海上單元集成軟件系統認證標準及其技術背景分析研究*

許大禹，張本偉，劉婉婷，張家銘，李旭陽，杜佳璐

(1.大連海事大學信息科學技術學院 大連 116026； 2.中國船級社海工技術中心 北京 100007)

?

海上單元集成軟件系統認證標準及其技術背景分析研究*

許大禹1，張本偉2，劉婉婷1，張家銘1，李旭陽1，杜佳璐1

(1.大連海事大學信息科學技術學院 大連 116026； 2.中國船級社海工技術中心 北京 100007)

隨著計算機與網絡技術的飛速發展及海洋油氣開發設施的安全可靠性要求不斷提高， 海上單元使用了越來越多的集成軟件系統，軟件質量直接影響集成軟件系統的穩定性及運行能力，由集成軟件系統故障或失靈造成的海上單元停機與事故帶來了人員安全與經濟損失的風險，已成為人們日益關注的焦點。針對上述現狀，國際船級社協會、挪威船級社、美國船級社均制定了集成軟件系統的相關認證標準。文章就集成軟件系統的相關國際認證標準及其技術背景與使用效益進行了簡要分析，旨在對我國制定海上單元集成軟件系統的入級規范提供指導。

海上單元；集成軟件系統；國際標準

1 引言

現今，海上單元(船舶、鉆井平臺等)使用了越來越多的集成軟件系統，如推進系統、管理與自動化系統、動力定位系統、集成艦橋系統等集成軟件系統[1]，海上單元的整體性能容易受到集成軟件系統的影響。通常由軟件故障引起的集成軟件系統故障或失靈只有在海上單元實際運行時才能被檢測出來，且操作者很難及時地發現軟件故障、進而分析故障原因、直至最后排除故障。而系統故障或系統失靈會導致海上單元及附近的船舶、設施等發生重大事故，將會造成不可估量的人員傷亡、經濟損失、環境破壞。另一方面，隨著集成軟件系統復雜度的增加和人員配備數量的減少導致的高風險，以及集成軟件系統項目開發會受到時間和資金的限制。因此，系統開發商和集成商在軟件研發期間應遵循嚴格的質量管理體系程序，檢驗方應根據質量管理體系程序制定合理的測試和驗證范圍，方可保證所開發的集成軟件系統實現設計的功能要求，保障系統的可靠性和安全運行能力。目前，國際船級社協會、挪威船級社、美國船級社等相繼制定了集成軟件系統的相關國際認證指南/標準，而中國船級社還未制定相關認證標準。

本文就國際船級社協會、挪威船級社、美國船級社制定的集成軟件系統的相關國際認證標準進行分析，同時表明使用相關的國際標準能夠在實際中簡化系統軟件集成、縮短海上單元停機時間、降低風險以及改善系統管理，為我國完善海上單元集成軟件系統的認證標準的制定奠定基礎。

2 技術背景分析

目前普遍的共識是，船廠試車時，只要海上單元的集成軟件系統未出現問題，系統即可投入實際使用，這是因為簡單地參照了硬件測試驗收方法，只要硬件通過了船廠測試驗收，系統就可以運行了[2]；另一方面，在集成軟件系統調試時，如果不同供應商之間的系統接口出現問題，問題的解決是十分耗費時間的，且是昂貴的，由于在系統開發的初始階段，不同供應商在制定系統接口的初始規格時未能詳盡考慮與其他供應商開發的系統間的通信問題，導致了產生接口問題。接口問題的出現會導致大量的返工，并且產生關于接口問題的責任由誰承擔的爭議。此外，實際運行時，海上單元有多個集成軟件系統參與運行，海上單元出現問題時也很難界定是哪個供應商提供的系統出現了問題。

現階段，海上單元系統集成商、所有者以及操作者都十分依賴各供應商，然而各供應商對完整的系統卻沒有總體認識，一些供應商只是負責一個或幾個獨立系統的設計與開發，開發結束后對所有者與操作者提供關于系統維護的培訓較少，并且對所開發系統在實際運行時是否按設計運行，缺少跟進工作。另一方面，關鍵的集成軟件系統含有大量軟件代碼，如動力定位與鉆井控制系統各包含500 000行的代碼；軟件的修復與升級文檔缺乏詳細的變更內容、變更原因及對應的測試文檔，同時缺乏軟件版本控制，造成軟件故障頻發，導致海上單元停機時間的增加。海上單元停機是典型的不可接受的商業風險，例如，鉆探設備由于停機造成的損失可能高達500 000美元/d[3]。因此，制定與使用集成軟件系統的認證標準是必要的。

3 集成軟件系統國際標準/指南分析

為了對集成軟件系統的要求更加完善和標準化，2000年，國際船級社協會(International Association of Class Societies， IACS)出版了全面的管理指南，即《船用和可編程電子系統應用的統一要求》[4]，這些要求為系統的硬件和軟件測試及其集成測試補充了額外的詳細標準。

2009年，挪威船級社DNV發布了推薦措施《集成軟件系統(integrated software dependent systems ,ISDS)》[5]，經過修訂后，DNV于2012年將推薦措施升級為標準[6]?！禝SDS》定義了集成軟件系統的設計、建造、試車及運行期間的工作過程中的要求，是一個國際上針對集成軟件依賴系統的可接受的標準。同時，可作為供應商與船東之間的合同參考文檔，也可以作為系統設計者、供應商、船東及監管機構的指南。該標準旨在指導集成軟件支持系統、能源和海洋產業的建設運營，所考慮的系統為海事設施和船舶運行涉及的系統。該標準適用于管理開發海上單元集成軟件系統項目生命周期的進程，同時也適用于管理系統的新建、更新及優化。

2011年,美國船級社ABS制定了《集成軟件質量管理(integrated software quality management，ISQM)》[7]指南。這些指南可用于海上單元的輔助控制系統和設備的驗證與確認。2014年最新修訂的《ISQM》指南包括對控制與自動化系統的軟件的設計、開發、建設、驗證和確認等各方面關于項目參與者的活動與責任的詳細說明?！禝SQM》為集成計算機控制系統的設計、建設與維護等過程的工程管理提供了最佳實踐參考。

3.1 國際船級社協會指南

《船用和可編程電子系統應用的統一要求》根據系統故障后果的影響程度將系統分為：Ⅰ級系統、Ⅱ級系統、Ⅲ級系統。其中，Ⅰ級系統：系統產生的故障不會給人員、船舶帶來危險，不會危害周圍環境；Ⅱ級系統：系統產生的故障可能會給人員、船舶帶來危險，可能會給周圍環境帶來威脅；Ⅲ級系統：系統一旦發生故障就會給人員、船舶帶來危險，破壞周圍環境。測試系統的級別決定了系統軟硬件的測試程度和需要提交審核文檔的數量。

3.2 挪威船級社標準《ISDS》及其參考標準

《ISDS》中，開發集成軟件系統項目的生命周期共分為5個階段：基礎工程階段、工程階段、建設階段、驗收階段、運行階段。每個階段結束后，DNV組織項目各方參加里程碑會議，以便項目進入下一階段?！禝SDS》將整個系統項目的要求作為具體活動分配給項目出資方、系統集成商、供應商以及獨立驗證方，項目階段以及置信級，將活動按邏輯分組形成了11個過程域，分別是需求工程、設計、執行、采購、集成、驗證與確認、RAMS(可靠性、可用性、可維護性和安全性)、項目管理、風險管理、過程與質量保證、配置管理等過程域，各個過程域橫跨多個項目階段。DNV對項目各方負責的活動進行評估驗收，要求項目各方提交活動驗收標準對應的文檔，以便DNV進行審核，DNV對滿足要求的系統授予入級符號。

挪威船級社在定制《ISDS》時參考了國家標準化組織(The International Organization for Standardization， ISO)、國際電工委員會 (the International Electrotechnical Commission， IEC)、電氣與電子工程師協會(Institute of Electrical and Electronics Engineers， IEEE)等發布的關于系統與軟件的相關標準。

3.2.1 ISO/IEC 15288 & IEEE 29148

《ISDS》中的集成軟件系統項目的生命周期制定參考了ISO/IEC 15288《系統工程 -系統生命周期過程(systems engineering-system life cycle processes)》[8]。ISO/IEC 15288為系統生命周期建立了一通用的進程框架，定義了一系列進程以及系統整個生命周期的相關術語，包括概念、開發、產品、使用、支持以及報廢。ISO/IEC 15288所定義的生命周期進程分別為協議過程、組織項目授權過程、項目過程以及技術過程，這4個過程又包含若干子過程；ISO/IEC 15288關注的是軟件、硬件和系統更綜合的過程。IEEE 29148《systems and software engineering-life cycle processes-requirements engineering 》[9]提供了執行ISO/IEC 15288所涉及需求工程的過程指南，涉及的過程包括利益相關者需求定義過程、需求分析過程、其他技術過程中的需求工程活動。IEEE 29148中第6節具體解釋了上述過程包含的活動以及任務，6.1節為需求過程，6.2節為利益相關者需求定義過程，6.3節為需求分析過程，6.4節為其他技術過程中的需求工程活動。

3.2.2 IEC 61508 & ISO 17894

《ISDS》涉及的RAMS，與IEC 61508《電氣/電子/可編程電子安全系統的功能安全(Functional safety of electrical /electronic /programmable electronic safety related systems)》[10]標準一致，《ISDS》提供了在有關海事與能源背景下RAMS要求的指南，IEC 61508中描述的詳細的技術在《ISDS》中進行了適當使用。由于ISO 17894《船用可編程電子系統的開發與使用準則(general principles for the development and use of programmable electronic systems in marine applications)》[11]源自IEC 61508，《ISDS》涉及的RAMS也與ISO 17894保持一致。ISO 17894為船用可編程電子系統的開發與使用提供了一系列強制性原則、推薦標準以及相關指南，其中船用可編程電子系統的產品原則共有11條，船用可編程電子系統的生命周期原則共9條。涉及安全性的原則是原則1及原則2；涉及功能性的原則是原則3及原則4；涉及性能與可靠性的原則是原則5、原則6及原則7；涉及可操作性的原則是原則8、原則9及原則10。ISO 17894中的附錄B對這些原則有具體的指導。

3.2.3 IEEE 828

《ISDS》中的配置活動參考了IEEE828《系統和軟件工程的配置管理(IEEE standard for configuration management in systems and software engineering)》[12]。IEEE 828制定了用于系統與軟件工程配置管理過程的最低要求，提出了配置管理活動的內容、發生在生命周期進程的哪個過程以及所需的計劃和資源，描述了一個配置管理計劃的內容區域。IEEE 828中附錄D詳細介紹了配置管理計劃；配置管理用到的配置項的識別標準；影響配置管理計劃的局限性和假設；配置管理的職責和權限；項目組織；配置管理責任；可適用的政策、指令和規程；計劃的活動、時間表和資源以及配置管理計劃的維護等方面的內容，《ISDS》開發集成軟件系統項目的生命周期如圖1所示。

圖1 《ISDS》開發集成軟件系統項目的生命周期

3.3 美國船級社指南《ISQM》及其參考標準

《ISQM》中，Systems Development Life Cycle(SDLC)是計算機控制系統軟件從開發到報廢的工程計劃過程，包括概念階段，需求和設計階段，建設階段、驗證確認與移交階段、運行與維護階段?！禝SQM》在SDLC的每一個階段，指定給項目參與方要執行的活動，這些活動明確了在每個階段中項目參與方需要擔任的角色及應交付的成果。項目參與者包括啟動系統所有者、系統集成商、供應商、系統用戶、第三檢驗方以及獨立審核組織。所有者是啟動項目并提供資金的組織，所有者可以選擇船舶建造集成商負責交付遵循《ISQM》的控制系統，也可以選擇系統集成商驗證集成系統，或者選擇第三方來驗證集成系統；系統集成商負責開發、設計集成系統；供應商是在系統集成商或船廠的協調下集成系統組件或提供軟件；集成控制系統的用戶是鉆井公司或船員組織，在系統運行與維護階段承擔責任；第三檢驗方可能是系統集成商組織的一部分，也可能是獨立的，具體由所有者指定，第三檢驗方使用閉環、軟件在環、硬件在環或者這3種方法的組合來驗證軟件的開發與集成是否遵循軟件需求說明書、軟件設計說明書；獨立審核組織負責監督各組織(包括供應商)遵循《ISQM》指南的情況，是獨立于系統集成商的軟件開發團隊，在獨立審核活動中協調ABS、所有者和集成商三者。ABS負責審核控制系統開發期間的文檔，監督驗證測試活動，對滿足要求的系統授予入級符號，《ISQM》系統開發生命周期如圖2所示。

圖2 《ISQM》系統開發生命周期

美國船級社在定制《ISQM》時參考了國家標準化組織(ISO)、國際電工委員會(IEC)、電氣與電子工程師協會(IEEE)等發布的關于系統與軟件的相關標準。

3.3.1 IEEE 12207

《ISQM》中的SDLC的制定參考了IEEE 12207《系統與軟件工程-軟件生命周期過程(systems and software engineering-software life cycle processes)》[13]。IEEE 12207為軟件生命周期過程的建立提供了基本框架，包括軟件產品的供給、研發、操作、維護以及配置過程中適用的流程、活動和任務；標準IEEE 12207還規定了技術過程，包括系統架構設計過程、系統需求分析過程、利益相關者需求的定義過程等。系統架構設計過程的活動和任務包括架構的建立、評估。系統需求分析過程的活動和任務包括需求規范、需求評估。利益相關者需求的定義過程的活動和任務包括：利益相關者識別、需求識別、需求評估、需求批準和需求記錄。

3.3.2 IEC 61508 & IEC 61511

《ISQM》中關于系統的可靠性、可用性、可維護性及安全性的要求參考了IEC 61508《電氣/電子/可編程電子安全系統的功能安全(functional safety of electrical /electronic /programmable electronic safety related systems)》標準、IEC 61511《過程工業領域安全儀表系統的功能安全(functional safety-safety instrumented systems for the process industry sector)》[14]。IEC 61508為系統的所有安全生命周期活動提出了方法，為所有安全系統制定合理一致的方針。標準IEC 61508還為E/E/PE安全系統每一個安全功能的安全集成需求指定了安全集成等級，可用來衡量在規定的時間和條件下，E/E/PE安全系統圓滿執行指定安全功能的可能性。共分4個等級，等級四為最高等級，等級一為最低等級，安全集成等級越高，安全系統執行指定安全功能失敗的可能性越低。IEC 61511是作為IEC 61508在過程領域的實現而制定，給出了安全儀表系統的規范、設計、安裝、運行和維護要求，這確保了該系統能把過程置于或保持在某個安全狀態。IEC 61511共分為3部分：第一部分涉及支持部分中的規范性引用文件，定義和縮略語，符合性，功能安全管理，安全生命周期要求，驗證，信息要求，差異，還包括技術要求中的指定整體安全要求(概念、范圍定義、危險和風險評估)，給儀表安全功能分配安全要求和指定安全要求規范，安全儀表系統設計階段，安全儀表系統軟件設計階段，安全儀表系統的工廠驗收測試、安裝、調試運行和安全確認，安全儀表系統的運行和維護、修改和改型、停用或處理；第二部分屬于支持部分，涉及IEC 61511的應用指南；第三部分屬于支持部分，涉及確定所要求的安全完整性等級的指南。

3.3.3 IEEE 1074 & IEEE 14764

IEEE 1074《開發軟件生命周期過程(developing software life cycle processes)》[15]補充了標準IEEE 12207中提出的生命周期過程的實施細節。IEEE 1074基于各組織的任務、目標和資源選擇軟件項目生命周期模型(software project life cycle model， SPLCM)，并管理軟件開發和維護過程。標準IEEE 1074為創建軟件項目生命周期過程(software project life cycle process， SPLCP)提供流程，為軟件生命周期建立普通框架，可以應用于：研發、操作和維護軟件，管理、控制和改善流程。IEEE 14764《軟件工程—軟件生命周期過程—維護(software engineering-software life cycle processes-maintenance)》[16]提供了管理和執行軟件維護活動的過程，定義了軟件維護的活動和任務、維護活動的要求。在維護過程中強調以下方面：軟件產品的可維護性、對維護服務模型的需要、對維護策略和計劃的需要。

3.3.4 IEEE 730、IEEE 829 & IEEE 1016

《ISQM》中的計劃文檔、測試文檔以及軟件設計說明書的規范分別參考了IEEE 730《軟件質量保證計劃標準(IEEE standard for software quality assurance plans)》[17]、IEEE 829《軟件與系統測試文檔標準(standard for software and system test documentation)》[18]、IEEE 1016《信息技術—系統設計—軟件設計說明書(standard for information technology-systems design-software design descriptions)》[19]。IEEE 730幫助決定軟件質量保證計劃(SQAP)的內容，并為這個計劃的準備和評估提供一個標準。該標準為制訂軟件質量保證計劃及軟件的開發和維護提供依據。標準要求軟件質量保證計劃應該由軟件開發單位負責軟件質量保證的機構或個人制定。IEEE 829建立了能夠支持軟件生命周期進程中測試的進程、活動及任務的一般框架，定義了主測試計劃文檔、等級測試計劃文檔、與測試相關的其他文檔等的內容與使用。IEEE 829的內容包括條款、圖、表格及附錄。IEEE 1016描述了軟件設計以及一個軟件設計說明書，它的第4章給出了設計觀點、設計視圖、設計原理等，第5章給出了設計視角，這個設計視角包括：背景、組成、邏輯、依賴關系、界面、結構、算法、來源等。

4 認證標準使用效益

4.1 可簡化軟件集成

軟件是海上單元系統運行的關鍵。在海洋工程中，對于鉆井等生產系統而言，遵循相互獨立的軟件集成過程，可改善系統之間的可靠通信速度。本研究第1部分中的集成軟件系統相關認證標準提供了一種在設計過程開始時就制定接口規范的方法，這樣，在軟件研發階段就能夠盡早發現軟件問題，在開發階段可以采取有效方案來解決該軟件問題、管理項目和進度風險；另一方面，驗證軟件集成活動的計劃、執行和維護是否是根據最佳實踐過程實施的，能夠進一步降低接口數量，簡化軟件集成。

4.2 可縮短停機時間

造成海洋工程設施停機的諸多原因中，集成軟件系統中的軟件漏洞和軟件故障所占比重較大，在項目開發中使用相關認證標準，可以最大限度地降低軟件漏洞對項目進度的影響，而且可以避免預算超支。另一方面，使用集成軟件系統的相關認證標準還可使得軟件的測試更加全面，能夠保證在軟件調試之前就可檢測到軟件漏洞，并加以修復；在系統運行過程中，可使軟件升級變得方便，而且有助于縮短由于軟件沖突導致的系統停機時間。

4.3 可降低風險

軟件驗證包括使用一系列測試用例和運行該軟件來發現軟件代碼中的錯誤，由于不同的軟件供應商有各種要求和內在的限制，這使得尋找修改代碼錯誤的有效且具體的方案尤為必要。關于軟件漏洞與錯誤的統計資料表明，相比軟件開發過程中檢測到的軟件自身的功能性問題，調試期間的軟件更新會引入更多不可預知的錯誤。遵循集成軟件系統的相關認證標準有助于軟件系統高效、無間斷的運行，滿足海上單元對于集成系統安全性、可靠性和運行效率的要求，從而可降低海上單元由軟件故障造成的風險。

4.4 可改善系統管理

集成軟件系統試運行期間軟件質量的維護具有挑戰性，由供應商制定的軟件更新、軟件補丁通常會將錯誤引入系統，并引起操作問題。集成軟件系統的上述相關認證國際標準/指南為系統提供了一種供應商軟件更新的管理方法，該方法可以根據集成軟件系統的上述相關認證標準的要求開發文檔，判斷軟件升級是否與其他集成系統存在潛在的沖突，進而降低軟件質量管理的成本，同時可改善系統的管理。

5 結論

集成軟件系統在海上單元中的使用越來越普及，由軟件故障導致的系統故障，進而造成的海上單元停機或其他事故已成為亟須解決的問題。本研究分別對國際船級社協會、挪威船級社、美國船級社發布的集成軟件系統的相關標準進行了簡要分析，表明了制定與使用相關集成軟件系統的認證標準，能夠幫助船廠、船東與供應商等，在系統軟件設計、建設過程中及運行階段，更好地對系統進行開發、測試與維護，對完善我國海上單元集成軟件系統的入級規范具有一定的指導意義。

[1] S?RENSEN A J.A survey of dynamic positioning control systems[J]. Annual Reviews in Control,2011,35:123-136.

[2] SKJETNE R,EGELAND O, Hardware-in-the-loop testing of marine control system[J].Modeling, Identification and Control, 2006,27(4):239-258.

[3] LARSEN W.Dropping downtime [EB/OL ].(2010-10- 25) [2015-03-05].http://www.oedigital.com/technology/automation/item/222-dropping-downtime.

[4] MICHAEL J.Roa, Milton Korn ABS guides for integrated software quality management (ISQM) and systems verification (SV) [EB/OL] .(2013-05-28) [2015-03-05].http://www.navalengineers.org/ProceedingsDocs/IntelligentShips/ISSX/B1_Roa_Paper.pdf.

[5] 挪威船級社DNV. Integrated Software Dependent Systems[S].2012.

[6] 船級社動態.DNV推出新版ISDS標準[J].船舶標準化工程師, 2013(4):6.

[7] 美國船級社ABS.Integrated Software quality management[S].2012.

[8] 國際電工委員會.IEC 15288《系統工程 -系統生命周期過程(systems engineering-system life cycle processes)》[S].2008.

[9] 電氣和電子工程師協會.IEEE 29148《系統與軟件工程-生命周期過程-需求工程(systems and software engineering-life cycle processes-requirements engineering)》[S].2011.

[10] 國際電工委員會.IEC 61508《電氣/電子/可編程電子安全系統的功能安全(functional safety of electrical/electronic/programmable electronic safety related systems)》[S].2010.

[11] 國際標準化組織.ISO 17894《船用可編程電子系統的開發與使用準則(general principles for the development and use of programmable electronic systems in marine applications)》[S].2011.

[12] 電氣和電子工程師協會.IEEE 828《系統和軟件工程的配置管理(IEEE standard for configuration management in systems and software engineering)》[S].2012.

[13] 電氣和電子工程師協會.IEEE 12207《系統與軟件工程-軟件生命周期過程(systems and software engineering-software life cycle processes)》[S].2008.

[14] 國際電工委員會.IEC 61511《過程工業領域安全儀表系統的功能安全(functional safety-safety instrumented systems for the process industry sector)》[S].2009.

[15] 電氣和電子工程師協會.IEEE 1074 《開發軟件生命周期過程(eveloping software life cycle processes)》[S].2006.

[16] 電氣和電子工程師協會.IEEE 14764《軟件工程—軟件生命周期過程—維護(software engineering-software life cycle processes—maintenance)》[S].2006.

[17] 電氣和電子工程師協會.IEEE 730《軟件質量保證計劃標準(IEEE standard for software quality assurance plans)》[S].2002.

[18] 電氣和電子工程師協會.IEEE 829《軟件與系統測試文檔標準(standard for software and system test documentation)》[S].2008.

[19] 電氣和電子工程師協會.IEEE 1016《信息技術—系統設計—軟件設計說明書(standard for information technology-systems design-software design descriptions)》[S].2009.

中央高校基本科研業務費專項基金資助項目(3132014332)；工信部項目“海洋工程裝備設計建造標準體系頂層研究”(工信部聯裝〔2012〕534號).

P75

A

1005-9857(2015)12-0068-06