Nutzbare Funktionen statt laufender Geräte betrachten
Technische Redundanz ist erst dann betrieblich wirksam, wenn die benötigte Funktion bei einer Störung tatsächlich verfügbar bleibt oder innerhalb des vereinbarten Rahmens zurückkehrt. Zwei Server oder doppelte Netzwerkkomponenten allein beweisen dies nicht. Der Verfügbarkeitsnachweis betrachtet deshalb die vollständige Funktionskette, etwa lokale Regelung, Alarmübertragung und Bedienbarkeit. Jede Funktion kann andere Anforderungen besitzen. Der Testplan unterscheidet, was ohne Unterbrechung weiterarbeiten soll und wo eine begrenzte Wiederherstellung zulässig ist. Diese Anforderungen werden vorab mit dem Betreiber vereinbart und nicht erst nach einem Ausfall aus dem technischen Verhalten abgeleitet.
Verfügbarkeit durch kontrollierte Ausfalltests nachweisen
Gemeinsame Abhängigkeiten sichtbar machen
Ein Abhängigkeitsbild zeigt Versorgung, Netzwerk, Zeitdienste, Speicher, Lizenzen und weitere gemeinsam genutzte Bestandteile. Es untersucht, ob vermeintlich getrennte Systeme an derselben ungeschützten Voraussetzung hängen. Auch organisatorische Abhängigkeiten zählen: Ein Ersatzgerät hilft wenig, wenn nur eine nicht erreichbare Person den erforderlichen Projektstand bereitstellen kann. Die Betrachtung umfasst außerdem den Übergang zwischen lokaler Automation und Managementebene. Eine weiterhin funktionierende Regelung bedeutet nicht automatisch, dass Alarmierung und Bedienung ebenfalls verfügbar sind. Deshalb werden unterschiedliche Betriebsleistungen getrennt bewertet und mögliche Teilverluste im vorgesehenen Betriebsmodell ausdrücklich berücksichtigt.
|
| Anforderung | Funktion und zulässige Unterbrechung festlegen | Freigegebenes Verfügbarkeitsziel |
| Abhängigkeit | Gemeinsame Ausfallursachen untersuchen | Aktuelles Abhängigkeitsbild |
| Versuch | Eingriff und Rückkehr kontrolliert prüfen | Bewerteter Umschaltverlauf |
| Fortschreibung | Änderungen auf Nachweise zurückführen | Gültiger Verfügbarkeitsnachweis |
Versuche fachkundig begrenzen
Ausfalltests werden aus der Risikobewertung abgeleitet und nur mit geeigneter Freigabe durchgeführt. Prüfziel, betroffene Nutzungen, Schutzmaßnahmen, Rückkehrweg und Abbruchkriterien müssen feststehen. Ein unkontrolliertes Abschalten produktiver Komponenten ist kein geeigneter allgemeiner Testansatz. Wo reale Unterbrechungen nicht vertretbar sind, werden zunächst getrennte Prüfaufbauten oder andere geeignete Nachweisverfahren verwendet. Ihre Aussagegrenzen bleiben dokumentiert. Die Testdurchführung berücksichtigt erforderliche Fachkunde und die betroffenen Schutz- und Versorgungsfunktionen. Das Team muss jederzeit wissen, welche Reaktion erwartet wird und welche Abweichung eine sofortige Beendigung des Versuchs verlangt.
Umschaltung und Rückkehr gemeinsam bewerten
Nachzuweisen sind Erkennung, Umschaltung, eingeschränkter Zwischenzustand und geordnete Rückkehr. Dabei werden konkurrierende Befehlsquellen und alte Anforderungen besonders betrachtet. Zwei gleichzeitig führende Instanzen dürfen nicht unbemerkt widersprüchliche Vorgaben erzeugen. Ebenso muss erkennbar bleiben, ob Historien, Alarme und Bedienzustände nach der Wiederaufnahme konsistent sind. Beobachtete Zeiten werden unter den tatsächlichen Testbedingungen dokumentiert; sie sind keine uneingeschränkte Garantie für jeden späteren Störungsfall. Offene Schwachstellen erhalten Maßnahmen und eine geeignete Wiederholungsprüfung. Erst danach wird entschieden, welche Verfügbarkeitsaussage durch die Ergebnisse tatsächlich gestützt ist.
Nachweis bei Veränderungen erhalten
Änderungen an Architektur, Netzwerken, Anwendungen oder Betriebsanforderungen können frühere Ergebnisse entwerten. Das Änderungsmanagement prüft deshalb, welche Verfügbarkeitsnachweise weiterhin gelten. Der Bezug zu VDI 3810 liegt in der dauerhaften Erhaltung der benötigten Betriebsfunktion; der OT-Sicherheitsansatz unterstützt die systematische Betrachtung physischer Auswirkungen und technischer Abhängigkeiten. Ein Wiederherstellungsplan und vorhandene Sicherungen sind wichtige Voraussetzungen, aber noch kein vollständiger Verfügbarkeitsnachweis. Verlässlichkeit entsteht, wenn die vorgesehenen Reaktionen unter geeigneten Bedingungen geprüft wurden und das Betriebsteam auch einen eingeschränkten Zustand nachvollziehbar beherrschen kann.
