Modellbasierte Anforderungsspezifikation sicherheitskritischer ...

zen, wenn die Arbeitsschritte durch den Prozess so gesteuert werden, dass möglichst schnell ein
hinreichender Modell-Reifegrad erreicht wird.
Ein geeignetes Vorgehensmodell muss somit:
• eine schrittweise Anreicherung des Modells mit Informationen ermöglichen
• schnell und flexibel auf Modifikationen reagieren können
• möglichst früh eine Modellausführung ermöglichen
Diese Anforderungen grenzen die Menge möglicher Vorgehensmodelle ein und legen den Fokus
auf iterativ-inkrementelle, flexible Methodiken.
6.1.2. Auswahl des Vorgehensmodells
Basierend auf den im vorherigen Abschnitt beschriebenen Anforderungen sollen im Folgenden
verschiedene Arten von Vorgehensmodellen vorgestellt und auf ihre Eigenschaften hin untersucht
werden. Das nahe liegendste Vorgehensmodell für sicherheitskritische Systeme und insbesondere
für Systeme im Bahnbereich ist das V-Modell [KBS06], das in der DIN EN 50126
[EN50126, S. 26] für die Beschreibung des Lebenszyklus eines Systems verwendet wird. Daher
liegt es nahe, dieses Vorgehensmodell auch für die Erstellung der vorgelagerten Anforderungsspezifikation
zu verwenden. Das V-Modell basiert auf der schrittweisen Verfeinerung eines Entwurfs
von den groben Systemanforderungen bis hin zum Coding der Software und dem ebenso
schrittweisen Validieren des Systems vom Code über die einzelnen Module bis hin zum Gesamtsystem.
In der Urform, in der die beiden Schenkel des V jeweils nur einmal für das gesamte zu
entwickelnde System durchlaufen werden, ähnelt das V-Modell dem Wasserfallmodell [ROY70]
und übernimmt damit auch dessen Probleme:
• Der gesamte Funktionsumfang muss auf einmal implementiert werden
• Der Prozess ist wegen seiner Linearität unflexibel, da Änderungen in Artefakten einer späteren
Phase nicht einfach auf Artefakte früherer Phasen zurückübertragen werden können.
• Ausführen und Testen der erstellten Artefakte ist erst in sehr späten Phasen möglich
• Fehler werden somit sehr spät erkannt
Bereits der erste Punkt disqualifiziert dieses Vorgehensmodell für die Erstellung von Anforderungsspezifikationen,
da dort naturgemäß niemals alle Informationen von Anfang an und auf
einmal verarbeitet werden können.
Aus den genannten Gründen wird dieses Vorgehensmodell auch bei der Systementwicklung kritisch
gesehen. Dies führte zur Entstehung neuer Ansätze, wie beispielsweise dem Spiralmodell
von Boehm [BOE88], das eine inkrementelle Entwicklung eines Systems erlaubt. Dabei werden
die Entwicklungsphasen nicht einmal für das Gesamtsystem, sondern mehrfach für kleine
Untereinheiten des Gesamtsystems durchlaufen. Nach jedem Durchlauf wird das Ergebnis evaluiert
und daraus Schlüsse für die Bearbeitung des nächsten Inkrements gezogen. Wie Cockburn
in [COC93] beschreibt, müssen sich Spiralmodell und V-Modell dabei nicht zwangsweise ausschließen.
Vielmehr kann ein inkrementeller Prozess als eine Abfolge vieler „kleiner” V-Prozesse
verstanden werden, die pro Inkrement jeweils einen Teil des Systems implementieren.
Aus dem grundlegenden Spiralmodell wurden mittlerweile zahlreiche iterativ-inkrementelle Software-
und Systementwicklungsprozesse abgeleitet. Diese stellen die einzelnen Spiraldurchläufe
als wiederholte, lineare Durchläufe durch die gleichen Prozessschritte dar. Beispiele dafür sind
der Rational Unified Process (RUP) [RUP98], der Object Engineering Process (OEP) [OSK06]
91