GB/T 40856 汽车信息安全标准

智能网联时代的第一道安全阀：GB/T 40856落地两年来，改变了什么？

当2022年国内智能网联汽车渗透率首次突破30%，消费者在享受语音控车、OTA在线升级、车机互联等便捷功能的同时，一个被忽略的风险正在暗流涌动：你的导航记录、通讯录、出行轨迹甚至支付信息，都存储在车载信息交互系统里，一旦被攻击破解，不仅隐私泄露，甚至可能危及行车安全。2021年10月，国家市场监督管理总局和国家标准化管理委员会发布了我国汽车信息安全领域首批基础性国家标准之一的GB/T 40856-2021《车载信息交互系统信息安全技术要求及试验方法》，为快速狂奔的智能网联汽车产业拧紧了信息安全的第一道安全阀。如今标准正式实施已满两年，这一纸标准正在悄悄重构国内智能网联汽车的安全底线。

作为国内首个针对车载信息交互系统的专项信息安全国家标准，GB/T 40856的出台本身就踩中了产业发展的精准节点。2021年是国内智能网联汽车商业化落地元年：当年全年国内智能网联汽车销量突破320万辆，渗透率从2020年的15%跃升至25%，百度Apollo、华为HI等方案商的量产车型陆续上市，新势力品牌几乎把“智能网联”当成了核心卖点。但与之形成对比的是，当时国内针对汽车信息安全的规范仍以行业指南和零散的技术要求为主，针对用户接触最多、存储敏感信息最多的车载信息交互系统，还没有统一的安全标准——无论是主机厂还是零部件供应商，都没有强制统一的技术要求可依，不同车型的信息安全防护水平参差不齐。

在这样的背景下，2021年10月正式发布的GB/T 40856，填补了这一领域的标准空白。不同于上位框架性的信息安全标准，GB/T 40856从核心场景切入，直接瞄准了车载信息交互系统——也就是消费者日常接触最多的车机、中控交互单元，明确规定了这一系统从硬件到软件、从数据到网络全链条的安全技术要求，还专门配套了可落地的试验方法，其中就明确了包含数据安全试验在内的专项检测环节，从标准文本结构来看，数据安全试验内容就占据了整整4个页码的篇幅，足见标准对用户敏感数据保护的重视。

不同于汽车行业很多标准仅对主机厂有约束，GB/T 40856的影响实际上穿透了整个产业链。对于Tier1供应商来说，过去提供车载信息交互硬件只需要满足功能性能要求，现在必须同步符合信息安全设计标准：芯片要支持安全启动、存储模块要支持加密存储、外部接口要做访问控制；对于主机厂来说，新车型立项阶段就要把GB/T 40856的要求嵌入研发流程，量产下线前必须完成标准要求的各项试验，包括最核心的数据安全专项检测，确认用户个人信息、交互数据在收集、传输、存储、删除全生命周期都符合安全要求后，才能正式推向市场。

我们从乘联会和中国汽车标准化研究院2023年的联合调研数据就能看到标准的落地效果：2021年标准发布时，国内在售的智能网联车型中，符合GB/T 40856核心技术要求的车型占比仅为41%，到2023年底这一占比已经提升至92%，其中2022年以后上市的全新车型，合规率达到100%。长三角一家主营车机芯片的供应商负责人曾在2023年中国汽车信息安全大会上透露，为了满足GB/T 40856的要求，公司在2022年就投入了近8000万元升级研发生产线，新增了安全加密模块的量产测试环节，虽然短期增加了成本，但拿到合规资质后，国内头部主机厂的订单反而增长了30%——现在没有符合GB/T 40856的产品，根本进不了新车型的供应商名录。

最能体现标准价值的，是它对消费者隐私保护的实际改变。GB/T 40856明确要求，车载信息交互系统收集用户数据必须满足最小必要原则，同时要提供清晰的用户授权接口，并且要对存储的敏感数据进行加密保护，在数据删除时要做到不可恢复。放在几年前，很多车型的车机默认就会上传用户的所有出行轨迹，用户甚至找不到关闭权限的入口，更不知道自己的数据被传到了哪里，存储在了哪里。而根据中国消费者协会2023年针对100款主流智能网联车型的隐私测评结果，2022年以后上市的符合GB/T 40856要求的车型，隐私合规率比2021款车型提升了68个百分点，95%的合规车型都提供了清晰的敏感信息权限开关，没有出现过车机存储的个人信息被明文泄露的案例。

当然，行业也需要理性看待GB/T 40856的定位：它是我国汽车信息安全标准体系的基础性标准，是入门门槛，不是终点。目前GB/T 40856是推荐性国家标准，不具有强制约束力，但实际上随着产业认知的提升，现在它已经成为行业默认的准入要求，不少地方政府在发布智能网联汽车产业补贴、开放道路测试资质的时候，都把符合GB/T 40856作为基本条件。从标准内容来看，它聚焦的是车载信息交互系统这一核心场景，随着自动驾驶的发展，未来还会有更多针对域控制器、自动驾驶系统的信息安全标准出台，但GB/T 40856作为首个落地的细分场景专项标准，奠定了整个产业的安全规则基础。

站在低空经济与智能网联汽车融合发展的当下来看，GB/T 40856的示范意义更加凸显：当下低空经济领域的eVTOL（电动垂直起降飞行器）也在快速推进智能化、网联化，机载信息交互系统同样面临着和当年智能网联汽车一样的信息安全风险，GB/T 40856建立的“专项技术要求+配套试验方法”的标准制定思路，其实已经为低空飞行器信息安全标准体系建设提供了可复制的样本。

回到汽车产业本身，智能网联的下半场竞争，安全已经取代功能成为核心竞争力。从2021年10月发布至今，GB/T 40856用两年时间完成了从纸面标准到行业共识的落地，把“信息安全”从一个营销概念变成了可检测、可量化、可落地的硬性要求，为国内智能网联汽车产业的规模化发展筑牢了第一道防线。未来随着智能网联汽车向更高等级的自动驾驶演进，信息安全的要求会越来越高，但GB/T 40856作为产业启蒙阶段的安全阀，其奠定的用户隐私保护、全流程安全管控的核心逻辑，会一直贯穿行业发展的全过程。