针对软件构建流程一致性问题，华为建设了内部的研发云平台，把原来分散在开发人员各自工作环境中的构建流程集中管理，统一代码管理规范、统一构建过程、统一质量标准。到2022年，据称华为内部研发云平台搭建了超过40万个CPU的计算资源池，支撑华为超过10万开发人员每天100万次以上软件构建，彻底解决了软件构建流程不一致、源码与二进制软件包无法证明等价性的问题。

针对软件供应链可信性问题，华为一方面投入大量成本和精力清理过时的、不规范的依赖软件，同时在内部研发云上建设了受控的开源制品库和开源软件审查机制，从而尽量降低被开源供应链投毒的风险。

针对软件代码编写质量问题，华为内部开发了可信认证考试体系，并要求所有技术人员通过考试。考试内容涵盖编程知识、安全编程、质量、隐私、开发者测试、设计模式、重构等基础技术能力。

从2021年HCSEC发布的年度报告中，可以明显看到华为建设可信能力取得的进展。在这份报告中，HCSEC多少有点不情不愿地承认：“2020年期间，华为在补救英国网络中产品的非主流支持组件方面取得了很大进展，在二进制等价性、固网产品质量问题和漏洞管理方面也取得了与预期一致的进展”，但又马上话锋一转，说：“在2020年的过程中，在满足NCSC所期望的产品软件工程和网络安全质量方面没有整体改善”——笔者竟然从这份一本正经的报告中读出了“虽然我提的所有问题都得到了解决而且我也提不出什么新的问题了，但是我就是对你没有信心”这样无奈的傲娇感。

华为（新华社资料图）

我国信息产业应如何建设软件可信能力

抛开带有政治偏见的傲娇姿态，英国政府作为甲方对软件系统供应商的监管治理方式，有很多值得学习的地方。我国政府和国企作为数字化新基建的大甲方，可以参考借鉴英国在软件可信方面的治理结构和审查内容，建立一套更完善的软件可信准入机制，进而牵引倒逼乙方企业提升自身能力，从而促进整个行业基础能力的提升。

首先应当设置独立于供应商、服务于甲方利益的第三方专业机构，代表甲方负责对重要软件系统的技术评估、审计、验收工作。这类专业机构应当充分利用市场机制吸引具备专业技能的人才，同时又应当为其设置预防腐败的围栏机制。

受命于英国政府的HCSEC雇佣的专业人士有能力评估软件从源码到二进制包的构建过程、有能力评价产品源码是否遵循编程最佳实践，同时该机构又外聘安永对其独立性进行审计，整个机构的运行费用还是由乙方来承担的。这个巧妙又平衡的治理结构，值得我国政府和国企借鉴。

同时，政府作为国家数字化战略的引领者，应当考虑牵头建设一套标准的软件研发云平台，将代码库、依赖库、构建流程、质量保障流程、产品发布流程等绝大多数软件项目和产品共通的流程、机制和基础设施固化、标准化到研发工具中，并推动牵引其成为行业标准实践。

即便短时间内无法实现软件质量和可信性的显著提升，至少能确保甲方能获得源代码、能从源代码构建出二进制软件包、能保障源码与二进制软件包等价，这就已经对提高软件可维护性、降低厂商绑定有很大的意义。对可信软件交付提供支撑的研发工具，也是我国工业软件装备体系上的一块短板，目前仍严重依赖国外软件。软件研发工具的自主国产化，也应当受到国家重视。

最后，标准制订机构和高校应当重视软件开发工程师的基础能力、尤其是基本的编程和设计能力建设。具体而言，诸如开发者测试、代码重构等已经被欧美业界证明对软件质量价值巨大的实践，在我国IT业界一直没有得到广泛接受，这与过去二十年间标准制订机构和高校对基础编程能力的忽视是直接相关的。尽管多年来业界一直有一种幻想，认为靠“软件工程”、靠“社会化大生产”，就能降低对一线程序员的能力要求，然而事实是绝大多数的技术决策仍然是在编码的阶段由程序员做出的。

正所谓“魔鬼藏在细节里”，靠流程和文档解决不了软件质量差、缺陷多、可信性低的问题。长期来说，整个行业可信能力的提升最终还是要落实到全行业从业者能力的普遍提升上来。

本文系观察者网独家稿件，文章内容纯属作者个人观点，不代表平台观点，未经授权，不得转载，否则将追究法律责任。关注观察者网微信guanchacn，每日阅读趣味文章。