兴盛优选1. 为什么这两年突然都在讨论 ISO/SAE 21434
先说个我工作里常见的场景：原来只做车身控制器或者车载娱乐系统的团队，最近几年的需求文档里开始频繁出现一时间看不明白的缩写，TARA、CIA、CAL、CSMS，供应商还被甲方要求提供一份叫"网络安全概念"的文档，客户来审厂时问的问题也从"代码走查怎么做"变成了"你们怎么识别和跟踪漏洞"。这些变化背后都指向同一个编号：ISO/SAE 21434。简单说，这是一部专门讲"汽车网络安全工程怎么做"的国际标准，全称是 Road vehicles — Cybersecurity engineering，2021 年 8 月正式发布。它要解决的核心问题很直白：智能汽车越来越像带轮子的电脑，我们过去那套造车的安全方法，已经兜不住"被人恶意攻击"这类新风险了。
这篇文章我不会上来就抄标准条款，而是先帮大家把"为什么会出现这个标准、它到底是什么、里面的关键概念怎么理解、落地时有哪些坑"讲清楚。目的是让做研发、做项目管理、做质量或者做供应商对接的朋友，读完能对 21434 有一个整体框架，后面不管是读客户模板还是自己组织 TARA，都不至于发怵。
1.1 汽车联网后，攻击面已经不是"实验室假设"
十年前的汽车电子系统，大部分控制器之间用 CAN 总线通信，诊断接口放在车里面，外部想接触它得先物理上靠近这台车。那时候谈"汽车被黑客攻击"，很多人觉得是电影情节。但现在不同了，现在的车几乎都有远程控制 App、OTA 升级、语音助手、第三方应用、车路协同通信，充电的时候还要跟充电桩交互，甚至路边一个蓝牙信标都可能被车辆系统误读。
攻击面扩大之后，攻击者不需要拿到车钥匙，也不需要拆开内饰板，坐在家里就可能通过云端接口、移动网络或者短信钓鱼拿到某种控制权限。2015 年著名的 Jeep 切诺基远程控制事件，已经让整个行业认识到：一辆在高速上行驶的车，可以被研究者在几公里外用笔记本通过娱乐系统漏洞踩下刹车。这不是电影，而是已经真实发生过的演示。
所以"汽车网络安全"不是实验室里的一种假设，而是量产车在真实道路上必须具备的属性。问题是，以前没有一套通用的方法论告诉所有车企和供应商："你应该在什么阶段分析风险、用什么格式记录、怎么验收。"每个公司都是自己摸索，做出来的东西五花八门，OEM 审供应商也没有统一抓手。ISO/SAE 21434 就是来填这个空位的。
1.2 功能安全管不住"故意使坏"的对手
很多人第一次接触 21434 时会问：我们不是已经有 ISO 26262 了吗？功能安全不就是管安全的吗？这个疑问我几乎在每个客户现场都会遇到，需要先把它掰开。
ISO 26262 针对的"安全"是一个英文词 Safety，它解决的是"系统因为随机硬件失效、系统性设计错误而导致的伤害"。它的世界模型里，故障是"不小心"发生的，概率可以统计，失效率可以计算，所以可以用 FMEDA、故障树、安全完整性等级（ASIL）这套工具来控制。安全界有一个很重要的原则：对手是"随机失效"，它没有智商，不会因为你在某个地方加了防护就改变策略。
网络安全对应的英文是 Security，面对的是"有智力的恶意攻击者"。攻击者会主动探测、会寻找薄弱环节、会组合多个漏洞、会持续利用你的信任链。你堵住一个口子，他会换一条路。这就意味着"出现概率"很难计算，因为攻击者不是随机事件，而是有针对性地做决策。安全性的经典方法论，比如"失效率越低越好"，对网络攻击并不成立的。
这也是为什么 ISO 26262 不能直接延伸到网络安全领域的原因。21434 的设计哲学完全不同：它不追求"绝对安全"，而是引入风险管理的思想——承认漏洞存在，承认攻击可能发生，通过系统的威胁分析和风险评估（TARA），把有限的资源花在最该防御的资产上，并且把这一套决策过程做成可视、可审计、可持续更新的机制。
1.3 法规和准入要求把它变成了硬门槛
如果说标准本身是"怎么做"的方法论，那真正倒逼车企行动的是法规这条线。联合国欧洲经济委员会（UNECE）在 2020 年通过了关于车辆网络安全的第 155 号法规（UN R155），从 2022 年 7 月开始，在缔约方市场，新车型要获得型式批准就必须证明整车厂建立了符合要求的网络安全管理体系（CSMS），并且在整个车辆生命周期都有持续的网络安全活动。到 2024 年 7 月之后，所有新注册车辆都要满足这个要求。
简单说，没有 CSMS 证书，新车在欧洲市场就上不了公告，这是实实在在的商业门槛。国内对应的情况也很清楚，近几