Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO IEC 15026——系统与软件保证标准系列
Systems and Software Engineering — Systems and Software Assurance（2011–2015 版，共 4 部分）
🛡️ BS ISO/IEC 15026 是英国标准协会（BSI）采用的 ISO/IEC 15026 国际标准系列，由技术委员会 IST/15（软件与系统工程）归口制定，ICS 分类号为 35.080。该系列为系统与软件保证（Assurance）提供了概念框架与工程方法，涵盖概念与词汇、保证案例、系统完整性等级以及生命周期中的保证，是高安全性与高完整性系统（如航空航天、核能、医疗、自动驾驶与关键基础设施软件）进行可信性论证的标准基础。
💡 “保证”不是简单的测试或合规，而是建立”系统满足规定特性（如安全、保密、可靠性）”的可信论据（Assurance Case）。BS ISO/IEC 15026 将这种论据的构建、表达与评审系统化，使安全论证可审核、可追溯。
一、系列概述 📌
BS ISO/IEC 15026 系列由多个部分组成，本批材料收录了第 1、2、3、4 部分。第 1 部分为概念与词汇；第 2 部分为保证案例；第 3 部分为系统完整性等级；第 4 部分为生命周期中的保证。该系列取代了早期技术报告（PD ISO/IEC TR 15026-1:2010），将其提升为正式国际标准，并与 ISO/IEC 12207（软件生命周期过程）等过程标准配套使用。
标准主要服务于：关键系统与安全相关系统项目的论证工程师与保证经理、安全评估与审核机构、监管审批流程中的申请方、系统集成商与软件供应商的质量部门，以及研究保证方法与论据模式的高校研究团队。
二、系列构成与技术要点 📋
| 标准号 | 中文标题 | 核心内容 |
|---|---|---|
| BS ISO/IEC 15026-1:2013 | 概念与词汇（Concepts and vocabulary） | 保证相关概念、术语与适用范围的定义，构成系列的概念基础 |
| BS ISO/IEC 15026-2:2011 | 保证案例（Assurance case） | 保证案例的结构、内容与表达方式，以及一致性要求，用于论证系统特性 |
| BS ISO/IEC 15026-3:2015 | 系统完整性等级（System integrity levels） | 系统完整性等级的定义、确立与使用，支撑风险分级与保证强度分配 |
| BS ISO/IEC 15026-4:2012 | 生命周期中的保证 | 在系统与软件生命周期过程中实施保证活动的要求（扫描版本，依据公开领域知识撰写） |
⚠️ 本材料中 BS ISO/IEC 15026-4 部分为扫描版本，相关描述依据该标准公开领域知识撰写，具体条款请以 BSI 官方发布版本为准。
三、关键技术要求 🔧
BS ISO/IEC 15026 系列的关键技术要求围绕保证案例与完整性等级：
- 保证案例（第 2 部分）：规定保证案例应包含目标声明（claims）、支撑论据（arguments）与证据（evidence），并建立目标-论据-证据之间的结构化关联，形成可审查的安全论证。
- 特性描述：保证案例应明确所保证的系统特性（如安全性、可靠性、保密性），并说明其范围、语境与假设。
- 一致性要求（第 2 部分）：规定保证案例的一致性要求，确保论据完整、证据充分且与目标对应。
- 完整性等级（第 3 部分）：规定完整性等级的定义方法：依据系统失效后果的严重度与发生可能性划分等级，等级越高所需的保证强度越大。
- 生命周期保证（第 4 部分）：规定在需求、设计、实现、验证与运行维护等生命周期阶段落实保证活动，实现”全生命周期可论证”。
🚨 保证案例的价值在于其可信性：若论据中存在未经验证的假设、证据与管理活动脱节或目标界定含糊，保证案例将形同虚设。必须建立独立评审机制，验证论据的有效性与证据的充分性。
四、工程实践应用 🛠️
在工程实践中，BS ISO/IEC 15026 系列主要应用于以下场景：
- 🔍 安全相关系统论证：航空航天、轨道交通、核电仪表控制系统等安全关键系统基于保证案例论证其安全性，支撑监管许可。
- 🔧 医疗与自动驾驶软件：医疗器械软件与自动驾驶功能通过完整性等级分配保证强度，满足功能安全与网络安全要求。
- 📊 关键基础设施评估：电力、水务、金融等关键基础设施信息系统以保证案例说明其抵御网络威胁与故障的能力。
- 📋 供应链与采购保证：采购方要求供应商提供保证案例与证据链，确保交付系统的安全性与可信性可验证。
✅ 建议项目在启动阶段即规划保证活动：明确所要保证的特性，按第 3 部分确定完整性等级，按第 2 部分构建保证案例并持续维护，按第 4 部分在生命周期各阶段落实保证证据。
五、常见问题解答 ❓
❓ 问：保证案例与文档化论证有什么区别？
答：保证案例是有结构化目标-论据-证据关联的正式论证，强调论证的可追溯性与可审核性；普通文档化论证往往缺乏目标分解与证据映射，难以系统性地证明特性被满足。
答：保证案例是有结构化目标-论据-证据关联的正式论证，强调论证的可追溯性与可审核性；普通文档化论证往往缺乏目标分解与证据映射，难以系统性地证明特性被满足。
❓ 问：完整性等级如何确定？
答：按系统失效可能造成的后果（人员伤亡、环境损害、经济损失）的严重度与发生可能性综合确定，等级越高，要求投入的保证活动强度（如分析、测试、评审的深度）越大。
答：按系统失效可能造成的后果（人员伤亡、环境损害、经济损失）的严重度与发生可能性综合确定，等级越高，要求投入的保证活动强度（如分析、测试、评审的深度）越大。
❓ 问：第 2 部分”一致性”是什么意思？
答：一致性指保证案例的结构与内容符合标准的格式与语义要求，包括目标与证据的对应关系完整、论据的假设被明确声明且合理、无未支撑的目标等，保证案例可被第三方进行有效评审。
答：一致性指保证案例的结构与内容符合标准的格式与语义要求，包括目标与证据的对应关系完整、论据的假设被明确声明且合理、无未支撑的目标等，保证案例可被第三方进行有效评审。
❓ 问：BS ISO/IEC 15026 与 IEC 61508（功能安全）是什么关系？
答：IEC 61508 规定功能安全生命周期的具体技术要求，而 BS ISO/IEC 15026 提供保证案例与完整性等级的一般性框架，可用于表达功能安全论证。两者互补：61508 给出”做什么”，15026 给出”如何论证已做到”。
答：IEC 61508 规定功能安全生命周期的具体技术要求，而 BS ISO/IEC 15026 提供保证案例与完整性等级的一般性框架，可用于表达功能安全论证。两者互补：61508 给出”做什么”，15026 给出”如何论证已做到”。
❓ 问：保证案例需要保持更新吗？
答：需要。系统变更（需求变更、设计修改、漏洞修复）都会影响保证论据，保证案例应随系统演进持续维护与重新评审，否则可能形成”过期论证”，误导安全决策。
答：需要。系统变更（需求变更、设计修改、漏洞修复）都会影响保证论据，保证案例应随系统演进持续维护与重新评审，否则可能形成”过期论证”，误导安全决策。
