软件物料清单：制造企业必须补上的数字化供应链一课

前两个月跑长三角见了三个做装备制造的老板。个个都在问同一个问题：软件物料清单到底怎么搞？搁两年前，他们说这玩意儿就是互联网程序员玩的虚头巴脑的东西，跟我们做实体的不搭边。现在呢？订单拿不拿得到，要看你有没有。出了事赔不赔得起，也要看你有没有。 💡 2024年开始，欧美已经要求进口的联网工业产品、乘用车辆必须提供完整的软件物料清单，不然不准进关。国内头部新势力车企、光伏装备厂商也早就把软件物料清单纳入了供应商准入要求，没这个东西，连投标门槛都摸不到。

为什么制造行业突然都在抢着做软件物料清单？

现在的工业产品，早就不是纯硬件堆出来的时代了。一台新能源汽车，代码量超过1亿行，大大小小上百个ECU，每个都带软件。一台六轴工业机器人，光是嵌入式软件的组件就有上千个。哪怕你做的是一个普通的联网注塑机，控制面板里的系统软件也藏着N多开源组件。以前我们做硬件BOM，一个螺丝一个零件都列得清清楚楚，软件从来都是“黑盒”，没人管里面装了啥。这两年出的事儿还少吗？某车企因为开源组件漏洞，召回三十多万台整车，直接亏了十几个亿。某装备厂商因为用了无授权的商业软件，被作者告上法庭，赔了两百万还停了产。说白了，软件物料清单就是把软件的“黑盒”拆开，给每一个软件组件做“身份证”，记录它的版本、版权、许可证、漏洞信息，出问题能第一时间找到，合规能拿出证据。

问：我们工厂只做五金结构件加工，不开发软件，还要做软件物料清单吗？答：太要了。你给客户供货，配套的电机、控制面板是不是外购的？这些外购件自带的嵌入式软件，出了漏洞或者版权问题，找的第一个就是你这个整机供应商。现在下游客户要求所有供应商提供所有带软件部件的软件物料清单，你拿不出来，直接取消供应商资格。我上个月就听说东莞一家做汽车结构件的厂，本来都拿到入场资格了，就是缺这个，直接被刷下来。太可惜。

工业领域做软件物料清单的常见坑

说实话，我见过太多企业踩坑，钱花了不少，最后做出来的软件物料清单根本没用。 ❗ 第一个坑：只理自己开发的软件，不管供应商的很多企业觉得，我自己写的软件我列出来就行，供应商给的固件我犯不着管。出了问题，背锅的绝对是你，因为你是最终产品的提供商，客户找的就是你。 ❗ 第二个坑：做一次就扔在一边再也不更新软件漏洞是天天爆的，去年的Log4j2，前年的Spring，哪一个不是埋在老版本软件里的雷？你一年前做的软件物料清单，现在版本早就变了，漏洞爆了你都不知道哪里有问题，等于白做。 ❗ 第三个坑：用Excel人工管理别不信，真的很多小企业这么干。几千个软件组件，版本变一次就要改一次，人工怎么可能不出错？我见过一个企业，Excel里错了三百多个版本号，去年漏洞爆了之后，全公司翻了三天，都没确认清楚自己的产品里有没有问题，白白耽误了召回的最佳时间，亏了一大笔。问：软件物料清单不就是列个清单出来就行？有那么复杂吗？答：还真不是你想的那么简单。软件和硬件不一样，一个应用软件里能嵌套上百个开源组件，一个开源组件里又能嵌套好几个别的组件，不经过自动化扫描，你根本不知道里面藏了多少东西。而且你还要记录每一个组件的许可证类型，哪个能商用，哪个不能闭源使用，哪个需要开源自己的代码，这些错一个都是合规风险。不是你写个“用了某某软件”就算完的。

不过话说回来，也不用把软件物料清单想的太玄乎。本质就是管软件的供应链，和你管硬件的零件是一个逻辑。

制造企业落地软件物料清单从哪一步开始

很多企业上来就想搞大而全，买几十万的管理平台，招三五个人的专门团队，折腾了一年还没上线，钱花光了，信心也磨没了。完全没必要。我给接触过的企业都是这么建议的： ✅ 先理清楚你的所有产品里，哪些部分带软件。不管是自己开发的，还是供应商给的，还是外购部件自带的，先拉出一个粗清单，把责任范围划清楚。 ✅ 先搞定红线问题：所有开源组件的许可证。很多企业稀里糊涂用了GPL协议的开源组件做闭源商用，被作者找上门索赔的不在少数，先把这部分风险清理掉，比什么都重要。 ✅ 用自动化扫描工具先扫一遍现有产品，把所有隐性嵌套的组件挖出来。自动化扫描比人工准一万倍，成本也低，小厂商买个按次付费的扫描服务，几千块钱就能搞定第一次梳理。 ✅ 最后再把软件物料清单要求纳入供应商准入和研发流程。以后新供应商进来，先要看能不能提供合格的软件物料清单，新研发产品，从需求阶段就同步梳理组件，慢慢就跑通了。现在的制造业，早就进入了软件定义产品的时代。你卖的不是一堆钢铁和零件，是软硬件结合的整体。软件出问题，你的品牌、利润甚至生存都会受影响。软件物料清单不是什么高大上的数字化噱头，是你活下去、拿到订单的必备基建而已。