常见问题 / Frequently Asked Questions
基于我们服务多家车企 eCoC 项目的经验积累，整理以下常见问题。
采购相关 / Procurement
eCoC 项目的整体预算量级是多少？
主要按签名量阶梯报价，有 1 万、2.5 万、5 万、10 万、15 万、20 万、30 万、50 万等档位。具体金额需结合签名量和 TSP 选择，电话联系报价。
费用构成是怎样的？
主要包括：Yearly Fees（Server Remote Signing 年费、Certificate 证书费用、Support & Maintenance 技术支持年费）和 One-off Fees（Integration Support Package 接口联调支持、Test Certificate 测试证书费用）。
证书类型有哪些区别？
AES（Advanced Electronic Signature）为高级电子签名，QES（Qualified Electronic Signature）为合格电子签名。QES 法律效力更高，但申请流程更严格、费用更高。
TSP 服务商如何选择？
只要是欧盟 QTSP 列表里的服务商都满足 eCoC 要求。具体选择需结合客户目标国家、法律主体、预算范围等因素，建议电话交流时详细沟通。
技术相关 / Technical
eCoC 签名技术流程是什么？
标准流程：OEM 系统生成 eCoC XML - 计算 XML 的 hash/digest - 调用 TSP/QTSP 的 Remote Signing API - 获取签名值 - 封装 XAdES 格式 - 更新 XML 文件 - 提交 TAA 门户验证。
什么是 Remote Signing？
Remote Signing（远程签名）是指签名密钥由 TSP/QTSP 在 HSM 中托管，客户系统通过 API 调用完成签名操作，无需本地管理私钥。适合量产场景，安全性高、可扩展性强。
XAdES 是什么？
XAdES（XML Advanced Electronic Signatures）是基于 XML 的电子签名标准，定义了在 XML 文档中嵌入签名、证书、时间戳等信息的格式。eCoC 要求使用 XAdES 格式封装签名。
Demo 和生产环境有什么区别？
Demo 阶段通常使用测试证书和本地签名方式，便于快速验证；生产环境需要正式证书和 Remote Signing 架构，满足安全性、性能、审计要求。
合规相关 / Compliance
eCoC 合规截止日期是什么时候？
欧盟 eCoC 合规截止日期已延期至 2026 年 11 月 29 日。已有车辆向欧洲出口的企业请务必抓紧时间布局，提前完成签名架构与证书申请。
哪些企业需要做 eCoC？
所有向欧盟出口车辆的制造商（OEM）、需要申请 WVTA（Whole Vehicle Type Approval）认证的企业、以及需要为已认证车型生成 CoC 证书的企业。
证书主体与 WVTA 不一致怎么办？
证书主体名称必须与 WVTA 证书上的法律实体名称完全一致。这是关键风险点，FreeLink 会在证书申请前协助梳理 WVTA 主体与证书申请主体的匹配关系。
eIDAS 法规是什么？
eIDAS（electronic IDentification, Authentication and trust Services）是欧盟电子识别和信任服务法规，定义了电子签名、电子印章、时间戳等信任服务的法律框架和技术标准。
质量相关 / Quality
如何确保签名格式被 TAA 接受？
关键不只是能签名，而是签名格式、封装方式、证书链与后续验证是否可被接受。FreeLink 提供签名架构设计、样例文件、验证流程支持。
签名验证流程是怎样的？
TAA（Type Approval Authority）通过验证签名和证书链确认 eCoC 有效性。验证内容包括：签名值是否正确、证书是否有效、证书链是否完整、签名主体是否匹配等。
如何保证长期可验证性？
需要考虑证书有效期、时间戳、长期验证（LTV）等因素。FreeLink 在签名架构设计时会考虑长期可扩展能力。
信息安全 / Security
私钥如何管理？
生产环境推荐使用 TSP/QTSP 的 HSM 托管模式，私钥由 TSP 在符合 eIDAS 要求的 HSM 中管理，客户通过 API 调用完成签名。
Remote Signing 的安全性如何保障？
TSP/QTSP 需符合 eIDAS 法规要求，使用符合 ETSI 标准的 HSM，实施严格的访问控制、审计日志、密钥轮换等安全措施。
签名过程是否需要人工干预？
量产场景下，建议采用自动化签名流程：系统自动生成 XML、计算 hash、调用 Remote Signing API、封装 XAdES。
国际业务 / International
不同国家的 TAA 要求有区别吗？
是的。不同成员国的 TAA（Type Approval Authority）可能在证书要求、验证流程、门户系统等方面有差异。
英国 VCA 的 eCoC 系统上线了吗？
英国 VCA eCoC Portal 已于 2026 年 3 月正式上线，制造商需通过门户提交 eCoC 数据。
多品牌、多主体的企业如何处理？
需要为每个法律主体单独申请证书，确保证书主体与 WVTA 一致。FreeLink 提供集团化场景的方案设计。
项目交付 / Delivery
项目周期是多久？
从启动到上线通常需 2-4 个月，具体取决于证书申请周期、接口复杂度、联调进度等因素。
FreeLink 提供哪些支持？
从咨询、PoC、接口联调、证书/TSP 对接到最终落地的全流程支持。具体服务内容请参考「服务内容」页面。
如何开始项目？
建议先预约 15 分钟技术沟通，FreeLink 协助判断主体路径与 TSP 路线、识别风险点、讨论 Demo/PoC/联调方案。初次沟通免费。