Sensordaten auf Plausibilität prüfen und sicher behandeln

Wenn ein Füllstand springt, obwohl der Tank ruhig bleibt

Die Wiesenstrom Gewächshaustechnik GmbH betreibt eine automatische Nährstoffmischung. Ein Vorratstank wird über ein Ventil befüllt. Zwei voneinander unabhängige Sensoren messen den Füllstand: der Ultraschallsensor L-41A und der Drucksensor L-41B. Ein Edge-Controller erhält alle fünf Sekunden einen Messwert und steuert das Einlassventil sowie die Dosierpumpe.

Um 09:17:20 Uhr meldet L-41A plötzlich 196 cm. Fünf Sekunden zuvor waren es 121 cm. L-41B zeigt zur gleichen Zeit 123 cm. Der physische Prozess kann den Tank laut dokumentierter Anlagenvorgabe in fünf Sekunden um höchstens 8 cm verändern.

Welcher Wert darf in die Steuerungsentscheidung einfließen? Soll das System den letzten guten Wert behalten, auf den zweiten Sensor wechseln oder beide Messungen verwerfen? Eine Antwort nur nach Bauchgefühl wäre im laufenden Betrieb riskant.

Die Grundidee dieser Lektion lautet: Ein Messwert ist nicht allein deshalb plausibel, weil sein Zahlenwert möglich aussieht. Du prüfst Wert, zeitlichen Verlauf, Aktualität und unabhängige Vergleichsinformationen und leitest daraus eine vorher festgelegte Reaktion ab.

Die Zahlen und Grenzwerte dieser Lektion gehören zum neu erstellten Beispielszenario. In einer realen Anlage leitest du sie aus Sensorbereich, Prozessgrenzen, Risikobeurteilung, Betriebsanweisung und freigegebenem Steuerungskonzept ab. Du übernimmst sie nicht ungeprüft.

Du solltest bereits wissen, was Sensor, Aktor und Zeitstempel bedeuten. Die Lektion “Eine Störung im vernetzten System Ende zu Ende eingrenzen” verfolgt ein Signal über mehrere Systeme. Hier bleibst du bewusst an der Messstelle und ihrer unmittelbaren Steuerungsentscheidung. Eine allgemeine Datenqualitätsprüfung für große Datenbestände ist ebenfalls ein anderes Thema.

Prüfe vier verschiedene Fragen

Eine einzelne Regel deckt nur eine Art von Auffälligkeit ab. Für den Mischtank kombiniert der Edge-Controller vier Prüfungen.

1. Liegt der Wert im möglichen Messbereich?

Der Tank kann zwischen 0 cm und 240 cm Füllstand melden. Ein Wert von -3 cm oder 268 cm ist für diese Messstelle außerhalb des freigegebenen Wertebereichs. Die Wertebereichsprüfung verwirft solche Werte unabhängig davon, wie ruhig der Verlauf davor war.

Die Grenzen gehören zur konkreten Messstelle. Eine Temperatur von 95 °C kann in einem Heizprozess normal und in einem Kühlraum unplausibel sein. Ein technisch möglicher Sensorwert ist nicht automatisch ein fachlich möglicher Prozesswert.

2. Passt die Änderung zur vergangenen Zeit?

Ein absolut gültiger Wert kann trotzdem zu schnell erreicht worden sein. Aus 121 cm und 196 cm ergibt sich eine Änderung von 75 cm in fünf Sekunden. Die Anlagenvorgabe erlaubt höchstens 8 cm in diesem Zeitraum.

Die Änderungsratenprüfung betrachtet deshalb nicht nur die Differenz, sondern auch das Zeitintervall:

Aenderungsrate = Betrag(aktueller Wert - letzter gueltiger Wert) / verstrichene Zeit

Bei gleichbleibendem Fünf-Sekunden-Takt genügt im Beispiel ein Grenzwert von 8 cm je 5 s. Bei schwankenden Abständen rechnest du auf eine gemeinsame Zeiteinheit um. Sonst würde dieselbe physische Änderung je nach Übertragungszeit unterschiedlich bewertet.

Ein schneller echter Prozesswechsel darf nicht pauschal als Fehler verschwinden. Öffnet beispielsweise ein Ablassventil, kann sich die zulässige Änderungsrate ändern. Solche Betriebszustände müssen im Regelwerk ausdrücklich vorkommen.

3. Ist der Wert frisch und ist die Folge vollständig?

Ein Zahlenwert kann fachlich passen und trotzdem veraltet sein. Jeder Datensatz braucht deshalb mindestens eine Sensor-ID, den Messwert und den Zeitpunkt der Messung.

{
  "sensorId": "L-41A",
  "valueCm": 121,
  "measuredAt": "2026-07-10T09:17:15.000+02:00",
  "sequence": 8841
}

Der Edge-Controller erwartet alle fünf Sekunden einen neuen Wert. Die Anlagenvorgabe stuft einen Wert bis einschließlich 15 Sekunden Alter als frisch ein. Ist er älter, gilt er als veraltet. Eine Lücke in der Sequenznummer zeigt zusätzlich, dass mindestens ein Datensatz in der erwarteten Folge fehlt.

Zeitstempel und Sequenznummer beantworten unterschiedliche Fragen. Der Zeitstempel zeigt, wann gemessen wurde. Die Sequenznummer macht eine Lücke sichtbar, selbst wenn mehrere Nachrichten später dicht nacheinander eintreffen. Eine Lücke belegt aber noch nicht ihre Ursache. Sensor, lokaler Puffer, Übertragung und Verarbeitung kommen weiterhin infrage.

4. Stimmen unabhängige Messungen ausreichend überein?

L-41A und L-41B messen dieselbe Prozessgröße mit unterschiedlichen Messprinzipien. Sind beide aktuell und einzeln gültig, vergleicht der Controller ihre Werte. Eine Abweichung bis einschließlich 6 cm ist laut Szenariovorgabe zulässig.

Dieser Kreuzvergleich stärkt die Entscheidung, weil zwei getrennte Messwege denselben Zustand beobachten. Er hilft aber nur, wenn die Messungen zeitlich zusammenpassen und nicht von derselben Fehlerursache abhängen. Zwei Sensoren mit gemeinsamer Spannungsversorgung sind beispielsweise nicht gegen jeden Ausfall unabhängig.

Trenne ungewöhnliche Werte von belegten Fehlern

Der Begriff Ausreißer beschreibt zunächst einen Wert, der deutlich vom üblichen Verlauf oder von anderen Beobachtungen abweicht. Das ist eine statistische Auffälligkeit. Ein Fehler ist dagegen durch eine verletzte Regel, einen Diagnosebefund oder einen bekannten Defekt belegt.

Für den Mischtank entstehen drei unterschiedliche Fälle:

Ein automatisches “Ausreißer löschen” wäre hier falsch. Es könnte einen echten schnellen Prozesszustand unsichtbar machen. Speichere den Rohwert samt Prüfstatus, sofern das Betriebskonzept dies vorsieht. So bleibt nachvollziehbar, welche Information einging und warum sie nicht für die Steuerung verwendet wurde.

Leite aus dem Befund eine begrenzte Reaktion ab

Eine gute Plausibilitätslogik endet nicht bei gültig oder ungültig. Sie legt fest, was das System mit dem Befund macht. Für den Beispieltank gilt das folgende freigegebene Reaktionskonzept.

1. Sind beide Sensoren frisch und plausibel, verwendet die Steuerung den Mittelwert.
2. Ist genau ein Sensor plausibel, verwendet sie vorübergehend diesen Wert und meldet den Redundanzverlust.
3. Fehlt ein neuer Wert, darf der letzte gültige Steuerwert höchstens 15 Sekunden lang gehalten werden. Die Anzeige kennzeichnet ihn als Ersatzwert.
4. Sind beide Sensoren ungültig oder älter als 15 Sekunden, schließt die Steuerung das Einlassventil und stoppt die Dosierpumpe. Dies ist der für das Szenario definierte Fail-safe-Zustand.
5. Eine Bedienperson darf den Status erst nach Prüfung und nach dem vorgesehenen Freigabeverfahren zurücksetzen.

Ein Ersatzwert ist damit kein reparierter Messwert. Er ist eine offen gekennzeichnete, zeitlich begrenzte Überbrückung. Für eine Anzeige kann ein älterer Wert länger akzeptabel sein als für eine automatische Stellentscheidung. Deshalb gehören Verwendungszweck und Ablaufzeit zusammen in die Regel.

Formuliere einen Alarm, der eine Handlung ermöglicht

“Sensorfehler” ist zu wenig. Die Meldung lässt offen, welcher Sensor betroffen ist, welche Regel verletzt wurde und wie das System reagiert hat. Eine hilfreiche Alarmmeldung enthält:

• betroffene Messstelle und Sensoren,
• verletzte Regel mit Soll und Ist,
• Messzeitpunkt und Zeitpunkt der Bewertung,
• verwendeten Ersatzstatus oder ausgeführten Fail-safe-Zustand,
• eine eindeutige Alarm- oder Ereigniskennung,
• den vorgesehenen nächsten Prüfschritt.

Alarm: LEVEL_INPUT_UNTRUSTED
Ereignis: EVT-20260710-091720-184
Messstelle: Tank T-41
Befund: L-41A sprang von 121 cm auf 196 cm in 5 s; erlaubt sind max. 8 cm je 5 s.
Kreuzvergleich: L-41B = 123 cm; Differenz = 73 cm; erlaubt sind max. 6 cm.
Reaktion: L-41A für Steuerung gesperrt; L-41B vorübergehend verwendet.
Nächster Schritt: L-41A und seinen lokalen Messweg prüfen.

Die Meldung behauptet nicht vorschnell, welcher Bauteilfehler vorliegt. Sie beschreibt den belegten Widerspruch und die Systemreaktion. Die eigentliche Ursachenanalyse kann anschließend Sensor, Versorgung, Anschluss, Umwandlung oder Datenübernahme getrennt untersuchen.

Setze die Regeln in eindeutige Entscheidungslogik um

Die folgende Darstellung ist Pseudocode. Sie zeigt die Reihenfolge, nicht die Syntax einer bestimmten Steuerungsplattform.

pruefeMessung(aktuell, letzterGueltigerWert, redundanterWert, jetzt):
    bereichOk = 0 <= aktuell.wertCm <= 240
    frisch = jetzt - aktuell.messzeit <= 15 sekunden
    rateOk = betrag(aktuell.wertCm - letzterGueltigerWert.wertCm)
             <= 8 cm je 5 sekunden umgerechnet auf das echte Zeitintervall
    vergleichOk = redundanterWert fehlt
                   oder betrag(aktuell.wertCm - redundanterWert.wertCm) <= 6

    wenn bereichOk und frisch und rateOk und vergleichOk:
        status = PLAUSIBEL
    sonst:
        status = NICHT_VERTRAUENSWUERDIG

    gib status und alle Einzelbefunde zurueck

Die Einzelbefunde bleiben erhalten. Ein einziges false ohne Begründung wäre für Alarmierung und Fehlersuche zu schwach. Die Reaktionslogik betrachtet anschließend beide Sensorstatus, die Ablaufzeit des letzten gültigen Werts und den freigegebenen sicheren Zustand.

Teste Grenzen und Kombinationen

Eine Plausibilitätslogik braucht mehr als einen Normalfall. Gerade die Grenzen zeigen, ob kleiner als und kleiner oder gleich zur Spezifikation passen. Für das Szenario gelten 0 bis 240 cm, höchstens 8 cm je 5 s, höchstens 6 cm Sensordifferenz und höchstens 15 Sekunden Alter jeweils einschließlich der Grenze.

Ergänze auch Kombinationen. Ein Wert kann gleichzeitig im Bereich, aber veraltet sein. Ein Sensor kann eine gültige Änderungsrate haben, während der Kreuzvergleich scheitert. Die Einzelregeln müssen dann sichtbar bleiben, damit die Reaktion begründet werden kann.

Wo diese Lektion endet

Du hast hier die Vertrauenswürdigkeit einer Sensormessung für eine unmittelbare OT-Entscheidung bewertet. Drei Nachbarthemen bleiben bewusst außerhalb:

• Allgemeine Datenqualität untersucht zusätzlich große Datenbestände, Dubletten, Formate, Vollständigkeit, fachliche Konsistenz und Eignung für eine spätere Analyse. Eine Steuerungsregel für einen einzelnen Messkanal ersetzt diesen Prozess nicht.
• Ende-zu-Ende-Diagnose verfolgt ein Signal vom Sensor über Steuerung, Gateway und Nachrichtendienst bis zur Anwendung oder zum Aktor. Eine Zeitlücke in dieser Lektion zeigt einen Befund, lokalisiert aber nicht automatisch die gestörte Komponente.
• Funktionale Sicherheit und Risikobeurteilung legen fest, welcher Anlagenzustand tatsächlich sicher ist. Diese Lektion wendet den im Szenario vorgegebenen Fail-safe-Zustand an. Sie entwirft keine Sicherheitsfunktion und ersetzt keine fachliche Freigabe.

Damit steht das Vorgehen: Du prüfst mehrere unabhängige Merkmale, bewahrst die Einzelbefunde und trennst Auffälligkeit von belegtem Fehler. Danach folgt eine vorher festgelegte Reaktion mit klarer zeitlicher Grenze. Testfälle sichern sowohl die normale Verarbeitung als auch die Stellen ab, an denen das Verhalten kippt.

Belegmatrix