Definition
Internationaler Standard für die Entwicklung sicherheitskritischer Software in der zivilen Luftfahrt. Definiert fünf Development Assurance Levels (DAL A bis E) mit gestaffelten Objektiven für Anforderungen, Design, Codierung, Verifikation, Konfigurationsmanagement und Qualitätssicherung. DO-178C ist Voraussetzung für die Zertifizierung neuer Avioniksoftware durch EASA, FAA und andere Luftfahrtbehörden. Ergänzt durch DO-331 (modellbasiert), DO-332 (objektorientiert), DO-333 (formale Methoden).
In der Praxis
Der teuerste Fehler bei DO-178C ist die Haltung „erst entwickeln, dann dokumentieren". Wer den Standard als Dokumentationsübung im Nachhinein behandelt, bekommt spätestens bei den SOI-Audits der Behörde ein Problem: Die Stage-of-Involvement-Reviews begleiten den Lebenszyklus von Anfang an — kommen sie zu spät, droht teure Nachverifikation bis hin zum Neuanlauf. Zweiter Klassiker: die Tool-Qualifizierung nach DO-330. Sie wird vergessen, bis der Auditor nach dem Qualifikationsnachweis für den Code-Generator oder das Testwerkzeug fragt — dann steht der gesamte Verifikationsnachweis auf wackligen Beinen. Drittens sehe ich DAL-Zuordnungen, die eher aus dem Projektbudget als aus der Safety Assessment abgeleitet wirken; das fliegt in jedem Compliance-Gespräch auf. Mein Rat aus der Zulieferkette: DO-178C ist kein Dokumentationsstandard, sondern ein Entwicklungsprozess ab Tag eins — mit durchgehender Rückverfolgbarkeit von der Systemanforderung bis zum Testfall. Wer Traceability als Zulassungswährung begreift und Verifizierung von Validierung sauber trennt, schläft auch vor dem EASA-Audit ruhig.
Häufige Fragen zu DO-178C
Wir entwickeln Automotive-Software nach ASPICE — reicht das als Nachweis für Avionik-Software?
Nein, das sind verschiedene Welten. ASPICE bewertet die Prozessreife Ihrer Entwicklungsorganisation im Automobilbereich — es ist ein Assessment-Modell, keine Zulassungsgrundlage. DO-178C ist dagegen der von EASA und FAA anerkannte Standard für den Lebenszyklus sicherheitskritischer Bordsoftware: Er definiert konkrete Ziele für Anforderungen, Design, Codierung, Verifikation und Konfigurationsmanagement, gestaffelt nach dem Development Assurance Level. Der entscheidende Unterschied liegt in der behördlichen Einbindung und der Unabhängigkeit der Verifikation, die bei hohen DAL-Stufen zwingend ist. Wer aus dem Automotive-Umfeld in die Avionik wechselt, bringt mit ASPICE eine gute Prozesskultur mit — muss aber die DO-178C-Zielsystematik und den Nachweisprozess neu aufsetzen. Als Brücke im QMS hilft die EN 9115, die EN 9100 um lieferbare Software ergänzt.
Ist DO-178C für Avionik-Software gesetzlich vorgeschrieben?
Formal ist DO-178C kein Gesetz, sondern ein von den Luftfahrtbehörden anerkanntes Mittel zur Konformitätsdarstellung — ein sogenanntes Acceptable Means of Compliance im Regelwerkskontext von EASA Part 21. Praktisch heißt das: Sie dürfen grundsätzlich auch einen anderen Weg vorschlagen, müssen dann aber gegenüber der Behörde begründen, dass Ihr Verfahren ein gleichwertiges Sicherheitsniveau erreicht. In dreißig Jahren Zulassungspraxis hat sich daran niemand ernsthaft versucht — DO-178C ist der De-facto-Pfad, auf dem Behörden, DERs und Zulassungsingenieure arbeiten. Für die Zertifizierung neuer Avioniksoftware wird er von EASA und FAA erwartet. Die europäische Identitätsausgabe ist die EUROCAE ED-12C; beide Dokumente sind inhaltlich deckungsgleich.
Wie bereiten wir uns auf die SOI-Audits der Behörde vor, ohne das Projekt auszubremsen?
Planen Sie die Stage-of-Involvement-Reviews als Meilensteine Ihrer Entwicklung, nicht als externe Störung. Entscheidend ist, dass die Lebenszyklus-Daten — Planungsdokumente, Anforderungen, Designstandards, Verifikationsergebnisse — zu jedem Review-Zeitpunkt in dem Reifegrad vorliegen, den Ihr Plan für Software-Aspekte der Zertifizierung (PSAC) verspricht. Bauen Sie die Rückverfolgbarkeit von Anfang an in Ihr Anforderungsmanagement-Werkzeug ein statt sie vor dem Audit zu rekonstruieren. Und prüfen Sie früh, welche Entwicklungs- und Verifikationswerkzeuge Sie einsetzen: Ersetzt oder automatisiert ein Tool eine DO-178C-Aktivität, braucht es eine Tool-Qualifizierung nach DO-330 — das auf SOI 3 zu entdecken, ist ein klassischer Terminkiller. Interne Vorab-Audits mit jemandem, der den Behördenblick kennt, zahlen sich hier doppelt aus.