使用 RUP 管理法规遵循：一种启动插件

• 开发IT过程控制的项目 增强IT过程。这些控制直接应用于IT企业以改进软件开发过程本身的精确度 -- 例如，足够的项目跟踪、记录，整个软件生命周期都已具备的审批手续。
• 开发应用控制的项目：这些控制用以构建企业IT系统，他们已成为监管的或是基于标准意义上的软件需求。例如，一种应用于人力资源(HR) 企业的普通控制用以"限制访问分类员工数据。" 这种控制利用使其成为所有HR系统的软件需求实现了自动化。
• IT 过程控制自动化项目： 这些项目处于开发IT 过程控制与开发应用控制的交合点。他们包括了使用（经常是商业）工具以实现自动化的工作流，并管理IT过程的产品。 这些项目要实现"工具指导行为" ，部分过程被强制加入工具本身。

我们这里所介绍的控制对于IT过程的可审核性来说是极为关键的，因此是法规遵循领域的基本原则。他们是： 字串2

• 正式列入并附有文档的过程。在审核员可选的各种任务中，他们往往首先选择熟悉您的软件开发过程。因此，详细的法规遵循资产清单应包括现有过程的文档。
• 工作产品控制。这是一种依据特定过程生产的工作产品所指定的工作流控制。这种工作流描述了修订的概况及最终满意的工作产品。
• 记录控制。 记录是种只写一次，只读的文档，它提供了正式的所实现内容的依据。记录控制指出了哪些记录是必须有的，如何产生的，哪些人有权利创建它们。
• 可追踪性。 工作产品并不是独立开发或凭空产生的：他们具有依赖性与关联性。 追踪的目的就是确保相关工作产品的连续性。
• 法规遵循管理相关信息的分离 。 这由定义面向法规遵循的工作产品实现。这有利于审核且将控制集中于面向法规遵循信息。
• 基于角色的责任分离。 这是高级控制环境的基本原则。它的基础是工件的开发、复查和使用不能由同一人执行，且可以质疑流程的公平性。
• 正式的把关过程（定义控制点）。 随着项目与产品变得越来越复杂，单独的计划已不能保证实现全部项目目标。可以定义控制点以管理以下行为：
  • 确保满足重要标准
  • 评估为实现目标所做的决定及改变
  • 审核与目标（风险、质量、内容，等等）关联的度量
  • 由（与责任分开）接收者全面评价目标内容
  • 通过电子标签批准实现的控制环节。

法规遵循管理的整体范围是一个长期的目标，已超过了单个项目的范围。 为支持软件开发项目，IBM Rational 公司首先倡议开发 Rational Method Composer (RMC) 插件以增强RUP过程体系的可审核性 -- RUP for Compliance Management Plug-in。 这种插件支持之前我们所介绍了过程控制实现。这将适应安全与控制都必须增强的高可信度条件下RUP的应用。图 3提供了为企业创建过程体系时的一些高级标准。 　　 字串7
　图 3： 为企业创建正确的过程级别 字串1

插件支持本部分所描述的法规遵循管理IT过程控制。 字串4

正式的过程

字串4

RUP 指出对于全面正式的特定软件开发过程来说，使用统一方法体系架构（Unified Method Architecture，UMA) 是一种产业旗舰和标准。它与其他Rational 工具（诸如IBM Rational Portfolio Manager） 的集成性使得它能够为其他过程管理工具导出相应的内容，从而支持过程自动化与工具导向的行为。 字串5

法规遵循管理工作产品

如下所列的工作产品已包含在本插件中。虽然他们中的大部分可被定义为现有RUP工件的一部分，但他们还是相互独立以支持可审核的过程控制。 字串3

• 企业政策（Corporate Policy ） 反映出了一家企业对于规定的理解。它不是由过程开发出的，而是所必需的针对法规遵循需求开发的输入。
• 法规遵循增强愿景附录（Compliance Enhancement Vision addendum ） 识别出核心的法规遵循需求，并由目标项目激发IT 法规遵循管理控制，总结确认过程满足控制对象的方法。
• 过程验证计划（Process Validation Plan） 定义了一系列用来确认自动化软件开发过程实现了控制对象的测试。其中的一个例子就是工具定向行为正确的自动操作了过程。
• 控制点说明（Control Point Specification） 提供了控制、大部分工作产品批准与移交环节的定义。
• 变更流程说明（Change Workflow Specification） 提供了项目将遵循的变更工作流的细节。
• 分发策略（Distribution Policy） 定义了为 QA 或部署分配可交付使用的政策。它描述了退出标准与程序以满足官方发行版本。
• 项目归档（Project Archive） 提供了对于审核目标和未来使用的所有项目工件的基线。

法规遵循管理角色

字串3

法规遵循管理扩展并精选了RUP角色，不仅因为引入了新工作产品，而且在法规遵循敏感区域确定了责任分离。

字串6

• 策略分析（Policy Analyst）。 在目录化并理解了规定、标准和政策以识别内部政策后，抓住了法规遵循需求的重点。
• 过程工程师（Process Engineer）。 用于文档化并定义与应用过程标准，体系和规定一致的IT治理过程。
• 技术带头人（Technical Lead）。 用于批准编码改变并最终确定变化要求。这个角色用以引导、监督应用软件组件的开发。
• 部署经理（Deployment Manager）。 用于交付评估生产阶段的软件发行。这一角色存在于经典RUP内，但其扩展职责和职责分离原则要求并激发了附加的发布经理（Release Manager）补充角色。
• 发布（Release Manager）。 用于从多种项目中比较发行的工作产品，以生产可交付使用的发行版本。发布经理（Release Manager） 控制发布管理过程。

工作产品控制

字串9

这种插件以两种方式定位工作产品。首先，它提供了工作产品控制方针以帮助建立工作产品控制。其次，它将识别出的必须批准的最小工作产品集用于工作产品控制。我们对于RUP的改进包括了如下批准： 字串7

• 过程确认批准（Process Validation Approval） 正式化的指出该项目处于"审核就绪。"
• 交付变更批准（Deliver Change Approval） 控制一系列改变的集成。
• 基线批准（Baseline Approval） 控制长期发展任务或QA、产品化发布版的基线。
• 变更请求批准（Change Request Approval） 提供了针对开发过程中改变要求的接受记录。
• 测试结果批准（Test Results Approval） 指出项目已成功测试法规遵循需求。
• 分发批准（Distribution Approval） 提供了针对QA和产品环境的一系列构建对象交付的控制。

记录控制 字串4

这一插件支持记录控制，通过：

• 提供记录控制方针。
• 定义一种总结了记录控制的新的控制工件。
• 正式确定了批准，测试结果，和所记录的项目文件。

可追踪性

字串4

大部分复杂情况下，追踪性都能包含由过程产生的大量工作产品。本插件中，我们已将它包含入维持变更要求（包括需求）和关联测试间最小可接受的水平，并且改变了要求、测试和由工作产品所控制的测试日志。

工具导向的行为

字串8

要应对今天的规定、标准和政策的混合过程使得人工操作十分昂贵，更重要的是给员工代来极大负担。使用良好的工具以实现部分流程的自动化被称为 "工具导向的行为，" 或(TDB)--将法规遵循变为现实的主要因素。 IBM 提供了全面的工具套件实现工具导向的行为。 字串2

• IBM Rational Method Composer (RMC) 具有这样一种能力，它既能裁减 Rational Unified Process 以适应客户需求，并且/或者将最佳实践作为构建团队过程的一部分。
• IBM Rational RequisitePro? (ReqPro) 支持需求，并可以通过适当水平的追踪性与控制改变管理。
• IBM Rational ClearQuest? 提供了交付可审核改变的的能力，它是通过支持应用自动化的工作流管理、审核追踪、电子签名、报告的软件资产的管理与控制实现的。
• IBM Rational ClearCase? 提供了交付可审核变更的能力，它是通过支持应用版本控制、审核追踪、用户验证、基线，报告的软件资产的管理与控制实现的。
• IBM Tivoli Configuration Manager? (TCM) 将软件构建与配置联系起来。
• IBM Rational Portfolio Manager? (RPM) 帮助企业控制项目，通过即时准确的信息最优化配置资源，它还为中层与行政管理提供了项目组合管理的视图。

正式的把关过程（控制点）

字串9

定义控制点是一项非常依赖于实际情况的工作。一般来说它们被定义为执行工作流的一部分。执行工作流的目的往往是确保参与执行的部分符合各个步骤的要求，以生产出相同质量的产品。用以确保产品质量责任及控制程序的附加机制可加入至工作流中。这些控制程序一般都需要一个检查的步骤，因此需要复查者指出输出产品中满意及不满意的地方。 这些控制点是开发工作流中的重要事件，同时批准动作用来允许过程继续运行。当建立自动化工作流的方案同时，需要仔细研究部分条目。要考虑的内容包括参与到工作流中的角色的建立，每个角色将被授予的决定权，和在工作流中具有足够数据一决定输出质量的关键环节。 字串6

我们建议创建全部关键目标的控制点。在插件中，我们主要关注于在构建管理及最有效避免代价高昂错误的发行时创建控制点。例如， 本插件中的控制点可以帮助避免高昂代价的领域问题，如Ariane-5火箭的悲剧，这次灾难的根源是错误的安装了推力控制软件的版本。 字串8

Business-Driven Development for Compliance Modular Service Offering 和 RUP for Compliance Management plug-in （以服务所提供的内容作为基础）形式化的定义了一些法规遵循的最佳实践，并将它们作为独立IT过程控制。 RUP for Compliance Management 插件提供了如下好处： 字串7

• 利用从高度可信的环境中扩展的应用性在法规遵循管理中使用RUP的坚实基础。所引入的控制由RMC正式定义，包括：
  • 法规遵循管理特定工作产品
  • 法规遵循管理角色实施责任分离
  • 正式的把关过程（控制点）
  • 工作产品控制
  • 记录控制
  • 通过工具导向的行为进行过程自动化
• 针对 IBM Rational 法规遵循管理方法的强大支持总结如下：
  • "说您所做的"
    • 建立法规遵循开发过程
    • 业务控制与工作流
    • 技术控制与工作流
    • 批准、授权、质量把关，责任分离
  • "做您所说的"
    字串7
    
    自动化强制执行法规遵循过程
    • 过程指南、自动化工作流、工具导向的行为
  • "能够证实"
    自动化产生审核文档
    • 针对软件开发企业的审核报告，审核追踪
  • "平衡业务优势的法规遵循"
    • 分析项目度量和过程度量
    • 迭代改进
• 平衡形式性与实用性。 当某些项目不需要所有控制时，经验告诉我们重新考虑工程项目的核心过程并不实用，就因为其高昂的代价和复杂度。仅仅少部分案例中，由于使用更多的控制，重大的调整保证了过程的执行。

IBM Rational 公司短期与中期目标为：

1. 为 Compliance Management Plug-in 生产现有RUP的测试版本。
2. 提供一种法规遵循治理框架，根据此框架组织可以在企业级有效地管理法规遵循性。
3. 开发连续的过程控制收集以满足符合某种标准和规定的法规遵循（企业的法规遵循）

• 您可以参阅本文在 developerWorks 全球网站上的 英文原文。
• 您可以参阅 Rational Edge 电子月刊中文版 的其他文章。
• ibm.com 的 Public Compliance 页面（公开的）：http://www-306.ibm.com/software/info/developer/solutions/compliance/index.jsp
• ibm.com 的 Compliance Resource Library （公开的）：http://www-306.ibm.com/software/info/developer/solutions/compliance/resources/index.html
• 在 developerWorks 文章、网络广播中的 Compliance 专区（公开的）：http://www-128.ibm.com/developerworks/rational/library/compliance.html
• 法规遵循红皮书中的业务驱动开发：http://w3.itso.ibm.com/abstracts/sg247244.html

Lynn M. Mueller是IBM软件部Rational服务团队的一个高级顾问和团队领导者，该团队关注于跨行业区域的过程改进。他是业务分析领域中的一位获得IBM高级认证的IT专家，并且在他进入IBM前的14年中，在IT咨询公司拥有多个高级管理角色（九年前是PwC的顾问）。

Thierry Paradan 博士是一名 IBM Rational Unified Process 团队中的软件方法学家。他在软件开发技术领域和培训高级软件工程师领域具有丰富的经验。目前, 他主要研究的是遵从性管理领域，他特别注重于平衡当前趋于简单与敏捷的方法论和不断提高的对于标准及规定的需求。 字串7