Es gibt keinen “State”

#

Verlauf, Schlauch und Deckung — wie sich Systemmodellierung systematisch vereinfachen und verbessern lässt. Eine Erweiterung von STPA um den erlaubten Raum

#

Methodenpapier — Entwurf zur Durchsicht durch Fachkollegen.

Stand: Juli 2026 — Entwurf Autor: Thomas Arends

Vorwort: Ziel und Leserschaft

#

Dieses Papier verfolgt ein praktisches Ziel: die Modellierung von Systemen systematisch zu vereinfachen und zugleich zu verbessern — weniger Pflegeaufwand, weniger Erfindungsarbeit, mehr nachrechenbare Aussagen. Es gilt für technische Systeme genauso wie für Organisationen und, wo man ehrlich hinschauen mag, für das eigene Leben.

Es ist bewusst so geschrieben, dass man kein Ingenieur sein muss, um dem Gedanken zu folgen. Alles Wesentliche steht in normaler Sprache; wo es mathematisch wird, steht es in einer eigenen Vertiefungs-Box, die man überspringen darf, ohne den Faden zu verlieren.

Inhaltsverzeichnis

#

1. Erst zwei kurze Geschichten
2. Worum es geht (in einem Satz)
3. Was Nancy Leveson geleistet hat — und wo wir anknüpfen
4. Die Lücke: der erlaubte Raum bleibt unsichtbar
5. Der Kern: Verlauf, Schlauch, Deckung
6. Die drei Einwirkungsklassen: erlaubt, gewollt — und alles andere
7. Zwei Gestalten derselben Verletzung: Handlung und Wert
8. Eine Operation, drei Prüfungen — und die dritte ist der Paukenschlag
9. Warum das nichts Neues ist — und warum genau das die Stärke ist
10. Über alle Domänen: Mechanik, Elektronik, Software, Sicherheit, Organisation, Leben
11. Die FMEA war schon immer eine Schlauch-Prüfung
12. Schnittstellen: wo Systeme sich berühren, entscheidet sich alles
13. Das Zustandsdiagramm löst sich nicht auf — es wird eine Sicht
14. Was diese Erweiterung nicht kann
15. Begriffe — Deutsch und Englisch
16. Wo die Ideen herkommen
17. Einladung zur Kritik

1. Erst zwei kurze Geschichten

#

„Ich bin verheiratet"

#

Ein Mann kreuzt im Formular an: verheiratet. Ein Häkchen, erledigt. Zehn Jahre später sitzt er beim Anwalt und versteht nicht, was passiert ist — „wir waren doch verheiratet". Ja, als Häkchen. Was er nie gemessen hat: dass Verheiratet-Sein keine Eigenschaft ist, die man einmal erwirbt, sondern eine Tätigkeit, die man täglich verrichtet. Die Abstände wurden größer, die Gespräche kürzer — jahrelang, in Schritten, von denen jeder einzelne unauffällig war. Die Summe nicht.

„Ich habe gebremst, und es hat gebremst"

#

Gestern musste ich scharf bremsen. Der Wagen stand nach wenigen Metern — Bremse in Ordnung, Haken dran. Was der gelungene Stopp nicht zeigt: Einer der beiden Bremskreise kann dabei längst halb ausgefallen sein — der zweite hat es aufgefangen. Das Ergebnis war richtig, noch. Der nächste Stopp entscheidet sich nicht an diesem Erfolgserlebnis, sondern an einem Verschleiß, den niemand gerade misst.

Beide Geschichten erzählen denselben Fehler — er bekommt in diesem Papier später sogar seinen präzisen technischen Namen: Etwas wurde als Ergebnis abgehakt, das in Wahrheit ein laufender Verlauf ist. Der Haken sah gut aus. Der Verlauf war womöglich längst am Kippen.

2. Worum es geht (in einem Satz)

#

Dieses Papier reduziert die Modellierung von Systemen auf zwei Grundbausteine und eine Operation: den Verlauf (was das System tatsächlich tut), den Schlauch (der erlaubte Raum: gewollter Weg plus erlaubte Abweichung, beides über der Zeit) und die Deckung (liegt der Verlauf im Schlauch?) — und zeigt, dass daraus drei bisher getrennte Aufgaben als ein und dieselbe Prüfung herausfallen: die Überwachung des Betriebs, die Prüfung von Zielen auf Machbarkeit und die Sicherheitsanalyse nach Nancy Levesons STPA, deren Unsafe Control Actions zur nachrechenbaren Restmenge werden.

Anders gesagt: STPA zählt auf, was schiefgehen kann. Dieses Papier macht den Raum explizit, in dem alles richtig ist. Dann fällt das, was schiefgehen kann, als Rest von selbst heraus — man muss es nicht mehr erraten. Und, das ist neu gegenüber allem, was der Autor kennt: Auch die Zielsetzung selbst wird prüfbar. Ein Ziel, das schneller erreicht werden soll, als das System es kann, wird als Fehler erkannt, bevor jemand es versucht.

3. Was Nancy Leveson geleistet hat — und wo wir anknüpfen

#

Dieses Papier ist keine Kritik an STPA. Es ist eine Fortsetzung.

Nancy Leveson hat mit STAMP/STPA (2012) etwas Grundlegendes richtig gestellt: Unfälle sind kein Bauteil-Versagen plus Pech. Unfälle entstehen, wenn Steuerung versagt — wenn ein Regler, ein Bediener, ein Management-Prozess eine Steuerungshandlung ausführt (oder unterlässt), die das System in einen gefährlichen Zustand bringt. Sie hat dafür vier Grundmuster benannt, die Unsafe Control Actions (UCA):

1. Eine nötige Steuerungshandlung wird nicht ausgeführt.
2. Eine Steuerungshandlung wird ausgeführt und führt in die Gefahr.
3. Eine Steuerungshandlung kommt zu früh, zu spät oder in falscher Reihenfolge.
4. Eine Steuerungshandlung wird zu kurz oder zu lang ausgeführt.

Das war ein echter Fortschritt gegenüber der reinen Bauteil-Denke (FMEA, FTA): Es holt Bediener, Software und Organisation gleichrangig in die Analyse. Wer heute Sicherheitsanalysen für komplexe Systeme macht, kommt an STPA nicht vorbei — zu Recht.

Aber STPA hat eine Asymmetrie, und die ist bisher kaum benannt worden.

4. Die Lücke: der erlaubte Raum bleibt unsichtbar

#

STPA beschreibt präzise, was unsicher ist. Was sicher ist, bleibt implizit — es ist „alles andere". Das klingt harmlos, hat aber drei praktische Folgen:

Erstens: UCAs müssen erfunden werden. In der STPA-Praxis sitzt ein Team im Workshop und brainstormt: „Was könnte der Bediener falsch machen? Was, wenn das Signal zu spät kommt?" Die Qualität der Analyse hängt an der Vorstellungskraft der Anwesenden. Was niemandem einfällt, steht nicht in der Tabelle. Das ist keine Schwäche der Leute — es ist eine Schwäche des Verfahrens: Eine Restmenge kann man nicht aufzählen, wenn die Grundmenge nie hingeschrieben wurde.

Zweitens: Es gibt kein Prüfkriterium für Vollständigkeit. Wann ist eine UCA-Tabelle fertig? Heute: wenn dem Team nichts mehr einfällt. Das ist kein Kriterium, das ein Auditor nachrechnen kann.

Drittens: Das Wort „Zustand" bleibt ungeklärt. Fast die gesamte Modellierungswelt — vom Zustandsdiagramm bis zum Organigramm, und der Alltag sowieso — behandelt Zustände als Dinge, die man hat, oder die man ist. Das System ist im Zustand „Bremsen aktiv". Die Firma ist profitabel. Der Mann ist verheiratet. Haben und Sein sind bequeme Wörter — und genau diese Denkweise hat in beiden Eingangs-Geschichten versagt. Sie versagt überall dort, wo eine scheinbar feststehende Eigenschaft einen laufenden, kippenden Verlauf überdeckt.

Um die Lücke zu schließen, fassen wir zuerst neu, was da eigentlich beobachtet wird. Danach fällt der Rest von allein an seinen Platz.

5. Der Kern: Verlauf, Schlauch, Deckung

#

5.1 Es gibt nur den Verlauf — keinen Status

#

Miss irgendeine Größe zweimal hintereinander — Drehzahl, Kontostand, Temperatur, Stimmung. Die beiden Werte sind nie exakt gleich. Zwischen zwei Messungen liegt immer Veränderung, und sei sie noch so klein. Das ist keine Messungenauigkeit, das ist die Natur der Sache:

Das Einzige, was ein System hat, ist sein Verlauf — eine Bahn seiner Größen durch die Zeit. Und diese Bahn bewegt sich immer. Es gibt keinen Stillstand. Niemals. Einen „Status" gibt es nicht — es gibt nur die Frage, wie sich der Verlauf gerade bewegt.

Der Verlauf muss dabei keine einzelne Größe sein. Meist sind es viele auf einmal — Drehzahl, Temperatur und Öldruck zusammen; Umsatz, Liquidität und Liefertreue zusammen. Alle beteiligten Größen bilden gemeinsam einen Punkt, der durch die Zeit wandert (wer es formal mag: einen Vektor — egal, wie viele Variablen einspielen). Alles Folgende gilt für diesen gemeinsamen Punkt genauso wie für eine einzelne Größe.

Wenn sich aber alles immer bewegt — was ist dann ein „Zustand"? Die überraschende Antwort: Der Zustand beschreibt gar nicht das System. Er beschreibt die Vorgabe, die wir danebengelegt haben.

5.2 Der Schlauch: der erlaubte Raum hat eine Form

#

Neben den Verlauf legen wir eine Vorgabe — und zwar nicht einen Zielwert mit Toleranz (das wäre wieder ein Haken im Formular), sondern einen Schlauch über der Zeit: einen Korridor, in dem der Verlauf liegen soll. Der Schlauch hat genau zwei Bestimmungsstücke:

• eine Mittellinie — der gewollte Weg. Sie ist derselbe Punkt wie der Verlauf, nur als Soll: alle Zielgrößen zusammen, über die Zeit. Sie kann flach verlaufen („bleib bei 21 Grad") oder geformt sein („geh in den nächsten fünf Minuten von 21 auf 23 Grad").
• eine Breite — die erlaubte Abweichung um die Mittellinie. Auch sie darf sich über die Zeit ändern: im Reiseflug ist der Korridor weit, im Landeanflug wird er eng.

Der Thermostat hält 21 Grad nicht, weil die Temperatur stillsteht — sie schwankt die ganze Zeit. Er hält sie, weil der Verlauf im Schlauch bleibt: die Schwankung ist eingeplant, dafür ist die Breite da.

5.3 Die Deckung: die einzige Operation

#

Deckung: Liegt der Verlauf — über ein Betrachtungsfenster hinweg — vollständig innerhalb des Schlauchs?

Das ist die eine Prüfung dieses Papiers. Alles Weitere sind Anwendungen genau dieser Prüfung.

Und jetzt fallen die alten Wörter an ihren Platz — als Etiketten für Schlauchformen, nicht als Dinge, die ein System „hat" oder „ist":

Ein System ist also nie „in einem Zustand". Es hat einen Verlauf — und wir haben einen flachen oder geformten Schlauch danebengelegt. „Zustand" und „Übergang" sind Sprachbequemlichkeiten für die Form der Vorgabe. Beides ist gewollte, laufende Veränderung; der einzige Unterschied ist der Auftrag: bleiben oder ankommen.

Die dritte Möglichkeit ergibt sich zwangsläufig:

Drift ist Bewegung des Verlaufs relativ zum Schlauch ohne Auftrag — er nähert sich der Wand oder verlässt den Schlauch, ohne dass jemand eine Veränderung der Mittellinie bestellt hätte.

Die Bremsung aus Geschichte 2: Auf Fahrzeug-Ebene lag der Verlauf im Schlauch („hat gebremst"). Eine Ebene tiefer kann ein Verlauf (Bremskreis 1) längst auf seine Schlauchwand zulaufen — ungemessen. Die Ehe aus Geschichte 1: dieselbe Struktur. Der Schlauch wurde nie hingelegt — kein erklärter Korridor, also konnte auch nichts ausschlagen.

5.4 Warum Momentaufnahmen täuschen: der Fehler heißt Aliasing

#

Eine Momentaufnahme kann eine Deckung prinzipiell nicht bestätigen — sie sieht einen Punkt, nicht die Bahn. Und auch zwei Momentaufnahmen reichen nicht: sie ergeben eine Durchschnittsrate, die jeden Ausflug aus dem Schlauch zwischen den beiden Punkten verschluckt. Die Mindesteinheit jeder Aussage ist ein Fenster — und zwar eines, dessen Abtastung schneller ist als die schnellste relevante Veränderung.

Das ist keine neue Weisheit, das ist das Abtasttheorem der Signaltheorie (Nyquist/Shannon): Wer langsamer misst, als sich das Signal ändert, sieht nicht „nichts" — er sieht etwas Falsches. Die Veränderung wird unter die Abtastrate gefaltet und erscheint als Ruhe. Dieser Effekt heißt Aliasing, und damit hat der Fehler aus beiden Eingangs-Geschichten seinen präzisen Namen:

Der Abhaken-Fehler ist Aliasing. Die Ehe, die einmal — beim Ausfüllen des Formulars — gemessen wird, ist ein unterabgetastetes Signal. Die Bremse, die am gelungenen Stopp gemessen wird, ebenso. Die Veränderung ist da; sie erscheint nur als Konstanz, weil niemand schnell genug hinschaut.

Aliasing hat übrigens auch eine Gestalt als Bauteilfehler: der eingefrorene Messwert. Ein Sensor, dessen Signal konstant bleibt, während die Realität sich bewegt, erzeugt die perfekte Zustands-Illusion — kein Drift-Signal schlägt aus, weil der Messkanal stillsteht, nicht das System. Deshalb gehört „Wert eingefroren" in jeden Fehlerkatalog eines Eingangssignals (Abschnitt 7).

6. Die drei Einwirkungsklassen: erlaubt, gewollt — und alles andere

#

Auf ein System wirkt ständig etwas ein: Störungen, Befehle, Umwelteinflüsse, Bedienhandlungen. Jede dieser Einwirkungen gehört zu genau einer von drei Klassen — erst die Definitionen, dann ihre Namen, dann ihre Gestalt:

Erlaubte Einwirkungen sind alles, was stören darf, ohne dass der Verlauf den Schlauch verlässt: Signalrauschen, das die Entprellung abfängt; die Windböe, die die Spurhaltung ausregelt; die normale Nachfrageschwankung, die die Liquiditätsreserve trägt; der Streit, den eine Ehe aushält. Sie heißen hier AIA — Allowed Interference Actions.

Gewollte Einwirkungen sind alles, was das Ziel verändern darf: der Bediener drückt den Knopf, der Regler bekommt einen neuen Sollwert, das Management beschließt den Kurswechsel, das Paar beschließt zusammenzuziehen. Sie heißen hier DIA — Desired Interference Actions.

Alles andere ist weder eingeplant noch beauftragt: eine Störung jenseits des Erlaubten, ein Zielwechsel, den niemand bestellt hat, eine beauftragte Handlung zur falschen Zeit oder mit falscher Dauer. Dafür bleibt Levesons Name stehen: UCA — hier gelesen als Unsafe/Unwanted Control Actions.

Und nun die Gestalt — die drei Klassen sind keine Listen neben dem Modell, sie sind die Form des Schlauchs:

• Die DIA-Menge ist die Mittellinie. Was eine Komponente an Zielwechseln anbietet — welche, in welchem Parameterraum, und (das wird in Abschnitt 8 entscheidend) in welcher Zeit — ist die Menge der Mittellinien-Formen, die sie fahren kann.
• Die AIA-Menge ist die Breite. Wie viel Störung eine Komponente schluckt, ohne herauszufallen, ist als Querschnitt in den Schlauch eingebaut. Und weil die Breite eine Funktion der Zeit ist, sind großzügiges Halten und enges Wechseln dieselbe Geometrie.
• Die UCA-Menge ist alles außerhalb des Schlauchs. Kein drittes Objekt — das Komplement.

Levesons vier Muster liegen vollständig im Außenraum:

Wichtig, und leicht zu übersehen: Die Muster 3 und 4 gelten nicht nur für Zielwechsel. Auch das Halten ist Dauerregelung — jede einzelne Korrektur, die den Verlauf in der Spur hält, kann zu spät kommen (der Verlauf ist der Wand schon nah), zu früh (Reaktion auf ein zu kleines Signal — Überreaktion), zu kurz (die Abweichung bleibt) oder zu lang (Überschwingen an die gegenüberliegende Wand). Die vier Muster hängen an der einzelnen Steuerhandlung, nicht an der Frage, ob gerade gehalten oder gewechselt wird.

Der methodische Gewinn: Wenn Mittellinie und Breite explizit deklariert sind, muss die UCA-Menge nicht mehr erfunden werden — sie ist der Raum außerhalb des Schlauchs, vollständig und nachrechenbar. Statt im Workshop zu brainstormen „was könnte schiefgehen?", zeichnet man den Schlauch — und alles außerhalb ist die Antwort.

7. Zwei Gestalten derselben Verletzung: Handlung und Wert

#

Eine Deckungsverletzung lässt sich auf zwei Arten beschreiben, und beide werden gebraucht — aber sie dürfen nie vermischt werden:

Die Handlungssicht beschreibt, welche Steuerhandlung falsch lief. Sie hängt an den Halte- und Wechsel-Funktionen und kennt genau sieben Fehlerzeilen: Handlung unzulässig ausgeführt, Handlung unterlassen, zu früh, zu spät, in falscher Reihenfolge, zu kurz, zu lang — jeweils im Kontext Halten (S) oder Wechseln (T). Das ist der UCA-Baustein; nur seine Zeilen tragen den S/T-Klassifikator.

Die Wertsicht beschreibt, was am Signal oder am Stellwert falsch ist — am Eingang: kein Wert, Wert über dem Band, Wert unter dem Band, Drift Richtung obere oder untere Wand (noch im Band, Reserve schrumpft — die Frühwarnstufe), Wert eingefroren. Am Ausgang die klassischen Stellgrößen-Bilder: Überschwingen zur Gegenwand, bleibende Abweichung, Pendeln, Windup nach Sättigung, eingefrorener Stellwert, falscher Kanal, falsches Vorzeichen, falsche Skalierung.

Die Beziehung zwischen beiden ist eindeutig: Wert-Fehler sind Manifestationen von Handlungs-Fehlern. Das Überschwingen am Ausgang ist die sichtbare Gestalt einer zu lang ausgeführten Korrektur (zu lang, Kontext Halten); die bleibende Abweichung die einer zu kurzen; das Pendeln die einer zyklisch zu früh ausgelösten; das Windup die einer Korrektur, die den Stellanschlag hält, obwohl Loslassen gefordert wäre. Diese Zuordnung ist Katalog-Wissen — im Modell werden Handlungs- und Wertsicht über Ursachen-Beziehungen verbunden, nie doppelt gepflegt. Wer Stellgrößen-Fehler als UCAs etikettiert, kollabiert Ursache und Wirkung in eine Ebene und verliert genau die Kette (Eingang → Steuerung → Ausgang), die jede spätere Ursachenanalyse entlangläuft.

Der praktische Nutzen dieser Trennung: Beide Sichten werden zu wiederverwendbaren Standard-Bausteinen — einmal im Katalog definiert (Eingangs-Baustein, Handlungs-Baustein, Ausgangs-Baustein), überall instanziiert. Fehlerkataloge werden nicht mehr je Funktion erfunden, sondern je Funktion ausgefüllt — und Vollständigkeit wird abzählbar: Jede Halte-/Wechsel-Funktion hat ihren 7er-Baustein, jedes Eingangssignal seinen 6er-Baustein, jeder Stellwert seinen Ausgangs-Baustein. Was fehlt, fällt auf.

8. Eine Operation, drei Prüfungen — und die dritte ist der Paukenschlag

#

Die Deckung — Bahn ⊆ Raum — wird dreimal angewandt, auf drei verschiedene Paare. Mehr Mechanik hat dieses Papier nicht.

Prüfung 1 — Betrieb: Läuft es?

#

Ist-Verlauf ⊆ Schlauch, laufend, im Fenster.

Das ist Überwachung: Regelarbeit gegen eine zeitabhängige Zieldefinition. Ihr Frühindikator ist die Reserve — der Abstand des Verlaufs zur Schlauchwand. Schrumpfende Reserve ist das früheste messbare Drift-Signal, lange bevor irgendetwas den Schlauch verlässt.

Prüfung 2 — Auftrag: Kann es das überhaupt?

#

Hier liegt das Problem, das jede Zieldefinition hat und fast keine Methode stellt: die gewünschte Änderungsrate gegen die real mögliche. Jedes System hat — aus seinen Zeitkonstanten, Stellgrenzen und Reserven — eine Menge von Verläufen, die es überhaupt erreichen kann. Ein Kunstflugzeug rollt in Sekundenbruchteilen; ein Großraumflugzeug braucht für denselben Richtungswechsel Minuten. Dasselbe Ziel, zwei völlig verschiedene erreichbare Räume.

Eine Mittellinie ist nur dann ein gültiger Auftrag, wenn sie innerhalb der Menge der erreichbaren Verläufe liegt.

Wieder Deckung — nur wird diesmal nicht der Ist-Verlauf gegen den Schlauch geprüft, sondern der beauftragte Schlauch gegen das Können des Systems. Und die Menge der erreichbaren Verläufe ist nichts Esoterisches: Sie ist genau das, was eine Komponente in ihrer DIA-Deklaration angibt — welche Zielwechsel, wie schnell, wie lange.

Damit passiert etwas, das der Autor für den eigentlichen Paukenschlag dieses Papiers hält: Die Zielsetzung selbst wird prüfbar — vor der Ausführung. Ein Auftrag, der schneller will, als die Deklaration hergibt, ist deterministisch als UCA erkennbar (Levesons Muster 3 und 4 — falsches Timing, falsche Dauer — fallen hier nicht aus einem Brainstorming, sondern aus dem Vergleich zweier deklarierter Mengen).

Prüfung 2 existiert dabei nicht nur am Schreibtisch, zur Entwurfszeit. Sie hat eine Laufzeit-Gestalt, die jede saubere Steuerkette längst kennt: die Ausgangs-Plausibilisierung. „Zielwert gegen Stellgrenzen prüfen, Änderungsrate gegen das Limit prüfen" — das ist Prüfung 2, zyklisch ausgeführt, bei jedem einzelnen Stellbefehl. Entwurfszeit und Betrieb prüfen dieselbe Inklusion, nur auf verschiedenen Zeitskalen.

Scheitert die Prüfung, gibt es genau drei ehrliche Auswege — und die Aufzählung ist vollständig:

1. Mittellinie verlangsamen — das Ziel realistischer takten.
2. Schlauch verbreitern — mehr Abweichung während des Wechsels akzeptieren, bewusst und deklariert.
3. Das System ändern — andere Zeitkonstanten beschaffen: eine andere Komponente, mehr Kapazität, ein anderer Aufbau.

Was es nicht gibt: den Auftrag trotzdem erteilen und hoffen. Das ist heute der Normalfall — und die organisatorische Lesart schreibt sich von selbst: Ein Restrukturierungsplan, der Wandel schneller verlangt, als die Zeitkonstanten der Organisation hergeben, ist eine unerreichbare Mittellinie. Der Verlauf verlässt dann zwingend den Schlauch; das Ergebnis heißt dort nicht Regelfehler, sondern Burnout, Qualitätseinbruch oder stille Verweigerung. Dieselbe Mathematik, dasselbe Frühwarnsignal.

Prüfung 3 — Komposition: Passt es zusammen?

#

Was Komponente A abgibt — einschließlich ihrer Schwankung — muss in dem liegen, was Komponente B als erlaubte oder gewollte Einwirkung deklariert.

Die Schnittstellen-Prüfung, ausführlich in Abschnitt 12. Auch sie ist dieselbe Inklusion: der Ausgabe-Schlauch des Senders im Toleranz-Schlauch des Empfängers.

Drei Prüfungen, ein Mechanismus. Betrieb, Auftrag, Komposition — alle drei sind Restmengen-Bildungen, alle drei deterministisch, alle drei vor bzw. während des Betriebs durchführbar. Und alle drei UCA-Quellen (der Betrieb driftet, der Auftrag ist unerreichbar, die Teile passen nicht) sind Komplemente derselben Deckung.

9. Warum das nichts Neues ist — und warum genau das die Stärke ist

#

Zunächst zwei Fachbegriffe, in normaler Sprache erklärt, bevor sie fallen:

Eine invariante Menge ist ein Bereich, den ein Verlauf nicht verlassen kann, solange die Spielregeln gelten — wie ein Kugellauf in einer Schüssel: Egal, wo die Kugel startet, sie bleibt in der Schüssel. Robust positiv invariant (kurz RPI) heißt: Das gilt sogar dann noch, wenn von außen gestört wird — solange die Störungen in einer vorher benannten Menge bleiben, kann der Verlauf den Bereich nicht verlassen. Man sieht sofort: Das ist wörtlich die AIA-Definition. Die Breite des Schlauchs ist eine RPI-Menge für die Abweichung von der Mittellinie; die benannte Störmenge ist die AIA-Menge.

Und genau dieses Objekt existiert in der Regelungstechnik fertig — nicht als Analogie, sondern als publizierte Mathematik samt Stabilitätsbeweisen:

• Tube-based Model Predictive Control (Mayne, Langson, Rawlings u. a.) legt um eine nominale Trajektorie — die Mittellinie — einen Tube, in dem der reale Verlauf trotz Störungen garantiert bleibt. Der Tube-Querschnitt ist eine RPI-Menge.
• Die Menge der erreichbaren Verläufe aus Prüfung 2 ist die Erreichbarkeitsmenge (reachable set) — ebenfalls Standard-Objekt mit ausgereiften Berechnungsverfahren.
• Fenster und Abtastung gehorchen dem Abtasttheorem (Nyquist/Shannon), die Komplementarität von Momentwert und Rate der Zeit-Frequenz-Unschärfe (Gabor/Fourier).

Das ist Absicht. Dieses Papier erfindet keine Mathematik — es befreit eine seit Jahrzehnten bewährte von zwei stillen Annahmen: dass die geregelte Größe eine physikalische Zahl sein muss, und dass Tube, RPI und Erreichbarkeitsmenge nur Werkzeuge zum Reglerentwurf sind. Hier werden sie zur universellen Deklarations- und Prüfeinheit: Jede Komponente — Pumpe, Softwaremodul, Abteilung, Mensch in einer Rolle — deklariert ihren Schlauch (was halte ich aus, was biete ich an, wie schnell); geprüft wird überall dieselbe Deckung.

„Öldruck im Schlauch halten", „Liquidität im Schlauch halten", „Liefertreue im Schlauch halten", „Beziehungsqualität im Schlauch halten" — derselbe Regelkreis, anderes Merkmal. Sobald ein Merkmal Ziel, Breite und Messung hat, gelten dieselben Begriffe, dieselben Fragen (Wie groß ist die Reserve? Wie schnell wird Drift erkannt? Wie schnell kann das System überhaupt wechseln?) und dieselbe Mathematik.

Für die beiden Zielgruppen, die man mit neuen Methodenpapieren am leichtesten verliert:

• Den Praktikern der Zustandsdiagramme und MBSE-Werkzeuge wird nichts weggenommen — Abschnitt 13 zeigt, dass jedes bestehende Diagramm eine gültige Sicht bleibt.
• Den Regelungstechnikern wird ihr eigenes Fach erzählt, mit erweitertem Geltungsbereich — inklusive der Fachbegriffe, unter denen sie jede Behauptung dieses Papiers nachprüfen können.

Neu ist ausschließlich die Zusammenführung: Levesons Steuerungs-Sicht, die Tube-/RPI-/Erreichbarkeits-Mathematik und die Verlauf-statt-Zustand-Definition ergeben zusammen ein Modell, in dem Sicherheitsanalyse, Zielprüfung und Kompositionsprüfung dieselbe Restmengen-Bildung sind.

10. Über alle Domänen: Mechanik, Elektronik, Software, Sicherheit, Organisation, Leben

#

Die vielleicht überraschendste Beobachtung: Die Industrie deklariert Schläuche längst — nur zersplittert, unter verschiedenen Namen, und niemals über Fachgrenzen hinweg geprüft.

Ein Elektronik-Datenblatt ist eine Schlauch-Deklaration. Eine Toleranzkette ist eine Deckungsprüfung. Ein Software-Contract ist eine deklarierte Breite. Jede Domäne hat das Konzept erfunden, weil sie es brauchte — aber jede nennt es anders, und keine prüft über die Domänengrenze. Der Motoren-Ingenieur prüft Passungen, der Elektroniker prüft Spannungsbereiche. Dass die Motorvibration (eine mechanische Abgabe) die Lötstellen der Steuerplatine (eine elektronische Toleranz) ermüdet, prüft niemand — eine Einwirkung quer zur Domäne, für die heute kein Verfahren zuständig ist. Genau solche Quer-Einwirkungen füllen die Unfallberichte.

Weil Verlauf, Schlauch und Deckung domänenneutral sind — sie brauchen nur Merkmal, Ziel, Breite und Messung, egal in welcher Einheit — wird die Quer-Prüfung erstmals formulierbar, für ein Vibrations-Watt genauso wie für ein Volt, eine Nachricht pro Sekunde oder eine Überstunde pro Woche.

Ein Sonderfall, der keiner ist: IT-Sicherheit

#

Eine Domäne verdient einen eigenen Absatz, weil sie den Kern-Gedanken dieses Papiers seit Jahren praktisch vorlebt — und seine Schwäche gleich mit.

Die klassische Angriffserkennung arbeitet signaturbasiert: Sie zählt auf, wie bekannte Angriffe aussehen, und schlägt an, wenn ein Muster passt. Das ist strukturell exakt das UCA-Brainstorming aus Abschnitt 4 — eine Aufzählung des Verbotenen, so gut wie die Signatur-Datenbank reicht. Was keiner Signatur entspricht, passiert unbemerkt. Deshalb hat die Sicherheits-Praxis längst umgestellt: Allowlisting und Zero-Trust deklarieren stattdessen den erlaubten Raum — und behandeln alles außerhalb als per Definition verdächtig.

In der Sprache dieses Papiers: Erlaubter Traffic und Normalbetriebs-Baseline sind die Breite. Autorisierte Administrations-Handlungen im Change-Fenster sind die Mittellinie. Eine Anomalie ist ein Verlauf außerhalb des Schlauchs — sie muss nicht als Signatur bekannt sein, um aufzufallen.

Die Sicherheits-Domäne hat den Übergang von der Aufzählungs- zur Restmengen-Logik also bereits vollzogen — allerdings nur für Netzwerkpakete und Zugriffsrechte. Dieses Papier behauptet: Derselbe Übergang ist für das gesamte System möglich — Mechanik, Bediener, Organisation eingeschlossen. Für Betreiber kritischer Infrastrukturen heißt das: Das Denkmodell, mit dem sie ihr Netz schützen, und das Denkmodell, mit dem sie ihre Anlage sicherheitsanalysieren, werden dasselbe Modell.

11. Die FMEA war schon immer eine Schlauch-Prüfung

#

Wer aus der klassischen FMEA-Welt kommt, hat spätestens bei der Domänen-Tabelle ein Déjà-vu — zu Recht. Denn die Design-FMEA und die STPA waren nie zwei Methoden. Es waren zwei Domänen-Dialekte derselben Deckungsprüfung, die sich nur deshalb nicht trafen, weil niemand das gemeinsame Primitiv benannt hatte.

Die Übersetzung ist exakt:

• Ein Merkmal mit Toleranz ist ein Schlauch: Mittellinie = Nennmaß, Breite = Toleranzfeld — und bei Verschleißteilen ist das Toleranzfeld über der Zeit definiert, also wörtlich ein Schlauch, kein statisches Band.
• Die FMEA-Fehlerart — „Maß außerhalb Toleranz", „Bruch", „Verschleiß über Grenzwert" — ist „Verlauf verlässt den Schlauch".
• Die Toleranzkette ist die Kompositionsprüfung (Prüfung 3): Ausgabe-Schlauch von A (Ist-Maß inklusive Streuung) im Aufnahme-Schlauch von B (Passung).

Der Maschinenbau macht seit hundert Jahren Prüfung 1 und Prüfung 3 — er hat nur nie gewusst, dass die Steuerungswelt dasselbe tut. Denn auf deren Seite ist eine UCA nichts anderes als „Steuerhandlung außerhalb ihres Zeit-, Dauer- oder Kontext-Schlauchs" — strukturell identisch mit „Maß außerhalb Toleranzfeld", nur ist das Merkmal kein Millimeter, sondern ein Zeitpunkt, eine Reihenfolge, eine Dauer:

Die UCA ist der Toleranzketten-Fehler der Steuerung. Der Toleranzfehler ist die UCA der Mechanik. Dieselbe Zeile, anderer Merkmals-Typ.

Daraus folgt die Aussage, die dieses Papier für die FMEA-Praxis macht: AIAG-VDA-FMEA, STPA und Toleranzkettenrechnung sind drei Projektionen einer einzigen Deklaration — Merkmal plus Schlauch am Komponenten-Typ. Einmal gepflegt, dreimal gerendert. Die FMEA-Struktur wird damit generierbar: pro Merkmal die Fehlerart „verlässt Schlauch" mit ihren Richtungen (zu groß, zu klein, zu spät, zu früh, zu lang, zu kurz — dieselben Untervarianten, mechanisch wie steuerungstechnisch), pro Schnittstelle die Ketten-Prüfung, pro Steuerhandlung der UCA-Block.

Und damit das Versprechen ehrlich bleibt: Generierbar ist das Skelett — vollständig und konsistent. Was beim Menschen bleibt, ist die Bedeutung: die Folgen-Bewertung (was bedeutet der Schlauch-Austritt für den Adressaten — die Severity) und die Maßnahmen-Entscheidung. Das System liefert die vollständige Struktur; der Ingenieur bewertet und entscheidet. Es ist dieselbe Arbeitsteilung wie überall in diesem Papier: Ausschluss und Nachweis automatisch, Entscheidung beim Menschen.

12. Schnittstellen: wo Systeme sich berühren, entscheidet sich alles

#

Conway hat 1968 festgehalten, dass Organisationen ihre Produkte entlang ihrer eigenen Kommunikationsstrukturen bauen. Die praktische Konsequenz, die seither jede Systemgeneration neu lernt: Fehler sammeln sich an Schnittstellen. Innerhalb einer Komponente, eines Teams, einer Domäne wird gründlich geprüft. Zwischen ihnen wird gehofft.

Mit der Schlauch-Geometrie wird die Schnittstelle formal fassbar:

Eine Schnittstelle ist der Ort, an dem der Ausgabe-Verlauf des einen Systems zur Einwirkung auf das andere wird. Verträglich ist sie genau dann, wenn der Ausgabe-Schlauch des Senders — einschließlich seiner deklarierten Schwankung — vollständig im Einwirkungs-Schlauch des Empfängers liegt.

Das ist Prüfung 3 aus Abschnitt 8: dieselbe Deckung, angewandt auf Schlauch-in-Schlauch. Sie ist deterministisch, braucht kein Expertenurteil und ist vor dem ersten Betrieb durchführbar — am Schreibtisch, aus den Deklarationen. Passt der Ausgabe-Schlauch nicht, ist an dieser Schnittstelle eine UCA möglich, und zwar benennbar: auf welchem Kanal, in welchem Wertebereich, unter welcher Bedingung.

Zwei Präzisierungen, ohne die das Versprechen zu groß wäre:

Erstens: Kanäle müssen deklariert sein, nicht nur Werte. Systeme berühren sich nicht nur über die gezeichneten Schnittstellen (Stecker, Welle, API, Berichtsweg), sondern über Kanäle, die niemand als Schnittstelle geplant hat: Wärme, Vibration, elektromagnetische Störung, Bauraum, Flurfunk, geteilte Aufmerksamkeit. Die Deckungsprüfung sieht nur, was deklariert ist. Deshalb gehört zu jeder Komponente pro relevantem Kanal eine Abgabe-Angabe (was gebe ich ab, auch ungewollt) und eine Aufnahme-Angabe (was halte ich aus) — und „Kanal nicht deklariert" muss als sichtbare Lücke geführt werden, nie als stilles Einverständnis.

Zweitens: Zukünftiges Verhalten wird an der Schnittstelle entschieden. Wer wissen will, wie sich ein Verbund morgen verhält, gewinnt aus der Innenansicht der Komponenten wenig — die ist bei zugekauften Teilen ohnehin unzugänglich. Was zählt, sind die Schlauch-Deklarationen und ihre Reserven: der Abstand zwischen dem Ausgabe-Schlauch des einen und der Schlauchwand des anderen. Schrumpfende Reserve zwischen zwei Schläuchen ist das früheste messbare Drift-Signal eines Verbunds — lange bevor irgendeine Komponente ihren eigenen Schlauch verlässt.

13. Das Zustandsdiagramm löst sich nicht auf — es wird eine Sicht

#

Wenn Zustände und Übergänge Etiketten für Schlauchformen sind — was wird dann aus dem Zustandsdiagramm, einem der meistgenutzten Werkzeuge der System-Modellierung?

Es wird von einem Grundbaustein zu einer Darstellung. Und das legt zugleich den Finger auf eine bekannte Schwäche der heutigen Werkzeugwelt: MBSE-Werkzeuge behandeln das Zustandsdiagramm als Grundbaustein — und können deshalb genau das nicht ausdrücken, worauf es in beiden Eingangs-Geschichten ankam: die Breite (wie viel Schwankung ist eingeplant?), das Fenster (wie schnell wird gemessen?) und die Drift (wie nah ist der Verlauf der Wand?). Das ist kein Vorwurf an die Werkzeuge — es ist die Folge eines falsch gewählten Grundbausteins. Gespeichert und gepflegt wird hier stattdessen die Zielgeometrie: pro Merkmal ein Schlauch (Mittellinie und Breite über der Zeit), dazu die Ist-Verläufe und die laufende Deckungsprüfung. Das Diagramm wird daraus gerendert:

• Ein Zustands-Kästchen ist ein Abschnitt flacher Mittellinie.
• Ein Übergangs-Pfeil ist eine beauftragte Veränderung der Mittellinie.
• Eine Betriebsart (welche Übergänge sind gerade erlaubt?) ist ein Schlauch eine Ebene darüber: ein Korridor, der festlegt, welche Veränderungen aktuell beauftragt werden dürfen — dieselbe Geometrie, rekursiv stapelbar (der Wartungsmodus schaltet frei, welche Betriebsarten wählbar sind, und so fort).

Das ist ausdrücklich kein Verlust für die Diagramm-Welt — im Gegenteil. Menschen denken, kommunizieren und auditieren in diskreten Etiketten, und das sollen sie weiter tun. Jedes bestehende Zustandsdiagramm bleibt eine gültige Sicht; es bekommt nur seine drei bisher unsichtbaren Parameter angeschrieben (Breite, Fenster, Abtastung). Man nimmt niemandem die Karte weg. Man zeigt ihm, dass es eine Karte ist — und dass unter der Karte ein Gelände liegt, das sich immer bewegt.

Auch echte diskrete Größen (eine Auswahl, eine Enumeration) sind kein Gegenbeispiel: Ein Schlauch in einem diskreten Werteraum ist eine erlaubte Menge über der Zeit — die Definition trägt das ohne Sonderfall.

Der praktische Gewinn dieser Umkehrung: Wo bisher zwei Welten getrennt gepflegt wurden — das Zustandsdiagramm für die Struktur, die Überwachung für den Betrieb —, gibt es nur noch eine Quelle. Die Struktur-Sicht und das Drift-Signal kommen aus derselben Geometrie. Was im Diagramm ein Kästchen ist, ist in der Überwachung ein Schlauch mit Reserve — dasselbe Objekt, zweimal gerendert.

14. Was diese Erweiterung nicht kann

#

Damit das Papier hält, was es verspricht, gehören die Grenzen in den Haupttext, nicht ins Kleingedruckte.

Sie ist nur so vollständig wie die Deklaration. Alle drei Prüfungen sind deterministisch — bezogen auf die deklarierten Schläuche und Kanäle. Ein nicht deklarierter Kanal, eine zu großzügig geschätzte Breite, eine vergessene Betriebsbedingung erzeugen blinde Flecken, die kein Rechenverfahren findet. Die Antwort darauf ist nicht Perfektion, sondern ausgewiesenes Nichtwissen: Unvollständige Deklarationen tragen ein sichtbares Flag und werden nie stillschweigend als vollständig behandelt. Eine ehrliche Lücke ist prüfbar; eine kaschierte nicht.

Sie ersetzt Levesons System-Sicht nicht — sie braucht sie. Levesons zentrale Warnung bleibt uneingeschränkt gültig: Unfälle entstehen auch dann, wenn jede Komponente in ihrem Schlauch bleibt und jede Schnittstelle verträglich ist — aus dem Zusammenwirken selbst. Komponentenweise gedeckt ist nicht systemweit sicher. Die Konsequenz: Jede Aggregations-Ebene braucht wieder einen eigenen Schlauch mit eigener Messung; die Deckung ist auf jeder Ebene zu führen, nicht nur an den Rändern. Wer nur Schnittstellen prüft, hat STPA nicht erweitert, sondern halbiert.

Sie entwirft nichts. Die Automatisierung ist Ausschluss und Nachweis, keine Konstruktion. Das System sagt vollständig, welche Aufträge unerreichbar und welche Kombinationen unverträglich sind und warum — was gebaut und was beauftragt wird, bleibt eine menschliche Entscheidung.

Sie braucht Mess-Disziplin. Ein Schlauch, dessen Verlauf niemand misst, ist eine Behauptung — methodisch genau so wertlos wie das Häkchen „verheiratet" im Formular. Und die Messung muss schnell genug sein: Wer langsamer abtastet als die schnellste relevante Veränderung, erzeugt Aliasing und sieht Ruhe, wo Bewegung ist. Die Disziplin gilt bis in den einzelnen Wert hinein: Zu jedem Messwert gehört sein Gültigkeits-Status (gültig, veraltet, ersetzt) — und der häufigste stille Fehler ist, dass ein Wert ohne dieses Kennzeichen weiterverwendet wird: die Rechnung nimmt einen als unsicher markierten Wert, als wäre er frisch. Das ist die kaschierte Lücke zur Laufzeit — dasselbe Prinzip wie das Deklarations-Flag, nur pro Wert und pro Zyklus. Wo Messung heute nicht möglich ist, ist das zulässig — aber als Status auszuweisen, nicht zu verschweigen.

Sie ist für weiche Domänen eine Denk-Disziplin, kein Rechenwerk. „Beziehungsqualität im Schlauch halten" gewinnt durch die Begriffe (Halte-Arbeit statt Besitz, deklarierte Breite, Reserve, realistische Änderungsrate) — aber niemand sollte erwarten, eine Ehe durch einen Erreichbarkeits-Rechner zu schicken. Der Übertrag liefert die richtigen Fragen, nicht die Zahlen.

15. Begriffe — Deutsch und Englisch

#

Deutsch geführt (Herkunft des Autors), Englisch als etablierte oder etablierbare Entsprechung (Leserschaft):

16. Wo die Ideen herkommen

#

Dieses Papier ist eine Synthese, keine Neuerfindung:

• Leveson (2012), STAMP/STPA: Steuerung statt Bauteil-Versagen als Unfallmodell; die vier UCA-Muster. Dieses Papier setzt ihr Werk fort, indem es das Komplement der UCAs — den erlaubten Raum — als Geometrie explizit macht.
• Robuste modellprädiktive Regelung — Tube MPC (Mayne, Langson, Rawlings u. a., ab ca. 2001): nominale Trajektorie plus Tube; Breite als robust positiv invariante Menge (RPI) mit Garantie-Beweisen. Die Mathematik von Mittellinie und Breite ist dort fertig; neu ist ihre Verwendung als domänenübergreifende Deklarations- und Prüfeinheit statt als Reglerentwurfs-Werkzeug.
• Erreichbarkeitsanalyse (reachable sets): die Menge der aus Zeitkonstanten und Stellgrenzen erreichbaren Verläufe — hier Prüfraum für die Gültigkeit von Aufträgen.
• Signaltheorie — Nyquist/Shannon (Abtasttheorem) und Gabor (Zeit-Frequenz-Unschärfe): warum Momentaufnahmen täuschen (Aliasing) und warum Momentwert und Änderungsrate komplementär sind — ohne Anleihe bei der Quantenmechanik beweisbar.
• Regelungstechnik allgemein (seit Maxwell 1868): Führungsgröße, Regelgröße, Störgröße, Reserve — das Vokabular, in dem jede Behauptung dieses Papiers nachprüfbar ist; die klassischen Regelkreis-Fehlerbilder (Overshoot, bleibende Abweichung, Hunting, Windup) sind die Wertsicht-Gestalt der Handlungs-Fehler.
• AIAG-VDA-FMEA und Toleranz-/Passungslehre (Maschinenbau): Merkmal + Toleranzfeld als gelebte Schlauch-Deklaration; die Toleranzkette als Deckungsprüfung an der Schnittstelle — seit über einem Jahrhundert Industriepraxis, auf eine Domäne beschränkt. Dieses Papier zeigt: FMEA, STPA und Toleranzkettenrechnung sind drei Projektionen derselben Deklaration.
• Meyer (1988), Design by Contract: deklarierte Schnittstellen-Räume in der Software — der Schlauch-Gedanke, auf eine Domäne beschränkt.
• IT-Sicherheitspraxis (Allowlisting, Zero-Trust): die gelebte Umstellung von Aufzählung des Verbotenen auf Deklaration des Erlaubten — der Restmengen-Gedanke, auf eine Datenart beschränkt.
• Conway (1968): Schnittstellen folgen Kommunikationsstrukturen — die Begründung, warum die Schlauch-Deklaration an der Schnittstelle der Hebel für zukünftiges Verbund-Verhalten ist.
• Arends (2026), Lebensfähigkeits-Methode: Zweck, Adressat und Umgebung als Pflicht-Bezüge jeder Bewertung; Drift-Signale und gemessene Reaktionszeit; Nichtwissen als Flag statt Fake-Zahl. Das vorliegende Papier liefert dieser Methode das formale Fundament für „Zustand", das dort bisher alltagssprachlich mitlief.

Was keiner dieser Bausteine allein hatte: die Reduktion auf zwei Grundbausteine und eine Operation; die Partition aller Einwirkungen in AIA/DIA/UCA als Schlauch-Geometrie; die drei Prüfungen (Betrieb, Auftrag, Komposition) als dieselbe Deckung; die Zusammenführung von FMEA, STPA und Toleranzkette zu drei Projektionen einer Deklaration; und die daraus folgende Restmengen-Eigenschaft von Sicherheitsanalyse und Zielprüfung.

17. Einladung zur Kritik

#

Dieses Papier ist ein Entwurf, und es behauptet Unbequemes: dass Zustand und Übergang keine Objekte sind, sondern Darstellungen; dass das Zustandsdiagramm eine Render-Sicht auf eine Zielgeometrie ist; dass FMEA, STPA und Toleranzkette drei Projektionen derselben Deklaration sind; dass Sicherheitsanalyse und Zielprüfung Restmengen-Bildungen derselben einen Operation sind — und dass die dafür nötige Mathematik seit Jahrzehnten fertig in der robusten Regelungstechnik liegt.

Das muss brechen dürfen, bevor es trägt. Gesucht sind ausdrücklich Gegenbeispiele:

• Ein „Zustand", der sich nicht als Deckung mit flacher Mittellinie fassen lässt.
• Eine Einwirkung, die weder AIA noch DIA noch UCA ist — oder zwei Klassen zugleich.
• Eine UCA aus der STPA-Praxis, die bei vollständig deklariertem Schlauch nicht im Außenraum läge.
• Eine FMEA-Fehlerart, die sich nicht als „Verlauf verlässt den Schlauch" eines deklarierten Merkmals fassen lässt.
• Ein realer, ausgeführter Auftrag, der außerhalb der erreichbaren Verläufe lag und trotzdem gedeckt blieb (nicht durch Glück bei den Störungen, sondern strukturell).
• Ein Schnittstellen-Versagen, das die Deckungsprüfung plus Kanal-Deklaration prinzipiell (nicht nur mangels Daten) nicht hätte finden können.
• Ein Fall, in dem die Reduktion Zustandsdiagramm → Render-Sicht Information verliert, die das Diagramm als Grundbaustein hatte.

Wer eines findet, hat das Papier verbessert.

Kontakt: info@thomasarends.de

Autor: Thomas Arends, Wernau Lizenz: Methode frei verwendbar unter Namensnennung.