（运筹学与控制论专业论文）软件项目风险评估方法的研究.pdf

摘要 本文从项目管理者角度出发，以项目风险管理理论为基础，结合软件开发项 目的特点，对软件项目全生命周期的风险评估方法与应用进行了深入的研究。 论文以项目风险管理的工作程序为阐述的主线索，主要针对项目风险评估的 过程，介绍了风险识别、风险估计、风险评价、风险管理技术的概念和常用方法 与工具：综合了相关学科的知识，在风险评估过程的各个步骤中提出了新模型和 新方法；结合具体案例介绍了风险评估方法的使用，并给出了风险评估方法在实 际使用中的几种模式。 本文提出了以下新模型和新方法： ( 1 ) 综合项目管理知识领域的t c q r 风险评估指标体系模型。该模型是风险因 素和风险驱动因子的两层次模型，并结合实际情况引入了反映管理能力 的风险放大系数，较好的反映了软件项目的特点。 ( 2 ) 建立了一般性项目风险驱动因子的标准集，并总结出t b q 调查问卷。t b q 调查问卷使得对风险驱动因子的识别和客观评价项目组的管理能力具有 了可操作性，也为t c q r 模型的在实际工作中得以应用提供了保证。 ( 3 ) 结合风险综合评价函数改进了二级模糊综合评价方法，引入了评价项目 总体风险水平的项目综合风险系数。 ( 4 ) 利用成功度评价风险管理的效果，并简要介绍了如何把风险评估方法运 用于软件开发项目实践中的几种模式。 上述各种方法简单易懂、适于操作，便于在实际工作中得到应用和推广。通 过本文的探索，旨在为项目管理者对软件开发项目的潜在风险的分析、处理、决 策提供一套标准化、系统化、定量化和切实可行的方法体系，为进一步研究软件 开发项目的风险管理打下基础。 关键词：风险；风险驱动因子；风险放大系数；模糊评价；蒙特卡罗模拟 a b s t r a c t i nt h i s p a p e r ， a t h o r o u g hr e s e a r c ho nr i s ke v a l u a t i o nm e t h o d sa n d a p p l i c a t i o n so fp r o j e c tl i f e c y c l em a n a g e m e n tf o rs o f t w a r ep r o j e c t sf r o m t h ev i e w p o i n to fp r o j e c t1 e a d si sc a r r i e do u t ，w h i c hi sb a s e do np r o j e c t r i s k m a n a g e m e n tt h e o r y a n d c o m b i n i n g w i t hf e a t u r e sa b o u ts o f t w a r e d e v e l o p i n g t h em a i nc l u eo ft h i sp a p e ri sp r o c e d u r eo fr i s km a n a g e m e n t a c c o r d i n g t ot h ef e a t u r e sa b o u tr i s ke v a l u a t i o np r o c e s s ，c o 岫o na n dp r a c t i c a l m e t h o d sa n dt o o l sf o rr i s ki d e n t i f i c a t i o n ，m e a s u r e m e n t ，a s s e s s m e n ta n d t e c h n i q u e sa r ei n t r o d u c e d ：w i t hr e f e r e n c et or e l a t i v ek n o w l e d g e ， s o m en e w m o d e l sa n dn e wm e t h o d sw i t h i ne a c hs t e po fr i s ke v a l u a t i o np r o c e s sa r e r a i s e d ：t h e s em e t h o d sa n dm o d e l sa r ei l l u s t r a t e dw i t hr e a lp r o j e c tc a s e s t h en e wm e t h o d sa n dm o d e l sg i v e no u ti nt h i sp a p e ra r ea sf o l l o w s ： ( 1 ) t c q r ， t h eq u a n t i f i c 8 t i o ns t a n d a r ds e to fr i s ke v a l u a t i o nb a s e d o np m b o k t h ef r 鲫e w o r ki s at w o t i e rm o d e la b o u tr i s kf a c t o r sa n d r i s k d r i v e nf a c t o r s i nt c q r ，ar i s k a m p l i f i e dm o d u l u st h a tr e f l e c t st h e c a p a c i t yo fm a n a g e m e n ti s i n v o l v e di n s ot c q rc a nr e f l e c tt h ef e a t u r e s o fs o f t w a r ep r o j e c tb e t t e r ( 2 ) t b qt 0 0 1a n ds t a n d a r ds e to fq u a n t i f i c a t i o n t h et b qq u e s t i o n n a i r e m a k e sr i s ki d e n t i f i c a t i o na n da s s e s s m e n to fc o m p e t e n c eo fo r g a n i z a ti o n m o r ee a s i e r ，a n dg u a r a n t e e st h ef e a s i b i l i t yo ft c q rm o d e l ( 3 )i m p r o v e dt w o t i e rf u z z ye v a l u a t i o nm e t h o dw i t ht h ef u n c t i o no f r i s ki n t e g r a t i o ne v a l u a t i o n ， a n di n v o l v e dp r o j e c tr i s km o d u l u st h a t r e f l e c t st h eg e n e r a lr i s kl e v e lo fp r o j e c t ( 4 ) u s i n gs u c c e s sd e g r e et oe v a l u a t et h ee f f e c to fr i s km a n a g e m e n t ， a n di n t r o d u c es o m em a n n e r sw h i c hr i s ke v a l u a t i o nm e t h o d sc a nb eu s e di n s o f t w a r ed e v e l o p i n g t h em e t h o d s g i v e n a b o v ea r e a se a s ya sp o s s i b l ef o r u s i n g a n d p o p u l a r i z i n g i n p r a c t i c e t h i s p a p e r a i m sa t s u p p l y i n g a s t a n d a r d ， s y s t e f l l i c a n dm e a s u r a b l em e t h o ds y s t e mo nr i s ka n a l y s i s ， h a n d l i n g a n d d e c i s i o n m a k i n gf o rp r o j e c t1 e a d e r s ，a n di ta l s oa i m sa tp r o v i d i n gab a s i c w o r kf o rf a r t h e rr e s e a r c hi ns o f t w a r ep r o j e c tr i s km a n a g e m e n tf i e l d s k e y w o r d s ：r is k ：r i s k d r i v e nf a c t o r ：r i s k a m p li f i e dm o d u l u s f u z z ye v a i u a t i o n ：m o n t ec a ri o - 第1 章绪论 第1 章绪论 1 1 项目风险管理的现状 1 1 1 项目管理与风险管理 经过上个世纪的发展，项目及项目管理已经不再是简单的实践活动，而发展 成为一个知识体系，上升到学科、专业体系和职业的高度，其应用也从工程施工 业迅速扩展到软件行业，项目的类型也渐渐增多，“一切皆项目”观念己逐渐为 许多人所接受。项目管理作为一种有组织的活动，在国际上有突出影响的是1 9 6 5 年创建的国际项目管理协会( i n t e r n a t i o n a lp r o j e c tm a n a g e m e n ta s s o c i a t i o n ， i p 姒) 和1 9 6 9 年创建的美国项目管理协会( p r o j e c t n 8 9 e m e n ti n s t i t u t e ， p m i ) 。p m i 在1 9 8 7 年首次提出了项目管理知识体系( p r o j e c tm a n a g e m e n tb o d y o fk n o w l e d g e ，p m b o k ) ，并在1 9 9 6 年和2 0 0 0 年进行了两次修订。i p m a 自1 9 8 7 年也开始进行相关的工作，并于1 9 9 9 年提出了“项目管理人的能力基准”i c b ， 即i p 姒c o m p e t e n c eb a s e l i n e 。基于上述两大知识体系并结合我国国情，“中国 项目管理知识体系”( c h i n e s e p m b o k ) 研究工作始于1 9 9 3 年，且于2 0 0 1 年7 月正式推出项目管理知识体系文件c p 她o k 。有关p 船0 k 知识领域的具体内容还 会在第二章中具体介绍。 项目风险管理在两大项目管理体系中都是构成知识领域的重要组成部分，是 近2 0 年才发展起来的一门综合性边缘科学，是处理由不确定性产生的各种问题 的一整套方法。项目风险管理的核心是对风险评估方法和技术的研究，这也是本 文的研究重点。 1 1 2 风险管理的发展现状 人们在一切社会经济活动中，面临着各种各样的风险。从总体上看，风险是 一种客观存在，是不可避免的，而且在一定条件下还带有某些规律性。因此，人 们只能把风险缩减到最小的程度，而不可能将其完全消除。这就要求社会经济各 1 北京工业大学理学硕士学位论文 部门、各行业主动地认识风险，积极管理风险，有效地控制风险，把风险减至最 低的程度，以保证社会生产和人民生活的正常进行。正是在这样的背景下，随着 生产力和科学技术的不断发展，风险管理学作为系统的科学产生于本世纪初的西 方工业化国家。 风险管理问题最先起源于第一次世界大战后的德国。1 9 3 1 年美国管理协会首 先倡导风险管理，并在以后的若干年里，以学术会议及研究班等多种形式集中探 讨和研究风险管理问题。风险管理问题逐渐得到了理论探讨和一些大企业的初步 实践，但风险管理问题真正在美国工商企业中引起足够的重视并得到推广则始于 5 0 年代。1 9 6 3 年，美国出版的企业的风险管理一文，引起欧美各国的普遍 重视。此后，对风险管理的研究逐步趋向系统化，专门化，使风险管理成为企业 管理中一门独立学科。 在西方发达国家，各企业中都相继建立风险管理机构，专门负责风险的分析 和处理方面的工作。美国还成立了全美范围的风险研究所和美国保险与风险管理 协会等专门研究工商企业风险管理的学术团体，拥有3 5 0 0 多家大型工商企业为 会员。 风险管理协会的建立和风险管理教育的普及，表明风险管理己渗透到社会的 各个领域。美国的风险与保险管理协会( r i m s ) 和美国风险与保险协会( a r i s ) 是美国最重要的两个风险管理协会。1 9 7 8 年日本风险管理协会( j r m s ) 成立。 英国建立有工商企业风险管理与保险协会( a i r m i c ) 。风险管理方面的课程及论 著数量大增。7 0 年代中期，全美大多数大学工商管理学院普遍开设风险管理课。 美国还设立了a 蹦( a s s o c i a t ei nr i s km a n a g e m e n t ) 证书，授予通过风险管理 资格考试者。协会的活动为风险管理在工商企业界的推广、风险管理教育的普及 和人才培养诸方面做出了突出的贡献。 1 9 8 3 年在美国风险与保险管理协会年会上，云集纽约的各国专家学者，讨论 并通过了“1 0 1 条风险管理准则”，作为各国风险管理的一般原则。这标志着风 险管理已达到一个新的水平。1 9 8 6 年1 0 月在新加坡召开的风险管理国际学术讨 论会表明，风险管理运动已经走向全球，成为全球范围的国际性运动。 进入二十世纪九十年代后，随着计算机技术的飞速发展，软件产业获得了爆 炸性的增长，与此同时软件项目所涉及的不确定因素日益增多，面临的风险也越 来越多，风险所致损失规模也越来越大，这些都促使科研人员和实际管理人员从 2 第1 章绪论 理论上和实践上重视对软件项目的风险管理。软件项目风险管理与工程项目风险 管理相比起步较晚，相关的技术和标准还很不成熟，但是人们已极为重视对项目 风险管理理论的研究。在实践中，现已涌现出不少新一代面向项目的企业项 目型公司，国外甚至还出现了专门从事风险管理工作的所谓风险管理公司。 软件项目迫切需要加强风险管理，这主要表现在以下两个方面：第一，风险 管理方法的不断改进及其在许多典型项目中的成功应用吸引了许多项目组进行 自身风险管理。一方面，风险管理以对风险的预测、识别、评估和科学分析为基 础，为管理人员运用各种对策的最佳组合对风险进行全面、合理地处置提供了可 能性，是现代管理风险的一种科学而直接的方法；另一方面，风险管理克服了那 种传统的以某种单一手段处置风险的局限性，综合利用各种控制风险的措旖，并 使处置风险的方法日益完善，这些都使得越来越多的项目组自觉地争相采用风险 管理方法。第二，风险管理是各项目组的内在要求。由于软件技术的飞速发展和 软件系统在社会生产各方面的广泛应用，从而使各种风险因素及风险发生的可能 大大增加，并且扩大了风险事件造成的损失规模，这就对各项目组所负担的责任 提出了更高的管理要求，使风险管理的各种手段倍受青睐。 我国的软件行业为了加紧步伐，非常重视吸取国外软件行业科学的管理理念 与方法。软件项目风险管理在整合内外部资源、实施全过程监控、提供决策信息 等方面，特别适合行业高动态、高风险的特点。但是纵观国内软件企业的项目风 险管理的整体水平，还存在着很多不足和问题，主要表现在以下几个方面： 第一，我国在项目风险管理的研究和实践方面起步较晚，虽然现在项目风险 管理受到越来越多软件企业的重视，但是往往停留在概念层面，缺乏具体管理制 度和方法的支持。 第二，国内软件企业主要依靠项目管理人员的个人经验，实行以定性分析为 主的风险管理。因此，风险管理水平参差不齐，具有一定的随意性，实际效果往 往不能得到正确评价和对待，也难以在较大范围内推广。 第三，由于在项目风险管理过程中缺乏定量分析方法的使用，因此有关项目 资料和数据的搜集缺乏目的性，从而导致该领域的知识不能得到有效的积累，影 响了管理水平的提高。 第四，现有的一些风险识别和分析方法一般只能解决某一方面的问题，对项 目风险的管理形不成体系，缺乏系统性。 北京工业大学理学硕士学位论文 1 2 风险的基本概念 1 2 1 风险的定义 风险( r i s k ) 的概念可以从工程学、经济学、保险学、管理学等角度进行定 义，然而目前还没有一个为学术界普遍接受的定义。综合有关风险的各种学科的 观点，本文采用以下定义：风险是指在特定的客观条件下，特定的时期内，某一 事件的实际结果相对预期结果的不利变化。 这个定义包括了四层含义： 第，风险是客观存在的，其大小可以度量。虽然有些风险事件不容易量化， 对其的评价依赖风险承受者的主观感受，可能因人而异，但并不能否定风险的客 观性和可度量性。 第二，在这里风险主要指不利的影响，而不考虑其中可能蕴涵的机会。 第三，风险伴随着人类的活动而存在，没有人类活动，就不会有预期结果， 事件发生的任何后果都不能成为风险。 第四，风险的存在与其客观环境和时空条件有关，当客观条件与环境发生变 化时，风险也可能发生变化。这种变化包括风险性质的变化、风险量的变化和在 一定的时空条件下某些风险的产生与消除。 仿照风险的定义，可以把软件开发项目的风险定义为：软件项目在整个生命 周期内，由于受各种环境的不确定性因素的影响，实际发生的成本、进度、质量 等与预期结果的不利偏差。 对于项目来说，项目的一次性使其不确定性要比其它一些重复性的活动大许 多，因而项目风险的可预测性也就差得多，而且一旦出现问题就没有机会进行补 偿。软件项目的风险具有以下的几个特点： 第一，对于项目各组成部分之间的复杂关系，任何个人都不可能彻底地了解。 第二，项目各个组成部分之间不是简单的线性关系。 第三，项目时刻处于动态变化之中，平衡状态即使出现也只能是短暂的。 第四，项目管理者不仅要面对技术和经济问题，还要面临一些非常复杂、非 线性和不确定性极高的问题。 为了进行风险识别和风险分析，本文还引入了风险因素和风险驱动因子的概 4 第1 章绪论 念。风险因素是指一组项目的基本组成部分，这些基本组成部分的性质和功能以 及彼此之间的联系和相互作用以及它们组成项目整体的方式能够决定项目整体 的性质和功能。风险驱动因子是指能产生或增加损失概率和损失影响程度的潜在 原因。图卜1 表示了围绕风险的几个概念的关系。 风 风 包含 险 增加或产生 风 引起产生 实际结果 这就是 险驱险 + 损 + 与预期结 风 因动事失果之间的险 素因件变动程度 子 1 2 2 风险的属性 图1 1 风险概念间的关系 1 风险的随机性 风险的发生及其后果都具有偶然性。风险是否发生，何时发生，发生之后会 造成何种后果? 对大量项目风险的研究结果表明大多数风险遵循一定的统计规 律，风险具有随机性。 2 风险的相对性 风险总是相对项目活动主体而言的。同样的风险对于不同的主体有不同的影 响。人们对于风险事件都有一定的承受能力，但是这种能力因活动、人和时间而 异。本文基于风险的这个属性引入了管理能力的概念和风险放大系数对管理能力 进行模拟。 3 风险的可变性 根据风险的定义，当客观条件与环境发生变化时( 如在项目生命周期的不同 阶段) ，风险也可能在性质、后果等方面发生变化。 1 2 3 风险的分类 对风险的分类可以从不同的角度、根据不同的标准进行。这里按风险发生的 可预测性把风险分为确定型风险、随机型风险和非确定型风险。 确定型风险指经过认真、严格地分析后就能够明确的那些风险；随机型风险 北京工业大学理学硕士学位论文 就是根据经验，可以预见其发生的可能性大小的风险；非确定型风险指即使最有 经验的人也无法预见其发生可能性的那些风险。 本文研究的重点是对随机型风险的评估。这是因为在实际应用中，可以把非 确定型风险尽量转化为随机型风险后再进行评估。而确定型风险因为发生概率 高，因此可以假定出现的概率为l ，通过在项目初期对不同的项目方案进行计算 和比较，选择出风险不利后果最小的方案来最大程度地避免确定型风险。 1 3 广义的风险管理及程序 一般来说，软件工程师总是非常乐观。当他们在计划软件项目时，经常认为 每件事情都会像计划那样运行，或者，又会走向另外一个极端。软件开发的创造 性本质意味着我们不能完全预测会发生的事情，因此制定一个详细计划的关键点 很难确定。当有预想不到的事情引起项目脱离正常轨道时，以上两种观点都会导 致软件项目的失败。 目前，风险管理被认为是i t 软件项目中减少失败的一种重要手段。当不能 确定地预测将来事情的时候，可以采用结构化风险管理来发现计划中的缺陷，并 且采取行动来减少潜在问题发生的可能性和影响。风险管理意味着危机还没有发 生之前就对它进行处理。这就提高了项目成功的机会和减少了不可避免风险所产 生的后果。 在广义上，项目风险管理( p r o j e c tr i s k n a g e m e n t ) 是贯穿在项目开发 过程中的一系列管理步骤，其中包括风险识别、风险估计、风险评价、风险管理 策略、风险规避和风险监控。它能让风险管理者主动“攻击”风险，进行有效的 风险管理。在狭义上，项目风险管理是在风险识别和分析后，针对风险做出的决 策。风险管理在项目生命周期内表现为一种周而复始的过程，见图l 一2 。 6 第1 章绪论 是否存在风险 。j 否：风二：鼎 不予理会存在何种风 、i ， 险，性质如何 上 是否已经估计和评价 是。否上。嘲 是否有必要控制ii 发生概率和损失程度估计 l 否士0 是 不予理会是否能避免或消除 0 是上否 避免或消除是否能减少风险 0 是 否 剩余风险是否有必 要进一步控制 1， 0 是0 否 整耋璺璧 是否存在巨额风险l 不予理会 冒：哩覆芹 上否 是否可自留 是 是上否士 、 r 自留转移 0 效果是否最佳 l 实施il l 放弃l 曩枷：r 图卜2 风险管理沉程 在项目管理中，建立风险管理策略和在项目的生命周期中不断控制风险是非 常重要的，风险管理包括四个相关阶段： 风险识别识别风险的方法常用的有调查问询法、流程图法( 图表法) 、现场 观察法、风险检查表法等。 风险分析对已识别的风险要进行估计和评价，风险估计的主要任务是确定 风险发生的概率与后果，风险评价则是对项目各风险因素和项目总体风险水平的 北京工业大学理学硕士学位论文 评价，常用的方法有：风险因子法、概率统计方法、模糊综合评价法等。 风险规避一般而言，风险规避有三种方法，风险控制法，即主动采取措 施避免风险，消灭风险，中和风险或采用紧急方案降低风险。风险自留，当风 险量不大时可以余留风险。风险转移。 风险监控包括对风险发生的监督和对风险管理的监督，前者是对己识别的 风险源进行监视和控制，后者是在项目实施过程中监督人们认真执行风险管理的 组织和技术措施。 在软件项目管理中，应该任命一名风险管理者，该管理者的主要职责是在制 订与评估规划时，从风险管理的角度对项目规划或计划进行审核并发表意见，不 断寻找可能出现的任何意外情况，试着指出各个风险的管理策略及常用的管理方 法，以随时处理出现的风险，风险管理者最好是由项目主管以外的人担任。 1 4 本文所做的工作 1 4 1 研究内容的约束与假设 1 针对软件开发项目的风险评估方法是本文研究的对象，并且主要面向项目合 同签订后的实施阶段的风险评估，项目立项和投标阶段的风险评估不作为主 要研究内容。 2 根据风险的分类，本文重点研究随机型风险的评估方法。 3 通过对多种数学算法和模型的综合，建立适合软件项目风险评估的数学模型， 使得目前以定性分析为主的风险管理向定量分析发展成为可能。 4 本文对于风险评估方法的研究是要面向实践，立足于应用和推广，使得研究 成果具有实际操作和使用的价值。 1 4 2 本文内容安排 本文共分为五章，各章内容安排如下： 第一章绪论。本章从介绍软件项目风险管理的发展现状入手，阐述风险及 风险管理研究中的些基本概念，介绍风险管理的程序，然后以此程序为本文叙 述的主线索，进行深入的研究、分析与探索。 第1 章绪论 第二章风险识别。本章介绍了风险识别的概念和常用方法，同时针对软件 项目的特点，提出了t c q r 风险评估指标体系模型和t b q 方法。 第三章风险分析。本章针对风险估计和风险评价，建立了完整的软件项目 风险评估的量化标准。同时在分析和综合了模糊综合评价方法、层次法、蒙特卡 罗模拟等多种算法和模型的基础上，得到一个软件项目风险评估的方法，并通过 一个实际案例对该方法的具体应用做出了说明。 第四章风险管理。本章详细介绍了风险评估后的风险管理过程，并给出了 基于成功度评价的一种风险管理效果评价的方法。 第五章应用风险评估方法的三种模式。本章介绍了在实际应用中使用风险 评估方法的三种模式，为该方法的推广应用提供了指南。 9 北京工业大学理学硕士学位论文 第2 章风险识别 风险识别的目的是减少项目的结构不确定性。风险识别首先要弄清项目的组 成、各项目组成部分的性质和相互关系、项目与环境之间的关系。风险识别是风 险评估和风险管理的基础，只有全面、正确地识别软件项目所面临的风险，对风 险的估计、评价和对风险管理技术的选择才有实际意义。 风险识别的方法有很多，本文将介绍几种常见的方法，并着重探讨了适用于 软件项目的t c q r 项目风险评估指标体系模型，同时引入了软件项目的四个基本 风险因素和一般性风险驱动因子，以及影响风险评估的风险放大系数。 2 1 风险识别的程序 风险识别的程序可分为三个步骤。第一步，搜集资料；第二步，确定项目风 险因素；第三步，识别并描述项目风险驱动因子。下面就每个步骤进行说明： 1 搜集资料 完整的搜集项目数据和资料是进行有效风险识别的基础，因此任何可能 显示潜在问题的资料都可用于风险的识别，这些资料主要包括： ( 1 ) 生命周期成本分析； ( 2 ) 计划或工作分解结构； ( 3 ) 进度分析； ( 4 ) 文件记录的事件教训； ( 5 ) 项目的前提、假想分析和制约因素： ( 6 ) 技术绩效测评计划或分析； ( 7 ) 模型和影响图； ( 8 ) 专家判断和头脑风暴结果； 2 确定风险因素 确定风险因素的过程是要明确项目和环境的变数，即项目各组成部分和 彼此间的关系。确定风险因素常常与风险形势估计结合在一起，通过风险形 1 0 第2 章风险识别 式估计明确项目的前提和假设，以便减少许多不必要的风险分析工作。 3 识别风险驱动因子 识别风险驱动因子的过程就是要识别出影响每个风险因素的风险评价指 标的过程。风险估计和风险评价都是基于识别出的风险驱动因子进行的。 2 2 风险识别的常用方法和工具 1 专家判断 以往先例项目积累起来的资料、数据、经验和教训，项目组成员个人的常识、 经验和判断在风险识别时非常有用。对于那些采用新技术、无先例可循的项目更 是如此。专家判断不仅适用于风险识别，而且适用于预测及决策过程。专家判断 有两种方法，即d e l p h i 方法和集合意见法。如用d e l p h i 方法，其程序如下： ( 1 ) 挑选专家组成小组，专家们彼此不了解，不会面； ( 2 ) 要求每位专家对所讨论的问题进行匿名分析； ( 3 ) 所有专家都会收到一份全组专家的集合分析答案，并要求所有专家在这 次反馈的基础上重新分析。如有必要，该程序2 、3 步骤可重复进行。 2 图表法 图表法主要包括因果图法( 也称鱼刺图法) 和事故树法，这两种方法都是从 结果查找原因。从结果查原因就是先找出项目会有那些事件发生，反向分析发生 的原因。图表法常常应用于可靠性工程中。 3 知识领域检查表 美国项目管理协会p m i 制订的项目管理知识体系指南中为项目管理定义 了九个知识领域。通过项目管理知识领域，如进度、成本、质量等来识别可能的 风险，可以形成风险识别检查表。本文在下一节中详细介绍了九个知识领域和该 方法的具体应用。 4 项目工作分解结构 风险识别要减少项目的结构不确定性，就要弄清项目的组成、各个组成部分 的性质、它们之间的关系、项目同环境之间的关系等。项目工作分解结构是完成 这项任务的有力工具。项目管理的其它方面，如范围、进度和成本管理要求使用 项目工作分解结构。图2 一l 显示了一个企业内部网项目的工作分解结构。 北京工业大学理学硕士学位论文 图2 1 企业内部网项目的工作分解结构 5 问卷调查法 风险调查问卷方法是一种基于某种风险分类标准识别风险主要来源的方法。 s t a n d i s hg r o u p 成功打分表和m c f a r l a n z 风险调查问卷都属于问卷调查法。一 般来说，当问卷中的问题得到否定的回答或者分值较高的选项，那么通常表明有 某个风险存在。本章后面将详细介绍一种基于t c q r 模型的调查问卷方法 ( t c q r b a s e dq u e s t i o n n a i r e 简称t b q 方法) 。 上面介绍了几种风险识别的常用方法和工具，这些方法和工具在实践中要根 据具体情况加以灵活运用，在有些时候，不同方法和工具可以组合在一起使用， 以获得理想的风险识别的效果。 2 3 t c q r 项目风险评估指标体系模型 指标是衡量系统总体目标的具体标志。指标体系是指在评估活动中，由一系 列指标构成的有机整体，是测量评估对象的尺度集。用指标体系方法对系统进行 综合评价是在社会、经济和管理科学等领越内进行系统分析时经常采用的一种方 法。本节的目的就是建立起客观的、全面反映出软件开发项目风险特征的各项目 标所要求的评价指标体系，为下步的风险分析活动打下基础。 2 3 1 建立指标体系的原则 1 完备性原则 第2 章风险识别 完备性是指影响客体效能的所有指标均应在指标集中，指标集具有广泛性、 综合性和通用性。 2 低耦合性原则 指标体系中的指标之间相关度小。这里并不排除相关性，因为某些指标虽然 不完全相关，但也不完全独立；而且，指标体系中相关性的存在是容许的。 3 简单性原则 指标不是越多越好，在满足完全性原则下，应该尽量减少指标的个数。这样 可以避免混乱，抓住关键，便于实施中的操作。 4 客观性原则 指标选择应该符合软件项目的特点，这是与其它类型项目不同的。 5 灵敏性原则 但系统的指标参数发生变化时，系统的性能应相应的发生明显的变化。 6 一致性原则 各个指标应该与分析的目标相一致，所分析的指标之间应不相互矛盾。 2 3 2p m l 的九大知识领域 项目管理知识体系指南中定义了i t 项目管理的9 个知识领域，包括： 项目管理框架；范围管理；时间管理；成本管理；质量管理；人力资源管理；沟 通管理：风险管理；采购管理。下面分别做简要的解释： 1 项目范围管理是确定和管理为成功完成项目所要做的全部工作。 2 项目时间管理包括项目所需时间的估算，制订可以接受的项目进度计划， 并确保项目的及时完成。 3 项目成本管理包括项目预算的准备和管理工作。 4 项目质薰管理是要确保项目满足明确约定的或各方默认的需要。 5 项目人力资源管理关心的是如何有效利用参与项目的人。 6 项目沟通管理包括产生、收集、发布和保存项目信息。 7 项目风险管理包括对项目相关的风险进行识别、分析和应对。 8 项目采购管理是指根据项目的需要从项目执行组织外部获取和购进产品 和服务。 北京工业大学理学硕士学位论文 9 项目整体管理则要发挥项目管理整体上的支撑作用，它与其他项目管理 知识领域互相影响。 2 3 3 定义t c q r 模型 2 3 31 项目的四个基本风险因素 根据上一节中所介绍的九大知识领域，结合风险识别的需要，在实际应用中 可以把九个知识领域进行整合，最终确定了如图2 2 的四个基本领域，称为“风 险因素”。风险因素代表了项目的各个基本组成部分，通过彼此之间的联系和相 互作用以及它们组成整体的方式，决定了项目整体的性质和功能。如果这四个风 险因素发生变动，则项目整体的性质和功能也要发生变化。因此，通过对这四个 风险因素的综合分析和评价，可以反映项目总体的风险水平。 超支 t ：进度一 i t t c 1cr ：i l 一 1r ：成碎 rr q q 1f q ：质量 禾达威 图2 2t c o r 模型中的四个基本风险因素 图2 2 中，包括了四个风险因素：t 一进度：c 一成本；q 一质量；r 一资源。其中， t 表示针对进度计划t 的最大超期范围( 如：最大超期范围为计划的2 0 ) ； c 表示针对成本计划c 的最大超支范围( 如：最大超支范围为计划的1 0 ) ； q 表示针对质量标准q 的未达成范围( 如：5 的用户需求期望未能满足) ： r 表示针对资源计划r 的最多能承受的不足范围； 四个风险因素的定义及其与九大知识领域的关系见表2 一l ： 表2 1 风险因素定义 1 4 第2 章风险识别 风险因素包含的知识领域风险因素定义 t 一进度项目进度管理包括影响进度计划的风险。 项目范围管理 项目采购管理 c 成本项目成本管理包括影响成本计划的风险。 项目范围管理 项目采购管理 q 一质量项目质量管理包括影响项目质量、对需求的 项目范围管理实现和客户满意程度的风险。 项目框架管理 r 资源项目人力资源管理包括影响项目可用的人员、资 项目沟通管理金和设备等资源配置的风险。 2 ，3 3 2 风险驱动因子 在定义了组成整体项目风险的四个风险因素后，那么需要分别针对这四个风 险因素识别出影响每个风险因素的风险评价指标，称为“风险驱动因子”。风险 因素、风险驱动因子以及它们与项目总体风险的关系如图2 3 所示： 图2 _ 3 风险因素与风险驱动因子关系 风险因素 风险驱动因子可以分为两个不同的类型：一般性风险驱动因子和项目特定的 风险驱动因子。一般性风险驱动因子对每个项目来说都是一个潜在的威胁。项目 特定风险驱动因子只有那些对当前项目的技术、人员及环境非常了解的人才能识 别出来。表2 2 中给出了常见的第一类风险驱动因子： 表2 2 常见的一般性风险驱动因子 北京工业大学理学硕士学位论文 风险因素风险驱动因子 t 进度( 1 ) 项目规模：可以从项目的功能点l o c 进行判别； ( 2 ) 需求可用性：目标是否明确，项目边界是否清楚，需求是否 完整和准确； ( 3 ) 技术复杂性：技术难度大小，算法和软硬件接口的复杂性； ( 4 ) 进度计划的弹性：进度计划是否合理，灵活，任务分解w b s 是否完整和合理； ( 5 ) 采购时机：采购时间是否具有不确定性； c 成本( 1 ) 项目规模：可以从项目的功能点l 0 c 进行判别； ( 2 ) 需求可用性：目标是否明确，项目边界是否清楚，需求是否 完整和准确； ( 3 ) 项目先例：是否此前完成过类似项目： ( 4 1 成本计划的弹性：成本计划是否合理，灵活，任务分解w b s 是否完整和合理： ( 5 ) 实施条件：软件系统的实施、部署和维护是否存在不确定性； ( 6 ) 采购条件：为采购是否规定了明确的前提条件； q 一质量( 1 ) 客户参与程度：客户是否积极参与了项目过程； ( 2 ) 质量标准：是否有明确的质量标准； ( 3 ) 配置管理：是否有适合的配置管理体系，管理项目变更： “) 测试计划：是否有测试计划和适合的测试流程，具有专门的 测试组织或质量保证组织； ( 5 ) 非功能性需求：项目中是否有特殊的可靠性、安全性、性能 等非功能性需求； r 资源( 1 ) 高层管理的支持：是否得到高层领导的支持； ( 2 ) 技术能力：是否有相关经验的技术人员，相关的知识积累； ( 3 ) 员工士气：参与项目的人员的流动性和积极性； ( 4 ) 开发环境：是否有充分的软硬件设备和开发条件； ( 5 ) 团队协作：团队的合作精神和沟通能力，相互配合的协调性： 是这样一些共性的标准，其价值在于在一定程度上使得项目风险评估做到明确 1 6 第2 章风险识别 化、可操作化和优化。风险评估在付诸实施中，会受到具体评估人的意愿、经验 等条件的制约和影响，需要通过对其概念、逻辑、方法、知识、观点、价值的理 解及实践方面的努力，才能具有合理性。 在有限的条件下，尽最大可能的合理利用主要指标，能基本体现风险评估活 动中的共同属性，描述出项目风险的主要方面和重要特征，达到“满意”的评估 目的，是本节探讨的主要实质。指标的量化将在后面做进一步的探讨。 我们认为软件项目风险指标体系的构建，应该来自定性与定量的有机结合， 软件项目风险指标应是选择那些代表性好、可观测、特异性强和灵敏度较高的风 险驱动因子。指标体系也应是动态变化的，需要在实践中不断完善和发展，并根 据不同的项目选取适合的风险驱动因子。本文不试图对风险指标体系做全面研 究，而在于探讨初步的、在实践中简单易操作的，并符合一般项目规律且体现项 目风险主要方面的指标体系的构建方法。 2 3 3 3 风险放大系数 在实践中，由于不同企业和同一企业中不同项目组的管理能力不同，导致对 风险的评估也是不同的。一般的，管理能力强，抗风险的能力就强；管理能力弱， 抵御风险的能力就弱。例如：某项目组选用了适合的软件工程管理规范组织开发 过程，那么对于来自于需求可用性方面的风险就会减小。根据图2 2 的t c q r 模 型可得到图2 4 ： 图2 4 风险放大系数 其中，风险放大系数p 体现了风险与管理能力的关系。引入风险放大系数的 目的，是对这种客观存在关系的反映。下面列出了组成项目管理能力的主要内容： 1 软件工程成熟度：开发规范，适合性，组织的熟悉程度。 1 7 北京工业大学理学硕士学位论文 2 拥有的质量保证体系和质量观念。 3 使用有效的管理和设计工具的程度。 4 行之有效的组织结构和职能划分，特别是项目经理的权限。 5 组织的制度、文化和激励机制。 2 3 4 用t b 0 方法识别风险驱动因子 上一节中对一般性的风险驱动因子进行了定义。在实际工作中，对于不同的 项目、同一项目生命周期的不同阶段，风险驱动因子对项目风险水平的影响是不 同的。另外管理能力的不同也影响到最终项目风险水平。因此，需要有一种方法 能够针对项目的具体情况对风险驱动因子进行筛选和识别，对管理能力进行客观 的评价，且该方法要具有方便快捷、容易操作的特点。通过我们的研究，在整理 和提炼3 0 多个的实际软件开发项目数据基础上，并参考基于分类的风险识别方 法( 参考文献 3 2 ) ，对风险进行重新分类后给出了由一系列围绕项目的具体问 题组成的t b q ( t c q r b a s e dq u e s t i o n n a i r e ) 调查问卷，见表2 3 。 表2 3t b q 风险调查问卷 1 项目规模 ( 1 ) 此前是否经历过与当前项目大小类似的项目? ( 2 ) 当前项目是否需要建立比以往项目规模更大的项目组? 2 需求可用性 ( 1 ) 需求是否稳定? 是否还有发生变化的外部接口? ( 2 ) 是否仍有需求未列入s r s ? 是否采用了适当的方法捕获用户需求? ( 3 ) 所有外部接口都被定义了吗? ( 4 ) 需求说明中存在模糊的问题吗? ( 5 ) s r s 中的条目是否代表了用户的真实需求? ( 6 ) 客户对需求是否已经确认? ( 7 ) 采用了何种方式来确认需求? ( 原型、分析、模拟) ( 8 ) 从技术角度考虑是否包含可行性有疑问的需求? 3 技术复杂性 ( 1 ) 是否对算法和系统设计的可行性进行了检验? 采用何种检验方法? 1 8 第2 苹风险识别 ! ! 目! 目! ! 自g j _ g ! ! e ! _ 自! 日l e _ e e _ e ! 自i g ! ! ! s e e e ! ! ! ! 自! ! ! ! ( 2 ) 是否包含过于乐观和不现实的设计部分? ( 3 ) 是否有不容易进行系统设计的需求或功能? ( 4 ) 是否定义了所有的内部接口? ( 软件之间和软件与硬件间的) ( 5 ) 接口部分是否包含有进程? 如果有，进程属于同步还是异步? ( 6 ) 对于性能是否存在特殊要求? 如果有，是否完成了性能分析? 4 进度和成本计划的弹性 ( 1 ) 计划依据的工作分解结构是否完善和经过确认? 是否进行了任务优 先级定义? ( 2 ) 是否所有项目组成员的工作都列入了计划中? ( 3 ) 是否制订了对计划进行有效的管理的方案? ( 4 ) 是否采取了计划对关键任务进行跟踪? ( 5 ) 是否制订了对意外事件的预先行动方案? 5 采购时机与采购条件 ( 1 ) 采购合同的类型是什么? ( 固定价格、浮动价格) ( 2 ) 是否含有进口设备或产品? 6 项目先例 ( 1 ) 是否开发过同类型的项目? ( 2 ) 在待开发领域内是否有足够的领域知识? 7 项目实施条件 ( 1 ) 是否有足够的用于实施的软硬件设备? ( 2 ) 实施地点和参与实施的用户的水平? ( 3 ) 是否存在参与实施活动的第三方和实施所依赖的外部条件? 8 客户参与 ( 1 ) 客户已经完全参与到了需求的定义中吗? ( 2 ) 顶层的客户管理者和终端用户是否都承诺并采取行动支持项目吗? ( 3 ) 对于项目的目标和范围以及最终的产品是否达成了真实合意? 9 质量标准 ( 1 ) 是否明确了项目的质量标准并以文字的形式确定下来? 1 9 北京工业大学理学硕士学位论文 ( 2 ) 质量标准是完整和清晰无歧义的吗? 1 0 配置管理 ( 1 ) 是否采用了配置管理系统或配置管理规范实旖配置管理? ( 2 ) 配置管理过程覆盖了所有必要的项目组成员的活动吗? ( 3 ) 是否存在多个异地开发环境? 如果是那么配置管理是否覆盖了所有 开发环境吗? 1 1 测试 ( 1 ) 是否制订了测试计划? 测试工作的组织方式和工作规范是否得当? ( 2 ) 是否有独立的测试组织? 该组织是否在项目分析阶段就参与了? ( 3 ) 采取得测试方法是什么? ( 白盒、黑盒、混合) ( 4 ) 是否采用了适合的测试