1. 课程导入

欢迎进入《UNECE R155车辆网络安全工程》课程。本章不急于展开条款细节，而是先建立一张“全局地图”：我们为什么必须学 R155？它管什么、不管什么？一辆车的网络安全工程从需求到量产要经过哪些环节？以及在这门 30 章的课程里，我们将沿着怎样的路径逐步深入。学完本章，你应当能够用自己的话解释 R155 的定位，并说出一套车辆网络安全工程的基本框架。

一、学习目标：从“知道法规”到“能做工程”

本课程的目标不是背诵条款，而是把法规要求转化为可执行的工程活动。具体而言，完成学习后你应达到以下四个层次：

• 认知层：理解 UNECE R155 的立法背景、适用范围、与 ISO/SAE 21434 及 R156 的关系。
• 方法层：掌握网络安全管理体系（CSMS）的构成，以及威胁分析与风险评估（TARA）的基本方法。
• 执行层：能够把安全需求分解到架构、接口、诊断、OTA、供应链等具体工程对象上。
• 合规层：理解型式认证、审核证据链、持续监控与事件响应如何形成闭环。

二、法规背景：为什么车辆网络安全被写进强制法规

智能网联汽车把大量电子控制单元（ECU）、车载网络、远程通信模块、云端服务和移动 App 连成一体。便利性提升的同时，攻击面也从“物理接触”扩展到“远程可达”。一次成功的远程入侵可能影响车辆控制、隐私数据甚至人身安全，因此监管层不再把它当作企业自愿行为，而是纳入车辆准入条件。

UNECE R155 由联合国欧洲经济委员会 WP.29 框架下制定，核心是两项强制要求：一是制造商必须建立并运行网络安全管理体系（CSMS）；二是具体车型必须通过网络安全型式认证（VTA）。前者证明组织能力持续有效，后者证明该车型的风险已被识别并处置。与之配套的 R156 管软件更新，ISO/SAE 21434 则提供工程方法，三者关系可概括为：R155 定要求，21434 给方法，R156 管更新。

三、整体框架：五条主线串起全部工程活动

上图给出了本课程的总框架。可以把它理解为五条主线：

1. 法规主线：R155 的 CSMS 与 VTA 要求，R156 的软件更新要求，以及它们与 ISO/SAE 21434 的映射关系。
2. 风险主线：从资产识别、威胁场景、攻击路径到影响与可行性评估，形成 TARA 闭环。
3. 需求主线：把风险处置决策转化为可分配、可实现、可验证的安全需求。
4. 实现主线：在电子电气架构、车载网络、诊断接口、OTA、云端与供应链中落地安全措施。
5. 运营主线：量产后的监控、漏洞管理、事件响应、持续改进与审核证据维护。

这五条主线不是串行的一次性流程，而是相互反馈的循环。例如运营阶段发现的新漏洞，会反向触发 TARA 更新和安全需求变更，进而影响架构与验证活动。

四、方法流程：一个车型从零到合规的典型步骤

下面用一段简化的流程描述，帮助你把法规要求对应到工程动作。实际项目中这些步骤会迭代进行。

步骤1  确定车型范围与边界：整车、系统、ECU、接口、云端、App
步骤2  建立资产清单与数据流图：识别有价值对象与信任边界
步骤3  开展 TARA：威胁场景 → 攻击路径 → 影响/可行性 → 风险值
步骤4  制定风险处置决策：规避、降低、转移、接受
步骤5  导出安全需求并分配到部件与接口
步骤6  设计安全措施：安全启动、SecOC、访问控制、密钥管理、诊断保护
步骤7  实现与集成，同步更新威胁分析与需求追溯矩阵
步骤8  测试验证：渗透测试、模糊测试、接口测试、回归测试
步骤9  形成认证证据包：体系文件、TARA 报告、测试报告、追溯记录
步骤10 量产后的监控、漏洞响应、OTA 更新与 CSMS 持续审核

五、案例场景：一次远程攻击如何触发合规链条

假设某车型的远程通信模块存在一个可被远程利用的漏洞，攻击者可能通过它向车内总线发送异常报文。这个场景在工程中会这样被处理：

• 资产识别：远程通信模块、网关、CAN 总线、关键 ECU 均被标记为资产。
• 威胁分析：攻击路径为“远程接口 → 通信模块 → 网关 → 总线 → 执行器”，影响涉及车辆控制与安全。
• 风险处置：决定降低风险，要求网关实施报文过滤与入侵检测，通信模块实施安全启动与证书校验。
• 需求落地：形成“网关应拒绝非授权诊断报文”“通信模块应校验固件签名”等可测试需求。
• 验证与证据：通过渗透测试和模糊测试验证，保留测试报告与需求追溯记录。
• 运营响应：量产后若发现新变种，通过 R156 的 OTA 流程修复，并更新 TARA 与监控规则。

可以看到，一个技术漏洞最终会牵动法规、流程、证据和运营多个层面，这正是车辆网络安全工程的特点。

六、常见误区与复盘要点

七、本章小结