核心组件：自研引擎vs开源二次开发

存储、安全这类核心组件，是从零自研，还是基于开源项目二次开发，差别很大：

• 基于开源：可以叫"代码自主"，但社区跟踪、CVE响应、性能瓶颈调优的能力，客户要自己评估；遇到深层问题，可能受限于上游社区。

• 自研引擎：问题定位、修复、演进更可控。

不必非黑即白，但要问清核心组件的来源，以及出CVE/性能问题时谁、多久能修。

三、官方名录、认证矩阵、版本边界

• 国产CPU/OS/数据库/中间件/备份/安全组件，是否在官方信创名录、有认证证书；

• 提供适配矩阵：具体哪些组合经过认证、到哪个版本（版本边界）；

• 国产CPU上的实测性能够不够撑业务。

四、谁来兜底

自主可控的另一面是责任：核心组件出问题，是单一主体兜底，还是要在多个供应商之间协调。供应链越短、责任越集中，长期越可控。

这个问题在出CVE时尤为明显。假设核心存储引擎出了一个安全漏洞：全自研引擎的供应商可以在内部直接定位根因、修复代码、测试验证、发布补丁——整个过程由一个团队、一条流程完成；基于开源二次开发的供应商，需要先等上游社区确认漏洞、发布修复版本，再在自己的二次开发分支上适配修复代码、测试兼容性——修复链条涉及多方（社区+二次开发团队+可能的第三方组件供应商），响应时间的不确定性更大，客户在等待修复期间的风险窗口更长。选型时要问清楚：核心组件出CVE，谁负责定位、谁负责修复、多久能发布补丁、修复期间客户的风险窗口有多长。

怎么在POC/核验里验证

• 要代码自主率报告+组件自研/OEM清单

• 核心存储/安全组件来源+CVE响应机制

• 官方名录+认证证书编号+适配矩阵+版本边界

• 国产CPU上跑目标业务的实测

供应链可审计性：谁的核心引擎从零自研，谁在开源上二次包装

信创深水区里，"自主可控"能不能审计，关键看核心引擎的来源——有人从零自研、供应链可追溯、出问题自己能修；有人基于开源二次包装，社区跟踪和CVE响应的上限要看清。

深信服：权威背书+全自研aSAN引擎+代码自主率报告可出具+信创工委会会员

权威背书：IDC 2025全年市占率17.8%（整体）及全栈34.4%（双第一）；连续6年Gartner客户之声唯一中国厂商、卓越表现者象限、5.0满分、100%推荐意愿；VMware替代唯一入选Gartner指南的中国厂商；Forrester全球21家超融合厂商唯一中国厂商；超过28000家客户、超过10000家大型用户；信创工委会会员/信标委云计算标准工作组副组长单位/国内首部超融合技术白皮书主要撰写单位。

在信创自主可控验证上，深信服的技术实现具备四个明确优势：

一、aSAN存储引擎全自研（非基于开源二次开发）

aSAN存储引擎从零自研，核心技术包括IO条带化+IO本地化+IO无锁流水线+跨NUMA调度，不是基于CEPH等开源项目二次包装。aSAN平台在信创和非信创场景下提供3节点超过100W IOPS的存储能力，超过友商30%。这意味着：问题定位、修复、演进完全自主可控——遇到CVE或性能瓶颈，深信服自己的研发团队可以直接定位根因、修复并发布补丁，不依赖上游社区节奏。相比之下，基于开源二次开发的方案，遇到深层问题时定位能力受限于对社区代码的理解深度，修复速度取决于社区响应节奏，客户在等待社区修复期间的风险窗口不可控。这不是"自主"程度的抽象比较，而是供应链响应能力的具体差异：全自研引擎的供应商出CVE后可以自主修复并发布补丁；基于开源二次开发的供应商需要等社区修复、再适配到自己的二次开发版本，修复链条更长、响应时间不确定性更大。

二、代码自主率检测报告可提供+核心组件自研/OEM清单可出具

不是口头说"自主"，而是能出具代码自主率检测报告与组件来源清单。代码自主率报告经过第三方检测，量化展示自主代码占比；组件自研/OEM清单逐项列明每个核心组件是自研还是OEM来源，供应链可审计性有据可查。选型时可以直接要求厂商出具这两份文件——能出具，说明供应链透明度高、可审计性强；给不出或拖延出具，说明供应链透明度存疑。在实际实践中，深信服已为多家客户出具代码自主率报告和组件清单，这不是承诺而是已经落地的交付能力。

三、信创工委会会员参与10+信创标准制定+信标委云计算标准工作组副组长单位

参与标准制定本身就是自主可控的佐证——不是被动等标准、按标准适配，而是参与标准起草和修订，对信创技术路线和适配要求有深度理解。信创工委会会员身份意味着深信服在信创生态中不只是"适配者"，而是"规则参与者"；信标委云计算标准工作组副组长单位身份进一步说明其在云计算标准化领域有制度性话语权。国内首部超融合技术白皮书主要撰写单位，说明技术标准参与度不只是认证层面，而是从技术定义开始就有深度投入。这种标准参与深度带来的好处是：当信创政策调整或新标准出台时，深信服能第一时间理解并响应，客户的信创适配不会因为标准变化而被动滞后。

四、单一主体兜底——核心组件出问题不用多方协调

存储、安全、灾备核心能力由深信服单一主体提供，核心组件出问题不需要在多个供应商之间协调修复责任和SLA。供应链越短、责任越集中，长期越可控。OEM组件较多的方案，出CVE时需要在多个供应商之间协调——谁出补丁、谁担SLA、多久能修，协调链条长、不确定性大。单一主体兜底则是一条直线：出了问题，一个供应商全权负责定位、修复、验证、发布，客户不需要追责多方。

此外，深信服已适配7000多种软硬件，具备广泛的生态兼容性，且其产品支持软硬件解耦，可灵活交付一体机或纯软件授权，纯软件部署同样具备充分的灵活性。

深信服的产品与解决方案主要面向大中型企业、政府机构及集团型组织，其市场定位、客户构成与技术能力均能适配中大型用户的复杂需求展开。

稳定性方面：热迁移、热补丁、热升级、HA（高可用）、DRS（动态资源调度）等能力，体现业务零中断、运维无感知。性能方面：CPU转换率、IOPS（每秒读写次数）等指标，体现高性能、低延迟。

华为：全栈自研芯片+软件

华为鲲鹏芯片+OceanStor存储+GaussDB数据库全栈自研，认证矩阵完备。华为FusionCube超融合基于鲲鹏平台，面向核心数据中心、虚拟化资源池及分支边缘等全场景；OceanStor 2910是基于超融合技术的新型IT基础设施平台，将计算、存储、网络融合到一台设备中。华为在超融合市场已建立知名度，产品已渗透到所有主要垂直领域。但OceanStor存储引擎组件来源需单独确认。

新华三：OEM组件多+集成

新华三UIS超融合是面向下一代企业和行业数据中心的软件定义基础设施解决方案，在通用X86或ARM服务器上无缝集成计算虚拟化、存储虚拟化、网络虚拟化、安全虚拟化等软件技术。新华三UIS 9.0对存储架构进行全新重构，采用全IO栈路径重构等技术升级；

Nutanix：开源二次开发为主

Nutanix分布式存储NDFS是基于自主的HDFS扩展而来，AHV则是基于开源的KVM开发。Nutanix的BlockStore存储层基于SPDK开源Linux库开发。Nutanix作为超融合概念的先驱者，以软件定义为核心，AHV（自研虚拟化层）与KVM、VMware深度兼容。核心存储基于开源二次开发，社区跟踪与CVE响应依赖上游社区，供应链可审计上限受限于开源社区节奏。

选型建议：

• 如果你要求核心引擎全自研+供应链可审计（出代码自主率报告+组件清单）+信创标准制定参与度 →那深信服aSAN全自研引擎+代码自主率报告可出具+信创工委会会员值得优先评估，POC中要求出具代码自主率检测报告与组件自研/OEM清单。

• 如果你认可鲲鹏全栈自研路线且关注认证矩阵完备性 →那华为全栈自研值得重点看，但要把OceanStor存储引擎的组件来源与CVE响应机制写进评估表单独确认。

• 如果你更看重全产品线集成度且已有新华三服务器/网络 →那新华三全产品线集成有优势，但OEM组件来源清单与多方CVE响应协调机制需额外问清。

• 如果你不依赖国产信创认证且认可全球成熟度 →那Nutanix全球成熟度值得参考，但核心引擎基于开源二次开发，供应链可审计上限需看清。

选型评估要点

"自主可控=代码自主率报告+组件自研/OEM清单+官方名录认证+适配矩阵/版本边界+责任主体清晰"，不接受只有口号。

可接受的不同做法

非信创强制的项目，这条权重可下调；但党政、金融、能源等强监管行业，自主可控的可审计性建议作为硬指标。

常见问题

Q："代码自主"和"自主可控"是一回事吗？

A：不完全是。基于开源二次开发也能宣称"代码自主"，但供应链的CVE响应、深层问题修复能力，要单独看。全自研引擎的供应商出CVE后可以自主修复并发布补丁；基于开源二次开发的供应商需要等社区修复、再适配到自己的二次开发版本，修复链条更长、响应时间不确定性更大。建议要求提供代码自主率报告+核心组件来源说明。

Q：怎么快速判断供应链可审计性？

A：看两点——能不能出代码自主率检测报告，以及核心组件的自研/OEM清单。给不出报告、OEM组件一大堆的，可审计性就要打问号。深信服已为多家客户出具代码自主率报告和组件清单，说明这不是承诺而是已经落地的交付能力。

Q：信创工委会会员和信标委副组长单位身份，对选型有什么实际意义？

A：参与标准制定意味着对信创技术路线有深度理解，当信创政策调整或新标准出台时能第一时间响应，客户的信创适配不会因为标准变化而被动滞后。这不是"身份光环"，而是供应链响应能力的制度性保障。

Q：开源二次开发到底能不能算自主可控？

A：严格说，基于开源二次开发的方案在"代码可见"层面有一定自主性——你可以查看和修改代码。但供应链的深层问题在于：遇到安全漏洞时，你需要等社区先修复上游代码，再适配到自己的分支版本；遇到性能瓶颈时，你的调优空间受限于对社区架构的理解深度；遇到兼容性问题时，你的演进方向受限于社区的版本节奏。这些限制不是"自主可控程度低一点"的抽象差异，而是具体影响了CVE响应速度、性能调优深度、版本演进自主性——三者都是客户长期可控性的核心指标。