Der teuerste Ausfall in einem automatisierten Betrieb ist nicht der laute. Ein Dienst, der abstürzt, meldet sich. Gefährlich ist der Vorgang, der weiterhin startet, weiterhin grün gemeldet wird und trotzdem seit Tagen nichts mehr produziert. Niemand bekommt eine Fehlermeldung, weil formal kein Fehler passiert ist.
Prozesssignal ist nicht Ergebnissignal
Die meisten Überwachungen beantworten eine einzige Frage: Läuft der Dienst? Sie prüfen, ob ein Prozess existiert, ob eine Adresse antwortet, ob eine geplante Aufgabe zur vorgesehenen Zeit gestartet ist. Das sind Aussagen über den Apparat, nicht über das Ergebnis. Betriebswirtschaftlich relevant ist eine andere Frage: Ist am Ende der Kette in den letzten vierundzwanzig Stunden etwas herausgekommen? Zwischen diesen beiden Fragen liegt der gesamte stille Ausfall.
Die typischen Bauarten
- Der leere Erfolg: Ein Vorgang läuft sauber durch und verarbeitet null Datensätze. Ohne Ergebniszahl ist das von einem echten Erfolg nicht zu unterscheiden.
- Der geschluckte Fehler: Eine Ausnahme wird abgefangen, damit der Ablauf nicht abbricht, und danach nirgends festgehalten.
- Die falsche Quelle: Ein Schritt liest oder schreibt an einer Stelle, die formal existiert, aber leer ist. Technisch fehlerfrei, fachlich wertlos.
- Der abgelaufene Zugang: Eine Berechtigung verfällt. Die eigene Seite arbeitet einwandfrei weiter, nur die Übergabe nach außen wird abgewiesen.
- Der fremde Abnehmer: Nicht wir liefern, sondern ein Dritter holt ab. Wird ihm der Zugriff genommen, sieht die eigene Seite ausschließlich Erfolg.
Alter messen statt Zustand
Die wirksamste Gegenmaßnahme ist unspektakulär: Für jeden wichtigen Vorgang wird nicht der Zustand überwacht, sondern das Alter des letzten belegten Ergebnisses. Wann ist zuletzt eine Rechnung herausgegangen, ein Beitrag veröffentlicht, ein Datensatz erzeugt? Die Schwelle leitet sich aus dem normalen Takt ab: Was täglich passieren soll, ist nach zwei Tagen ein Alarm, was wöchentlich läuft, nach zehn Tagen. Der Vorteil dieser Messung ist, dass sie keine Annahme über die Ursache trifft. Sie stellt nur fest, dass am Ausgang nichts mehr ankommt. Warum, klärt danach ein Mensch.
Eine Überwachung, die nur Prozesse kennt, bestätigt den Betrieb, nicht das Geschäft. Jede Automatisierung braucht schon bei der Inbetriebnahme eine Antwort auf die Frage: Woran genau merke ich, dass sie nicht mehr liefert?
Am Ausgang prüfen, nicht an der Quelle
Ketten reißen bevorzugt am letzten Glied, weil dort die fremden Abhängigkeiten sitzen. Der Prüfpunkt gehört deshalb ans Ende: nicht die Feststellung, dass ein Dienst erreichbar ist, sondern ein echter Aufruf mit einer erwarteten Antwort. Eine offene Adresse beweist nur, dass etwas lauscht. Der zweite Teil derselben Regel: Zwei benachbarte Stufen brauchen zwei getrennte Signale. Ein Vorgang kann fehlerfrei erzeugen, während die Auslieferung hängt. Wer beides in eine Zahl mischt, verliert genau die Unterscheidung, die den Fehler eingrenzen würde.
Alarmieren, ohne abzustumpfen
Ein Warnsystem, das jeden Zustand dauernd meldet, wird nach zwei Wochen ignoriert und ist damit wirkungslos. Tragfähig ist eine Meldung beim Wechsel des Zustands, also grün wird rot und rot wird wieder grün, dazu eine kurze Zusammenfassung einmal am Tag. Ebenso wichtig: Auch der geglückte Selbstheilungsversuch wird gemeldet. Ein System, das sich unbemerkt jede Nacht selbst neu startet, ist kein stabiles System, sondern eines mit einem verdeckten Defekt und einer Frist.
Was das für die Führung bedeutet
Stille Ausfälle sind kein Technikthema, sondern ein Führungsthema. Sie kosten dieselben Wochen wie ein sichtbarer Ausfall, treten aber ohne Ereignis auf und werden erst bemerkt, wenn jemand ein Ergebnis vermisst. Die Regel, die daraus folgt, ist einfach und unbequem: Kein neuer Automat geht in Betrieb, bevor sein Ergebnissignal steht, und kein Statusbild darf grün zeigen, wenn es die Frage nach dem Ergebnis nicht beantworten kann. Welche Kennzahlen dafür überhaupt taugen und welche nur Beruhigung sind, steht in Das Dashboard-Prinzip: Nur messen, was steuerbar ist.
Wer diese Disziplin einführt, verliert kurzfristig Zeit für Messpunkte, die nach nichts aussehen, und gewinnt eine Eigenschaft, die sich nicht nachrüsten lässt: Er erfährt von Problemen, bevor ein Kunde sie erfährt.