為何挪威的巴士測試在丹麥引發警訊
挪威的受控測試顯示，中國製電動巴士具備遠端連線功能，可能被用來在行駛途中關閉車輛，丹麥因此正加緊確保公共巴士網絡的安全。這項連線功能有正當用途，主要用於軟體更新和診斷。安全審查人員指出，若遭到濫用，同一連線管道可能中斷營運。丹麥主管機關與營運業者目前正檢視數百輛日常使用中的巴士，包括 Movia 在哥本哈根及周邊地區營運的 262 輛宇通（Yutong）巴士，以確認沒有未受管理的遠端控制功能會影響服務。
目錄
挪威公共運輸業者 Ruter 在隔離環境中測試了兩輛宇通巴士。工程師確認，製造商能連線至支援更新、診斷和能源管理的系統。調查人員發現，拔除 SIM 卡可阻斷外部連線，但也會停用即時到站資訊、遠端故障偵測和預測性維護等重要服務。Ruter 已通知中央與地方主管機關，並正為未來採購制定更嚴格的安全要求。
宇通否認供應商能從遠端控制巴士的轉向、煞車或加速。該公司表示，資料連線是供維修使用，歐洲資料則儲存在法蘭克福的 Amazon Web Services 設施，並以加密和存取控制加以保護。目前挪威和丹麥都沒有巴士遭遠端關閉的紀錄。即便如此，營運業者仍認為，任何未受控、可連接關鍵設備的管道都是不可接受的風險。
挪威在巴士測試中發現了什麼
Ruter 表示，測試團隊發現車上內嵌了 SIM 卡和儲存模組，可讓巴士與外部伺服器建立安全的行動網路連線。該連線支援遠端診斷和軟體更新。工程師研判，惡意使用者或遭入侵的供應商帳戶，可能有辦法中斷電力供應或其他維持巴士運行的功能。測試並未顯示車輛可被遠端轉向或煞車，但凸顯了透過切斷牽引力或電力讓巴士停駛的可能性。
營運業者也檢查了一家歐洲製造商生產、車齡相近的巴士。這些車輛沒有使用遠端更新功能，縮小了攻擊面，但也降低了彈性和維護效率。這項差異，加上對宇通巴士的測試結果，讓挪威官員確信，凡是仰賴連網服務的品牌，都需要更明確的採購要求。
拔除 SIM 卡的解決方式及其取捨
拔除 SIM 卡可立即切斷遠端連線，但也會停用許多大眾運輸機構仰賴的工具。即時到站看板和手機 App 的到站預測都需要車輛連線；遠端診斷和軟體維護規劃也是如此。永久斷線會拖慢故障後的服務恢復速度，也可能增加成本，因為技術人員將無法取得詳細遙測資料和早期警示。營運業者正評估具針對性的防護措施，在保留必要資料傳輸的同時，阻擋未經明確授權和監督的供應商存取。
巴士真的遭到接管了嗎
官員表示，目前沒有巴士遭即時遠端操控的案例。宇通表示，轉向、動力和煞車等攸關安全的功能，不接受來自外部網路的指令。Ruter 的測試結果及專家說明都指出，風險範圍較為有限。若透過連線管道更改電力或電池管理設定，巴士可能會因此無法運行。即使巴士行駛時駕駛仍能完全控制車輛，這類干擾仍會嚴重影響營運。
Ruter 執行長 Bernt Reitan Jenssen 表示，遭人企圖干擾的可能性仍低，但他呼籲採取行動，降低暴露風險。
我們必須認真看待這項風險。
丹麥如何因應
丹麥民防與緊急事務管理局表示，尚未接獲丹麥發生遠端停用巴士的確證案例。該局警告，若安全控管薄弱，連網子系統和感測器可能遭到利用，進而干擾服務。該局正持續關注事態發展，評估現行指引是否足夠，並已準備好向營運業者提供預防和應變建議。
丹麥規模最大的公共運輸公司 Movia 在西蘭島營運 469 輛中國製電動巴士，其中 262 輛為宇通車款。Movia 營運長 Jeppe Gaard 承認，當軟體系統連接至開放網路時，連網車輛可能受到遠端干擾。他指出，這項疑慮影響範圍廣泛，涉及各種連網車輛和裝置，並不限於中國製巴士。Movia 計畫在新的招標案中提高資安要求，並正評估現有車隊的防護措施。
政治人物和公民團體希望制定國家標準，將大眾運輸視為關鍵基礎設施。他們認為，過度仰賴外國供應商會削弱危機期間的應變能力。立法者正研議統一招標標準、供應商風險審查、資料在地儲存規定，以及限制未受管理的遠端存取等方案。任何變更都必須符合丹麥與歐盟的採購法規，同時提供營運業者維持服務所需的實用工具。
宇通如何說明存取權限與資料安全
宇通表示，無法透過遠端控制旗下巴士攸關安全的功能。該公司指出，主控制單元與轉向、動力和煞車系統彼此隔離。資料連線支援診斷、效能監控和舒適功能，例如駕駛室預先調溫。更新則須取得營運業者明確核准。該公司也表示，歐盟境內的資料儲存在法蘭克福，並以加密和嚴格的存取控制加以保護。Ruter 已說明，其調查結果描述的是理論上的風險，目前並無攸關安全的案例。
技術風險說明
現代巴士搭載連接行動網路的遠端資訊處理設備，可與雲端平台通訊，傳送車輛狀態資料、接收軟體套件或組態變更。在車內，控制器區域網路（CAN）連結動力、電池、車門、暖氣和駕駛顯示器等子系統。良好的設計會將攸關安全的迴路設置於獨立線路，並採取嚴密隔離。實際上，各網路之間仍設有介面，讓支援團隊能診斷故障並套用修正。若身分驗證或存取規則薄弱，這些介面也會吸引攻擊者利用。
實際可信的風險並非電影情節般的遠端劫持。最主要的疑慮是，遠端指令可能停用動力或電力，或軟體更新可能損壞元件，導致巴士無法行駛。如果數百輛車使用相同組態，且共用同一個供應商帳戶，一次入侵就可能造成大範圍服務中斷，即使攻擊者未觸及轉向或煞車系統也一樣。主管機關希望確認遠端連線預設為停用、已落實依角色授權的存取控管，而且營運業者一旦懷疑有人濫用，就能立即切斷外部連線。
實際上可能受影響的項目
- 牽引動力啟用和變流器啟動條件
- 電池管理設定，包括充電和放電限制
- 充電控制邏輯和時程
- 供電給控制單元和感測器的低壓電力分配
- 駕駛室系統，例如暖氣、通風和照明
資安團隊的重點，是在保留安全、高效營運所需資料的同時，強化這些連線管道的防護。目標是保留遠端診斷和非關鍵更新功能，並透過健全的控管，阻止任何未經當地核准、可能導致車輛無法行駛的遠端操作。
新規範可能有哪些內容
運輸公司、主管機關和供應商正研擬適用於連網車隊的防護措施。這些措施旨在保留遙測和遠端支援的優點，同時封堵所有未受管理、可連入驅動系統的管道。合約條款、認證和技術控管必須相互配合，確保營運業者能最終決定哪些內容可在何時進入巴士網路。
- 由營運業者掌控連線，並能立即停用供應商存取權限
- 設定更新關卡，安裝前先審查並簽署韌體和組態變更
- 嚴格隔離診斷網路與攸關安全的網路
- 所有遠端連線工作階段均採用依角色授權的存取控管和多因素驗證
- 不可竄改的紀錄，以及對遠端連線進行獨立稽核
- 明確的資料在地儲存規定和加密標準
- 招標時審查供應商風險，包括安全開發措施和事故應變能力
- 對連網車輛平台進行第三方滲透測試和認證
對乘客和城市的影響
乘客不必預期服務會立即改變。巴士由駕駛人駕駛，無法從車外操控。營運業者表示，這些巴士上的攝影機未連接網際網路，因此沒有即時影像傳輸的風險。若營運業者拔除 SIM 卡以隔離車輛，即時到站預測、車隊儀表板和遠端診斷功能都會受到影響。因此，主管機關傾向採用多層防護，在維持服務資訊傳輸的同時，防止未經授權的指令。
城市面臨的取捨，是遠端維護的便利性與加強本地控制所帶來的確定性。切斷連線可以降低風險，但也會損害可靠性並增加成本。平衡的做法是透過健全的管理、透明度和可驗證的技術控管，讓營運業者保有連網車隊的優點，同時避免動力系統受到外部干擾。
重點整理
- 挪威測試顯示宇通車輛設有遠端存取管道後，丹麥正稽核數百輛中國製電動巴士。
- Ruter 的隔離測試發現，拔除 SIM 卡可阻斷遠端存取，但也會停用即時資訊和診斷功能。
- 宇通否認能控制轉向、動力或煞車，並表示歐盟資料儲存在法蘭克福，且採取加密和存取控管。
- 丹麥民防機關表示，目前沒有已知的停用案例，但警告連網子系統若缺乏嚴密控管，可能遭到利用。
- Movia 營運 469 輛中國製電動巴士，其中包括 262 輛宇通，並計畫在未來招標案中提高資安要求。
- 核心風險是遠端干擾電力或電池管理，可能讓巴士無法行駛，即使駕駛仍能控制轉向和煞車也一樣。
- 建議的防護措施包括連線本地緊急停用開關、更新審核機制、網路隔離、多因素存取和獨立稽核。
- 營運業者的目標是在維護服務品質的同時封堵未受管理的遠端存取，而非停用整支車隊的連線功能。
