第 3 步
面向数字产品护照的供应链数据
大多数 DPP 项目停滞并非因为技术，而是因为供应链数据不完整或不一致。有纪律的方法是能否按时合规的最大单一预测指标。
原则：联邦化，而非集中化
DPP 是一份联邦化的记录。供应链的每个层级持有自己拥有的数据；你的 DPP 通过签名指针解析到这些数据。不要要求供应商交出你并不需要的原始数据，而应要求他们为你需要发布的字段提供可验证的证明。
数据采集模式
- 梳理数据所有权。 对每个必填字段，确定持有权威来源的层级：原材料生产商、组件供应商、代工制造商、分销商。
- 统一格式。 采用参考数据模型（CIRPASS 加行业扩展）。避免使用无法进行机器校验的定制电子表格。
- 以合同约定访问权。 在供应商协议中加入 DPP 数据条款。涵盖保密性、更新频率，以及数据缺失时的升级处理。
- 自动化数据交换。 优先采用 API 或可验证凭证（VC）交换，而非人工填表。一次性的 CSV 导入会造成版本漂移。
- 在录入时校验。 在边界处拒绝不完整或不一致的提交。不要让脏数据进入你的 DPP 数据管道。
模板条款
数据条款（供应商协议）。 供应商应就每一交付的单品或批次，按附件 Y 规定的格式，在其中规定的时限内，提供附件 X 所列的数据点。数据应附有以 W3C 可验证凭证（VC）形式或等效防篡改签名形式出具的签名证明。
保密性除外条款。 合理认定为保密商业信息的数据（例如精确配方、供应商上游的供应商身份），不得出现在采购方数字产品护照的公开层，且仅可在受限层访问规则下共享。
这些只是起始条款，而非法律意见。请在律师指导下加以调整。
常见的失败模式
- 索取你并不需要的数据，随后又为其保密性而苦恼。
- 将供应商数据集中到单一数据库，而不是解析到已签名的来源。
- 依赖每年一次的 CSV 更新，而 DPP 应反映生命周期内的更新（召回、部件更换）。
- 忽视三级及更上游供应商，而再生成分和碳数据实际上正源自那里。