Eine 6er-Schraube in einem 4er-Loch#
Stell dir zwei Bauteile vor. Beide sind perfekt. Die Schraube ist exakt gefertigt, gehärtet, dokumentiert. Das Loch ist exakt gebohrt, entgratet, vermessen. Jedes Teil für sich besteht jede Prüfung.
Sie passen trotzdem nicht zusammen. Die Schraube ist eine 6er, das Loch ein 4er. Zwei lebensfähige Teile — und ein totes System.
Der Fehler steckt nicht in einem der beiden Teile. Er steckt im Übergang. Und der Übergang ist die eine Stelle, die keinem der beiden Teile ganz gehört. Genau deshalb übersieht ihn jeder.
Dasselbe gilt für Menschen. Zwei Gesprächspartner können beide brillant sein — wenn der eine Deutsch spricht und der andere Chinesisch und der Dolmetscher fehlt, kommt die Botschaft nicht an. Die Sprache ist nur der sichtbarste Fall. Einheiten, Toleranzen, Protokolle, Übergaben zwischen Abteilungen — alles dieselbe Klasse von Bruch.
Dieser Beitrag zeigt, dass die Schnittstelle das bestimmende System jeder Lebensfähigkeits-Betrachtung ist, und dass sie dafür keinen neuen Baustein braucht.
Die Schnittstelle ist kein sechster Baustein#
Das Lebensfähigkeitsmodell kennt fünf Bausteine — Ziel, Funktion, Lösung, Merkmal, Kontext — und sagt ausdrücklich: mehr braucht es nicht. Die Versuchung ist groß, für die Schnittstelle eine sechste Klasse zu erfinden. Das wäre ein Fehler. Die Schnittstelle ist keine neue Sorte von Ding. Sie ist eine Funktion an der Grenze zweier Lösungen.
Genauer — und hier liegt der häufigste Modellierungsfehler: Man sagt gern, „unter der Funktion Schnittstelle bereitstellen muss am Bauteil die Merkmalsebene durchdefiniert sein." Das ist die halbe Wahrheit. Sie schlägt die Schnittstelle einer Seite zu — und genau dadurch wird sie wieder unsichtbar.
Sauber ist es so: Jede Seite hat ihre eigene Funktion „Schnittstelle bereitstellen" mit eigenen Merkmalen. Die Welle hat ihren Durchmesser samt Toleranz, die Bohrung den ihren. Der Zusammenbauschritt darüber ist eine eigene Funktion auf der nächsten Ebene, die von beiden Bauteil-Lösungen gemeinsam realisiert wird — ein N:1 auf der Verbindung „Lösung realisiert Funktion". Ihr Merkmal, die Passung, gehört keiner Seite. Es ist aus beiden abgeleitet. Die Toleranzrechnung ist genau diese Ableitung: eine Verträglichkeits-Relation über zwei Merkmale, kein neuer Baustein.
In der Hardware ist es identisch (Impedanz, Pegel, Timing), in der Software identisch (Schema, Protokoll). Immer zwei Seiten, ein gemeinsam ausgehandeltes Merkmal, eine Verträglichkeitsbedingung. Die Schnittstelle gehört keiner Seite — und das ist ihr „niemand ist zuständig"-Problem, jetzt nicht mehr als Gefühl, sondern strukturell sichtbar im Modell.
Vier Stellen, an denen Lebensfähigkeit kippt#
Bevor wir zur Brücke zwischen Design und Prozess kommen, ordnen wir vier Dinge ein, die in jeder Engineering-Diskussion auftauchen — und in jeder politischen ebenso, nur dort meist unausgesprochen. Keines davon ist ein neuer Baustein. Alle vier sind Stellen im bestehenden Trace.
| Punkt | Modell-Element | Pflicht | Bild für Technik / für Menschen |
|---|---|---|---|
| Schnittstelle | Funktion an der Grenze zweier Lösungen; Kontext muss beidseitig gleich sein | 4 (schwächstes Glied) + 3 (Messmittelfähigkeit) | 4er-Loch / 6er-Schraube · zwei Sprachen ohne Dolmetscher |
| Aspekte am selben Objekt | mehrere Merkmale an einem Block; Objekt-Wert = min, nie Durchschnitt | 4 | Arzt-Vitalwerte: Puls top, Blutdruck kritisch → krank, nicht „im Schnitt gesund" |
| Randbedingung | Kontext-Block; eingefroren = Vorgabe, lebendig = Realität | 3 (Relativitäts-Problem) | Ingenieur sagt nie „Bremse ist gut", sondern „40 m, trocken, voll beladen" |
| Ursache vs. Symptom | dem Trace nach unten folgen, statt am Merkmal stehenzubleiben | 4 + 5 | Fieber senken (Bote killen) vs. Infektion finden |
Der verbindende Kern: Das schwächste Glied sitzt fast immer an einer Schnittstelle, wird durch eine fehlende Randbedingung unsichtbar, und durch Symptombehandlung statt Ursachenanalyse am Leben gehalten. Die Mess-Disziplin über die Aspekte ist das, was verhindert, dass ein Durchschnitt das alles zudeckt.
Warum „Kill the messenger" eine Trace-Verletzung ist#
Menschen bekämpfen lieber Symptome als Ursachen. Im Modell ist das Symptom ein Merkmal, das ausschlägt — eine Zahl, die rot wird. Die Ursache liegt weiter unten in der Kette: in einer Lösung, einer Funktion, einer Schnittstelle. Wer das Merkmal wegdrückt — die Messung abschaltet, den Boten feuert, das Drift-Signal abweist — behandelt das Symptom und lässt die Ursache wachsen.
Ohne die Verbindungen im Modell kann man Ursache und Symptom überhaupt nicht unterscheiden; man sieht nur die Zahl. Erst der Trace macht aus „die Zahl ist rot" die Frage „welche Funktion misst das, welche Lösung realisiert sie, welche Schnittstelle oder welcher Kontext ist verletzt". Das ist der methodische Unterschied zwischen Ursachenanalyse und Beschäftigung.
Der Vertrag wird im Design ausgehandelt, im Prozess eingelöst#
Jetzt die eleganteste Stelle. Im Design wird der Schnittstellen-Vertrag ausgehandelt. Die Toleranzrechnung legt fest, welches Spiel die Passung haben darf. Dieser ausgehandelte Vertrag ist der eingefrorene Zustand des Schnittstellen-Merkmals — exakt dieselbe Mechanik wie „was der EU-Gesetzestext oder der Kundenvertrag vorschreibt", nur firmenintern zwischen A und B.
Der Prozess erzeugt dann repetitiv lebendige Instanzen gegen genau diesen eingefrorenen Vertrag. Jedes gefügte Teil ist eine Wiederholung. Und Prozessfähigkeit — Cpk — ist nichts anderes als die Frage: wie zuverlässig trifft die lebendige Realität den eingefrorenen Vertrag?
Damit fällt die Brücke von der Design-FMEA zur Prozess-FMEA aus dem Modell heraus, ohne dass man einen neuen Mechanismus braucht. Es ist dieselbe Schnittstelle — einmal als eingefrorenes Soll (Design), einmal als lebendige Wiederholung mit Lücken-Trend (Prozess). Der Unterschied zwischen lebendig und eingefroren, den das Modell ohnehin für jeden Baustein führt, ist hier schon die ganze Antwort.
Das FMEA-Overlay: zwei Lasten am selben Kanal#
Hier wird es bestimmend. Dieselbe Schnittstelle trägt zwei völlig verschiedene Lasten, und beide brechen an derselben Naht.
Die erste Last ist die Betriebslast: Im laufenden Betrieb überträgt die Schnittstelle Kraft, Signal oder Stoff. Bricht sie, fällt die Funktion aus. Das ist die klassische FMEA-Last — die Naht ist das schwächste Glied (Pflicht 4).
Die zweite Last ist die Drift-Information: Über denselben Übergang muss im Lebenszyklus die Nachricht laufen, dass sich etwas verändert hat. Kommt diese Nachricht nicht an, treibt die Reaktionszeit (Pflicht 5) gegen unendlich. Und ein Drift-Signal, das die Naht nie passiert, ist das leiseste mögliche Signal — also die laut/leise-Asymmetrie aus Pflicht 5 in ihrer reinsten Form. Das System ist blind an exakt der Stelle, an der die Veränderung entsteht.
Deshalb wird die Kommunikations-Schnittstelle das bestimmende System: Sie ist gleichzeitig das schwächste Glied und der Pfad, über den Drift propagiert. Wenn die Drift-Signale nicht ankommen, bist du tot — und das zieht sich komplett durch jede Ebene des Systems durch.
Es ist überall dasselbe Muster#
Das Schöne — und das, was die Kommunikation am Ende einfach macht — ist die Rekursion. Es ist auf jeder Ebene dieselbe Klasse von Struktur:
Mechanik (Toleranzkette), Elektronik (Pegel und Timing), Software (Protokoll und Schema), Organisation (Abteilungs-Übergabe), Sprache (Übersetzung), Lebenszyklus (Drift-Weiterleitung). Jedes Mal: zwei Seiten, ein gemeinsam ausgehandeltes Merkmal, eine Verträglichkeitsbedingung, niemand besitzt es ganz — und der Ausfall propagiert genau dort.
FMEA und Lebensfähigkeit sind damit nicht zwei Methoden. Sie sind dieselbe Schnittstellen-Achse, einmal im Maßstab der Betriebszeit, einmal im Maßstab des Lebenszyklus. Wer die eine verstanden hat, hat die andere verstanden.
Was das für die Kommunikation bedeutet#
Der ganze Sinn dieser Mappings ist, dass ein Techniker und ein Politiker und ein normaler Mensch dasselbe Bild bekommen. Die Methode taugt nichts, wenn sie nur Methodiker verstehen.
Für den Techniker ist die Schnittstelle die Toleranzkette, die niemand ganz besitzt, das schwächste Glied der FMEA, der Cpk gegen den eingefrorenen Vertrag.
Für den Politiker ist die Schnittstelle die Übergabe zwischen zwei Behörden, der Bruch zwischen zwei Förderprogrammen, die Stelle, an der eine Reform auf dem Papier steht, aber die Nachricht nie bei dem ankommt, der handeln müsste.
Für den Menschen ist die Schnittstelle die Sprache, das Missverständnis, der Dolmetscher, der fehlt.
Drei Sätze, die alle drei gleichzeitig treffen:
Ein System lebt nicht an seinen Teilen, sondern an seinen Übergängen — und stirbt dort, wo niemand zuständig ist und keiner nachmisst.
Der Vertrag wird im Design ausgehandelt, im Prozess millionenfach eingelöst — und stirbt überall dort, wo die Nachricht über die Naht nicht ankommt.
Wer den Boten feuert, senkt das Fieber und lässt die Infektion wachsen.
Für Methodiker — die Einordnung ins Datenmodell
Die Schnittstelle führt keine sechste Block-Klasse ein. Sie ist eine Funktion
auf der Aggregationsebene über zwei (oder mehr) Lösungen, mit einem N:1 auf der
Trace-Relation Lösung realisiert Funktion. Ihr definierendes Merkmal ist
abgeleitet — eine Verträglichkeits-Relation über die Merkmale der beteiligten
Seiten (im Mechanik-Fall die Toleranzrechnung). Der Kontext dieser Funktion
muss auf allen beteiligten Seiten identisch eingefroren sein; jede
Kontext-Differenz an einer Schnittstelle ist per Definition ein Drift-Signal.
Die Design→Prozess-Brücke ist die Modus-Achse auf demselben Schnittstellen- Merkmal: eingefroren (ausgehandelter Vertrag, datiert) versus lebendig (repetitive Instanz, Cpk-Trend gegen den eingefrorenen Wert). Es ist kein neuer Mechanismus, sondern die bestehende lebendig/eingefroren-Unterscheidung, angewendet auf ein abgeleitetes Merkmal.
Das FMEA-Overlay ist eine Doppelbelegung desselben Kantenobjekts: die Betriebslast (Kraft/Signal/Stoff, S aus dem Top-Systemausfall vererbt) und die Drift-Last (Reaktionszeit als Vital-Größe, Pflicht 5). Ein nie passierendes Drift-Signal ist das Extrem der laut/leise-Asymmetrie und damit der gefährlichste, weil unauffälligste Fall. State/Transition und „undesired control action" (Leveson, STAMP/STPA — Inspirationsquelle, nicht das Bezugssystem) lassen sich ohne neuen Mechanismus abbilden: State = eingefrorener Block-Snapshot, Transition = lebendig→neuer Stand, undesired control action = Anpassung, die am Blatt (Merkmal) statt an der Wurzel (Lösung/Schnittstelle/ Kontext) ansetzt. Genau das ist Symptombehandlung im Trace-Vokabular.
Was diese Betrachtung nicht leistet#
- Sie ersetzt keine Toleranzrechnung, keine Impedanzanpassung, keine Schema-Versionierung. Sie zeigt nur, dass alle dieselbe Struktur haben.
- Sie garantiert nicht, dass jemand an der Naht nachmisst. Sie macht nur sichtbar, dass dort gemessen werden muss — und wer es nicht tut, trifft eine Entscheidung gegen die eigene Lebensfähigkeit.
- Sie nimmt der Schnittstelle nicht ihre Eigenschaft, niemandem ganz zu gehören. Sie macht diese Eigenschaft nur explizit, statt sie zwischen zwei Verantwortungsbereichen verschwinden zu lassen.
Schluss#
Die 6er-Schraube im 4er-Loch ist keine Sondertheorie. Sie ist das normale Schicksal jedes Systems, das aus mehr als einem Teil besteht. Die Teile bekommen Aufmerksamkeit, die Übergänge nicht — und an den Übergängen bricht es.
Die Methode löst das nicht, indem sie eine neue Kategorie erfindet. Sie löst es, indem sie zeigt, dass die Schnittstelle eine geteilte Funktion mit einem abgeleiteten Merkmal ist, dass der Vertrag im Design einfriert und im Prozess lebt, und dass dieselbe Naht zwei Lasten trägt — die Betriebslast und die Drift. Wer das einmal sieht, sieht es auf jeder Ebene wieder: in der Mechanik, in der Software, in der Organisation, in der Sprache.
Ein System lebt an seinen Übergängen. Und es stirbt dort, wo niemand zuständig ist und keiner nachmisst.
*Thomas Arends Schillerstrasse 12/1 · D-73249 Wernau
Image by Pete Linforth from Pixabay