本文目录导航：
- ISO21434规范简介|ASPICE for Cybersecurity规范简介|ISO21434与ASPICE for Cybersecurity的异同-亚远景
- 上班笔记 aspice基础常识
- aspice软件开发流程
- ASPICE 是什么以及它的认证条件
ISO21434规范简介|ASPICE for Cybersecurity规范简介|ISO21434与ASPICE for Cybersecurity的异同-亚远景
迎接汽车行业的网络安保新时代：ISO 与ASPICE for Cybersecurity的深度解析
汽车行业侧面临史无前例的数字化转型，其中网络安保是关键的焦点。
咱们深化讨论两项关键规范——ISO 和ASPICE for Cybersecurity，它们如何塑造汽车行业的安保格式。
ISO ：汽车行业网络安保的护航者作为国内规范化组织和美国汽车工程师学会联手打造的里程碑，ISO ，即“Road vehicles – Cybersecurity engineering”，于2021年正式出台，旨在为汽车制作商和关系各方提供网络安保治理的片面指南。其外围指标如下：
ASPICE for Cybersecurity：网络安保的软件开发新范式ASPICE for Cybersecurity并非孤立存在，而是ASPICE（Automotive Software Process Improvement and Capability Determination）的网络安保强化版。它着重于在软件开发环节中融入网络安保最佳通常，确保电子系统的网络安保性：
异同点的深度剖析虽然都聚焦于网络安保，ISO 与ASPICE for Cybersecurity各有并重点：
在数字化转型的大潮中，了解并遵照这些规范，无疑将为汽车行业在网络安保应战中持重前行奠定松软基础。
上班笔记 aspice基础常识
最近给某OEM做了一次性Automotive SPICE CL2评价，很多好友就问我对于Automotive SPICE评价的一些事件。
本文算是一个科普吧，给不太了解Automotive SPICE的人引见一下Automotive SPICE和Automotive SPICE评价的事件。
1. Automotive SPICE 1.1 什么是Automotive SPICE？ Automotive SPICE是一个”环节模型”，实用于”基于软件的车载系统”的”设计开发环节”。
环节模型是一个汇合，是蕴含了与设计开发环节关系的低劣通常的汇合。
既然是一个汇合，那就须要依照必定的结构把这些通常组织起来：方式一：按如通常所属的不同畛域启动组织，比如有些通常是和名目治理关系的，有些通常是和软件需求关系的，有些通常是和软件单元测试关系的….，不同的畛域被称为“环节”，这就是Automotive SPICE中的“环节纬度”。
Automotive SPICE PAM V3.1中包括有32个环节。
方式二：依照做事件的方式启动组织，比如：依托团体的阅从来做，是才干度级别1（CL 1）的通常；依照可治理的方式（优惠治理和上班产品治理）来做，是才干度级别2（CL 2）的通常；依照组织的要求来做，是才干度级别3（CL 3）的通常….，这就是Automotive SPICE中的”才干度纬度”。
“才干度”是“环节的才干度”。
假设说“某个名目到达了才干度2级”，是不准确的，应该说“某个名目中的某些环节到达了才干度2级”。
雷同的，假设说某个组织到达了才干度2级，也是不准确的。
下图是经常出现的表现评价结果的方式，评价范围内的环节，区分到达了什么样的环节才干度。
1.2 怎样用Automotive SPICE？ Automotive SPICE是欧洲车厂在意识到软件质量的关键性之后，制订的一个规范。
目的是宿愿其供应商能依照Automotive SPICE的要求启动产品的设计开发，以提供高质量的产品。
Automotive SPICE中包括有那么多的环节，那么OEM对供应商的详细要求是什么呢？要求供应商须要运行哪些环节，这些环节须要到达几级呢？普通来说，OEM不会要求供应商去遵守Automotive SPICE的一切环节的，为什么呢？ 性价比！ 实施Automotive SPICE的老本，评价的老本，最后都是产品老本，OEM是须要买单的。
所以OEM会基于其对软件质量的了解，选用最关键的环节来要求其供应商。
后来的时刻，不同的OEM有不同的经常使用Automotive SPICE的观念，构成气象的，如下图所示：说明： HIS是Audi AG, BMW, DaimlerChrysler, Porsche, Volkswagen成立的制订软件开发规定的组织 如上的环节划分，是基于Automotive SPICE PAM V2.4/V2.5逐渐的，各OEM的要求开局一致，目前逐渐构成了如下两类：说明： 2016年HIS组织遣散了，VDA QMC（Automotive SPICE PAM V2.5及其以后版本的Owner）在2017年Automotive SPICE PAM V3.0颁布时，将之前在业界运行十分宽泛的HIS Scope，改名定义为VDA Scope 如上的环节划分，是基于Automotive SPICE PAM V3.0/V3.1各个与汽车软件关系的供应商在运行Automotive SPICE时，往往最终都是为了满足OEM的要求，其运行Automotive SPICE的环节范围及指标级别，遵照其所服务的OEM的要求。
2. Automotive SPICE评价 接上去咱们谈一谈Automotive SPICE评价，在谈Automotive SPICE评价之前，须要先谈一谈与Automotive SPICE关系的组织。
2.1 Automotive SPICE关系的组织 在Automotive SPICE畛域，没无机构去治理“评价”，只是无机构去治理“评价师”。
这个治理评价师的机构就是iNTACS（国内评价师认证机构，INTernational Assessor Certification Scheme）。
iNTACS定义了评价师的级别划分，以及级别升职和级别维持的条件。
Automotive SPICE评价师的级别从低到高区分为：Provisional Assessor, Competent Assessor, Principal Assessor。
升职到competent Assessor或Principal Assessor，或维持competent Assessor或Principal Assessor资质时，其条件之一就是须要实施Automotive SPICE评价： 作为Assessor升职证据（或维持资质的证据）的评价要求包括： 评价由至少2个评价师来实施，评价组组长须要Competent Assessor或Principal Assessor，评价组组员可以是Provisional Assessor或Competent Assessor或Principal Assessor 评价的环节范围至少包括名目治理关系的环节、支持类关系的环节和工程类关系的环节 评价的期间须要至少50小时2.2 Automotive SPICE评价的类型 在1次Automotive SPICE评价时，Automotive SPICE相当于评价的准绳（Criteria），而还须要有评价方法，依据所选用的评价方法不同，Automotive SPICE评价分为两种类型，一种是名目才干度评价，一种是组织成熟度评价。
名目才干度评价 遵照ISO/IEC -2 Performing an assessment实施的评价，是名目才干度评价。
在这类评价中，是由Sponsor（动员评价的人）确定评价的模型范围（选用哪些环节，这些环节须要评价到几级）、名目范围（评价哪个名目），而Assessor是依据Sponsor的要务实施评价。
（企业想评价哪个名目，评价哪个环节，评价到几级，不是Assessor选择的！）组织成熟度评价 ISO/IEC -7 TR Assessment of organizational maturity定义的是组织成熟度评价的评价方法，在组织成熟度评价时：Sponsor确定被评价的组织，以及指标级别；由Assessor依据对被评价组织启动剖析，之后启动名目抽样（使得被抽样的名目能代表整个组织的水平），而后经过对被抽样名目启动预约义环节的评价，进而得出组织的环节成熟度水平。
便捷来说：在组织成熟度评价时，是由Assessor确定被评价的名目，而环节范围也是须要预约义的（应该由Automotive SPICE的Owner来定义，详细的要素，这里不再赘述，读者可以思索思索~~）组织成熟度评价在业界很少被用到，关键的要素是OEM不太认可组织成熟度评价的方式。
我剖析有两个要素： OEM更关注的是供应商为其开发的名目的状况如何，而不关注供应商的组织 Automotive SPICE的业界大咖们不宿愿Automotive SPICE由于组织成熟度的评价方式而商业化（Automotive SPICE还是很高冷的，不像CMMI那么商业化）基于如上要素ISO/IEC -7在2008年颁布之后，至今也还是TR，一直不是一个正式的ISO规范，本文后续的形容，不再讨论组织成熟度评价。
注：此处的规范号都是，系列规范正在被330XX规范所代替。
2.3 被认可的Automotive SPICE评价 什么样的Automotive SPICE评价才是正式的评价，或许说是被认可的评价呢？经常经常有人问我这个疑问，但这个疑问的题干是不齐全的。
是被谁认可的评价呢？举个例子：假设须要OEM A认可的评价，那么这个认可的条件就须要OEM A来定义。
OEM A可以指定某个专业的软件环节专家（该专家或许不具有任何Automotive SPICE的Assessor资质），而后只需是该专家实施的评价，OEM A都认可。
所以说，这个疑问不能问我，你应该去问那个“谁”这么剖析疑问，有点杠精的行为了~~正式的评价或许被认可的评价，在Automotive SPICE畛域引申是指“可以做为Assessor资质维持或资质升职的证据的评价”，那这样的评价须要满足什么条件呢？这个答案就是在前文（2.1节）中的论述。
只需满足2.1节所论述的条件的评价，就可以以为是一个正式的评价和受认可的评价。
与实施评价的组织是有关的哦~~，对吗？2.4 Automotive SPICE评价结果的有效性和有效期 Automotive SPICE评价是在某个期间点，对某个名目中曾经实施的环节的才干度启动的评价，评价结果是代表了历史上的某个名目，在历史上的某个期间点的环节才干状况。
评价结果只是对被评价名目有效，对其它名目是有效的。
在VDA Guideline中，参与了12个月有效期的说法：在被评价名目中，假设没有出现变卦，则可以以为评价结果在12个月之内是有效的（这个有效是对同一个被评价名目来说的）；这里的变卦是指环节的变卦，包括：开发地点的变卦、团队组织结构的调整、人员的更替、开发环节的调整等。
虽然某一次性Automotive SPICE评价结果只是对被评价的名目有效，对其它的名目有效。
但该次评价结果也往往还是可以在必定水平上反映其它名目的环节才干，特意是当其它名目与被评价名目在名目特色上分歧时。
1）比如：某个OEM在调查供应商时，供应商展现了3个月之前实施的一次性Automotive SPICE评价结果，则OEM或许会以为：“既然是在这么短的期间之前做的评价，那么该评价结果能代表企业目前的才干”（接受）。
假设供应商展现了10年之前实施的一次性Automotive SPICE评价结果，则OEM或许会以为：“这是太久之前的一次性评价，很难代表企业如今的才干”（不接受）。
3个月的期间可以接受，10年的期间无法以接受，那么两边的临界期间点在哪里呢？没有答案哦~~2）不同的Automotive SPICE才干度级别也会对评价结果的有效性发生影响。
Automotive SPICE才干度二级时，具有相反名目特色的名目之间，其名目环节可以是不分歧的；Automotive SPICE才干度三级时，具有相反名目特色的名目之间，其名目环节是分歧的，都是遵照了规范的组织环节。
基于此，企业的某个名目的某些环节假设达成了Automotive SPICE才干度三级，则客户或许会置信其它名目的环节才干也是如此的。
2.5 评价经过证书 当第三方机构在为某企业实施了Automotive SPICE评价之后，假设评价范围内的环节都到达了指标级别，则第三方机构会应被评价组织的要求，发一个经过Automotive SPICE评价的证书。
注：评价经过证书不是Automotive SPICE评价所要求的。
是被评价组织为了其Marketing及Business目的，而要求评价机构颁发的。
Automotive SPICE评价经过证书是Automotive SPICE评价结果的Summary，虽然不同的第三方机构，颁发证书的格式和内容都不尽相反，但为了能主观片面的反映评价结果，普通须要包括如下消息： 被评价的组织及部门（是对某个部门下的名目启动的评价，名目所在的详细部门消息须要表现进去） 评价所遵照的Automotive SPICE模型消息，指标级别 评价方法 评价的名目称号，及评价的环节范围，评价日期 实施评价的组织 评价组组长消息及签名
aspice软件开发流程
ASPICE（AutomotiveSoftwareProcessImprovementandCapabilityDetermination，汽车软件环节改良与才干评价）是汽车行业中宽泛运行的软件开发环节改良框架，旨在提高软件开发环节的质量和效率。
ASPICE软件开发流程关键包括以下几个阶段：
1.需求剖析：
在这个阶段，团队搜集和剖析客户和用户的需求，明白软件开发名目的指标和范围。
经过需求剖析，确保对系统性能、性能、安保性和牢靠性等方面的需求获取充沛了解。
2.系统设计：
在系统设计阶段，软件开发团队依据需求剖析的结果，设计系统的架构和组件。
系统设计应该满足性能需求，并且思索到软件的可保养性、裁减性和性能等方面的要求。
3.软件成功：
在软件成功阶段，开发团队依据系统设计，编写和测试源代码。
开发人员应该依照规范和规范启动编码，确保代码的质量和可读性。
4.集成与测试：
集成与测试阶段是将各个组件和模块启动整合，并启动系统测试的阶段。
在这个阶段，启动单元测试、模块测试、集成测试和系统测试，以验证软件的性能和性能。
5.验收和颁布：
在验收和颁布阶段，软件交付给客户或用户启动验收。
假设满足了预先定义的需求和规范，软件将被正式颁布。
6.后续保养和改良：
软件颁布后，进入后续保养和改良阶段。
团队会依据用户的反应和需求，对软件启动保养和改良，确保软件继续满足用户的需求。
ASPICE软件开发流程强调规范化和环节改良，它提供了一套详细的指点准绳和评价方法，有助于提高汽车软件开发的质量和效率。
以上内容是由
ASPICE 是什么以及它的认证条件
ASPICE：软件环节的优化与认证详解
在1993年，由ISO/IEC JTC1/SC7联结委员会动员的ISO 名目，旨在推进软件环节改良和才干评价，其全称为Software Process Improvement and Capability Determination，简称SPICE。
2015年起，这一规范被ISO 330XX系列逐渐取代。
在此基础上，汽车行业的VDA QMC SIG于2005年提出了专为汽车行业设计的“面向汽车行业的环节评价模型”，即咱们熟知的Automotive SPICE，或称ASPICE，它为软件开发环节的汽车行业运行提供了更为精细的规范。
ASPICE的宽泛运行
ASPICE以其灵敏性和行业针对性，宽泛运行于软件开发、汽车制作、航空电子等多个畛域，协助企业优化环节治理才干，确保产质量量和名目成功率。
无论是软件名目的定制化开发，还是汽车行业的复杂系统集成，ASPICE都能提供针对性的评价框架。
ASPICE认证等级详解
ASPICE认证共分为0到5级，每个级别代表不同的成熟度阶段：
每个公司的环节实施等级依据自身治理需求和行业同伴要求而定，通常会优先思索实施HIS的16个关键环节，并确保到达2级或3级等相应才干水平。
ASPICE咨询流程一览
为了协助企业成功ASPICE认证，华菱咨询提供了一套完整的咨询流程，包括培训、诊断、规范解读、名目预备、改良方案等，每个环节旨在协助企业从零级逐渐迈向优化级，确保治理体系的有效运转。
华菱咨询的使命与价值
华菱咨询，扎根于中国长三角，成立于2001年，由一群相熟世界商业环境的资深顾问团队组建，专精于规范体系咨询、产品认证、企业治理培训等畛域。
咱们以客户为中心，依据行业个性提供定制化的处置方案，助力企业优化治理效劳，发明更大的经济和社会价值。
咱们的服务网络普及全国，以满足客户多样化的服务需求。
作为江苏省咨询协会等专业机构的成员，华菱咨询一直努力于出色的服务与专业常识传递。
