Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

(b) ab welchem Prozessschritt diese Daten verfügbar sind
(c) welche Daten aus der Risikoanalyse in das Anforderungsmodell zurückfließen
Wie in Abschnitt 5.1.4.2.1 beschrieben, sind die wesentlichen Eingangsparameter für die Risikoanalyse
eine eindeutige Systemabgrenzung sowie eine Aufstellung aller Systemfunktionen. Für
die Einordnung in den Lebenszyklus nach DIN EN 50126 bedeutet dies, dass das Anforderungsmodell
einen hinreichenden Reifegrad insbesondere der Systemabgrenzungssicht, als auch der
Systemfunktionssicht benötigt. Dies ist gemäß Abschnitt 6.3.2 frühestens nach Ende der Phase
P1 der Fall. Daher kann mit der Durchführung der Risikoanalyse erst begonnen werden, wenn
dieser Meilenstein bei der Erstellung des Anforderungsmodells erreicht wurde.
Die Durchführung der Risikoanalyse an sich erfolgt dann vollständig außerhalb der hier beschriebene
Anforderungsmodellierung. Ergebnis der Risikoanalyse ist eine funktionsbezogene
Menge an ertragbaren Gefährdungsraten (tolerable hazard rates, THR). Diese geben an, mit welcher
Rate die jeweilige Systemfunktion sicherheitskritisch versagen darf, damit das Gesamtsystem
den Risikogrenzwert nicht überschreitet. Die THRs sind wichtige Werte für die Sicherheitsanalyse
bei den Herstellern und sollten direkt im Anforderungsmodell abrufbar sein. Da sich
dabei verschiedenen Möglichkeiten ergeben - z.B. entweder direkt den Zahlenwert aus der Risikoanalyse
oder eine SIL-Einstufung gemäß DIN EN 50129 zu verwenden - soll hier nur ein
generischer Weg beschrieben werden.
Prinzipiell handelt es sich sowohl bei den THR-Zahlenwerten, als auch bei der SIL-Einstufung
um nicht-funktionale Anforderungen, ähnlich z.B. Vorgabewerten für ertragbare Erschütterungen
und EMV. Es wird daher für den Rahmen dieser Arbeit vorgeschlagen, die Ergebnisse der
Risikoanalyse wie andere nicht-funktionale Anforderungen zu behandeln und gemäß den Ausführungen
in Abschnitt an das funktionale Modell anzukoppeln. Diese Ankopplung sollte
dabei jeweils zwischen einem Blatt des Baums der Anwendungsfälle (siehe Abschnitt 5.1.4.2.3)
und einem Requirement erfolgen, das für diese Systemfunktion die THR oder SIL-Einstufung
enthält.
6.2. Ableitung des Prozessmodells
Aus dem allgemeinen iterativ-inkrementellen Vorgehensmodell wird in diesem Abschnitt das
konkrete Prozessmodell abgeleitet. Dazu werden zunächst in Unterabschnitt 6.2.2 die wesentlichen
Strukturmerkmale des Prozesses vorgestellt. Über die in Abschnitt 6.2.3 beschriebene
Aufgabenorientierung erfolgt dann eine Anpassung des allgemeinen Vorgehensmodells an die
besonderen Belange der Anforderungsmodellierung, die zum letztendlich verwendeten Prozessmodell
führt. Zunächst wird aber im folgenden Abschnitt 6.2.1 beschrieben, wie in einer
Vorlaufphase der Einstieg in die Anforderungsmodellierung vorbereitet werden kann.
6.2.1. Informeller Prozessvorlauf
Auch wenn es theoretisch möglich wäre, mit dem in diesem Abschnitt beschriebenen Prozessmodell
ohne jede Vorarbeiten ein Anforderungsmodell zu erstellen, entspricht dies nicht dem üblichen
Vorgehen bei der Entwicklung von eisenbahntechnischen Systemen. Gerade in der Fachdomäne
des Eisenbahnwesens entstehen auch neue Systeme selten „auf der grünen Wiese”. Vielmehr
ist ein grobes Anforderungsprofil entweder von ähnlichen Vorgängersystemen bekannt
oder wird während den frühesten Überlegungen zum neuen System entwickelt.
96