2. 车辆网络安全基础
在进入 UNECE R155 的具体条款之前，必须先建立一套“共同语言”。R155 并不是一份单纯的技术规范，而是一套以管理体系为核心、以风险为导向的合规框架。它要求制造商证明自己具备持续识别、评估、处置车辆网络安全风险的能力，而不是仅仅通过一次性的测试。因此，理解 CSMS、SUMS、TARA 等术语的准确含义，是后续所有工程活动的基础。
一、核心概念：从“一次性合规”到“持续管理”
传统汽车安全更多关注功能安全（ISO 26262），其核心是避免系统性失效和随机硬件失效。而网络安全面对的是具有主观意图的对手，攻击者会持续寻找新的漏洞，因此合规必须是动态的、可迭代的。R155 用两个管理体系来承载这一思想：
- CSMS（Cyber Security Management System，网络安全管理体系）：面向车辆全生命周期的组织级管理体系，覆盖开发、生产、后生产（运维）三个阶段。它回答的是“企业如何持续地管理网络安全风险”。
- SUMS（Software Update Management System，软件更新管理体系）：与 R156 紧密相关，但 R155 也要求对软件更新过程进行网络安全控制。它回答的是“软件更新如何安全、可追溯、可回滚地实施”。
两者关系可以概括为：CSMS 是“面”，SUMS 是“线”。CSMS 覆盖整车所有电子电气系统的安全治理，SUMS 则聚焦于软件更新这一条高风险通道。R155 认证分为两个层级：先审核企业的 CSMS 是否合格，再审核具体车型是否按照 CSMS 正确实施了网络安全措施。
关键区分：CSMS 证书证明“企业有能力管”，车型批准证明“这台车确实管住了”。两者缺一不可，且 CSMS 证书通常有有效期，需要定期监督审核。
二、TARA：风险分析的方法论核心
TARA（Threat Analysis and Risk Assessment，威胁分析与风险评估）是 CSMS 的技术心脏。它把“可能被攻击”转化为“可量化、可排序、可处置”的工程输入。TARA 的典型流程如下：
- 资产识别：确定需要保护的资产，如固件、密钥、传感器数据、诊断接口、CAN 报文等。
- 威胁识别：针对每个资产，列出可能的威胁，如窃听、篡改、重放、拒绝服务、提权等。
- 攻击路径分析：结合攻击面，分析攻击者从入口到目标的可行路径。
- 影响评估：从安全（S）、财务（F）、运营（O）、隐私（P）四个维度评估损害程度。
- 攻击可行性评估：考虑时间、专业知识、设备、机会窗口等因素。
- 风险值计算与处置：根据影响和可行性确定风险等级，选择规避、降低、转移或接受。
在 R155 语境下，TARA 不是一次性的文档，而是与威胁情报、漏洞管理、事件响应联动的持续活动。攻击面会随新功能、新接口、新供应链而变化，TARA 必须同步更新。
三、典型攻击面：车辆从哪里被“撬开”
现代车辆是一个移动的分布式计算系统，攻击面远比传统 IT 系统复杂。下表列出主要攻击面及其典型风险：
| 攻击面 | 典型入口 | 可能后果 |
|---|---|---|
| 物理接口 | OBD-II 诊断口、USB、调试串口 | 直接注入 CAN 报文、刷写固件、提取密钥 |
| 短距无线 | 蓝牙、Wi-Fi、RFID、NFC | 配对劫持、中间人攻击、未授权访问 |
| 广域无线 | 蜂窝网络、V2X、GNSS | 远程指令伪造、位置欺骗、拒绝服务 |
| 车载网络 | CAN、LIN、FlexRay、以太网 | 报文篡改、重放、总线泛洪 |
| 云端与 App | 车联网平台、手机 App、OTA 服务器 | 账户接管、固件投毒、隐私泄露 |
| 供应链 | 第三方组件、开源库、诊断工具 | 后门植入、漏洞引入、证书滥用 |
这些攻击面并非孤立存在。攻击者往往从低风险入口切入，再横向移动到高价值目标。例如，先通过蓝牙漏洞进入信息娱乐系统，再借助网关配置缺陷渗透到动力 CAN 总线。因此，TARA 必须关注攻击路径的组合，而不是单点防护。
四、应用场景：从概念到工程落地
理解术语的最终目的是指导工程实践。以下三个场景能帮助建立直观认识：
- 场景一：OTA 升级。SUMS 要求升级包必须经过签名验证、传输加密、完整性校验，并具备回滚机制。若升级服务器被攻破，攻击者可向大量车辆推送恶意固件，后果是灾难性的。因此 OTA 是 CSMS 和 SUMS 的交汇点。
- 场景二：诊断接口防护。OBD 口是维修必需，但也是攻击者最容易接触的入口。R155 要求对诊断访问进行认证和授权，限制安全关键功能的写入权限，并记录诊断日志。
- 场景三：事件响应。CSMS 要求企业建立监测和响应能力。当发现某车型存在异常 CAN 流量时，能够快速定位、隔离、修复，并向监管机构报告。这体现了“持续管理”的本质。
学习建议：把 CSMS 理解为“企业安全治理框架”，把 SUMS 理解为“软件更新安全通道”，把 TARA 理解为“风险排序工具”。三者共同构成 R155 的合规三角。
五、常见误区与复盘
初学者容易陷入几个误区。第一，把 CSMS 等同于“写一堆文档”。实际上，审核员更关注体系是否真实运行，例如是否有威胁情报输入、是否有漏洞闭环记录。第二，认为 TARA 做完一次即可。实际上，新车型、新功能、新漏洞都会改变风险画像，TARA 必须版本化、可追溯。第三，忽视后生产阶段。R155 明确要求车辆量产后的监测、响应和更新能力，很多企业在此阶段准备不足。
复盘要点：如果企业只关注“通过认证”，而忽略体系的实际运行，往往在监督审核或真实攻击面前暴露短板。合规是底线，韧性才是目标。
下面用一张关系图总结本节的核心概念及其连接关系，帮助建立整体认知框架。