一起来关注：ASPICE 4.0 的正式发布

ASPICE定义了汽车开发中嵌入式软件的最佳实践。它允许团队组织他们的项目和方法以确保可管理性、可靠性和可交付性。每个汽车供应商都有可能在某一时刻被要求接受ASPICE合规性评估。因此，尽早开始整合相关实践实属明智之举。目前，Automotive SPICE 4.0版本正在专家评审当中，预计明年下半年正式发布！接下来擎标给大家详细介绍一下ASPICE4.0。

Automotive SPICE 4.0 工作组成员介绍

从2021年下半年开始，VDA第13工作组便启动了ASPICE模型的更新工作，着手准备v4.0的发布。参与v4.0讨论、修订的工作组成员主要有评估师、指导员和流程开发人员等，他们均来自OEM、Tier 1和Tier 2，具备成熟的经验和新鲜的想法。

基于ASPICE 评估中的观察及经验尽管ASPICE作为汽车行业的软件流程改进和能力测定标准已经得到了广泛的认可，但是就评估经验及效果而言，当前普遍存在问题有：评估结果的再现性和可比性尚未提高；评估时间增加；指南内容被当成纯清单使用；形式主义的成分增加；偏好于下调评级而非向上冲刺。

为了解和把握ASPICE的评估质量，VDA质量管理委员会于2022年开展了关于评估质量的专项调研。共收集了775位被调查者的反馈。其中：44%的调查对象认为评估最多5天就能完成（不包括差旅时间）；54%的调查对象认为适当的评估持续时间不超过5天（注：此处的“适当”表示能够找出项目当中的优势和缺陷）；43%的调查对象认为下调评级不合理；25%的调查对象认为BP和GP纯粹用作正式检查清单。

接下来，post一些可能影响评估结果再现性的示例。

示例 1：对Notes缺乏合理的利用。注释在评估当中发挥着规范性还是信息性的作用？这是影响评估结果再现的因素之一。

例如：Note2中的supporting information通常涵盖问题的起因，如何重现等等，如果将典型的supporting information当作最低要求使用怎么可能会是错误的呢？然而在现实评估当中，当注释中的某方面缺失时可能会做出降级决策。

此外，将Note3中的版本编号清单当作检查表使用，并未考虑到这些版本编号的重要性及优先级。

示例 2：关于术语解释方面的误区。就“Risk”而言，它到底是代表概率和风险的组合还是指一种破坏性事件？那么在PAM v3.1中它又如何被正确使用呢？

再者，关于Measure的概念界定和实践应用也存在一定的差异。“Measure”可表示实现结果的活动，测量的定量或定性结果，尺寸或尺寸的定义。

由此可见，模型及指南的内容对评估结果具有一定的影响。此外，评估师对评估背景和评估目的理解程度、能否独立客观地做出评估诊断，及评估师技能经验等，这些因素在一定程度上也会影响评估结果的再现。

PAM v4.0 的主要变化基于调查和经验的总结，VDA第13工作组在修订和更新v4.0的过程当中主要聚焦以下目标的改进和调整。（1）实现评估结果的最大可重复性和再现性；（2）提高评估效率；（3）反映当前最先进的工程技术；（4）解决现代协作模式；（5）消除内容冗余；（6）避免误解；（7）重构评估模型；

1.增删详情
删除了PAM v3.1中的11个过程，在v4.0中新增了15个新过程，并且针对原v3.1中的部分过程进行了修订。具体调整参见下图。

2.PAM v4.0模型概述
v4.0标准有3类过程：主要生命周期过程，组织生命周期过程和支持生命周期过程。11个过程组：系统工程组SYS, 软件工程组SWE, 硬件工程组HWE, 机械工程组MEE, 机器深度学习组MDL，网络安全组SEC, 采购获取制ACQ, 供应过程组SPL, 过程改进组PIM,  管理过程组MAN, 支持过程组SUP, 共41个过程。

41个过程都结构化为Process Purpose过程目标, Process Outcomes过程成果, Base Practices基本实践，Output Work Product输出工作产品和Notes注释。更新后的PAM v4.0模型图如下。

3. Based Potential Analysis 
工作组考虑到汽车行业作为集一个复杂性和一体化于一身的行业，其供应商的ASPICE评估也需要进一步灵活。对此v4.0提出了“ASPICE based potential analysis”的想法，旨在通过这一评估Use case提供一个统一的、协调的解决方案以弥补当前一直使用“Customized”和“专属的ASPICE模型衍生品”的不足和缺陷。

关于“ASPICE based potential analysis”的详细说明，可参考下图：可以看出“based potential analysis”增加了应用的灵活性和评估的效率性。

4. BASIC 和 FLEX 插件 
从过程组合视角来看，ASPICE 4.0模型主要由BASIC和FLEX插件两部分构成。基础过程主要有MAN.3项目管理，MAN.5风险管理, 系统工程SYS.2/SYS.5 等。插件部分主要有软件工程的SWE.1~6个过程等。模型使用者可以根据企业现状选择合适自己的过程组合。

5.在二级 GP 上的变化 
ASPICE 4.0模型二级过程能力特征包括PA2.1绩效管理特性和PA2.2文字化信息管理特性。与ASPICE 3.1相比，由原来的PA2.2工作产品管理，改为PA2.2 文字化信息管理。信息比工作产品更广泛，比如，工作任务的输入信息，工具录入的信息等。PA2.1上的变化主要是将ASPICE 3.1原来的GP2.1.3/GP2.1.4合并为ASPICE 4.0的GP2.1.3。PA 2.2文字化信息管理特征，实际上替代了ASPICE 3.1版本的SUP.7文档（化）功能，同时也区别了SUP.8 配置管理过程。

6.在三级 GP 上的变化 
ASPICE 4.0模型三级过程能力特征包括PA3.1过程定义特性和PA3.2过程部署特性。与ASPICE 3.1相比，PA3.1将原来的GP3.1.2 Determine the sequence and interaction  between processes so that they work as an integrated system of processes合并到 GP3.1.1。对应地PA3.2也从原来的6个GP简化合并为ASPICE 4.0的4个GP。

ASPICE 4.0策略方向是融合与效率化，体现在评估模型PAM的时间控制上，从二三级的通用实践个数减少，到过程融合与替代，都可帮助评估小组快速效率化的执行评估。

总结

基于上述简要分析，可见ASPICE 4.0不仅紧跟时代发展大势，开辟了与AI相关的系列过程，同时还专注于“不流于形式”的内容建设，不囿于苛刻的文档要求，聚焦于灵活高效的模型构建，致力于其应用价值以及评估效率的提升，以期辅助使用者做到真正的过程改进和性能提升。最后，post一张Roadmap，让我们一起期待ASPICE 4.0的正式发布！

上海擎标信息技术服务有限公司（Q-ing.cn）是一家致力于科技风险与合规内控领域提供解决方案的咨询服务机构。公司主要从事DCMM、CMMM、ITSS、A-SPICE、CMMI、ISO27001、ISO27701、ISO22301、ISO20000、涉密资质等领域的管理规划、体系建设、工具支持及咨询评估服务。

擎标，标新领异！是国内隐私安全合规咨询领域的早期参与者，发布了首个基于ISO/IEC 29151:2017的中文译著，并于2018年11月为太平洋保险（集团）公司获得国内首张ISO29151个人身份信息保护实践指南认证证书；于2019年10月为上海医药临床研究中心获得全球第二张ISO27701隐私信息管理体系认证证书。于2019年12月为中国电信天翼云获得了全国首张ISO27040存储安全标准认证证书。