2019年开源软件知识产权风险防控研究报告_45页_1mb

CAICT 中国信通院开源软件知识产权风险防控研究报告（2019年）

核心内容概述

本报告由中国信息通信研究院发布，旨在分析开源软件在知识产权方面的风险，并为企业提供有效的防控建议。随着开源软件在信息通信技术（ICT）领域广泛应用，其带来的知识产权问题日益复杂，涉及版权、专利和商标等多个方面。报告从开源软件的定义、生态、模式出发，深入分析了开源许可协议的知识产权规定及其兼容性问题，并结合典型案例，探讨了开源软件在企业应用中的风险及防控策略。

主要观点

1. 开源软件的定义与发展趋势

• 定义：开源软件是指源代码公开，并允许任何人学习、复制、修改、重新发布的软件。狭义开源软件需符合 OSI（开放源代码促进会）定义的 10 条标准。
• 发展趋势：
  • 开源软件渗透率不断提高，已成为软件供应链的重要组成部分。
  • 科技巨头积极拥抱开源，推动开源生态发展。
  • 开源社区与标准组织合作加深，对标准制定产生重要影响。

2. 开源软件生态构成

• 开源生态包括外部环境、开源基金会、开源社区、开发者、贡献方、参与方、项目托管平台等。
• 开源社区是虚拟组织，由开发者共同维护，管理者可能是基金会、企业或高校。
• 开源基金会通过资金和管理机制影响社区发展。

3. 开源软件模式

• 产权模式：开源软件和闭源软件都受版权法保护，但开源软件通常不包括人身权，只授权财产权。
• 开发模式：开源采用“集市”模式，强调开放、协作与透明。
• 商业模式：开源软件可通过多种方式盈利，如双重授权、硬件捆绑、增值产品、技术支持和广告业务等。

关键信息

一、开源许可协议知识产权规定

• 许可协议本质：开源许可协议是一种格式合同，具有法律效力。
• 分类：
  • 强著佐权型：如 GPL、AGPL，要求再发布时遵循相同许可协议，具有“传染性”。
  • 弱著佐权型：如 MPL、LGPL，允许部分闭源。
  • 宽容型：如 BSD、MIT，对再发布方式无严格限制。
• 重点条款：
  • 版权：多数协议要求保留版权声明、提供源代码、标注修改信息。
  • 专利：部分协议（如 GPL v3、Apache v2）明示专利授权及“专利报复”条款，限制专利诉讼。
  • 商标：多数协议未授权商标使用，需谨慎处理。
  • 不担保条款：开源软件通常不提供任何形式的担保。

二、开源许可协议兼容性

• 兼容性定义：从“组合作品”和“演绎作品”两个角度理解。
• 兼容性分析：
  • 强著佐权型协议之间通常不兼容（如 GPL v2 与 GPL v3）。
  • 强著佐权型与宽容型协议之间可能不兼容（如 GPL v2 与 Apache v2）。
  • 弱著佐权型与宽容型协议之间一般兼容。
• 关键原则：只有在开源组件组合发布时才需考虑兼容性问题，内部使用通常不受影响。

开源软件知识产权风险

1. 风险种类

• 版权侵权风险：
  • 未按协议使用开源软件（如未提供源代码）可能导致侵权。
  • 贡献者将非原创代码提交至开源社区，导致“不清洁”开源软件，引发后续侵权。
• 专利侵权风险：
  • 内部风险：贡献者可能以个人名义发起专利诉讼。
  • 外部风险：第三方可能对开源软件中的技术主张专利权。
• 商标侵权风险：
  • 未经授权使用贡献者或基金会的商标、商号等可能构成侵权。

2. 风险影响因素

• 开源许可协议：不同协议对版权、专利、商标等权利的授权方式不同，风险差异明显。
• 开源社区管理：严格代码审核和知识产权管理可降低版权瑕疵风险。
• 使用方式：
  • 仅运行开源软件：风险较小。
  • 修改并内部使用：风险较低（但 AGPL 除外）。
  • 修改后发布：风险最大，需严格遵守协议规定。

企业风险防控建议

1. 增强开源风险意识，建立防控体系

• 正确认识开源软件带来的知识产权风险。
• 增强企业全员对开源法律风险的防范意识。
• 通过培训提升员工对开源的理解和风险识别能力。
• 建立跨部门协作机制，由法务、技术、采购等部门共同参与开源风险防控。

2. 建立开源软件全流程管理

• 引入阶段：审查开源代码的许可协议，评估其与企业商业模式的兼容性。
• 开发阶段：记录所有开源代码的使用情况，包括模块名称、版本和许可协议类型。
• 发布阶段：法务人员需审核开源模块是否遗漏、是否符合声明要求，确保合法合规。

3. 法务部门需做好法律研究

• 准确解读许可协议，关注其对版权、专利、商标等权利的授权方式。
• 跟踪相关司法案例，了解法院对开源许可协议的认定和判决依据。
• 提前制定应对策略，防范可能的法律纠纷。

附件：开源知识产权热点事件分析

1. ARTIFEX 诉 HANCOM

• 事件背景：Hancom 未按 AGPL 协议提供修改后的源代码，Artifex 起诉其侵权。
• 解读：法院认定 AGPL 协议具有合同效力，即使未签署，用户默认同意其条款，构成法律约束。

2. Facebook 修改开源许可协议

• 事件背景：Facebook 将 React.js 的许可协议从 BSD 改为 BSD+Patents，附加“专利反击条款”。
• 解读：该协议限制用户对 Facebook 的专利诉讼，引发行业争议。企业需权衡风险与替换成本。

3. MongoDB 更改开源许可协议

• 事件背景：MongoDB 将开源许可协议从 AGPL v3 改为 SSPL，以防止云服务商利用其代码而不回馈社区。
• 解读：SSPL 强化了对“服务源代码”的要求，限制云服务商的商业行为，保护开源社区利益。

总结

本报告系统梳理了开源软件在知识产权方面的风险及防控措施，强调了企业在使用开源软件时应高度重视许可协议的合规性、社区管理机制及自身使用方式。开源软件虽为技术创新的重要工具，但其知识产权问题复杂，企业需建立完善的防控体系，确保在法律框架内合理利用开源资源。