Risikobasierte Software- Architektur für sicherheitskritische Systeme. Erik Steiner Matthias Seeland. Organized by:

Transkript

1 Di 2.4 January 22 th -26 th, 2007, Munich/Germany Organized by: Lindlaustr. 2c, Troisdorf, Tel.: +49 (0) , Fax.: +49 (0)

2 Architektur für Folie 1 Consulting Development Integration Wir beraten, entwickeln und integrieren aufgabengerecht mit überzeugender Qualität und Wirtschaftlichkeit. Mehr als 4000 Projekte in Europa realisiert 30 Mio. Umsatz (2005) 240 Mitarbeitende Ende 2005 In Frankfurt, Hannover, London und Zürich Gründung 1968, im Besitz von Partnern ISO 9000 und zertifiziert Folie 2 1

3 Consulting Development Integration Software Engineer Entwicklungsprozesse Anforderungsmanagement Testmanagement Projektleiter Projektmanagement Entwicklungsprozesse Anforderungsmanagement Folie 3 Agenda Sicherheit Software-Architektur Risiko Risikobasiertes Testen Risikobasierte Architektur Beispiel Fazit Folie 4 2

4 Sicherheit S I C H E R H E I T S A F E T Y S E C U R I T Y Fokus des Vortrags: Sicherheitskritisches System = Safety Critical System Folie 5 Sicherheit Bereiche Avionik Medizinische Geräte Industrielle Prozesskontrolle Atomkraftwerke Automobile Software an sich ist harmlos! Folie 6 3

5 Sicherheit Plan Execute Vorgehen Report Review Folie 7 Software-Architektur Software architecture is concerned with capturing the structures of a system and the relationships among the elements. [Soni, Nord, and Hofmeister, 1995] Requirements Scenarios Supplementaries Folie 8 4

6 Software-Architektur Konzeption Infrastruktur Implementierung Sichten Laufzeit Daten Folie 9 [Gernot Starke, Effektive Software-Architekturen, 2002] Software-Architektur Abstraction Separation of Concerns High Cohesion Loose Coupling Folie 10 5

7 Risiko Wirtschaftliches Risiko Technisches Risiko Organisatorisches Risiko Produkt-Risiko Gefährdung für Mensch und Umwelt Folie 11 Risiko Schaden / Verletzung R I S I K O Wahrscheinlichkeit Schweregrad Software risk estimation should should focus primarily on hazard severity and the relative likelihood of harm if a failure should occur [AAMI TIR32:2004] Folie 12 6

8 Risiko Elektronik System Risikoanalyse Software Mechanik Auswirkung Wahrscheinlichkeit Risikomanagement iterativer Prozess! Maßnahmen Folie 13 Risiko Eigenschaften Gefordert Interdisziplinär Zeitaufwendig Techniken Hazard-Analysis Fault-Tree-Analysis FMEA und Spielarten Software SFME(C)A Keine Eintrittswahrscheinlichkeit Häufig Maßnahmen-Umsetzung Folie 14 7

9 Risikobasiertes Testen Auswirkung Wahrscheinlichkeit Requirements Scenarios Supplementaries Testplanung Test-Priorisierung Test-Intensität Folie 15 Risikobasierte Architektur Auswirkung Wahrscheinlichkeit Requirements Scenarios Supplementaries? Folie 16 8

10 Risikobasierte Architektur Status Quo Risiko meist vernachlässigt Manchmal intuitiv berücksichtigt Gefahr der Risikoverteilung Test deckt spät Probleme auf Ideal Risiken als weitere Concerns Risiken in wenige Komponenten Angemessener Prozess Frühe Risikoanalyse Folie 17 Beispiel Testframework Testframework Sicherheitskritisches System Elektronik Mechanik Firmware Folie 18 9

11 Beispiel Testframework Anforderungen Ziel ist embedded System Einfache Testentwicklung Manuelle Durchführung Automatisierte Durchführung Unterstützung bei Entwicklung Lesbarkeit der Testfälle Gruppierung von Testfällen Ausdruckbarkeit Versionsverwaltung Zugriffsberechtigung Adaption in Testinfrastruktur Einsatz für Validierung Folie 19 Beispiel Testframework Test-Core Firmware-API NUnit C#-TestProject Folie 20 10

12 Beispiel Testframework NUnit Console GUI Core TestLog AddIn Folie 21 Beispiel Testframework Firmware API Firmware XML-API Folie 22 API- Transformer Firmware-API C#-ClassLib 11

13 Beispiel Testframework Test-Core Assertions Attribute (TestCase/Suite) contain contain Test-Core control AddIn BaseLib, Communication Folie 23 Beispiel Testframework C#-Testproject C#-TestProject contain C#-TestScript Firmware-API C#-ClassLib Folie 24 12

14 Beispiel Testframework Architektur Console GUI Firmware XML-API Core TestLog API- Transformer AddIn instantiate C#-TestProject FirmwareAPI C#-ClassLib control contain TestCore BaseLib, Communication C#-TestScript Folie 25 Beispiel Testframework Bewertung Vorteile Nachteile NUnit praxiserprobt TestCore entkoppelt Firmware abstrahiert Modular Generisch Anforderungen erfüllt Risiko nicht beachtet Sehr aufwendige Verifizierung Folie 26 13

15 Beispiel Testframework Risiken Fehler Test falsch positiv Test falsch negativ Test nicht in korrekter Version Ursachen Fehlerhafte NUnit Fehlerhafte TestCore-Module Fehlerhafte Maßnahmen Aufwendige Dokumentation Umfangreiche Verifizierung Folie 27 Beispiel Testframework Erweiterung Console GUI Firmware XML-API Core TestLog API- Transformer AddIn instantiate C#-TestProject FirmwareAPI C#-ClassLib control TestCore record TestStep XML contain C#-TestScript BaseLib, Communication replay TestEngine TestLog Folie 28 14

16 Beispiel Testframework Fokussierung Console GUI Firmware XML-API Core TestLog API- Transformer AddIn instantiate C#-TestProject FirmwareAPI C#-ClassLib control TestCore record TestStep XML contain C#-TestScript BaseLib, Communication replay TestEngine TestLog Folie 29 Beispiel Testframework Neubewertung Vorteile Nachteile NUnit praxiserprobt TestCore entkoppelt Firmware abstrahiert Modular, Generisch Verifizierungsaufwand minimiert Anforderungen erfüllt Komplexere Architektur Mehraufwand Programmierung Kommunikationsaufwand Folie 30 15

17 Fazit Risikoanalysen sind kein lästiges Übel Risikoanalysen tragen zum Systemverständnis bei Reduktion der Dokumentation und Verifikation Iterativer Entwicklungsprozess ist hilfreich Offenheit bei allen Beteiligten ist erforderlich Extrapolierbar auf System-Architektur Explizite vs. implizite Risikobetrachtung Folie 31 Vielen Dank für Ihr Interesse! Referenzen S. Grasmann, Embedded NUnit, dotnetpro 11/06 ( Software Architecture Today ( G. Starke, Effektive Software-Architekturen, Hanser, 2002 Soni, Hofmeister, Nord, Software Architecture in Industrial Applications, Proc. of the 17th Int. Conf. on Software Engineering, 1995 Spillner, Linz, Basiswissen Softwaretest, Dpunkt, 2005 AAMI TIR32:2004 Medical device software risk management Leveson, Safeware, System Safety and Computers, Addison-Wesley Longman, 1995 Folie 32 16