软件的配置管理

yuanye318

GB/T19001-2008 IDT ISO9001-2008质量管理体系要求标准的7.6中有这样一段要求：

# f: ^8 B6 S7 y7 t6 ~/ O“当计算机软件用于规定要求的监视和测量时，应确认其满足预期用途的能力。确认应在初次使用前进行，并在必要时予以重新确认。

注：确认计算机软件满足预期用途能力的典型方法包括验证和保持其适用性的配置管理（技术状态管理）。”

这一段要求是一个审核难点。

其一，需识别和确定哪些计算机软件是用于产品规定要求的监视和测量的计算机软件？

其二，原来GB/T19001-2000标准中没有“注”时，对如何确认“用于规定要求的监视和测量的计算机软件满足预期用途的能力”不好理解和操作。人者见仁、智者见智。有：

A)说：是按照所用计算机软件的使用说明书安装后对产品作模拟测试，如能满足说明书给定的功能则可以确认它的能力；

B)说：是用该软件去测量预期测量的产品，如产品交付被客户放行，则能满足要求。

总没有一个可以被大众接受的确认方法。

GB/T19001-2008
0 L4 {% o# J1 g3 v! r( sidt
ISO9001-2008 新标准在“注”中给出了两个确认方法：

1)是：通过验证计算机软件满足预期用途能力来确认。也就是我们已经认识并在用的A方法；

2)是：保持其适用性的“配置管理（技术状态管理）”。

但什么是计算机软件的“配置”？如何“管理”？“技术状态和技术状态管理”又指什么？很多非计算机专业的审核员就不熟悉了。

为了帮助这些同仁理解标准的这一要求，笔者借公司这一份不定期刊物，抛砖引玉，作些说明。

一、计算机软件的配置管理主要依据：

1）GB/T 12505-90《计算机软件配置管理计划规范》 （Specification for computer software configuration management plan ）实施的。也可作为非计算机软件企业对计算机配置管理的依据。

2）GBT 19003-2008 /ISO/IEC90003:2004《软件工程
GB∕T19001-2000应用于计算机软件的指南》.

   二、计算机配置管理的内容：

计算机软件的配置是英文“software configuration”的意译。

技术状态管理就是对计算机软件的配置管理（configuration Management）。

即是：一种应用技术和行政的指导和监督的规则（discipline）.用以识别某一技术状态项目（configuration
6 U: L# t- p# q5 m' ~item）的功能特性和物理特性并形成文件，控制对这些特性的更改，记录并报告更改，过程和实现情况，以及验证与规定的要求的符合程度。

计算机软件的配置管理包括：

版本管理、配置支持、变化管理、构造管理、过程支持、团队支持、状态报告、审计控制。逐个表述如下：

1、版本管理
, g  A4 A; u; ]; M5 r8 |


1.1 软件配置项(software configuration item)：

3 `, N9 E% T; U/ `; T6 h

2 t/ v" m% ?4 e! u& W- [/ U. k
含义：在“软件生存周期”（包括：产品概念、定义、开发、生产、运行、维护以及（如果需要）处置中的过程、活动及任务的产品生命周期）内所产生的各种应纳入管理范围的系统构成成分。

3 B, u* r' J4 f' g
' Q- d5 `  U, M

包括各种管理文档和技术文档，源程序与目标代码，以及运行所需的各种数据等（配置管理的资源对象）。
7 t  m& b+ X5 x( o
% v6 @5 P1 e$ X3 Q* X7 o
% g$ X; t7 a2 B. z8 t
- `& W2 q8 M+ i! T% ]) v9 r
形态：在通常的软件配置管理系统中，最基本的软件配置项是以磁盘文件的形式进行存放和管理的。

- K# @- g: K) T2 D8 h. G9 V* j
5 K7 p6 E' w) `6 k* {! e! A+ X- V
1.2 版本管理是配置管理的基础：

# K4 P. {4 N/ ~
: v9 u( r5 f- P, S- X9 P& D
5 E$ @7 A$ C) k* A0 W1 W4 y# o- @
) r/ w# f  u7 m6 I应当记录每个软件配置项的所有历史记录，并记录该软件配置项由何人创建，何人在何时因何原因进行了修改等信息，以及对这些软件配置项版本的进行的检索和信息查询等活动。
1 l+ Q) K; {5 U" T4 t" u
1 g& Y: I' p4 f' Y& b

1.3 版本树：
1 F! z8 u6 L6 _$ C9 i5 _6 X


! l5 J% [- p% A( @7 v2 R可以对软件系统的不同演化方向进行管理。
: z- x7 W3 m" o6 ~( S) K' M

/ l* j" \  ^7 J2 t9 t6 [
1.4 软件配置项的版本管理——版本数

& J* T' B( h1 f5 X: f6 P$ z

记录一棵带有时间标记的配置项版本演化的树结构信息。

7 S% y6 K. d, a! a2 ^2、配置支持



" T; h! S1 l( }% l9 a5 q3 ]: U2.1 软件配置(software configuration)：


/ v" Y3 K4 n& R2 e: J1 Q$ [! M0 u
所有软件配置项在不同时期的组合、结构与关系定义。
1 [  N  _0 o1 y: w
, x# ]& }3 c3 |9 _

0 a2 ^; g+ {* d8 M# @& a' g2.2 系统建模

" J2 w) F- {; s* W9 N, v: O
* _; r) N  t& @* }4 a2 q: U
通过定义配置来表示整个系统或其中的子系统。
% W% [( P, p# q/ X0 E6 b4 g/ n; ~
) Y9 H: F/ a  _# y
6 F; S* P9 L- _  v
2.3 依赖性追踪
% z) A* H: h8 p1 O
$ F' p: q; x+ Y; h

例如：查找与某个源文件版本对应的设计文档的版本。
7 P1 T( i7 y9 ]- V7 g


1 R) i! c7 V" c1 u* I! E2.4 影响分析


! J; z" h5 X' c  Z3 H

$ i4 Z! A& I' J分析对系统一个部分的修改可能影响哪些其它部分。
% K# [, G; b5 j/ \
3、变化管理
0 r! l, d# }9 Q9 j3 _1 M
4 M, R8 d! m  x7 E9 {4 I

3.1 变化：软件版本演化的来源与过程

$ b2 i$ Q4 Y& y. u% J* a( g& r+ z, l
1 @* F- e5 d% W' j" L

0 b4 m% x) K* M来源：需求变化、增加功能、修改错误
4 ^* r% e0 z" Y4 E3 v$ [……
2 G% k1 m+ m( l. C, v( F4 w: {0 t, t


: Q' X3 a+ L. `2 c1 j9 z
, D# A3 Y$ l" l! }: B$ e; X. j2 y
4 _9 W7 W) b$ P" Z: D( ]


0 z$ Y/ z9 ~6 w6 g7 I' t( g# }生命周期：请求、审批、实施、验证、审核、结束。
+ H; w. \4 R  U) K  K
8 x, i) ?4 U5 a; J- w1 ^

3.2 变化控制


( ~2 [9 ^- E  I+ r6 _

记录和控制对软件配置项的每一次修改。



* E, ~6 E( m0 P" C3.3 变化跟踪
4 v1 H: C4 X8 X8 o+ D3 |( f4 U4 g& T

& n3 _! }; t6 e' Y  B

一个变化生命周期进行到哪一步了？
& A: I% m$ ?; F' f' ]$ |! h
- ]' c% a' y% C6 D% A2 {1 ?8 a
8 h7 ~8 \; E, N8 a9 _
. `* [4 x, a+ A5 v( |& a1 U, a
+ ~* d( h9 A. N0 i5 M* X: _如果一个已经改掉的bug又出现了，怎样找出原因。



/ u9 c7 `) O+ w! r4 r# B5 `3.4 变化传播
& F& C# ]+ ]6 ^
- D6 K% B3 N: p


: P- c2 N& B+ f! g帮助将对产品一个版本的修改传播到其它版本中。
2 I( n* Y# D( ^% N5 w9 v. o/ O
0 i+ s0 Q# S3 `( M/ \4、构造管理（Build）
2 h* m; ^$ r0 \4 ^( K6 }

3 |! @/ B5 d( |% b
4.1 系统的构造和重新构造（Build）

; `( o7 i4 J. I3 c& P$ x: H
) l1 M, P: T4 l" D1 L% V$ N
, [4 e; A. q3 K2 x7 T帮助开发人员正确和快速地构造和重新构造产品的任何版本。
6 H* \* X; V. ]- \


4.2 软件发布管理（Release）


$ l4 W5 u8 y. [+ l
- n( _5 L! O' H; T8 [4 T为不同的用户提供不同的版本，避免其中发生混乱。



4.3 软件部署管理（Deployment）

5 ?% S$ d1 N) c. K4 c: n; a

9 H8 v6 D6 ?; F2 E5 ]+ A0 `: m
帮助在分布式环境中部署整个系统。
% l6 U; Q7 v! t! [/ d3 ]& f5、过程支持
  E# `/ s2 @& p8 }, N
4 L' b9 U- X6 W, E! K6 v
: P" y2 A( D, Y+ s9 Z
5.1 过程控制
$ B; o" i! S4 n+ v

% {, s- ]% F: x% e
5.2 预定义的过程模版 和 可剪裁的过程实例



- M# n) n1 w/ @6 v
0 o6 F3 x0 Q) [/ ^可定义过程，并保证过程中定义的每一步均由授权的人员按正确的顺序执行。
5 M$ r, X( p/ q9 v# v, s: V1 G
4 _+ v: }/ t# o6 B0 ~

5.3 过程支持中的关键概念



6 }# ^4 R2 `" V7 w6 y! {' N; l
包括：角色、工作组、任务、触发器机制等。
+ k7 M: r2 T! |8 B! K( U, f) u
/ C1 o' C+ H5 p0 Q% ]( [+ K; ~* \6、团队支持
* ]1 ?; U4 z, D
4 M: F& a% C& |2 W: ]6 l* o! Z- Y5 A
! q! I! |. C( F- q" n6 C
% @, @" O/ G, h# j, Z7 a6.1 工作区管理


0 O" R# k0 [  }% {- P
$ a1 Y) p/ G1 c) J5 F, H' g
/ e+ d, R2 j, I+ \2 _% y不同的开发人员拥有独立的不相互影响的工作空间。
1 E7 o9 V2 |) j; e1 _+ O9 |2 H) P
. e9 q6 D, [; m3 W; c
5 B9 F+ p/ u" X: ^
6.2 并行开发


$ u0 N# t: P$ X3 T. t9 y. H  f
' Z" }9 S  u; |+ Z) n9 [8 ]
( r% q' ^2 X+ D* x8 C支持多个开发人员同时开发一个项目。



1 h- e- Z7 S- X! n9 ^8 o* b" T6.3 远程开发


$ |/ v- i/ {4 I8 Z. F

9 [5 ^. j! f- K开发人员在物理上可以分布在相距较远的位置上。
# n/ U% v; t" i) n
7、状态报告

. ?* K8 }; l; ]/ I2 H0 C6 N
  U! \6 f% ^2 N% e  g7 |
* H- i0 a9 y; _  `7 [/ Y
: _& z$ ]. x; K依赖性报告
7 b4 l  P6 P3 ^. C7 O1 l% T" h. h
' H3 {( I( Y/ t6 i8 }$ D


8 t3 H. N1 @: C" f影响报告
5 T& P7 }/ q) T% F
$ e3 C- d( P, I  u( e( i

, ]( b8 p% V5 p% p( {, @- \
构造报告
. t) m9 P! P- x' p( F5 Y
9 ?% x) C: x" S


变化状态报告
: d" ?+ Y1 ^$ Z0 R- ]" E+ o- k2 e4 i

) @1 x( Y: }2 I$ p' F

差异报告


) B& E$ O5 v8 v& ~
/ w) y0 z+ c+ V! p3 K1 _
: T: l  ~5 g) A- f+ Q3 D" B- |% v历史报告


9 _. y# x7 D1 G  r1 q1 Y! a
) K8 \2 n. z: b' C; y9 J
% \4 R5 Q) s+ \  H6 f2 v访问控制报告

8 K* Y% |2 U. w) q  H

' t9 b, r0 s$ N* a+ v2 k
. n5 g1 Q5 z( F) c+ m冲突检测报告

8、审计控制
, J$ O, s+ p: {7 `$ _% ?( R: a( j
% U1 e0 w' k# k- ~' E  y' c0 S3 v

8.1 验证软件配置管理过程
  w" [: \. E# H. a: }" h/ |3 s1 E


8.2 验证系统管理的所有配置项的完整性
% I* T2 q7 _% d* _
9 w* S7 L: c/ w& |
1 p& G' g! Q! y; t' a0 s
; n0 R( S8 _8 i; t) P6 r" l6 p: ^8.3 基本的审计控制是记录配置管理过程中执行的所有活动，并提供检索机制—日志

三、识别计算机软件和明确定期验证要求:

通常，校准技术被认为不能直接应用于软件，但是可以用来测试和确认软件的硬件和工具。因此，
可以理解为GB/T19001-2008 7.6 中的a)至c)项可以适用于用来测试软件的环境。如果组织在为验证软件产品是否符合规定要求进行的测试时使用工具、设施和技术，在批准使用这些工具、设施和技术时应当考虑他们对软件产品质量的影响。此外，在使用前可以讲这些工具置于“配置管理”中。

尽管“进行调整或必要时再调整”（GB/T19001-2008 7.6 中的C）不适用于计算机软件，但仍然可能需要定期验证在测量装置中使用的软件不会因为病毒或电磁场等恶劣环境而发生变化。

测试工具、技术和数据的适用性应当在使用前得到验证，以确定是否需要对其进行改进或升级。

组织应当具有程序以确定如何对测试产品进行检查。

在产品开发、测试、维护和运行中所采用的计算机软件装置通常有：

1）用于测试产品的数据具有一些特定功能的独立的计算机软件；

2）在测量设备中的嵌入式计算机软件，用于规定产品的模拟、性能数据采集、资源利用和内容信息的测量；

3）组织自己编制的用于机电一体化产品性能、功能测试的计算机软件；

4）在信息系统或集成网络系统中用于将软件与硬件进行连接，并测试其性能功能的计算机软件；

5）用于分析软件产品缺陷和计算机软件性能、网络流量、在线监控、管理的计算机软件。

组织通常可以建立《配置管理计划》来对这些监视测量用计算机软件的控制。《配置管理计划》应包括：

1）技术状态管理活动的标识和范围；

2）技术状态管理工具；

3）技术状态管理方法和形成文件的程序；

4）委派给他们的组织职责；

5）每一个技术状态项目需要的控制水平；

6)将各个项目置于技术状态管理下的起始点。

emeipengxu

欢迎yuanye318老师加入我们的学习团队。好多大家讨论得面红耳赤的问题请专家多指教。对我来说，看到你格外亲。因为都是四川人，都喝岷江水长大的。成都我也生活工作过，亲戚一大堆，常去。I'm from Mt. Emei.

按我以前接触过几家工厂的现场审核，有测量用的软件，但审核员几乎不过问这个问题，工厂也没有准备软件的确认资料。双方好象都忽略这个问题。我想可能是涉及软件技术，专业性太强导致。

! ~3 K* j) H0 w. r) X1 K( p6 R我目前的工厂对测量软件的确认是这样的：实验室每次测试前，有个自校过程，保留自校记录。
4 i* _" J0 j/ N/ u8 [不知对否？请指教

wxsunhao

现在计算机软件用于测量的情况非常多。比如我们常见的三坐标测量机等。现在有许多审核员对这一块不是很熟悉，要学习新情况，了解新知识。
: N* S0 N/ L* r5 A感谢楼主提供的资料

yuanye318

emeipengxu 朋友：最近几天很忙。看了您的评论没有及时回复你。很是对不起！非常希望与您交朋友。
    你所说的“按我以前接触过几家工厂的现场审核，有测量用的软件，但审核员几乎不过问这个问题，工厂也没有准备软件的确认资料。双方好象都忽略这个问题。我想可能是涉及软件技术，专业性太强导致”问题，恰好反映出认证界的一种悲哀。大多数审核员不懂计算机软件，甚至不懂计算机操作。我就职的一家认证公司有一名具有“33”类（信息技术）专业小类的所谓“认证决定人员”托我帮买一台笔记本，连计算机主频、CPU、内存都不懂，叫人苦笑不得，何况其他？
, }0 v+ X$ Q$ |) k0 m. S9 I     2008版标准在6.3基础设施中新增加了“信息系统”要求，有位培训老师给学院讲课说是：可能是计算机普及了，所以标准增加了“信息系统”要求，肤浅得如此地步。
这位培训师就没有想过：
2 v4 N9 S# E0 N! ~    6.3增加了“信息系统”，在整个质量体系的持续保持和改进中可能引发的诸多要求：
6 A( I" f+ b( e    1）“信息系统”是由哪些部分组成的，是否包含计算机硬件、软件、网络和它们承载的“信息”；
    2）“信息系统”如何维护保证满足产品要求。就像基础设施维护保养要"满足产品要求"一样？
    3）“信息系统”中的信息在质量管理体系中是否起到支撑性作用，甚至是体系有效运行的客观证据？
    4）“信息系统”中的“信息”如何控制？这些“信息”是否是“文件”和“记录”的重要组成部分？因其（计算机信息）的易修改、易复制、易受攻击和不易控制等特点对它的编制、评审、修改、批准、COPY、备份、防病毒、放泄密等是否不同于纸质文件的控制？
    5）“信息系统”中的信息在体系的7.5.1e),8.2.1，8.2.3,8.2.4,8.3,8.4和持续改进中会有哪些体现？如何应用于组织的PDCA循环之中？
    6）“信息系统”中的软件是否有用于产品要求的测量的？如有，该如何按标准要求对其“技术状态（配置）”和“预期的测量功能”进行“验证”？
    7）如组织有完备的“信息系统”，对该系统的维护有关的管理人员（网络管理员、软件编程人员、多媒体制作人员、计算机维护修理人员）的能力要求是否该作新的策划和确定？（国家已经有这些人员的《职业鉴定标准》）
    8）对已经依赖“信息系统”完成生产调度、组织、经营活动的组织，内部“信息”代码如何统一管理，“信息流”该如何控制？“信息”如何共享？
# _. V1 A+ Q0 x% O    诸多问题就出来罗。可我们的N多认证审核员尽然“麻木不仁”。对“信息系统”不知所云，对计算机软件的控制不知所云！岂不可悲，可叹！？？？？
    长此下去，“认证”如何能真正和国际接轨？当今世界已经是一个信息化，信息爆炸的时代，再不理解这些问题，还是仅仅将认证审核停留于“文件审核”或做文字游戏，而不从技术上、产品质量上、专业方面下功夫，从深层次方面提高整个认证的质量和水平，我们目前的“认证”会越来越流于形式，认证证书的含金量会越来越差。“认证”可能会像早年“产品评优”一样“寿终正寝”可以休矣！！
     
8 t3 @% k0 {1 U1 O0 O
  p" f1 w: x" s& V. `" r8 I( c- q    你们工厂如有测量产品要求的软件，我认为：按标准要求的确认只需1）规定该软件的管理方法。包括配置（技术）状态--版本、生成时间、如何保持记录？如何“验证”？验证的频率？然后按规定的管理方法对该软件的“配置状态”进行记录和控制，对该软件的测量功能进行“验证”，保持记录皆可。
! E4 m1 y2 h1 b6 X9 y; c! e/ @如软件的版本有升级、修改，应重复上述活动。
    仅供参考。
0 u9 h& c1 w' F5 d6 s! A    欢迎交流。