09 风险挑战与批判性视角
本文回答：信创项目和技术路线在什么情况下会失败；哪些流传甚广的说法与原文不符；对「强制替代边界」等争议，正反双方各自的论据是什么；如何把风险转化为可执行的缓解动作。
前置依赖：全站。特别配合 02 政策脉络、06 安全合规、08 产业经济 阅读。
立场声明：本章刻意保留批判性视角，目的是提高决策质量，而非否定信创方向。事实、行业观点、误传分别标注。
1. 风险全景：七类风险
| 类别 | 核心风险 | 触发阶段 | 影响 |
|---|---|---|---|
| R1 技术 | 性能不达标、闭源组件无对应架构版本、根技术不足 | 选型 / 适配 | 业务不可用、工期失控 |
| R2 生态 | 多芯多 OS 组合爆炸、适配结论跨版本失效 | 全生命周期 | 成本倍数增长、回归面过大 |
| R3 工程 | 数据不一致、回退失效、无源码老系统 | 迁移 / 切换 | 业务中断、数据事故 |
| R4 供应链 | 上游设备/材料/EDA/IP 断点、开源许可证与治理权 | 长期 | 「全栈可控」不成立 |
| R5 合规 | 证书过期、四套体系混用、声明函虚假 | 投标 / 验收 | 废标、追责、返工 |
| R6 治理 | 伪自主、地方保护、寻租、强制边界泛化 | 采购 / 产业 | 劣币驱逐良币、虚假安全感 |
| R7 经济 | TCO 低估、二次选型、厂商锁定、回款周期 | 预算 / 运维 | 项目超支、长期被动 |
2. R1 技术与 R2 生态：碎片化的代价
2.1 组合爆炸（R2）
如 03 §5 所示，「CPU 架构 × OS 发行版 × 内核版本 × 数据库 × 中间件 × 大版本」的组合数极快膨胀。有行业文章记录某省级政务云项目初期因多厂商分散适配，30% 业务系统无法稳定运行，后经全栈协同适配才把故障率降到 5% 以下〔C，行业稿，数值为个案披露〕。
更隐蔽的是版本维度的失效：2025—2026 年安全可靠测评公告显示 OS 内核从 4.19 / 5.10 向 6.6 收敛，驱动、内核模块、系统调用行为随之变化。「去年在麒麟 V10 + 5.10 上通过的适配」不自动适用于 V11 + 6.6。
2.2 性能与专业软件断档（R1）
- 单核性能、高频计算、AI 训练场景仍有差距；有行业分析称某自主指令集桌面 CPU 综合性能约相当于 Intel 十代酷睿 i5，办公够用而高性能场景不足〔C，行业分析，非实测基准〕。
- 数据库层面，执行器特性不同，照搬索引策略会产出慢 SQL，迁移后必须按新执行计划重调（见 07 §3 S2）。
- 工业软件是最大短板：CAD 外资约 85%、CAE 外资超 90%、EDA 三巨头仍占主导、PLC 由西门子/罗克韦尔等主导〔B/C，多源转引，口径需核对〕。工业软件依赖长期工艺知识积累、研发投入周期长、产学研用协同不足、数据格式与用户习惯路径依赖，短期无法通过应用层适配解决。
- 开发者工具链（高性能调试器、静态分析、IDE 插件生态）体验仍有差距。
2.3 缓解动作
- 选型前做依赖矩阵，把闭源组件的目标架构版本作为合同附录。
- 把适配范围收敛到 1—2 套主流组合；用一云多芯在平台层吸收差异。
- 建立版本矩阵台账：每个适配结论绑定 CPU 型号、OS 版本、内核版本、DB 版本；内核或大版本变更触发重测。
- 性能阈值写入合同，以本项目业务基线为准，不引用行业经验值。
3. R3 工程：从「能启动」到「能承载业务」
行业审计视角总结出三类「验收死穴」〔C，行业评论，非官方条文，但可作为自查框架〕：
| 死穴 | 表现 | 自查方法 |
|---|---|---|
| 深度套壳 | 仅改 Logo / 配置名 / 管理界面，内核逻辑与境外开源版本高度一致，缺乏自主补丁能力 | 二进制特征码对比、源码抽检、要求提供自主补丁记录与漏洞响应 SLA |
| 隐形依赖 | 宣称全栈国产，底层驱动或虚拟化层仍调用未授权境外闭源二进制库 | BOM 与 SBOM 全量核查、动态链接库扫描、供应链声明 |
| 适配失效 | 适配清单只是「功能性适配」（能装能启动），非「性能级适配」 | 高并发长稳压测、故障注入、IO/内存/内核稳定性观测 |
数据层风险：Oracle 隐式类型转换导致精度问题、DDL 变更未同步、全量迁移网络拥塞、双轨期间同步延迟、回退脚本未演练、迁移中间数据副本未销毁。缓解方法见 07 §3 S3/S4。
无源码老系统：只能依赖二进制兼容或指令转译运行，稳定性与性能均难保证；有方案称自主研发二进制转译可把性能损耗控制在约 5%〔C，厂商宣传，需独立实测〕。更稳妥的做法是优先外围重建、保留核心只读过渡。
4. R4 供应链：开源依赖与上游断点
4.1 开源的双刃剑
有行业资料称国内超 90% 商业软件包含开源组件〔C，福建省信创适配中心文章〕。三类风险：
- 漏洞风险：开源社区漏洞披露频繁，缺少 SBOM 就无法快速溯源。
- 许可证合规：GPL / Apache / MIT 等义务不同，误用可能引发知识产权纠纷；开源协议变更或社区治理权变化会影响持续可用。
- 供应链污染：恶意代码、后门可能通过依赖链植入。
关键判断：「基于开源二次开发」本身不是问题，问题是有无独立维护分支、修复漏洞、演进架构、参与社区治理的能力。评价「自主率」应看能力而非代码行数占比。
4.2 上游硬约束
见 04 §5：EUV 光刻机完全依赖海外、EDA 整体国产化率 12%—20%（与 03 §4 统一）、高端光刻胶不足 10%、CPU/GPU/NPU 高性能 IP 高度依赖海外、7nm 以下先进制程良率与成本仍需攻坚〔B/C〕。
制度回应：834 号令确立关键领域清单、信息共享、风险监测预警、安全调查与反制；46 号令确立重大决策终身问责；企业侧应建立 SBOM、SCA/SAST/DAST、供应商安全责任协议与多元供应渠道。
必须避免的逻辑错误：用「芯片产量自给率约 70%」证明「供应链已可控」。产量口径包含大量成熟制程与封测，与先进制程、设备、材料、EDA 的可控程度是两回事。
5. R5 合规与 R6 治理：伪自主、地方保护与采购乱象
5.1 「伪信创」的三种形态
| 形态 | 描述 | 危害 |
|---|---|---|
| 套壳 OS | 国产 Linux 界面包 Windows 内核 / 虚拟机 / 双系统，底层仍是 NT 内核与 API | 断供或底层漏洞时外层界面无防护作用 |
| 贴牌芯片 | 购买 x86/ARM 指令集授权甚至 IP 核，代工流片后贴牌，宣称完全自主 | 底层架构受制于人，且连原版补丁渠道都没有 |
| 开源封装 | Ceph / MySQL / Linux 等套中文界面即称自主产品，核心维护权不在国内 | 协议变更或底层漏洞时安全底线失效 |
〔C，行业评论文章归纳〕
治理层的三重危害：
- 安全隐患未真正消除，且「马甲」比原版更脆弱；
- 有限采购预算被套壳产品占用，真正做底层研发的企业失去市场验证机会；
- 给决策者制造虚假安全感——报表上「国产化率 90%」，实际有多少是「洋芯汉皮」无人说得清。
5.2 制度回应与辨析
| 制度 | 实际作用 | 需要纠正的说法 |
|---|---|---|
| 国办发〔2025〕34 号 | 用「属性改变」五类排除项 + 二级组件成本核算，从规则上反贴牌 | 不是「国产 CPU 强制令」，见 02 §3.8 |
| 国资委令第 46 号 | 第十二条「科技创新方面的责任追究情形」第（一）项原文：「通过制售、采购伪创新伪国产产品，虚假完成攻关任务」〔A，sasac.gov.cn 全文〕；另有重大决策终身问责与尽职合规免责 | 部分失实：条款确实存在，但属第十二条「科技创新」五项之一、非首要情形，且限于「虚假完成攻关任务」；说成「购销管理」或「首要追责」才是错处 |
| 834 号令 | 关键领域清单、监测预警、调查与反制、供应链信息透明 | 不直接规定「买什么」 |
| 「十五五」建议 | 明确「消除招标投标、政府采购等方面壁垒」「破除地方保护和市场分割」 | 与需求侧支持政策是并列关系，不是相互否定 |
5.3 采购乱象与机制改革
行业反映的问题包括：品牌捆绑、中标后换货降频、用旧型号芯片贴财政限价上限高价中标、以「无法交付」为由换货但价格不降〔C，行业评论〕。机制侧的回应是按技术路线（C86 / ARM / 自主指令集）分包招标、每包引入多家厂商、让竞争回到性能与价格〔C，须以具体招标文件核实〕。
甲方可直接采用的反制措施：
- 技术规格写「性能指标 + 测评等级 + 具体公告批次 + 有效期」，不写品牌但要求型号与投标样品一致；
- 合同约定「不得以任何理由降配替换，替换需重新测评并承担全部适配成本」；
- 到货验收做型号/固件版本/BOM 抽检；
- 要求提供端到端适配清单与压测报告，而非仅互认证书。
6. R7 经济：TCO、二次选型与厂商锁定
| 风险 | 机制 | 缓解 |
|---|---|---|
| TCO 低估 | 只算采购单价，漏算迁移、认证、双轨、培训、扩容、重测 | 按 5 年全生命周期建模，见 08 §5 |
| 二次选型 | 安全可靠测评有效期三年，产品迭代/供应链变化可致资质失效；部分早期过测产品在后续批次缺席〔C〕 | 合同约定持续合规义务与免费重测/适配；建立证书到期台账 |
| 厂商锁定 | 一云多芯屏蔽差异的同时把调度、镜像、API 绑定到平台 | 约定镜像可导出、API 兼容、数据可迁移、无专有格式 |
| 重复适配 | 多路线并存 + 跨版本重测 | 收敛组合、建立版本矩阵台账、自动化回归流水线 |
| 回款周期 | 地方财政与国企付款节奏影响交付转化 | 分阶段验收与付款节点绑定 |
7. 批判性视角：三组正反论点对照
以下为观点而非事实。列出双方论据，不做裁决，供决策者自行权衡。
7.1 强制替代的边界
| 支持扩大覆盖 | 主张收缩边界 |
|---|---|
| 规模化真实负载是技术成熟的必要条件；无反馈就无法从「可用」到「好用」 | 信创初衷是解决关键基础设施卡脖子问题；扩张到充分竞争领域国企乃至全部办公终端，可能削弱其市场竞争力 |
| 统一采购形成需求基本盘，摊薄研发成本、加速生态形成 | 行政命令替代市场选择，可能形成靠订单续命的「温室产业」，长期竞争力存疑 |
| 分层推进（2+8+N）本身已做了节奏控制 | 采购决策非市场化时，准入、入围、适配认证各环节易成为寻租节点 |
| 「十五五」明确加大政府采购自主创新产品力度〔A〕 | 同一份建议明确消除政府采购壁垒、破除地方保护与市场分割〔A〕 |
可核查的共识：政策文本同时包含「需求牵引」与「统一大市场/公平竞争」两组表述。因此合理的落点是统一规则下的竞争，而非无限扩大行政指定范围。
7.2 技术路线：多元并存还是收敛统一
| 多元并存 | 收敛统一 |
|---|---|
| 避免单点供应风险与锁定，保留自主指令集等长期路线 | 显著降低适配成本，集中生态资源 |
| 分标包引入多家厂商可抑制寡头 | 减少组合爆炸，提升 ISV 投入意愿 |
| 制度现状：按技术路线分包招标、一云多芯 | 有观点认为最终会向少数路线自然集中 |
折中路径：采购端保持多路线竞争，平台端用一云多芯屏蔽差异，应用端收敛到 1—2 套主流组合。
7.3 开放还是封闭
| 强调自主封闭 | 强调开放协同 |
|---|---|
| 极端国际环境下需保证持续技术支持与供应，核心架构须中方主导 | 「完全的封闭化并不意味着产业链供应链安全」，过度强调单一生态内稳链补链，可能形成「小而全、弱而全」，反而降低产业链韧性〔B，中国高新网引述行业专家〕 |
| 自主指令集、根社区自主可控是长期目标 | 开源根社区（openEuler/OpenHarmony/openGauss/RISC-V）能降低重复造轮子、争取国际标准话语权 |
判断：这不是二选一，而是分层处理——底层核心追求可控，上层生态追求开放，通过 SBOM、许可证治理、社区参与度来管理开放带来的风险。
8. 全站误传辨析汇总（速查）
| # | 流传说法 | 判定 | 事实 / 依据 | 详见 |
|---|---|---|---|---|
| 1 | 「2026-01-16 发布信创核心准入目录（第 1 号），覆盖 CPU/OS/数据库」 | 错误 | 实为《安全可靠测评结果公告（2026 年第 1 号）》，仅含 5 款 OS；且测评为自愿申请、结果自主选用 | 06 §4.3 |
| 2 | 「安全可靠 Ⅰ 级是最高等级」 | 错误 | Ⅱ 级高于 Ⅰ 级；HarmonyOS V1.0 获 Ⅱ 级被报道为「首个达到该等级的国产桌面 OS」 | 06 §4.3 |
| 3 | 「Ⅰ 级≈等保二级/三级，Ⅱ 级≈等保三级/四级」 | 无官方依据 | 官方未公开对应关系，系自媒体类比；两套体系对象与依据均不同 | 06 §4.3 |
| 4 | 「国办发 34 号 = 政府采购必须用国产 CPU/OS」 | 错误 | 原文为境内生产属性改变 + 组件成本占比；未含 CPU 品牌/指令集/知识产权要求 | 02 §3.8 |
| 5 | 「34 号文把外资企业排除在外」 | 错误 | 原文明确国企、民企、外资企业一视同仁，禁止按投资者国别歧视 | 02 §3.5 |
| 6 | 「国资委 46 号令明确将采购伪国产列为首要追责情形」 | 部分失实（v1.1 更正） | 第十二条「科技创新」第（一）项确有「通过制售、采购伪创新伪国产产品，虚假完成攻关任务」；错在称其为「首要」、归入「购销管理」（实为第九条）、并泛化为凡采购即追责。答记者问只按方面概述、未逐条列出，不能据此否定令文原文 | 02 §4.4 |
| 7 | 「79 号文规定 2027 年央企 100% 替代」是公开法条 | 需限定 | 文件未见官网公开全文，均为上市公司公告/媒体转述；比例与时间点表述不一 | 02 §5.1 |
| 8 | 「龙芯拓展出 SW-64，申威拓展出 LoongISA」 | 错误（写反） | 龙芯 = LoongArch（loongarch64），申威 = SW64（sw_64） | 04 §1.3 |
| 9 | 「六大国产 CPU 都 100% 自主可控」 | 错误 | 三条授权路线自主程度明显不同 | 04 §1 |
| 10 | 「9 款 AI 芯片全部获最高等级 Ⅰ 级」 | 错误 | Ⅰ 级非最高；未上榜不等于不合格（自愿申请） | 04 §3 |
| 11 | 「芯片产量自给率约 70%，所以供应链已可控」 | 推理错误 | 产量口径 ≠ 先进制程/设备/材料可控；同期先进制程光刻机国产化率不足 1% | 03 §6、04 §5 |
| 12 | 「2025 年信创市场规模 X 万亿」 | 必须带口径 | 同年公开值 1.2—3 万亿元不等；实绩/预测、边界、机构均需注明 | 08 §1 |
| 13 | 「做了等保就不用做密评」/「互认证书等于第三方适配报告」 | 错误 | 四套体系互不替代；互认证书为企业间证明，标准较宽松 | 06 §1、§5 |
| 14 | 「Java 应用信创改造主要改 CPU 架构相关代码」 | 错误 | JVM 屏蔽大部分指令集差异；主要工作量在 SQL 方言、native 依赖、中间件配置、国密与多架构构建 | 07 §5 |
9. 风险缓解清单（可直接落到项目制度）
阶段口径：本表是 07 §3 S0—S5 唯一主表下的风险—动作映射（立项/选型 → S0，适配 → S1/S2，迁移 → S3，验收 → S4/S5，运维 → S5 之后），不作为独立阶段划分。
| 阶段 | 动作 | 对应风险 |
|---|---|---|
| 立项 | 明确是否属关基/关键领域；按 5 年 TCO 建模；单独列密评预算 | R5 / R7 |
| 选型 | 依赖矩阵 + 目标架构版本书面确认 + 具体测评型号/批次/有效期核验 | R1 / R5 |
| 招标 | 性能指标而非品牌；禁止降配条款；按技术路线分包引入多家；不得指定品牌或按所有制设限 | R6 |
| 合同 | 持续合规义务、三年重测与免费适配、镜像/数据可迁移、SBOM 交付、回退义务 | R5 / R7 |
| 适配 | 1:1 环境、组合收敛到 1—2 套、版本矩阵台账、自动化回归 | R1 / R2 |
| 迁移 | 双轨并行、字段级比对、回退演练、中间数据销毁 | R3 / R5 |
| 验收 | 源码/二进制抽检、BOM 核查、长稳压测、适配专项报告 | R1 / R6 |
| 运维 | 证书到期预警、每年等保/密评、SBOM 与漏洞治理、供应商安全协议 | R4 / R5 |
10. 本章小结
- 风险分七类，最容易被低估的是 R2 生态碎片化（含跨内核版本失效）与 R7 经济风险（TCO 低估、三年有效期导致二次选型）。
- 「伪自主」的真正危害不是技术瑕疵，而是制造虚假安全感并挤压真实研发投入；34 号文的属性改变条款、46 号令第十二条「伪创新伪国产」追责情形与终身问责、按路线分包招标是三个不同层面的制度回应。
- 对强制替代边界、路线收敛、开放与封闭三组争议，本章列出正反论据而不裁决；可核查的共识是政策文本同时要求需求牵引与统一大市场公平竞争。
- §8 汇总 14 条高频误传，是引用本套文档前最应核对的一节。任何与表中「判定」冲突的二手资料，应以本文引用的一手原文为准。