Ein bestehendes CPS kontrolliert erweitern und prüfen
Du vergleichst Erweiterungsvarianten für eine Verpackungslinie, planst die kontrollierte Umsetzung und leitest Abnahme-, Test- und Rückfallkriterien ab.
Die neue Prüfung darf die laufende Linie nicht unbemerkt verändern
Die Elbwerk Verpackung KG transportiert Kartons auf einer bestehenden Linie. Eine Lichtschranke erkennt jeden Karton. Die speicherprogrammierbare Steuerung, kurz SPS, löst daraufhin einen Etikettierer aus. Ein Zähler am Antrieb meldet die Bandbewegung. Die Linie verarbeitet im freigegebenen Betrieb 50 Kartons pro Minute.
Mehrfach wurde ein Karton mit dem Etikett der vorherigen Charge weitertransportiert. Nun soll eine Kamera den aufgedruckten Code prüfen. Ein Ausschleuser soll einen Karton seitlich in eine Prüfbox schieben, wenn Code und Auftrag nicht zusammenpassen. Die mechanische Schutzeinrichtung der Linie bleibt unverändert.
Der erste Vorschlag lautet: Kamera anschließen, Bild an einen zentralen Dienst senden und dessen Ergebnis direkt in die SPS übernehmen. Dabei bleiben entscheidende Fragen offen. Passt die neue Schnittstelle zur vorhandenen SPS? Was passiert bei einem alten oder fehlenden Ergebnis? Kann zusätzlicher Netzverkehr die Bedienoberfläche stören? Wie gelangt die Anlage nach einem Fehler kontrolliert in den alten Zustand zurück?
Die Grundidee dieser Lektion lautet: Eine CPS-Erweiterung ist erst beherrscht, wenn ihre Anforderungen, Rückwirkungen, Tests und Rückfallgrenzen vor der Umschaltung feststehen.
Nach dieser Lektion kannst du:
- den freigegebenen Ist-Zustand als Vergleichsbasis festhalten,
- Systemgrenze und Schnittstellen einer Änderung bestimmen,
- zwei Lösungsvarianten anhand offener Kriterien vergleichen,
- Risiken und Rückwirkungen auf das Gesamtsystem untersuchen,
- einen Rollout mit Abnahme und technisch möglichem Rückfall planen.
Du solltest bereits wissen, wie Sensoren, Aktoren und eine lokale Steuerung in einem cyber-physischen System zusammenarbeiten. Diese Lektion erklärt nicht erneut den grundlegenden CPS-Regelkreis. Alle Namen, Daten und Grenzwerte des Szenarios wurden für diese Lektion neu erstellt.
Der Ist-Zustand ist mehr als eine Geräteliste
Vor einer Änderung brauchst du eine Baseline. Damit ist der dokumentierte und freigegebene Ausgangszustand gemeint. Sie erlaubt nach dem Umbau einen Soll-Ist-Vergleich und stellt die Informationen für einen Rückfall bereit.
Für die Verpackungslinie gehören dazu:
- freigegebene SPS-Programmversion und Parameter,
- Anschlussplan, Netzwerkplan und belegte Ein- und Ausgänge,
- Gerätetypen, Firmwarestände und unterstützte Protokolle,
- beobachtete Zykluszeit, Durchsatz und bestehende Störmeldungen,
- Sicherung der SPS-Konfiguration und eine geprüfte Anleitung zur Wiederherstellung,
- Zuständigkeiten für Mechanik, Automatisierung, Netzwerk und Freigabe.
Ein Backup allein ist noch keine Rückfallplanung. Es muss zur konkreten Hardware passen, auffindbar sein und sich in der verfügbaren Zeit wieder einspielen lassen. NIST SP 800-128 ordnet frühere freigegebene Konfigurationen ausdrücklich als Grundlage für Prüfung und Rückfall ein. Für betriebliche Technik kommt hinzu, dass Stillstände und Neustarts anders wirken können als bei einem normalen Bürorechner.
Anforderungen beschreiben eine beobachtbare Wirkung
“Die Kamera soll zuverlässig und schnell prüfen” ist nicht testbar. Für Elbwerk werden die Aussagen deshalb konkretisiert:
| Kennung | Anforderung des Szenarios | Späterer Nachweis |
|---|---|---|
| A1 | Jeder erkannte Karton erhält genau ein frisches Prüfergebnis mit Auftragskennung und Zeitstempel. | Protokoll eines Testlaufs mit 100 Kartons |
| A2 | Ein als falsch erkanntes Etikett wird vor dem Ende der Prüfzone ausgeschleust. | Funktions- und Zeitmessung |
| A3 | Fehlt ein gültiges Ergebnis, hält die Linie kontrolliert an. Ein unbekannter Karton darf nicht als geprüft weiterlaufen. | Ausfalltest ohne Kameraverbindung |
| A4 | Die bestehende Etikettierung und Bedienoberfläche funktionieren nach der Änderung weiterhin. | Regressionstest gegen die Baseline |
| A5 | Nur die SPS darf die Ausschleusung anfordern. Diagnosezugriffe dürfen keinen Stellbefehl auslösen. | Rechte- und Negativtest |
| A6 | Ein Rückfall auf die freigegebene Baseline ist im Wartungsfenster von 30 Minuten möglich. | protokollierte Rückfallprobe im Testsystem |
Die Zahlen sind Vorgaben des Übungsszenarios. Für eine reale Linie müssten Betrieb, Arbeitssicherheit, Qualitätssicherung und technische Verantwortliche sie gemeinsam freigeben.
Mehrfachauswahl
Welche Angaben brauchst du vor dem Variantenvergleich?
Wähle alle Informationen, die eine technische Entscheidung oder den späteren Test tragen.
Alle passenden Antworten gefunden.
Die Auswahl ist noch nicht vollständig richtig.
Baseline, räumlicher Ablauf, Fehlerzustand, Schnittstellenvertrag und Rückfallweg beeinflussen Auswahl und Test. Eine nicht geforderte Gehäusefarbe trägt die technische Entscheidung nicht.
Ziehe die Systemgrenze dort, wo Verantwortung geprüft werden muss
Die Systemgrenze legt fest, welche Komponenten und Wechselwirkungen du für den Auftrag gemeinsam betrachtest. Bei Elbwerk liegen Kamera, Beleuchtung, SPS-Programmbaustein, Ausschleuser, Netzwerkschnittstelle und Prüfbox innerhalb der betrachteten Erweiterung. Der zentrale Auftragsdienst und die vorhandene Bedienoberfläche liegen außerhalb, tauschen aber Daten mit ihr aus.
Jeder Übergang über die Grenze braucht einen kleinen Schnittstellenvertrag:
- Wer sendet und wer empfängt?
- Welche Kennung verbindet Karton, Auftrag und Ergebnis?
- Welche Werte und Datentypen sind zulässig?
- Woran erkennt der Empfänger Aktualität und Gültigkeit?
- Wie reagiert das System auf Zeitüberschreitung, Duplikat oder Verbindungsabbruch?
- Wer darf lesen, und wer darf eine physische Wirkung anfordern?
Damit wird aus “Kamera spricht mit SPS” eine prüfbare Aussage. Die Kamera liefert beispielsweise kartonId, ergebnis, konfidenz, zeitstempel und status. Die SPS akzeptiert ein Ergebnis nur, wenn die Kartonkennung zum wartenden Karton gehört, der Status gültig ist und die vorgegebene Zeit noch nicht überschritten wurde.
Systemgrenze und Datenwege der Erweiterung
Das Diagramm trennt Erkennung, lokale Entscheidung und physische Wirkung von externen Auftrags- und Diagnosediensten.
Das Diagramm konnte nicht geladen werden. Die Textfassung darunter enthält denselben Ablauf.
Der externe Auftragsdienst übermittelt den erwarteten Code an die Kamera. Die Lichtschranke meldet der SPS einen neuen Karton. Die Kamera sendet ihr Prüfergebnis an die SPS. Nur die SPS ordnet das Ergebnis einem wartenden Karton zu und steuert den Ausschleuser. Der Karton gelangt dadurch physisch in die Prüfbox. Bedienoberfläche und Diagnose erhalten Statusdaten. Sie dürfen den Ausschleuser nicht direkt ansteuern.
Vergleiche Varianten mit denselben Kriterien
Elbwerk betrachtet zwei Varianten:
- Variante A, lokale Smart-Kamera: Die Kamera liest den Code selbst und sendet nur Ergebnis, Kartonkennung und Diagnosewerte an die SPS. Diagnosebilder gehen getrennt an einen Speicher.
- Variante B, zentraler Bilddienst: Die Kamera sendet jedes Bild über das Produktionsnetz an einen Server. Der Server erkennt den Code und übermittelt das Ergebnis zurück.
Beide Varianten können grundsätzlich funktionieren. Ein sauberer Vergleich bewertet sie jedoch anhand derselben Anforderungen. Die Skala reicht von 1 Punkt, “erfüllt das Kriterium schwach”, bis 5 Punkte, “erfüllt das Kriterium stark”.
| Kriterium | Gewicht | Variante A | Variante B | Begründung für den Unterschied |
|---|---|---|---|---|
| Reaktionszeit und lokaler Weiterbetrieb | 30 % | 5 | 2 | A entscheidet lokal; B hängt für jedes Ergebnis von Netz und Server ab. |
| Kompatibilität mit SPS und Datenschnittstelle | 20 % | 4 | 3 | Beide brauchen eine definierte Schnittstelle; B ergänzt Server- und Bildtransport. |
| Begrenzung von Daten und Berechtigungen | 20 % | 4 | 2 | A kann Ergebnisdaten senden; B überträgt dauerhaft vollständige Bilder. |
| Wartbarkeit und zentrale Modellpflege | 15 % | 3 | 5 | B bündelt Erkennungssoftware und Rechenleistung auf dem Server. |
| Einführungs- und Betriebsaufwand | 15 % | 4 | 2 | B braucht zusätzliche Server-, Speicher- und Netzkapazität. |
Die gewichtete Bewertung ergibt für A 4,20 und für B 2,65 Punkte:
Variante A = 5×0,30 + 4×0,20 + 4×0,20 + 3×0,15 + 4×0,15 = 4,20
Variante B = 2×0,30 + 3×0,20 + 2×0,20 + 5×0,15 + 2×0,15 = 2,65Die Punktzahl ersetzt keine technische Ausschlussregel. Wenn eine Variante A3 nicht erfüllen kann, hilft ihr auch eine hohe Summe bei anderen Kriterien nicht. Unter den Szenarioannahmen wählt Elbwerk Variante A. Variante B bleibt interessant, wenn eine spätere Aufgabe komplexe Bildmodelle und zentrale Rechenleistung erfordert. Dann müssten Netzabhängigkeit und sicherer Fehlerzustand neu gelöst werden.
Schnellcheck
Entscheide über Variante und Schnittstelle
Entscheide dich bei jeder Frage. Du bekommst die Erklärung direkt nach deiner Antwort.
Geschafft
von 3
Situationen richtig eingeordnet.
Analysiere Rückwirkungen vor dem Umbau
Eine Risikoanalyse verbindet Ursache, Wirkung und Gegenmaßnahme. “Netzwerk kann ausfallen” bleibt zu allgemein. Für die Erweiterung ist entscheidend, was ein Ausfall mit einem Karton und der Linie macht.
| Veränderung oder Fehler | Mögliche Rückwirkung | Vorbeugung oder Begrenzung | Prüfnachweis |
|---|---|---|---|
| verspätetes Ergebnis | Karton erreicht den Ausschleuser ohne gültige Entscheidung | Zeitfenster in der SPS; bei Überschreitung kontrollierter Halt | Zeitüberschreitung erzwingen |
| doppelte Nachricht | Ausschleuser wird einem falschen Karton zugeordnet | Kartonkennung und einmalige Verarbeitung | Duplikat einspeisen |
| zusätzliches Diagnosebild im Produktionsnetz | Bedienoberfläche reagiert verzögert | getrennte Diagnoseübertragung und Lastbegrenzung | Lasttest mit gleichzeitiger Bedienung |
| neuer SPS-Baustein braucht zu viel Zykluszeit | Sensoren oder Aktoren werden zu spät verarbeitet | Zykluszeit vor und nach Änderung messen | Messung unter maximaler Linienlast |
| falsche Konfiguration nach Update | gute Kartons werden ausgeschleust | versionierte Parameter, Vier-Augen-Freigabe und Baseline | Grenzwert- und Wiederanlauftest |
| Ausschleuser blockiert mechanisch | Linie staut sich oder Karton bleibt im Gefahrenbereich | Rückmeldung der Endlage und kontrollierter Stopp | Ausfalltest mit blockierter Rückmeldung |
NIST SP 800-82 weist darauf hin, dass Änderungen in operativer Technik gründlich getestet und schrittweise ausgerollt werden sollten. Verfügbarkeit und physische Wirkung verändern die Reihenfolge: Nicht jede Aktualisierung darf sofort automatisiert in den laufenden Betrieb gelangen.
Plane den Rollout als Folge kontrollierter Zustände
Der Umbau wird nicht mit dem Einschalten beendet. Zwischen Vorbereitung und Abnahme liegen Freigabepunkte. An jedem Punkt ist klar, ob das Team fortsetzt, korrigiert oder zurückfällt.
Sortieraufgabe
Bringe den kontrollierten Rollout in die richtige Reihenfolge
Ziehe die Einträge an die richtige Position. Geht auch per Tastatur über den Griff.
Die Reihenfolge stimmt.
Die Reihenfolge passt noch nicht.
Zuerst stehen Ausgangszustand und Rückfallfähigkeit fest. Danach folgt der Test außerhalb der Produktion. Installation, begrenzter Pilot, formale Abnahme und Übergabe bauen aufeinander auf.
Für Elbwerk sieht der Plan so aus:
- Vorbereitung: Baseline sichern, Rückfallprobe im Testsystem abschließen, Wartungsfenster und Verantwortlichkeiten bestätigen.
- Vorabtest: Kameralogik und SPS-Baustein mit simulierten Kartons prüfen. Die reale Ausschleusung bleibt getrennt.
- Installation: Hardware spannungsfrei nach freigegebenem Plan anschließen, Konfiguration einspielen und Netzwerkregeln prüfen.
- Technische Kurzprüfung: Ein- und Ausgänge, Kommunikationsstatus, Not-Halt-Kette und manueller Betrieb werden nach betrieblicher Prüfvorgabe bestätigt.
- Pilot: Eine begrenzte Testcharge läuft unter Beobachtung. Die alte Baseline bleibt verfügbar.
- Abnahme: Vereinbarte Testfälle werden protokolliert. Abweichungen erhalten Verantwortliche und Entscheidung.
- Übergabe: Pläne, Versionen, Bedienhinweise, Sicherung, Wiederherstellung und offene Punkte werden übergeben.
Rückfall und Abnahme beantworten verschiedene Fragen
Ein Rückfallkriterium beantwortet: Wann brechen wir die Einführung ab und stellen den bekannten Zustand wieder her? Ein Abnahmekriterium beantwortet: Welche nachgewiesenen Ergebnisse erlauben die Freigabe der neuen Lösung?
Bei Elbwerk löst jeder dieser Punkte einen Rückfall aus:
- Die SPS-Zykluszeit überschreitet die intern freigegebene Obergrenze.
- Ein fehlendes oder altes Ergebnis lässt einen unbekannten Karton weiterlaufen.
- Die Bedienoberfläche oder bestehende Etikettierung fällt im Pilot wiederholt aus.
- Die Wiederherstellung der sicheren Grundfunktion ist im Wartungsfenster nicht möglich.
Für die Abnahme müssen dagegen alle Anforderungen A1 bis A6 mit Nachweis erfüllt sein. Ein Rückfall ist keine improvisierte Fehlersuche unter Zeitdruck. Der Plan benennt zu sichernde Daten, Reihenfolge, verantwortliche Person, erwartete Dauer und Prüfung des wiederhergestellten Zustands.
Entwirf Tests aus den Anforderungen, nicht aus den Bildschirmen
Ein Testfall braucht Ausgangszustand, Eingabe oder Handlung, erwartetes Ergebnis und Beleg. Die folgenden Testarten betrachten verschiedene Fehlerbilder:
- Funktionstest: Erkennt die Kamera den passenden und den falschen Code, und steuert die SPS den richtigen Ablauf?
- Grenzwerttest: Was passiert genau an der erlaubten Zeit-, Konfidenz- oder Zykluszeitgrenze sowie knapp darunter und darüber?
- Ausfalltest: Wie reagiert das System auf getrennte Kamera, fehlende Endlagenrückmeldung oder ungültige Daten?
- Regressionstest: Funktionieren Etikettierung, Bedienung und vorhandene Störmeldungen noch wie in der Baseline?
- Lasttest: Bleiben Zuordnung und Reaktionszeit bei 50 Kartons pro Minute und gleichzeitiger Diagnose erhalten?
- Berechtigungstest: Kann die Diagnose nur lesen, während ausschließlich die SPS den Ausschleuser anfordert?
- Wiederanlauftest: Sind nach einem Neustart Zustand, Parameter und wartende Kartons eindeutig behandelt?
| Testfall | Ausgangszustand und Handlung | Erwartetes Ergebnis | Beleg |
|---|---|---|---|
| T-01 richtiger Code | Linie im Pilotmodus; Karton K-101 trägt den erwarteten Code. | K-101 läuft weiter; genau ein frisches Ergebnis wird protokolliert. | Ereignisprotokoll und Zählerstand |
| T-02 falscher Code | K-102 trägt einen abweichenden Code. | SPS ordnet das Ergebnis K-102 zu; Ausschleuser bewegt genau diesen Karton in die Prüfbox. | Zeitstempel, Kartonkennung und Sichtprüfung |
| T-03 Kameraausfall | Verbindung wird vor K-103 getrennt. | Nach Ablauf des Zeitfensters hält die Linie kontrolliert; K-103 wird nicht als geprüft gezählt. | Störmeldung und Zustandsprotokoll |
| T-04 Duplikat | Ergebnis für K-104 wird zweimal gesendet. | Nur die erste frische Nachricht beeinflusst den Prozess; das Duplikat wird protokolliert. | Nachrichten- und Aktorprotokoll |
| T-05 Regression | Etikettierung, Bedienung und bestehende Störmeldung werden wie in der Baseline bedient. | Alle festgelegten Baseline-Funktionen liefern dasselbe fachliche Ergebnis. | Vorher-Nachher-Protokoll |
Transferaufgabe
Plane die Freigabe für eine geänderte Zeitgrenze
Elbwerk möchte das erlaubte Zeitfenster für ein Kameraergebnis von 400 auf 550 Millisekunden erhöhen, weil im Pilot einzelne gültige Ergebnisse zu spät eintreffen. Entwirf einen Grenzwerttest mit mindestens drei Werten. Benenne außerdem eine mögliche Rückwirkung, ein Abnahmekriterium und ein Rückfallkriterium.
Musterlösung vergleichen
Musterlösung: Prüfe beispielsweise Ergebnisse nach 549, 550 und 551 Millisekunden. Nach der vereinbarten Spezifikation werden 549 und 550 Millisekunden noch akzeptiert. Bei 551 Millisekunden hält die Linie kontrolliert und zählt den Karton nicht als geprüft. Zusätzlich muss bei maximaler Bandgeschwindigkeit nachgewiesen werden, dass ein mit 550 Millisekunden akzeptiertes Ergebnis noch vor der technisch spätesten Ausschleusung eindeutig dem richtigen Karton zugeordnet wird. Als Abnahmekriterium gilt: Alle drei Grenzfälle zeigen in mehreren wiederholten Läufen das festgelegte Verhalten, ohne eine Baseline-Funktion zu beeinträchtigen. Als Rückfallkriterium gilt: Ein Ergebnis wird dem folgenden Karton zugeordnet oder ein unbekannter Karton verlässt die Prüfzone. Dann wird die Änderung abgebrochen und die freigegebene 400-Millisekunden-Konfiguration wiederhergestellt.
Dokumentiere die Entscheidung so, dass der Betrieb handeln kann
Eine Übergabe enthält nicht nur das ausgewählte Gerät. Für Elbwerk werden mindestens diese Informationen festgehalten:
- Auftrag, Anforderungen und ausdrücklich nicht umgesetzte Wünsche,
- Systemgrenze, Schnittstellen und Datenverantwortung,
- Variantenvergleich und begründete Auswahl,
- Versionen, Parameter, Pläne und geänderte Komponenten,
- Risiken, Schutzmaßnahmen und verbleibende Restrisiken,
- Testfälle, Ergebnisse, Abweichungen und Abnahmeentscheidung,
- Bedienung, Störung, Rückfall und Wiederanlauf,
- Verantwortliche sowie offene Wartungs- und Schulungsaufgaben.
Damit steht nicht nur eine technische Lösung. Der Betrieb kann erkennen, welcher Zustand freigegeben wurde, welche Grenzen gelten und wie er bei einer Störung handeln soll.
Abgrenzung dieser Lektion
Diese Lektion behandelt den kontrollierten Änderungsprozess an einem bestehenden CPS. Die grundlegenden Rollen von Sensorik, Aktorik, Verarbeitung und Rückkopplung gehören zur Lektion “CPS-Grundlagen”. Eine detaillierte Architekturvisualisierung ist ein eigenes Lernziel. Reines Monitoring betrachtet laufende Zustände und Kennzahlen nach der Inbetriebnahme. Hier steht dagegen die Entscheidung im Mittelpunkt, was geändert werden darf, wie Rückwirkungen begrenzt werden und woran Abnahme oder Rückfall festgemacht werden.
Belegmatrix
| Lernziel | Ordnungsmittel | Verwendete Quellen | Lernaktivität |
|---|---|---|---|
| Ist-Zustand, Systemgrenze und Anforderungen ableiten | LF12d; E2 | KMK-Rahmenlehrplan; FIAusbV; NIST SP 800-128 | Anforderungstabelle und Mehrfachauswahl |
| Varianten anhand offener Kriterien vergleichen | LF12d; E2 | KMK-Rahmenlehrplan; FIAusbV; NIST SP 800-82 Rev. 3 | gewichteter Variantenvergleich und Quiz |
| Risiken und Rückwirkungen untersuchen | LF12d; E2 | NIST SP 800-82 Rev. 3; NIST SP 800-128 | Risikotabelle und Schnittstellendiagramm |
| Rollout, Abnahme und Rückfall planen | LF12d; E2; A7; DV-PB1 | KMK-Rahmenlehrplan; FIAusbV; NIST SP 800-128 | Sortieraufgabe und Rolloutplan |
| Funktions-, Grenzwert-, Ausfall- und Regressionstests entwerfen | LF12d; E2; DV-PB3 | FIAusbV; Prüfungskatalog; NIST SP 800-128 | Testfalltabelle, Quiz und Transferaufgabe |
Durchgearbeitet?
Markiere die Lektion als erledigt, dein Fortschritt wird lokal gespeichert.