武漢2022年12月21日 /美通社/ -- 近日，金融信息化研究所發布了《金融業數據庫供應鏈安全發展報告（2022）》，同時公布了22個典型案例集。基于在金融機構核心系統的出色應用表現，武漢達夢數據庫股份有限公司（簡稱“達夢數據”）在梅州客商銀行新核心業務系統應用實踐、中國人壽企業年金核心系統應用實踐入選案例集。

隨著金融業務線上、移動化、場景化發展，數據規模迅速增長，數據庫技術創新發展成為金融機構關注的焦點。《金融業數據庫供應鏈安全發展報告（2022）》（以下簡稱“報告”）是金融行業數據庫創新領域的技術指南，通過政策、金融行業、全球、技術、歷史五個維度的綜合分析，報告能夠有效推動解決金融數據庫技術應用的難點，對金融領域數據庫技術發展現狀和問題并提出切實的發展建議。

報告顯示，隨著金融業不斷加大國產軟硬件試點力度，以達夢為代表的國產數據庫已經在部分金融機構實現了核心系統的應用突破，為解決金融業數據庫供應鏈安全問題樹立標桿、積累經驗。

國產數據庫三條技術路線

目前，金融系統的數據庫根據使用場景劃分，可以分為核心系統、辦公系統和一般系統。根據報告調研，金融業核心系統用到的我國數據庫產品主要集中在幾大互聯網云廠商和以達夢數據為代表的國產數據庫。部分銀行基于開源內核自研數據庫產品，在核心系統實現了應用。

按照技術路線劃分，這些數據庫通常分為自研閉源數據庫、基于開源軟件二次開發數據庫和基于國外技術的數據庫。

閉源自研須有確定的開發主體和服務提供者，軟件的迭代升級能就地實現，數據庫開發者完全主導和決策產品的研發方向，甚至可以對特定行業和特定客戶提供定制版本，閉源自研最能體現廠商的能力和技術水平。

不過，目前國內還沒有出現市場能力和技術能力達到某國外數據庫巨頭水平的廠商，且國內能夠做到不依賴開源代碼，閉源自研的廠商微乎其微。

達夢數據庫是閉源自研路線的典型代表。

DB-Engines所統計的數據庫產品中開源數據庫數量占比為52%，開源數據庫的流行度和數量都超過商業數據庫，正成為技術與市場變革的新引擎。由于基于開源軟件二次開發可以站在巨人肩膀上，快速拿出達到市場主流水平的數據庫產品，導致開源數據庫也已經成為我國數據庫實現突圍的主要途徑，幾大互聯網數據庫廠商都選擇了這條路線。但總體而言，我國開源數據庫還沒有形成足夠多的開發者社區和服務者群體，生態圈尚顯稚嫩。

基于國外技術的數據庫可獲得較高的起點，可繼承外商的技術和生態優勢，但也增加了不少風險。如果只繼承了外商的源代碼，卻沒有形成自己的技術和能力，那么，在技術演進和技術迭代方面會比較麻煩。

金融業集中式數據庫是主流

誠然，無論是傳統集中式數據庫，還是以分布式數據庫為代表的新型數據庫，在解決金融業數據庫供應鏈安全問題中都發揮重要作用，特別是部分金融機構實現了核心系統的應用突破，為解決金融業數據庫供應鏈安全問題樹立標桿、積累經驗。

但從實際情況看，目前集中式數據庫更適宜金融行業，報告中也證明了這一點。

我國集中式數據庫具有自然的技術繼承性。金融業長期使用的國外數據庫均為集中式架構，平移到同類型的其他集中式數據庫相對難度小、成本低、風險可控，從而成為很多用戶的自然選擇。而且我國以達夢數據為代表的集中式數據庫對國外主流成熟數據庫進行了大量兼容，這樣可確保應用過程中對應用侵入性小，同時無論是開發人員還是運維人員，其原有的技術、技能均可沿用，為我國數據庫產品應用規避知識和技能壁壘。

我國集中式數據庫技術相對成熟。我國集中式關系型數據庫經歷近30年的研發、優化、應用和成長，已經在政企等不同領域得到較為充分的應用和打磨，初步具備支持金融應用能力，基本滿足金融行業對可靠性、可用性、高性能、高安全性的需求。同時，集中式數據庫由于其更短的數據流程和決策機制，更容易保障其數據一致性和交易響應時間。

集中式數據庫更適合業務量適中的交易類業務場景。集中式數據庫在嚴格遵守事務ACID特性、數據強一致性的同時，保證高性能和高可靠性，天然契合交易復雜度高、數據強一致性、響應時間和吞吐量高的金融業OLTP業務場景。如銀行的存取款等核心業務對數據的強實時一致性要求；證券業的實時交易對響應時間要求極其苛刻；保險行業核保交易需要核實和校驗大量的信息,交易涉及的規則非常多而且多變。

我國集中式數據庫初步構建應用生態體系。我國集中式數據庫廠商經過多年的經營，初步形成可用、部分易用的生態體系，適應金融行業現有IT環境。

正是因此，集中式數據庫成為金融行業絕對主流，占比高達89%。這主要是因為傳統集中式數據庫具有高效的數據存儲效率和優異的系統穩定性，有力支持數據共享集中處理系統建設，在數據大集中時期形成絕對的主導地位。在金融業很多應用實踐中，以達夢數據為代表的我國優秀的集中式數據庫產品順利實現對國外商用數據庫的替換，既是發展規律和技術特點共同作用的結果，也是市場的自然選擇。

開源軟件風險不可小覷

近年來，本土互聯網產業和軟件產業蓬勃發展，雖然取得了不少成績，但在基礎軟件方面往往習慣于依賴開源。實際上，開源軟件風險不可小覷，其存在的知識產權風險和安全風險，必須予以重視。

比如開源許可協議約束風險，當用戶不當使用這些許可協議的開源技術或者產品時，就存在侵權的風險。而且，開源許可協議是脆弱的，協議本身可以通過協商、修訂、補充等方式進行修改，使得使用規則存在不確定性。開源許可協議還可能帶來法律風險以及兼容性風險，一旦涉及這些問題，都有可能給國內企業帶來相關困擾。

開源軟件的安全性也值得關注。據美國網絡安全公司Snyk發布的《2019年開源安全現狀調查報告》顯示，78％的漏洞存在于間接依賴關系中；37％的開源開發者在持續集成期間沒有實施任何類型的安全測試，54％的開發者沒有對Docker鏡像進行任何安全測試；兩年內應用程序的漏洞數量增長了88％。

另外，開源軟件公開的源代碼，如果包含對企業數據庫的訪問代碼，則可能導致整個數據庫面臨數據泄露的危險，也可能導致企業內部文件與用戶信息的泄露。

目前，金融IT基礎設施安全創新已經是金融系統的共識，也做了不少的試點工作，特別是國有大行，其國產數據庫比例非常高，辦公系統和核心系統的國產數據庫使用比例達到83%，一般系統的占比達到100%。

此次，達夢數據在梅州客商銀行新核心業務系統的應用實踐、中國人壽企業年金核心系統的應用實踐成功入選報告。梅州客商銀行將核心業務系統由原來的國外數據庫遷移至達夢數據共享存儲集群（DMDSC）+達夢數據守護集群（DMDataWatch）+ 達夢數據實時同步軟件（DMHS）上，不僅提升了數據庫整體處理能力，還實現了兩地雙中心高可用容災架構。

中國人壽則將企業年金系統（受托管理達千億規模）遷移到達夢數據上，該項目于2020年12月正式上線，基于達夢數據庫的年金系統，年終結算批作業、精算等業務上，處理時間大幅縮短50%以上，綜合性能超客戶預期30%以上。

誠然，國產數據庫尚存在一些不足，金融機構也面臨數據庫選型難、應用不充分、實施難度大、管理與運維復雜、人才隊伍短缺等困難。希望相關各方還需針對性地彌補短板、改進不足、統籌推進，全面提升金融業數據庫供應鏈安全水平。