布拉格，10月7日 /PRNewswire/ — 在 Open Source Summit Europe 上，Linux Foundation 今日宣布發布 OpenChain Automotive Software Bill of Materials（SBOM）Framework 1.0。這是一項開放框架，旨在為汽車行業創建和共享高質量 SBOM 定義通用方法。
隨著軟體在現代汽車中的重要性不斷提高，企業在滿足不斷演變的監管和網路安全要求的同時，也面臨著提升軟體組件及依賴項可見性的壓力。OpenChain Automotive SBOM Framework 提供了一個可供整個行業採用並進一步完善的實用基礎，以應對汽車行業面臨的這些挑戰。
該框架的關鍵內容包括：
- 為汽車SBOM中的軟體組件和依賴項描述提供明確結構
- 提供有關必要及推薦數據欄位的指引，包括完整性和質量標準
- 與現有 SBOM 標準對齊，例如 SPDX（ISO/IEC 5962）
- 適用於供應商和 OEM 的使用情境，包括汽車供應鏈中的資料交換
該框架提供指導，說明如何使用既定格式來描述和交換軟體組件資訊，使供應商和 OEM 能夠生成符合共同預期的 SBOM，並在完整性、一致性和可用性方面達到統一標準。其設計目標是支援軟體透明度、供應鏈溝通和監管準備等實際應用場景。
OpenChain 項目總經理王美霞表示：「隨著軟體定義汽車的複雜性不斷上升，提高軟體組件之間的透明度和可追溯性正變得至關重要。此次首次發布提供了實用指導，並有助於推動汽車生態系統中更一致的 SBOM 實踐。」
該倡議最初源於高瀨圭介（豐田）、渡邊亞由美（日立解決方案有限公司）以及遠藤正人（OpenChain 汽車工作組主席）之間的早期討論，反映了各方提升汽車行業軟體透明度、可追溯性與生產效率的共同承諾。此後，該項目在汽車與軟體生態系統中的組織、行業協會及領域專家協作下不斷發展。他們的意見幫助識別了共同挑戰，並在真實需求與新興行業預期的基礎上，塑造了一個實用且適用範圍廣泛的框架。
Automotive SBOM 項目隸屬於 OpenChain Automotive Working Group，旨在補充現有標準，例如 SPDX（ISO/IEC 5962）。該框架並不取代這些標準，而是提供如何在汽車行業中一致應用這些標準的指導。
本項目歡迎全球組織與個人參與，並將根據行業反饋與採用情況持續演進。如需了解更多關於 OpenChain 項目的資訊，並訪問網站或 OpenChain Automotive SBOM Framework，請點擊此處。
支持性引語
日立解決方案有限公司高級副總裁兼執行官渡部次郎表示：「OpenChain Automotive SBOM Framework 的發布標誌著汽車行業的一個重要里程碑。通過建立創建和共享高品質、可信 SBOM 數據的通用方法，該框架增強了整個供應鏈的透明度和信任。我們相信，其採用將有助於提升供應鏈可靠性，並推動汽車行業更高的工程生產效率和創新。」
丰田汽车公司先進研發與工程公司總裁井上博文表示：「隨著軟體定義汽車的發展，汽車軟體開發的規模和複雜性持續增長，在供應鏈中共享可靠的 SBOM 資訊變得越來越重要。我們預期 OpenChain Automotive SBOM Framework 將使行業能夠公開分享有效流程和最佳實踐，幫助創造一個工程師能將更多時間和專業能力用於為客戶創造價值的環境。」
Black Duck Software, Inc. 軟體供應鏈風險策略負責人 Tim Mackey 表示：「有效使用 SBOM 不僅僅是按需生成或發布它們。不同組織和監管機構之間的要求與預期差異，會帶來 SBOM 質量問題——而共享框架和清晰的數據結構與質量指導，正有助於在規模化層面解決這一問題。」
FossID 首席执行官 Stuart Dross 表示：「Automotive SBOM 為行業提供了一個迫切需要的通用格式，以提升軟體供應鏈的透明度。FossID 很高興透過協助汽車團隊根據新標準生成、導入、轉換和驗證 SBOM，來支持這一框架。可靠地自動化這一過程，是我們計劃幫助加速汽車製造商及其供應商生態系統採用 Automotive SBOM 的一種方式。」
Nissan Motor Co., Ltd. 軟體定義汽車工程部門軟體平台與架構工程總經理杉本和馬表示：「隨著車輛開發越來越以軟體為中心，包括軟體定義汽車的推進，了解軟體組成正成為一個重要關注領域。通過參與這一 SBOM 標準化倡議，Nissan 將為行業共同基礎的建設作出貢獻。」
Volvo Cars 全球開源戰略負責人 Carl-Eric Mols 表示：「Volvo Cars 已透過去年啟動的『Continuous SBOM』項目，將 SBOM 實踐嵌入車輛開發流程。透過在供應鏈中推動統一方法，我們可以為所有人提升透明度和協作，同時幫助推動汽車 SBOM 從許可證合規和網路安全材料，演變為軟體信任、來源、安全、生命週期治理和供應鏈情報的基礎。」
關於 OpenChain 專案
OpenChain 項目由 Linux Foundation 托管，專注於在開源供應鏈中建立信任。該項目制定開源合規與安全的開放標準，協助組織在全球生態系統中管理軟體授權與風險。
關於 Linux 基金會
Linux Foundation 是全球領先的開源軟體、硬體、標準和數據協作平台。Linux Foundation 旗下的項目包括 Linux、Kubernetes、Model Context Protocol（MCP）、OpenChain、OpenSearch、OpenSSF、OpenStack、PyTorch、Ray、RISC-V、SPDX 和 Zephyr，為全球基礎設施提供支撐。Linux Foundation 致力於運用最佳實踐，並滿足貢獻者、用戶和解決方案提供者的需要，以建立可持續的開放協作模式。更多資訊請訪問 linuxfoundation.org。
Linux Foundation 已註冊商標並使用商標。有關 Linux Foundation 商標列表，請參見其商標使用頁面：www.linuxfoundation.org/trademark-usage。Linux 是 Linus Torvalds 的註冊商標。
媒體聯絡
Linux 基金會
[email protected]