針對軟件構(gòu)建流程一致性問題，華為建設了內(nèi)部的研發(fā)云平臺，把原來分散在開發(fā)人員各自工作環(huán)境中的構(gòu)建流程集中管理，統(tǒng)一代碼管理規(guī)范、統(tǒng)一構(gòu)建過程、統(tǒng)一質(zhì)量標準。到2022年，據(jù)稱華為內(nèi)部研發(fā)云平臺搭建了超過40萬個CPU的計算資源池，支撐華為超過10萬開發(fā)人員每天100萬次以上軟件構(gòu)建，徹底解決了軟件構(gòu)建流程不一致、源碼與二進制軟件包無法證明等價性的問題。

針對軟件供應鏈可信性問題，華為一方面投入大量成本和精力清理過時的、不規(guī)范的依賴軟件，同時在內(nèi)部研發(fā)云上建設了受控的開源制品庫和開源軟件審查機制，從而盡量降低被開源供應鏈投毒的風險。

針對軟件代碼編寫質(zhì)量問題，華為內(nèi)部開發(fā)了可信認證考試體系，并要求所有技術(shù)人員通過考試?？荚噧?nèi)容涵蓋編程知識、安全編程、質(zhì)量、隱私、開發(fā)者測試、設計模式、重構(gòu)等基礎(chǔ)技術(shù)能力。

從2021年HCSEC發(fā)布的年度報告中，可以明顯看到華為建設可信能力取得的進展。在這份報告中，HCSEC多少有點不情不愿地承認：“2020年期間，華為在補救英國網(wǎng)絡中產(chǎn)品的非主流支持組件方面取得了很大進展，在二進制等價性、固網(wǎng)產(chǎn)品質(zhì)量問題和漏洞管理方面也取得了與預期一致的進展”，但又馬上話鋒一轉(zhuǎn)，說：“在2020年的過程中，在滿足NCSC所期望的產(chǎn)品軟件工程和網(wǎng)絡安全質(zhì)量方面沒有整體改善”——筆者竟然從這份一本正經(jīng)的報告中讀出了“雖然我提的所有問題都得到了解決而且我也提不出什么新的問題了，但是我就是對你沒有信心”這樣無奈的傲嬌感。

華為（新華社資料圖）

我國信息產(chǎn)業(yè)應如何建設軟件可信能力

拋開帶有政治偏見的傲嬌姿態(tài)，英國政府作為甲方對軟件系統(tǒng)供應商的監(jiān)管治理方式，有很多值得學習的地方。我國政府和國企作為數(shù)字化新基建的大甲方，可以參考借鑒英國在軟件可信方面的治理結(jié)構(gòu)和審查內(nèi)容，建立一套更完善的軟件可信準入機制，進而牽引倒逼乙方企業(yè)提升自身能力，從而促進整個行業(yè)基礎(chǔ)能力的提升。

首先應當設置獨立于供應商、服務于甲方利益的第三方專業(yè)機構(gòu)，代表甲方負責對重要軟件系統(tǒng)的技術(shù)評估、審計、驗收工作。這類專業(yè)機構(gòu)應當充分利用市場機制吸引具備專業(yè)技能的人才，同時又應當為其設置預防腐敗的圍欄機制。

受命于英國政府的HCSEC雇傭的專業(yè)人士有能力評估軟件從源碼到二進制包的構(gòu)建過程、有能力評價產(chǎn)品源碼是否遵循編程最佳實踐，同時該機構(gòu)又外聘安永對其獨立性進行審計，整個機構(gòu)的運行費用還是由乙方來承擔的。這個巧妙又平衡的治理結(jié)構(gòu)，值得我國政府和國企借鑒。

同時，政府作為國家數(shù)字化戰(zhàn)略的引領(lǐng)者，應當考慮牽頭建設一套標準的軟件研發(fā)云平臺，將代碼庫、依賴庫、構(gòu)建流程、質(zhì)量保障流程、產(chǎn)品發(fā)布流程等絕大多數(shù)軟件項目和產(chǎn)品共通的流程、機制和基礎(chǔ)設施固化、標準化到研發(fā)工具中，并推動牽引其成為行業(yè)標準實踐。

即便短時間內(nèi)無法實現(xiàn)軟件質(zhì)量和可信性的顯著提升，至少能確保甲方能獲得源代碼、能從源代碼構(gòu)建出二進制軟件包、能保障源碼與二進制軟件包等價，這就已經(jīng)對提高軟件可維護性、降低廠商綁定有很大的意義。對可信軟件交付提供支撐的研發(fā)工具，也是我國工業(yè)軟件裝備體系上的一塊短板，目前仍嚴重依賴國外軟件。軟件研發(fā)工具的自主國產(chǎn)化，也應當受到國家重視。

最后，標準制訂機構(gòu)和高校應當重視軟件開發(fā)工程師的基礎(chǔ)能力、尤其是基本的編程和設計能力建設。具體而言，諸如開發(fā)者測試、代碼重構(gòu)等已經(jīng)被歐美業(yè)界證明對軟件質(zhì)量價值巨大的實踐，在我國IT業(yè)界一直沒有得到廣泛接受，這與過去二十年間標準制訂機構(gòu)和高校對基礎(chǔ)編程能力的忽視是直接相關(guān)的。盡管多年來業(yè)界一直有一種幻想，認為靠“軟件工程”、靠“社會化大生產(chǎn)”，就能降低對一線程序員的能力要求，然而事實是絕大多數(shù)的技術(shù)決策仍然是在編碼的階段由程序員做出的。

正所謂“魔鬼藏在細節(jié)里”，靠流程和文檔解決不了軟件質(zhì)量差、缺陷多、可信性低的問題。長期來說，整個行業(yè)可信能力的提升最終還是要落實到全行業(yè)從業(yè)者能力的普遍提升上來。

本文系觀察者網(wǎng)獨家稿件，文章內(nèi)容純屬作者個人觀點，不代表平臺觀點，未經(jīng)授權(quán)，不得轉(zhuǎn)載，否則將追究法律責任。關(guān)注觀察者網(wǎng)微信guanchacn，每日閱讀趣味文章。