事关新车准入！预计2024年底国内汽车上市需要这个安全「通行证」

顺应汽车智能化加速、软件定义汽车趋势，因网络安全、数据安全引发的安全隐患层出不穷，智能网联汽车网络安全方案部署显得更为紧迫。

有数据显示，2010年以来，公开报道可见的与智能汽车相关的安全事件多达1200多起。其中，2020年全年有30个与汽车直接相关的CVE（Common vulnerability & Exposures，公共漏洞和暴露）公布，截止到2022年12月相关CVE数量增至284个。

根据工信部网安局数据显示，近年来整车企业、车联网信息服务商等相关企业和平台遭遇的恶意攻击达到280余万次，85%的关键部件存在安全漏洞。

此前，欧盟就要求所有智能网联车辆从2024年7月起必须满足UN R155、UN R156要求，而这两项法规分别是全球首个关于汽车网络安全和软件升级的强制法规，并于2021年1月生效。这意味着欧盟对车辆网络安全和软件升级提出了规范的准入管理要求。

事实上，有关汽车网络安全方面的布局，主机厂们早已行动。面向欧盟准入要求，诸如奇瑞、上汽、蔚来、小鹏、长城汽车、哪吒汽车等主机厂，已经先后获得了UN R155车辆网络安全管理体系认证。

今年5月，我国也开展了《汽车整车信息安全技术要求》等四项强制性国家标准的制修订，并形成了征求意见稿，公开征求社会各界意见。这标志着我国亦将车辆网络安全与新车准入挂钩，主机厂不得不更重视网络安全问题。

“5月发布的是（整车信息安全）强标公开征求意见稿，后续还有审查、报批、发布、实施等过程，而发布到实施通常有一年时间间隔，若压缩时间快速推进，最快可能在2024年底颁布实施。”一位行业专家向高工智能汽车表示。

可以预见的是，随着国内整车信息安全强标落地实施日期逼近，主机厂们必将提前考量各自在汽车网络安全体系方面的布局计划，或有助于汽车网络安全方案供应商生态的完善，并推动汽车网络安全这一细分赛道走向成熟发展。

网络安全大混战

事实上，不同于功能安全等，汽车网络安全极具特殊性。

例如，从技术角度来看，功能安全是为了保障汽车功能按照设计要求正常进行，尽量减少因系统设计问题导致的功能失效，同时保证功能按照预期功能实现。

而汽车网络安全主要是防止外界攻击，旨在通过采取防御措施等手段抵御外界攻击，保证车辆系统正常运行，避免财产损失，同时保护个人隐私和安全。

相比于功能安全问题，网络安全问题的出现是更难以计算的小概率事件。无论是消费者还是主机厂，对网络安全所起的防护作用有多大，实际感知并不强。

另外，主机厂们出于对成本的考量，在汽车网络安全方面的布局标准，主要以法规为基准。

其中，欧盟打响了汽车网络安全法规第一枪，UN R156软件更新法规与UN R155网络安全法规于2021年1月生效，对车辆网络安全和软件升级提出了规范的准入管理要求。

根据欧盟的要求，从2022年7月起，在欧盟销售的所有新车需进行UN R155、UN R156这两项法规所要求的型式认证，才能上市销售。

紧随欧盟脚步，我国今年5月发布了《汽车整车信息安全技术要求》强标征求意见稿，这也意味着随着该强标的完善和颁布，未来国内所有上市的新车都要符合该标准。于汽车网络安全行业而言，无疑是利好消息。

毕竟，在相关强制法规的驱动下，主机厂大多以新车准入门槛为底线，逐步搭建完善各自的汽车网络安全体系。因此，政策强制之上，汽车网络安全行业的生死线和发展速度，实际由主机厂们间接掌管。

“主机厂对于车辆网络安全方面布局一般可以分为三个阶段逐步推进，第一阶段是以网络安全流程体系搭建和设计能力建设为主，如CSMS流程体系建设，TARA分析能力建设，网络安全设计规范能力建设等；第二阶段是按照网络安全设计规范，在车辆开发和生产环节，完成网络安全措施在车辆系统或ECU上的落地实施与测试验证，如HSM、KMS、PKS、网络安全功能测试、渗透测试等；第三阶段是入侵检测与应急响应体系的建设，这部分主要关注在车辆运营环节发挥作用，形成对网络攻击的分析应对全过程的系统闭环，如IDS与VSOC等。”易特驰网络安全高级产品经理唐超勇表示。

目前，国内汽车主机厂和零部件供应商在汽车网络安全方面布局大多处于第一阶段向第二阶段演进的过程中。这一点从车辆网络安全领域头部供应商易特驰的市场反馈信息得到了佐证。

以易特驰为例，2022年以前，这家企业在网络安全领域，仍以网络安全流程体系前期咨询、设计等业务为主；到2022年，则以ESCRYPT CycurHSM、ESCRYPT CycurIDS等网络安全功能产品为导向，实现了20%-30%的营收增长。

唐超勇介绍称，预计今年易特驰的网络安全业务将进一步向好，尤其是随着ESCRYPT CycurHSM、ESCRYPT CycurIDS、ESCRYPT CycurRISK等网络安全产品和工具的放量，或许能推动整体业务营收实现30%以上的增长。

不过，类似于易特驰，既具备汽车行业背景，又拥有成熟完整的网络安全产品方案的佼佼者并不占多数。而整车信息安全强标征求意见稿的发布，进一步高涨了汽车网络安全赛道热潮，并吸引了不少跨界玩家的涌入。

尽管部分企业已经在尝试打造网络安全产品矩阵，但想要稳居行业前列、分得一块红利蛋糕并非易事。

先行者的蓝图

于供应商而言，网络安全赛道既拥有看得见的光明前景，又需要为较高的人力成本、技术研发成本买单。

一方面，车辆的软硬件系统不断更新，加上系统可能存在未知安全漏洞，OEM和零部件供应商需要在整车全生命周期内考虑软件及网络安全功能的更新，即从概念设计、开发验证到售后维保直至最终报废的各阶段予以全面充分考虑，这一点将给零部件供应商和主机厂的软件管理能力带来巨大的挑战。

另一方面，随着汽车电子电气架构由分布式向集中式发展带来防御纵深减少，以太网等新技术的使用以及车辆智能化带来车端和云端数据交互规模大增，对网络安全的防护也带来了很大的挑战。从网联安全、内网安全、ECU安全等角度实施部署相应防护措施，对网络安全供应商提出了更高的技术要求。

“在合适的成本范围内有效地保护车辆，实际上是网络安全方案供应商面临的最大挑战。”

在易特驰网络安全高级产品经理唐超勇看来，每一项网络安全措施的上车部署都意味着成本的增加，但这些措施是否有效，只有出现网络威胁和攻击事件时才能被明确验证。如何在防护不当与过渡防护之间平衡汽车网络安全部署成本与效能，是目前业界面临的一大难点。

目前，易特驰ESCRYPT网络安全解决方案针对这些行业痛点和难点问题都提出了相应的对策。

例如，易特驰ESCRYPT的CycurHSM产品为客户提供CycurHSM软件产品的ISO-21434认证和定期的软件漏洞分析报告，支持车辆全生命周期软件漏洞报告与软件更新的要求。

针对电子电器架构向集中式发展带来防御纵深减少的问题，易特驰ESCRYPT提供的以太网防火墙产品CycurGATE就能够与CycurIDS产品一起有效增加车辆网络之间的隔离与防御纵深，为车辆在低资源消耗的情况下提供有效的入侵检测与防护手段。

针对车辆智能化带来的车端和云端数据交互规模大增带来的挑战，易特驰ESCRYPT也在大力开发云端解决方案以配合车端方案一起有效应对该挑战。

遵循主机厂对网络安全部署的三个发展阶段规律，易特驰ESCRYPT在符合法规和主机厂要求之上，全力构建完整、过硬的网络安全产品和服务体系。主要可以分为三大类：

• 车端网络安全方案。包括CycurHSM、CycurLIB 等车辆嵌入式网络安全防护产品，CycurIDS、CycurGATE等车辆入侵检测与防火墙防护产品等。其中入侵检测与防火墙产品作为一种即用型软件解决方案，ESCRYPT CycurIDS采用深度嵌入式设计，性能经过专门优化，具有高确定性，可以对当前和基于以太网的E/E体系结构进行车载入侵检测，能够无缝集成至现今的ECU和所有标准嵌入式平台上，为客户提供个性化配置工具。通过ESCRYPT CycurIDS实现的CAN总线网络入侵检测、通过ESCRYPT CycurGATE实现的汽车以太网防火墙、针对Linux、QNX和Android ECU的主机入侵检测以及对现代化E/E架构中的复杂分布式IDS架构的支持等。
• 云端网络安全方案。包括云端KMS产品，VSOC应急响应防护服务和云端网络安全漏洞管理服务等。
• 网络安全设计与咨询服务。包括网络安全管理体系建设咨询服务，网络安全设计与技术规范咨询服务，网络安全测试服务等。

据悉，易特驰ESCRYPT的产品，已经在国内外大批量产项目中得到了广泛应用，具有功能满足市场需求与趋势、质量稳定可靠等优点。

除了磨练技术和产品内功，在市场规划方面，易特驰也有一套独特的本土化策略。

一是与本土芯片厂商合作，加快支持本土芯片的HSM应用。过去，针对中国市场需求，易特驰ESCRYPT进行了本地化开发，具体表现在对国密算法SMx的支持、中国C-V2X标准的支持等。

顺应国内的供应链本土化趋势，尤其是芯片国产化应用趋势，易特驰已经与多家国产芯片供应商展开合作拓展中国本土朋友圈，为供应链本土化发展贡献力量。

二是把握国内“软件定义汽车”迅猛发展势头，针对实时操作系统、非实时操作系统、SOC芯片、云端应用等汽车不同应用场景和应用环境，实现网络安全措施的全覆盖。

三是加强中国本土以及全球在汽车云端网络安全业务的投入，为主机厂提供更完整的本土化云端网络安全防护方案与服务。

可以说，针对汽车网络安全行业的确定机遇和不确定挑战，易特驰已经做好了“遇山开山遇水架桥”的准备，旨在为汽车建立起全方位的专属网络安全免疫系统。