Wind River Studio Linux Services - 約20年間にわたる高度なカスタムLinuxシステム支援で蓄積してきたノウハウを活用

By Amit Ronen, Senior Vice President, Wind River Customer Success

ウインドリバーのLinuxとオープンソースでの約20年にわたるミッションクリティカル業界での経験は、業界でよく知られています。 事実、VDC Research社の最新レポートでは、ウインドリバーは商用組込みLinuxの世界売上高におけるリーダーです。

Linux の採用とコミュニティの価値に対する理解が深まっても、企業はメインラインからのフォーク、最新の状態への維持、コミュニティへの貢献のアップストリーム化など、技術的負債に関する大きな課題に直面しています。 ウインドリバーは航空宇宙、自動車、防衛、産業機器、医療機器、通信分野などのミッションクリティカル業界で、パイオニアとして技術的負債の削減を支援してきました。

組込み開発者のうち、技術的負債を把握しているエンジニアはわずか７％です。 しかし、エンジニアの66％はデバイスもしくはシステムの設計からライフサイクルに至る全工程において、プロジェクトおよびプログラムでの技術的負債を大量に抱えてしまった経験があります。 技術的負債はイノベーションを妨げます。プロジェクトの進行を遅らせ、セキュリティの脆弱性を増加させます。また、人材が限られている時には、リソースの維持が難しくなります。

組込みLinuxで生じる技術的負債の調査結果（2022年2月）

ウインドリバーのミッションクリティカルな組込みLinuxおよびサービスで蓄積されたノウハウとYocto Projectコミュニティへの貢献（Yocto Project発足以来2番目の貢献者です）を結集し、Wind River Studio Linux Servicesの発表へと至りました。

Studio Linux Servicesでは、以下のサービスを提供しています。

• 1. セキュリティとコンプライアンスのスキャン
• 2. セキュリティとコンプライアンスの解析とレメディエーション
• 3. ライフサイクルセキュリティ
• 4. ライフサイクル・パフォーマンス・アシュアランス
• 5. アーキテクチャと実装

最初に紹介する２つの「セキュリティとコンプライアンス」サービスは、ここ数年で急増している様々なセキュリティ脅威に対し、お客様を支援する目的で設計されています。 セキュリティセーフガードの適用は開発チームにとって最優先事項です。しかし、これらのチームには、セキュリティ脆弱性を修正するための帯域幅や時間、適切なコンプライアンス分析ツールの使用経験がないケースがあります。 複雑な組込みソフトウェアシステム向けにチューニングされた自動セキュリティおよびコンプライアンススキャンを活用し、開発者がソリューションに潜在する脆弱性やライセンス問題を迅速に特定できるよう支援します。 プロフェッショナルグレードのセキュリティおよびコンプライアンススキャンにより、開発者は共通脆弱性やコンプライアンスの問題に対する潜在的なリスクをくまなく評価することができます。 脆弱性のアセスメントスキャンは、詳細分析を必要とする「要注意項目」特定し、その影響と緩和のためのより深い分析、そして特定された技術的負債を解消するためのレメディエーションを提案します。 Yocto Project、NISTをはじめとする公開ソース、Wind River Linuxのデータベースなどから収集したデータを使用して、既知の共通脆弱性識別子（CVE）を特定します。

自動車に例えて考えてみましょう。最初に紹介した2つのサービスは「セキュリティ」の診断サービスと脆弱性の緩和もしくは対策となり類似しています。 次に紹介する２つのサービスはオートモーティブサービス契約に限りなく類似しています。お客様のプロジェクトが導入され、今後何年にもわたってサポートされる際に直面するライフサイクルの課題に対応するように設計されています。 デプロイ後は、しばしば最も困難な課題と予期せぬエスカレーションコストが発生する可能性があり、セキュリティの脆弱性、欠陥、コンプライアンスの問題に対するリスクと公開を管理するための規律正しいアプローチが必要とされます。 ライフサイクルセキュリティとライフサイクル・アシュアランスサービスでは、お客様のプロジェクトに影響を及ぼす既知の脆弱性や不具合を継続的に監視し、緩和します。 これらのタスクはエンジニアリングによるリソースへのコミットメントと投資を必要とします。多くの場合、企画立案とプロジェクトの開始時期では慎重に検討されませんが、製品の開発からデプロイメント、ライフタイムに至る全ての工程でリソースが必要となるでしょう。

2つの「ライフサイクルサービス」は、Linux プラットフォームの継続的なセキュリティ監視とオンデマンドスキャン、Linux のコンプライアンス要件を管理するためのライセンス使用状況の確認などの重要な機能を提供します。 お客様のLinuxプラットフォームで使用されているすべてのライセンスをスキャンし、その許容性、コピーレフト、互換性、および推移的依存性に基づいて分類します。 さらに、協働トリアージとアセスメントを提供することで、お客様のチームと連携し共通脆弱性評価システム（CVSS）の閾値、影響の深刻度、攻撃と防御の難度をもとにセキュリティ脆弱性をいち早く特定し、優先度別に分類します。 当社チームは重要かつ優先順位の高いCVEや不具合に対処するための緩和計画を提案し、緊急および重要に分類されるCVEに対する修正を行います。 これらのサービスを導入することで、開発チームを拡張・強化し、アプリケーションサービスの構築という主要なタスクに集中するこができるため、費用対効果の高い方法であることをすぐに実感いただけると思います。 再び自動車に例えると、この2つのサービスは、ほとんどのOEMメーカーが提供しているバンパーからバンパーまでの（延々とつながる）長期メンテナンスサービスであるといえます。

ウインドリバーが提供する5番目のサービスは「アーキテクチャと実装」です。このサービスは、PoCを経て製品を商用環境にデプロイする支援をします。 システムアーキテクチャ、機能設計と統合、そして長期にわたる管理といった、ソフトウェア開発のライフサイクル全体を見据えた包括的なソリューションサービスです。 これまで、自動車、産業機器、医療機器、航空宇宙業界で新製品をイノベーションするためにオープンソースを利用している大手のLinux顧客がこのサービスを利用して成功を収めてきました。そしていま、私たちはこの実績をYoctoベースのプロジェクトに応用できるようになりました。

Wind River Linux以外でも、自社開発のLinuxを推移したい企業があることを私たちは理解しています。 例えば、NXP、TI、もしくはAMDのような半導体ベンダーが提供する特定のボード固有のLinuxを利用したい、もしくは、独自のYocto Projectベースディストリビューションを自分たちで構築したいといったニーズです。 どのようにLinuxプラットフォームを構築するかにかかわらず、誰もが克服しなければならない共通の課題があります。 Studio Linux Services は、オープンソースプロジェクトのリスクを低減し、アプリケーションのデプロイメント時間を短縮することで、TCO を削減し、貴重なリソースをイノベーションに集中できるよう支援します

詳細は下記、Studio Linux Servicesのサイトをご覧ください。
https://www.windriver.com/japan/services/linux