具体实施方式

以下结合附图和具体实施方式对本发明提出的方案作进一步详细说明。根据下面说明，本发明的优点和特征将更清楚。需要说明的是，附图采用非常简化的形式且均使用非精准的比例，仅用以方便、明晰地辅助说明本发明实施方式的目的。为了使本发明的目的、特征和优点能够更加明显易懂，请参阅附图。须知，本说明书所附图式所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容能涵盖的范围内。

如图1所示为现有的电子表格工具中表格的示意图，该表格为某安全攸关系统的危害日志(节选)，完整表格共3000多行，纯手动维护且无任何卡控的情况下易出现错误及遗漏管理的情况。且表格中同一信息可能被多处引用，但并无关联，导致某一条目的状态在表中不同位置不同，发生一致性错误。

鉴于此，本发明提供一种基于数据库模型的危害管理方法，如图2所示，包括如下步骤：

S1，对危害日志的概念模型进行领域分析，建立危害管理模型，并根据所述危害管理模型建立数据库，将数据导入所述数据库形成条目进行管理，导入过程中自动检查数据是否符合数据库约束。

具体的，在导入过程中工具自动检查，对于不符合数据库约束的数据禁止导入，对于应用逻辑规则不满足的数据高亮提醒。

S2，计算各导入数据的条目状态、变更状态、确认状态，进行多状态管理。

状态的计算结果可直接作为操作员的待办任务，可以根据变更状态及任务提醒机制完成对业务状态的确认。

S3，对已导入数据进行危害管理，对于符合项确认关闭，对于不符合项增加证据完成关闭，对于所有条目的状态进行自动管理，针对不符合项自动完成危害变更影响分析。

S4，对于无法关闭的危害与缓解措施，与安全相关应用条件SRAC进行关联，检查SRAC的来源与完整性，确保所有SRAC具有来源且所有未关闭危害均已有对应限制。

如图3b所示为基于数据库模型(即前述危害管理模型)建立的危害管理工具。本工具可将危害日志不同格式的输入源，如危害、缓解措施、设计、测试计划、测试方法及结果等进行导入及条目化处理，并记录上述各条目项之间的层级和所属关系进行管理，以完成危害日志的管理。

具体的，在步骤S1中，如图3a所示，对危害日志的概念模型进行领域分析，提取出危害日志管理的类别(类别包括危害、缓解措施、需求与设计、测试方法及结果等)以及各类别之间的关系(关系包括：危害与子危害、危害与缓解措施、缓解措施与需求设计、需求设计与测试方法及结果的关系等)，以及各关系之间的约束性，从而建立危害管理模型。

然后，如图4a所示，建立文档目录作为存储各类条目的容器。各文档可定义条目的ID前缀作为导入过程中的规则检查，以避免导入了错误的数据源。

然后，将输入数据导入到工具中，形成工具中的条目进行管理。如图4b、图4c所示为将数据导入数据库的示例(其他条目导入与本示例无差别，不再重复附图)，根据数据源格式将对应字段信息按数据库模型导入数据库中。请继续参考图4d，当导入数据的ID规则、数据类型与数据库表单不符合时，将报错阻止导入。

相较于传统的危害管理方法的自由输入，本发明对条目的规范性进行检查。如，唯一ID的规则检查；条目类别与导入表单的一致性检查(缓解措施条目不可导入设计表单)；条目与条目之间的关联需要与预设一致(如危害不可关联测试方法及结果)等。

然后，将数据之间的链接关系导入到工具中。请继续参考图4e、图4f(其他条目关系的导入与示例无差别，不再重复附图)，依照数据库模型中的约束关系，将数据源中条目与条目之间的链接关系导入数据库中。

相较于传统危害管理方法，图4e中，对两类条目的父子关联性进行检查，避免产生错误链接。图4f中，可手动选择输入源与目标源的关联性，增加了导入数据源的多样性。图4g中，当导入数据的ID规则、数据类型与数据库表单不符合时，将报错阻止导入，避免脏数据进入数据库。

经过以上处理，正确的数据已经进入工具。相较于传统危害管理方式，工具将自动检查数据应用逻辑上的不规范性。如图4h中的序号1数据(工具自动高亮为红色)，该风险无缓解措施，不符合安全产品的设计原则，所以高亮为红色提示确认人员增加防护手段；参考图4i中，序号1数据(工具自动高亮为红色)未指明缓解措施的建立是为了缓解何种危害，不符合安全产品的设计原则，所以高亮为红色提示确认人员补充风险描述。

具体的，在步骤S2中，如图4i所示，一个条目包含“状态”属性，表明该条目的业务状态。业务状态值为可配置选项，操作者可根据实际需要配置状态值。工具中的状态值需人工确认后修改其状态。

相较于传统的危害管理方法，当条目多处引用时，非同一来源数据，需要人工多次管理状态。本发明的设计以条目管理为核心，当一个条目状态、内容发生变化时，所有数据库内引用该条目处均保持状态同步。

如图4i所示，一个条目包含“变更状态”属性，表明该条目本次系统版本内的变化情况，在本实施例中定义为“新建”、“未修改”及“已修改”状态。该状态为全自动化控制，人为不可进行修改。(特别的，根据危害日志管理的方法，应保留其历史记录。删除条目的变更状态将为“已修改”，通过业务状态“取消”来甄别。)

相较于传统方法需要人工识别条目变化状态，本发明可以使用工具全自动功能进行替代，提高了工作效率与准确性。

如图4i所示，一个条目包含“是否确认”属性，以确保所有变更的条目均已由人工确认。该属性将作为操作人员的待办任务，当有“待确认”项存在时本实施例禁止发布，以此确保所有变更项均已得到风险控制。该属性的计划考虑条目整个证据链的变化情况。若条目未发生变更，但其追踪链发生变化时也将变为“待确认”状态，以此保证危害日志管理的完整性。

具体的，在步骤S3中，首先工具根据条目的父子关系自动创建危害树。如图5a，工具可提供某一危害条目的危害层级关系。图5b所示，工具可提供整个系统的所有危害层级关系。通过危害层级的自动关联，可以完成系统、子系统、部件之间的危害管理，迅速定位危害发生的原因及原因的控制情况。

然后，对危害管理的多层数据进行建模，可进行自底向上的逐层管理。如图5c所示，为单条缓解措施的条目管理界面，该界面可管理条目向上关联的危害条目，也可管理条目向下关联的设计条目。

优于传统管理方式的是，数据库解决方案中，每一个条目均具有唯一性，在页面中的显示为唯一数据的快照。即，当一条目发生变化时，其他引用条目处显示的数据，应为该条目的真实值，由此避免了危害管理中数据不一致的疏漏。

如图5d所示，当已发布的需求发生变化时，本发明可自动将变更字段高亮提醒操作者。

当下级条目未关闭时，本发明可快速定位对上级的影响，完成危害变更影响分析。本发明提供的分析方式，应可以在任意两级之间完成追溯。如图5e所示为设计未关闭对缓解措施的影响，当多条缓解措施的条目都依赖于此条设计时，可以快速定位风险。

如图5f所示，为图5e中实例的建模示意图。本发明对数据库中任意元素可定位其相关的上下级链接关系，且可完成跨级追溯。如图5g所示，传统方法中，对测试用例的影响分析，需要向上逐级查找其设计、缓解措施、危害才能找到影响的风险，人工检索过程中会发生遗漏或追溯到非关联链路导致无效工作。如，“设计A”也使用测试用例进行测试确认，但其未覆盖并不引发系统危害，在安全确认过程中可以忽略。

通过本发明提供的危害变更影响分析方法，可以直接定位如图5g中，测试用例未通过会影响“系统危害A”、“系统危害B”，并影响到“边界危害A”。本发明提高了危害变更影响分析的工作效率，同时避免了分析遗漏的发生。

具体的，在步骤S4中，在危害管理的过程中，系统未关闭的风险会通过输出SRAC来缓解，如图6a所示，本发明可以对未关闭的危害/缓解措施直接创建SRAC，并在工具中管理。

相较于传统管理方式中，SRAC与危害日志各自独立管理，管理过程较难保证一致性与完整性，可能出现应输出但未输出的情况。本发明将危害、缓解措施、SRAC强关联，当无对应的SRAC且未得到足够控制的危害由软件自动卡控，不可关闭其状态；反之，每一条SRAC应至少可追溯到一个危害源，当SRAC无源时，由软件自动高亮报警。

当危害/缓解措施无法被现存的SRAC解决时，可创建一条新的SRAC，如图6b所示，新创建的SRAC的源头指向缓解措施，其描述自动与缓解措施描述相同，其危害源自动关联缓解措施对应的危害。

当危害/缓解措施有已存在的SRAC可以解决时，如图6a所示，可以选择已有SRAC，该SRAC源头指向该缓解措施，其危害源增加缓解措施对应的危害场景。

以上SRAC的相关内容均可以由操作员手动调整，保证SRAC使用用户语言描述。

此外，工具可提供定制化报表，当项目完成危害管理后，通过输出报表，归档记录危害管理的整个过程。

此外，当项目发生迭代变更时，本发明可以基于既有发布项目进行复制拓展，快速复用既有成果，新建立的项目版本发生的所有变更均会高亮提醒。变更项目后重复步骤S1至步骤S4的过程进行管理。

综上所述，本发明对危害日志的概念模型进行领域分析。根据分析提取出危害日志管理的类别(如危害、子危害、缓解措施等)，并根据分析提取各类别之间的关系(如父子危害，危害与缓解措施，缓解措施与设计关系)，同时提取各关系间的约束性，从而建立数据库模型，并进一步建立数据库。

本发明支持多种类型输入文件的导入，在导入数据过程中根据预设模板及约束规则对导入内容进行检查，如果与工具约束规则不一致，则拒绝导入，退回导入前状态，提高了导入的多样性与导入效率。

对所有条目的关系进行应用规则检查，对正确性、完整性进行检查。如果与应用规则检查不符，未解决前会持续高亮报警，作为待办任务提示人员进行确认。对所有条目自动创建“条目状态”、“变更状态”、“确认状态”字段完成多状态管理，可以根据变更状态及任务提醒机制完成对业务状态的确认。

对危害与子危害进行层级管理。导入时自动创建多级危害的关联关系，完成危害树的关系创建。危害树可以展示单个危害的所有子危害树形关系；也可展示整个项目内所有危害的树形关系。可以直观的查看危害树的构成与危害的缓解情况。

对于条目的管理过程，本发明提供危害变更影响分析。如，对未通过测试的设计反向查找其关联的所有危害，定位测试的失败影响哪些危害。在处理较复杂的大型项目时，可以避免对大量并不影响危害的失败测试用例进行确认。相较于传统危害管理方法，可准确定位问题，避免疏漏及提高工作效率。

对于无法关闭的危害与缓解措施，本方法可以生成安全相关应用条件SRAC，生成的SRAC与危害源自动关联。相较于传统的危害管理方法中，SRAC与危害日志独立管理，本发明中的SRAC管理方式更加规范化，便于追根溯源，并且确保了一致性。

对于项目的变更管理和版本管理，工具可以根据整个数据库的关系自动差异比较，对于变更部分进行高亮，以保证确认工作的完整性及系统变更过程中的安全性。当项目发生分支开发时，可以从既有发布基线上快速拉出分支。迭代后两个分支版本不会相互影响，可以完成各自的独立管理，避免了项目版本的管理混乱问题。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。