2017年6月21日-22日，由中国安全产业协会、TIAA车载信息服务产业应用联盟与车云网共同主办的2017年中国安全产业峰会暨首届交通安全产业论坛在北京召开。来自电子科技大学嵌入式软件工程中心的罗蕾主任发表了题为《车联网网络安全技术与标准》的演讲，详细介绍了车联网安全技术以及行业概况。
电子科技大学嵌入式软件工程中心主任罗蕾
以下为演讲全文：
现在大家对车联网的网络安全这块比较关注，各个厂家都在提供解决方案，但是这个方案是不是能够形成行业的共识需要大家共同来讨论。安全的事儿不是一个产品就能解决的，整个行业怎么满足国家的《网络安全法》，怎么能够给车厂从正向设计的角度提出安全解决方案，这些需要各界去努力。
先看一下国内外的情况，IT化、网络化、自动驾驶是非常重要的汽车变革，这个时期有很多机遇，是国内的汽车厂商由大到强的一个发展过程，这个过程中有很多机会，但是也有很多挑战。
从ISO来看，有专门的网络安全委员会，从2015年开始做这方面的工作，从2016年开始和SAE结合共同制定相应标准。从美国的情况来看，网络安全这一块的发展历史比较久，也发布了很多这方面的指导性意见，法规法律等等。国内的对应部门就是全国信安标委，这是整个国家网络安全标准主要负责的一个机构，成立了有十几年的时间。跟车相关的东西在WG5，今年发布了汽车电子系统方面的网络安全标准指南，拿到了一个立项做相应的网络安全标准，国家汽车网络安全的标准。
从国外的情况来看的话，SAE去年发布的全球第一个网络安全的标准，这个标准其实就是从正向设计的角度来管理它的生命周期的，但是这个是从汽车整体的生命周期，从安全和保密的角度。从整车设计来看，微模型已经深入人心，我们国内的自主品牌车厂也开始采用这种方式。整车设计从概念阶段到整车主体的设计，到零部件厂商的协同，到整体的设计验证，从风险评估到最后做加固、防御，针对每个车型的标准都提出了方法。所以这也是国内可以重要借鉴的一个标准之一。
另外从智能交通（ITS）的角度，欧洲在2009年开始做，2013年形成了规范，而这个标准已经被国内的交通部选为国标参照，那么智能交通领域整个安全的一套标准也有一些部分已经开始征求意见。
从芯片的角度来看，奥迪、宝马、戴姆勒组建了HIS联盟，把这个车里头ECU分为三个层次，有V2X相关的，有HSM，还有保护车内ECU通讯的，都有相应的芯片。国外也有相关的芯片支持这方面的内容，但是这个东西是不是适合中国还不一定。国内的情况还不确定，根据国内的网络安全法以及安全模块一些相应的标准和规范，要引进这个东西还需要大家的共同研讨。
另外，国际上面TPM相关的标准，国内叫TCG，也开始在汽车领域开始做工作，特别是芯片公司也在做相应的规范，针对物联网这个体系。汽车领域下面该怎么做？把TPM应用在车里的ECU里头，是一种方法；HIM把它放在外面结合做成独立的安全模块，也是一个方法。
还有AUTOSAR也有了一些关于密码和通讯的安全的规范。日系在一些中高端成立AGR开源，欧美比较AUTOSAR体系，都是从操作系统层面考虑如何加固，如何更加安全。从美国情况来看，美国高速公路交通的安全管理局NHTSA，在去年10月推出了企业工业的最佳实践，安全的最佳实践。这个最佳实践实际上是从通用的网络安全指导，在后台信息系统里头参与NIST美国的标准委员会里头提到的方法，这种分层的方法以及一些IT的安全防护就是后台信息中心的安全。这些东西是我可以借鉴的。
从汽车工业的角度，就是两个方面。在汽车工业的网络安全指导上，也是提出了一些相关的指导性意见，包括可以参考SAEJ3061，可以建立相应的文化，还有相应的组织结构。因为现在从车厂角度来说信息中心和做电子电气这部分都是分开的，没有整合，也没有统一进行设计。未来汽车涉及到人车云各方面的东西，所以这个也是大家可以关注的。另外也提出了近期该怎么做，要能够自己来做评估，要有相应的应急防御措施等等。
从国内的情况来说的话，车联信息服务产业应用联盟（TIAA，简称“车联”）各方面都在提和网络安全标准化相应的东西。包括气标委也在提相应的标准，最近也在发布一些相应的标准。从车联的角度来说，大家不知道熟不熟悉，因为这个体系也是有七八年的时间了，在网络安全委员会是去年成立的，电子科大是主任委员，实际上还有非常厉害的企业和网络安全相关的机构参与。我们做了相应的调研，了解了国内包括一些合资企业车厂的整体情况，总体来说就是国内整个在这个体系从我们的规范到标准都是缺失的，而且缺乏底层的设计。
如果说在车厂没有整体底层设计的基础上来思考这个事情，是比较困难的。另外，因为汽车的产业链非常长，从芯片到软件到整个系统、到部件到整个系统设计，该怎样来建立这个体系，是需要走出中国自己的一些道路来。
今年2月，车联推出了一个车联网的安全白皮书，也是很多单位参与，主要是从标准和技术上来进行分析提出了相应的一些问题和解决的方向。另外今年2月份结合《网络安全法》，为满足法律要求，需要和车场共同制定相应的自律规范。
未来的话，车联体系重点要从国标和团标角度去推动相应的工作，使业内达成共识。这个是在我们这个组织内，我们在讨论团标的一些情况定义规范，目前来说，第一步正式开会的话已经有十五个团标在开始做相应的工作了，也希望能够帮助产业解决这些问题。
最后，简单说一下电子科大的背景，我们一直致力于嵌入式车领域干了有十几年，从车的操作系统开始，车控一直在做，参与了国家的几大重大专项，有10年时间在参与，也做了一些相应的操作系统。最近这几年重点研究车联网的网络安全，汽车电子系统的网络安全，从标准、从协会，从整个行业角度来推动相应的工作，也提出了一些解决方案，跟车厂有一些紧密的合作。所以也希望今后有机会能够给业界更多参与到我们的工作，我们主要是以车联，车载信息联盟作为载体在推进相应的工作。谢谢各位！
