一、簡介

　　美國軟件工程研究所(SEI)開發(fā)的軟件成熟度模型和國際標準化組織(ISO)開發(fā)的ISO9000標準系列，都共同著眼于質(zhì)量和過程管理.兩者都為了解決同樣的問題，直觀上是相關(guān)的。但是它們的基礎(chǔ)是不同的：ISO9001(ISO9000標準系列中關(guān)于軟件開發(fā)和維護的部分)確定一個質(zhì)量體系的最少需求，而CMM模型強調(diào)持續(xù)過程改進。當(dāng)然，這種陳述有點主觀性，一些國際標準團體堅持，如果深入地讀ISO9001，而不停留在表面，ISO9001的確解決持續(xù)過程改進的問題。例如，矯正行為可以被解釋成持續(xù)的改進。然而，CMM模型比ISO9001更明確地致力于持續(xù)過程改進的問題。

　　通過將ISO9001的條款映射到CMM模型的關(guān)鍵實踐，下面將說明兩者如何相關(guān)。這種映射基于ISO9001，ISO9000-3，Ticklt(一種使用ISO9001和ISO9000-3的英國指導(dǎo)讀本)和Ticklt培訓(xùn)材料。ISO9000-3是ISO9001的詳細闡述，而Ticklt培訓(xùn)材料幫助解釋ISO9000-3和ISO9001。

　　本文討論下列經(jīng)常問到的問題，包括：

　　·遵循ISO9001的機構(gòu)將處于CMM模型的哪一個等級?

　　·第2(或第3)等級的機構(gòu)可以被認為遵循了ISO9001標準了嗎?

　　·軟件質(zhì)量管理和過程改進能力應(yīng)該基于ISO9001標準還是CMM模型嗎?

　　我們將ISO9001的20個條款映射到CMM模型關(guān)鍵實踐的子實踐層次。誠然，這種分析是主觀性的——其他人可能對ISO 9001和CMM模型有不同的解釋(事實上，對于基于CMM模型評估和ISO9001認證，可靠的、一致的解釋和評估都是一個挑戰(zhàn))——但是幸運的是這里有足夠的客觀性，使得這種分析對于理解ISO9001認證怎樣適用于持續(xù)質(zhì)量改進策略有些幫助。

　　二、ISO9000標準概述

　　最初的軟件質(zhì)量保證系統(tǒng)是在70年代由歐洲首先采用的，其后在美國和世界其他地區(qū)也迅速地發(fā)展起來。目前，歐洲聯(lián)合會積極促進軟件質(zhì)量的制度化，提出了如下ISO9000軟件標準系列：ISO9001、ISO9000-3、ISO9004-2、ISO9004-4、ISO9002。這一系列現(xiàn)已成為全球的軟件質(zhì)量標準。除了ISO9000標準系列外，許多工業(yè)部門、國家和國際團體也頒布了特定環(huán)境中軟件運行和維護的質(zhì)量標準，如：IEEE標準729-1983、730-1984、Euro Norm EN45012等。

　　由于軟件開發(fā)與一般產(chǎn)品制造有顯著的差別，因此必須注意軟件過程的特點，為了表明制造業(yè)和軟件業(yè)的差別，通過下圖給出了兩種產(chǎn)業(yè)活動的形象對比。

　　制造業(yè)：

　　由此可以看出制造業(yè)或硬件的質(zhì)量問題主要反映在生產(chǎn)和儲運過程中，而軟件的質(zhì)量問題主要來自開發(fā)過程。所以，ISO9000國際標準在軟件中的應(yīng)用主要體現(xiàn)在以下內(nèi)容：

　　(1)ISO9001質(zhì)量體系是在軟件設(shè)計、開發(fā)、生產(chǎn)、安裝和維護時的質(zhì)量保證的參考文件。此標準應(yīng)用于所有軟件產(chǎn)品和滿足各種技術(shù)需求的軟件維護活動中。它是評價軟件質(zhì)量的首要標準。

　　(2)ISO9000-3是對ISO90001進行改造后，將其應(yīng)用到軟件工業(yè)中對軟件開發(fā)、供應(yīng)和維護活動的知道文件。

　　(3)ISO9004-2是指導(dǎo)軟件維護和服務(wù)的質(zhì)量系統(tǒng)標準。它指導(dǎo)和支持軟件產(chǎn)品的維護。

　　(4)ISO9004-4是近年公布的很有用的附加標準，是用做改善軟件質(zhì)量的質(zhì)量管理系統(tǒng)文件。

　　另外還有兩個作為評價軟件的標準：(1)ISO9002 適用于評價設(shè)計需求。此標準可以代替ISO9001，作為面向軟件維護而不涉及設(shè)計的，為某些咨詢公司、計算機培訓(xùn)及服務(wù)公司使用的基本標準。(2)ISO9003適用于匯編及測試運行情況的標準。目前已經(jīng)不再使用。

　　三、ISO9001標準條款到CMM模型的映射

　　表1是ISO9001條款到CMM模型關(guān)鍵過程區(qū)域和關(guān)鍵實踐映射的概述。標出強相關(guān)性的列表示相關(guān)性較直接的關(guān)鍵過程區(qū)域和共同特征。標著判斷相關(guān)性的列，包括在確定合理相關(guān)性時，需要一定程度主觀性理解的關(guān)鍵過程區(qū)域和共同特征。

　　表1 ISO9001與 CMM模型映射

　　ISO9001條款 強相關(guān)性 判斷相關(guān)性

　　1、管理職責(zé) 履行的承諾 軟件項目規(guī)劃 軟件項目追蹤和監(jiān)督軟件質(zhì)量標準 履行的能力 實現(xiàn)矯正 軟件質(zhì)量管理

　　2、質(zhì)量體系 實現(xiàn)矯正 軟件項目規(guī)劃 軟件質(zhì)量標準 軟件產(chǎn)品工程 組織工程定義

　　3、合同評估 需求管理 軟件項目規(guī)劃 軟件子合同管理

　　4、設(shè)計控制 軟件項目規(guī)劃 軟件項目追蹤和監(jiān)督軟件配置管理 軟件產(chǎn)品工程 軟件質(zhì)量管理

　　5、文檔和數(shù)據(jù)控制 軟件配置管理 軟件產(chǎn)品工程

　　6、采購 軟件子合同管理

　　7、客戶-供貨產(chǎn)品的控制 軟件子合同管理

　　8、產(chǎn)品確認和追蹤 軟件配置管理 軟件產(chǎn)品工程

　　9、工程控制 軟件項目規(guī)劃 軟件質(zhì)量幫助 軟件產(chǎn)品工程 定量工程管理 技術(shù)改變管理

　　10、檢查和測試 軟件產(chǎn)品工程 伙伴審查

　　11、檢查控制、度量和測 試設(shè)備 軟件產(chǎn)品工程

　　12、檢查和測試狀態(tài) 軟件配置管理 軟件產(chǎn)品工程

　　13、不合格產(chǎn)品的控制 軟件配置管理 軟件產(chǎn)品工程

　　14、矯正和預(yù)防措施 軟件質(zhì)量保證 軟件配置管理 缺陷預(yù)防

　　15、處理、儲藏、包裝、保存和分發(fā) 軟件配置管理 軟件產(chǎn)品工程

　　16、質(zhì)量數(shù)據(jù)控制 軟件配置管理 軟件產(chǎn)品工程、伙伴審查

　　17、內(nèi)部質(zhì)量審計 實現(xiàn)檢驗、軟件質(zhì)量保證

　　18、培訓(xùn) 履行的能力、培訓(xùn)計劃

　　19、服務(wù)

　　20、統(tǒng)計技術(shù) 度量和分析 機構(gòu)過程定義 定量過程管理 軟件質(zhì)量管理

　　雖然ISO9001中的一些問題沒有被CMM模型履蓋，反過來也一樣;詳細程度也有很大的不同：ISO9001的第4部分有五頁;ISO9000-3的第5、第6和第7部分有11頁，而CMM模型超過500頁，但是，ISO9001和 CMM模型之間的相關(guān)性還是很明顯的。

　　如表1所示，ISO 9001條款在CMM模型的關(guān)鍵過程區(qū)域中沒有強相關(guān)性，沒有在CMM模型中解決的是客戶-供貨產(chǎn)品的控制(7)和處理、儲藏、包裝、保存和分發(fā)15)。ISO 9001條款，CMM模型所完全沒有解決的是服務(wù)(19)。ISO9001條款與CMM模型的判斷相關(guān)性具有相當(dāng)主觀性的是矯正和預(yù)防活動。

　　兩個文檔的最大不同是CMM模型明確強調(diào)持續(xù)的過程改進。ISO9001只解決質(zhì)量體系的最小的保證。另一個不同是CMM模型只關(guān)注軟件，而ISO9001有更大的范圍包括硬件、軟件和服務(wù)。

　　兩個文檔的最大相似是它們的底線：“說你想做的;做你想說的。” ISO9001的基本假設(shè)是機構(gòu)應(yīng)該通過質(zhì)量控制活動，歸檔每個重要過程和檢查每個重要過程。CMM模型也強調(diào)文檔化的過程和文檔化的設(shè)計。“按文檔化的程序”和遵循“書面形式的機構(gòu)政策”是CMM模型關(guān)鍵過程區(qū)域的特征。在一個更詳細的層次上，ISO9001的一些條款可以很容易地映射到與它們相當(dāng)?shù)腃MM實踐。因為兩個文擋的結(jié)構(gòu)是不同，所以其他的相關(guān)性映射是多對多的方式.例如，ISO9001培訓(xùn)條款(18)同時映射到培訓(xùn)計劃關(guān)鍵過程區(qū)域和所有關(guān)鍵過程區(qū)域中的培訓(xùn)熟悉實踐。

　　四、遵循ISO9001與CMM模型的關(guān)系

　　乍看，獲得ISO9001認證的機構(gòu)將處于CMM模型的第3或第4等級。事實上，一些第1等級的機構(gòu)也以獲得了ISO9001認證。這種差異的一個原因是ISO9001的高度抽象性，導(dǎo)致審計員以不同的方式解釋。如果審計一個經(jīng)過TickIt培訓(xùn)的機構(gòu)處于第3等級，ISO9001的設(shè)計評估將直接映射到CMM模型的對等評估。不過并不是所有的審計員都對軟件開發(fā)很熟悉。TickIt的優(yōu)點在于它培訓(xùn)審計員理解怎樣在軟件行業(yè)應(yīng)用ISO9001。

　　我們可以注意到：

　　(1)第2等級的大多數(shù)關(guān)鍵過程區(qū)域都與ISO9001強烈相關(guān)。

　　(2)每個關(guān)鍵過程區(qū)域在某些解釋下至少與ISO9001弱相關(guān)。

　　在這個基礎(chǔ)上，一個被評估為第1等級的機構(gòu)可以被認證為遵循了ISO9001。然而，那個機構(gòu)必須具有第2等級的重要過程實力和一定的第3等級過程實力。如果一個機構(gòu)遵循ISO9001的精神，它將接近或超過第2等級。然而，機構(gòu)在基于CMM模型的評估時可能發(fā)現(xiàn)存在嚴重的問題，而在ISO9001審計是卻沒有發(fā)現(xiàn)。

　　雖然SW-CMM模型并不足夠地解決某些特殊問題，一般說來，它包含了ISO9001的關(guān)注點。反過來，卻不正確。ISO9001僅僅描述了質(zhì)量管理體系的最小準則，而不是解決整個過程改進，雖然ISO9001的未來修訂版可能會關(guān)注這個問題。這些區(qū)別已經(jīng)足夠使一個嚴格的映射變得不切實際，但是它們的相似性反映了二者是高度重疊的。

　　五、結(jié)論

　　下面是本文開始所列的三個問題的回答：

　　(1)嚴格遵循ISO9001的機構(gòu)并不滿足CMM模型第2等級的所有關(guān)鍵過程區(qū)域，但它滿足第2等級的大部分目標和許多第3等級的目標。更進一步，因為ISO9001并不關(guān)注所有的CMM模型實踐，一個第1等級的機構(gòu)可能獲得 ISO9001認證。

　　(2)一個第2等級(或第3)等級的機構(gòu)將能被認為遵循ISO9001，但是即使是第3等級的機構(gòu)也需要保證它恰當(dāng)?shù)亟鉀Q了ISO9001關(guān)于分發(fā)和安裝的4.15條款，它還將考慮到ISO90003中關(guān)于所使用軟件產(chǎn)品的6.8條款。如果考慮到這些，處于第2或更高等級的機構(gòu)，將相對很容易地獲得認證。

　　(3)對于軟件過程改進應(yīng)該基于CMM模型還是ISO9001。簡短的回答是一個機構(gòu)應(yīng)該同時考慮兩者，雖然兩者有很大程度的重疊。市場運作需要獲得ISO9001認證;解決CMM模型所關(guān)注的問題，將幫助機構(gòu)準備ISO9001審計。相反，處于第1等級的機構(gòu)如果解決ISO9001所關(guān)注的問題，也可能獲得ISO9001認證，個人認為，雖然兩者都可以單獨使用來設(shè)計一個過程改進計劃CMM模型給出更詳細的指導(dǎo)，這將是一個更好的選擇。

　　在任何情況下，軟件機構(gòu)應(yīng)該關(guān)注于過程改進，建立競爭優(yōu)勢，而不是獲得分數(shù)——不管是成熟度等級還是ISO9001認證。