DPP 标准套件，用通俗的话讲清楚

Digital Product Passport 并非由单一技术标准定义，而是由一整套标准定义。这套标准由 CEN/CENELEC 的联合技术委员会制定，各自涵盖护照在交换、查找、存储与取信等方面的不同部分。弄清哪项标准管什么——以及同样重要的，哪些标准实际已生效——正是「按真实要求构建」与「按其营销摘要构建」之间的区别所在。

各项标准及其规范内容

四项标准构成互操作性核心：

数据交换协议（EN 18216） 确定传输层。每一份护照都必须流转——从制造商的系统到服务提供商、到回收商、到监管机构——本标准规定了流转方式：基于 HTTPS 与 TLS 的 RESTful API、结构化的消息格式，以及经过身份验证、保密且防篡改的交换。它是让两个素未谋面的系统得以相互通信的最小公分母。

生命周期 API（EN 18222） 精确规定了合规系统必须提供哪些 API 调用——创建、读取、更新与检索护照，包括元素级操作、批量获取、版本查询以及登记处提交。交换协议标准说「使用 REST」，而本标准则精确说明使用哪些方法，从而使翻新商能够读取护照、追加一条记录并写回，而无需为每个合作伙伴单独定制集成。

系统互操作性（EN 18223） 处理语义——共享的含义与技术格式，使回收商或交易市场能够跨行业理解您的数据，而无需自定义映射。

存储、归档与持久性（EN 18221） 规定了在漫长的产品生命周期内保持护照数据可用且可信的要求，包括备份与迁移。对于可能服役十年甚至更久的产品而言，持久性要求绝非事后才考虑之事。

该套件中的其他标准涉及访问权限管理、信息系统安全以及数据认证与完整性——这些部分规范了谁可以查看哪些字段，以及读取方如何确信数据未被篡改。

真实状态

正是在这里，精确至关重要。EN 18222:2026 与 EN 18223:2026 已经发布，此前已由欧盟委员会依据标准化请求 M/604 正式提出。但发布并不等同于法律效力。在这些标准被引用于 Official Journal of the European Union 之前，它们尚不能赋予对 ESPR 的合规推定——而该引用尚未发生。该套件中涵盖访问权限与安全的其他标准，截至 2026 年年中仍处于审批之中。

因此，准确的定位是：技术基线已经存在，且足够稳定可供据以构建，但其正式的法律地位仍在成熟之中。任何告诉您这些标准「已完成且具有约束力」的人都言过其实；任何告诉您在其被 OJ 引用之前应予忽略的人，则是要求您在此期间于不稳之地上构建。

这在实践中意味着什么

对于任何构建或选择护照系统的人，实务解读是：现在就按这些标准构建——REST-over-TLS 交换、规定的生命周期 API 方法、带版本的记录、带审计轨迹的持久化存储——同时使实现保持足够的灵活性，以便在 Official Journal 跟进时与最终被引用的版本对齐。今日在实质上合规，待引用落地之日即可主张合规推定。一个因套件尚未被 OJ 引用而予以忽略的系统，是在将会移动的地基上构建；而一个将已发布文本视为具有约束力的系统，则是对其尚不具备的地位作出了过度承诺。