FMEA als Auszug

Ein Maß mit Toleranz ist schon ein Korridor

Auf jeder Zeichnung steht ein Nennmaß und daneben eine Toleranz: 40 Millimeter, plus minus zwei Zehntel. Das ist keine Zahl mit Anhängsel. Das ist ein Korridor — eine Mitte und eine erlaubte Abweichung.

Und weil Teile verschleißen, ist dieser Korridor keine Momentaufnahme, sondern zieht sich durch die Zeit. Er wird enger, wenn Reserve aufgebraucht wird. Er wandert, wenn sich etwas setzt. Wörtlich ein Schlauch, durch den ein Verlauf hindurchläuft.

Damit ist die erste Gleichsetzung erledigt. Eine Fehlerart ist kein eigenes Konzept, das jemand erfinden muss. Sie ist die Verletzung einer Grenze, die ohnehin auf der Zeichnung steht.

Die Toleranzkette ist die Schnittstellenprüfung

Wenn drei Teile aufeinander sitzen, addieren sich ihre Abweichungen. Genau dafür rechnet man Toleranzketten: Passt die Summe dessen, was Teil A abgibt, noch in das, was Teil B verträgt?

Das ist wörtlich dieselbe Frage, die unter Der erlaubte Raum als Schnittstellenprüfung beschrieben ist — nur dort mit Signalen statt mit Millimetern. Ausgabekorridor des einen im Aufnahmekorridor des anderen. Eine Prüfung, zwei Fachwelten.

Die unsichere Steuerhandlung ist der Toleranzkettenfehler der Steuerung. Der Toleranzfehler ist die unsichere Handlung der Mechanik.
Dieselbe Zeile — nur einmal in Millimetern und einmal in Zeitpunkt, Reihenfolge und Dauer.

Drei Analysen, eine Erklärung

Wenn beides stimmt, folgt daraus etwas Unbequemes für den Werkzeugmarkt: Die industrielle Fehleranalyse nach AIAG-VDA, die Sicherheitsanalyse nach der Systemsicht und die Toleranzkettenrechnung sind keine drei Methoden. Sie sind drei Darstellungen derselben Erklärung — Merkmal plus Korridor, festgehalten am Bauteiltyp.

Praktisch heißt das: Die Struktur der Fehleranalyse lässt sich erzeugen. Welche Funktionen es gibt, welche Fehlerarten daran möglich sind, welche Zeilen fehlen — das fällt aus der Erklärung heraus. Was nicht erzeugt wird, steht weiter unten.

Abzählbar statt „uns fällt nichts mehr ein"

Eine Fehleranalyse endet heute, wenn der Runde nichts mehr einfällt. Das ist keine Vollständigkeit, das ist Erschöpfung.

Zwei Fragen spannen dagegen ein endliches Feld auf. Wie versagt es? — die Handlung bleibt aus, sie erfolgt fälschlich, sie kommt zur falschen Zeit, sie dauert zu kurz oder zu lang. Und woraus kommt es? — Mensch, Material, Mitwelt, Maschine. Vier gegen vier, das Feld ist abzählbar.

Die Herkunft muss dabei niemand eintippen. Sie ergibt sich aus der Stelle, an der die Ursache im Aufbau steht: Was unter „Material, Motorregler" hängt, ist Material. Kein Zusatzfeld, keine Pflegearbeit.

Die Schwere wird abgeleitet, nicht geschätzt

Der schwächste Punkt jeder klassischen Fehleranalyse ist die Zahlenvergabe. Ein Team sitzt zusammen und vergibt Schulnoten von eins bis zehn für Schwere, Auftreten und Entdeckung — Zahlen, hinter denen niemand wirklich steht, weil es keine Messvorschrift gibt.

Für die Schwere geht das besser. Man stellt eine einzige Frage: Wer merkt den Fehler, und woran genau? Aus der Antwort ergibt sich die Schwere von selbst.

Der Vorschlag bleibt überschreibbar — aber nicht wortlos. Wer abweicht, begründet, und die Begründung steht in der Historie.

Zwei Regeln halten das sauber. Die Schwere folgt aus der Wirkung, niemals aus der Position im Aufbau — tief unten heißt nicht harmlos. Und das „woran genau" ist keine Formalie: Ein Wert vom Prüfstand ist etwas anderes als ein Eindruck aus einem Reklamationsgespräch. Beides darf erfasst werden. Nur geht das eine als Zahl in den Bericht und das andere als gekennzeichnete Unsicherheit.

Das Team darf Nichtwissen als Nichtwissen ausweisen, statt es als Zahl zu kostümieren.

Und keine Risikoprioritätszahl

Das Produkt aus Schwere mal Auftreten mal Entdeckung ist mathematisch nicht zulässig: Es multipliziert Schulnoten. Zwei mal sechs mal acht ergibt dasselbe wie vier mal vier mal sechs — und meint etwas völlig anderes. Der AIAG-VDA-Standard hat diese Zahl 2019 aus genau diesem Grund durch die Aufgabenpriorität ersetzt.

Deshalb: kein solches Feld, auch nicht wahlweise ausblendbar. Was da ist, wird benutzt. Sortiert wird nach Priorität, dann nach Schwere — nacheinander, nie als Produkt.

Die Fehleranalyse erzeugt Architektur

Ein Punkt, der in der Praxis ständig passiert und trotzdem selten benannt wird: Eine Maßnahme, die Struktur hinzufügt, ist eine neue Anforderung.

Wer in die Zeile schreibt „zweiter Sensor mit Softwarevergleich", hat nicht kommentiert. Er hat entschieden. Diesen Sensor gab es vor der Zeile nicht. Damit ist die Fehleranalyse nicht nur beschreibend, sondern erzeugend.

Damit das trägt, muss eine Maßnahme sagen, welcher Art sie ist. Eine Anforderung erzeugt einen neuen Eintrag im Anforderungsbestand. Eine Bedienregel erzeugt einen Handbuchschritt. Eine Toleranzänderung erzeugt gar nichts Neues, sondern ändert ein bestehendes Merkmal. Ohne diese Unterscheidung bleibt „Maßnahme" ein Feld voll Freitext — und dann erzeugt die Analyse nichts, sie kommentiert nur.

Was hier nicht behauptet wird

Die Bewertung bleibt beim Menschen. Erzeugt wird das Gerüst: welche Funktionen, welche möglichen Fehlerarten, welche Zeilen fehlen. Wie schwer ein Fehler wiegt und welche Maßnahme richtig ist, entscheidet niemand außer den Beteiligten. Der ehrliche Anspruch ist Ausschluss, nicht Entwurf.

Ein anderer Weg ist kein Fehler. Wenn ein Vorgang zwei legitime Ausgänge hat — genehmigt und abgelehnt — ist der zweite kein Versagen. Er kommt aus der normalen Verzweigung, nicht aus der Fehleranalyse. Wer das zusammenwirft, verliert die Geschäftsvarianten und behandelt den Normalfall als Störung.

Die Fehleranalyse liefert den Innenraum, nicht die Grenze. Was überhaupt betrachtet wird, entscheidet der Zuschnitt vorher. Beides überlagert sich, das eine ersetzt das andere nicht.

Es gilt nur so weit, wie erklärt wurde. Fehlt an einer Funktion das Merkmal mit Mitte und Breite, bleibt das Netz an dieser Stelle unvollständig. Das wird als sichtbare Lücke gekennzeichnet — nie als stille Vollständigkeit.

Und der Wirksamkeitsnachweis fehlt. Es gibt keine kontrollierte Studie dazu, dass so geführte Analysen zu weniger Feldfehlern führen. Was es gibt, sind Eigenschaften, die scheitern können: Ein Feld der Matrix ist bearbeitet oder offen. Eine Schwere ist aus der Wirkung abgeleitet oder frei vergeben. Eine Zahl hat eine Messherkunft oder ein Warnzeichen. Das ist kein Beweis — es ist die Bedingung dafür, dass je einer möglich wird.