很多供应商第一次接触欧盟型式批准(WVTA)，都会被一个问题卡住：我的部件到底要不要过 UNECE R155？是只有整个车型才管，还是单个控制器也要？

现实里栽跟头的，多半是把"网络安全"想成了只跟车机屏幕有关的事。UNECE R155 管的是所有"网络安全相关的 E/E 系统"，范围比大多数人以为的宽。这篇把边界讲清，免得送样前才发现缺了一块证据。

一、UNECE R155 管的是"网络安全相关 E/E 系统"

UNECE R155 的门槛对象是 cybersecurity-related E/E systems：凡是车辆上通过电子电气接口与外部有连接、且一旦被攻破会影响功能安全的部件，都在范围内。

典型被纳入的：T-Box、网关、车机、毫米波雷达、域控制器、充电控制模块、无钥匙进入 PEPS、BCM 车身控制器。

判断口径很简单：只要这个件连了 CAN/LIN/以太网，或带无线（蓝牙/WiFi/蜂窝），又能在被入侵后影响制动、转向、动力、灯光等安全相关功能，就归 R155 管。纯机械件、不带电子接口的被动件不在范围。

二、供应商怎么判断要不要做 UNECE R155 证据

主机厂做型式批准(WVTA)时，会把 R155 的 CSMS（网络安全管理体系）要求向下拆解到供应商。你作为零部件方，要不要单独准备 R155 证据，看三点：

第一，你的部件是否"网络安全相关"——按上面那条口径。不相关，理论上不强制你出 R155 专属证据。

第二，客户（主机厂）的采购规范要什么——很多欧盟项目会在 SOR 里写"须提供 CSMS 符合性声明 + 针对本件的 TARA 报告"。这是商务要求，不是法规单独加的。

第三，你交付的是"件"还是"带软件的件"——只要件里跑固件或软件，按 UNECE R156 的 SUMS 还要管软件更新体系，R155 与 R156 在型式批准里是咬合的，多数项目一起过。

最典型的误判，发生在一家做充电控制模块的工厂：以为"我们只供个硬件"，结果客户的型式批准因为缺了他们的 TARA 报告被卡。R155 看的是功能边界，不看你自称硬件还是软件。

三、UNECE R155 与 R156 的证据是绑定的

做 R155，零部件方通常要交：CSMS 符合性声明（证明你这套开发流程有网络安全管理体系）、针对本部件的 TARA（威胁分析与风险评估）报告、以及与 R156 SUMS 衔接的软件变更安全说明。

这里有个易混点：UNECE R155 是法规（型式批准依据），ISO/SAE 21434 是工程标准（怎么把网络安全做进开发流程）。R155 不规定你用哪套方法，但业内普遍拿 ISO/SAE 21434 当落地框架。别把两者画等号，也别把 CISPR 25 这类 EMC 方法标准扯进来。R155 不碰 EMC，EMC 门槛是 UNECE R10 的事，边界要分清。

迈科检测在汽车电子合规上，可按 UNECE R155 / R156 协助企业梳理 CSMS 与 SUMS 的对应证据链，按 ISO/SAE 21434 做 TARA 框架校验，并出具 CNAS 认可实验室（L8364）的检测与合规报告，帮你在主机厂 SOR 要求前把缺口补齐。

四、先划范围再补 UNECE R155 证据

R155 的坑不在测试难，在范围没划清就动手。

送样前先把"我的件属不属于网络安全相关 E/E 系统"定下来，再决定准备哪些交付物。范围划错，要么多花冤枉钱做不必要的证据，要么少做一块导致主机厂型式批准(WVTA)卡壳。

如果你的部件要进欧盟主机厂的供应链，建议先对照上面的口径做一次范围自查，把拿不准的件列出来，与迈科检测确认边界。边界清楚了，R155 这条路就好走。