DO-178C

DO-178C、航空機搭載システムおよび機器認証におけるソフトウェアの考慮事項は、 FAA、EASA、カナダ運輸省などの認証機関がすべての商用ソフトウェアベースの航空宇宙システムを承認するための主要な文書です。この文書は、 RTCA, IncorporatedがEUROCと共同で発行し、 DO-178Bに代わるものです。新しい文書はDO-178C/ED-12Cと呼ばれ、2011年11月に完成し、2011年12月にRTCAによって承認されました。2012年1月に販売および使用が可能になりました。^{[1] [2] [3]}

FAR 33 / JAR Eを除き、連邦航空規則はソフトウェアの耐空性について直接言及していません。^[4] 2013年7月19日、FAAはAC 20-115Cを承認し、DO-178Cを「航空機搭載システムおよび機器認証のソフトウェア面に関する適用されるFAR耐空性規則への準拠を示すための許容可能な手段であるが、唯一の手段ではない」と認定しました。^[5]

DO-178Bのリリース以来、FAA指定技術担当者(DER) からは、高レベル要件、低レベル要件、派生要件という主要な DO-178B 概念の定義と境界の明確化/改良、およびシステム要件とシステム設計 ( ARP4754を参照) とソフトウェア要件とソフトウェア設計 (DO-178B の領域) の間の開始/終了基準のより良い定義を求める強い要望がありました。その他の懸念事項には、モデルベース開発パラダイムにおける検証の意味、および一部またはすべてのソフトウェア テスト活動をモデル シミュレーションまたは形式手法に置き換えることに関する検討が含まれていました。 DO-178C と、関連文書 DO-278A (地上システム)、DO-248C (各 DO-178C 目標の根拠を含む追加情報)、DO-330 (ツール認定)、DO-331 (モデリング)、DO-332 (オブジェクト指向)、DO-333 (形式手法) のリリースは、指摘された問題に対処するために作成されました。SC-205 のメンバーは、SAE S-18 委員会と協力して、ARP4754A と上記の DO-xxx 文書が、補完的な基準を持つ統合されたリンクされたプロセスを提供するようにしました。

全体的に、DO-178CはDO-178Bのテキストの大部分を維持しており、低レベル要件の概念に関する曖昧さなど、DO-178Bの問題が完全に解決されていない可能性があるという懸念が生じています。^[6]

RTCA/EUROCAE 合同委員会の作業は 7 つのサブグループに分かれています。

• SG1: SCWG ドキュメント統合
• SG2: 問題と根拠
• SG3: ツール認定
• SG4: モデルベースの開発と検証
• SG5: オブジェクト指向技術
• SG6: 形式手法
• SG7: 安全に関する考慮事項

モデルベース開発および検証サブグループ（SG4）は、ワーキンググループの中で最大のものでした。すべての作業は、共同作業管理メカニズムであるWebサイトを介して収集および調整されました。^[7]作業成果物とドラフト文書は、グループメンバーのみがアクセスできる制限されたエリアに保管されました。

この作業は、現在のソフトウェア開発の実践、ツール、技術を考慮してDO-178B/ED-12Bを最新のものにすることに重点が置かれていました。^{[8] [9]}

ソフトウェアレベルは、ARP4754（DO-178CではIDALをソフトウェアレベルと同義としてのみ言及している^{[10] ）で定義されている}開発保証レベル（DAL）またはアイテム開発保証レベル（IDAL）としても知られ、システムの故障状態の影響を調べることによって安全性評価プロセスとハザード分析から決定されます。故障状態は、航空機、乗組員、乗客への影響によって分類されます。

• 壊滅的- 故障により死亡事故が発生する可能性があり、通常は航空機の損失を伴います。
• 危険- 故障により安全性や性能に大きな悪影響が生じたり、身体的苦痛や作業負荷の増加により乗務員の航空機操縦能力が低下したり、乗客に重傷や致命傷が生じたりします。
• 重大- 故障により安全マージンが大幅に減少するか、乗務員の作業負荷が大幅に増加します。乗客に不快感を与える可能性があります (軽傷を負う場合もあります)。
• 軽微- 故障により安全マージンがわずかに減少するか、乗務員の作業負荷がわずかに増加します。例としては、乗客に不便を及ぼしたり、定期的な飛行計画が変更されたりすることが挙げられます。
• 影響なし- 障害は安全性、航空機の運航、乗務員の作業負荷に影響を及ぼしません。

DO-178C だけでは、ソフトウェアの安全性を保証するものではありません。設計および機能として実装された安全性属性は、明示的な安全性要件を満たしていることの客観的な証拠を駆動および示すために、追加の必須システム安全性タスクを受け取る必要があります。認証機関は、これらの包括的な分析方法を使用してソフトウェア レベル AE を確立するための正しい DAL を確立することを要求し、DO-178C はそれを規定しています。「ソフトウェア レベルは、DO-178C への準拠を証明するために必要な厳密さを確立します」。^[10]安全性が重要な機能をコマンド、制御、および監視するソフトウェアはすべて、最高の DAL レベル A を受け取る必要があります。

満たすべき目標の数（独立性を伴うものもある）は、ソフトウェア レベルの AE によって決定されます。「独立性を伴う」というフレーズは、ソフトウェア開発チームからの「独立性」によって検証および妥当性確認プロセスの客観性が確保される責任の分離を指します。独立性を伴う必要がある目標の場合、項目（要件やソース コードなど）を検証する人物は、項目を作成した人物ではない可能性があり、この分離は明確に文書化されている必要があります。^[11]

プロセスは、ソフトウェア レベル (A から D、レベル E は DO-178C の範囲外) に応じて目標をサポートすることを目的としています。プロセスは DO-178C で抽象的な作業領域として説明されており、プロセスの実行方法の詳細を定義して文書化するのは実際のプロジェクトのプランナーの責任です。実際のプロジェクトでは、プロセスのコンテキストで実行される実際のアクティビティが目標をサポートすることを示す必要があります。これらのアクティビティは、計画プロセスの一部としてプロジェクト プランナーによって定義されます。

DO-178C のこの目的ベースの性質により、さまざまなスタイルのソフトウェア ライフサイクルに従うことに関して、大きな柔軟性が得られます。プロセス内のアクティビティが定義されると、プロジェクトはプロセス内でその文書化されたアクティビティを尊重することが一般的に期待されます。さらに、DO-178C によれば、プロセス (およびその具体的なアクティビティ) には明確に定義された開始基準と終了基準が必要であり、プロジェクトはプロセス内のアクティビティを実行する際にそれらの基準を尊重していることを示す必要があります。

DO-178C のプロセスと開始/終了基準は柔軟性が高いため、これらの側面は抽象的で、作業のベースとなるアクティビティの「基本セット」がないため、初めて実装するのは困難です。DO-178C の目的は規範的ではありませんでした。実際のプロジェクトでこれらの側面を定義するには、さまざまな方法があり、受け入れ可能です。企業がこの標準に基づいて民間航空電子工学システムを開発しようとすると、初めて困難になる可能性があり、DO-178C のトレーニングとコンサルティングのニッチ市場が生まれました。

一般的な DO-178C ベースのプロセスの場合、関与の段階 (SOI) は、EASA の認証覚書 SWCEH – 002: SW 承認ガイドラインおよび FAA の命令 8110.49: SW 承認ガイドラインで定義されているように、認証機関がシステムまたはサブシステムのレビューに関与する最小限のゲートです。

DO-178 では、認証成果物間の双方向の接続 (トレースと呼ばれる) を文書化する必要があります。たとえば、低レベル要件 (LLR) は、満たすことを意図している高レベル要件 (HLR) までトレースされると同時に、それを実装することを意図しているソース コードの行、要件に関するソース コードの正確さを検証することを意図しているテスト ケース、それらのテストの結果などまでトレースされます。次に、トレーサビリティ分析を使用して、各要件がソース コードによって満たされていること、各機能要件がテストによって検証されていること、ソース コードの各行に目的があること (要件に接続されていること) などを確認します。トレーサビリティ分析は、システムの完全性にアクセスします。認証成果物の厳密さと詳細は、ソフトウェア レベルに関連しています。

SC-205/WG-12はDO-178B/ED-12Bを改訂し、現在のソフトウェア開発および検証技術に合わせて最新のものにする役割を担った。文書の構造はBからCまでほぼ同じままである。変更例には以下が含まれる: ^[13]

• より明確な言葉と用語を提供し、一貫性を高める
• さらなる目標（レベル A、B、C 向け）
• レベルAに適用される「隠れた目的」を明確にしました。これはDO-178Bのセクション6.4.4.2bで暗示されていましたが、付録Aの表には記載されていませんでした。この目的は現在、DO-178Cの付録Aの表A-7の目的9に明示的に記載されています。「ソースコードまで追跡できない追加コードの検証が達成される。」^[14]
• パラメータ データ項目ファイル - 実行可能オブジェクト コードの動作に影響を与える個別の情報を提供します (変更は行いません)。例としては、パーティション化されたオペレーティング システムのスケジュールと主要な時間枠を設定する構成ファイルがあります。パラメータ データ項目ファイルは、実行可能オブジェクト コードと一緒に検証する必要があります。そうでない場合は、パラメータ データ項目の可能なすべての範囲についてテストする必要があります。
• DO-330「ソフトウェアツールの適格性に関する考慮事項」は、新しい「ドメインに依存しない外部文書」であり、許容可能なツール適格性プロセスのガイダンスを提供するために開発されました。この新しい文書の開発の基礎としてDO-178Bが使用されましたが、テキストはツール開発に直接かつ個別に適用できるように調整され、すべてのツールの側面に対応するように拡張されました。ドメインに依存しないスタンドアロン文書であるDO-330は、DO-178C / ED-12Cのサポートだけでなく、DO-278 / ED-109、DO-254 / ED-80、およびDO-200のサポートにも使用することを意図しており、ISO 26262やECSSなどの航空以外のアプリケーションにも使用できます。^[15] その結果、ツール適格性ガイダンスはDO-178Cから削除され、DO-178Cコンテキストで使用されるツールにDO-330ツール適格性ガイダンスを適用するタイミングを決定するためのガイダンスに置き換えられました。^[16]
• 技術補足は、 DO-178C 文書のガイダンスを特定の技術に拡張するために追加されました。以前のテキストを拡張して、現在および将来のすべてのソフトウェア開発技術を網羅するのではなく、特定の技術やテクノロジーに適用するために、コア標準のガイダンスを明示的に追加、削除、または変更するために補足が用意されています。これらの補足のすべてのガイダンスは、DO-178C の影響を受けるガイダンス要素のコンテキストで記述されているため、コア文書と同じレベルの権限を持つと見なされます。^[17]
  • DO-331「DO-178C および DO-278A のモデルベース開発および検証補足」 - モデルベース開発 (MBD) と検証、およびモデリング手法を使用して開発と検証を改善しながら、一部のモデリング手法に固有の落とし穴を回避する能力について説明します。
  • DO-332「DO-178C および DO-278A に対するオブジェクト指向技術および関連技術の補足」 -オブジェクト指向ソフトウェアとその使用条件について説明しています。
  • DO-333「DO-178C および DO-278A の形式手法補足」 -テストを補完する（ただし、テストに代わるものではない）形式手法について説明しています。

DO-178B では、本文中のガイドラインとガイダンスという用語の使用に一貫性がありませんでした。「ガイダンス」は「ガイドライン」よりも義務感が少し強くなります。そのため、SCWG は DO-178C で、「推奨事項」と見なされるすべての記述に「ガイダンス」を使用し、残りの「ガイドライン」を「補足情報」に置き換え、本文が「推奨事項」よりも「情報」に重点を置いた場合は常にこのフレーズを使用することにしました。

DO-248C /ED-94C文書全体、 DO-178CおよびDO-278Aのサポート情報は、ガイダンスではなく「サポート情報」カテゴリに分類されます。^[18]

第 6.1 章では、ソフトウェア検証プロセスの目的を定義しています。DO-178C では、実行可能オブジェクト コードについて次の記述が追加されています。

• 「実行可能オブジェクト コードはソフトウェア要件 (つまり、意図された機能) を満たし、意図しない機能が存在しないという信頼性を提供します。」
• 「実行可能オブジェクト コードは、異常な入力や条件に正しく応答できるというソフトウェア要件に関して堅牢です。」

比較すると、DO-178B では実行可能オブジェクト コードに関して次のように規定されています。

• 「実行可能オブジェクト コードはソフトウェア要件を満たしています。」

追加のリビジョンCの明確化は、ソフトウェア開発者がリビジョンBの文書を解釈する際に遭遇した可能性のあるギャップを埋めました。^[19]

• DO-178B
• DO-248C、DO-178C および DO-278A のサポート情報
• 修正された条件/決定範囲

• DO-178C 用語集、2023
• Charlotte Adams (2010 年 10 月 21 日)。「DO-178C のリリースにより、ミッションクリティカルなアプリケーション向けのセーフティクリティカル ソフトウェアが強化される」。Military & Aerospace Electronics。2014年2 月 4 日閲覧。
• Charlotte Adams (2010 年 9 月 1 日)。「DO-178C コアの変更」。Avionics Intelligence。2010年10 月 23 日閲覧。
• Bill StClair および Nat Hillary (2010)。「DO-178C: コスト効率の高い航空電子工学システムの認証の改善」。VMEおよび Critical Systems。2011年 7 月 17 日時点のオリジナルからアーカイブ。2010年10 月 23 日閲覧。
• John McHale (2009 年 10 月 8 日)。「DO-178B 認証、DO-178C にアップグレードして、現代の航空電子工学ソフトウェアのトレンドに対応」。Avionics Intelligence。2010年10 月 23 日閲覧。
• Frederic Pothon (2012)。「DO-178C/ED-12C vs DO-178B/ED-12B: 変更点と改善点」Open DO。2010年10 月 23 日閲覧。