Der erlaubte Raum

Gefahrenlisten werden nie fertig

Der übliche Weg ist ein Workshop. Fachleute sitzen zusammen und überlegen, was alles schiefgehen könnte. Das Ergebnis ist eine Liste. Die Liste wird so lang, wie die Runde Fantasie und Zeit hat.

Diese Liste hat einen strukturellen Fehler: Man kann nie wissen, ob sie vollständig ist. Sie hört auf, wenn die Ideen aufhören. Was niemandem eingefallen ist, fehlt — und man merkt es erst hinterher.

Die Umkehrung löst das. Statt aufzuzählen, was schiefgehen kann, beschreibt man den Raum, in dem alles in Ordnung ist. Der Rest ergibt sich von selbst.

Verlauf, Schlauch, Deckung

Nichts steht still. Eine Temperatur, ein Kontostand, eine Personalstärke, eine Bremskraft — alles bewegt sich ständig. Diese Bewegung heißt Verlauf.

Um den gewollten Weg herum liegt ein Bereich, in dem alles gut ist. Dieser Bereich heißt Schlauch. Er hat eine Mittellinie — das, was passieren soll — und eine Breite — das, was danebengehen darf, ohne dass etwas kaputtgeht.

Die einzige Frage, die man dann noch stellt, lautet: Liegt der Verlauf im Schlauch? Das heißt Deckung. Mehr Mechanik hat die Methode nicht.

Mittellinie, Breite, Wand — und der Rest

Auf jedes System wirkt etwas ein. Ein Knopfdruck, eine Windböe, eine Nachfrageschwankung, ein Streit. Diese Einwirkungen zerfallen in vier Klassen, und die Klassen sind keine Listen neben dem Modell — sie sind die Form des Schlauchs.

Die Wand ist der Teil, der am häufigsten fehlt — und ohne sie trägt das Ganze nicht. „Alles außerhalb des Schlauchs" ist unbegrenzt, solange nicht gesagt ist, was überhaupt ankommen kann. Zehntausend Volt an einem Fünf-Volt-Eingang sind keine unsichere Einwirkung mehr, sondern gar keine: Jenseits einer physikalischen Grenze ändert sich die Physik selbst, und es gibt nichts mehr zu regeln.

Und das Erstaunliche: Alle drei stehen längst im Datenblatt. Man hat sie nur nie zusammen gelesen.

Warum das Komplement der ganze Punkt ist

Sind Mittellinie, Breite und Wand einmal aufgeschrieben, muss die Gefahrenmenge nicht mehr erfunden werden. Sie ist das, was übrig bleibt — vollständig und nachrechenbar.

Statt zu fragen „was könnte schiefgehen?", zeichnet man den Schlauch. Alles außerhalb ist die Antwort.

Eine Prüfung, dreimal angewandt

Die Frage „liegt es drin?" wird auf drei verschiedene Paare angewandt. Das ist die gesamte Mechanik.

Prüfung 1 — Läuft es?

Laufende Überwachung: Liegt der Ist-Verlauf im Schlauch? Der Frühindikator ist nicht das Verlassen, sondern die schrumpfende Reserve — der Abstand zur Wand. Sie wird kleiner, lange bevor etwas herausfällt.

Prüfung 2 — Kann es das überhaupt?

Hier liegt die Frage, die fast keine Methode stellt. Jedes System kann aus seinen Zeitkonstanten und Grenzen heraus nur bestimmte Verläufe erreichen. Ein Kunstflugzeug rollt in Sekundenbruchteilen; ein Großraumflugzeug braucht für denselben Richtungswechsel Minuten. Dasselbe Ziel, zwei völlig verschiedene erreichbare Räume.

Ein Ziel ist nur dann ein gültiger Auftrag, wenn es innerhalb dessen liegt, was der Beauftragte erreichen kann.

Damit wird die Zielsetzung selbst prüfbar — vor der Ausführung. Und wenn die Prüfung scheitert, gibt es genau drei ehrliche Auswege. Die Aufzählung ist vollständig.

Die organisatorische Lesart schreibt sich von selbst. Ein Restrukturierungsplan, der Wandel schneller verlangt, als die Zeitkonstanten der Organisation hergeben, ist eine unerreichbare Mittellinie. Der Verlauf verlässt den Schlauch dann zwingend. Das Ergebnis heißt dort nicht Regelfehler, sondern Burnout, Qualitätseinbruch oder stille Verweigerung. Dieselbe Mathematik, dasselbe Frühwarnsignal.

Prüfung 3 — Passt es zusammen?

Was ein Teil abgibt — einschließlich seiner Schwankung — muss in dem liegen, was das nächste Teil als erlaubt oder gewollt deklariert hat. Das ist am Schreibtisch prüfbar, aus den Deklarationen, vor dem ersten Betrieb.

Kanäle müssen erklärt sein, nicht nur Werte. Systeme berühren sich nicht nur über die gezeichneten Schnittstellen — Stecker, Welle, Schnittstelle, Berichtsweg — sondern über Wege, die niemand als Schnittstelle geplant hat: Wärme, Vibration, elektromagnetische Störung, Bauraum, Flurfunk, geteilte Aufmerksamkeit. Die Prüfung sieht nur, was erklärt wurde. „Kanal nicht erklärt" muss deshalb als sichtbare Lücke stehen, nie als stilles Einverständnis.

Der ehrliche Anspruch ist damit ein Ausschluss, keine Konstruktion: Unverträglich bauen wird unmöglich, verträglich bauen wird vollständig sichtbar. Die Entwurfsentscheidung bleibt beim Menschen.

Nichts davon ist neu — und genau das ist die Stärke

Wer robuste Regelungstechnik kennt, erkennt die Figur sofort, und zwar nicht als Analogie, sondern als fertige, publizierte Mathematik samt Beweisen.

Der Schlauch ist dort ein etabliertes Objekt: Die tube-based model predictive control legt um eine Solltrajektorie einen Schlauch, in dem der reale Verlauf trotz Störungen garantiert bleibt. Die Breite ist formal eine robust positiv invariante Menge. Die Menge der erreichbaren Verläufe aus Prüfung 2 ist die Erreichbarkeitsmenge — ebenfalls Standard mit ausgereiften Rechenverfahren.

Der Beitrag dieser Methode liegt nicht in neuer Mathematik. Er liegt darin, dieselbe Deklaration über Fachgrenzen hinweg zu benutzen: für ein Bauteil, für einen Prozess, für eine Abteilung, für einen Plan. Die Rechenverfahren gibt es. Was fehlte, war eine gemeinsame Form, sie hinzuschreiben.

Wo die Methode nicht trägt

Sie ist nur so vollständig wie das, was erklärt wurde. Der schärfste blinde Fleck ist die fehlende äußere Wand: Ist nicht gesagt, was überhaupt ankommen kann, ist die Restmenge unbegrenzt und der Anspruch auf Vollständigkeit leer. Deshalb sind „Wand nicht erklärt" und „Kanal nicht erklärt" zwei getrennte Kennzeichen — das erste macht die Restmenge unberechenbar, das zweite macht sie falsch. Beide tragen ein sichtbares Zeichen. Keines wird stillschweigend als Vollständigkeit gelesen.

Paarweise Verträglichkeit ist keine Sicherheit des Ganzen. Dass jede Schnittstelle für sich passt, garantiert nicht, dass das Gesamtsystem sicher ist. Jede Ebene braucht ihren eigenen Schlauch — die Prüfung ist rekursiv, nicht nur am Rand.

Sie ersetzt keine Systemsicht. Die Frage, welche Verluste überhaupt inakzeptabel sind und welche Regelungsstruktur ein System hat, beantwortet die Methode nicht. Sie setzt sie voraus.

Und sie ist nicht bewiesen. Es gibt keine kontrollierte Studie zu dieser Methode. Was es gibt, ist eine Konstruktion, die scheitern kann: Eine Menge liegt in einer anderen oder nicht. Eine Reserve ist eine Zahl. Ein Kanal ist erklärt oder trägt ein Kennzeichen. Das ist kein Beweis — es ist die Bedingung dafür, dass je einer möglich wird.