点击上方蓝字谈思实验室
获取更多汽车网络安全资讯
整车网络安全设计的挑战
今天汽车网络安全领域，各种法规，标准，技术层出不穷，让从业者目不暇接。探讨最多的是OEM流程体系的建立。在这方面，欧盟的 “R155法规” ，R155法规所基于的ISO标准《SAE/ISO-21434的道路车辆网络安全》给OEM提供了清晰的流程体系建立合规细节。
那么在流程体系之后，OEM接下来需要建立网络安全技术体系。可惜的是，“R155法规 和 ISO标准，对网络安全流程体系做了清晰的规范与要求，但都不涉及网络安全技术本身，这是由安全技术不断升级的特性决定的” 。 本文将围绕这一点做深入讨论。
首先，汽车网络安全有几个特点：
基于真实驾驶数据和人工智能，创建具有代表性的特定汽车驾驶轨迹的平台
范围广：涉及到车内安全，车外安全，通讯安全（包含蓝牙，Wi-Fi，以太网，RF/LF…）控制器安全，芯片安全，车云安全，密钥的生成，灌装，销毁等等。
程度深：涉及到对称加密，非对称加密，哈希散列算法，安全启动，安全刷写，安全存储安全访问等，还包括数字签名和验签，数字证书和信任中心等，还包括SecOC，TLS，HSM，TEE等等各种技术细节。
木桶效应：网络安全的木桶效应导致整车的安全取决于防护最短的那块模板，但是问题是OEM如何找到哪一块是对短的木板，如何补齐这块短板呢？
综上，可以想象OEM网络安全团队面临的棘手困难和挑战：
安全需求 要如何编写？要多细致 ？
安全方案 要如何设计？如何实现 ？
安全措施 要如何实施？如何验证 ?
那么OEM到底该如何应上述困难和挑战，如何建立自己的整套网络安全技术体系（CSTS），我们借用电子电器架构EEA设计举例，然后出的答案，最后总结并展示Global OEM的CSTS建设范例作参考。
先看电子电器架构设计过程，E&E工程部门整合各种来自市场部或者车型规划组的想法，用需求分析的语言把车型的描述转化成一条条工程需求，再通过一轮轮的分析细化，最终形成清晰明确的，可实施可验证的，功能需求与设计文档，以此作为供应商输入。可实施，保证了供应商可依据此需求开发。可验证，保证了V 模型右侧每一层都可以进行测试验证。
下一代的SOA架构，以Service为导向分解提炼成原子服务/组合服务，进行结耦/解耦等等，直到服务分配到域控在进行建模开发应用等等，其核心依然是提供清晰明确的，可实施可验证的需求与设计给到供应商。
由EEA设计的例子，我们可以得到结论，OEM网络安全设计必须要提供清晰明确，可实施可验证的设计与需求给到供应商。但如何做到这一点？在下页全景图，我们给出了问题的答案：网络安全技术体系(CSTS)。
在全景图我们可以看到，中间蓝色区域是EEA开发，而网络安全开发是与EEA开发相关，且同步进行。上半黄色区域是OEM负责区域，下半绿色区域是Tire1供应商负责的区域，界限就是我们前面说的，清晰明确，可实施可验证的设计需求体系文档，作为在OEM定点供应商和后续开发时，安全技术要求和功能技术要求文件一样，都要释放到供应商。
我们先看黄色OEM负责区域，网络安全设计和测试如何做。
OEM网络安全设计：
制定整体安全框架，基于此基准
以具体车型的EEA功能架构作为输入
通过几轮TARA分析，细化安全需求到零部件级
释放相应的安全需求给Tire1
OEM网络安全测试：
安全功能测试：验证安全措施，集成无误
安全合规测试：满足VTA要求
安全渗透测试：查补漏洞，提高安全可靠性
我们再看绿色Tire1负责区域，也就是OEM会对Tire1在网络安全方面有哪些要求：
OEM对安全零部件供应商的要求：
按照ISO-21434标准， 建立流程开发体系
零部件Design TARA分析，提交TARA分析报告
零部件的渗透测试，加固，再次Delta测试，并提交OEM渗透测试报告
现在让我们来总结一下，OEM整体网络安全应该包含：
建立 流程管理体系 (CSMS/ISO-21434)
√ Cybersecurity Management，Distributed/Continuous cybersecurity activities … …
√ Concept Phase, Product Development Phase, Post-Development … …
建立 安全技术体系 (CSTS)
√网络安全架构，CAL，TARA
√ 功能/域级别 安全需求
√ 零部件级别 安全需求
√ 安全测试需求
选择 安全产品 & 供应商
√ HSM，SecOC，KMS … …
√ IDS，IPS，VSOC … …
√ SGW，TBOX，IVI … …
网络安全培训
如下图所示
最后我们展示一个Global OEM的实际范例，如下图所示：
来源：ETAS易特驰
会员权益: (点击可进入)谈思实验室VIP会员
END
微信入群
谈思实验室专注智能汽车信息安全、预期功能安全、自动驾驶、以太网等汽车创新技术，为汽车行业提供最优质的学习交流服务，并依托强大的产业及专家资源，致力于打造汽车产业一流高效的商务平台。
每年谈思实验室举办数十场线上线下品牌活动，拥有数十个智能汽车创新技术的精品专题社群，覆盖BMW、Daimler、PSA、Audi、Volvo、Nissan、广汽、一汽、上汽、蔚来等近百家国内国际领先的汽车厂商专家，已经服务上万名智能汽车行业上下游产业链从业者。专属社群有：信息安全、功能安全、自动驾驶、TARA、渗透测试、SOTIF、WP.29、以太网、物联网安全等，现专题社群仍然开放，入满即止。
扫描二维码添加微信，根据提示，可以进入有意向的专题交流群，享受最新资讯及与业内专家互动机会。
谈思实验室，为汽车科技赋能，推动产业创新发展！
如有侵权请联系:admin#unsafe.sh