数据库厂商的“核心技术自主可控”深度与可持续性如何评估？【银行信创数据库理性收敛系列】

来源：市场资讯

（来源：twt企业IT社区）

导读

“一把尺子量所有”的评估方式已不适用于分级的信创现实，本文分享了社区同行对于核心、重要、一般三类不同等级的业务系统，在对信创数据库进行选型评估时，各项关键维度的相对重要性的排序共识。

本文还分享了同行对于厂商的“核心技术自主可控”深度与可持续性评估的思路建议和实践经验：如何界定不同技术路线（根原创/深度优化/开源封装）？应设立哪些指标（研发团队、代码自主率、社区贡献）来评估其技术自主深度与长期可持续性，并将其作为关键风险项纳入选型？

同行投票共识

针对核心、重要、一般三类不同等级的业务系统，在对信创数据库进行选型评估时，您认为各项关键维度的相对重要性应如何排序？

共识结论：得票最多的均为【生产稳定性与重要系统同业案例】，以下为具体比例：

1.核心系统信创数据库产品选型，评估维度的相对重要性排序（1为最重要）

2.重要系统信创数据库产品选型，评估维度的相对重要性排序（1为最重要）

3.一般系统信创数据库产品选型，评估维度的相对重要性排序（1为最重要）

以上为同行阶段性共识，数据来源：

https://www.talkwithtrend.com/Poll/477169

同行相关分享

如何评估数据库厂商的“核心技术自主可控”深度与可持续性？

多数国产数据库基于开源路线发展，但在核心模块的原创投入与掌控力上差异巨大。部分厂商实为“封装商”，长期发展受制于人。我们必须直面根本矛盾：如何界定不同技术路线（根原创/深度优化/开源封装）？应设立哪些指标（研发团队、代码自主率、社区贡献）来评估其技术自主深度与长期可持续性，并将其作为关键风险项纳入选型？

分享者：陈耀斌 某银行 数据库管理岗

第一维度：技术内核的根溯源（最硬核的指标）

这是判断“深度”的核心，需要看透厂商宣传的包装，直达代码底层。

• 检查内核源码的“来龙去脉”

基于开源分支： 如果厂商承认基于开源（如MySQL 5.7/8.0、PostgreSQL），则需要进一步追问：是基于哪个具体版本的分支？是否长期维护自己的分支？如果仅仅是“包装”了开源版本，而没有深度修改内核的能力，那么一旦开源社区停止维护旧版本，或者出现高危漏洞，厂商能否独立修复？

自研内核： 如果厂商宣称“自研”，可以要求其解释存储引擎的实现原理（是类InnoDB、类LSM还是完全自研？）、SQL解析器与优化器的代码来源（是使用了Flex/Bison生成的，还是完全手写的？）。

避坑点： 警惕那种“购买海外公司淘汰的代码库”或“在开源协议边缘试探但不遵守开源规则”的厂商。需要确认其是否具备修改核心数据结构、事务并发模型的能力。

• 审视“分支策略”与“上游依赖”

核心模块掌控力： 询问厂商：如果明天PostgreSQL社区修改了MVCC（多版本并发控制）机制，厂商的研发团队需要多久能将其合入并完成全量测试？这能侧面反映其对核心代码的掌控度。

第二维度：供应链的“断供”风险（最现实的指标）

自主可控的最终目的是在极端情况下（如地缘政治导致的禁运、上游社区闭源、商业制裁）能够持续运行。

• 开源许可证的合规性与“传染性”

GPL vs Apache/BSD： 如果厂商产品重度依赖GPL协议的代码（如MySQL），那么其商业分发是否存在法律风险？一旦发生法律纠纷，是否会影响下游客户？

核心组件的来源： 检查其产品中是否包含来自“实体清单”或敏感国家的核心组件。如果包含，需评估厂商是否具备替换这些核心组件的能力（例如，将底层的jemalloc内存分配器、加密库替换为国密或其他可控方案）。

• 研发团队的“核心栈”稳定性

核心贡献者留存率： 可以侧面打听该厂商数据库核心模块的负责人（如存储引擎负责人、SQL优化器负责人）的任职时间。如果核心团队频繁变动，代码的“隐性知识”就会流失，所谓的自主可控就变成了无人能懂的“黑盒”。

研发地点与模式： 研发是否完全位于国内？是否存在“外包核心模块”或“依赖海外研发中心”的情况？

第三维度：商业可持续性与生态护城河（最长期的指标）

没有商业支撑的技术很难持续迭代。

• 收入来源与研发投入比

核心收入来源： 厂商的主要收入是靠卖License（软件许可），还是靠卖服务/云订阅？如果主要靠政策驱动的项目，缺乏市场化竞争力，一旦政策风向变化，其研发投入可能断崖式下跌。

研发投入占比： 可以查阅公开财报（如果是上市公司）或询问其研发人员占比。一个健康的数据库厂商，研发人员应占公司总人数的60%以上，且持续投入底层内核研发，而非主要投入在定制化实施上。

• 社区治理与文档开放度

是否有“真正”的社区： 除了官网文档和销售热线，厂商是否有活跃的开发者社区？代码缺陷（Issue）的响应和修复速度如何？技术文档是否只对VIP客户开放，还是对全社会开放？

可持续性指标： 一个真正想长期发展的厂商，会致力于培养外部开发者生态，因为只有生态的壮大才能减少对单一厂商工程师的依赖。可以观察其举办的技术大会、开发者活动是否偏向于“内核技术分享”还是“产品推销”。

第四维度：极端情况的“备胎”方案（压力测试）

在评估时，可以提出一个“黑天鹅”假设：

“假设未来某一天，由于不可抗力，贵公司无法再提供技术支持，或者公司因经营问题解散，我们作为用户该怎么办？”

好的答案： 厂商会展示其代码托管机制（如在信创主管部门或第三方机构进行源代码托管），并提供应急授权，允许客户在极端情况下自行组建团队维护代码。同时，其核心代码结构清晰、注释详尽，具备被第三方接手维护的可能。

差的答案： 厂商只会强调自己“不会倒”，或者顾左右而言他。

诚邀您参与共识共建

正在进行的投票：针对不同银行系统类型，数据库监控工具产品选型评估重要性应如何排序？（完成投票后，可以看到自己的选择与银行同行的对比数据）

控是数据库的“眼睛”和“听诊器”。一个好的监控工具，不仅能发现问题，更能帮助预防问题。在复杂的信创异构环境中，监控工具需要具备更广泛的采集兼容性、更智能的分析能力，以及将数据库性能与底层基础设施指标关联分析的能力，从而快速定位根因。

参与投票和交流

以上内容均来自社区【“银行信创数据库理性收敛”课题】下的的交流分享，旨在汇集行业一线实践经验，共同识别在数据库信创落地过程中最隐蔽、最致命、最具长期影响的核心风险点，形成行业共识，为后续的选型评估、合同签订与验收提供明确的风险防范指引。诚邀您加入甲方主导的行业共建，详情可点击“银行信创数据库理性收敛攻坚”了解。

投票共识和分享回顾：