軟件提供過程及其審核

1、軟件提供過程及其審核(提綱)信息產(chǎn)業(yè)部電子六所 戴 彤 1概述1 1.1軟件1 l.2軟件產(chǎn)品1 1.3軟件質(zhì)量1 1.4軟件產(chǎn)品的特點l 1.5軟件產(chǎn)品的質(zhì)量特性12軟件生存期過程13媒體控制34文檔資料控制35版本管理36環(huán)境、工具和技術(shù)37有關(guān)軟件的標準和法規(guī)48軟件企業(yè)的審核48.1軟件開發(fā)過程是一個“特殊過程”48.2標準條款在軟件企業(yè)的具體體現(xiàn)49CMM簡介6l 概述11軟件： 特指計算機軟件。 軟件的提供形式可能有：軟盤、光盤、磁帶、半導(dǎo)體存貯器、硬盤等。12軟件產(chǎn)品：計算機程序、以及相關(guān)的文檔和數(shù)據(jù)。13軟件質(zhì)量：軟件產(chǎn)品滿足明確或隱含需求能力的一系列特性的總和14軟件產(chǎn)品的特

2、點 ·軟件的質(zhì)量缺陷不可能完全避免 ·技術(shù)上解決軟件質(zhì)量的效果有限 ·軟件企業(yè)管理者要在市場(用戶)需求和軟件成熟性之間進行權(quán)衡。15軟件產(chǎn)品的質(zhì)量特性 ·功能性：就是軟件所實現(xiàn)的功能是否滿足顧客要求(明示的和隱含的)。 ·可靠性：包括：成熟性、容錯性和易恢復(fù)性。 軟件的可靠性與硬件不同。從理論上說，軟件不會“老化”。 ·易用性：包括：易理解性、易學(xué)性和易操作性，還包括友好的用戶界面。 ·效率：包括：時間特性、資源特性。 ·維護性：易分析性、易改變性、穩(wěn)定性和易測試性。·可移植性：包括：適應(yīng)性、易安裝性、

3、易替換性2軟件生存期過程 1)確定需求： 確定外部用戶需求(包括上級或公司確定的需求)： ·上級下達的軟件開發(fā)課題； ·本公司根據(jù)市場需要確定的開發(fā)課題； ·用戶合同要求的軟件開發(fā)任務(wù)。 輸出有： ·可行性分析報告； ·合同及評審記錄。2)開發(fā)策劃 內(nèi)容包括： ·確定開發(fā)目標； 點和確認點)及其實施的責任 ·確定項目開發(fā)的技術(shù)路線(開發(fā) 人、實施方式等； 的出發(fā)基線、對現(xiàn)有產(chǎn)品的復(fù) ·設(shè)計項目開發(fā)進度； 用、委托開發(fā)等)； ·確定開發(fā)人員并分配職責； ·確定應(yīng)遵循的標準、法律和法 ·提

4、出開發(fā)所需資源(軟件、硬件 規(guī)； 開發(fā)環(huán)境及工具軟件、設(shè)備、 ·選任開發(fā)項目經(jīng)理； 資金等)要求并予以落實； ·劃分開發(fā)階段； ·制定配置管理計劃和質(zhì)量保證 ·確定各階段的輸入和輸出文件； 計劃。 ·確定質(zhì)量控制點(評審點、驗證 輸出有： ·策劃報告； ·配置管理計劃； ·開發(fā)項目實施計劃； ·質(zhì)量保證計劃。 等3)需求分析 ·確定設(shè)計輸入； ·編制內(nèi)部需求規(guī)格(說明)書。4)概要設(shè)計； 包括： ·總體方案設(shè)計 ·現(xiàn)有產(chǎn)品軟件的選用 ·邏輯框圖； 

5、3;邊界(約束)條件的設(shè)計 ·接口及通訊協(xié)議選用 ·運行環(huán)境設(shè)計 等。 輸出為“概要設(shè)計說明書”5)詳細設(shè)計； 包括： ·算法設(shè)計 ·人機界面設(shè)計 ·數(shù)據(jù)格式設(shè)計 ·測試用例設(shè)計 ·實現(xiàn)流程設(shè)計 ·操作設(shè)計 等。 輸出為： ·“詳細設(shè)計說明書” ·安裝手冊(初稿) ·軟件組裝計劃 ·使用說明書(初稿) ·測試計劃及測試用例 ·產(chǎn)品標準(初稿)6)編碼與調(diào)試： 根據(jù)待開發(fā)軟件的規(guī)模、控制點及人員安排，可細分為多個小階段 此階段還包括部分軟件模塊的局部測試、集

6、成與聯(lián)調(diào) 輸出為： ·軟件(源代碼、目標代碼、可執(zhí)行代碼及相關(guān)數(shù)據(jù)文件) ·文檔(幫助文件等)7)軟件集成、聯(lián)調(diào)： 應(yīng)按計劃對所開發(fā)的軟件模塊進行組裝并與硬件一起聯(lián)調(diào)。 根據(jù)需要，規(guī)定應(yīng)填寫的調(diào)試記錄。8)測試； 按測試發(fā)生的順序劃分，有：模塊測試、單元測試、組裝測試、集成測試、系統(tǒng)測試、出廠測試、驗收 測試等。 另外，還有些與順序無關(guān)的測試。包括：聯(lián)合測試、回歸測試、專項測試等。 應(yīng)根據(jù)開發(fā)規(guī)模盡可能進行獨立測試。 為了保證測試的可信性，被測試的軟件應(yīng)以源代碼的形式提交，同時說明生成可執(zhí)行代碼的環(huán)境和方法。由測試人員生成可執(zhí)行代碼，進行測試。9)內(nèi)部確認：對測試結(jié)果、文檔

7、的齊套性、正確性進行評審，達到確認10)復(fù)制、交付、安裝： ·軟盤復(fù)制、光盤刻錄 ·交付時的版本標識和登記： ·安裝(派技術(shù)人員安裝或由用戶自行安裝)11)試運行、用戶驗收：以用戶驗收的方式進行最終確認12)運行、維護：針對運行中出現(xiàn)的問題。按設(shè)計更改程序進行控制13)退役。3媒體控制 1) 對軟件存放介質(zhì)(媒體)的要求和規(guī)定； 2) 軟件的復(fù)制(軟件的生產(chǎn)過程)； 3) 媒體的標識：規(guī)則、執(zhí)行者； 4) 媒體的貯存(防潮、防火、防磁、防靜電、防病毒)；5) 媒體的包裝、運輸。4文檔資料控制 1) 各開發(fā)階段應(yīng)形成的文檔對其擬、審、批的規(guī)定； 2) 編制文檔資料所

8、依據(jù)的標準和規(guī)范； 3) 開發(fā)過程中應(yīng)形成的質(zhì)量記錄； 4) 文檔與軟件之間的一致性檢查；5) 文檔資料的歸檔與發(fā)放。5版本管理 一般有開發(fā)過程中的版本管理和交付軟件產(chǎn)品的版本管理兩種。 可按ISO90003要求的配置管理執(zhí)行。 管理對象包括：軟件、文檔和為該產(chǎn)品開發(fā)的工具軟件。 具體實現(xiàn)時可考慮采用管理軟件。安排一名配置管理人員，配備一臺計算機(或服務(wù)器)開設(shè)開發(fā)庫、受控庫和產(chǎn)品庫規(guī)定每個庫的訪問權(quán)限(禁止、只讀和讀寫)以達到對入庫和出庫軟件的控制。 開發(fā)庫存放正在開發(fā)(編寫)或調(diào)試(修改)、自測的軟件和文檔。 受控庫存放開發(fā)各階段測試通過的軟件、文檔和工具軟件的版本并給以標識。轉(zhuǎn)入下一階段

9、時從此處發(fā)放用作下一階段開始工作的初始版本。 產(chǎn)品庫存放可交付及已交付軟件、文檔及支持文件的版本各庫內(nèi)所存放的軟件和文檔，應(yīng)定期備份，以防止開發(fā)成果的意外丟失(文件重寫、介質(zhì)損壞、意外事故、非法訪問病毒，黑客，故意破壞等)并保證可追溯性6環(huán)境、工具和技術(shù)一個軟件開發(fā)項目，應(yīng)規(guī)定其所需要的開發(fā)環(huán)境和各種工具軟件，使參與該項工作的所有人遵守執(zhí)行。1)開發(fā)、測試所需的硬件環(huán)境；2)測試所需的硬件環(huán)境（包括模擬用戶環(huán)境所必要的輸入、輸出設(shè)備)； 3)開發(fā)平臺軟件(操作系統(tǒng)、編程語言、編譯環(huán)境、調(diào)試工具等)； 4)管理軟件； 5)診斷軟件； 6)測試軟件；7)輔助性軟件(防病毒軟件等)。7有關(guān)軟件的標準

10、和法規(guī) 目前，有關(guān)軟件的各種國家或行業(yè)標準都是推薦標準。而且，由于軟件技術(shù)發(fā)展極快各類標準往往不能適應(yīng)軟件開發(fā)的現(xiàn)狀。絕大部分企業(yè)都是參照執(zhí)行。 與軟件有關(guān)的法規(guī)有：軟件產(chǎn)品管理辦法。計算機軟件保護條例北京市軟件開發(fā)生產(chǎn)企業(yè)和軟件產(chǎn)品認證及管理辦法(試行)，計算機信息系統(tǒng)集成資質(zhì)管理辦法(試行)北京市計算機信息系統(tǒng)集成資質(zhì)管理暫行辦法等。 有關(guān)標準見附表。序號標準名稱(中)序號標準名稱(中)l信息技術(shù)軟件生存周期過程l2計算機軟件著作權(quán)登記文件格式2軟件過程評估l3計算機軟件產(chǎn)品開發(fā)文件編制指南3軟件工程術(shù)語l4計算機軟件需求說明編制指南4計算機軟件質(zhì)量保證計劃規(guī)范l5計算機軟件測試文件編制規(guī)

11、范5計算機軟件配置管理計劃規(guī)范l6軟件文檔管理指南6計算機軟件分類與代碼l7軟件支持環(huán)境7軟件維護指南l8信息技術(shù)軟件產(chǎn)品評價質(zhì)量特性及其使用指南8計算機軟件可靠性和可維護性l9軟件開發(fā)與文檔編制9計算機軟件單元測試20計算機過程控制軟件開發(fā)規(guī)程l0軟件工程標準分類法2l軟件產(chǎn)品設(shè)計文件的組成和編制ll質(zhì)量管理和質(zhì)量保證標準第3部分：8 軟件企業(yè)的審核8.1軟件開發(fā)過程是一個“特殊過程” 對軟件企業(yè)的審核應(yīng)循軟件生存期過程來進行。 由于軟件測試的不完善性使得其質(zhì)量特性難以進行完全的驗證，所以說軟件開發(fā)過程本身就是一個特殊過程。企業(yè)應(yīng)按特殊過程的要求實施控制。即在開發(fā)工作之初，通過周密的策劃以保

12、證： ·開發(fā)人員應(yīng)具備一定的資格或能力； ·開發(fā)環(huán)境(軟件和硬件平臺)是適用的； ·編制足夠的控制程序和工作規(guī)范(例如開發(fā)過程控制程序、變量命名規(guī)則、代碼書寫規(guī)范、注釋規(guī)范等)； ·編制測試用例并在使用前對用例本身進行驗證； ·編制各階段測試計劃，明確規(guī)定測試方法以及測試結(jié)果的記錄要求、評價方式和接收準則； ·實施配置管理，控制軟件產(chǎn)品(代碼和文檔)版本和更改過程。 需要說明的是：標準中所說的“特殊過程”，主要還是針對硬件的生產(chǎn)過程而言的。這里其所以把軟件開發(fā)過程作為“特殊過程”，則是相對于其他產(chǎn)品的開發(fā)過程而言。8.2 標準條款在軟

13、件企業(yè)的具體體現(xiàn) 軟件生存周期的第19階段，以及交付后的軟件更改，均應(yīng)按IS090012000版標準的7.3進行審核。而第1012階段則應(yīng)按IS090012000版標準的進行審核。標準第7、8章條款要求與軟件企業(yè)主要過程的關(guān)系見下表(未標出特殊性的條款表示無特殊要求)。9 CMM簡介 CMM是美國軟件工程研究所于80年代末推出的一種軟件能力的評估方法。中文稱為：“軟件能力成熟度模型”。CMM是一種分級的評估方法，它把軟件過程從無序到有序的進化過程分成5個階段，形成個逐層提高的平臺。前一級的過程能力將成為達到下一級平臺的基礎(chǔ)。這5個級別的名稱是： l級：初始級, 2級：可重復(fù)級, 3級：已定義級

14、, 4級：定量管理級, 5級：優(yōu)化級CMM11與IS09001的關(guān)系 · IS09001是合格評定，而CMM則是等級評估； · IS09001是通用的，而CMM是專門針對軟件的； · 通過IS09001認證。大約相當于達到CMM25級(介于2級與3級之間)； · 但，通過了IS09001認證的軟件企業(yè)，未必能達到CMM2級的要求；· 通過了CMM3級評估的軟件企業(yè)，未必一定會滿足IS09001的全部要求。戴彤個人網(wǎng)址：http：/dai_tonghomechinarencom, 有標準和一些法規(guī)文件，歡迎訪問并批評指正。條款標題軟件的特殊性7產(chǎn)

15、品實現(xiàn)7.1產(chǎn)品實現(xiàn)的策劃7.2與顧客有關(guān)的過程與產(chǎn)品有關(guān)的要求的確定1) 應(yīng)盡可能詳盡的了解顧客的要求2）顧客的潛在要求3）法律法規(guī)要求4) 產(chǎn)品安全性要求與產(chǎn)品有關(guān)的要求的評審1) 顧客履行合同的的能力、義務(wù)和資源；2) 名詞、術(shù)語的準確性；3) 接收準則；4) 顧客提供所需資料的責任；5) 顧客對開發(fā)過程中評審、驗證和確認的參與程度6) 驗收后發(fā)現(xiàn)問題的處理；7) 產(chǎn)品安全使用的約定；8) 產(chǎn)品知識產(chǎn)權(quán)方面的約定；9) 產(chǎn)品升級的承諾。顧客溝通1) 與顧客建立經(jīng)常性的聯(lián)系渠道或雙方指定固定的聯(lián)系人2）在開發(fā)的每一階段完成后，都征求顧客意見，以免問題積累3）及時向顧客通報開發(fā)進度7.3設(shè)計

16、和開發(fā)設(shè)計和開發(fā)策劃1）應(yīng)制定詳細的設(shè)計開發(fā)計劃2）對需要獨立測試的部分，應(yīng)明確責任人和測試方法并規(guī)定通過條件設(shè)計和開發(fā)輸入設(shè)計和開發(fā)輸出設(shè)計和開發(fā)評審1）盡可能邀請顧客參加設(shè)計和開發(fā)驗證1)軟件各階段的測試即是驗證2第三方的評測可根據(jù)測試目的和內(nèi)容列入驗證或確認設(shè)計和開發(fā)確認1) 模擬實際使用環(huán)境運行，對照合同或任務(wù)書的要求,對運行情況作出評價; 2) 文件齊全性，與軟件的符合性檢查；3) 內(nèi)部確認、請專家評審、請第三方評測、與顧客共同驗收等設(shè)計和開發(fā)更改的控制1) 按配置管理進行控制7.4采購采購過程1) 從正規(guī)軟件供應(yīng)商中選評合格供方2) 軟件的外包(委托)開發(fā)(單位或個人)3) 與軟件

17、提供者保持經(jīng)常的聯(lián)系，以保證得到及時的服務(wù) 采購信息l) 對外購軟件，應(yīng)對其適用性盡可能詳細了解，必要時可要求供方進行實用演示；確定軟件的版本號和序列號2）對外包或委托開發(fā)，應(yīng)要求明確的合同，規(guī)定功能、性能、文檔、服務(wù)、驗收準則以及交貨期采購產(chǎn)品的驗證1) 軟件產(chǎn)品的驗證是極其困難的。2）一般可通過“適用”的方法，并與供方一起驗證 條款標題軟件的特殊性7.5生產(chǎn)和服務(wù)提供7.5.1生產(chǎn)和服務(wù)提供的控制1) 軟件的復(fù)制 2) 交付的形式(是否需要派人安裝、設(shè)置、現(xiàn)場交接及共同驗收）3) 軟件的安裝(允許的安裝次數(shù)限制或口令)4) 對顧客的培訓(xùn)(包括售前培訓(xùn)和演示)5) 驗收后的服務(wù)(問題解答、故

18、障排除、升級服務(wù)、文檔更新等)7.5.2生產(chǎn)和服務(wù)提供過程的確認1) 現(xiàn)場緊急事故(死機、數(shù)據(jù)丟失等)處理標識和可追溯性1) 軟件和文檔的版本標識(規(guī)則、方法、執(zhí)行者）2）建立開放庫、受控庫和產(chǎn)品庫。標識和隔離3）設(shè)置配置管理員，規(guī)定訪問權(quán)限4）定期備份顧客財產(chǎn)1）屬于顧客的軟件（開發(fā)和運行平臺等）2）顧客提的數(shù)據(jù)文件（測試或運行數(shù)據(jù)）3）顧客提供的接口資料4）硬件(開發(fā)和運行平臺、測試設(shè)備等)5）顧客的專利和其他知識產(chǎn)權(quán)7.5.5產(chǎn)品防護1) 軟件產(chǎn)品的損壞意味著代碼的改變，不一定是物理損壞；2) 受病毒感染或被黑客攻破的軟件應(yīng)看作受損；3) 軟件不會“老化”，但介質(zhì)可能會損壞；4) 軟件的存貯應(yīng)進行控制，并定期備份；5) 軟件介質(zhì)的封裝可能包括壓縮、加密等；6) 軟件一般以介質(zhì)的形式提交，應(yīng)考慮包裝、運輸要求(防磁、防霉、防震、防火等)，通過網(wǎng)絡(luò)傳送時應(yīng)考慮網(wǎng)絡(luò)的安全性7.6監(jiān)視和測量裝置的控制1) 測試用的軟件工具2) 測試用例3) 自編或從外部得到的診斷軟件 4) 防火墻軟件8測量、分析和改進8.1總則8.2監(jiān)視和測量8.2.1顧客滿意8.2.2內(nèi)