升降机、自动扶梯和自动人行道的电气要求 第21部分现场和非现场软件更新标准立项发展报告

*升降机、自动扶梯和自动人行道的电气要求第21部分：现场和非现场软件更新标准立项发展报告EnglishTitleStandardizationDevelopmentReport:Electricalrequirementsforlifts,escalatorsandmovingwalks—Part21:On-siteandoff-sitesoftwareupdates摘要本报告围绕国际标准ISO/TS8102-21:2026《升降机、自动扶梯和自动人行道的电气要求第21部分：现场和非现场软件更新》的立项与发展历程，进行了全面而深入的分析。随着物联网、云计算和边缘计算技术在垂直运输领域的广泛应用，电梯、自动扶梯及自动人行道系统的智能化程度日益提升，其核心控制软件的更新迭代需求显著增加。然而，传统现场维护的软件更新模式面对海量、分布广泛的设备时，暴露出效率低下、安全风险难以管控以及成本高昂等突出问题。在此背景下，国际标准化组织（ISO）主导编制了本项技术规范，旨在为行业提供一套统一的、国际公认的软件更新安全与技术要求框架。报告详细阐述了该标准的立项背景、核心内容、技术路线及其预期的行业影响。主要内容包括：明确界定了现场与非现场两种软件更新模式；构建了涵盖身份认证、数据加密、代码签名、更新包完整性校验及回滚机制的全生命周期安全防护体系；提出了针对不同设备类型与应用场景的软件更新分级策略。报告指出，该标准的发布填补了国际电梯行业在软件远程更新领域的标准空白，为设备制造商、运营服务商及监管机构提供了权威的技术指南，对推动全球电梯行业数字化转型、提升运维效率与保障乘客安全具有里程碑式的意义。关键词电梯安全；自动扶梯；软件更新；现场更新；非现场更新；ISO8102；网络安全；远程维护KeywordsElevatorSafety;Escalator;SoftwareUpdate;On-siteUpdate;Off-siteUpdate;ISO8102;Cybersecurity;RemoteMaintenance正文一、引言垂直运输系统（包括升降机、自动扶梯及自动人行道，以下简称“电梯系统”）是现代城市建筑不可或缺的基础设施。随着《电梯、自动扶梯和自动人行道电磁兼容性》等系列国际标准的持续完善，以及物联网技术的深度融合，电梯系统正从单纯的机电设备演变为复杂的、高度网络化的信息物理系统。当前，诸如预测性维护、智能派梯、远程监控以及基于数据的性能优化等功能，均高度依赖于底层控制软件的持续演进与迭代。然而，传统的软件更新方式通常需要维保人员携带专用工具亲赴现场实施，该模式主要面临三大挑战：一是效率瓶颈：面对数以万计的分散设备，逐一现场更新消耗大量的人力与时间成本，严重制约了系统性能优化和漏洞修复的响应速度；二是安全风险：未经授权的软件篡改、传输过程中的数据劫持以及不具备完整性校验的更新包，可能引入恶意代码，导致电梯运行逻辑异常，直接威胁乘客安全。三是合规困境：在全球范围内，缺乏针对电梯行业软件更新过程的统一安全标准，导致制造商、运营商和监管部门在评估软件变更风险时缺乏共同语言和准则。鉴于此，为规范行业实践，保障设备在全生命周期内的安全与可靠运行，国际标准化组织（ISO）于2026年2月11日正式发布了ISO/TS8102-21:2026《升降机、自动扶梯和自动人行道的电气要求第21部分：现场和非现场软件更新》。这一技术规范的发布，标志着国际电梯行业在应对数字化转型过程中的网络安全与运维挑战时，迈出了从“经验驱动”向“标准驱动”的关键一步。二、标准立项背景与必要性1.技术驱动与行业现实需求据行业统计，全球在用电梯数量已超过2000万台，且以每年约5%的速度增长。其中，约有60%的设备已具备或可便捷改造为具备联网功能。面对如此庞大且高度连接的基础设施，“物理访问、本地操作”的传统软件分发与安装模式已无法满足现代运维体系对时效性、覆盖率和成本控制的要求。非现场更新（Off-siteUpdate），即通过无线网络或有线网络远程下发软件包并执行更新，成为行业发展的必然趋势。然而，这一模式也带来了前所未有的安全挑战。2.安全监管的迫切要求软件更新不再仅仅是功能增强，更直接关系到电梯系统的核心安全。GB/T35850《电梯、自动扶梯和自动人行道安全相关的可编程电子控制系统》等国内标准已对控制系统软件安全性提出要求，但未细化至更新过程。一旦远程更新流程存在漏洞，可能导致全局性的系统瘫痪或安全事故。例如，缺乏强身份认证和代码签名机制的更新机制，极易受到中间人攻击，使得恶意软件被错误地识别为官方更新包。ISO/TS8102-21:2026标准的立项，正是为了将工业控制系统网络安全的最优实践（如IEC62443系列标准思想）具体化、场景化，落地至电梯行业。3.全球贸易与互操作性的需求在全球供应链一体化的背景下，电梯制造商的产品销往世界各地。不同国家和地区对软件更新安全的管理要求不尽相同，这给跨国企业带来了巨大的合规成本。一个被国际社会普遍接受的技术规范，能够消除贸易壁垒，统一技术底线，有助于建立全球统一的质量评价体系，增强市场透明度与互信度。三、标准核心内容与技术路线ISO/TS8102-21:2026作为ISO8102系列标准（该系列标准关注电梯、自动扶梯及自动人行道的电气与电子系统安全）的重要组成部分，其核心内容是构建了一套涵盖“事前-事中-事后”全过程的软件更新安全框架。1.明确界定更新模式标准首次系统化地区分了两种软件更新模式：*现场更新(On-siteUpdate)：指维保人员通过物理连接的方式（如USB、RS232、专用的编程接口等）在设备所在位置进行的软件更新操作。该模式要求进行严格的物理访问控制和人员身份校验。*非现场更新(Off-siteUpdate)：指更新包通过一个或者多个通信网络（如4G/5G、Wi-Fi、以太网、专用物联网等）传输，并由控制系统在没有维保人员贴身值守的情况下自动执行的软件更新操作。标准对这一模式的风险评估、网络架构、通信协议及安全等级提出了更高要求。2.构建系统性安全保障体系标准从多个维度提出了技术要求，确保软件更新的安全性与可靠性：*身份认证与访问控制：要求无论是现场还是非现场更新，都必须实现对“发起端”（如维修工具、云平台）与“接收端”（电梯控制系统）的双向强身份认证，防止非法设备接入或非法更新指令下发。认证机制需基于公钥基础设施（PKI）或等效安全技术。*数据完整性与真实性验证：强制要求更新包必须采用数字签名技术。控制系统在安装任何更新之前，必须验证代码签名（CodeSignature）的有效性，确认代码的来源真实可信且未经篡改。*传输安全与数据加密：针对非现场更新，标准要求所有更新的数据传输通道必须采用经过验证的加密协议（如TLS1.3或更高版本），以防止在传输过程中发生数据泄露或重放攻击。*更新过程的原子性与回滚机制：标准规定了更新过程必须具备原子性特征。如果更新因断电、网络中断或其他原因失败，系统必须能够自动识别并回滚至更新前的“可靠状态”（GoldenImage），确保电梯不会因更新失败而陷入不可用或危险的锁定状态。同时，需要记录详细的更新日志，以备审计。*分级策略与风险评估：根据更新内容对安全功能的影响程度（例如：更新用户界面显示VS.更新安全回路逻辑），标准要求制造商对软件更新进行分级，并执行不同级别的验证、测试与审批流程。影响核心安全功能的更新，必须进行更严格的实验室测试和现场模拟验证。3.生命周期管理视角标准不仅关注更新实施的那一刻，更强调了从软件开发、打包、分发、测试、部署到退役的全生命周期管理。它要求制造商必须建立安全开发生命周期（SDL）流程，并在云端或管理平台侧部署完善的更新包管理、版本控制、用户许可管理以及强制升级策略。四、参与制定单位介绍与标准推动价值主要参与单位介绍：通力电梯（KONE）——标准制定的积极推动者与实践者在本项国际标准的起草与制定过程中，通力电梯（KONE）发挥了核心引领作用，是推动标准从概念走向现实的“产学研”结合典范。组织背景与研发实力作为全球电梯和自动扶梯行业的领军企业之一，通力电梯总部位于芬兰，拥有超过百年的运营历史。其业务遍布全球60多个国家，多年来一直专注于提供创新的客流解决方案。通力电梯是数字化运维领域的先行者，其推出的24/7全生命周期远程监控服务，凭借全天候的设备状态监测和人工智能驱动的预测性维护能力，已连接超过100万台设备。该公司内部设有专门的标准与法规部门，并与国际标准化组织（ISO）、国际电工委员会（IEC）以及中国等主要国家的标准化机构保持紧密合作，拥有极强的标准话语权。在本标准中的贡献面对软件远程更新带来的行业挑战，通力电梯率先意识到，若缺乏统一的安全框架，其自身先进的远程更新技术（KONERemoteUpdate）将面临互操作性障碍和监管合规风险。因此，通力电梯在ISO/TC178（电梯、自动扶梯和自动人行道技术委员会）的框架下，联合多家国际主要制造商，主导发起了本项技术规范（TS）的制定工作。其技术贡献包括但不限于：1.技术方案输出：将通力在其“DX电梯”系列产品中已大规模验证的、基于双信道加密、固件散列校验和自动回滚的远程更新安全方案，提炼为通用的标准技术要求。2.风险评估模型：分享了基于其全球运维大数据分析得出的、不同类型软件更新失败或遭受攻击后的风险等级评估模型，帮助标准委员会确定了“分级安全策略”的具体实施准则。3.测试方法与用例：主导编写了标准附录中的“一致性测试指南”及大量典型的异常场景测试用例（如网络攻击下的更新劫持、更新包损坏、设备版本冲突等），确保了标准的可操作性与验证的严谨性。推动价值通力电梯通过积极参与并主导该标准的制定，不仅为其自身的技术路线扫清了合规障碍，更提升了整个行业的网络韧性。该标准为电梯制造商和软件服务商提供了一个公认的“技术底线”，使得安全不再是可选的商业卖点，而是行业的强制要求。对于通力而言，这有助于其凭借在高标准下的先发技术优势，扩大在全球高端市场的份额；对整个行业而言，则加速了老旧设备的数字化改造进程，降低了普遍的安全风险。五、结论与展望ISO/TS8102-21:2026《升降机、自动扶梯和自动人行道的电气要求第21部分：现场和非现场软件更新》的发布，是国际电梯行业发展史上一个具有里程碑意义的事件。它首次以国际技术规范的形式，系统性地规定了垂直运输设备软件更新的安全准则与技术路径。该标准的核心价值体现在：1.风险可控：通过构建一整套从身份认证到回滚机制的技术堡垒，有效地将软件更新过程中潜在的网络攻击、数据篡改和系统崩溃风险降至最低。2.效率提升：在确保安全的前提下，为非现场更新提供了明确的合规路径，使得电梯的软件升级（如新增功能、提升能效、优化调度策略）和漏洞修复（特别是安全漏洞）可以规模化、即时地执行，大幅缩短了系统迭代周期。3.全球协同：作为ISO发布的技术规范，为全球范围内的制造商、运营商、第三方服务商以及监管部门提供了统一的工作语言和评判准则，促进了国际间的技术交流与贸易便利化。未来发展展望：展望未来，随着这一标准的落地实施，预计将出现以下发展趋势：1.从“TS”到“IS”的进化：作为技术规范（TS），ISO/TS8102-21将在一段时间内收集行业反馈和实践数据。随着技术的成熟与验证，预期其将在未来数年内升级为正式的ISO国际标准（IS），具有更强的约束力和引导作用。2.与相关标准的深度融合：该标准将与ISO8102其他部分（如关于电气安全的基本要求）、IEC62443（工业通信网络网络安全）、ISO27001（信息安全管理体系）以及各国现行的电梯安全规范（如中国的GB7588、EN81系列）形成更紧密的联动，构建起“功能安全+信息安全”双轮驱动的电梯安全生态。3.推动AI与云原生安全：随着人工智能实时运维决策和云原生架构的普及，未来的标准迭代将需要考虑AI模型更新、边缘计算节点的