Nehmen wir den besten Fall an: Das Sollverhalten ist vollständig beschrieben, widerspruchsfrei, abgestimmt und freigegeben. Selbst dann ist über die Realisierung nichts bewiesen — denn die Übersetzung dieses Solls in Code, HMI, Dokumentation und Datenstruktur ist heute nur durch Beobachtung prüfbar. Und Beobachtung hat zwei Grenzen.
Getestet wird, was im Test auftrat: der Normalablauf, die geplanten Störfälle, die Kombinationen, an die jemand gedacht hat. Der reale Zustandsraum — Betriebsarten mal Rezepturen mal Störungslagen mal Wiederanlaufsituationen — ist um Größenordnungen größer.
Was nie beobachtet wurde, ist nicht geprüft. Es ist nur nicht aufgefallen.Ein Beobachtungsnachweis beschreibt einen Systemzustand, keine Systemeigenschaft. Eine Codeanpassung, ein verstellter Parameter, ein getauschter Sensor, ein neues Rezept — jede Änderung setzt ihn außer Kraft.
Und niemand bemerkt, wann er verfallen ist.
Die Behavior Reference (BR) ist das, was P&ID für die Prozesstechnik und der Stromlaufplan für die Elektrotechnik ist: eine Sollstruktur mit normativer Autorität über Implementierung und Laufzeit.
Am Anfang steht nicht das Modell, sondern die Klärung: Was soll die Anlage leisten, mit welcher Technologie, in welchen Funktionen. Ohne diese Klärung modelliert man Annahmen.
Verhalten wird als endlicher Zustandsraum beschrieben: welche Zustände es gibt, welche Übergänge zulässig sind, welche Bedingungen sie auslösen, welche Verriegelungen gelten. Was hier nicht steht, ist nicht erlaubt — und genau das macht die Prüfung entscheidbar.
Die Behavior Reference (BR) ist keine nachträgliche Dokumentation des Codes. Sie entsteht vor dem Code. Sie wird freigegeben, versioniert und bleibt im Eigentum des Betreibers — übergebbar auch an jemanden, der nicht Selmo heißt.
Aus der freigegebenen Behavior Reference (BR) wird abgeleitet — nicht erfunden und nicht nachträglich beschrieben. Weicht ein Ergebnis ab, ist die Abweichung feststellbar, weil es eine Quelle gibt, gegen die sie feststellbar ist. Der Code ist dabei der Kanal, über den das definierte Verhalten zur Maschine gelangt — und jeder Kanal hat eine Störgröße: Mehrdeutigkeit, zusätzliches Verhalten, Bedeutungsverlust. Das ist keine Eigenschaft der Menschen, die ihn bedienen, sondern eine Eigenschaft von Übertragung.
Nach dem Kommunikationsmodell von Claude Shannon: Sender, Nachricht, Kanal, Störgröße, Empfänger. Die Störgröße bleibt — die Übertragung lässt sich prüfen. Genau das ist Verifikation: der Vergleich des Empfangenen mit dem Gesendeten.
Was abgeleitet wirdDie Ablauflogik folgt dem Zustandsmodell. Der Selmo Standard gibt Struktur- und Benennungsregeln vor, sodass jede Anlage gleich gelesen werden kann.
Was abgeleitet wirdBedienung und Diagnose zeigen dieselben Zustände wie das Modell. Der Bediener sieht nicht eine Interpretation des Verhaltens, sondern das Verhalten selbst.
Was abgeleitet wirdDie Beschreibung entsteht aus derselben Quelle wie die Umsetzung und altert deshalb nicht unabhängig von ihr.
Was abgeleitet wirdSignale, Meldungen und Kennzahlen tragen dieselbe Struktur. PLCOpen XML ist das Austauschformat — die Referenz bleibt lesbar, auch außerhalb unserer Werkzeuge.
Vier Entscheidungen strukturieren das Vorgehen. Jede hat eine Frage, die mit Ja oder Nein beantwortet wird — nicht mit einem Zwischenstand.
Die FrageIst der Intent so bestimmt, dass Engineering ohne stillschweigende Annahmen beginnen kann?
Die FrageIst das erwartete Verhalten so vollständig definiert, dass die Implementierung kein eigenes Verhalten erfinden muss?
Die FrageLiegt ein integriertes, betriebsfähiges, prüfbares System vor?
Die FrageErfüllt das verifizierte System den Intent?
Die Verwechslung dieser beiden ist der häufigste stille Fehler in Abnahmen — und der Grund, warum ein bestandener Test manchmal nichts über die Richtigkeit aussagt.
Verifikation fragt: Wurde richtig gebaut? Validierung fragt: Wurde das Richtige gebaut? Die erste Frage ist entscheidbar, sobald eine Referenz existiert: Das Laufzeitverhalten wird gegen die Behavior Reference (BR) geprüft, mit daraus abgeleiteter Test- und Abnahmelogik.
WhiteBox heißt nicht, dass man den Code sieht. WhiteBox heißt, dass Konformität entscheidbar ist statt beurteilbar.Ob das definierte Sollverhalten das richtige ist, entscheidet niemand außer dem Betreiber. Diese Prüfung bleibt bei Ihnen — die Methode nimmt sie Ihnen nicht ab, sie macht nur sichtbar, worüber genau entschieden wird.
Eine korrekt realisierte falsche Referenz ist korrekt falsch.Die Behavior Reference (BR) liegt zur Laufzeit auf der Maschine vor. Im Betrieb wird jede Abweichung vom definierten Verhalten gegen sie erkannt. Ändert sich das Sollverhalten, wird die geänderte Referenz erneut übertragen — Referenz und Laufzeitreferenz bleiben dieselbe Aussage. Erkannt wird die Abweichung vom definierten Verhalten: Der definierte Verhaltensraum ist der geprüfte Raum, was nicht modelliert ist, ist nicht abgedeckt.
Die Referenz schließt die Stichprobe. Die Laufzeitreferenz schließt den Zeitpunkt.Wissenschaftlich neu ist an dieser Methode wenig — Zustandsautomaten, Verifikation und Validierung sind seit Jahrzehnten beschrieben. Neu ist, dass Verhalten im Maschinenbau ein eigenes, freigegebenes Artefakt bekommt. Deshalb steht hier nicht, was wir erforscht haben, sondern was jemand nachprüfen kann, ohne uns zu fragen.
Fachliche Anschlüsse, an denen sich die Methode messen lässt: endliche Zustandsautomaten als Beschreibungsform, die Unterscheidung von Verifikation und Validierung aus dem Systems Engineering, und die Anforderungen an Systeme mit selbstentwickelndem Verhalten in der Maschinenverordnung (EU) 2023/1230.
Erst wenn klar ist, was fehlt, ist ein Produktname eine Antwort. Deshalb steht er hier und nicht am Anfang.
Struktur- und Benennungsregeln, Modellebenen, Bedien- und Diagnosekonzept. Offen beschrieben, damit die Referenz auch ohne uns anwendbar bleibt.
Die Umgebung, in der modelliert und abgeleitet wird. Selmo Studio ist eine Lizenz, kein Einstieg: Ohne Qualifikation und ohne freigegebene Behavior Reference (BR) modelliert es nur schneller ins Ungefähre.
Produkt im ÜberblickDie Methode prüft Konformität gegen die Referenz. Ist die Referenz sachlich falsch, wird sie korrekt falsch realisiert. Dagegen hilft nur Validierung gegen den Intent — und die bleibt beim Betreiber.
Die Frage, mit der diese Seite anfängt
15–30 Minuten. Wir bringen die Antwort mit, nicht die Präsentation.