In der Mechanik gilt ein einfacher Satz: Ein Bauteil kann nur dort wirken, wo es Kontakt hat. Daraus folgt eine beweisbar vollständige Funktionsliste.
In der Elektronik gilt dieser Satz so nicht mehr. Ein Bauteil wirkt auch dorthin, wo es keine Grenzfläche zu einem anderen hat — über Streufelder, über Wärmestrahlung, über kapazitive und induktive Kopplung. Und das ist nicht der Randfall. Bei dichten Aufbauten, schnellen Flanken und hohen Strömen ist es der Hauptteil der Probleme, die im Feld auftreten.
Die naheliegende Reaktion wäre, die Methode für Hardware aufzugeben oder weichzuspülen. Ich halte das Gegenteil für richtig: Die Methode wird hier wertvoller, weil sie sagt, welcher Teil beweisbar ist und welcher nicht. Ein Werkzeug, das für beide Teile dieselbe grüne Ampel zeigt, verschleiert genau die Stelle, an der die teuren Fehler sitzen.
Das grundlegende Problem#
Das dahinterliegende Problem ist die unvollständige Deklaration — von Emissionen, von Empfindlichkeiten und von der Geometrie, in der beide zueinander stehen.
Ein Bauteil x in Entfernung y hat einen anderen Einfluss, als dasselbe Bauteil in Entfernung z hätte. Bei Feldern geht es dabei um Größen, die sich über den Abstand stark ändern und die sich überlagern können — gegenphasig ausgelöscht oder gleichphasig aufgeschaukelt. Kleine Unterschiede in der Anordnung entscheiden über das Ergebnis.
Das lässt sich theoretisch simulieren, und in Teilen wird es das auch. Der Grund, warum es trotzdem regelmäßig schiefgeht, ist zunächst kein physikalischer, sondern ein Datenproblem. Für eine geschlossene Betrachtung bräuchte man drei Angaben je Element:
| Angabe | Vorhanden? |
|---|---|
| Emission — was strahlt dieses Element ab, in welchem Band, mit welchem Pegel | selten, meist nur für zertifizierte Baugruppen |
| Empfindlichkeit — ab welchem Pegel in welchem Band reagiert es | noch seltener, meist nur qualitativ |
| Anordnung — Abstand, Orientierung, dazwischenliegendes Material | vorhanden, aber selten mit der Emissionsangabe verknüpft |
Die dritte Zeile ist da. Die ersten beiden fehlen in der Regel — nicht weil sie unbestimmbar wären, sondern weil sie niemand systematisch deklariert. Genau das ist die Parallele zur Mechanik: Dort war die Geometrie längst im Modell, sie wurde nur nicht als Funktionsquelle gelesen.
Zwei Kopplungsarten, zwei völlig verschiedene Beweislagen#
Der linke Teil verhält sich wie die Mechanik, nur mit einer anderen Quelle: Was in der Mechanik die Kontaktanalyse leistet, leistet hier die Netzliste. Ein Netz verbindet benannte Anschlüsse, und was nicht im Schaltplan steht, ist nicht verdrahtet.
Der rechte Teil hat kein Gegenstück in der Mechanik. Er ist im Prinzip vollbesetzt — jedes Element kann auf jedes einwirken.
Nicht die Liste fehlt, sondern das Sieb#
Hier lohnt eine Präzisierung, weil sie den Kern der Sache trifft.
Die Kandidatenliste der Feldkopplungen ist nicht unendlich. Bei n Elementen gibt es n·(n−1) gerichtete Paare. Bei 200 Bauteilen sind das rund 40.000 — eine große, aber endliche und maschinell erzeugbare Menge.
Der Unterschied zur Mechanik liegt nicht in der Aufzählbarkeit, sondern im Sieb:
| Mechanik | Feldkopplung | |
|---|---|---|
| Siebkriterium | Kontakt ja oder nein | Pegel über oder unter Schwelle |
| Art des Kriteriums | binär | stetig, abhängig von Abstand, Band, Material |
| Datenquelle | Geometrie, liegt vor | Emission und Empfindlichkeit, liegen meist nicht vor |
| Ergebnis | wenige Zeilen, sicher | viele Zeilen, unbewertet |
In der Mechanik streicht die Geometrie fast alle Paare weg, bevor man hinsieht. Ein Niet berührt vier Stellen, nicht zweihundert. Im Feldfall streicht nichts — die Wirkung wird mit dem Abstand kleiner, aber sie wird nie null.
Deshalb ist die ehrliche Aussage nicht „nicht aufzählbar", sondern „nicht bewertbar ohne Zusatzdaten". Und das ist eine andere Art von Problem: Es ist prinzipiell lösbar, wenn die Deklarationen aus dem vorigen Abschnitt existieren. Sie existieren nur meistens nicht.
Wo es dann doch prinzipiell endet#
Auch mit vollständigen Deklarationen bleibt ein harter Rest — und er sitzt nicht bei den Paaren, sondern bei den Kombinationen.
Zwei Störquellen, die einzeln unter der Schwelle liegen, können gemeinsam darüber liegen. Bei linearer Überlagerung ist das noch handhabbar: Man summiert die Beiträge je Senke, statt Kombinationen durchzuprobieren. Aus dem Kombinationsproblem wird wieder eine Summe.
Diese Vereinfachung bricht an drei Stellen:
Phasenlage. Ob sich zwei Beiträge addieren oder auslöschen, hängt von Laufzeit und Geometrie ab. Die Summe der Beträge ist dann eine obere Schranke, aber keine Vorhersage.
Nichtlineare Effekte. Sättigung, Intermodulation, Gleichrichtung an Halbleiterübergängen. Hier entstehen Frequenzanteile, die in keiner der Quellen enthalten waren. Summieren hilft nicht mehr.
Rückkopplung. Wenn eine gestörte Senke selbst zur Quelle wird — ein gestörter Takt, der die Störung weiterträgt —, kann sich ein Beitrag aufschaukeln. Das ist kein Additionsproblem mehr, sondern ein Stabilitätsproblem.
An diesen drei Stellen ist die Aufzählung tatsächlich am Ende, unabhängig davon, wie gut die Datenlage ist.
Was das für die Simulation heißt#
Feldsimulation ist der etablierte Weg, das Sieb herzustellen — und für Leiterplattenentwurf, Signalintegrität und Gehäuseschirmung ist sie Industriestandard. Sie liefert genau das, was der Deklaration fehlt: Pegel über Abstand, Frequenz und Material.
Zwei Einschränkungen gehören dazu, sonst wird die Erwartung falsch gesetzt:
Die Modellgüte begrenzt die Aussage. Eine Simulation rechnet mit den Materialkennwerten, Toleranzen und Randbedingungen, die man ihr gibt. Bei Feldproblemen entscheiden oft genau die Details, die im Modell vereinfacht wurden — Massedurchkontaktierungen, Steckerübergänge, Kabelführung im Einbauzustand.
Der Rechenaufwand skaliert schlecht. Vollwellenrechnungen über ein komplettes Gerät im relevanten Frequenzbereich sind aufwendig genug, dass sie selektiv eingesetzt werden — für kritische Pfade, nicht für alle 40.000 Paare.
Die Simulation verkleinert also den nicht bewertbaren Anteil erheblich. Sie beseitigt ihn nicht, und wo sie eingesetzt wird, gehört ihr Ergebnis als Nachweis in die Merkmalsspalte — mit Angabe des Modellstands, so wie ein Testergebnis mit Angabe des Prüflings.
Ein Unterschied, der die Struktur verändert#
Ein Wirkflächenpaar hat immer genau zwei Seiten. Ein Netz nicht: Es kann drei, zehn oder fünfzig Anschlüsse haben.
Das klingt nach einem Detail, hat aber Folgen für die Funktionsformulierung. In der Mechanik ergab die Paarung zweier Kontaktstellen genau eine Funktion. Bei einem Netz mit fünf Teilnehmern gibt es nicht eine Funktion, sondern mehrere gerichtete Beziehungen, die getrennt zu benennen sind:
In Normalbetrieb speist der Regler elektrische Energie in Netz N17 ein. Merkmal: Ausgangsspannung 3,3 V ± 2 %, Dauerstrom ≥ 2 A
In Normalbetrieb bezieht der Sensorzweig elektrische Energie aus Netz N17. Merkmal: Stromaufnahme ≤ 40 mA, zulässige Restwelligkeit ≤ 50 mV
Die Regel dazu ist unspektakulär, aber sie muss stehen: Ein Netz ist keine Funktion, sondern ein gemeinsamer Knoten. Die Funktionen sind die einzelnen Einspeisungen und Entnahmen. Wer das Netz selbst als Funktion führt, bekommt Fehlermodi wie „Netz N17 fehlerhaft", unter denen wieder alles hängt — genau der Zustand, den die ganze Übung vermeiden soll.
Was am Feldteil trotzdem systematisch geht#
Nicht bewertbar heißt nicht beliebig. Drei Dinge sind auch dort möglich.
Quellen und Senken klassifizieren. Welche Elemente sind Störquellen — schaltende Endstufen, Taktleitungen, Schaltregler? Welche sind empfindliche Senken — hochohmige Messpfade, Referenzen, Analogeingänge? Das Produkt beider Mengen ist die Kandidatenliste. Sie ist nicht bewertet, aber sie ist um Größenordnungen kleiner als alle gegen alle. Aus 40.000 Paaren werden ein paar Dutzend.
Das ist übrigens genau die Deklaration aus dem ersten Abschnitt, nur in grober Auflösung: statt eines Pegelspektrums eine Ja-Nein-Einstufung. Grob genug, um von Hand zu machen; scharf genug, um die Liste beherrschbar zu machen.
Die Verkleinerung als Anforderung führen. Schirmung, Trennungsabstand, Massekonzept, Filterung, Layoutregeln sind keine Konstruktionsdetails, sondern Maßnahmen mit Merkmal und Nachweis:
In Normalbetrieb dämmt das Schirmblech die Einstrahlung am Messpfad. Merkmal: Schirmdämpfung ≥ 40 dB im Band 30–1000 MHz. Nachweis: Test
Den Rest messen. Wie in der Mechanik gilt: Sperren ist eine Wirkung, und gemessen wird immer der Rest. Kriechstrom, Übersprechdämpfung, Isolationswiderstand, Gleichtaktunterdrückung, Wärmestrom. Ein Merkmal „keine Einkopplung" ist ebenso falsch wie „Leckrate = 0".
Zustände: Kopplungen entstehen und vergehen#
In der Mechanik hat der Kupplungsbelag im getrennten Zustand kein Wirkflächenpaar. In der Elektronik ist es dasselbe, nur schneller:
| Kopplung | Aus | Anlauf | Normalbetrieb | Standby | Fehlerfall |
|---|---|---|---|---|---|
| Regler → Netz N17 | — | Einschaltstrom | speist | speist reduziert | abgeschaltet |
| Leistungspfad → Messpfad | — | hohe Störung | Störung | gering | Störung |
| Schutzschalter ↔ Last | verbunden | verbunden | verbunden | verbunden | muss trennen |
Zwei Beobachtungen aus dieser Tabelle, die beide typische Feldfehler betreffen:
Der Anlauf ist der härteste Zustand. Einschaltströme und schnelle Flanken erzeugen Störpegel, die im eingeschwungenen Betrieb nie auftreten. Wer nur den Normalbetrieb spezifiziert, hat für den Zustand, in dem die meisten Ausfälle entstehen, keine Anforderung.
Trennen ist eine Funktion mit Zahl. „Schutzschalter muss trennen" ist keine Anforderung, solange kein Restwert dabeisteht — Ausschaltzeit, Restspannung, Isolationsstrecke.
Die Domänengrenze ist der interessanteste Ort#
Ein Element kann mehreren Domänen angehören. Ein Temperatursensor hat eine mechanische Seite — Einbau, Medienkontakt, Wärmeankopplung — und eine elektrische. Ein Leistungsschalter hat beides plus eine Ansteuerung aus der Software.
An genau diesen Stellen entstehen die meisten Fehler, und zwar aus einem banalen Grund: Beide Seiten nehmen an, die andere kümmere sich.
Wenn Kopplungsstellen typisiert sind, wird daraus eine Abfrage statt einer gepflegten Liste: Alle Kopplungsstellen, deren beide Enden in verschiedenen Domänen liegen, sind die Domänenschnittstelle. Für Hardware und Software ist das genau das, was die funktionale Sicherheit als HSI verlangt — nur dass es nicht separat gepflegt wird, sondern abfällt.
Und es löst nebenbei das Problem aus der Mechanik zurück: Das Bimetall wandelt Temperatur in Auslenkung, das ist die mechanische Funktion. Erst der elektrische Kontakt macht daraus ein Signal. Zwei Funktionen, zwei Domänen, eine Kopplungsstelle dazwischen — statt eines unbrauchbaren „erfasst Temperatur".
Wo die Vollständigkeit endet#
Vier Grenzen, ohne die die Argumentation nicht trägt.
Feldkopplung ist aufzählbar, aber nicht bewertbar. Das ist der Kern dieses Artikels — und die Präzisierung gegenüber der landläufigen Aussage, so etwas sei „nicht systematisierbar". Die Kandidatenliste lässt sich erzeugen; was fehlt, sind Emissions- und Empfindlichkeitsdaten, um sie zu sieben. Im Lückenbericht muss deshalb stehen „Kandidaten erfasst, Bewertung offen" — nicht „geprüft" und auch nicht „nicht machbar".
Kombinationseffekte bleiben auch mit vollständigen Daten offen. Phasenlage, Nichtlinearität und Rückkopplung entziehen sich der Summierung. Hier hilft nur Messung am realen Aufbau, und zwar im Einbauzustand.
Bauteildrift und Alterung ändern die Kennwerte, nicht die Struktur. Elektrolytkondensatoren trocknen aus, Kontakte oxidieren, Halbleiter driften über Temperatur. Die Kopplungsstelle bleibt, das Merkmal wandert. Das gehört in die Merkmalsspalte mit Lebensdauerangabe, nicht in eine neue Funktion.
Versagen ändert die Topologie. Ein Kurzschluss erzeugt eine Verbindung, die im Schaltplan nicht steht; eine Unterbrechung entfernt eine, die dortsteht. Die Aufzählbarkeit gilt für die intakte Schaltung.
Der Punkt#
Der nachweisbare Anteil schrumpft von der Mechanik zur Hardware. Das ist keine Schwäche der Methode, sondern ihre Aussage.
Und der Grund dafür ist konkreter, als er zunächst wirkt: Es fehlt nicht die Physik und nicht die Rechenleistung, sondern die Deklaration. Emission und Empfindlichkeit sind bestimmbar. Sie werden nur nicht systematisch erfasst und schon gar nicht mit der Anordnung verknüpft. Wo sie erfasst werden — bei zertifizierten Baugruppen, bei simulierten kritischen Pfaden —, funktioniert die Siebung sofort.
Ein Werkzeug, das für den Netzlistenteil und den Feldteil dieselbe grüne Ampel zeigt, ist gefährlicher als eines, das gar nichts prüft — weil es Sicherheit dort suggeriert, wo sie nicht herstellbar ist. Der Lückenbericht muss beide Anteile getrennt ausweisen, und die Zeile „Bewertung offen" muss stehenbleiben dürfen, ohne dass jemand sie wegklickt.
In der Software wird der nicht nachweisbare Anteil noch einmal anders aussehen. Davon handelt der letzte Teil.
Wo ich stehe#
Was hier beschrieben ist, baue ich als Werkzeug — unter dem Namen OTSM. Die Typisierung der Kopplungsstellen, die Domänengrenze als Abfrage, der getrennte Ausweis von nachgewiesen und offen: das läuft.
Fertig ist es (noch) nicht. Es wird wahrscheinlich auch in zwanzig Jahren noch nicht fertig sein, und ich halte das für den Normalzustand, nicht für ein Eingeständnis. Ein Werkzeug, das Methodik trägt, ist so lange unfertig, wie die Methodik weiterdenkt. Was ich sagen kann: Es geht.
Die Reihe zu dieser Methode:
| Teil | Inhalt |
|---|---|
| Anforderungen als Datensatz | Kunde und System, domänenneutral |
| Mechanik | Kontaktstellen als Vollständigkeitsanker |
| Hardware | dieser Artikel |
| Software | Schnittstellen und geteilter Zustand |
Wenn Sie das prüfen wollen#
Ich spiele mit offenen Karten, deshalb der Ablauf ohne Umweg:
Sagen Sie mir Ihre Branche. Nicht Ihr Problem — noch nicht. Die Branche entscheidet, welche Regelwerke gelten, welche Nachweise verlangt werden und wo die Zerlegung üblicherweise dominiert. Das kann ich vorbereiten.
Im Gespräch sagen Sie mir Ihr Problem. Dann passiert eines von zwei Dingen:
Entweder ich zeige Ihnen die Lösung. Das dauert in der Regel keine fünfzehn Minuten, und Sie sehen sie an Ihrem eigenen Fall. Danach wissen Sie, ob Sie mehr davon wollen.
Oder ich kann es nicht. Dann sage ich Ihnen das — in denselben fünfzehn Minuten, mit der Begründung, woran es liegt. Das ist kein schlechteres Ergebnis; es ist nur ein schnelleres.
Was ich nicht mache: Ihnen zusagen, dass die Methode Ihren Fall trägt, bevor ich ihn gesehen habe. Eine Methode, die angeblich alles kann, hat keine Grenzen benannt — und was keine Grenzen hat, ist nicht prüfbar. Die Grenzen dieser hier stehen oben unter „Wo die Vollständigkeit endet". Wenn Sie einen Fall haben, an dem sie zerbricht, will ich ihn hören. Das ist keine Höflichkeit, das ist der einzige Weg, wie so etwas besser wird.