用途：IVI 服务全链路异常自动推送，区分【研发运维告警】【 homologation 合规告警】【业务紧急告警】；分 3 种格式：企业微信 Markdown 卡片、纯文本邮件、告警工单摘要（可直接送入 ITSM）

1.1 企业微信 Markdown 告警卡片（推荐，实时推送运维群）

模板 A：Schema 校验失败（SCHEMA_ERROR）

# 🚨【eCoC-IVI 报文校验失败】
> 告警级别：P2
> 告警时间：{{alert_utc_time}} UTC
> VIN：{{vin}}
> 消息ID(MessageId)：{{message_id}}
> WVTA编号：{{wvtano}} | Variant:{{variant}} Version:{{version}}
> 故障阶段：IVI组装 + XSD校验
> 错误摘要：{{error_short_msg}}
> 详细错误栈：
```{{error_detail}}```
> 关联工单ID：{{ticket_id}}
> 影响：该VIN无法进入签名流程，无法推送EUCARIS，会阻塞出口交付
> 处理人： homologation + 后端开发
> 建议动作：核对WVTA基准参数、枚举值、必填字段，对照EUCARIS官方XSD
> 链接：【VIN详情页】{{vin_detail_url}} | 【工单链接】{{ticket_url}}

模板 B：Certum QES 签名服务异常（SIGN_ERROR）

# 🚨【eCoC-QES签名服务异常】
> 告警级别：P2（连续3次失败升级P1）
> 告警时间：{{alert_utc_time}} UTC
> VIN：{{vin}}
> MessageId：{{message_id}}
> Certum SignerId：{{signer_id}}
> 故障阶段：远程QES签名调用
> 返回错误码：{{certum_error_code}}
> 返回信息：{{certum_error_msg}}
> 当前重试次数：{{retry_count}} / 最大{{max_retry}}
> 关联工单ID：{{ticket_id}}
> 影响：无法生成合法QES签名，IVI不能上送EUCARIS
> 处理人：运维 + SSLDUN对接支持
> 建议动作：检查OAuth Token有效期、QES配额、Signer主体权限、网络连通性
> 链接：【VIN详情页】{{vin_detail_url}} | 【Certum服务监控】{{monitor_url}}

模板 C：本地验签失败（LOCAL_VERIFY_FAIL，强阻断）

# 🔴【eCoC本地验签拦截告警】
> 告警级别：P1（高危，禁止推送EUCARIS）
> 告警时间：{{alert_utc_time}} UTC
> VIN：{{vin}}
> MessageId：{{message_id}}
> Certum SignatureId：{{certum_sig_id}}
> 故障阶段：签名返回后本地验签关卡
> 失败类型：{{verify_type}}（摘要不匹配/证书链失效/OCSP吊销/DN主体不匹配）
> 错误详情：
```{{verify_detail}}```
> 关联工单ID：{{ticket_id}}
> 影响：报文签名法律无效，一旦推送会被EUCARIS直接拒收，存在合规风险
> 处理人：后端开发 + 安全
> 建议动作：禁止重推；核对返回的签名报文、QES证书DN、TL列表状态
> 链接：【VIN详情页】{{vin_detail_url}}

模板 D：EUCARIS 回执拒绝（EUCARIS_REJECTED）

# 🚨【eCoC EUCARIS回执拒收告警】
> 告警级别：P2
> 告警时间：{{alert_utc_time}} UTC
> VIN：{{vin}}
> MessageId：{{message_id}}
> TransactionId：{{tran_id}}
> EUCARIS ReferenceId：{{eucaris_ref_id}}
> EUCARIS错误码：{{eucaris_err_code}}
> 错误描述：{{eucaris_err_msg}}
> 错误字段：{{error_field}}
> 关联工单ID：{{ticket_id}}
> 常见根因：VIN重复、制造商WVTA ID不匹配、授权代表信息缺失、QES无效
> 处理人： homologation工程师
> 链接：【VIN详情页】{{vin_detail_url}}

模板 E：证书到期巡检预警（周期性巡检，P3）

# ⚠️【eCoC证书到期预警】
> 告警级别：P3
> 告警时间：{{alert_utc_time}} UTC
> 证书类型： ▢ Certum Remote QES签名证书 ▢ EUCARIS双向TLS客户端证书
> 证书DN：{{cert_dn}}
> 序列号：{{cert_serial}}
> 到期时间：{{expire_utc_time}}
> 剩余天数：{{remain_days}}
> 建议动作：提前走续期流程，避免量产中断
> 对接渠道：SSLDUN

1.2 邮件告警模板（正式留痕，抄送 homologation 负责人）

主题模板：【eCoC 告警 -{{level}}-{{error_type}}】VIN:{{vin}}

尊敬的各位同事：
系统监测到eCoC（IVI2.0）流程异常，详情如下：

告警级别：{{level}}
告警发生时间(UTC)：{{alert_utc_time}}
VIN：{{vin}}
MessageId：{{message_id}}
TransactionId：{{tran_id}}
WVTA批准号：{{wvtano}}

故障类型：{{error_type}}
错误摘要：{{error_short_msg}}
详细日志：
{{error_detail}}

业务影响说明：
{{impact_desc}}

推荐处理步骤：
{{suggest_action}}

工单编号：{{ticket_id}}
工单地址：{{ticket_url}}
VIN业务详情：{{vin_detail_url}}

--------------------------
eCoC IVI自动化服务
本邮件为系统自动发送，请勿直接回复

1.3 ITSM 工单摘要模板（自动写入工单系统）

服务类别：欧盟eCoC-IVI自动化
故障级别：{{level}}
标题：{{error_type}} | VIN {{vin}}
描述：{{error_short_msg}}
详细信息：{{error_detail}}
关联ID：MessageId={{message_id}}, TranId={{tran_id}}
业务影响：{{impact_desc}}
所需资源：{{need_resource}}

使用场景：发给欧洲进口商、清关代理、经销商；用于邮件、官网文档、客户培训；语言以英文为主，附带中文注释；兼顾过渡期（2026.07.05–2026.11.29）说明

FAQ（中英对照版）

Q1：What is eCoC / IVI? What is the difference between eCoC and traditional CoC?

A（EN） eCoC stands for Electronic Certificate of Conformity, also known as IVI (Initial Vehicle Information), defined under EU WVTA regulation (EU) 2018/858 and implementing rules (EU) 2021/133, (EU) 2024/1061.

• IVI / eCoC: machine-readable XML data packet with eIDAS QES qualified electronic signature, pushed automatically by manufacturer to EUCARIS central database for member state authority lookup. It is NOT a PDF document you can download.
• Paper CoC: human-readable certificate issued to importer/buyer, used for registration; you can apply for copies within 10 years after vehicle production. During transition period 05.07.2026 – 29.11.2026, both are valid in parallel.

中文释义 eCoC 即电子符合性证书，又称 IVI 初始车辆信息，属于 WVTA 法规体系；eCoC 是带 eIDAS QES 合格电子签名、推送给 EUCARIS 的结构化 XML 报文，不是可供下载的 PDF；纸质 CoC 是给到进口商、车主的可读证书，车辆出厂 10 年内可申请副本；过渡期二者并行有效。

Q2：When will eCoC be mandatory? Which vehicles apply?

A（EN） Mandatory IVI generation & submission starts from 05.07.2026. After 29.11.2026, member states will rely primarily on eCoC electronic data check. Applicable: M1/M2/M3, N1/N2/N3, O1-O4 mass-produced WVTA vehicles. Excluded: small-series WVTA, national small-series, special exempt vehicles, used cars and vehicles manufactured before 05.07.2026 (they remain paper-CoC only).

中文释义 2026-07-05 起车企必须生成并上送 eCoC；2026-11-29 之后成员国以电子 eCoC 核验为主；适用于大批量 WVTA M/N/O 类车辆；小批量、国家小批量、豁免特种车、二手车、2026-07-05 前出厂车辆不适用 eCoC，沿用纸质 CoC。

Q3：Can I download or buy eCoC from manufacturer or agent?

A（EN） No. eCoC/IVI is an automated data submission from manufacturer to EUCARIS. Importers or customers cannot separately download, purchase or apply for an eCoC file. If you need a conformity document for your records, you apply for a paper CoC copy.

中文释义 不能。eCoC 是车企后台自动推送至 EUCARIS 的电子数据，进口商 / 客户无法单独下载、购买 eCoC 文件；如需留存证书文件，申请纸质 CoC 副本。

Q4：Do I still receive a paper CoC during transition? Will paper CoC disappear after 29.11.2026?

A（EN） Yes, you still receive paper CoC in transition. Even after 29.11.2026, EU law preserves your right to request a paper CoC copy within 10 years of production. Paper CoC will only become secondary, not abolished.

中文释义 过渡期照常提供纸质 CoC；2026-11-29 之后法规仍然保障客户在车辆出厂 10 年内申请纸质 CoC 副本的权利，纸质 CoC 不会被取消，只是从主核验材料降为备用。

Q5：How do authorities check my vehicle with eCoC?

A（EN） The authority enters the VIN in the EUCARIS system. If valid signed IVI record exists, the conformity check passes automatically. Paper CoC can still be used as fallback evidence when the electronic channel has temporary issues.

中文释义 车管所通过 VIN 在 EUCARIS 系统查询已上送、带合法 QES 签名的 IVI 记录，自动完成符合性核验；电子链路故障时，纸质 CoC 仍可作为备用证明。

Q6：What is QES signature? Why is it required for eCoC?

A（EN） QES = Qualified Electronic Signature under eIDAS 910/2014. It has equal legal standing as handwritten signature in EU. EUCARIS rejects IVI without valid QES from an EU QTSP (Certum is one QTSP listed on EU Trusted List). Normal SSL or code-signing certificates are NOT acceptable.

中文释义 QES 是 eIDAS 法规下合格电子签名，在欧盟具备和手写签名同等法律效力；EUCARIS 只接受欧盟 TL 列表内 QTSP 签发的 QES；普通 SSL、代码签名证书不能用于 eCoC 签名。

Q7：If registration fails, is it because the eCoC is missing?

A（EN） Possible root causes:

1. Vehicle belongs to exempt scope (small-series etc.)
2. IVI rejected by EUCARIS (signature invalid, data mismatch, duplicate VIN)
3. The record has not yet been synchronised to your member state registry (sync delay) Please contact your homologation support and provide VIN for investigation.

中文释义 上牌核验失败可能原因：车辆属于豁免范围、IVI 报文被 EUCARIS 拒收（签名无效、参数不一致、VIN 重复）、EUCARIS 向成员国本地库同步存在延迟；请提供 VIN 给到 homologation 团队排查。

Q8：What information is stored inside eCoC IVI?

A（EN） Same dataset as paper CoC: VIN, type approval number, mass, dimension, CO₂ WLTP, tyre specification, seating, powertrain data etc. The data must be identical between IVI and paper CoC.

中文释义 IVI 内字段和纸质 CoC 一一对应：VIN、WVTA 号、质量、尺寸、WLTP CO₂、轮胎、座位、动力参数等，系统强制保证两份数据源一致。

Q9：What do I need to change in my import & registration process?

A（EN） In transition period: your process stays unchanged, you still receive CoC documents. Long term: most member states will prioritise VIN online lookup; keep your VIN available for authority query. No extra document you need to submit.

中文释义 过渡期：进口、上牌流程不变，照常接收 CoC；长期来看，多数成员国优先 VIN 线上核验，客户无需额外提交新文件。

Q10：Can one VIN be pushed multiple times to EUCARIS?

A（EN） No. One VIN only gets one IVI submission at vehicle end-of-line. Re-submission for same VIN will be rejected as duplicate. If data correction is required, follow EUCARIS official correction procedure.

中文释义 一台 VIN 仅在整车下线时一次性推送一次 IVI；重复提交会判定 VIN 重复而拒收；如需修正参数，走 EUCARIS 官方更正流程。

FAQ 使用建议

• 对外优先发放英文版本；
• 可以单独抽取做成 PDF 附件放在给进口商的交付包内；
• 禁止在 FAQ 中承诺 “eCoC 可以单独导出发给客户”。

面向年产规模大、多品牌、多 WVTA 制造商主体的车企；核心目标：避免单点故障、配额隔离、主体隔离、限流防击穿、审计可追溯；适配 Certum Remote QES API + SSLDUN 服务支撑。

3.1 业务背景与风险点

1. 风险 1：单 Signer 账号绑定单一法人主体；不能跨制造商主体混用 Signer（证书 DN 和 IVI 制造商名称必须匹配，混用直接被 EUCARIS 拒收）
2. 风险 2：高峰期下线并发（比如产线集中下线）压垮 Certum API，触发限流、5xx、签名超时
3. 风险 3：Token 单点失效、账号冻结、配额耗尽，导致整条产线 eCoC 流程中断
4. 风险 4：不同品牌 / 不同工厂日志、审计、配额无法隔离，出问题难以定位

术语说明：Signer = Certum 后台配置的签名主体，一个法人实体对应一个独立 SignerId，绑定一张 QES 证书。

3.2 架构设计：多 Signer 分组 + 流量路由

【IVI业务服务集群】
        ↓ 按ManufacturerName / WVTA主体路由
【签名网关（自研，独立中间层）】
    ├─ Group A：SignerId MFR-A（品牌A，工厂1）
    ├─ Group B：SignerId MFR-B（品牌B，工厂2）
    └─ Group C：SignerId MFR-C（品牌C，海外子公司）
        ↓
Certum Remote QES API（生产/沙箱分开）

路由规则（强制）

• 路由键：IVI 报文内 ManufacturerName（和 QES 证书 DN 强绑定）
• 一个 ManufacturerName 固定映射唯一 SignerId，禁止自动负载均衡跨 Signer 分发

重要：Signer 隔离≠负载均衡；同一个主体内部，可以做多 Token / 多应用凭证做高可用

3.3 单主体内部高可用（同一制造商，多凭证池）

同一法人制造商，在 Certum 侧申请多套 OAuth 应用凭证（ClientID+Secret），绑定同一个 SignerId：

1. 签名网关维护凭证池，每个凭证独立获取 AccessToken
2. 轮询策略：空闲优先，自动剔除 token 失效、被限流的凭证
3. 配额拆分：和 Certum 签约时，把该主体总 TPS 配额分配给多个凭证，分散限流风险
4. 熔断：单凭证连续 N 次失败，自动移出凭证池，进入冷却窗口（比如 5min）

签约沟通时通过 SSLDUN 向 Certum 申请：同一 Signer 允许多个 OAuth 应用接入。

3.4 限流、熔断、降级策略（网关层实现）

3.4.1 分层限流

• 全局总限流：不超过和 Certum 签约的 TPS 上限
• 按 Signer 分组限流：每个法人主体配额独立，防止一个品牌流量打爆全部配额
• 单凭证限流：Certum 侧每个 Client 有独立配额上限

3.4.2 熔断规则

• 连续 N 次返回 429（Too Many Requests）、5xx：触发该凭证熔断，冷却窗口
• 401/403：直接标记凭证失效，触发告警，不重试
• 签名业务错误（如主体不匹配 SIGNER_NOT_AUTHORIZED）：不熔断，直接返回业务失败，进入工单，不重复重试

3.4.3 降级策略（eCoC 场景降级方案，谨慎开启）

eCoC 属于合规强流程，不允许 “跳过签名”；降级仅做排队缓冲：

• 流量超过配额上限 → 进入网关本地消息队列（Redis 延迟队列），按配额限速排队，产线侧状态标记 PENDING_SIGN_QUEUED
• 队列设置最大长度；队列溢出触发 P1 告警，通知 homologation、产线、SSLDUN 支撑

❌ 禁止方案：自动切换其他 Signer 代签（主体不匹配，EUCARIS 拒收）

3.5 多租户隔离方案（集团多子公司、多法人）

1. 每个法人制造商单独申请 Certum Signer，独立 QES 证书、独立配额、独立 OAuth 凭证组
2. 网关层按 ManufacturerName 做租户隔离：日志、监控、告警、账单、配额统计分开
3. 审计日志打上租户标签（ManufacturerWVTAIdentifier、SignerId）
4. 权限隔离：不同工厂运维人员只能查看本租户签名日志，不能访问其他 Signer 配置

3.6 监控指标清单（对接 Prometheus/Grafana）

• 按 Signer 分组：签名请求量、成功量、失败量、429 次数、平均耗时
• 凭证池指标：token 有效状态、剩余配额（Certum 可返回配额头时采集）
• 时延指标：Certum API 调用 RT、本地验签 RT
• 业务指标：等待排队队列长度、待签名 VIN 数量
• 证书指标：每个 Signer 绑定 QES 证书剩余有效期

3.7 灾备 & 故障切换流程

场景 1：单个 OAuth 凭证 token 失效

• 网关自动切同 Signer 下其他可用凭证；同时推送证书 / 凭证告警，运维刷新 token

场景 2：整个 Signer 对应的 Certum 服务大面积不可用

• 队列缓冲，持续重试；触发 P1 告警，联系 SSLDUN 对接 Certum QTSP 支持
• 产线侧不阻断 MES 下线，VIN 先落库排队，待签名恢复后自动补签推送

⚠️ 不支持备用 Signer 切换，主体无法替换

场景 3：QES 证书即将到期

• 提前 45 天启动续期流程；Certum 签发新证书后，在网关灰度切换，新旧证书并行一段时间（兼容存量报文验签），旧证书到期前下线

3.8 审计与账单配套

1. 每一笔签名记录：VIN、MessageId、SignerId、OAuth ClientId、Certum signatureId、签名时间、签名证书序列号，持久存储≥10 年
2. 账单按 Signer / 租户维度统计，便于集团内部分账
3. 审计导出：支持按时间范围、ManufacturerName 导出签名日志，提供给欧盟主管机构核查

3.9 安全管控要点

1. OAuth Client Secret、token 禁止出签名网关；网关对外只暴露内部服务接口，不对外网开放
2. 签名网关与 Certum API 之间走公网 HTTPS；生产环境仅白名单出口 IP（向 Certum 报备出口 IP）
3. 禁止开发环境复用生产 Signer；沙箱 Signer 和生产 Signer 严格隔离
4. 密钥逻辑：Remote QES 密钥保存在 Certum HSM，我方系统不持有签名私钥，符合 eIDAS 要求