Grafik mit einem Auto auf einer Straße und einem startenden Flugzeug, verbunden durch das MXAM Logo. Sie steht für modellbasierte Entwicklung, die Anforderungen aus Automotive und Avionik gleichermaßen erfüllt.
Bild: DO-178C und DO-331: MXAM unterstützt Standards für Automotive und Aerospace

Für Teams in der modellbasierten Entwicklung sind DO-178C und DO-331 mehr als nur Standards aus der Luftfahrt, die man kennen sollte. Sie beeinflussen, wie Modelle entwickelt, verifiziert, dokumentiert und im Rahmen eines zertifizierungsorientierten Software-Lebenszyklus eingesetzt werden.


Teams, die sicherheitskritische Software in der Automobilindustrie entwickeln, kennen sich in der Regel mit der ISO 26262 aus. Dabei handelt es sich um den internationalen Standard für die funktionale Sicherheit elektrischer und elektronischer Systeme in Straßenfahrzeugen. In diesem Umfeld gehören Anforderungen, Rückverfolgbarkeit, Verifikationsnachweise, Modellierungsrichtlinien und werkzeuggestützte Qualitätsprüfungen bereits zum Entwicklungsalltag. Bei einem Wechsel in die Softwareentwicklung für die Luftfahrt bleiben viele dieser Entwicklungsprinzipien relevant. Allerdings ändern sich die Anforderungen an die Qualitätssicherung. Die Entwicklung von Luftfahrtsoftware folgt anderen Vorgaben, bei denen die Absicherung der Software, Verifikationsnachweise und zertifizierungsrelevante Daten aus dem Entwicklungslebenszyklus eine größere Rolle spielen.


Daraus ergibt sich eine praktische Herausforderung: Teams, die modellbasiert entwickeln, verfügen möglicherweise bereits über etablierte Entwicklungsprozesse. Sie müssen jedoch verstehen, wie sich diese Prozesse in die luftfahrtspezifischen Anforderungen der DO-178C und DO-331 einordnen lassen.


In den folgenden Abschnitten wird erläutert, welche Bereiche diese Standards abdecken und wie sie mit den bekannten Konzepten der ISO 26262 zusammenhängen. Erfahren Sie, wie das Standards-Mapping dabei hilft, übergeordnete Ziele der Softwareabsicherung mit konkreten Aktivitäten der modellbasierten Entwicklung zu verknüpfen.

Was sind DO-178C und DO-331?

DO-178C „Software Considerations in Airborne Systems and Equipment Certification“ ist das zentrale Richtliniendokument zur Absicherung von Software in der Luftfahrt. Die aktuelle Version wurde 2011 veröffentlicht und ist in der FAA Advisory Circular AC 20-115D als anerkannter Standard aufgeführt. DO-178C schreibt keine bestimmte Entwicklungsmethode vor. Stattdessen bietet der Standard einen Rahmen für die strukturierte Entwicklung und Verifikation von Luftfahrtsoftware auf Grundlage nachvollziehbarer Nachweise.

DO-331 „Model-Based Development and Verification Supplement to DO-178C and DO-278A“ ist ein ergänzendes Dokument zu DO-178C und DO-278A. Es richtet sich an Projekte, in denen modellbasierte Entwicklung oder Verifikation Teil des Softwareentwicklungslebenszyklus sind.

DO-331 hilft Teams dabei, Fragen wie diese zu beantworten:

  • Wie sollten Modelle entwickelt und verifiziert werden?
  • Wie können Modelle die Softwareentwicklung unterstützen?
  • Wie lassen sich modellbasierte Entwicklung und Verifikation in den Softwareentwicklungslebenszyklus integrieren?
  • Welche modellbezogenen Nachweise können für zertifizierungsorientierte Prozesse relevant sein?

Kurz gesagt: DO-178C definiert die Ziele der Softwareabsicherung. DO-331 erläutert, wie diese Ziele bei der modellbasierten Entwicklung berücksichtigt werden können.

DO-331 ist kein eigenständiger Standard. Bei der Nutzung modellbasierter Entwicklungs- oder Verifikationsmethoden wird es gemeinsam mit DO-178C oder DO-278A angewendet.

Wie hängen ISO 26262 und DO-178C zusammen?

Sowohl ISO 26262 als auch DO-178C befassen sich mit der Entwicklung sicherheitskritischer Software. Sie gelten jedoch für unterschiedliche Branchen und verfolgen unterschiedliche Ansätze zur Qualitätssicherung. ISO 26262 behandelt die funktionale Sicherheit in der Automobilindustrie. Der Standard konzentriert sich auf sicherheitsrelevante elektrische und elektronische Systeme in Straßenfahrzeugen. Dabei werden die sogenannten „Automotive Safety Integrity Levels“ (ASIL) verwendet, um die Entwicklungsaktivitäten an den jeweiligen Sicherheitsanforderungen auszurichten. DO-178C wird hingegen zur Absicherung von Software in der Luftfahrt eingesetzt. Der Standard definiert zertifizierungsorientierte Ziele, die sich nach der sicherheitsbezogenen Einstufung der Software richten. Für die modellbasierte Entwicklung und Verifikation ergänzt DO-331 die Anforderungen von DO-178C.

Beide Standards berücksichtigen Aktivitäten der modellbasierten Entwicklung. Sie sind jedoch nicht austauschbar. Viele Entwicklungsprinzipien, die Teams aus der Automobilindustrie durch ISO 26262 kennen, lassen sich auch in der Luftfahrt nutzen.

Die folgende Tabelle zeigt die wichtigsten Unterschiede:

Thema ISO 26262 DO-178C
Branche Automobilindustrie Luft- und Raumfahrt
Schwerpunkt Funktionale Sicherheit der E/E-Systeme in Straßenfahrzeugen Softwareabsicherung für Luftfahrtsysteme
Ansatz zur Absicherung Risikobasierter Sicherheitslebenszyklus mit ASIL-Klassifizierung Zertifizierungsorientierte Ziele auf Grundlage der Softwarekritikalität
Modellbasierte Entwicklung Kann als Teil des Entwicklungsprozesses eingesetzt werden Wird ausdrücklich durch DO-331 behandelt
Wesentliche Ergebnisse Sicherheitsargumentation, Nachweise und Arbeitsergebnisse Zertifizierungsnachweise, Verifikationsergebnisse und Daten zur Softwareabsicherung

Trotz dieser Unterschiede gibt es Gemeinsamkeiten. Teams, die bereits mit ISO 26262 und modellbasierter Entwicklung arbeiten, können viele ihrer etablierten Entwicklungsprinzipien auch bei der Softwareabsicherung in der Luftfahrt nutzen.

Trotz ihrer Unterschiede weisen die beiden Standards auch einige Gemeinsamkeiten auf:

  • Anforderungen: Die Entwicklung sicherheitskritischer Software erfordert klare und überprüfbare Anforderungen.
  • Rückverfolgbarkeit: Entwicklungsergebnisse müssen über den gesamten Entwicklungslebenszyklus hinweg miteinander verknüpft und nachvollziehbar sein.
  • Verifikation: Es sind Nachweise erforderlich, um zu zeigen, dass die Implementierung die definierten Anforderungen erfüllt.
  • Richtlinienbasierte Entwicklung: Einheitliche Modellierungs- und Entwicklungsrichtlinien helfen, Unklarheiten und Fehler zu reduzieren.
  • Werkzeuggestützte Prozesse: Automatisierung unterstützt die Wiederholbarkeit, Konsistenz und Effizienz.

Diese Gemeinsamkeiten sind besonders für Unternehmen relevant, die bereits modellbasiert entwickeln. Viele Konzepte aus dem ISO-26262-Umfeld spielen auch in der Entwicklung von Luftfahrtsoftware eine wichtige Rolle. Dazu gehören beispielsweise Rückverfolgbarkeit, automatisierte Verifikation und richtlinienbasierte Modellierung. Der Unterschied liegt darin, dass diese Entwicklungspraktiken im Kontext von DO-178C und DO-331 deutlicher mit zertifizierungsorientierten Zielen und den entsprechenden Nachweisen verknüpft werden müssen.

Was bedeutet Mapping im Kontext von Standards?

Bei der modellbasierten Entwicklung verbindet das Mapping übergeordnete Ziele der Softwareabsicherung aus Standards wie DO-178C und DO-331 mit konkreten Entwicklungsaktivitäten, Modellierungsrichtlinien, Verifikationsmethoden und Modellprüfungen. DO-178C und DO-331 legen fest, welche Ziele erreicht werden müssen, um die Softwareabsicherung in der Luftfahrt zu gewährleisten. Wie diese Ziele in den Entwicklungsprozessen umgesetzt werden, müssen Entwicklungsteams jedoch selbst festlegen.

Daraus ergibt sich eine praktische Herausforderung: Welche Modellierungsrichtlinie, Verifikationsaktivität oder Modellprüfung unterstützt welches Ziel eines Standards?

Vereinfacht gesagt, stellt Standards-Mapping eine Verbindung zwischen den verschiedenen Ebenen her:

Standardziel ➡️ technische Umsetzung ➡️ Modellierungs- oder Verifikationsrichtlinie ➡️ Modellprüfung ➡️ Verifikationsergebnis oder Nachweis.

Ein Beispiel: Wenn ein Standardziel verlangt, dass modellbasierte Entwicklungsergebnisse rückverfolgbar, konsistent und überprüfbar sind, kann das Mapping auf passende Richtlinien verweisen. Dazu gehören beispielsweise Anforderungsverknüpfungen, Modellstruktur, klare Schnittstellen, Datenfluss und Überprüfbarkeit. Die Einhaltung dieser Richtlinien lässt sich anschließend durch konkrete Modellprüfungen bewerten.

Das bedeutet jedoch nicht, dass das Standards-Mapping eine Zertifizierungsbewertung oder eine projektspezifische Beurteilung ersetzt. Stattdessen hilft es Entwicklungsteams zu verstehen, wie ihre täglichen Entwicklungsaktivitäten zur Erfüllung zertifizierungsrelevanter Ziele beitragen können.

Dies ist besonders hilfreich für Teams, die bereits mit ISO 26262 arbeiten. Bekannte Praktiken wie Rückverfolgbarkeit, richtlinienbasierte Modellierung, automatisierte Prüfungen und Verifikationsnachweise lassen sich so gezielter mit den luftfahrtspezifischen Anforderungen von DO-178C und DO-331 verknüpfen.

Wie können Teams der modellbasierten Entwicklung diese Standards anwenden?

Teams der modellbasierten Entwicklung können DO-178C und DO-331 effektiver anwenden, indem sie zertifizierungsorientierte Ziele mit konkreten Richtlinien, Verifikationsaktivitäten und Modellprüfungen verknüpfen.

Anstatt Standarddokumente ausschließlich manuell auszulegen, können Entwickler:innen mit strukturierten Themenbereichen, einschlägigen Richtlinien und automatisierten Prüfungen arbeiten. Das reduziert den Interpretationsaufwand und unterstützt wiederholbare Verifikationsprozesse.

An dieser Stelle erweist sich ein strukturiertes Standards-Mapping in der Praxis als nützlich. Sobald zertifizierungsorientierte Ziele mit Themen auf Modellebene verknüpft sind, benötigen die Teams eine Möglichkeit, diese Themen während der Entwicklung und Verifikation konsistent anzuwenden.

Dieses Prinzip bildet die Grundlage für den Ansatz des Standards-Mappings im MES Model Examiner® (MXAM), der im folgenden Abschnitt vorgestellt wird.

Wie unterstützt MXAM bei der Anwendung von DO-178C und DO-331?

Bei der modellbasierten Entwicklung nach diesen Standards reicht es nicht aus, die entsprechenden Normen zu verstehen. Teams müssen die relevanten Ziele auch in konkrete Aktivitäten auf Modellebene übertragen. Dazu gehören Modellierungsrichtlinien, Konsistenzprüfungen, die Überprüfung der Rückverfolgbarkeit und Verifikationsnachweise.

MXAM unterstützt diesen Teil des Entwicklungsprozesses durch die automatisierte Prüfung von Modellen anhand definierter Richtlinien. Mithilfe von Standards-Mapping lassen sich Themen aus den Standards gezielt mit den entsprechenden Modellierungsrichtlinien und Prüfungen verknüpfen.

Wenn das Mapping beispielsweise Rückverfolgbarkeit, einheitliche Schnittstellen, Modellstruktur oder Überprüfbarkeit als relevante Themen identifiziert, kann MXAM die Einhaltung entsprechender Modellierungsrichtlinien prüfen. Die Ergebnisse dienen nicht als Zertifizierungsentscheidung. Sie liefern jedoch strukturiertes Feedback, das Entwicklungsteams bei Modellreviews, zur Qualitätssicherung und zur Vorbereitung der Verifikation nutzen können.

Wichtig ist die folgende Unterscheidung: MXAM ersetzt weder die Zertifizierungsplanung noch projektspezifische Bewertungen oder die Abstimmung mit Zertifizierungsbehörden. DO-178C und DO-331 definieren Ziele, deren Umsetzung die Projektteams im jeweiligen Entwicklungslebenszyklus festlegen müssen. Die FAA erkennt DO-178C als einen akzeptierten Weg zum Nachweis der Konformität von Luftfahrtsoftware an, jedoch nicht als den einzigen. Dabei müssen die jeweils relevanten Ziele, Aktivitäten und Entwicklungsnachweise berücksichtigt werden. MXAM kann Entwicklungsteams unterstützen, indem es Modellprüfungen systematischer und wiederholbar macht. So lassen sich die Ziele aus dem Standards-Mapping mit konkreten Modellprüfungen, Prüfergebnissen und nachvollziehbaren Nachweisen auf Modellebene verknüpfen.

In der Praxis unterstützt MXAM Entwicklungsteams dabei:

  • relevante Modellierungsrichtlinien zu bestimmten Standardzielen zu identifizieren,
  • Modellprüfungen projektübergreifend einheitlich durchzuführen,
  • Qualitätsprobleme in Modellen frühzeitig im Entwicklungslebenszyklus zu erkennen,
  • Prüfergebnisse für Reviews und Verifikationsaktivitäten zu dokumentieren,
  • einen klareren Zusammenhang zwischen Entwicklungsaktivitäten und Nachweisen zur Softwareabsicherung herzustellen.

Modellierungspraktiken wie eine strenge Datentypisierung lassen sich anhand spezifischer Modellierungsrichtlinien wie misra_slsf_002 überprüfen. In MXAM sind diese Richtlinien zusätzlich mit relevanten Zielen aus DO-178C und DO-331 verknüpft. Entwickler:innen können somit direkt im Tool erkennen, welche Zertifizierungsziele durch eine bestimmte Richtlinie unterstützt werden können.

So sieht das in MXAM aus:

Screenshot der MXAM-Oberfläche mit den neuen Mapping-Informationen zu DO-178C und DO-331.
Bild: Mapping von DO-178C und DO-331 in MXAM

Dieses Mapping ist für die in MXAM verfügbaren Modellierungsrichtlinien hinterlegt. Es deckt verschiedene Bereiche ab, darunter Namenskonventionen, Modellkonfiguration, defensive Implementierungstechniken, Datentypisierung und weitere Aspekte der Modellqualität sowie der Verifikation.

Möchten Sie DO-178C oder DO-331 in der modellbasierten Entwicklung anwenden?

Fazit

DO-178C und DO-331 sind für Teams, die modellbasiert in der Luftfahrt entwickeln, von großer Bedeutung. Obwohl sie sich von Standards der Automobilindustrie, wie beispielsweise ISO 26262, unterscheiden, gibt es viele Gemeinsamkeiten. Dazu gehören Anforderungen, Rückverfolgbarkeit, Verifikation, Nachweise und eine richtlinienbasierte Entwicklung.

Für Teams in der Luftfahrt sind DO-178C und DO-331 daher mehr als nur weitere Standards. Sie stellen andere Anforderungen an die Softwareabsicherung. Dabei müssen bekannte Entwicklungspraktiken mit luftfahrtspezifischen Zertifizierungszielen verknüpft werden. Eine strukturierte Zuordnung dieser Ziele zu den täglichen Entwicklungsaktivitäten hilft, diese Herausforderung zu bewältigen. Übergeordnete Ziele der Softwareabsicherung lassen sich mit konkreten Modellierungsrichtlinien, Verifikationsaktivitäten, Modellprüfungen und entsprechenden Nachweisen verbinden. Dadurch können Teams die Anforderungen von DO-178C und DO-331 in der modellbasierten Entwicklung leichter verstehen und umsetzen.

MXAM unterstützt diesen Prozess, indem luftfahrtspezifische Ziele der Softwareabsicherung mit konkreten Aktivitäten zur Modellverifikation verknüpft werden. Unternehmen, die ihre etablierten modellbasierten Entwicklungsprozesse aus der Automobilindustrie auf die Luftfahrt übertragen möchten, können so ihre gewohnten Arbeitsabläufe besser mit den dort geltenden Zertifizierungsanforderungen verbinden.

Literaturverzeichnis

  • [ISO 26262] ISO 26262 ‘Road vehicles – Functional safety’. International standard, 2nd edition, ISO 2018
  • [Pan23] Panchal, P.; Hein, L.; Myschik, S.; Holzapfel, F.: A Systematic and Agile Approach to Developing DO-178C Compliant Model-Based Safety-Critical Software. Deutscher Luft- und Raumfahrtkongress 2023, published 2024. DOI: 10.25967/610224
  • [RTCA] RTCA: DO-178C: Software Considerations in Airborne Systems and Equipment Certification. RTCA, 2011. https://www.rtca.org/do-178/
  • [FAA] FAA: Airborne Software Development Assurance Using EUROCAE ED-12( ) and RTCA DO-178( ). 2017. https://www.faa.gov/documentLibrary/media/Advisory_Circular/AC_20-115D.pdf

Kontaktieren Sie uns

Dieses Bild zeigt Elena Bley.
Elena Bley
Senior Manager Webinars & Training
Bitte addieren Sie 9 und 7.

* Pflichtfeld

Bitte addieren Sie 7 und 3.