Mehrere korrekte Einzelhandlungen können gemeinsam einen falschen Anlagenzustand erzeugen
Steuerkonflikte entstehen nicht nur durch Fehlbedienung. Zwei berechtigte Personen können aus ihrer jeweiligen Sicht korrekt handeln und dennoch gegensätzliche Befehle auslösen. Eine Leitwarte setzt einen Sollwert zurück, während ein Techniker lokal eine Prüfung fährt; ein Integrator schreibt Parameter, während eine übergeordnete Regelung dieselben Werte zyklisch überschreibt. Solche Konflikte sind organisatorisch und technisch zu verhindern. Das Bedienkonzept sollte festlegen, welche Eingriffe sich gegenseitig ausschließen, wann zentrale Automatik pausiert wird und wie lokale Sonderzustände angezeigt werden. Die technische Prioritätslogik des verwendeten Systems ist dabei zu berücksichtigen, aber nicht als Ersatz für klare Verantwortlichkeit zu verstehen.
Paralleleingriffe an technischen Anlagen verhindern
Befehlsquelle, Rückmeldung und tatsächliche Wirkung zusammen bewerten
Ein konfliktsicherer Betrieb benötigt mehr als einen Änderungslog. Für kritische Steuerungen sollte nachvollziehbar sein, aus welcher Ebene ein relevanter Befehl stammt, welche Rolle ihn ausgelöst hat und ob der erwartete Zustand erreicht wurde. Wiederholtes Überschreiben, schnelle Sollwertwechsel, unerklärte Rücksprünge oder dauerhaft aktive Forced Values sind Hinweise auf konkurrierende Logiken. Solche Muster gehören in Alarm-, Trend- oder Audit-Auswertungen, soweit die Systeme dies unterstützen. Eine lückenlose technische Protokollierung ist nicht überall verfügbar; dann müssen organisatorische Regeln die gleichzeitige Bedienung begrenzen. Ausfälle der Nachweisführung werden im bestehenden Nachweisprozess behandelt; die Hoheitsregel definiert nur, wie Paralleleingriffe verhindert und im Konfliktfall aufgelöst werden.
|
| Parallele Befehle | gegenseitiges Überschreiben | eine Hoheitsrolle festlegen |
| Lokaler Override | zentraler Befehl ohne Wirkung | lokalen Zustand verifizieren |
| Remote-Session | unklare aktive Verbindung | Session begrenzen oder beenden |
| Schutzfunktion | Befehl kollidiert mit Verriegelung | Schutzwirkung nicht umgehen |
| Datenkonflikt | Zustand nicht plausibel | bis Klärung Handlung begrenzen |
Sicherheitsrelevante Verriegelungen außerhalb betrieblicher Konkurrenz halten
Betriebliche Steuerbefehle dürfen nicht gegen wirksame Sicherheits- oder Schutzfunktionen ausgespielt werden. § 6 BetrSichV verlangt funktionsfähige Schutzeinrichtungen; § 8 fordert unter anderem sichere Befehlseinrichtungen sowie Schutz gegen unbeabsichtigte oder unbefugte Betätigung. Im Bedienkonzept ist deshalb klarzustellen, welche Funktionen reine Betriebsoptimierung darstellen und welche Schutzwirkung besitzen oder mit ihr gekoppelt sind. Eingriffe in Schutzketten, Verriegelungen oder sicherheitsrelevante Grenzwerte benötigen die hierfür vorgesehenen besonderen Freigaben. Eine „höhere Bedienpriorität“ im Leitsystem ist keine Legitimation, technische Schutzkonzepte zu umgehen.
Verwaiste Sitzungen und unklare Fernverbindungen vermeiden
Auch organisatorisch beendete Arbeiten können technisch weiterwirken, wenn Remote-Sitzungen, Engineering-Tools oder Hintergrundverbindungen offen bleiben. Für kritische Zugänge sind deshalb Session-Timeouts, klare Beendigungsregeln und die Sichtbarkeit aktiver Verbindungen sinnvoll. BSI-Empfehlungen zur industriellen Fernwartung unterstützen die kontrollierte Gestaltung solcher Zugänge. Nach Kommunikationsabbrüchen muss eindeutig sein, ob die externe Stelle noch Befehle senden kann und wer die Anlage bis zur Klärung bedient. Wo technische Möglichkeiten fehlen, wird durch organisatorische Sperre und eindeutige Kommunikation verhindert, dass mehrere Stellen parallel eingreifen.
Eine Stelle übernimmt bis zur Klärung die operative Steuerentscheidung
Wird ein Bedienkonflikt erkannt, sollte eine zuvor bestimmte Rolle die operative Steuerhoheit übernehmen und weitere Eingriffe anderer Stellen stoppen. Zuerst wird der aktuelle Anlagenzustand gesichert, anschließend werden Befehlsquelle, Betriebsart und offene Änderungen geklärt. Erst danach wird entschieden, welcher Sollzustand wiederhergestellt wird. Bei widersprüchlichen Daten wird die zuständige fachliche Verifikation ausgelöst; bei kritischen Ereignissen bleibt die vorhandene Ereignisdokumentation führend. Die Hoheitsregel schafft lediglich den eindeutigen Entscheidungsstatus. Damit bleibt der Betrieb handlungsfähig, ohne aus Zeitdruck neue konkurrierende Befehle zu erzeugen.
