浅析R155法规与ISO/SAE 21434标准

作者：极氪软件及电子中心 阿凝，Sally

在汽车日益网联化、智能化的现在，汽车网络安全正凸显出越来越重的战略地位。并且随着汽车从传统交通工具转变为可移动的智能终端，监管机构和消费者对汽车及服务的网络安全风险和隐私数据泄漏的担忧也是与日俱增。由此国内外汽车网络安全相关的标准与法规也就应运而生。

2020年6月，联合国世界车辆法规协调论坛（WP.29)发布了关于智能网联汽车的重要法规R155（Cybersecurity），并于2021年1月下旬开始实施。根据欧盟要求，从2022年7月起所有新车型必须满足该法规获取了WVTA（Whole Vehicle Type Approval）证书，才能欧盟上市销售。2024年7月起制造的车辆必须满足该法规要求方可出厂销售。此法规适用范围覆盖了乘用车及商用车，适用于M类，N类车型，装备了至少一个ECU的O类车型，以及具备L3及以上自动驾驶功能的L6和L7类车型[1]。

R155规定车辆在特定国家范围内获得认证并批准上市销售的前提条件即强制要求。其合规认证主要分为两部分，一是网络安全管理体系认证CSMS，二是车辆网络安全型式认证VTA。

CSMS认证审查车辆制造商是否在车辆完整生命周期的各个阶段均制订了网络安全管理流程，以确保汽车全生命周期中都有对应的流程措施，保证信息安全设计、实施以及响应均有流程体系指导。R155法规中“7.2 网络安全管理体系要求”具体阐述了OEM应该满足的CSMS认证的内容要求。7.2.2明确规定OEM需要提供证据证明在车辆整个生命周期中各个阶段都制订了网络安全管理体系要求，同时充分考虑了安全性以及风险和减缓措施。CSMS要求OEM对网络攻击、威胁以及漏洞进行持续监测，并对发现的网络威胁和漏洞要在合理时间范围内响应并得到缓解。此外还要求OEM证明对供应商、服务提供商、子公司的管理均符合7.2.2要求，以保证车辆网络安全开发的一致性。

VTA认证则是进一步针对在车型开发过程中具体工作进行网络安全审查，保证在进行审查认证时车辆的网络安全技术已足够完备。关于VTA认证的要求内容在R155法规中“7.3车辆型式需求”具体阐述。首先第一条就是OEM须持有与认证车型相关的CSMS证书。此外还提出了OEM在车型开发过程中需进行车型要素识别，做到详尽的风险评估，管理并实施对应缓解措施来应对评估出的风险。同时在车辆认证之前OEM应对这些安全措施进行验证来确保其有效性。

 车辆必须同时满足CSMS认证及VTA认证，才具备市场的准入资格。

2021年8月31日，由SAE和ISO共同制订的，汽车网络安全领域首个国际标准ISO/SAE 21434"Road Vehicles-Cybersecurity engineering"正式发布。

作为道路车辆网络安全标准，ISO/SAE 21434要求覆盖了车辆所有的生命周期，包括概念阶段，开发，生产，运维，报废等所有过程，为开发人员提供了全面的方法来实施整个供应链（开发商，供应商，制造商）的安全保障措施。所以总的来说ISO/SAE 21434是标准，也是方法论，对R155法规的落地起到了支撑作用。

ISO/SAE 21434的整体介绍如下图所示：

ISO/SAE 21434由15章组成，主题部分为4~15章，包括组织及项目层级的网络安全管理，客户与供应商之间的职责分配，对量产后网络安全的持续监测分析，第9~14章描述了从概念设计阶段到产品开发，验证，生产及运维和报废的全生命周期的网络活动和相关要求。在最后一章，标准提供了一套网络安全威胁分析，风险评估的方法论(TARA)。

可以看出风险管理作为ISO/SAE 21434的核心思想，该标准在各阶段均有相关风险应对，如开发阶段通过TARA分析制订策略来缓解网络安全风险，在运维阶段，通过安全监测，安全事件响应，漏洞管理等持续活动，来应对出现的各种安全风险。

综上可以了解到R155和ISO/SAE 21434之间的相同点与不同点。相同点就是二者都要求在车辆整个生命周期均实施网络安全。其次，二者对组织内部建立网络安全管理体系均提出相关要求。不同点是属性方面，法规是具有地域限制的。R155适用于欧盟国家，ISO/SAE 21434则属于行业内标准，无地域限制及法律约束。另一个不同点ISO/SAE 21434在具体操作层面上给出了更详尽的指导，如标准中有专门对TARA分析以及参考模型的介绍等。

在中国，相关部门也在制订针对车辆的网络安全体系和车辆产品型式市场准入的强制规范与标准。比如工信部组织编制了《关于加强智能网联汽车生产企业及产品准入管理的意见》，《关于加强车联网网络安全和数据安全工作的通知》，提出了对网络安全保护要求，明确企业在网络安全防护中的义务和责任。类似于R155认证的强制规范《汽车整车信息安全技术要求》目前也正在起草中。

目前极氪也有车型出口计划，所以极氪已经建立了相对完善的网络安全开发管理体系，CSMS认证相关工作也有条不紊的开展中。同时积极参与国内强标的制定及VTA认证方法的探讨，助力国内网络安全工作落地。

[1]车辆分类注释：

①M类即载客四轮车，依据车辆载客人数以及车辆最大设计总质量分为M1、M2、M3三类。

②N类即载货车辆，依据车辆最大设计总质量分为N1、N2、N3三类。

③O类即挂车，依据车辆最大设计总质量分为O1、O2、O3、04四类。

④L类即两轮或三轮车辆，依据发动机排量、车速及功率分为L1、L2、L3、L4、L5、L6、L7七类。

⑤G类即越野车，G类车不是单独的一类，是M、N类中的一种。