ISO/IEC 15026-1:2015 (CAN/CSA-ISO/IEC 15026-1:15) 系统和软件保证 第1部分：概念和词汇详解

一、标准概况与适用范围

随着系统复杂度的不断提升，安全攸关与高可信系统对保证（Assurance）的需求日益迫切。ISO/IEC 15026-1:2015 是国际标准化组织与国际电工委员会联合发布的系统和软件保证系列标准的第1部分，加拿大标准协会将其采纳为国家标准 CAN/CSA-ISO/IEC 15026-1:15（等同采用）。该标准为系统与软件保证领域提供了统一的术语和概念框架，是所有保证活动的基础性参考文献。截至2026年，该标准已被全球航空、汽车、医疗、核电和轨道交通等行业广泛引用和采纳。

本标准适用于任何规模与类型的系统/软件保证活动，包括新研项目、在役系统升级以及商用现成（COTS）产品的集成。其主要目的包括：

• 统一系统与软件保证领域的基本术语，消除跨行业、跨标准的沟通歧义；
• 定义保证案例（Assurance Case）、保证等级（Assurance Level）等核心概念的语义与结构；
• 为同系列其他部分（如ISO/IEC 15026-2 保证案例框架、ISO/IEC 15026-3 保证完整性等级、ISO/IEC 15026-4 生命周期中的保证）提供基础。

二、主要技术内容与要求

2.1 核心概念定义

标准明确了以下关键术语的规范含义：

• 保证（Assurance）：对系统满足其保证目标（即所声明的安全、可靠、可用性等属性）提供合理论证和证据，以建立信任的持续过程。
• 保证案例（Assurance Case）：一种结构化论证，包含目标（Claims）、论据（Arguments）和证据（Evidence），用于证明系统在特定环境下具备所需属性。
• 保证等级（Assurance Level）：根据系统风险等级或完整性要求而定义的一整套保证严格度要求，决定论证的深度与证据的严格性。
• 完整性（Integrity）：保证案例中证据与论据的可信程度及无缺失、无篡改的属性。

这些术语互通形成了保证领域通用的语言，使得各行业、各学科能够基于一致的理解开展保证工作。

2.2 保证案例的结构

标准将保证案例视为一种结构化论证模型，其基本构造称为 GSN（目标结构表示法） 或类似表示。保证案例通常包含：

1. 顶层目标：系统总体保证声明（例如“系统在所有操作条件下保持安全”）。
2. 子目标分解：将顶层目标按系统功能、模块或风险条块分解为可论证的子目标。
3. 论据：连接子目标与证据的逻辑推理链，说明为何所给证据能支持目标。
4. 证据：来自测试、分析、评审、形式化验证等活动的可追溯数据项。
5. 语境：对系统定义、假设、判定标准等上下文信息的描述。

2.3 保证等级的定义框架

虽然ISO/IEC 15026-3具体定义了保证完整性等级（Assurance Integrity Level, AIL），本部分建立了等级的概念基础：保证等级越高，对论证的完整性、证据的严格性和独立性要求越高。下表归纳了在实际项目中常见的保证等级划分（基于AIL框架）：

三、实施与应用要点

在实际项目中应用ISO/IEC 15026-1的概念框架，通常遵循以下步骤：

1. 定义保证目标：明确系统需要保证的安全、可靠、可用性等关键属性。
2. 确定保证等级：基于危害分析和风险可接受准则，选出适用的保证完整性等级。
3. 建立保证案例：采用GSN或文本模板构建目标—论据—证据的完整链路，并记录假设与语境。
4. 收集并管理证据：确保所有证据可追溯、可重复、可独立评审。
5. 持续维护与评审：在系统变更、运行反馈或认证审查时更新保证案例。

为保证实施效果，团队应具备跨学科的论证能力，并借助专门工具（如AdvoCATE、D-Case等）来管理保证案例的复杂结构。

四、与其他标准的关系

ISO/IEC 15026-1作为基础术语标准，其概念被大量行业标准所引用或兼容：

• IEC 61508（功能安全基础标准）：其安全生命周期和完整性等级概念与保证等级直接对应，且安全案例实质就是一种保证案例。
• ISO 26262（道路车辆功能安全）：要求建立安全案例，其结构与该标准描述的保证案例完全一致。
• ISO 25000系列（软件质量要求与评价）：保证概念可用于论证质量属性的满足程度。
• DO-178C（航空机载软件开发）：其软件验证案例与保证案例理念相通。
• ISO 15026-2、-3、-4：分别提供保证案例框架、保证完整性等级定义和生命周期集成指南，与本部分形成完整体系。

通过ISO/IEC 15026-1的统一术语，不同行业能够在相同的概念层级上讨论保证问题，极大地促进了跨领域的技术交流和标准融合。