Update 第四章 开源行业发展现状.md

第四章 开源行业发展现状.md

@@ -93,28 +93,182 @@
 ## 开源在汽车行业的应用
 
 > 作者：滕召智，OpenSDV汽车软件开源联盟生态负责人
+> 参与单位：极氪汽车、长安汽车、信通院、国科础石、中汽智联
 
-2022-2023 全球汽车软件开源生态
+### 一、2022-2023全球汽车软件开源生态
 
-一、年度洞察
-整体汽车软件技术方向现状洞察
-年度重要事件
-年度数据 ( 引用报告)
-汽车行业OSPO建设情况
-发展特点以及趋势
+2022年，汽车行业的战略技术储备通过成本及供应链的棱镜，在市场表现上展露的非常明显，技术架构也随着软件比重以及EE架构进入了新的双螺旋进化模式。目前各个车企，根据自身供应链条件的不同，也正处于不同的发展阶段。软件定义汽车正在通过软件的技术、基础技术的普及、科技团队的引入影响汽车行业，促使整个行业进入到一个新的发展阶段。
 
+![](https://img-blog.csdnimg.cn/69401728393a4f3284727b8731b2bc5f.png#pic_center)
 
-二、问题、机遇与挑战
-开源合规与供应链安全
-开源贡献参与度与生态建设
-亟需解决的基础技术问题
-基础设施的挑战
-新技术探索
+基于以上的行业发展趋势，软件的比重在汽车研发时间以及成本上均上升迅速，据麦肯锡的预测，到2030年软件的比例将达到30%。2025年汽车软件的市场规模将达到620亿美元，尤其是网络，车用芯片，V2X架构以及云端基础设施的完善，“硬件预置、软件解锁”的产品策略将会出现在汽车的多个功能域中。
+
+![](https://img-blog.csdnimg.cn/8b3d89bcf75b4a1d8603c64c364656ec.png#pic_center)
+
+![](https://img-blog.csdnimg.cn/74e51398ba9e4cb28cf37c0c255f2f5f.png#pic_center)
+ 
+要做好灵活的上层架构，需要在性能强大的硬件架构基础上，有一个“可编程” “安全成熟” “生态丰富”的车用操作系统。因此，车用操作系统成为车企核心竞争力的基石，我们在与多家车企沟通后发现，由于底层操作系统的投入巨大，产出不明确，现在大多数车企还是采用了商业化的成熟产品，比如QNX、VXWorks等，成熟产品的好处是可以非常高效的完成汽车的研发。但这些都基于相对固定的供应链体系，如果想要在产品设计上有丰富的扩展性和灵活性，使用商业软件，需要付出昂贵的成本以及可能存在的供应链被控风险，因此，还有很多厂商，投入了巨大的研发进行“全栈自研”，鲜有成功的案例。
+
+从产业角度来看，需要有一种方式联合操作系统的硬件环境，需要熟悉操作系统的科技公司和科研机构进行合力共建，对产业共性的问题进行解决，当然，还有很多的中间件以及工具，也是重要的基础软件。2022年涌现了非常多的组织，例如OpenSDV、Eclipse的SDV工作组，中国智能网联汽车产业创新联盟的基础软件工作组等等。大家都在寻求一种新的共建模式，需要有一定的组织形式，有共同的代码共享存储，有活跃的参与者组成的社区，这就是产业需求衍生的开源模式。
+
+汽车因为供应链很长，涉及面非常广，汽车软件的复杂度也很高，从本次调研的情况来看，我们非常高兴的看到了车企与开源的交织，也看到了很多的问题。我们这一次先从大多数车企所处的开源阶段 --- 合理使用开源进行展开。
+
+### 二、汽车行业OSPO建设情况
+
+随着开源软件的引用、供应商大量使用开源中间件或组件进行交付，在车企进行SBOM管理时迎来了巨大的挑战，需要有一个跨部门、跨组织、跨权限的协调组织出现，进行资源、流程的配置与管理，因此，开始引入了OSPO(Open Source Program Office)，这在大型互联网企业相对成熟，对于企业在使用外部开源组件/项目的合规，以及代码开源到外部的流程负责，协调研发、产品、市场、法务、人力进行综合的管理，在用好开源的同时，也遵循开源世界的游戏规则，更好的融入其中。
+
+2022年7月，极氪汽车成立了自己的OSPO，在同期，长安也正在考察开源软件办公室的作用和意义，最终还是以知识产权相关部门为驱动，在合规上进行把关。
+
+极氪汽车是吉利汽车、吉利控股集团于2021年4月推出的豪华纯电品牌。极氪高层高度重视开源，特别是开源合规风险管控。公司成立不到一年就在内部启动了开源治理项目，并积极推动了开源办公室（OSPO）的建成，取名为极氪开源合规审查小组。
+
+极氪OSPO组成人员涵盖了研发、安全、合规、法务、运维等人员，设置三层四组的人员架构，职责分工明确。其中三层指的是高层人员支持、中层人员指导、基础层人员执行的层级设置；四组指的是研发组、审核组、检测组、运维组。对内运营方面，极氪OSPO推动落地了四大事项：制度建设、流程落地、培训宣贯、供应商管理。其中在制度建设上，已经推动建立了开源软件合规管理制度、开源软件选型及引入管理规范等一阶二阶的制度，以及开源代理治理、引入场景和分发场景等具体指引文件作为指导，加强许可证风险、安全漏洞风险以及出口管制风险。
+
+在流程落地上，开源合规和安全审核嵌入到devSecOps，已经建成开源组件引入流程，收口公司开源组件的引入，研发人员只需提供一个代码下载链接或直接通过极氪组件代码库进行识别引用；在分发前，通过SCA工具自动化扫描识别验证研发所做的合规安全措施是否落地。
+
+在培训宣贯上，通过线上线下等课程培训进行培训，同时开通开源科普文系列。
+
+在供应商管理上，极氪OSPO对公司软件/信息化相关合规模版进行调整，增加可落地的开源合规条款，并要求应用场景是外部项目和SAAS项目的供应商提供开源组件使用情况表或SCA报告；同时在DMZ流程中嵌入供应商引入代码的SCA扫描，确保供应商引入合规。
+
+对外合作上，极氪OSPO参与了多项对外活动，首批加入中国信息通信研究院“可信开源合规计划”，参编了国内首份开源办公室案例集，并获得OSCAR尖峰开源企业（开源治理）奖以及开源合规领航者称号。
+
+开源之路并非一蹴而就，极氪OSPO也正在考虑研究并推动内部项目对外开源，从使用开源，慢慢走向参与开源直至领导一些项目的开源，在开源生态中贡献极氪礼物。
+
+我们也希望将极氪OSPO在开源领域的最佳实践，推广应用到汽车行业，影响供应商、集成商以及车企生产商，形成一个良性的与开源共舞的生态发展局面。
+
+### 三、问题、机遇与挑战
+
+从当前的生产模式和电子电气架构在大多数车厂的发展阶段，车企在整体开源生态上，还是一个使用者的角度，Tire1和Tire2厂商在基础技术的投入、技术要更深入。从车企以及软件供应商和集成解决方案的提供商来说，需要从引入开源软件或组件入手，逐渐规范起来，迎接开源带来的无限可能，也正视可能的风险。
+
+#### 开源合规与供应链安全
+
+根据新思科技发布的《2023年开源安全和风险分析》报告，2022年，在汽车所在领域（航空航天/汽车/运输和物流），100%的代码库包含开源代码，开源代码占所有代码的73%；65%左右的代码库包含许可证冲突（远高于全体样本的53%）；63%的代码库包含高风险漏洞（远高于全体样本的48%）。
+
+2022年9月，美国发布了备忘录（M-22-18）《通过安全的软件开发实践增强软件供应链的安全性》，欧盟发布了提案《关于具有数字元素的产品的横向网络安全要求》（《网络弹性法案》），对软件安全提出了相关要求，涉及符合性声明、软件材料清单（SBOM）、漏洞处理流程、第三方评估等多个方面。
+
+##### 美国：备忘录（M-22-18）《通过安全的软件开发实践增强软件供应链的安全性》
+
+2022年9月14日，美国总统办公室签发了备忘录（M-22-18）《通过安全的软件开发实践增强软件供应链的安全性》[1]。基于2014年《联邦信息安全现代化法案（FISMA）》和2021年总统行政命令（EO 14028）《提高国家网络安全》[2]的要求和授权，该备忘录要求每个联邦机构在机构的信息系统上使用第三方软件或以其他方式使用第三方软件影响机构的信息时，遵守NIST指南和任何后续更新。其中，“NIST指南”是指美国国家标准和技术研究所（NIST）2022年发布的（SP 800-218）《安全的软件开发框架（SSDF）》[3]（1.1版）和《软件供应链安全指南》[4]两个文档，用以确定增强软件供应链安全性的实践。
+
+如NIST指南中所述，联邦机构只能使用那些能够证明遵守政府规定的安全的软件开发实践的软件生产商提供的软件。各联邦机构必须获得所有本机构使用的该备忘录要求的第三方软件的证明，即NIST指南所述的需要软件生产商提供的“符合性声明”（conformance statement）。这些要求适用于联邦机构对该备忘录生效日期后开发的软件的使用，以及对该备忘录生效日期后通过重大版本变更修改的现有软件的使用。该备忘录中的术语“软件”包括固件、操作系统、应用程序和应用服务（例如基于云的软件），以及包含软件的产品。
+
+![](https://img-blog.csdnimg.cn/8fea9b775bb64f219d2ebb838c41bc37.png#pic_center)
+ 
+根据该备忘录，符合性声明的最低要求包括：
+
+1. 软件生产商的名称；
+2. 对声明所指的一种或多种产品的描述（最好集中在公司或产品线层面，包括销售给联邦机构的所有未分类产品）；
+3. 证明软件生产商遵循标准自我证明表格中列举的安全开发实践和任务的声明；
+4. 自我证明是所需的最低级别；但是，根据备忘录（M-21-30）《通过增强的安全措施保护关键软件》[1]中的界定，由于所采购的服务或产品的关键性，机构可以做出基于风险的决定，即需要进行第三方评估（第三方评估组织需要经FedRAMP或联邦机构认证批准）。
+
+此外，对照EO 14028的要求，NIST指南中也对符合性声明给出了更为详细的实践参考，主要涉及组织准备（PO）、软件保护（PS）、安全软件生产（PW）、漏洞应对（RV）四个方面。
+
+其中，在M-21-30里NIST对“关键软件”的界定如下：
+
+关键软件，是指任何具有或直接依赖于一个或多个具有以下至少一种属性组件的软件：
+
+- 旨在以较高的权限或管理权限运行；
+- 对网络或计算资源有直接的或特许的访问权；
+- 旨在控制对数据或操作技术的访问；
+- 履行对信任至关重要的功能；或者
+- 在正常信任边界之外使用特许访问进行操作。
+
+该定义适用于为信息系统购买或在信息系统中部署并用于操作目的的所有形式的软件（例如，独立软件、特定设备或硬件组件的集成软件、基于云的软件）。
+
+根据备忘录的要求，对于“关键软件”，除了需要提供第三方评估证明外，还需要提供软件材料清单（SBOM）。受EO 14028的指示，美国商务部与国家电信和信息管理局（NTIA）在2021年发布报告《软件材料清单（SBOM）的最低要素》[2]，对SBOM的要求进行了详细的说明。在该报告中，SBOM的最低要素被概括为三个方面：
+
+<table>
+    <tr>
+        <td colspan="2">最低要素</td>
+   </tr>
+    <tr>
+        <td>数据字段</td>
+        <td>记录应该跟踪的每个组件的基准信息：供应商、组件名称、组件版本、其他的唯一标识符、依赖关系、SBOM数据作者、时间戳。</td> 
+    </tr>
+    <tr>
+        <td>自动化支持</td>
+        <td>支持自动化，包括通过自动生成和机器可读性以支持在跨软件生态系统中扩展。用于生成和使用SBOMs的数据格式包括SPDX、CycloneDX和SWID标签。</td>
+    </tr>
+    <tr>
+        <tr>
+        <td>实践和流程</td>
+        <td>定义SBOM请求、生成和使用的操作，包括：频率（版本更新）、深度（所列组件的层次范围）、明确的未知（依赖关系是否已穷举）、分发和交付、访问控制、容错。</td>
+    </tr>
+</table>
+	
+##### 欧盟：提案《关于具有数字元素的产品的横向网络安全要求》（《网络弹性法案》）
+
+目前生效的相关欧盟立法，包括从不同角度处理与网络安全相关的某些方面问题的规则，例如改善数字供应链安全的措施，但缺少横向的联盟监管框架为所有具有数字元素的产品确立全面的网络安全要求，也没有解决非嵌入式软件的网络安全问题。2022年9月15日，欧盟发布了提案《关于具有数字元素的产品的横向网络安全要求》，即《网络弹性法案》（Cyber Resilience Act）[1]，从而为具有数字元素的产品投放欧盟市场的基本网络安全要求制定一个统一的法律框架，并消除商品自由流动的障碍。
+
+该法案主要规定了：
+
+1. 将具有数字元素的产品投放市场的规则，以确保此类产品的网络安全；
+2. 设计、开发和生产具有数字元素的产品的基本要求，以及经营商[2]在网络安全方面对这些产品的义务；
+3. 制造商为确保具有数字元素的产品在整个生命周期中的网络安全而制定的漏洞处理流程的基本要求，以及经营商在这些流程中的义务；
+4. 市场监督规则以及上述规则和要求的执行。
+
+该法案适用于具有数字元素的产品，其预期或可合理预见的用途包括与设备或网络的直接或间接的逻辑或物理的数据连接。其中，“具有数字元素的产品”是指任何软件或硬件产品及其远程数据处理[3]解决方案，包括单独投放市场的软件或硬件组件。此外，关于网络和信息系统安全的指令（EU）2016/1148（NIS指令）修订产生的指令NIS2，将确保对于作为服务提供的软件（软件即服务）的设计、开发和漏洞处理，也实施类似于《网络弹性法案》的基本网络安全要求的技术规范和措施。
+
+![](https://img-blog.csdnimg.cn/6a9568bdefb847059ec6d043c3cdca92.png#pic_center)
+
+在这种情况下，即使没有海外法规的倒逼，我们也应该关注到使用或应用开源可能存在以下风险：
+
+- 可能会有安全漏洞；
+- 可能在整合过程中出现Bug；
+- 可能存在潜在的合规性问题,例如许可证和出口管制风险；
+
+针对上述几个现状问题，开源软件的规范化使用以及合理的开源协议的使用，要尽可能地减少风险以及为应对海内外法案做好前置准备：
+
+- 合理地建立开源组件的白名单机制，从可信的托管服务商或基金会取得高质量、有限的开源组件；
+- 增加对于公司开源加密算法数据库管理的要求，以及加密算法审查备案机制；
+- 安全团队记录使用的组件来源，做好SBOM动态采编，并跟踪组件的漏洞报告，明确和优化组件选型和进入流程；
+- 法务团队了解该组件的法律合规需求，并提出风险建议，目前企业在开源软件的合规性问题上，主要关注许可证风险和出口管制风险。前者主要是开源风险、知识产权风险、对外展示风险。后者在于开源加密算法的使用；
+- 通过组建专门的或虚拟的OSPO团队，从各部门协助监控整个流程的执行；
+- 在对外输出服务或发布软件时，工程师可以根据组件来源快速梳理使用的开源组件清单，并明确当前版本的漏洞闭合以及协议使用情况，了解最优及最糟的安全状态，可以高效地应对安全/合规的不同场景输出；
+
+为了更好地推动汽车行业软件供应链安全体系建设，我们近期与业内相关软件供应链安全机构开展了深入的沟通和交流，各方对汽车软件供应链安全体系的建设想法高度一致，计划接下来共同推动以下工作：
+
+1. **标准建设：** 建设汽车行业与OpenChain ISO/IEC 5230兼容互认的开源合规企业认证标准，对企业的开源软件使用、管理、输出进行定义，同海外组织开展对话，并进行协议保护措施；
+2. **检测认证体系建设：** 建设汽车行业开源软件供应链检测认证体系，推动与海外评测要求兼容，与海外检测机构互认，避免企业在出海时重复检测和投入。同时，通过建设标准检测认证体系，也将为中国加强对进口汽车的软件安全检测提供可参考的标准和方法； 
+3. **公共服务平台建设：** 建设汽车行业的SBOM标准和登记查询平台，相关组件及软件库白名单体系以及漏洞库同步机制，为车企提供可自查及要素引用的公共服务平台；
+4. **应用落地：** 关注海外相关政策法规发展，例如欧美政策法规中提到的关键软件和主要信息要素；推动汽车行业软件供应链安全相关规范建设，例如在安全等级评定标准中，信息要素登记系统明确要求记录使用的开源软件的名称、版本、来源，便于出现漏洞时进行预警以及自审自查自纠，并与漏洞库、软件版本跟踪数据库相连。
+
+需要与相关机构合力，共同推动汽车行业软件供应链安全相关的体系标准和基础设施建设，促进行业健康发展，为中国车企出海提供开源合规支持。
+
+#### 新技术探索
+
+GPT(Generative Pre-trainedTransformer))技术在多个车企内部的SOA中均有所提及，除了从应用端解决类似智能客服的问题外，如果可以训练GPT参与到代码编写过程，不仅可以规范化和模块化可靠的代码块，也可以尽可能减少人为错误。通过GPT将具有功能安全不同等级要求的代码风格，结构和关系树结合到开发流程中，开发满足功能安全要求或者适用于汽车座舱环境的代码。要达到这样的效果，需要对模型进行大量的训练，给予正确的边界理解，让GPT可以在汽车这种垂直领域的软件开发中贡献力量。这里也不可避免的需要参与单位通过开源、开放的形式，在数据样本、编码要求上进行共享，促进整体行业的技术进步。
+
+### 四、发展建议
 
-三、发展建议
-芯片、EE架构与操作系统
 主要问题的解决思路及建议
 
+#### 产业的技术更迭太快，人才的储备不足
+
+通过调研，最近5年的汽车行业技术更迭，超过了过去十五年的综合，智能汽车，新能源智能汽车，对于汽车行业的人来说，需要学习和了解软件技术，而熟悉软件技术的人，极少有熟悉汽车这种垂直行业的，因此现在人才的引入、培养、梯队都非常有挑战。
+
+但通过开源，或许是过渡时期解决人才短缺的一个可行路径：
+
+- 芯片企业通过低成本的模拟仿真工具，让开发者，尤其是学生开发者可以尽早的进入到这样的开发环境；
+- 车企需要通过联合实验室的形式，将汽车所需要的技术以课题抛出，让开发者可以早日接触到真实需求；
+- 科技企业需要引入和参与到Tire1和车企，完成对产业的理解；
+- 开源开放，多鼓励汽车相关领域的开源社区，以不同的主题，给跨界的人才寻找也就方向，逐渐形成大的生态。
+
+#### 合规使用开源，需要车企重视
+
+无论是外部的逼迫，或者是我们从开源生态的建设来看，都需要建设规范的使用和参与开源。在出海的需求驱动下，车企和软件供应商等需要开始储备SBOM或者相关的管理措施，
+
+需要发出源自中国供应链体系的声音，破解很多年的规则和要求
+
+底层系统的兼容性，以及外部工具软件的硬件清单，其实就是汽车供应链角度的朋友圈，国内鲜有企业能够参与决策，需要通过底层系统的开源，构建和发出可控供应链体系的声音。另外，在功能安全角度，车用系统已经发生了架构上很大的变革，但是现在的判断标准还停留在几年前。我们可组织产业内的企业共建，在国际汽车供应链体系内发出声音，也通过生态企业的广泛应用，形成事实标准，推进团标、国际标准的更新迭代。
+
+参考文献：
+
+- https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
+- https://www.whitehouse.gov/wp-content/uploads/2022/09/M-22-18.pdf
+- https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act https://csrc.nist.gov/Projects/ssdf
+- https://www.nist.gov/system/files/documents/2022/02/04/software-supply-chain-security-guidance-under-EO-14028-section-4e.pdf
+- https://www.whitehouse.gov/wp-content/uploads/2021/08/M-21-30.pdf
+
 ## 开源在工业互联网的应用
 
 > 作者：郑伟波，浪潮国际CTO、开放原子基金会TOC副主席