Anforderungsanalyse und Anforderungsdefinition für ...

Formale Methoden zur Anforderungsspezifikation
werden. Bei einer nicht formalen Spezifikation müsste für die Animation ein eigenes
Programm entwickelt werden.
4.1.3 Verifikation der nachfolgenden Entwicklungsstufen
Um die Äquivalenz der nachfolgenden Entwicklungsstufen mit der Spezifikation
feststellen zu können, erfolgt eine Verifikation („Are we building the thing right?“
[McD93]). Bei nicht formaler Beschreibungsweise würde dieser Vorgang alleine auf den
Kenntnissen und Fähigkeiten des Ingenieurs beruhen. Durch eine Beschreibung des
Systems auf allen Ebenen mit dem Einsatz formaler Methoden wird es möglich, die
funktionale Äquivalenz zu beweisen. Dadurch wird ein erhöhtes Vertrauen in die
Ergebnisse der Verifikation erreicht.
Dies ist besonders wichtig, um am Ende der Entwicklung beweisen zu können, dass
das implementierte System den Anforderungen entspricht. Dieser Prozess ist allerdings
noch nicht vollständig automatisiert, so dass die Erfahrungen und das Können der
Softwareentwickler für die Verifikation unersetzlich sind.
Der formale Beweis die Anforderungen erreicht zu haben, ist für die Zertifizierung
eines Produkts sehr hilfreich, bzw. in den betreffenden Standards gefordert. Bei nicht
formaler Beschreibung ist kein Beweis möglich. Es sind nur Tests möglich, die aber nie
alle erdenklichen Fälle berücksichtigen können.
Zur Vereinfachung der Verifikation wird in einigen Ansätzen nur Wert auf die
Sicherheitsanforderungen gelegt. Dies macht den Beweis einfacher und vor allem
schneller.
4.1.4 Automatische Entwicklungen aus der Anforderungsspezifikation
Ein weiteres Argument für die Benutzung formaler Beschreibungen für die
Entwicklungsphasen ist die Möglichkeit einige Transformationen zwischen diesen zu
automatisieren. Beispielsweise könnte so direkt aus der Anforderungsspezifikation der
Softwareentwurf bzw. die Implementierung erzeugt werden. Ein weiterer Schritt wäre
dann die automatisierte Entwicklung der vollständigen Hardware und Software aus der
Anforderungsspezifikation. Allerdings wird es bis dahin noch eine längere Zeit der
Entwicklung benötigen. Zur Zeit stehen Werkzeuge zur Verfügung, die den
Softwareentwickler bei den Transformationen unterstützen, dies aber nicht vollständig
selbstständig zu seiner Zufriedenheit erledigen können. Besonders in der Effizienz und
der Codegröße sind vollständig automatisch erzeugte Implementierungen oftmals
unvorteilhaft. Auf diese Eigenschaften kommt es bei sicherheitskritischen Systemen
meistens besonders an, da sie häufig auch eingebettete Systeme sind, die in der
Massenproduktion hergestellt werden.
Die gleiche Codegröße, wie bei manueller Implementierung, kann nur erreicht werden,
wenn der Compiler speziell für die vorliegende Prozessorarchitektur entwickelt wurde.
Dieses trifft aber aufgrund der Vielzahl von Prozessorarchitekturen und des relativ
hohen Aufwandes in der Entwicklung eines solchen Compilers bisher nur selten zu. Es
werden zur Zeit immer mehr passende und auch bessere Compiler entwickelt. Die
14