车用软件更新的准入与合规（R155/R156·GB 44495/44496·OTA 备案与召回）

课程大纲

• 能把 UN R155/R156 与 ISO/SAE 21434、ISO 24089 分进「体系证书」与「工程标准」两栏，说清各自的签发主体、举证形态与责任主体，并判断「符合工程标准」为什么不等于「拿到证书」
• 能画出 CSMS/SUMS 证书的四段链（申请—审核—签发与有效期—监督与换证），并指出「无证书则型式批准申请不予受理」这道硬闸对车型认证节点排期的前置约束
• 能把一次热管理软件／标定改动判到四档准入结论（内部留档／备案后方可下发／涉安全变更审批通过后放量／构成召回的实施方式），并写出每一档的判据链与所依条款须核哪份现行有效版文件
• 能说清中国口径（GB 44495/44496 强标 + 公告与软件版本绑定 + OTA 备案与涉安全变更审批）与 UN R156 口径（体系证书 + RXSWIN 绑定）的差别，并用 M4-01 的换版两档式判断本车型适用哪一档
• 能识别「把硬件变更四档判据（M4-06）直接套到软件变更上」这一类误用，并说清两套判定的输入相同、结论档与办理路径不通用
• 能为出口车型建一张软件版本—市场—批准号矩阵，并说明 SUMS/CSMS 证据包在符合性矩阵与型式认证包中挂在哪一行、证据形态为什么是流程记录而不是试验报告

1. 体系证书 vs 工程标准：R155/R156 这条准入线的位阶与责任主体
   • R155 的交付物是 CSMS 证书、R156 的交付物是 SUMS 证书，二者是型式批准的前提条件——无证书不受理申请；这条映射的概览层（R155/R156↔CSMS/SUMS↔GB 44495/44496）已由 K2-04 §「安全运营与响应」末条写死，本讲不重讲映射，只做下面的成对拆解
   • 成对拆解一：ISO/SAE 21434 是网络安全的工程标准，R155 是要证书的法规——前者证明「过程按方法做了」，后者由主管机关/技术服务机构签发、可被暂停或撤销；两者签发主体与举证形态都不同，21434 的过程符合性只能当 CSMS 审核的输入，不能替代证书
   • 成对拆解二：ISO 24089 是软件更新的工程标准，R156 是要证书的法规——ISO 24089 给的是软件更新工程的过程要求，可直接当 SUMS 证据包的组织骨架，但它本身不是任何市场的准入凭证
   • 责任主体只有一个：证书与型式批准挂在整车（持证）企业名下，热管理域控 Tier1 交的是过程证据与技术输入；被暂停或撤销的是整车企业的证书与公告——与 M4-06「供应商说不影响不构成免判理由」是同一口径
   • 与硬件准入的根本差别要在开场就钉死：硬件是一次型式批准即完结，软件准入是发布后仍持续的义务（M4-01 §4 已写下这句对比），本课接的正是这句话后面的执行链
   • 位阶排序先做再谈达标：召回相关行政法规 > 强制性国标 GB 44495/44496 与准入类部门规章 > 推荐性标准与国际工程标准（21434、24089）；位阶判断方法本身属 M4-01 第 1 讲，只引不重讲
2. CSMS/SUMS：证书怎么拿、怎么保，责任怎么下沉到热管理域控 Tier1
   • 证书链按四段看：申请（提交体系文件与过程证据）→ 审核（文件审 + 现场/过程审）→ 签发并附有效期 → 有效期内的监督与到期换证；⛔ 有效期年限与监督周期本大纲不填，须取 UN R155/R156 附件现行版原文后在讲义补入
   • 证书与型式批准的关系是「前置」不是「并行」：证书不在手，车型型式批准申请不予受理——因此体系建设必须早于车型认证节点启动，不能像硬件强检那样与送检并行赶（硬件侧的准入链时序见 M4-06 第 1 讲）
   • 体系审核判的是「你能不能持续管住变更」，不是某一个软件版本合格：证据形态是流程、角色、判定记录与可追溯链；与 M4-06「一台样车的状态自证」是两种完全不同的举证，两边的证据不可互替
   • SUMS 证据包的最小骨架（须与 ISO 24089 的过程要求逐条对齐后落）：软件版本识别与配置管理、变更影响评估与判档记录、下发前的验证与批准记录、下发后的追溯与回退记录、对供应商的管控证据——五块缺一块，审核时补不出来
   • RXSWIN（软件识别号）是国际侧「软件版本与型式批准绑定」的抓手：批准号项下登记受管软件的识别号，识别号所指内容变了就要走相应的批准变更；⛔ 绑定范围与变更条款须取 UN R156 现行版原文，本大纲不填
   • 责任下沉到 Tier1 靠合同条款兑现，至少四条写进技术协议：过程证据的交付义务与格式、变更告知的触发条件与时限、审核配合义务（含被 OEM 与技术服务机构现场审）、证据保存期限与合同终止后的义务
   • 供应链证据缺口的后果落点要说清：Tier1 拿不出版本与变更记录时，缺的是 OEM 的证书保持条件，不是 Tier1 的合格供方资格——所以必须落成合同义务，靠季度例会催没有约束力；交付物形态、DIA/SEooC、权限分级与联合验证签署归 K4-09，本讲只写与证书保持直接相关的证据条款接口
3. 中国口径的车型准入侧：GB 44495 与 GB 44496 的分工、两档实施日与公告—软件版本绑定
   • 国内是「强标 + 公告 + 备案/审批」三件套，不是照搬 R155/R156 的证书制：GB 44495（整车信息安全）与 GB 44496（软件升级）是强制性国标，准入落在公告/CCC 侧，OTA 下发另有备案与涉安全变更审批一条线——三件套要分别办、路径不通用
   • 两个强标的分工先分清再谈适用：44495 管整车信息安全的技术要求，44496 管软件升级（含 OTA）的通用技术要求；「过了 44495 就等于软件升级也过了」是判档错误最常见的起点
   • 适用性先判档、再谈达标：强制性国标的实施按「新申请型式批准的车型」与「已获型式批准的在产车型」两档分设实施日，用 M4-01 关键公式里的 ΔT_新申报 / ΔT_在产 两式分别判（该判定式属 M4-01，本课只引不重推）；⛔ 不得把实施日单值化，也不得以 SOP 为唯一基准——那会把在产档的补验义务整条漏掉
   • 公告侧的绑定机制是本讲最易漏的一格：申报时登记的软件版本/软件标识必须与车上实际刷写版本对得上，事后靠版本读回（标识类 DID 与刷写文件版本块比对）自证；读回机制本体见 M4-06 第 2 讲与 K4-04，本课只把它当对外证据形态。⛔ 具体登记项与变更办理路径须取现行准入管理相关部门规章原文
4. 中国口径的每次下发侧：OTA 备案、涉安全变更审批与召回衔接（本课重心）
   • OTA 升级备案是「下发前」的义务而不是事后报备：备案对象是升级活动及其所涉版本，未完成备案即放量属违规下发（K7-02 已把「灰度放量本身即违规下发」这条因果写死在发布工程侧）；⛔ 备案材料清单与办理时限须取主管部门现行发布文件原文，本大纲不填
   • 涉安全变更审批比备案高一档：触发点是改动是否触及安全相关功能与被考核参数，热管理侧最典型的三类是电池热失控保护逻辑、可燃冷媒泄漏检测响应、除霜性能相关标定；⛔ 触发判据与审批时限须取原文，不许凭「行业惯例」填
   • OTA 与召回是同一条线的两端：召回的判据是「是否存在不合理危险」，与「是否全项符合标准」不是一回事（M4-01 §1 已写死「全项符合标准 ≠ 无缺陷」）；OTA 可以作为召回的实施方式（用远程升级消除缺陷），此时走的是召回程序而不是普通备案——「悄悄修一版就不用召回」是本讲要防的最大误解
   • 流程与留痕一次说清：判档 → 办（备案／涉安全变更审批／召回相关程序）→ 下发 → 留痕与结果报告；留痕字段与 K7-02 的发布记录、K6-05 的标定变更记录同源，本课只规定「对外要交哪几个字段、谁签署」，内部留痕机制不重讲
   • 本课的射程止于「已判定要召回时，OTA 这种实施方式在准入侧怎么走」；召回的工程触发判据与在役失效数据分析归 M2-05，不在此展开
5. 判定表：哪些软件变更影响型式批准（含判定演练实操）
   • 本讲的产出物是一张判定表：行＝变更类型（改标定数值／改控制逻辑／改诊断与保护阈值／改模型或数据驱动策略／只改人机交互与文案／修复安全漏洞），列＝四档结论（内部留档／备案后方可下发／涉安全变更审批通过后放量／构成召回的实施方式）——四档名称承接 K7-02 正文已写死的那四类，本课补的是每一档的判据
   • 判定输入不是「改了几行代码」，而是「动没动被考核参数、动没动型式批准的举证基础」——与 M4-06 硬件侧「动了哪几个被考核参数、动没动样品代表性」同构；但两套结论档不通用，⛔ 不许把硬件四档（不影响／文件性变更／扩展补测／重新型式批准）直接套过来（M4-03 已就此写过明文警告）
   • 热管理专属落点一：电池热失控保护与报警逻辑相关标定——被考核载体是 GB 38031 的热扩散与整包滥用条款，技术输入（热扩散抑制材料与整包滥用试验结果）取自 M4-03，本课只判「这一改要不要走审批」，不重讲安全判据本身
   • 热管理专属落点二：可燃冷媒（A2L）充注量相关限制与泄漏检测响应阈值——技术输入取自 M4-03；这类阈值最常被当成「传感器标定微调」而漏判，是判定表里必须单列成行的一类
   • 热管理专属落点三：除霜性能相关标定（出风温升曲线、除霜模式风量分配、除霜的功率优先级）——GB 11555 是公告项，C5-01 已写死「不达标就上不了公告」，因此这类标定的 OTA 改动直接指向公告申报值的一致性，不是纯体验优化
   • 边界情形要单列成行、不能靠通则兜：安全漏洞修复（时效诉求与判档节奏可能冲突）、回滚（回到旧版算不算一次新的变更）、灰度中止、只对部分市场下发、A/B 双分区里预置但未激活的包——这几种最常在项目上吵，判定表必须提前写死立场；⛔ 每一条的条款依据须逐条取现行有效版原文
   • 判档结论要接回发布流水线才有约束力：未判档、或判档所需的备案/审批未完成的包，不允许进入下发队列——门禁实现属 K7-02 的发布工程，本课只提供「判档状态」这一个门禁入参
   • ⛔ 判定表的档位判据与阈值本大纲一律留空标「待核」：条款原文取到之前，讲义不得开写本节的判据格（缺料清单见 notes），演练课上允许学员标「待核」，但不许凭印象或类推填
6. 多市场与证据呈现：出口车型软件版本矩阵与 SUMS 证据包怎么挂进认证包
   • 三地口径的全貌已在 M4-01 §4（欧盟与 UNECE 走 R155/R156 证书、中国走强标＋公告绑定＋OTA 备案、北美自我认证由召回制度反向约束），本讲不重讲概览，只做出口车型落地的两件事
   • 落地件一：软件版本—市场—批准号矩阵，每行至少四列（软件/标定版本、销售市场、该市场的批准号或备案编号、该版本在该市场的下发状态）；它与 K7-02 的「软件×硬件变型×标定版本」三维兼容矩阵不是同一张表——那张判「能不能刷」，这张判「刷了在这个市场合不合规」，两张都缺一格不能下发
   • 一版多市场是常态，判档必须逐市场各判一次：同一次改动可能在 A 市场只需内部留档、在 B 市场要备案后方可下发；发布计划要么按最严的市场排节奏，要么按市场拆包并写清拆包依据与差异清单
   • 落地件二：SUMS/CSMS 证据包在认证包中的呈现——按 M4-01 §5 的符合性矩阵四列结构（条款—需求—验证方法—验证状态）挂状态行，证据类型是流程记录与判定记录而非试验报告；符合性矩阵与 PPAP 证据链的方法本身属 M4-01 §5，只引不重讲
   • 「谁出具才算数」这道闸同样适用但对象不同：硬件侧看实验室的认可范围逐项覆盖（M4-01 §5 / M4-06 第 3 讲），软件体系侧看技术服务机构或认证机构的资质与该准入体系的采信规则；⛔ 具体采信规定按现行版本确认
   • 跨市场能复用的是证据、复用不掉判定：一套 SUMS 过程证据可服务多市场举证，但每个市场的判档与办理仍要各走一遍——这是 M4-01「跨项目复用符合性资产」思路的软件版，别把「复用证据」误读成「复用结论」

• 以为拿到 ISO/SAE 21434 与 ISO 24089 的过程符合性就等于满足了 R155/R156——其实工程标准证明的是过程能力，型式批准要的是主管机关/技术服务机构签发的 CSMS/SUMS 证书，签发主体与举证形态都不同，且证书可被暂停或撤销
• 以为「只改标定数值、不改代码逻辑」一律属内部留档——其实判档看的是被改的量是否影响被考核参数（热失控保护逻辑、A2L 泄漏检测响应阈值、除霜相关标定），改数值同样可能越过型式批准边界（K7-02 正文已写死这条因果）
• 以为硬件变更的四档结论（不影响／文件性变更／扩展补测／重新型式批准，M4-06）能套到软件变更上——其实软件侧是另一套四档（内部留档／备案／涉安全变更审批／召回），判定输入同构但结论档与办理路径都不通用（M4-03 的关键概念已把标准换版、产品/过程变更、软件/OTA 变更三个语境切开）
• 以为型式批准一次拿到就完结——其实软件准入是发布后持续的义务：证书有监督与保持要求，每一次下发都可能重新触发判定（M4-01 §4 已写下这句对比）
• 以为「全项符合 GB 44496 就不会被召回」——其实召回判的是「是否存在不合理危险」，符合标准不等于无缺陷（M4-01 §1）；而且 OTA 可以是召回的实施方式，不是召回的替代方案，「悄悄修一版」不构成免于召回程序的理由
• 以为灰度是纯技术动作、与合规无关——其实备案未完成即放量，灰度本身就是违规下发；发布流水线的门禁必须把判档状态与办理完成状态当入参，而不是只校验回归通过与签名
• 以为软件版本号在各处通用——其实库侧标定版本（K6-05）、送检状态版本（M4-06）、对外申报绑定的软件标识/RXSWIN 是三套语义，混用会让申报清单与车上实际对不上，事后连读回都自证不了
• 以为出口车型「一次判档、多市场通用」——其实证据可复用、判定不可复用：同一次改动在不同市场可能落在不同档，发布节奏要么按最严市场排、要么按市场拆包并写清拆包依据
• 以为 GB 44495 与 GB 44496 是一回事——其实前者管整车信息安全技术要求、后者管软件升级通用技术要求，过了前者不等于软件升级侧也过了
• 以为强制性国标只有一个生效日——其实按「新申请型式批准车型」与「已获批在产车型」两档分设实施日，须用 M4-01 关键公式里的两式分别判；以 SOP 为唯一基准会把在产档的补验义务整条漏掉

需求区 · 想听众筹

想听/点名均为需求登记，不涉及任何付款（意向金仅登记不收款）。满 5 人点名 → 自动向平台专家发邀约。