Нужна ли национальная система сертификации «критических» ЭБУ для беспилотного транспорта?

Развитие высокоавтоматизированных транспортных средств (ВАТС) свидетельствует о неизбежном использовании динамически изменяемых конфигураций транспортных средств, расширении дистанционного взаимодействия и распространении OTA-обновлений. Цена удобства и оперативности управления транспортными средствами - это многократное повышение риска несанкционированного воздействия на управление, компрометации прошивок и массового нарушения работоспособности транспортных средств.

На основе сопоставления международных стандартов ISO/SAE 21434, ISO 24089, UN R155, UN R156, и свода правил UNECE ADS 2026 предложена концепция оценки критических электронных блоков управления ВАТС по требованиям информационной безопасности (кибербезопасности) и поэтапного введения их в качестве обязательных нормативных требований.

Основной особенностью концепции является объединение проверок защищенности компонентов ВАТС и контроля программно-аппаратной конфигурации транспортных средств в процессе эксплуатации.

Введение. От защищенного автомобиля к его защищенной конфигурации

Автомобильная промышленность переходит от архитектур с относительно автономными электронными блоками управления (ЭБУ) к программно-определяемым конфигурациям транспортных средств — Software-Defined Vehicles (SDV). Для высокоавтоматизированных транспортных средств (ВАТС) переход имеет принципиальное значение, так как функции оценки дорожной обстановки, планирования траектории и выполнения маневров передаются автоматизированной системе вождения — Automated Driving System (ADS). Таким образом, электронные компоненты уже перестают быть исключительно вспомогательными устройствами. Их исправность, целостность программного обеспечения, достоверность получаемых данных и доверенность обновлений становятся основными условиями безопасности движения. Нарушение этих свойств может возникнуть не только вследствие технического отказа, но и в результате подмены команд, изменения прошивки, атаки на бортовую сеть или компрометации внешней информационной инфраструктуры.

Особенностью атак на ВАТС является возможность масштабирования последствий. При использовании унифицированного программного обеспечения, общей инфраструктуры OTA-обновлений и централизованных каналов дистанционной поддержки атака на один доверенный элемент может затронуть весь парк автомобилей.

Международное сообщество уже сформировало базовые требования к управлению автомобильными киберрисками. Однако между выполнением организационных процедур изготовителем и экспериментальным подтверждением защищенности конкретной программно-аппаратной конфигурации сохраняется зона неопределенности. Особенно остро она проявляется после выпуска автомобиля, когда установленные ЭБУ могут быть обновлены, заменены или получить новые полномочия.

1. Международная нормативная база

1.1. UN R155: управление киберрисками и защищенность транспортного средства

Правила ООН № 155 (Cyber Security and Cyber Security Management System) определяют условия одобрения типа транспортного средства с учетом выполнения требований к системе управления кибербезопасностью изготовителя — Cyber Security Management System (CSMS). В основе подхода находятся выявление угроз, оценка рисков, применение защитных мер, анализ уязвимостей и реагирование на события в течение жизненного цикла автомобиля [1].

Важно, что UN R155 не ограничиваются документальной проверкой изготовителя, но и предполагают оценку киберрисков самого транспортного средства и его компонентами, обеспечивающими внешнее взаимодействие.

1.2. UN R156: обновление программного обеспечения как процесс изменения конфигурации

Правила ООН № 156 (Software Update and Software Update Management System) устанавливают требования к обновлению программного обеспечения автомобиля и системе управления такими обновлениями — Software Update Management System (SUMS) [2]. Обновление «по воздуху» (Over-the-Air, OTA) позволяет устранять уязвимости и ошибки без посещения сервисного центра, но одновременно создает дополнительные риски, включая риск компрометации серверов, поставщиков ПО и средств распространения пакетов обновлений.

Правила декларируют, что защищенность OTA должна оцениваться не только на уровне транспортного канала. Обновляемый электронный блок управления (ЭБУ) должен включать механизм проверки подлинности, целостности, совместимости и допустимости программного пакета. Отдельным предметом испытаний должна быть проверка механизма защиты от “отката” ПО на уязвимые версии.

Проверенные механизмы идентификации программного обеспечения должны использоваться для проверки установленной версии ПО с одобренной ранее.

1.3. ISO/SAE 21434 и ISO 24089: инженерные процессы как обьект оценки

ISO/SAE 21434:2021 (Road vehicles — Cybersecurity engineering) определяет инженерный подход к управлению киберрисками автомобильных электрических и электронных систем на всех этапах жизненного цикла. Ключевое место занимает Threat Analysis and Risk Assessment (TARA): установление активов, сценариев угроз, последствий и обоснованных мер защиты [3].

ISO 24089:2023 (Road vehicles — Software update engineering) регламентирует организацию обновлений, включая автомобильные системы, ЭБУ, пакеты ПО и инфраструктуру [4].

Результаты TARA позволяют определить, какие механизмы должны быть проверены, а процедуры управления обновлениями позволяют установить условия сохранения разрешенной конфигурации.

1.4. Функциональная безопасность и безопасность ADS

Кибербезопасность не тождественна функциональной безопасности, но нарушение киберзащиты способно вызвать опасное функциональное состояние. Семейство ISO 26262 посвящено функциональной безопасности автомобильных электрических и электронных систем [5]. ISO/TS 5083:2025 задает рамку проектирования, верификации и валидации безопасности автоматизированных систем вождения [6]. Развитие международной нормативной базы ADS в рамках UNECE WP.29 дополнительно подчеркивает важность доказательств безопасности, испытаний и мониторинга после начала эксплуатации [7].

Читайте также

Когда российский софт перестает быть экспериментом

В 2022 году импортозамещение для многих ИТ-команд начиналось почти вслепую. Непонятно было, на что менять привычные операционные системы, виртуализацию, базы данных, офисное и отраслевое ПО. Не хватало и продуктов, и специалистов, и опыта.

1.5. Развитие нормативного регулирования в 2026 году

На октябрьском заседании рабочей группы UNECE GRVA по ADS рассматривались вопросы возможного отдельного одобрения ADS как технической единицы (Separate Technical Unit) и классификации дистанционной поддержки, включая удаленное прекращение автоматизированного режима и непосредственное дистанционное вождение [9]. Одновременно международная практика демонстрирует различные пути национального дополнения стандартов. В частности, китайские обязательные GB 44495-2024 и GB 44496-2024, действующие с 1 января 2026 года, посвящены кибербезопасности автомобилей и обновлениям ПО [10].

2. Российское нормативное регулирование пока без правил?

В Российской Федерации формируется специальная система правового регулирования эксплуатации ВАТС. Ее развитие осуществляется с учетом действующих требований технического регулирования, экспериментальных правовых режимов и проекта федерального закона о ВАТС.

В доработанном проекте федерального закона от 28 апреля 2026 года предусмотрены требования к обеспечению информационной безопасности ВАТС, устранению уязвимостей программного обеспечения, дистанционной поддержке и безопасности вспомогательной инфраструктуры.

Однако наличие общих требований к информационной безопасности не решает задачу установления единых технических критериев защищенности критических электронных блоков управления.

Для практического подтверждения выполнения таких требований необходимы классификация критических компонентов, согласованные модели угроз и воспроизводимые методы испытаний.

Предлагаемая концепция может стать инструментом решения указанной задачи, обеспечивая сопоставимость результатов испытаний и возможность их последующего использования при оценке соответствия ВАТС.

3. Основные положения Концепции

Предлагаемая концепция обеспечения кибербезопасности ВАТС после завершения этапа разработки должна дополнить существующую систему одобрения транспортных средств, обеспечив сопоставимость результатов испытаний критических компонентов, возможность повторного использования доказательств их защищенности и контроль сохранения соответствия при обновлении программного обеспечения и замене ЭБУ.

3.1. Проведение сертификационных испытаний критических ЭБУ

Для практической реализации предлагаемой концепции разработаны основные положения программы типовых испытаний критических ЭБУ, предусматривающей проверку механизмов защиты программного обеспечения, идентификации компонентов, безопасности сетевого взаимодействия и дистанционных управляющих команд.

Необходимость экспериментальной проверки защищенности критических ЭБУ подтверждается результатами современных исследований автомобильной кибербезопасности. Так, в работе B. Gardiner, представленной на VehicleSec 2026, выявлены уязвимости программного обеспечения блока управления тормозной системой Bendix EC80. В ходе исследовательских испытаний была продемонстрирована возможность нарушения работы отдельных автомобильных функций, включая индикацию скорости, динамическую помощь рулевому управлению и автоматическое переключение передач.

Другое исследование, опубликованное Georgia Institute of Technology в сентябре 2026 года, выявило семь ранее неизвестных проблем безопасности стандарта автомобильной сети CAN XL.

Указанные исследования демонстрируют, что соответствие компонентов установленным функциональным и коммуникационным спецификациям само по себе не гарантирует защищенности от преднамеренных воздействий. Это обосновывает необходимость специализированных испытаний критических ЭБУ, включая проверку их взаимодействия с другими электронными компонентами транспортного средства.

3.2 Каждый экземпляр ЭБУ должен иметь уникальный цифровой паспорт

Для обеспечения последующего контроля соответствия предлагается формировать цифровой паспорт критического ЭБУ, связывающий сведения о подтвержденном типе компонента с конкретным экземпляром, установленным на транспортном средстве.

Паспорт должен содержать сведения об изготовителе, аппаратной версии, идентификаторе программного обеспечения, допустимой конфигурации, результатах испытаний и принадлежности ЭБУ конкретному ВАТС.

При наличии соответствующих технических механизмов цифровой паспорт может дополняться криптографически проверяемыми свидетельствами фактического состояния устройства.

Читайте также

Вайбкодинг: реальный инструмент или опасная игрушка?

Вайбкодинг позволяет создавать ПО без знания языков программирования, но грозит скрытыми уязвимостями, ростом затрат на проверку кода и потерей контроля над ИИ-агентами. Эксперты IT-World обсуждают реальные кейсы, риски и новые требования к разработчикам.

При этом цифровой паспорт как учетная запись не является самостоятельным доказательством целостности установленного программного обеспечения. Для такого подтверждения необходимы защищенные механизмы дистанционного контроля состояния.

3.3 Централизованные команды и риск массового воздействия

По мнению авторов концепции наибольший ущерб при компрометации операторской инфраструктуры может нанести выполнение неправомерной команды, которая адресована не одному, а группе автомобилей. Поэтому доверие к центральному каналу передачи не должно автоматически заменять проверку допустимости выполнения полученной команды на стороне автомобиля.

При этом дистанционная команда прекращения автоматизированного движения не должна приводить к немедленному отключению функций, необходимых для безопасного управления. Ее выполнение должно осуществляться с учетом состояния автомобиля и дорожной обстановки, включая предусмотренное конструкцией выполнение маневра при минимальном риске.

Предлагается следующая схема допустимости выполнения команды - получение команды → установление подлинности и полномочий → оценка применимости к конкретному ВАТС → исполнение.

Сертифицироваться должен не только механизм защиты от несанкционированной команды, но и безопасный алгоритм выполнения разрешенной команды.

Заключение

Международные стандарты определили системные требования к управлению рисками, обновлению программного обеспечения и подтверждению безопасности автоматизированного транспорта.

Однако по мере расширения эксплуатации ВАТС особое значение приобретает задача независимого подтверждения защищенности критических электронных компонентов и контроля сохранения их программно-аппаратной конфигурации.

Предлагаемая авторами концепция предусматривает проведение сертификационных испытаний критических ЭБУ, объединяющей оценку защищенности компонентов, проверку последствий кибератак для безопасности движения и последующий контроль состояния электронных блоков в эксплуатации. Создание национальной системы оценки кибербезопасности критических ЭБУ следует рассматривать не как дополнительное административное требование к автопроизводителям, а как необходимый механизм обеспечения доверия к программно-аппаратной конфигурации беспилотного транспорта на протяжении всего жизненного цикла.

Использование цифровых паспортов ЭБУ и перспективная интеграция с инфраструктурой мониторинга ВАТС на базе ЭРА-ГЛОНАСС могут позволяить дополнить существующие механизмы идентификации транспортных средств сведениями о доверенности их критических компонентов.

Список литературы и нормативных источников:

1. UNECE. UN Regulation No. 155 — Cyber Security and Cyber Security Management System. [Источник]
2. UNECE. UN Regulation No. 156 — Software Update and Software Update Management System. [Источник]
3. ISO/SAE 21434:2021. Road vehicles — Cybersecurity engineering. [Источник]
4. ISO 24089:2023. Road vehicles — Software update engineering. [Источник]
5. ISO 26262:2018. Road vehicles — Functional safety. [Источник]
6. ISO/TS 5083:2025. Road vehicles — Safety for automated driving systems — Design, verification and validation. [Источник]
7. UNECE WP.29. Международное развитие требований к ADS. Пресс-релиз, июнь 2026 г. [Источник]
8. UNECE GRVA. Материалы 26-й сессии, сентябрь 2026 г. [Источник]
9. UNECE. ADS 22nd Session, October 2026 (ADS-22-16, ADS-22-17 — материалы обсуждения). [Источник]
10. MIIT China. GB 44495-2024 и GB 44496-2024: требования к кибербезопасности и обновлениям ПО автомобилей.