很多文章把VTA测试写成三大类，其中第一类就是体系文件审查。这个分类是错的。
·VTA全称车辆型式试验，专指实车层面的技术检测，通信安全、代码安全、国密算法、渗透测试这些上车实测的项目才算VTA。
·信息安全保障要求审查，包括制度文件审核、漏洞管理流程查验、供应商安全协议核查，属于体系资料评审和工厂CoP现场审核的范畴，独立于VTA试验，不纳入VTA检测报告，仅作为CCC申报的前置条件。
两套工作分开走、分开排期，混在一起会耽误送检进度。
1.信息安全技术实车测试
这部分是VTA测试的主体，四个子项。
·通信安全测试。车载通信通道有没有被非法接入的风险。TBOX公网通信的加密强度和证书链校验过不过关，短距离通信比如蓝牙配对和WiFi接入点的鉴权机制能不能被绕过，V2X直连通信的安全策略有没有被正确实现。检测机构用抓包设备和协议分析工具模拟中间人攻击，尝试**通信加密或者伪造指令注入车端CAN总线和以太网。
·软件升级安全测试。核心是测OTA通道的安全性。升级服务器与车端的双向身份认证，升级包的**校验，防回滚机制的有效性。还有一个容易被漏掉的点，升级失败之后的自动恢复策略，标准要求必须能做到安全回退，不能因为一次升级失败把车变成砖。测试会模拟升级包被篡改、升级通道被劫持、升级过程中断电等多种异常场景。
·数据代码安全测试。查关键操作的安全校验。OBD口能不能在未授权状态下刷写ECU固件，USB口能不能绕开系统权限直接读取敏感日志和内存数据，JTAG调试接口有没有做访问控制。检测机构用外接设备和专用诊断工具做接口安全扫描。
·密码算法安全测试。GB 44495要求使用国密算法，SM2做数字**和密钥交换，SM3做摘要计算，SM4做数据加密。测的是算法实现本身是否正确合规，以及密钥生成、存储、销毁的全生命周期管理有没有漏洞。硬件安全模块中预置密钥的防提取和防篡改能力也在检查范围内。
这里有一个很重要的边界：只在国内销售的整车强制SM2/SM3/SM4全套国密测试。纯出口、不在国内上牌的车型可以豁免国密算法测试，提交书面豁免声明就行，不需要改造硬件加密方案。出口车企按这个规则来不用多花一笔安全芯片改造成本。
2.整车渗透测试
渗透测试是整个VTA测试里最不能掉以轻心的一块。检测机构的渗透团队会按照CMA盖章的测试方案对整车攻击面做全面探测。测试环境要求在接近真实使用场景的工况下执行，车辆处于正常上电运行状态，通信模块全部激活，不能切到工程模式或者测试模式降低攻击难度。
攻击入口优先级排个序。TBOX排第一，它是整车对外通信的总闸口，固件提取、通信劫持、指令重放全往上招呼。**排第二，域间隔离策略有没有漏洞、关键报文过滤规不规矩。IVI排第三，应用层漏洞、系统提权、敏感数据泄露都在测。OBD口和USB口属于近场攻击入口，虽然攻击条件苛刻一点但一旦被突破危害极大，照样是必测项。
渗透过程中发现的高危漏洞必须完成整改并通过复测，拿到检测机构盖章的漏洞分级清单、整改方案、复测报告和闭环确认表全套归档后提交审核。缺一张表材料都会被整批退回。整改时间窗口非常紧，检测机构不会无限期等，超出测试排期还没搞定，测试报告中会标为不符合项，直接影响后续认证进度。
二、哪些项目翻车率最高
OTA升级包**校验被绕过，排第一。国密算法性能不达标，实测加密解密延时超标，排第二。OBD口安全防护措施不足，排第三。TBOX固件提取防护不够、**域间隔离配置疏漏也是高频问题。这几项建议在摸底阶段重点打磨，不要留到正式测试碰运气。
1.送测前自检清单
送测之前几件事必须确认。PVID、软件版本号、ECU硬件料号跟公告申报参数完全一致。整车网络拓扑图必须是最新版本并且跟送测车辆一致。测试用密钥和证书提前部署到车端并且验证过功能正常。涉及供应商提供的安全组件，提前拿到技术说明文档和测试报告随送测材料一并提交。还有一个最容易漏掉的，完整的TARA风险评估报告是进场测试必备的前置资料，缺这个报告实验室直接拒收样车。
2.配套边界补充
·变更复测的规则也要清楚：测试后换了TBOX、加密芯片、**固件、改过国密实现方案，属于重大变更，必须针对通信和密码安全模块做局部复测。只是调了UI文案和HMI提示文字，不用复测。
·进口车用UN R155等效评估简化了资料审查，但国内的通信安全、国密算法、整车渗透三大模块必须全项重测，海外VTA数据不能替代国内测试。
·拿证以后也不是万事大吉。每年工厂CoP监督审核会随机抽取实车复测部分安全项目，OBD安全、国密算法、OTA**校验都可能被抽到，不是只审文件。
·全套VTA报告、漏洞整改闭环材料、渗透测试日志、密钥管理文档留存至车型停产满10年。
还有一个小但是不能漏的细节：1号修改单之后提交的体系文档和测试方案，旧术语CSMS体系认证要全部替换为信息安全保障要求，文件检查要全部替换为文件检验，混用旧术语会被退回整改。
GB 44495汽车信息安全认证项目，可联系蓝亚技术检测认证机构顾问：13632500972（Benson）
