正在進行的聯合國自動駕駛和網聯汽車工作組GRVA的第14次會議上，由日本交通安全環境研究所（NTSEL）和GRVA秘書處共同總結了各國對在車輛網絡安全法規(UN R155)實施過程中出現的一些問題的解答。這些解答有助于汽車制造商更好的理解并符合法規的要求，以便申請這項被所有締約方都互認的UNR法規認證。

聯合國第155號法規規定了對車輛網絡安全的型式認證要求，該法規于2021年1月22日正式生效，并且已經被歐盟、日本以及韓國等多個國家和地區作為車輛市場準入的強制性要求之一。 然而，UN R155法規（以及UN R156的軟件更新法規）在1958協定中是一種獨特的存在，與1958協定中的其他UNR法規相比，按照UN R155法規進行型式認證有著很大的不同，其中最為重要的差異在于：

汽車制造商需負責確保車輛的整個供應鏈和整個生命周期的網絡安全；

認證管理機構有義務通過型式認證信息交互數據庫（DETA）彼此交流各自對網絡安全法規實施所采取的評估方法。 ?

要求認證管理機構相互交流評估方法的原因在于UN R155法規本身并沒有提供足夠詳細的要求，使制造商、技術服務機構和認證管理機構能夠按照統一的標準進行法規符合性的判斷。這一方面增加了制造商合規工作的難度，另一方面對于1958協定的“互認”原則也是一種挑戰。 為此，從法規正式發布之后，工作組就開展了一系列服務于法規實施的研討會，短短一年多的時間，有關締約方的認證管理機構和技術服務機構已經舉辦了10多次會議，并發布了UN R155的實施指南（Guidance），下面是在GRVA的第14次會議上總結的這些研討會的一些成果，解答了汽車制造商在法規實施過程中的一些疑問。 關于網絡安全管理體系（CSMS）

問題1：認證時對于外部的采購/供應將如何進行評估？

答：汽車制造商應證明與有關的供應商簽訂了網絡安全接口相關的協議，并證明自己是如何對有關的要求進行控制的，例如通過文件評審、現場審核等方式確保協議中的要求得以落實。

問題2：制造商需要多長期限內保證網絡安全？

答：制造商必須持續地管理網絡安全風險，直到車輛生命周期結束為止。為此，制造商應明確地規定車輛生命周期結束的條件，并需要考慮在停止對車輛進行軟件更新時應采取何種措施來減免網絡安全風險。

問題3：一個制造商是否可以或者是否需要申請多個CSMS證書？

答：制造商可以申請一個CSMS證書（一個CSMS管理體系），也可以申請多個CSMS證書（多個CSMS管理體系）。每一個CSMS體系/證書都必須具備明確的范圍。這為擁有多個生產基地/研發中心/車輛平臺的制造商提供了合規的靈活性。

關于型式認證的管理規定（Vehicle Type Approval）

問題1：供應商是否可以申請UN R155認證？

答：UN R155不適用于對供應商的認證。汽車制造商需負責滿足網絡安全法規的要求。對供應商規定其應采用的方式方法、標準以及行業協會的要求，是汽車制造商的責任。 ?

問題2：在B國申請車輛型式認證時，是否認可A國頒發的CSMS證書？

答：是否認可由締約方自主決定，例如按照雙邊協定或互認協定來實施。一個締約方可以認可其他締約方頒發的CSMS證書（或者R156中的SUMS證書），認可范圍可以是管理體系中的部分范圍也可以是全部范圍。 ?

問題3：CSMS證書被撤銷或者因過期失效，是否可以批準車輛型式認證？

答：在簽發UN R155證書的時候，CSMS證書必須是有效的。

關于型式試驗的規定（Type Approval Tests） 對于汽車制造商最為關注的與型式試驗的確定性(Certainty) 相關的問題，時至今日仍然有很多問題未能達成一致意見，包括：

WHY：What is the purpose of test by Technical Service?

WHAT：How many tests? Chosen on what basis?

HOW：Howmuch effort (time) shall be spent (in particular on pen-testing)?

隨著認證工作的逐步推進，相信更多的問題會出現，同時更明確的指南和答案也將伴隨著經驗的累積和交流的深入而獲得共識。 在此之前，請查看下面提供的會議總結原始文件（節選）。

編輯：黃飛

?