吕苏：让开源技术成为金融科技发展的强劲引擎

在全球数字经济的浪潮下，开源技术已成为新一代信息技术发展的基础和动力，并在金融业各领域得到了广泛的应用，尤其在金融科技创新和数字化转型方面发挥着积极的作用。

中国银联作为银行卡清算机构，处于我国银行卡产业的核心和枢纽地位，对金融产业的发展发挥着重要作用。自成立以来中国银联始终紧跟技术发展趋势，深入应用金融科技，创新支付发展，为产业各方提供全方位、多层次、立体化的支付清算服务。中国银联作为首批参与国家云计算示范工程项目建设的十五家示范单位之一，自2011年以来一直致力于通过开源技术的应用研究来满足金融产业日益增长、不断变动的市场需求。伴随着公司云计算技术路线的确立，中国银联陆续在生产环境中应用了大量的开源技术，包括操作系统、数据库、中间件、云计算等，是中国金融行业最早一批开源技术应用者，历经多年的探索和实践，在金融业开源技术应用方面积累了一些的经验。本文将结合人民银行等五部门联合发布的《关于规范金融业开源技术应用与发展的意见》，从中国银联在开源技术应用的探索与实践出发，进行一些具体分析与思考。

中国银联云计算中心副总经理  吕苏

强化开源技术生命周期管理

1.从源头进行风险管控。源头风险管控是实现系统本质安全的重要因素，此次《意见》指出：对于金融机构来说，引入开源技术首先需要保证的就是信息系统的安全性和稳定性。每一项开源技术的引入都必须经过相应级别的专家进行评审、从多个方面收集不同的相关指标来针对计划引入的开源技术构建完整的选型和评测模型。全面覆盖从开源技术引入、使用、更新、退出等环节，包含从开源许可证协议到代码级测评等多个维度，降低相关技术引入之后可能带来的安全隐患。实现在开源技术引入的源头上严格把控，把开源技术的使用过程中可能存在的风险尽可能消灭在源头上。

2.建立开源技术应用台账。开源技术引入之后，必须坚持以“合规使用”为宗旨，建立起科学规范的开源技术应用台账，实行常态化管理。由技术部门专人负责跟踪，针对开源技术依赖组件进行分析管理，实时掌握开源许可证变更、漏洞、闭源、停服等变化情况，一旦发现存在风险，及时采取措施进行阻断和规避，避免造成不必要的影响。

3.完善落地安全退出机制。在开源技术使用的过程中，除了跟踪上游社区的动态外，公司还会定期组织内外部专家针对已引入开源技术的进行审查工作，对于一些历史漏洞较多、技术落后、更新缓慢和即将停止维护的开源产品，及时做出整改、升级替代，启动开源技术安全退出机制。通过此类常态化的审查机制，帮助各业务系统负责人提前制定风险开源产品的版本升级、替换计划，保障系统平稳过渡，避免突发生产事件。

自主可控开展开源创新

1.积极探索开源创新模式。中国银联在引入开源技术的同时，一般会采取“开源结合定制开发”的演进策略构建起自身的开源体系。在已引入的开源技术维护过程中，我们发现上游开源软件的发展大多较为激进，功能迭代频繁，追求性能提升，而导致有时候会忽略可靠性和安全性，有些开源软件甚至可能没有长期的、稳定的生命周期。

为了保障系统的安全性和可靠性，中国银联在引入开源软件时，针对核心开源技术会成立对应的专职研发团队，通过跟踪开源社区，关注已引入产品的发展过程，对产品进行全生命周期维护。在这个过程中，秉承着“开放创新”的精神，结合所处金融行业的特色并围绕自身业务需求对核心的开源软件进行了一些定制化开发和持续地迭代优化，特别是在操作系统、数据库、中间件等方面，目前已经发展了一批具有金融行业特色的基于开源定制、围绕开源生态自研的UP系列基础软件。在探索开源创新的实践过程中，逐步掌握了开源技术与产品的核心代码，提升技术创新能力的同时也实现了针对开源技术的自主可控能力。

2.形成自主可控开源体系。建立自主可控的开源体系能够帮助金融机构更好地应用开源技术。针对引入的开源数据库产品，为了实现金融行业对于数据安全的特殊要求，中国银联在开源产品的基础上，针对安全、功能、性能等方面进行了优化。

在安全加固方面，对开源数据库类产品的认证插件、加密算法等方面进行优化，目前已全面支持国密算法、逐步实现开源产品金融级安全保障，符合监管要求。在功能和性能优化方面，伴随公司内部专家、人才队伍的建设，逐步实现源码级掌控，能够根据业务需求针对开源产品内核进行优化，大幅提升开源产品的性能表现。使用开源产品的同时，中国银联还自主研发了一批开源数据库类产品的周边工具。以实时数据同步组件为例，自主研发的同步组件不仅能够实现数据中心之间的同步，还支持不同种类数据库之间的异构同步，在公司内部广泛应用于多中心多活、异地灾备、不同业务系统之间的数据流转等场景。

基于开源定制和自主研发能力丰富开源产品的应用场景的同时，在生产支持、应急处理方面也取得了显著的成效，为防范、化解开源技术供应链风险提供强有力的保障。如今，这批基于开源技术定制和自研的基础软件，经过多年实战的检验，已经大量应用在银联内部的业务系统中，包括但不限于联机处理、清算与结算、互联网创新等业务，在公司内部逐步形成了一套相对完整的自主开源应用体系。

联合产业各方推进开源贡献

开源创新模式有助于加速开源生态发展，推进金融行业开源生态发展对我国信息技术产业创新有着重大的战略意义。中国银联在完成公司内部开源创新的同时，积极地回馈开源社区和参与开源生态建设工作，充分展现出金融行业践行科技自主自强先行者的责任担当。

1.参与建设金融开源专业委员会。2020年8月，北京金融科技产业联盟第二届理事会第二次会议审议决定，设立金融开源专业委员会。中国银联作为开源专委会的主任委员，牵头负责开源专委会的全面工作。截至2021年底，金融开源专业委员会已吸纳70家成员单位的加入，组织开展18个课题攻关，并已经在多个领域取得阶段性成果。专委会还组织各成员单位就我国金融机构开源软件应用基本情况开展全国范围内的首次调研工作，共计调研了148家单位。结合调研情况，开源专委会在中央人民银行科技司和北京金融科技产业联盟的指导下，发布了《金融机构开源软件应用情况调查报告》，重点关注供应链安全管理、开源数据库应用、开源自动化测试等多项行业开源难点课题。

2.打造行业共享平台。2020年12月，中国银联建设的金融级云服务“银联云”正式对外发布商用。中国银联凭借“银联云”发布了一系列采用开源技术打造的具有金融产业特色的云产品与云服务，正式利用开源技术为金融行业客户提供安全可靠、高效专业的一站式解决方案来解决金融行业存在的共性问题。不仅如此，中国银联还充分发挥云计算平台的联接、融合与共享的特性，助力构建金融开源生态。中国银联依托“银联云”构建了我国第一个金融行业专属的开源代码托管平台，为金融用户提供高质量的软件源码管理服务。目前，已有40余家金融机构和开源产业合作方通过“银联云”上的金融开源平台一起为中国金融领域开源项目的孵化进行赋能，真正意义上实现了优势互补、合作共赢、共同用“联接创造价值”。

未来工作思路

未来，中国银联将严格依照《意见》中所指出的关于金融机构在使用开源技术应该遵循的四大原则“坚持安全可控”“坚持合规使用”“坚持问题导向”“坚持开放创新”，并把保障信息系统安全作为使用开源技术的底线，加强开源治理和协同创新，加大在操作系统、数据库、中间件等基础软件领域和云计算、大数据、人工智能、区块链等新兴技术领域的投入，让开源技术在金融科技创新和企业数字化转型方面发挥更加积极的作用。

与此同时，中国银联也将努力协同各开源社区、开源基金会、开源产业合作方等组织一起持续推进我国金融业开源技术的应用与治理过程，坚守“支付为民”的使命和责任，进一步发挥好金融开源专委会的作用，加快开源技术生态建设，充分利用开源优势，借鉴开源技术在中国银联的成功经验，依托“银联云”等行业共享平台为中国金融业开源技术的应用与发展做出更大的贡献，将开源技术打造成为金融科技高质量发展的强劲引擎。

（栏目编辑：韩维蜜）

推荐阅读

（点击图片查看精彩内容）

精彩内容回顾

（点击查看精彩内容）

新媒体中心：主任 / 邝源  编辑 / 傅甜甜  张珺  邰思琪