編輯 |德新

軟件正在成為現(xiàn)代汽車不可或缺的一部分。根據(jù)大眾汽車的預(yù)測(cè)，到2025年，一輛汽車上的代碼數(shù)量會(huì)超過10億行。

智能化在提供功能便利和更佳用戶體驗(yàn)的同時(shí)，也引入了更多安全風(fēng)險(xiǎn)，例如數(shù)據(jù)隱私問題、汽車被黑客遠(yuǎn)程利用漏洞控制等……

廣州車展前夕，《廣州日?qǐng)?bào)》發(fā)起的一項(xiàng)針對(duì)智能車的調(diào)研顯示：43%的用戶將“信息安全”和品牌、外觀、價(jià)格、續(xù)航等一起納入了購(gòu)車的首要考慮因素。

傳統(tǒng)汽車經(jīng)歷了一百多年發(fā)展歷史，有成熟的工業(yè)體系。比如在安全（Safety）領(lǐng)域，一些即便非常專業(yè)的術(shù)語也能被大眾熟知，并催生了如沃爾沃這樣主打安全的汽車品牌。隨著汽車越來越智能，在信息安全（Security）上投入更多精力，用來保障用戶安全，對(duì)于企業(yè)自身的長(zhǎng)期發(fā)展而言也是一種價(jià)值投資。

在車展啟幕當(dāng)天，我們邀請(qǐng)了零束科技網(wǎng)安實(shí)驗(yàn)室負(fù)責(zé)人王君鋒以及騰訊安全策略發(fā)展中心總經(jīng)理呂一平，一起探討智能汽車的信息安全問題以及如何貫徹「安全左移」。

一、從2016-2023，智能網(wǎng)聯(lián)安全的趨勢(shì)

吳德新：科恩實(shí)驗(yàn)室當(dāng)年有一個(gè)很有名的案例是2016年破解和遙控特斯拉，還被邀請(qǐng)去馬斯克家里吃了飯。從你的角度看，2016年的智能汽車跟2023年的智能汽車，在數(shù)字安全、信息安全上有哪些變化，經(jīng)歷了哪些標(biāo)志性的節(jié)點(diǎn)？

呂一平：我們從2016年開始關(guān)注智能網(wǎng)聯(lián)汽車安全，也是從2016年開始有一些研究的成果。

之所以2016年去關(guān)注特斯拉，是因?yàn)樗潜容^早實(shí)現(xiàn)了智能網(wǎng)聯(lián)的一個(gè)新能源車?！靶滤幕崩锩娴摹叭倍际翘厮估氏葋碜龅?。我們當(dāng)時(shí)覺得，當(dāng)汽車從一個(gè)封閉的設(shè)備變成聯(lián)網(wǎng)設(shè)備時(shí)，會(huì)不會(huì)帶來新的安全風(fēng)險(xiǎn)？我們?nèi)パ芯苛艘幌?，確實(shí)也發(fā)現(xiàn)了比較嚴(yán)重的問題。

當(dāng)然，特斯拉本身的安全響應(yīng)和修復(fù)速度也很快，當(dāng)時(shí)我們報(bào)告問題以后，他們花了差不多一周時(shí)間就通過遠(yuǎn)程升級(jí)的方式把問題給修復(fù)了。

反觀當(dāng)時(shí)傳統(tǒng)車企可能都還沒有這種線上升級(jí)的能力。

2015年美國(guó)的兩個(gè)安全研究人員上報(bào)了克萊斯勒- 吉普的安全問題，當(dāng)時(shí)召回了140萬輛車做線下升級(jí)，而特斯拉在同時(shí)期已經(jīng)是在用比較先進(jìn)的思維在做。

2016年至2020年，我覺得這個(gè)行業(yè)的一個(gè)啟蒙期。

行業(yè)開始因?yàn)槟芰ㄔO(shè)的需求和對(duì)安全的重視，開始驅(qū)動(dòng)來做信息安全領(lǐng)域。很多的主機(jī)廠都已經(jīng)意識(shí)到了網(wǎng)絡(luò)安全的重要性，并跟我們展開合作了。比如上汽，我們共同研究當(dāng)時(shí)上汽的主力車型，評(píng)估了可能存在的安全問題，上汽也很積極地進(jìn)行了對(duì)應(yīng)的修復(fù)等一些工作。

到了2020年以來，國(guó)家層面開始重視智能網(wǎng)聯(lián)汽車了。

智能網(wǎng)聯(lián)汽車安全的強(qiáng)制標(biāo)準(zhǔn)要求開始起草，進(jìn)入到發(fā)布前的準(zhǔn)備環(huán)節(jié)了。隨著合規(guī)需求驅(qū)動(dòng)，越來越多的車企在最近兩年開始投入資源做智能網(wǎng)聯(lián)安全的專項(xiàng)工作。

二、智能網(wǎng)聯(lián)安全強(qiáng)標(biāo)即將出臺(tái)

德新：接下來的強(qiáng)標(biāo)，能保障車主用戶哪些方面的權(quán)益？

呂一平：大家都知道NCAP碰撞測(cè)試的認(rèn)證。我個(gè)人理解，未來智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全的強(qiáng)標(biāo)，是一個(gè)相似的認(rèn)證過程。只不過，怎么去認(rèn)證一臺(tái)智能網(wǎng)聯(lián)汽車，如何從網(wǎng)絡(luò)安全角度來評(píng)估它是安全的，也會(huì)有對(duì)應(yīng)的認(rèn)證要求和標(biāo)準(zhǔn)。

王君鋒：強(qiáng)標(biāo)其實(shí)大家都很關(guān)注，可能在年底或者明年的話就會(huì)公布了。

隨著強(qiáng)標(biāo)的落地，我覺得后續(xù)的測(cè)評(píng)也會(huì)從多維度把一輛車的網(wǎng)絡(luò)安全指標(biāo)細(xì)化出來，比如說從通信、數(shù)據(jù)安全、智能駕駛方面的一些影響，在各個(gè)方面為用戶提供參照指標(biāo)，幫助用戶在選擇車輛的時(shí)候，更多地去了解車廠在網(wǎng)絡(luò)安全或者數(shù)據(jù)安全方面投入的實(shí)際情況。

吳德新：其實(shí)相當(dāng)于網(wǎng)絡(luò)安全或者數(shù)字安全領(lǐng)域的NCAP，只是說它這種碰撞測(cè)試并不是這種那么直觀肉眼可見，而是一種無形的測(cè)試？

王君鋒：對(duì)，但是跟傳統(tǒng)的物理安全和碰撞安全的測(cè)試相比，網(wǎng)絡(luò)安全其實(shí)更加復(fù)雜。最起碼從兩個(gè)維度去看是有很大的不同。

第一個(gè)是邊界的復(fù)雜度，傳統(tǒng)的物理安全、碰撞安全，我們?cè)谲嚿先プ鲆欢ǖ募庸毯蛢?yōu)化就能達(dá)到相應(yīng)的評(píng)測(cè)結(jié)果指標(biāo)，但數(shù)字安全的邊界更復(fù)雜，因?yàn)橹悄芷囂峁┓?wù)的時(shí)候，它是跟云服務(wù)、手機(jī)APP等相互構(gòu)建了一個(gè)大系統(tǒng)為客戶提供這種體驗(yàn)。我們后續(xù)在評(píng)估評(píng)測(cè)一輛智能車的數(shù)字安全的話，也需要把這些相關(guān)的主體、系統(tǒng)都考慮進(jìn)去。

另一個(gè)不同，數(shù)字安全是一個(gè)相對(duì)動(dòng)態(tài)的指標(biāo)。它本質(zhì)上，是一種對(duì)抗攻擊或者說抗入侵的能力，一次或者說幾次的測(cè)評(píng)其實(shí)也并不能完全說明問題。對(duì)一個(gè)企業(yè)來講，還是需要一個(gè)非常專業(yè)的安全團(tuán)隊(duì)持續(xù)地對(duì)安全風(fēng)險(xiǎn)進(jìn)行識(shí)別、規(guī)避。

吳德新：數(shù)字安全、網(wǎng)絡(luò)安全的內(nèi)涵是非常豐富的，涉及的環(huán)節(jié)非常多，能大概講講咱們的工作大概會(huì)涉及哪些大的方面？哪些環(huán)節(jié)，是用戶感知比較明確的環(huán)節(jié)。

王君鋒：用戶有感知的風(fēng)險(xiǎn)點(diǎn)的話，一個(gè)可能是智能駕駛，智能駕駛的安全性關(guān)系到車乘人員本身的人身安全；還有一個(gè)是數(shù)據(jù)安全，例如行駛軌跡、車外的影像信息等，不規(guī)范的采集行為或者說數(shù)據(jù)保護(hù)能力的缺失都會(huì)帶來一定的風(fēng)險(xiǎn)。

三、智能車的信息安全，該怎么評(píng)測(cè)？

吳德新：碰撞安全的結(jié)果是非常直接的，它的結(jié)果會(huì)直接影響到車的銷量。但其實(shí)信息安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全，就沒有那么直觀，你們?cè)趺丛u(píng)估它的效果，或者投入產(chǎn)出比？

王君鋒：這是一個(gè)蠻好的問題。從長(zhǎng)遠(yuǎn)看，隨著強(qiáng)標(biāo)的落地，我們相信大眾對(duì)智能汽車的信息安全評(píng)測(cè)也會(huì)越來越關(guān)注，某種程度上也會(huì)影響甚至決定一個(gè)用戶的購(gòu)買行為。對(duì)我個(gè)人而言，現(xiàn)在考慮購(gòu)置一輛車的話，我是真的會(huì)考慮這個(gè)因素的。

我們零束科技是智能車新賽道的領(lǐng)跑者，很注重建設(shè)端到端的智能網(wǎng)聯(lián)汽車的網(wǎng)絡(luò)安全跟數(shù)據(jù)安全融合的研發(fā)體系。當(dāng)前已經(jīng)具備了覆蓋整個(gè)研發(fā)生命周期的網(wǎng)安、數(shù)安雙結(jié)合的解決方案。

落地實(shí)踐方面，我們會(huì)遵循產(chǎn)品安全開發(fā)的生命周期的原則，在早期我們就會(huì)介入相應(yīng)的一個(gè)安全工作，就是盡量地保障產(chǎn)品的安全力是隨著產(chǎn)品的研發(fā)慢慢生長(zhǎng)出來的。

剛剛提到評(píng)估、評(píng)測(cè)體系，我們選擇行業(yè)內(nèi)權(quán)威的評(píng)測(cè)機(jī)構(gòu)對(duì)我們的研發(fā)流程做相應(yīng)的評(píng)估。

技術(shù)上面，我們一般會(huì)選擇滲透測(cè)試去評(píng)估這個(gè)產(chǎn)品的安全性，因?yàn)闈B透測(cè)試是模擬黑客進(jìn)行攻擊型的測(cè)試，更接近于實(shí)際的攻防場(chǎng)景，所以從技術(shù)維度它可以提供非常好的參考。

呂一平：汽車行業(yè)是非常關(guān)注安全的，但是這個(gè)安全指的是功能安全（Safety），圍繞著功能安全有完整的一套質(zhì)量管理和質(zhì)量工程化的體系支撐。我一直以來的觀點(diǎn)是，網(wǎng)絡(luò)安全（Security）應(yīng)該和功能安全一樣成為汽車質(zhì)量密不可分的一個(gè)部分，而且是一個(gè)很重要的部分。

隨著強(qiáng)規(guī)的推出，我覺得它一定會(huì)變成汽車質(zhì)量的重要部分，在汽車整個(gè)從設(shè)計(jì)制造研發(fā)甚至售后整個(gè)過程里面去體現(xiàn)出來。

有很多合規(guī)性要求很高的行業(yè)，比如像金融、能源，我們有一個(gè)觀察，金融行業(yè)在安全方面的投入占到整個(gè)數(shù)字化投入的比例，大概在6%到8%左右；有一些對(duì)安全性要求或者合規(guī)要求特別高的行業(yè)和企業(yè)可能能到10%左右。汽車行業(yè)可能現(xiàn)在目前的投入度可能有1到2%，可能在這個(gè)水平上下。

我認(rèn)為對(duì)汽車行業(yè)來說，隨著未來合規(guī)要求、國(guó)家在這方面關(guān)注度越來越高，在安全投入上面應(yīng)該會(huì)有更多的加強(qiáng)。

但的確現(xiàn)在不光是汽車，整個(gè)網(wǎng)絡(luò)安全面臨的一個(gè)難題是比較難量化，因?yàn)樗强床灰?、摸不著的東西。

我們騰訊安全最近其實(shí)推了一個(gè)叫作“數(shù)字安全免疫力模型”的安全能力建設(shè)框架，也配套了評(píng)估的一些工具，也應(yīng)邀對(duì)一些汽車主機(jī)廠做了一些整體的評(píng)估工作，的確發(fā)現(xiàn)了一些可能存在需要提升和短板補(bǔ)足的點(diǎn)。

圖注：數(shù)字安全免疫力模型圖

吳德新：數(shù)字安全免疫力模型相當(dāng)于是一種評(píng)價(jià)工具。類似在功能安全領(lǐng)域，它大概會(huì)包含兩塊，一塊是對(duì)整個(gè)流程和能力的認(rèn)證，第二部分是對(duì)具體產(chǎn)品的認(rèn)證。從你們的角度看，未來會(huì)不會(huì)有針對(duì)產(chǎn)品的評(píng)估方式或者評(píng)估模型？

呂一平：我們目前的評(píng)估模式是需要企業(yè)建立對(duì)應(yīng)的安全能力的，如果車企沒有這個(gè)能力的話，它也很難做出來安全的產(chǎn)品對(duì)吧？

所以說我們是先從基礎(chǔ)上去評(píng)估這個(gè)企業(yè)維度的安全能力怎么樣。

產(chǎn)品安全的測(cè)評(píng)，其實(shí)馬上就要發(fā)布的強(qiáng)標(biāo)就是面向產(chǎn)品的，側(cè)重的是上市的新車，站在一個(gè)產(chǎn)品維度的安全認(rèn)證。

王君鋒：因?yàn)閺?qiáng)標(biāo)其實(shí)也會(huì)強(qiáng)調(diào)企業(yè)的安全體系，沒有安全體系是沒法支撐產(chǎn)品安全的；后面它就會(huì)圍繞著產(chǎn)品的不同維度去提相應(yīng)的安全方面的要求，我相信隨著強(qiáng)標(biāo)的推進(jìn)，后面評(píng)測(cè)肯定也會(huì)越來越清晰、越來越量化。

吳德新：呂總剛提到了一個(gè)數(shù)據(jù)，其他行業(yè)的安全投入可能是6%- 8%的占比，汽車行業(yè)是1%-2%。從不同行業(yè)對(duì)比，車企在安全建設(shè)上，處于怎樣的水平？

呂一平：從智能網(wǎng)聯(lián)安全的角度看的話，最開頭提到的特斯拉領(lǐng)先度還是非常高的。因?yàn)樗且粋€(gè)互聯(lián)網(wǎng)思維的造車企業(yè)，它在網(wǎng)絡(luò)安全上面的關(guān)注度從一開始就非常高，所以從設(shè)計(jì)階段，它就考慮了很多能夠讓車變得更安全的一些機(jī)制能力，比如像這個(gè)OTA能力，2016年就已經(jīng)有了。上汽零束其實(shí)也是比較早開始做安全能力建設(shè)，到目前為止，也已經(jīng)相當(dāng)不錯(cuò)了。

國(guó)際上一些比較大的車企目前也是在逐步地看這塊。

但是我整體上來看，因?yàn)榘踩歉夹g(shù)發(fā)展和技術(shù)應(yīng)用緊密結(jié)合在一塊的，只有新的技術(shù)應(yīng)用了才會(huì)催生更多的安全需求。

如果說在傳統(tǒng)車的領(lǐng)域，國(guó)際車系對(duì)我們有領(lǐng)先的話，在網(wǎng)絡(luò)安全這個(gè)領(lǐng)域，我覺得國(guó)際和國(guó)內(nèi)的車企是在一條起跑線上，齊頭并進(jìn)的。

四、又快又安全，車企面臨的開發(fā)挑戰(zhàn)

吳德新：車企現(xiàn)在對(duì)于整車開發(fā)的推進(jìn)非?？?，咱們?cè)趺幢ＷC又快又安全，這個(gè)是對(duì)你工作的一個(gè)挑戰(zhàn)。

王君鋒：有一個(gè)預(yù)測(cè)說，2025年智能汽車的代碼數(shù)量將達(dá)到10億，就可想而知。代碼的量是一個(gè)方面，而且剛才提到FOTA功能，說明代碼會(huì)不停地有迭代的訴求，對(duì)于安全體系建設(shè)上，確實(shí)是挑戰(zhàn)巨大的工作。

所以我們認(rèn)為，安全體系跟方法論是非常重要的，這里面要提一個(gè)詞，叫“安全左移”，我們認(rèn)為安全左移是這個(gè)體系建設(shè)的關(guān)鍵，就是要保障軟件的代碼具備一定的安全性，那針對(duì)它的各種安全檢測(cè)必須融合到或者嵌入到整個(gè)軟件開發(fā)生命周期的前置過程中去。

剛剛提到產(chǎn)品的安全能力，要讓它隨著產(chǎn)品去生長(zhǎng)出來。不是說到了我要量產(chǎn)的時(shí)候，給它貼個(gè)“安全”的標(biāo)簽，其實(shí)這是一種不負(fù)責(zé)任的做法。所以我們通過積極地去建設(shè)符合汽車行業(yè)標(biāo)準(zhǔn)網(wǎng)絡(luò)安全體系流程，去應(yīng)對(duì)這樣一種挑戰(zhàn)，我們率先也獲得了國(guó)際知名機(jī)構(gòu)頒發(fā)的汽車網(wǎng)絡(luò)安全管理體系的認(rèn)證證書。

標(biāo)準(zhǔn)體系，可以理解成是安全實(shí)踐的一個(gè)大綱和指南，但好的實(shí)踐還是需要我們安全團(tuán)隊(duì)跟開發(fā)團(tuán)隊(duì)去配合探索，從流程上我們?cè)O(shè)計(jì)了很多安全活動(dòng)，從建模、設(shè)計(jì)、開發(fā)到部署，也就是說在代碼生產(chǎn)之前、生產(chǎn)中以及生產(chǎn)后的這些場(chǎng)景，都需要通過安全的活動(dòng)，去規(guī)范它的研發(fā)過程。

吳德新：能夠做到又快又安全的團(tuán)隊(duì)，他們往往做對(duì)了什么？

呂一平：汽車是一個(gè)非常復(fù)雜的產(chǎn)品。我們前面的討論主要關(guān)注的是車端，但是智能化涉及后端的服務(wù)、涉及用戶移動(dòng)端的體驗(yàn)，是一個(gè)非常復(fù)雜的體系，需要有一個(gè)全局的思考，特別是在研發(fā)過程當(dāng)中你考慮的不光是這個(gè)車本身。比如說，絕大部分的汽車行業(yè)的數(shù)據(jù)都是從后臺(tái)服務(wù)端泄露的，而不是從車上泄露的，所以說我覺得車企必須有一個(gè)全局的概念，就是車的“云管端”是一體的，必須有一個(gè)全新的觀念。

做得好的企業(yè)做對(duì)了什么：

第一，我覺得有全局觀念、能夠整體看安全的，這個(gè)車企它可能相對(duì)來講會(huì)做得好一些；

第二個(gè)，安全一定是要跟本企業(yè)的研發(fā)流程做一個(gè)緊密的結(jié)合，安全能夠和研發(fā)的體系協(xié)同得比較好、配合得比較好，并且有卡點(diǎn)機(jī)制的，相對(duì)來講是比較好的；

第三，光靠自己的能力建設(shè)可能還不夠，它也需要吸取整個(gè)行業(yè)和一些先進(jìn)的能力企業(yè)，能夠比較體系化地去整合業(yè)界的能力。

比如說騰訊現(xiàn)在跟零束和一些其他車企的合作，會(huì)把我們的技術(shù)能力比較強(qiáng)的工具平臺(tái)、能力平臺(tái)輸出給汽車行業(yè)的合作伙伴，結(jié)合他們實(shí)際的工作場(chǎng)景和需求再去做進(jìn)一步的一些打磨。我們其實(shí)跟上汽配合得非常緊密。

第四個(gè)，有專職的安全團(tuán)隊(duì)。安全是一個(gè)常態(tài)化的工作，需要有專人負(fù)責(zé)，要建流程，要有運(yùn)營(yíng)的能力，這個(gè)在汽車行業(yè)是需要進(jìn)一步加強(qiáng)的。因?yàn)槠嚞F(xiàn)在很多零部件都是供應(yīng)鏈在提供的，對(duì)主機(jī)廠來講，供應(yīng)鏈的模塊還有一點(diǎn)像是“黑盒”。未來怎么能夠把車廠的一個(gè)規(guī)范能夠向上下游的產(chǎn)業(yè)鏈去做延展，確保供應(yīng)鏈的安全上面，不管是零部件的準(zhǔn)入還是定期的軟件更新這一塊，持續(xù)地要有一個(gè)很好的管理機(jī)制。

五、高階智駕普及，安全如何保證？

吳德新：今年這種高階輔助駕駛的普及，往下高階智能駕駛怎么樣去更好地保證它的安全性。

王君鋒：從研究的角度，涉及兩方面的安全。

首先高階輔助駕駛，本身的功能安全，就是我們?cè)谠O(shè)計(jì)相關(guān)的邏輯的時(shí)候，要把很多模式考慮進(jìn)去，因?yàn)檐囋谟幸欢ǖ淖灾黢{駛的能力的時(shí)候，其實(shí)它會(huì)遇到各種狀況，要把能考慮到的場(chǎng)景都考慮到，比如說哪個(gè)傳感器失效了，或者說它的信號(hào)不可信了——這個(gè)狀況就是在功能安全的范疇里面，設(shè)計(jì)時(shí)要考慮的。

再延伸到網(wǎng)絡(luò)安全的邊界，會(huì)更大一點(diǎn)，因?yàn)榫W(wǎng)絡(luò)安全是人為去制造的一種入侵或者說干擾。所以，在功能安全的基礎(chǔ)上，我們要再?gòu)木W(wǎng)絡(luò)安全的角度，比如通訊接口或者是傳感器的干擾，不管從通訊接口的加密或者認(rèn)證，多個(gè)維度去設(shè)計(jì)安全認(rèn)證的一些措施、加固的措施，去保障這些接口沒有那么容易被外部的攻擊所影響，最大程度保障接口的安全性。

所以做好這個(gè)事情，就是要融合地去把網(wǎng)絡(luò)安全跟功能安全都考慮都做好，才能真正地達(dá)到產(chǎn)品安全的一個(gè)大的目標(biāo)。

呂一平：安全是一個(gè)伴生屬性，新技術(shù)應(yīng)用會(huì)帶來新的安全風(fēng)險(xiǎn)。高階的自動(dòng)駕駛引入以后，可能會(huì)帶來哪些新的技術(shù)，比如高精地圖的數(shù)據(jù)安全是很重要的，這個(gè)肯定是車企重點(diǎn)關(guān)注的領(lǐng)域。

特斯拉是走全攝像頭的模式，其他的車企的話走混合模式，包括毫米波雷達(dá)、激光雷達(dá)加攝像頭的混合的模式，從感知部分也會(huì)有很多對(duì)抗，我們之前跟對(duì)特斯拉做過研究。其實(shí)我們是做的對(duì)抗樣本，是可以干擾到自動(dòng)駕駛的視覺輸入的，造成了它的駕駛決策上可能會(huì)有失誤。

第三個(gè)，國(guó)家現(xiàn)在重點(diǎn)在提車路協(xié)同，它還不光是車本身的問題，可能還會(huì)涉及很多車的周邊的，不管是給車提供信息的，還是車跟路上的基礎(chǔ)設(shè)施會(huì)做交互的，這一塊也是需要重點(diǎn)去關(guān)注的。

最近我在上海坐網(wǎng)約車的時(shí)候，聽到導(dǎo)航提示“前方綠燈馬上就要開啟”，其實(shí)你會(huì)看到現(xiàn)在很多道路上的信息已經(jīng)在跟車做同步交換，在未來比如說紅綠燈的紊亂會(huì)不會(huì)干擾到車的正常行駛？它也是信息安全需要關(guān)注的。

返回第一電動(dòng)網(wǎng)首頁 >