In Branchen, in denen Fehler zu katastrophalen Verlusten führen können, muss die Software sicher sein. Das gilt unter anderem für die Industrieautomatisierung, das Gesundheitswesen, das Transportwesen, die Kernenergie und die Verteidigung. Softwarefehler, die Menschenleben, Sach- oder Umweltschäden verursachen, sind inakzeptabel. Sicherheitskritische Systeme müssen strenge Sicherheitsstandards erfüllen, und Softwareentwickler müssen auf dem Laufenden bleiben und flexibel sein. Sie müssen so viele reale Fehler-szenarien wie möglich berücksichtigen. Robustes Testen, Validieren und Verifizieren ist erforderlich.

Die 1947 gegründete Internationale Organisation für Normung (ISO) legt Sicherheitsstandards fest und arbeitet mit anderen Organisationen zusammen. Zu diesen Standards gehören beispielsweise die IEC 61508 für industrielle Anwendungen und Programmierstandards wie MISRA, CERT, CWE und OWASP. Sie werden ständig aktualisiert, und die Entwickler müssen sie einhalten.

Best Practices

Die Anforderungen an die Entwicklung sicherheitskritischer Software stützen sich auf fünf wesentliche Säulen:

• Eindeutigkeit: Sowohl in der Dokumentation als auch im Code selbst muss Einigkeit darüber herrschen, was die Anforderungen bedeuten – ohne Interpretationen oder Vermutungen.
• Verständlichkeit: Programmierer und Manager sollten in der Lage sein, die Anforderungen während des Code-Reviews oder des Testprozesses zu verstehen.
• Reproduzierbarkeit: Das Programm und die Software müssen die erwarteten Ergebnisse liefern. Sie sollten entsprechend den Anforderungen funktionieren und im Fehlerfall die erwarteten Daten und Ausgaben bereitstellen.
• Konsistenz: Es sollten keine widersprüchlichen Anforderungen in Bezug auf Zeitplanung, Leistung, Priorisierung und so weiter bestehen. Auch die Terminologie in der Dokumentation sollte einheitlich und konsistent sein, um Verwirrung zu vermeiden.
• Testbarkeit: Gut entwickelte, sicherheitskritische Programme erfüllen die Anforderungen bei allen Testarten.

Darüber hinaus gibt es fünf weitere Best Practices, die bei der Entwicklung von Software für sicherheitskritische Systeme beachtet werden sollten:

• Genaue Aufzeichnungen führen und die Historie beziehungsweise Rückverfolgbarkeit dokumentieren.
• Die Programmierer über Best Practices, Methodiken und die Bedeutung der Dokumentation informieren.
• Die für das Projekt am besten geeigneten Programmierstandards verwenden.
• Die Komplexität des Codes gering halten, da komplexer Code in komplexen Systemen schwer zu testen ist und zu mehr Fehlern führen kann.
• Die Entwicklung der Software sollte mit Blick auf den Endbenutzer erfolgen.

Auswirkungen von Fehlern

Fehler in sicherheitskritischer Software sind schwerwiegender als andere Probleme, wie zum Beispiel eine kaputte Glühlampe. Defekte können von einer überhitzten Batterie bis hin zum Ausfall einer Wasserturbine reichen. Sie können zu Katastrophen führen, die Menschenleben kosten, Sachschäden verursachen, finanzielle Verluste nach sich ziehen oder sogar die Sicherheit des Landes gefährden. Daher müssen die oben genannten Best Practices eingehalten werden, um die behördliche Genehmigung zu erhalten.

Zu berücksichtigende Faktoren

Bei sicherheitskritischer Software geht es um Sicherheit, nicht um Geschwindigkeit oder Funktionalität. Sie ist der wich-tigste Faktor bei der Einhaltung von Sicherheitsstandards. Folgen von Fehlern bei der Entwicklung sicherheitskritischer Software können zum Beispiel der Ausfall der Steuerung einer Industrieanlage oder die Entgleisung eines Hochgeschwindigkeitszugs sein. Ein bekanntes Beispiel ist der NASA Mars Climate Orbiter, der zu schnell und zu tief in die Mars-Atmosphäre eintrat und zerstört wurde. Solche Probleme sind auf mehrere wichtige Faktoren zurückzuführen, die die Teams während des gesamten Entwicklungslebenszyklus im Auge behalten müssen.

Neben der Einhaltung der Sicherheitsanforderungen und der formalen Methoden sind folgende Punkte zu beachten:

• Die Softwarearchitektur sollte berücksichtigt werden, da ein gutes Design Upgrades erleichtert.
• Sicherheitsbedenken, Risikominderung und die Einhaltung von Vorschriften machen das Projekt komplexer.
• Ein ausfallsicheres Design bedeutet, dass das Gerät und/oder die Software auf sichere oder erwartete und vorhersehbare Weise ausfallen können.
• Nur ein bestimmtes Maß an Risiko und Ausfall ist zulässig.
• Bei der Entwicklung von sicherheitskritischer Software können verschiedene Entwicklungsmethoden wie Spiral-, Wasserfall- und Agile-Entwicklung sowie Kombinationen dieser Methoden zum Einsatz kommen.
• Die Software intensiver testen, als es für notwendig erachtet wird, und anschließend fortfahren.
• Für die Verbesserung sicherheitskritischer Systemsoftware sind Daten aus der Praxis erforderlich.

Moderne Tools und Techniken

Bild 1. Erkennung und Behebung von Shift-Left-Defekten. © Parasoft

Die Zertifizierung ist für Entwickler von sicherheitsrelevanter Software ein entscheidender Faktor. Ein zertifiziertes Tool bietet Sicherheit und garantiert Konformität. Dies erfordert aber auch die richtigen Entwicklungsmethoden, um längere Entwicklungszeiten und -kosten zu vermeiden. Hier spielt die Shift-Left-Mentalität eine Rolle. Ein gutes Beispiel für agile Methoden ist die Koexistenz von DevOps, CI/CD und Scrum. Dadurch werden Silos abgebaut, die Kommunikation gefördert, die Produktivität gesteigert und die Verifikation und Validierung automatisiert.

Für viele Entwicklungsteams ist die Aufrechterhaltung von Qualität und Erschwinglichkeit eine Priorität und eine einzigartige Herausforderung. Ein Beispiel hierfür ist die Automatisierung von Softwaretests in CI/CD-DevOps. CI/CD-Pipelines bieten kontinuierliche Tests, die Projektkosten und -dauer reduzieren. Automatisierte Tests bieten selbst bei Einhaltung strenger Sicherheitsstandards wie ISO 26262 zusätzliche Codeabdeckung, Sicherheit und verwertbare Daten. Die Entwickler benötigen die besten Werkzeuge für ihre Arbeit. Dies kann zu besserer Dokumentation, Konsistenz und pünktlicher oder sogar früherer Lieferung des Produkts führen.

Für die Entwicklung sicherheitskritischer Software gibt es auf dem Markt hochentwickelte Lösungen. Diese komplexen Systeme erfordern eine eindeutige Dokumentation, verwertbare Testdaten und Tools zur Unterstützung der Entwickler.