开源软件知识产权风险防控研究报告_45页_1mb

CAICT中国信通院《开源软件知识产权风险防控研究报告》（2019年）总结

核心内容

本报告系统分析了开源软件在知识产权方面的风险类型、影响因素及防控建议，旨在为企业在使用开源软件时提供法律和管理层面的指导。报告指出，随着开源软件在ICT产业中的广泛应用，其带来的知识产权风险也日益凸显，因此建立完善的开源软件知识产权风险防控体系至关重要。

主要观点

开源软件定义与发展趋势

• 开源软件有广义和狭义之分，狭义开源软件需符合OSI定义的10项标准。
• 开源软件已成为软件开发的重要方式，尤其在云计算、大数据、人工智能等新兴领域。
• 开源软件的使用已渗透到系统软件、应用软件、设备固件等各环节，成为软件供应链的组成部分。

开源软件生态

• 开源软件生态由开源社区、开源基金会、开发者、贡献方、参与方、项目托管平台等组成。
• 开源社区是依托网络平台的虚拟组织，由开发者共同维护。
• 开源基金会作为社区管理者，对开源资源、规则和知识产权有重要影响。

开源软件模式

• 产权模式：开源软件和闭源软件均受版权法保护，但开源软件通常不包括人身权。
• 开发模式：开源采用“集市”模式，强调开放协作和透明流程。
• 商业模式：包括双重授权、硬件捆绑、增值服务、技术支持和广告盈利等多种形式。

关键信息

开源许可协议分类与知识产权规定

1. 强著佐权型许可协议（如GPL v2、v3、AGPL v3）：

   • 要求衍生作品也需遵循相同协议，具有“传染性”。
   • 明示专利授权，存在“专利报复”条款，防止专利诉讼。
   • 无商标授权，用户需注意使用规范。

2. 弱著佐权型许可协议（如LGPL、MPL、CPL、EPL）：

   • 要求部分代码遵循Copyleft机制，其余可闭源。
   • 存在专利授权和“专利报复”条款，但不如强著佐权型严格。
   • 无商标授权，使用需谨慎。

3. 宽容型许可协议（如MIT、Apache v2、BSD）：

   • 对修改代码无特别要求，商业友好度高。
   • 无专利授权，专利风险较高。
   • 无商标授权，需注意使用限制。

开源许可协议兼容性

• 强著佐权型与强著佐权型：通常不兼容，如GPL v2与GPL v3。
• 强著佐权型与弱著佐权型：存在冲突，兼容性较差。
• 强著佐权型与宽容型：部分协议存在冲突，如GPL v2与Apache v2。
• 弱著佐权型与宽容型：通常兼容。
• 兼容性判断：主要看协议条款是否冲突，若不涉及软件发布，仅内部使用则无需考虑兼容性。

开源软件知识产权风险种类

1. 版权侵权风险：

   • 未按许可协议使用开源软件，如未提供源代码或未标注修改信息。
   • 贡献者未经授权贡献非原创代码，导致版权瑕疵。

2. 专利侵权风险：

   • 内部：贡献者以个人名义发起专利诉讼。
   • 外部：第三方对开源软件发起专利诉讼，如微软对Linux的专利主张。

3. 商标侵权风险：

   • 使用未经许可的商标、服务标记等进行宣传。
   • 部分协议（如Apache v2）对商标使用有明确限制。

开源软件知识产权风险影响因素

1. 开源许可协议：

   • 不同协议对版权、专利、商标的规定不同，影响风险程度。
   • 需注意协议版本变更，避免使用风险。

2. 开源社区知识产权管理：

   • 开源社区对代码审核和贡献者授权有不同管理方式。
   • 如Apache社区要求贡献者签署ICLA，降低版权风险。

3. 开源软件使用方式：

   • 仅运行可执行版本，风险较低。
   • 修改后不发布，风险也较小。
   • 修改后发布，需严格遵守许可协议，风险最大。

风险防控建议

增强开源风险意识，建立风险防控体系

• 正确认识开源软件风险，增强防范意识。
• 建立多部门协作机制，如法务、技术、采购部门共同参与。
• 成立开源委员会或工作小组，统筹管理开源法律风险。

建立开源软件风险防控全流程管理

1. 引入阶段：

   • 审查开源许可协议，确保与企业商业模式兼容。
   • 了解社区知识产权管理，评估代码来源可靠性。

2. 开发阶段：

   • 记录所有开源代码模块名称、版本及许可协议。
   • 定期跟踪协议变更，及时调整使用策略。

3. 发布阶段：

   • 审核产品是否包含开源模块，是否遗漏或未按规定声明。
   • 确保获取源代码的方式合法可用。

法务部门需做好开源相关法律研究工作

• 准确解读开源许可协议，关注版权、专利、商标等条款。
• 跟踪开源相关司法案例，了解法律判例与判决依据。
• 为企业的开源法律纠纷应对和诉讼防控提供支持。

附件：开源知识产权热点事件分析

ARTIFEX诉HANCOM

• 事件：Hancom未按AGPL协议提供Ghostscript修改代码，Artifex起诉要求补缴许可费。
• 解读：案件确立了GPL类协议的法律合同属性，强调协议的强制执行力。

Facebook修改开源许可协议

• 事件：Facebook将React.js许可协议从BSD改为BSD+Patents，并在部分项目中使用MIT协议。
• 解读：该协议限制用户向Facebook发起专利诉讼，引发行业争议。

MongoDB变更开源许可协议

• 事件：MongoDB从AGPL v3切换至SSPL，限制云服务厂商使用其代码而不公开源代码。
• 解读：SSPL旨在防止云服务商滥用开源软件价值，同时对云服务商造成较大影响。

结论

开源软件已成为推动技术创新的重要工具，但其知识产权问题复杂且风险较高。企业应增强风险意识，建立系统化的开源风险防控体系，严格遵守许可协议条款，关注社区管理与协议变更，确保合法合规使用开源软件。