[논문 리뷰] A Survey on Mapping Digital Systems with Bill of Materials: Development, Practices, and Challenges

Shuai Zhang, Minzhao Lyu외 1명|arXiv (Cornell University)|2026. 01. 16.

Digital Platforms and Economics인용 수 0

한 줄 요약

이 설문은 소프트웨어, 하드웨어, AI, 데이터, 암호 자산에 대한 BOM 개발의 교차 도메인 검토를 제공하며, 진화, 실천, 사용, 연구 격차를 요약한다.

ABSTRACT

Modern digital ecosystems, spanning software, hardware, learning models, datasets, and cryptographic products, continue to grow in complexity, making it difficult for organizations to understand and manage component dependencies. Bills of Materials (BOMs) have emerged as a structured way to document product components, their interrelationships, and key metadata, improving visibility and security across digital supply chains. This survey provides the first comprehensive cross-domain review of BOM developments and practices. We start by examining the evolution of BOM frameworks in three stages (i.e., pre-development, initial, and accelerated) and summarizing their core principles, key stakeholders, and standardization efforts for hardware, software, artificial intelligence (AI) models, datasets, and cryptographic assets. We then review industry practices for generating BOM data, evaluating its quality, and securely sharing it. Next, we review practical downstream uses of BOM data, including dependency modeling, compliance verification, operational risk assessment, and vulnerability tracking. We also discuss academic efforts to address limitations in current BOM frameworks through refinements, extensions, or new models tailored to emerging domains such as data ecosystems and AI supply chains. Finally, we identify four key gaps that limit the usability and reliability of today's BOM frameworks, motivating future research directions.

연구 동기 및 목표

• 하드웨어에서 디지털 생태계까지 BOM 개념의 역사적 및 현재 진화를 추적한다.
• 소프트웨어, 하드웨어, AI, 데이터 및 암호 자산 전 영역에서 도메인별 BOM 관행, 표준 및 채택을 요약한다.
• BOM 데이터의 데이터 생성, 품질 및 공유 관행을 분석한다.
• 현재 BOM 프레임워크의 한계와 격차를 식별하여 향후 연구 방향을 제시한다.

제안 방법

• SBOM, CBOM, AIBOM, HBOM, SaaSBOM을 대상으로 Google Scholar, ACM DL, IEEE Xplore, arXiv에서 체계적 문헌 조사를 수행한다.
• 2020년 이후 BOM 개발, 표준 및 업계 채택에 대한 교차 도메인 종합을 제공한다.
• 세 단계의 BOM 진화(사전 개발, 초기, 가속화)를 설명하고 도메인별 표준 및 프레임워크를 매핑한다.
• 보안, 준수, 위험 평가에서의 실용적 BOM 데이터 생성, 관리 및 사용을 요약한다.
• AI, 데이터 생태계, IoT와 같은 새로운 도메인에 BOM 모델을 다듬거나 확장하려는 학술적 노력을 논의한다.

실험 결과

연구 질문

• RQ1 소프트웨어, 하드웨어, AI 모델 및 데이터 세트, 암호 자산, SaaS에 걸친 BOM 프레임워크의 역사적 및 현재 개발은 무엇인가?
• RQ2 업계 관행은 BOM 데이터를 어떻게 생성, 검증 및 공유하며, 데이터 품질과 사용성에 영향을 주는 요인은 무엇인가?
• RQ3 종속성 모델링, 준수, 위험 평가 및 취약점 추적에서 BOM 데이터의 실용적 용도는 무엇인가?
• RQ4 현재 BOM 프레임워크의 격차는 무엇이며, 어떤 향후 방향이 신흥 도메인과 도전 과제를 다루는가?

주요 결과

• BOM 프레임워크는 하드웨어 중심에서 SBOM, CBOM, AIBOM, HBOM, SaaSBOM을 포함한 교차 도메드 커버리지로 진화했다.
• 규제 및 표준 활동은 2021년 이후 촉진되었고 SBOM의 형식화(SPDX, CycloneDX) 및 AI, 하드웨어, SaaS, 암호학을 위한 도메인 확장이 이루어졌다.
• 업계 관행은 데이터 품질, 공유 및 사용성에 중점을 두는 한편 도구와 생태계 전반의 완전성 및 일관성 문제를 강조한다.
• 네 가지 주요 격차가 현재 BOM의 사용성 및 신뢰성을 제한한다: AI 및 데이터 생태계에 대한 커버리지, 표준화된 데이터 공유, 런타임 및 출처 추적, 동적 환경에 대한 확장성.
• 학술적 노력은 메타데이터의 한계를 극복하기 위해 확장 모델, 보강 메타데이터 및 런타임/빌드 시간 추적을 제안한다.
• 소스 코드 접근 없이 BOM 데이터를 생성하고 도메인별 필드(개인정보보호, 보안, 암호학, 출처)를 BOM에 보강하는 연구가 계속 진행 중이다.