Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

diagramm dargestellte Soll-Kommunikation hervorruft. Dies geschieht im Beispielmodell durch
ein Aktivitätsdiagramm, das zunächst nur den Regelablauf des BÜ-Sicherns implementiert (siehe
Bild 6.19).
Wichtig ist bei der Erstellung dieses Diagramms, dass die dort versendeten und empfangenen
Signale und deren Attribute - entsprechend der in Kapitel 5.1.5.1 beschriebenen Konsistenzbedingung
- exakt so bezeichnet werden, wie in den Nachrichten der Sequenzdiagramme. Nur so
kann durch Testausführungswerkzeuge später überprüft werden, ob die durch das modellierte
Verhalten hervorgerufene Kommunikation zwischen SuB und Umgebung den Sollvorgaben
entspricht. Diese Bedingung wird jedoch durch den datenbankähnlichen Ansatz der meisten
Modellierungswerkzeuge ohnehin erzwungen.
Nach Erstellung des Aktivitätsdiagramms wird das Modell ausgeführt 2 , das entstehende Kommunikationsverhalten
in einer Testumgebung (wie z.B. dem TestConductor für Rhapsody) aufgezeichnet
und mit dem zuvor in Form der Sequenzdiagramme modellierten Soll-Kommunikationsverhalten
verglichen. Sind sie inhaltlich identisch, erfolgt im nächsten Schritt die Anwendung
des automatischen Testfallgenerierungswerkzeuges auf das Verhaltensmodell. Diese hat zum
einen das Ziel, implizit mitmodelliertes, gewünschtes Verhalten explizit zu machen, andererseits
eventuell enthaltenes Fehlverhalten zu offenbaren. Da das Aktivitätsdiagramm in dieser
ersten Phase noch sehr einfach ist, ergeben sich zu diesem Zeitpunkt durch die Ausführung des
Testfallgenerators keine neuen Erkenntnisse und die erste Iteration der inneren Schleife kann
abgeschlossen werden.
An dieser Stelle ist im Prozessablauf die Durchführung einer formalen Verifikation gegen Sicherheitsund
Lebendigkeitsrandbedingungen vorgesehen. Allerdings stand zum Zeitpunkt der Modellierung
(Anfang 2008) kein geeignetes formales Verifikationswerkzeug zur Verfügung, mit dem ein
auf Aktivitätsdiagrammen basierendes Verhaltensmodell hätte verifiziert werden können. Daher
konnte dieser Prozessschritt nicht durchgeführt werden und wurde übersprungen.
In den folgenden Iterationen wurden nun nach und nach die einzelnen Störungssituationen
modelliert. Dies geschieht nach dem gleichen Vorgehen wie beim Regelablauf. So wurde beim
vorliegenden Beispielmodell in der zweiten Iteration als Fehlerfall die Reaktion auf ein ausgefallenes
Gelblicht am Bahnübergang modelliert: Sobald die Bahnübergangssteuerung einen Ausfall
des Gelblichts 3 erkennt, muss sie sofort auf das Rotlicht umschalten und nicht erst nach der
sonst üblichen Gelbzeit. Für die sich dadurch ergebenden Kommunikationsabläufe wird - wie
beim Regelablauf - zunächst ein Sequenzdiagramm erstellt und anschließend das Verhaltensmodell
so erweitert, dass auch der Fehlerfall korrekt abgebildet wird. Auch der nachfolgende
Testzyklus folgt dabei dem zuvor beschriebenen Muster, verwendet als Eingangsdaten jedoch eine
gegenüber der ersten Iteration vergrößerte Datenmenge. So muss sich das Verhaltensmodell
nun gegen die Sequenzdiagramme von Regelfall (aus der ersten Iteration) und Gelblichtausfall
(aus der aktuellen zweiten Iteration) bewähren, wodurch praktisch ein Regressionstest-Szenario
entsteht. Sollte durch das Hinzufügen der Verhaltenskonstrukte in der zweiten Iteration das Gesamtverhalten
ungewollt so verändert worden sein, dass das Sollverhalten aus der ersten Iteration
nicht mehr erfüllt wird, würde dies jetzt bemerkt.
Auch die nachfolgende Testfallgenerierung stützt sich auf das nun erweiterte Verhaltensmodell.
Mit dessen zunehmender Komplexität steigt auch die Wahrscheinlichkeit, dass durch die
2 Ein ablauffähiges Modell erfordert minunter noch zusätzliche Modellierungsarbeiten (z.B. zur vereinfachten Abbildung
der Systemumgebung), die aber nicht inhaltlich relevant sind und daher hier nicht näher beschrieben
werden.
3 Bei realen Anlagen im Bereich der Bahnen nach EBO wird eine bestimmte Anzahl an ausgefallenen Gelblichtern
üblicherweise toleriert. Die Sicherungsanlage reagiert beispielsweise erst dann auf einen Gelblichtausfall, wenn
es an einer bestimmten Anzahl an Signalgebern gleichzeitig zu einem Gelblichtausfall kommt.
123