欧洲强制推行 Plug&Charge。但没人说得清它到底在哪能用。

2026 年 1 月 8 日，Plug&Charge 不再只是一项功能，而成为一项法律要求。如今，欧盟所有新安装的公共充电点都必须实施 ISO 15118-2。自 2027 年 1 月 1 日起，ISO 15118-20 也将加入要求，私人充电桩同样涵盖在内。

德国联邦充电点登记册列有 31 865 个公共充电站点，其中 1 018 个申报支持 Plug&Charge，占比 3.2%。

先别急着得出“欧洲无视自家法律”的结论：事情不完全是这样。实际情况更糟。没人能告诉你 Plug&Charge 到底在哪里真正可用——监管机构不能，运营商不能，我们也不能。至于原因，正是这个故事的全部。

它的卖点来自 Tesla，而且确实不错

插上充电枪，转身离开。汽车和充电桩自行确认你是谁、谁来付款，没有人需要打开 App、刷卡或拍摄二维码。

Tesla 从 2012 年起就在这么做：在自己端到端拥有的网络中，采用专有握手协议。两方，一个公司，无需协商。其他所有人都得在数百家运营商和数十家车企之间复刻这种体验，而这些参与者并没有什么特别理由彼此信任。

ISO 15118 的存在正是为了解决这个问题。而麻烦也正是从这里开始。

法规要求实施，但不要求实际使用。

经 Commission Delegated Regulation (EU) 2025/656 修订后，AFIR 要求新建或升级的公共充电桩自 2026 年起实施 ISO 15118-1/2/3/4/5，自 2027 年起实施 ISO 15118-20。

注意这个动词：实施。一台充电桩可以完全合规，却从未完成过一次 Plug&Charge 会话。AFIR 的支付义务规定在第 5 条，配备读卡器和二维码即可满足——委员会自身的指引确认，Plug&Charge 与临时支付无关。

所以，法律保证管道装好了，却不保证里面有水。

CharIN——拥有 CCS 连接器标准、且并非一个喜欢危言耸听的组织——于 2026 年 4 月 28 日发布了一份立场文件，读起来像是一枚礼貌发射的求救信号弹。

其结论是：法规强制要求该标准，却从未定义如何证明合规。完全合规的硬件尚未实现规模化供应。全球获准进行完整 ISO 15118-20 一致性测试的实验室不足十家，排期需要 6 到 9 个月。正式的 AC 一致性测试用例预计要到 2027 年末才会出现——比强制要求生效晚了一年。

CharIN 向委员会提出的建议是：在市场可用的解决方案出现之前，推迟 2027 年截止日期。这是行业自己的标准组织，要求推迟一项本为帮助行业而制定的规则。

七方参与者，一根电缆

Autocharge 只需要两方和一个标识符。Plug&Charge 则需要车企、移动出行服务提供商、证书配置服务、根证书颁发机构、证书池、充电点运营商及其管理平台——而且所有参与者都必须在驾驶员插枪的那一刻，持有有效、最新且彼此信任的凭证。

一切正常时，它无形无感。任意一环过期，驾驶员面对的就是一台无法启动的充电桩，以及没有任何解释。

谁有资格成为信任根？

这是商业上最有意思的问题，也是 Hubject 借此建立业务的问题。

Hubject 是 BMW、Bosch、Mercedes-Benz、EnBW、innogy、Siemens 和 Volkswagen 的合资企业。它运营 V2G 根 CA以及连接各方所需的平台。ChargePoint 工程高级副总裁 Eric Sidle 曾称 ISO 15118 “明显偏向于少数几个签发并控制这些证书的组织”，认为中间商最终会掌控定价。该标准的共同作者 Marc Mültin 也承认，利益相关方认为 Hubject“并不够独立”。

欧洲已不再像过去那样单极化。法国漫游运营商 Gireve——由 Thales 提供加密技术支持——如今提供根 CA 和证书池服务。CharIN 运营自己的 V2G 根证书，由 Irdeto 为其运行。Penta Security 与 Hubject 交叉认证。这更健康，但也意味着一台充电桩如今必须信任多个根证书，而驾驶员的证书必须能通过车企恰好选定的那个证书池被访问到。

北美则从另一端切入。SAE ITC 的 EVPKI 联盟已推出正式运行的Certificate Trust List，其中包含六张根证书，公开目标是建立“一个当下实际上并不存在的、具有竞争性的 PKI 供应市场”。

再读一遍这句话。这是一个标准联盟对着麦克风说出了大家心照不宣的事。

而韩国则选择了完全不同的第三种答案：Hyundai Motor Group 正在向政府免费移交其 Plug&Charge 技术及认证机构，同时联合 12 家本土运营商组建开放联盟。国家成为信任根。

三大洲，对“你信任谁”给出了三种答案：车企所有的合资企业、拥有共享信任列表的竞争性市场，以及一个部委。其中只有一种是商业模式。

德国登记册知道什么，又不知道什么

德国是唯一一个大型欧洲市场，其官方充电点登记册会明确询问运营商：站点是否支持 Plug&Charge。我们调取了这些答案。

Aral pulse 在其 87 个德国 DC 站点中申报了 53 个。Allego 在 68 个中申报了 11 个。Ionity——多年来已在全网运行 ISO 15118-2 Plug&Charge——在 61 个站点中只申报了一个。Tesla 在 268 个站点中一个也没申报。

这张图衡量的不是 Plug&Charge，而是谁填了表。

这就是结论。在这项覆盖整个欧洲大陆的强制要求生效的第一年，在欧洲充电点最多、登记册最为严谨的市场，没有任何可靠的公开记录说明 Plug&Charge 到底在哪里可用。我们掌握的其他国家登记册——法国、北欧、意大利、荷兰——甚至根本不问这个问题。

驾驶员只能插上枪，然后等着看。

与此同时，粗糙的版本照常运转

Autocharge 用完全不同的简陋方式完成同一件事。充电桩读取车辆在 DC 握手期间广播的标识符——通常是其 MAC 地址——将其与账户匹配，然后启动充电。一次注册，不需要证书、不需要信任根、不需要证书池，也不需要清算机构。

从纸面上看，它也并不安全。MAC 地址是标识符，不是秘密。任何能读取它的人，原则上都能冒用它；运营商唯一可用的防线，就是将被滥用的地址列入黑名单。ISO 15118 共同作者 Marc Mültin 发表过一篇文章，标题毫不含蓄：“Autocharge：它是什么，以及为什么它是个坏主意”。

就安全性而言，他是对的。但他描述的，也是这样一件事：当安全版本还在等待它的证书时，它已悄然运行在欧洲各地。

EnBW、Mer、Electra、Fastned、Powerdot 和 GRIDSERVE 等运营商均已上线 Autocharge。Powerdot 先是与 Miio 合作，随后又与 Chargemap 合作，在法国、比利时、西班牙和波兰推出该功能。它适用于那些永远不会获得合约证书的汽车，也适用于那些永远不会接入 PKI 的站点。

六家只是样本，不是全量统计。没有人公开发布 Autocharge 部署登记册——而这恰恰再次说明了问题所在。作为参照，我们的数据库收录了欧洲约 135 000 个公共 DC 站点。真实的 Autocharge 数量高于我们的样本。至于高出多少，没有人说得清。

Autocharge 也并非千篇一律，而这很重要

问题在于，运营商会坦率地告诉你：在一个网络中启用 Autocharge，并不意味着该网络中的每台充电桩都启用了它。

它只适用于 DC。该标识符依附于 DC 充电所必需的数字握手过程，而普通 AC 充电并不存在这样的对话——这正是 ISO 15118 旨在填补的缺口。充电桩还需要 OCPP 1.5 或更高版本，以及支持该功能的固件；因此，即使一个网络整体支持 Autocharge，其中较老的设备也根本无法使用。以 GRIDSERVE 为例，它是在新硬件上引入这一功能，而不是一夜之间覆盖整个网络。

然后是汽车本身。Volkswagen Group 的 MEB 平台会轮换其 MAC 地址，这使得 Autocharge 在 ID.3、ID.4、ID.5、Skoda Enyaq、Audi Q4 e-tron 和 Cupra Born 上从机制上就不可能实现。CHAdeMO 车辆则在设计上被排除在外。另有一些较早车型从未支持过这一功能。

于是，驾驶者的体验是：它能用，直到它不能用；而你无法提前判断，究竟是哪一台充电桩或哪一辆车会成为例外。这与我们刚刚对 Plug&Charge 提出的抱怨，如出一辙。

这才是诚实的判断。Autocharge 不是更好的系统。它是一个更差、但已经落地的系统，而落地这件事，事实证明价值极高。

监管中无人写入的第三条路

当标准组织还在争论时，一个更安静的答案正在浮现：通过汽车自身的数据连接识别车辆，完全跳过线缆间的对话。

Ford 已经这样做了：它建立了自有的、基于车联网的证书交付机制，而非采用标准的配置流程。2026 年春季，Vattenfall InCharge 和 WirelessCar 在瑞典、荷兰和德国开展了一项覆盖超过 700 名驾驶者的试点：无需卡片、无需 app、无需证书、无需 MAC 地址——汽车只需告诉云端自己插在哪个充电桩上，即可启动充电。

车联网显然有一个缺陷：它需要车企配合，也将客户关系交到了车企手中。而这或许正是车企喜欢它的原因。

认真看待安全论据

支撑这整套复杂机制的理由是成立的。证书可提供吊销、不可否认性，并防御 Autocharge 所招致的标识符伪造。若 Plug&Charge 要承载数百万笔无人值守交易的支付，密码学就是正确答案。

然后，2025 年 12 月发生了那件事。

研究人员公布了一种针对 ISO 15118 Plug&Charge 支付的可行中继攻击：一个假充电桩、一次被中继的握手，以及别人的账单。完整概念验证，已获 USENIX VehicleSec 2026 接收。

值得给予 Hubject 真诚肯定的是，首席作者将在 ICNC26 上展示这项研究——就在 Hubject 自己的舞台上，主题为“Plug and Charge Payment Fraud and other ISO 15118 Vulnerabilities”。这才是一个严肃行业面对坏消息应有的方式。

但请把这两件事实并置来看。七年的证书基础设施建设，最终产出的系统依然会遭受中继攻击。而它原本要取代的东西——查询表中的一个 MAC 地址——正在四个国家悄然运行。复杂性所换来的安全性，低于销售演示文稿暗示的程度。

车企准备好了。充电桩还没有。

在车辆端，这件事已接近解决。Porsche Taycan 和 Mercedes EQS 最先实现。如今名单已涵盖 Volkswagen ID 系列、Skoda Enyaq、Audi Q4 e-tron 和 Cupra Born；BMW i4、i5、i7 和 iX；Hyundai Ioniq 5 和 6、Kia EV6 和 EV9、Genesis GV60；Volvo EX90 和 EX60；以及 2026 车型年的 Polestar。

Volvo 于 2026 年 6 月在美国 35 000 个站点启用了 Plug&Charge。GM 则在夏季的 Empower 上宣布了其推广计划。总体而言，汽车端正在完成自己该做的部分。

两个细节破坏了这幅图景。Ford 以安全为由，建立了自有的车联网证书交付机制，而不是采用标准配置流程。当一家车企为了接入你的标准而绕开你的生态系统时，这个生态系统存在产品问题。

而 BMW 针对 2025 车型年 EV 的服务公告，则逐一列出了其经销商应预期的故障模式：Plug&Charge 菜单不出现、合约安装失败、合约安装后消失、服务商根本不发送合约。这就是摩擦——由工厂记录在维修手册里。

充电桩制造商所在的位置，正是 2027 年最后期限不再只是政策争论、而开始成为供应链问题的地方。Alpitronic 标示支持 ISO 15118-20，但实施日期为“TBC”。它并非个例。

自 2026 年起面向欧洲公共使用而投运的硬件，从第一天起就需要支持 PLC 的通信控制器——固件承诺远远不够。这是一项物料清单决策，作出时距离使用它的软件完成还有两年。

我们以前做过这件事

2015 年，我们的创始人 Ole Henrik Hannisdahl 站在柏林 ICNC 的舞台上，对满屋子从事漫游业务的人说：漫游是对一个行业自造问题的解决方案——这个行业把“走到充电桩前直接使用”变得如此困难。

他再也没有被邀请回去。

这个论点令人不快的地方在于，它经受住了时间的检验。漫游在商业上奏效了，但它也固化了自己原本要掩盖的碎片化。十一年过去，欧洲驾驶者依然带着一钱包 RFID 卡和一文件夹 app；而清分层已变成对一个从来不是驾驶者之过的问题征收的永久税。

顺带一提，这种本能依然根深蒂固。2025 年 12 月，Atlante、Electra、Fastned 和 Ionity 成立了 ChargeLeague，让任一成员网络的驾驶者都能在其他成员网络充电。用联盟来修复由联盟制造的碎片化。这样的电影我们看过。

Plug&Charge 与当年的漫游有着同样的轮廓。它提供真正出色的用户体验，却经由一个需要中间商、由中间商定价、并且——从德国登记册的证据看——在公共记录中无迹可寻的信任层来实现。它解决的用户问题是真实的。它所需的治理结构，则是没人要求过的部分。

最能说明问题的是，工程上更差的 Autocharge，目前却是更好的产品。参与方更少、没有证书、今天就能用，覆盖更多网络、更多国家。这本应让那些打造优秀工程方案的人感到担忧，而不是让那些打造粗糙版本的人感到安心。

这并不意味着应该放弃 ISO 15118。它是正确的标准，而且随着双向充电让每辆车都成为电网资产，安全论据只会愈发有力。这是一个让生态系统变得平淡无奇的理由。

要做到这一点，需要四个条件：多个彼此竞争的信任根——欧洲现在已经具备。一个任何人都能加入的共享信任列表——北美有，欧洲没有。证书配置全程无需提交支持工单。以及一个真正说明这项功能在哪里可用的公开名录——因为司机找不到的功能，根本算不上功能。

欧洲强制推行了协议，却跳过了另外三项。

Hubject 将于 9 月 1 日至 3 日在 Tempelhof 汇聚行业人士。议程中既有 “Plug&Charge：拓展可能性”，也有关于中继攻击的演讲。不妨看看哪个会场先坐满。