risk-based-testing

用途：把测试资源按风险分配，避免对所有功能平均覆盖。核心公式为风险=影响×概率，六阶段循环为识别→分类→分析→热力图→覆盖→复评；高风险项（评分≥10）进入失效模式分析，否则可跳到热力图。识别阶段通过干系人访谈、事故史、依赖梳理、变更分析与架构评审收集风险，可先查看 .agents/qa-project-context.md；可用 HTSM v6.3 作为识别视角，地址 https://www.satisfice.com/download/heuristic-test-strategy-model 。分类阶段影响与概率各按1–5打分相乘，得出CRITICAL(15-25)、HIGH(10-14)、MEDIUM(5-9)、LOW(1-4)分区，对应不同单测/集成/E2E/手工与监控要求。高频变更模块的排名命令：git log --since="3 months ago" --name-only --format= | grep -v '^$' | sort | uniq -c | sort -rn | head -20 。针对AI/LLM功能引用ISTQB CT-GenAI v1.1（2026-04-27生效）的失效类别：幻觉/推理错误、偏见、提示注入/越狱、隐私泄露、AI法案等合规不符，缓解方式为自动化评测套件而非单次手工测试；工具方面提及Garak、PyRIT（2026年3月起迁移至 microsoft/PyRIT）、Promptfoo（2026年3月被OpenAI收购，仍为MIT许可）。复评触发包括生产事故后48小时内、新功能、关键依赖变更、团队变动及至少每季度一次。反模式包括平均测试、一次性评估、忽视未遂事件、风险表演、锚定历史风险。限制：资料未提供具体价格、平台与效果数据。