TODO指南：制定开源策略

大多数公司使用开源并不一定理解开源带来的好处，他们的组织并没有与业务需求保持一致的开源策略。此外，根据最新的“开源调查的未来”，只有约一半的这些公司报告有实行基本的开放源代码管理，如社区发展、代码维护等等。

创建和记录一个开源策略是实现开源ROI一个重要的第一步。开放源码可以对一个组织有跨多个维度的正面或负面影响：策略与业务、操作、技术和财务。你的开源策略连接计划管理、参与和创建开源软件的商业目标计划服务。这可以打开很多机会和促进创新。

目录

• 为什么要制定业务策略？
• 你的开源策略文档
• 如何创建开源策略
• 关键考虑因素
• 其他组件
• 投资的时间和金额：确定投资回报
• 决定投资的地方
• 更多资源
• 鸣谢

为什么要制定业务策略？

将组织的开源管理和策略方法正式化，可以创建提高效率和降低风险的指导方针。无论您是否围绕开源工作制定了业务策略，您都可能已经知道这很重要。

增加开源投资的关键第一步是创建一个策略文档，其中包括定义开源对组织的意义以及创建共享分类。这将帮助您最大限度地提高组织从开源获得的好处，同时避免因错误而导致的麻烦，例如选择错误的许可证或无法正确维护代码。您的策略文件可以：

• 让领导者兴奋和参与
• 在公司内部的各个层面获得支持，特别是在管理层
• 促进分散的多部门组织的决策
• 帮助个人和发明者做出更好的决策
• 帮助建立一个围绕发明的健康社区
• 解释贵公司的开源和商业模式方法以及对其使用的支持
• 阐明贵公司在社区驱动的外部研发中投资的地方，以及贵公司将重点放在增值差异化的地方

“如果你不是从那个高层共识开始，就政策细节和投资过程达成协议往往是非常困难的，如果不是不可能的话。”Ibrahim Haddad，三星研发副总裁和开源实验室的主管，在他的开源企业合规书中提到。

你的开源策略文档

让我们先从最终目标开始，然后解释如何实现目标。您的目标是在文档中详细说明您的开源策略，从工程和法律，营销和高级管理人员可以参考。该战略文档将帮助您的团队了解开源计划背后的业务目标，确保更好的决策制定并最大限度地降低风险。

“在Salesforce，我们有内部文件，我们将这些文件分发给我们的工程团队，提供围绕开源的战略指导和鼓励。这些鼓励创建和使用开源，让他们毫不含糊地知道公司的战略领导者完全支持它。此外，如果我们不希望工程师使用某些类型的许可证，或者其他开源指南，我们的内部文档需要明确。” - Ian Varley，Salesforce软件架构师。

该文档至少应：

• 解释贵公司的开源方法和文档背后的目的。您公司的成功是什么样的？开源在实现这一目标方面的作用是什么？

“在Autodesk的情况，我们新的开源方法背后的原因是为了转向云技术，因为我们正在将产品重点转移到云环境中更紧密地集成。实现如下：如果你去云端，基本上所有这些都是基于开源的，所以你必须提升你的开源策略。” - Guy Martin，Autodesk开放主任（Open@ADSK）。

• 指定您希望开发人员使用开源代码的方式：如果代码从具有不同许可设置的项目进入您的某个产品，该怎么办？开发人员应遵循哪些接受，拒绝和例外政策？您的组织对开源开发的整体立场是什么？一份好的策略文件为这类问题提供了明确的答案。
• 指定您希望开发人员如何为开源项目贡献代码，以及确定对您的业务策略至关重要的项目。 （并鼓励他们做出贡献！）如果开发人员希望将代码从一个开源项目贡献给您正在处理的项目，但这两个项目有不同的许可证，该怎么办？您对开源的贡献如何为良性循环服务，以便您的项目依次受益于贡献？这些考虑因素是确定策略贡献的一部分。

“如果您依靠一个开源项目大量使用您的产品，并且您在该项目的领导和战略方面没有席位，那么您的业务将面临风险。” - Guy Martin，Autodesk开放主任（Open@ADSK）。

• 为制定新决策提供指导，并鼓励计划的支持和承诺：开源的业务治理应该与技术治理分开吗？如何让员工成为开源的拥护者？一份好的策略文件提供了答案，并且还应阐明贵组织在开源和开源方面的总体立场。
• 协调您的业务目标和管理指令：哪些类型的开源项目直接与您的业务目标保持一致？
• 制定适合您的代码和概念的使用政策和商标：正确品牌化开源项目与为任何发明打造品牌同样重要，并且不应对使用政策有任何疑问。
• 提供有关开源最佳实践的细节：成功的开源项目拥有丰富的开发人员社区，并且通常在商业产品中实现产品化，从而为企业带来利润。哪种具体做法可以最好地促进这种可持续生态系统？
• 随着时间的推移逐渐回答问题。一个好的开源政策文件应该包括常见问题解答（FAQ），随着时间的推移，应该在常见问题解答中不断提供常见问题的答案。

“常见问题解答高度针对用户和开发人员实际提出的问题 - 而不是您可能希望他们提出的问题，因此，维护良好的常见问题解答往往会让那些咨询它的人完全满足他们的需求。好的常见问题解答不是写的，它们是成长的。根据定义，它们是反应性文件，随着时间的推移而发展，以回应人们提出的问题。” - Karl Fogel，制作开源软件。

如何创建开源策略

制定开源策略的第一步是决定谁应该参与制定策略。这意味着不仅要决定应该参与哪些内部业务合作伙伴，还要决定是否应该寻求外部战略帮助和资源。

外部资源

有许多外部资源可以帮助您充实您的开源策略，而好消息是它们中的许多都是免费的。 Linux基金会提供广泛的教育资源，可以帮助您引入正确的策略，像开源软件商业使用的最佳实践可以提供指导。

GitHub制作的开源指南还包含许多有助于您构建或贡献开源社区的资源。

Google开源了其开源政策文档，它可以作为创建模板来创建您自己的内部政策。

InnerSource Commons，专门帮助公司追求开源原则和实践，以及交流内部，专有软件和基础设施开发的想法。

开源策略的另一个优秀资源是名为Changelog的博客。它包括一个播客，涵盖了许多不同的开源主题，称为“请求提交。”播客解决了从创建开源软件的人性方面到有关业务模型和策略的问题的所有内容。

请注意，技术行业内外的许多公司都有非常尖端的开源计划。你可以而且应该向他们学习。他们接触开源的方式根据自己的需求而有所不同，但您可以选择和调整最适合您业务的实践和策略。 Linux基金会的TODO小组旨在将这些公司聚集在一起，共享和发展最佳实践。 TODO还在GitHub上提供了一组免费的开源策略和模板，您可以使用和贡献。

在开源的领域，通用电气可能不是您想到的第一家公司，但GE在开源方面是一个强大的参与者。 GE软件公司与Cloud Foundry Foundation合作开展了“工业道场”，以加强其解决全球最大工业挑战的努力。 GE在这些努力中从与其合作的合作伙伴中获益，反之亦然。

在众多推出了专注于推动开源和商业化工具的专业内部计划的组织中，Netflix表现出色。 非常值得访问该公司的开源软件中心。 Netflix为开源社区贡献了许多有用的工具和应用程序，从机器学习和编排应用程序到在其平台上运行的实用程序，其中许多已经过大规模测试和强化。 反过来，Netflix获得的贡献可以帮助其平台更高效地运行，其开源工作为各种合作伙伴关系打开了大门。

内部资源

虽然这些类型的外部资源可以提供关键指导并作为您自己策略的基准，但内部协作是设置开源业务策略的关键。您的开源策略应根据您自己独特的业务模式进行定制，您公司内的人员是最佳信息来源。此外，您需要包括所有利益相关方以达成共识，以确保每个人都在同一页面上，并投入到看到努力成功的过程中。例如，将执行领导力纳入协作过程非常重要。

此时创建开源计划是非常宝贵。 TODO小组的“TODO指南：怎样创建开源计划办公室”：“通过创建一个开源计划办公室，企业可以通过直接将其与公司的长期业务计划联系起来的方式来启用，简化和组织开源的使用。开源计划办公室旨在成为公司开源运营和结构的中心，帮助将所有需要的组件集中在一起。”

开源计划办公室可以帮助确定代码使用、分发、选择、审计等策略。它还可以为培训开发人员提供指导，确保合法合规并建立社区参与。根据该指南，“办公室还可以提供关于公司内外所有开源的宣传和沟通。”

“你获得心灵和思想的唯一方式（推进你的开源战略）就是找到愿意积极主动的各个团队中的人。” - Guy Martin，Autodesk开放主任（Open@ADSK）。

在选择内部员工来帮助制定策略时，请记住，让有资格提供项目业务和法律治理的人员以及能够提供技术治理的人员参与至关重要。例如，具有技术技能的员工可能了解当前的开源实践，并且可能有资格设置诸如入站贡献指南等策略，而具有业务凭据的人员可能更有资格设置有关商标的策略。相反，具有法律资格的员工最适合定义许可政策。当然，确定对开源有真正热情的利益相关者至关重要。开源计划办公室结构的考虑和各种管理角色的讨论在前面提到的开源指南中有详细说明。

您如何与所有利益相关方合作？从谈话开始，至关重要的是，倾听什么是有效的，什么是无效的。您的参与方式取决于对贵公司及其现有文化有何影响。但是，在深入研究策略之前，进行研究总是值得的。

当Guy Martin最初成为Autodesk的开源总监时，他向老板询问了两个清单：“我说，我想要一份相信你正在尝试做（开源）以及为什么你雇了我这个倡议的人员。而且我希望列出一些不相信它会起作用，或可能会陷入困境的人员。”然后，Martin在这两个名单上与所有人交谈。批评者帮助确定了他们的业务绊脚石的位置。而支持者是帮助他建立计划的人。

关键考虑因素

我们已经涉及了策略文档的关键组件以及如何创建它。现在，在制定策略时，有两个非常重要的考虑因素：治理和永续性。

这些概念将为您的计划设置哲学框架，确定它的运行方式，并最终帮助确定如何/是否可以最大化您的开源策略。

考虑1：治理

在设置开源策略之前，您可能会有许多不同的流程 - 跨团队和部门，产品团队和IT等 - 使用代码或贡献上游。实现标准化治理是简化和优化流程的关键，这使开发人员更容易参与。它还有助于让每个人都在同一页面上，并为衡量目标进度和降低风险奠定基础。如果每个人都遵循相同的政策和流程，那么更容易找到并解决可能发生的任何障碍。

“我不想要一个为期10周的过程，其中有500页的文档用于5行错误修复，因此我使用合法的方法来创建一个工程师可以在合理的时间内完成的简化工作流程。” - Guy Martin，Autodesk开放主任（Open@ADSK）。

您的策略应该对组织内外的开源治理非常具体。适当的治理需要特定的政策和流程，但也应该指导围绕开源软件的构建，部署和维护的文化。特别是，开源文化的目标是透明度，开放性和鼓励不同贡献者的参与。

“有一些开源项目欢迎外部贡献，但路线图和项目治理非常掌握在一家公司手中。然后是真正的社区驱动的开源。您与哪种项目合作？” - Joe Beda，谷歌Kubernetes创始人兼Heptio首席技术官。

治理可以帮助最小化风险。例如，许多开发人员习惯于在线获取开源工具并将其与现有代码，平台和应用程序集成。但是，允许他们在没有任何正式收购程序的情况下这样做意味着要承担从安全风险到法律风险的重大风险。同样，开源许可证和策略可能对组织对技术和知识产权组合的控制产生巨大影响。此外，对于也有商业版本的开源项目，值得考虑外部利益相关者是否应该参与治理。

拥有一个紧密映射外部开源社区结构的内部治理结构，与外部贡献相比，在处理针对内部工作的项目时，还简化了开发人员的“上下文切换”。当内部项目最终开源时，它还可以简化过渡，因为开发人员已经在该治理模式下工作。

”我们试图在Kubernetes社区中产生的一件事是项目优先个人或公司的想法。对项目有益是一个问题，对于参与项目的公司有什么好处是另一个的问题。当你最终得到与一家公司关系太紧密的开源项目时，就会出现真正棘手的问题。” - Joe Beda，Heptio。

考虑2：永续发展

成功开发源程序的关键驱动因素是制定一项策略，鼓励其他公司依赖您的开源项目。长期，永续发展的项目来自功能丰富的开发者社区，其代码通过商业产品进行产品化，从而使企业受益，然后再将企业重新投资回到项目中。目标是使良性项目能够构建能够产生利润的产品，并将其重新投入项目社区生命周期。

伙伴关系，贡献者协议和商业依赖关系可以基于公认的治理和IP模型推动商业和社区参与的良性循环。智能定义的开源计划可以帮助驱动所有这些。您的组织有哪些政策可以共享和商业化开源发明，推动合作伙伴关系和商业依赖？

例如，许多开源工具在线提供免费版本，但也存在于基于费用的受支持实例中，外部贡献者通常会推进商业提供的平台和应用程序。明智的做法是在您的策略文档中准确定义这些版本的不同之处以及如何对其进行控制，同时牢记控制级别可能随时间变化很大。

其他组件

除了前面讨论过的策略的关键要素之外，您的策略文档还有许多其他政策要做。好消息是，您可以利用来自可靠外部来源的免费指南。

例如，Black Duck为设置开源策略提供了一套有用的四支柱指南：

• 定义构建开源平台和应用程序的策略
• 定义使用开源构建的策略，例如将现有产品和服务与开源工具集成
• 为开源社区制定策略，例如鼓励对现有项目的贡献和参与
• 定义构建开源的策略，包括基于开源的内部平台重构或应用程序部署

除了这些策略支柱和治理指南之外，还有一些其他关键组件要包含在您的策略文档中：

• 目标。确定您的业务策略目标以及开源如何推动实现目标。例如，许多公司正在转向其平台基础架构，转而采用OpenStack等开放式云平台。在许多情况下，这是因为他们通过将基础架构迁移到云，确定了他们可以避免的供应商锁定级别，并为他们想要实现的特定财务里程碑设定目标来研究他们可以获得的ROI。

为您的策略文档制定一整套目标，并制定绩效指标。在要跟踪的指标中，考虑报告贡献上游的增加，削减开发成本以及增加维护人员的招聘。除了这些指标之外，您的业务目标和目标清单还应提供有关开源领导力里程碑，项目安全性和性能提升的详细信息。但是，请记住，没有神奇的指标。

“查找您正在使用的每个社区的指标。我倾向于根据特定社区的痛苦程度找到指标，并尝试更好地改变这些指标。没有一个神奇的评估，如果你看一下六个指标，从拉取请求到贡献者数量，你可以突然宣传你的社区和生态系统健康。” Sarah Novotny，谷歌Kubernetes社区项目经理。

• 管理计划。一旦您的策略文档包含特定目标，请确保它还列出了实现开源业务目标的具体操作，并为跟踪进度分配角色和职责。最重要的部分是为您的执行管理链购买。
• 提供具体的KPI（关键性能指标）跟踪目标实现情况
• 政策和流程。除了接受贡献和外部代码的许可和规则之外，管理策略和流程也很关键。 Linux基金会的TODO（Open Openly Develop Openly）小组在GitHub上提供免费的开源政策示例和模板。
• 合作和收购。合作伙伴关系和收购是成功的开源业务策略的关键部分。您的策略文档应该具体针对这些领域的目标，并且应该规划您的组织可能与其他组织（如TODO，Cloud Foundry Foundation等）建立的关键策略合作伙伴关系。
• 专利和知识产权。专利权和知识产权指南会对发明的使用方式产生巨大影响，并且在许多情况下会对商业利用产生影响。您的战略文档应该具体说明您的专利，与专利相关的规则以及您的知识产权指南。如果您的组织有单独的IP策略，请确保您的开源策略与其一致。
• 基金会和赞助。近年来，开源基金会和其他非营利组织对开源世界产生了巨大影响。您的组织可以从与Linux基金会，Eclipse基金会到Apache软件基金会等基金会合作中受益，您甚至可以从启动以开源为基础的基金会中受益。您的策略文件应提供与基金会合作的任何现有合作伙伴关系和计划。

“基金会提供了很多价值。如果没有它们，很多非常关键的项目在历史上很难获得维护良好所需的资金。它们有助于确保公平的竞争环境，并为组织提供机制，以便在不直接为开发人员提供帮助的情况下回馈开源项目。” - Luke Faraone，Dropbox软件工程师。

入站贡献指南/指标。您的策略可以从入站贡献中获得巨大收益（请参阅我们关于永续性考虑因素的部分。）您的策略文档应提供有关贡献的指导和指标。

您不必从头开始在此区域制定政策;贡献者契约是一个坚如磐石的行为准则和贡献者指南文档，超过40,000个开源项目使用，包括Kubernetes，Rails和Swift。同样，TODO Group，Linux Foundation和Black Duck等组织在设置入站贡献指南方面拥有丰富的经验。

良好的入站贡献策略还包括仔细记录您的API - 始终是最佳实践。OpenAPI已成为描述RESTful API的行业标准。

“构建开源社区时最重要的事情之一就是确保自己的流程是开放的。您可以更加透明地制定决策流程，您的社区拥有的主人翁意识就越强。您还需要确保您的流程不会成为阻止程序。如果您的入站或出站贡献的开源流程繁重，人们会试图绕过这个过程，或者只是认为贡献太难了。” - Luke Faraone，Dropbox软件工程师。

“你需要让人们参与你的项目，这些项目不要求他们拥有博士学位，或者已经在类似的领域工作了25年。你需要让他们快速参与的方法。这意味着您需要非常好的设置文档，这也意味着拥有积极健康的论坛。” - Ian Varley，Salesforce软件架构师。

投资的时间和金额：确定投资回报

没有办法挥动魔杖并找到从开源程序中获得的确切好处，但是有关于如何处理它的指导原则。您必须考虑投资回报率与您的策略的关系。最重要的是，您应该从多个角度考虑可以从开源策略中获得的投资回报。

首先，您必须权衡开源的好处与管理它的风险和成本。来自Novica和OpenLogic的免费联合白皮书（PDF）提供了许多计算开源ROI并围绕它制定策略的具体方法。例如，白皮书中的以下图表显示项目开发的持续时间对ROI计算的各个要素产生了深远的影响，从许可费用到IT /服务费用：

在计算投资回报率时，请牢记以下准则：

• 计算在成本节约的好处。当然，在确定开源策略的好处时要评估的关键指标是计算成本降低。评估开源部署和开源发明的成本节约，同时考虑到许可费用，硬件，支持等方面的节省。

支持是许多组织的主要成本中心，如果您可以降低支持成本，您可以获得巨大的经济利益。同样，您可以通过迁移到从Linux到OpenStack等开源平台来消除哪些具体的硬件和许可成本？例如，在开放云平台的情况下，云中的存储和计算资源可以完全消除内部对许多此类资源的需求。另外请记住，虽然“免费”开源软件可能没有与专有软件相同的许可费用，但它带来的开发成本涉及上游贡献，将其与其他产品集成等等。

• 通过覆盖面和转化来计算收益。通过跟踪您创建的开源项目的范围，您可以收集有用的信息，并在某些情况下衡量组织产品和服务的转换率。诸如npm和RubyGems.org之类的包管理器可用于分发开源项目，随后允许您跟踪下载。许多组织将他们的项目放在GitHub上，其中“Traffic”页面可以详细说明克隆项目的次数等等。这些指标可以帮助您了解项目的品牌知名度，获得贡献者的可能性等等。
• 进行操作风险评估。开放式Web应用程序安全项目（OWASP）最近将“使用具有已知漏洞的组件”添加到其前十大风险列表中，而开源软件在某些情况下可能会引入漏洞。通过开源软件安全审计，您可以了解代码中的组件和漏洞。 Black Duck执行这些操作，Wireshark和Nikto等工具可以识别漏洞和问题。
• 避免法律风险。操作风险和法律风险是不同的，但评估两者都很重要。围绕开源的法律风险可能包括使用错误许可的法律诉讼费用，以及在具有不同许可证的项目之间合并代码的费用等。

开源定义是您应该开始了解开源项目应如何获得许可以及实际符合开源条件的地方。审查开放标准要求也很好。

您还必须评估项目应具有的许可类型。软件自由法律中心（SFLC）提供了一组关于开源许可和版权如何工作的在线资源等等。此外，还可以在Choosealicense.com上找到简化的许可证功能矩阵。

您还需要考虑许可证合规性的成本和收益。不遵守开源许可证的成本可能很高，涉及诉讼。 Linux基金会的开放合规计划提供多种资源，包括出版物，培训材料和面向开发人员的免费培训课程。 （您还可以查看我们“TODO指南：使用开源代码”）

当然，法律问题应由您自己的法律人员进行评估。 SFLC的作者是参与创建流行的开源许可证的律师。跟上国际自由和开源软件法律评论的当前和存档版本也是一个很好的主意。

决定投资的地方

可以从多个角度处理对开源的投资，包括利用内部资源和外部资源。请记住，将开发人员资源用于开源和贡献上游是投资开源的一部分。了解传入和传出的代码和项目如何到达和分发非常重要。

确定哪些开源项目对于交付产品或服务至关重要。一旦公司了解其IP产品组合及其开发人员想要的开源贡献，它就可以确保其开发人员有能力做出这些贡献。

进行内部审计。您是否通过收购获得了开源工具和平台，并从中获得最大收益？在审核中评估这一点。

确定您可以开源的内部项目。

您还可以构建良好的方法来识别组织内部或应存在的开源项目。例如，许多硅谷公司都有内部竞赛和黑客马拉松活动，为员工提供最佳开源发明奖。通过这些，从PayPal到Google的公司都将员工发明的开源创作内置到他们自己的面料和产品组合中。

“在黑客马拉松中发生的一件好事是重组的力量 - 发明者说'我知道一种方法可以做到这一点，而这里是另一个有助于这个过程的项目，我可以把这些东西放在一起。'如果一切都是闭源，问题是你使用的构建块要少得多。相比之下，世界是你的开源牡蛎。您可以使用更多的构建块。” - Ian Varley，Salesforce软件架构师。

接下来，转向外部资源以帮助查明您尚未使用或参与的项目，但这可能会带来商业利益。在一开始就选择合适的开源项目和社区有很大的影响力。选择具有重要策略意义的项目是至关重要的。

与其他组织合作。他们可以帮助您选择最佳项目参与并确定他们从哪些项目中获益。有几个独立的组织可以提供帮助。 Linux基金会，TODO集团，Innersource Commons和开源计划都可以提供指导。

检查您所在行业中其他组织的哪些项目。他们可以引导您走向正确的项目以参与其中。例如，许多电信公司正在从开放式网络功能虚拟化（NFV）技术中获得巨大收益，该技术可以消除电信技术堆栈中历史上的专有组件。其中一些公司与Linux基金会合作开展NFV计划，有几个工作组专注于NFV。这些以行业为重点的工作组可以为您提供有价值的指导。

更多资源

您是否对更多资源感兴趣，以帮助您制定策略？以下是一些优秀的：

衡量开源ROI

开源投资回报率

启动成功的开源项目

Linux基金会启动成功的项目

法律资源

• 国际自由与开源软件法律评论。
• 开放合规计划

许可

Choosealicense.com

贡献者行为准则

贡献者公约

开源政策

TODO组模板

开源策略博客

更新日志

开源策略播客

提交请求

鸣谢

贡献者：

• Andrew Aitken，Wipro全球开源实践领导者
• Chris Aniszczyk，CNCF首席技术官
• Joe Beda，谷歌Kubernetes的联合创始人、Heptio的联合创始人兼首席技术官
• Luke Faraone，Dropbox软件工程师
• Jim Jagielski，Consensys首席开源官
• Guy Martin，Autodesk开放主任(Open@ADSK)
• Sarah Novotny，谷歌Kubernetes社区项目经理
• Ian Varley，Salesforce软件架构师

这些资源是与TODO（公开对话，开放式开发）小组 – Linux基金会的专业开源程序网络小组合作创建的。 特别感谢那些贡献自己的时间和知识来制作这些综合指南的开源项目经理。 参与的公司包括Autodesk，Comcast，Dropbox，Facebook，Google，Intel，Microsoft，Netflix，Oath（Yahoo + AOL），Red Hat，Salesforce和Samsung。 要了解更多信息，请访问：todogroup.org。 我们邀请您在GitHub上下载或参与这些指南。所有内容使用CC-BY-SA 4.0授权。