Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Proposal: Safety Relevance Metadata for CycloneDX

Aperta
  • Qualcosa non va?
#954 19 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

@stevespringett ci sta già lavorando.

Dal 21/9/2026.

  • #1041 di @devashridatta-dotcom — aperta
  • #1120 di @stevespringett — aperta

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
35/100
Tipo di issue
Funzionalità
Chiarezza
Da chiarire
Stato di attività
Attiva
Ambito
documentation

Direzione di ricerca

Inizia esaminando le funzionalità esistenti di metadati CycloneDX, Vulnerability Disclosure, VEX e AI BOM citate nella proposta. Determina se le proprietà debbano essere personalizzate o di prima classe, definisci la tassonomia e le interazioni, quindi fornisci la proposta formale dello schema, gli esempi di BOM e le mappature descritte in Next Steps.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Summary

This proposal introduces an optional Safety Relevance metadata property for CycloneDX components.

The goal is to capture whether a component participates in safety-critical or mission-critical functions where compromise, malfunction, or misuse could contribute to:

  • Physical harm
  • Human safety risks
  • Environmental damage
  • Critical infrastructure disruption
  • Societal impact

The proposal complements existing CycloneDX capabilities such as Vulnerability Disclosure, VEX, AI BOM, and dependency analysis by adding contextual information about the operational consequences of component failure.

Motivation

CycloneDX provides rich metadata describing:

  • Component identity
  • Dependencies
  • Vulnerabilities
  • VEX assertions
  • Services
  • AI and machine learning artifacts

However, it does not currently express whether a component is part of a safety-critical system.

Organizations in automotive, healthcare, robotics, industrial control systems, energy, and AI increasingly require this context to:

  • Prioritize remediation
  • Interpret VEX results
  • Build safety cases
  • Meet regulatory obligations
  • Improve risk governance

Initial Proposal

Introduce optional metadata properties:

  • cyclonedx:safety-relevance
  • cyclonedx:safety-domain
  • cyclonedx:safety-impact

Example:

safety-relevance = Critical

safety-domain = Medical

safety-impact = HumanSafety

Example Classification

  • None
  • Indirect
  • Critical
  • Unknown

Questions for the Community

  1. Should Safety Relevance begin as custom properties or as a first-class schema object?
  2. Are there existing use cases in medical, automotive, AI, or industrial systems?
  3. How should Safety Relevance interact with VEX and vulnerability analysis?
  4. Would a common taxonomy benefit downstream tooling and SBOM consumers?

Next Steps

If there is interest, I can:

  • Draft a formal schema proposal
  • Provide example BOMs
  • Develop mappings to VEX and AI BOM
  • Collaborate with the community on taxonomy and governance
Lingua principale
XSLT
Stelle
558
Fork
93
Merge medio
19h 7m
PR unite (30g)
17

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di CycloneDX/specification

Tutte le issue di CycloneDX/specification

Issue simili

Altre issue su Documentation

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.