Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

gegen die Szenarien validiert wird. Dies entspricht der zitierten Aussage von Cockburn, dass
jeder inkrementelle Prozess einem mehrfachen Durchlauf kleiner V-Prozesse entspricht. Ein solches
minimalistisches V-Modell ist in Bild 6.16 dargestellt.
Abbildung 6.16.: V-Modell der Verhaltensmodellierung
Mit jedem Schleifendurchlauf nehmen damit der Funktionsumfang des Modells und die Anzahl
der Szenarien zu, bis letztendlich alle Systemfunktionen sowohl durch Interaktionszenarien
spezifiziert sind, als auch in Verhaltenskonstrukte umgesetzt wurden. Durch die Wahl kleiner
Inkremente zwischen den einzelnen Schleifendurchläufen, die Nutzung von Testausführungswerkzeugen
und vor allem durch die Anwendung automatischer Testfallgenerierungstechniken
wird dabei zum einen die Konsistenz zwischen Szenariensicht und Systemverhaltenssicht sichergestellt,
zum anderen ergibt sich eine zusätzliche Kontrollmöglichkeit für die händisch erstellten
Szenarien. Dazu ist ein Mechanismus vorgesehen, der beim Auftreten bestimmter Ereignisse die
aktuelle Iteration unterbricht und eine Korrektur des Verhaltensmodells und eine Ergänzung der
Szenarien ermöglicht.
6.3.3.2. Ableitung der Szenarien
In der inneren Iterationsschleife werden die Szenarien für die jeweils aktuelle Systemfunktion
erstellt. Dabei müssen für jede Systemfunktion sowohl der reguläre, ungestörte Ablauf, wie
auch alle relevanten Störungsfälle beschrieben werden. Während die Modellierung des Regelablaufs
üblicherweise relativ leicht fällt, besteht die Schwierigkeit darin, möglichst viele denkbare
Störungsfälle zu ermitteln. Ein Ansatz dafür kann in der schematisierten Analyse des jeweiligen
Regelablaufs und einer Variation einzelner Nachrichten bestehen. In einem solchen Ansatz
könnte beispielsweise für jede Nachricht im Regelablauf geprüft werden, welche Auswirkungen
sich ergeben, wenn:
• die Nachricht nicht gesendet wird
• die Nachricht zu spät gesendet wird
• die Nachricht zu früh gesendet wird
• die Attribute der Nachricht verfälscht sind
Anhand der Formulierung des in der jeweiligen Situation korrekten Systemverhaltens lässt sich
vom Regelablauf eine Reihe von Störungsabläufen ableiten. Die exakte Ausgestaltung dieses Prozederes
soll jedoch im Rahmen dieser Arbeit nicht weiter beschrieben werden. Vielmehr bleibt
an dieser Stelle Raum für weitere Forschungs- und Entwicklungsarbeit. Langfristig sollte als
118