GoogleTest und Compliance für sicherheitskritische Software verbinden

Open-Source-Unit-Testing-Frameworks wie GoogleTest haben sich zum Standard für die moderne C- und C++-Softwareentwicklung entwickelt. Für Unternehmen, die sicherheitskritische eingebettete Systeme entwickeln, ist die Einführung von GoogleTest jedoch nur der Anfang. Der Nachweis der strukturellen Codeabdeckung, der Rückverfolgbarkeit von Anforderungen, der Werkzeugqualifizierung und der für funktionale Sicherheit und Cybersicherheitsstandards erforderlichen Konformitätsnachweise erfordert mehr als ein herkömmliches Open-Source-Testing-Framework.

Sehen Sie sich diese interaktive Diskussion unter der Leitung von Chris Rommel, Executive Vice President bei VDC Research, mit Arthur Hicken, Evangelist, und Ricardo Camacho, Director of Product, beide von Parasoft, an, in der sie erörtern, wie Entwicklungsorganisationen GoogleTest in regulierten Entwicklungsumgebungen sicher einführen und skalieren können.

Das Panel untersucht Folgendes:

• Warum GoogleTest die Entwicklung eingebetteter Systeme vorantreibt C/C++-Unit-Tests
• Die Herausforderungen bei der Verwendung von GoogleTest in der sicherheitskritischen Entwicklung
• Wie man strukturelle Abdeckung, Rückverfolgbarkeit und Auditbereitschaft erreicht
• Häufige Compliance-Lücken bei der Verwendung von Open-Source-Testworkflows
• Vorteile der TÜV SÜD-zertifizierter GoogleTest
• Erweiterung von GoogleTest unter Beibehaltung der Entwickler-Workflows

Lernen Sie praktische Strategien kennen, um Arbeitsabläufe zur Verifizierung eingebetteter Software zu modernisieren, die Softwarequalität zu verbessern, die Einhaltung von Vorschriften zu vereinfachen und das Zertifizierungsrisiko zu reduzieren – und das alles, während Sie weiterhin die Open-Source-Tools verwenden, die Ihre Entwickler bereits kennen und denen sie vertrauen, selbst wenn die Softwarekomplexität und die KI-gestützte Entwicklung weiter zunehmen.

Die steigenden Anforderungen an die Softwareentwicklung

Software ist zum prägenden Merkmal heutiger Produkte geworden und treibt Innovationen branchenübergreifend voran. Entwicklerteams erwarten eine stetig wachsende Softwarekomplexität; mehr als die Hälfte rechnet bei ihren nächsten Projekten mit mindestens 25 % mehr intern entwickeltem Code. Dabei geht es nicht einfach nur um mehr Code, sondern um einen grundlegenden Wandel in der Softwareentwicklung. Mehrere Faktoren tragen zu dieser Komplexität bei:

1. IoT und Edge Computing: Mehr Intelligenz in die Endsysteme integrieren.
2. Software-Integration: Die Integration von Code aus verschiedenen Quellen wie Drittanbietern, Open-Source-Komponenten und früheren Projekten.
3. KI-generierter Code: Sie dringen rasch in die Entwicklungspipeline ein und bringen eine weitere Ebene der Komplexität und Herausforderungen im Bereich der Governance mit sich.

Diese Trends zwingen Entwicklungsteams dazu, mehr Software bereitzustellen, Code aus mehr Quellen zu integrieren und umfassendere Nachweise zur Einhaltung von Vorschriften zu erbringen – und das alles mit denselben oder sogar weniger Ressourcen. Daraus resultiert ein wachsender Druck, effizientere und skalierbarere Verifizierungsstrategien einzuführen.

Der unbestreitbare Wert von Unit-Tests

Mit zunehmender Softwarekomplexität gewinnt effektives Unit-Testing immer mehr an Bedeutung. Daten belegen, dass Projekte mit ausgereiften Unit-Testing-Praktiken jährlich über 70 % weniger von Kunden gemeldete Fehler aufweisen als Projekte ohne diese Praktiken. Organisationen mit ausgereiften Unit-Testing-Praktiken melden zudem Fehler mit geringerer Schwere, wodurch der Aufwand für die Fehlerbehebung von durchschnittlich 81 auf 51 Personenstunden pro Fehler sinkt.

Es besteht jedoch ein Paradoxon: Selbst bei eindeutigen Belegen für bewährte Verfahren weichen viele Organisationen bei der Einführung neuer Technologien oder unter Zeitdruck von etablierten Methoden ab. Dies kann zu Projektverzögerungen führen, was insbesondere im sicherheitskritischen Bereich kostspielig ist, da Verzögerungen zu Betriebskosten in Höhe von Hunderttausenden von Dollar führen können, ganz zu schweigen von Umsatzeinbußen und Zertifizierungsrisiken.

Dies wirft eine wichtige Frage auf: Wie können Organisationen weiterhin moderne Open-Source-Unit-Testing-Frameworks wie GoogleTest nutzen und gleichzeitig die strengen Verifizierungs- und Compliance-Anforderungen regulierter Branchen erfüllen?

GoogleTest: Das richtige Framework – aber nur ein Teil der Lösung

GoogleTest hat sich zum bevorzugten Unit-Testing-Framework für die Embedded-C++-Entwicklung entwickelt. Die native C++-Unterstützung, die breite Akzeptanz in der Community, die nahtlose CI/CD-Integration und die Open-Source-Lizenz machen es zu einer ausgezeichneten Wahl für moderne Softwareteams.

Organisationen , die sicherheitskritische Software entwickeln, stellen jedoch schnell fest, dass Unit-Tests allein nicht ausreichen. Um die Anforderungen an Verifizierung und Compliance regulierter Branchen zu erfüllen, sind zusätzliche Funktionen erforderlich, die GoogleTest ursprünglich nicht bereitstellen sollte.

Wo häufig Compliance-Lücken auftreten

Ingenieurteams stoßen häufig in vier Schlüsselbereichen auf Herausforderungen:

• Strukturelle Codeabdeckung: GoogleTest bietet standardmäßig keine Anweisungs-, Zweig- oder MC/DC-Abdeckung, die jedoch häufig von Sicherheitsstandards gefordert werden. Add-ons können hier Abhilfe schaffen, erfordern aber eine manuelle Zuordnung.
• Rückverfolgbarkeit der Anforderungen: Es bietet keine native Unterstützung für die Rückverfolgung von Tests zu spezifischen Anforderungen, was eine manuelle Verwaltung oder die Integration mit separaten Tools erforderlich macht.
• Auditfähiges Reporting: Die standardmäßige XML- oder JSON-Ausgabe ist für Audits nicht ausreichend. Es fehlen umfassende Nachweise, einschließlich Historie, Versionskontext und Qualifikationsartefakte.
• Werkzeugqualifikation: GoogleTest liefert keine dokumentierten Belege dafür, dass das Tool selbst seine beabsichtigte Funktion korrekt ausführt, eine Voraussetzung für Normen wie DO 330 oder IEC 61508.

Ohne diese Fähigkeiten sind Teams oft auf manuelle Prozesse, unzusammenhängende Tools und individuelle Integrationen angewiesen, was den Entwicklungsaufwand und das Zertifizierungsrisiko erhöht. Sichere Software entsteht niemals zufällig. Sie ist das Ergebnis gezielter Entwicklung.

Navigieren auf dem Weg nach vorne

Wenn eine Organisation eine Zertifizierungslücke in ihrem GoogleTest-Workflow feststellt, gibt es typischerweise drei Wege:

1. Weg von GoogleTest: Dies ist mit erheblichen Störungen verbunden, da Testcode neu geschrieben, Entwickler umgeschult und bestehende Integrationen möglicherweise verloren gehen müssen. Für etablierte Teams ist dies oft zu kostspielig und zeitaufwändig.
2. GoogleTest-Selbstqualifizierung: Dies erfordert einen erheblichen Zeit- und Fachaufwand für die Erstellung und Pflege der Qualifizierungsdokumente. Die Arbeit muss für jede neue Version von GoogleTest wiederholt werden, was zu wiederkehrenden Kosten und Terminrisiken führt.
3. Erweitern Sie GoogleTest um eine Compliance-fähige Lösung:
   Anstatt GoogleTest zu ersetzen, entscheiden sich viele Unternehmen dafür, ihre bestehende Investition durch die Integration der für sicherheitskritische Entwicklungen erforderlichen Funktionen zu erweitern. Lösungen wie Parasoft C/C++test CT erweitern GoogleTest um strukturelle Codeabdeckung, Rückverfolgbarkeit von Anforderungen, auditfähige Konformitätsnachweise und ein TÜV SÜD-zertifiziertes GoogleTest-Paket, das die Qualifizierung und Zertifizierung von Tools vereinfacht.

Dieser Ansatz ermöglicht es Teams, ihre bestehenden GoogleTest-Workflows beizubehalten und sie gleichzeitig zertifizierungsfähig zu machen. Anstatt von vorn zu beginnen, können Unternehmen die Tools, die ihre Entwickler kennen und denen sie vertrauen, weiterhin nutzen und gleichzeitig die Verifizierungs- und Compliance-Anforderungen regulierter Branchen erfüllen.

KI verändert die Softwareverifizierung

Künstliche Intelligenz (KI) revolutioniert die Softwareentwicklung, indem sie Entwicklern hilft, Code zu generieren, Tests zu erstellen und Fehler schneller als je zuvor zu beheben. Bei sicherheitskritischer Software ersetzt KI jedoch nicht die sorgfältige Verifizierung, sondern macht sie sogar noch wichtiger. Unabhängig vom Generierungsmodell müssen Unternehmen weiterhin die strukturelle Codeabdeckung, die Rückverfolgbarkeit der Anforderungen, die Einhaltung der Vorschriften und die Gewissheit nachweisen, dass die Software die Anforderungen an funktionale Sicherheit und Cybersicherheit erfüllt.

Parasoft kombiniert KI-gestütztes Testen mit bewährten Verifizierungstechnologien wie statischer Analyse, Unit-Tests, Codeabdeckung, Anforderungsrückverfolgbarkeit und Konformitätsberichten. So unterstützt Parasoft Teams dabei, ihre Produktivität zu steigern und gleichzeitig die für die Zertifizierung erforderlichen Standards einzuhalten. Dieses Webinar zeigt, wie Entwicklungsunternehmen KI sicher einsetzen können, ohne Kompromisse bei Softwarequalität, Sicherheit oder Compliance einzugehen.

Alles zusammen bringen

GoogleTest ist ein hervorragendes Framework für Unit-Tests, doch sicherheitskritische Software erfordert mehr als nur Unit-Tests. Unternehmen benötigen zusätzlich eine strukturelle Codeabdeckung, die Rückverfolgbarkeit von Anforderungen, Nachweise zur Einhaltung von Vorschriften, auditfähige Berichte und Unterstützung bei der Werkzeugqualifizierung.

Parasoft C/C++test CT erweitert bestehende GoogleTest-Workflows um TÜV SÜD-zertifizierte GoogleTest-Pakete, strukturelle Codeabdeckung, Rückverfolgbarkeit von Anforderungen, Konformitätsberichte, KI-gestützte Testfunktionen und die Unterstützung führender Standards für funktionale Sicherheit und Cybersicherheit. Das Ergebnis ist eine moderne, zertifizierungsfähige Verifizierungslösung, die Teams hilft, die Produktivität zu steigern, die Einhaltung von Vorschriften zu vereinfachen und sicherere Software zu entwickeln.