Definition
Ergänzung zu DO-178C für modellbasierte Software-Entwicklung. Adressiert Anforderungen an Modelle als Spezifikation, ihre Verifizierung sowie automatische Code-Generierung aus Modellen. Wichtig für moderne Avionik-Entwicklung mit Tools wie Simulink, SCADE und ASCET. Ermöglicht effizientere Verifizierung durch modellbasierte Tests, erfordert aber zusätzliche Tool-Qualifikation nach DO-330.
In der Praxis
Modellbasierte Entwicklung mit Werkzeugen wie Simulink oder SCADE ist in der Avionik Standard — DO-331 ist der Preis dafür, dass die Zulassung mitspielt. Der Supplement verschiebt die Verifikationsebene: Das Modell wird zur Spezifikation, und damit entstehen neue Prüfgegenstände, die klassische Code-Reviews nicht abdecken. Drei Stolpersteine sehe ich in Projekten. Erstens der Glaube, automatisch generierter Code sei per se verifiziert — falsch: Entweder wird der Generator nach DO-330 qualifiziert, oder der generierte Code muss wie handgeschriebener verifiziert werden. Zweitens werden Simulationsergebnisse als Zulassungsnachweise verwendet, ohne dass das Simulationswerkzeug dafür qualifiziert wäre. Drittens bricht die Rückverfolgbarkeit: Anforderungen zeigen auf Modellelemente, Testfälle auf Code — und niemand kann die Kette mehr durchgehend zeigen. Wer modellbasiert entwickelt, sollte die Modellierungsstandards, die Modellverifikation und die Werkzeugstrategie im Zulassungsplan festlegen, bevor die erste Funktion wächst — nachträglich wird es teuer.
Häufige Fragen zu DO-331
Ersetzt DO-331 die DO-178C, wenn wir modellbasiert entwickeln?
Nein — DO-331 ist ein Supplement, kein Ersatz. Die Zulassungsgrundlage bleibt DO-178C mit ihren Zielen je Design Assurance Level; DO-331 modifiziert und ergänzt diese Ziele dort, wo Modelle an die Stelle klassischer textueller Spezifikationen und handgeschriebenen Codes treten. Konkret kommen Anforderungen an die Modellverifikation, an die Modellabdeckung und an die Rückverfolgbarkeit auf Modellebene hinzu. Dasselbe Prinzip gilt für die beiden Schwestern: DO-332 für objektorientierte Technologien und DO-333 für formale Methoden. Die Supplements lassen sich kombinieren — ein modellbasiertes, objektorientiertes Projekt kann also DO-178C plus DO-331 plus DO-332 gleichzeitig anwenden. Im Zulassungsplan müssen Sie deklarieren, welche Supplements Sie wie anwenden; die Zulassungsbehörde prüft genau das.
Welche Rolle spielt die Werkzeugqualifizierung nach DO-330 bei modellbasierter Entwicklung?
Sie ist der Hebel, der über Ihren Verifikationsaufwand entscheidet. Die Logik der DO-178C-Welt: Ein Werkzeug muss qualifiziert werden, wenn sein Output verwendet wird, ohne dass dieser Output selbst verifiziert wird — typischer Fall ist der Codegenerator, dessen erzeugter Code nicht mehr zeilenweise geprüft wird. Die Qualifizierung folgt DO-330 und ist ebenso aufwändig wie eine Softwareentwicklung; deshalb nutzen die meisten Projekte qualifizierte Generatoren etablierter Anbieter. Die Alternative: ein nicht qualifizierter Generator, dann muss der generierte Code vollständig verifiziert werden — was den Effizienzgewinn der Modellwelt teilweise auffrisst. Dieselbe Frage stellt sich für Simulations- und Analysewerkzeuge. Entscheiden Sie die Werkzeugstrategie früh und legen Sie sie im Plan für Software-Aspekte der Zulassung offen (RTCA DO-330; RTCA DO-331, Supplement zu DO-178C).
Wie führen wir modellbasierte Entwicklung so ein, dass die Zulassung nicht kippt?
Vier Festlegungen gehören an den Anfang, nicht ans Ende. Erstens ein verbindlicher Modellierungsstandard: Namenskonventionen, erlaubte Blöcke, Schnittstellenregeln — ohne ihn ist jede Modellverifikation Interpretationssache. Zweitens die Modellverifikation als eigene Disziplin: Modellreviews, Simulation und Analyse gegen die Anforderungen, dokumentiert wie ein klassischer Verifikationsnachweis. Drittens die Werkzeugstrategie: qualifizierter Generator nach DO-330 oder Verifikation des generierten Codes — eine Mischung ist möglich, muss aber geplant sein. Viertens die durchgängige Rückverfolgbarkeit von der Anforderung über das Modellelement bis zum Testfall; Werkzeuge können das automatisiert liefern, aber nur, wenn die Disziplin stimmt. Und binden Sie die Zulassungsbehörde oder deren Vertreter früh über das Certification Liaison ein — modellbasierte Ansätze sind etabliert, aber jede Behörde will die Konzepte sehen, bevor sie fertig sind.