Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

(a) Das funktionale Konzept betrachtet das System als Blackbox, die auf bestimmte Input-
Stimuli mit einer internen Zustandsänderung und einem zugehörigen Output reagiert.
(b) Das strukturelle Konzept beschreibt ein System als die Ganzheit miteinander verknüpfter
Elemente. Je nach Art der Verknüpfung dieser Elemente können unterschiedliche Systeme
mit verschiedenem Verhalten entstehen.
(c) Das hierarchische Konzept schließlich trägt dem Umstand Rechnung, dass Systeme selbst
wieder Subsysteme eines größeren Supersystems sein können. Gleichfalls können Subsysteme
in einer tieferen Hierarchie als eigenständige Systeme betrachtet werden.
In [ROP99, S. 77 f.] wird - als Synthese dieser Aussagen - ein System beschrieben als
„. . . das Modell einer Ganzheit, die (a) Beziehungen zwischen Attributen (Inputs,
Outputs, Zuständen etc.) aufweist, die (b) aus miteinander verknüpften Teilen bzw.
Subsystemen besteht, und die (c) von ihrer Umgebung bzw. von einem Supersystem
abgegrenzt wird.”
Vergleicht man diese Systemdefinitionen aus der Literatur mit den Begriffsdefinitionen der CE-
NELEC-Normen, zeigt sich eine durchaus gute Übereinstimmung. Dabei finden sich in der DIN
EN 50126 im Wesentlichen die obigen Definitionen (a) und (b), wohingegen die DIN EN 50129
weitgehend nur die Definition von (b) aufgreift.
Um nun vom Systembegriff zur Systemabgrenzungssicht zu gelangen, bietet es sich an, zunächst
die Definitionen nach (a) und (c) genauer zu analysieren. Es zeigt sich, dass durch sie implizit
bereits eine bestimmte Art von Systemabgrenzung vorgegeben wird. Aus der Blackbox-Definition
kann abgeleitet werden, dass es zum einen eine definierte Grenze zur Abgrenzung eben dieser
Blackbox geben muss, zum anderen, dass über diese Grenze Inputs in das System hinein- und zugehörige
Outputs hinaus gelangen können. Weiterhin kann gefolgert werden, dass das Verhalten
des Systems durch die Blackbox gekapselt wird, d.h., dass sämtliche verhaltensbestimmenden
Entitäten sich innerhalb der Blackbox befinden. Weiterhin kann aus dem hierarchischen Konzept
nach (c) abgeleitet werden, dass ein System auch immer Teil eines größeren, umgebenden Supersystems
ist und mit Artefakten dieses Supersystems in Verbindung steht. Diese hierarchische
Struktur wird im Anforderungsmodell durch das Konzept der Ebenen (siehe 5.1.3.1) realisiert.
Daher muss bei der Systemabgrenzungssicht jedes Teilmodells auch berücksichtigt werden, welche
Beziehungen das System zu Elementen des umgebenden Supersystems hat.
Aussage (b) fließt nicht direkt in die Spezifikation der Systemabgrenzungssicht ein. Allerdings
gibt das strukturelle Konzept Hinweise darauf, dass zu einem systemorientierten Anforderungsmodell
auch eine Beschreibung der Subsystemarchitektur gehört. Dieser Aspekt wir in Abschnitt
5.1.4.5 bei der Beschreibung der Subsystem Whitebox-Sicht aufgegriffen.
Fasst man die obigen Aussagen (a) bis (c) sowie die Definitionen in den CENELEC-Normen
zusammen, lassen sich die folgenden Anforderungen an eine geeignete Beschreibung der Systemabgrenzung
formulieren:
Die Systemabgrenzung muss
• die Grenze zwischen System und Umgebung
• die hinein fließenden (Inputs) und heraus fließenden Informationen (Outputs)
• die Artefakte des umgebenden Supersystems und deren Beziehungen zum System
darstellen können.
37