Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

5.1.4.4. Systemverhaltenssicht
Mit den bisher beschriebenen Sichten können die folgenden Sachverhalte im funktionalen Modell
dargestellt werden:
(a) wie sich das System von seiner Umgebung abgrenzt und mit welchen Elementen seiner
Umgebung es kommuniziert
(b) welche Systemfunktionen es seiner Umgebung bereitstellt
(c) wie diese Systemfunktionen in bestimmten Situationen mit der Umgebung interagieren
sollen
Diese Elemente sind jedoch noch nicht hinreichend für ein ausführbares Modell, das die Grundlage
für die Umsetzung der in Abschnitt 4 formulierten Ziele ist: Nur ausführbare Modelle sind
test- und verifizierbar, wobei eine Verhaltensspezifikation - wie im nachfolgenden Unterkapitel
gezeigt werden wird - wesentliche Voraussetzung für die Ausführbarkeit ist. Das funktionale
Modell muss daher zwingend um eine Modellierung des Verhaltens ergänzt werden.
Im nachfolgenden Unterabschnitt 5.1.4.4.1 wird zunächst der Begriff der Ausführbarkeit für den
Rahmen dieser Arbeit definiert und anschließend die Möglichkeiten beschrieben, die sich daraus
ergeben. Anschließend wird in Unterabschnitt 5.1.4.4.2 dargelegt, welches Beschreibungsmittel
für die Verhaltensmodellierung von Anforderungsmodellen geeignet erscheint. Verschiedene
Aspekte der Verhaltensmodellierung werden dann in den Unterkapiteln 5.1.4.4.3 bis 5.1.4.4.6
beschrieben.
5.1.4.4.1. Möglichkeiten ausführbarer Modelle
Wesentliches Ziel einer Verhaltensspezifikation ist die Schaffung eines ausführbaren Anforderungsmodells,
das die Grundlage für die Verhaltensvisualisierung, die Durchführung von Tests
und Erzeugung von Testfällen und die formale Verifikation ist. Bevor im Folgenden die genannten
Möglichkeiten einzeln vorgestellt werden, soll zunächst der Begriff ausführbar für die weitere
Verwendung in dieser Arbeit definiert werden: Ein Modell ist dann ausführbar, wenn sich
die Modellinformationen in eine entsprechende Zielsprache (wie C++, Java) übersetzen lassen
und sich der erzeugte Quellcode in ein ausführbares Programm kompilieren lässt. Dazu sind im
vorliegenden Fall dieser Arbeit 1 die folgenden Vorbedingungen zu erfüllen:
• Das Verhalten des Modells muss deterministisch sein, wobei - analog zu einer deterministischen
Turing-Maschine - zu jedem möglichen Zustand des Systems der Folgezustand
eindeutig definiert sein muss [WES00]
• Die Struktur des Systems und seiner Umgebung muss durch Klassendiagramme (UML)
oder Blockdefinitionsdiagramme (SysML) modelliert worden sein
• Das Verhalten des Systems muss mit entsprechenden Modellierungselementen der UML/-
SysML (Zustandsmaschine, Aktivitätsdiagramm) abgebildet worden sein
Bei Verwendung einer entsprechenden Modellierungsumgebung (im Rahmen dieser Arbeit: IB-
M/telelogic Rhapsody) lässt sich unter Berücksichtigung dieser Vorbedingungen das Modell
kompilieren und ausführen. Das Verhalten des ausführbaren Modells wird in Form animierter
Zustands- und Aktivitätsdiagramme angezeigt und kann intuitiv nachvollzogen werden. Durch
die Rückmeldung lässt sich auffälliges Fehlverhalten bereits während der Erstellung der Anforderungsspezifikation
erkennen. Zu beachten ist dabei, dass zurzeit noch keine durchgängig
1 Dies meint die gegebenen Randbedingungen für die Modellierung, wie: Modellierungssprache (UML/SysML),
Modellierungswerkzeug und verwendete Zielsprache (C++).
53