4. 过程评估模型（PAM）：PAM的结构、评估指标、能力指标
好，咱们今天聊聊PAM——过程评估模型。说实话，我刚接触ASPICE那会儿，看到PAM这三个字母就头大。什么能力指标、评估指标，感觉像天书。但干久了你会发现，这东西其实就是一把尺子，用来量你的开发过程到底有多成熟。
我个人习惯把PAM理解成「体检报告」。你去看病，医生会量血压、测心率、查血常规。PAM也一样，它有一套固定的检查项，用来评估你的过程到底健不健康。
4.1 PAM的整体结构
PAM的结构其实不复杂。它分两层：
- 过程维度：就是咱们前面讲的那些过程，比如SWE.1、SWE.2、SYS.3这些。每个过程都有它自己的评估指标。
- 能力维度：这个更关键。它不看你在做什么，而是看你做得有多好。能力维度从0级到5级，一共6个等级。
你想想看，这两个维度一交叉，就形成了一个矩阵。横轴是过程，纵轴是能力等级。每个格子里的内容，就是评估的具体要求。
核心要点：PAM = 过程维度 × 能力维度。缺一不可。
我记得有一次帮一家供应商做预评估，他们觉得自己SWE.1做得不错。结果我一查，代码确实写出来了，但需求追溯、变更记录全没有。这就是典型的「过程做了，但能力不够」。说白了，你写了代码不代表你掌握了软件开发过程。
4.2 评估指标（PA）
评估指标，英文叫Process Attribute，简称PA。每个能力等级都有对应的PA。比如：
| 能力等级 | 过程属性（PA） | 含义 |
|---|---|---|
| PA 1.1 | 过程执行 | 过程有没有被执行？有没有产出物？ |
| PA 2.1 | 管理 | 有没有计划？有没有跟踪？ |
| PA 2.2 | 工作产品管理 | 文档、代码有没有版本控制？ |
| PA 3.1 | 过程定义 | 有没有标准流程？是不是公司级的？ |
| PA 3.2 | 过程部署 | 流程有没有推广到整个团队？ |
每个PA下面还有更细的指标，叫「评估指标实践」。嗯，这里要注意，这些实践不是让你照搬的，而是给你一个检查清单。我在项目中遇到过很多团队，拿着PA 2.1的实践列表一条条对，结果发现自己的项目管理流程完全对不上。其实没关系，只要你能证明你达到了PA 2.1的目标，具体怎么做可以灵活。
我的建议：不要死磕PA的措辞。重点看它要你证明什么。比如PA 2.1要你证明「工作有计划、有跟踪」，你用Jira也好，用Excel也好，甚至用白板贴便签都行，只要证据充分。
4.3 能力指标（Generic Practice & Generic Resource）
能力指标分两类：通用实践（GP）和通用资源（GR）。
通用实践（GP）：这些是跨过程的。不管你评估的是SWE.1还是SYS.3，GP都是一样的。比如：
- GP 2.1.1：确定过程执行的目标
- GP 2.1.2：策划过程的执行
- GP 2.1.3：监控过程的执行
- GP 2.1.4：调整过程的执行
说白了，GP就是告诉你「怎么管好这个过程」。我刚开始做ASPICE时，总觉得GP是废话。后来有一次评审，审核员问我：「你们SWE.1的GP 2.1.3怎么证明？」我当场愣住了。因为我们确实做了代码评审，但没有记录。从那以后，我养成了一个习惯：所有过程活动，必须留下痕迹。
通用资源（GR）：这个更接地气。GR问的是「你有没有足够的资源来做这件事？」比如：
- GR 1.1.1：有没有合适的人？
- GR 1.1.2：有没有合适的工具？
- GR 1.1.3：有没有足够的预算？
避坑指南：我曾经见过一个团队，GP做得很好，但GR一塌糊涂。他们用Excel管理上千条需求，结果版本混乱得一塌糊涂。审核员直接给了个「不达标」。记住，工具和人员也是能力的一部分。
4.4 能力等级评定
能力等级怎么评？很简单，看每个PA的达成度。ASPICE把达成度分成了4档：
| 评级 | 百分比 | 含义 |
|---|---|---|
| N（未达成） | 0% - 15% | 基本没做 |
| P（部分达成） | 16% - 50% | 做了一些，但不完整 |
| L（大部分达成） | 51% - 85% | 基本都做了，有少量遗漏 |
| F（完全达成） | 86% - 100% | 全部到位，证据充分 |
举个例子，你要达到能力等级2，那么PA 1.1和PA 2.1、PA 2.2都必须达到F。如果有一个是L，那对不起，你只能算等级1。
为什么会这样？因为ASPICE的逻辑是「木桶原理」。你最短的那块板决定了你的能力等级。我见过一个团队，PA 1.1和PA 2.1都做得很好，但PA 2.2（工作产品管理）只拿了L。结果审核员说：「你们代码没有版本控制，不能算等级2。」
记住：能力等级不是平均分，是最低分。想拿等级3，所有PA 1.1、2.1、2.2、3.1、3.2都得是F。
4.5 我的实战经验
最后分享一点实战经验。做PAM评估时，最容易犯的错误是「过度准备」。有些团队为了拿等级3，把每个PA的每个GP都写成了厚厚的文档。结果审核员一看，说：「你们文档写得很好，但实际做的是另一套。」
我个人建议：先做后写。先把流程跑起来，再根据实际做法整理文档。这样既真实，又省力。我曾经帮一个团队做整改，他们花了三个月写流程文档，结果一跑就发现根本行不通。后来我让他们先跑一个项目，边跑边改，两个月就过了等级2。
嗯，PAM这块内容比较多，但核心就一句话：过程是骨架，能力是血肉。骨架搭好了，血肉长全了，你的ASPICE合规就稳了。