航天器軟件風(fēng)險集成管理方法

陳乘新 梁克 王靜華 郭娟

（中國空間技術(shù)研究院載人航天總體部，北京 100094）

航天器軟件風(fēng)險集成管理方法

陳乘新 梁克 王靜華 郭娟

（中國空間技術(shù)研究院載人航天總體部，北京 100094）

為確保航天器軟件產(chǎn)品功能、性能符合任務(wù)需求，安全、可靠地完成飛行任務(wù)，需要對其進(jìn)行風(fēng)險管理。文章首先介紹了軟件風(fēng)險管理理論研究現(xiàn)狀；然后結(jié)合航天器軟件強實時性、高可靠性和安全性、維護(hù)困難等問題，提出了基于系統(tǒng)集成思想的軟件風(fēng)險控制方法；最后以某航天器為例介紹了該套方法的應(yīng)用成果。研究結(jié)果可為識別航天器軟件風(fēng)險，提高軟件產(chǎn)品質(zhì)量提供參考。

航天器；軟件風(fēng)險；風(fēng)險識別、分析與控制

1 引言

軟件風(fēng)險是指軟件項目管理與開發(fā)過程中出現(xiàn)的不確定事件，并可能給項目計劃和系統(tǒng)質(zhì)量帶來危害或損失。為確保項目成功，需在軟件研制過程中開展風(fēng)險管理工作，標(biāo)識出可能出現(xiàn)的風(fēng)險，并對風(fēng)險進(jìn)行度量和評估，制定出相應(yīng)的緩解措施及應(yīng)急措施，以減少和降低風(fēng)險對軟件研制過程的影響［1］。

國外對軟件風(fēng)險管理進(jìn)行了卓有成效的研究，出現(xiàn)了Boehm模型、持續(xù)風(fēng)險管理（Continuous Risk Management，CRM）模型和組織變革開放系統(tǒng)（Leavitt）模型為代表的風(fēng)險管理體系［2-8］。相比之下國內(nèi)特別是航天器領(lǐng)域?qū)浖L(fēng)險管理的研究處于起步階段，尚未形成一套完整的風(fēng)險管理方法，隨著航天器電子系統(tǒng)功能需求的不斷增長，硬件設(shè)備集成、綜合及小型化技術(shù)的發(fā)展，軟件復(fù)雜度和規(guī)模不斷提高，研制過程中面臨的風(fēng)險也越來越大，亟需開展符合航天器軟件研制特點的風(fēng)險管理方法研究。

本文首先介紹了軟件風(fēng)險管理理論的研究現(xiàn)狀，然后針對當(dāng)前我國航天器軟件風(fēng)險管理中存在的薄弱環(huán)節(jié)進(jìn)行了分析，最后提出了符合航天器軟件研制特點的風(fēng)險管理方法，并以某航天器為例給出了實施過程和效果。

2 軟件風(fēng)險管理理論概述

軟件風(fēng)險管理就是在對風(fēng)險的不確定性及可能性等因素進(jìn)行考查、預(yù)測、收集、分析的基礎(chǔ)上，制定出來包括識別風(fēng)險、分析風(fēng)險、積極監(jiān)控風(fēng)險和妥善處理風(fēng)險等一套系統(tǒng)而科學(xué)的管理方法，其研究目的是找出這些導(dǎo)致不良后果的風(fēng)險，并使其對產(chǎn)品的不良影響最小化。典型的風(fēng)險管理模型如下：

（1）Boehm模型：Boehm模型通過公式R=P× L對風(fēng)險進(jìn)行定義，其中R代表風(fēng)險或風(fēng)險帶來的影響，P表示風(fēng)險發(fā)生的概率，L表示風(fēng)險發(fā)生的危害程度［9］。Boehm思想的核心是對10大風(fēng)險因素列表，Boehm根據(jù)每種風(fēng)險因素的特點制定了一系列風(fēng)險管理措施。Boehm模型傾向于傳統(tǒng)的項目風(fēng)險管理理論，認(rèn)為風(fēng)險管理包括風(fēng)險評估和風(fēng)險控制兩大階段，其中風(fēng)險評估包括風(fēng)險辨識、風(fēng)險分析和風(fēng)險排序，風(fēng)險控制是指編制風(fēng)險管理計劃、風(fēng)險解決和風(fēng)險監(jiān)督。

（2）CRM模型：卡內(nèi)基-梅隆大學(xué)軟件工程研究所（SEI）的CRM模型風(fēng)險管理原則是不斷地評估可能造成惡劣后果的因素；決定最迫切需要處理的風(fēng)險；實現(xiàn)控制風(fēng)險的策略；評測并確保風(fēng)險策略實施的有效性［10-11］。CRM模型將風(fēng)險管理劃分為5個步驟，即風(fēng)險識別、分析、計劃、跟蹤和控制。對每一個風(fēng)險要素都要按照這5個步驟進(jìn)行管理，強調(diào)風(fēng)險管理是一個在項目開發(fā)過程中反復(fù)持續(xù)進(jìn)行的活動序列。

（3）Leavitt模型：Leavitt模型將形成各種系統(tǒng)的組織劃分為4個組成部分，即角色、結(jié)構(gòu)、技術(shù)和任務(wù)。這4個組成部分和軟件開發(fā)的各因素可以很好地對應(yīng)：角色覆蓋了所有的項目參與者，例如軟件用戶、項目經(jīng)理和設(shè)計人員等；結(jié)構(gòu)表示項目組織和其他制度上的安排；技術(shù)則包括了開發(fā)工具、方法、軟硬件平臺等；任務(wù)描述了項目的目標(biāo)和預(yù)期結(jié)果［11］。Leavitt模型的關(guān)鍵思路是模型的各個組成部分是密切相關(guān)的，一個組成部分的變化會影響其它組成部分，該模型實際上提出了一個框架，可以系統(tǒng)地將軟件風(fēng)險相關(guān)信息組織起來。

通過對主流的風(fēng)險管理理論綜合比較分析，本文總結(jié)軟件風(fēng)險管理的核心內(nèi)容主要體現(xiàn)在以下3個方面：

（1）將風(fēng)險管理與軟件研制活動緊密結(jié)合，即關(guān)注軟件研制各個方面的風(fēng)險管理，如技術(shù)、進(jìn)度、質(zhì)量等，確保全面識別風(fēng)險要素。

（2）重視軟件風(fēng)險分類管理，對識別的風(fēng)險進(jìn)行分析和排序，保證有限的資源用到級別較高的風(fēng)險上。

（3）將風(fēng)險管理視為一個持續(xù)管理過程，在軟件項目全生命周期內(nèi)不斷識別風(fēng)險、評估風(fēng)險和控制風(fēng)險，確保各類風(fēng)險始終可控。

3 我國航天器軟件風(fēng)險管理存在的不足

1）缺乏風(fēng)險要素識別方法

軟件風(fēng)險管理應(yīng)注重風(fēng)險要素識別的系統(tǒng)性和全面性，應(yīng)結(jié)合軟件研制活動相關(guān)的各個方面，如軟件規(guī)模、復(fù)雜程度、用戶特性、過程定義、環(huán)境、技術(shù)難度、進(jìn)度、人員及經(jīng)驗等開展風(fēng)險識別工作，確保風(fēng)險要素識別無遺漏。

航天器軟件風(fēng)險管理未形成系統(tǒng)性的風(fēng)險要素識別方法，目前主要通過軟件故障樹分析（SETA）、軟件故障模式與對策（SEMEA）和遵循可靠性安全性設(shè)計準(zhǔn)則來指導(dǎo)軟件可靠性安全性設(shè)計；對首次承擔(dān)航天軟件研制任務(wù)的單位和人員進(jìn)行識別，開展相應(yīng)的培訓(xùn)檢查等工作。由于過于依賴以往經(jīng)驗，缺乏風(fēng)險要素的識別方法，容易造成風(fēng)險要素識別不全。

2）未建立風(fēng)險分類管理機制

軟件風(fēng)險應(yīng)注重分類管理，軟件風(fēng)險根據(jù)影響范圍可以分為系統(tǒng)性風(fēng)險、分系統(tǒng)性風(fēng)險和配置項級風(fēng)險，如分系統(tǒng)間接口協(xié)議可靠性設(shè)計不足、系統(tǒng)工作模式組合和轉(zhuǎn)換的可調(diào)整性不足等屬于系統(tǒng)級風(fēng)險；分系統(tǒng)架構(gòu)設(shè)計冗余度不足、分系統(tǒng)工作模式和任務(wù)不明確屬于分系統(tǒng)級風(fēng)險；未按照編程規(guī)范開展編程工作、成員缺乏編碼知識屬于配置項級風(fēng)險。

航天器軟件風(fēng)險管理未形成分級管理的機制，航天器總體和分系統(tǒng)往往將精力主要放在配置項級風(fēng)險的管控上，如通過需求審查、測試審查和第三方測試驗證等手段來確保配置項風(fēng)險可控等；對系統(tǒng)和分系統(tǒng)工作模式、設(shè)計架構(gòu)、接口協(xié)議等風(fēng)險關(guān)注不夠，由于資源投入不均，容易造成風(fēng)險管理效果不佳。

3）風(fēng)險管理持續(xù)性不夠

軟件風(fēng)險管理應(yīng)注重持續(xù)性，某種類型的風(fēng)險完成閉環(huán)，在后續(xù)某個階段可能再次出現(xiàn)，故需要定期識別風(fēng)險要素，確保及時識別和控制風(fēng)險。如軟件需求階段才可能出現(xiàn)的系統(tǒng)需求遺漏風(fēng)險，在進(jìn)入軟件設(shè)計階段后由于飛行任務(wù)的變化可能再次出現(xiàn)。

航天器軟件風(fēng)險管理未形成定期識別風(fēng)險的機制，目前主要在航天器研制初期進(jìn)行軟件全生命周期風(fēng)險要素的識別和管理策劃，在航天器研制過程中跟蹤和控制風(fēng)險，并及時關(guān)閉風(fēng)險。由于關(guān)閉的風(fēng)險可能再次打開，未定期進(jìn)行風(fēng)險識別容易造成風(fēng)險最終發(fā)生。

4 采取集成風(fēng)險管理方法解決當(dāng)前問題

針對前文中分析的當(dāng)前航天器軟件風(fēng)險管理存在的不足，文章基于軟件風(fēng)險管理理論，從航天器系統(tǒng)角度提出了集成風(fēng)險管理方法，對航天器系統(tǒng)、分系統(tǒng)和配置項各級軟件風(fēng)險管理統(tǒng)一策劃，通過分級負(fù)責(zé)、各司其職的方式共同管控風(fēng)險。該方法核心思想是全面識別風(fēng)險，確保風(fēng)險要素?zé)o遺漏；分類管理風(fēng)險，確保風(fēng)險各級管控有效；定期分析風(fēng)險，確保風(fēng)險管理持續(xù)改進(jìn)。具體內(nèi)容如下。

1）通過基于目標(biāo)導(dǎo)向的風(fēng)險識別方法保證全面識別風(fēng)險要素

該方法在軟件故障樹分析基礎(chǔ)上結(jié)合航天器軟件強實時性、高可靠性和安全性、維護(hù)困難等特點提出，所謂基于目標(biāo)導(dǎo)向的風(fēng)險識別方法就是從軟件項目的研制目標(biāo)入手，推導(dǎo)影響項目的風(fēng)險要素，并進(jìn)一步分析風(fēng)險間的關(guān)系，最終達(dá)到對整個項目的風(fēng)險要素及其關(guān)系的識別［11］，風(fēng)險識別具體過程如圖1所示。

該方法的特點是將軟件的研制目標(biāo)按照階段進(jìn)行劃分，并判斷各階段研制目標(biāo)是否可度量，若不可度量則進(jìn)行細(xì)化分解，直到所有的細(xì)化目標(biāo)都可度量。在可度量的細(xì)化目標(biāo)基礎(chǔ)上分析所有影響它的風(fēng)險要素，并判斷風(fēng)險要素是否可評估，若不可評估則細(xì)化分析該風(fēng)險要素與影響它的其它風(fēng)險關(guān)系，構(gòu)建風(fēng)險關(guān)系鏈，直至得到的所有風(fēng)險要素均可評估，通過該方法可以確保風(fēng)險要素全面識別。

2）通過基于分類思想的風(fēng)險分析方法保證風(fēng)險各級管控有效

完成風(fēng)險識別后，從航天器系統(tǒng)角度將識別的風(fēng)險分為系統(tǒng)級風(fēng)險、分系統(tǒng)級風(fēng)險和配置項級風(fēng)險，如軟件系統(tǒng)分析與設(shè)計階段總體未明確編譯器選擇范圍，導(dǎo)致研制單位采用未進(jìn)行可靠性安全性驗證的編譯器風(fēng)險為系統(tǒng)級風(fēng)險，分系統(tǒng)軟件相關(guān)的安全關(guān)鍵系統(tǒng)工作模式分解不到位風(fēng)險為分系統(tǒng)級風(fēng)險；軟件需求階段軟件開發(fā)計劃中未給出階段評審和配置管理的計劃風(fēng)險為配置項級風(fēng)險。完成風(fēng)險分級后，各級配合開展風(fēng)險計劃、風(fēng)險監(jiān)控和風(fēng)險應(yīng)對3個步驟的風(fēng)險控制工作，風(fēng)險分類和管控具體過程如圖2所示。

圖1 基于目標(biāo)導(dǎo)向的風(fēng)險識別方法Eig.1 Risk identification method based on target-oriented

圖2 基于分類思想的軟件風(fēng)險控制過程Eig.2 Risk control process based on classification

該方法在將風(fēng)險劃分為系統(tǒng)級風(fēng)險、分系統(tǒng)級風(fēng)險和配置項級風(fēng)險的同時，將軟件按照關(guān)鍵等級、繼承性、規(guī)模、客戶關(guān)系等進(jìn)行排序，將其分為核心、重要和一般軟件，列為核心軟件的其對應(yīng)的分系統(tǒng)和配置項級風(fēng)險應(yīng)在本級管控的基礎(chǔ)上提交上一級（配置項上一級為分系統(tǒng)、分系統(tǒng)上一級為系統(tǒng)）審查；列為重要軟件的其對應(yīng)的分系統(tǒng)和配置項級風(fēng)險應(yīng)將本級審查結(jié)果報送上一級。

3）建立定期風(fēng)險分析和持續(xù)改進(jìn)機制

軟件風(fēng)險控制是個逐步迭代的過程，在軟件研制的全生命周期內(nèi)需要及時對風(fēng)險進(jìn)行總結(jié)，對識別的風(fēng)險控制措施有效性進(jìn)行總結(jié)；對識別的新的風(fēng)險進(jìn)行分級分類，執(zhí)行相應(yīng)的控制措施。通過定期風(fēng)險分析和持續(xù)改進(jìn)，保證軟件產(chǎn)品功能、性能符合任務(wù)需求，安全、可靠地完成飛行任務(wù)。

5 某航天器風(fēng)險管理實踐

執(zhí)行交會對接任務(wù)的某航天器技術(shù)難度大、質(zhì)量要求高、任務(wù)周期短，為了確保飛行軟件可靠運行，該航天器運用了集成風(fēng)險管理方法，實現(xiàn)了風(fēng)險管理與軟件工程化工作的系統(tǒng)融合，有效規(guī)避或降低了軟件研制過程中的技術(shù)、質(zhì)量和進(jìn)度風(fēng)險，保證軟件產(chǎn)品質(zhì)量滿足要求。本節(jié)以該航天器軟件需求分析階段的軟件風(fēng)險管理為例，給出了實踐結(jié)果。

1）軟件風(fēng)險要素識別

航天器軟件需求分析階段系統(tǒng)目標(biāo)是確保航天器總體對軟件系統(tǒng)需求分解到位，落實到分系統(tǒng)間接口協(xié)議等文件中；分系統(tǒng)工作目標(biāo)是將系統(tǒng)級和分系統(tǒng)級軟件需求細(xì)化分解到位，落實在軟件研制任務(wù)文檔中；配置項工作目標(biāo)是將軟件需求分配，落實在軟件需求分析文檔中。系統(tǒng)、分系統(tǒng)和配置項依據(jù)基于目標(biāo)導(dǎo)向的風(fēng)險識別方法協(xié)同工作，通過目標(biāo)—可度量目標(biāo)—基于可度量目標(biāo)的風(fēng)險—可評估風(fēng)險4個步驟，識別出了24項可評估風(fēng)險，具體見表1。

表1 軟件需求分析階段風(fēng)險列表Table 1 Risk factors table in software requirments analysis phase

2）軟件風(fēng)險分類管控

識別的24項風(fēng)險中包括系統(tǒng)級管控風(fēng)險7項、分系統(tǒng)級管控風(fēng)險6項和配置項級管控風(fēng)險11項。其中核心軟件和重要軟件的配置項管控風(fēng)險及相關(guān)的分系統(tǒng)管控風(fēng)險還應(yīng)提交上一級審查或報送審查結(jié)果。通過系統(tǒng)、分系統(tǒng)和配置項3個層次的風(fēng)險管理體系的相互配合，對風(fēng)險可能發(fā)生的時機進(jìn)行分析、及時監(jiān)控和應(yīng)對，確保風(fēng)險可控，軟件需求分析階段識別的風(fēng)險分類、應(yīng)對時機和應(yīng)對對策具體見表2。

表2 風(fēng)險應(yīng)對時機和對策Table 2 Table of risk response opportunity and method

3）軟件風(fēng)險定期分析和持續(xù)改進(jìn)

將軟件需求風(fēng)險控制分為航天器研制初樣初期、初樣轉(zhuǎn)正樣、正樣階段后期（出廠前）3個階段。初樣初期開展軟件需求風(fēng)險管理策劃工作，識別風(fēng)險要素并進(jìn)行分類，系統(tǒng)、分系統(tǒng)和配置項各司其職共同完成風(fēng)險管理工作；初樣轉(zhuǎn)階段暨正樣階段初期，對初樣階段識別的風(fēng)險控制情況進(jìn)行總結(jié)，結(jié)合正樣系統(tǒng)和分系統(tǒng)詳細(xì)設(shè)計報告等各方面信息，識別薄弱環(huán)節(jié)，完成需求風(fēng)險的再識別；正樣階段后期對識別的需求風(fēng)險要素控制情況進(jìn)行總結(jié)，結(jié)合軟件產(chǎn)品驗收和總結(jié)、第三方評測總結(jié)、系統(tǒng)綜合測試與例行試驗階段小結(jié)等各方面信息，完成需求風(fēng)險要素的再識別和分析工作。

4）實踐效果

該航天器系統(tǒng)、分系統(tǒng)和配置項通過集成風(fēng)險管理方法在出廠前發(fā)現(xiàn)需求遺漏、接口欠細(xì)化問題達(dá)23項，對發(fā)現(xiàn)的需求風(fēng)險均開展了更改影響域分析，最終落實到軟件需求規(guī)格說明等文檔和程序中，確保了交會對接飛行任務(wù)的成功。

6 結(jié)束語

通過某航天器軟件風(fēng)險管理的實踐經(jīng)驗，要將軟件風(fēng)險管理落到實處，應(yīng)采用集成風(fēng)險管理方法，通過全面地分析風(fēng)險，及時識別出軟件全生命周期的風(fēng)險點，提出切合實際和有效的控制措施與方法，切實提升各環(huán)節(jié)的工作效果，具體到軟件全生命周期應(yīng)注意以下幾點：

（1）加強系統(tǒng)策劃。在項目啟動初期應(yīng)開展風(fēng)險管理策劃，明確風(fēng)險管理實施的目標(biāo)、策略、方法和機制，要將風(fēng)險策劃的內(nèi)容充分融入整個航天器研制和管理過程，保證各階段技術(shù)、質(zhì)量和進(jìn)度目標(biāo)實現(xiàn)與系統(tǒng)工作要求的一致性。

（2）注重分類協(xié)同。要精細(xì)化軟件風(fēng)險管理方法，關(guān)鍵是要體現(xiàn)分類思想，涵蓋全面，突出重點，做到各司其職，共同負(fù)責(zé)，對于識別出來的風(fēng)險突出問題，充分設(shè)置產(chǎn)品保證或質(zhì)量控制關(guān)鍵節(jié)點，明確審查確認(rèn)要求。

（3）持續(xù)改進(jìn)。要定期進(jìn)行風(fēng)險要素的再識別和再分析，不斷總結(jié)工程實踐中的經(jīng)驗，不斷實用新技術(shù)來降低風(fēng)險，如建設(shè)并推廣使用可支持單機級、分系統(tǒng)級乃至系統(tǒng)功能級方案比較的仿真環(huán)境等。

（

）

［1］薛四新，賈郭軍.軟件項目管理［M］.北京：機械工業(yè)出版社，2004 Xue Sixin，Jia Guojun.Software project management［M］.Beijing：China Machine Press，2004（in Chinese）

［2］馮楠.軟件項目管理理論與模型研究［D］.天津：天津大學(xué)，2007 Eeng Nan.Research on theory and model of software project management［D］.Tianjin：Tianjin University，2007（in Chinese）

［3］田杰，呂建新，徐峰.軟件工程化管理中的風(fēng)險管理［J］.微計算機信息，2007，23（24）：13-15 Tian Jie，Liu Jianxin，Xu Eeng.Risk management of software engineering management［J］.Micro Computer Information，2007，23（24）：13-15（in Chinese）

［4］簡林安.風(fēng)險型決策在軟件風(fēng)險研究中的應(yīng)用［J］.微計算機信息，2008，24（24）：220-222 Jian Lin'an.The application of risky division on the research of software risk［J］.Micro Computer Information，2008，24（24）：220-222（in Chinese）

［5］張云峰.軟件開發(fā)項目風(fēng)險模型分析［J］.電腦知識與技術(shù)，2009，5（22）：6238-6239 Zhang Yunfeng.Software development project risk analysis［J］.Computer Knowledge and Technology，2009，5（22）：6238-6239（in Chinese）

［6］劉明友，帥建鋒.基于CMMI的軟件項目風(fēng)險管理研究［J］.電腦知識與技術(shù)，2013，9（1）：63-66 Liu Mingyou，Shuai Jianfeng.Study on software risk management based on CMMI［J］.Computer Knowledge and Technology，2013，9（1）：63-66（in Chinese）

［7］沈桂蘭，李玉霞.基于風(fēng)險矩陣的軟件項目的風(fēng)險評估［J］.信陽師范學(xué)院學(xué)報：自然科學(xué)版，2012，25（3）：407-441 Shen Guilan，Li Yuxia.Risk assessment for software project using by risk matrix［J］.Journal of Xinyang Normal University Natural Science Edition，2012，25（3）：407-441（in Chinese）

［8］劉艷秋，周馳.評估項目風(fēng)險中協(xié)調(diào)偏好的DEA方法［J］.控制工程，2012，19（4）：676-680 Liu Yanqiu，Zhou Chi.A coordinate preference dea method of project risk assessment［J］.Control Engineering of China，2012，19（4）：676-680（in Chinese）

［9］Boehm B W.Software risk management［M］.Washington D.C.：IEEE Computer Society Press，1989

［10］張帆.軟件項目風(fēng)險管理和控制研究［D］.大連：大連海事大學(xué)，2010 Zhang Ean.Research on software risk management［D］.Dalian：Dalian Maritime University，2010（in Chinese）

［11］梁濤.風(fēng)險關(guān)系研究的軟件項目風(fēng)險管理［D］.西安：西北工業(yè)大學(xué)，2006 Liang Tao.Software risk management based the goalrisk［D］.Xi'an：Northwestern Polytechnical University，2006（in Chinese）

（編輯：李多）

Integration Management Method of Spacecraft Software Risk

CHEN Chengxin LIANG Ke WANG Jinghua GUO Juan
（Institute of Manned Space System Engineering，China Academy of Space Technology，Beijing 100094，China）

To ensure that spacecraft software product meets the mission requirements，and the mission can be saftly and reliably accomplished，risk management is required.The paper describes the research status of software risk management theory，and by considering the spacecraft software's strong real-time，high reliability，high security，difficult maintenance and other characteristics，proposes a set of risk control method based on system integration.The application of the set of method is introduced to a spacecraft.The paper provides a reference for identifying spacecraft software risk and improving software product quality.

spacecraft；software risk；risk identification，analysis and control

V57

A DOI：10.3969/j.issn.1673-8748.2015.03.018

2015-03-09；

2015-04-15

陳乘新，男，碩士，工程師，從事航天器軟件工程化管理工作。Email：lisi-0528@163.com。