Fallstudie · Verifizierung und Validierung

QA und DevOps für ein reguliertes Softwareportfolio

Ein Team aus 10 Spezialisten von Silurus Software betreut seit mehreren Jahren QA und DevOps für das Medizinsoftware-Portfolio eines europäischen Herstellers. Grundlage waren zuerst die EU MDD, dann die EU MDR und dazu die Anforderungen der FDA.

Kunde: Europäischer Medizintechnikhersteller
Dauer: Mehrjährig, laufend
Team: 10 Spezialisten für QA und DevOps
Umfang: CI/CD · Testautomatisierung · Rückverfolgbarkeit

Wir nennen weder den Kunden noch das Produkt. Geheimhaltungsvereinbarungen, die geschäftlichen Interessen des Kunden und die Vertraulichkeit seiner Technologie lassen dies nicht zu.

Ausgangslage

Ein Portfolio im ständigen Wandel

Der Hersteller entwickelt ein großes Portfolio medizinischer Softwareprodukte parallel. Jedes Release muss die Verifizierung nach EU MDR und den Anforderungen der FDA bestehen.

Bei jedem Audit wird geprüft, was für ein Release getestet wurde, welche Anforderungen zugrunde lagen und welche Ergebnisse die Tests lieferten.

Die Entwicklungsteams wachsen schneller als die QA- und DevOps-Kapazität um sie herum. Fällt die Verifizierung zurück, warten Releases oder die Nachweise werden dünner.

Verifizierung

Ein Testergebnis zählt nur, wenn ein Auditor es einer Anforderung zuordnen kann.

Aufgabe

Mehr Testkapazität bei gleichbleibender Nachweisqualität

Der Kunde brauchte mehr QA- und DevOps-Kapazität in mehreren Teams. Das Fachwissen und die regulatorische Disziplin, auf die das Portfolio angewiesen ist, durften dabei nicht verwässern.

Release-Takt

Für mehrere Produkte stehen parallel Releases an. Die Verifizierung muss bei jedem dieser Produkte mithalten.

Auditnachweise

Bei Audits nach EU MDR und FDA-Anforderungen wird geprüft, ob sich Anforderungen über Testergebnisse bis zum Deployment zurückverfolgen lassen.

Cybersicherheit

Signierte Binärdateien und eine kontrollierte Build-Kette gehören zum Konformitätsnachweis.

Vorgehen

Test- und Release-Infrastruktur für den nächtlichen Betrieb

Jeder Build wird signiert. Die vollständigen Regressionstests laufen über Nacht. Am nächsten Morgen liegt der Bericht vor.

Zehn Spezialisten arbeiten in mehreren Fachteams des Kunden. Sie haben die Pipeline, die Testumgebungen und die zugehörigen Nachweise aufgebaut und betreiben sie.

Virtualisierte Umgebungen machen Testläufe reproduzierbar und isoliert. Regressionssuiten laufen über Nacht, und die Rückverfolgbarkeitsdokumentation verknüpft jedes Ergebnis mit seiner Anforderung und seinem Deployment.

Umfang

Was das Team betreibt

Signierte Builds

CI/CD-Pipelines, die DLL- und EXE-Dateien automatisch signieren, um die Anforderungen an die Cybersicherheit zu erfüllen.

Reproduzierbare Umgebungen

Virtualisierte Testumgebungen für isolierte und wiederholbare Testläufe.

Nächtliche Regressionstests

Automatisierte Regressionstests, die über Nacht laufen und am nächsten Morgen Ergebnisse liefern.

Codeabdeckung

Die Codeabdeckung wird kontinuierlich gemessen. Ein festgelegtes Verfahren dient dazu, die Codequalität zu verbessern.

Testebenen

Unit-, Integrations-, System-, Smoke-, automatisierte UI-, Performance- und Sicherheitstests.

Rückverfolgbarkeit

Dokumentation von den Anforderungen bis zu den Testergebnissen und der Verifizierung des Deployments.

Ergebnisse

Tägliche Rückmeldungen zur Qualität über mehrere Auditzyklen hinweg

MehrjährigLaufende Partnerschaft

10Spezialisten in mehreren Fachteams

7Testebenen, von Unit- bis zu Sicherheitstests

Jede NachtVollständige Regressionstests, Bericht am nächsten Morgen

Das Team hat das Portfolio durch mehrere Audits Benannter Stellen und FDA-Inspektionen begleitet. Die nächtlichen Tests liefern täglich Rückmeldungen zur Qualität. Dadurch wurden die Regressionszyklen kürzer und die Testabdeckung höher.

EU MDRFDAIEC 62304CI/CDCode signingTest automationCode coverageTraceability

Weitere Projekte

Hinkt die Verifizierung der Entwicklung hinterher?

Wir verstärken QA und DevOps in Ihrem QMS, mit der Rückverfolgbarkeit, nach der Ihr nächstes Audit fragt.

Anforderungen senden 30-minütiges Fachgespräch buchen