Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

vom BÜ die Anzeige des Befahrbarkeitszustandes und fordert via HET gegebenenfalls die
Sicherung an).
• Sollte system-intern ein Fehler auftreten, so muss das System auf diesen Fehler in geeigneter
Weise reagieren und beispielsweise in eine sichere Rückfallebene fallen. Im Fall
der Bahnübergangssicherungsanlage muss unter anderem beim Ausfall von einer entsprechenden
Anzahl an Rotlichtern auf einer Seite zwar der noch anstehende Sicherungszyklus
beendet werden, dann aber der Bahnübergang für weitere Sicherungen gesperrt werden,
da der Sicherungszustand für den Kraftfahrzeugverkehr nicht mehr eindeutig erkennbar
ist. Diese Reaktionsmöglichkeit auf Fehler wird im Baum der Anwendungsfälle durch den
Use-Case „Stoerungsbetrieb durchführen” dargestellt. Dieser kapselt die einzelnen Funktionen,
die für die Reaktion auf Systemfehler erforderlich sind.
Nach Ableitung dieser vier grundlegenden Anwendungsfälle wurden diese in weiteren Iterationen
verfeinert. Für den Anwendungsfall „Regelbetrieb durchführen” wurden so z.B. die Anwendungsfälle
„Annäherung Sfz überwachen”, „Räumung BUe ueberwachen”, „BUe sichern”,
„Grundstellung herstellen” und „Selbsttest durchfuehren” abgeleitet. Diese lassen sich auf Ebene
der Anwendungsfälle nicht mehr sinnvoll verfeinern und bilden damit die Blätter des Anwendungsfall-Baumes.
Sie stellen somit die atomaren Funktionen dar, die die Bahnübergangssicherungsanlage
ihrer Umgebung anbietet.
Insgesamt ergeben sich für alle Zweige des Baumes nach Abschluss des Prozessschrittes P1 insgesamt
13 Anwendungsfälle. Davon bilden 10 Anwendungsfälle die atomaren Systemfunktionen.
Dies ist in Bild 6.13 dargestellt. Während des Prozessablaufes wurde zudem festgestellt, dass für
die ordnungsgemäße Funktion ein weiterer Akteur („LST-Mitarbeiter”) für Wartungsarbeiten,
zur Störungsbehebung und Konfiguration des Systems erforderlich ist. Der neue Akteur wurde
daraufhin in der Systemfunktionssicht eingeführt. Gemäß dem Konsistenzkriterium für Akteure
(siehe Abschnitt 5.1.5.2) muss er auch in der Systemabgrenzungssicht enthalten sein. Bei der
nächsten Ausführung des Subprozesses S1 wurde er dann auch in die Systemabgrenzungssicht
aufgenommen, wo er in Bild 6.20 zusammen mit den für die Kommunikation erforderlichen
Schnittstellen zu erkennen ist. Diese Darstellung zeigt anschaulich, wie sich bereits bestehende
Modellartefakte durch das weitere Fortschreiten des Prozesses ändern und an vorgenommene
Modifikationen und Ergänzungen anpassen.
6.3.3. P2 - Spezifikation des Systemverhaltens
Ziel der Phase P2 ist ein ausführbares und funktionsgetestetes Anforderungsmodell. Am Ende
der Phase soll das Verhalten aller Systemfunktionen ausmodelliert und das Modell ausführbar
sein. Integriert in diese Phase ist zudem eine Prüfung des Modellverhaltens durch Testfälle und -
wenn technisch verfügbar - auch durch eine formale Verifikation gegen Sicherheitsbedingungen.
Nebenziel der Phase 2 ist die Schaffung einer möglichst breit abdeckenden Basis von Systemtestfällen.
Zur Erreichung des Ziels dieser Phase werden im Modell enthaltene Systemfunktionen zunächst
durch Interaktionsszenarien genauer spezifiziert, wodurch die Szenariensicht (siehe 5.1.4.3)
aufgebaut wird. Parallel dazu wird das Systemverhalten spezifiziert, so dass ein ausführbares
Anforderungsmodell entsteht. Aus diesem iterativ entstehenden Verhaltensmodell werden
gleichzeitig Testfälle generiert, die in der jeweils nachfolgenden Modellierungsiteration für Regressionstests
verwendet werden können. Nach Abschluss der Modellierung stellen sie die Testbasis
für Systemtestfälle dar.
113