Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

ungsmodell und dabei insbesondere die Konsistenzen zwischen Akteuren, Informationsflüssen
und Signalen in der Systemabgrenzungssicht und der Systemfunktionssicht (siehe 5.1.4.2). Details
dazu können den Unterabschnitten von Kapitel 5.1.5 entnommen werden.
Aus der Systemabgrenzungssicht kann zusammenfassend abgelesen werden:
• wie sich das SuB des aktuellen Teilmodells gegen andere Systeme in seiner Umgebung
abgrenzt
• welche Systeme innerhalb des umgebenden Supersystems mit dem SuB in Beziehung stehen
• welche Informationen zwischen dem SuB und der Umgebung über welche Schnittstellen
ausgetauscht werden
Damit sind die Forderungen aus 5.1.4.1.1 an die Systemabgrenzung erfüllt.
5.1.4.2. Systemfunktionssicht
In diesem Kapitel wird erörtert, wie die Sicht auf die Funktionen des Systems modelliert werden
soll. Zunächst wird dazu hergeleitet, aus welchen Gründen überhaupt eine Sicht auf die
Systemfunktionen erforderlich ist, da es für ein ausführbares Modell genügen würde, neben
den strukturellen Merkmalen das Verhalten des Systems durch geeignete Beschreibungsmittel
zu spezifizieren.
5.1.4.2.1. Gründe für eine funktionsorientierte Sicht
Ein Anforderungsmodell ist zunächst, wie auch eine textliche Anforderungsspezifikation, ein
Kommunikationsmittel. Wichtigste Anforderungen an ein solches Kommunikationsmittel sind
Eindeutigkeit, Verständlichkeit, Korrektheit und Konsistenz der übermittelten Informationen.
Ein Modell, das neben den strukturellen Merkmalen lediglich eine detaillierte Verhaltensbeschreibung
durch Zustandsmaschinen oder Aktivitätsdiagramme enthält, ist zwar eindeutig, für
einen Leser aber nicht unbedingt verständlich. Erst durch eine explizite Darstellung der Systemfunktionen
kann für diesen ein sinnvolles Abstraktionsniveau erreicht werden. Gleichzeitig
dienen die Systemfunktionen als Gliederungselement und Navigationshilfe durch das Modell,
indem sie als funktionaler Oberbegriff einzelne Aktivitäten oder Zustandsmaschinen zusammenfassen.
Diese Abstraktionsebene erleichtert auch die Diskussion des Systementwurfs bezüglich
des vorgesehenen Zwecks des Systems, also der Diskussion der Frage, „was das System überhaupt
machen soll”. Erst wenn dieser Sachverhalt auf abstrakter Ebene hinreichend geklärt ist,
kann sich eine detaillierte Verhaltensdefinition durch eine schrittweise Verfeinerung des Systemverhaltens
anschließen.
Ein weiterer Nutzen der expliziten Modellierung von Systemfunktionen ist die Wiederverwendbarkeit
in der Risikoanalyse. Risikoanalysen sind elementarer Bestandteil des Sicherheitsnachweises
für sicherheitskritische technische Systeme und werden von den DIN EN Normen 50126
und 50129 als zwingend notwendiger Arbeitsschritt bei der Systementwicklung festgelegt. Als
Ziele der Risikoanalyse nennt Braband in [BRA05, S. 27]:
„Es ist Aufgabe des Betreibers, eine Risikoanalyse durchzuführen, die darin besteht
• die Funktionsanforderungen für das betreffende System (unabhängig von dessen
technischer Ausführung) festzulegen
• systemrelevante Gefährdungen zu identifizieren
42