Struktur der einzureichenden Softwaredokumentation bei freiprogrammierbaren Waagen und Wägesystemen

Transkript

1 Physikalisch-Technische Bundesanstalt Merkblatt über die Anforderungen an die Softwaredokumentation Stand: Februar 2006 Herausgegeben von der PTB-Arbeitsgruppe 1.14 "IT-Wägetechnik Für Rückfragen steht zur Verfügung: Marcus Link Tel.: Fax: Internet: Allgemeine Hinweise Grundlage dieses Merkblatts ist der WELMEC-Guide 2.3 Leitfaden zur Prüfung von Software (Waagen) für nichtselbsttätige und selbsttätige Waagen sowie der WELMEC-Guide 7.2 Software Guide (Measuring Instruments Directive 2004/22/EC). Siehe auch Bei bereits bestehender, anders strukturierter Softwaredokumentation, genügen eventuell Querverweise auf die bestehende Dokumentation. Struktur der einzureichenden Softwaredokumentation bei freiprogrammierbaren Waagen und Wägesystemen Inhaltsverzeichnis PHYSIKALISCH-TECHNISCHE BUNDESANSTALT... 1 MERKBLATT ÜBER DIE ANFORDERUNGEN AN DIE SOFTWAREDOKUMENTATION... 1 Stand: Februar ALLGEMEINE HINWEISE EINLEITUNG FUNKTION DER SOFTWARE EINSATZGEBIET DER SOFTWARE HARDWARE-UMGEBUNG SOFTWARE LÄUFT AUF EINEM EMBEDDED-SYSTEM (BUILT FOR PURPOSE) SOFTWARE LÄUFT AUF EINEM PC-SYSTEM (UNIVERSAL COMPUTER) ANZAHL UND TYP DER ANSCHLIEßBAREN WAAGEN ANSCHLIEßBARE ZUSATZEINRICHTUNGEN VERBINDUNG ZU NETZWERK, SERVER, O.Ä SONSTIGE HARDWARE-KOMPONENTEN FUNKTIONALITÄT UND BEDIENUNG DER SOFTWARE: VOLLSTÄNDIGE BESCHREIBUNG DER FUNKTIONALITÄT DER SOFTWARE: BEDIENUNG DER SOFTWARE: PROGRAMMIERBARKEIT DER SOFTWARE BENUTZEROBERFLÄCHE GESCHLOSSEN BENUTZEROBERFLÄCHE NICHT GESCHLOSSEN... 4

2 4. STRUKTUR DER SOFTWARE TRENNUNG ZWISCHEN EICHPFLICHTIGEN UND NICHT EICHPFLICHTIGEN PROGRAMM- MODULEN KEINE TRENNUNG ZWISCHEN EICHPFLICHTIGEN UND NICHT EICHPFLICHTIGEN PROGRAMM- MODULEN EICHFÄHIGE SOFTWARE-MODULE AUF MEHRERE SYSTEME VERTEILT BESCHREIBUNG DER SOFTWARE-SCHNITTSTELLEN GERÄTESPEZIFISCHE PARAMETER (GP) TYPSPEZIFISCHE PARAMETER (TP) VARIABLE WERTE (VW) LOW-LEVEL-TREIBER GRAFISCHE DARSTELLUNG DER MODULE, FUNKTIONEN UND SCHNITTSTELLEN SICHERUNGSMAßNAHMEN FÜR SOFTWARE UND PARAMETER HARDWARETECHNISCHE SICHERUNG DER SOFTWARE MANIPULATIONEN DES PROGRAMM-CODES FUNKTIONALE PRÜFZAHL SICHERUNG GERÄTESPEZIFISCHER PARAMETER SICHERUNG TYPSPEZIFISCHER PARAMETER SICHERUNG DER VARIABLEN WERTE KONTROLLFUNKTIONEN SOFTWARE-DOWNLOAD SOFTWARE-DOWNLOAD IST NICHT VORGESEHEN SOFTWAREDOWNLOAD BEI ZUSATZEINRICHTUNGEN SOFTWARE-DOWNLOAD IST NUR FÜR NICHT EICHPFLICHTIGE PROGRAMMTEILE VORGESEHEN SOFTWARE-DOWNLOAD FÜR EICHPFLICHTIGE PROGRAMMTEILE CHECKLISTE SOFTWARE-DOWNLOAD INFORMATIONEN ZUR EICHUNG SICHERUNGS- UND STEMPELSTELLEN KENNZEICHUNGSSCHILD ANGABEN ZUR SOFTWARE AUF DEM KENNZEICHUNGSSCHILD: ANWEISUNGEN ZUR EICHUNG: ERFORDERLICHE SCHRIFTLICHE ERKLÄRUNGEN... 8 Struktur der Software Dokumentation Die einzureichende Softwaredokumentation sollte nach folgendem Schema aufgebaut sein. Nicht zutreffende Kapitel können ausgelassen werden. Die Nummerierung der Kapitel sollte aber beibehalten werden. Beachten Sie bitte die kursiv geschriebenen Hinweise. 1. Einleitung 1.1 Funktion der Software Realisiert die Software Funktionen einer Waage? Realisiert die Software Funktionen einer Zusatzeinrichtung? 1.2 Einsatzgebiet der Software Hier ist das Einsatzgebiet der Software zu beschreiben; z.b. als eichfähiger Datenspeicher, als Hauptanzeige einer Waage, als Kassensystem oder spezielle Anwendungen wie z.b. Müllverwiegung. 2. Hardware-Umgebung 2.1 Software läuft auf einem Embedded-System (built for purpose)

3 Beschreibung des Embedded Systems : wesentliche Hardware-Komponenten (Prozessor, flüchtiger / nicht flüchtiger Speicher, weitere Speichermedien, Grafik, etc. ) Beschreibung Hardware-Schnittstellen: Tastatur, Monitor, serielle/parallele Schnittstellen, IR- Schnittstellen, Diskettenlaufwerk, Ethernet, etc. Betriebssystem Multitasking Betrieb Hinweis, wo diese Angaben im Gerätehandbuch zu finden sind Hier sollte klar herausgestellt werden, warum es sich um ein gekapseltes System handelt. Es ist deutlich aufzuzeigen, dass dem Benutzer nur die vorgegebenen Funktionen zur Verfügung stehen und er keine Möglichkeit hat, diese zu erweitern. Ein Blockschaltbild des Systemaufbaus ist beizufügen. 2.2 Software läuft auf einem PC-System (universal computer) wesentliche Hardware-Komponenten (Prozessor, Speicher, Festplatte, etc.) Beschreibung der Hardware-Schnittstellen: (Tastatur, Monitor, serielle/parallele Schnittstellen, Diskette, CD, Ethernet, etc.) Betriebssystem Multitasking Betrieb Verweis, wo diese Angaben im Gerätehandbuch zu finden sind Bei Systemen, die vom Aufbau her nicht einem handelsüblichen PC entsprechen, aber auf PC-Technologie basieren, ist eine erweiterte Systembeschreibung und ein Blockschaltbild beizufügen. 2.3 Anzahl und Typ der anschließbaren Waagen Welche Waagentypen dürfen angeschlossen werden? EG-Zulassung, Hersteller, Typ, eventuelle Besonderheiten Phys. Anschluss der Waagen, Verplombung der Anschlüsse Datenprotokolle / Datentransfer Datensicherheit des Protokolls 2.4 Anschließbare Zusatzeinrichtungen Hersteller, Typ Eigenschaften, Funktionen Einstellungen 2.5 Verbindung zu Netzwerk, Server, o.ä. Austausch welcher Daten? Datenprotokoll Datensicherheit des Protokolls Eine genaue Beschreibung der Kommunikationsprotokolle; welche Daten werden zu welchem Zweck übertragen? Wodurch wird die Datensicherheit gewährleistet? 2.6 Sonstige Hardware-Komponenten 3. Funktionalität und Bedienung der Software: 3.1 Vollständige Beschreibung der Funktionalität der Software: Die Funktionalität der an der PTB vorgestellten Software sollte vollständig sein und alle eichpflichtigen und nicht eichpflichtigen Programmteile umfassen Eichpflichtige Funktionen der Software z.b.: eichpflichtige Speicherung von Wägeergebnissen auf der Festplatte, Darstellung der Wägeergebnisse auf einem Display als Haupt- oder Zweitanzeige, Realisierung eines Logbuchs, eichpflichtiger Abdruck der Wägeergebnisse, Editierung des Ausdrucks, Software-Download (s.a. Kapitel 6),

4 Programmierung eichpflichtiger Funktionen Nicht eichpflichtige Funktionen der vorgestellten Software Beschreibung der Funktionen und Applikationen, die nicht der Eichpflicht unterliegen 3.2 Bedienung der Software: Vollständige Beschreibung der Bedienung der vorgestellten Software, inkl. der Bedienung der nicht eichpflichtigen Programmteile. Vorlage des Bedienerhandbuchs für die Software. 3.3 Programmierbarkeit der Software Beschreibung der Programmiermöglichkeiten der Software vollständige Beschreibung der für den Anwender verfügbaren Befehle Vorlage des Bedienerhandbuchs für die Software Hier sollte darauf hingewiesen werden, ob nur der Hersteller oder auch der Bediener Möglichkeiten zur Änderung / Ergänzung der Software hat. Dies könnte z.b. das Ändern des Drucklayouts oder der Größe und Form der Anzeige sein (nur nichteichpflichtig). 3.4 Benutzeroberfläche geschlossen Automatisches Booten der Programm-Module (PM) Anwender hat keinen Zugang zum Betriebssystem Anwender hat nur Zugang zu zugelassenen Programmen Vollständiger Befehlssatz mit kurzen Erläuterungen liegt vor Schriftliche Erklärung der Vollständigkeit liegt vor Es ist darzulegen, wie die einzelnen Punkte umgesetzt sind Benutzeroberfläche nicht geschlossen Welche weitere Software (Word, Excel, weitere Applikationen etc.) darf betrieben werden? Beschreibung der für den Anwender frei verfügbaren Befehle Welche Sicherungsmaßnahmen gegen Manipulation der Software sind realisiert? (kurze Auflistung, genaue Beschreibung in Kapitel 5) Vollständiger Befehlssatz mit kurzen Erläuterungen liegt vor Schriftliche Erklärung der Vollständigkeit liegt vor Es ist darzulegen, wie die einzelnen Punkte umgesetzt sind. 4. Struktur der Software 4.1 Trennung zwischen eichpflichtigen und nicht eichpflichtigen Programm- Modulen Liste mit der Bezeichnung der eichpflichtigen Programm-Module Eichpflichtige Programm-Module liegen als ausführbarer Code (*.exe), (*.dll) etc vor Programm-Module sind wo gespeichert? Beschreibung der Aufgaben / integrierten Funktionen der Programm-Module Bezeichnung / Beschreibung der nicht eichpflichtigen Programm-Module (Applikation) Aus den Beschreibungen sollte deutlich werden, wie die Trennung der Module realisiert ist. 4.2 Keine Trennung zwischen eichpflichtigen und nicht eichpflichtigen Programm- Modulen Liste mit der Bezeichnung der Programm-Module der Software und deren Funktionen Beschreibung der Funktionalität der Programm-Module eichpflichtige Programm-Module liegen als ausführbarer Code (*.exe), (*.dll) vor Programm-Module sind wo gespeichert? 4.3 Eichfähige Software-Module auf mehrere Systeme verteilt Liste mit der Bezeichnung der Module, deren Funktionen und Ausführungsort Beschreibung zusätzlicher Sicherheitsmechanismen zur Kommunikation zwischen den Systemen Datenprotokolle Identifikation der verteilten Softwaremodule

5 4.4 Beschreibung der Software-Schnittstellen Schnittstelle zwischen eichpflichtigen und nicht eichpflichtigen Funktionen eichpfl. Funktionen nicht eichpfl. Applikation: Input: z.b. Aufruf zum Wägen Output: z.b. Wägeergebnis Schnittstelle zwischen eichpfl. Funktionen und Hardware: z.b. eichpfl. Funktionen serielle Schnittstelle: Input: z.b. Aufruf zum Wägen Output: z.b. Wägeergebnis Vollständige Liste aller Schnittstellenbefehle zu und Schriftliche Erklärung der Vollständigkeit der Listen zu muss vorliegen Schriftliche Erklärung der Rückwirkungsfreiheit zu und muss vorliegen 4.5 Gerätespezifische Parameter (GP) Auf welche GP greift die Software zu (Auflistung/Beschreibung)? Bietet die Software die Möglichkeit, GP zu generieren oder zu verändern? Wie sind die GP gespeichert (Softwaremodul / Datei / Speichermedium / Format)? Die GP beinhalten die Justierparameter, Max, Min, e,d, Masseeinheiten 4.6 Typspezifische Parameter (TP) Auf welche TP greift die Software zu (Auflistung/Beschreibung) Bietet die Software die Möglichkeit, TP zu generieren oder zu verändern? Wie sind die TP gespeichert (Softwaremodul / Datei / Speichermedium /Format) Die TP beinhalten z.b. die Parameter für die Stabilitätsanalyse, Rundung und Gewichtsermittlung 4.7 Variable Werte (VW) Bietet die Software die Möglichkeit, VW zu generieren und zu speichern? (Auflistung der VW) Welche VW können mit der Software ausgelesen werden? (Auflistung/Beschreibung) Die VW beinhalten z.b. Messdaten, Einträge in eichpfl. Datenspeicher, Tara 4.8 Low-Level-Treiber In welchen Anwendungen kommen Low-Level-Treiber zum Einsatz? Auflistung der verwendeten Low-Level-Treiber Handelt es sich um Treiber, die standardmäßig zum Betriebsystem gehören? 4.9 Grafische Darstellung der Module, Funktionen und Schnittstellen Module, Funktionen, Software- und Hardware-Schnittstellen sind in einer Grafik zu bezeichnen oder zu nummerieren. Darstellung des Zugriffs auf gerätespezifische / typspezifische Parameter und variable Werte. Die Darstellung sollte mittels eines einfachen Blockschaltbilds erfolgen. In diesem sind die Richtungen sämtlicher Kommunikationswege darzustellen. 5. Sicherungsmaßnahmen für Software und Parameter 5.1 Hardwaretechnische Sicherung der Software Beschreibung des Sicherungsverfahrens; z.b. Dongel, nicht überschreibbares Speichermedium, Hardware-Plombe 5.2 Manipulationen des Programm-Codes Beschreibung des Sicherungsverfahrens Verhalten des Programms bei manipuliertem Programm-Code Besonderheiten Hier sollte detailliert auf das Sicherungsverfahren eingegangen werden. Beispielsweise, mit welchem Algorithmus eine Checksumme oder Signatur über den Programmcode gebildet wird.

6 5.3 Funktionale Prüfzahl Bildung der Prüfzahl Beteiligte eichpflichtige Funktionen / Module an der Bestimmung der funkt. Prüfzahl und deren Ident-Code Verhalten des Programms bei manipuliertem Programm-Code Der Applikationsprogrammierer wird darauf hingewiesen, dass es sich um ein eichpflichtiges Modul / eine eichpflichtige Funktion handelt, deren funktionale Änderungen zu einer Änderung der ID-Nummer führen. Ein entsprechender Hinweis im Quellcode ist notwendig Angabe der Prüfzahl und Beschreibung der Kontrollfunktion Besonderheiten Sollte statt der funktionalen Prüfzahl eine echte Checksumme oder Signatur benutzt werden, so sind die Kapitel bis dennoch (entsprechend abgeändert) zu dokumentieren. 5.4 Sicherung gerätespezifischer Parameter Speichermedium / Speicherort Maßnahmen gegen absichtliche / unabsichtliche Veränderung z.b. Checksumme über GP, Hardwaresicherung Verhalten des Programms bei manipulierten gerätespez. Parametern Beschreibung der Kontrolleinrichtungen zum Schutz gegen Veränderungen z.b. Ereigniszähler, Logbuch 5.5 Sicherung typspezifischer Parameter Speichermedium / Speicherort; z.b. Waage Sicherungsmechanismen gegen absichtliche / unabsichtliche Veränderung z.b. Checksumme über TP, Hardware-Sicherung Verhalten des Programms bei manipulierten typspezifischen Parametern Beschreibung der Kontrolleinrichtungen zum Schutz gegen Veränderungen, z.b. Ereigniszähler, Logbuch 5.6 Sicherung der variablen Werte Speichermedium / Speicherort Sicherungsmechanismen gegen absichtliche / unabsichtliche Veränderung z.b. Checksumme über VW, Hardware-Sicherung Verhalten des Programms bei manipulierten variablen Parametern Beschreibung der Kontrolleinrichtungen zum Schutz gegen Veränderungen z.b. Ereigniszähler, Logbuch 5.7 Kontrollfunktionen Es müssen Kontrolleinrichtungen (z.b. Ereigniszähler, Logbuch) existieren für die Programmmodule die GP die TP die VW Checksummen müssen generiert werden über der Programmmodule der GP der TP der VW Das Verfahren zur Ermittlung der Prüfzahl über den Programmcode muss beschrieben werden 6. Software-Download 6.1 Software-Download ist nicht vorgesehen Bei der Software handelt es sich lediglich um Software für eine einfache Zusatzeinrichtung, besondere Schutzmaßnahmen für Software-Download sind nicht erforderlich

7 Wenn es sich um eine einfache Zusatzeinrichtung handelt (z.b. nichtpreisrechnendes Kassensystem oder Alibidrucker), müssen die erweiterten Anforderungen bezüglich des Softwaredownloads, z.b. Zusatzhardware, nicht angewendet werden. 6.2 Softwaredownload bei Zusatzeinrichtungen Welche Schutzmaßnahmen gegen Software-Download existieren z.b. Hardware-Sicherung, keine geeigneten Schnittstellen vorhanden, etc.) Wenn ein Softwaredownload nicht vorgesehen ist, darf ein Download auch für den Hersteller (nach In-Verkehr-Bringen) nicht möglich sein. Es ist zu beschreiben, mit welchen Mitteln dies verhindert wird. 6.3 Software-Download ist nur für nicht eichpflichtige Programmteile vorgesehen Beschreibung des Download-Verfahrens Wie ist die eichpflichtige Software gegen Software-Download gesichert? Eine Bescheinigung des Herstellers, dass mit den nicht-eichpflichtigen Softwareteilen keine neuen, eichpflichtigen Funktionen importiert werden, liegt vor Kapitel 6.3 kann nur bei Trennung von eichpflichtiger und nicht eichpflichtiger Software angewendet werden. Die Trennung ist unter Kapitel 4 zu beschreiben. 6.4 Software-Download für eichpflichtige Programmteile Dieses Kapitel ist für eichpflichtige und nicht eichpflichtige Programmteile anzuwenden, falls keine Softwaretrennung existiert Beschreibung des Download-Verfahrens Wie ist sichergestellt, dass nur zugelassene Software geladen wird? Überprüfung der Software-Identifikation, überprüfende Software muss hardwaretechnisch gesichert sein, Beschreibung der Sicherungsverfahren (WELMEC 2.3, Anforderung B1) Wie erfolgt die Überprüfung der Authentizität und Integrität der geladenen Software? Besteht eine automatische Prüffunktion im festen Softwareteil? Beschreibung des Verfahrens (WELMEC 2.3, Anforderung B2) Wie ist sichergestellt, dass mit geeigneten Mitteln das Laden von Software bei späteren Kontrollen rückverfolgt werden kann? (WELMEC 2.3 Anf. B3) Beschreibung des Logbuchs. Verhalten bei Erreichen der Grenze der Logbuch- Kapazität. Könnten Daten aus dem Logbuch gelöscht werden? Wie ist das Logbuch vor Manipulationen geschützt? Wie ist sichergestellt, dass die Software nur mit der ausdrücklichen Zustimmung durch den Verwender des Messgerätes geladen werden kann? (WELMEC 2.3, Anforderung B4) Das Verfahren zum Download ist genau zu beschreiben und mittels Blockschaltbild darzustellen. Beispielhafte Darstellung siehe WELMEC-Guide 2.3, Anhang Checkliste Software-Download Anforderungen an Software-Download müssen nicht eingehalten werden, da es sich um eine Zusatzeinrichtung handelt Software-Download nicht vorgesehen Software-Download von nicht eichpflichtigen Programmteilen Eichpflichtige Programmteile sind gegen Software-Download gesichert? Schnittstelle zwischen eichpflichtiger und nicht eichpflichtiger Software ist rückwirkungsfrei? Software-Download ohne Zustimmung des Verwenders nicht möglich? Eine Bescheinigung des Herstellers, dass mit den nichteichpflichtigen Softwareteilen keine neuen, eichpflichtigen Funktionen importiert werden, liegt vor Software-Download von eichpflichtigen Programmteilen Überprüfung der Software-Identifikation durch besonders gesicherte Software Überprüfung der Identifikation vor Aufspielen der Software

8 Überprüfung der Software-Authentizität durch besonders gesicherte Software Überprüfung der Authentizität vor Aufspielen der Software Überprüfung der Software-Integrität durch besonders gesicherte Software Überprüfung der Integrität vor Aufspielen der Software Es ist sichergestellt, dass nur zugelassene Software heruntergeladen werden kann Es ist sichergestellt, dass ein Software-Download nur mit ausdrücklicher Zustimmung des Verwenders durchgeführt werden kann Es existiert ein Logbuch Die Einträge im Logbuch sind vollständig und ausreichend zur Rückverfolgung der Download-Vorgänge Das Logbuch ist ausreichend gegen Manipulationen gesichert Die Speicherkapazität des Logbuchs ist ausreichend Ist die Speichergrenze des Logbuchs erreicht, sind keine weiteren Software-Downloads möglich Es existiert ein Ereigniszähler Ein Zurücksetzen des Ereigniszählers ohne Verletzung einer Hardware-Sicherung ist nicht möglich Schriftliche Erklärung der Richtigkeit und Vollständigkeit liegt vor 7. Informationen zur Eichung 7.1 Sicherungs- und Stempelstellen Anbringungsort Beschreibung, Abbildungen 7.2 Kennzeichungsschild Bild des Kennzeichnungsschildes; Darstellung des Anbringungsortes 7.3 Angaben zur Software auf dem Kennzeichungsschild: Versionsnummer der Software Beschreibung der Nomenklatur (fester Teil der Versions-Nr., variabler Teil) Checksumme / Funktionale Prüfzahl Ereigniszähler 7.4 Anweisungen zur Eichung: Auslesen der Versions-Nummer Auslesen der Checksumme / Funktionalen Prüfzahl Auslesen des Ereigniszählers Überprüfung des Logbuchs Überprüfung sonstiger Kontrolleinrichtungen Es ist eine ausführliche Beschreibung zu erstellen, wie die einzelnen Informationen abzurufen sind. Hilfreich sind hier Screenshots. 8. Erforderliche schriftliche Erklärungen - Erklärung, dass die frei programmierbare Einrichtung einschließlich ihrer Software der Norm EN45501 entspricht. - Erklärung, dass die Liste der dokumentierten Module, Funktionen und Prozeduren vollständig ist. - Erklärung, dass die Liste der dokumentierten Schnittstellen vollständig ist und sämtliche Schnittstellen rückwirkungsfrei im Sinne der Norm EN45501 ( ) sind. - Bescheinigung des Herstellers, dass mit nicht-eichpflichtigen Softwareteilen keine neuen, eichpflichtigen Funktionen importiert oder realisiert werden.