Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

6.3.2.1. Beispielmodell
Auch im Beispielmodell werden die Anwendungsfälle nach dem zuvor beschriebenen Schema
abgeleitet. Ausgangspunkt für den dabei entstehenden Baum der Anwendungsfälle ist dabei
die Frage, welche Funktionen die Bahnübergangssicherungsanlage ihrer Umwelt während ihres
Lebenszyklus anbieten soll. Die Wurzel des Baumes bildet dabei auf der in 6.3.2 angesprochene,
virtuelle Anwendungsfall „Lebenszyklusfunktionen ausführen”, der stellvertretend für alle
Lebenszyklus-Funktionen steht.
Für die Bahnübergangssteuerung lassen sich als nächste Verfeinerungsebene vier Anwendungsfälle
ableiten, die wesentliche Eckpunkte des Systemlebenszyklus darstellen. Eine Übersicht über
diese Anwendungsfälle als Use-Case-Diagramm findet sich in Bild 6.12. Die Eigenschaften dieser
Anwendungsfälle lassen sich wie folgt beschreiben:
• Es existiert ein Anwendungsfall, der das Aufstarten des Systems beschreibt. Dieser Anwendungsfall
kapselt alle Funktionen, die nötig sind, um ein ausgeschaltetes System in
einen betriebsfähigen Zustand zu überführen. Dazu gehören beispielsweise das Durchführen
von Selbsttests, das Einlesen von Konfigurationsparametern und das Herstellen
eines definierten Ausgangszustandes. Akteure, die mit diesem Use-Case verbunden sind,
sind beispielsweise Instandhaltungspersonale, die das Aufstarten des Systems anfordern
und begleiten. Im Fall des BÜ sind dies z.B. Mitarbeiter der LST-Instandsetzung, die eine
neue oder nach Umbauten modifizierte Bahnübergangssicherungsanlage konfigurieren
und wieder in Betrieb nehmen. Ebenfalls Bestandteil dieses Anwendungsfalls ist das Herstellen
der Grundstellung des Bahnübergangs (LzA dunkel, Schranken in oberer Endlage,
Überwachungssignal dunkel). Im Beispielmodell trägt dieser Anwendungsfall den Namen
„System aufstarten”.
• Ein ähnlicher Anwendungsfall beschreibt das geordnete Herunterfahren der Bahnübergangssicherungsanlage,
z.B. zu Wartungszwecken oder bei einer geplanten Ausserbetriebnahme.
Auch hier kann der assoziierte Akteur beispielsweise ein Wartungstechniker sein,
der das geordnete Abschalten des Systems durchführt. Oftmals wird - ebenso wie beim
vorhergehenden Anwendungsfall - auch hier zuvor ein bestimmter Anlagenstatus herbeigeführt,
aus dem heraus das System sicher abgeschaltet werden kann. Im Beispielmodell
übernimmt der Anwendungsfall „System herunterfahren” diese Rolle und kapselt die Funktionalität,
die für ein geregeltes Abschalten der BÜ-Sicherungsanlage vom System bereitgestellt
wird.
• Die eigentlichen produktiven Systemfunktionen werden durch den Anwendungsfall „Regelbetrieb
durchführen” abgebildet. Dieser repräsentiert stellvertretend alle Aktivitäten,
die als Dienstleistungen der Umwelt angeboten werden, so lange sich das System selbst in
einem voll funktionsfähigen, ordnungsgemäßen Zustand befindet. Im Fall der Bahnübergangsicherungsanlage
sind dies die folgenden Funktionen:
– Sichern des Bahnübergangs durch die zugbewirkte Einschaltung
– Sichern des Bahnübergangs durch die HET
– Wiederherstellen der Grundstellung durch das Freifahren des BÜ
– Wiederherstellen der Grundstellung durch das Ablaufen der Grundstellungszeit
Mit diesem Anwendungsfall sind üblicherweise alle Akteure verknüpft, die von der angebotenen
Dienstleistung Gebrauch machen. Im Fall des BÜ sind dies die Straßenverkehrsteilnehmer
(fordern vom BÜ die Anzeige des Befahrbarkeitszustandes), das Schienenfahrzeug
(schaltet die Sicherungsanlage ein und aus) und der Triebfahrzeugführer (fordert
112