In dem Vortrag wird die Verifikation einer sicherheitskritischen, automobiltechnischen Anwendung dargestellt. Die Entwicklung der Software erfolgt modellbasiert und mit Hilfe von Autocodegenerierung. Anhand von ausgewählten Beispielen wird die Sicherheitskritikalität untersucht und das daraus abgeleitete Testkonzept vorgestellt. Modell und Code werden in allen Phasen der Entwicklung verifiziert. Funktionale Tests an Teilmodellen und dem Gesamtmodell garantieren die korrekte Umsetzung der Anforderungen; besonders kritisches Verhalten wird zusätzlich formalen Tests unterzogen, die wegen des verwendeten Werkzeugs auf dem erzeugten Code aufsetzen. Zudem wird durch einen automatisierten Vergleich des Modells mit dem generierten Code die korrekte Parametrierung der Codegenerierungsattribute überprüft. Dank der Werkzeugunterstützung können alle diese Tests wiederverwendet und stapelweise abgearbeitet werden. Und seither schläft der Sicherheitsingenieur viel beruhigter, da die Software die Sicherheitsanforderungen nachweisbar umsetzt.

Im Europäischen ITEA-Projekt D-MINT (www.d-mint.org) werden innovative modellbasierteTest-Technologien entwickelt und in verschiedenen Bereichen der Industrie zur Anwendung gebracht. Hierzu zählen die Anwendungsbereiche Automotive, Telecommunication, Production Engineering, Public Infrastructure und Video Conferencing. Das Projekt hat eine Laufzeit von zweieinhalb Jahren und endet im Dezember 2009. Der Vortrag gibt einen Überblick über das Projekt und seine bisherigen Ergebnisse.

Die Entwicklung von Sicherungssystemen für Eisenbahnen ist sehr stark durch interdisziplinäre Zusammenarbeit geprägt. Vor allem die Erstellung von Software ist hängt von der Kommunikation zwischen Eisenbahn-Experten und Software-Entwicklungs-Experten ab. Um die Problemstellungen adäquat beschreiben und umsetzen zu können, müssen sich die Experten in die jeweilig andere Domäne einarbeiten. Diese Einarbeitung ist oftmals sehr aufwändig: Beispielsweise umfasst die Einführung in UML 2.0 bereits mehr als 200 Seiten, die Fahrdienstvorschrift für Nichtbundeseigene Eisenbahnen hat einen ähnlichen Umfang. Um die Kommunikation zwischen den Disziplinen zu unterstützen und die unterschiedlichen Sichtweisen zusammenzubringen, können domänenspezifische Sprachen einen sehr wichtigen Beitrag leisten. Im Vortrag wird die Entwicklung einer domänenspezifischen Sprache für die Erstellung von Fahrprofilen für Eisenbahnfahrzeuge vorgestellt. Hiermit kann in der Sprache des Eisenbahningenieurs das Verhalten eines Fahrzeuggerätes unter gegebenen Randbedingungen spezifiziert werden. Darüber hinaus lassen sich aus dieser Spezifikation auch direkt ausführbare Testfälle ableiten.

In diesem Vortrag werden Annahmen und Auswirkungen des Einsatzes modellbasierter und automatisierter Testtechnologien diskutiert. Dazu wird eine Landkarte mit unterschiedlichen Aktivitätsfeldern hergeleitet. Zu diesen Aktivitätsfeldern werden Beispiele aus der industriellen Praxis vorgestellt und mögliche Einführungsstrategien vorgeschlagen.

Mit dem zunehmenden Anteil der Software in sicherheitskritischen eingebetteten Systemen steigt auch deren Einfluss auf die Systemqualität. Steigende Komplexität und hohe Qualitätsanforderungen erfordern daher immer aufwändigere Prüfungen. Dennoch können nur selten verlässliche quantitative Aussagen zur Zuverlässigkeit und Sicherheit getroffen werden. Das risikobasierte statistische Testen kann hier Abhilfe schaffen. Mit Hilfe eines Modells, das die Verwendungsweise der Software erfasst, können die besonders häufig genutzten oder kritischen Teile verstärkt geprüft werden. Die Konstruktion aus den Anforderungen heraus erfolgt ähnlich wie ein systematisches Review. Bereits bei der Testplanung können viele Schwächen in der Spezifikation aufgedeckt und Implementierungsfehler vermieden werden. Es lassen sich statistische Aussagen über den Abdeckungsgrad und mit Funktionstests Aussagen über die Zuverlässigkeit des getesteten Systems herleiten.

Der Anstieg software-verursachter Rückrufe in verschiedenen Domänen ist nicht nur mit der weiteren Verbreitung von Software in sicherheitskritischen Systemen zu erklären, sondern ebenso mit der zunehmenden Vernetzung derselben: die Verteiltheit und Gleichzeitigkeit verschiedener Szenarien bspw. in der Medizin- oder Automobiltechnik impliziert eine steigende Komplexität software-basierte Abläufe, die neue Fehlerarten mit sich bringen und die Absicherung der Software wesentlich erschweren. Daher rückt die Sicherheit von Systemen immer mehr in das Zentrum der Betrachtung: sie müssen nachweislich den geforderten Sicherheitsanforderungen genügen. Dazu legen Normen wie bspw. die DIN EN 60601-1 oder DIN EN 62304 zwar eine Reihe prinzipieller Methoden zur Absicherung dieser Systeme fest – insbesondere die Anwendung von Testmethoden – doch sind Testmethoden derzeitig nicht in der Lage, die notwendigen Nachweise zu liefern. Einerseits fehlt eine Integration der Risikoanalyse, wie sie etwa in ISO 14971 beschrieben ist, mit den Testmethoden, so dass schwer quantifiziert werden kann, welche Risiken nach erfolgten Tests minimiert sind bzw. ausgeschlossen werden können. Andererseits stellen die Eigenschaften der vernetzten software-basierten Systeme die Testmethoden vor neue Herausforderungen: die Systeme sind eingebettete Systeme mit harten Echtzeitanforderungen, deren Komponenten oftmals über verschiedene Bussysteme (in der Medizintechnik DICOM, HL7 oder CAN; in der Automobiltechnik CAN, FlexRay oder LIN) interagieren und die in dynamischen Konfigurationen genutzt werden können. Gleichzeitig sind sicherheitskritische im besonderen Maße bzgl. funktionaler Sicherheit, Robustheit, Datensicherheit und Verfügbarkeit gefordert, so dass belastbare Nachweise der Sicherheit zu führen sind. Dieser Vortrag wird Möglichkeiten und Grenzen einer Automatisierung risiko-orientierter Tests diskutieren.