Grundlegende Anforderungen an die Software von Messgeräten

Transkript

1 243. PTB-Seminar Anwendung der MID bei Herstellern Grundlegende Anforderungen an die Software von Messgeräten Ulrich Grottker PTB-8.53

2 Überblick Leitfaden 7.2 Software Risikoklassen Modulares Anforderungssystem Prüfungen Modul B / Entwurfsprüfung H1 Module F, D, H1 Zusammenfassung 2/ 28

3 Working Group 7 Software Gegründet November Mitglieder (Benannte Stellen) 5 EU-Organisationen (Hersteller und Anwender von Messgeräten) 1 Beobachter 3/ 28

4 Software-Anforderungen in MID, Annex I Sicherheit und Software-Identifikation 8.3 Software, die für die messtechnischen Merkmale entscheidend ist, ist entsprechend zu kennzeichnen und zu sichern. Die Identifikation der Software muss auf einfache Weise vom Messgerät zur Verfügung gestellt werden. Eventuelle Eingriffe müssen über einen angemessenen Zeitraum nachweisbar sein. Datenübertragung und Datenspeicherung 8.4 Messdaten, Software, die für die messtechnischen Merkmale entscheidend sind und messtechnisch wichtige Parameter, die gespeichert oder übertragen werden, sind angemessen gegen versehentliche oder vorsätzliche Verfälschung zu schützen. Schnittstellen 8.1 Die messtechnischen Merkmale eines Messgerätes dürfen durch das Anschließen eines anderen Gerätes, durch die Merkmale des angeschlossenen Geräts oder die Merkmale eines abgesetzten Geräts, das mit dem Messgerät in Kommunikationsverbindung steht, nicht in unzulässiger Weise beeinflusst werden. Software-Trennung Wenn ein Messgerät über zugehörige zusätzliche Software verfügt, die neben der Messfunktion weitere Funktionen erfüllt, muss die für die messtechnischen Merkmale entscheidende Software identifizierbar sein; sie darf durch die zugehörige zusätzliche Software nicht in unzulässiger Weise beeinflusst werden. 4/ 28

5 7.2 Software-Leitfaden Aufbau des Leitfadens A B C D E F Basis- Anforderungen an zweckgebundene Geräte: Leitfaden P Basis- Anforderungen an Universalrechner (PC): Leitfaden U Risiko Klassen 5/ 28

6 Definition der Risikoklassen Konformität niedrig :: Funktionen identisch mittel: Ausgewählte Softwareteile identisch hoch: hoch: Gesamte Software identisch niedrig Manipulationsschutz mittel hoch Manipulationsschutz niedrig: keine keine besonderen Schutzmaßnahmen mittel: Verwendung von von verbreiteten einfachen Werkzeugen Prüftiefe (Texteditoren, etc.) etc.) hoch: hoch: Stand Stand der der Technik im im e-commerce. Konformität Seriengerät - Baumuster niedrig mittel hoch A B C - D E F Risikoklassen A - F niedrig mittel hoch Prüftiefe niedrig: Funktionaler Test Test des des Gerätes mittel: Prüfung auf auf der derbasis von von Funktionsbeschreibungen (Dokumentation) + ausgewählte praktische Tests Tests hoch: hoch: Prüfung auf auf der der Basis Basis des des Quellcodes 6/ 28

7 Festlegung der Risikoklassen Konformität niedrig :: Funktionen identisch Manipulationsschutz mittel: Verwendung von von verbreiteten niedrig einfachen Werkzeugen Manipula- (Texteditoren, mittel tionsschutz etc.) etc.) Prüftiefe hoch mittel: Prüfung auf auf der der Basis Basis von von Funktionsbeschreibungen (Dokumentation) + ausgewählte praktische Tests tion) Tests Konformität Seriengerät - Baumuster niedrig mittel hoch Prüftiefe A - - B C - - D E F Risikoklassen A - F Beispiele Waagen (P), (P), keine keine niedrig Förderbandwaagen Abgas (P) (P) mittel Dimensionsmessgeräte (P) hoch (P) Druck Flüssigkeiten, Gase Gase (national) 7/ 28

8 Festlegung der Risikoklassen Konformität mittel: Ausgewählte Softwareteile identisch Manipulationsschutz mittel: Verwendung niedrig von von verbreiteten ver- Manipula- einfachen Werkzeugen mittel tionsschutz Prüftiefe hoch mittel: Prüfung auf auf der derbasis von von Funktionsbeschreibungen (Dokumentation) + ausgewählte praktische Tests tion) Tests Konformität Seriengerät - Baumuster niedrig mittel hoch A B - C D E F niedrig Prüftiefe mittel hoch Risikoklassen A - F Beispiele Zähler Waagen (U), (U), Förderbandwaagen Flüssigkeiten außer außer Wasser (U) (U) Taxameter (P) (P) Dimensionsmessgeräte (U) (U) Abgas (U) (U) Getreidefeuchte (national) Kalorimeter (national) 8/ 28

9 Festlegung der Risikoklassen Konformität mittel: Ausgewählte Softwareteile identisch Manipulationsschutz niedrig Soft- hoch: hoch: Stand Stand der der Technik im im Manipulationsschutz e-commerce. mittel Prüftiefe hoch mittel: Prüfung auf auf der derbasis von von Funktionsbeschreibungen (Dokumentation) + ausgewählte praktische Tests tion) Tests Konformität Seriengerät - Baumuster niedrig mittel hoch A - - B C - - D E F Risikoklassen A - F Beispiele Taxameter (U) (U) niedrig National: Prüftiefe mittel Messsysteme mit mit Speicherung // Datenübertragung hoch nach nach PTB-A50.7 9/ 28

10 Festlegung der Risikoklassen Konformität mittel: Ausgewählte Softwareteile identisch Manipulationsschutz niedrig Soft- hoch: hoch: Stand Stand der der Technik im im Manipulationsschutz e-commerce. mittel Prüftiefe hoch hoch: hoch: Prüfung auf auf der der Basis Basis des des Quellcodes Konformität Seriengerät - Baumuster niedrig mittel hoch A - - B C - - D E F Risikoklassen A - F Prüftiefe niedrig mittel hoch Beispiel Choirometer (national) 10 / 28

11 Festlegung der Risikoklassen Konformität hoch: hoch: Gesamte Software identisch Manipulationsschutz niedrig hoch: hoch: Stand Stand der der Technik im im Manipulationsschutz e-commerce. mittel Prüftiefe hoch hoch: hoch: Prüfung auf auf der der Basis Basis des des Quellcodes Konformität Seriengerät - Baumuster niedrig mittel hoch A - - B C - - D E F Risikoklassen A - F Prüftiefe niedrig mittel hoch Beispiel Geschwindigkeitsmessgeräte (national) 11 / 28

12 Teil P - Geräte-Konfigurationen und Anforderungen P-Gerät (Built-for-Purpose Device), Gesamtgerät Elektrizitätszähler, Abgasmessgerät, Taxameter, Waage,... Für den Messzweck konstruierte Geräte Eingebettete IT-Komponenten realisieren nur Mess- und Anzeigefunktionen Keine Möglichkeit für den Benutzer zum Programmieren oder Betreiben anderer Software 12 / 28

13 Teil P - Geräte-Konfigurationen und Anforderungen P-Gerät (Built-for-Purpose P1 Device), Dokumentation Gesamtgerät Elektrizitätszähler, Abgasmessgerät, P2 Software-Identifikation Taxameter, Waage,... Für P6 den Schutz Messzweck gegen beabsichtigte konstruierte Software- Geräte Eingebettete IT-Komponenten realisieren nur Mess- und Anzeigefunktionen Keine Möglichkeit für den Benutzer zum Programmieren oder Betreiben anderer Software Anforderungen: Anforderungen: Zweckgebundener Zweckgebundener Computer Computer P1 Dokumentation P2 Software-Identifikation P3 P3 Nutzer-Interface Nutzer-Interface P4 P4 Kommunikationsinterface P5 P5 Schutz Schutz gegen gegen zufällige zufällige Veränderungen Veränderungen P6 Schutz gegen beabsichtigte Softwareänderungeänderungen P7 P7 Parameterschutz Parameterschutz 13 / 28

14 Teil U - Geräte-Konfigurationen und Anforderungen Universal Computer als Bestandteil des Messsystems Hardware Komponenten Software Komponenten Windows, Linux, QNX,... MS-DOS, / 28

15 Teil U - Geräte-Konfigurationen und Anforderungen Universal Computer als Bestandteil U1 Dokumentation des Messsystems Hardware Komponenten Anforderungen: Universal Computer U1 Dokumentation U2 U2 Software Software Identifikation U3 U3 Nutzerinterfaces U4 U4 Software Kommunikationsinterface Komponenten U5 U5 Schutz Schutz gegen gegen zufällige zufällige Veränderungen U6 U6 Schutz Schutz gegen gegen absichtliche absichtliche Softwareänderungen U7 U7 Parameterschutz U8 U8 Software Software Authentizität Authentizität und und Darstellung Darstellung von von Messergebnissen U9 U9 Einfluss Einfluss von von anderer anderer Software Software Windows, Linux, QNX,... MS-DOS, / 28

16 Teil L - Geräte-Konfigurationen Ausführungen von Langzeitspeichern Integrierte Speicher Speicher in Universal- Computern Entnehmbare oder dezentrale Speicher 16 / 28

17 Teil T - Geräte-Konfigurationen Netzwerk-Topologien zur Datenübertragung Geschlossenes Netzwerk Netzwerk mit nicht eichpflichtigen Teilnehmern Offenes Netzwerk www 17 / 28

18 Anforderungen (Teile L und T) Anforderungen zur Langzeitspeicherung und Übertragung L1 / T1: Vollständigkeit der gespeicherten oder übertragenen Daten L2 / T2: Schutz gegen zufällige und unbeabsichtigte Veränderungen L3 / T3: Integrität der Daten L4 / T4: Authentizität der gespeicherten oder übertragenen Daten L5 / T5: Vertraulichkeit der Schlüssel L6: Rückgewinnung der gespeicherten Daten L7: Automatisches Speichern T6: Umgang mit verfälschten Daten T7: Übertragungsverzögerung L8: Speicherkapazität und -Kontinuität T8: Verfügbarkeit der Übertragungsdienste 18 / 28

19 Teil S - Software-Konfiguration und Anforderungen Softwaretrennung Low level - Trennung Source Variable 1 Variable 2 Drain Variable NL Function A Function NL Interface Variable Function B Interaktion über Interface: Function Aufrufe Datenfluss: Function Parameter High level - Trennung Process NL (Program, library, script...) Interaktion über Interface: Function Aufrufe Datenfluss: Function Parameter Process L (Program or library) 19 / 28

20 Teil S - Software-Konfiguration und Anforderungen Softwaretrennung Low level - Trennung Source Variable 1 Variable 2 Drain Anforderungen: Softwaretrennung S1 S1 Realisierung der dersoftwaretrennung S2 S2 Gemischte Anzeigen S3 S3 Rückwirkungsfreie Softwareschnittstellstelle Variable NL Function A Function NL Interface Variable Function B Interaktion über Interface: Function Aufrufe Datenfluss: Function Parameter High level - Trennung Process NL (Program, library, script...) Interaktion über Interface: Function Aufrufe Datenfluss: Function Parameter Process L (Program or library) 20 / 28

21 Teil D - Geräte-Konfigurationen und Anforderungen Messsystem mit Download über offene Netzwerke Wägezellen mit Verstärker PC für Datenverarbeitung und Anzeige www Sign PC zur Überwachung Server des Herstellers 21 / 28

22 Teil D - Geräte-Konfigurationen und Anforderungen Messsystem mit Download über offene Netzwerke Wägezellen mit Verstärker Anforderungen: Download D1 D1 Download Mechanismus D2 D2 Authentifizierung geladener Software D3 D3 Integrität geladener Software D4 D4 Nachvollziehbarkeit des des Software- Downloads PC für Datenverarbeitung und Anzeige www Sign PC zur Überwachung Server des Herstellers 22 / 28

23 Teil I Instrument-spezifische Anforderungen Anforderungen an: Versorgungsmessgeräte, Waagen, Taxameter Anforderungen (hier Versorgungsmessgeräte): - Erholung nach Fehlern - Datenrettung bei Fehlern - Kein Reset kumulativer Register - Ausreichende interne Auflösung der Register - Keine Beeinflussung des dynamischen Verhaltens durch nicht eichpflichtige Software - Batterie-Lebenszeit - Mengenumwerter - Testelement 23 / 28

24 Überblick Leitfaden 7.2 Software Risikoklassen Modulares Anforderungssystem Prüfungen Modul B / Entwurfsprüfung H1 Module F, D, H1 Zusammenfassung 24 / 28

25 Prüfmethoden Module B / H1 Abk. AD VFTM VFTSw DFA CIWT SMT Beschreibung Analyse von Dokumenten Validation durch Testen der Funktion und der metrologischen Eigenschaften Validation durch Testen der Funktion von Softwarelösungen Metrologische Datenflussanalyse Code inspection, Walkthrough Immer Bedienung durch den Nutzer, richtige Funktionieren von Kommunikation, Anzeige, Manipulationsschutz Softwaretrennung, Bewertung des Einflusses von Befehlen auf die Messgerätfunktionen Alle Zwecke Anwendung Richtigkeit des Algorithmus, Messunsicherheit, Kompensationen und Korrekturalgorithmen Voraussetzungen Dokumentation Dokumentation, Bauartmuster Dokumentation, Bauartmuster, Hilfsmittel wie Hexoder Texteditor Quellcode, Texteditor Quellcode, Texteditor Programmiersprachen Programmiersprachen Testen von Alle Zwecke, wenn Quellcode, Testumgebung, Programmier- Software-Modulen Eingangs- und besonsprachen. Ausgangswerte klar dere Software- Anweisung zur definiert werden können. Werkzeuge Benutzung von Werkzeugen Spezielle Fähigkeiten 25 / 28

26 Prüfmethoden Module B / H1, Beispiel P-Gerät (Built-for-Purpose P1 Device), Dokumentation Gesamtgerät Elektrizitätszähler, Abgasmessgerät, P2 Software-Identifikation Taxameter, Waage,... VFTM Für P6 den Schutz Messzweck gegen beabsichtigte konstruierte Software- Geräte Anforderungen: Anforderungen: AD Zweckgebundener Zweckgebundener Computer Computer VFTSw P1 Dokumentation P2 Software-Identifikation VFTSw P3 P3 Nutzer-Interface Nutzer-Interface P4 P4 Kommunikationsinterface VFTSw P5 P5 Schutz Schutz gegen gegen zufällige zufällige Veränderungen Veränderungen P6 Schutz gegen beabsichtigte Softwareänderungeänderungen AD P7 P7 Parameterschutz VFTSw Parameterschutz Eingebettete IT-Komponenten realisieren nur Mess- und Anzeigefunktionen DFA CIWT Keine Möglichkeit zum Laden, Programmieren oder Betreiben anderer Software 26 / 28

27 Prüfungen Module D, F, H1 Prüfungen an jedem einzelnen Gerät vor dem In-Verkehr-Bringen Prüfschritte (Beispiele): Soll-Ist-Vergleich Software-Identifikation (Versionenkontrolle: Nur die zugelassenen Softwaremodule aufspielen) Kontrolle, dass nicht eichpflichtige Softwareteile die Regeln der Softwaretrennung einhalten Aktivierung des Justage-Schutzes usw. Prüfschritte im Modul B Prüfzertifikat beschrieben Versuch der europäischen Harmonisierung 27 / 28

28 Zusammenfassung Verwendung des Leitfadens 7.2 sichert Konformität mit MID Anwendbar auf breites Spektrum von Messsystemen Software bei Prüfung nach Modulen D, F berücksichtigen Vielen Dank für Ihre Aufmerksamkeit! 28 / 28