简介：本资源是德国汽车工业协会（VDA）于2021年1月发布的《Agile Collaboration》英文版官方指南，属非约束性行业推荐文件，专为ZF Friedrichshafen AG内部敏捷转型实践而定制，面向汽车制造业研发、项目管理及质量体系人员，解决传统流程在快速迭代、跨部门协同与合规交付中的响应滞后问题。资源为单文件PDF格式，共1个1.73MB的英文原版文档，内容涵盖敏捷价值观与原则、协作成熟度分级、透明沟通与高频交付等核心前提，以及角色定义、汽车标准（如ISO 26262）融合、技术债务管理等10大实践模块，目录结构清晰，含引言、环境适配、先决条件、通用术语等完整逻辑链。目前已有122人学习下载，读者可直接获取VDA-QMC权威框架下的汽车行业敏捷落地路径、合规边界说明及组织适配建议，尤其适用于正推进ASPICE或功能安全项目中敏捷化改造的工程师与流程负责人。
1. VDA Agile Collaboration 是什么：一份专为汽车供应链跨组织协作设计的“非约束性操作手册”
你有没有遇到过这样的场景：某主机厂和三家 Tier 1 供应商同时推进一个域控制器软件项目，需求在迭代中频繁微调，但每改一次接口定义，就要走三轮法务会签、两轮系统架构评审、一轮变更控制委员会（CCB）——结果 Sprint 结束时，代码还没集成进主干，而客户已经催着要 Demo？这不是流程太重，而是协作契约没对齐。VDA Agile Collaboration（2021 年 1 月首版）就是为解决这个“敏捷在墙内跑得欢、一跨墙就卡死”的行业顽疾而生的。它不是教你 Scrum 怎么开站会，也不是讲 SAFe 怎么建 LPM，而是一份聚焦“公司与公司之间”如何建立可信、可度量、可审计的敏捷协作界面的实操框架。它明确划出三个协作等级（Linked / Aligned / Combined），定义了 11 类角色（比如 Safety Owner、Proxy Product Owner）、17 种核心工件（从 Express Ticket 到 Collaboration Agreement），并给出 6 大典型用例——从单客户开发，到多供应商多 ECU 联合开发，甚至混合经典与敏捷模式。它不强制你换工具链，但告诉你哪些 Artifact 必须共管、哪些会议必须跨组织同步、哪些 DoD 必须写进 SOW 附件。如果你是主机厂采购/项目管理岗、Tier 1 的交付负责人、或是嵌入式软件团队的 Scrum Master，这份文档不是“参考读物”，而是你下一次合同谈判前该打印出来逐条勾选的 checklist。
2. 为什么不是直接套用 Scrum 或 SAFe：VDA 协作模型的三层级设计逻辑与适用边界
2.1 三层级协作模型：从“信息同步”到“联合决策”的渐进式信任构建
VDA 没有发明新方法论，而是把“跨组织协作”这个黑匣子拆解成可测量、可升级的三个成熟度层级。这并非理论空想，而是基于德国汽车供应链多年血泪经验——某 Tier 1 曾因在 Aligned 级别擅自按 Combined 级别提交代码，导致主机厂 CI 流水线崩溃 48 小时，最终触发合同罚则。三层级本质是信任粒度与责任边界的显性化表达：
- Linked（链接级）：最低门槛，仅要求双方在各自内部用敏捷，但对外只共享“状态快照”。例如：每周五 17:00 前，供应商向主机厂发送一份 PDF 格式的 Iteration Review 纪要（含 DoD 达成率、阻塞项 Top3），主机厂不参与其 Daily Scrum。适用场景：非关键模块外包、原型验证阶段。
- Aligned（对齐级）：核心层级，双方在节奏、术语、验收标准上强制对齐。必须共用同一套 Definition of Ready（DoR）模板（如：所有 Backlog Item 必须附带 ISO 26262 ASIL 分级声明 + 接口信号列表 + 单元测试覆盖率 ≥85% 报告），且每两周举行 Joint Collaboration Review（非汇报，是共同调试）。这是当前 70%+ 汽车软件项目的实际落地起点。
- Combined（融合级）：最高协同，双方人员物理/虚拟混编，共享同一套 Backlog 和 CI/CD 流水线权限。要求主机厂开放部分 Jira 权限给供应商，并接受其直接向主干提交 PR（需双签）。仅适用于战略级合作（如 AUTOSAR Adaptive 平台共建），且合同中必须明确定义“联合质量门禁”。
提示：VDA 明确警告——跳过 Aligned 直接上 Combined 是高危操作。某德系主机厂曾因在 ADAS 项目中强行启用 Combined 级别，但未同步更新供应商的网络安全审计条款，导致后续渗透测试发现供应商 CI 服务器存在未授权 SSH 访问漏洞，整批 ECU 被召回。
2.2 为什么拒绝“一刀切”框架：SAFe/LeSS 在汽车供应链中的水土不服点
很多团队第一反应是：“我们已经在用 SAFe，何必再学 VDA？” 这是个危险误区。SAFe 的核心假设是“组织内统一治理”，而汽车供应链的本质是“多法人实体间的契约治理”。VDA 文档第 1.2 节白纸黑字排除了法律、IP、成本分摊等议题，恰恰说明它清醒地认识到：敏捷框架解决不了合同问题，但协作模型必须为合同留出接口。具体差异见下表：
| 维度 | SAFe（典型实践） | VDA Agile Collaboration | 工程师必须知道的后果 |
|---|---|---|---|
| Product Owner 权责 | 由 SAFe 中的 Product Manager 兼任，对 ROI 负责 | 明确拆分为 Client-side Collaboration PO（定愿景/预算）与 Supplier-side Proxy PO（管执行/资源） | 若混淆二者，供应商可能为赶进度降低 DoD 标准，主机厂却无法依据合同追责 |
| Definition of Done | 团队自定义，常含“代码合并+基础测试” | 强制分级：Level 1（功能可用）→ Level 2（通过 HIL 测试）→ Level 3（满足 ASIL-B 安全认证证据包） | 某项目因未约定 Level 3 DoD，供应商交付后主机厂发现缺少 FMEA 报告，返工耗时 3 周 |
| 变更响应机制 | 通过 Program Backlog Replanning | 设立独立 Express Ticket（Fast Lane）通道：紧急 Bug 修复可在 4 小时内绕过常规 Backlog 评审，但需同步触发合同变更流程 | 未启用 Express Ticket 导致某 OTA 补丁延迟发布，主机厂按 SLA 扣减供应商季度款 12% |
2.3 协作级别选择决策树：用 5 个问题锁定你的起始层级
别被文档里复杂的矩阵吓住。我给团队提炼了一个现场可执行的决策树，5 个问题答完，层级自然浮现：
- 合同类型：是固定总价（FFP）还是成本加成（T&M）？→ FFP 倾向 Linked，T&M 可支撑 Aligned
- 技术耦合度：模块是否依赖对方硬件/底层驱动？→ 无依赖选 Linked，强依赖（如 CAN FD 协议栈）必须 Aligned
- 安全关键性：是否涉及 ASIL-C/D 功能？→ 是，则必须 Aligned（Combined 需额外安全审计）
- 历史合作信用：过去 12 个月双方 DoD 达成率是否 ≥95%？→ 否则禁止启动 Aligned
- 工具链互通性：能否在 2 周内完成双方 Jira/CI 系统字段映射？→ 否则降级至 Linked
注意：VDA 文档第 4.2.1 节强调，Initiation Phase 的首要动作不是开 Kickoff 会，而是签署《Collaboration Level Agreement》附件。这个附件只有一页纸，但必须手写签名（电子签无效），明确写清当前选用的层级、升级触发条件（如连续 2 个 Sprint DoD 达成率＜90% 自动降级）、以及升级审批路径（需双方 VP 级签字）。这是我见过最被低估的“后悔药”——某项目靠它避免了因需求蔓延导致的 200 万欧争议。
3. 角色、工件、事件：VDA 协作模型的三大支柱落地指南
3.1 关键角色配置：为什么你需要一个“Safety Owner”而非“Scrum Master”
VDA 定义的 11 类角色中，有 3 个是汽车供应链特有、且极易被误配的“关键先生”：
Safety Owner（安全负责人）：不是 ISO 26262 中的 Functional Safety Manager，而是专职确保每个 Backlog Item 的安全活动证据链完整可追溯。例如：当一个 Epic 涉及 AUTOSAR SWC 修改，Safety Owner 必须在 DoR 中强制要求提供：① 修改影响分析报告（Impact Analysis）；② 相关 FMEA 修订页；③ 安全目标符合性证明（SG Compliance Proof）。常见错误是让开发组长兼任，结果测试报告里找不到 ASIL 分级记录，整批件被拒收。
Proxy Product Owner（代理产品负责人）：这是打破“甲方提需求、乙方写代码”僵局的杠杆。Proxy PO 必须是供应商内部能直接调度开发/测试/系统工程师的实权人物（职级不低于部门总监），且每周至少 1 天驻场主机厂。VDA 第 3.1.2 节特别注明：Proxy PO 的签字权覆盖范围必须在合同附件中明示（如：可批准 ≤5 人日的范围变更，超限需 Collaboration PO 审批）。某项目因 Proxy PO 权限模糊，导致 3 个 Sprint 的 UI 优化需求未经正式评估就实施，最终与整车 HMI 风格冲突，全部返工。
Agile Servant Leader（敏捷服务型领导者）：注意！这不是 Scrum Master 的翻译。Servant Leader 是主机厂指派的、不参与技术决策但全程见证协作过程的“过程公证人”。其核心职责是：① 记录每次 Collaboration Retrospective 的 Action Items 并跟踪闭环；② 当双方对 DoD 是否达成产生分歧时，启动第三方仲裁（如邀请 VDA-QMC 认证专家）；③ 每月向双方 VP 提交《协作健康度报告》（含阻塞项解决时效、Express Ticket 使用率、跨组织会议出席率）。这个角色的存在，让“信任”有了可审计的载体。
3.2 核心工件实操：从 Definition of Ready 到 Express Ticket 的参数化配置
VDA 文档花了 30 页定义工件，但工程师真正需要的是“怎么填”。以下是我团队在 3 个项目中验证过的最小可行配置（MVP）：
Definition of Ready（DoR）检查清单（Aligned 级别必用）
- [ ] Backlog Item ID 与主机厂需求管理系统（如 PDM）ID 双向映射已建立 - [ ] 明确标注 ASIL 等级（A/B/C/D）及对应安全目标（SG）编号 - [ ] 接口定义文件（.arxml 或 .dbc）已上传至共享库，版本号与本 Item 绑定 - [ ] 单元测试用例（.xml）已提交至 CI 系统，覆盖率阈值已配置（ASIL-A: ≥70%, B: ≥85%, C/D: ≥95%） - [ ] 影响分析报告（Impact Analysis）已由 Safety Owner 签字确认逻辑说明：DoR 不是形式主义，而是风险前置过滤器。某项目将“单元测试覆盖率”写入 DoR 后，供应商在 Sprint Planning 时主动提出：某算法模块因硬件限制无法达到 95%，申请降级为 ASIL-B。这比在测试阶段才发现问题早了 3 周。
Express Ticket（快速通道工单）使用规范
# 创建命令（Jira CLI 示例） jira create --project "AGILE-COLLAB" \ --issuetype "ExpressTicket" \ --summary "CRITICAL: CAN FD Tx timeout in ECU-203 (ASIL-C)" \ --description "Observed in HIL test on 2023-10-05, blocks all vehicle-level validation" \ --customfield "cf[10001]"="ASIL-C" \ # 安全等级字段 --customfield "cf[10002]"="ECU-203" \ # 影响ECU --priority "Highest"参数说明：
cf[10001]：强制安全等级，触发自动路由（ASIL-C/D 工单直达 Safety Owner 邮箱）cf[10002]：ECU 编码，用于关联主机厂的故障树数据库（FTA）priority：设为 Highest 后，CI 流水线自动插入高优队列，编译时间缩短 40%
Collaboration Agreement（协作协议）核心条款
这份协议不是法律文件，而是可执行的操作契约，必须包含：
- 版本基线规则：明确约定“主机厂发布的 AUTOSAR 版本（如 R22-10）为唯一基准，供应商不得自行升级补丁”
- 缺陷分级标准：定义 P0（阻断集成）、P1（功能失效）、P2（UI 错误）的判定细则（如：P0 必须在 4 小时内响应，24 小时内提供 Root Cause）
- 知识转移机制：规定供应商每交付一个 Epic，必须同步输出 1 份《Implementation Notes》（含设计决策、已知限制、测试难点）
3.3 关键事件执行要点：Collaboration Review 与 Retrospective 的防翻车指南
VDA 定义的事件看似熟悉，但执行逻辑完全不同：
Collaboration Review（协作评审）：不是 Demo，而是联合调试会。必须准备三样东西：① 主机厂提供的 HIL 测试环境访问凭证；② 供应商的实时调试日志流（通过 WebSocket 推送）；③ 双方签字的《Issue Triage Sheet》（现场填写，当场分类为：立即修复/纳入下期 Backlog/升级为 Express Ticket）。某次 Review 中，主机厂工程师通过日志流发现供应商在 CAN 报文处理中存在隐式类型转换，当场定位到 C 代码第 217 行，避免了后续 2 周的排查。
Collaboration Retrospective（协作复盘）：禁止谈“谁的问题”，只聚焦“流程断点”。我强制团队使用 VDA 附录 4 的 Checklist（第 128 页），逐项打分：
- “Express Ticket 平均解决时效”（目标 ≤18 小时）
- “DoR 拒绝率”（目标 ≤5%，过高说明需求澄清不足）
- “跨组织会议准时率”（目标 ≥95%，迟到者需在下次会前提交改进方案）
所有 Action Items 必须指定唯一 Owner 和 Deadline，且下次 Retrospective 首先回顾上期闭环情况。
4. 避坑指南：Alinged 级别落地中最常见的 4 个血泪陷阱
4.1 现象：DoD 达成率虚高，但主机厂 HIL 测试失败率飙升
原因：供应商将 DoD 理解为“内部测试通过”，未严格执行 VDA 第 3.2.1.3 节要求的三级 DoD。例如：Level 1（功能可用）达标后即标记为 Done，但 Level 2（HIL 测试）和 Level 3（安全证据）被延后到 Release 阶段。
解决：在 CI 流水线中硬编码三级门禁。以 Jenkins 为例：
// Jenkinsfile 中的 DoD 门禁脚本 stage('DoD Gate') { steps { script { if (env.COLLAB_LEVEL == 'Aligned') { // Level 2: HIL 测试必须通过 sh 'python3 run_hil_test.py --ecu ${ECU_ID} --test-suite smoke' // Level 3: 安全证据包校验 sh 'python3 validate_safety_evidence.py --report-dir ./safety_reports' } } } }关键点：门禁失败不发邮件警告，而是直接阻断部署，且在 Jira 中自动创建 Impediment Backlog Item。
4.2 现象：Express Ticket 泛滥，常规 Backlog 积压严重
原因：未定义 Express Ticket 的准入阈值，或供应商将需求变更包装成“紧急 Bug”。VDA 第 3.2.2.7 节明确要求：Express Ticket 仅适用于“已上线功能出现致命故障”，不包括“新需求”或“体验优化”。
解决：在 Jira 中配置自动化分流规则：
- 当
Summary包含 “new feature”、“enhancement”、“UX improvement” 等关键词 → 自动转为常规 Backlog Item，并添加标签#NonExpress - 当
Priority设为 Highest 但cf[10001]（安全等级）为空 → 自动拒绝创建，返回提示：“请先填写 ASIL 等级” - 每周生成 Express Ticket 使用报告，若单周超 5 张，自动触发 Collaboration Retrospective 专项复盘。
4.3 现象：Proxy PO 驻场流于形式，关键决策仍需邮件往返
原因：主机厂未为其开放必要系统权限，或供应商未授予其真实决策权。VDA 第 3.1.2 节强调 Proxy PO 必须能“即时响应范围变更请求”。
解决：签署《Proxy PO 权限矩阵表》作为合同附件，明确列出：
| 系统 | 可操作权限 | 不可操作权限 | 审计方式 |
|---|---|---|---|
| Jira | 创建/修改 Backlog Item，设置优先级 | 删除 Issue，修改历史记录 | 每月导出操作日志比对 |
| CI/CD | 触发指定流水线（如 HIL_Test） | 修改构建脚本，删除环境 | 权限变更需双签审批 |
| PDM | 查看需求文档，下载附件 | 修改需求状态，提交变更请求 | 每次操作留痕至区块链存证 |
4.4 现象：Collaboration Retrospective 成为吐槽大会，Action Items 无人跟进
原因：未将 Retrospective 输出与绩效考核挂钩，或缺乏可视化追踪机制。VDA 附录 4 的 Checklist（第 128 页）被当作摆设。
解决：
- 在共享看板（如 Azure DevOps）创建专用面板，标题为 “Retrospective Actions”，列名：
Item | Owner | Due Date | Status | Last Updated - 每次 Retrospective 结束后 1 小时内，由 Agile Servant Leader 将 Action Items 录入，Status 默认为
Not Started - 每周五自动生成邮件：
【VDA Collab】Action Items 周报：${Owner} 有 ${N} 项逾期，请于 24 小时内更新状态 - 连续 2 次逾期，自动升级至双方 VP 邮箱，并抄送 VDA-QMC（按文档第 5 页免责声明，VDA 有权介入）
5. 从 Aligned 到 Combined：升级前必须完成的 3 项硬性验证与 1 个文化开关
5.1 硬性验证一：CI/CD 流水线的“零信任”穿透测试
Combined 级别意味着供应商代码可直推主机厂主干，安全红线不容试探。升级前必须通过三项穿透测试：
- 权限最小化验证：使用
curl -I模拟未授权访问，确认供应商账号无法获取：① 主机厂密钥管理服务（KMS）API；② 整车 OTA 签名证书；③ 未脱敏的用户隐私数据表。 - 构建隔离验证：在主机厂 CI 环境中，用供应商账号触发构建，确认其只能访问预分配的 Docker 镜像仓库（如
registry.host.com/supplier-a），且镜像拉取日志实时同步至主机厂 SOC 平台。 - 回滚能力验证：随机选择一个供应商提交的 PR，手动触发回滚，确认：① 主干代码恢复至前一版本；② 对应的 HIL 测试报告自动归档；③ 通知消息推送至双方 Slack 频道
#collab-alerts。
我们曾用一个 Shell 脚本自动化这三项测试，每次执行耗时 12 分钟，但避免了某次因权限配置错误导致的证书泄露事故。
5.2 硬性验证二：安全工件的自动化合规检查
VDA 第 3.2.1.3 节要求 Combined 级别的 DoD 必须包含“完整的安全证据包”。人工审核不可持续，必须接入自动化检查：
# safety_evidence_validator.py import json from pathlib import Path def validate_evidence(evidence_dir: Path): # 检查 FMEA 报告是否存在且含 ASIL-C 标签 fmea = evidence_dir / "fmea_report.pdf" assert fmea.exists(), "FMEA report missing" assert "ASIL-C" in pdf_text(fmea), "FMEA lacks ASIL-C declaration" # 检查测试覆盖率报告是否达标 coverage = json.loads((evidence_dir / "coverage.json").read_text()) assert coverage["ASIL_C"]["line_coverage"] >= 95.0, "Coverage below 95%" # 检查安全目标符合性证明（SGCP）签名有效性 sgcp = evidence_dir / "sgcp_signed.pdf" assert verify_pdf_signature(sgcp), "SGCP signature invalid" if __name__ == "__main__": validate_evidence(Path("./safety_evidence"))此脚本嵌入 CI 流水线，在每次 PR 提交时自动运行，失败则阻断合并。某项目因此提前发现供应商伪造的 FMEA 报告，避免了后续认证失败。
5.3 硬性验证三：知识资产的双向可追溯性
Combined 级别要求双方共享知识资产，但必须确保“谁改了什么、何时改、为何改”全程可追溯。我们强制要求：
- 所有共享文档（Confluence）启用“变更对比视图”，且每次编辑必须填写
Change Reason字段（下拉菜单：Bug Fix / Feature Add / Compliance Update / Other） - 所有代码提交（Git）必须关联 Jira Issue ID，且提交信息格式强制为：
[AGILE-123] fix: resolve CAN timeout in Tx handler - 所有 HIL 测试用例（TestStand）必须绑定需求 ID（来自 PDM 系统），并在测试报告中自动生成追溯矩阵
这套机制让我们在某次主机厂审计中，10 分钟内导出了一份完整的“需求-代码-测试-安全证据”四维追溯报告，远超 ISO 26262 的要求。
5.4 文化开关：建立“失败共享”机制而非“责任切割”
技术验证只是基础，真正的升级门槛是文化。VDA 文档第 1.3 节强调“fail-fast”，但在跨组织场景中，“fail”往往意味着合同罚则。我们推行了一项简单但有效的机制：每月举办一次《Shared Failure Workshop》。规则只有三条：
- 主机厂和供应商各派 3 名一线工程师（非管理者），匿名提交 1 个近期失败案例（如：“HIL 测试因时钟抖动失败，根因是供应商晶振选型偏差”）
- 所有案例打印张贴在会议室，参与者用便利贴写下：① 如果我是对方，会怎么做？② 我们共同能改进什么？
- Workshop 结果形成《Joint Improvement Backlog》，由双方 Proxy PO 共同负责闭环
第一次 Workshop 上，主机厂工程师贴出：“我们未及时同步 ECU 电源管理芯片的 errata”，供应商工程师立刻回应：“那我们下次设计评审就邀请你们的电源专家”。这种基于事实的共情，比任何合同条款都更能筑牢信任。从那以后我每次启动新协作项目，都强制在 Initiation Phase 安排这场 Workshop，哪怕只做一次。希望帮到你。
本文还有配套的精品资源，点击获取
