上周跟苏州做数控系统的老周喝冰啤，他刚捏着手机给我看了封律师函。
27万。
就因为他的团队前年赶项目进度，从GitHub扒了个开源运动控制库，改了300多行代码，直接烧进了卖给江浙沪小工厂的数控固件里。
没人提醒他看协议。
他甚至以为那库是无版权的。
为什么工业场景的开源合规，比互联网难10倍？
互联网公司用开源大多是上层应用，出了问题大不了删了换个库，工业场景的代码是嵌在硬件里的，跟电机、传感器、PLC绑死了，改都改不动。GPL协议的传染性在工业场景里是最坑的——很多人以为只有完全复制开源代码才要公开衍生作品，根本不知道只要把GPL库静态链接进了你的主程序，整个主程序的代码都属于衍生作品范畴。
问：我们公司用开源代码都是改了好几轮的，算不算衍生作品，真的要公开全部源码吗？
答：别拿改了多少行当挡箭牌。司法实践里根本不看修改量，只要你的程序调用了开源库的接口、或者把库代码直接编译进了固件，哪怕你只改了一行注释，都属于衍生作品。尤其是工业场景里的静态链接，100%触发GPL的传染性要求。
很多工业企业的研发团队根本没有合规意识，以前都是在各种技术论坛、开源仓库扒代码，拿过来就用，连协议页面都没点开过。我去年碰到个做智能电表的厂商，用了个开源的加密算法库，协议是AGPLv3的——这玩意儿比GPL还狠，只要你通过网络给用户提供服务，就得公开整个服务端的代码。当时他们已经给南方三个省的电网供了10万台设备，差点赔到破产。
2024年制造企业开源合规的3个必做动作
✅ 先做全量的二进制层组件溯源。别只扫上层的Python、Java管理界面代码，90%的坑都埋在底层C写的驱动、运动控制、固件代码里。现在国内已经有专门针对工业固件的扫描工具，不用你提供源码，直接把编译好的bin文件丢进去，就能扫出里面嵌的所有开源组件、对应协议版本。
❗ 别信“开源无商用限制”的鬼话。我碰到过太多研发说“这库是开源的，随便用”，结果点进去协议一看：要么是GPLv3，要么是明确标注“仅用于学术研究”的非商用协议。比如去年有个做机器视觉的客户，用了个开源的缺陷检测算法库，被版权方索赔40万——人家的协议里写的明明白白，商用要单独买授权。
💡 建开源组件白名单制度。所有要引入的开源库，先过嵌入式工程师+法务的双重审核：MIT、Apache2.0这类宽松协议的可以进白名单；GPL系列的除非是完全独立的动态链接进程，不然一律不准引入。别嫌麻烦，等律师函寄到门口，花的钱比审核成本高100倍都不止。
问：我们已经用了好几个GPL的库，产品都卖了三四年了，现在整改的话，是不是要把所有固件代码公开？
答：不用慌到睡不着觉。先排查这些库的使用场景：如果是动态链接的独立进程，你只需要公开这个独立进程的代码，不用动主程序；如果是已经卖出去的存量产品，大部分版权方的诉求是补付授权费，而不是逼你公开全部核心代码——当然前提是你主动去沟通，别等人家把律师函寄到公司前台，再谈就没有协商空间了。
别把开源合规做成“一刀切”的禁令
很多老板一听到开源合规，第一反应是“以后所有开源代码都不准用了”，这完全是矫枉过正。说实话，现在工业领域的研发效率提升，一半都靠开源：比如ROS2的机器人框架、开源的EtherCAT主站、Modbus协议栈，这些东西比你自己从零开发的稳定10倍，成本差多少？
差10倍都不止。
比如杭州那家做协作机器人的厂商，整个运动控制框架都是基于Apache2.0的开源代码改的，合规做的细：每个开源组件的版本、修改记录、授权文件都存的好好的，不仅没踩坑，研发成本直接降了60%，去年拿了2个亿的融资，产品卖到了德国。
我见过最离谱的老板，说“我一年才卖几百万的货，版权方还能特意飞过来告我？”结果去年被美国一个开源基金会告了，赔了30万，还得公开所有相关代码，悔的肠子都青了。真不是危言耸听，现在国内工业产品出海的越来越多，海外的版权诉讼成本极低，人家发个律师函，你要是不理，直接给你加个出口黑名单，哭都来不及。
上周跟老周吃第二顿冰啤的时候，他说已经花了两万块把全公司的固件都扫了一遍，列了个整改清单，补了两个库的商用授权。他说以前觉得合规是给大公司做的事，现在才明白——哪怕你是个几十人的小厂，只要用了开源代码，就得守规矩。毕竟几十万的赔款，够小厂吃半年的了。
免责声明：文章内容来自互联网，本站仅作为分享，不对其真实性负责，如有侵权等情况，请与本站联系删除。
转载请注明出处：工业开源合规：制造企业踩过的那些真坑，别再交几十万学费了 https://www.dachanpin.com/a/tg/71805.html
