软件测试的风险管理及应用

2012-07-18黄碧玲

杭州电子科技大学学报(自然科学版) 2012年5期

黄碧玲

(浙江省电子信息产品检验所，浙江杭州310007)

0 引言

目前我国的软件测试行业与发达国家相比还有比较大的差距，主要体现在软件测试的意识、技术和规范上［1］。像欧美国家的软件业起步较早，成熟度高，开发商对软件质量的控制力度很强。国内软件业起步晚，发展很不成熟，软件测试更是处于弱势地位。国内软件公司中能达到ISO和CMM(能力成熟度模型)高级认证的很少，不规范的软件开发普遍存在，很多方面没有做到标准化和规范化。公司专职测试人员与开发人员的比例集中在1:3—1:5左右，这与国外软件业1:1的比例相差甚远。随着用户对软件质量要求的提高，测试服务体系初步形成［2］。在软件测试过程中，应依靠技术与服务来征服用户，注重测试方法与质量。为了尽可能地减少测试风险，引入风险管理技术［3］。系统的风险管理可以尽早识别项目中蕴含的风险、采取适当的预防措施、制定应变计划，从而消除潜伏的风险因素或降低风险事件发生时对软件项目造成的冲击。

1 风险与测试

1.1 风险概述

风险就是在软件测试过程中有可能发生的某些意外事情，并且在最糟的情况下对测试对象产生巨大的负面影响甚至导致失败［4］。软件测试的风险管理就是对可能遇到的风险进行计划、识别、评估、应对、监控的全过程活动的总称。

1.2 风险与测试的关系

软件测试是一种风险管理策略，它可以用来验证产品是否满足了功能需求［5］。在基于需求规格说明书的测试中，风险和测试之间的关系类似线性关系。即测试任何内容都会降低软件的风险。如图1所示。

但是在实际测试过程中，Pareto的“80/20”理论，即“80%的风险来自于20%的功能”更符合风险和测试之间的关系，因此风险和测试之间的关系如图2所示。

图1 风险和测试的线性关系

图2 风险和测试的曲线关系

从图2中可以看出，测试人员应采取一个更加合理的测试策略以优化工作量的分配，即测试人需要首先关注图中的F区域，从而减少风险［6］，如图3所示:

图3 不同策略下的风险和测试

图3中曲线可以看出，如果测试人员基于风险划分优先级，并将测试工作量首先放在高风险和高优先级的区域，覆盖测试项目50%的风险需要付出的工作量要少得多［6］。

2 风险管理过程

风险管理的目的是通过管理软件开发生命周期中的风险，减少对测试项目造成不利影响的事件发生的可能性。在国际软件测试认证委员会大纲中，风险管理包括风险识别、风险分析和风险控制等3种活动。以国际软件测试认证委员会大纲为例，讨论这3种风险活动。

2.1 风险识别

风险识别应在项目的早期进行，在测试计划开始时就进行测试相关的风险识别，以明晰对项目构成威胁的因素，便于制定规避风险和降低风险的计划及策略。

风险识别过程是将不确定性转变为明确的风险陈述，并以文档的形式记录。根据不同的组织和项目特征可采用不同的风险识别方法。不论是产品风险，还是项目风险，测试人员都可以通过专家咨询、独立评估、使用风险模板、头脑风暴法、检查表法等其中的一项或多项技术进行识别［7］。

2.2 风险分析

风险分析是研究那些被识别出来的风险，确定每个风险的可能性及其严重程度，并得到每个风险的风险级别。

ISO/IEC 9126标准中列出了该质量特性。风险发生的可能性分为5种:非常低、低、中等、高、非常高;风险严重程度分为5种:可忽略、次要、中等、严重、非常严重。

测试人员可以通过定量或定性的方法确定风险的可能性和严重程度。通常来说，定量分析风险比较困难，而定性分析则相对容易。因此测试过程中通常采用定性的方式定义风险的可能性及其严重程度。我们也可以把定性和定量的方法相结合，将风险发生的可能性和严重程度用相应的数值代替，两个值相乘得到一个量化的风险等级，并且与风险阀值相比较。若计算得到的风险级别大于定义的风险阀值，那么需要采取相关的风险应对措施以降低风险级别。