Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

für LST-Modulverträge für die Deutsche Bahn. Bei diesen Dokumenten zeigt sich üblicherweise
eine verbesserte Situation. Diese Anforderungsspezifikationen werden oftmals mit einem Requirements
Management Werkzeug (z.B. IBM/telelogic DOORS) erstellt und weisen dadurch
eine klarere und sauberere Struktur auf, die einfachere Modifikationen und Fehlerkorrekturen
erlaubt. Allerdings sind auch hier die eigentlichen Informationen nach wie vor in natürlicher
Sprache abgefasst, wodurch die generellen Probleme dieses Beschreibungsmittels bestehen bleiben.
Abbildung 3.4 zeigt einen Ausschnitt aus einer solchen Anforderungsspezifikation, in dem
bestimmte betriebliche Abläufe als Anforderungen an das System beschrieben werden.
Teilweise enthalten die Anforderungsspezifikationen neben den textlichen Beschreibungen auch
Grafiken und Diagramme zur Erläuterung bestimmter Sachverhalte. In der genannten ETCS-
Spezifikation werden beispielsweise betriebliche Abläufe ergänzend zum Text zusätzlich durch
UML-Aktivitätsdiagramme dargestellt. Die Diagramme haben zwar nur erklärende Funktion,
dennoch bleibt diese Funktionstrennung problematisch, weil mit zwei grundverschiedenen Beschreibungsmitteln
der gleiche Sachverhalt beschrieben wird. Dies kann insbesondere bei Änderungen
zu Inkonsistenzen führen, zumal sich nicht alle Sachverhalte in beiden Beschreibungsmitteln
gleichermaßen ausdrücken lassen.
Trotz der geschilderten Dominanz von natürlich-sprachlichen Anforderungsspezifikationen werden
vereinzelt auch formale Sprachen (siehe Abschnitt 3.1.1.2) verwendet. So wurde B bereits
für Praxisprojekte im Bahnbereich eingesetzt, z.B. bei der Spezifizierung von Steuerungssystemen
für fahrerlose U-Bahnen [BDM98]. Auf breiter Front konnten sich formale Sprachen jedoch
nicht durchsetzen. Dies liegt insbesondere an der mangelnden Handhabbarkeit dieser Beschreibungsmittel
für die jeweiligen Fachexperten, die üblicherweise nicht aus dem mathematischcomputerwissenschaftlichen
Bereich stammen. Der Aufwand zum Erlernen der formalen Sprachen
stellt für diese Nutzergruppe eine erhebliche Hürde dar, die dem erzielbaren Nutzen einen
erheblichen Anfangsaufwand gegenüberstellt.
Aber auch semi-formale Beschreibungsmittel wie die UML konnten sich bis jetzt nur in Teilbereichen
der Industrie etablieren. So wird die UML von Flugzeugherstellern für die Spezifikation von
Subsystemen eingesetzt, beispielsweise bei EADS. Auch in der Bahnindustrie werden für einzelne
Subsysteme und für bestimmte Aspekte von Systemen - wie oben beschrieben - UML-basierte
Spezifikationen oder zumindest einzelne Diagrammarten verwendet. Eine ganzheitliche, modellbasierte
Spezifikation von Anforderungen findet momentan jedoch nicht statt. Ein Grund
dafür ist sicherlich, dass für semi-formale Anforderungsspezifikationen im Bahnbereich zur Zeit
kein Standard oder ein Best-Practice-Ansatz existiert, weswegen sich jeder potenzielle Anwender
selbst mit den oftmals unbekannten Beschreibungsmitteln auseinander setzen und entsprechende
Erstellungsprozesse erarbeiten muss. Im Gegensatz zur Systementwicklung fehlt zurzeit
eine praxistaugliche Integration von Beschreibungsmittel, Methode/Prozess und Werkzeugkette
nach dem BMW-Prinzip. Zwar existieren einige Ansätze, wie z.B. das Vorgehen „SysMOD”, das
in [WEI06] beschrieben wird, dieses erfüllt aber nicht die Anforderungen für die Spezifikation
von sicherheitskritischen Systemen, die Gegenstand dieser Arbeit sind.
Abbildung 3.5.: Ist-Zustand bei der Umsetzung des BMW-Konzepts
15