Säker mjukvaruuppdatering av fordon: vad UN R156 kräver
Sedan juli 2024 kan ett nytt fordon utan ett certifierat system för hantering av mjukvaruuppdateringar varken registreras, säljas eller tas i bruk inom EU. Här är vad UN R156 konkret kräver, varför underlaget är svårare än själva uppdateringen, och var ISO 24089 kommer in.
Vad kräver UN R156?
UN-reglemente nr 156 antogs av UNECE:s världsforum för harmonisering av fordonsföreskrifter (WP.29) i juni 2020, tillsammans med sitt cybersäkerhetssyskon UN R155, och båda trädde i kraft den 22 januari 2021. R155 reglerar fordonets och organisationens cybersäkerhet; R156 reglerar hur mjukvara når fram till ett fordon.
Tänderna sitter i typgodkännandet. Tillverkarens SUMS bedöms av en godkännandemyndighet och får ett intyg om överensstämmelse som gäller i högst tre år — och utan giltigt intyg finns inget typgodkännande för fordonet. I EU kommer datumen från den allmänna säkerhetsförordningen snarare än från R156 självt: godkännande har vägrats för nya fordonstyper sedan juli 2022, och för alla nya fordon sedan juli 2024.
Kraven är konkreta när regeltexten skalas bort. Varje mjukvaruversion ska vara unikt identifierad, med data som gör att en manipulerad avbild kan upptäckas. Äktheten och integriteten i varje uppdatering ska skyddas. Att uppdateringen är kompatibel med fordonets konfiguration ska verifieras innan den levereras — inte upptäckas när den fallerar. Och mjukvara som är relevant för typgodkännandet ska bära RXSWIN-identifierare.
Två krav till formar ingenjörsarbetet. Processen ska registrera varje genomförd uppdatering — vilken mjukvara, vilket fordon, vilket utfall — eftersom det är det underlaget myndigheten granskar. Och för uppdateringar över luften tillkommer en driftgaranti: en misslyckad uppdatering ska sluta i en återställd tidigare version eller ett säkert fordonstillstånd. Återställning är ett regelkrav, inte en produktfiness.
Vad är ett SUMS?
UN R156 definierar ett Software Update Management System som ett systematiskt arbetssätt med organisatoriska processer och rutiner för att uppfylla kraven på leverans av mjukvaruuppdateringar. Det är alltså ingen produkt man köper, utan ett sätt att arbeta som ska gå att visa upp.
Tillverkarens SUMS bedöms av en godkännandemyndighet och får ett intyg om överensstämmelse med högst tre års giltighet. Skyldigheten ligger formellt på fordonstillverkaren — det är tillverkaren som håller intyget och typgodkännandet.
Varför är spårbarheten svårare än uppdateringsmekanismen?
Den obekväma upptäckten för många organisationer är att det svåra i R156 inte är mekanismen utan underlaget. De flesta utvecklingsteam klarar att flytta in en signerad avbild i en styrenhet. Betydligt färre kan bevisa, för varje enhet i en flotta och över år av produktion och verkstadshistorik, vilken mjukvara som rullade på vilket fordon, när den ändrades och med vems godkännande.
Det beviset är en diagnostikdisciplin. Förutsättningen är det ISO 24089 kallar fordonets konfigurationsinformation: en fullständig redovisning av hårdvaruversioner, mjukvaruversioner och konfigurationsparametrar i varje fordon. Det är den som avgör vilka fordon en kampanj gäller, som mottagarna stäms av emot och som kompatibiliteten bevisas mot.
Slutsatsen är obekväm men enkel: man kan inte kampanjköra det man inte kan räkna upp. Underlaget är inte pappersarbete i efterhand, det är förutsättningen.
Hur förhåller sig ISO 24089 till UN R156?
UN R156 säger vad som ska vara sant. ISO 24089, publicerad i februari 2023, beskriver ett ingenjörsmässigt arbetssätt för hur en organisation gör det sant — från organisations- och projektprocesser ned till paket och kampanjer.
En nyans är värd att vara noga med: R156 nämner aldrig ISO 24089. Reglementet kom först. Standarden är alltså frivillig praxis vid sidan av reglementet, inte en väg till efterlevnad som någon myndighet pekat ut.
Det sätter också den realistiska ingångsvägen. Det finns inget ackrediterat certifieringssystem mot ISO 24089 — bedömningsorgan erbjuder gapanalyser och egna intyg om överensstämmelse i stället. Den arbetsordning som erfarenheten från bedömningar återkommande pekar mot: underlaget först, processen sedan, plattformen sist.
Vad innebär UN R156 för er som leverantör?
Direkt binder UN R156 fordonstillverkaren — det är tillverkaren som håller SUMS-intyget och typgodkännandet. Men skyldigheterna når leverantören via avtalet: tillverkaren måste kunna belägga sin uppdateringsprocess hela vägen, och komponenter som inte kan bära det belägget blir tillverkarens problem, vilket snabbt gör dem till leverantörens.
Vid styrenheten blir R156:s krav själva omprogrammeringssekvensen. UDS-tjänsterna som bär en uppdatering — RequestDownload, TransferData och RequestTransferExit — definieras i ISO 14229-1, och komponenten som gör en avbruten uppdatering återställningsbar i stället för förödande är den residenta flashbootloadern, som validerar applikationen vid varje uppstart och aldrig raderar sig själv. Vi går igenom sekvensen i ECU flash programming over UDS.
För en leverantör har ”redo att beläggas” en konkret form: signerade mjukvarupaket som verifieras innan en applikation märks som giltig, en uppdateringskedja vars grindar håller hela vägen, och verktyg som producerar det spårbarhetsunderlag tillverkarens granskning kommer att be om. Det är den nivå Diadrom håller sina egna produkter till — Autotech Bootloader har rullat i serieproduktion med signerade paket och utan en enda obrukbar styrenhet.
Nästa konkreta steg om ni står inför arbetet: checklistan för R156-beredskap går igenom vad som behöver finnas på plats, i vilken ordning.
Det viktigaste
- UN R156 gör ett certifierat system för hantering av mjukvaruuppdateringar till ett villkor för typgodkännande — i kraft sedan januari 2021, tillämpat i EU för nya fordonstyper sedan juli 2022 och för alla nya fordon sedan juli 2024.
- Kraven är konkreta: unik identifiering av varje mjukvaruversion med data för integritetskontroll, skyddad äkthet och integritet, verifierad kompatibilitet före leverans, RXSWIN-identifierare och en fullständig logg över genomförda uppdateringar.
- En misslyckad uppdatering över luften ska sluta i en återställd tidigare version eller ett säkert fordonstillstånd — återställning är ett regelkrav, inte en produktfiness.
- Det svåra är oftast underlaget, inte mekanismen: att kunna visa vilken mjukvara som rullade på vilket fordon, när den ändrades och med vems godkännande.
- ISO 24089 är den frivilliga ingenjörspraxis som paras med R156 — reglementet nämner den aldrig själv — och en leverantör möter kravet genom det belägg komponenterna kan producera.
Vanliga frågor
Vad kräver UN R156?
UN R156 kräver att fordonstillverkaren driver ett certifierat system för hantering av mjukvaruuppdateringar (SUMS) som villkor för typgodkännande. Konkret: varje mjukvaruversion unikt identifierad med data för integritetskontroll, skyddad äkthet och integritet i varje uppdatering, verifierad kompatibilitet med fordonets konfiguration innan uppdateringen levereras, RXSWIN-identifierare för mjukvara som är relevant för typgodkännandet, samt en fullständig logg över varje genomförd uppdatering. För uppdateringar över luften gäller dessutom att en misslyckad uppdatering ska sluta i en återställd tidigare version eller ett säkert fordonstillstånd.
Vad är ett SUMS?
UN R156 definierar ett SUMS, Software Update Management System, som ett systematiskt arbetssätt med organisatoriska processer och rutiner för att uppfylla kraven på leverans av mjukvaruuppdateringar. Det är alltså ett sätt att arbeta som ska gå att visa upp, inte en produkt. Tillverkarens SUMS bedöms av en godkännandemyndighet och får ett intyg om överensstämmelse som gäller i högst tre år — utan giltigt intyg finns inget typgodkännande.
När blev UN R156 obligatoriskt?
UN R156 antogs av UNECE:s WP.29 i juni 2020 tillsammans med UN R155 och trädde i kraft den 22 januari 2021. I EU kommer tillämpningsdatumen från den allmänna säkerhetsförordningen: typgodkännande har vägrats för nya fordonstyper sedan juli 2022, och sedan juli 2024 gäller kravet alla nya fordon som registreras, säljs eller tas i bruk.
Gäller UN R156 även leverantörer?
Direkt binder UN R156 fordonstillverkaren — det är tillverkaren som håller SUMS-intyget och typgodkännandet. Men skyldigheterna når leverantörerna via avtalet: tillverkaren måste kunna belägga sin uppdateringsprocess hela vägen, och komponenter som inte kan bära det belägget blir tillverkarens problem och därmed snabbt leverantörens. I praktiken innebär det signerade mjukvarupaket som verifieras innan en applikation märks som giltig, en uppdateringskedja vars grindar håller, och verktyg som producerar spårbarhetsunderlaget.
Vad är skillnaden mellan UN R156 och ISO 24089?
UN R156 är ett reglemente som säger vad som ska vara sant och är kopplat till typgodkännande. ISO 24089, publicerad i februari 2023, är en frivillig standard som beskriver ett ingenjörsmässigt arbetssätt för hur en organisation gör det sant. Reglementet nämner aldrig ISO 24089 — R156 kom först. Det finns heller inget ackrediterat certifieringssystem mot ISO 24089; bedömningsorgan erbjuder gapanalyser och egna intyg i stället.