Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

2. Einleitung
Wie in anderen technischen Bereichen auch, übernehmen im Eisenbahnwesen an zahlreichen
Stellen reaktive Systeme unterschiedlicher Komplexität Steuerungs- und Sicherungsfunktionen.
Das Spektrum reicht von Fahrgastinformationssystemen, über Tür-, Antriebs- und Bremssteuerungen,
ETCS-Fahrzeuggeräten bis hin zu komplexen Systemen wie beispielsweise elektronischen
Stellwerken. Bei vielen dieser Systeme wird die eigentliche Funktionalität durch Software
realisiert, viele dieser Systeme übernehmen zudem Sicherheitsverantwortung für Menschenleben
und Sachwerte. Diese software-lastigen, sicherheitsrelevanten Systeme sind Betrachtungsgegenstand
der folgenden Ausführungen in dieser Arbeit.
Die korrekte Funktion dieser Systeme sicherzustellen, ist auf Grund der Sicherheitsrelevanz eine
wichtige und durch Normen und Richtlinien stark reglementierte Aufgabe, die sich über den gesamten
Lebenszyklus des Systems erstreckt. Am Anfang dieses Lebenszyklus steht die Erstellung
einer Anforderungsspezifikation durch den Auftraggeber und späteren Betreiber des Systems.
Diese muss alle Informationen enthalten, die ein Auftragnehmer benötigt, um das System zu
entwickeln, zu produzieren und während der Betriebszeit zu begleiten. Die Anforderungsspezifikation
ist außerdem Vertragsbestandteil: Sie legt den Umfang und die Funktionen des zu
liefernden Systems fest und ist damit die Grundlage für die spätere Abnahme und letztendlich
auch für die buchhalterische Abwicklung des Projekts. Zudem muss von der jeweiligen Aufsichtsbehörde
- beispielsweise dem Eisenbahnbundesamt - eine Zusicherung auf Grundlage der Anforderungsspezifikation
ausgesprochen werden, die die Konformität des zu entwickelnden Systems
mit den entsprechenden Gesetzen, Normen und Richtlinien bestätigt. Die Anforderungsspezifikation
besitzt damit für alle beteiligten Parteien große Bedeutung. Diese wichtige Funktion wird
beispielsweise in [GEA08] folgendermaßen beschrieben:
„Die Spezifikation der Anforderungen hat entscheidende Bedeutung, da sie über
die Messbarkeit der Ergebnisse und damit über die erreichbare Qualität der RAMS-
Aktivitäten entscheidet. [. . . ] Ziel ist es, die Anforderungen an das System so genau
wie möglich, dem jeweiligen Zweck des Projektes, seiner Komplexität und dem abgestimmten
Zusammenwirken der Partner entsprechend zu definieren.”
Wegen dieser herausgehobenen Bedeutung der Anforderungsspezifikation werden an deren Qualität
und insbesondere an ihre inhaltliche Korrektheit besondere Ansprüche gestellt. Betrachtet
man jedoch die „Chaos-Studie” der Standish Group [STA98], zeigt sich, dass dieses hohe Qualitätsziel
oftmals nicht erreicht wird. In dieser Studie wurde untersucht, wann innerhalb des
Lebenszyklus komplexer Softwareprojekte 1 Fehler eingeschleppt wurden und wann sich diese
Fehler letztendlich offenbarten. Das obere Diagramm in Abbildung 2.1 zeigt die ermittelten
Ergebnisse. Über die Hälfte der später aufgedeckten Fehler wurde dabei bereits in der Anforderungsspezifikation
eingebracht (Bereich 1 im oberen Diagramm), d.h. bereits dort sind nicht die
tatsächlich vom Kunden gewünschten oder beispielsweise auf Grund von Sicherheitsüberlegungen
erforderlichen Eigenschaften des Systems formuliert. Allerdings werden in dieser Phase nur
1 Die Aussagen dieser Arbeit beziehen sich allerdings nicht auf Software, sondern auf komplette Systeme. Da die
Software aber oftmals die wesentlichen Funktionen bereitstellt, können die Aussagen übertragen werden.
3