Referat Software-Qualität - Qualitätsbeurteilung

Software-Qualität

Qualitätskriterien

Qualität ist die "Gesamtheit von Eigenschaften bzw. Merkmalen eines Produktes bezüglich seiner Eignung, festgelegte und vorausgesetzte Erfordernisse zu erfüllen"

Qualitätsbeurteilung

Aufstellung und Systemati­sierung qualitativer Beurteilungskriterien bzw. Merkmale

Entwicklung von direkten und indirekten Meßgrößen zur quantitativen Bewertung der Merkmale

Festlegung von Maßstäben, um die Erfüllung der Qualitäts­merkmale anhand der Werte der Maßgrößen zu beurteilen.

Bsp.

Kriterien für die Beurteilung der Software Qualität:



- Funktionalität:          Sind alle im Pflichtenheft geforderten Funktionen vorhanden und ausführbar? - Zuverlässigkeit:        Zu welchem Grad (z. B. Prozent der Arbeitszeit) erfüllt die Software dauerhaft die geforderten Funktionen? Werden alle Funktionen richtig ausgeführt (Korrektheit)?

- Benutzbarkeit: Wie schnell läßt sich der Umgang mit der Software vom Benutzer erlernen (Erlernbarkeit)? Wie einfach läßt sich die Software durch den Benutzer handhaben (Bedienbarkeit)?

- Effizienz: Welches zeitliche Verhalten (Antwortzeit im Dialogbetrieb, Laufzeit im Stapelbetrieb) und welchen Ressourcenverbrauch zeigt die Software unter den gegebenen Systemvoraussetzungen (Hardware, Betriebs- system, Kommunikationseinrichtungen)?

- Anderbarkeit: Mit welchem Aufwand bzw. In welcher Zeit lassen sich Anderungen durchführen! Wie läßt sich der Aufwand für Fehlererkennung -behebung minimieren (Wertbarkeit)?

- Übertragbarkeit: Mit welchem Aufwand läßt sich die Software (insbesondere Standard- software an individuelle funktionale betriebliche Gegebenheiten anpassen (Anpaßbarkeit)? Läßt sich die Software ohne größeren Aufwand in anderen Systemumbegungen zum Einsatz bringen (Portabilität)? Kann die Software beim Austausch des Rechners (z. B. leistungsfähiger Prozessor) unverändert eingesetzt werden (Skalierbarkeit, -> Aufwärts- Kompatibilität)

Mann kann die Qualitätsmerkmale auch danach gliedern, ob sie

als statistische Qualitätsmerkmale den Aufbau, d. h. die Entwicklung, die Strukturierung, die Dokumentation usw., oder

als dynamische Qualitätsmerkmale das Verhalten, d. h. den Einsatz, die Handhabung usw.,

der Software betreffend.

Zur quantitativen Bewertung der Merkmale können beispielsweise herangezogen werden:

a)   als direkte Meßgröße für die

- Zuverlässigkeit: Ausfallzeiten
- Korrektheit: Anzahl Fehler pro Zeiteinheit
- Bedienbarkeit: Anzahl Aufrufe pro Vorgang
- Effizienz: Antwortzeit (Durchschnitt, Spitze) pro Transaktion
- Wertbarkeit: Zeitaufwand je Fehlerbehebung

b)  als indirekte Meßgrößen

- Programmgröße: Anzahl Programmzeilen (LOC = Line of Code)

- Programmstruktur: Anzahl Hierachieebenen (Schachtelungstiefe),

Anzahl Strukturblöcke, Anzahl Module
- Programmkomplexität: Anzahl unterschiedlicher Steuerkonstrukte

- Kommentarumfang: Anzahl Kommentarzeilen absolut und relativ im Verhältnis zur

Anzahl Programmzeilen

Mehrere Kriterien bzw. Merkmale überschneiden sich oder hängen voneinander ab. Die indirekten Meßgrößen haben auf die Merkmale unterschiedliche, zum Teil gegenläufige Wirkung. Beispielsweise erhöht eine hohe Anzahl von Strukturblöcken die Wartbarkeit, aber nicht unbedingt die Effizienz. Die Aussagekraft vieler Merkmale und Meßgrößen ist wegen der mangelnden Vergleichbarkeit sehr umstritten.

Von besonderer Bedeutung für die Software-Qualität ist die Software-Ergonomie, deren Ziel in erster Linie darin besteht, bei der Nutzung von Software im Dialogbetrieb:

- die Arbeit nicht monoton oder ermüdend werden zu lassen und

- den Benutzer im richtigen Maß geistig zu fordern.

Die Software-Ergonomie ist weitgehend mit dem Qualitätskriterium Benutzbarkeit identisch.

ordnet diesem Kriterium die Merkmale Verständlichkeit, Übersichtlichkeit und Steuerbarkeit zu.

in dieser werden die Anforderungen an die Dialoggestaltung zu folgenden fünf Grundsätzen zusammengefaßt:

- Aufgabenangemessenheit:   Anpassung an die Arbeit und die Qualifikation der Benutzer

(Realisierung,: Maskengestaltung, Fenstertechnik, grafische Benutzeroberfläche, Funktionstasten, Symboltechnik);

- Selbstbeschreibung:             automatische Systemerklärung, Statusmeldungen (Realisierung:

deutsche Texte, Erläuterungen mit Beispielen, HELP-Funktion);

- Steuerbarkeit:                       individuelle Einrichtung angemessener Bearbeitungs- und

Antwortzeiten, Möglichkeiten zur Arbeisunterbrechung und zur Rücknahme von Eingaben, Löschbestätigung;

- Erwartungskonformität:      Quittierung von Eingaben, Rückfragen des Systems,

Erläuterungen von Unterbrechungen, Zustandsanzeigen;

- Fehlerrobustheit:                  keine Systemzusammenbrüche bei Eingabefehlern, verständliche

Fehlermeldungen, Hinweise auf Korrekturmaßnahmen, automatische Korrekturen.

DIN 66234 soll durch die internationale Norm ISO 9241 bzw. die entsprechende europäische Norm DIN EN 29241 abgelöst werden. Die internationale Norm enthält u. a. Grundsätze der Dialoggestaltung, Angaben zur Benutzbarkeit sowie Vorgaben zur Benutzerführung und zur Dialogführung mittels Menü. Zu den fünf aus DIN 66234 übernommenen Grundsätzen kommen auch die beiden Merkmale

Lernförderlichkeit und Individualisierbarkeit hinzu. ISO 9241 ist in Verbindung mit der EU-Richtlinie 90/270/EWG zu sehen, der bis spätestens Ende 1996 alle Bildschirmarbeitsplätze genügen müssen.

Speziell für die Gestaltung der Benutzeroberfläche gibt es eine Vielzahl von Empfehlungen:

Zusammenfassung von verwandten Informationen zu Gruppen und Zuordnung zu festen Bildschirmbereichen (Status-, Arbeits-, Steuerungs-, Meldungsbereich) bzw. entsprechende Fenster,

sparsame Verwendung von Hervorhebungen (Blinken, Invertierung, Kontrastverstärkung, Farben),

Abschaltbarkeit von optischen und akustischen Signalen.

Einen Quasi-Standard bilden die von der Firma IBM im Rahmen der System Anwendungs-Architektur (SAA) unter der Bezeichnung CUA (Common User Access) gegebenen Vorschriften über die Benutzerschnittstelle.

Unter Qualitästsicherungsmaßnahmen versteht man:

im engeren Sinn Testmethoden und Prüfverfahren wie Inspetion oder Review am Ende des Software Entwicklungsprozesses und

im weiteren Sinn alle Maßnahmen zur Erhöhung einer hohen Software-Qualität während des gesamten Entwicklungsprozesses.

Qualitätssicherungsmaßnahmen im weiteren Sinn bestehen u.a. in:

der Befolgung eines einheitlichen Vorgehensmodells für alle Anwendungsentwicklungen,

einer konsequenten Anwendung der Prinzipien des strukturierten Systementwurfs und des strukturierten Programmentwurfs unter Aspekten der Wiederverwendbarkeit,

einer für alle Programmierer des Unternehmens verbindlichen Festlegung auf eine Methode bzw. ein Verfahren der Programmentwicklung,

die Einhaltung vorgeschriebener Strategien zur Organisation eines systematischen Testbetriebs durch alle Programmierer,

der Einführung einer von allen Systemanalytikern und Programmierern einheitlich zu nutzenden Software-Produktionsumgebung (einschließlich Konfigurationsmanagement) aus einer minimalen Anzahl geeigneter Werkzeuge.

Hierzu kommt die Handhabung eines professionellen Projektmanagements.

Generell setzt sich die Erkenntnis durch, daß eine wirksame Qualitätssicherung nur durch die Ausweitung zu einem umfassenden ("totalen") Qualitätsmanagement zu erreichen ist, das durch ein Qualitätsmanagementsystem unterstützt wird.

Während die Begriffe zur Qualitätssicherung im Entwurf von DIN ISO 8402 festgelegt sind, wird in einer Reihe weiterer Normen (DIN EN                         ISO 9000 bis 9004) ein Leitfaden zur Anwendung gegeben. Speziell DIN ISO 9000, Teil 3 befaßt sich mit der Anwendung auf die Entwicklung, Lieferung und Wartung von Software.

Zertifizierung

Verbraucher bevorzugen Produkte, die hinsichtlich ihrer Qualität mit einem Gütesiegel versehen, d. h. zertifiziert sind. Anwendungssoftware ist davon nicht ausgenommen. Die Zertifizierung von Software kann sich beziehen:

- auf das Produkt, d. h. die Software,

- auf den Erstellungsproßes, d. h. den Prozeß der Software-Entwicklung, oder

- speziell auf sicherheitstechnische Anforderungen an Anwendungssysteme.

Da besonders an Standartsoftware hohe Qualitätsanforderungen gestellt werden, ist schon früh der Wunsch nach Prüfzertifikaten für das Produkt Software entstanden. 1985 haben sich Prüfinstitutionen, Hardware-Hersteller, Software-Firmen und Anwender zur "Gütegemeinschaft Software e.V." (GGS) zusammengeschlossen. Bei der GGS kann für Programme das Gütezeichen Software beantragt werden. Die GGS ist Mitglied des 1925 gegründeten RAL (Deutsches Institut für Gütesicherung und Kennzeichnung e. V.), einem von der Wirtschaft, den Behörden und den Verbraucherverbänden anerkannten Verein für die Erarbeitung von Güte- und Prüfbestimmungen. Das Gütezeichen Software wird als RAL‑GZ 901 geführt. Da die Prüfung anhand der Norm DIN 66285 erfolgt, tritt neben das RAL-Zeichen noch das DIN-Siegel.

Mit der Prüfung selbst werden von der GGS Prüfstellen beauftragt, die teilweise eigene Gütesiegel vergeben, darunter Technische Überwachungsvereine wie TÜV Bayern/Sachsen, TÜV Rheinland oder Rheinisch-Westfälischer TÜV. Entsprechend der Norm DIN 66285 betreffen die Prüfungen die Produktbeschreibung, die Benutzerdokumentation, das eigentliche Programm und die Installierung.

Die Produktzertifizierung hat stark an Bedeutung verloren, seitdem sich die Erkenntnis durchgesetzt hat, daß es sinnvoller ist, nicht kurzlebige bzw. häufigen Anpassungen oder Veränderungen unterworfene Produkte wie die Software selbst, sondern den Herstellungs- bzw. Entwicklungsproßes der Produkte hinsichtlich der Gewährleistung von Qualitätseigenschaften zu zertifizieren. Basis für die Prozeßzertifizierung bilden die schon erwähnten Qualitätsmanagement- und Qualitätssicherungsnormen der internationalen DIN EN ISO 9000 bis 9004 mit folgenden Einzelnormen:

DIN EN ISO 9000:    Leitfaden zur Auswahl und Anwendung;

DIN EN ISO 9001:    Qualitätssicherung in Design/Entwicklung, Produktion Montage und Kundendienst;

DIN EN ISO 9002:    Qualitätssicherung in Produktion und Montage;

DIN EN ISO 9003:    Qualitätssicherung in der Endprüfung;

DIN EN ISO 9004:    Leitfaden zum Aufbau eines Qualitätssicherungssystems.

Mit der Prozeßzertifizierung befassen sich mehrere autorisierte Zertifizierungsstellen. Die Zertifizierung verläuft in vier Phasen, die sich über einen Zeitraum von mehreren Monaten bis zu zwei Jahren erstrecken können. Den Kern bilden sogenannte Audits (Anhörungen). Die ersten drei Phasen schließen jeweils mit einem Bereich der beauftragten Zertifizierungsstelle an den Auftraggeber. Das Zertifikat gilt drei Jahre, sofern jährlich ein Überwachungsaudit stattfindet, und verlängert sich um weitere drei Jahre, sofern ein Wiederholungsaudit durchgeführt wird. Wegen dieses hohen Aufwands und der damit verbundenen Kosten scheuen vor allem kleine und mittlere Unternehmen eine Zertifizierung. Im IV-Bereich sind bisher hauptsächlich Software-Firmen und Schulungsveranstalter zertifiziert.

Speziell mit der Prüfung und Bewertung der besonders für den Datenschutz wichtigen Sicherheitseigenschaften von Software befaßt sich das "Bundesamt für Sicherheit in der Informationstechnik" (BSI). Nach dem BSI-Errichtungsgesetz (BSIG) hat das BSI u. a. die Aufgabe:

die Sicherheit von IT-Systemen bzw. IT-Komponenten auf Antrag des Herstellers oder Vertreibers zu prüfen, zu bewerten und Sicherheitszertifikate zu vergeben,

IT-Systeme bzw. IT-Komponenten, die für amtlich geheimgehaltene Informationen (Verschlußsachen) eingesetzt werden sollen, auf ihre Eignung zu prüfen ggf. zuzulassen, soweit die geltenden Vorschriften eine Zulassung fordern, und

IT-Herstellern, -Vertreibern und -Anwendern in Fragen der IT-Sicherheit zu beraten.

Das Schwergewicht liegt auf technischen Sicherheitsmaßnahmen, die höchstmöglichen Schutz gegenüber Bedienungsfehlern, technischem Versagen, katastrophenbedingungen Ausfällen und Manipulationsversuchen bieten. Generell werden unter dem Begriff IT-Sicherheit:

Vertraulichkeit, d. h. Schutz vor unbefugter Preisgabe von Informationen

Integrität, d. h. Schutz vor unbefugter Veränderung von Informationen, und

Verfügbarkeit, d. h. Schutz vor unbefugter Vorenthaltung von Informationen oder Betriebsmitteln,

verstanden. Typische Themen zur IT-Sicherheit sind z. B. Authentifizierungsverfahren und die elektronische Unterschrift.

Die vom BSI vertretenen Forderungen stammen ursprünglich aus dem militärischen bzw. nachrichtendienstlichen Bereich. Sie beruhen auf einem erstmals 1983 vom National Institute OF Standards and Technologie (NIST) der USA im Auftrag des amerikanischen Verteidigungsministeriums erarbeiteten Kriterienkatalog ("Orange Book"), der 1987 von der NATO übernommen worden ist. Zunehmende Gefahren durch Computerkriminalität, Hacker, Viren u. a. haben dazu geführt, die Forderungen auch im privaten Bereich zu stellen.

Das BSI legt der Zertifizierung sogenannte IT-Sicherungskriterien zugrunde, die seit 1980 im IT-Evaluationshandbuch und seit 1992 unter der Bezeichnung "Information Technology Security Evaluation Criteria" (ITSEC) auf europäische Ebene harmonisiert sind. Die zu beurteilenden Sicherheitsmaßnahmen werden in 10 Funktionsklassen eingeteilt und ja nach Wirksamkeit sieben Qualitätsstufen E0 bis E6 zugeordnet. Die der Zertifizierung vorangehende Prüfung nehmen das BSI selbst oder vom BSI beauftragte akkreditierte Prüfstellen, darunter wieder mehrere Technische Überwachungsvereine, vor. Zertifiziert sind bisher hauptsächlich Betriebssysteme, insbesondere Chipkarten-Betriebsysteme. Die Kriterien werden von der ISO unter der Abkürzung CC (Common Criteria) international genormt.