ISOIECIEEE 15026-42021 系统与软件工程 - 系统与软件保障 - 第4部分生命周期中的保障标准立项发展报告

系统与软件工程系统与软件保障第4部分：生命周期中的保障（ISO/IEC/IEEE15026-4:2021）标准立项发展报告StandardizationDevelopmentReport:SystemsandSoftwareEngineering—SystemsandSoftwareAssurance—Part4:AssuranceintheLifeCycle(ISO/IEC/IEEE15026-4:2021)摘要随着数字化与智能化技术的深度融合，系统与软件产品在航空航天、轨道交通、医疗器械、金融基础设施及工业控制等安全关键领域的应用日益广泛，其失效可能引发重大安全事故或经济损失，因此全生命周期中的保障（Assurance）活动已成为确保系统可信性与安全性的核心手段。ISO/IEC/IEEE15026-4:2021《系统与软件工程——系统与软件保障——第4部分：生命周期中的保障》由国际标准化组织（ISO）于2021年5月28日正式发布，是ISO/IEC/IEEE15026系列标准的重要组成部分。该标准规定了在系统与软件生命周期各阶段中定义、计划、执行和评估保障活动的要求，为建立保障论据（AssuranceCase）提供了系统化的方法与流程指引。本报告全面梳理了该标准的立项背景、编制历程、核心技术框架、关键条款内容及其在国内外各关键领域的应用前景，并对其与现有相关标准的关系进行了系统分析。报告指出，该标准的发布填补了国际标准体系中系统级生命周期保障方法论的空白，对于推动我国安全关键系统标准化建设、强化软件质量保障能力具有重要的参考意义和借鉴价值。关键词：系统与软件工程；软件保障；生命周期；保障论据；安全关键系统；ISO/IEC/IEEE15026Keywords:Systemsandsoftwareengineering;softwareassurance;lifecycle;assurancecase;safety-criticalsystems;ISO/IEC/IEEE15026一、引言1.1立项背景随着信息技术的飞速发展，系统与软件已渗透到社会生产生活的各个领域。在航空航天、核能发电、自动驾驶、智能医疗、金融交易等安全关键领域，软件系统的功能复杂度和规模持续提升，系统失效所导致的风险也随之加大。传统以测试为主要手段的质量保障模式，已难以全面覆盖系统全生命周期中的安全性与可靠性需求。在此背景下，“保障”（Assurance）作为一种基于证据的系统化论证方法，逐渐成为国际软件工程和系统安全领域的研究热点。保障活动的核心理念是：通过系统地收集、组织并评估生命周期各阶段所产生的事实证据，构建一个清晰、可信的“保障论据”（AssuranceCase），从而为系统的安全性、可靠性、可维护性等关键属性提供有力证明。然而，长期以来，国际上缺少一项专门针对“如何在生命周期各阶段开展保障活动”的通用标准，各行业在实践过程中往往依赖内部规范或行业指南，缺乏统一的方法论框架。1.2标准编制历程为填补这一空白，ISO/IECJTC1（信息技术联合技术委员会）下属的SC7（软件与系统工程分技术委员会）于2015年正式启动ISO/IEC15026-4的编制工作。该项目由来自美国、英国、日本、加拿大、中国等多国的标准化专家共同参与。编制过程中，工作组广泛参考了ISO/IEC15026系列前三个部分的内容框架，同时吸纳了来自航空航天、国防、医疗和汽车电子等行业的最佳实践。经过多轮委员会草案（CD）、国际标准草案（DIS）和最终国际标准草案（FDIS）的严格审议，该标准于2021年5月28日以ISO/IEC/IEEE联合标准的形式正式发布。二、标准概况2.1标准基本信息本标准的正式编号为ISO/IEC/IEEE15026-4:2021，其完整名称如下：-中文名称：系统与软件工程——系统与软件保障——第4部分：生命周期中的保障-英文名称：Systemsandsoftwareengineering—Systemsandsoftwareassurance—Part4:Assuranceinthelifecycle该标准的发布机构为国际标准化组织（ISO），归口管理为ISO/IECJTC1/SC7，采用ISO/IEC/IEEE三方联合发布的模式，体现了IEEE在系统工程领域的深厚积累。标准当前状态为现行有效，分类号为“软件开发和系统文件”，国别为国际组织，官方语言为英语。2.2标准定位与适用范围ISO/IEC/IEEE15026-4:2021定位于为系统与软件生命周期中的保障活动提供通用性框架要求。其适用范围包括：-各类安全关键系统与软件的开发与运维组织；-需要在合同或监管环境中展示系统保障能力的供方与需方；-从事保障论据编制、评估和审计的第三方机构；-需要在系统采办、开发、运行和退役全过程中建立保障体系的各类组织。该标准不限定特定的行业领域或技术手段，具有跨领域的通用适用性。标准的核心目标在于帮助组织在生命周期各阶段识别保障需求、规划保障活动、收集保障证据、构建和评价保障论据，并最终支持保障相关的决策与沟通。三、标准核心技术框架3.1保障的基本概念在ISO/IEC/IEEE15026-4:2021中，保障被定义为“关于某实体满足其保障需求的正当可信的信任”（justified,trustworthyconfidence）。这一定义包含三个关键要素：-正当性（Justified）：保障不能建立在主观臆断或权威断言的基础上，而必须基于充分、相关且有效的客观证据；-可信性（Trustworthy）：保障是面向使用者的，其最终目的是使利益相关方对系统在特定环境中的预期行为建立信心；-动态性（Dynamic）：保障不是一次性结论，而是在生命周期中持续更新和完善的动态过程。3.2保障论据（AssuranceCase）保障论据是ISO/IEC/IEEE15026-4的核心概念之一。标准将保障论据定义为“为支持保障主张（Claim）而组织的结构化论证和证据集合”。一个完整的保障论据通常包含以下构成要素：-主张（Claim）：关于系统某一属性的断言，例如“系统的安全完整性达到SIL3级别”；-论证（Argument）：将主张与证据联系起来的推理链条，阐明“为什么这些证据能够支持该主张”；-证据（Evidence）：从设计评审、测试验证、代码审查、运行监控等活动中获取的事实材料。保障论据的构建遵循“目标分解”和“证据映射”的基本逻辑：将顶层保障目标逐层分解为可验证的子目标，再将各子目标与相应的证据相连接，最终形成层次化、可追溯、可审查的论证结构。3.3生命周期中的保障活动ISO/IEC/IEEE15026-4将系统生命周期划分为多个阶段（概念、开发、生产、使用、保障、退役），并为每一阶段规定了相应的保障活动要求。这些活动可归纳为以下几类：（1）保障需求定义在项目启动阶段，组织必须明确保障目标，识别相关利益相关方及其保障期望，确认适用的法律法规和行业标准要求，并在此基础上制定保障策略。（2）保障计划编制组织应编制正式的保障计划，明确保障活动的范围、方法、资源、职责分工及时间进度。保障计划应与项目管理计划和系统工程计划协调一致，确保保障活动融入整体工程实践。（3）保障活动执行在系统生命周期各阶段，组织须按照保障计划收集和记录各类保障证据，包括但不限于：需求追溯记录、设计评审纪要、测试报告、形式化验证结果、供应链保障声明和运行监测数据等。（4）保障论据构建与评价组织应将各类证据整合为结构化的保障论据，并由独立于开发团队的评价人员对论据的充分性、有效性和一致性进行审查。（5）保障沟通与决策支持保障活动最终服务于决策。标准要求组织以适宜的方式将保障结果传达给采购方、监管机构和使用方，并在重大变更时重新评估和更新保障论据。3.4保障等级的递进关系ISO/IEC/IEEE15026-4从属于ISO/IEC/IEEE15026系列框架，该系列标准通过定义不同的保障等级（AssuranceLevel），将保障需求与系统风险程度相关联。相较于系列中其他部分侧重于定义保障论据的内容框架，第4部分更关注在生命周期中的流程嵌入——即如何将保障活动以工程化的方式系统地融入现有生命周期过程中。这一关注点的差异在第4部分的内容结构中得到了充分体现：标准大量使用流程图和过程映射表来描述保障活动和生命周期活动的相互衔接关系，并设置了“保障过程的规划”“保障活动与生命周期活动的集成”等专门条款。四、标准的主要条款内容4.1标准总体结构ISO/IEC/IEEE15026-4:2021在编排上清晰严谨、层次分明。标准共包含八个主要条款，依次为：范围、规范性引用文件、术语和定义、保障概念与保障论据、生命周期中的保障过程要求、保障管理要求、保障评价要求和保障文档化要求。这种编排方式体现了“先概念后流程、先管理后技术”的逻辑递进关系，便于不同角色的使用者各取所需。4.2关键条款精要“保障概念与保障论据”条款在ISO/IEC/IEEE15026-2的基础上进一步细化了保障论据在全生命周期视角下的构建方法，补充了论据随系统演化的动态维护要求。“生命周期中的保障过程要求”条款是本标准最具创新性的部分，它将保障活动映射到ISO/IEC/IEEE12207和ISO/IEC/IEEE15288所定义的生命周期过程上，系统规定了每一过程中保障活动的输入、输出、任务和验证要求。“保障管理”条款明确了组织层面的保障治理要求，包括保障策略制定、保障人员能力要求、保障过程质量保证以及与供方和分包方的保障接口管理。“保障评价”条款规定了内部评价和独立评价两种方式，要求评价活动应具有客观性和独立性，评价结果应形成正式记录。“保障文档化”条款则要求组织建立保障记录的标识、存储、保护和保留制度，确保保障证据在整个生命周期内可追溯、可审查。4.3附录与附加内容除正式条款外，标准还设置了若干资料性附录。其中，附录A提供了保障论据的典型模板和示例，附录B给出了保障计划的内容框架和编制指南，附录C则通过三个应用实例（一个工业控制系统、一个医疗器械软件和一个航空电子系统）展示了标准在不同类型系统中的具体应用路径。这些附录虽然不具有强制要求属性，但为标准的实施提供了极具操作价值的指导。五、标准的关键应用领域5.1航空航天与国防航空航天系统对安全性要求极为严格，适航审定和军标认证均要求提供系统性的保障证据。ISO/IEC/IEEE15026-4为航空软件和机载系统的保障论据构建提供了通用的方法论基础，可与DO-178C等行业标准形成有效互补。5.2医疗器械医疗器械软件的监管审查近年来趋于严格，FDA和欧盟MDR均强调基于风险的保障论证。该标准可帮助医疗器械制造商在合规框架内构建系统化的保障论据，提高注册审批的效率和成功率。5.3汽车电子与自动驾驶ISO26262功能安全标准和预期功能安全（SOTIF）相关工作均涉及安全论证与保障活动。ISO/IEC/IEEE15026-4的通用保障框架可以与ISO26262形成有效互补，特别是在处理多系统协同场景下的综合保障问题方面。5.4轨道交通与工业控制轨道交通信号系统、工业控制系统以及能源管理系统等关键基础设施对系统可用性和安全性要求极高。这些领域的工程实践长期面临安全论证分散化、缺乏统一框架的困境。该标准的发布为这些领域提供了跨系统、跨阶段的集成保障方法，有助于构建端到端的完整保障链条。六、主要起草与参与单位ISO/IEC/IEEE15026-4:2021的编制汇聚了来自全球多个国家的标准化专家和行业代表，是一项高度国际化的协作成果。其中，IEEE计算机学会作为联合发布方之一，依托其数十年在软件工程与系统工程领域的专业积累，在标准编制中做出了突出贡献。IEEE计算机学会（IEEEComputerSociety）是全球历史最悠久、规模最大的计算机专业学术组织之一，也是IEEE下属在软件工程领域最具影响力的分支学会。IEEE计算机学会深度参与了ISO/IEC/IEEE15026系列标准的全部编制工作，在标准的框架构建、术语统一和内容评审中发挥了核心作用。在15026-4的编制过程中，IEEE计算机学会依托其在航空航天软件标准（如IEEEStd1228《软件安全计划标准》）和软件保障领域的技术积淀，在以下方面做出了突出贡献：一是将从IEEE多项软件安全标准中提炼的保障实践融入第4部分“生命周期中的保障过程”条款的设计中，使得标准在过程描述层面具备了IEEE独有的工程实践导向性；二是组织并推动了保障论据在不同行业应用案例的收集与整理，为附录中的应用示例提供了丰富的素材来源；三是协调了ISO与IEEE在术语定义和方法论表述上的差异，确保标准在双重框架下的兼容性与一致性。此外，来自美国、英国、日本、加拿大、德国、中国等国家的标准化机构和行业组织也积极参与了标准各阶段的讨论与评审工作，为标准的多方适用性和国际通用性提供了坚实保障。七、标准的关系与协调7.1与ISO/IEC/IEEE15026系列其他部分的关系ISO/IEC/IEEE15026系列标准共包含四个部分。第1部分（概念与术语）为整个系列奠定了概念基础；第2部分（保障论据）规定了保障论据的内容框架和表示方法；第3部分（系统与软件完整性等级）提供了基于风险的完整性等级确定方法。本标准（第4部分）则从生命周期视角出发，规定了保障活动的具体过程要求，是系列标准中将保障概念、论据方法和等级框架落实为具体工程实践的关键环节。四个部分相互配合，共同构成了一套完整的系统与软件保障标准体系。7.2与相关标准的关系在系统与软件工程标准体系中，本条标准与多个重要标准存在密切关联。在过程框架层面，ISO/IEC/IEEE15026-4与ISO/IEC/IEEE12207（软件生命周期过程）和ISO/IEC/IEEE15288（系统生命周期过程）构成了“过程+保障”的互补关系，前者以后者定义的过程模型为依托，将保障要求嵌入到每一个生命周期过程中。在信息安全与网络安全方面，ISO/IEC27001（信息安全管理体系）关注组织的安全管理体系，而ISO/IEC/IEEE15026-4关注产品的保障论证，二者在需方对供方的安全评估场景中形成互补。在功能安全领域，IEC61508系列为电气/电子/可编程电子安全相关系统提供了全生命周期的功能安全框架，其中安全生命周期各阶段的活动（如危险分析、验证确认）与15026-4所规定的保障活动具有高度相似性，但IEC61508更侧重于安全功能的设计实现，而15026-4更侧重于保障论据的论证与沟通。八、结论与展望ISO/IEC/IEEE15026-4:2021的发布，标志着国际标准化组织在系统与软件保障领域迈出了重要一步。作为ISO/IEC/IEEE15026系列标准中一份“面向实践”的关键组成部分，该标准将抽象的保障概念转化为具体的生命周期过程要求，为各行业构建系统化、可审查的保障体系提供了统一的方法论框架。展望未来，随着人工智能、自动驾驶、数字孪生等新兴技术的快速发展，系统保障将面临更加复杂的挑战。ISO/IEC/IEEE15026-4所确立的保障方法论以其技术中立性和过程导向性，具备良好的扩展性和适应性。可以预见，在后续的标准修订中，针对AI系统的特有属性保障（如模型可解释性、数据质量保障、持续学习环境下的保障动态维护等）有望成为新的标准化方向。对我国而言，积极跟踪并适时转化该标准为国家标准，对于提升我国安全关键软件的保障能力和国际竞争力具有重要的战略意义。参考文献[1]ISO/IEC/IEEE15026-4:2021,Systemsandsoftwareengineering—Systemsandsoftwareassurance—Part4:Assuranceinthelifecycle[S].Geneva:ISO,2021.[2]ISO/IEC/IEEE15026-1:2019,Systemsandsoft