Funktionale Sicherheit und Branchenstandards
Jeder Standard zur funktionalen Sicherheit basiert auf einem Risikoklassifizierungssystem. Die Klassifizierung ermittelt die Schwere potenzieller Schäden, weist der Software eine entsprechende Integritätsstufe zu und schreibt Verifikationsmaßnahmen vor, die dieser Stufe angemessen sind. Die spezielle Terminologie unterscheidet sich je nach Branche, "ASIL" nach ISO 26262, "DAL" nach DO-178C, "SIL" nach IEC 61508 und EN 50716, doch die Verifikationsanforderungen sind einheitlich: anforderungsbasierte Tests, Messung der strukturellen Abdeckung, Tool-Qualifizierung und dokumentierte Rückverfolgbarkeit.
ISO 26262: Automobilindustrie
ISO 26262 ist der internationale Standard für die funktionale Sicherheit elektrischer und elektronischer (E/E) Systeme in Straßenfahrzeugen. Die 2018 veröffentlichte zweite Ausgabe gilt für Pkw, Lkw, Busse, Nutzfahrzeuge und Motorräder.
Jedes Entwicklungsprojekt beginnt mit einer Gefahrenanalyse und Risikobewertung (HARA = Hazard Analysis and Risk Assessment), bei der der Automotive Safety Integrity Level (ASIL) für sicherheitsrelevante Funktionen ermittelt wird. Der ASIL reicht von A (niedrigstes Restrisiko) bis D (höchstes Restrisiko), wobei für nicht sicherheitsrelevante Software QM (nur Qualitätsmanagement entsprechend IATF 16949, ISO 9001 oder ähnliches) gilt.
Die Verifikationsanforderungen skalieren mit dem ASIL. Bei ASIL D sind Statement-, Branch-Abdeckung und MC/DC sowie bidirektionale Anforderungsverfolgbarkeit und strukturierte Unit-Tests erforderlich. Bei niedrigeren ASIL-Stufen werden die Abdeckungskriterien und Methodenempfehlungen schrittweise gelockert.
Vector-Tool Unterstützung für die ISO 26262
- PC-lint Plus ist von exida nach ISO 26262:2018 für die ASIL-Stufen A bis D zertifiziert
- Die von TÜV zertifizierte Abdeckungsmessung mit VectorCAST gilt für alle ASIL-Stufen; der „Industry Mode“ wählt automatisch die richtigen Abdeckungskriterien entsprechend dem jeweiligen ASIL aus
- Squore aggregiert Daten zur Konformität mit ISO 26262 aus der gesamten Toolchain, einschließlich MISRA-Befunden, Testergebnissen und Abdeckungsmetriken
DO-178C: Luft- und Raumfahrt
DO-178C, „Software Considerations in Airborne Systems and Equipment Certification“, ist der wichtigste Standard für die Zulassung kommerzieller, softwarebasierter Luft- und Raumfahrtsysteme. Er wurde gemeinsam von RTCA und EUROCAE veröffentlicht und trat 2012 an die Stelle von DO-178B.
DO-178C weist Entwicklungssicherheitsstufen (Development Assurance Levels, DAL) von D (geringfügige Folgen) bis A (katastrophale Ausfallfolgen) zu. Kern des Entwicklungsprozesses ist ein anforderungsbasierter Ansatz mit vollständiger bidirektionaler Rückverfolgbarkeit von den übergeordneten Anforderungen (High-Level Requirements) und den untergeordneten Anforderungen (Low-Level Requirements) über den Quellcode, den ausführbaren Objektcode bis hin zu Testfällen, -Prozeduren und -Ergebnissen.
Software der Stufe A erfordert eine MC/DC-Abdeckung für alle Entscheidungen. Diese gehört zu den anspruchsvollsten Anforderungen an die strukturelle Abdeckung aller Standards und ist ein wesentlicher Treiber für die MC/DC-Automatisierungsfunktionen von VectorCAST.
Vector-Tool Unterstützung für die DO-178C
- VectorCAST: TÜV-zertifizierte Abdeckungsmessung einschließlich MC/DC, bidirektionale Rückverfolgbarkeit der Anforderungen über das Requirements Gateway, zertifizierungsfähige Berichte für alle DAL-Stufen
- Squore: Überwachung der Abdeckung der Anforderungen und Nachverfolgung der Vollständigkeit über das gesamte Projekt hinweg
IEC 61508: Industrie
Die IEC 61508 ist die grundlegende internationale Norm für die funktionale Sicherheit programmierbarer elektronischer Systeme. Sie gilt für industrielle Anwendungen, einschließlich Fabrikleitsysteme, die Prozessautomatisierung in chemischen Anlagen sowie alle anderen sicherheitsrelevanten programmierbaren Systeme, die nicht durch einen branchenspezifischen Standard abgedeckt sind.
Die Norm IEC 61508 ist in sieben Teile gegliedert. Teil 3 befasst sich mit den Softwareanforderungen und definiert den Sicherheitslebenszyklus der Software einschließlich Validierung und Verifikation. Der Standard definiert Sicherheitsintegritätsstufen (SIL) von SIL 1 bis SIL 4. Ab SIL 2 wird der Einsatz zertifizierter Werkzeuge dringend empfohlen. Für SIL 3 und SIL 4 ist er zur praktischen Einhaltung der Norm faktisch obligatorisch.
Die IEC 61508 bildet zudem die Grundlage, von der die ISO 26262, die EN 50716 sowie diverse weitere branchenspezifische Normen abgeleitet sind.
Vector-Tool Unterstützung für die IEC 61508
- PC-lint Plus: von exida nach IEC 61508:2010 für SIL 1 bis SIL 4 zertifiziert (SIL 4-qualifiziert)
- VectorCAST: TÜV-zertifizierte Codeabdeckungsmessung; der „Industry Mode“ selektiert die richtigen Kriterien je nach SIL-Stufe aus
IEC 62304: Medizinische Geräte
Die Norm IEC 62304 regelt den Lebenszyklus der Software für medizinische Geräte. Sie unterteilt Softwarekomponenten in drei Sicherheitsklassen: Klasse A (keine Verletzungs- oder Schadensgefahr), Klasse B (nicht schwerwiegende Verletzungsgefahr) und Klasse C (schwerwiegende Verletzungs- oder Todesgefahr).
Die Verifikationsanforderungen richten sich nach der jeweiligen Klasse. Software der Klasse C erfordert die strengsten Verifikationsmaßnahmen, einschließlich Unit-Tests mit Messung der strukturellen Abdeckung und Rückverfolgbarkeit der Anforderungen. Jede Softwarekomponente, die die Patientensicherheit beeinträchtigen könnte, muss entsprechend identifiziert, klassifiziert und verifiziert werden.
Vector-Tool Unterstützung für die IEC 62304
- PC-lint Plus: von exida gemäß IEC 62304 zertifiziert
- VectorCAST: unterstützt anforderungsbasiertes Testen und strukturelle Abdeckung für Softwarekomponenten der Klassen B und C
EN 50716: Bahntechnik
Die Norm EN 50716:2023 regelt Software für sicherheitskritische elektronische Systeme in Bahnanwendungen und ersetzt die Normen EN 50128:2011 und EN 50657:2017. Sie basiert auf der IEC 61508 und ist an die spezifischen Anforderungen der Bahntechnik in den Bereichen Signaltechnik, Steuerung, Zugsicherung und Schienenfahrzeuge angepasst. Die Software-Integritätsstufen reichen von SIL 0 bis SIL 4. Bei SIL 4 ist eine MC/DC-Abdeckung erforderlich.
Vector-Tool Unterstützung für die EN 50716
- PC-lint Plus: exida-zertifiziert
- VectorCAST: TÜV-zertifizierte Abdeckungsmessung nach EN 50716:2023, unterstützt MC/DC zur Einhaltung von SIL 4
IEC 60880: Kernkraftwerke
Die Norm IEC 60880:2006 gilt für Software für computergestützte Mess- und Leitsysteme in Kernkraftwerken, die Sicherheitsfunktionen der Kategorie A durchführen. Die Norm umfasst Anforderungen an alle Aktivitäten des Software-Lebenszyklus und entspricht in ihrem Geltungsbereich in etwa Teil 3 der Norm IEC 61508. Zu den Verifikationsanforderungen gehören anforderungsbasierte Tests, die Messung der strukturellen Abdeckung einschließlich MC/DC sowie eine dokumentierte Rückverfolgbarkeit über den gesamten Software-Lebenszyklus hinweg.
Vector-Tool Unterstützung für die IEC 60880
- VectorCAST: TÜV-zertifizierte Abdeckungsmessung nach IEC 60880:2006, unterstützt die MC/DC-Abdeckung für die Konformität mit Kategorie A
Tool-Qualifizierung: Warum sie wichtig ist
Normen wie IEC 61508, ISO 26262 und DO-178C schreiben vor, dass die im Verifikationsprozess verwendeten Tools selbst qualifiziert oder zertifiziert sind. Ein Testergebnis oder ein Befund aus einer statischen Analyse ist nur dann als Nachweis der Konformität zulässig, wenn das verwendete Tool nachweislich korrekt und konsistent arbeitet.
Die Qualifizierung eines Allzweck-Tools, um es gemäß diesen Standards einzusetzen, erfordert erheblichen Aufwand. Bereits zertifizierte Tools nehmen Entwicklungsteams diesen Aufwand ab und erleichtern den Nachweis der Normenkonformität.
PC-lint Plus ist von exida für den Einsatz im Bereich der funktionalen Sicherheit nach ISO 26262, IEC 61508, IEC 62304 und EN 50716 zertifiziert. Die entsprechenden Zertifizierungsunterlagen sind Bestandteil der Standardlizenz.
Die Ergebnisse der Abdeckungsmessung mit VectorCAST sind vom TÜV zertifiziert. Die „Industry Modes“ stellen sicher, dass für jeden Standard und jedes Integritätsniveau automatisch die richtigen Abdeckungskriterien angewendet werden. Die Zertifizierungsunterlagen sind online verfügbar, Qualifizierungspakete können auf Anfrage bereitgestellt werden.