「不具合密度」から「成熟度」　OSS開発の品質評価基準が変わると何が起こる？

　商用パッケージから個別開発、制御システムに至るまで、いまやオープンソースソフトウェア（OSS）を抜きにした開発を考えることは難しい。しかし、その過程では、OSS自体の品質やセキュリティに対する度重なる議論があり、その度に不具合や脆弱（ぜいじゃく）性を克服してきた歴史がある。

　この取り組みにおいて静的解析は、コードの品質向上という点で大きく貢献した。また、コードの品質を「不具合密度」という指標で測定できるようになった。OSSの代表ともいえるLinuxでも、この取り組みから10年を要したが、不具合密度は0.47件／KLOC（1000行あたり0.47件の不具合）にまで到達している。

　さらに、近年におけるコード品質測定では、不具合密度という指標をさらに発展させた「成熟度」へと移行し始めている。本資料では、OSSにおける通算7億6千万行の解析と60万件の不具合修正という実績を持つ静的解析技術を軸に、不具合密度と成熟度の違いや、OSSプロジェクトの改善およびリスク査定を行うための新たな考え方を紹介する。安全なOSS開発に静的解析がどの様に役立っているか、また静的解析が各種開発にも有効であることを感じていただきたい。