Software in sicherheitsrelevanten Systemen

Präsentation zum Thema: "Software in sicherheitsrelevanten Systemen"—  Präsentation transkript:

1 Software in sicherheitsrelevanten Systemen
Ralf Pinger / Stefan Gerken Sommersemester 2015

2 Inhaltsübersicht Eigenschaften von Normen
Kapitel 5 - Normen Inhaltsübersicht Eigenschaften von Normen Normung und Normungsorganisationen IEC 61508 CENELEC ISO 26262 DO-178/ED-12 Produkthaftung Grundlagen der Norm wurden in Kap 2 – 4 erklärt, jetzt der eigentliche formale Rahmen der Norm Ralf Pinger / Stefan Gerken

3 5.1 Eigenschaften von Normen
Das Erfüllen von Normen ist eine notwendige Bedingung, um eine Zulassung zu erlangen und die Produkte in Verkehr bringen zu dürfen. Normen schreiben normalerweise den Stand der Technik von vor 3-5 Jahren fest. Normen stellen immer einen Kompromiss zwischen verschiedenen Interessengruppen dar. Das Produkthaftungsgesetz verlangt, dass der Hersteller nach dem Stand von Wissenschaft und Technik vorgeht, um seine Ersatzpflicht auszuschließen. Eine Zulassung hat keine zivilrechtliche Bedeutung. Das heißt hinreichend ist nur die Berücksichtigung neuester wissenschaftlicher Erkenntnisse auf dem jeweiligen Fachgebiet. Stand von Wissenschaft und Technik Stand der Technik Stand der Wissenschaft und Technik im Unterschied zu Stand der Technik Ralf Pinger / Stefan Gerken

4 5.1 Eigenschaften von Normen
Regeln der Technik sind dann (allgemein) anerkannt, wenn die Fachleute, die sie anzuwenden haben, davon überzeugt sind, dass die betreffenden Regeln den technischen Anforderungen entsprechen. Hierzu genügt nicht, dass die Regel nach Auffassung von Fachschrifttum oder Lehre den technischen Erfordernissen entspricht. Sie muss vielmehr in der Fachpraxis erprobt und bewährt sein. Allgemein anerkannte Regeln der Technik finden sich in den technischen Regelwerken (Normen). Der Stand der Technik wird beschrieben durch den Entwicklungsstand fortschrittlicher Verfahren, Einrichtungen oder Betriebsweisen, die einerseits den aktuellen Kenntnisstand der Fachwelt berücksichtigen, andererseits betriebsbewährt sind. Der Stand von Wissenschaft und Technik beschreibt die Anforderungen, die nach den neuesten wissenschaftlichen Erkenntnissen für notwendig gehalten werden, selbst wenn deren Realisierung gegenwärtig technisch noch nicht machbar sein sollte. Ralf Pinger / Stefan Gerken

5 5.2 Normung und Normungsorganisationen
Grundsätze der Normung aus DIN 820-1 „Normung ist die planmäßige, durch die interessierten Kreise gemeinschaftlich durchgeführte Vereinheitlichung von materiellen und immateriellen Gegenständen zum Nutzen der Allgemeinheit. Sie darf nicht zu einem wirtschaftlichen Sondervorteil Einzelner führen. Sie fördert die Rationalisierung und Qualitätssicherung in Wirtschaft, Technik, Wissenschaft und Verwaltung. Sie dient der Sicherheit von Menschen und Sachen sowie der Qualitätsverbesserung in allen Lebensbereichen. Sie dient außerdem einer sinnvollen Ordnung und der Information auf dem jeweiligen Normungsgebiet. Die Normung wird auf nationaler, regionaler und internationaler Ebene durchgeführt.“ Anmerkung: Das DIN ist ein eingetragener Verein Entstehung einer DIN-Norm DIN-Normen sind das Ergebnis nationaler, europäischer oder internationaler Normungsarbeit, die von jedermann beantragt werden kann und von Ausschüssen des DIN, Ausschüssen der europäischen Normungsorganisationen CEN / CENELEC oder von Ausschüssen der internationalen Normungsorganisationen ISO / IEC nach festgelegten Grundsätzen, Verfahrens- und Gestaltungsregeln durchgeführt wird. Erarbeitet werden die Normen von den am jeweiligen Thema interessierten Kreisen (z. B. Hersteller, Verbraucher, Handel, Hochschulen, Versicherer, Behörden, Prüfinstitute). Diese entsenden ihre Experten in die rund Ausschüsse des DIN, die in über 70 Normenausschüssen nach Fachgebieten organisiert sind und die auf dem Wege der Entsendung von Delegationen und Experten auch die deutschen Interessen bei CEN/CENELEC und ISO/IEC vertreten. Die Mitarbeiter des DIN betreuen und organisieren die Normungsarbeit und tragen so zur Einheitlichkeit und Widerspruchsfreiheit des Deutschen Normenwerkes bei. Normen entstehen im Konsens, das heißt, die Experten verständigen sich über die Inhalte mit dem Ziel, unter Berücksichtigung des Standes der Technik eine gemeinsame Auffassung zu erreichen. DIN-Normen werden spätestens alle fünf Jahre überprüft. Entspricht eine Norm nicht mehr dem Stand der Technik, so wird ihr Inhalt überarbeitet oder die Norm wird zurückgezogen Finanzierung der Norm-Projekte In 77 Normenausschüssen und Kommissionen mit Arbeitsausschüssen werden kontinuierlich rund Norm-Projekte im DIN bearbeitet, wovon rund Normen, Norm-Entwürfe und Vornormen jährlich fertig gestellt werden. Die Normenausschüsse verantworten die nationale, europäische und internationale Normung in ihren jeweiligen Fach- und Wissensgebieten. Die Normenausschüsse setzen sich für die Einführung der erarbeiteten Normen ihres Fachgebietes in den davon berührten Lebensbereichen ein. Jeder Normenausschuss im DIN hat einen eigenen Haushaltsplan, dem sein jährliches Arbeitsprogramm zu Grunde liegt. Dieses Arbeitsprogramm setzt sich aus den zu bearbeitenden Norm-Projekten zusammen. Jedes Norm-Projekt wird ab dem Jahr 2009 in seiner gesamten jeweiligen Dauer, seinem Arbeitsumfang und Schwierigkeitsgrad vor Aufnahme der Arbeiten kalkuliert. Hierzu ist DIN-intern ein Kalkulationsinstrument erarbeitet worden, mit dessen Hilfe sämtliche Projekte vorkalkuliert werden. Die in jedem Normenausschuss einheitliche Anwendung dieses Instruments gewährleistet allen an der Normung interessierten Kreisen, insbesondere denen, die sich an der Finanzierung beteiligen, ein gleichartiges, offenes und transparentes Rechenverfahren. Damit wird man auch den unterschiedlichen Prüfungsinstanzen des DIN gerecht. Sämtliche durch die Bearbeitung der Norm-Projekte im DIN verursachten Kosten werden mit Hilfe dieses Kalkulationsinstrumentes ermittelt und in direkte Kosten und indirekte Kosten aufgeteilt. Direkte Kosten sind sämtliche unmittelbar durch die Bearbeitung ausgelöste Kosten, wie beispielsweise direkte Personalkosten, direkte Reisekosten, direkte Sachkosten für Ringversuche, Fachliteratur oder ähnliches. Diesen direkten Kosten werden per Kalkulationszuschlag die für die Normung notwendigen indirekten Steuerungskosten wie beispielsweise für europäische und internationale Interessenwahrnehmungen, ISO- und CEN-Beiträge, Prozesssteuerung Normung etc. hinzugerechnet und bilden mit den direkten Kosten die Herstellkosten Normung. Für die weiteren unterstützenden Funktionen des DIN, wie beispielsweise die gesamten IT-Aufwendungen, Personalmanagement, das Rechnungswesen und Justiziariat, wird auf die Herstellkosten ein Gemeinkostenzuschlag Verwaltung erhoben. Jedes Norm-Projekt erhält schließlich einen geringen Risikozuschlag von 5 % für allgemeine kalkulatorische Wagnisse bei der Normungsarbeit, da das DIN nicht allein die Projektgeschwindigkeit und den Projektablauf bestimmt, sondern hier eine starke Einwirkung der interessierten Kreise auf nationaler, europäischer und internationaler Ebene erfolgt. Diese nunmehr ermittelten Gesamtkosten pro Projekt werden sowohl über die externen Projektmittel als auch aus DIN-eigenen Mitteln finanziert. Ziel ist es, dass die direkten Kosten von den interessierten Kreisen gedeckt werden und das DIN die Finanzierung der Gemeinkosten übernimmt. Da es sich hierbei um eine über sämtliche Projekte und Normenausschüsse hinweg neu einzuführende Finanzierungsstruktur handelt, die auf der 61. Präsidialsitzung am 06. November 2008 beschlossen worden ist, ist eine Übergangszeit für die Umsetzung bis zum Jahr 2012 beschlossen worden. Um die notwendigen Überleitungen zu dieser neuen Finanzierungsstruktur zu erreichen, erarbeitet jeder Normenausschuss unter Einbeziehung seines jeweiligen Beirates ein Übergangskonzept. Jeder Normenausschuss erstellt aus der Summe seiner jährlich zu bearbeitenden Einzelprojekte ein Jahresbudget, das die jeweilige Summe der direkten Kosten, der Gemeinkosten Normung, der Gemeinkosten Verwaltung und Wagniskosten ausweist, aber auch die für die Finanzierung notwendigen Projektmittel (s. PDF). Es gibt unterschiedliche Arten von Projektmitteln, die sich grundsätzlich in Projektmittel der Wirtschaft, Projektmittel der öffentlichen Hand und DIN-eigene Projektmittel aufteilen. Mitarbeit im Normungsprozess So wie Industrie und Handel auf verbindliche Normen angewiesen sind, ist die Mitarbeit von Experten aus Unternehmen, Wissenschaft und Forschung beim Erarbeiten von Normen für das DIN unverzichtbar. Eine demokratische Legitimation der Normung erfordert das Engagement aller interessierten Kreise. Wer die Norm macht, hat strategische Marktvorteile. Wie kann ich mich am Normungsprozess beteiligen? Stellen eines Normungsantrags Jedermann kann einen Normungsantrag formlos schriftlich stellen, der begründet sein muss und der möglichst bereits einen konkreten Vorschlag enthalten sollte. Dies ist der Ausgangspunkt für die Entstehung einer nationalen Norm. Mitwirkung in den Arbeitsgremien Erarbeitet wird die Norm durch die von den interessierten Kreisen entsandten Experten (z. B. Anwender, Behörden, Berufsgenossenschaften, Berufs-, Fach- und Hochschulen, Handel, Handwerkswirtschaft, industrielle Hersteller, Prüfinstitute, Sachversicherer, selbständige Sachverständige, Technische Überwacher, Verbraucher, Wissenschaft). Diese entsenden ihre Experten in Arbeitsausschüsse des DIN, die in 72 Normenausschüssen nach Fachgebieten organisiert sind. Die Mitarbeiter des DIN koordinieren die Prozessabläufe und verantworten das Projektmanagement. Stellungnahme zu Norm-Entwürfen Die vorgesehene Fassung der künftigen Norm wird, wenn der entsprechende Beratungsstand erreicht ist, der Öffentlichkeit mit einer bestimmten Frist zur Stellungnahme vorgelegt; jedermann kann hierzu Stellung nehmen (siehe auch Entstehung einer nationalen Norm). Ralf Pinger / Stefan Gerken

6 5.2 Normung und Normungsorganisationen
Ziele der Normung Normung und Standardisierung sichern Deutschlands Stellung als einer der führenden Wirtschaftsnationen Normung und Standardisierung unterstützen als strategisches Instrument den Erfolg von Wirtschaft und Gesellschaft Normung und Standardisierung entlasten die staatliche Regelsetzung und fördern die Technikkonvergenz Normung und Standardisierung sowie die Normungsorganisationen fördern die Technikkonvergenz Die Normungsorganisationen bieten effiziente Prozesse und Instrumente an Ziel 1: Normung und Standardisierung sichern Deutschlands Stellung als einer der führenden Wirtschaftsnationen - Bewusstseinsbildung bei Entscheidungsträgern in Wirtschaft, Politik und Gesellschaft - Aufbau und Ausbau von Netzwerken in den Bereichen Normung und Standardisierung, Wirtschaft, Verbänden und Politik - Priorisierung von Sektoren mit hohem Entwicklungspotenzial und Wachstumsraten für die deutsche Wirtschaft - Verknüpfung Normung und Standardisierung mit Forschung und Entwicklung - Promotion des europäischen Modells zur Übernahme Internationaler Normen - Europäisches Normungssystem in Schwellenländern sowie EU-Beitrittsländern und -kandidaten verankern Ziel 2: Normung und Standardisierung unterstützen als strategisches Instrument den Erfolg von Wirtschaft und Gesellschaft - Verstärktes, zielgruppenorientiertes Marketing - Öffentlichkeits- und Aufklärungsarbeit im Netzwerk - Förderung der innerbetrieblichen Kommunikation zu den Themen „Normung und Standardisierung“ - Vertiefung der Aus- und Weiterbildung Ziel 3: Normung und Standardisierung entlasten die staatliche Regelsetzung und fördern die Technikkonvergenz - Dialog mit den politischen Entscheidungsträgern führen - Klare Abgrenzung von Normung und Standardisierung gegenüber Gesetzgebung - Verbesserung der Umsetzung der Neuen Konzeption - Erweiterung auf neue Bereiche Ziel 4: Normung und Standardisierung sowie die Normungsorganisationen fördern die Technikkonvergenz - Entwicklung von Normen und Standards auf der Systemebene - Identifizierung von Handlungsfeldern aus konvergierenden Technikdisziplinen - Optimierung der Strukturen - Übertragung auf die europäische und internationale Ebene Ziel 5: Die Normungsorganisationen bieten effiziente Prozesse und Instrumente an - Aktives Marketing der Standardisierungsverfahren - Forcieren des Einsatzes der Spezifikationen - Ermittlung der Marktrelevanz von neuen Arbeitsthemen der Normen und Standards - Optimierung der Prozessabläufe - Qualitätsniveau der deutschen Normung und Standardisierung sichern Quelle: Ralf Pinger / Stefan Gerken

7 5.3 IEC 61508 Titel: „Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme“ (E/E/PE-Systeme) nicht bezogen auf spezielle Anwendung oder Domäne Funktionale Sicherheit eines Systems ist bezogen auf dessen Funktionen ist eine „Sicherheits-Grundnorm“, das heißt sie dient als Basis für anwendungs- oder domänenspezifische Normen Geltungsbereich der Norm erstreckt sich über „gesamten Lebenszyklus“ hat acht Teile Die IEC ist eine internationale Norm zur Schaffung von elektrischen, elektronischen und programmierbar elektronischen (E/E/PE) Systemen, die eine Sicherheitsfunktion ausführen. Sie wird von der International Electrotechnical Commission (IEC) herausgegeben. Die Norm besteht aus sieben Teilen und trägt den Titel „Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbar elektronischer Systeme“. Sie wurde 1998 veröffentlicht, wovon einige Teile im Jahr 2000 in einer überarbeiteten Fassung neu veröffentlicht wurden wurde die gesamte Normenreihe erneut überarbeitet freigegeben. Vom Europäischen Komitee für Normung (CEN) wurde die Norm im Jahr 2001 inhaltsgleich als EN übernommen. In Deutschland hat sie als deutsche Fassung unter den Namen DIN EN und VDE 0803 Gültigkeit, ihre Anwendung ist freiwillig. Die Norm kann auf alle sicherheitsbezogenen Systeme, die elektrische, elektronische oder programmierbar elektronische Komponenten (E/E/PES) enthalten und deren Ausfall ein maßgebliches Risiko für Mensch oder Umwelt bedeutet, herangezogen werden. Sie ist allerdings in der EU nicht entsprechend dem New Approach harmonisiert. Daher kann sie nicht als Konformitätsvermutung zu den europäischen Richtlinien beitragen. Sie bezieht sich nicht auf bestimmte Anwendungen. Systeme, die auf Anforderung eine Sicherheitsfunktion ausführen, sind zum Beispiel das Antiblockiersystem bei einem Kraftfahrzeug, und Systeme, die auf ständige Ausführung der Sicherheitsfunktion angewiesen sind, zum Beispiel die Steuerungseinheit einer Trägerrakete. Gemäß der Norm bilden die Funktionen der sicherheitsbezogenen Systeme die funktionale Sicherheit des Gesamtsystems. Die IEC ist als „Sicherheits-Grundnorm“ ausgewiesen, das heißt sie kann als Basis für anwendungsspezifische Normen dienen. So stellen die veröffentlichten oder in Arbeit befindlichen Normen DIN IEC 61511: Funktionale Sicherheit — Sicherheitstechnische Systeme für die Prozessindustrie DIN IEC 61513: Kernkraftwerke — Leittechnik für Systeme mit sicherheitstechnischer Bedeutung – Allgemeine Systemanforderungen DIN EN 50129: Bahnanwendungen — Telekommunikationstechnik, Signaltechnik und Datenverarbeitungssysteme - Sicherheitsrelevante elektronische Systeme für Signaltechnik DIN EN 62061: Sicherheit von Maschinen — Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme ISO 26262: Road vehicles – Functional safety die Implementierung der IEC für ein bestimmtes Anwendungsgebiet dar. Der Geltungsbereich der Norm erstreckt sich über Konzept, Planung, Entwicklung, Realisierung, Inbetriebnahme, Instandhaltung, Modifikation bis hin zur Außerbetriebnahme und Deinstallation sowohl des gefahrverursachenden Systems als auch der sicherheitsbezogenen (risikomindernden) Systeme. Die Norm bezeichnet die Gesamtheit dieser Phasen als „gesamten Sicherheitslebenszyklus“. Ein Element ist die Bestimmung der Sicherheitsanforderungsstufe („Safety Integrity Level“ - SIL; es gibt SIL 1 bis SIL 4). Diese ist ein Maß für die notwendige bzw. erreichte risikomindernde Wirksamkeit der Sicherheitsfunktionen, wobei SIL 1 die geringsten Anforderungen hat. Wenn nach der Entwicklung sicherheitsbezogener Systeme gezeigt werden kann, dass für die Sicherheitsfunktionen die Anforderungen für ein SIL erfüllt werden, dient der SIL als Maß für die Wirksamkeit der Sicherheitsfunktionen. Da die Wirksamkeit sowohl durch die Zuverlässigkeit der Ausübung der Sicherheitsfunktion im Gefährdungsfall als auch durch unmittelbare Abschaltung der gefahrverursachenden Systeme im Falle einer Fehlererkennung in den sicherheitsbezogenen Systemen auch außerhalb von Gefährdungssituationen erreicht werden kann, darf nicht allein von „Zuverlässigkeit“ der Sicherheitsfunktion geredet werden, weshalb die „Sicherheitsintegrität“ als Kunstbegriff eingeführt wurde. Der notwendige SIL kann durch eine Gefahren- und Risikoanalyse ermittelt werden. SIL4 stellt hierbei eine derart hohe Sicherheitsanforderungsstufe dar, dass sie in der Praxis in einigen Bereichen nicht relevant ist, so etwa im Bereich der Sicherheit von Maschinen oder Personenkraftwagen. Als wesentliche Parameter für die Zuverlässigkeit der Sicherheitsfunktion von Geräten werden die Berechnungsgrundlagen für PFH (probability of dangerous failure per hour − Wahrscheinlichkeit des Versagens pro Stunde) und PFD (probability of dangerous failure on demand − Wahrscheinlichkeit eines Versagens bei Anforderung) geliefert. Ersterer bezieht sich auf High-Demand Systeme, also solche mit einer hohen Anforderungsrate, letzterer auf Low-Demand Systeme, die Zeit ihrer Betriebsdauer so gut wie nicht betätigt werden. Aus diesen Parametern lässt sich der SIL ablesen. Des Weiteren wird die SFF (Safe Failure Fraction) eingeführt, ein Maß dafür, welcher Anteil aller denkbaren Fehler in die sichere Richtung geht. Die IEC deckt die einfacher anzuwendende EN ISO nahezu vollständig mit ab, was den Performance Level (PL) eines Gerätes angeht. Ein SIL kann direkt in einen PL übersetzt werden. Jedoch wird bei Fehlerbetrachtungen gemäß IEC innerhalb einer FMEA nur der Erstfehler betrachtet, so dass Kategorie 4 (gemäß EN ISO ), die eine Zwei-Fehlersicherheit garantiert, nur durch Anwendung der Verfahrensweisen gemäß der EN ISO nachzuweisen ist. Normung Die Norm EN "Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme" besteht aus folgenden Teilen: Teil 0: Funktionale Sicherheit und die IEC (IEC/TR : ) Teil 1: Allgemeine Anforderungen (IEC : ) Teil 2: Anforderungen an sicherheitsbezogene elektrische/elektronische/programmierbare elektronische Systeme (IEC : ) Teil 3: Anforderungen an Software (IEC : ) Teil 4: Begriffe und Abkürzungen (IEC : ) Teil 5: Beispiele zur Ermittlung der Stufe der Sicherheitsintegrität (IEC : ) Teil 6: Anwendungsrichtlinie für IEC und IEC (IEC : ) Teil 7: Überblick über Verfahren und Massnahmen (IEC : ) Zu den oben genannten Normen-Nummern gibt es mehrere Überarbeitungs-Entwurfsfassungen. Diese Normen wurden in Deutschland, Österreich bzw. der Schweiz als nationale Norm mit der vorangestellten Kennzeichnung DIN, ÖVE/ÖNORM bzw. SN veröffentlicht. Ralf Pinger / Stefan Gerken

8 5.4 CENELEC CENELEC ist das europäische Normungskomitee für Elektrotechnik Mitglieder sind die nationalen Normungskomitees (z. B. DIN/DKE) von 33 europäischen Staaten Hersteller, Betreiber, Zulassungs-behörden und andere Interessenten wirken mit bei der Erstellung In diesen Staaten werden nationale Normen durch CENELEC-Normen (nach deren Inkrafttreten) ersetzt CENELEC arbeitet eng mit internationalen Normungsgremien, z. B. IEC, zusammen Falls es IEC-Normen gibt, werden diese in der Regel von CENELEC übernommen (und umgekehrt) Zusammenarbeit auch mit anderen Standardisierungsorganisationen weltweit Ralf Pinger / Stefan Gerken

9 Welche Bedeutung haben CENELEC-Normen?
Harmonisierung des EU-Binnenmarktes Förderung des Wettbewerbs Normen schreiben die “anerkannten Regeln der Technik” fest Fachexpertenmeinung und Bestätigung durch Erprobung Anwendung der CENELEC-Normen ist freiwillig, aber ... Nach EU Direktive 93/38/EEC sind Aufträge von mehr als € europa-weit (auf Grundlage europäischer Spezifikationen) auszuschreiben. Dazu gehören auch Normen. Die Einhaltung von (aktuellen) Normen begründet die (widerlegbare) Vermutung der Einhaltung der grundlegenden Sicherheitsanforderungen (Produzentenverantwortung, vgl. 85/374/EEC) Ralf Pinger / Stefan Gerken

10 5.4 CENELEC Umgangssprachlich in der europäischen Bahndomäne verwendet für die Normen um die funktionale Sicherheit von signaltechnischen Systemen Bahnspezifische Implementierung der IEC 61508: EN 50126 EN 50128 EN 50129 Erweiterungen um Kommunikationssicherheit EN 50159 Erweiterungen um spezielle HW-Themen Werden gerade überarbeitet Ralf Pinger / Stefan Gerken

11 5.5 ISO 26262 Automobilspezifische Implementierung der IEC 61508:
Wird gerade das erste Mal erstellt Ist freigegeben seit November 2001 Ralf Pinger / Stefan Gerken

12 5.6 DO-178/ED-12 Titel: „ Software Considerations in Airborne Systems and Equipment Certification“ Gültig im Bereich der Luftfahrt Stellt einen Bezug zwischen System, Prozess und Software her Seit Dezember 2011 ist der aktuelle Stand DO-178C/ED-12C CENELEC und IEC durchaus ähnlich, wenn auch im Detail graduelle Unterschiede sind (Detaillierung, Rollen, Dokumente, Zuschnitt der Dokumente). Hier nicht detailliert, da alle Sicherheitsmechanismen im Prinzip ähnlich sind. Nur der Vollständigkeit halber erwähnt Ralf Pinger / Stefan Gerken

13 Qualität von Software:
5.7 ISO 9126 Qualität von Software: Software-Qualität ist die Gesamtheit der Merkmale und Merkmalswerte eines Software-Produkts, die sich auf dessen Eignung beziehen, festgelegte oder vorausgesetzte Erfordernisse zu erfüllen (DIN ISO 9126) Beurteilung von Software-Qualität nach ISO/IEC 9126 Produktqualität, keine Prozessqualität Richtigkeit Interoperabilität Fehlertoleranz Bedienbarkeit Zeitverhalten Modifizierbarkeit Testbarkeit Stabilität … Ralf Pinger / Stefan Gerken

14 5.7 Qualitäts-Maße und Qualitätsmetriken
Software-Qualitätsmetrik: Meß- oder Bewertungsmaßstab eines SW-Qualitätsmerkmals Software-Qualitätsmaß: Ein Software-Qualitätsmaß ist eine quantitative Skala und eine Methode, mit der der Wert bestimmt werden kann, den ein Indikator für ein bestimmtes Software-Produkt aufweist (DIN ISO 9126) Übungen zu Softwaretechnik Aufgabe 2 – Qualitätsmerkmale Da Software immateriell ist, ist es sehr schwierig die Qualität von Software zu quantifizieren und zu messen. Zuerst einige Definitionen: - Software-Qualität ist die Gesamtheit der Merkmale und Merkmalswerte eines Software-Produkts, die sich auf dessen Eignung beziehen, festgelegte oder vorausgesetzte Erfordernisse zu erfüllen (DIN ISO 9126) - Die Software-Qualität wird allgemein oder bezogen auf einzelne Entwicklungen durch Qualitätsmerkmale beschrieben. (Balzert 1995) - Die einzelnen Merkmale werden durch Qualitätsindikatoren bzw. Metriken meß- und bewertbar gemacht. (Balzert 1995) - Ein Software-Qualitätsmaß ist eine quantitative Skala und eine Methode, mit der der Wert bestimmt werden kann, den ein Indikator für ein bestimmtes Software-Produkt aufweist (DIN ISO 9126) a) Sammeln Sie verschiedene Qualitätsmerkmale, die zur Bestimmung der Softwarequalität eingesetzt werden können. In der Norm DIN ISO 9126 werden sechs Qualitätsmerkmale für Software definiert: - Funktionalität: Richtigkeit, Angemessenheit, Interoperabilität, Ordnungsmäßigkeit, Sicherheit - Zuverlässigkeit: Reife, Fehlertoleranz, Wiederherstellbarkeit - Benutzbarkeit: Verständlichkeit, Erlernbarkeit, Bedienbarkeit - Effizienz: Zeitverhalten, Verbrauchsverhalten - Änderbarkeit: Analysierbarkeit, Modifizierbarkeit, Stabilität, Prüfbarkeit - Übertragbarkeit: Anpaßbarkeit, Installierbarkeit, Konformität, Austauschbarkeit b) Geben Sie soweit möglich für jedes Merkmal ein oder mehrere geeignete Qualitätsmaße an, mit denen das Merkmal bewertet werden kann. - Funktionalität: Sicherheitsanalyse, Benutzerbewertung, Ergebnis eines formalen Beweises - Zuverlässigkeit: MTTF, MTTR, Verfügbarkeit (AVAIL=MTTF/MTTF+MTTR), Ausfallrate, erweiterte Komplexitätsmetriken, Konformanz zu Codierrichtlinien - Benutzbarkeit: Benutzerbewertung, durchschnittlicher Lernaufwand, durchschnittlicher Zeitaufwand für eine Tätigkeit - Effizienz: durchschnittliche Antwortzeit, durchschnittlicher Speicherverbrauch, Durchsatz - Änderbarkeit: McCabe’s Cyclomatic Complexity, Halstead’s Software Metric, Stilmetriken (Namenskonventionen, Einrückung, …), Objekt-orientierte Metriken (DIT, NOC, RFC, …), Fan-in/fan-out-Metrik - Übertragbarkeit: wie Änderbarkeit, Konformanz zu Standards c) Welche Verfahren können zur Qualitätsverbesserung eingesetzt werden? Auf welche Merkmale wirken sich die Verfahren überwiegend aus? Die Verfahren können grundsätzlich in konstruktive und analytische Maßnahmen eingeteilt werden (Balzert 1995). Konstruktive Maßnahmen werden eingesetzt, damit die entstehende Software bestimmte Eigenschaften besitzt. Sie können weiter unterteilt werden in: - Technische Maßnahmen o Methoden => alle Merkmale o Sprachen => Zuverlässigkeit, Effizienz, Änderbarkeit, Übertragbarkeit o Werkzeuge => Zuverlässigkeit, Effizienz, Änderbarkeit, Übertragbarkeit - Organisatorische Maßnahmen o Richtlinien => Änderbarkeit, Übertragbarkeit o Standards => Änderbarkeit, Übertragbarkeit o Checklisten => Zuverlässigkeit, Änderbarkeit, Übertragbarkeit Analytische Maßnahmen überprüfen die entstehende Software, ob sie bestimmte Eigenschaften erfüllt. Auch sie können weiter unterteilt werden: - Testende Verfahren o Dynamische Testverfahren (Black-Box-Test, Glass-Box-Test) => Funktionalität, Zuverlässigkeit, Benutzbarkeit o Statische Testverfahren (Inspektion, Review) => alle Merkmale - Verifizierende Verfahren o Deduktive Verifikation => Funktionalität, Zuverlässigkeit o Model-Checking => Funktionalität, Zuverlässigkeit o Symbolische Ausführung => Funktionalität, Zuverlässigkeit - Analysierende Verfahren o Metriken => alle Merkmale o Grafiken und Tabellen => alle Merkmale o Stochastische Modelle => Funktionalität, Zuverlässigkeit o Simulation => Funktionalität, Zuverlässigkeit Aufgabe 3 – Fehlerabschätzung Machen Sie sich anhand der folgenden vereinfachten Modellrechnungen mit der Abschätzung von Fehlern und Fehlerentfernung vertraut. a) Eine Software mit einem Umfang von Codezeilen (LOC) soll realisiert werden, dabei sollen Module von 500 LOC verwendet werden. Bestimmen Sie die Fehlerwahrscheinlichkeit für ein Modul sowie für das Gesamtsystem bei einer Fehlerwahrscheinlichkeit von 0,001 pro LOC bzw. von 0,0001 pro LOC. Die Wahrscheinlichkeit, dass 1 LOC korrekt ist p("1 LOC korrekt") = 1-p("1 LOC nicht korrekt") = 1- 0,001 (0,0001) = 0,999 (0,9999) Damit ist die Wahrscheinlichkeit für ein Modul, korrekt zu sein: p("1 Modul korrekt") = p("1 LOC korrekt")^500 = 0,999^500 (0,9999^500) = 0,606 (0,951), p("1 Modul falsch") = 1- p("1 Modul korrekt") = 0,394 (0,049). Bei 0,1% Wahrscheinlichkeit eines Fehlers pro Zeile liegt die Modulfehlerwahrscheinlichkeit bei fast 40%, bei 0,01% Wahrscheinlichkeit eines Fehlers pro Zeile nur bei ca 5%. Für das Gesamtsystem werden 200 Module benötigt. Damit ergeben sich folgende Wahrscheinlichkeiten: p("1 System korrekt") = p("1 Modul korrekt")^200 = 0,606^200 (0,951^200) = 3,539*10^-44 (0,000045), p("1 System falsch") = 1- p("1 System korrekt") = 1-3,539*10^-44 (0, ). Im ersten Fall also ca 100% und 0, im zweiten Fall. Bei 0,00001 Fehlerwahrscheinlichkeit pro Zeile erhält man rechnerisch eine Wahrscheinlichkeit von 0,6321 für ein korrektes System. b) Für die Behebung eines Fehler werden im Schnitt 8 Personenstunden benötigt. Bei der Behebung eines Fehler ist die Wahrscheinlichkeit für das Einfügen eines neuen Fehlers 0,01. Welcher Aufwand wird bei der in Aufgabe a) beschriebenen Fehlerwahrscheinlichkeiten durchschnittlich benötigt, um durch die Behebung der anfänglichen Fehler für ein Modul aus Aufgabe a) eine Fehlerwahrscheinlichkeit von weniger als 0,005 zu erzielen? Ein Modul besteht aus 500 LOC, statistisch sind 499,5 LOC richtig oder 0,5 LOC falsch, deshalb sind 4 h / Modul für die Fehlerkorrektur notwendig. Statistisch sind 100 Fehler im System. p(1 Modul falsch) <= 0,005 d.h. p(1 Modul korrekt) >= 0,995 d.h. p(1 LOC korrekt)^500 >= 0,995 d.h. p(1 LOC korrekt) >= 0,99999 d.h. 1 Fehler im System Beseitigung von 100 Fehlern im System hinterlässt einen neuen Fehler und p(1 Modul falsch) <= 0,005, p(1 Modul korrekt) >= 0,995 p(1 System korrekt) >= 0,995^200 ≈ 0,367 Ralf Pinger / Stefan Gerken

15 5.7 Funktionalität, Zuverlässigkeit, Benutzbarkeit, Effizienz und Änderbarkeit
Qualitätsmaße für Merkmale: Funktionalität: Sicherheitsanalyse, Benutzerbewertung, Ergebnis eines formalen Beweises Zuverlässigkeit: MTTF, MTTR, Verfügbarkeit (AVAIL=MTTF/MTTF+MTTR), Ausfallrate, erweiterte Komplexitätsmetriken, Konformanz zu Codierrichtlinien Benutzbarkeit: Benutzerbewertung, durchschnittlicher Lernaufwand, durchschnittlicher Zeitaufwand für eine Tätigkeit Effizienz: durchschnittliche Antwortzeit, durchschnittlicher Speicherverbrauch, Durchsatz Änderbarkeit: McCabe’s Cyclomatic Complexity, Halstead’s Software Metric, Stilmetriken (Namenskonventionen, Einrückung, …), Objekt-orientierte Metriken (DIT, NOC, RFC, …), Fan-in/fan-out-Metrik Übertragbarkeit: wie Änderbarkeit, Konformität zu Standards Ralf Pinger / Stefan Gerken

16 § 10 Haftungshöchstbetrag. § 19 Inkrafttreten.
5.8 Produkthaftung § 1 Haftung. § 2 Produkt. § 3 Fehler. § 4 Hersteller. ... § 10 Haftungshöchstbetrag. § 19 Inkrafttreten. (1) Wird durch den Fehler eines Produkts jemand getötet, sein Körper oder seine Gesundheit verletzt oder eine Sache beschädigt, so ist der Hersteller des Produkts verpflichtet, dem Geschädigten den daraus entstehenden Schaden zu ersetzen. Sind Personenschäden durch ein Produkt oder gleiche Produkte mit demselben Fehler verursacht worden, so haftet der Ersatzpflichtige nur bis zu einem Höchstbetrag von 85 Millionen Euro. Produkthaftungsgesetz vom 15. Dezember 1989 (BGBl. I S. 2198), das zuletzt durch Artikel 9 Absatz 3 des Gesetzes vom 19. Juli 2002 (BGBl. I S. 2674) geändert worden ist Normen haben keinen Gesetzescharakter, sind keine zwingenden Rechtsvorschriften. Das Produkthaftungsgesetz verlangt vom Hersteller darüber hinaus Vorgehen nach dem Stand der Wissenschaft und Technik. Einhaltung von Normen ist notwendig, in der Regel nicht hinreichend! Im Zweifel trägt der Hersteller dafür sogar die Beweislast. Auch eine Zulassung ist, wie das Berücksichtigen von Normen, nur ein notwendiges, aber keineswegs hinreichendes Kriterium. Die Haftungsbeschränkung mag ein (finanzieller) Trost sein. Im Falle einer Katastrophe wäre der (wirtschaftliche) Imageschaden um eine Vielfaches höher. Quelle: Ralf Pinger / Stefan Gerken

17 5.8 Produkthaftung Haftungsausschlüsse
§2 (2) Die Ersatzpflicht des Herstellers ist ausgeschlossen, wenn er das Produkt nicht in den Verkehr gebracht hat, nach den Umständen davon auszugehen ist, dass das Produkt den Fehler, der den Schaden verursacht hat, noch nicht hatte, als der Hersteller es in den Verkehr brachte, er das Produkt weder für den Verkauf oder eine andere Form des Vertriebs mit wirtschaftlichem Zweck hergestellt noch im Rahmen seiner beruflichen Tätigkeit hergestellt oder vertrieben hat, der Fehler darauf beruht, dass das Produkt in dem Zeitpunkt, in dem der Hersteller es in den Verkehr brachte, dazu zwingenden Rechtsvorschriften entsprochen hat, oder der Fehler nach dem Stand der Wissenschaft und Technik in dem Zeitpunkt, in dem der Hersteller das Produkt in den Verkehr brachte, nicht erkannt werden konnte. §2 (4) ... Ist streitig, ob die Ersatzpflicht gemäß Absatz 2 oder 3 ausgeschlossen ist, so trägt der Hersteller die Beweislast. Normen haben keinen Gesetzescharakter, sind keine zwingenden Rechtsvorschriften. Das Produkthaftungsgesetz verlangt vom Hersteller darüber hinaus Vorgehen nach dem Stand der Wissenschaft und Technik. Einhaltung von Normen ist notwendig, in Regel nicht hinreichend! Im Zweifel trägt der Hersteller dafür sogar die Beweislast. Auch eine Zulassung ist, wie das Berücksichtigen von Normen, nur ein notwendiges, aber keineswegs hinreichendes Kriterium. Die Haftungsbeschränkung mag ein (finanzieller) Trost sein. Im Falle einer Katastrophe wäre der (wirtschaftliche) Imageschaden um eine Vielfaches höher. Ralf Pinger / Stefan Gerken