广东省工业和信息化厅关于公开征求地方标准《新能源汽车工业应用软件安全要求（征求意见稿）》意见的通告

附件3 广东省地方标准征求意见反馈表 年 月 日 标准名称 提出意见和建议的单位和（或）专家 单位名称(公章) 个人姓名 通讯地址 联系电话 电子邮箱 条文编号 具体内容 修改意见或建议 修改依据及理由 （纸面不敷，可另增页）

附件2 广东省地方标准 《新能源汽车工业应用软件安全要求》 编制说明 2026年1月 《新能源汽车工业应用软件安全要求》 编制说明 一、工作简况 （一）任务来源 2024年12月6日，广东省市场监督管理局批准下达2024年第五批广东省地方标准制修订计划项目（第五批）的通知（粤市监标准〔2024〕532号），广东省推荐性地方标准《新能源汽车工业应用软件安全要求》制定项目正式立项。 （二）归口省级行政主管部门 广东省工业和信息化厅。 （三）归口标准化组织 广东省信息技术标准化技术委员。 （四）标准主导单位 工业和信息化部电子第五研究所。 二、编制背景、目的和意义 新能源汽车是指采用新型动力系统，完全或者主要依靠新型能源驱动的汽车，通常包括纯电动汽车、插电式混合动力汽车和燃料电池汽车。 目前，新能源汽车已成为全球带动汽车产业整体转型升级的龙头和载体，也是促进未来世界经济持续增长、高质量发展的重要抓手和引擎。 《中国制造2025》和《汽车产业中长期发展规划》等文件都明确将新能源汽车列为重点发展领域。在政策推动和技术进步的双重作用下，我国成为全球最大的新能源汽车市场。我国新能源汽车保有量和产销量已居世界首位，截至2020年底保有量达492万辆，高速增长态势明显。据《新能源汽车产业发展规划(2021-2035)》，2025年中国新能源汽车销量占比20%，预计2025年新能源汽车保有量将达到2000万辆。 但是，随着新能源汽车保有量的逐年提升，新能源汽车事故率高、运行安全隐患风险突出等问题也日益显现。新能源汽车因“三电”（电池、电机、电控系统）引发的起火、失控等事故频发。2017至2019年，新能源汽车累计发生交通事故18582起，万车事故率是传统车辆的3倍；2019年纳入调查的火灾事故高达170余起。对人民群众生命财产安全造成严重威胁。 TÍyAm N„v标准，将这些工业技术要素封装固化后形成一种可高效重用和广泛传播的应用软件。 安全是新能源汽车工业应用软件能健康发展的保障，发展新能源汽车工业应用软件需要建立覆盖功能安全和信息安全的两方面的工业应用软件安全保障体系，这是由于新能源汽车工业应用软件的安全应从工业和互联网两个视角来分析。 从工业视角来看，新能源汽车工业应用软件越来越多地用于执行安全功能，如：基础共性类的SCADA等工业应用软件、行业通用类的电池包产线MES等工业应用软件、企业专用类的厂混线生产智能调度与排产等工业应用软件、生产制造类的MES等，安全的考虑重点应是汽车运行、生产制造等过程中相关的智能装备、工业控制设备及系统等的功能安全（safety），避免出现安全事故，保障生产制造等的实时性、连续性、可靠性等。 cí~„v ô~ Œ[te性、可用性等要求。 基于此，本项目依托工业互联网创新发展工程“工业互联网安全标准体系与试验验证环境建设”项目，结合新能源汽车工业应用软件的安全需求，标准起草组研制了《新能源汽车工业应用软件安全要求》标准草案。 本标准考虑了新能源汽车工业应用软件的信息安全要求以及功能安全要求两部分，可促进和规范新能源汽车工业应用软件安全，从而对于保障新能源车辆运行安全具有重要意义，这也必将对新能源汽车广泛应用起到积极作用。 三、编制原则 本标准在编制过程中，主要遵循了科学性、可操作性、规范性的原则。 1、科学性：在标准制定过程中，坚持科学性原则，确保所使用的术语、技术要求及参数与GB/T 11457—2006 《信息技术 软件工程术语》、GB/T 25069—2010《信息安全技术术语》、GB/T 20438.4—2017《电气/电子/可编程电子安全相关系统的功能安全 第4部分：定义和缩略语》、GB/T 20438.3—2017 《电气/电子/可编程电子安全相关系统的功能安全 第3部分：软件要求》、GB/T 20271—2006《信息安全技术 信息系统通用安全技术要求》、GB/T 35673—2017《工业通信网络 网络和系统安全 系统安全要求和安全等级》等现行标准保持一致性。 2、可操作性：在制定标准时，注重其可操作性，确保其与近年来国际、国内对新能源汽车工业应用软件的安全要求以及产业对新能源汽车工业应用软件的功能安全要求和信息安全要求相符合，标准的内容经过了起草小组的多轮讨论和修订，以确保语言的准确性和精炼性，逻辑的条理性，以及标准的实用性。 3、规范性：在制定标准时，标准起草组遵循规范性原则，严格按照国家标准GB/T 1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定来编写。这包括标准的结构、格式以及表达方式，以确保标准的编写规范化，便于标准的理解和实施。 四、编制过程 2024年12月，广东省地方标准制定项目立项下达。 2025年2月~5月，工业和信息化部电子第五研究所牵头组建了标准起草组，开展了对本标准内容的调研、分析和研究工作。 2025年6月，标准起草组遵照GB/T 1.1—2020的要求，编写了标准草案。 2025年7月~11月，召开了多次标准讨论会，新能源汽车、工业应用软件、信息安全、功能安全等领域的专家对标准内容提出了修改意见或建议，起草组根据专家意见对标准草案进行了修改和完善。 2025年12月，广东省信息技术标准化技术委员会组织召开专家评审会，专家听取了起草组关于标准起草过程及标准主要内容的介绍，经过参会委员的认真讨论，同意本标准草案通过审查，并希望起草组根据专家意见尽快修改完善文本形成征求意见稿。 2025年1月，标准工作组根据专家意见进行修改完善，形成标准征求意见稿。 本标准在制定过程中未出现重大分歧意见。 五、标准框架及主要内容 1、标准框架 本标准适用于新能源汽车工业应用软件的设计、开发、测试和评价，标准框架包括新能源汽车工业应用软件的的术语和定义、概述、信息安全要求以及功能安全要求。 2、标准的主要内容 本标准主要内容包括4部分: 1)按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》，标准体例要求的部分，包括：前言，第一章范围，第二章规范性引用文件，第三章术语、定义和缩略语。 2)第四章概述，对新能源汽车工业应用软件进行了分类，进一步明确本标准中新能源汽车工业应用软件安全要求的范围。 3)第五章信息安全要求，对新能源汽车工业应用软件的安装及卸载、鉴别与授权、控制访问、数据安全、运行安全、安全审计等信息安全维度提出具体要求。 4）第六章功能安全性要求，从需求分析、软件设计、软件实现、软件运维等方面对对新能源汽车工业应用软件的功能安全提出具体要求。 六、与有关的现行法律、法规和强制性国家标准的关系 本标准与有关的现行法律法规和强制性国家标准协调一致。 七、标准的地方特色和先进性 g°eb_¿R öN‰[hQ的工业和互联网两个视角考虑，从信息安全和功能安全两个方面对新能源汽车工业应用软件安全提出具体要求，促进和规范新能源汽车工业应用软件安全，从而对于保障新能源车辆运行安全具有重要意义，这也必将对新能源汽车广泛应用起到积极作用。 —Bl ÿnxÝO†N hÆQ„vMR»w'`ŒT实用性。 3、本标准在制定过程中充分考虑了广东省新能源汽车产业的发展现状和实际应用需求，旨在为新能源汽车工业应用软件安全评估提供一套明确、科学的规范。标准明确了评估过程中的关键术语和定义，提出信息安全和功能安全要求，从而为新能源汽车工业应用软件的安全建设提供了规范化的支撑。 八、贯彻标准的要求和措施建议 本标准发布后建议采取线上与线下相结合的方式，开展标准宣贯的工作。将本标准的相关内容纳入培训计划和内容，定期组织宣贯培训活动，使新能源汽车工业应用软件安全的理念、技术、知识得到推广普及。不定期对本导则实施情况进行调查，掌握动态，并对实施效果进行跟踪评估，及时解决实施中的问题，不断修改完善，提升规范水平，提高标准的科学性、合理性、协调性和可操作性。 本标准发布有利于我省新能源车产业的高质量建设，可促进和规范新能源汽车工业应用软件安全，对于保障新能源车辆运行安全具有重要意义，建议自标准发布之日起开始实施。 《新能源汽车工业应用软件 安全要求》标准起草组 二零二六年一月 PAGE \* MERGEFORMAT 1 PAGE \* MERGEFORMAT 3

ICS 43.020 CCS R 85 44 广东省地方标准 DB44/T XXXX—202X       新能源汽车工业应用软件安全要求 Safety and security requirements for industrial application software of new energy vehicles 202X - XX - XX发布 202X - XX - XX实施 广东省市场监督管理局  发布 目次 前言II 1 范围1 2 规范性引用文件1 3 术语、定义和缩略语1 4 概述2 4.1 工业应用软件分类2 4.2 安全要求5 5 信息安全要求5 5.1 安装及卸载5 5.2 鉴别与授权5 5.3 访问控制6 5.4 数据安全6 5.5 运行安全7 5.6 安全审计8 6 功能安全要求8 6.1 概述8 6.2 需求分析9 6.3 软件设计9 6.4 软件实现11 6.5 软件运维12 参考文献13 前言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。 请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。 本文件由广东省工业和信息化厅提出并组织实施。 本文件由广东省信息技术标准化技术委员会（GD/TC 28）归口。 本文件起草单位： 本文件主要起草人： 本文件为首次发布。 新能源汽车工业应用软件安全要求 范围 本文件规定了新能源汽车工业应用软件的信息安全要求和功能安全要求。 本文件适用于新能源汽车工业应用软件的设计、开发、测试和评价。本文件的使用者包括新能源汽车工业应用软件领域的开发方、运营商、政府监管部门、测试机构及相关测试人员、用户。 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 11457 信息技术 软件工程术语 GB/T 25069 信息安全技术 术语 术语、定义和缩略语 术语和定义 GB/T 11457和GB/T 25069确定的及以下术语和定义适用本文件。 新能源汽车 new energy vehicle 采用新型动力系统，完全或者主要依靠新型能源驱动的汽车。 注：通常包括纯电动汽车、插电式混合动力汽车和燃料电池汽车。 [来源：DB4403/T 547—2024，3.4] 工业应用软件 industry application software 封装工业技术知识、经验与最佳实践，满足研发设计、生产制造、运营维护、经营管理等特定工业场景需求的应用软件。 （信息）安全 security 对某一系统，据以获得保密性、完整性、可用性、可核查性、真实性以及可靠性的性质。 [来源：GB/T 25069—2022，3.1，有修改] （功能）安全 safety 没有不可接受的风险。 [来源：GB/T 20438.4—2017，3.1.11，有修改] 危险 hazard 潜在的伤害源。 危险可由其起源（如：电气危险、机械危险）或其潜在伤害的性质（如：中毒危险、火灾危险）进行限定。 本文件中的危险包括但不限于： 由化学与电池危险源引起的热失控与火灾危险（如：电池因内部短路、过充、碰撞、过热等引起着火、爆炸）、有毒气体释放危险（如：热失控时释放氟化氢等有毒、腐蚀性气体）等； 由高压电气危险源引起的高压点击危险（如：人员直接或间接接触电池包、电机等300V+高压部件可能导致电击）、电弧与短路危险（如：高压线路绝缘故障可能产生高温电弧）等； 由结构与功能危险源引起的碰撞危险（如：电池包由于车身结构未特殊设计，碰撞后可能引起高压漏电）、制动与操控异常风险（如：电控系统故障可能导致非预期加速、制动失效、转向失灵）等； 由智能与网联危险源引起的自动驾驶失效危险（如：感知、决策、执行系统故障导致误判引发交通事故）、网络攻击与数据泄露危险（如：通过OTA、充电桩等接口入侵导致车辆被非法控制或隐私数据窃取）等。 新能源汽车的危险源常具有多源叠加的特点，如：一个碰撞事故，可能先后或同时引发结构损伤（机械）、电池包变形（结构）、高压线路短路（电气）、热失控起火（化学）的连锁反应。 风险 risk 不确定性对目标的影响。 影响是指偏离预期，偏离可能是正面的和/或负面的，可能带来机会和威胁。 目标可能有不同维度和类型，能应用在不同层级。 通常风险可用风险源、潜在事件及其后果和可能性来描述。 在不同应用场景下，风险的具体含义会有所不同，有时是指影响目标实现的不确定性因素（如市场风险、地缘政治风险）；有时是指目标本身实现程度的不确定性（如现金流风险、健康风险）；还有时是指事物本身固有的不确定属性（如风险勘探、风险投资）。 [来源：GB/T 23694—2024，3.1.1] 安全关键软件 safety critical software 一旦发生错误，可能导致系统严重危险的软件。 安全关键功能 safety critical function 针对特定的危险事件，为达到或保持受控设备的安全状态而实现的功能。 缩略语 下列缩略语适用于本文件。 BMS 电池管理系统（Battery Management System） CAD 计算机辅助设计（Computer Aided Design） CAE 计算机辅助工程（Computer Aided Engineering） CRM 客户关系管理（Customer Relationship Management） EMC 电磁兼容（Electromagnetic Compatibility） ERP 企业资源计划（Enterprise Resource Planning） ‌IPsec 互联网协议安全（‌Internet Protocol Security） MES 制造执行系统（Manufacturing Execution System） OTA 车载软件空中（Over The air） SCADA 数据采集与监控（Supervisory Control And Data Acquisition） SDK 软件开发工具包（Software Development Kit） SOC 剩余电量（State Of Charge） SRM 供应商关系管理（Supplier relationship management） TLS/SSL 传输层安全/安全套接层（‌Transport Layer Security/Secure Sockets Layer） VPN 虚拟专用网络（‌Virtual Private Network） 概述 工业应用软件分类 分类原则 新能源汽车工业应用软件是指面向新能源汽车研发设计、生产制造、运营维护、经营管理等特定工业场景需求的应用软件，可承载新能源汽车领域经过验证的的工业知识、经验和最佳实践。新能源汽车工业应用软件构建了覆盖“云—车—厂—端”全场景的数字化生态体系，打通“云端平台、智能车端、数字工厂、用户服务”四大核心环节，实现从研发设计、智能制造到智慧服务的全生命周期价值闭环，成为推动新能源汽车产业智能化转型的核心引擎。 新能源汽车工业应用软件一般可从适用范围、业务环节、知识类型三个维度进行分类。 按照适用范围分类 新能源汽车工业应用软件按适用范围可分为基础共性类、行业通用类、企业专用类、关键支撑类四类，具体如下： 基础共性类工业应用软件：用于解决跨行业、跨领域基础性工程问题，它们不直接解决业务问题，而是构建其他应用软件的基础，通常由专业软件厂商或高校提供。该类软件封装了数学、物理、计算机等基础学科的通用算法和模型，技术普适性强，适用范围广，作为工具被不同行业调用，因此，它们在工业领域发挥着基础作用，并不局限于汽车行业，而是适用于所有制造业（如：航空航天、电子等）。基础共性类工业应用软件典型示例，可有： 通用嵌入式开发平台：编写电机控制器、电池系统等底层代码； 数据可视化开发工具：开发拖拽式报表、大屏设计器等； 数字孪生基础平台：构建车辆或工厂的虚拟仿真环境； SCADA软件：提供设备状态实时监测（如：电池产线）； CAD/CAE软件：用于整车和零部件的结构设计、流体仿真、电磁仿真等； 工业物联网平台基础组件：提供生产设备、车辆、充电桩等终端设备连接等。 行业通用类工业应用软件：用于满足新能源汽车行业共性工艺、管理和服务等需求，它们将行业知识、最佳实践模型化、软件化，通常由领先车企、专业方案提供商等开发，可快速配置和复用于不同企业。该类软件集成了新能源汽车行业特有的技术规范、工艺流程等，可配置性高，可在不同企业间通过参数调整进行部署，适用于整个新能源汽车产业链，可被多数企业直接使用（如：整车厂、零部件供应商、服务运营商等）。行业通用类工业应用软件典型示例，可有： OTA升级管理平台：满足车企对整车OTA升级的行业性需求； 电池包产线MES软件：专为电池生产的涂布、分切、化成等工序管理设计； 电池健康状态评估与预警软件：通过实时监控电池关键参数（如：电流、温度），结合算法进行数据分析，提供健康评估、异常预警与优化建议； 充电桩智能调度与运维平台：服务于充电运营商的调度、计费等行业通用平台； 整车性能仿真软件：进行续航里程模拟、EMC分析等； 供应链协同软件：对新能源汽车产品从原材料到交付的全生命周期进行跟踪、监控与优化。 企业专用类工业应用软件：用于满足新能源汽车企业自身特定的需求，进行深度定制开发的特定生产线、工艺或管理模式等工业应用软件，主要适用于单个企业或集团内部。该类软件封装了企业独有的工艺诀窍、管理流程和数据资产，具有高度定制性与独特性，并与企业的特定设备、产线、组织架构强绑定，与业务深度融合，主要用于提升自身效率、质量和降低成本，一般不对外销售。企业专用类工业应用软件典型示例，可有： 企业OTA升级管理平台：企业专属的车载软件升级系统； 企业工厂混线生产智能调度与排产软件：连接企业生产计划与车间执行的系统；‌ 车企焊装工艺参数优化软件：基于其多年历史数据训练的独有算法； 企业刀片电池工艺优化软件：针对特定电池生产线的参数调优； 企业内部的电池健康度衰退预测模型：使用其独有的行车数据和实验数据进行训练； 企业用户生态管理平台：企业整合换电、社区、售后服务的私有化平台。 关键支撑类工业应用软件：用于保障新能源汽车产业链供应链的安全稳定，提供技术、标准或安全支撑的底层工具，主要适用于新能源汽车的开发者、标准化机构、安全服务商等。该类软件一般直接针对芯片、基础软件、高端材料、核心算法等薄弱环节，涉及多学科融合，常以产学研用联合项目形式推进。该类软件通常用于新能源汽车产业安全和企业核心竞争优势构建，一般不直接参与业务，但不可或缺。关键支撑工业应用软件典型示例，可有： 车规级芯片设计与仿真验证云平台：支撑国产芯片的设计、测试与适配； 边缘计算网关软件：实现车—云—工厂数据协同处理； 电池材料研发与性能预测云平台：加速新型正负极材料的研发； 数据安全与加密软件：保障车联网数据隐私； 新能源汽车操作系统功能安全与信息安全测试套件：保障底层软件自主可控与可靠； 标准符合性检测软件：验证是否符合新能源汽车相关国际标准、国家标准、行业标准等。 按照业务环节分类 新能源汽车工业应用软件按业务环节可分为研发设计类、生产制造类、运维服务类、经营管理类四类，具体如下： 研发设计类工业应用软件：用于新能源汽车产品设计与性能仿真阶段的数字化、协同化工具，可提升研发效率、缩短周期、优化性能。研发设计类工业应用软件典型示例，可有： 整车设计与系统仿真：整车造型、结构、能量管理、续航里程仿真及多学科协同优化； 三电系统专用设计与仿真：电池、电机、电控系统的精细化设计与仿真； 电子/电气架构设计：设计新能源汽车的EE架构、线束布局及通信网络等； 材料与工艺优化软件：轻量化材料选型与性能验证，电池正负极材料配方模拟等； 性能仿真与测试软件：电池热管理仿真、电机电磁仿真、碰撞安全仿真等； 智能驾驶开发与仿真：感知、决策、控制算法的开发与大规模虚拟测试。 生产制造类工业应用软件：用于新能源汽车制造现场的工艺控制、质量检测和设备维护，可实现生产过程的柔性化、透明化、智能化。生产制造类工业应用软件的典型示例，可有： 高级排产与调度：根据订单和物料情况优化生产计划，应对电池等关键物料的供应波动； MES：管理生产订单、追溯关键部件、监控设备状态、收集与分析生产数据； 设备健康管理：对焊接机器人等关键设备进行状态监控与预测性维护，减少非计划停机； 质量检测：人工智能视觉检测（如：车身焊接缺陷、电池外观瑕疵识别）、在线检测数据管理（如：视觉检测涂胶、装配质量）、统计过程控制、质量追溯与预警等； 能源消耗优化：追踪生产环节设备的能耗，降低碳排放； 供应链协同平台：连接电池、芯片等核心供应商，实现需求预测、库存共享和协同排产。 运维服务类工业应用软件：用于新能源汽车产品售后的远程监控、健康管理和增值服务，可提升用户体验、保障安全、创造后市场价值。运维服务类工业应用软件的典型示例，可有： 远程监控与诊断：三电（电池、电机、电控）诊断与预警，续航里程预测，OTA升级等； 电池全生命周期管理：评估电池状态、预测剩余寿命、优化充电策略、评估梯次利用价值； 充电与能源管理：寻找充电桩、预约充电、利用谷电充电、电动车向电网反向供电等； 预测性维护与售后服务：根据车辆数据预测部件损耗，主动推送保养提醒，优化配件库存和维修服务派单； 用户行为分析与增值服务：分析驾驶习惯以提供个性化保险、驾驶改进建议及娱乐推荐； 后市场服务：电池健康评估、预测剩余寿命及残值（用于二手车交易）、追踪电池回收等。 经营管理类工业应用软件：用于新能源汽车企业运营层的资源管理、供应链协同和战略分析，可优化资源配置，实现内外部协同。经营管理类工业应用软件的典型示例，可有： 供应链可视化与风控：实时追踪物料状态，预警供应中断风险； ERP：整合财务、采购、生产等核心业务流程； CRM：用户行为分析、个性化营销（如：试驾预约、购车优惠推送）； SRM：供应商绩效评估、订单协同； 大数据分析：基于销售数据进行市场趋势预测并调整车型配置策略； 碳足迹管理：追踪从原材料到回收的全生命周期碳排放，满足环保法规。 按照知识类型分类 新能源汽车工业应用软件按知识类型可分为业务信息化类、数据分析类以及知识建模类三类，具体如下： 业务信息化类工业应用软件：将传统、离散的线下业务流程数字化、在线化、协同化，解决“信息孤岛”和流程效率问题。该类软件的典型示例可有：生产制造类的MES、设备健康管理等，运维服务类的远程监控与诊断、充电与能源管理等，经营管理类的ERP、CRM、SRM等。 数据分析类工业应用软件：在业务信息化产生的数据基础上，通过数据挖掘、分析与可视化，实现状态监控、问题洞察和决策支持。该类软件的典型示例可有：生产制造类的设备健康管理、质量管理等，运维服务类的预测性维护与售后服务、用户行为分析与增值服务等，经营管理类的供应链可视化与风控、大数据分析等。 知识建模类工业应用软件：将行业知识、专家经验转化为可复用、可迭代、可推理的数字化模型，实现智能决策和自动化优化。该类软件的典型示例可有：基础共性类的数字孪生基础平台等，行业通用类的整车性能仿真等，企业专用类的企业刀片电池工艺优化等，研发设计类的三电系统专用设计与仿真等。 安全要求 新能源汽车工业应用软件的安全要求包括信息安全要求以及功能安全要求两部分，其中： 新能源汽车工业应用软件应满足信息安全要求，主要关注安装及卸载、鉴别与控制、访问控制、数据安全和运行安全等要求。 注：本文件中的新能源汽车工业应用软件都应满足信息安全要求，包括可保护、维持信息以及承载信息的系统的保密性、完整性和可用性，某些情况下还包括真实性、可核查性、抗抵赖性、可靠性等要求。 与执行安全功能相关的新能源汽车工业应用软件还应满足功能安全要求，主要关注安全关键软件的安全关键功能相关要求，包括安全关键功能需求分析、设计、实现和测试等要求。 注：与执行安全功能相关的工业应用软件，如：基础共性类的SCADA等工业应用软件、行业通用类的电池包产线MES等工业应用软件、企业专用类的厂混线生产智能调度与排产等工业应用软件、生产制造类的MES等工业应用软件、运维服务类的远程监控与诊断等工业应用软件，还应满足功能安全要求，避免出现安全事故，保障生产制造等的实时性、连续性、可靠性等。 信息安全要求 安装及卸载 安装要求 新能源汽车工业应用软件的安装需得到明确授权，其安装过程只能运行在特定环境中且不能破坏其运行环境。安装要求包括但不仅限于： 应包含可有效表征供应者或开发者身份的签名信息、软件属性信息； 安装时应提示用户对其使用的终端资源和终端数据进行确认； 最小化安装，仅安装必需的组件、服务和模块，移除或禁用所有示例、测试文件和冗余功能； 应能正确安装到终端上，且不应对终端上其它软件的正常运行造成影响。 卸载要求 新能源汽车工业应用软件卸载后，不影响终端的正常使用。卸载要求包括但不仅限于： 应能删除安装和使用过程中产生的本地和远程资源文件、配置文件和用户数据； 删除用户使用过程中生成的数据时应有提示； 不应影响终端上其它软件的功能。 鉴别与授权 身份鉴别 若新能源汽车工业应用软件涉及用户敏感数据、工业控制设备控制指令等时，应对访问用户账户进行管理并提供有效的身份鉴别机制（如：口令、验证码等），确保用户身份的唯一性和真实性。身份鉴别要求包括但不仅限于： 应支持授权使用者对用户标识进行管理、维护，确保其不被非授权地访问、修改或删除； 注1：账户管理可以包括帐户分组，规定组员条件和分配相关授权。 注2：用于系统初始安装的未使用的默认系统账户宜可删除。 在用户访问应用业务前，新能源汽车工业应用软件应对其身份成功地进行鉴别，仅将最少的反馈（如：输入的字符数）提供给被鉴别的用户，并提供鉴别失败处理措施（如：锁定账号）； 注1：用户身份鉴别可通过如下方法完成，如：口令、权标、生物特征或上述方法组合的多因子鉴别，人员的地理位置也可以用作鉴别过程的一部分。 注2：应通过对不成功的鉴别尝试的值（包括尝试次数和时间的阈值）进行预先定义，并明确规定达到该值时应采取的措施来实现鉴别失败的处理，如：当尝试次数超限后，新能源汽车工业应用软件应在规定的周期内拒绝访问或者直到管理员解锁。 具备登录超时后的锁定或注销功能； 提供用户主动锁定或注销的功能； 若用户访问安全功能相关的控制类工业应用软件时，应根据安全策略和规程实施职责分离和最小权限； 对于安全功能相关的控制类工业应用软件，必要时，本地紧急操作以及软件的基本功能不应受到鉴别需求的阻碍，对这些系统访问可以采用适当的物理安全机制加以限制。 口令安全机制 若新能源汽车工业应用软件使用过程中涉及用户口令，则具体技术要求如下： 默认账户应修改初始密码，必要时，禁用或限制默认账户； 在使用过程中不应以明文形式显示和存储； 不应默认保存用户上次登录的账号及口令信息； 应具备口令强度检查机制、口令时效性检查机制等； 修改或找回口令时，应具备验证机制。 访问控制 基于用户授权的控制 若新能源汽车工业应用软件涉及用户敏感数据、工业控制设备控制指令时，则应设计和实现用户自主访问控制功能，对访问用户提供有效的授权机制，允许授权用户的合法操作，拒绝非法操作。基于用户授权的控制要求包括但不仅限于： 授权用户访问的内容不能超出授权的范围，即：允许授权用户的访问，并阻止非授权用户的访问，访问包括读、写、执行等； 注：对于安全功能相关的控制类工业应用软件，应支持职责分离和最小权限。 限制用户账号的多重并发会话。 对终端的访问控制 新能源汽车工业应用软件访问终端数据和终端资源应经过终端用户许可，对终端的访问控制要求包括但不仅限于： 未得到许可前不应访问终端数据和终端资源； 未得到许可前不应修改和删除终端数据，不应修改终端资源的配置。 数据安全 数据采集安全 新能源汽车工业应用软件在数据采集阶段应确保数据来源的合法性、真实性、最小化和可审计，具体要求包括但不限于： 明确采集数据的法律依据、目的以及范围，并获得相关方（如：用户、设备）的授权； 采集应遵循最小必要原则，仅采集实现业务功能所必需的数据，避免过度采集，对敏感信息（如：工艺参数）进行源头加密或脱敏； 对采集终端（如：传感器、可编程逻辑控制器等）进行身份认证和设备准入控制，防止非法设备接入； 必要时，对敏感数据（如：工艺参数、控制指令）在采集终端或网关进行源头加密或数字签名/时间戳，确保数据的真实性并使其在产生时即受保护； 必要时，在数据采集时可根据敏感程度和重要性（如核心工艺参数、生产运营数据、个人信息）对数据进行预分类分级，并打上标签； 必要时，可对采集的数据进行监测，并能够在发现异常时进行告警。 数据传输安全 新能源汽车工业应用软件在数据传输阶段应确保数据来源的机密性、完整性和可用性，具体要求包括但不限于： 在公共网络或不可信网络传输时，应使用TLS/SSL、VPN、‌IPsec等加密协议； 在工业内网，对重要数据也应采用工业协议加密增强或专用加密通道； 通过消息认证码、数字签名技术等进行完整性校验，验证数据在传输过程中未被篡改； 网络设备应具备一定的抗拒绝服务攻击能力，保障关键数据流的传输可用性。 数据存储安全 新能源汽车工业应用软件在数据存储阶段应确保数据的保密性、完整性和可用性，具体要求包括但不限于： 应按照数据处理者约定的方式、期限进行数据存储； 对存储的敏感数据，尤其是工艺数据、用户信息、核心技术数据、重要运营数据，应进行静态加密，包括数据库字段级、文件级或磁盘级加密，加密密钥应与数据分开管理，可使用硬件安全模块或经过认证的密钥管理系统； 实施基于角色的最小权限访问模型，数据库、文件服务器的访问需严格授权和审计； 生产数据、测试数据、开发数据的环境应物理或逻辑隔离，禁止混用； 建立与数据重要级别相匹配的安全备份和恢复功能，保障数据的可用性。 数据应用安全 新能源汽车工业应用软件应确保在使用过程中的受控、合规、不滥用、不泄露，具体要求包括但不限于： 在数据分析、测试、开发、展示等非必要使用明文数据的场景，应对敏感数据（如：个人信息、精确工艺参数）进行脱敏、去标识化或匿名化处理； 用户针对数据的访问、查询、导出、修改操作进行日志记录，并确保日志不可篡改，实现操作的可追溯； 防止数据在应用过程中被非法复制或外发，必要时，部署数据防泄露系统，监控和阻断通过邮件、即时通讯、移动存储、打印等途径的非法复制或外发； 与第三方（如：供应商、合作伙伴）共享数据前，需进行安全评估并签订保密协议，必要时，可采用数据沙箱等技术，实现“数据可用不可见”的安全协作模式。 数据销毁安全 新能源汽车工业应用软件应确保确保数据在生命周期结束后的不可恢复性，防止残留数据泄露，具体要求包括但不限于： 建立并记录数据销毁的审批与执行流程，形成审计证据； 销毁重要数据，在软件层面应使用数据覆写等不可逆的方式进行安全清除，必要时，还可在特理层面使用消磁、焚毁等物理或化学方式永久性破坏存储介质的结构，使其无法被读取； 销毁云环境下的数据，除了删除数据副本，还需确认云服务商是否在后台彻底清除了数据的多副本和备份，必要时，可要求服务商提供数据销毁证明； 未经审批不得对销毁数据进行恢复。 运行安全 实现安全 新能源汽车工业应用软件应保证程序自身的安全性。实现安全包括但不仅限于： 应使用防护机制来预防、减缓和报告检测到的恶意代码； 不应设计有违反或绕过安全规则的任何类型的入口和文档中未说明的任何模式的入口； 若使用开源代码时，应确保开源组件的来源可信、漏洞可知、风险可控； 应具备安全机制防止程序被反编译、反调试； 应建立入侵检测（如：监测异常流量、访问模式）机制，并制定针对入侵事件的应急预案； 应不存在或及时修复已公布的高危风险漏洞。 稳定性 新能源汽车工业应用软件应保证其稳定运行，避免出现功能失效等类似现象。稳定性技术要求包括但不仅限于： 允许多个工业应用软件同时运行； 不应出现崩溃或异常的情况； 避免出现失去响应、闪退等现象； 允许随时停止、退出。 容错性 当新能源汽车工业应用软件在受到攻击或出现可预知的错误操作时，应能输出为预定义状态，而不影响程序的正常工作。容错性技术要求包括但不仅限于： 理想情况下，程序可继续保持正常运行； 若不能维持正常运行，应输出为预设的失败状态。 注：适当的工业应用软件预定义状态输出依赖于应用，并可以是下列使用者可配置的选项之一：失能，输出失效至无动力状态；保持，输出失效至最后已知的正常值；固定，输出失效至由资产所有者或者应用程序确定的固定值。 资源可用性 新能源汽车工业应用软件的运行不应影响终端合法用户的资源访问，具体技术要求如下： 工业应用软件应提供通过安全功能限制资源使用的能力，对终端的资源不应长时间固定或无限制占用，以防止资源耗尽； 工业应用软件应在不影响正常设备使用的前提下，提供关键文件的备份能力。 注1：最新备份的可用性对于控制系统故障和/或错误配置等的恢复是很重要的。 注2：备份可自动或手动备份，自动备份可确保所有需要的文件被备份，并减少操作者的额外开销。 注3：如果最终备份包含保密性信息，则应考虑加密。 软件升级和备份 新能源汽车工业应用软件应支持软件的更新、备份，具体技术要求如下： 建立补丁管理流程，对补丁进行分级（紧急/重要/一般），且补丁测试通过后方可部署； 至少采取一种安全机制，保证升级的时效性（如：自动升级、更新通知等手段）和正确性； 在升级失败时，工业应用软件应能够回滚，保证软件完整性； 对于安全性要求高的工业应用软件，应具有安全备份和恢复功能。 安全审计 新能源汽车工业应用软件应提供安全审计功能和审计日志，具体技术要求如下： 审计应覆盖到每个用户，应对重要用户行为和重要安全事件进行审计； 审计日志应包括事件的日期和时间、用户、事件类型、事件是否成功及其他审计相关信息； 应限制审计日志的非授权访问； 应对审计日志进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。 功能安全要求 概述 新能源汽车工业应用软件功能安全工作贯穿其全生命周期阶段，而软件开发、运行和维护阶段的安全工作将直接影响软件的功能安全，因此，本文件主要考虑开发、运行和维护阶段的功能安全要求。 软件开发阶段的核心是需求分析、设计和实现子阶段，本文件主要考虑新能源汽车工业应用软件开发阶段中的需求分析、设计和实现子阶段的功能安全要求，分析安全关键功能需求，进行安全性设计，并通过软件编码、代码验证等软件实现方式，可使新能源汽车工业应用软件安全风险最小。需要注意的是，新能源汽车工业应用软件的软件开发过程应符合传统的需求分析、设计和实现相关要求，关于软件开发过程的一般要求，本文件不做特殊要求。 注1：需求分析要求可包括：建立每项软件需求与软件研制要求的追踪关系，将需求分析结果按规范化的格式要求编写成软件需求规格说明等。 注2：设计要求可包括：使用追踪表等形式清晰明了地说明软件模块和软件需求之间的追踪关系，各模块间应满足低耦合度、高内聚度要求等。 注3：实现要求可包括：禁止使用未初始化的变量；模块的圈复杂度一般不大于10；每个模块的扇入和扇出一般不大于7；禁止将参数指针赋值给过程指针，禁止指针的指针超过两级，禁止引用空指针和无效指针；有用查询方式的不用中断方式，禁止使用中断自嵌套，慎用中断嵌套，必须屏蔽不用的中断源；软件在完成调试后应及时清除程序中用于调试的多余语句等。 软件运行、维护阶段的功能安全要求可用于保障新能源汽车工业应用软件在运行阶段持续、可靠地执行安全关键功能，并防止在维护活动中引入新的风险。 需求分析 为了保护新能源汽车工业应用软件所属系统的安全，对安全相关的工业应用软件提出了安全性需求。新能源汽车工业应用软件的安全性应从系统安全需要考虑，在系统危险分析基础上，依据系统安全性需求、环境需求、工具或者设施需求、接口需求、系统危险报告和系统危险分析报告等，查找安全关键功能，确定安全性需求，应考虑以下方面： 应在需求规格说明中明确标识安全性需求，且需求应完整、清楚准确、无歧义性、可验证、可测试、可维护、可实现和可追踪； 安全性需求应明确有效的运行模式或者状态，以及禁止或不适用的模式或者状态； 应根据危险发生的可能性和严重性对需求的安全关键性进行排序； 应明确用于实现安全关键功能的模块、单元等组件，安全关键组件应尽可能限制它们与其他非关键组件的交互； 应最小化安全关键组件的数目，且安全关键组件之间的接口的设计应实现最小交互（低耦合）。 软件设计 安全运行模式、运行状态与条件 应查找是否存在可能导致新能源汽车工业应用软件进入不安全状态的条件和潜在失效隐患，应对所有的不安全状态的条件和潜在失效隐患，制定适当的响应要求，以避免工业应用软件进入禁止或不适用的模式或状态。 注：不安全状态的条件可包括：错误的事件、不适当的量值、不正确的极性、无意的命令、环境干扰造成的错误、以及指挥失灵模式之类的条件等。 接口安全性设计 应对接口特性进行分析，分析接口出错方式及出错概率，并以此为基础确定通信方法、数据编码、错误检查、同步方法以及校验和纠错码方法。接口类型可包括与硬件相关的接口、软件模块间接口、人机接口，可有： 对于安全关键功能的组件，应尽可能限制它们与其它部件的交互； 与硬件相关的接口软件设计应考虑：软件不应由于反馈传感器失效引起失控条件；与安全关键硬件的接口应在所有时刻受控；当软件判定语句的信息来自外部传感器时不应依靠全一或全零的输入；两个或多个来自软件的安全关键信号不应全部来自同一个寄存器或缓存器；对于所有模拟和数字输入和输出应在按照这些值执行安全关键功能之前进行范围和合理性检查； 人机接口应重点考虑安全关键功能相关的设计，包括： 应使用最少两条独立的命令来执行安全关键功能，必要时，考虑在启动任何安全关键指令序列之前需要一个操作员的响应或授权； 避免在操作员未知的情况下改变系统的安全状态； 安全关键状态变更时，确保有状态变更报告； 人机交互软件要便于操作员用单一动作处理当前事务，使系统退出潜在不安全状态并恢复到某一安全状态； 启动安全关键操作时，应由两个或多个人员在“与”方式下操作，并有完善的误触发保护措施； 软件应能检测不正确的操作员录入或操作，并防止由于该差错的结果而执行安全关键功能，对于错误录入或操作应向操作员报警； 报警应使例行报警与安全关键的报警相区别，并应使得在没有采取纠正行为或没有执行所要求的后续行为以完成该操作的情况下，操作员无法清除安全关键的报警。 数据安全性设计 新能源汽车工业应用软件针对安全关键功能相关的数据，应特别考虑以下方面： 应标识工业应用软件内的共享数据、在接口中使用的安全关键数据； 应将安全关键的数据与其他数据隔离开来，并使非安全关键部件不能访问安全关键数据； 规定与安全关键功能相关数据采集要求，说明被采集数据的特性、要求和范围； 对重要的数据在使用前后都应进行检验； 应规定数据合理的范围（如：值域、变化率等），在实现时予以说明，在运行时予以检查，若数据超出了规定的范围，应进行出错处理； 在软件的入口、出口及其他关键点上，应对重要的物理量进行合理性检查，并采取便于故障隔离的处理措施； 不用寄存器和I/O端口来存储安全关键数据；数据传送过程中应对安全关键数据进行加密处理，以保护数据内容； 安全关键功能的运行，应在接到两个或更多个相同的数据后才执行；决策判断依据不得依赖于全“1”或全“0”的输入（尤其是从外部传感器传来的信息）； 安全关键数据不会因一位或两位差错而引起系统故障；若安全关键数据有差错，应能检测出来，并返回到规定的状态（如：安全状态）。 注：安全关键数据与其他数据之间应保持一定的码距。 定时、吞吐量和规模的余量设计 对于新能源汽车工业应用软件安全关键功能，定时、吞吐量和规模的余量设计应考虑应考虑系统资源和时间约束条件，进行定时、吞吐量和规模分析，分析与执行时间、I/O数据速率和内存/存储器分配有关的软件需求，考虑余量，具体有： 资源分配及余量要求：安全关键功能相关软件模块的存储量、输入输出通道的吞吐能力及处理时间等应满足规定的余量要求，一般应留有不少于20%的余量； 时序安排的余量考虑：软件工作的时序安排，要结合具体的被控对象确定各种周期（如：采样周期、数据计算处理周期、控制周期、自诊断周期、输出输入周期等），当各种周期在时间轴上安排不下时，应采取更高性能的CPU或多CPU 并行处理来解决，以确保软件的工作时序之间留有余量。 防错设计 新能源汽车工业应用软件防错设计应考虑以下方面： 应防止对程序（源程序、汇编程序及目标代码）、数据的非授权的或无意的存取或修改； 应检测安全关键软件内或安全关键软件间的无意跳转，分析并确定引起无意跳转的原因，并提供从无意指令跳转处进入故障安全状态的恢复措施； 在安全关键软件中的关键点上进行监测，在发现故障时进行故障隔离；必要时，使系统进入安全状态； 注：在完成必要检测功能的前提下，检测点宜少不宜多。 为了防止程序把数据错当指令来执行，应采用将数据与指令分隔存放的措施。 注1：必要时，可在数据区和表格的前后加入适当的NOP指令和跳转指令。 容错和容失效设计 安全关键的新能源汽车工业应用软件应具有一定的容错及容失效能力，能够检测出自身内部的错误并阻止将错误传递下去，以防止故障在软件中传播。 注1：容错能防止大多数微小的差错传播演变成失效；容失效忽略大多数故障，仅对较高层次的可能导致系统失效的差错进行处理。 注2：冗余设计是容错和容失效的主要方法。对有冗余要求的工业应用软件，可采用恢复块技术、屏蔽技术或N版本编程技术实现。 自检查设计 新能源汽车工业应用软件自检查设计应考虑以下方面： 监控定时器：应提供监控定时器或类似措施，以确保微处理器或计算机具有处理程序超时或死循环故障的能力； 存储器检查：应定期检查存储器、指令和数据总线，加载时应进行检查，并在此后定期进行，以确保安全关键代码的完整性； 故障检测：应编写故障检测和隔离程序，其中：应在安全关键功能执行之前利用故障检测程序检测潜在的安全关键失效；利用故障隔离程序将故障隔离到实际的最低级，并向操作员或维护人员提供这个信息。 异常保护设计 新能源汽车工业应用软件异常保护设计应考虑以下方面： 应分析软件运行过程中各种可能的异常情况，为其设计相应的保护措施； 在临界时间少于现实操作人员响应时间、或在操作回路中没有人工干预时，常常需要自动安全保护。自动安全保护可由硬件或软件或两者的结合来完成，取决于实现自动安全保护的最佳系统设计； 异常处理措施应使系统转入安全状态，记录异常出现的现场信息，并保持系统处于运行状态。 软件实现 软件编码 为保证新能源汽车工业应用软件实现的功能安全，软件编码时应考虑以下方面： 采用标准化程序设计语言进行编程，在同一系统中宜尽量减少编程语言种类，且软件编码时设计人员应遵循相应的编程标准； 安全关键功能代码应予以明确地标识； 非安全关键功能代码不应对安全关键功能造成影响； 安全关键功能相关的模块和软件单元应有足够详细的注释，注释的行数一般不得少于源程序行数的20%，且注释应为功能性的而非指令的逐句说明； 为了便于后期的测试和维护，应控制程序的复杂性，如：模块的圈复杂度一般不大于10，模块传递的参数不超过6个； 安全关键功能应在关键点上设置程序检测点进行监控，在发现故障时应进行故障隔离；必要时，使系统进入安全状态； 运行和支持程序应包含文档所要求的那些特征和能力，而不应包含文档中所没有的特征；运行程序不得包含不使用（未覆盖到需求的）的可执行代码。 注1：对于为便于软件测试而引入的必要功能和特征，应验证它们不会影响软件的安全性。 注2：对于因可选择选项功能或软件重用等而引起的无效码，应进行注释并进行必要的测试和分析，以保证其不影响软件的安全性。 软件验证 新能源汽车工业应用软件编码完成后应进行验证工作，通过走查、分析、开发测试用例和规程，以及执行测试规程等活动，来达到软件验证过程的目标，用于验证软件正确地实现了设计且不违反安全性需求，可包括： 验证所有安全性关键的代码单元可以追踪到安全性关键的设计，验证所有安全关键的设计元素可追踪到工业应用软件安全性需求，并且反之亦然； 验证设计不违反任何安全性控制或过程，在文档中记载了任何额外的危险、危险原因或者危险促成因素，并且在任何运行模式中设计都将系统维持在某个安全的状态下； 应验证所有安全关键功能的安全性需求在软件代码中得到了正确的实现，应在单元级或部件级进行验证； 注1：应对安全关键软件进行代码审查。 注2：应尽早开展单元测试工作，以便尽早发现其中存在的问题，降低成本。 应验证代码的编码与安全性编码原则的符合性； 应验证代码实现不违反任何安全性控制或者过程，不产生任何额外的危险，并在所有运行模式下都将系统维持在某个安全状态，必要时，考虑采用破坏性测试进行验证； 应使用代码逻辑分析检查软件中的逻辑错误，这些分析可通过逻辑重构、方程式重构等来完成； 注：复杂的软件，可考虑仅对安全关键功能部分进行代码逻辑分析。 应使用代码数据分析检查软件中的数据结构和使用情况，可通过将代码中所有数据项的值与设计中给出的描述相比较来完成代码数据分析； 注：应特别关注安全关键数据的完整性，防止其被无意地改变或者覆盖。如：检查中断过程是否干扰安全关键的数据。 应使用代码接口分析检查参数适当地通过接口进行了传送，验证接口已经得到了适当的实现； 应使用中断分析验证中断使用的正确性，以避免不当的中断使用会对控制流和数据流产生不良影响； 应对未使用代码进行分析，可使用人工方法(如代码走查)或工具检查和分析； 注：未使用代码可能使得软件中存在不必要的复杂性，可能占用了有限资源的内存，或可能包含那些如果偶然执行可能产生危险的子程序，应尽量避免。 应对更改进行影响域分析，应特别关注对系统安全的影响分析，影响域分析包括对现有功能、性能，软件配置项外部及内部的影响。影响域分析结果应经过批准，必要时进行评审。 注：软件配置项外部影响主要从硬件接口、软件接口及协议、相关软件文档等方面进行；软件配置项内部影响主要从软件结构及调用关系、输入输出关系、数据结构、性能、内部中断、相关软件文档等方面进行。 软件运维 软件运行 新能源汽车工业应用软件在运行阶段需通过实时监控确保安全关键功能持续有效，运行时应考虑以下方面： 安全操作规程：制定并执行明确的安全操作规程，确保操作人员正确使用安全关键软件功能，避免误操作引发安全风险； 安全状态监控：持续监控安全关键软件及其安全机制（如：看门狗）的运行状态，检测异常行为（如：资源占用异常），详细记录安全事件，确保可追溯性，用于后续分析和审计； 预定安全响应：当检测到安全关键功能失效或特定危险事件时，软件自动执行预定义的安全措施（如：报警、安全停机或降级运行等）； 安全事件报告：建立安全事件报告机制，对重大安全事件进行记录、分析并采取改进措施，并将经验反馈至设计和后续维护中，形成持续改进的闭环。 软件维护 新能源汽车工业应用软件在运行阶段发现一些错误或失误，可能成为软件风险的来源，因此需要在维护阶段通过维护活动来修复这些错误，降低它们可能引起的潜在风险，以保持软件安全完整性等级和可靠性。维护时应考虑以下方面： 周期性功能测试：除持续监控安全功能外，还应按计划定期对安全关键功能进行测试，以验证其持续有效性并检测潜在错误； 变更的影响分析：任何安全关键软件变更（如：软件更新、补丁安装、配置调整）前需进行安全影响分析和评估，确保变更不会引入新的安全风险； 变更授权与验证：涉及安全关键功能的变更必须获得功能安全负责人批准，变更后需执行安全回归测试，以确认原有安全关键功能未受影响； 版本控制：严格管理安全关键软件的版本，确保运行环境中的软件版本经过验证，避免未经授权的版本变更。 参考文献 [1] GB/T 18336.2－2015 信息技术 安全技术 信息技术安全评估准则 第2部分：安全功能组件 [2] GB/T 20270－2006 信息安全技术 网络基础安全技术要求 [3] GB/T 20271－2006 信息安全技术 信息系统通用安全技术要求 [4] GB/T 20438.3－2017 电气/电子/可编程电子安全相关系统的功能安全 第3部分：软件要求 [5] GB/T 20438.4—2017 电气/电子/可编程电子安全相关系统的功能安全 第4部分：定义和缩略语 [6]GB/T 23694—2013 风险管理 术语 [7] GB/T 28808－2012 轨道交通通信、信号和处理系统控制和防护系统软件 [8] GBT 34975－2017 信息安全技术移动智能终端应用软件安全技术要求和测试评价方法 [9] GB/T 35673－2017 工业通信网络 网络和系统安全 系统安全要求和安全等级 [10] GJB/Z 102A－2012军用软件安全性设计指南 [11] GJB/Z 142－2004 军用软件安全性分析指南 [12] GJB 900A－2012 装备安全性工作通用要求 [13] DB4403/T 547—2024 新能源汽车维修服务管理规范