Nicht nur gemeinsame Ursache, sondern gemeinsame Wirkung betrachten
Zwei Abweichungen können sich gegenseitig verstärken, obwohl sie aus unterschiedlichen Ursachen entstanden sind. Für die operative Prüfung ist deshalb entscheidend, ob sie dieselbe kritische Funktion, denselben Schutzbereich oder dieselbe Wiederherstellungsfähigkeit beeinflussen. Die bestehende TFM-Seite zu Funktionsketten und Abhängigkeiten zeigt bereits, dass technische Gesamtverfügbarkeit häufig aus dem Zusammenwirken mehrerer Systeme entsteht und gemeinsame Infrastrukturen zu verdeckten Single Points of Failure führen können. Es nutzt deren Ergebnisse für die Frage, ob mehrere aktuell bestehende Abweichungen auf denselben kritischen Pfad treffen und dadurch die bisherige Einzelbewertung verändern.
Wechselwirkungen und gemeinsame Abhängigkeiten prüfen
Technik, Raum, Personal, Information und Organisation gemeinsam prüfen
Wechselwirkungen sind nicht auf Versorgungstechnik begrenzt. Mehrere Abweichungen können dieselbe Fachkraft, denselben Bereitschaftsdienst, dasselbe Ersatzteil, denselben Zutrittsweg, dieselbe Kommunikationsverbindung oder dieselbe Entscheidungsrolle benötigen. Ebenso können unterschiedliche Anlagen räumlich gemeinsam gefährdet oder über dieselbe Automations- beziehungsweise Netzwerkkomponente verbunden sein. Die FM-Connect-Seite zu kritischer Infrastruktur betont deshalb, dass scheinbar unabhängige Sicherungen gemeinsame Voraussetzungen besitzen können. Für die Kumulationsprüfung werden solche gemeinsamen Ressourcen sichtbar gemacht. Dabei genügt eine fokussierte Betrachtung der kritischen Beziehungen; ein vollständiges Unternehmensprozessmodell ist nicht erforderlich.
|
| Technik/Medien | gleiche Versorgung oder Steuerung? | gemeinsamer Funktionsverlust |
| Raum/Umgebung | gleicher Technik- oder Nutzungsbereich? | gemeinsames Ereignis |
| Personal | gleiche Fach- oder Bereitschaftsressource? | Reaktionslücke |
| Information/IT | gleicher Daten- oder Kommunikationsweg? | fehlende Steuerbarkeit |
| Organisation | gleiche Freigabe- oder Eskalationsrolle? | Entscheidungsengpass |
Gleichzeitigkeit und Überlappung als eigenes Risikomerkmal behandeln
Eine Wechselwirkung kann allein dadurch entstehen, dass zwei zeitlich begrenzte Zustände überlappen. Wartung, Umbau, Provisorium, reduzierte Besetzung oder Lieferengpass können jeweils geplant sein und dennoch in Kombination eine vorgesehene Reserve aufheben. Deshalb werden Start, erwartetes Ende und kritische Zeitfenster der relevanten Abweichungen gemeinsam betrachtet. Verlängert sich ein Einzelzustand, ist zu prüfen, ob dadurch eine ursprünglich vermiedene Überlappung entsteht. Diese Logik gehört nicht in den Kalender als reine Terminprüfung, sondern in die Risikobewertung: Die Frage lautet, ob während des gemeinsamen Zeitfensters noch genügend unabhängige Schutz- und Wiederherstellungsmöglichkeiten vorhanden sind.
Folgen über nachgelagerte Funktionen bis zum Nutzungsergebnis verfolgen
Bei kritischen Kombinationen sollte die Bewertung nicht an der Anlagengrenze enden. Zu betrachten ist, welche Nutzer-, Produktions-, Sicherheits- oder Versorgungsfunktion am Ende der Kette betroffen sein kann. Ein reduzierter technischer Zustand wird erst durch seine Funktion im Gesamtbetrieb richtig eingeordnet. Die BetrSichV verlangt bei Arbeitsmitteln, sicherheitsrelevante Zusammenhänge von Arbeitsmittel, Arbeitsumgebung, Arbeitsverfahren und Organisation einzubeziehen. Für Gefahrstoffe fordert § 6 GefStoffV in seinem Anwendungsbereich sogar ausdrücklich, bekannte Wechsel- oder Kombinationswirkungen gleichzeitig auftretender Gefahrstoffe zu berücksichtigen. Daraus leitet sich zwar keine pauschale Rechtsvorschrift ab, die für alle FM-Risiken gilt, doch wird dasselbe grundlegende technische Prinzip angewandt: Bekannte Wechselwirkungen dürfen bei der Bewertung nicht künstlich voneinander getrennt werden.
Nur entscheidungsrelevante Wechselwirkungen als Steuerungsobjekt fortführen
Nicht jede theoretische Verbindung benötigt einen eigenen Prozess. Die Prüfung soll vielmehr die wenigen Wechselwirkungen identifizieren, die den Gesamtstatus, die Wirksamkeit einer Kompensation oder die Eskalationsentscheidung tatsächlich verändern. Diese Beziehungen werden mit Verantwortlichem und Reviewbedingung dokumentiert. Fällt eine Abweichung weg, wird auch die zugehörige Wechselwirkung geschlossen. Bleibt eine gemeinsame strukturelle Abhängigkeit dauerhaft bestehen, gehört sie in das bestehende Risikomanagement beziehungsweise die technische Funktionskettensteuerung zurück. Es behandelt temporäre Kumulation im Betrieb und erzeugt keine zweite dauerhafte Abhängigkeitsdatenbank.
