Coverity veröffentlicht Scan-Report zu Softwareentwicklung Sicherheit und Qualität von Open-Source-Code steigt

Open-Source-Projekte unterscheiden sich hinsichtlich ihrer Code-Qualität und Sicherheit kaum noch von kommerzieller Software, heißt es im Coverity Scan Open Source Report 2012. Für den nunmehr fünften Jahresreport dieser Art wurden immerhin 450 Millionen Zeilen Code analysiert.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Moxa Europe GmbH

Basierend auf dem bisher größten Stichprobenumfang von über 450 Millionen Codezeilen (Lines of Code, LoC) hat Coverity die Qualität und Sicherheit von Open-Source-Projekteb bewertet. Demnach nähert sich die Qualität quelloffener Software immer weiter der Güte von kommerziellem Code an.

Als Einheit für die Software-Qualität zieht Coverity die Defektrate heran, die den gefundenen Programmierfehlern pro 1.000 Zeilen Code entspricht. Im Falle der eingereichten Open-Source-Projekte lag die durchschnittliche Defektrate bei 0,69 Fehlern, proprietäre Software schnitt mit 0,68 Punkten nur geringfügig besser ab.

Das Qualitätsniveau liegt in beiden Fällen über dem Wert von 1,0 (also ein Fehler pro 1.000 LoC), der in der Industrie als Standard für gute Softwarequalität gilt. Es ist damit bereits das zweite Jahr in Folge, dass von Coverity gescannter Open-Source- und kommerzieller Code eine Defektrate von weniger als 1,0 erreicht.

Verbindung zwischen Codevolumen und Qualität

Offenbar nimmt die Softwarequalität kommerzieller Projekte zu, sobald das Volumen über eine Million Codezeilen beträgt. Proprietäre Software mit 500.000 bis zu einer Million LoC wiesen eine durchschnittliche Defektrate von 0,98 auf, bei Projekten mit mehr als einer Million Codezeilen verringerte sich die Defektrate auf 0,66.

Bei Open-Source-Projekten beobachtet Coverity eine gegenteilige Entwicklung: Die durchschnittliche Defektrate bei quelloffener Software mit einem Umfang von 500.000 bis zu einer Million Programmzeilen lag bei 0,44 Punkten. Wurde die Marke von einer Million Codezeilen überschritten, betrug der Wert 0,75.

Linux-Code geht einmal mehr als leuchtendes Vorbild aus dem Coverity Scan Report hervor. Zwar hat sich die Defektrate zwischen 2011 (0,62 Punkte) und 2012 (0,66 Punkte) leicht verschlechtert. Die jüngsten Scans, für die Coverity rund 7,6 Millionen Codezeilen von Linux Version 3.8 analysiert hat, ergaben aber nur noch eine Defektrate von 0,59.

Über den Zeitraum der vergangenen sieben Jahre wurden für den Coverity Scan Open Source Report fast 850 Millionen Zeilen Programmcode aus mehr als 300 Open-Source-Projekten analysiert. Darüber hinaus wurde der Programmcode von über 300 Coverity-Kunden anonym ausgewertet.

Zu den analysierten Software-Projekten, Skriptsprachen und Betriebssystemen zählten Linux, PHP und Apache, seit Anfang 2013 unterstützt Coverity Scan auch die Programmiersprache Java. Entwickler können ihre Open-Source-Projekte selbst für Coverity Scan anmelden.

(ID:39515550)