UML软件工程组织
北京火龙果软件工程技术中心
软件系统安全性风险评价（中）
51CMM.COM原创 作者：何云
定性风险评价篇
安全性风险评价方法可分为定性与定量两大类。
定性风险评价主要包括风险评估指数法RAC（Risk Assessment Code）、总风险暴露指数法TREC（Total Risk Exposure Code）、直接风险评估法SCRAM（Short-Cut Risk Assessment Method）等。其主要特点是对危险的可能性和严重程度不做精确的数值分析，而是大致将其划分为一些等级，然后把这两者用不同的方式综合起来衡量风险的大小及重要程度，并按大小和重要程度对风险进行分类排序，最后分别对不同种类的风险采取不同的措施，确定是接受风险还是改进设计、改善材料工艺、改变工作流程、加强人员培训以减小风险。
1.风险评估指数法RAC
RAC是定性风险评价最常用的方法，它将决定危险事件的风险的两种因素（即危险严重性和危险可能性），按其特点划分为相对的等级。不同的行业和部门可能有不同的划分方法，但一般说来，可能性等级通常分为5级，分别为：A（频繁）、B（很可能）、C（有时）、D（极少）、E（不可能），严重性等级通常分为4级，分别为：Ⅰ（灾难性的）、Ⅱ（严重的）、Ⅲ（轻度的）、Ⅳ（轻微的）。等级的具体划分见下表：
表1 危险事件的严重性等级表

等 级

 等级说明

事 故 后 果 说 明

Ⅰ

灾难性的
人员伤亡或系统报废

Ⅱ

严重的
人员严重受伤、严重职业病或系统严重损坏

Ⅲ

轻度的
人员轻度受伤、轻度职业病或系统轻度损坏

Ⅳ

轻微的
人员受伤和系统损坏轻于Ⅲ级
表2 危险事件的可能性等级表

等级

 等级说明

个 体 发 生 情 况

总 体 发 生 情 况

A

 频繁
 频繁发生
 连续发生

B

 很可能
 在寿命期内会出现若干次
 频繁发生

C

 有时
 在寿命期内可能有时发生
 发生若干次

D

 极少
 在寿命期内不易发生，但有可能发生
 不易发生，但有理由可预期发生

E

 不可能
 很不容易发生，以至于可以认为不会发生
 不易发生，但有可能发生
给这两种等级的每种组合方式赋以一个定性的加权指数就形成一个评估指数矩阵，而这些加权指数就是风险评估指数。通常将最高风险即“A”和“Ⅰ”的组合情况所对应的指数定为1，最低风险指数定为20。表3是最常用的评估指数矩阵。
表3 风险评估指数矩阵
严重性等级
可能性等级

Ⅰ

Ⅱ

Ⅲ

Ⅳ

A

1

3

7

13

B

2

5

9

16

C

4

6

11

18

D

8

10

14

19

E

12

15

17

20
在评价过程中，可能性和严重性的等级数都可以根据实际情况加以变动，例如可以把可能性指数改成4，严重性指数改成3，从而评估指数矩阵也变成了4×3阶矩阵。风险评估指数的划分也有一定的随意性，但是必须保证其划分能区别各种风险的档次，以利于风险的决策，因此需要根据具体对象制定。 不同的指数对应不同水平的风险，不同的风险对应不同的决策结果，对风险类别的划分方式也称为风险接受准则。通常指数1～5为不可接受的风险，6～9为不希望有的风险，需由定购方决策，10～17为有控制接受的风险，需经定购方评审后方可接受，18～20为不经评审即可接受的风险。评价完成后应按指数的大小进行风险排序，形成风险报告。风险大的危险应采取控制措施以使其风险减小到可以接受的程度。
2.总风险暴露指数法TREC
RAC的缺陷是评估指数的制定主观性太强，对指数的划分过于粗略，有时也没有反映结果损失的严重程度。TREC是RAC法的一种改进形式，它把RAC法进行了一定程度的定量化，指数划分更为细致，并将损失大小化为货币表示，用暴露指数来代替发生可能性，使定性风险评价更加精细。
TREC中的严重性分为10个等级，以货币计算，通常从最小100美元以下到最大1010美元以上，每一严重性等级的尺度以一定大小的次序递增，可以评价较宽范围的损失。严重性指数的划分详见表4。
表4 严重性指数

严重性指数

范   围 （元）

平均值（元）

10

>10×109

5×1010

9

（1～10）×109

5×109

8

100×106～109

5×108

7

（10～100）×106

5×107

6

(1～10）×106

5×106

5

100，000～1，000，000

5×105

4

10，000～100，000

5×104

3

1，000～10，000

5×103

2

100～1，000

5×102

1

<100

5×101

暴露指数的大小则是用单一危险事件的概率（通常用每100，000暴露小时所发生的事件数表示）乘以寿命周期内总暴露小时的估计值和该系统生产的总量。暴露指数也划分为10个等级，详见表5。指数1表示在装备寿命期内危险事件导致一定程度事故发生的可能性估计值低于10-5，即100，000次中发生次数少于1。指数10则表示在装备寿命期内危险事件导致一定程度事故发生的可能性的估计值大于1000。
表5 暴露指数

暴露指数

范    围

平均值

10

＞1，000

5×103

9

100～1，000

5×102

8

10～100

5×101

7

1～10

5×100

6

0．1～1

5×10-1

5

0．01～0·1

5×10-2

4

10-3～0·01

5×10-3

3

10-4～10-3

5×10-4

2

10-5～10-4

5×10-5

1

＜10-5

5×10-6

得到严重性指数和暴露指数以后，二者相加即得到总风险暴露指数TREC。如当严重性指数为4，暴露指数为8时，TREC则等于二者的和12。总风险暴露指数可用于表示装备寿命期内与其有关的货币损失。由TREC可以得到以下几个信息：总风险暴露TRE、年风险暴露ARE、单位风险暴露URE、风险暴露比RER，其计算方法如下： TRE = 5×10（TREC-5）
ARE = TRE／设计寿命
URE = TRE／产品数
RER = TRE／总投资
以上参数直观地给出了风险值与产品数、产品设计寿命、产品投资等指标的关系，使决策人员对风险的大小有了更明晰的概念。
TREC已经对定性风险评价作了一定程度的定量化，它的准确程度依赖于输入数据如故障率、暴露率、设计寿命、系统中该产品的数量等的原始估计值。
3.直接风险评价法SCRAM
直接风险评价法SCRAM也是一种定性风险评价方法，在设计的各个阶段都可以使用它来进行风险评价。
在SCRAM中，风险的大小用风险率（Risk Rate）来表示。风险率定义为可能性L和严重性S的函数。L是在给定时间内或在特定的环境中某一特定不期望事件的发生率，用频率单位（1／年）表示。S用指数的形式表示，其值可按表6查出。风险率的估算公式如下：
风险率＝L＋S
在公式中，L为发生频率的指数值，大小为负数。
SCRAM方法中的风险接受准则是风险率必须小于等于0。
如果发生频率是10－2，则L =－2，若S＝3，那么风险率的大小就是1＞0，这个风险就是不可接受的，需要进一步采取措施减小风险率。
这种方法还有一些变种，有的是把可能性和严重性划分为1到10之间的数，再相乘来表示风险率的大小，有的只是简单地加上相应的范围。这些方法的优点是直观，风险排序数的值越大，就越需要对该风险作进一步的分析研究。
严重性分类
严重性的分类基于对特定类型的伤害和损毁的考虑。以化工厂为例，其形式有：致人死亡或受伤；对环境的破坏或损害；对工厂和财产的破坏；对业务和公共关系的破坏。
必须考查这些后果以确定它们是否只影响到特定的工厂还是扩展到其它地方和存贮区域。通常沿工厂边界公共地区的办公室等工作设施和其它类型的地方都在考虑范围之内。除了破坏或损害的严重程度，还要估算其持续时间是长期的还是短期的，有时即使事件（如某些化学物质泄露）没有直接的危害，也要将其作为一种“准事故”来研究。
表6 严重性分级（简表）
灾难性后果：严重性5
灾难性破坏和严重的资金损失
场内：停工3个月的损失；场外：停工1个月的损失
工厂人员死亡3人以上；公众人员死亡或重伤5人以上
大片地区严重的永久性或长期性环境破坏
严重后果：严重性4
严重破坏和较大资金损失
对业务较大的影响，最多3个月的停工损失
工厂人员死亡1人或多于5人受伤；10次中有一次导致公众1人死亡
大片地区短期性环境破坏
　
较大后果：严重性3
较大的破坏和少量的资金损失
对业务影响较小，没有停工损失
工厂人员受伤少于5人或10次中少于1次导致1名人员死亡；一些公众的敌意
短期对水、土地、动植物造成环境破坏
可评估的后果：严重性2
对工厂可评估的破坏
对业务无影响
工厂人员受伤；公众轻微的烦扰
轻微的后果：严重性1
轻微的事故
对工厂轻微的破坏
对业务无影响；
对公众无影响
风险排序 得到风险率后，再对风险进行排序，以确定对风险的进一步处理。排序的准则通常按表7所示：
表7 风险排序表
风险率
严重性

－2

－1

0

1

1

无

无

无

C

2

无

无

C

B

3

无

C

B

A/B

4

C

B/C

B

A

5

B

B/C

A

A

A－需要马上引起注意；B－要求进一步研究；C－可能需要进一步研究

 
　
版权所有：UML软件工程组织