软件物料清单
SBOM
Software Bill of Materials
逐层列出产品所含软件组件、版本号、许可证与依赖关系（含开源与第三方组件）的清单，作用相当于软件版的 BOM。与硬件 BOM 的关键差异在于软件可远程更新、版本迭代快，因此 SBOM 必须能回答「某个 CVE 漏洞影响哪些车型、哪些软件版本、哪些 ECU」。驱动来源：UN R155 网络安全法规与 ISO/SAE 21434 要求供应链具备漏洞管理与可追溯能力；欧盟《网络弹性法案》（CRA）与美国相关立法推动 SBOM 强制化。落地要点：SBOM 随每次发版更新并与 OTA 备案的软件版本一致、纳入供应商准入与变更管理、支撑漏洞响应时限（行业内常见 24 小时初判、按风险分级修复）。与 PPAP 的关系：软件件同样需要提交版本与配置信息，SBOM 正成为软件类零件的必备提交物。