Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

• die Folgen von Gefährdungen zu analysieren
• sicherzustellen, dass das sich ergebende Risiko tolerabel ist und
• die tolerierbaren Gefährdungsraten (THR) abzuleiten.”
Besonders relevant für diese Arbeit sind dabei die ersten beiden Punkte „Festlegung der Funktionsanforderungen”
und „Identifikation der Gefährdungen”: Für die Festlegung der Funktionsanforderungen
(erster Punkt) ist eine Systemfunktionssicht direkt hilfreich, aus der die benötigten
Informationen unmittelbar entnommen werden können. Ebenso ist eine saubere Funktionsdefinition
des Systems wichtige Grundlage für die Identifikation der relevanten Gefährdungen
(zweiter Punkt). Dies geschieht üblicherweise in einem zweistufigen Prozess, der aus einer empirischen
und einer kreativen Arbeitsphase besteht [BRA05, S. 32]. Während in der empirischen
Phase beispielsweise Unfallanalysedaten ausgewertet werden, werden in der kreativen Phase
mögliche Gefährdungen durch strukturierte Analysen herausgearbeitet. Ein gängiges Werkzeug
für eine solche Analyse sind Fehlerzustandsart- und Fehlerauswirkungsanalysen (failure mode
and effects analyses, FMEA). Der zugehörigen Norm IEC60812 lässt sich entnehmen, dass ein
wichtiger Arbeitsschritt in einer FMEA die Ableitung einer funktionalen Struktur des Systems ist
[IEC60812, S. 20]. Diese Aufgabe wird deutlich erleichtert, wenn bereits im Anforderungsmodell
eine nachvollziehbare, logische Strukturierung der Systemfunktionen vorgenommen wurde.
Es zeigt sich somit, dass eine dedizierte Aufnahme einer Systemfunktionssicht in das Anforderungsmodell
nicht nur diesem selbst zugute kommt, sondern auch verschiedene, umgebende
Prozesse unterstützen kann.
5.1.4.2.2. Begriffsdefinitionen
Bevor nun die Einzelheiten der Systemfunktionssicht vorgestellt werden, sollen zunächst die
verwendeten Begriffe - Funktion, Szenario und Anwendungsfall - für die weitere Verwendung in
dieser Arbeit definiert werden. Dies ist erforderlich, da für eben diese Begriffe in verschiedenen
Kontexten voneinander abweichende Bedeutungen existieren. Die für diese Arbeit relevanten
Begriffsdefinitionen werden ausgehend von der SysML/UML-Spezifikation und den CENELEC-
Normen entwickelt. Grundlage ist der Funktionsbegriff in der DIN EN 50129. Dort wird der
Begriff Funktion beschrieben als „Art von Aktion oder Tätigkeit, durch die ein Produkt seinen
beabsichtigten Zweck erfüllt [EN50129, S. 11]”. Diese Definition ist weitgehend deckungsgleich
mit der der use cases (Anwendungsfalls) im Sinne der UML/SysML. In der entsprechenden Spezifikation
wird ein Anwendungsfall beschrieben als
„A use case is the specification of a set of actions performed by a system, which
yields an observable result that is, typically, of value for one or more actors or other
stakeholders of the system. [. . . ] Each use case specifies a unit of useful functionality
that the subject provides to its users.” [OMG07-2, S. 590]
Insbesondere der letzte zitierte Satz entspricht inhaltlich weitgehend der Definition aus der DIN
EN 50129. Auf Grund der Ähnlichkeit dieser Definitionen werden die Begriffe Funktion und
Anwendungsfall (use case) im Folgenden synonym verwendet.
In der UML-Spezifikation heißt es weiterhin
„A use case can include possible variations of its basic behavior, including exceptional
behavior and error handling.” [OMG07-2, S. 590]
Daraus lässt sich die Existenz einer weiteren Gliederungsebene unterhalb der Anwendungsfälle
herleiten: Jeder Anwendungsfall enthält verschiedene Variationen des durch ihn repräsentierten
Verhaltens. Dieses Konzept wird für den Rahmen dieser Arbeit insofern übernommen, als dass
43