Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

Ideenskizzen, implizite Vorstellungen und informelle Anforderungen existieren. Diese sind wesentliches
Ausgangsmaterial für die Arbeiten in dieser Phase, für deren erste Schritte sich durchaus
auch das Brainstorming in einer Gruppe anbietet.
Im Beispielmodell wird zu Beginn der Phase 0 zunächst das SuB modelliert, wozu ein entsprechend
stereotypisierter Block mit Namen „BUe” angelegt wird. Dieser steht für die gesamte
zu entwickelnde Bahnübergangssicherungsanlage, inklusive aller physischen Komponenten,
wie Signalgebern, Schrankenanlage, Überwachungssignalen, etc. In insgesamt sechs Iterationen
wurden durch Ausführung der Aktivitäten des Subprozesses S1 daraufhin die das System
umgebenden Akteure eingeführt und die jeweiligen Kommunikationsbeziehungen mit dem BÜ
festgelegt. Dazu werden für jeden Akteur zunächst die Schnittstellen zum BÜ ermittelt und als
Ports in das Modell aufgenommen. So wird beispielsweise - entsprechend der Systembeschreibung
in Abschnitt 6.2.6 - der Triebfahrzeugführer (Tf) eines sich nähernden Schienenfahrzeuges
durch Überwachungssignale über den Sicherungszustand des Bahnübergangs informiert.
Jedes Überwachungssignal stellt im funktionalen Modell somit eine Schnittstelle zum Akteur
„Triebfahrzeugführer” dar, und wird daher über einen Port an der Systemgrenze modelliert (Port
„UeS”). Entsprechend der genannten Randbedingungen kann der BÜ je nach Gleistopologie über
zwei bis vier Überwachungssignale verfügen, weswegen der Port „UeS” die Multiplizitätsangabe
„2...4” trägt. Die Kommunikationsflüsse zwischen Akteuren und BÜ werden in dieser frühen
Phase noch sehr abstrakt formuliert. Für das Überwachungssignal wird beispielsweise lediglich
modelliert, dass dieses den generellen Befahrbarkeitszustand des BÜ an den Tf überträgt.
Die zu entwickelnde Bahnübergangssicherungsanlage soll zugbewirkt ein- und ausgeschaltet
werden. Als weitere Schnittstellen des Systems nach aussen werden daher Sensoren benötigt,
die erkennen, dass sich ein Schienenfahrzeug nähert bzw. dass dieses den Bahnübergang komplett
geräumt hat. Diese Schnittstellen, „Einschaltsensor” und „Ausschaltsensor”, werden vom
Akteur „Schienenfahrzeug” beeinflusst, da dessen Anwesenheit am jeweiligen Sensor vom System
als „Annäherungsinformation” bzw. der „Räumungsinformation” interpretiert wird. Auch
hier werden die Schnittstellen im Modell durch Ports repräsentiert, die die entsprechenden Multiplizitäten
gemäß der Systemskizze in Abbildung 6.8 besitzen und die oben genannten. Informationen
entgegen nehmen.
Weiterhin lassen sich die Straßenverkehrsteilnehmer als weitere wichtige Akteure im Systemumfeld
identifizieren. Diese werden - analog zum Triebfahrzeugführer - durch den BÜ über
den aktuellen Befahrbarkeitszustand der Straßenquerung informiert. Dies geschieht durch die
Lichtzeichen- und Schrankenanlage, die durch entsprechende Ports („LZA” und „Schrankenanlage”)
an der Systemgrenze dargestellt werden müssen. Beide unterscheiden sich zwar deutlich in
ihrer physikalischen Wirkungsweise, dennoch übermitteln beide eine ähnliche Information vom
System an den Verkehrsteilnehmer. Dies wird im Modell durch den gleichen Informationsfluss
„Befahrbarkeit Straße” ausgedrückt.
Eine Sonderstellung nimmt der Akteur „Umwelt” ein, der die sonstige Umgebung des Systems
und insbesondere die einwirkenden Umweltbedingungen wie Temperatur, Feuchtigkeit, Erschütterungen
und elektromagnetische Abstrahlung darstellt. Diese Umweltbedingungen wirken allerdings
nicht über eine abgrenzbare Schnittstelle auf das System ein, sondern diffus auf sämtliche
Komponenten. Daher wird für die „Umweltbedingungen” im funktionalen Modell kein Port
vorgesehen. Diese interagieren vielmehr direkt mit dem Block „BUe”, was andeutet, dass das
gesamte beschriebene System betroffen ist. Über den Subprozess S8 (siehe Abschnitt 6.4.8) werden
anschließend nicht-funktionale Anforderungen - wie beispielsweise Angaben zu ertragbaren
Temperaturbereichen - entsprechend dem in 5.2 beschriebenen Konzept mit dem Informationsfluss
vom Umwelt-Akteur zum SuB verknüpft. Dadurch wird im Modell ausgedrückt, dass die
Umweltbedingungen durch die entsprechenden nicht-funktionalen Anforderungen näher spezi-
107