为何挪威的一项公交车测试在丹麦引发警报
挪威的受控测试显示，中国制造的电动公交车配有远程连接功能，可用于在车辆运营期间关闭公交车。丹麦正加紧保障公共公交网络安全。该连接功能有正当用途，主要用于软件更新和诊断。安全审查人员表示，如果被滥用，同一通信通道可能会中断运营。丹麦各机构和运营商正在审查数百辆日常运营的公交车，其中包括哥本哈根及周边地区公交运营商Movia运营的262辆宇通公交车，以确保没有未经管理的远程控制功能影响服务。
目录
挪威公共交通运营商Ruter在隔离环境中对两辆宇通公交车进行了测试。工程师确认，制造商能够连接到支持更新、诊断和能源管理的系统。调查人员发现，拔掉SIM卡可以阻断外部连接，但也会切断实时到站信息、远程故障检测和预测性维护等重要服务。Ruter已通知国家和地方主管部门，并正为未来采购制定更严格的安全要求。
宇通否认供应商能够从远处操控公交车的转向、制动或加速。该公司表示，数据链路用于维护，欧洲数据存储在法兰克福的一处亚马逊云科技设施中，并受到加密和访问控制保护。目前在挪威或丹麦均没有公交车遭远程关闭的记录。即便如此，运营商仍认为，任何未经控制、可通往关键设备的访问途径都是不可接受的风险。
挪威在公交车测试中发现了什么
Ruter表示，其团队发现了内置SIM卡和存储模块，可在公交车与外部服务器之间建立安全的移动连接。该链路支持远程诊断和软件更新。工程师认为，恶意用户或遭入侵的供应商账户可能有能力中断电源供应或其他维持公交车运行的功能。测试并未显示车辆可以被远程转向或制动，但凸显了通过切断牵引力或电源使公交车停驶的可能性。
运营商还检查了同等车龄的一家欧洲制造商生产的公交车。这些车辆没有使用远程更新功能，因而缩小了攻击面，但也降低了灵活性和维护效率。挪威官员认为，这种差异加上对宇通车辆的调查结果，说明所有依赖联网服务的品牌都需要更明确的采购要求。
拔除SIM卡的解决办法及其代价
拔掉SIM卡可以立即切断远程链路，但也会使许多公交机构依赖的工具失效。实时到站显示屏和手机应用的到站预测都依赖车辆联网，远程诊断和软件维护规划也是如此。永久断网会减缓故障后的服务恢复速度，还可能推高成本，因为技术人员将无法获取详细遥测数据和预警信息。运营商正在权衡有针对性的保护措施，在保留必要数据流的同时，阻止任何未经明确授权和监督的供应商访问。
公交车是否真的遭到接管
官员表示，目前没有公交车遭远程实时操控的案例。宇通称，转向、驱动和制动等安全关键功能不会接受来自外部网络的指令。Ruter的测试以及专家的说明表明，实际风险范围更窄：如果通过联网通道改变电源或电池管理，公交车可能无法运行。即便驾驶员在车辆行驶时仍拥有完整控制权，这类中断也会严重影响运营。
Ruter首席执行官贝恩特·赖坦·延森表示，遭到干扰的可能性仍然较低，但他敦促采取行动降低风险。
我们必须认真对待这一风险。
丹麦如何应对
丹麦民防和应急管理局表示，目前尚未获悉丹麦发生过经确认的远程停运事件。该局警告称，如果安全控制薄弱，联网子系统和传感器可能遭利用，从而扰乱服务。该局正在跟踪事态发展，评估现行指导是否充分，并准备为运营商提供预防和应对方面的建议。
丹麦最大的公共交通公司Movia在西兰岛运营469辆中国制造的电动公交车，其中262辆为宇通车型。Movia首席运营官耶佩·高德承认，当软件系统接入开放网络时，联网车辆可能遭受远程干扰。他指出，这一担忧涉及范围广泛的联网车辆和设备，并非中国公交车独有。Movia计划在新的招标中加强网络安全要求，并正在评估现有车队的防护措施。
政界人士和公民社会团体希望制定国家标准，将公共交通视为关键基础设施。他们认为，过度依赖外国供应商会削弱危机期间的韧性。立法者正在研究统一招标标准、供应商风险审查、数据本地存储规则以及限制未经管理的远程访问等方案。任何调整都必须遵守丹麦和欧盟的采购法律，同时为运营商提供切实可行的工具，确保服务持续运行。
宇通如何回应访问和数据问题
宇通表示，其公交车无法远程控制安全关键功能。该公司称，主控制单元与转向、驱动和制动系统彼此隔离。数据连接用于诊断、性能监测和舒适性功能，例如驾驶室预热。更新必须获得运营商明确批准。公司还表示，欧盟境内的数据存储在法兰克福，并通过加密和严格的访问控制加以保护。Ruter解释称，其调查结果指向的是一种理论上的风险，目前没有发生与安全相关的事件。
技术风险解析
现代公交车配有连接蜂窝网络的远程信息处理单元。该单元与云平台通信，以传输状态数据、接收软件包或配置变更。在车内，控制器局域网连接驱动、电池、车门、暖气和驾驶员显示屏等子系统。良好的设计会将安全关键控制回路置于独立线路中，并实施严格隔离。实际应用中，不同网络之间仍存在接口，供支持团队诊断故障和应用修复。这些接口一旦身份验证或访问规则薄弱，就可能吸引攻击者利用。
真正值得关注的风险并非好莱坞式的远程劫持。主要担忧是远程指令关闭驱动或电源，或软件更新损坏某个部件，导致公交车无法移动。如果数百辆车采用相同配置并共用供应商账户，一次安全漏洞就可能造成大范围运营中断，即使转向和制动系统未受影响也是如此。各机构希望确认远程通道默认处于关闭状态、严格执行基于角色的访问控制，并确保运营商在怀疑遭到滥用时能够立即切断外部连接。
实际可能受到影响的系统
- 牵引动力启用及逆变器启动条件
- 电池管理设置，包括充电和放电限值
- 充电控制逻辑和计划
- 为控制单元和传感器供电的低压配电系统
- 暖气、通风和照明等车厢系统
安全团队着力加固这些通道，同时保留安全、高效运营所需的数据。目标是在保留远程诊断和非关键更新的同时，通过可靠控制阻止任何未经本地批准、可能导致车辆无法行驶的远程操作。
新规则可能是什么样
交通公司、监管机构和供应商正在制定适用于联网车队的防护措施。这些措施旨在保留遥测和远程支持的优势，同时堵住任何未经管理、可进入驱动系统的通道。合同条款、认证和技术控制需要协调一致，以确保运营商能够最终决定哪些内容以及何时可以进入公交车网络。
- 由本地控制联网功能，并能够立即禁用供应商访问权限
- 设置更新门槛，在安装前审核并签署固件和配置变更
- 严格隔离诊断网络与安全关键网络
- 所有远程会话均采用基于角色的访问控制和多因素身份验证
- 对远程连接进行不可篡改的日志记录和独立审计
- 制定明确的数据存储地规则和加密标准
- 在招标中审查供应商风险，包括安全开发实践和事件响应能力
- 对联网车辆平台进行第三方渗透测试和认证
这对乘客和城市意味着什么
乘客不必担心服务会立即发生变化。公交车由驾驶员驾驶，无法从车外操控。运营商表示，这些公交车上的摄像头没有连接互联网，因此不存在实时图像传输风险。如果运营商拔掉SIM卡以隔离车辆，实时到站预测、车队仪表盘和远程诊断功能将受到影响。因此，各机构更倾向于采用分层控制，在保持服务信息传输的同时防止未经授权的指令。
城市面临着远程维护的便利性与加强本地控制所带来的确定性之间的权衡。切断联网可以降低风险，但也会损害可靠性、增加成本。平衡的做法是加强治理、提高透明度并采用可验证的技术控制，让运营商在保留联网车队优势的同时，避免动力系统受到外部干扰。
要点
- 挪威测试发现宇通车辆存在远程访问通道后，丹麦正在审查数百辆中国制造的电动公交车。
- Ruter的隔离测试发现，拔掉SIM卡可以阻断远程访问，但也会使实时信息和诊断功能失效。
- 宇通否认能够控制转向、驱动或制动，并表示欧盟数据存储在法兰克福，受到加密和访问控制保护。
- 丹麦民防机构表示，目前没有已知的远程停运案例，但警告称，如果控制措施不严，联网子系统可能遭到利用。
- Movia运营469辆中国制造的电动公交车，其中包括262辆宇通车型，并计划在未来的招标中加强网络安全要求。
- 核心风险是远程干扰电源或电池管理，可能使公交车无法行驶，即便驾驶员仍能控制转向和制动系统。
- 拟议的防护措施包括联网功能本地紧急切断开关、更新审核机制、网络隔离、多因素身份验证和独立审计。
- 运营商力求在保障服务质量的同时堵住未经管理的远程访问，而非让整个车队断网。
