汽车软件物料清单（SBOM）与漏洞管理市场 尺寸和份额 2026-2035

汽车软件物料清单（SBOM）与漏洞管理市场规模

2025年，全球汽车软件物料清单（SBOM）与漏洞管理市场规模为 9.205亿美元，预计到2035年将达到 47亿美元；2026年至2035年期间的年均复合增长率（CAGR）为 17.3%。根据 Global Market Insights Inc. 发布的最新报告，2026年市场规模将达到 11亿美元。

随着汽车网络安全计划从定期文档编制转向对软件组件、漏洞和修复证据进行持续管控，市场规模不断扩大。软件定义汽车架构、OTA 软件更新、开源依赖项以及多层级供应商之间的信息交换，正在增加整车制造商和供应商组织开展软件治理工作的数量与频率。

到2035年的增长将体现软件可追溯性从合规交付成果转变为网联汽车项目运营要求的过程。随着 OTA 发布、供应商更新和漏洞披露改变汽车软件状态，整车制造商需要保持组件清单的实时更新。因此，市场需求将超越初始实施阶段，延伸至持续监控、供应商数据验证、风险优先级排序以及审计就绪报告。随着电动汽车和软件定义汽车项目增加电池、远程信息处理、云和车联网软件层，且这些软件层需要全生命周期治理，市场也将从中受益。

主要驱动因素

强制性监管合规

2024年7月，UNECE WP.29 第155号法规开始对欧盟、英国、日本和韩国所有新车型认证实施强制性要求，将网络安全治理转变为汽车进入市场的必要条件。^{[1]UNECE, "UN Regulation No. 155 - Cyber Security and Cyber Security Management System". unece.org}ISO/SAE 21434、《美国第 14028 号行政令》以及中国 GB/T 44464-2024 框架进一步要求或鼓励建立结构化的软件可追溯性、漏洞管理、供应商声明和审计证据。^{[2]ISO, "ISO/SAE 21434 Road Vehicles - Cybersecurity Engineering". iso.org} 这些要求持续推动对 SBOM 生命周期监控的需求，而非仅进行一次性文档编制。

汽车软件复杂度呈指数级增长

一辆现代高端汽车可能包含 1 亿至 3 亿行代码，分布在数百个 ECU 以及超过 150 家软件供应组织中。^{[3]NIST, "National Vulnerability Database". nist.gov}软件定义汽车项目增加了 ADAS、信息娱乐系统、云服务、OTA 基础设施和嵌入式控制系统之间的依赖关系。Stellantis 在 2024 年完成了超过 2,500 万次 OTA 更新，显示出汽车软件状态及相关组件清单变化之快。

网络攻击的频率和复杂程度不断上升

NIST 国家漏洞数据库记录显示，2024 年新增 CVE 披露数量超过 29,000 条。联网汽车勒索软件、ECU 漏洞利用、远程信息处理系统遭入侵、OTA 攻击途径以及软件供应链漏洞，使企业必须将原始漏洞数据与每个汽车项目的实际软件和架构进行关联。持续监控可缩短漏洞披露、优先级排序、修复和合规证据之间的运营差距。

电动汽车（EV）与软件定义汽车（SDV）的加速普及扩大了攻击面

2024 年全球电动汽车销量达到 1,700 万辆。电池管理系统、域控制器、V2X 模块、远程信息处理控制单元以及云连接服务平台增加了需要组件可视性和明确漏洞响应流程的软件层。因此，SDV 的普及不仅扩大了需要治理的软件资产数量，也拓展了汽车 SBOM 平台的商业范围。

与传统工作流程的集成复杂度

许多 OEM 和供应商项目仍在运行基于 AUTOSAR 的 ECU，采用较长的整车验证周期和分散的开发工具链，而这些工具链最初是围绕硬件交付设计的。当原始源代码或构建环境不可用时，追溯生成 SBOM 可能需要开展基于二进制文件的软件成分分析。这种解决方案能够扩大传统车队的覆盖范围，但也增加了嵌入式 C、POSIX 系统、专有中间件和异构验证流程的实施复杂度。

SBOM 格式互操作性存在差距

SPDX（标准化为 ISO/IEC 5962:2021）和 CycloneDX 均已应用于汽车供应网络，因此面临格式标准化和交换方面的挑战。2025 年，采用自动化 SBOM 生成工作流的 Tier-2 汽车软件供应商不足 30%，因此 OEM 必须将成熟供应商提供的机器可读提交内容与规模较小组织的手动证明结合起来。CISA 的最低要素指南提供了运营基线，但跨司法管辖区的供应商执行情况仍不一致。^{[4]CISA, "Software Bill of Materials Guidance". cisa.gov}

汽车网络安全专业人才短缺

汽车 SBOM 项目需要具备功能安全知识、ISO/SAE 21434 网络安全工程能力、DevSecOps 实践经验以及软件组成分析能力的专业人员。与 OEM 和供应商的需求相比，这类人才仍然十分稀缺。印度、墨西哥和东南亚的情况尤为严峻，这些地区的汽车软件业务活动和网络安全要求增长速度快于专业人才培养体系的发展速度。

SBOM 框架实施成本高

企业级项目需要扫描基础设施、供应商门户、漏洞情报源、合规自动化工具、监控运营、培训和审计支持。对于利润空间有限的 Tier-2 及更低层级供应商而言，这些成本难以消化。售后市场和车队运营商同样面临组织结构分散以及短期网络安全预算较低的问题，尽管全生命周期风险不断扩大，采用速度仍受到拖累。

汽车软件物料清单（SBOM）与漏洞管理市场细分市场分析

按解决方案

2025 年，软件市场收入为 6.355 亿美元，占市场收入的 69.0%；预计到 2035 年将达到 33.595 亿美元，年均复合增长率（CAGR）为 17.7%。该细分市场包括 SBOM 生成、组件依赖关系映射、CVE 关联、合规仪表板、修复跟踪和集成式 CSMS 功能。Cybellum 的 Product Security Platform、C2A Security 的 AutoSPIN、Synopsys Black Duck，以及 ETAS 和 Vector Informatik 的工具链生态系统，体现了以平台为中心的商业结构。

2025 年，服务市场收入为 2.85 亿美元，占市场份额的 31.0%；预计到 2035 年将达到 13.431 亿美元，年均复合增长率（CAGR）为 16.4%。

专业服务涵盖实施与系统集成、咨询以及培训与认证；托管服务则包括 SBOM 维护与漏洞监控、供应商 SBOM 门户与质量保证，以及合规报告与审计支持。DNV、AVL 和 LTTS 满足复杂 OEM 与供应商项目所伴随的保障、工程和部署需求。平台需求正受到整合趋势的影响，即将原本相互独立的发现、监控、证据和修复功能整合到互联的运营环境中。随着客户需要获取最新的漏洞情报和清单更新，而非定期扫描，经常性 SaaS 收入的重要性不断提升。与 CSMS 和 DevSecOps 工具链的集成也正在改变采购重点：OEM 和供应商日益倾向于选择能够融入既有开发、验证和 OTA 流程，同时为复杂的遗留系统与供应商部署保留服务能力的解决方案。随着车辆型号覆盖范围、组件数量和供应商参与度的扩大，经常性许可证和 SaaS 收入为软件业务增长提供了支撑。

尽管服务对于遗留系统集成和供应商引入仍不可或缺，但自动化将逐步推动收入结构向软件倾斜。

按功能应用

SBOM 生成与发现业务在 2025 年创造了 2.693 亿美元收入，并以 29.3% 的份额占据最大的功能细分份额。该业务建立组件清单和依赖关系图，为漏洞监控、合规报告、许可证治理和供应链分析提供必要基础。二进制检测和源代码级生成均具有重要意义，尤其是在 OEM 必须管理缺乏原生 SBOM 生成流程的遗留 ECU 固件时。

漏洞与风险管理业务在 2025 年创造了 2.246 亿美元收入，占 24.4% 的份额；预计到 2035 年将达到 11.945 亿美元，年均复合增长率（CAGR）为 17.8%。合规与治理管理、许可证合规管理以及供应链风险管理通过 CSMS 证据、开源治理、供应商验证和多层级风险流程，扩展了应用体系。功能需求正从初始清单创建转向在风险、合规和供应商流程中持续使用 SBOM 数据。人工智能辅助的优先级排序有助于安全团队从大量原始 CVE 披露中识别出具有运营相关性的风险。与此同时，生命周期监控和合规自动化将发现结果与修复证据连接起来，而供应链功能则将这些控制措施扩展至 Tier-1 及更低层级的组织，以应对不同的格式、工具链和网络安全成熟度。发现仍是基础性应用，因为不完整的组件清单会削弱所有后续网络安全和合规流程。

人工智能赋能的漏洞优先级排序通过将大量 CVE 转化为面向具体车辆的修复计划，提升了风险管理平台的价值。

按最终用途

汽车 OEM 在 2025 年创造了 3.678 亿美元收入，占 40.0% 的份额；预计到 2035 年将达到 20.296 亿美元，年均复合增长率（CAGR）为 18.2%。OEM 对车辆型式认证、CSMS 治理、车型系列覆盖、供应商协调以及全生命周期网络安全证据承担直接责任。Volkswagen Group 的 CARIAD 活动以及 Stellantis 的网络安全和 OTA 治理，体现了 OEM 软件安全项目的规模。

一级供应商在 2025 年实现收入 3.133 亿美元，占比 34.0%，预计到 2035 年将达到 15.914 亿美元，年均复合增长率（CAGR）为 17.2%。二级及更低层级供应商实现收入 1.813 亿美元，占比 19.7%，预计到 2035 年将达到 8.794 亿美元，年均复合增长率为 16.7%。售后市场及车队运营商实现收入 5,800 万美元，占比 6.3%，预计到 2035 年将达到 2.022 亿美元，年均复合增长率为 12.8%；较低的监管压力和受限的预算使该细分市场的增长率低于由原始设备制造商（OEM）主导的需求。需求源自 OEM 项目层层传导，因为型式批准责任和网络安全治理要求会转化为供应商合同、证据请求和准入流程。因而，一级组织既是采购方，也是低层级软件数据的协调方。由于预算、组织结构和即时合规压力均不够有利，车队及售后市场的采用速度仍然较慢；但随着互联车队运营和生命周期义务不断扩大，漏洞监控和托管服务的重要性将逐步提升。OEM 要求会形成递归式需求，因为一级及低层级供应商必须提供组件清单和网络安全证据，才能保留项目资格。

托管云服务对于低层级供应商的采用至关重要，因为这类服务能够降低前期技术投入和专业人员配置要求。

按车辆类型

乘用车包括两厢车、轿车和 SUV 项目。互联信息娱乐系统、高级驾驶辅助系统（ADAS）、云服务、OTA 软件以及大量电子控制单元（ECU）提高了软件物料清单（SBOM）的覆盖要求。高端乘用车可能在数百个 ECU 中包含 1 亿至 3 亿行代码，因此必须在项目规模下实现自动化组件发现和漏洞关联分析。

电动汽车（EV）和软件定义汽车（SDV）架构加深了两类车辆的软件治理要求，因为互联功能已从单个 ECU 延伸至电池控制系统、远程信息处理、车联网（V2X）接口、云服务和 OTA 流程。乘用车通过广泛部署互联功能提升需求规模，而商用车项目则通过车队互联和持续的实际运营使用增加运营价值。在这两种情况下，当组件变更必须与车辆中运行的特定软件状态相关联时，SBOM 管理的价值都会进一步提升。乘用车需求受到互联及高端车辆架构软件密集程度的影响。

商用车需求将日益体现车队级监控和互联运营安全要求。

按部署模式

基于云的（SaaS）部署在 2025 年实现收入 6.322 亿美元，占比 68.7%，预计到 2035 年将达到 33.145 亿美元，年均复合增长率为 17.6%。SaaS 平台支持持续更新、集中式漏洞情报、可扩展的供应商访问以及较低的初始基础设施成本。Cybellum、C2A Security、VicOne 和 Upstream Security 展示了在生命周期监控、风险关联分析、供应商参与和车队情报方面采用云连接方式的实践。

本地部署在 2025 年实现收入 2.883 亿美元，占比 31.3%。对于需要直接控制内部基础设施、实现遗留系统集成或保护敏感开发环境的 OEM 和供应商组织而言，本地部署仍具有重要意义。

云部署占据主导地位，是因为多层级供应商协作和持续更新的情报更易通过集中式平台实现规模化。

当遗留工作流程、内部控制或项目特定的架构要求限制云采用时，本地部署仍具有现实意义。

汽车软件物料清单（SBOM）与漏洞管理市场区域分析

北美

2025 年，北美市场收入为 2.444 亿美元，占全球收入的 26.6%；预计到 2035 年将达到 14.225 亿美元，年均复合增长率（CAGR）为 18.8%，为各区域中最高。美国是该区域的主要市场，受第 14028 号行政命令、CISA 关于 SBOM 最低要素的指导以及 NHTSA 网络安全实践的支持，这些政策和实践会影响 OEM 的供应商资格审查和风险管理流程。2025 年第三季度对 95 家北美汽车软件供应商开展的一项调查显示，71% 的供应商在此前 18 个月内曾收到主要 OEM 正式提出的 SBOM 提交要求，而 2023 年调查样本中的这一比例为 38%。联邦政策正日益得到 OEM 供应商资格审查计划的强化，使提交 SBOM 从一次性的网络安全活动转变为参与供应体系的常规条件。这种结构有利于托管服务、云门户和合规支持的发展，帮助供应商维护最新清单和证明材料，而无需组建庞大的内部团队。北美的增长轨迹反映了政策导向、企业采购纪律以及 OEM 和供应商生态系统中网联汽车软件投资的共同作用。联邦政策与 OEM 合同要求相结合，使北美成为增长最快的市场，尽管亚太地区目前的收入基数更大。

供应商提交要求将持续支撑云门户、格式验证和托管合规服务的需求。

欧洲

2025 年，欧洲市场收入为 2.515 亿美元，占全球市场份额的 27.3%；预计到 2035 年将达到 13.130 亿美元，年均复合增长率（CAGR）为 17.6%。德国是该区域的技术中心，因为 Volkswagen、BMW、Mercedes-Benz、ETAS、Vector Informatik 及其一级供应商网络集中了汽车开发工具和网络安全活动。联合国欧洲经济委员会 WP.29 第 155 号法规于 2024 年 7 月起成为欧盟和英国新车型式批准的强制要求；与此同时，ENISA 于 2025 年 1 月更新的《汽车网络安全最佳实践》增加了明确的 SBOM 管理和供应商声明指导。

随着软件更新、供应商变更和漏洞披露需要持续提供证明，欧洲相关计划正从初始式型批准准备阶段转向持续的全生命周期管理。德国集中的 OEM 工程运营和成熟的开发工具，有利于集成平台的采用，而非单独使用扫描产品。ENISA 的指导为各国主管部门和供应商强化了共同的运营参考框架，而供应商声明要求则将市场范围从 OEM 中央网络安全团队扩大至分散的开发和采购职能。欧洲的需求主要由式型批准执行和成熟的 OEM 开发环境支撑，而不是由可自由裁量的网络安全支出驱动。

德国成熟的工具链生态系统有利于将 SBOM 功能集成至现有工程和诊断工作流的供应商。

亚太地区

亚太地区是最大的区域市场，2025年创造收入 3.185 亿美元，占市场份额的 34.6%；预计到2035年将达到 15.283 亿美元，年均复合增长率（CAGR）为 16.6%。中国是最大的国家市场，GB/T 44464-2024 规定的国内汽车网络安全要求正在塑造软件物料清单（SBOM）、漏洞管理、供应链证明和数据本地化要求。日本和韩国遵循联合国欧洲经济委员会 WP.29 网络安全要求，而印度的联网汽车网络安全指导方针草案为 2026～2028 年创造了合规机遇；印度和韩国是该地区领先的新兴市场。随着中国实施国内合规和数据本地化要求，而日本和韩国将执法与联合国欧洲经济委员会流程保持一致，区域需求正日益呈现差异化。随着本地制造业和联网汽车活动不断扩张，印度不断发展的合规窗口进一步带动了需求。电动汽车（EV）和软件定义汽车（SDV）项目加剧了对电池、远程信息处理及云连接系统组件可视性的需求，从而提升了能够同时支持国内和跨境供应商环境的平台价值。亚太地区的市场规模主要受汽车产量、电动汽车和软件定义汽车部署，以及不断增加的国家网络安全要求推动。

中国特有的合规和数据本地化要求推动了对适应国内供应链和治理条件的平台的需求。

拉丁美洲

2025年，在亚太地区、欧洲和北美之后，拉丁美洲占全球收入剩余部分的 6.7%。巴西是领先的新兴国家市场机遇，汽车制造、联网汽车活动以及包括《巴西通用数据保护法》在内的数据治理要求为其提供了支持。墨西哥在汽车供应链中的作用扩大了可服务市场基础，但网络安全人才限制和实施成本制约了部署速度。该地区的市场采用可能会跟随汽车制造和出口供应链发展，而不是广泛开展独立的网络安全现代化建设。巴西能够将联网汽车活动与本地数据治理要求结合起来，因此是最具潜力的切入点；墨西哥则可依托与北美生产网络相连接的供应商渠道。与需要大量内部网络安全团队的大型全面集成部署相比，托管式软件即服务（SaaS）、分阶段接入和聚焦型合规服务更符合该地区的成本结构。对于寻求新兴市场汽车网络安全需求的供应商而言，巴西将成为拉丁美洲的主要切入点。

较低层级供应商的经济条件和专业人才短缺，使托管式 SaaS 及分阶段合规服务相比大规模前期项目更具优势。

中东和非洲

2025年，在亚太地区、欧洲、北美和拉丁美洲之后，中东和非洲（MEA）占全球收入剩余部分的 4.7%。海湾合作委员会（GCC）网络安全监管框架、沙特国家网络安全局（NCA）基本网络安全控制措施、沙特标准、计量和质量组织（SASO）技术法规，以及阿联酋信息保障标准构成了该地区的政策环境。汽车软件物料清单的采用仍受到实施成本、需求分散以及专业汽车网络安全人才供应有限的制约。在国家网络安全控制措施要求对车辆软件和数据实施可证明治理的地区，联网出行计划创造了最明确的近期需求。

海湾合作委员会（GCC）框架以及沙特阿拉伯和阿联酋的政策方向，使合规驱动型项目比广泛的自主平台支出更具相关性。鉴于供应商成熟度不均衡、专业人员能力受限以及当前区域部署项目规模有限，市场采用可能首先从托管监控、针对性评估和服务驱动型合作开始。只有在互联出行项目和国家网络安全控制措施提出明确合规要求的情况下，中东和非洲（MEA）地区的需求才会选择性发展。

与大规模、完全集成的企业级部署相比，服务驱动型和云交付型模式更符合该地区当前的市场成熟度。

汽车软件物料清单（SBOM）与漏洞管理市场份额及竞争格局

Cybellum——7.8%的市场份额

由 LG Electronics 持有的 Cybellum 是市场领导者，市场份额为 7.8%。LG 于 2022 年以约 2.4 亿美元收购该公司，增强了其资源和汽车渠道覆盖能力。Cybellum 的 Product Security Platform 集成了基于二进制文件的组件检测、依赖关系映射、CVE 关联、修复工作流、支持 500 多个接触点的供应商门户以及合规报告功能；该平台已部署于多个全球前十名 OEM 项目中。

ETAS——4.9%的市场份额

ETAS 依托 Bosch Group 和 ESCRYPT 的能力，占据 4.9%的市场份额。该公司将 TARA、SBOM 生成、漏洞监控和 ISO/SAE 21434 合规功能，与 Bosch INCA、AUTOSAR、诊断系统及汽车开发环境相集成。对于已经采用与 Bosch 相关工程工作流的 OEM 和 Tier-1 客户而言，这一嵌入式工具链地位降低了集成阻力。

Vector Informatik——3.8%的市场份额

Vector Informatik 占据 3.8%的市场份额，并将其 CANalyzer、CANoe 和 VectorCAST 生态系统扩展至汽车网络安全和 SBOM 生成领域。2024 年 4 月，该公司推出了 VectorCAST Security 扩展，支持导出 CycloneDX SBOM，使供应商能够从现有测试和验证工作流中创建组件清单。基于原生工具链的生成功能使 Vector 区别于必须建立新数据收集路径的独立平台。

Argus Cyber Security / PlaxidityX——3.0%的市场份额

Argus Cyber Security 统一纳入 Continental 旗下的 PlaxidityX 品牌，市场份额为 3.0%。Continental 于 2017 年收购 Argus，并将其在 ECU 和远程信息处理安全领域的技术积淀与 Elektrobit 的软件安全能力相结合。Continental 对 Tier-1 供应链的覆盖，使 PlaxidityX 能够依托嵌入式商业渠道，服务于全球汽车制造项目。

Synopsys——2.5%的市场份额

Synopsys 通过其 Black Duck 平台占据 2.5%的市场份额。该平台为管理混合型专有软件和开源软件技术栈的汽车企业提供企业级软件成分分析（SCA）、开源软件检测、许可证合规以及基于 CVSS 的可利用性评分。Synopsys 已建立的 DevSecOps 地位，为希望将企业软件成分分析实践延伸至车辆治理的 OEM 和供应商提供了更低风险的采用路径。

VicOne - 市场份额为 2.0%

VicOne 是 Trend Micro 于 2021 年成立的分拆公司，市场份额为 2.0%。其 xNexus 和 xCarbon 平台将汽车软件物料清单（SBOM）分析与 Trend Micro 威胁情报相连接，后者每日涵盖超过 2,500 亿次威胁查询。2025 年 3 月，VicOne 推出 xNexus 2.0，通过人工智能驱动的 CVE 优先级排序，为联网汽车车队运营商实现了最高 70% 的告警量减少。

C2A Security - 市场份额为 1.8%

C2A Security 的市场份额为 1.8%，并提供 AutoSPIN DevSecOps 平台。AutoSPIN 将 SBOM 生成、CVE 管理和合规报告整合至 CI/CD 工作流中，解决车辆软件开发与安全治理之间的脱节问题。2025 年 4 月，AutoSPIN 3.0 正式全面上市，新增 SPDX/CycloneDX 双向转换功能以及用于收集多层级 SBOM 的供应商门户。

在汽车 SBOM 和漏洞管理市场运营的主要企业包括 AUTOCRYPT、AVL、DNV、Harman International、LTTS、Upstream Security、CYMOTIVE Technologies、Finite State、Karamba Security、Secure Elements、Agnile Technologies 和 VxLabs（ThreatZ）。

近期行业发展

• 2025 年 4 月：C2A Security 宣布 AutoSPIN 3.0 正式全面上市，新增 SPDX/CycloneDX 双向转换功能以及用于收集多层级 SBOM 的供应商门户。该版本旨在解决互操作性和接入方面的核心限制。

• 2025 年 3 月：VicOne 推出 xNexus 2.0，通过人工智能驱动的 CVE 优先级排序，将 Trend Micro 威胁情报与车辆架构上下文评分相结合。早期部署数据显示，联网汽车车队运营商的告警量最高减少 70%。

• 2025 年 1 月：ENISA 发布更新版《汽车网络安全良好实践》，明确提出 SBOM 管理和供应商证明框架，并与 UNECE WP.29 第 155 号法规保持一致。

• 2024 年 11 月：Cybellum 通过供应商 SBOM 门户扩展其产品安全平台，实现从最多 500 个供应商接入点自动收集、格式验证和系统导入。该模块是在两家欧洲前十大 OEM 厂商完成部署后推出的。

• 2024 年 10 月：CISA 发布更新版交通基础设施 SBOM 指南，将汽车行业列为关键基础设施优先领域，并使最低要素与 NTIA 框架保持一致。