Vorher abschließenKlare Grenze
Kritische Leistung, Betriebszustand, Schutzgrenzen und betrachteten Zeithorizont festlegen; reale Vorfälle und Architektur bereitlegen.
Ohne Grenze vermischen sich Fälle, Zeiträume oder Variablen.
MethodenanleitungEngineering
Failure Scenario Analysis
Die Anleitung zur Methode: Voraussetzungen und Materialien klären, den gesamten Ablauf verstehen und Ergebnisse, Stolperfallen sowie Abbruchkriterien nachschlagen.
KomplexitätMittel
Zeit1-3 h
Teilnehmende3-8
FormatWorkshop
ReifegradEstablished
01
Vorbedingung
Was vorher fertig sein muss
Vorher abschließenEvidenzzugang
Systemgrenze, kritische Leistungen, Architektur/Abhängigkeiten, Szenariokarten, Signale, Schutzmechanismen und Übungsplan
Fehlende Quellen bleiben als Unsicherheit sichtbar.
02
Vorbereitung
Was vor Start vorliegen muss
Materialien
Systemgrenze, kritische Leistungen, Architektur/Abhängigkeiten, Szenariokarten, Signale, Schutzmechanismen und Übungsplan
Personen / Rollen
Service Owner · Reliability/Safety · Architektur · Operations · betroffene Fachperspektiven · Maßnahmen-Owner
Vorabinfos
Kritische Leistung, Betriebszustand, Schutzgrenzen und betrachteten Zeithorizont festlegen; reale Vorfälle und Architektur bereitlegen.
Zeitbedarf
90–180 Minuten je Systembereich; technische Nachprüfung und Übungen zusätzlich.
Setup
Arbeitsfläche mit Leistung · Szenarien · Pfade · Schutz · Üben vorbereiten; Beispiel und eigene Daten trennen.
03
Kernfrage
Die eine Frage, die diese Methode beantwortet
Welche glaubwürdigen Ausfallpfade bedrohen eine kritische Leistung, wie erkennen und begrenzen wir sie, und welche Restunsicherheit muss geübt werden?
04
Ablauf
Phasen mit Ziel, Durchführung, Ergebnis und Stolperfalle
Mögliche Störungen werden als realistische Pfade durch das System gedacht und nach Auslösern, Folgen und bestehenden Barrieren untersucht. Dabei treten Stellen hervor, an denen mehrere Schutzschichten nötig sind oder ein einzelner Fehler groß werden kann. Das Verfahren ist stark in Sicherheits-, Betriebs- und Resilienzfragen.
Failure Scenario Analysis · Arbeitsstruktur
Fiktives Beispiel
Fiktive Werte zeigen die tatsächlichen Fachfelder.
| Szenario | Auslöser | Ausfallpfad | Auswirkung | Erkennung | Schutz | Recovery | Übung |
|---|---|---|---|---|---|---|---|
| PoolerschöpfungEvidenz und Begründung ergänzen. | Batchstart | Batch → 72 Verbindungen → Pool 95 % → Timeout | Reservierte Abholung >15 Minuten | Poolalarm fehlt | Pooltrennung und Circuit Breaker | Batch pausieren; Pool leeren | GameDay mit 5-%-Stopregel |
| Lagernetz ausEvidenz und Begründung ergänzen. | Switch-Ausfall | Scanner offline → Bestand unbekannt → Übergabe stoppt | Keine bestätigte Ausgabe | Heartbeat nach 2 Minuten | Offline-Liste, Vier-Augen-Prüfung | Papierprozess; später abgleichen | Tabletop Netzwerkverlust |
1. Auslöser
- Poolerschöpfung
- Batchstart
- Lagernetz aus
- Switch-Ausfall
2. Ausfallpfad
- Poolerschöpfung
- Batch → 72 Verbindungen → Pool 95 % → Timeout
- Lagernetz aus
- Scanner offline → Bestand unbekannt → Übergabe stoppt
3. Auswirkung
- Poolerschöpfung
- Reservierte Abholung >15 Minuten
- Lagernetz aus
- Keine bestätigte Ausgabe
4. Erkennung
- Poolerschöpfung
- Poolalarm fehlt
- Lagernetz aus
- Heartbeat nach 2 Minuten
5. Schutz
- Poolerschöpfung
- Pooltrennung und Circuit Breaker
- Lagernetz aus
- Offline-Liste, Vier-Augen-Prüfung
6. Recovery
- Poolerschöpfung
- Batch pausieren; Pool leeren
- Lagernetz aus
- Papierprozess; später abgleichen
7. Übung
- Poolerschöpfung
- GameDay mit 5-%-Stopregel
- Lagernetz aus
- Tabletop Netzwerkverlust
Alle Werte sind fiktiv.
- 1
Leistung
Schutzobjekt
Ziel
Schutzobjekt: Kritische Leistung, Erfolgskriterium und unzulässige Auswirkungen definieren.
Voraussetzungen für diesen Schritt
- Kritische Leistung, Betriebszustand, Schutzgrenzen und betrachteten Zeithorizont festlegen; reale Vorfälle und Architektur bereitlegen.
- Systemgrenze, kritische Leistungen, Architektur/Abhängigkeiten, Szenariokarten, Signale, Schutzmechanismen und Übungsplan
Durchführung
- Kritische Leistung, Erfolgskriterium und unzulässige Auswirkungen definieren.
Ergebnis
Schutzobjekt
Kritische Leistung, Erfolgskriterium und unzulässige Auswirkungen definieren.
Qualitätscheck
Ist klar, was unter welchen Bedingungen erhalten werden muss?
Stolperfalle
Systemkomponente statt Nutzerleistung wird geschützt. Schutzobjekt als erlebbare Leistung plus Grenze formulieren.
Zeitlicher Rahmen: 15–25 Minuten
- 2
Szenarien
Szenarioraum
Ziel
Szenarioraum: Glaubwürdige Auslöser aus Architektur, Historie und Umwelt sammeln; zusammengesetzte Fälle zulassen.
Voraussetzungen für diesen Schritt
- Schutzobjekt
Durchführung
- Glaubwürdige Auslöser aus Architektur, Historie und Umwelt sammeln; zusammengesetzte Fälle zulassen.
Ergebnis
Szenarioraum
Glaubwürdige Auslöser aus Architektur, Historie und Umwelt sammeln; zusammengesetzte Fälle zulassen.
Qualitätscheck
Sind Szenarien konkret, plausibel und voneinander unterscheidbar?
Stolperfalle
Nur bekannte Einzelkomponentenfehler werden betrachtet. Abhängigkeiten, gemeinsame Ursachen und menschlich-technische Kombinationen ergänzen.
Zeitlicher Rahmen: 25–40 Minuten
- 3
Pfade
Ausfallpfade
Ziel
Ausfallpfade: Vom Auslöser über Zwischenzustände zur Auswirkung modellieren; Annahmen und Eskalationspunkte markieren.
Voraussetzungen für diesen Schritt
- Szenarioraum
Durchführung
- Vom Auslöser über Zwischenzustände zur Auswirkung modellieren; Annahmen und Eskalationspunkte markieren.
Ergebnis
Ausfallpfade
Vom Auslöser über Zwischenzustände zur Auswirkung modellieren; Annahmen und Eskalationspunkte markieren.
Qualitätscheck
Ist jede Verbindung mechanistisch und zeitlich nachvollziehbar?
Stolperfalle
Szenario springt direkt vom Trigger zum Schaden. Zwischenzustände, Zeit und notwendige Bedingungen ergänzen.
Zeitlicher Rahmen: 25–45 Minuten
- 4
Schutz
Schutzmatrix
Ziel
Schutzmatrix: Detection, Prevention, Mitigation und Recovery je Pfad prüfen; Single Points und Blindstellen markieren.
Voraussetzungen für diesen Schritt
- Ausfallpfade
Durchführung
- Detection, Prevention, Mitigation und Recovery je Pfad prüfen; Single Points und Blindstellen markieren.
Ergebnis
Schutzmatrix
Detection, Prevention, Mitigation und Recovery je Pfad prüfen; Single Points und Blindstellen markieren.
Qualitätscheck
Hat jede Kontrolle Signal, Owner und bekannte Wirksamkeitsgrenze?
Stolperfalle
Existenz eines Runbooks gilt als wirksamer Schutz. Kontrolle durch Test, letzte Nutzung und Ausfallmodus belegen.
Zeitlicher Rahmen: 25–45 Minuten
- 5
Üben
Drill-Plan
Ziel
Drill-Plan: Priorisierte Szenarien als Tabletop, GameDay oder technischen Test mit Abbruchregeln durchführen.
Voraussetzungen für diesen Schritt
- Schutzmatrix
Durchführung
- Priorisierte Szenarien als Tabletop, GameDay oder technischen Test mit Abbruchregeln durchführen.
Ergebnis
Drill-Plan
Priorisierte Szenarien als Tabletop, GameDay oder technischen Test mit Abbruchregeln durchführen.
Qualitätscheck
Prüft der Drill Erkennung, Entscheidung, Recovery und Kommunikation?
Stolperfalle
Risiken bleiben nur im Register. Sicheren Drill, Messkriterien und Follow-up terminieren.
Zeitlicher Rahmen: 20–30 Minuten
05
Artefakt
Was am Ende rauskommt
Skizze: so sieht das Artefakt aus
Form
Failure-Scenario-Register mit Auslöser, Pfad, Auswirkung, Erkennung, Schutz, Recovery, Rest-Risiko und Drill.
Versionierung / Ownership
Datum, Owner, Quellenstand und Reviewtermin führen; frühere Fassungen erhalten.
Tool-Alternativen
- Szenario- und Pfadkarten
- Detection/Protection/Recovery-Matrix
- Drill- und Maßnahmenlog
failure-scenario-analysis-working-template.md
Gegenstand, Evidenz, Rollen, Ablauf und Review festlegen.
Failure Scenario Analysis: Arbeitsvorlage
Fragestellung
Noch zu klären
Gewünschtes Ergebnis
Noch zu klären
Rahmen
Vollständiger Durchlauf Zeit: 90–180 Minuten je Systembereich; technische Nachprüfung und Übungen zusätzlich.
Diese Vorlage während der Arbeit auf Papier oder in einem eigenen Dokument ausfüllen.
Vorbereitung für diesen Umfang
Methodische Grundausstattung
- Materialien: Systemgrenze, kritische Leistungen, Architektur/Abhängigkeiten, Szenariokarten, Signale, Schutzmechanismen und Übungsplan
- Rollen: Service Owner · Reliability/Safety · Architektur · Operations · betroffene Fachperspektiven · Maßnahmen-Owner
- Vorab-Infos: Kritische Leistung, Betriebszustand, Schutzgrenzen und betrachteten Zeithorizont festlegen; reale Vorfälle und Architektur bereitlegen.
- Gesamter Zeitbedarf: 90–180 Minuten je Systembereich; technische Nachprüfung und Übungen zusätzlich.
- Setup: Arbeitsfläche mit Leistung · Szenarien · Pfade · Schutz · Üben vorbereiten; Beispiel und eigene Daten trennen.
Für die Arbeitsschritte bereitstellen
Leistung: Schutzobjekt
- Kritische Leistung, Betriebszustand, Schutzgrenzen und betrachteten Zeithorizont festlegen; reale Vorfälle und Architektur bereitlegen.
- Systemgrenze, kritische Leistungen, Architektur/Abhängigkeiten, Szenariokarten, Signale, Schutzmechanismen und Übungsplan
Szenarien: Szenarioraum
- Schutzobjekt
Pfade: Ausfallpfade
- Szenarioraum
Schutz: Schutzmatrix
- Ausfallpfade
Üben: Drill-Plan
- Schutzmatrix
Failure Scenario Analysis · Arbeitsstruktur
| Szenario | Auslöser | Ausfallpfad | Auswirkung | Erkennung | Schutz | Recovery | Übung |
|---|---|---|---|---|---|---|---|
| Poolerschöpfung | |||||||
| Lagernetz aus |
- Poolerschöpfung: Evidenz und Begründung ergänzen.
- Lagernetz aus: Evidenz und Begründung ergänzen.
Die leere Vorlage enthält nur Arbeitsimpulse.
Fachquelle · eigene Lehrdarstellung
Leistung: Schutzobjekt
Erwartetes Artefakt: Schutzobjekt
Kritische Leistung, Erfolgskriterium und unzulässige Auswirkungen definieren.
Eintrag:
...
- Ist klar, was unter welchen Bedingungen erhalten werden muss?
Szenarien: Szenarioraum
Erwartetes Artefakt: Szenarioraum
Glaubwürdige Auslöser aus Architektur, Historie und Umwelt sammeln; zusammengesetzte Fälle zulassen.
Eintrag:
...
- Sind Szenarien konkret, plausibel und voneinander unterscheidbar?
Pfade: Ausfallpfade
Erwartetes Artefakt: Ausfallpfade
Vom Auslöser über Zwischenzustände zur Auswirkung modellieren; Annahmen und Eskalationspunkte markieren.
Eintrag:
...
- Ist jede Verbindung mechanistisch und zeitlich nachvollziehbar?
Schutz: Schutzmatrix
Erwartetes Artefakt: Schutzmatrix
Detection, Prevention, Mitigation und Recovery je Pfad prüfen; Single Points und Blindstellen markieren.
Eintrag:
...
- Hat jede Kontrolle Signal, Owner und bekannte Wirksamkeitsgrenze?
Üben: Drill-Plan
Erwartetes Artefakt: Drill-Plan
Priorisierte Szenarien als Tabletop, GameDay oder technischen Test mit Abbruchregeln durchführen.
Eintrag:
...
- Prüft der Drill Erkennung, Entscheidung, Recovery und Kommunikation?
Offene Fragen und nächste Schritte
...
Methodenanleitung: https://methodatlas.meierhoff-systems.de/de/methods/failure-scenario-analysis/run-sheet
06
Beispielausgabe
Konkret gefülltes Szenario, fiktives Beispiel
Fiktives Beispiel zur Orientierung. Die genannten Mengen und Zeiten beschreiben diesen Fall und sind keine allgemeine Vorgabe.
failure-scenario-analysis-beispiel.md
Konkret gefülltes Szenario, fiktives Beispiel
Fiktives Lehrbeispiel: Failure Scenario Analysis · Arbeitsstruktur
| Szenario | Auslöser | Ausfallpfad | Auswirkung | Erkennung | Schutz | Recovery | Übung |
|---|---|---|---|---|---|---|---|
| Poolerschöpfung | Batchstart | Batch → 72 Verbindungen → Pool 95 % → Timeout | Reservierte Abholung >15 Minuten | Poolalarm fehlt | Pooltrennung und Circuit Breaker | Batch pausieren; Pool leeren | GameDay mit 5-%-Stopregel |
| Lagernetz aus | Switch-Ausfall | Scanner offline → Bestand unbekannt → Übergabe stoppt | Keine bestätigte Ausgabe | Heartbeat nach 2 Minuten | Offline-Liste, Vier-Augen-Prüfung | Papierprozess; später abgleichen | Tabletop Netzwerkverlust |
07
Stolperfallen
Symptome erkennen, gegensteuern
Kurzüberblick, vollständiger Text steht in der jeweiligen Phase im Ablauf
- SchutzobjektSystemkomponente statt Nutzerleistung wird geschützt.In der Phase ansehen
- SzenarioraumNur bekannte Einzelkomponentenfehler werden betrachtet.In der Phase ansehen
- AusfallpfadeSzenario springt direkt vom Trigger zum Schaden.In der Phase ansehen
- SchutzmatrixExistenz eines Runbooks gilt als wirksamer Schutz.In der Phase ansehen
- Drill-PlanRisiken bleiben nur im Register.In der Phase ansehen
Falle
Schutzobjekt
Symptom
Systemkomponente statt Nutzerleistung wird geschützt.
Was tun
Schutzobjekt als erlebbare Leistung plus Grenze formulieren.
Falle
Szenarioraum
Symptom
Nur bekannte Einzelkomponentenfehler werden betrachtet.
Was tun
Abhängigkeiten, gemeinsame Ursachen und menschlich-technische Kombinationen ergänzen.
Falle
Ausfallpfade
Symptom
Szenario springt direkt vom Trigger zum Schaden.
Was tun
Zwischenzustände, Zeit und notwendige Bedingungen ergänzen.
Falle
Schutzmatrix
Symptom
Existenz eines Runbooks gilt als wirksamer Schutz.
Was tun
Kontrolle durch Test, letzte Nutzung und Ausfallmodus belegen.
Falle
Drill-Plan
Symptom
Risiken bleiben nur im Register.
Was tun
Sicheren Drill, Messkriterien und Follow-up terminieren.
08
Abbruchkriterien
Wann du anhalten, Voraussetzungen klären oder einen anderen Ansatz wählen solltest
Stopp Leistung: Ist klar, was unter welchen Bedingungen erhalten werden muss?
Stopp Szenarien: Sind Szenarien konkret, plausibel und voneinander unterscheidbar?
Stopp Pfade: Ist jede Verbindung mechanistisch und zeitlich nachvollziehbar?
Stopp Schutz: Hat jede Kontrolle Signal, Owner und bekannte Wirksamkeitsgrenze?
Stopp Üben: Prüft der Drill Erkennung, Entscheidung, Recovery und Kommunikation?
Methodenanleitung durchgearbeitet?
Zum Steckbrief für Zweck, ähnliche Methoden und Quellen oder direkt zur nächsten Methode im Katalog.