01 · ISO/SAE 21434的标准定位与体系坐标
ISO/SAE 21434:2021《道路车辆 网络安全工程》是当前国际公认的汽车网络安全工程基准标准，2021年8月发布。其适用范围覆盖除单纯二手车交易外的道路车辆全生命周期各阶段，核心贡献是把网络安全从"渗透测试找漏洞"提升为贯穿概念、开发、验证、生产、运营与退役的工程过程。在标准体系中，它与相邻标准的关系如下：
- 与ISO 26262（功能安全）的关系：26262解决"系统按设计失效"的风险，假定系统按设计运行；21434解决"系统被恶意破坏"的风险，恰恰破坏这一假定。两者共享类似的流程骨架（危害/风险分析→需求→验证），但分析对象与评级维度不同；实践中需开展安全-安全（safety-security）交互分析：安全机制失效是否引入安全风险、网络安全缓解措施是否影响安全目标。
- 与UNECE R155/R156的关系：21434是"怎么做"的工程方法标准（自愿性），R155/R156是"必须证明做到"的法规要求（对缔约方市场强制），且R155明确要求制造商建立CSMS（网络安全管理体系）——体系有效性证据与21434过程文档高度重叠。
- 与GB 44495—2024/GB 44496—2024的关系：两项中国强制国标将整车信息安全技术要求与软件升级要求以"技术门槛＋测试方法"的形式固定下来，21434/R155的过程证据可直接支撑其符合性声明（详见第8页）。
- 历史脉络：SAE J3061（2016）《汽车网络安全指南》是21434之前的过渡性指南，方法论已整体被21434吸收，新体系不应再单独引用J3061作为依据。
02 · 全生命周期安全活动框架
| 阶段 | 关键安全活动 | 典型产出文档 |
|---|---|---|
| 概念阶段 | Item定义与边界划定、资产识别、初轮TARA、网络安全概念（目标、策略、假设） | Item定义书、TARA报告、网络安全概念 |
| 产品开发 | 网络安全需求分解（TSR→系统→软硬件）、架构安全设计、安全编码、供应链需求传递、密钥/证书方案设计 | 网络安全需求规范、架构安全设计说明、供应商安全要求书 |
| 验证与确认 | 将渗透测试、模糊测试纳入V&V计划；测试用例与TARA威胁场景双向追溯 | V&V报告、渗透/模糊测试报告、残余风险声明 |
| 生产阶段 | 产线密钥注入与证书写入、安全启用（调试口封闭）、配置基线固化、产线访问管控 | 产线安全规程、密钥注入记录、首件安全核查单 |
| 运营阶段 | 安全监测与情报、漏洞管理、OTA修复、事件响应、退役前持续支持承诺 | 监测报告、漏洞处置记录、事件响应预案、OTA发布记录 |
| 退役阶段 | 车主数据清除指导、密钥与证书吊销、云服务下线安排 | 退役安全清单、数据清除证明 |
03 · TARA方法详解
TARA（Threat Analysis and Risk Assessment）是21434的核心分析方法，输出为"威胁场景—风险值—处置决策"的可追溯链条。其七步流程如下：
3.1 影响评级（Impact Rating）四维结构
| 维度 | 评估内容（最坏可信后果） | 示例 |
|---|---|---|
| S 安全 | 对生命健康的影响，与功能安全的危害分析衔接（可参考ISO 26262的危害识别） | 行驶中制动/转向被恶意干预→可能致命 |
| F 财务 | 对车辆所有者/运营者的财务损失 | 车辆被盗、批量解锁索赔 |
| O 运营 | 对车辆功能可用性的影响 | 整车无法启动、车队停运 |
| P 隐私 | 对个人数据的泄露或滥用 | 位置轨迹、座舱数据泄露 |
3.2 攻击可行性（Feasibility）四要素与CAL
- 四要素：Elapsed time（耗时）、Expertise（专业知识）、Equipment（设备门槛）、Window of opportunity（机会窗口）。四要素综合得到攻击可行性等级（1—5）。
- 风险确定：影响等级与可行性等级按组织建立的矩阵组合为风险值（1—5），风险值再映射到CAL（Cybersecurity Assurance Level，CAL1—CAL4）。CAL表示对抗该威胁场景所需的保证程度：等级越高，要求的验证深度、独立性、证据强度越高。CAL常被拿来与26262的ASIL类比，但二者定义逻辑不同：ASIL由危害严重度/暴露率/可控性决定安全需求，CAL由网络安全风险决定保证强度，组织应按21434原则建立自己的映射矩阵。
- 风险处置四选项：规避（改变设计消除场景）、缓解（实施控制降低风险）、转移（如通过合同/保险转移财务后果——注意转移不改变技术风险）、接受（记录残余风险并获授权签字）。每一项处置决策必须有记录、可追溯、有负责人。
04 · 工程落地：从分析到代码
- 网络安全计划（Cybersecurity Plan）：将TARA输出的处置措施转化为可执行任务，明确责任、资源、里程碑与验证方式，随项目推进持续更新。
- 需求逐级分解与追溯：整车级网络安全需求（TSR）→系统级→软硬件实现→测试用例，双向可追溯；任何设计变更（含OTA引入的新功能）必须回溯影响分析。
- 安全编码与静态分析：MISRA C/C++合规、静态分析门禁、开源组件（SBOM）管理与已知漏洞扫描纳入流水线——与子课题01的固件安全工程基线直接衔接。
- 供应链安全需求传递：对Tier-1/Tier-2输出分级安全要求（含TARA摘要、密钥管理要求、漏洞通报义务与时限），并将供应商证据纳入整车网络安全档案（类似航空领域的 assurance case 思路）。
- 验证确认（V&V）：渗透测试、模糊测试（总线/协议/应用）、密钥管理审计、产线核查均纳入V&V计划；测试结论回写TARA，更新残余风险声明。
05 · 组织与管理体系（CSMS）建设
UNECE R155要求制造商建立网络安全管理体系（CSMS）并证明其有效运行，方可获得型式准入。CSMS的核心要素与建设动作映射如下：
| CSMS要素 | 建设动作要点 |
|---|---|
| 治理与责任 | 董事会/高管层责任落实，网络安全负责人（CSO）任命，跨部门（研发/生产/售后/法务/IT）协同机制 |
| 风险管理过程 | 将TARA嵌入车型开发流程节点（概念冻结/设计冻结前必须完成），形成全车型统一的风险库与度量口径 |
| 开发过程安全 | 安全需求管理、代码与组件管控、测试证据归集（衔接21434工程过程） |
| 生产与后生产安全 | 产线密钥管理、售后诊断工具管控、OTA发布审批（衔接SUMS） |
| 漏洞管理与事件响应 | 漏洞接收渠道、内部定级、修复时限、OTA/召回决策、监管报送（衔接《网络产品安全漏洞管理规定》，第8页） |
| 监测、审计与改进 | 车队安全监测、供应商安全绩效评估、内审与管理评审、事件复盘改进 |
06 · 相关标准对照与度量审计
| 标准/法规 | 性质 | 适用对象 | 关键抓手 |
|---|---|---|---|
| ISO 26262:2018 | 功能安全标准 | 安全相关电子电气系统 | HARA危害分析、ASIL分级、安全机制与安全生命周期 |
| ISO/SAE 21434:2021 | 网络安全工程方法（自愿） | 道路车辆全生命周期 | TARA、CAL、网络安全计划、全生命周期过程 |
| UNECE R155 / R156 | 法规（缔约方强制） | 整车厂型式准入 | CSMS／SUMS体系要求＋车辆级技术验证 |
| GB 44495—2024 / GB 44496—2024 | 强制性国家标准 | 中国市场新申请型式批准车型 | 整车信息安全技术要求＋测试方法／软件升级技术要求 |
| ISO 24089:2023 | 软件更新工程标准 | 软件更新过程 | 更新需求、验证、发布与后发布监测的工程要求（衔接R156） |
审计方面，组织可参照ISO/PAS 5112《道路车辆 网络安全审计指南》建立内部审计方法，围绕"过程是否被执行、证据是否可追溯、风险是否被处置"三个层面开展体系审计，而非仅检查文档存在性。
威胁场景输入方面，UNECE R155附件5《威胁及相应缓解措施清单》提供了权威的威胁基线：Part A列出后端服务器、通信信道、升级过程、人为失误、外部连接、车辆数据/代码、潜在脆弱性等7类威胁、脆弱性与攻击方法；Part B/C分别给出面向车辆本体与车辆之外区域（如云后端）的缓解措施映射。开展TARA时可将附件5 Part A作为威胁场景初始清单，再叠加本组织车型特有攻击面与第7页案例档案归纳的演化规律，形成“法规基线＋自有情报”的双源输入。
本节参考来源（第3页）
ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering（2021年8月发布）：iso.org/standard/78980.html。
ISO 26262:2018 Road vehicles — Functional safety（第二版）：iso.org/standard/68383.html。
UNECE UN R155（Cyber security management systems）官方文本：unece.org/transport/vehicle-regulations/wp29。
ISO/PAS 5112:2022 Road vehicles — Guidelines for cybersecurity audits（审计指南）：iso.org/standard/80394.html。
SAE J3061 Cybersecurity Guidebook for Cyber-Physical Vehicle Systems（2016，历史过渡文件，方法论已被21434吸收）。
ISO 24089:2023 Road vehicles — Software update engineering：iso.org/standard/77796.html。