依靠开放创新，破解信息领域核心技术安全发展难题

作者：工业和信息化部赛迪智库网络空间研究所 王闯

长期以来，信息领域核心技术受制于人的问题给我国网络安全埋下重大隐患，而我国核心技术产业安全发展方面也存在多种声音，无法形成全力。2016年4月19日，习总书记在网络安全和信息化工作座谈会中进一步明确了核心技术发展的目标和路径。事实上，核心技术发展是安全与发展问题的一个典型案例，必须将自主创新和开放发展结合起来，通过推动核心技术产品安全可控打通自主创新与引进消化吸收之间的坚冰，形成开放创新之路，在拥抱世界的同时，快速形成自己的能力，解决核心技术产业安全发展难题。

一、自主创新是发展信息领域核心技术的基石

对信息领域而言，核心技术的范畴已经比较明确，主要包括以下三部分。一是基础和通用技术，最典型的就是芯片和操作系统，这是构建信息技术产品和系统的基础，也是我国突破核心技术受制于人的焦点，从华为、中兴遭受美国制裁的事件看，最大的威胁就源于美国可以切断其芯片供应链。二是非对称和“杀手锏”技术，最典型的就是网络攻防类技术，网络空间具备明显的攻强守弱特性，在难以有效防御美国网络监控、网络攻击等手段的情况下，我们要形成网络攻击追踪溯源等有较强威慑力的技术手段和能力。三是前沿和颠覆性技术，最典型的是量子计算、生物计算等颠覆现有计算体系的技术，这才是能够使得我们在新一轮信息技术发展竞技场中取得先机、掌握游戏规则的关键。

当前我国在发展核心技术上存在自主和引进之争，但实际上两者是辩证统一的。首先，我们必须认识到市场和金钱换不来核心技术，必须靠自己研发、自己发展。前面所述的三类技术，后两种属于非市场化的核心技术，有些技术全世界都处于科研攻关阶段，有些则被视为国家核心机密，我们唯有自主创新。而基础、通用技术属于市场化程度较高的成熟技术，我们可以通过一定的途径获得落后主流产品一代或二代的部分核心技术，但种种限制条件也使得我们难以掌控技术发展主导权。其次，自主创新离不开全球资源，自主创新并不是什么事情都要自己做，关起门来另搞一套体系。信息技术是从西方发展起来的，我们要尊重和借鉴现有的技术成果。实际上，龙芯和申威等自主中央处理器产品也是在国外技术体系下发展起来的，而我们自主创新的技术和产品也要走向世界才能真正形成主导权。最后，引进消化吸收的最终目的仍是自主创新，引进不是目的，实现消化吸收再创新、形成自主创新能力才是目的。在芯片、操作系统这些基础技术方面，国外厂商已经形成了牢固的市场地位，“Wintel”和“AA”组合牢牢掌控着生态体系，通过技术引进可以有效利用其生态优势，但在发展过程中必须落脚在自主创新上，不能沦为国外厂商的傀儡和工具。

二、开放创新是发展信息领域核心技术的必由之路

互联网让世界变成了地球村，在全球化发展的环境下，发展核心技术必须走开放创新之路。首先，信息领域核心技术的发展离不开全球化资源。没有一个企业或国家可以垄断整个产业链，以芯片为例，包括设计、流片、封装、测试材料和设备等一系列环节，世界上只有英特尔和三星具有相对完整的产业链，但在工具、驱动、操作系统和上层应用方面也需要其他企业的配合。缺乏产业链上下游支持也是自主芯片发展之殇，中国短期内也无法自己完成产业链所有的环节。发展核心技术必须走开放合作之路。其次，信息领域核心技术的发展离不开全球市场。核心技术研发的最终结果，不应只是技术报告、科研论文、实验室样品，而应是市场产品、技术实力、产业实力。我们研发的核心技术不能只用在特殊市场，只有走进全球市场，才能的维持技术研发、生产的正常运转。以芯片为例，IBM就因设计和制造的资金投入规模不断加大，被迫以补贴15亿美元的价格将芯片制造业务出售给格罗方德。最后，我们在基础和通用技术方面基础过于薄弱，技术能力差距过大，产业生态也由国外掌控，在未来十年及至二十年中，我们还将处于追赶期。通过引进消化吸收,不仅可以快速提升技术水平，还能培养核心技术人才，能够有效加速这一进程，仍将是核心技术产业发展的主流选择。

引进只是开放创新的第一步，开放创新要落脚在形成自主创新能力。首先，引进是以自主创新能力为基础的。技术引进不是陌生的概念，我们在改革开放之初便一直强调推行“市场换技术”的理念，但最初的结果并不乐观，国外对核心技术的开放程度与我国自主创新能力是成正比的，往往是我们花大力气研发出来接近国外的技术时，国外马上就开始向我们开放。其次，消化吸收再创新并不比自主创新容易。技术引进意味着进入别人的技术体系，当前完备的知识产权保护体系使得我们很难实现技术跨越。像高铁、移动通信等通过技术引进实现技术跨越的成功案例屈指可数，且都是在特殊领域中，在信息技术产品这种开放市场很难复制成功。以芯片为例，即使是落后一代的技术，国外厂商倾囊相授，我们也要消化吸收至少要三年时间，走进市场时至少落后两到三代，形成市场能力并生存下来都很困难，再创新更是步履维艰。最后，应以技术掌控能力为判断开放创新成败的核心标准。开放创新引进的不应是简单的产品形态，而应该是核心技术掌控能力和市场竞争力。以芯片为例，技术引进企业应至少实现对核心技术的“可知、可编和可重构”，或者从产品性能角度实现大幅度提升。但有一些技术引进的企业中，存在明显的投机心理，在未形成自主创新能力时就给产品标上国产或自主的标签，进而争取国家资金或进入市场。

三、实现核心技术产品安全可控是推动产业安全发展的重要保障

安全可控是指产品使用者能够有效掌握产品的控制权，不因对产品的依赖性而遭受安全威胁或非法侵害。对于国家而言，产品不应因主动后门或漏洞，而导致关系国家安全和国计民生重要信息系统的安全保障能力弱化；产品提供者不应主动配合域外机构要求，而做出弱化系统安全保障、泄露系统数据或中断产品供应等举动；对于企业而言，产品不应被主动嵌入恶意后门或漏洞，产品提供者非法收集或处理涉及企业秘密的数据；对个人用户而言，产品不应非法收集或处理个人数据，不应非法控制用户设备，或通过管理或技术手段胁迫用户进行系统升级等行为。事实上，我们可以认为自主可控是安全可控的最高等级，当产品完全由自己研发、生产、维护时，产品则不会面临前面所述的各类问题。同时，根据前面所述的概念可以看出，安全可控是相对的，说一个产品是安全可控的，应明确是用户所在的区域是哪里、用户的安全需求是什么，如Intel的芯片对于美国政府用户和中国政府用户而言，其安全可控程度不同，对中国军方用户和普通用户也是不同的。

实现核心技术产品的安全可控，有助于推动信息技术产业安全发展，即产业发展的主导权掌控在自己手里。一是有助于提升核心技术自主创新能力。对于我国境内市场的用户而言，由国内厂商自主研发的核心技术产品安全可控程度相对较高，核心技术中的后两类技术主要依靠自主创新，基础和通用技术则需要引进消化吸收。提升引进技术的安全可控水平，有助于推动企业培养自主创新能力。二是有助于推动自主核心技术产业发展。当前我国信息技术产品市场可以大致划分为三块：涉及国家安全的党政军等安全可控市场、企业级市场和民用市场。实际上，信息领域的核心技术往往军民两用，如美国的军用信息技术产品大都由民用产品转化而来。推动核心技术产品的安全可控，有助于整合各类信息技术产品市场，培养更具市场统治力的龙头企业，使具备自主创新能力的企业扩大市场占有率，进而带动产业能力提升，加速融入国际现有技术发展体系，争取核心技术发展的控制权。

四、实现核心技术产品安全可控应采取的措施

首先要加速制定信息技术产品安全可控评价标准。一是推进安全可控评价标准制定工作。国家信息安全标准化委员会于2015年启动安全可控系列标准制定项目，涵盖了中央处理器、操作系统等十余类核心信息技术产品，该系列标准应尽快推出并有效实施。二是确保标准在提升自主创新能力的作用。标准应根据信息技术产品各自的技术特点，重点考查企业对核心技术的掌控能力、产品供应链安全性和产品生态链安全性等，进而有效促进企业不断提升技术掌控能力。

其次要建立完善的安全可控评价实施方案。一是建立信息技术产品安全可控评价机制。由国家主管部门牵头成立工作组，依据网络安全需求划定开展评价工作的对象，明确工作流程和依托单位。二是形成有效的标准合规性审查方案。核心是考查企业对核心技术的掌控能力，可通过现场考试等方式考查，如针对中央处理器产品，可由技术专家团队设定公开题库，通过随机修改源代码回答结果或修改源代码实现指定功能等方式考查技术团队对核心技术的掌控能力。三是充分考虑标准对不同安全等级的适应性。标准应该设定为入门等级，而对于安全等级较高的应用场景，可依据安全等级不同而在实施时增加前置条件，如企业的性质、资质等。

再次要推动信息领域核心技术产业安全发展。一是加大科研投入，制定信息领域核心技术发展战略纲要，明确核心技术发展的路线图、时间表、任务书。坚持集中力量办大事的策略，充分利用国家资金和资本运作手段，加大核心技术研发投入力度。二是着力推进核心技术成果转化和产业化。组建产学研用联盟，设立“产业基金”、“创新基金”，加快技术研发市场化速度，形成良性循环的市场化经费支持机制。三是优化安全可控市场发展环境。依托信息技术技术产品安全可控评价标准，整合信息技术产品市场，为具备自主创新能力和市场竞争力的企业提供更开放的市场环境，培育龙头企业，推动产业做大做强。