构筑智能网联汽车信息安全标准保障体系

文│ 中国汽车技术研究中心有限公司 王兆 李宝田 孙航

随着 5G、人工智能、物联网等新型基础设施的迅速发展，智能网联汽车已成为新兴技术与汽车产业融合创新的重要组成部分。汽车不再是孤立的机械单元，已逐步成为智能交通、智慧能源、智慧城市等系统的重要载体和节点，并将由移动私人空间逐渐转变为可移动的智能网络终端——智能网联汽车。

智能网联汽车作为车联网的核心节点，体现出显著的终端设备属性，其与外界的交互手段逐步丰富，车联网相关设备、系统间的数据信息交互相较传统汽车更加频繁，万物互联下的网络攻击也逐渐渗透到车联网的领域。以信息篡改、病毒入侵、恶意代码植入等手段对智能网联汽车进行网络攻击而引发的汽车网络安全问题也愈发严峻，由此引发的威胁也将从传统的财产安全蔓延到数据安全、人身安全、社会安全，甚至是国家安全。

标准是衡量产业技术水平和产品质量性能的标尺，在促进技术进步、守住安全底线方面起着举足轻重的作用。如何通过标准发挥引领作用，应对车辆信息安全风险挑战，提升智能网联汽车信息安全保障能力，构建产业平稳健康运行的新形态，是对智能网联汽车时代信息安全标准化工作提出的全新要求。

一、以政策法规为纲，奠定体系方向

自 2015 年 4 月以来，国务院以及工业和信息化部、国家标准化管理委员会、国家互联网信息办公室、交通运输部、科学技术部、国家发展和改革委员会、公安部等政府主管部门相继出台一系列政策规划，旨加强智能汽车信息安全技术及标准顶层设计。相关主管部门密集出台了一系列政策法规，为智能网联汽车信息安全标准化提供指导纲要。

法规层面，《中华人民共和国网络安全法》已于 2017 年 6 月 1 日正式实施；《中华人民共和国密码法》于 2020 年 1 月 1 日起开始施行；2021 年 6 月，全国人大通过了《中华人民共和国数据安全法》；2021 年 8 月，全国人大通过了《中华人民共和国个人信息保护法》。

政策层面，2017 年 12 月，国家标准化管理委员会、工业和信息化部（以下简称“国标委”、“工信部”）联合发布了《国家车联网产业标准体系建设指南（智能网联汽车）》，系统性提出汽车信息安全标准建设指导规划；

国标委从 2018 年起连续三年印发《标准化工作要点》，对推进智能网联汽车信息安全标准体系建设提出具体要求；

工信部作为汽车行业的主管部门，从 2018 年起连续三年发布《智能网联汽车标准化工作要点》，并在 2021 年 3 月发布《2021 年工业和信息化标准工作要点》的指导纲领，提出加强智能网联汽车全产业链标准工作的统筹推进；

2021 年 4 月，工信部发布了《智能网联汽车生产企业及产品准入管理指南（试行）》（征求意见稿），从汽车生产企业和汽车产品两方面，对智能网联汽车网络安全过程保障及产品网络安全测试等提出要求；

2021 年 6 月 21 日，工信部就《车联网（智能网联汽车）网络安全标准体系建设指南》公开征求意见；6 月 23 日，工信部就《关于加强车联网（智能网联汽车）网络安全工作的通知（征求意见稿）》公开征求意见。

除国标委及工信部发布的相关规划指导，2020 年 2 月，国家发改委、科技部等 11 个部委发布《智能汽车创新发展战略》，明确提出了保障智能网联汽车信息安全相关的工作规划；2021 年5 月，国家互联网信息办公室发布《汽车数据安全管理若干规定（征求意见稿）》，对汽车数据合规提出详细的规定。

主管部门出台的多领域、多层次的政策法规，为智能网联汽车信息安全标准体系建设与标准制定奠定方向。全国汽车标准化技术委员会是国家标准委下属最大的专业技术委员会，下设 30 个专业分委会，智能网联汽车分技术委员会（SAC/TC114/SC 34）成立于 2017 年，负责归口管理我国智能网联汽车领域的国家标准和行业标准。为落实有关政策法规要求，充分发挥标准在保障车辆信息安全、推动产业健康有序发展的引领和支撑作用，2017 年智能网联汽车分标委秘书处（以下简称“秘书处”）正式设立汽车信息安全标准工作组，在主管部门指导下，开展汽车信息安全标准体系框架研究以及标准制定工作。

汽车信息安全标准工作组开展标准化工作的基本思路是：基于汽车信息安全风险危害及诱因，围绕智能网联汽车部署纵深防御、主动防御、韧性防御等系统性防御策略，从保护对象的真实性、保密性、完整性、可用性、访问可控性、抗抵赖、可核查性、可预防性八个维度展开研究分析，制定具体的标准体系及标准项目，体系内容划分为 5大类：

1）基础和通用类项目。基础类标准主要包括术语和定义、概念和流程及通用规范三部分内容。

2）共性技术类项目。共性技术类标准主要包括涉及汽车整车、系统、部件信息安全防护共性技术的风险评估、安全防护和测试评价三大关键环节。

3）关键系统与部件类项目。关键系统与部件类标准主要针对车辆通信及数据采集、传输、存储，对通信交互所涉及的系统和部件信息安全提出防护要求。

4）功能应用与管理类项目。功能应用与管理类标准包括了智能网联汽车的信息通信基本的信息安全功能，以及在各类具体应用场景下应满足的安全防护要求，包括身份认证、软件升级（OTA）等具体标准。

5）相关标准类项目。主要包括车辆外部通信过程以及车联网平台和基础设施相应的一系列信息安全防护标准、规范和指南。这部分将与汽车信息安全标准相配合，实现汽车与外界通信的整体网络环境安全。

图 汽车信息安全标准体系

通过建立汽车信息安全标准体系，梳理现有标准框架，明确标准项目名称及范畴，制定项目规划及实施计划等工作，为国家形成汽车行业相关政策提供标准支撑，为行业安全监管提供科学抓手，指导整车/零部件企业产品安全设计开发，提升智能网联汽车信息安全防护水平。

二、以行业需求为本，搭建研究平台

标准是企业产品研发、测试及生产的重要准绳，在汽车信息安全标准化工作过程中，秘书处组织企业专家开展“标准新项目提案、技术需求调研、标准验证试验及标准法规技术沙龙”等工作，充分吸纳各单位对标准体系及项目的意见建议，不断更新完善现有体系。并根据实际需求，结合标准化对象及应用范围，划分为强制性国家标准、推荐性国家标准及行业标准，充分发挥不同层级、不同性质标准在安全保障、行业管理、产业引领及技术创新中的作用。

当前汽车信息安全标准体系涵盖近 30 项标准项目，依据标准体系有序开展标准制定，首要任务是把握行业急需标准项目，抓主要问题，按计划推进。车联网（智能网联汽车）基于“云、管、端”三层架构，内容丰富，涉及面广，车联网安全主要包括人、车、路、通信、服务平台 5 类要素。而“车”是车联网的核心，作为移动智能终端安全首当其冲，主要涉及车联网远程、近场通信和内部网络通信系统安全，同时贯穿数据安全和隐私保护等关键要素，这是汽车信息安全的核心内容。

因此汽车信息安全标准制定及研究项目首先应围绕整车、关键系统与部件开展研讨，工作组目前已分批次累计开展 15 项标准制定及研究；其中，第一批次的 5 项标准：《汽车信息安全通用技术要求》《电动汽车远程服务与管理系统信息安全技术要求及试验方法》《车载信息交互系统信息安全技术要求及试验方法》《汽车网关信息安全技术要求及试验方法》《电动汽车充电系统信息安全技术要求及试验方法》已经全部完成报批，正在履行发布程序。

标准体系的建设实施大致可分：调研探索期、建设完善期及落地成熟期三个阶段。随着主管部门统筹规划与监管保障的贯彻实施，配套标准项目不断丰富完善，防护技术手段趋于成熟并有效落地，最终构成智能网联汽车科学、系统、有力的信息安全保障体系。

标准制定将关注行业之所需，解决发展过程之难题，通过标准体系研究制定汽车信息安全急需技术标准，加强技术标准对产业发展和行业管理需求的有效供给。与此同时，为更好应对标准化工作面临的挑战，秘书处与通信、密码等相关标委会积极合作，与中国智能网联汽车产业创新联盟签订合作备忘录，共同围绕信息安全等重点话题搭建广泛的技术研究与交流协作平台，构建标准与技术发展相互促进、产业平稳健康运行的新形态。

三、以国际协调为基，推动协同发展

智能网联汽车是我国汽车行业深入参与国际标准法规制定的重要机遇，特别是近几年，中国代表陆续担任联合国世界车辆法规协调论坛（WP.29）框架下自动驾驶与网联车辆工作组副主席及多个非正式工作组的联合主席，承担 ISO/TC22/SC33/WG9 自动驾驶汽车测试场景工作组召集人，以及 TC22/SC32/WG11 信息安全工作组PAS 5112 项目联合组长职责，承担实质性标准法规制定协调工作，使我国真正融入国际标准法规工作，并做出了积极贡献。

中国汽车技术研究中心有限公司标准化研究所，依托 C-WP.29 秘书处支撑主管部门在自动驾驶与网联车辆（GRVA）工作组下设的信息安全与软件升级（CS/OTA）非常设工作组（IWG），开展法规跟踪与协调工作。

联合国世界车辆法规协调论坛（WP.29）通过的 UN R155 法规《信息安全与信息安全管理体系（CSMS）》已正式生效，并于 2021 年 3 月审议通过法规的配套解读文件。该法规旨在通过建立清晰的实施和审核要求来帮助整车企业解决信息安全风险，是汽车信息安全领域第一个国际协调和有约束力的准则。法规的正式实施将对《1958 年协定书》相关协定国具有极大的约束力，并成为全球汽车信息安全产业发展的助推剂。在法规及其解读文件的编制过程中，秘书处组织中国专家积极提案并参与法规协调相关活动，中国代表对法规中的技术条款进行对比研究，并积极参与到适用于《1998 年协定书》缔约方的 GTR 法规制定工作中，为国标制定积累经验并提供协调基础的同时，持续提升我国在国际汽车法规协调中的影响力。

与此同时，中汽中心标准所积极承担 ISO/TC22 国内对口单位职责，紧密跟踪 TC22/SC32/WG11 车辆电气、电子部件及通用系统分技术委员会下设信息安全工作组 2 项标准规范的动态。

ISO/SAE FDIS 21434《道路车辆-信息安全工程，Road vehicles-Cybersecurity Engineering》作为当前汽车信息安全领域最重要的国际标准之一，对保障汽车全生命周期的信息安全过程管理提出系统性要求，该工作组自 2016 年启动至今，共召开 13 次工作组会议，由中汽中心组织中国专家全程深度参与，多次提交提案和建议，并牵头组织行业专家有序推进该国际标准的转化。作为该项目配套实施细则，ISO PAS 5112《道路车辆-信息安全工程审核指南，Road vehicles—Guidelines forauditing cybersecurity engineering》,也由中国代表作为联合组长，组织国内外行业专家围绕“审计问卷”等重点章节开展研讨与编制，不断提升汽车信息安全国际标准协调的影响力。

围绕 UN WP.29 及 ISO 两大基本点，中汽中心始终坚持“管理标准国际同步转化、技术标准国内率先制定、双轨并行协同开展”的工作方式，积极组建国际对口专家队伍，跟踪意见决议，开展对比分析，研究参与策略，优化工作方法。

2021 年 6 月 21 日，伴随着中国汽车标准国际化中心（CASIC）正式成立，汽车信息安全标准化工作迎来了全新的发展机遇，要充分把握平台优势，加强与国内外汽车行业骨干企业沟通交流，主动对接国际组织和相关机构，不断扩大中国智能网联汽车标准的朋友圈，形成政府支持、行业主体、多方参与、协同推进的标准国际化发展新格局。

习近平总书记在中央政治局第二十六次集体学习时强调，做好新时代国家安全工作，要坚持总体国家安全观，统筹发展和安全。可以看到，汽车信息安全发展的本质，是人与人之间不断的攻防对抗，因此，汽车信息安全标准体系建设是一项系统工程、长期任务，在主管部门的统筹规划下，紧密结合产业发展实际需求，以发展的眼光动态完善智能网联汽车信息安全标准体系，持续优化提升标准体系供给结构和水平。只有立好标准、遵守标准、践行标准，才能引领汽车信息安全核心技术攻关，推动产业更好更快发展。

（本文刊登于《中国信息安全》杂志2021年第7期）