求，而需要关注：
- 车型在中国市场的网络安全边界、通信接口和数据流向是否清晰；
- 软件升级是否具备版本管理、完整性校验、失败回滚和用户告知；
- 网络安全事件监测、报告和处置是否满足国内监管时限与格式；
- 供应链中的第三方组件、开源软件和云服务是否纳入合规证据链。
工程提示：把 UN R155/R156、ISO/SAE 21434 和 GB 44495 的要求映射到同一张“合规需求矩阵”中，可以避免重复写文档，也能在审核时快速定位证据。矩阵至少包含：要求来源、适用车型、责任部门、交付物、验证方式、审核状态。
五、案例场景：一个车型如何同时满足多重要求
假设某车型计划在欧洲和中国同步上市。项目组先依据 UN R155 建立 CSMS，完成车型 TARA，识别出 T-Box 远程控制接口和 OTA 通道为高风险资产；再依据 UN R156 建立 SUMS，规定 OTA 包必须签名、校验、灰度发布并支持回滚；同时按照 ISO/SAE 21434 把风险处置写成安全需求，分配到 T-Box、网关和云端；最后对照 GB 44495 等国内标准补充数据出境、日志留存和事件报告要求。审核时，审核员看到的不是零散文档，而是一条从法规要求到工程活动再到测试证据的完整链路。
六、常见误区与复盘
- 误区一：把 CSMS 当成一次性认证材料。CSMS 必须持续运行，量产后的监控、漏洞响应和更新记录同样是审核对象。
- 误区二：只做车型测试，不做体系审核。UN R155/R156 既看体系，也看车型应用，两者缺一不可。
- 误区三：忽略软件更新与网络安全的交叉。OTA 既是 R156 的对象，也是 R155 的攻击面，必须联合分析。
- 误区四：国内标准直接套用国外文档。国内监管在数据、报告、接口等方面有独立要求，需要单独映射和验证。
复盘结论：法规与标准的关系可以记成“两层法规 + 一套方法 + 本地化落地”：UN R155/R156 定准入，ISO/SAE 21434 定方法，GB 44495 等定中国市场合规。项目成功的关键不是背条款，而是建立可追溯、可验证、可审核的证据链。
综上，UN R155/R156 是准入法规，ISO/SAE 21434 是工程方法，GB 44495 等是国内落地要求。三者不是替代关系，而是从“必须合规”到“如何合规”再到“在中国如何证明合规”的递进关系。掌握这张关系图，后续做 CSMS 体系、TARA、测试验证和量产审核时，才能把每一项工作放到正确的位置上。