Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

in einer Aktionssprache an den Kontrollflusskanten (siehe 5.1.4.4.4). Das zweite Vorgehen kann
zwar vollständig auf vordefinierte UML-Aktionen zurückgreifen, die Notation ist allerdings weniger
intuitiv zu begreifen und belegt - zumindest bei einer kleinen Zahl an Verzweigungs-
Alternativen - erheblich größere Flächen im Diagramm. Beide Varianten werden im Folgenden
mit ihren jeweiligen Anwendungsgebieten diskutiert.
Guards sind Ausdrücke, die sich in eine boolesche Aussage auflösen lassen und einer Kante des
Kontrollflusses zugeordnet sind. Ist der Ausdruck wahr, kann ein Token die Kante passieren,
ist der Ausdruck falsch, ist die Kante für Token gesperrt. Zusammen mit Entscheidungsknoten
lassen sich somit Strukturen aufbauen, die den weiteren Ablauf hinter dem Entscheidungsknoten
vorgeben. Dies zeigt Bild 5.17.
act [Aktivitaet] Entscheidung[ Entscheidung ]
Selbsttest durchfuehren
{allocatedTo = BUe-Steuerung }
[Systemfehler erkannt]
Systemfehler melden
{allocatedTo = BUe-Steuerung }
Abbildung 5.17.: Entscheidungsstrukturen mit guards und Entscheidungsknoten
Im dort dargestellten Beispiel wird im Kontrollfluss zu verschiedenen Folgeaktivitäten verzweigt,
je nach dem, ob ein Systemfehler aufgetreten ist, oder nicht. Anzumerken ist allerdings, dass die
Ausdrücke der guards hier in natürlicher Sprache formuliert sind. Für ein ausführbares Modell
müsste jedoch eine Sprache wie z.B. die OCL verwendet werden.
Diese Art der Modellierung ist insbesondere dann geeignet, wenn sich der Kontrollfluss nur in
wenige Zweige 3 aufspaltet und entweder keine Ausführbarkeit erforderlich ist oder aber sich für
die guards einfache Ausdrücke in einer Aktionssprache ableiten lassen. Sind hingegen komplexe
Aktivitätsabläufe zur Ermittlung der booleschen Aussage erforderlich, eignet sich eher die im
Folgenden beschriebene Vorgehensweise mit bedingten Knoten.
Ein bedingter Knoten besteht dabei aus mehreren clauses (Klauseln), die jeweils aus einer test
section und einer body section bestehen. In der test section muss genau eine Aktivität einen booleschen
Wert an einem speziellen result-Pin bereitstellen. Ist der am Pin anstehende Wert wahr,
3 Zwei, maximal drei ausgehende Zweige scheinen eine sinnvolle Grenze darzustellen
65