汽车行业的独特特点在于其庞大而复杂的产业链和广泛的供应链。源代码往往分散在不同产业链的不同主体手中，因此，如何从黑盒或灰盒的角度对整车进行软件成分分析成为行业内的一大挑战。在这一背景下，“天玑”软件成分分析工具应运而生，旨在为解决这一行业痛点提供全面而创新的解决方案。同时，根据数据统计，高达70%的漏洞可以追溯到系统固件存在问题。在这方面，与源代码相比，二进制固件更容易获取。因此，以固件为重点进行软件成分分析已经成为解决汽车安全漏洞和风险识别的主流思路。

“天玑”软件成分分析平台通过深度分析固件的软件成分，准确识别固件中的各个组件。随后，利用组件与漏洞、风险以及许可证的关联关系信息，全面识别固件中存在的漏洞、潜在风险以及许可证信息。截至目前，该平台已经成功集成了超过800万条涵盖汽车常用组件的信息，并关联了13万余条风险信息。值得一提的是，该平台在汽车产品漏洞识别方面的准确率达到国际领先水平。

图1 “天玑”软件成分分析平台

“天玑”软件成分分析平台致力于解决汽车行业车联网软件研发开源治理中的安全问题。该工具基于多年对汽车行业需求及车联网生态的深刻理解，运用先进的文件解压、二进制指纹特征提取及快速匹配技术，充分收集车联网生态开源软件数据，打造出一款安全、高效、易用的软件成分分析及已知漏洞检测产品。

图2 “天玑”软件成分分析详情界面

图3 高效识别软件成分