ISOIECIEEE 15026-32023 系统和软件工程系统和软件保证第3部分系统完整性等级标准立项发展报告

系统和软件工程系统和软件保证第3部分：系统完整性等级标准立项发展报告StandardizationDevelopmentReport:SystemsandSoftwareEngineering—SystemsandSoftwareAssurance—Part3:SystemIntegrityLevels摘要随着数字化与智能化技术的深度融合，系统和软件的安全性与可靠性已成为国家安全、公共安全及产业可持续发展的核心议题。系统完整性等级（SystemIntegrityLevels）作为保障系统安全运行与软件可信交付的关键技术手段，为系统全生命周期中的保证活动提供了分级分类的规范框架。本报告以ISO/IEC/IEEE15026-3:2023《系统和软件工程系统和软件保证第3部分：系统完整性等级》为研究对象，系统梳理了该标准的立项背景、技术内容、修订演进历程及其国际应用价值，并结合我国标准化实践，探讨了该标准在国内转化实施过程中面临的技术挑战与应对策略。报告重点介绍了主要参与单位在标准修订中的技术贡献与工作机制，进而从国际标准协同、行业落地推广及新兴技术融合三个维度，展望了系统完整性等级标准未来的发展方向。报告认为，ISO/IEC/IEEE15026-3:2023对推动我国高安全领域软件质量保障体系的规范化建设具有重要指导意义，加快推进其在我国的转化应用，是提升自主可控软件能力、完善标准化生态体系的重要路径。关键词：系统完整性等级；系统和软件保证；软件工程；国际标准；安全关键系统；标准化Keywords:SystemIntegrityLevels;SystemsandSoftwareAssurance;SoftwareEngineering;InternationalStandards;Safety-CriticalSystems;Standardization1引言系统完整性等级（SystemIntegrityLevels,SIL）是衡量系统在给定运行环境中执行其预期功能时所需信任程度的一种离散等级划分方法。该概念最早源于过程工业的功能安全标准IEC61508，随后被航空航天、轨道交通、核电、医疗设备等安全关键领域广泛采纳，逐步演化为跨行业通用的系统保证工具。不同领域的完整性等级在定义、分级依据、保证要求等方面存在差异，如何在跨行业、跨国家的语境下形成统一而灵活的规范表达，成为国际标准化工作面临的现实课题。ISO/IEC/IEEE15026系列标准正是在这一背景下应运而生的。该系列标准由国际标准化组织（ISO）、国际电工委员会（IEC）和电气与电子工程师协会（IEEE）三大权威标准化机构联合制定，旨在为系统和软件保证提供一个统合性的框架。其中，第3部分专注于系统完整性等级的界定与应用，是该系列中技术内涵最为丰富、应用最为广泛的部分之一。2023年10月30日，ISO/IEC/IEEE15026-3:2023正式发布，取代了此前基于ISO/IEC15026-3:2015和IEEE15026-3:2019的既有版本。新版标准在术语体系、分级方法、保证声明要求及与其他标准的兼容性等方面实现了系统性升级，标志着系统完整性等级标准化工作进入了一个新的发展阶段。本报告旨在全面分析该标准的技术内容与修订动因，评估其国际影响与国内应用前景，为相关行业的技术人员、标准化工作者及管理决策者提供参考。2标准立项背景与编制依据系统完整性等级标准的立项与编制，源于系统工程和软件保证领域对风险分级管理日益增长的需求。在航空航天、铁路信号、核电控制、医疗器械、自动驾驶等安全关键领域，系统失效可能造成人员伤亡、重大财产损失或环境灾难，因此需要通过系统化的保证活动来验证系统是否达到了与其风险水平相称的完整性要求。然而，不同行业在长期实践中发展出了各自独立的完整性等级体系。例如，航空航天领域采用DO-178C中的软件等级（DALA-E），铁路领域采用EN50128中的安全完整性等级（SIL0-4），核电领域则遵循IEC61513的相关规定。这些体系虽然理念相通，但在分级标准、评估方法和保证活动的细化程度上存在显著差异，给跨行业合作和供应链协作带来了障碍。在此背景下，ISO/IEC/IEEE15026系列标准应运而生。该系列标准的立项动因可以归纳为以下几个方面：第一，统一术语与概念的客观需要。不同行业对于“完整性等级”“保证级别”“安全需求”等核心术语在定义上存在差异，导致跨领域沟通时频繁出现概念混淆。制定统一的概念框架，有助于各行业在同一种语言体系下进行对话与协作。第二，促进保证声明的互认与跨国贸易。随着全球化供应链的深化，软件和系统组件越来越多地在不同国家之间流转。统一的完整性等级定义和保证要求，可以降低重复评估成本，促进产品和服务的跨境流通。第三，适应系统工程实践的演进。现代系统的复杂性日益提高，软件在系统中的作用从辅助功能演进为核心功能，网络化、智能化特征显著增强。传统的以硬件可靠性为中心的完整性评估方法已无法充分覆盖软件密集型系统的保证需求，亟需建立适应当代系统特性的完整性等级框架。ISO/IEC/IEEE15026-3作为该系列中定义“系统完整性等级”的核心部分，其编制过程广泛吸纳了来自航空航天、汽车电子、工业自动化、信息安全等领域的专家意见，并参考了IEC61508、ISO26262、EN50128等既有行业标准的基本理念，力求在通用性与专业性之间取得平衡。3标准主要内容ISO/IEC/IEEE15026-3:2023规定了系统和软件保证中系统完整性等级的定义、选择方法和使用要求。该标准适用于各类系统和软件密集型系统，包括嵌入式系统、实时控制系统、信息管理系统以及安全相关系统等。3.1核心术语与概念框架该标准明确了以下核心术语的定义：-完整性等级（IntegrityLevel）：表示在给定环境下为满足规定的完整性需求所需的信任程度的一种离散等级。-完整性等级要求（IntegrityLevelRequirement）：为达到某一完整性等级而必须满足的一套保证活动和技术的集合。-保证声明（AssuranceClaim）：关于系统或软件在特定环境下满足其完整性等级要求的陈述。-保证论据（AssuranceArgument）：支持保证声明的系统化推理和证据集合。标准将这些概念纳入一个系统的保证框架之中，强调完整性等级的确定应当基于风险评估结果，且贯穿于系统的需求分析、设计、实现、验证、运行和维护的全生命周期。3.2完整性等级的分级方式ISO/IEC/IEEE15026-3:2023采用了一种灵活的完整性等级划分方法，提供了分级的基本逻辑框架和参考属性，但未限定特定的等级数量或命名方式。该设计允许不同行业根据自身需求定义相应的等级体系，并在保持方法一致性的前提下与行业特定标准进行映射。标准将完整性等级的选择与以下关键属性相关联：-失效后果的严重程度-失效发生的可能性-风险降低措施的充分性-系统的可诊断性和可恢复性-对人为干预的依赖程度该标准还强调了“等级分配”的过程性要求，即系统完整性等级的确定应当基于系统级风险评估，并逐步向下分配至子系统、硬件和软件组件，形成完整的保证链条。3.3保证活动与技术措施针对不同的完整性等级，标准推荐了相应层级的保证活动和技术措施。这些措施涵盖了开发过程控制、验证与确认、配置管理、质量保证、独立评审等方面。高完整性等级要求更严格的开发过程、更全面的测试验证以及更高程度的独立审查，而低完整性等级则可以适当精简保证活动，以兼顾成本效益。3.4与其他标准的兼容性2023版标准的一个重要改进是增强了与ISO/IEC/IEEE15026系列其他部分的协同性，特别是与第1部分（概念与模型）和第2部分（保证案例）的衔接更加紧密。同时，该标准也保留了与IEC61508、ISO26262等代表性行业标准的映射关系，使用户能够在统一框架下理解和转换不同领域的完整性等级要求。4标准修订的企事业单位与标委会介绍ISO/IEC/IEEE15026-3:2023的制定和修订工作由ISO/IECJTC1（信息技术联合技术委员会）下属的SC7（软件与系统工程分技术委员会）和IEEE计算机学会软件与系统工程标准委员会共同组织推进。作为WG10工作组（软件保证工作组）的重要技术力量，中国电子技术标准化研究院（CESI）在该标准的修订中发挥了关键作用。该研究院是中国信息技术领域标准化工作的国家级核心机构，长期深度参与ISO/IECJTC1/SC7的国际标准化活动。中国电子技术标准化研究院成立于1963年，直属于工业和信息化部，是专业从事电子信息技术领域标准化研究的国家级科研机构。研究院承担着全国信息技术标准化技术委员会（TC28）秘书处等核心职能，业务范围涵盖软件工程、系统安全、数据治理、人工智能等前沿领域。在软件工程标准化方向，该院主导制定了多项软件质量度量、软件测试和系统保证相关的国家标准，并深度参与了ISO/IEC/IEEE15026系列标准的国际制修订工作。在此次修订过程中，中国电子技术标准化研究院的技术团队重点围绕以下方面贡献了专业力量：-完整性等级与软件保证的映射关系研究，提出了在软件密集系统中如何有效界定和验证完整性等级的技术建议；-跨领域术语统一，推动将IEEE和ISO体系中的术语差异进行融合，使新版标准在概念表达上更加清晰一致；-保证案例方法的引入与衔接，推动第3部分与第2部分（保证案例）之间的逻辑衔接更加顺畅；-中文工作语言支持，在中英文术语对照和标准理解方面为国际协作提供了语言和技术支撑。该研究院还通过组织国内技术研讨会、发起标准试验验证项目等方式，汇聚国内学术界和产业界的反馈意见，将这些声音带入国际标准讨论中，提高了中国在系统保证国际标准化领域的话语权。5标准实施的意义与挑战5.1实施意义ISO/IEC/IEEE15026-3:2023的实施具有多层面的积极意义。在技术层面，该标准为系统工程实践中完整性等级的定义、选择和验证提供了一套系统化方法，有助于提高安全关键系统的开发质量和保证效率。通过统一的等级划分逻辑，不同团队和供应链环节能够更加明确地理解各自的保证责任，避免保证不足或保证过度的失衡状态。在经济层面，标准的国际统一性可以降低跨国合作和国际贸易中的技术壁垒。产品和组件在不同国家之间的认证和接受过程得以简化，降低了合规成本和市场准入难度。在行业治理层面，该标准为监管部门和安全评估机构提供了一套中立、透明的评估参考，有助于建立公正的市场秩序和社会信任。5.2面临的挑战尽管标准本身具有较高的技术完备性，但在实际应用过程中仍面临若干挑战。挑战一：行业适配的复杂度。该标准为通用框架，不同行业在将其映射至本领域具体实践时，需要进行大量的裁剪和适配工作。例如，汽车行业需要将其与ISO26262的ASIL体系对应，航空领域需要将其与DO-178C的DAL体系协调。这种映射过程需要深度的领域知识，对实施团队的专业能力提出了较高要求。挑战二：新技术形态的兼容性。人工智能、机器学习、云原生架构等新兴技术的快速发展，对传统以确定性逻辑为基础的完整性等级框架提出了挑战。如何在完整性等级框架中纳入数据驱动系统的验证方法，是当前和未来需要持续探索的问题。挑战三：保证文化的建立。完整性等级的有效实施，不仅依赖于技术手段，更依赖于组织层面的“保证文化”。建立一套以证据为基础的、透明的、可持续的保证体系，需要组织在制度和流程上进行深层次变革。6结论与展望ISO/IEC/IEEE15026-3:2023《系统和软件工程系统和软件保证第3部分：系统完整性等级》的发布，为全球系统与软件工程领域的完整性保证提供了重要的标准化技术支撑。该标准在吸收IEC61508等功能安全标准理念的基础上，形成了更具通用性和可操作性的完整性等级框架，更适应软件密集型系统的保证需求，体现了国际三大标准化组织在系统保证领域深度合作的成果。展望未来，系统完整性等级标准化工作将呈现以下几个发展趋势：第一，与人工智能治理深度融合。随着AI系统在安全关键领域的加速渗透，如何在完整性等级框架中嵌入AI组件的验证与确认要求，将成为标准修订的重要方向。ISO/IEC15026系列有望与ISO/IECTR24029（AI鲁棒性评估）等标准形成联动，构建涵盖AI的新型保证体系。第二，从安全到安全的“跨域协同”。随着信息物理系统的普及，功能安全（Safety）与信息安全（Security）之间的交织日益紧密。未来标准需要在两者之间建立系统性的关联机制，使完整性等级同时反映物理安全和数字安全的需求。第三，国内转化与落地应用加速推进。我国正加快推进国际标准向国家标准的转化工作。ISO/IEC/IEEE15026-3:2023已纳入相关转化计划，有望在未来形成对应的国家标准。国内在轨道交通、核电、汽车电子等优势领域可率先开展试点应用，积累实践经验，并反哺国际标准的持续改进。第四，数字化工具与自动化技术的发展。完整性等级评估和保证活动的自动化程度将不断提升。基于模型的系统工程（MBSE）、持续验证与持续保证、数字孪生等方法的引入，将使完整性等级的实现和监督变得更加高效和可验证。系统完整性等级作为连接风险和信任的桥梁，其标准化工作将持续为构建安全可靠的数字化社会贡献力量。我们期待ISO/IEC/IEEE15026-3:2023在全球范围内的广泛应用，也期待中国在该领域标准化进程中承担更加重要的角色，为全球系统与软件工程的发展贡献中国智慧与中国方案。参考文献[1]ISO/IEC/IEEE15026-3:2023,Systemsandsoftwareengineering—Systemsandsoftwareassurance—Part3:Systemintegrityl