Smart Risk: Der Griff der virtuellen Welt nach der Wirklichkeit
Der Betrieb smarter Systeme wie Industrie 4.0 ist, wie alle anderen Produktionssysteme auch, dem Unternehmensmanagement unterworfen. Ein Teil davon ist das (technische) Risikomanagement, z.B. nach ISO 31000. Risikomanagement und die dahinterliegenden Konzepte bauen dabei auf jahrzehntelangen Erfahrungen, Methoden und Best Pratices auf. Sie sind in den Unternehmen und Branchen fest etabliert, beruhen aber fast immer auf Denkweisen und Methoden, die aus der Zeit vor dem Internet stammen.
Industrie 4.0 stellt also die gewohnten Vorgehensweisen in Frage. Ein Grund dafür ist die bisher unvollständige Verbindung zwischen Informationstechnik (IT) und Risk Engineering, d.h. der IT Security einerseits und Gefahrenanalyse andererseits. Kurz: die bisher virtuelle Welt der IT greift zunehmend in die physische Welt ein und kann damit Schäden verursachen. Versagende IT Security kann zum Beispiel zur Freisetzung eines gefährlichen Stoffes aus einer Chemieanlage führen und für Schäden an Mensch und Umwelt verantwortlich sein. Ein modernes Risikomanagement muss jedoch damit umgehen können.
Risiko beschreibt ganz allgemein Auswirkungen von Abweichungen vom Normalbetrieb und wird ihm Engineering meist als Häufigkeit und Ausmass unerwünschter Ereignisse verstanden. Risikomanagement ist dann die Art und Weise, wie ein Unternehmen solche Ereignisse erkennt, analysiert, beurteilt und schliesslich handhabt. Die IT und das Risk Engineering gingen jedoch bisher getrennte und nicht immer zusammenpassende Wege. Risikomanagement in den Zeiten der Industrie 4.0 bedeutet somit, dass sich zwei recht unterschiedliche Denk- und Vorgehensweisen zusammenraufen müssen. Das heisst aber auch, sich übergreifend mit dem Thema Risiko zu beschäftigen und voneinander zu lernen. Die im CAS Industrie 4.0 vorgestellten und am Institut für Nachhaltige Entwicklung INE angewandten Methoden verbinden dabei drei Analyse-Ebenen:
Abb. Mehrschichtenmodell computergesteuerter und vernetzter Systeme (Quelle: Mock R., Zipper Ch., Risiko: das Ende eines Konzeptes? Sicherheitsforum 1/2017)
Die erste Ebene umfasst das klassische Risikomanagement physischer Einrichtungen z.B. die Handhabung des Versagens von Pumpen und Ventilen einer Produktionsanlage. Am anderen Ende liegt die dritte Ebene. Sie beschreibt die Software-Ebene, z.B. Betriebssysteme und beinhaltet die Prinzipien der IT Security, z.B. der Ermittlung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten. Neu ist die dazwischenliegende Kontroll-Ebene. ICS (IndustrialControl System), SCADA (Supervisory Control and Data Acquisition) und HMI (Human Machine-Interface) sind Stichwörter für die wichtigsten Bindeglieder zwischen virtueller und physischer Welt.
Insgesamt besteht die Aufgabe darin, ein kompliziertes, soziotechnisches Produktionssystem möglichst praxisnah und ebenengerecht in das Risikomanagement eines Unternehmens einzubeziehen. Der CAS Industrie 4.0 versucht, die entsprechenden Problematiken den Kurs-Teilnehmenden näher zu bringen und erste Lösungsansätze für das Risikomanagement zu vermitteln.