Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

schriebene Vorgehen an:
• Zunächst werden die Entscheidungsregeln für das logische Problem in Form von Entscheidungstabellen
erfasst. Diese Tabellen können anschließend automatisiert auf Vollständigkeit
und Konsistenz geprüft werden.
• Der in der Entscheidungstabelle hinterlegte Informationsgehalt kann dann in aussagenlogische
Formeln übersetzt werden. Diese Formeln stellen eine Funktion dar, die basierend
auf den logischen Abhängigkeiten der Entscheidungstabellen und dem aktuellen Wert von
Variablen entweder „wahr” oder „falsch” zurückliefert. Die einzelnen Variablen werden
dabei durch die Bedingungen im allgemeinen Bedingungsteil [MEY75, S. 19] der Entscheidungstabelle
repräsentiert.
• Da die aussagenlogischen Formeln boolesche Werte zurückliefern, können sie im Verhaltensmodell
beispielsweise als guard-Ausdrücke [OMG07-2, S. 325] für Kontrollflusskanten
verwendet werden. Als Variablen in der aussagenlogischen Formel lassen sich die Attribute
eines Objekts verwenden, wodurch das Ergebnis der Auswertung des guards vom momentanen
Wert der Attribute des Objektes abhängig wird. Durch dieses Konstrukt lässt sich
der Kontrollfluss innerhalb von Aktivitätsdiagrammen durch den Informationsgehalt der
Entscheidungstabellen steuern.
Das beschriebene Vorgehen wurde bislang noch nicht in der Praxis erprobt und seine Anwendbarkeit
sollte zunächst an Fallstudien verifiziert werden. Es handelt sich dabei jedoch um einen
vielversprechenden Ansatz, um komplexe, logische Entscheidungsregeln möglichst einfach in
ein objektorientiertes Anforderungsmodell zu integrieren.
6.4.5. S5 - Systemverhalten testen
Generell kommt dem Testen insbesondere bei sicherheitskritischen Systemen während des gesamten
Entwicklungsprozesses eine besondere Bedeutung zu, da durch systematisches Testen
eine hohe Erkennungsrate von Fehlern erzielt werden kann. Es ist daher sinnvoll, mit dem
Testen möglichst früh im Lebenszyklus des Systems zu beginnen. Erklärtes Ziel des in dieser
Arbeit beschriebenen Konzeptes ist aus diesem Grund, Testmethodiken bereits auf die Anforderungsspezifikation
anzuwenden. Dieses Konzept wird im Subprozess S5 umgesetzt und in den
folgenden Unterkapiteln beschrieben.
Der Subprozess S5 nimmt im gesamten Prozessablauf somit eine herausgehobene Stellung ein,
da der Test des funktionalen Modells eine der wesentlichen neuen Möglichkeiten ist, die sich
aus der Modellierung von Anforderungen gegenüber rein textlicher Beschreibung ergeben. Weiterhin
wird durch diesen Subprozess sichergestellt, dass die Szenariensicht und das modellierte
Systemverhalten zueinander konsistent sind. Durch die Integration automatisch generierter Testfälle
werden darüber hinaus die händisch erstellten Szenarien ergänzt. Somit erfolgt innerhalb
dieses Subprozesses nicht nur die Durchführung der Tests, sondern auch eine Optimierung und
Ergänzung der Testbasis.
Weil diese Testbasis die Systemebene abdeckt, kann sie zudem als Grundlage für einen späteren
Systemintegrationstest bzw. Abnahmetest des realen Systems dienen. So werden beispielsweise
im Lokbau bei der Fahrzeugabnahme momentan Validierungs- und Testpläne verwendet, die
aus den natürlich-sprachlichen Anforderungsspezifikationen händisch abgeleitet werden. Würde
jedoch ein funktionales Modell im Sinne dieser Arbeit existieren, könnten die erforderlichen
Testfälle direkt aus diesem Modell abgeleitet werden. Dies würde den Aufwand zur Testfallerstellung
reduzieren und die Qualität der Testfallabdeckung transparenter machen. Daher dient
133