软件确认测试的标准是什么？GB/T 25000.51-2016 到底管哪些项？

很多人以为“确认测试”就是找个机构把功能跑一遍，盖个章完事。

其实它背后压着两份东西，而且分工完全不同：

一份是你的需求规格说明书、任务书或者合同指标页。 它决定测什么：系统该有哪些功能、响应时间几秒、并发多少人。

GB/T 25000.51-2016

另一份是 GB/T 25000.51-2016。 它决定怎么测、怎么判、报告该怎么写？

前者是客户定的，后者是国家定的。缺了任何一份，报告在评审会上都站不住。只拿需求说明书，专家会问“你按什么方法测的”；只拿 25000.51，专家会问“你的指标从哪来的”。

一、GB/T 25000.10-2016是干什么的？

它的全名叫《系统与软件工程 系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》，修改采用 ISO/IEC 25051:2014，2017年5月1日实施，现行有效。

注意括号里那个词：就绪可用软件产品。意思是“装上就能用、不需要二次开发的成品软件”。严格来说，它管的是“产品”，不是“项目”。

那为什么政务验收、科研结题、双软评估、高企申报都在用它？

因为国内目前没有第二份国标把“软件质量”拆成了可以一条条执行、一条条打勾的测试细则。于是大家默认把它当成通用标尺，电子政务的 GW0014-2017、电力的 DL/T 1729-2017，落点也都在它身上。

所以不用纠结“我们是定制系统适不适用”，适用，只是要知道它的边界在哪。

二、管哪些项：八项质量特性 + 两份文档

质量模型来自配套的 GB/T 25000.10-2016，51 负责给出测试要求。拆开看是这样的：

① 功能性（功能完备性、功能正确性、功能适合性、功能依从性）
确认测试的主干。需求规格说明书里的每一条，都得有用例对上。这条不过，后面全是空的。

② 性能效率（时间特性、资源利用性、容量、性能效率依从性）
这里有个省钱的关键点：只有你的任务书里写了定量指标，这项才成立。 “响应迅速”“运行流畅”这类话，按 51 是无法验证的声称，测不了。反过来说，写了“并发500用户、P95响应≤3秒”，那就得老老实实搭加压环境，跑负载、压力、峰值那一套（GB/T 39788-2021）。

③ 兼容性（共存性、互操作性）
跟别的软件挤在同一台机器上会不会打架、接口能不能正常交换数据。信创适配主要落在这和下面那条。

④ 易用性（可辨识性、易学性、易操作性、用户差错防御性、用户界面舒适性、易访问性）
这一项很多机构是靠人工审查加启发式评估做的，不靠机器加压。危险操作有没有二次确认、报错提示能不能让人看懂、帮助文档在哪，看着琐碎，但评审专家特别喜欢翻。

⑤ 可靠性（成熟性、可用性、容错性、易恢复性）
断网、断电、异常输入、服务重启后数据能不能回来。用例不多，但每一条都很值钱。

⑥ 信息安全性（保密性、完整性、抗抵赖性、可核查性、真实性）
提醒一句：51 里的信息安全性，是按“产品声称”去验证的，不等于一次完整的渗透测试。 权限控制有没有生效、日志记没记、敏感数据怎么存，这些是它的范围。真要模拟攻击者打进来，那是另一个专项，依据和交付物都不一样，别混着买。

⑦ 维护性（模块化、可重用性、易分析性、易修改性、易测试性）
定制系统这一项基本靠文档审查和架构说明撑起来，别指望跑出什么漂亮数字。能提供的通常是版本标识清不清楚、日志能不能定位问题、配置改完要不要重编译。

⑧ 可移植性（适应性、易安装性、易替换性）

能不能装上、能不能卸干净、换一套环境还能不能跑。麒麟、统信、不同数据库的适配结论，就挂在这条下面。

八项质量特性

再加上两份文档审查：产品说明和用户文档集。
是的，手册写得对不对、跟实际功能一不一致、安装卸载步骤能不能照着走通，是正式计入符合性评价的。我们见过不止一次，功能全过，最后卡在操作手册截图还是老版本上。

三、它不管什么（这点同样重要）

不管业务流程设计得合不合理，那是需求和监理的事。

不管代码写得好不好，那是代码审查的事，51 的维护性不等于源码审计。

不管等保合规、密评，那两套各自独立下结论，谁也不能替谁。

不管需求有没有漏，它只验证“写下来的做到了没有”。

据该标准出具的确认测试报告，若需用于政企验收、课题结题或招投标，必须由具备CNAS认可的第三方机构出具，且认可范围需明确覆盖“软件测试”及GB/T 25000.51-2016。2026年“一单一库”新政后，通用软件测试的CMA章已不再适用，强行加盖可能导致报告在评审时被判定无效。

如果你正面临结题或验收，拿不准该按哪几个质量特性去准备材料，可以把项目类型和任务书指标发过来，我帮你把测试范围和合规要求先理清楚。

标签：GB/T 25000.51-2016、确认测试报告