上一篇我们讲了国内GB 44495强标。但做TBOX的都知道——你的产品可能不只在国内卖。欧洲要R155、美国看NHTSA、日本韩国跟着联合国跑……这套法规版图如果搞不清出海项目分分钟踩坑。这篇把全球汽车信息安全法规一网打尽横向对比一次讲透。全文基于各法规官方文本和权威机构解读整理。先说一个多数工程师的认知误区很多人以为汽车信息安全法规 R155或者我在国内卖车R155跟我没关系。都不对。真实的全球法规版图是五条线并行联合国 WP.29制定 UN R155/R156是全球基准但需要缔约方采用才强制欧盟把 R155/R156 纳入型式批准2022年起强制中国以 R155 为参考制定 GB 44495但加了国密等中国特色2026年起强制美国无联邦强制法规只有 NHTSA 非强制指南日本/韩国跟随 R155与欧盟时间线接近下面逐条拆开。1、联合国 UN R155 / R156全球基准UN R155 和 R156 是联合国 WP.29世界车辆法规协调论坛在 2020 年通过的是全球第一批具有法律约束力的汽车网络安全法规。法规全称管什么配套标准UN R155关于批准车辆信息安全和信息安全管理体系的统一规定车辆网络安全 CSMSISO/SAE 21434UN R156关于批准车辆软件升级和软件升级管理体系的统一规定软件升级 SUMSISO 24089关键设计管理体系和车型批准双轨制CSMS网络安全管理体系车企要有覆盖全生命周期的安全管理体系需先通过审核拿到 CSMS 证书车型批准VTA具体车型要满足技术要求通过测试才能获批两样缺一不可——没有 CSMS 证书车型根本不能申请批准UN R155 的技术核心7 大类 32 项网络攻击威胁企业通过TARA威胁分析与风险评估识别风险、制定防护方案。注意——R155 没有统一的强制测试指标靠企业自证这点和中国 GB 44495 完全不同后面细说。适用车型M类乘用车/客车、N类货车、O类带ECU的挂车、L6/L7配备L3自动驾驶功能的四轮车。2、欧盟R155/R156 的最强落地欧盟通过型式批准框架把 R155/R156 变成硬性强制实施时间线M/N类普通车型时间要求2022-07-06新车型型式批准必须满足 R155/R1562024-07-07存量车型型式批准全部覆盖2026-07小批量/专用车存量批准覆盖2027-12L类新车型L3自动驾驶执行 R155除了 R155/R156欧盟还有两个相关法规要注意① EU 2019/2144机动车型式批准法规R155/R156 的法律载体把所有欧盟新车型的信息安全和软件升级要求焊死进型式批准流程。② EN 18031RED 无线电设备网络安全标准2024年8月发布2025年1月列入欧盟官方公报2025年8月1日强制。注意它的适用范围和豁免针对所有无线电设备的网络安全对应 RED 指令第3.3(d)(e)(f)条网络保护/隐私/防欺诈关键豁免机动车Motor Vehicles不适用 (e)(f) 条款——因为汽车网络安全走的是 R155/R156 和 EU 2019/2144 体系不在 RED 范围对TBOX的含义如果你做的是带蜂窝/蓝牙/WiFi的TBOX整机销往欧盟要确认适用哪套体系——装车量产的TBOX走R155/R156随整车批准单卖的独立无线模块/设备才可能碰EN 18031。这个边界一定要分清。3、中国GB 44495 的严于国际中国没有直接采用 R155而是以 R155 为参考制定了自己的强制国标上一篇已详述这里只讲差异点。维度UN R155欧盟落地GB 44495中国法律地位1958协定法规缔约方采用国家强制性标准直接生效威胁管理企业自做 TARA 自证明确技术要求 标准化检测合格判定无统一强制指标逐条达标有明确判定阈值密码算法无强制强制国密 SM2/SM3/SM4验证方式体系审核为主体系审核 实车测试双轨漏洞平台无指定NVDB-CAVD车联网产品专用漏洞库数据合规GDPR 框架数据不出境 个人信息删除两大中国特色必须记住强制国密国内销售车型外部通信、固件签名、数据存储必须用 SM2/SM3/SM4。海外非国密体系在国内行不通——如果同一个TBOX平台要卖国内和海外加密芯片要同时支持国密和国际算法双算法支持或者做硬件级区分。标准化检测GB 44495 不像 R155 那样企业自证而是规定了明确的测试方法和合格阈值第8章有几十条测试方法漏洞扫描比对、伪造指令测试、抓包≥3600s查数据出境等。合规是考出来的不是写出来的。等效评估已通过 R155 认证的车企CSMS 体系可走等效评估降低搭建工作量但 VTA 实车测试仍按国内标准来。注意等效评估只针对批量全新整车平行进口单台不适用。4、美国NHTSA 的非强制路线美国是主要汽车市场里的另类——没有联邦强制汽车网络安全法规美国不是 1958 协定缔约方UN R155/R156 在美国无法律效力NHTSA 于2022年9月发布《现代车辆安全网络安全最佳实践》Cybersecurity Best Practices for the Safety of Modern Vehicles是非绑定指南但注意美国车企出口欧盟/日本的车照样要满足 R155——所以美国车厂内部其实也在做 CSMS只是没有联邦强制对TBOX的含义美国市场当前没有强制认证压力但客户OEM大概率会在合同里要求参考 NHTSA 最佳实践 ISO 21434 流程。别以为没强制就能裸奔——供应链条款会把它变成事实要求。5、日本 / 韩国跟随联合国日本是 1958 协定缔约方2022年7月起新车型执行 R155与欧盟同步韩国时间线类似两国都是直接采用 R155/R156没有像中国这样自建强制国标6、一张表看懂全球对比维度中国欧盟美国日/韩核心法规GB 44495/44496/44497UN R155/R156 EU 2019/2144NHTSA 指南非强制UN R155/R156强制时间2026-01-012022-07/2024-07无2022-07管理体系CSMSCSMS/SUMS无强制CSMS密码算法强制国密无强制无强制无强制测试方式标准化实车测试体系审核自证无体系审核数据合规数据不出境GDPR各州法规PIPA等TBOX影响国密安全芯片必备双轨认证合同要求跟随欧盟7、给 TBOX 工程师的 5 条实战建议先问产品卖哪国内/欧盟/北美/其他决定你按哪套法规设计——国内上国密、出海用国际算法、两栖平台做双算法这是芯片选型时就要定的不是软件能补的国内项目把 GB 44495 当最低线它不是上限而是底线客户需求比如长城/上汽大众的规范只会比国标更严不会更松ISO 21434 是通用语言无论国内还是海外ISO/SAE 21434 都是 R155 和 GB 44495 共同认可的实现方法论——先把 21434 的流程跑起来国内外通用出海欧洲盯两套整机随整车走 R155体系车型双轨独立无线设备确认是否碰 EN 18031——边界不清先问认证机构别自己猜美国市场别裸奔没强制不代表没要求OEM 合同会引用 NHTSA 指南 21434供应链条款照样卡你8、系列进度这篇是**《TBOX信息安全实战系列》第2篇**。系列全景8篇篇主题状态第1篇国内法规GB 44495 全景解读✅ 已发布第2篇国内外法规对比✅ 本篇第3篇TBOX网络安全需求怎么定双客户对标待写第4篇硬件安全密码模块安全芯片待写第5篇系统/数据安全SELinux数据分级待写第6篇通信安全双向认证SecOC待写第7篇安全启动安全升级待写第8篇渗透测试IDPS运营闭环待写下一篇TBOX网络安全需求怎么写某自主品牌与某合资品牌需求规范对标全章节拆解。❤️文末福利❤️1、关注【擎天柱工坊】获取更多免费学习视频和资料2、私信回复【汽车硬件设计】领取原理图、PCB、学习视频