はじめに

企業や組織（総称して「組織」）は、オープンソースやその他のソフトウェアパッケージを広く使用し、再利用しています。ソフトウェアを正確に識別することは、多くのサプライチェーンプロセスにとって重要です。脆弱性の修復は、システムで使用されているソフトウェアのバージョンの詳細を知ることから始まります。関連するライセンスのコンプライアンスには、各組織が独自に行う一連の分析活動とデューデリジェンスが必要であり、これには、ソフトウェアの手動スキャンや自動スキャン、関連するライセンスの識別、その後の手動検証などが含まれます。

世界中のソフトウェア開発チームが同じオープンソースパッケージを使用していますが、分析に関する共同作業を促進したり、分析結果を共有したりするためのインフラはほとんど存在しません。その結果、多くのグループが同じ作業を行っており、重複した作業や冗長な情報が発生しています。このドキュメントは、Linux Foundation SPDX グループと OMG/CISQ Tool-to-Tool ワークグループの統合的な活動である SPDX ワークグループが作成した、ソフトウェアパッケージと関連コンテンツに関する情報を収集し、共通のフォーマットで共有することで、時間の節約とデータの正確性の向上を目的としたデータ交換フォーマットについて説明しています。

この2つのグループの統合的な活動は、2021年の最初の数週間、概ね前進しましたが、どちらか一方が議論していなかったり、異なる意見を持っていたりする問題を、より大きなグループが解決する間、時折停滞しました。最終的に、SPDX 3.0での方向転換に備え、SPDX 3.0のコンセプトや機能の一部をコミュニティに提供するアップデートを加えたSPDX 2.3を2022年8月にリリースした後、SPDX 3.0の最初のリリース候補版が2023年5月に公開されました。標準化団体であると同時にオープンソース開発者のコミュニティでもあるSPDXコミュニティにおいて、RC版(リリース候補版)は、新旧を問わずSPDXの実装者が成果物をレビューし、不明確な部分や実装に大きな負担となる部分がないかを判断する機会を提供しました。

最初のRC版に対するコメントや変更要求に基づいて、モデルのいくつかの領域が修正され、再検討された結果、2024年2月にSPDX 3.0のRC2版が公開されました。このRC2版は、ツール作成者やSPDXで作業するためのサポートライブラリをメンテナンスする人たちに、SPDX 3.0仕様の最終バージョンに先立ち、プロジェクトの改訂を開始する時間を与えるものでした。コミュニティ内部の活動や議論、SPDXグループとOMG/CISQ Tool-to-Tool (3T-SBOM)ワークグループとの統合の議論に関与していない人たちにとっては、この3年間でのSPDX 2.3からSPDX 3.0へのSPDXモデルの移行は、Software Package Data ExchangeからSystem Package Data ExchangeへのSPDXの名称変更、部品表で伝達できる項目の拡大(ソフトウェア、セキュリティ、ライセンスから、データセット、AIモデル、ビルド情報などの多くの要素が追加された)など、劇的な変化となりました。

3.0.0のリリース以来、ドキュメンテーションのレベルやモデルの小さなエラーに関するフィードバックを集め、3.0.1のリリースで対処しました。