Gute Automation zeigt sich beim Ausfall
Solange Sensoren, Aktoren, Kommunikationsverbindungen und Versorgungssysteme funktionieren, können viele Regelstrategien überzeugend wirken. Die tatsächliche Qualität einer Gebäudeautomation zeigt sich jedoch häufig erst dann, wenn ein Teil des Systems ausfällt.
Ein Temperaturfühler liefert keinen Wert, die Verbindung zu einer Unterstation bricht ab, ein Ventilantrieb erreicht seine Position nicht oder die Anlage startet nach einem Stromausfall neu. In diesen Situationen entscheidet nicht der Normalbetrieb, sondern das vorbereitete Ausfallkonzept über Sicherheit, Komfort und Handlungsfähigkeit.
Ein Alarm ist noch kein Ausfallkonzept
Eine Störmeldung informiert darüber, dass etwas nicht wie vorgesehen funktioniert. Sie beantwortet aber noch nicht, wie sich die Anlage bis zur Behebung verhalten soll.
Ein vollständiges Ausfallkonzept beschreibt daher:
- welche Funktion betroffen ist
- wie der Fehler erkannt und plausibilisiert wird
- welche sichere Grundstellung gilt
- ob ein Ersatzwert oder eine Ersatzbetriebsart zulässig ist
- welche Funktionen weiterlaufen dürfen
- wie der Betreiber informiert wird
- welche manuellen Eingriffe möglich sind
- wie die Rückkehr in den Normalbetrieb erfolgt
Diese Fragen sollten bereits in Planung und Funktionsbeschreibung beantwortet werden.
Sichere Grundstellung ist anlagenspezifisch
Die richtige Reaktion hängt von Nutzung und Risiko ab. Bei einem Ventil kann geschlossen, geöffnet oder die letzte Position gehalten werden. Für eine Lüftungsanlage kann Stillstand, reduzierter Betrieb oder eine zeitlich begrenzte Weiterfahrt sinnvoll sein. In frostgefährdeten Bereichen kann ein sofortiges Abschalten dagegen Schäden verursachen.
Deshalb gibt es keine allgemeingültige sichere Stellung. Sie muss für jede Funktion technisch und betrieblich bewertet werden. Betreiber, Planer und Errichter sollten diese Entscheidung gemeinsam treffen und dokumentieren.
Ersatzwerte nur kontrolliert verwenden
Bei Ausfall eines Sensors kann ein Ersatzwert den Betrieb vorübergehend aufrechterhalten. Das ist sinnvoll, wenn der Wert konservativ gewählt, zeitlich begrenzt und deutlich gekennzeichnet wird.
Problematisch wird ein Ersatzwert, wenn die Anlage unbemerkt dauerhaft damit arbeitet. Dann scheint die Funktion stabil, obwohl die Regelung nicht mehr auf reale Bedingungen reagiert. Eine Ersatzwertstrategie benötigt deshalb:
- eine definierte Gültigkeitsdauer
- eine eindeutige Meldung
- eine betriebliche Risikobewertung
- eine Eskalation bei ausbleibender Reparatur
- einen nachvollziehbaren Wechsel zurück zum Messwert
Kommunikationsausfälle beherrschen
Vernetzte Gebäude hängen von zahlreichen Schnittstellen ab. Fällt eine Verbindung aus, muss klar sein, welche Funktion lokal weiterarbeiten kann und welche zentralen Vorgaben fehlen.
Robuste Systeme verwenden lokale Grundfunktionen, geeignete Zeitüberschreitungen und klar definierte Rückfallwerte. Ebenso wichtig ist die Synchronisation nach Wiederkehr der Kommunikation: Welche Sollwerte gelten dann, und verhindert das System widersprüchliche Befehle?
Wiederanlauf nach Stromausfall
Der Wiederanlauf ist ein häufig unterschätzter Betriebsfall. Starten alle Anlagen gleichzeitig, können Lastspitzen oder unzulässige Prozesszustände entstehen. Bleiben Funktionen dagegen unbemerkt ausgeschaltet, drohen Komfort- oder Produktionsprobleme.
Ein abgestimmtes Wiederanlaufkonzept definiert Reihenfolgen, Verzögerungen, Freigaben und erforderliche Prüfungen. Kritische Anlagen sollten ihren Zustand nach einem Neustart eindeutig melden und nicht automatisch einen sicheren Betrieb vortäuschen.
Der Betreiber muss den eingeschränkten Betrieb erkennen
Eine Ersatzbetriebsart darf nicht wie Normalbetrieb aussehen. In der GLT muss klar erkennbar sein, welche Funktion eingeschränkt ist, seit wann der Zustand besteht und welche Auswirkungen zu erwarten sind.
Hilfreich sind verständliche Meldungstexte, separate Zustandsanzeigen und dokumentierte Handlungsschritte. Der Betreiber benötigt außerdem die Möglichkeit, kontrolliert einzugreifen, ohne Schutzfunktionen unbeabsichtigt außer Kraft zu setzen.
Ausfallkonzepte prüfen und testen
Beschriebene Strategien müssen in der Inbetriebnahme praktisch getestet werden. Dazu gehören simulierte Sensorfehler, unterbrochene Kommunikation, Rückmeldefehler und Neustarts. Nur so zeigt sich, ob Meldungen, Ersatzwerte und Rückkehrlogik tatsächlich wie vorgesehen funktionieren.
Auch nach Umbauten oder Softwareänderungen sind erneute Prüfungen sinnvoll.
Fazit
Nicht jeder Fehler lässt sich verhindern. Sein Verhalten lässt sich jedoch planen.
Betreiberfähige Gebäudeautomation benötigt sichere Grundstellungen, definierte Ersatzbetriebsarten, verständliche Meldungen und einen dokumentierten Weg zurück in den Normalbetrieb. Die Qualität eines Systems zeigt sich deshalb nicht nur darin, wie gut es im Normalfall regelt, sondern wie kontrolliert es mit Abweichungen umgeht.
