做车机认证这些年，被问得最多的就是 GB 44495、GB 44496 到底管什么。新车型一立项，采购研发项目三拨人轮着问。我按自己的理解捋一遍，夹几句实操里撞过的墙。
1.发布和实施节点
先把日期钉住。2024年8月23日，市场监管总局和国家标准委发布三项智能网联汽车强标，GB 44495、GB 44496 自2026年1月1日实施。
第1号修改单时间线绕一点：2025年9月征求意见，12月16日公示的是报批稿，2026年1月28日生效。
2.修改单到底改了什么
两个词变了："信息安全管理体系"改成"信息安全保障要求"，"检查"改成"检验"。体系没砍，换了口径，8.1条款现在叫文档检验，审材料，跟工厂审核两条线。
3.三项一批，各管一摊
44495管整车信息安全，44496管软件升级，44497管自动驾驶数据记录系统。按功能对号入座，带不带自动驾驶决定要不要碰44497。它没有修改单，跟前两项不同步。
4.跟国际法规的关系
制定时跟联合国R155、R156充分协调，大框架相通。国内版另加了车云交互、数据出境、身份标识、密码合规。
二、GB 44495管什么
1.适用车型
GB 44495-2024正式版适用于M类、N类，以及至少装1个电子控制单元的O类。第1号修改单收窄到M类、N类，挂车不再强制。做挂车配件的先确认按哪版报。
2.信息安全保障要求
查风险管理机制有没有真跑起来，研发、生产、运维到报废全周期覆盖。国内不单独发CSMS体系证书，材料在型式批准环节做资料检验，跟工厂审核两条线。
3.外部连接安全
OBD、USB、蓝牙、Wi-Fi、蜂窝，一个一个查。重点是接口身份认证、未授权访问防护，还有量产调试口怎么收口。
调试口争议最大。对外暴露的必须收敛，加个鉴权就想留，风险照样在；内置的也要做权限管控。前阵子一个项目，硬件觉得产测要用，口子留在手套箱，评级时被拎出来重做。
4.通信、升级与数据安全
车内看CAN、车载以太网的报文鉴权和完整性，车云看加密和身份验证，带V2X要评估对外通信防护。升级包**校验、防回滚跟44496接得上。数据安全盯最小化和删除。
三、GB 44496管什么
1.适用车型
具备软件升级功能的M、N、O类车辆都在里头。只看能不能OTA，跟是不是新能源没关系，燃油车带的一样要过。
2.升级管理体系与告知
流程、角色职责、版本控制、回滚方案得写成文件，还要留可追溯记录。告知内容和形式标准有要求，强制升级得说理由。版本号要能从外部读到，常被漏。
3.先决条件与失败处理
车速、挡位、电量不满足不能启动升级。断电、传输中断要能回滚，还得拿出功能一致的证据。密码按商用密码规定评估，优先用国密，其他的走手续。说明书标准里也要求，送样常漏。
四、落地容易踩的坑
1.没有单独的"GB 44495证书"
眼下没有独立证书，报告并入整车公告。认监委TC11技术决议已把这两项列进拟纳入CCC依据标准，公告落地后跟CCC绑更紧。按"拿证"思路验收，后面容易起争执。
2.零部件报告怎么用
模组、零部件报告有用，能拿去支撑TARA文档。但整车型式试验那份，零部件材料替不了，得整车实测。拿供应商材料拼一份递上去，实验室不收。
3.同一型式判定要用足
标准里有同一型式判定条款，修改单细化了同平台同源规则。架构和防护设计一致的系列车型共享一份报告。前提是检测机构确认符合条件，自己判完直接用，报告作废。
4.资料怎么备
资料分三块，逐项齐：
（1）信息安全类：体系文件、TARA报告、事件响应预案、漏洞管理流程、逐条自证。
（2）软件升级类：升级流程文件、版本控制记录、回滚方案、告知模板。
（3）样车测试类：样车、产品使用说明书、测试配合人员。
①TARA报告被打回最多，别只写结论不写推导过程。
②缺件不一定当场退，但报告出不来，排期顺延。
五、几个高频疑问
1.在产车型怎么办
获型式批准的在产车有整改窗口，但不是无限期，后面有截止节点，按主管部门通知核。别按新车型时间表倒推，也别以为永远不用管。
2.出口车要不要做
这是国内准入要求，跟欧盟R155、R156两套体系，按目标市场法规划。框架相通，体系搭一次能复用大部分，国内这几项另补。
蓝亚咨询联系人：Benson
手机/Mob：(+86)13632500972
邮箱/E-mail：marketing@cblueasia.com
地址/Add：深圳市宝安区石岩街道北环路107号鸿景达产业园C栋
蓝亚检测不止服务！
