从 SRE 到精益变革实践与思考.pdf

1、齐 欢 George 2024年5月25日 周六实践与思考从 SRE 到精益变革目录CONTENTS1.项目背景2.回归本源3.项目实践4.变革思考DevOps 的尽头是什么？有骨气又谦卑、懂开发全生命周期管理的“全栈”工程师？具有“全栈”技术能力的研发效能领域的极致经理？“降本增效”的先锋模范？被团队背后讨论的职场刺客？“边际效应”在广义或狭义DevOps 领域都在发生作用每个人的职涯是发挥自己的天赋项目背景一款体外诊断（IVD）下一代基因测序制备系统包含嵌入式 和 云端系统核心开发时间 2017 2021Sprint 120+合规性变革IVD 合规性要求NMPA 和 FDA 的要求NPSV

2、 非产品软件的验证要求FMEA 风险评估要求SSCPP 软件供应链保护计划跨国项目多种文化背景有限资源，难以转化 型人才刺探 DevOps 理念多种异型管道实现结果按时上市单元测试覆盖度 95%端到端自动化测试用例覆盖度 90%“几乎没有 Bug”云端过去两年全年Downtime 5 min“人人都是 DevOpsChampion”回归本源从三个维度看 DevOps广度 上下游的不断连接深度 流程或工具的技术迭代伴随 可靠性工程/业务连续性：SRE、CM 质量保障：AT、PRTI 效率优化：精益改善、自动化、管道串联 信息安全：安全编码、SAST、DAST、SBOM 法务合规：主动沟通我们一直

3、不停 对价值增量的持续优化 寻找更好的实践方法 沟通串联，保障畅达 DevOps 文化，不应是小众文化，而应成为开发者的基本素养。敏捷软件开发宣言敏捷软件开发宣言我们一直在实践中探寻更好的软件开发方法，身体力行的同时也帮助他人。由此我们建立了如下价值观：个体和互动 高于 流程和工具工作的软件 高于 详尽的文档客户合作 高于 合同谈判响应变化 高于 遵循计划也就是说，尽管右项有其价值，我们更重视左项的价值。项目实践11121314突如其来的合规性环境变化NMPA 国家药监局医疗器械网络安全注册技术审查指导原则（2018年1月实施，2022年修订）FDA 美国食品药品监督管理局“Postmarke

4、t Management of Cybersecurity in Medical Devices”（2016年）“Cybersecurity in Medical Devices:Quality System Considerations and Content of Premarket Submissions Guidance for Industry and Food and Drug Administration Staff”（2022 年）SSCP 软件供应链保护1.设计和开发期间的活动产品源代码访问控制产品源代码漏洞扫描产品源代码存储监控产品源代码存储真实性产品二进制完整性2.制造期

5、间的活动产品二进制完整性产品二进制传输到供应商成品恶意软件扫描3.补丁交付期间的活动补丁库上传访问控制补丁库漏洞扫描补丁库监控补丁库完整性补丁交付完整性产品安全与隐私数据出境合规性：部署结构隐私合规性：数据库新字段变化的跟踪OSS 法务合规性：第三方新类库的跟踪NIST 信息安全最佳实践跟踪：算法和配置过期的跟踪PSIRT 应急事件响应来自不同组织级别的 SAST/DAST 的工具变更变革思考变革独行不快，众行才远。自上而下分解绩效寻求领导的支持，提供共同愿景，提供价值流梳理绩效创新、绩效改善让他人看到变革带来的绩效受益自下而上推动改善文化与更多相关方，合作双赢直面挑战，探索未知，持续改善，深度思考朝着最适合自己方向前行，成就自我的“无穷”至臻提问时间谢谢大家