Was man an einem Integriertes Automationssystem (IAS) prüft.
Ältere Maschinenräume fuhren Alarmüberwachung, Motorfernsteuerung und Energiemanagement als drei getrennte Systeme, jedes mit eigener Verkabelung, eigenen Sensoren und eigenem Bedienpult. Ein IAS legt sie auf ein redundantes Netz mit gemeinsamer Datenbank: Ein einzelner Temperatursensor speist zugleich das Alarmsystem, den Trendarchivar und die Steuerlogik, und ein HMI-Bildschirm zeigt alle drei Funktionen. Der Gewinn sind weniger doppelte Sensoren, konsistente Daten über die Funktionen hinweg und zentrale Diagnose. Der Preis ist, dass ein Netz- oder Datenbankfehler Alarm, Steuerung und Energiemanagement zusammen mitnehmen kann — weshalb die Redundanzarchitektur, nicht irgendein Einzelbauteil, die Qualität einer…
Was ein IAS abhebt
Ältere Maschinenräume fuhren Alarmüberwachung, Motorfernsteuerung und Energiemanagement als drei getrennte Systeme, jedes mit eigener Verkabelung, eigenen Sensoren und eigenem Bedienpult. Ein IAS legt sie auf ein redundantes Netz mit gemeinsamer Datenbank: Ein einzelner Temperatursensor speist zugleich das Alarmsystem, den Trendarchivar und die Steuerlogik, und ein HMI-Bildschirm zeigt alle drei Funktionen. Der Gewinn sind weniger doppelte Sensoren, konsistente Daten über die Funktionen hinweg und zentrale Diagnose. Der Preis ist, dass ein Netz- oder Datenbankfehler Alarm, Steuerung und Energiemanagement zusammen mitnehmen kann — weshalb die Redundanzarchitektur, nicht irgendein Einzelbauteil, die Qualität einer IAS-Installation definiert.
Hauptkomponenten
Prozess-/Controllerstationen
Verteilte Controller in PLC- oder DCS-Art, üblich paarweise mit Hot-Standby oder redundanten CPUs installiert, führen Steuer- und Alarmlogik örtlich aus, damit ein einzelner Controllerausfall nicht den ganzen Maschinenraum blind macht.
Dezentrale I/O-Schränke
Feldmontierte Schränke wandeln Sensor- und Aktorsignale nahe der Ausrüstung ins Netzprotokoll, verkürzen lange Analogkabelstrecken und erlauben, einen Abschnitt zur Wartung zu isolieren, ohne Verkabelung durchs ganze Schiff zu ziehen.
Netz-Backbone
Ein doppelter, physisch getrennter Glasfaser- oder Ethernet-Ring verbindet Controller, I/O-Schränke und Arbeitsstationen, sodass ein einzelner Kabelschadenspunkt keine Station isoliert — diese Ringredundanz ist das wichtigste einzelne Konstruktionsmerkmal, das bei der Ablieferung zu verifizieren ist.
HMI-Arbeitsstationen und Archivar
Bedienstationen im Maschinenkontrollraum, auf der Brücke und im Ladekontrollraum zeigen Live- und Trenddaten aus der gemeinsamen Datenbank; ein Archivar protokolliert Alarme und Prozesswerte für die Fehlersuche und als Beleg bei der Vorfallsuntersuchung.
Auswahl und Auslegung
- I/O-Zahl und Reservekapazität für spätere Nachrüstungen, denn Punkte später hinzuzufügen heißt meist einen ganzen dezentralen I/O-Schrank hinzuzufügen
- Redundanzstufe: einzelnes Netz mit eigenständigen Reservetafeln, Doppelnetz oder voll redundante Controller passend zur angestrebten UMS-/AUT-Notation
- Ansprechzeit und Alarmverarbeitungskapazität unter Flutbedingungen (viele gleichzeitige Alarme, z. B. nach einem Blackout)
- Netztrennung zwischen dem OT-Automationsnetz (operative Technik) und jedem IT-Netz für Besatzungsinternet oder Bürosysteme
Vorschriften und Klasse
SOLAS Kap. II-1 setzt die Anforderungen an zeitweise unbesetzte Maschinenräume und trägt damit Klassenotationen wie AUT-UMS, die eine bestimmte Alarm-, Sicherheits- und Branderkennungsabdeckung verlangen, bevor ein Schiff mit unbesetztem Maschinenraum fahren darf. Die IACS-vereinheitlichten Anforderungen decken die für diese Notationen erwarteten Alarm- und Sicherheitsfunktionen ab. Die IMO-Entschließung zum Cyberrisikomanagement (MSC.428(98)) drängt die Eigner zu dokumentieren, wie das Automationsnetz getrennt und geschützt ist — was in der Praxis formt, wie IAS-Lieferanten die OT/IT-Grenze auf Neuinstallationen bauen.
Typische Fehler
| Ursache | Folge |
|---|---|
| Einzelner Netzring an zwei Punkten zugleich beschädigt | Ein Segment ist von der Datenbank isoliert, Alarme und Steuerung für diesen Abschnitt verloren, ohne klare örtliche Anzeige |
| Software-/Firmware-Update ohne dokumentierten Rückrollplan eingespielt | Steuerungsverlust oder Täuschungsalarme über mehrere Systeme zugleich, denn eine Datenbank speist alles |
| Kondensat im dezentralen I/O-Schrank oder vibrationsgelockerte Klemmen | Wechselhafte, schwer verfolgbare Fehler, gemeldet als zufällige Alarme statt als ein Schrankproblem |
| Undokumentiertes IT-Netz aufs Automationsnetz gebrückt | Cyber-Exponierung und die Möglichkeit, dass ein einzelnes Schadsoftware-Ereignis Antrieb oder Energiemanagement trifft |
Worauf es beim Lieferanten ankommt
- Eine dokumentierte Redundanzarchitektur passend zur angestrebten Klassenotation, keine für die See umetikettierte generische Industriesteuerplattform
- Bestätigte langfristige Software- und Ersatzteilunterstützung, denn IAS-Hardwaregenerationen veralten schneller als die Dienstzeit des Schiffs
- Klare OT/IT-Netztrennung im gelieferten Entwurf, mit Belegen für die Cyberrisikomanagement-Dokumentation
- Schulung vor Ort und Dokumentationstiefe, die den Schiffsingenieuren eigene Fehlersuche erlaubt — nicht nur den Servicetechnikern des Herstellers
Wenn ein IAS auf einmal eine Flut zusammenhangloser Alarme produziert, zuerst die Netz- oder Datenbankebene verdächtigen, bevor man jeden Sensor einzeln jagt — die geteilte Architektur, die das IAS im Normalbetrieb effizient macht, ist genau das, was einen Fehler in viele Symptome verwandelt.