为汽车信息安全“保驾护航”的追梦人

智能网联汽车安全吗？这个安全不仅仅是驾乘车辆，还包括怎样使其不易遭受黑客攻击，为汽车保驾护航。为了实现这一目标，2019年2月，联合电子成立了由“追梦人”罗勇领衔的产品信息安全工作室。这是一个跨部门团队，团队成员覆盖研发、流程、生产、质量和售后多个方面。虽然成立仅一年多时间，但团队已编写了联合电子首部产品信息安全流程体系文件，主导完成了多个产品开发项目技术方案的设计，还承担了诸如生产线密钥管理系统、区块链技术研究等多个攻关项目。创新工作室凭借优异杰出的成绩，被上汽集团工会授予了2020年“上汽集团职工（劳模）创新工作室”称号。

从零开始的自力更生之路

“产品信息安全是汽车业一个全新的领域，很难找到相对成熟的样板可供借鉴，再加上团队成员经验不足，各方面能力的建设都得从零开始。” 谈及工作室刚成立那会儿，罗勇深感不容易。

尽管如此，团队还是迎难而上。产品开发流程研究项目就是一个很好的例子。“由于2021年将颁布ISO21434国际标准，它会对汽车零部件的开发提出流程上的信息安全要求。因此，联合电子决定同步建立产品开发流程，从而更好地指导工程师在产品开发过程中去开展与信息安全相关的活动。但在开发流程建设过程中，团队碰到了很多困难。”

首当其冲的就是消化和理解抽象的ISO标准要求。团队拿到了当时还是草稿状态的ISO21434国际标准文档，为将抽象的标准内容和公司电子工程开发流程结合起来，工作室成立了攻关项目组，经过大半年努力，终于将标准吃透，并写出一份接地气的公司流程草稿。到了跨部门的推广环节，团队需要将流程内容传达给其他同事并打消大家的问题和顾虑。过程中，他们努力表达了一个“增量”的概念以推动流程顺利实施，即“我们的流程充分考虑了大家的顾虑，相关流程活动的要求只需在现有流程基础上多加一个步骤即可”。历经不到一年时间，这份被誉为公司产品信息安全工作“宪法”的文件，最终于今年3月正式发布并投入使用，现已在公司的示范项目中完成了试点运行，反馈良好。

其次，流程只解决了“每个环节做什么事情”，还需要配套的技术开发能力建设来解决“怎么做事情”的问题，以支撑流程活动更好地落地实施。在技术开发能力建设上，团队也是从零开始进行奋斗，罗勇和团队开展了一系列研讨会，与公司内部专家，以及合作伙伴、高校、标准机构等公司外部人员进行技术研讨。他们牵头完成了多个产品技术方案的制订，譬如控制器防非法调试技术方案、数字钥匙信息安全技术方案等。这些技术方案在实际项目中均得到了实施，促进了公司流程活动在项目中的落地执行。

打造一个人才“炼金炉

谈及工作室的人才梯队建设，罗勇告诉记者，工作室秉承的是“闭环”的概念。“一方面，我们会制作培训材料，通过线上或线下的培训课程把知识传递给同事。同时，还会设计一些考题，给培训完的同事进行一次考试，形成‘培训闭环’。另一方面，所有参加工作室培训的同事最终都会将所学知识应用到工作岗位中，形成另一个‘人才闭环’。目前，我们还在着手研究一个‘知识技能评估机制’，针对所有同事进行知识技能评估。譬如，后续如果要进行一些重大项目的产品信息安全开发工作，相关人员必须要在该评估机制里达到一定的知识技能等级。”

工作室成员通过培训和实践，得到了快速成长。其中，有一位工作才两年、非信息安全专业科班出身的成员张逸昆，一开始对很多基本概念都不熟悉，通过工作室的一系列培训及参与联电“油菜花”大讲堂等技术研讨活动，他在短短一年多时间里得到了快速成长。目前，张逸昆已能独立承担“生产线安全技术方案”领域的研究工作。

罗勇表示，“希望能把工作室打造成一个‘炼金炉’，帮助所有对产品信息安全领域感兴趣的同事提升能力。”