Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

das Testen nicht nur der Qualitätssicherung des Anforderungsmodells an sich, sondern auch
anderen Prozessschritten im Gesamtlebenszyklus.
Festzuhalten ist allerdings, dass durch Testen nie das gesamte Verhalten des Systems geprüft
werden kann. Testen ist prinzipiell eine Falsifizierungs- und keine Verifizierungsmethode. Durch
Testfälle kann zwar die Inkorrektheit eines Systems nachgewiesen werden (nämlich dann, wenn
das Ergebnis eines Tests die Spezifikation verletzt), nicht aber die Korrektheit (da immer noch
ein Fehler im nicht von den Testfällen abgedeckten Verhaltensbereich vorhanden sein kann).
Jedoch steigt durch eine gute Testfallabdeckung die Wahrscheinlichkeit, die Zahl der Fehler in
der Anforderungsspezifikation zu verringern.
6.4.5.1. Ziele des Testens in diesem Subprozess
Um eine geeignete Teststrategie und entsprechende Werkzeuge auswählen zu können, werden in
diesem Unterabschnitt anhand der in Abschnitt 6.3.3.4 beschriebenen Grundlagen die Anforderungen
an den Test-Subprozess formuliert. In Abschnitt 6.4.5.3 wird anschließend das daraufhin
gewählte Vorgehen beschrieben.
Für das Testen im Rahmen des in dieser Arbeit beschriebenen Prozesses lassen sich zwei wesentliche
Ziele definieren:
• Ziel A: Prüfung der Verhaltenssicht auf Konsistenz mit der Szenariensicht („Erfüllt mein
Verhaltensmodell die Betriebsszenarien?”).
• Ziel B: Hilfestellung bei der Ableitung einer möglichst vollständigen Szenariensicht („Wie
kann ich die Testbasis verbreitern? Habe ich implizit mehr modelliert, als in den Szenarien
definiert ist?”)
Beide Ziele sollen dabei möglichst direkt auf Basis des momentanen Arbeitsstandes des funktionalen
Modells erreicht werden, also ohne dass ein Bruch im Beschreibungsmittel, der Methodik
oder der Werkzeuge erforderlich wird. Daraus lässt sich ableiten, dass auch das Testverfahren
modellbasiert sein muss. Üblicherweise wird unter diesem Begriff verstanden, dass zur Ableitung
von Testfällen eine modellhafte Beschreibung der Umwelt oder des idealisierten Systemverhaltens
verwendet wird [UPL06, S. 1]. Die aus diesem Modell beispielsweise durch ein Testfallgenerierungswerkzeug
erstellten Testfälle können dann auf das zu testende Artefakt (z.B. eine Steuersoftware
als konkrete Realisierung des Systemverhaltens) angewendet werden. Üblicherweise
sind Testmodell und zu testendes Artefakt dabei nicht identisch und können durchaus verschiedenen
Lebenszyklusphasen angehören: Ein Testmodell aus der Phase der Systemanforderungen
kann beispielsweise zum Testen der - viel später erfolgenden - Systemintegration verwendet
werden.
Im Rahmen dieser Arbeit soll die Bedeutung des modellbasierten Testens dahingehend ausgedehnt
werden, dass das Anforderungsmodell sowohl der Ableitung der Testfälle dient, als auch
Testgegenstand gleichermaßen ist. Das Testen erfolgt hier also innerhalb ein- und desselben Modells.
Allerdings nehmen verschiedene Modellteile unterschiedliche Rollen ein: Die Szenariensicht
repräsentiert die Testfälle, die Verhaltenssicht den Testgegenstand. Durch dieses Vorgehen
soll überprüft werden, ob das in der Verhaltenssicht modellierte Verhalten die Vorgaben der
Szenarien erfüllt. Durch Ziel A soll somit die Konsistenz beider Modellelemente sichergestellt
werden.
Ziel B lässt sich dahingehend konkretisieren, dass es möglich sein soll, die Elemente der Verhaltenssicht
derart zu analysieren, dass sich daraus Szenarien entsprechend der Szenariensicht
ableiten lassen. Dies ist prinzipiell möglich, da die Verhaltenssicht inhaltlich immer „reicher” als
134