Hier stehen fünf Methoden. Sie sehen aus wie fünf Themen, sind aber fünf Angriffspunkte auf eine einzige Frage: Woher wissen Sie, dass das, was Sie führen — eine Firma, ein Bauteil, eine Abteilung — morgen noch tut, wofür es da ist? Die üblichen Antworten lauten „das läuft doch" und „das haben wir letztes Jahr geprüft". Beide sind Momentaufnahmen. Beide taugen nicht.
Übersicht
Warum fünf und nicht eine
Weil die Frage an drei verschiedenen Stellen scheitert. Sie scheitert daran, dass niemand den Zweck sauber benennt und niemand misst, was der Empfänger davon hat. Sie scheitert daran, dass keiner aufgeschrieben hat, wie weit sich etwas bewegen darf, bevor es eng wird. Und sie scheitert daran, dass jede Abteilung ihre eigene Liste pflegt, sodass niemand sieht, was mit was zusammenhängt.
Zwei der fünf Methoden legen fest, was überhaupt geführt werden muss. Eine beschreibt, wie es festgehalten wird. Zwei sind Auszüge aus diesem einen Bestand — keine eigenen Listen, keine zweite Wahrheit.
Die fünf Methoden greifen an drei Stellen an: zwei stellen die Fragen, eine hält die Antworten fest, zwei holen etwas heraus. Wer eine der oberen beiden überspringt, bekommt unten leere Formulare.Die fünf
Wie hält man Zweck, Funktion, Lösung, Merkmal und Kontext so fest, dass jede Fachabteilung ihre gewohnte Sicht bekommt, ohne dass etwas doppelt gepflegt wird?
Was kann schiefgehen — und lässt sich zeigen, dass die Liste vollständig ist, statt zu hoffen, dass dem Team nichts mehr einfällt?
Lebensfähigkeit ist die Eintrittsfrage. Sie hat immer einen Bezug: für wen, wofür, in welcher Welt. Wer einen davon weglässt, hat keine Aussage über Lebensfähigkeit, sondern eine Behauptung. Fünf Pflichten machen die Aussage prüfbar, und die erste ist die Hürde, an der die meisten scheitern: den Zweck nennen, ohne ihn an die heutige Lösung zu binden. Kodak hat Filme verkauft und nicht Erinnerungen festgehalten. Die Lösung verschwand, und die Firma ging mit.
Erlaubter Raum nimmt der Momentaufnahme den Boden weg. Nichts steht still — was ein System hat, ist ein Verlauf durch die Zeit. Ein „Zustand" beschreibt deshalb gar nicht das System, sondern die Vorgabe, die wir danebengelegt haben: eine Mitte, um die es sich bewegen soll, und eine Breite, die es dabei ausnutzen darf. Daraus fällt die Frühwarnung von selbst heraus. Man wartet nicht auf den Grenzwertverstoß, sondern beobachtet, wie der Abstand zur Wand kleiner wird.
Universeller Graph ist die Sparsamkeitsregel. Fünf Bausteine reichen, um ein Bauteil, eine Rolle, eine Behörde oder ein Gesetz zu beschreiben — mehr braucht es nicht. Der Konstrukteur sieht trotzdem Anforderungen und Komponenten, die Personalabteilung sieht Standorte und Kompetenzen, die Geschäftsführung sieht ein Lebenszeichen-Bild. Verschiedene Sprachen, ein Bestand.
steht für Architecture-Driven Requirements Allocation, auf Deutsch: Anforderungen aus dem Aufbau heraus zuteilen. Der übliche Weg ist umgekehrt — erst wird die Anforderungsliste geschrieben, dann sucht jemand ein Bauteil, an das sie passt. Damit wird die Zuteilung zur Verhandlung. ADRA dreht die Reihenfolge um: Der Aufbau sagt, wer was leisten muss, und die Anforderung landet dort, wo die Funktion sitzt. Das ist prüfbar, die Verhandlung nicht.
FMEA als Auszug ist die unbequemste der fünf. Die Fehlerbetrachtung, wie sie üblich betrieben wird, ist ein Kreativitätsverfahren mit Enddatum: Man sammelt, bis dem Team nichts mehr einfällt, und nennt das Vollständigkeit. Wenn dagegen Mitte und Breite deklariert sind, muss der unerwünschte Fall nicht erfunden werden — er ist das, was außerhalb liegt. Rechenbar statt geraten. Die vertraute Tabelle bleibt, sie wird nur nicht mehr von Hand gefüllt.
Reihenfolge
Wo anfangen
Lebensfähigkeit zuerst.Sie trägt die Begriffe, auf die alle anderen vier zurückgreifen. Ohne benannten Zweck und benannten Empfänger sind die übrigen Seiten Technik ohne Aufhänger.
Dann Erlaubter Raum.Er ersetzt das Bild vom festen Zustand durch Verlauf und Korridor. Wer das einmal gesehen hat, liest die restlichen Seiten anders.
Danach nach Interesse.Universeller Graph, wenn Sie wissen wollen, wie das im Werkzeug aussieht. ADRA, wenn Sie mit Anforderungen arbeiten. FMEA als Auszug, wenn Sie Fehlerbetrachtungen verantworten.
Wer lieber am Beispiel einsteigt: Der Fall 737 MAX zeigt an einem dokumentierten Unglück, was passiert, wenn der Zweck an die Lösung gebunden wird, der erlaubte Raum nie aufgeschrieben ist und die Fehlerbetrachtung aus einem Workshop stammt statt aus einer Rechnung.
Grenzen
Was diese Seiten nicht leisten
Sie sind vereinfachte Fassungen. Die Methodenpapiere dahinter sind länger, formaler und an mehreren Stellen unbequemer. Wo hier eine Regel in einem Satz steht, steht dort ein Abschnitt mit Bedingungen, unter denen sie nicht gilt.
Keine der fünf Methoden ersetzt Fachwissen. Sie sagen Ihnen, welche Frage offen ist und woran man merkt, dass die Antwort veraltet. Sie sagen Ihnen nicht, wie die Antwort lautet. Wer den Zweck seines Unternehmens nicht kennt, findet ihn nicht dadurch, dass er ein Formular ausfüllt.
Und der Wirksamkeitsnachweis fehlt. Es gibt keine kontrollierte Studie. Was es gibt, sind Eigenschaften, die scheitern können. Das ist kein Beweis, sondern die Bedingung dafür, dass je einer möglich wird.
Widerspruch ist willkommen — an die Kontaktseite. Am nützlichsten sind Gegenbeispiele: ein Fall, in dem eine der fünf Methoden die falsche Antwort erzwungen hätte.
Software hat keine Physik. Es gibt keine Geometrie, aus der Kontaktstellen folgen, und keine Netzliste, aus der Verbindungen folgen. Nach der Logik der beiden vorigen Teile müsste hier jede Aufzählbarkeit enden.
Das Gegenteil ist der Fall — für einen Teil. Was eine Softwarekomponente deklariert nach außen anbietet und aufruft, ist vollständiger maschinell ableitbar als in jeder anderen Domäne. Der Compiler kennt jede Signatur, der Linker jede Abhängigkeit, das Schnittstellenschema jedes Feld. Kein Workshop kommt an diese Vollständigkeit heran.
In der Mechanik gilt ein einfacher Satz: Ein Bauteil kann nur dort wirken, wo es Kontakt hat. Daraus folgt eine beweisbar vollständige Funktionsliste.
In der Elektronik gilt dieser Satz so nicht mehr. Ein Bauteil wirkt auch dorthin, wo es keine Grenzfläche zu einem anderen hat — über Streufelder, über Wärmestrahlung, über kapazitive und induktive Kopplung. Und das ist nicht der Randfall. Bei dichten Aufbauten, schnellen Flanken und hohen Strömen ist es der Hauptteil der Probleme, die im Feld auftreten.
Der teuerste Fehler in einer Analyse ist nicht die falsch bewertete Fehlfunktion. Es ist die vergessene Funktion, die niemand aufgeschrieben hat. Sie taucht in keiner Zeile auf, hat keine Bewertung, keine Maßnahme, keinen Verantwortlichen — und genau deshalb findet sie sich später beim Nutzer (Test beim Kunden, Versuchsbericht in der Zeitung).
Die immer wieder gerne genommene Absicherung dagegen ist ein Workshop mit erfahrenen Leuten. Das funktioniert in Bezug auf die Fehler erstaunlich gut und ist trotzdem kein Nachweis: Man weiß nie, ob die Liste vollständig ist, sondern nur, dass niemandem mehr etwas eingefallen ist.
Es gibt einen Satz, der in jedem zweiten Lastenheft steht und in keiner Prüfung auffällt:
Die Baugruppe muss die erforderliche Festigkeit “gewährleisten”.
Grammatisch korrekt, fachlich plausibel und vollständig unbrauchbar. Vier Fragen bleiben offen:
welche Kraft, zwischen welchen Elementen, wie viel Kraft, geprüft womit. Alles Nachgelagerte — technische Auslegung, Test, Zulassung, Fehleranalyse — baut auf diesem Satz auf.
Die übliche Erklärung um das Problem zu lösen lautet: mangelnde Sorgfalt. Man müsse Ingenieure besser schulen, Reviews härter fahren, Checklisten einführen.
Ein Zustandsdiagramm zeigt Kästen und Pfeile. Das verdeckt, was geometrisch tatsächlich passiert: Ein Zustand ist keine Box — er ist eine Gerade.
Die drei Fälle # Ein Zustand ist eine deklarierte Zielgröße z(t), die über ein Zeitfenster konstant bleibt. Ein Übergang ist dieselbe Zielgröße mit einer beauftragten Änderung: z₁ → z₂. Beides ist dieselbe Prüfung — bleibt der Ist-Verlauf x(t) im erlaubten Band um z(t)? (ausführlich in Erlaubter Raum) — der einzige Unterschied ist, ob sich z(t) dabei bewegt.
2019 hat AIAG-VDA die Risikoprioritätszahl (RPZ = S × O × D) durch die Aufgabenpriorität (AP) ersetzt — eine Nachschlagetabelle statt einer Multiplikation. Der Schritt war richtig: eine Multiplikation ordinaler Skalen ist mathematisch unzulässig und versteckt die Schwachstelle unter dem Durchschnitt.
Es gibt keinen “State” # Verlauf, Schlauch und Deckung — wie sich Systemmodellierung systematisch vereinfachen und verbessern lässt. Eine Erweiterung von STPA um den erlaubten Raum # Methodenpapier — Rückmeldung erwünscht!
Stand: August 2026 — Entwurf Autor: Thomas Arends
Vorwort: Ziel und Leserschaft # Dieses Papier verfolgt ein praktisches Ziel: die Modellierung von Systemen systematisch zu vereinfachen und zugleich zu verbessern — weniger Pflegeaufwand, weniger Erfindungsarbeit, mehr nachrechenbare Aussagen. Es gilt für technische Systeme genauso wie für Organisationen und, wo man ehrlich hinschauen mag, für das eigene Leben.
Begriffe und Abkürzungen — Erlaubter Raum (AIA · DIA · PIA · UCA) # Sprachregel: Die Akronyme sind sprachinvariant und werden in allen Sprachfassungen unverändert geführt (wie ISO-Kürzel). Übersetzt wird ausschließlich die Langform. Grund: Querverweise, Feldnamen und Tabellen-IDs bleiben über Sprachfassungen hinweg identisch.
Lebensfähigkeit ist die Fähigkeit eines Systems, seinen Zweck weiter zu erfüllen — auch wenn sich die Welt drumherum ändert. Diese Seite beschreibt die Methode: wofür sie da ist, wie man sie anwendet, und wo sie nicht trägt.
Grundbegriff Lebensfähigkeit hat immer einen Bezug Ein Lebewesen ist lebensfähig, wenn es überlebt. Eine Firma ist lebensfähig, wenn sie ihre Kunden weiter glücklich macht. Eine Behörde ist lebensfähig, wenn sie ihre Bürger weiter versorgt.
In den meisten Häusern werden drei Analysen getrennt gepflegt: die Fehleranalyse in einem Spezialwerkzeug, die Sicherheitsanalyse in einem zweiten, die Toleranzrechnung in einer Tabelle. Drei Bestände, drei Wahrheiten, dreifache Arbeit. Diese Seite zeigt, warum das drei Darstellungen derselben Erklärung sind.
Die Beobachtung Ein Maß mit Toleranz ist schon ein Korridor Auf jeder Zeichnung steht ein Nennmaß und daneben eine Toleranz: 40 Millimeter, plus minus zwei Zehntel. Das ist keine Zahl mit Anhängsel. Das ist ein Korridor — eine Mitte und eine erlaubte Abweichung.
