汽车安全认证深度解析系列（第5期）：ASPICE 过程证据链——从 Tier1 到主机厂的传递与证据边界
图1 本期主线：过程证据如何跨过 Tier1 与主机厂之间的那道边界
写在前面：过程证据为什么总在客户审核时显得不够用
前四期分别看了功能安全、网络安全、供应链变更和芯片证据链，这一期把镜头转到软件过程本身。ASPICE 评估里有一个反复出现的场景：供应商手里有一份评估报告，客户看完之后还是不满意，追问的往往是同一句话——你说的这个等级，覆盖的是哪些过程、哪个项目、什么时候评的，证据现在还在不在？
一句话概括本期的立场：ASPICE 的评估结果不是一张可以到处贴的标签，而是一份带着评估范围、取样依据和时间戳的过程快照。它能不能传到主机厂手里继续有效，取决于三件事——范围对不对得上、证据能不能被抽到、结论有没有过期。
全文走 6 步：先搞清评什么，再依次看评估范围怎么定、证据怎么被抽到、过程证据与产品证据的边界在哪、一次评估能不能同时喂两家客户，第六步看评估结果的保鲜期。
动笔之前先回答一个很多供应商质量经理都遇到过的问题：客户在询价文件里写“须具备 ASPICE 能力等级 3”，却没说范围、没说模型版次、也没写目标过程域。这三项不确认，后面的准备工作很可能白做。
图2 ASPICE 的三块拼图：过程参考模型、过程评估模型与能力维度
第一步：先搞清 ASPICE 到底评什么——评估对象、模型版次与等级判定
问：客户说“要有 ASPICE 三级”，这个三级到底评的是谁、评的是哪一版、又凭什么说达到了？
ASPICE 的全称是汽车软件过程改进及能力评定，由德国汽车工业协会 VDA 下属的工作组维护。它的定位是过程评估模型，而不是认证体系。这个定位上的差别，落到具体事务上就是四点不同。
表1 ASPICE 评估与常规体系认证的四点区别
四点里容易误解的是第一点。评估的对象是过程，而且是约定范围内的过程。同一个组织里，系统过程可能只有能力等级 1，配置管理却可能已经到 3 级。业务部门对外说“我们公司是三级”，严格讲是不完整的说法——缺了范围和过程集合这两项限定。
表2 各能力等级与对应的过程属性
各能力等级对应的过程属性，会随模型版次略有调整，实际以评估所依据的版本为准。
表3 过程属性评级的四档口径
有了这三张表，就能解释一个常见困惑：为什么有些过程看起来该做的都做了，等级还是上不去。原因通常在聚合规则上——某一能力等级要成立，同等级的过程属性至少要到 L，而低等级的过程属性必须到 F。换句话说，PA3.1 和 PA3.2 都拿到 L，但 PA1.1 只到 L，这个过程的等级依然会被压在下一级。
这条规则直接决定整改的优先级：先把低等级的过程属性做扎实，再往上走。反过来，先堆三级需要的流程文件、放任一级的过程执行证据薄弱，是容易白费力气的一种做法。
回到开头那个问题。客户说要有三级，完整的问法应该是四句：按哪个模型版次、评估哪些过程域、要达到几级、报告出具时间在多久之内。把这四项问清楚，比任何一次内部动员都有用。
图3 能力等级台阶与过程属性的聚合规则
第二步：评估范围怎么定——基础过程域、插件模块与灵活可选
问：模型里的过程域有几十个，一次评估不可能全评。那到底评哪些？
ASPICE 4.0 于 2023 年底由 VDA 发布，取代沿用多年的 3.1 版。新版把过程分成三类：基础过程域、插件模块和灵活可选过程域。这个分类方式本身，就是对范围这件事的重新定义。
表4 4.0 相对 3.1 的过程组变化
表的末行值得多说一句。基础实践数量减少，主要是把原本分开的实践做了合并——3.1 里追溯性和一致性是两条实践，4.0 合成一条。实践数量少了，实际要交付的工作产品并没有少。指望换到新版就能少准备材料，多半会落空。
表5 VDA 范围的三层结构
这套结构带来的直接变化是：范围的可组合方式变多了，客户之间的范围差异也跟着变大。同一家供应商给两家主机厂供货，两家要求的模块很可能不同——一家只要软件工程，另一家因为交付的是软硬一体件，还要追加硬件工程。
表6 常见的评估范围组合
这里要点明一条：范围不是评估师定的，是客户与供应商在定点文件里约定的。评估师按约定范围执行，企业按约定范围准备。范围没写清楚，评估做得再规范，也很难对上客户的要求。
图4 VDA 范围的三层结构与常见组合方式
第三步：证据怎么被抽到——证据池、两类样本与抽样权
问：项目里有几千份记录，评估师到底看哪些？
ASPICE 的正式评估不会核查全部工作产物。评估师在约定范围内选取样本，依据样本上采集到的客观证据，对过程作出评定。这件事有两层含义：企业要准备的不是全部材料，而是一个能被抽到任何一处都不塌的证据池。
表7 两类样本与证据池的关系
这张表里关键的一行是“谁决定抽哪个”。企业可以整理一份完整的证据池，但没有权限规定评估师只看哪一部分。评估师会结合项目风险选择样本，涉及安全相关的模块，即便企业不主动提交，评估师也有权在评估范围内调取。
抽样时，评估师通常会看四个维度的覆盖：
· 组件维度：评估范围内的组件都要有证据，不能只挑准备充分的模块
· 等级维度：高安全等级模块与普通功能模块都要覆盖
· 时间维度：覆盖项目多个里程碑基线，不能只备一个迭代版本
· 角色维度：文档证据与对应岗位的访谈证据要配套
四条里时间维度容易被忽略。把某一个迭代版本的材料做得再漂亮，也只能证明那个版本做得好；过程能力问的是能不能稳定重复。
所谓证据池，是把评估范围内所有组件、所有里程碑、所有相关岗位的记录集中整理到一起，形成一个随时可查的集合。它的价值不只体现在评估当天，也体现在日常——追溯链是否完整、缺陷是否闭环、基线是否可复原，这些问题在整理证据池的过程中会自己浮出来。
【实战提醒】内部预评估用过的样本，正式评估时不一定沿用。整改要求是全范围整改——只修被抽到的那几个模块，等于把风险留在了剩下的模块里。
图5 证据池与两类样本的抽样关系
第四步：过程证据与产品证据的边界——三套标准怎么分账
问：ISO 26262 也要求双向追溯，ISO 21434 也要求漏洞闭环，这些证据能不能直接顶上 ASPICE 的要求？
这是本期三个问题里的第一个，也是实际项目里出现频率较高的一处混用。先给结论：能共用证据池，不能互相顶替结论。
表8 过程证据与产品证据的对照
表的末行是重点。过程能力等级高，不代表产品安全；反过来，产品拿到了安全方面的认证，也不代表开发过程受控。两套结论各自成立，谁也替代不了谁。
表9 三套标准在同一个项目上的分工
判断一条证据能不能共用，标准只有一条：看它描述的是过程状态还是产品属性。评审纪要、追溯矩阵、变更记录描述的是过程状态，三套标准可以共用；安全机制的失效模式覆盖率、诊断覆盖率描述的是产品属性，只有功能安全侧会引用。
反过来，容易被评估师指出来的问题，是把功能安全或网络安全标准要求的活动，直接当作 ASPICE 过程的证据提交，却没有说明这些活动背后的过程要求与记录形态。活动的名字对得上，证据的形态对不上，评定依然上不去。
【实战提醒】判断一条证据能不能共用，只看一件事——它证明的是过程被管理住了，还是产品达到了某个指标。前者跨标准通用，后者各归各口。
图6 过程证据与产品证据的边界划分
第五步：一次评估能不能喂两家客户
问：同一个项目，A 客户要求能力等级 2、范围含系统与软件，B 客户要求能力等级 3、范围还要含硬件。能不能做一次评估同时交差？
这是第二个问题。先给结论：可以共用，但要满足三个条件，否则只能部分复用。
表10 一次评估支撑多家客户的三种做法
三个条件分别是：范围要能覆盖、版次要能对齐、报告要能交付。
范围好理解。版次这一条常被忽略——评估依据的是模型版次，3.1 与 4.0 的过程结构不同，范围不能直接照搬。如果一家客户还在按旧版次提要求，另一家已经按新版次提要求，两边的范围需要分别映射，不能简单地就高不就低。
第三条是报告能不能交到另一家客户手里。评估报告的所有权与使用范围，属于评估协议里应当约定的事项。在联合开发或联合测试中产出的过程记录，所有权就更需要事先写清楚——这类记录既包含供应商的过程数据，也可能包含客户的产品信息。
表11 评估结果复用前要核对的事项
【实战提醒】把评估范围、模型版次、目标等级、报告可交付对象这四项写进定点文件或质量协议，比事后解释便宜得多。这四项里任何一项事后才发现不一致，返工的都是整套证据准备。
图7 一次评估支撑两家客户的三种做法
第六步：评估结果的保鲜期——变更触发与防掉级机制
问：评估报告拿到手了，三年后客户来审核，这份报告还算数吗？
这是第三个问题，也是三个问题里容易产生误解的一个。先纠正一个流传很广的说法：ASPICE 没有官方规定的有效期，也不存在证书到期续证这回事。评估结果本质上是一份带时间戳的过程快照。
那客户凭什么判断这份快照还有效？行业里有几种并行的口径。
表12 评估结果时效的几种口径
把这几层拆开，很多争论就消解了。与其纠结报告能用几年，不如建立一套触发式管理。
表13 评估结果失效的触发条件与应对
表13 末行的场景在行业里很典型：评估做完之后，团队转入维护状态，两年没有新项目跑过这套流程。等到再投标时，手里只有一份旧报告，拿不出新的过程实例。
【实战提醒】防止第二年掉回去的办法不是每年重评一次，而是把过程资产的维护纳入日常。具体三条：过程定义变更走同一套变更流程并受控发布；关键岗位更替时留下过程交接记录；每隔一段时间做一次内部抽样，抽样对象与外部评估保持一致，先把问题找出来。
图8 评估结果的保鲜期与触发式失效机制
行业案例：公开信息里的四种评估形态
下面四个案例的信息全部来自企业公开披露与公开媒体报道，只陈述公开事实，不评价优劣。为遵守平台发布口径，企业主体名做了泛化处理，评估机构、等级、年份与技术对象保留原样，便于读者自行核对。
案例一，同一体系两个等级分两步走。国内某智能座舱供应商的驾驶员监测项目，公开信息显示该企业先于 2025 年初通过能力等级 2 级评估，随后在同一套体系上继续运行并优化，同年通过 4.0 版能力等级 3 级评估；公开信息同时提到，该项目还完成了车载机器学习模型相关的评估。这个序列对应第六步讲的做法——等级不是一次跳上去的，二级打底，三级在组织级过程上继续沉淀。
案例二，评估范围比常规更宽。国内某新能源商用车企业的整车域控制项目于 2026 年公开披露通过 4.0 版能力等级 2 级评估，由 TÜV 奥地利参与，评估覆盖 19 个过程域。这个数字比行业里常见的十几项范围要宽，说明范围是可以按客户定点文件约定的，不是固定的一套。
案例三，把评估落到具体项目与可量化指标上。国内某车载智能音频企业在 2025 年底公开披露通过能力等级 2 级评估，公开信息里给出了几项可核对的过程指标：组建了 9 人核心团队、累计制定 90 余条单元与集成测试规范、单元测试覆盖率控制在 90% 以上、研发高峰期实现每日多次自动化构建与冒烟测试。这几项恰好对应评估师会抽的工作产物样本与执行记录类型。
案例四，多元业务线分别取证。据公开信息，国内某整车企业的电子电气架构域控平台于 2025 年通过能力等级 3 级评估；另有车规存储与车载语音领域的企业分别于 2026 年与 2025 年通过能力等级 2 级评估，其中车规存储企业的评估由 SGS 参与。这些案例的共同点，是评估对象都落在具体项目或产品线上，而不是笼统的整个公司。
表14 公开案例的评估形态对照
容易踩的坑
【错误做法】把评估报告当作通用通行证，直接附在投标文件里。【正确做法】提交前先核对模型版次、评估范围、目标等级与报告时效四项，确认与本次询价的要求对得上。
【错误做法】评估前集中补文档，项目实际并未按过程执行。【正确做法】选若干条关键需求跑一遍完整链路，从需求、评审、设计、代码提交、测试到发布基线；跑不通的地方，就是真正缺的执行证据。
【错误做法】只准备做得好的模块作为样本，回避问题集中的模块。【正确做法】评估范围内所有组件都要备齐证据，并把高安全等级模块主动纳入内部抽样。
【错误做法】把功能安全或网络安全的活动记录直接充当过程证据。【正确做法】分清这条证据证明的是过程状态还是产品属性，前者可共用，后者只能各归各口。
本期重点回顾
表15 本期核心概念与实战要点回顾
下期预告
第 6 期往上游走一步：主机厂自己的软件与电子开发部门怎么做合规——当甲方也要被审的时候。留三个问题：主机厂内部的过程评估和供应商评估标准能不能一致？同一个平台的多家供应商之间，证据怎么横向拉通？主机厂自己的安全案例怎么写，才能把供应链证据接进来？
本系列聚焦汽车电子安全认证的工程落地，计划连载 40 期，本期为第 5 期。
苏州纳兰企管提供以上专业技术支持，
欢迎联系邮件[email protected]获取解决方案
