1. Zertifizierung von Werkzeugen und Werkzeugketten Andreas Bärwald, TÜV SÜD Automotive GmbH Jürgen Mottok, University of Applied Sciences Regensburg, LaS3 Software im Automobil - Stuttgart, 04./05.05.2010

2. Agenda Zertifizierung von Werkzeugen und Werkzeugketten Motivation Anforderungen aus den relevanten Sicherheitsstandards Generische Lösungsansätze / „Fitness forPurpose“ Zusammenfassung & Ausblick

3. Motivation

4. Übersicht Softwarewerkzeugtypen Req. Man. Tools verschiedene Test-Tools Entwurfs und Modellierungs Tools Konfiguration Management Tools Konfiguration Management Tools Codegenerator Stat. Codeanalyse Compiler, Linker...

5. Klassifizierung von Software Software Entwicklungssoftware: Diese erzeugen Teile des Zielsystems und können somit direkt die Ursache eines Fehler im Zielsystem sein Software Verifikationswerkzeuge: Diese können direkt keine Fehler in das Zielsystem einbringen, aber bestehende Fehler übersehen oder verdecken machen.

6. Anforderungen aus den relevanten Sicherheitsstandards

7. (Software-)Normen für sicherheitsrelevante Systeme Medical Prozess- industrie International (Generic) IEC 62304 Medizingeräte- Software Avionics IEC 61511 Safetyinstrumentedsystemsfortheprocessindustrysector Maschinen DO 178BSoftware considerations in airborne systems IEC 61508(-3) Functionalsafetyofelectrical/electronic/ programmable electronic safety-relatedsystems Bahnbereich ISO 13849 IEC 62061 Sicherheit von Maschinen EN 50128 Bahnanwendungen – Software Nuclear Power ISO/IEC15504 SPICE / Automotive SPICE Gas- meßtechnik Automotive IEC 60880 Kernkraftwerke - Leittechnik, Softwareaspekte ISO/IEC 12207Software lifecycleprocesses EN 50271 EN 50402 Funktionale Sicherheit von Gaswarnsystemen ISO DIS 26262-6/-8 Funktionale Sicherheit „roadvehicles“

8. Anforderungen an SW-Werkzeuge nach verschiedenen Sicherheitsstandards IEC 61508 IEC 62304 EN 13849 / IEC 62061 EN 50271 / 50402 EN 50128 ISO DIS 26262 IEC 60880 DO-178B

9. Werkzeuganforderungen nach IEC 61508-3

14. IEC 62304

15. Anforderungen an SW-Werkzeuge nach verschiedenen Sicherheitsstandards IEC 61508 IEC 62304 EN 13849 / IEC 62061 EN 50271 / 50402 EN 50128 ISO DIS 26262 IEC 60880 DO-178B

17. für PL c,d (4.6.2)

20. EN 50271

22. Anforderungen an SW-Werkzeuge nach verschiedenen Sicherheitsstandards IEC 61508 IEC 62304 EN 13849 / IEC 62061 EN 50271 / 50402 EN 50128 ISO DIS 26262 IEC 60880 DO-178B

23. EN 50128

24. Anforderungen an SW-Werkzeuge nach verschiedenen Sicherheitsstandards IEC 61508 IEC 62304 EN 13849 / IEC 62061 EN 50271 / 50402 EN 50128 ISO DIS 26262 IEC 60880 DO-178B

25. Toolqualifizierung nach ISO WD 26262 Band 8 Zielsetzung: „Ziel der Qualifizierung von Software-Werkzeugen ist es, die Vertrauenswürdigkeit in die Software-Werkzeuge sicher zu stellen, so dass deren Ergebnisse keiner gesonderten Absicherung unterzogen werden müssen.“ Werkzeugkategorien: Entwicklungswerkzeuge Begleitwerkzeuge unterstützende Werkzeuge

26. Toolqualifizierung nach ISO DIS 26262- 8 Kap.11 Tool Impact TI = 1 Tool Impact TI = 0 Tool Error Detection TD = 1 Tool Error Detection TD = 2 Tool Error Detection TD = 3 Tool Error Detection TD = 4 Tool Confidence Level TCL= 1 Tool Confidence Level TCL= 2 Tool Confidence Level TCL= 3 Tool Confidence Level TCL= 4

27. Anforderungen nach TCL2

28. Anforderungen an SW-Werkzeuge nach verschiedenen Sicherheitsstandards IEC 61508 IEC 62304 EN 13849 / IEC 62061 EN 50271 / 50402 EN 50128 ISO DIS 26262 IEC 60880 DO-178B

30. Werkzeuge müssen beurteilt sein -> Qualifizierung gefordert

32. Toolqualifizierung nach DO-178B (1) Zielsetzung: “Qualificationof a toolisneededwhenprocessesofthisdocumentareeliminated, reducedorautomatedbytheuseof a softwaretoolwithoutitsoutputbeingverifiedasspecified in section 6. The useofsoftwaretoolstoautomateactivitiesofthesoftwarelifecycleprocessescanhelpsatisfysystemsafetyobjectivesinsofarastheycanenforceconformancewithsoftwaredevelopmentstandards and useautomaticchecks.”

33. Toolqualifizierung nach DO-178B (2) Nach DO-178B Unterscheidung in 2 Klassen von Werkzeugen: Software development tools Software verification tools

34. Toolqualifizierung nach DO-178B (3) Qualifizierung der „Software developmenttools“ 12.2.1 QualificationCriteriafor Software Development Tools The qualificationcriteriaforsoftwaredevelopmenttoolsincludes: If a softwaredevelopmenttoolistobequalified, thesoftwaredevelopmentprocessesforthetool. shouldsatisfythe same objectivesasthesoftwaredevelopmentprocessesofairbornesoftware. The softwarelevelassignedtothetoolshouldbethe same asthatfortheairbornesoftwareitproduces, unlesstheapplicantcanjustify a reduction in softwarelevelofthetooltothecertificationauthority. Note: A reduction in a tool'ssoftwarelevelcanbebased upon thesignificanceofthe softwareverificationprocessactivitytobeeliminated, reducedorautomated, withrespecttotheentiresuiteofverificationactivities. Thissignificanceis a functionof: The type ofsoftwareverificationprocessactivitytobeeliminated, reducedorautomated. Forexample, a verificationactivityforconformanceofthe Source Code withsoftwareindentationstandardsislesssignificantthanverificationactivityforcomplianceoftheExecutableObject Code withthehigh-levelrequirements.

35. Fazit Softwarewerkzeugemüssen: SorgfältignachIhreMethodikausgewählt, EntsprechendihrerKritikalitätfür das sicherheitsrelevante System bewertet und Geeignetqualifiziertwerden

36. Generische Lösungsansätze

37. Zertifizierung Bewertung bzw. Zertifizierung ist auf verschiedene Arten möglich: Zertifizierung des Entwicklungs- und Implementierungsprozesses des Werkzeuges z.B. nach IEC 61508 Teil 1 und 3 oder DO-178B Formale Verifikation: Nachweis der Richtigkeit des Software-Werkzeuges unter Verwendung mathematischer Beweisverfahren „Fitness forPurpose“ Zertifizierung: Werkzeug ist „fit forintendedpurpose“ Bewertung des SW-Entwicklungsprozesses (inkl. Modifikations- Prozess) für die Werkzeugentwicklung (in Anlehnung an einen Sicherheitsstandard) inkl. geeigneter Teststrategie Bewertung des Bug-Reporting- & Bug-Tracking-Prozesses inkl. Customer Information (Alarmsystem) Verwendung eines geeigneten Referenzworkflows auf der Projektebene

38. „FitnessforPurpose“ Nutzen: „Fitness forPurpose“ = Gebrauchstauglichkeit Anwenderunabhängig Projektübergreifend Generische Werkzeugqualifizierung durch unabhängige Organisation Wettbewerbsvorteil für den Werkzeughersteller

39. Zusammenfassung und Ausblick

40. Zusammenfassung und Ausblick Werkzeuge sollten projektübergreifend (idealerweise durch den Hersteller) einer Bewertung/Zertifizierung unterzogen werden Vom Anwender zusammengestellte Werkzeugketten müssen projekt- oder organisationsbezogen bewertet werden Schwerpunkte dabei sind: Auswahl der Werkzeuge und ihrer Methodik Zusammenspiel der Werkzeuge (Schnittstellen, Workflow) Die ISO26262 präzisiert die Anforderungen an die Werkzeuge im Vergleich zur IEC61508

41. Kontakt Prof. Dr. Jürgen Mottok University of Applied Sciences Regensburg, LaS3 Seybothstr. 2, D-93049 Regensburg Tel.: +49 941 943-9757 juergen.mottok@hs-regensburg.de Dipl.-Inf. (FH) Andreas Bärwald Gruppenleiter Funktionale Sicherheit Software und Halbleiter TÜV SÜD Automotive GmbH Daimlerstr. 11, D-85748 Garching Tel.: +49 89 32950-881 andreas.baerwald@tuev-sued.de