Der Aufwand zur Entwicklung, Realisierung und dem Austesten von sicherheitsgerichteter Anwendersoftware erfordert jahrelange Erfahrung und wird deshalb zumeist unterschätzt. Damit die geforderten e der Lebenszyklusphase Realisierung der Anwendersoftware erreich und erfüllt werden, setzt ASIA Industrieautomation GmbH auf spezielle Methoden und Prozesse. Speicherprogrammierbare Steuerungen mit sicherheitsgerichteter Anwendersoftware finden in der Industrie immer mehr Akzeptanz. Verglichen zu nichtsicheren Steuerungen ist jedoch der Aufwand aufgrund normativen ( IEC 61508 und IEC 61511 ) deutlich höher. Dies gilt nicht nur für die Hardware, sondern insbesondere für die Entwicklung der individuellen sicherheitsgerichteten Anwendersoftware. Der Aufwand für die Entwicklung der Anwendersoftware wird meist unterschätzt, da aufgrund der Normen hohe an die Entwicklungs-, Realisierung- und Testdokumentation sowie der Fehler beherrschenden und Fehler erkennenden Maßnahmen einiges an Erfahrung verlangt wird. Software-Sicherheitsbausteine sind bei der Erstellung des Anwenderprogramms von Sicherheitsanwendungen von entscheidender Bedeutung. Ein Anwender vertraut auf die korrekte Funktion des Sicherheits-Funktionsbaustein genauso wie er der Bremse seines Autos vertraut. Ein fehlerhafter Funktionsbaustein kann im Extremfall zum Verlust der Sicherheit einer Anlage oder einer Maschine führen. Fehler bei der Entwicklung der Sicherheits-Funktionsbausteine können durch geeignete Methoden und Prozesse gemäß IEC 61508 bzw. IEC 61511 bis SIL 3 vermieden oder erkannt und beherrscht werden. Dies zu erreichen, erfordert deshalb die Anwendung spezieller Methoden und Prozesse. D-68775 Ketsch Seite 1 von 6
Als Ausgangspunkt für die Realisierung von sicherheitsgerichteter Software ist die Installation eines Management der funktionalen Sicherheit (FSM )gemäß den Normen IEC 61508 und IEC 61511, das den Lebenszyklus der Software beinhaltet. Die Normen definieren jedoch lediglich einen Rahmen für die Realisierung von sicherheitsgerichteter Software von programmierbaren Automatisierungsgeräten. Aus diesem Grund muss in einem ersten Schritt firmenspezifisch oder zum Teil projektspezifisch diese Phase des FSM durch eigene Spezifikation beschrieben und dann in die Praxis umgesetzt werden. Verschiedene Vorgehensmodelle stehen dem Entwickler zur Auswahl, um verschiedenen Ansätze der Softwareentwicklung zu erläutern. Wasserfall-, Spiral- und V-Modell bzw. sind wohl die bekanntesten Modelle, wobei sich die ersten beiden Modelle nicht mit häufigen nderungen in der Entwicklungsphasen befassen. Das Wasserfall-Modell unterstellt, dass nach einer Phase alle Probleme in dieser abgeschlossen sind und nicht wieder geöffnet werden können, das Spiralmodell kann mit nderungen zwischen den Phasen umgehen, aber nicht mit nderungen während einer Phase. Somit wird das V-Modell, als Erweiterung des Wasserfall-Modells mit der Integration der Qualitätssicherung in das Wasserfall-Modell als Vorgehensmodelle definiert. Ein Grund dafür ist auch, dass Verifikation und Validation sind Bestandteile des V-Modells Verifikation Überprüfung der Übereinstimmung zwischen einem Software-Produkt und seiner Spezifikation»Wird ein korrektes Produkt entwickelt?«validation Eignung bzw. der Wert eines Produktes bezogen auf seinen Einsatzzweck»Wird das richtige Produkt entwickelt?«d-68775 Ketsch Seite 2 von 6
Software-Entwicklungsprozess»Der Begriff Software-Engineering steht für die Auffassung, dass die Erstellung, Anpassung und Wartung von Programmsystemen kein künstlerischer, sondern vorwiegend ein ingenieurmäßig ablaufender Prozess ist.«[duden INFORMATIK] Beim Software-Engineering spielt der Software-Entwicklungsprozess, ausgedrückt in Vorgehensmodellen, eine herausragende Rolle. Das Vorgehen wird in folgende Aktivitäten unterteilt: Spezifikation der Sicherheitsanforderungen an die Anwendersoftware Das der dieser Phase ist es, die Spezifikation der Sicherheitsanforderungen an die Anwendersoftware für jedes programmierbare SIS-Teilsystem aufzustellen, um die geforderten sicherheitstechnischen Funkionen in Übereinstimmung mit der Architektur des SIS zu realisieren. Eine Spezifikation der Sicherheitsanforderungen an die Anwendungssoftware muss erstellt werden. Entwurf der Architektur der Anwendersoftware ist die Erstellung einer Architektur der Anwendersoftware, die im Einklang mit der Hardware- Architektur steht und die den vorgegebenen an die Software-Sicherheit entspricht. Der Entwurf der Architektur der Anwendersoftware muss unter Beachtung der durch die System- Architektur des SIS gegebenen Randbedingungen auf der geforderten Sicherheitsspezifikation des SIS aufbauen. Er muss mit den an den Entwurf des gewählten Teilsystems, seinen Werkzeugen und seinem Sicherheitshandbuch übereinstimmen. Dabei muss der Entwurf der Architektur Eine verständliche Beschreibung des inneren Aufbaus sowie eine Beschreibung des SIS- Teilsystems und seiner Komponenten liefern Die Spezifikation aller Einzelkomponenten beinhalten, sowie eine Beschreibung der Verbindungen und der Wechselwirkung zwischen diesen Komponenten Jene Software-Module aufführen, die im SIS-Teilsystem vorhanden sind, aber in keiner der sicherheitstechnischen Funktionen verwendet werden, Die logische Reihenfolge der Datenverarbeitung im Hinblick auf E/A-Teilsysteme und die Funktionen des Logiksystems beschreiben, einschließlich der aufgrund von Zykluszeiten bestehenden Beschränkungen Alle nicht-sicherheitstechnischen Funktionen auflisten und sicherstellen, dass diese den einwandfreien Betrieb einer sicherheitstechnischen Funktion nicht beeinträchtigen können. Erstellen der Anwendersoftware ist der Entwurf und die Erstellung beziehungsweise Auswahl von Anwendersoftware, die die festgelegten an die Software-Sicherheit erfüllt, und die sich analysieren, verifizieren und sicher modifizieren lässt. an die Erstellung der Anwendersoftware Die Anwendersoftware sollte in strukturierter Form erstellt werden, um folgendes zu erreichen: D-68775 Ketsch Seite 3 von 6
Modularität der Funktionalität Prüfbarkeit der Funktionalität und der inneren Struktur Möglichkeit sicherer Modifikation Rückverfolgbarkeit auf die Anwendungsfunktionen und Erklärung der Anwendungsfunktionen und der zugehörigen Beschränkungen Soweit möglich sollten bewiesene Softwarebausteine eingesetzt werden. Die Anwendersoftware sollte: Lesbar, verständlich und prüfbar sein Den entsprechenden Entwurfsregeln genügen Den entsprechenden genügen, die während der Sicherheitsplanung festgelegt wurden. Die Anwendungssoftware muss einem Review unterzogen werden, um die Übereinstimmung mit dem festgelegten Entwurf, den Entwurfsregeln und den der Planung der Sicherheits- Validierung sicherzustellen. Ein Review der Anwendungssoftware schließt Techniken ein wie Inspektion, Walk-through und formale Analysen. Es sollte in Verbindung mit Simulation und Tests durchgeführt werden, um sicherzustellen, dass die Anwendungssoftware ihre zughörige Spezifikation erfüllt. an den Test von Anwendungssoftware-Bausteinen Die Konfiguration eines jeden Eingangs muss über die logische Steuerung bis zum Ausgang überprüft, simuliert und getestet werden, um sicherzustellen, dass die Eingangs- und Ausgangsdaten mit der richtigen Anwendungslogik verknüpft sind. Jeder Baustein der Anwendungssoftware muss überprüft, simuliert und getestet werden, um sicherzustellen, dass die beabsichtigte Funktion korrekt ausgeführt wird und unbeabsichtigte Funktionen nicht ausgeführt werden. Die Tests müssen für den zu prüfenden Baustein geeignet sein und Folgendes muss berücksichtigt werden: Ansprechen aller Teile des Anwendungsmodells Ansprechen der Grenzen des Wertebereichs Zeiteffekte, die sich aus der Abarbeitungsreihenfolge ergeben Geeigneter Einbau in den Programmablauf Die Testergebnisse der Bausteine der Anwendungssoftware müssen verfügbar sein. an den Integrationstest der Anwendungssoftware Der Test der Anwendungssoftware muss zeigen, dass alle Bausteine der Anwendungssoftware und Komponenten bzw. Teilsysteme sowohl untereinander als auch mit der unterlagerten Systemsoftware einwandfrei zusammenwirken, um die beabsichtigte Funktion auszuführen. Die Ergebnisse des Integrationstests der Anwendungssoftware müssen verfügbar sein und Folgendes enthalten Die Testergebnisse und Ob die e und Kriterien der Testspezifikation erreicht wurden Im Falle eines Versagens müssen die Ursachen dafür benannt werden. Integration der Anwendungssoftware in das SIS-Teilsystem der Anforderung ist es, nachzuweisen, dass die Anwendungssoftware ihre Sicherheitsspezifikation erfüllt, wenn sie auf der Hardware und mit der Systemsoftware des SIS- Teilsystems abläuft D-68775 Ketsch Seite 4 von 6
Integrationstests müssen so früh wie möglich innerhalb des Sicherheitslebenszyklus der Software festgelegt werden, um die Kompatibilität der Anwendungssoftware mit der Hardware und der Systemsoftware sicherzustellen. Folgende Informationen über den Test müssen verfügbar sein: Welche Teile der Konfiguration getestet wurden Welche Konfigurationseile zur Durchführung des Tests benötigt wurden ( Werkzeuge und externe Funktionen ) Das beteiligte Personal Testfälle und Testvorschriften Die Testergebnisse Ob die Testziele und die Testbedingungen erfüllt wurden, sowie Im Falle eines Versagens die Ursache für das Versagen, deren Analyse, die Aufzeichnungen über die Korrekturmaßnahmen einschließlich nochmaliger Tests. Verifikation der Anwendungssoftware ist es nachzuweisen, dass die Ergebnisse jeder Phase des Sicherheitslebenszyklus der Anwendungssoftware den festgelegten entsprechen. Es muss für jede Phase des Sicherheitslebenszyklus der Anwendungssoftware eine Verifikationsplanung durchgeführt werden. Die Ergebnisse jeder Phase müssen hinsichtlich folgender Punkte geprüft werden: Angemessenheit der Ergebnisse einer bestimmten Lebenszyklusphase mit den für diese Phase aufgestellten Angemessenheit von Review, Inspektion und/oder testumfang dieser Ergebnisse Kompatibilität der Ergebnisse aus verschiedenen Phasen des Lebenszyklus Korrektheit der Daten Das Datenformat im Anwendungsprogramm sollte geprüft werden auf Vollständigkeit Konsistenz Schutz gegen unbefugte nderung Übereinstimmung mit den funktionalen Die Anwendungsdateien sollten auf folgende Eigenschafen geprüft werden Übereinstimmung mit den Datenstrukturen Vollständigkeit Kompatibilität mit der zugrunde liegenden Systemsoftware ( beispielweise Reihenfolge der Abarbeitung, Laufzeit ) Fehlerfreie Datenwerte Betrieb innerhalb sicherer Grenzen nderbare Parameter sollten auf Schutz vor Folgendem geprüft werden Ungültige oder undefinierte Anfangswerte Falsche Werte Unberechtigte Veränderungen Datenverlust Datenaustausch, Schnittstellen zum Prozess sowie zugehörige Software sollten auf Folgendes geprüft werden Ausfallerkennung Schutz gegen Verfälschung von Datentelegrammen und Datenvalidierung D-68775 Ketsch Seite 5 von 6
Nicht-Sicherheitsfunktionen und Prozessschnittstellen mit integrierten sicherheitsbezogenen Signalen und Funktionen sollen geprüft werden auf Wechselwirkungsfreiheit mit den Sicherheitsfunktionen Schutz vor Wechselwirkungen mit Sicherheitsfunktionen beim Auftreten von Störungen in den Nicht-Sicherheitsfunktionen Werksendprüfung ( FAT = Factory Acceptance Tests ) Das einer Werksendprüfung ist der gemeinsame Test des Logiksystems mit der zughörigen Software, um sicherzustellen, dass die in der Spezifikation der Sicherheitsanforderungen enthaltenen erfüllt werden. Durch diesen Test vor der Montage in der Anlage können Fehler leicht erkannt und behoben werden. Die Tätigkeiten folgen auf die Entwurfs- und Planungsphase und gehen der Montage und Inbetriebnahme voraus und werden gewöhnlich beim Hersteller durchgeführt, Beim durchgeführten Test sollten folgende Punkte angesprochen werden Die Version der verwendeten Planung Die getestete sicherheitstechnische Funktion und deren Leistungs-Charakteristik Die detaillierten Testvorschriften und Testbeschreibungen Eine chronologische Aufzeichnung der Testtätigkeiten Die verwendeten Werkzeuge, Geräte und Schnittstellen Die Ergebnisse der Werksendprüfung sollten dokumentiert werden, dabei sind festzuhalten: Die geprüften Testfälle Die Testergebnisse und Ob die e nach den Testkriterien erreicht wurden Tritt während des Tests ein Versagen auf, sollen die Ursachen dafür dokumentiert und analysiert werden und eine angemessene Korrekturmaßnahme ergriffen werden. Für jede Modifikation oder Veränderung während der Werksendprüfung sollte eine Sicherheitsanalyse durchgeführt werden, um Das Ausmaß der Folgewirkung auf jede sicherheitstechnische Funktion und Den Umfang der zu wiederholenden Tests zu bestimmen, die festgelegt und durchgeführt werden müssen. D-68775 Ketsch Seite 6 von 6