Metering Bypass (Knoten)

Der Bericht Metering Bypass führt eine formalisierte Analyse eines einzelnen Messknotens über einen gewählten Zeitraum durch, mit dem Ziel, Anzeichen für eine mögliche Untererfassung, einen Austausch des Messkanals, fehlerhaftes Sensorverhalten oder andere Ereignisse zu erkennen, die die Aufmerksamkeit des Messdienstes erfordern. Er stützt sich auf dieselben Normen, die die Gasmessung regeln: ISO 5167 (Blenden), ISO 6976 (Brennwert), EN 12405-1 (elektronische Gasmengenumwertung), OIML R 137 (Gaszähler), OIML R 140 (Messanlagen für gasförmige Brennstoffe) und EN 1359 (Membranzähler).

Zweck des Berichts

Berichtskopf. Das Erste, was der Leser sieht: die Knotenkennung, die Gerätekennung, den Korrektortyp, den abgedeckten Zeitraum, den Generierungszeitpunkt, den finalen Verdachtswert und seine textuelle Schwere. Der Wert allein beweist nichts — er ist ein zusammengesetzter Indikator, der stets zusammen mit den sechs benachbarten Indikatoren gelesen werden muss (siehe die Untersuchungszusammenfassung weiter unten).

Der Bericht ist keine formale Feststellung eines Verstoßes. Er stellt keinen Diebstahl fest, ersetzt keine Vor-Ort-Prüfung und ist kein Rechtsgutachten. Seine Aufgabe ist es, verdächtige Muster mathematisch und messtechnisch zu beschreiben, die Konfidenz der Quellen aufzuzeigen, die Prüfungspriorität festzulegen und der Außendienstcrew eine klare Liste an die Hand zu geben, was vor Ort zu prüfen ist.

Der Bericht beantwortet folgende Fragen:

• gibt es im Stundenarchiv Q≈0-Perioden, die atypisch aussehen;
• blieb der Druckkanal P auf einem Ersatzwert oder einem nahezu konstanten Wert hängen;
• änderte sich die Temperatur T, während der Druck stillstand;
• gab es eine plötzliche Erholung von Q und P nach einer Nullperiode;
• gibt es Übereinstimmungen mit dem Archiv anormaler Ereignisse;
• gibt es direkte Gerätesignale: physischer Zugriff, Parameteränderung, Reset, Uhrenänderung;
• wie vollständig sind die Datenquellen;
• kann der Verdacht als bestätigt angesehen werden;
• ist ein Vor-Ort-Besuch erforderlich und mit welcher Priorität;
• welcher potenzielle Umfang an nicht erfasstem Volumen erfordert eine Überprüfung;
• welche alternativen Hypothesen müssen ausgeschlossen werden, bevor irgendein Schluss über Manipulation gezogen wird.

Zielgruppe

Was der Bericht NICHT tun darf

Der Bericht darf nicht:

• einen Verbraucher automatisch des Metering-Bypass beschuldigen;
• das berechnete Exposure als bestätigten Verlust bezeichnen;
• Nullfluss ohne Prüfung des Betriebsregimes als Verstoß werten;
• einen festsitzenden Sensor als Manipulationsbeweis werten;
• das Gesetz von Gay-Lussac ohne Prüfung seiner physikalischen Anwendbarkeit anwenden;
• P=100 kPa ohne Passdaten und das P_const-Regime als illegal werten;
• die juristische Bereitschaft allein auf Grundlage eines KI-Kommentars anheben;
• einen Schluss über Manipulation bilden, wenn das Stundenarchiv fehlt;
• ein Vor-Ort-Protokoll durch einen automatischen Wert ersetzen.

Schlüsselbegriffe

Gesamtlogik des Berichts

Die Gesamtlogik des Berichts ist in mehreren Schichten aufgebaut:

Stundenarchiv Q/P/T
→ Suche nach Nullfluss-Perioden
→ Prüfung des Druckkanals P
→ Prüfung der Temperatur T
→ Erholungsprüfung nach einem Nullfenster
→ Prüfung zusätzlicher Muster
→ Abgleich mit dem Geräteprotokoll
→ Berechnung des pattern score
→ Berechnung des event score
→ Begrenzung durch das severity cap
→ Bewertung der Belegkonfidenz
→ juristische Bereitschaft
→ Vor-Ort-Priorität
→ Exposure-Schätzung
→ Root-Cause-Matrix
→ Checkliste für den Vor-Ort-Besuch

Es ist wesentlich, dass der Bericht Folgendes trennt:

1. statistisches Muster im Stundenarchiv;
2. Geräteereignis im Korrektorprotokoll;
3. Quellenkonfidenz;
4. juristische Bereitschaft;
5. Vor-Ort-Prüfung.

Jede der fünf Schichten wird unabhängig bewertet. Ein hoher Wert in einer von ihnen erhöht nicht die Handlungsbereitschaft in einer anderen. Zum Beispiel kann score=100 ohne Geräteereignisse und ohne Vor-Ort-Besuch bei der juristischen Bereitschaft partial und bei der Vor-Ort-Priorität P1 bleiben.

Eingangsdaten

Pflichtdaten

Ohne das Stundenarchiv kann der Bericht nur das Fehlen von Daten anzeigen und darf keinen vollständigen Verdachtsschluss bilden.

Wünschenswerte Daten

Mindestzuverlässiger Zeitraum

Ein Zeitraum kürzer als 30 Tage stuft die Konfidenz der Belegbasis automatisch um eine Stufe herab: high → medium, medium → low. Ein sinnvolles Minimum sind 90 Tage; der empfohlene Zeitraum beträgt 366 Tage (ein Jahr liefert die Saisonalität für alle Muster).

Belegkarte

Belegkarte. Welche Datenquellen für die Bewertung herangezogen wurden und wie vollständig sie sind. Je mehr grüne „OK“-Markierungen, desto höher die Konfidenz in die Belege. Jede Quelle hat ein Gewicht in der Belegkonfidenz-Formel, und ein Status partial oder missing senkt den resultierenden Prozentsatz.

Formel für die Quellenkonfidenz

Es seien:

• w_i — Gewicht der Quelle;
• s_i — Statuskoeffizient der Quelle.

Status:

Dann ergibt sich der Gesamtprozentsatz der Quellenkonfidenz zu:

Interpretation der Belegkonfidenz

Nullfluss-Periode

Die meisten Anzeichen im Bericht beginnen mit der Suche nach Perioden, in denen der Fluss nahezu null ist.

Nahe-Null-Schwelle

Basisschwelle:

Eine Stunde gilt als null, wenn:

Mindestdauer

Eine Nullperiode wird zum Analysekandidaten, wenn sie mindestens andauert:

Das heißt:

Q≈0 durchgehend für 6 Stunden oder länger

Warum genau 6 Stunden

Die 6-Stunden-Schwelle vermeidet eine Reaktion auf kurze Betriebspausen, zufällige Leerlaufphasen oder einzelne Nullpunkte. Für ein Bypass- oder Substitutionsmuster zählt nicht der isolierte Nullwert, sondern ein stabiles Fenster, in dem der Fluss fehlt, während sich die anderen Kanäle verdächtig verhalten.

Empirisch decken 6 Stunden die meisten realen Muster „nächtliche Abschaltung → morgendlicher Neustart mit Substitution“ ab, ohne Fehlalarme bei Mittagspausen oder kurzen geplanten Stopps an Industriestandorten.

Ersatzdruck P_default

Einer der Schlüsselindikatoren ist ein Druck nahe typischer Ersatzwerte.

Ersatzwerte

Toleranz

Für atmosphärische und vertragliche Werte:

Für den Nullwert:

Nähe-Formel

Der Druck gilt als nahe am Ersatzwert, wenn:

dabei sind:

• P_mean — mittlerer Druck innerhalb des Nullfensters;
• P_default — einer der Ersatzwerte.

Wichtige Einschränkung

P_default ist für sich allein kein Beweis für einen Verstoß. Es kann sein:

• ein zulässiges P_const-Regime;
• eine Geräteeinstellung, die bei fehlendem Sensor verwendet wird;
• ein Notfall-Ersatzwert;
• eine Folge der Sensortrennung;
• eine Besonderheit des Korrektormodells.

Deshalb sind die Passdaten für jeden Schluss erforderlich:

Prüfung: Ist P_const zulässig, welcher Wert von P_const ist gesetzt, warum wurde er angewendet.

Festsitzender Druckkanal P_stuck

Standardabweichung des Drucks

Innerhalb des Nullfensters wird die Standardabweichung des Drucks berechnet:

Der Druckkanal gilt als festsitzend, wenn:

Temperaturänderung

Für die physikalische Prüfung muss sich die Temperatur im Fenster merklich ändern:

Bedingung:

Wenn sich die Temperatur kaum geändert hat, lässt sich nicht mit Sicherheit sagen, ob sich P hätte ändern müssen.

Prüfung des Gay-Lussac-Gesetzes

Physikalische Formel

Für ein abgeschlossenes Gasvolumen mit konstanter Stoffmenge gilt:

dabei ist:

Bei gegebenen Anfangswerten:

Erwartete Druckänderung:

Vergleich mit der tatsächlichen Änderung

Die tatsächliche Druckvariabilität wird über die Standardabweichung oder die Spannweite bewertet:

oder:

Wenn:

und gleichzeitig:

dann wird der Druckkanal als verdächtig festsitzend behandelt.

Divergenzkoeffizient

Für die Erläuterung im Bericht kann folgendes Verhältnis verwendet werden:

dabei ist ε eine kleine Konstante zum Schutz vor einer Division durch null.

Wenn K_GL groß ist, stellt der Bericht fest, dass die erwartete Druckänderung um ein Vielfaches größer ist als die tatsächliche Variabilität.

Wichtige physikalische Einschränkung

Das Gesetz von Gay-Lussac ist nur auf ein abgeschlossenes Gasvolumen anwendbar.

Es ist nicht oder nur teilweise anwendbar, wenn:

• der Knoten an das Netz angeschlossen ist;
• der Druck durch einen Regler gehalten wird;
• die Vor-/Nachlaufseite offen ist;
• der Druck ein Überdruck und kein Absolutdruck ist;
• der Pass ein P_const-Regime vorgibt;
• das Volumen nicht isoliert ist;
• der Drucksensor Werte rundet oder filtert.

Katalog der erkannten Muster

Methodiktabelle. Alle neun Indikatoren, nach denen der Bericht suchen kann, mit ihrer formalen Bedingung, ihrem Schweregrad (low / medium / high / very_high) und einer anklickbaren Markierung „in diesem Bericht ausgelöst“. Die Tabelle zeigt sofort, welche Indikatoren am gegebenen Knoten ausgelöst haben, und erlaubt den direkten Sprung zur Ereigniskarte.

Substitution von P durch einen Default-Wert

Formale Bedingung:

und:

und:

und:

Bedeutung: Der Druck verharrt während einer langen Nullfluss-Periode auf einem typischen Ersatzwert. Dies kann auf eine Substitution des Druckkanals hindeuten, kann aber auch ein zulässiges P_const-Regime sein.

Festsitzender Druckkanal P (Gay-Lussac-Verletzung)

Formale Bedingung:

und das Gay-Lussac-Modell zeigt, dass die erwartete Druckänderung merklich sein müsste.

Bedeutung: Die Temperatur ändert sich, der Druck steht aber nahezu still. Dies kann auf einen festsitzenden Druckkanal, das P_const-Regime, einen Netzregler oder eine Substitution des Messkanals hindeuten.

Synchroner Q+P-Sprung nach einer Nullperiode

Formale Bedingung:

Es gibt eine Nullperiode:

und nach deren Ende wird innerhalb eines Fensters von:

Folgendes erfasst:

und:

Bedeutung: Nach einer langen Nullperiode werden Fluss und Druck gleichzeitig wiederhergestellt. Dies kann darauf hindeuten, dass die Messung nach einem Regimewechsel wieder aufgenommen wurde, kann aber auch ein normaler technologischer Anlauf sein.

Lücke im Archiv bei erfolgreichen Kommunikationssitzungen

Formale Bedingung:

Es gibt eine Lücke im Stundenarchiv:

und im selben Fenster gab es erfolgreiche Kommunikationssitzungen:

Bedeutung: Der Knoten war online, aber das Stundenarchiv wurde nicht geliefert oder aufgezeichnet. Dies sieht eher nach einem Liefer-, Export-, Parsing- oder Integrationsproblem aus als nach einem physischen Bypass der Messung.

Zu flache Q und P (Plateau)

Formale Bedingung:

Der Zeitraum dauert:

der Fluss ist von null verschieden:

der Fluss ist zu flach:

der Druck steht nahezu fest:

Bedeutung: Eine sehr flache Kurve kann bei manchen technologischen Prozessen normal sein, kann aber auch auf ein synthetisches oder substituiertes Profil hindeuten.

Nächtliches Q=0 bei warmer Temperatur

Formale Bedingung:

In den Nachtstunden:

ist der Fluss gleich null:

die Temperatur liegt über der Schwelle:

und dies tritt an mindestens 5 Nächten auf.

Bedeutung: schwacher Indikator. Für Schulen, Büros, saisonale Standorte und Wohngebäude kann ein nächtlicher Nullfluss die Norm sein.

Drucksprünge ohne Fluss

Formale Bedingung:

Mindestens 3 Vorkommnisse:

bei:

Bedeutung: Starke Drucksprünge ohne passenden Fluss können auf einen Sensorfehler, ein Telemetrieartefakt oder eine manuelle Kanalbearbeitung hindeuten.

Lange Folge identischer Q-Werte

Formale Bedingung:

Der Fluss bleibt identisch über:

innerhalb:

Bedeutung: Ein natürlicher Fluss weist normalerweise Rauschen und Variabilität auf. Eine langanhaltende Identität kann auf eine Konstante, einen Übertragungsfehler oder einen getrennten Flusssensor hindeuten.

Erholungen nur während der Geschäftszeiten

Formale Bedingung:

Es gibt mindestens 3 Erholungsereignisse, und der Anteil der Erholungen während der Geschäftszeiten beträgt:

Geschäftszeiten:

und der Wochentag ist ein Werktag.

Bedeutung: Wenn die Wiederherstellung der Messung häufig nur während der Geschäftszeiten erfolgt, kann dies auf manuelle Wartung, Bedienerbesuche oder Regimehandlungen hindeuten. Es ist aber kein Beweis für Manipulation.

Vorfilter für die Datenqualität

Bevor Manipulationsmuster interpretiert werden, muss der Bericht offensichtliche Artefakte ausschließen.

Physikalisch unmöglicher Druck

Wenn:

für einen Nieder- oder Mitteldruckknoten gilt, kann dies ein Telemetrieartefakt sein.

Solche Punkte dürfen den Verdacht nicht aufblähen.

Flussspitze

Eine Flussspitze kann als Artefakt behandelt werden, wenn:

und gleichzeitig:

Ein solcher Punkt kann ein Totalisator-Dump, ein Übertragungsfehler oder ein Archiv-Reset sein.

Defekter P-Sensor

Wenn der Druckkanal festsitzt über:

dann müssen P-abhängige Manipulationsdetektoren ausgeschaltet oder als nicht beweiskräftig markiert werden.

Das bedeutet:

Problem: messtechnische Zuverlässigkeit des P-Sensors.
Kein Schluss: Beweis für Bypass.

Netzknoten, bei dem Gay-Lussac nicht anwendbar ist

Wenn:

und:

und der Sensor nicht als defekt gilt, kann der Knoten ein Niederdruck-Netzobjekt sein, bei dem der Druck durch einen Regler gehalten wird.

In diesem Fall müssen GL-abhängige Indikatoren herabgestuft oder aus der Bewertung ausgeschlossen werden.

Schweregrade und Wahrscheinlichkeitsgewichte

Jedem ausgelösten Indikator wird ein Stärkegrad zugewiesen.

Diese Werte sind nicht die Wahrscheinlichkeit eines rechtlichen Verstoßes. Es sind interne Gewichte für die Kombination unabhängiger Indikatoren.

Zusammengesetzter Verdachtswert

Warum keine einfache Summe

Würden wir einfach alle Indikatoren summieren, erhielte ein Knoten mit vielen schwachen Ereignissen einen übermäßig hohen Wert. Daher wird eine multiplikative Logik unabhängiger Signale verwendet.

Formel

Für jedes Ereignis wird das Gewicht p_i entsprechend seiner Schwere herangezogen.

Wahrscheinlichkeit, dass keiner der Indikatoren auf Verdacht hinweist:

Dann lautet die kombinierte Schätzung:

Score:

oder, ausgeschrieben:

Beispiel

Angenommen, es gibt zwei Ereignisse:

• medium: p=0.30;
• low: p=0.10.

Dann:

Vom Score ausgeschlossene Ereignisse

Manche Ereignisse können im Bericht erscheinen, aber nicht in den Score eingehen:

• informative Ereignisse;
• Ereignisse mit nicht anwendbarer Physik;
• Ereignisse, die durch ein Quality-Gate unterdrückt wurden;
• Netz-GL-Ereignisse;
• Ereignisse, die durch einen defekten Sensor erklärt werden.

Severity Cap

Selbst wenn der Score hoch ausfällt, darf das finale textuelle Niveau nicht aufgebläht werden, wenn alle Ereignisse schwach sind.

Cap-Matrix

Warum der Cap nötig ist

Der Cap schützt den Bericht vor einer Situation, in der viele schwache Ereignisse einen sehr hohen mathematischen Score erzeugen, während der Beweiswert jedes einzelnen Ereignisses gering bleibt.

Beispiel:

Score = 100
Aber es gibt keine high/high_plus-Ereignisse.
Finales Niveau: medium.

Event Score — Geräteereignisse

Der Bericht berücksichtigt nicht nur die Q/P/T-Statistik, sondern auch die Geräteereignisse.

Klassen von Geräteereignissen

Warum der Event Score dominieren kann

Geräteereignisse können zuverlässiger sein als statistische Heuristiken. Zum Beispiel:

• Gehäusebruch;
• Parameteränderung;
• Reset;
• Archiv-Reset;
• Datums-/Uhrzeitänderung;
• Passwort-/Default-Zugriff;
• parameter_change.

Wenn solche Ereignisse vorliegen, kann der finale Score durch sie bestimmt werden, selbst wenn der statistische Score niedriger ist.

Wichtige Einschränkung

Nicht jedes Geräteereignis ist ein direkter Beweis für Manipulation.

Zum Beispiel:

• messtechnische Abweichungen können regelmäßig sein;
• Zusammenfassungen anormaler Ereignisse erfordern eine Dekodierung;
• wiederholte RAISE/CLEAR müssen gruppiert werden;
• „flow = 0“ kann normaler Betrieb sein.

Finaler Score und Root-Cause-Matrix

Finaler Score und Hypothesenmatrix. Der Block zeigt, welche der beiden Schichten (statistisches Muster oder Event Score) den finalen Score bestimmt hat, und bietet sofort eine Root-Cause-Matrix mit alternativen Hypothesen. Alle Hypothesen außer „Bypass“ werden vor Ort geprüft. Die endgültige Grundursache wird erst nach dem Vor-Ort-Besuch und der Dekodierung des Protokolls anormaler Ereignisse festgelegt.

Der finale Score muss beide Schichten berücksichtigen:

statistischer pattern score
device event score

Eines der Prinzipien:

Wenn EventScore höher ist, muss der Bericht erläutern:

Der finale Score wird durch direkte oder klassifizierte Geräteereignisse bestimmt.
Der statistische Detektor lieferte einen niedrigeren Score.

Wenn PatternScore höher ist, muss der Bericht erläutern:

Der finale Score wird durch ein wiederkehrendes Q/P/T-Muster bestimmt.
Direkte Gerätesignale sind unzureichend.

Belegkonfidenz

Die Belegkonfidenz spiegelt nicht die Stärke des Verdachts wider, sondern die Vollständigkeit der Belegbasis.

Formel

Die Quellenkarte wird verwendet:

Quellenstatus:

Gesamtprozentsatz:

Niveaus

Wichtige Interpretation

• Suspicion score beantwortet: wie stark das Muster ist.
• Evidence confidence beantwortet: ob die Quellen für einen sicheren Schluss ausreichen.
• Legal readiness beantwortet: ob ein rechtlich bedeutsamer Schluss gezogen werden kann.

Dies sind drei verschiedene Skalen, und keine lässt sich aus einer anderen ableiten.

Untersuchungszusammenfassung: sieben Skalen

Untersuchungszusammenfassung. Direkt unter dem Berichtskopf — sieben Indikatoren, die zusammen gelesen werden, nicht einzeln. Zum Beispiel bedeutet Pattern Score = 100 bei Evidence Confidence = 58% und Confirmed Tampering = „—“: Mathematisch sieht der Knoten sehr verdächtig aus, aber es gibt noch nicht genügend Belege für ein formales Protokoll — ein Vor-Ort-Besuch ist erforderlich.

Jede der sieben Skalen hat ihre eigene Bedeutung, Formel und Quellen:

Juristische Bereitschaft

Die juristische Bereitschaft ist die Bewertung, ob der Schluss für eine rechtlich bedeutsame Handlung bereit ist.

Mögliche Status

Bedingungen für not_ready

nur statistische Muster
und kein Vor-Ort-Besuch
und keine harten Gerätebelege
und der Pass ist unvollständig

Bedingungen für partial

es gibt Substitutionsereignisse
oder die Belegkonfidenz ist hoch
oder es gibt einen Vor-Ort-Besuch, aber einige Quellen fehlen

Bedingungen für ready

ready ist nur möglich, wenn die Belegbasis ausreichend ist. Beispiele:

• ein hartes physisches Ereignis im Geräteprotokoll;
• bestätigter Gehäusebruch;
• bestätigte Parameteränderung;
• Vor-Ort-Besuch + Geräteereignisse;
• formale Fotodokumentation;
• nachgewiesenes illegales P_const / parameter_change.

Vor-Ort-Priorität

Die Vor-Ort-Priorität bestimmt die Dringlichkeit des Besuchs.

Mögliche Niveaus

Matrix

Warum score 100 auch P1 sein kann

Wenn der Score hoch ist, aber:

• wenige Ereignisse;
• kein high / high_plus;
• die Konfidenz medium ist;
• kein Vor-Ort-Besuch;
• der Pass unvollständig ist;
• es keine harten Belege gibt;

dann kann der Besuch P1 sein, nicht P0.

Metrologische Zuverlässigkeit

Die metrologische Zuverlässigkeit zeigt, wie korrekt die physikalischen und messtechnischen Annahmen sind.

Was die Zuverlässigkeit verringert

• Pass nicht bestätigt;
• P_const unbekannt;
• Impulswertigkeit unbekannt;
• Qmin/Qmax unbekannt;
• P≈100 kPa wiederholt sich ohne Erklärung;
• der P-Kanal sitzt fest;
• der T-Kanal sitzt fest;
• Drucktyp unbekannt: absolut oder Überdruck;
• Gay-Lussac wird auf einen nicht abgeschlossenen Netzknoten angewendet.

Niveaus

Datenintegritätsrisiko

Das Datenintegritätsrisiko zeigt, wie vollständig die Untersuchungsdaten sind.

Was das Risiko erhöht

• teilweises Sitzungsarchiv;
• fehlendes Protokoll der Geräteereignisse;
• unvollständiges Stundenarchiv;
• Lücken bei erfolgreichen Sitzungen;
• Widersprüche zwischen Quellen;
• Zeitstempel aus der Zukunft;
• unvollständige Ereignisdekodierung;
• Rohprotokolle nicht verfügbar.

Niveaus

Root-Cause-Matrix — typische Hypothesen

Die Root-Cause-Matrix existiert, damit der Bericht nicht in eine einzige Anschuldigung zusammenfällt.

Typische Hypothesen

Status der Hypothesen

Die endgültige Grundursache wird erst nach einem Vor-Ort-Besuch und der Dekodierung des Protokolls anormaler Ereignisse festgelegt.

Schätzung des potenziellen Exposure-Volumens

Schätzung des potenziellen Exposure-Volumens. Kein Diebstahlvolumen, sondern eine Größenordnungsschätzung zur Priorisierung der Prüfung. Die drei Zahlen (low / expected / high) bilden eine ±30%-Spanne um den Erwartungswert. Die Basislinie wird als Median der Nicht-Null-Flüsse für dieselbe Stunde der Woche außerhalb von Ereignissen berechnet. Ohne eine Vor-Ort-Prüfung bleiben alle Zahlen eine Heuristik.

Exposure ist eine Berechnung der Größenordnung des potenziell nicht erfassten Verbrauchs in verdächtigen Fenstern.

Basislinie

Für jede Stunde wird eine Basislinie aus historischen ereignisfreien Daten erstellt.

Es wird der Median der Nicht-Null-Flüsse für dieselbe Kombination verwendet:

Stunde des Tages + Wochentag

Formel:

Stunden-Exposure

Für jede Stunde eines verdächtigen Fensters:

Obergrenze

Um eine Überschätzung zu vermeiden, wird das stündliche Exposure beim historischen P95 gedeckelt:

Wenn Qmax bekannt ist, kann die Obergrenze verschärft werden:

Deduplizierung

Wenn sich verdächtige Fenster überlappen, wird dieselbe Stunde nur einmal gezählt:

Gesamtes erwartetes Exposure

Unsicherheitsspanne

Für die indikative Spanne werden ±30% verwendet:

Beweisgewicht des Exposure

Exposure hat ein niedriges oder mittleres Beweisgewicht, solange Folgendes nicht vorliegt:

• ein Vor-Ort-Besuch;
• Ablesungen eines externen Zählers;
• Bestätigung des Standortregimes;
• Bestätigung, dass Q tatsächlich >0 hätte sein müssen;
• Überprüfung der Passparameter.

Korrelation mit dem Archiv anormaler Ereignisse

Ereignisse nach Gruppen. Jedes Fenster eines verdächtigen Musters lässt sich zu einer vollständigen Karte aufklappen: detaillierte Werte, Korrelation mit dem Protokoll anormaler Ereignisse (Geräteereignisse innerhalb ±24h), die Liste der alternativen Hypothesen und das Stundenarchiv dieses Fensters. Eine starke Korrelation (parameter_change / reset innerhalb des Fensters) ist ein Kandidat für harte Belege.

Die Korrelation zeigt, ob Geräteereignisse in der Nähe eines verdächtigen Fensters liegen.

Korrelationsfenster

Für jedes Ereignis wird folgendes Fenster verwendet:

Was als Übereinstimmung zählt

Eine Übereinstimmung ist jedes Geräteereignis, das in das Fenster fällt.

Beispiele:

• Zusammenfassung anormaler Ereignisse;
• ein einzelnes anormales Ereignis;
• parameter_change — Änderung eines Geräteparameters;
• reset — Reset;
• cover_open — Gehäusebruch;
• clock_change — Uhrenänderung;
• archive_reset — Archiv-Reset.

Interpretation

KI-Kommentar

KI-Kommentar. Ein Hilfstext für den Bediener: Ein Block erläutert die Geräteereignisse, der andere formuliert eine Methodikzusammenfassung. Der Disclaimer oben betont, dass die KI nicht an der Bewertung teilnimmt und keine Vor-Ort-Prüfung ersetzt.

Der KI-Kommentar ist ein Hilfstext.

Was die KI tun kann

• das Problem kurz erläutern;
• die wichtigsten Risiken auflisten;
• Hypothesen formulieren;
• die Reihenfolge der Prüfungen vorschlagen;
• einen klaren Schluss für den Bediener erstellen.

Was die KI nicht tun kann

Die KI kann nicht:

• den Score ändern;
• die juristische Bereitschaft ändern;
• Manipulation bestätigen;
• das Geräteprotokoll ersetzen;
• den Pass ersetzen;
• einen Vor-Ort-Besuch ersetzen;
• Belege erzeugen.

Erforderlicher Disclaimer

Der KI-Kommentar nimmt nicht an der Berechnung von Legal Readiness, Evidence Confidence oder Pattern Score teil und ist nicht Teil der Belegbasis.

Prüfcheckliste für die Außendienstcrew

Checkliste für den Vor-Ort-Besuch. Der Mindestsatz an Fotos und Messungen, der zum Erstellen des Protokolls benötigt wird. Vor dem Besuch ausgedruckt oder auf einem Tablet geöffnet. An die erkannten Indikatoren gebunden: Wenn das Muster P_default ausgelöst hat — ist der Punkt P_const-Regime obligatorisch; wenn das Archivlücken-Muster ausgelöst hat — ist der Punkt Protokoll anormaler Ereignisse obligatorisch.

Die Checkliste muss an die erkannten Indikatoren gebunden sein.

Allgemeine Punkte

• Zählerplomben;
• Korrektorplomben;
• Impulskabel / Reed / Encoder;
• Drucksensor;
• Temperatursensor;
• Bypass-Leitung;
• Ventilstellungen vor und nach dem Zähler;
• P_const-Regime;
• Protokoll anormaler Ereignisse;
• kumuliertes Volumen am Zähler und am Korrektor;
• Foto des Korrektordisplays;
• Rohrleitungsführung;
• vertragliches Regime des Standorts.

Erforderliche Fotos

• Korrektordisplay: Q, P, T, V;
• Datum und Uhrzeit des Korrektors;
• P_const-Regime;
• Seriennummer des Zählers;
• Seriennummer des Korrektors;
• Plomben;
• P-Sensor;
• T-Sensor;
• Impulskabel;
• Bypass und Ventile;
• Gesamtansicht des Knotens.

Was zu messen ist

• tatsächlicher Druck mit einem Referenzmanometer;
• tatsächliche Temperatur;
• kumuliertes Volumen;
• Ablesungen eines externen Zählers;
• Vorhandensein von Impulsen;
• Status der Stromversorgung;
• Kommunikationsparameter;
• Qmin/Qmax laut Pass;
• Impulswertigkeit.

Q/P-Diagramm und verdächtige Fenster

Q/P-Diagramm. Die Hauptvisualisierung. Die blaue Linie ist der stündliche Fluss, die orangefarbene der Druck. Rot und gelb schraffierte Zonen markieren Fenster der ausgelösten Muster: Beim Überfahren werden die exakten Stundenwerte angezeigt. Das Doppeldiagramm lässt den gesamten Zeitraum auf einmal erkennen, sodass langfristige Trends nicht übersehen werden.

Diagramm-Tooltip. Beim Überfahren eines beliebigen Punktes werden die exakten Stundenwerte von Q und P angezeigt. Dies wird für Hypothesenprüfungen benötigt: z. B. um den Druckwert innerhalb eines verdächtigen Fensters zu erfahren oder den Fluss mit der Basislinie zu vergleichen.

Worauf im Diagramm zu achten ist

• lange horizontale P-Abschnitte (Plateau → P_stuck);
• Abfälle von Q auf null (Nullfluss-Perioden);
• gleichzeitige Sprünge von Q und P (Erholung);
• Drucksprünge ohne Fluss;
• ein perfekt flaches Q bei einem von null verschiedenen Mittelwert (synthetisches Profil);
• Unterbrechungen in der Zeit (Lücke im Archiv).

Was nicht allein interpretiert werden darf

• eine einzelne Nullstunde;
• eine einmalige P-Spitze;
• jegliche Anomalie ohne Prüfung des Protokolls anormaler Ereignisse und des Passes.

Knotenzusammenfassung und stündliche Verteilung

Knotenzusammenfassung. Ein einziger Blick auf das „Rohgewebe“: wie viele Ereignisse, wie vielfältig die Indikatoren, Gesamtdauer, Zeitraumabdeckung. Das Histogramm „wann sie begonnen haben“ ist nützlich, um Regimemuster zu erkennen: Ereignisse nur nachts oder nur während der Geschäftszeiten sind diagnostisch wichtig (siehe das Muster „Erholungen nur während der Geschäftszeiten“).

Zusammenfassungsmetriken

Stündliche Verteilung

Das Histogramm „wann sie begonnen haben“ verwendet eine Farbcodierung:

• Nacht (00–05) — blau;
• Morgen (06–08) — hellblau;
• Tag (09–17) — orange;
• Abend (18–23) — violett.

Eine Konzentration in einer Farbe ist ein starkes diagnostisches Signal (z. B. alle Ereignisse während der Geschäftszeiten → manuelle Wartung).

Top-5-Fenster für die Vor-Ort-Prüfung

Top-5-Fenster für die Crew. Wenn die Crew zeitlich begrenzt ist — mit diesen 5 Fenstern beginnen. Die vollständige Liste findet sich weiter unten im Abschnitt „alle Ereignisse nach Gruppen“. Die Spalte „was zu prüfen ist“ wird automatisch aus den ausgelösten Indikatoren zusammengestellt: Für zero_flow_p_default ist es das P_const-Regime, für gap_with_clean_sessions das Protokoll anormaler Ereignisse und eine Archiv-Parser-Prüfung.

Algorithmus zur Top-5-Auswahl

1. Ereignisse mit severity >= medium filtern
2. nach Gewicht sortieren (high_plus > high > medium > low)
3. innerhalb jedes Gewichts — nach Zeit absteigend
4. die ersten 5 behalten
5. die Checklisten-Vereinigung aus den ausgelösten Indikatoren zusammenstellen

Spalte „Was zu prüfen ist“

Wie der obere Block zu lesen ist

Pattern Suspicion

Beantwortet die Frage:

Wie stark sind die mathematischen Verdachtsindikatoren?

Beantwortet nicht die Frage:

Ist die Manipulation bewiesen?

Evidence Confidence

Beantwortet die Frage:

Wie vollständig ist die Belegbasis?

Ist nicht gleich dem suspicion score.

Confirmed Tampering

Muss NOT CONFIRMED bleiben, solange es keine harten Belege oder kein Vor-Ort-Protokoll gibt.

Legal Readiness

Zeigt, ob zu einer rechtlich bedeutsamen Handlung übergegangen werden kann.

Field Priority

Zeigt, wie dringend ein Vor-Ort-Besuch erforderlich ist.

Metrology Reliability

Zeigt, ob den physikalischen und messtechnischen Annahmen vertraut werden kann.

Data Integrity Risk

Zeigt, wie vollständig und konsistent die Datenquellen sind.

Häufige Interpretationsfehler

Fehler: Score 100 = Beweis

Falsch. Ein Score von 100 kann das Ergebnis eines starken statistischen Musters oder eines Event Scores sein. Ein Beweis erfordert Quellen.

Fehler: P=100 kPa = illegale Substitution

Falsch. Es kann ein vom Pass erlaubter P_const- oder Default-Wert sein.

Fehler: Gay-Lussac verletzt = Manipulation

Falsch. Das Modell gilt nur für ein abgeschlossenes Volumen.

Fehler: Q=0 bei P>0 = Bypass

Falsch. Es kann ein Stillstand, ein geschlossenes Ventil oder ein technologisches Regime sein.

Fehler: Exposure = Verlust

Falsch. Exposure ist eine Größenordnungsschätzung für die Prüfung.

Fehler: KI schrieb „Verdacht“ = bewiesen

Falsch. Der KI-Kommentar ist nur eine Erläuterung.

Fehler: „nicht ausgelöst“ = „kein Problem“

Falsch. Ein Indikator kann durch ein Quality-Gate unterdrückt, wegen eines festsitzenden Sensors deaktiviert oder schlicht für den Knotentyp nicht anwendbar gewesen sein. Lesen Sie den Abschnitt zu den Einschränkungen sorgfältig.

Mindestkriterien für einen vollständigen Bericht

Der Bericht gilt als methodisch vollständig, wenn er Folgendes enthält:

• Analysezeitraum;
• Knotenkarte;
• Pattern Suspicion Score;
• Belegkonfidenz;
• Status Confirmed Tampering;
• juristische Bereitschaft;
• Vor-Ort-Priorität;
• Datenquellenkarte;
• Liste der erkannten Muster;
• formale Bedingung für jedes Muster;
• Schwere- und Cap-Logik;
• Event Score oder eine Erklärung seines Fehlens;
• Root-Cause-Matrix;
• Exposure-Schätzung;
• Korrelation mit Geräteereignissen;
• KI-Disclaimer;
• Checkliste für den Vor-Ort-Besuch;
• Methodik mit Formeln und Schwellenwerten;
• Darlegung der Einschränkungen und alternativen Hypothesen.

Empfohlene Formulierung des Endurteils

Ein korrektes Endurteil muss neutral sein:

Der Knoten zeigt Indikatoren, die eine Überprüfung erfordern: lange Q≈0-Perioden,
ein festsitzender Druckkanal und/oder Übereinstimmungen mit Geräteereignissen.
Dies ist kein eigenständiger Beweis für Manipulation.
Für das Endurteil müssen der P_const-Pass, das Protokoll anormaler Ereignisse,
die Plomben, das Impulskabel, die Korrektorablesungen und die tatsächliche Knotenführung geprüft werden.

Wenn die Belegkonfidenz hoch ist:

Das Vorhandensein direkter Geräteereignisse erhöht das Beweisgewicht, doch die endgültige Qualifikation
muss die Dekodierung der Codes, die Passparameter und die Ergebnisse der Vor-Ort-Prüfung berücksichtigen.

Wenn die Belegkonfidenz niedrig ist:

Die erkannten Indikatoren sind heuristischer Natur und werden nur zur Planung der Prüfung verwendet.

Verwandte Berichte

• Metering Bypass (Flotte) — dieselbe Bewertung für die gesamte Flotte auf einmal, ohne die Verfahrensblöcke.
• Suspicious Nodes — das wichtigste Werkzeug auf Flottenebene zur Erkennung von Bypass.
• Consumption Analytics — eine allgemeine Knotenaufschlüsselung mit Ereignisprotokoll; empfohlen, vor oder zusammen mit diesem Bericht auszuführen.
• Passport Audit — eine Prüfung der Passvollständigkeit, ohne die die juristische Bereitschaft nicht ready sein kann.