Redundanz in der Gebäudeautomation: Arten, Planung, Grenzen

IET-Berlin

Redundanz von Anfang an mitplanen

IET-Berlin plant elektrotechnische Anlagen und unterstützt bei der Projektkoordination für Neubauten, Umbauten und Modernisierungen.

Elektrotechnik-Planung ansehen

Kurz gesagt

Redundanz heißt, zusätzliche Systeme über den eigentlichen Bedarf hinaus bereitzustellen, damit bei einem Ausfall ein anderes System die Funktion übernimmt.
N+1 bzw. n-1 beschreibt die Auslegung, bei der der Ausfall einer einzelnen Einheit verkraftet wird; wer auch während der Wartung abgesichert sein will, benötigt Wartungsredundanz.
Gemeinsame Fehlerursachen wie eine gemeinsame Versorgung, ein gemeinsamer Übergabepunkt, Feuer oder ein identischer Konstruktionsfehler können jede Doppelung wirkungslos machen.
Grundlage jeder Redundanzfestlegung ist ein projekt- und gebäudespezifisches Betreiberkonzept nach VDI 3814 Blatt 2.1.
Redundanz verursacht Überkapazität und Kosten; sie ist deshalb auf die tatsächliche Kritikalität jeder Funktion abzustimmen.

Was Redundanz in der Gebäudeautomation bedeutet

Das Bundesamt für Sicherheit in der Informationstechnik definiert Redundanz als Bereitstellung zusätzlicher Systeme über den eigentlichen Bedarf hinaus, mit dem Ziel, dass bei Ausfall eines Systems ein anderes dessen Funktion übernimmt. In der Gebäudetechnik wird der Begriff konkreter gefasst: Sicherheitsrelevante Bauteile sind doppelt vorhanden, und bei Ausfall eines Bauteils wird die Funktion durch automatische Zuschaltung von Reserve-Aggregaten aufrechterhalten.

Für die Gebäudeautomation (GA) ergibt sich daraus eine doppelte Aufgabe. Erstens muss sie selbst ausreichend verfügbar sein, also Automationsstationen, Bussysteme, Netzwerke und Managementebene. Zweitens ist sie häufig das Organ, das die Redundanz der übrigen technischen Gebäudeausrüstung erst wirksam macht: Sie erkennt den Ausfall einer Pumpe, schaltet die Reservepumpe zu, wechselt Betriebsstunden zwischen parallelen Kälteerzeugern und meldet Störungen an die Leitwarte. Fällt die GA aus, ist eine redundant installierte Anlage unter Umständen nicht mehr nutzbar, weil niemand und nichts die Umschaltung auslöst.

Wer die Grundlagen der Disziplin vertiefen möchte, findet sie im Beitrag Was ist Gebäudeautomation? zusammengefasst.

Arten der Redundanz im Überblick

In der Fachliteratur werden mehrere Formen unterschieden, die in einem Gebäude meist kombiniert auftreten. Das BSI unterscheidet in seinen Hochverfügbarkeitsprinzipien unter anderem strukturelle und funktionelle Redundanz: Strukturelle Redundanz sind zusätzliche Ressourcen für dieselbe Aufgabe, funktionelle Redundanz besteht aus zusätzlichen, im Normalbetrieb nicht erforderlichen Funktionen, etwa Synchronisationsmechanismen oder Steuerkomponenten für Cluster-Systeme.

Redundanzart	Prinzip	Beispiel in der Gebäudeautomation
Strukturelle Redundanz	Zusätzliche gleichartige Ressourcen für dieselbe Aufgabe	Zweite Heizungs- oder Kühlwasserpumpe, zweite Automationsstation
Funktionelle Redundanz	Zusätzliche Funktionen, die nur im Fehlerfall wirken	Überwachungs- und Umschaltlogik, Synchronisation redundanter Steuerungen
Diversitäre Redundanz	Funktional gleichwertige, aber unterschiedlich realisierte Komponenten	Zweiter Kommunikationsweg über anderes Medium, Komponenten verschiedener Hersteller
Betriebsredundanz (N+1)	Eine Einheit mehr als für den Normalbetrieb nötig	Drei Kälteerzeuger bei einem Bedarf von zwei
Wartungsredundanz	Redundanz bleibt auch während Wartung einer Einheit erhalten	N+2 oder zwei vollständig getrennte Versorgungspfade

Die Diversität verdient besondere Aufmerksamkeit. Das BSI beschreibt sie als Redundanz mit funktional gleichwertigen, aber unterschiedlich implementierten Komponenten und empfiehlt bei sehr hohen Verfügbarkeitsanforderungen, unterschiedliche Hersteller in den einzelnen Pfaden zu erwägen, weil ein Design- oder Konstruktionsfehler mehrere gleiche Systeme gleichzeitig treffen kann. In der Gebäudeautomation steht dem allerdings der Wunsch nach einheitlicher Bedienung, Ersatzteilhaltung und Wartung gegenüber. Diese Abwägung ist in der Planung bewusst zu treffen und zu dokumentieren.

n-1, N+1 und Wartungsredundanz

Die Begriffe n-1 und N+1 beschreiben dieselbe Grundidee aus zwei Blickrichtungen. Bei n-1 wird gefragt, ob das System den Ausfall eines beliebigen einzelnen Elements verkraftet, während die geforderte Funktion weiterläuft. Bei N+1 wird gefragt, wie viele Einheiten installiert werden müssen: Nach BSI stellen N Systeme im Normalbetrieb die erforderliche Leistung bereit; fällt eines aus, übernimmt das zusätzliche System.

Ein Rechenbeispiel verdeutlicht den Unterschied zur bloßen Doppelung. Benötigt ein Gebäude 600 kW Kälteleistung, so führt eine Auslegung mit zwei Maschinen zu je 600 kW zu einer 2N-Lösung mit 100 Prozent Überkapazität. Drei Maschinen zu je 300 kW erfüllen dagegen N+1 mit nur 50 Prozent Überkapazität. Vier Maschinen zu je 200 kW erreichen N+1 mit rund 33 Prozent Überkapazität, erfordern aber mehr Hydraulik, mehr Regelkreise und mehr Datenpunkte in der GA.

Die Grenze der einfachen Betriebsredundanz liegt im Wartungsfall. Das BSI weist darauf hin, dass sie ihre Grenze erreicht, wenn eine Einheit für Inspektion oder Wartung außer Betrieb genommen wird. Ist in diesem Zeitraum ein weiterer Ausfall nicht hinnehmbar, ist Wartungsredundanz erforderlich. Für Betreiber bedeutet das: Die Frage, ob eine Anlage N+1 oder N+2 benötigt, lässt sich nicht ohne Kenntnis des Instandhaltungskonzepts, der Wartungsintervalle und der Folgen eines Ausfalls beantworten.

Typische Beispiele nach Ebenen

Redundanz in der Gebäudeautomation lässt sich am besten entlang der Ebenen eines Gebäudes betrachten. Eine Lücke auf einer Ebene entwertet häufig die Maßnahmen auf allen anderen.

Energieversorgung

Am Anfang steht die elektrische Versorgung der Anlagen und der GA selbst. Übliche Maßnahmen sind eine zweite Netzeinspeisung, eine Netzersatzanlage für länger andauernde Ausfälle und eine unterbrechungsfreie Stromversorgung (USV) für Automationsstationen, Netzwerkkomponenten und Leitrechner. Wird eine USV vorgesehen, ist zu klären, welche Verbraucher sie tatsächlich speist und wie lange; eine USV, die nur den Leitrechner, nicht aber die Switches versorgt, sichert im Ernstfall nichts. Werden Batteriespeicher in das Energiekonzept eingebunden, gelten zusätzliche Anforderungen, die IET-Berlin im Beitrag zum Batteriespeicher planen mit Netzanschluss und Brandschutz beschreibt. Ergänzend kann eine eigene Erzeugung die Resilienz erhöhen; welche Rolle erneuerbare Energien für betriebliche Resilienz spielen, hängt jedoch von Speicher und Inselnetzfähigkeit ab.

Anlagenebene der TGA

Auf der Anlagenebene sind parallele Pumpen, mehrere Kälteerzeuger, Kesselkaskaden oder doppelte Ventilatoren in Lüftungsanlagen verbreitet. Die GA übernimmt hier die Folgeschaltung, den Betriebsstundenausgleich und die automatische Störumschaltung. Die Grundsätze, nach denen Reservewärme in Heizsystemen aufgebaut wird, sind auch für Planer übertragbar; ein Überblick zur Redundanz in Heizsystemen zeigt, wie Reserve- und Hauptwärmeerzeuger sinnvoll kombiniert werden.

Automations- und Feldebene

Für kritische Prozesse können Automationsstationen redundant ausgeführt werden, also zwei Steuerungen mit synchronisiertem Programm, von denen eine im Fehlerfall übernimmt. Eine wesentliche, oft unterschätzte Rückfallebene ist die lokale Vorrangbedieneinheit (LVB). Sie ermöglicht die Bedienung von Feldgeräten vor Ort unabhängig von der Automationseinrichtung; der AMEV empfiehlt sie in seiner Planungshilfe mit physikalischer Rückmeldung der Schalterstellung. Die LVB ist damit eine einfache Form der Funktionsredundanz: Fällt die Automation aus, bleibt der Handbetrieb der Anlage möglich.

Kommunikation und Netzwerk

Die Vernetzung der GA über BACnet/IP oder vergleichbare Protokolle macht das Netzwerk zum Single Point of Failure, wenn es als Linie oder Stern ohne Alternativweg aufgebaut ist. Üblich sind Ringtopologien mit Medienredundanz, bei denen ein Redundanzmanager im Störungsfall den Datenverkehr über den verbleibenden Ringweg umleitet, sowie doppelt angebundene Kernkomponenten und zusätzliche Kommunikationskanäle für Alarmmeldungen. Die Netzarchitektur ist zudem eng mit der Informationssicherheit verknüpft: Nach AMEV muss die GA-Planung Wechselwirkungen zwischen TGA-Anlagen, GA-Komponenten und Informationssicherheit einschließlich der Netzsegmentierung berücksichtigen. Ein Redundanzweg, der eine Segmentgrenze umgeht, kann die Verfügbarkeit erhöhen und zugleich die Sicherheit schwächen.

Management- und Bedienebene

Auf der Managementebene betrifft Redundanz die Gebäudeleittechnik, ihre Datenhaltung und die Alarmweiterleitung. Sinnvoll sind gespiegelte oder virtualisierte Server, regelmäßige Sicherungen der Projektdaten und ein alternativer Meldeweg, wenn die Leitwarte nicht erreichbar ist. Dabei gilt: Die Anlagen müssen auch bei Ausfall der Managementebene autark weiterlaufen. Die Managementebene darf beobachten und optimieren, sie darf aber nicht zur Voraussetzung für den Grundbetrieb werden.

Warum Redundanz allein keine Ausfallsicherheit garantiert

Die Annahme, dass zwei Komponenten doppelt so sicher seien wie eine, trifft nur zu, wenn beide unabhängig voneinander ausfallen. Genau diese Unabhängigkeit wird in der Praxis häufig unbemerkt aufgehoben. Das BSI nennt als gemeinsame Fehlerursachen unter anderem gleichartige Design- oder Konstruktionsfehler, gemeinsame Übergabepunkte oder Versorgungsquellen sowie Feuer. Eine Fachveröffentlichung der NASA definiert den Common-Cause Failure als Ereignis, das zwei oder mehr Komponenten gleichzeitig ausfallen lässt oder die Unabhängigkeit der Redundanz aufhebt, und nennt darunter Stromverlust, Blitz, elektromagnetische Störungen, Softwarefehler, Umweltbedingungen sowie Wartungs- und Installationsfehler.

Übertragen auf die Gebäudeautomation ergeben sich typische Schwachstellen:

Gemeinsame Trasse: Beide Ringhälften des GA-Netzwerks oder beide Versorgungskabel einer Automationsstation verlaufen in derselben Kabeltrasse und fallen bei einem Brand oder einer Beschädigung gemeinsam aus.
Gemeinsamer Raum: Primär- und Reserve-Automationsstation sind im selben Schaltschrank oder Technikraum untergebracht. Wasser, Überhitzung oder Feuer treffen beide. Hinweise zur räumlichen Trennung enthält der Beitrag Elektrische Räume planen.
Gemeinsame Versorgung: Zwei redundante Pumpen hängen an derselben Unterverteilung oder demselben Leitungsschutzschalter.
Gemeinsame Software: Identische Firmware auf beiden Steuerungen; ein fehlerhaftes Update setzt beide außer Betrieb.
Gemeinsamer Sensor: Die Umschaltlogik verwendet einen einzigen Temperatur- oder Druckfühler. Ein Fühlerdefekt verhindert dann die Umschaltung oder löst sie fehlerhaft aus.
Organisatorische Lücken: Die Reserveanlage ist im Handbetrieb oder abgeschaltet, nachdem sie gewartet wurde, und niemand bemerkt es.

Aus diesem Grund ist Redundanz nur dann wirksam, wenn auch der Zustand der Reserve überwacht wird. Die GA sollte melden, ob ein Reserveaggregat betriebsbereit ist, ob es sich im Automatikbetrieb befindet und wann die letzte erfolgreiche Umschaltung stattgefunden hat. Regelmäßige, dokumentierte Umschaltversuche unter realen Bedingungen gehören zur Betriebsführung.

Redundanz planen: Vorgehen entlang der Leistungsphasen

Redundanz lässt sich nachträglich nur mit erheblichem Aufwand herstellen, weil sie Platz, Trassen, Einspeisungen und Datenpunkte beansprucht. Sie muss deshalb früh festgelegt und über alle Leistungsphasen der HOAI fortgeschrieben werden. Bewährt hat sich folgendes Vorgehen:

Betreiberkonzept erarbeiten. Nach AMEV bildet ein Betreiberkonzept gemäß VDI 3814 Blatt 2.1 die notwendige Grundlage für die Festlegung von Redundanzanforderungen. Hier wird geklärt, wer die Anlagen betreibt, welche Bereitschaftszeiten bestehen und welche Funktionen kritisch sind. Diese Klärung gehört in die Grundlagenermittlung.
Kritikalität bewerten. Für jede Funktion wird gefragt: Welche Folgen hat ein Ausfall, wie lange ist er tolerierbar, und muss die Funktion auch während der Wartung verfügbar sein? Daraus ergibt sich, ob keine Redundanz, N+1, N+2 oder 2N vorzusehen ist.
Varianten vergleichen. In der Vorplanung werden Auslegungsvarianten mit Investitions- und Betriebskosten, Flächenbedarf und Komplexität gegenübergestellt.
Unabhängigkeit sicherstellen. In der Entwurfsplanung werden getrennte Trassen, Brandabschnitte, Unterverteilungen und Netzsegmente festgelegt und auf gemeinsame Fehlerursachen geprüft.
Umschaltlogik spezifizieren. In der Ausführungsplanung werden Funktionslisten, Prioritäten, Verzögerungszeiten, Rückschaltung und Meldungen eindeutig beschrieben, damit sie ausgeschrieben und geprüft werden können.
Funktion nachweisen. In der Objektüberwachung werden Umschaltungen in Funktionsprüfungen tatsächlich ausgelöst, etwa durch Abschalten einer Pumpe oder Trennen eines Netzwerkpfades, und die Ergebnisse protokolliert.
Betrieb übergeben. Bedienpersonal wird in Umschaltung, Handbetrieb und Rückschaltung eingewiesen; Prüfintervalle für Umschaltversuche werden festgelegt.

Welche Planungsentscheidungen darüber hinaus für Bauherren und Architekten anstehen, behandelt der Beitrag Gebäudeautomation meistern.

Wann eine nicht redundante Auslegung vertretbar ist

Das Gegenteil der Redundanz ist die Einfachauslegung: Jede Funktion wird von genau einer Komponente erbracht, ein Ausfall führt unmittelbar zum Funktionsverlust. Eine solche Auslegung ist nicht per se ein Planungsfehler. Das BSI nennt die mit Redundanz verbundene Überkapazität als Nachteil, der zusätzliche Kosten verursacht. Hinzu kommen Wartungsaufwand, Flächenbedarf und eine höhere Komplexität, die selbst neue Fehlerquellen schafft.

Vertretbar ist eine Einfachauslegung, wenn der Ausfall einer Funktion für eine begrenzte Zeit keine Gefährdung von Personen, keine Schäden an Gebäude oder Inventar und keine unzumutbaren Betriebsunterbrechungen nach sich zieht, wenn Ersatzteile kurzfristig verfügbar sind und wenn ein Handbetrieb, etwa über eine LVB, möglich ist. Ein Beispiel ist die Einzelraumregelung in einem Bürogebäude: Fällt ein Raumcontroller aus, ist dies lästig, aber beherrschbar. Anders verhält es sich bei der Kühlung eines Serverraums, der Lüftung eines Labors oder der Wärmeversorgung eines Pflegeheims im Winter. Die Entscheidung gegen Redundanz sollte ebenso dokumentiert werden wie die Entscheidung dafür, damit Bauherr und Betreiber das bewusst akzeptierte Restrisiko kennen.

Unsere Einschätzung aus der Planungspraxis

In unseren Projekten erleben wir selten, dass Redundanz vollständig fehlt. Weit häufiger ist sie vorhanden, aber nicht unabhängig: Die zweite Pumpe ist geplant, beide hängen jedoch an derselben Unterverteilung; der Netzwerkring ist ausgeschrieben, beide Pfade liegen aber in derselben Trasse. Solche Mängel entstehen, wenn die Gewerke Elektrotechnik, Heizung-Lüftung-Klima und Gebäudeautomation ihre Redundanz jeweils für sich betrachten. Wir legen deshalb Wert darauf, die Versorgungspfade gewerkeübergreifend vom Netzanschluss bis zum Feldgerät zu verfolgen und jede Stelle zu benennen, an der zwei Pfade zusammenlaufen.

Ebenso wichtig ist uns, dass Redundanz wirtschaftlich begründet ist. Nicht jede Funktion benötigt N+1, und eine überdimensionierte Anlage verursacht über Jahrzehnte Betriebskosten. Wir empfehlen, die Kritikalität gemeinsam mit dem späteren Betreiber festzulegen und die Umschaltungen vor der Abnahme tatsächlich zu erproben. Erst ein Nachweis unter realen Bedingungen zeigt, ob das Konzept trägt.

— Alexander Blau

Redundanzkonzepte mit IET-Berlin

IET-Berlin plant elektrotechnische Anlagen und Energiekonzepte für Neubauten, Umbauten und Modernisierungen in Berlin, Brandenburg und bundesweit, von der Grundlagenermittlung über die Ausführungsplanung bis zur Bauüberwachung. Dazu gehören die Festlegung von Einspeisungen und Versorgungspfaden, Leistungsverzeichnisse, Kostenkalkulationen und die Koordination mit Behörden und ausführenden Unternehmen. Wenn Sie für ein Bauvorhaben die Verfügbarkeitsanforderungen klären oder ein bestehendes Konzept auf gemeinsame Fehlerursachen prüfen lassen möchten, sprechen Sie uns an: Den Einstieg bildet die Grundlagenermittlung für Ihr Projekt. Für Fragen der Lastführung und Versorgungssicherheit im Betrieb steht zudem unsere Beratung zum Energiemanagement zur Verfügung.

Häufige Fragen

Welche Beispiele gibt es für Redundanz in der Gebäudeautomation?

Typische Beispiele sind parallele Pumpen und Kälteerzeuger, zweite Netzeinspeisungen, Netzersatzanlagen und USV-Anlagen, redundante Automationsstationen, Netzwerke in Ringtopologie sowie zusätzliche Kommunikationswege für Alarme. Eine einfache, aber wirksame Rückfallebene ist die lokale Vorrangbedieneinheit, mit der Anlagen auch ohne Automation von Hand betrieben werden können.

Was bedeutet n-1-Redundanz?

n-1-Redundanz bedeutet, dass ein System den Ausfall eines beliebigen einzelnen Elements verkraftet, ohne dass die geforderte Funktion verloren geht. Praktisch wird dies meist durch eine N+1-Auslegung erreicht, bei der eine Einheit mehr installiert wird, als für den Normalbetrieb erforderlich ist. Während der Wartung einer Einheit besteht dann allerdings keine Reserve mehr.

Was ist funktionelle Redundanz?

Funktionelle Redundanz bezeichnet zusätzliche Funktionen, die im Normalbetrieb nicht benötigt werden und erst im Fehlerfall wirken, etwa Synchronisations- und Umschaltmechanismen. Sie unterscheidet sich von struktureller Redundanz, bei der zusätzliche gleichartige Komponenten dieselbe Aufgabe übernehmen. In der Gebäudeautomation ergänzen sich beide Formen.

Was ist das Gegenteil von Redundanz?

Das Gegenteil ist die Einfachauslegung, bei der jede Funktion von genau einer Komponente abhängt; jede dieser Komponenten ist ein Single Point of Failure. Sie kann vertretbar sein, wenn ein Ausfall zeitlich begrenzt hinnehmbar ist, keine Gefährdung entsteht und ein Handbetrieb möglich ist.

Wer legt die Redundanzanforderungen fest?

Die Anforderungen werden vom Bauherrn bzw. Betreiber gemeinsam mit der Fachplanung festgelegt, idealerweise auf Grundlage eines Betreiberkonzepts nach VDI 3814 Blatt 2.1. Die Fachplanung übersetzt sie in konkrete Auslegungen, Trassenführungen und Funktionsbeschreibungen und weist ihre Wirksamkeit in der Inbetriebnahme nach.