Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

den könnte. Vielmehr soll diese ja erst innerhalb des Prozesses erstellt werden. Daher muss
eine Methode gefunden werden, die den Informationsgehalt des Modells nach und nach erweitert,
damit die Anforderungsspezifikation allmählich aufbaut und dabei die Grundlagen iterativinkrementeller
Prozessmodelle berücksichtigt. Dies erfolgt in dieser Arbeit durch eine aufeinander
aufbauende Menge von Aufgaben. Die Anzahl und der Umfang dieser Aufgaben orientiert
sich dabei an den Sichten, die das Anforderungsmodell enthalten soll (siehe Abschnitt 5.1.3.2).
Ziel jeder Aufgabe ist es, die zu den korrespondierenden Sichten gehörenden Modellelemente zu
erstellen. Für das Anforderungsmodell ergeben sich aus den definierten Sichten die folgenden
Aufgaben:
(a) Systemkontext spezifizieren ⇒erstellt die Systemabgrenzungssicht
(b) Systemfunktionen spezifizieren ⇒erstellt die Systemfunktionssicht und die Szenariensicht
(c) Systemverhalten spezifizieren ⇒erstellt die Systemverhaltenssicht
(d) Subsystemarchitektur spezifizieren ⇒ erstellt die Subsystemsicht
(e) Textliche Anforderungen sammeln und integrieren ⇒ erstellt die Anforderungsschnittstellensicht
Mit zunehmendem Reifegrad des Modells werden nacheinander die oben aufgeführten Aufgaben
aktiviert. Jede aktive Aufgabe wird im Prozess durch die Ausführung zugehöriger Subprozesse
repräsentiert. Eine neue Aufgabe kann immer erst dann aktiv werden, wenn das Modell für
deren Bearbeitung genug Informationen enthält. So müssen beispielsweise die Systemfunktionen
hinreichend genau definiert sein, bevor mit der Spezifikation des Systemverhaltens begonnen
werden kann. Beachtet man alle Abhängigkeiten, ergibt sich die in der obigen Liste gezeigte
Reihenfolge der Aufgaben. Einmal aktivierte Aufgaben bleiben über die gesamte Prozesslaufzeit
aktiv und werden erst beendet, wenn der Erstellungsprozess des Anforderungsmodells insgesamt
abgeschlossen wurde. Die gestaffelte Aktivierung von einzelnen Modellierungsaufgaben
zeigt Abbildung 6.5.
Die über die Zeit stattfindende Kumulierung von aktiven Subprozessen ist erforderlich, weil die
Aktivitäten in später begonnenen Subprozessen Änderungen und Ergänzungen an bereits zuvor
erstellten Artefakten erforderlich machen können. Wird beispielsweise bei der Spezifikation des
Systemverhaltens festgestellt, dass ein weiterer Akteur erforderlich ist, so muss dieser auch in
die Systemabgrenzungssicht und in die Systemfunktionssicht aufgenommen werden. Diese Sichten
können aber nur durch die zugehörigen Subprozesse modifiziert werden. Dieses Vorgehen
nimmt den Gedanken der iterativ-inkrementellen Entwicklungsprozesse auf, in denen grundsätzlich
alle Subprozesse wiederholt nacheinander durchgeführt werden. Es berücksichtigt aber,
dass bei der Erstellung von Anforderungsmodellen auf Grund zunächst mangelnden Informationsgehalts
die einzelnen Aktivitäten unterschiedlich gestaffelt begonnen werden müssen. In der
Phase P0 besteht ein Iterationsdurchlauf lediglich aus den Aktivitäten des ersten Subprozesses,
in der Phase P1 aus den Aktivitäten der ersten beiden Subprozesse, in der Phase P2 schließlich
aus den Aktivitäten von drei Subprozessen, usw. Der beschriebene Ansatz passt somit den
generischen inkrementell-iterativen Prozess den Belangen der Anforderungsmodellierung an.
Eine Ausnahme ergibt sich dabei für die Anforderungsschnittstellensicht: Zum einen startet die
zugehörige Aufgabe schon vor Beginn der eigentlichen Modellierungsarbeiten in einer Vorphase,
um - wie in Abschnitt 6.2.1 beschrieben - die Integration bereits existierender, informeller
Anforderungen sicherzustellen. Zum anderen können bei jeder der anderen Aufgaben Verknüpfungen
zu externen Anforderungen erforderlich werden. Daher müssen die Verknüpfungspunkte
zu den externen, textbasierten Anforderungsdokumenten bereits mit Beginn des Prozesses zur
Verfügung gestellt werden. Aus diesem Grund durchläuft die Aufgabe „Textliche Anforderungen
sammeln und integrieren” den gesamten Prozess.
99