2. R155法规基础

UN R155 是联合国欧洲经济委员会（UNECE）在 WP.29 框架下发布的关于网络安全与网络安全管理体系（CSMS）的法规，全称为《关于车辆网络安全的统一规定》。它并不是一份“技术实现规范”，而是一份管理体系 + 型式批准相结合的法规：一方面要求制造商建立可审计的网络安全流程，另一方面要求车辆型式获得网络安全批准。理解 R155，必须同时抓住“管什么车、管什么组织、管什么活动”三条主线。

一、适用范围：谁被管、管到哪一层

R155 的适用对象是车辆类型（vehicle type），覆盖 M 类、N 类以及至少 O 类中具备一定电子电气架构的车辆。法规关注的是车辆在开发、生产、后生产（post-production）全生命周期内的网络安全风险，而不是单一零部件。其核心逻辑是：只要车辆存在外部通信接口、软件更新能力、远程控制或数据交互能力，就落入监管范围。

需要特别区分三个层次：

• 车辆型式批准：证明该车型满足 R155 的网络安全要求，是进入市场的门槛。
• CSMS 认证：证明组织具备持续管理网络安全的能力，是“体系证书”。
• 威胁监控与事件响应：证明组织在车辆量产后仍能发现、评估、处置网络安全事件，是“持续义务”。

二、CSMS 认证要求：体系不是文档，而是可运行闭环

CSMS（Cyber Security Management System）认证要求制造商建立覆盖组织、流程、技术、供应链的网络安全治理体系。审核关注的是“体系是否真实运行”，而不是“文件是否齐全”。典型要求包括：

1. 定义网络安全职责与治理结构，明确责任主体与接口人。
2. 建立风险评估与威胁分析流程，覆盖 TARA、攻击面识别、风险处置。
3. 建立供应链网络安全要求，对供应商提出可验证的安全能力要求。
4. 建立漏洞管理与事件响应流程，包括监测、分级、处置、恢复、复盘。
5. 建立持续改进机制，通过内审、管理评审、指标度量证明体系有效。

CSMS 认证通常按“体系审核 + 现场审核”方式执行，证书有效期一般为三年，期间需接受监督审核。审核证据往往包括：风险评估报告、测试记录、漏洞跟踪表、事件响应演练记录、供应商安全协议等。

三、威胁监控与事件响应的法规条款

R155 明确要求制造商在车辆后生产阶段持续监控网络安全威胁，并对事件做出响应。其核心义务可归纳为“监测—评估—处置—通报—改进”五个环节：

• 监测：建立对车辆、云端、供应链的威胁情报与异常检测能力。
• 评估：对监测到的威胁进行分级，判断是否构成网络安全事件。
• 处置：采取缓解、隔离、修复、OTA 更新等措施，控制影响范围。
• 通报：按法规与监管要求，向型式批准机构报告重大事件。
• 改进：将事件转化为风险输入，更新 TARA 与防护策略。

下面这张图展示了 R155 中“车辆型式批准—CSMS 认证—威胁监控与事件响应”三者的关系与数据流，帮助理解法规义务如何落到工程活动上。

四、合规义务与责任主体：谁签字、谁负责

R155 的责任主体首先是整车制造商（OEM）。OEM 需要向型式批准机构证明其 CSMS 有效运行，并对车辆网络安全负最终责任。供应商则通过合同与安全要求承接部分义务，但法规责任不因外包而转移。监管机构负责审核、发证与监督，并在重大事件中接收通报。

五、案例与常见误区

某车企在 CSMS 审核中被开出不符合项：其威胁监控仅覆盖云端 TSP，未覆盖车辆内部 CAN 与诊断接口的异常行为。审核员认为，R155 要求的是“车辆相关”的网络安全监控，不能只做云端日志。整改后，该车企将 IDS 探针部署到网关与关键 ECU，并建立事件分级规则，才通过监督审核。

从工程落地角度看，R155 的合规不是“写文件”，而是把威胁监控、事件响应、漏洞管理、供应链安全嵌入到整车开发与运维流程中。只有让监测数据、事件工单、修复记录和 TARA 更新形成闭环，CSMS 认证与型式批准才具备可持续性。

R155 合规最小闭环示例：
1. 资产与接口清单 → 2. TARA 风险分析 → 3. 安全需求与测试
4. 量产监测规则 → 5. 事件分级与响应 → 6. 通报与复盘
7. 更新 TARA 与防护策略 → 回到 1

理解 R155 的关键，是把“法规条款”翻译成“可执行动作”：适用范围决定边界，CSMS 认证决定能力，威胁监控与事件响应决定持续合规。三者缺一不可，共同构成车辆网络安全型式批准的基础。