前文“L2-21可选的产品风险分类 - ISO 25010”可以帮助测试人员更好的识别产品风险,接下来需要开展风险分析,其主要活动是确定每个产品风险的可能性和影响(或严重程度),并得到其风险级别。通常风险级别的计算公式是:风险级别RL = 可能性P * 影响S。
风险分析可以是基于定性,例如:非常高、高、中、低或非常低,其缺点是难以量化得到风险级别;也可以是定量方式,估算其可能性和影响,其难点是难以确定两个因素的具体数值。因此更合适的方式是将定性分析与定量分析相结合,分别用不同数值代表可能性与影响的定性值,例如:针对可能性,分别用5-1代表非常高、高、中、低或非常低;同理,用5-1分别代表影响的非常严重、严重、中等、次要和可忽略。通过这样的方式,就可以得到一个量化的风险级别,从而方便风险级别的确定,以及和预先定义的风险阈值进行比较。假如计算得到的风险级别大于定义的风险阈值,那么就需要采取相关的风险应对措施,以降低风险级别(例如:降低风险发生的可能性或者影响,或者两者兼而有之)。
针对识别的产品风险直接确定可能性与影响,应该是比较困难的,同时比较空洞。因此,我们需要分析哪些因素会影响风险级别的可能性与影响,然后分别从不同维度去判定可能性与影响。根据ISTQB的术语定义,可能性与影响的定义分别如下:
1、可能性:风险转变成既成事实或事件的概率。
2、影响:风险转变成既成事实或事件的危害。
根据可能性的定义,其视角主要是从技术层面考虑,也就是说技术方面的问题更容易影响可能性,例如:</