8月28日-29日，2025智能汽车基础软件生态大会暨第四届中国汽车芯片大会在重庆举办。本届大会以“开源拓界，众行致远”为主题，由中国汽车工业协会和中国电子科技集团有限公司联合主办。本届大会聚焦智能汽车产业发展关键环节，设置了“1场闭门会、1场基础软件生态大会、1场芯片大会和1场开放原子开源基金会园区行”，旨在凝聚各方力量，促进协同创新，为全球贡献智能汽车生态“中国方案”。其中，在8月29日下午举办的“开放原子开源基金会园区行（重庆站）”上，软安科技联合创始人杨国梁发表精彩演讲。以下内容为现场发言实录：

感谢各位，我先简单自我介绍一下，我叫杨国梁，来自软安科技，是做检测工具的厂家，针对汽车软件进行检测，比如代码、合规性、安全性、可靠性，涵盖的范围广。同时涉及到开源，开源组件的识别，许可证的识别，安全漏洞风险的识别，还有做车载通信协议的健壮性检测。以上是简单的背景介绍。

演讲分三部分，先从汽车五域模型概念下介绍对应的车用开源操作；然后介绍其所面临的部分风险，最后是针对上述风险的应对方案。

以上这张图显示了基于汽车五域模型与开源车用操作系统关系。蓝色部分代表了主机厂软件自研成分，绿色代表供应商提供软件。但不论是主机厂还是供应商做的开发，软件都是部分来自开源，部分自研。我们所说的车用操作系统软件，主要集中在中间这一部分，作为上层应用软件的载体。另外，大家可以看到OEM软件团队的构成，基本上也符合，智驾、座舱、车控、低软等分类法。

这张图帮我们以列表的形式阐述了车控，智驾，座舱的不同特点。根据技术栈有所不同，可以看到不同的操作系统，像座舱里用得比较多的安卓，智能驾驶用的Linux/ROS，以及车控几个域的各种RTOS（不论商业还是开源）从功能安全的角度来说，车控和智能驾驶域有最高的要求，座舱主要是对信息安全产生更高要求，当然不论功能安全还是信息安全，都对汽车几个域有相应的要求。如果从编码规范分别对应到功能安全的信息安全的需求角度来说，车控和智能驾驶域侧重MISRA/AutoSAR/CWE等规则，座舱侧重于CERT/CWE/OWASP等规则，车辆软件尤其是底层软件同时都会对影响严重的比如空指针，内存泄露，越界访问等规则有相应要求。近些年针对开源软件使用的合规与安全风险也在影响着汽车的各个域，尤其以座舱和智能驾驶这类基于Andorid和Linux开源生态的OEM和供应商，同时车控领域也有越来越多的开源车控操作系统，和开源软件需要应对治理风险。

从开源软件使用的风险角度，先看一个座舱的案例，目前开源治理的要求是各大OEM，尤其是国外的OEM为主，比如德系的OEM对开源软件治理的要求比较高。他们的目的其实是要有完整准确的SBOM，于是要求源码在开发过程就要引入FOSS管理过程，以及二进制也要做相应的FOSS管理；顺着OEM的需求往下看，座舱总集面临着成千上万的FOSS需要逐个治理，尤其是主流的安卓生态，虽然它基于Linux  Kernel做了隔离处理，但每个用到的FOSS还是需要单独治理。更别提针对下一级供应商，还有OEM的FOSS需求传导不下去的问题，在汽车开源软件治理的领域，目前就是整个产业在摸着石头过河的状态。我们继续顺着往下看，芯片供应商同样面临安卓治理的难题，除此之外还有BSP嵌入式片段级引用。这些都是目前已经摆在眼前需要被解决的难题。

这里我们看另外一个开源车控操作系统软件质量的案例，我们用工具扫描之后，发现有一些潜在的规则违规的问题，甚至有一些理论上可能导致崩溃的问题。 这两个具体的问题分别对应了CERT和AUTOSAR其中两条规则的违规。于是我们就尝试寻求该开源车控操作系统的代码质量扫描报告，可能是有的，但是我没有找到，这样的情况难免会让人从编码质量的角度对该项目的风险产生疑虑。

这里还有一个案例，正好把刚才提到的软件质量和开源治理风险串联起来了，这是自动驾驶层面世界知名的，也用在具身智能上的开源操作系统的项目，当我们尝试用软安静兮这款静态分析工具扫描该项目时，发现了比如资源泄漏，空指针引用，数组越界等问题；前两者分别找到了对应的CERT和Misra规则违规情况。而最后一个数组越界问题当我们在给该问题向社区提交issue的时候，社区将该issue指给了另一个开源项目ZSTD。该项目来自Meta的另一个开源项目。说明ZSTD这个开源组件被该操作系统开源项目调用，产生了包含关系。这带来一个问题，这个开源操作系统本身的许可证是Apache2，而被调用的ZSTD项目的一个叫COPYING文件中，声明了GPLv2许可，同时在另一个叫LICENSE的文件中又声明了BSD许可。这两个声明都可以在Debian发行版的许可声明中被找到，是BSD 或 GPLv2的关系。这就带来了更大的问题，ZSTD项目本身产生了横向的冲突，ZSTD项目和父组件（Apache2）之间产生了纵向的冲突。如果真的在汽车上使用了该项目，又有谁来负责治理这样的法律风险呢？更加让人惴惴不安的是，ZSTD只是这个开源操作系统项目的70多个子组件的其中之一。 

汽车开源软件质量与合规风险，从刚才说的几个案例对应的风险，不难让人产生这样的问题，使用开源车用操作系统会不会引入不必要的开源合规风险？开源车用操作系统的编码质量谁来负责？再往下一层，开源车用操作系统软件风险控制有标准吗？如果再往下延伸，就会触及到那个大家都想问但是都没有答案的话题：到底是选开源还是选商业的？这些表象对应了一些业务上的考虑，因为用了开源额外的投入谁来承担？行业资质，功能安全信息安全等谁给开源兜底？标准—约束—责任怎么划分？这都是一个个的表面上看起来细小的技术问题或者说业务问题，一步一步导致的，可能会导致社区或者开源推动起来有困难。今天我们最终讨论的是到底是选开源还是商业？可能会凡推出各种各样的问题，就是要脚踏实地地去解决这些各种各样的问题才能更好的回答车辆是否能用开源操作系统软件这样的终极问题。

当然不能光说问题，还是要给一些解决方案。

软安科技作为工具和解决方案提供商，我们在此宣布：针对开源车用操作系统软件提供免费扫描，这些免费扫描覆盖编码质量，指标度量，开源合规，漏洞管理模糊测试。具体的可以提供出来能对应到各种各样的编码规范的扫描（MISRA/AUTOSAR/CERT/CWE/等），以及各种各样的度量指标（HIS/等），从开源合规管理的角度来说除了必要的SBOM报告之外，还有一些系统的风险管理，包括许可识别，版权风险识别，安全漏洞等，不论是源代码抑或是二进制都能协助应对行业要求。还有漏洞管理模糊测试，目前不管是龘还是小满还是各种各样的，车辆通信无外乎用的这些都是Can/CanFD/DoIP/SOMEIP/蓝牙/Wi-Fi/等协议，我们提供相应的协议模糊测试工具。

目前软安科技提供的静态分析工具获得了国际知名认证机构认证的TCL2等级资质认证，开源成分分析工具也与国际标准组织OpenChain官方合作；同时也是AUTOSEMO发布的汽车基础软件测试指南的推荐工具。软安科技希望能通过为开源车用操作系统软件提供免费扫描的方式，给开源软件在汽车行业建立生态做一份自己的贡献。谢谢大家！

　　　　
（注：本文根据现场速记整理，未经演讲嘉宾审阅。）