THE LINUX FOUNDATION PROJECTS

Featured

製品開発サプライチェーンでのライセンス情報授受の仕組みに関わる、「組織間のライセンス情報授受」サブグループの活動ご紹介

ルネサスエレクトロニクス(株)の伊藤と申します。製品開発サプライチェーンでのライセンス情報授受の仕組みに関わる、「組織間のライセンス情報授受」サブグループの活動を紹介いたします。 なんのための活動？ 組織・企業間でライセンス情報を正しく伝えるために 製品開発やサービスを行うために、ソフトウェアを開発する場合、ソフトウェアを部品(パッケージ・モジュール)単位で開発を分担することが一般的です。 個別のソフトウェア開発元・コミュニティ → 複数のソフトウェアを取りまとめてパッケージする企業・組織 → 仕様を決め、全体をまとめ、一まとまりの製品として開発する企業 → 製品要件などを決め、実際に顧客へと販売する企業、と企業・組織間のサプライチェーンに沿って、製品を構成するハードウェアに付随するソフトウェアを基盤に開発すること、市販されているソフトウェアをサービスの一部に組み入れること、目的に合わせたソフトウェアをその分野に強い企業・組織に個別に開発してもらう、などと、ソフトウェアは渡っていきます。 それら企業・組織間で授受されるソフトウェアには、必ずライセンスの条件など、付随する情報が伴います。 特にオープン ソース ソフトウェア(OSS)が含まれる場合、組織間の明示的な委託・受託契約で定義されるライセンス条件に加えて、OSSの配布に伴い提供すべき各種情報、その他のソフトウェア　パッケージに関わるライセンス条件などを示す情報を、ソフトウェアと一緒に引き渡し、遵守する必要があります。 OSSのライセンスを遵守するためには、これらサプライチェーン上に位置する全ての企業が正確なライセンス情報を提供することが必要になります。サプライチェーン上で1社でもライセンス情報の提供を正確に提供することができないと、その企業より下流にある企業全てがOSSライセンスを遵守できなくなります。OSSのサプライチェーンに関係する担当者全員が理解して正確に作業することによって、適切にOSSの各ライセンスの条件を遵守することが可能になります。 このサブグループでは、「サプライチェーン上に位置する全ての企業が正確なライセンス情報を提供する」ための仕組み・ガイドを作成し、全ての企業・組織、そしてコミュニティが容易にOSSライセンスの遵守できることを目的に活動しています。 活動方針 業界標準のフォーマットを用いたライセンス情報の伝達と、より簡便な方法の提案 このサブグループは、ライセンス情報をあつかう上で、業界でも知られている標準的な手段の活用と、さらに、その手段への改善提案を行うことを、基本方針として活動しています。 ライセンス情報を扱うためのプロジェクトとして、Linux Foundation傘下にSoftware Package Data Exchange Workgroup (SPDX)があります。 SPDX Workgroupは、SPDXフォーマットを定義しており(本稿記載時点での最新版は、SPDX Specification...

Featured

OpenChain Japan WG Tooling Sub-WGの活動について

Tooling SWGとは （Japan WG Tooling Sub WGという名前は長いので、この記事ではTSWGとします）OpenChain Japan WGでは、さまざまな活動が行われていますが、TSWGの目的は、OSSコンプライアンスのための活用できるツールの情報を「（できるだけ）日本語で紹介」して「ツールを使いたい人のハードルが下がると良いな」という気持ちで活動しているWGです。2019年3月から活動しています。 なぜツールが重要か？ OSSコンプライアンスを一言で説明すると、「OSSライセンスを守って正しく使う」ということになります（リスク云々の話はあえてしません）。そのためには、OSSの入手、利用（開発）、成果物リリース、運用・保守までの一連のプロセスで、OSSライセンスを意識しなければなりません。各プロセスですべきことを簡単にまとめると、次のようになります。 手順 やること 入手 OSSライセンスや著作者などを確認 利用 独自実装部分とOSS、OSS間の依存関係でライセンスの矛盾がないか等を確認 リリース 利用したOSSを記録し、提供する各種ドキュメントやソースコードを用意 保守 問い合わせに対応。脆弱性などの不具合への対応 これらの作業を手作業で行うのは、次のような理由でとても大変です。 OSSライセンスの種類が多数ある 組み合わせることができないOSSライセンスの組合せが存在する 一つのOSSのソースコード群が必ず一つのOSSライセンスに対応するとは限らない ツールを上手く活用することで、OSSライセンスの確認や、管理の手間を大幅に削減することが可能となります。また、ツールのアウトプットを標準的な形（例：SPDX）で蓄積することで、ツール間の情報流通を簡単に行うことができるというメリットもあり、結果としてOSS活用のハードルが下がる可能性もあります。 TSWGができた訳 OSSコンプライアンスのためのツールは多数ありますが、それらツールに関する情報のほとんどは英語で記述されており、日本語で気軽に情報交換できる場がありませんでした。とはいえ、日本にも海外の開発者と一緒にツールに関する活動に関わっている人もそれなりにいるため、「日本でOSSコンプライアンスのツールを活用しやすくする目的のために、最先端のツール開発状況や利用方法について、気軽に情報交換できる場を作ろう」というモチベーションで始まったのがTSWGです。 TSWGの活動内容 TSWGの活動の主軸は、「参加メンバ間でツールに関して議論する」です。その活動の成果として、次のようなものを想定しています。...

Featured