--- title: 'Metering Bypass (Knoten)' description: 'Verdachtswert für Metering-Bypass eines einzelnen Knotens (0-100) mit Mustern, Formeln, Belegkonfidenz, juristischer Bereitschaft und einer Checkliste für den Vor-Ort-Besuch.' section: AI Analytics weight: 7 related: - ai-analytics/fleet-reports/suspicious-nodes - ai-analytics/node-reports/consumption-analytics - ai-analytics/fleet-reports/metering-bypass-fleet --- import Alert from '@/components/docs/Alert.astro'; import Image from '@/components/docs/Image.astro'; Der Bericht **Metering Bypass** führt eine formalisierte Analyse **eines einzelnen Messknotens** über einen gewählten Zeitraum durch, mit dem Ziel, Anzeichen für eine mögliche Untererfassung, einen Austausch des Messkanals, fehlerhaftes Sensorverhalten oder andere Ereignisse zu erkennen, die die Aufmerksamkeit des Messdienstes erfordern. Er stützt sich auf dieselben Normen, die die Gasmessung regeln: ISO 5167 (Blenden), ISO 6976 (Brennwert), EN 12405-1 (elektronische Gasmengenumwertung), OIML R 137 (Gaszähler), OIML R 140 (Messanlagen für gasförmige Brennstoffe) und EN 1359 (Membranzähler). ## Zweck des Berichts

_Berichtskopf._ Das Erste, was der Leser sieht: die Knotenkennung, die Gerätekennung, den Korrektortyp, den abgedeckten Zeitraum, den Generierungszeitpunkt, den finalen Verdachtswert und seine textuelle Schwere. Der Wert allein beweist nichts — er ist ein zusammengesetzter Indikator, der stets zusammen mit den sechs benachbarten Indikatoren gelesen werden muss (siehe die Untersuchungszusammenfassung weiter unten). Der Bericht **ist keine formale Feststellung** eines Verstoßes. Er stellt keinen Diebstahl fest, ersetzt keine Vor-Ort-Prüfung und ist kein Rechtsgutachten. Seine Aufgabe ist es, verdächtige Muster mathematisch und messtechnisch zu beschreiben, die Konfidenz der Quellen aufzuzeigen, die Prüfungspriorität festzulegen und der Außendienstcrew eine klare Liste an die Hand zu geben, was vor Ort zu prüfen ist. Der Bericht beantwortet folgende Fragen: - gibt es im Stundenarchiv `Q≈0`-Perioden, die atypisch aussehen; - blieb der Druckkanal `P` auf einem Ersatzwert oder einem nahezu konstanten Wert hängen; - änderte sich die Temperatur `T`, während der Druck stillstand; - gab es eine plötzliche Erholung von `Q` und `P` nach einer Nullperiode; - gibt es Übereinstimmungen mit dem Archiv anormaler Ereignisse; - gibt es direkte Gerätesignale: physischer Zugriff, Parameteränderung, Reset, Uhrenänderung; - wie vollständig sind die Datenquellen; - kann der Verdacht als bestätigt angesehen werden; - ist ein Vor-Ort-Besuch erforderlich und mit welcher Priorität; - welcher potenzielle Umfang an nicht erfasstem Volumen erfordert eine Überprüfung; - welche alternativen Hypothesen müssen ausgeschlossen werden, bevor irgendein Schluss über Manipulation gezogen wird. Der Bericht zeigt **einen Verdachtswert**, keinen Beweis für Manipulation. Ein hoher Wert bedeutet, dass ein mathematisches oder ereignisbasiertes Muster gefunden wurde, das eine Überprüfung erfordert. Ein rechtlicher Schluss ist nur möglich, wenn die Belegbasis ausreichend ist: Geräteprotokolle, Passdaten, Vor-Ort-Prüfung, Fotodokumentation, Plombenkontrolle und ein formales Protokoll. ## Zielgruppe | Rolle | Was der Bericht ihr bietet | | ---------------------------------- | ------------------------------------------------------------------------------------------------------- | | Leiter des Messdienstes | Gesamtverdachtsniveau, Belegkonfidenz, juristische Bereitschaft, Priorität des Vor-Ort-Besuchs | | Metrologe | Prüfung der Kanäle `Q/P/T`, des Regimes `P_const`, Anwendbarkeit des physikalischen Modells, Passlücken | | Telemetrieingenieur | Verknüpfung mit dem Sitzungsarchiv, Vollständigkeit der Quellen, verdächtige Lücken | | Außendienstcrew | wichtigste Fenster für die Prüfung und die Prüfcheckliste | | Compliance-Dienst | Liste verdächtiger Muster, Geräteereignisse und alternativer Hypothesen | | Abrechnungsanalyst | indikatives Exposure-Volumen als Maßstab für den potenziellen blinden Fleck | | Jurist des Versorgungsunternehmens | Grundlage für die Vorbereitung eines formalen Protokolls, sobald harte Belege bestätigt sind | ## Was der Bericht NICHT tun darf Der Bericht darf nicht: - einen Verbraucher automatisch des Metering-Bypass beschuldigen; - das berechnete Exposure als bestätigten Verlust bezeichnen; - Nullfluss ohne Prüfung des Betriebsregimes als Verstoß werten; - einen festsitzenden Sensor als Manipulationsbeweis werten; - das Gesetz von Gay-Lussac ohne Prüfung seiner physikalischen Anwendbarkeit anwenden; - `P=100 kPa` ohne Passdaten und das `P_const`-Regime als illegal werten; - die juristische Bereitschaft allein auf Grundlage eines KI-Kommentars anheben; - einen Schluss über Manipulation bilden, wenn das Stundenarchiv fehlt; - ein Vor-Ort-Protokoll durch einen automatischen Wert ersetzen. ## Schlüsselbegriffe | Begriff | Bedeutung | | --------------------- | -------------------------------------------------------------------------------------------------------------- | | `Q` | stündlicher Gasfluss, m³/h | | `P` | Druck, kPa | | `T` | Gastemperatur, °C | | `Q≈0` | Fluss unterhalb der Nahe-Null-Schwelle | | `P_default` | Druck nahe einem Ersatzwert: z. B. 100, 101.325, 103, 105 oder 0 kPa | | `P_stuck` | Druck ändert sich während des Zeitraums kaum | | `zero-flow run` | ein zusammenhängender Zeitraum, in dem der Fluss nahezu null ist | | `recovery` | plötzliche Rückkehr von Fluss und/oder Druck nach einer Nullperiode | | `event` | ein erkanntes Fenster eines verdächtigen Musters | | `severity` | Stärke des Indikators: `low` / `medium` / `high` / `high_plus` | | `pattern score` | mathematischer Verdachtswert auf Basis von Archivmustern (0..100) | | `event score` | Wert auf Basis direkter oder klassifizierter Geräteereignisse (0..100) | | `final score` | Gesamtverdachtswert, `max(pattern, event)` | | `evidence confidence` | Vollständigkeit der Belegbasis | | `legal readiness` | Bereitschaft für einen rechtlich bedeutsamen Schluss | | `field priority` | Priorität des Vor-Ort-Besuchs `P0..P3` | | `exposure` | geschätztes potenziell nicht erfasstes Volumen, kein nachgewiesener Verlust | | `hard evidence` | direkter Beweis: Gehäusebruch, Parameteränderung, Archiv-Reset, bestätigtes Geräteereignis, formales Protokoll | ## Gesamtlogik des Berichts Die Gesamtlogik des Berichts ist in mehreren Schichten aufgebaut: ```text Stundenarchiv Q/P/T → Suche nach Nullfluss-Perioden → Prüfung des Druckkanals P → Prüfung der Temperatur T → Erholungsprüfung nach einem Nullfenster → Prüfung zusätzlicher Muster → Abgleich mit dem Geräteprotokoll → Berechnung des pattern score → Berechnung des event score → Begrenzung durch das severity cap → Bewertung der Belegkonfidenz → juristische Bereitschaft → Vor-Ort-Priorität → Exposure-Schätzung → Root-Cause-Matrix → Checkliste für den Vor-Ort-Besuch ``` Es ist wesentlich, dass der Bericht Folgendes trennt: 1. **statistisches Muster** im Stundenarchiv; 2. **Geräteereignis** im Korrektorprotokoll; 3. **Quellenkonfidenz**; 4. **juristische Bereitschaft**; 5. **Vor-Ort-Prüfung**. Jede der fünf Schichten wird unabhängig bewertet. Ein hoher Wert in einer von ihnen erhöht nicht die Handlungsbereitschaft in einer anderen. Zum Beispiel kann score=100 ohne Geräteereignisse und ohne Vor-Ort-Besuch bei der juristischen Bereitschaft `partial` und bei der Vor-Ort-Priorität `P1` bleiben. ## Eingangsdaten ### Pflichtdaten | Quelle | Zweck | | --------------------------- | ------------------------------------------------------ | | Stundenarchiv `Q/P/T` | Hauptquelle für die Mustersuche | | Analysezeitraum | Fenstergrenzen | | Knoten- und Gerätekennungen | Verknüpfung des Ergebnisses mit einem konkreten Objekt | Ohne das Stundenarchiv kann der Bericht nur das Fehlen von Daten anzeigen und darf keinen vollständigen Verdachtsschluss bilden. ### Wünschenswerte Daten | Quelle | Zweck | | ---------------------------------- | ------------------------------------------------------------------- | | Archiv der Kommunikationssitzungen | Prüfung, ob der Knoten während der Ereignisse online war | | Archiv anormaler Ereignisse | Suche nach harten Belegen: Gehäusebruch, Reset, parameter_change | | Korrektorpass | Prüfung der Zulässigkeit von `P_const`, Qmin/Qmax, Impulswertigkeit | | Vor-Ort-Prüfung | Bestätigung von Plomben, Rohrleitungsführung, tatsächlichem Regime | | Foto des Korrektordisplays | Erfassung von `Q/P/T/V`, Datum, Uhrzeit, Regime | | Ablesungen eines externen Zählers | Abgleich des akkumulierten Volumens | ### Mindestzuverlässiger Zeitraum Ein Zeitraum kürzer als 30 Tage stuft die Konfidenz der Belegbasis automatisch um eine Stufe herab: `high → medium`, `medium → low`. Ein sinnvolles Minimum sind 90 Tage; der empfohlene Zeitraum beträgt 366 Tage (ein Jahr liefert die Saisonalität für alle Muster). ## Belegkarte

_Belegkarte._ Welche Datenquellen für die Bewertung herangezogen wurden und wie vollständig sie sind. Je mehr grüne „OK“-Markierungen, desto höher die Konfidenz in die Belege. Jede Quelle hat ein Gewicht in der Belegkonfidenz-Formel, und ein Status `partial` oder `missing` senkt den resultierenden Prozentsatz. | Quelle | Status | Gewicht im Beleg | | ---------------------------------- | ---------------------- | ---------------: | | Stundenarchiv Q/P/T | ok / partial / missing | 3 | | Archiv der Kommunikationssitzungen | ok / partial / missing | 2 | | Archiv anormaler Ereignisse | ok / partial / missing | 3 | | Korrektorpass | ok / partial / missing | 1 | | Vor-Ort-Prüfung | ok / partial / missing | 3 | ### Formel für die Quellenkonfidenz Es seien: - `w_i` — Gewicht der Quelle; - `s_i` — Statuskoeffizient der Quelle. Status: $$ s_i = \begin{cases} 1, & status_i = ok \\ 0.5, & status_i = partial \\ 0, & status_i = missing \end{cases} $$ Dann ergibt sich der Gesamtprozentsatz der Quellenkonfidenz zu: $$ EvidenceSourcePct = \frac{\sum (w_i \times s_i)}{\sum w_i} \times 100\% $$ ### Interpretation der Belegkonfidenz | EvidenceSourcePct | Belegkonfidenz | | ----------------: | -------------- | | ≥ 70% | high | | 35–70% | medium | | < 35% | low | Selbst eine `high evidence confidence` bedeutet keine automatische Bestätigung der Manipulation. Sie bedeutet nur, dass die Quellen für eine sicherere Untersuchung ausreichen. ## Nullfluss-Periode Die meisten Anzeichen im Bericht beginnen mit der Suche nach Perioden, in denen der Fluss nahezu null ist. ### Nahe-Null-Schwelle Basisschwelle: $$ Q_{nearzero} = 0.5 \; m³/h $$ Eine Stunde gilt als null, wenn: $$ Q_h \le Q_{nearzero} $$ ### Mindestdauer Eine Nullperiode wird zum Analysekandidaten, wenn sie mindestens andauert: $$ H_{zero\_run} \ge 6 \; hours $$ Das heißt: ```text Q≈0 durchgehend für 6 Stunden oder länger ``` ### Warum genau 6 Stunden Die 6-Stunden-Schwelle vermeidet eine Reaktion auf kurze Betriebspausen, zufällige Leerlaufphasen oder einzelne Nullpunkte. Für ein Bypass- oder Substitutionsmuster zählt nicht der isolierte Nullwert, sondern ein stabiles Fenster, in dem der Fluss fehlt, während sich die anderen Kanäle verdächtig verhalten. Empirisch decken 6 Stunden die meisten realen Muster „nächtliche Abschaltung → morgendlicher Neustart mit Substitution“ ab, ohne Fehlalarme bei Mittagspausen oder kurzen geplanten Stopps an Industriestandorten. ## Ersatzdruck P_default Einer der Schlüsselindikatoren ist ein Druck nahe typischer Ersatzwerte. ### Ersatzwerte | Gruppe | Werte | | --------------------------- | -------------------------------- | | Atmosphärisch / vertraglich | 100.0, 101.325, 103.0, 105.0 kPa | | Null / getrennter Sensor | 0.0 kPa | ### Toleranz Für atmosphärische und vertragliche Werte: $$ Tolerance_{atm} = 0.5 \; kPa $$ Für den Nullwert: $$ Tolerance_{zero} = 0.3 \; kPa $$ ### Nähe-Formel Der Druck gilt als nahe am Ersatzwert, wenn: $$ |P_{mean} - P_{default}| \le Tolerance $$ dabei sind: - `P_mean` — mittlerer Druck innerhalb des Nullfensters; - `P_default` — einer der Ersatzwerte. ### Wichtige Einschränkung `P_default` **ist für sich allein kein Beweis für einen Verstoß**. Es kann sein: - ein zulässiges `P_const`-Regime; - eine Geräteeinstellung, die bei fehlendem Sensor verwendet wird; - ein Notfall-Ersatzwert; - eine Folge der Sensortrennung; - eine Besonderheit des Korrektormodells. Deshalb sind die Passdaten für jeden Schluss erforderlich: ```text Prüfung: Ist P_const zulässig, welcher Wert von P_const ist gesetzt, warum wurde er angewendet. ``` ## Festsitzender Druckkanal P_stuck ### Standardabweichung des Drucks Innerhalb des Nullfensters wird die Standardabweichung des Drucks berechnet: $$ \sigma_P = \sqrt{ \frac{1}{n-1} \sum_{i=1}^{n} (P_i - \overline{P})^2 } $$ Der Druckkanal gilt als festsitzend, wenn: $$ \sigma_P < 0.1 \; kPa $$ ### Temperaturänderung Für die physikalische Prüfung muss sich die Temperatur im Fenster merklich ändern: $$ \Delta T = max(T_i) - min(T_i) $$ Bedingung: $$ \Delta T \ge 1^\circ C $$ Wenn sich die Temperatur kaum geändert hat, lässt sich nicht mit Sicherheit sagen, ob sich `P` hätte ändern müssen. ## Prüfung des Gay-Lussac-Gesetzes ### Physikalische Formel Für ein abgeschlossenes Gasvolumen mit konstanter Stoffmenge gilt: $$ \frac{P}{T_K} = const $$ dabei ist: $$ T_K = T_C + 273.15 $$ Bei gegebenen Anfangswerten: $$ P_{expected,i} = P_1 \times \frac{T_{K,i}}{T_{K,1}} $$ Erwartete Druckänderung: $$ \Delta P_{expected} = max(P_{expected,i}) - min(P_{expected,i}) $$ ### Vergleich mit der tatsächlichen Änderung Die tatsächliche Druckvariabilität wird über die Standardabweichung oder die Spannweite bewertet: $$ P_{std} = \sigma_P $$ oder: $$ \Delta P_{actual} = max(P_i) - min(P_i) $$ Wenn: $$ \Delta P_{expected} \gg \Delta P_{actual} $$ und gleichzeitig: $$ \sigma_P < 0.1 \; kPa $$ dann wird der Druckkanal als verdächtig festsitzend behandelt. ### Divergenzkoeffizient Für die Erläuterung im Bericht kann folgendes Verhältnis verwendet werden: $$ K_{GL} = \frac{\Delta P_{expected}}{max(\sigma_P, \varepsilon)} $$ dabei ist `ε` eine kleine Konstante zum Schutz vor einer Division durch null. Wenn `K_GL` groß ist, stellt der Bericht fest, dass die erwartete Druckänderung um ein Vielfaches größer ist als die tatsächliche Variabilität. ### Wichtige physikalische Einschränkung Das Gesetz von Gay-Lussac ist nur auf ein **abgeschlossenes Gasvolumen** anwendbar. Es ist nicht oder nur teilweise anwendbar, wenn: - der Knoten an das Netz angeschlossen ist; - der Druck durch einen Regler gehalten wird; - die Vor-/Nachlaufseite offen ist; - der Druck ein Überdruck und kein Absolutdruck ist; - der Pass ein `P_const`-Regime vorgibt; - das Volumen nicht isoliert ist; - der Drucksensor Werte rundet oder filtert. Eine Verletzung des Gay-Lussac-Modells ist kein eigenständiger Beweis für Manipulation. Sie ist eine physikalische Heuristik, deren Anwendbarkeit überprüft werden muss. ## Katalog der erkannten Muster

_Methodiktabelle._ Alle neun Indikatoren, nach denen der Bericht suchen kann, mit ihrer formalen Bedingung, ihrem Schweregrad (low / medium / high / very_high) und einer anklickbaren Markierung „in diesem Bericht ausgelöst“. Die Tabelle zeigt sofort, welche Indikatoren am gegebenen Knoten ausgelöst haben, und erlaubt den direkten Sprung zur Ereigniskarte. ### Substitution von P durch einen Default-Wert Formale Bedingung: $$ Q \approx 0 \; for \; H \ge 6h $$ und: $$ \sigma_P < 0.1 \; kPa $$ und: $$ P_{mean} \in P_{default} $$ und: $$ \Delta T \ge 1^\circ C $$ Bedeutung: Der Druck verharrt während einer langen Nullfluss-Periode auf einem typischen Ersatzwert. Dies kann auf eine Substitution des Druckkanals hindeuten, kann aber auch ein zulässiges `P_const`-Regime sein. ### Festsitzender Druckkanal P (Gay-Lussac-Verletzung) Formale Bedingung: $$ Q \approx 0 \; for \; H \ge 6h $$ $$ \sigma_P < 0.1 \; kPa $$ $$ \Delta T \ge 1^\circ C $$ und das Gay-Lussac-Modell zeigt, dass die erwartete Druckänderung merklich sein müsste. Bedeutung: Die Temperatur ändert sich, der Druck steht aber nahezu still. Dies kann auf einen festsitzenden Druckkanal, das `P_const`-Regime, einen Netzregler oder eine Substitution des Messkanals hindeuten. ### Synchroner Q+P-Sprung nach einer Nullperiode Formale Bedingung: Es gibt eine Nullperiode: $$ Q \approx 0 \; for \; H \ge 6h $$ und nach deren Ende wird innerhalb eines Fensters von: $$ \pm 2 \; hours $$ Folgendes erfasst: $$ Q_{recovery} \ge 10 \; m³/h $$ und: $$ \Delta P_{recovery} \ge 20 \; kPa $$ Bedeutung: Nach einer langen Nullperiode werden Fluss und Druck gleichzeitig wiederhergestellt. Dies kann darauf hindeuten, dass die Messung nach einem Regimewechsel wieder aufgenommen wurde, kann aber auch ein normaler technologischer Anlauf sein. ### Lücke im Archiv bei erfolgreichen Kommunikationssitzungen Formale Bedingung: Es gibt eine Lücke im Stundenarchiv: $$ H_{gap} \ge 24h $$ und im selben Fenster gab es erfolgreiche Kommunikationssitzungen: $$ FailRatio < 30\% $$ Bedeutung: Der Knoten war online, aber das Stundenarchiv wurde nicht geliefert oder aufgezeichnet. Dies sieht eher nach einem Liefer-, Export-, Parsing- oder Integrationsproblem aus als nach einem physischen Bypass der Messung. ### Zu flache Q und P (Plateau) Formale Bedingung: Der Zeitraum dauert: $$ H \ge 24h $$ der Fluss ist von null verschieden: $$ \overline{Q} > 1 \; m³/h $$ der Fluss ist zu flach: $$ \frac{\sigma_Q}{\overline{Q}} < 0.02 $$ der Druck steht nahezu fest: $$ \sigma_P < 1 \; kPa $$ Bedeutung: Eine sehr flache Kurve kann bei manchen technologischen Prozessen normal sein, kann aber auch auf ein synthetisches oder substituiertes Profil hindeuten. ### Nächtliches Q=0 bei warmer Temperatur Formale Bedingung: In den Nachtstunden: $$ 02:00 \le hour \le 05:00 $$ ist der Fluss gleich null: $$ Q \approx 0 $$ die Temperatur liegt über der Schwelle: $$ T > 15^\circ C $$ und dies tritt an mindestens 5 Nächten auf. Bedeutung: schwacher Indikator. Für Schulen, Büros, saisonale Standorte und Wohngebäude kann ein nächtlicher Nullfluss die Norm sein. ### Drucksprünge ohne Fluss Formale Bedingung: Mindestens 3 Vorkommnisse: $$ |\Delta P_h| \ge 30 \; kPa $$ bei: $$ Q_h < 5 \; m³/h $$ Bedeutung: Starke Drucksprünge ohne passenden Fluss können auf einen Sensorfehler, ein Telemetrieartefakt oder eine manuelle Kanalbearbeitung hindeuten. ### Lange Folge identischer Q-Werte Formale Bedingung: Der Fluss bleibt identisch über: $$ H \ge 48h $$ innerhalb: $$ |Q_i - Q_{run}| \le 0.001 \; m³/h $$ Bedeutung: Ein natürlicher Fluss weist normalerweise Rauschen und Variabilität auf. Eine langanhaltende Identität kann auf eine Konstante, einen Übertragungsfehler oder einen getrennten Flusssensor hindeuten. ### Erholungen nur während der Geschäftszeiten Formale Bedingung: Es gibt mindestens 3 Erholungsereignisse, und der Anteil der Erholungen während der Geschäftszeiten beträgt: $$ Share_{business} \ge 70\% $$ Geschäftszeiten: $$ 09:00 \le hour < 17:00 $$ und der Wochentag ist ein Werktag. Bedeutung: Wenn die Wiederherstellung der Messung häufig nur während der Geschäftszeiten erfolgt, kann dies auf manuelle Wartung, Bedienerbesuche oder Regimehandlungen hindeuten. Es ist aber kein Beweis für Manipulation. ## Vorfilter für die Datenqualität Bevor Manipulationsmuster interpretiert werden, muss der Bericht offensichtliche Artefakte ausschließen. ### Physikalisch unmöglicher Druck Wenn: $$ P > 500 \; kPa $$ für einen Nieder- oder Mitteldruckknoten gilt, kann dies ein Telemetrieartefakt sein. Solche Punkte dürfen den Verdacht nicht aufblähen. ### Flussspitze Eine Flussspitze kann als Artefakt behandelt werden, wenn: $$ Q_h > 20 \times median(Q) $$ und gleichzeitig: $$ Q_h > 1000 \; m³/h $$ Ein solcher Punkt kann ein Totalisator-Dump, ein Übertragungsfehler oder ein Archiv-Reset sein. ### Defekter P-Sensor Wenn der Druckkanal festsitzt über: $$ H_{Pstuck} \ge 168h $$ dann müssen P-abhängige Manipulationsdetektoren ausgeschaltet oder als nicht beweiskräftig markiert werden. Das bedeutet: ```text Problem: messtechnische Zuverlässigkeit des P-Sensors. Kein Schluss: Beweis für Bypass. ``` ### Netzknoten, bei dem Gay-Lussac nicht anwendbar ist Wenn: $$ median(P) < 10 \; kPa $$ und: $$ \sigma_P < 2 \; kPa $$ und der Sensor nicht als defekt gilt, kann der Knoten ein Niederdruck-Netzobjekt sein, bei dem der Druck durch einen Regler gehalten wird. In diesem Fall müssen GL-abhängige Indikatoren herabgestuft oder aus der Bewertung ausgeschlossen werden. ## Schweregrade und Wahrscheinlichkeitsgewichte Jedem ausgelösten Indikator wird ein Stärkegrad zugewiesen. | Severity | Wahrscheinlichkeitsgewicht `p_i` | | --------- | -------------------------------: | | info | 0.00 | | low | 0.10 | | medium | 0.30 | | high | 0.50 | | high_plus | 0.65 | Diese Werte **sind nicht die Wahrscheinlichkeit eines rechtlichen Verstoßes**. Es sind interne Gewichte für die Kombination unabhängiger Indikatoren. ## Zusammengesetzter Verdachtswert ### Warum keine einfache Summe Würden wir einfach alle Indikatoren summieren, erhielte ein Knoten mit vielen schwachen Ereignissen einen übermäßig hohen Wert. Daher wird eine multiplikative Logik unabhängiger Signale verwendet. ### Formel Für jedes Ereignis wird das Gewicht `p_i` entsprechend seiner Schwere herangezogen. Wahrscheinlichkeit, dass keiner der Indikatoren auf Verdacht hinweist: $$ P_{none} = \prod_{i=1}^{n}(1 - p_i) $$ Dann lautet die kombinierte Schätzung: $$ P_{combined} = 1 - \prod_{i=1}^{n}(1 - p_i) $$ Score: $$ SuspicionScore = 100 \times P_{combined} $$ oder, ausgeschrieben: $$ SuspicionScore = 100 \times \left(1 - \prod_{i=1}^{n}(1 - p_i)\right) $$ ### Beispiel Angenommen, es gibt zwei Ereignisse: - medium: `p=0.30`; - low: `p=0.10`. Dann: $$ P_{combined} = 1 - (1-0.30)(1-0.10) $$ $$ P_{combined} = 1 - 0.70 \times 0.90 = 0.37 $$ $$ SuspicionScore = 37 $$ ### Vom Score ausgeschlossene Ereignisse Manche Ereignisse können im Bericht erscheinen, aber nicht in den Score eingehen: - informative Ereignisse; - Ereignisse mit nicht anwendbarer Physik; - Ereignisse, die durch ein Quality-Gate unterdrückt wurden; - Netz-GL-Ereignisse; - Ereignisse, die durch einen defekten Sensor erklärt werden. ## Severity Cap Selbst wenn der Score hoch ausfällt, darf das finale textuelle Niveau nicht aufgebläht werden, wenn alle Ereignisse schwach sind. ### Cap-Matrix | Zusammensetzung der Ereignisse | Maximales Niveau | | ------------------------------ | ------------------- | | enthält `high_plus` | very_high | | enthält `high` | high | | enthält 2 oder mehr `medium` | high | | enthält 1 `medium` | medium | | nur `low` | medium | | nur `info` | low / kein Verdacht | ### Warum der Cap nötig ist Der Cap schützt den Bericht vor einer Situation, in der viele schwache Ereignisse einen sehr hohen mathematischen Score erzeugen, während der Beweiswert jedes einzelnen Ereignisses gering bleibt. Beispiel: ```text Score = 100 Aber es gibt keine high/high_plus-Ereignisse. Finales Niveau: medium. ``` ## Event Score — Geräteereignisse Der Bericht berücksichtigt nicht nur die Q/P/T-Statistik, sondern auch die Geräteereignisse. ### Klassen von Geräteereignissen | Klasse | Bedeutung | | -------------- | ------------------------------------------------------------------- | | `physical` | physischer Zugriff, Gehäusebruch, Uhrenänderung, Zugriffsereignisse | | `substitution` | Anzeichen für eine Substitution oder Änderung des Messregimes | | `metrology` | messtechnische Abweichungen | | `system_error` | Systemfehler des Geräts | | `comm` | Kommunikationsereignisse | | `other` | sonstige Ereignisse | ### Warum der Event Score dominieren kann Geräteereignisse können zuverlässiger sein als statistische Heuristiken. Zum Beispiel: - Gehäusebruch; - Parameteränderung; - Reset; - Archiv-Reset; - Datums-/Uhrzeitänderung; - Passwort-/Default-Zugriff; - parameter_change. Wenn solche Ereignisse vorliegen, kann der finale Score durch sie bestimmt werden, selbst wenn der statistische Score niedriger ist. ### Wichtige Einschränkung Nicht jedes Geräteereignis ist ein direkter Beweis für Manipulation. Zum Beispiel: - messtechnische Abweichungen können regelmäßig sein; - Zusammenfassungen anormaler Ereignisse erfordern eine Dekodierung; - wiederholte RAISE/CLEAR müssen gruppiert werden; - „flow = 0“ kann normaler Betrieb sein. ## Finaler Score und Root-Cause-Matrix

_Finaler Score und Hypothesenmatrix._ Der Block zeigt, welche der beiden Schichten (statistisches Muster oder Event Score) den finalen Score bestimmt hat, und bietet sofort eine Root-Cause-Matrix mit alternativen Hypothesen. Alle Hypothesen außer „Bypass“ werden vor Ort geprüft. Die endgültige Grundursache wird erst nach dem Vor-Ort-Besuch und der Dekodierung des Protokolls anormaler Ereignisse festgelegt. Der finale Score muss beide Schichten berücksichtigen: ```text statistischer pattern score device event score ``` Eines der Prinzipien: $$ FinalScore = max(PatternScore, EventScore) $$ Wenn `EventScore` höher ist, muss der Bericht erläutern: ```text Der finale Score wird durch direkte oder klassifizierte Geräteereignisse bestimmt. Der statistische Detektor lieferte einen niedrigeren Score. ``` Wenn `PatternScore` höher ist, muss der Bericht erläutern: ```text Der finale Score wird durch ein wiederkehrendes Q/P/T-Muster bestimmt. Direkte Gerätesignale sind unzureichend. ``` ## Belegkonfidenz Die Belegkonfidenz spiegelt nicht die Stärke des Verdachts wider, sondern **die Vollständigkeit der Belegbasis**. ### Formel Die Quellenkarte wird verwendet: | Quelle | Gewicht | | ---------------- | ------: | | Stundenarchiv | 3 | | Sitzungen | 2 | | Geräteereignisse | 3 | | Pass | 1 | | Vor-Ort-Besuch | 3 | Quellenstatus: $$ s_i = \begin{cases} 1, & ok \\ 0.5, & partial \\ 0, & missing \end{cases} $$ Gesamtprozentsatz: $$ EvidenceConfidencePct = \frac{\sum w_i s_i}{\sum w_i} \times 100\% $$ ### Niveaus | Prozentsatz | Niveau | | ----------: | ------ | | ≥ 70% | high | | 35–70% | medium | | < 35% | low | ### Wichtige Interpretation - `Suspicion score` beantwortet: **wie stark das Muster ist**. - `Evidence confidence` beantwortet: **ob die Quellen für einen sicheren Schluss ausreichen**. - `Legal readiness` beantwortet: **ob ein rechtlich bedeutsamer Schluss gezogen werden kann**. Dies sind drei verschiedene Skalen, und keine lässt sich aus einer anderen ableiten. ## Untersuchungszusammenfassung: sieben Skalen

_Untersuchungszusammenfassung._ Direkt unter dem Berichtskopf — sieben Indikatoren, die **zusammen gelesen werden**, nicht einzeln. Zum Beispiel bedeutet Pattern Score = 100 bei Evidence Confidence = 58% und Confirmed Tampering = „—“: Mathematisch sieht der Knoten sehr verdächtig aus, aber es gibt noch nicht genügend Belege für ein formales Protokoll — ein Vor-Ort-Besuch ist erforderlich. Jede der sieben Skalen hat ihre eigene Bedeutung, Formel und Quellen: | Skala | Was sie zeigt | Quelle | | --------------------- | ------------------------------------------- | ------------------------------------ | | Pattern Suspicion | Stärke der mathematischen Indikatoren | Stundenarchiv | | Evidence Confidence | Vollständigkeit der Belegbasis | Quellenkarte | | Confirmed Tampering | Tatsache der Manipulation (juristisch) | Vor-Ort-Protokoll + harte Ereignisse | | Legal Readiness | Bereitschaft für rechtliche Schritte | Konfidenz + harte Ereignisse | | Field Priority | Dringlichkeit des Besuchs | Score + Konfidenz + Aktualität | | Metrology Reliability | Zuverlässigkeit der physikalischen Annahmen | Pass + Sensoren | | Data Integrity Risk | Integrität der Quellen | Archive + Sitzungen | ## Juristische Bereitschaft Die juristische Bereitschaft ist die Bewertung, ob der Schluss für eine rechtlich bedeutsame Handlung bereit ist. ### Mögliche Status | Status | Bedeutung | | ----------- | --------------------------------------------------------------------- | | `not_ready` | nicht genügend Belege | | `partial` | starke Indikatoren liegen vor, aber eine Bestätigung ist erforderlich | | `ready` | genügend Belege für ein formales Protokoll oder eine formale Handlung | ### Bedingungen für `not_ready` ```text nur statistische Muster und kein Vor-Ort-Besuch und keine harten Gerätebelege und der Pass ist unvollständig ``` ### Bedingungen für `partial` ```text es gibt Substitutionsereignisse oder die Belegkonfidenz ist hoch oder es gibt einen Vor-Ort-Besuch, aber einige Quellen fehlen ``` ### Bedingungen für `ready` `ready` ist nur möglich, wenn die Belegbasis ausreichend ist. Beispiele: - ein hartes physisches Ereignis im Geräteprotokoll; - bestätigter Gehäusebruch; - bestätigte Parameteränderung; - Vor-Ort-Besuch + Geräteereignisse; - formale Fotodokumentation; - nachgewiesenes illegales `P_const` / `parameter_change`. Die juristische Bereitschaft darf nicht allein wegen eines hohen Pattern Scores auf `ready` gesetzt werden. Ohne harte Belege und ohne Vor-Ort-Besuch muss der Status `not_ready` oder höchstens `partial` bleiben. ## Vor-Ort-Priorität Die Vor-Ort-Priorität bestimmt die Dringlichkeit des Besuchs. ### Mögliche Niveaus | Priorität | Bedeutung | | --------- | ------------------------------- | | `P0` | dringend, heute / 24–48 Stunden | | `P1` | Besuch innerhalb einer Woche | | `P2` | geplante Prüfung | | `P3` | Monitoring | ### Matrix | Bedingung | Priorität | | ------------------------------------------ | --------- | | physisches Ereignis in den letzten 7 Tagen | P0 | | physisches Ereignis älter als 7 Tage | P1 | | score ≥ 70 und Konfidenz medium/high | P0 | | score ≥ 70 und Konfidenz low | P1 | | score 50–70 | P1 | | score 30–50 | P2 | | score < 30 | P3 | ### Warum score 100 auch P1 sein kann Wenn der Score hoch ist, aber: - wenige Ereignisse; - kein `high` / `high_plus`; - die Konfidenz medium ist; - kein Vor-Ort-Besuch; - der Pass unvollständig ist; - es keine harten Belege gibt; dann kann der Besuch `P1` sein, nicht `P0`. ## Metrologische Zuverlässigkeit Die metrologische Zuverlässigkeit zeigt, wie korrekt die physikalischen und messtechnischen Annahmen sind. ### Was die Zuverlässigkeit verringert - Pass nicht bestätigt; - `P_const` unbekannt; - Impulswertigkeit unbekannt; - `Qmin/Qmax` unbekannt; - `P≈100 kPa` wiederholt sich ohne Erklärung; - der P-Kanal sitzt fest; - der T-Kanal sitzt fest; - Drucktyp unbekannt: absolut oder Überdruck; - Gay-Lussac wird auf einen nicht abgeschlossenen Netzknoten angewendet. ### Niveaus | Niveau | Bedeutung | | ------ | ---------------------------------------------------------------------------------------- | | high | Pass und Kanäle bestätigt, keine wesentlichen messtechnischen Einschränkungen | | medium | es gibt Passlücken oder einzelne Anomalien | | low | das physikalische Modell ist nicht anwendbar oder die Sensoren sind eindeutig degradiert | ## Datenintegritätsrisiko Das Datenintegritätsrisiko zeigt, wie vollständig die Untersuchungsdaten sind. ### Was das Risiko erhöht - teilweises Sitzungsarchiv; - fehlendes Protokoll der Geräteereignisse; - unvollständiges Stundenarchiv; - Lücken bei erfolgreichen Sitzungen; - Widersprüche zwischen Quellen; - Zeitstempel aus der Zukunft; - unvollständige Ereignisdekodierung; - Rohprotokolle nicht verfügbar. ### Niveaus | Niveau | Bedingung | | ------ | ------------------------------------------------------------------- | | low | Quellen vollständig und konsistent | | medium | einige Quellen teilweise/fehlend | | high | es gibt Datenintegritätsereignisse oder schwerwiegende Widersprüche | ## Root-Cause-Matrix — typische Hypothesen Die Root-Cause-Matrix existiert, damit **der Bericht nicht in eine einzige Anschuldigung zusammenfällt**. ### Typische Hypothesen | Hypothese | Was sie stützen kann | Was sie widerlegen kann | | --------------------------- | -------------------------------------------------- | -------------------------------------------- | | Zulässiges `P_const` | P nahe Default, Pass erlaubt das Regime | Pass bestätigt `P_const` nicht | | P-Sensor festsitzend | niedriges `std(P)`, Wiederholbarkeit | P ändert sich außerhalb des Fensters normal | | Metering-Bypass | Q=0 + P Default + Erholung + harte Belege | kein Vor-Ort-Beweis, keine Gerätebelege | | Geplanter Stillstand | Q=0 im Einklang mit dem Regime des Standorts | `P_default` / Erholung atypisch | | Archiv- / Parserfehler | Lücken, wiederkehrende Muster, Sitzungs-Diskrepanz | Roh-Geräteprotokolle bestätigen die Realität | | Nachlauf-Ventil geschlossen | Q=0 bei betriebsmäßigem P | keine Bestätigung der Ventilstellung | | Netzregler | P stabil bei niedrigem Druck | der Standort ist kein Netzknoten | | Saisonale Abschaltung | das Standortprofil erlaubt Stillstand | der Verbrauch war vertraglich geschuldet | ### Status der Hypothesen | Status | Bedeutung | | ------------- | ---------------- | | `not_checked` | nicht geprüft | | `possible` | möglich | | `unlikely` | unwahrscheinlich | | `likely` | wahrscheinlich | | `confirmed` | bestätigt | Die endgültige Grundursache wird erst nach einem Vor-Ort-Besuch und der Dekodierung des Protokolls anormaler Ereignisse festgelegt. ## Schätzung des potenziellen Exposure-Volumens

_Schätzung des potenziellen Exposure-Volumens._ Kein Diebstahlvolumen, sondern eine Größenordnungsschätzung zur Priorisierung der Prüfung. Die drei Zahlen (low / expected / high) bilden eine ±30%-Spanne um den Erwartungswert. Die Basislinie wird als Median der Nicht-Null-Flüsse für dieselbe Stunde der Woche außerhalb von Ereignissen berechnet. Ohne eine Vor-Ort-Prüfung bleiben alle Zahlen eine Heuristik. Exposure ist eine Berechnung der Größenordnung des potenziell nicht erfassten Verbrauchs in verdächtigen Fenstern. Exposure ist kein Diebstahlvolumen. Es ist eine Größenordnungsschätzung zur Priorisierung der Prüfung. ### Basislinie Für jede Stunde wird eine Basislinie aus historischen ereignisfreien Daten erstellt. Es wird der Median der Nicht-Null-Flüsse für dieselbe Kombination verwendet: ```text Stunde des Tages + Wochentag ``` Formel: $$ Baseline_{h,d} = median(Q \; | \; hour=h,\; weekday=d,\; Q>0,\; outside\; events) $$ ### Stunden-Exposure Für jede Stunde eines verdächtigen Fensters: $$ Exposure_t = max(0, Baseline_t - Q_t) $$ ### Obergrenze Um eine Überschätzung zu vermeiden, wird das stündliche Exposure beim historischen P95 gedeckelt: $$ Exposure_t = min(Exposure_t, Q_{P95}) $$ Wenn `Qmax` bekannt ist, kann die Obergrenze verschärft werden: $$ Exposure_t = min(Exposure_t, Q_{P95}, Q_{max}) $$ ### Deduplizierung Wenn sich verdächtige Fenster überlappen, wird dieselbe Stunde nur einmal gezählt: $$ SuspiciousHours = unique(hours \; inside \; all \; suspicious \; windows) $$ ### Gesamtes erwartetes Exposure $$ Exposure_{expected} = \sum_{t \in SuspiciousHours} Exposure_t $$ ### Unsicherheitsspanne Für die indikative Spanne werden ±30% verwendet: $$ Exposure_{low} = 0.7 \times Exposure_{expected} $$ $$ Exposure_{high} = 1.3 \times Exposure_{expected} $$ ### Beweisgewicht des Exposure Exposure hat ein niedriges oder mittleres Beweisgewicht, solange Folgendes nicht vorliegt: - ein Vor-Ort-Besuch; - Ablesungen eines externen Zählers; - Bestätigung des Standortregimes; - Bestätigung, dass Q tatsächlich >0 hätte sein müssen; - Überprüfung der Passparameter. ## Korrelation mit dem Archiv anormaler Ereignisse

_Ereignisse nach Gruppen._ Jedes Fenster eines verdächtigen Musters lässt sich zu einer vollständigen Karte aufklappen: detaillierte Werte, Korrelation mit dem Protokoll anormaler Ereignisse (Geräteereignisse innerhalb ±24h), die Liste der alternativen Hypothesen und das Stundenarchiv dieses Fensters. Eine starke Korrelation (parameter_change / reset innerhalb des Fensters) ist ein Kandidat für harte Belege. Die Korrelation zeigt, ob Geräteereignisse in der Nähe eines verdächtigen Fensters liegen. ### Korrelationsfenster Für jedes Ereignis wird folgendes Fenster verwendet: $$ [event\_start - 24h,\; event\_end + 24h] $$ ### Was als Übereinstimmung zählt Eine Übereinstimmung ist jedes Geräteereignis, das in das Fenster fällt. Beispiele: - Zusammenfassung anormaler Ereignisse; - ein einzelnes anormales Ereignis; - `parameter_change` — Änderung eines Geräteparameters; - `reset` — Reset; - `cover_open` — Gehäusebruch; - `clock_change` — Uhrenänderung; - `archive_reset` — Archiv-Reset. ### Interpretation | Ergebnis | Bedeutung | | ------------------------------- | ----------------------------------------------- | | keine Übereinstimmungen | das Geräteprotokoll bestätigt das Fenster nicht | | nur Zusammenfassungen | schwache Korrelation | | `parameter_change` / `reset` | starke Korrelation | | `cover` / `magnet` / `physical` | Kandidat für harte Belege | | Protokoll ist leer | eine Bestätigung ist unmöglich | ## KI-Kommentar

_KI-Kommentar._ Ein Hilfstext für den Bediener: Ein Block erläutert die Geräteereignisse, der andere formuliert eine Methodikzusammenfassung. Der Disclaimer oben betont, dass die KI nicht an der Bewertung teilnimmt und keine Vor-Ort-Prüfung ersetzt. Der KI-Kommentar ist **ein Hilfstext**. ### Was die KI tun kann - das Problem kurz erläutern; - die wichtigsten Risiken auflisten; - Hypothesen formulieren; - die Reihenfolge der Prüfungen vorschlagen; - einen klaren Schluss für den Bediener erstellen. ### Was die KI nicht tun kann Die KI **kann nicht**: - den Score ändern; - die juristische Bereitschaft ändern; - Manipulation bestätigen; - das Geräteprotokoll ersetzen; - den Pass ersetzen; - einen Vor-Ort-Besuch ersetzen; - Belege erzeugen. ### Erforderlicher Disclaimer ```text Der KI-Kommentar nimmt nicht an der Berechnung von Legal Readiness, Evidence Confidence oder Pattern Score teil und ist nicht Teil der Belegbasis. ``` ## Prüfcheckliste für die Außendienstcrew

_Checkliste für den Vor-Ort-Besuch._ Der Mindestsatz an Fotos und Messungen, der zum Erstellen des Protokolls benötigt wird. Vor dem Besuch ausgedruckt oder auf einem Tablet geöffnet. An die erkannten Indikatoren gebunden: Wenn das Muster `P_default` ausgelöst hat — ist der Punkt `P_const`-Regime obligatorisch; wenn das Archivlücken-Muster ausgelöst hat — ist der Punkt Protokoll anormaler Ereignisse obligatorisch. Die Checkliste muss an die erkannten Indikatoren gebunden sein. ### Allgemeine Punkte - Zählerplomben; - Korrektorplomben; - Impulskabel / Reed / Encoder; - Drucksensor; - Temperatursensor; - Bypass-Leitung; - Ventilstellungen vor und nach dem Zähler; - `P_const`-Regime; - Protokoll anormaler Ereignisse; - kumuliertes Volumen am Zähler und am Korrektor; - Foto des Korrektordisplays; - Rohrleitungsführung; - vertragliches Regime des Standorts. ### Erforderliche Fotos - Korrektordisplay: `Q, P, T, V`; - Datum und Uhrzeit des Korrektors; - `P_const`-Regime; - Seriennummer des Zählers; - Seriennummer des Korrektors; - Plomben; - P-Sensor; - T-Sensor; - Impulskabel; - Bypass und Ventile; - Gesamtansicht des Knotens. ### Was zu messen ist - tatsächlicher Druck mit einem Referenzmanometer; - tatsächliche Temperatur; - kumuliertes Volumen; - Ablesungen eines externen Zählers; - Vorhandensein von Impulsen; - Status der Stromversorgung; - Kommunikationsparameter; - `Qmin/Qmax` laut Pass; - Impulswertigkeit. ## Q/P-Diagramm und verdächtige Fenster Fluss- und Druckdiagramm

_Q/P-Diagramm._ Die Hauptvisualisierung. Die blaue Linie ist der stündliche Fluss, die orangefarbene der Druck. Rot und gelb schraffierte Zonen markieren Fenster der ausgelösten Muster: Beim Überfahren werden die exakten Stundenwerte angezeigt. Das Doppeldiagramm lässt den gesamten Zeitraum auf einmal erkennen, sodass langfristige Trends nicht übersehen werden.

_Diagramm-Tooltip._ Beim Überfahren eines beliebigen Punktes werden die exakten Stundenwerte von `Q` und `P` angezeigt. Dies wird für Hypothesenprüfungen benötigt: z. B. um den Druckwert innerhalb eines verdächtigen Fensters zu erfahren oder den Fluss mit der Basislinie zu vergleichen. ### Worauf im Diagramm zu achten ist - lange horizontale P-Abschnitte (Plateau → `P_stuck`); - Abfälle von Q auf null (Nullfluss-Perioden); - gleichzeitige Sprünge von Q und P (Erholung); - Drucksprünge ohne Fluss; - ein perfekt flaches Q bei einem von null verschiedenen Mittelwert (synthetisches Profil); - Unterbrechungen in der Zeit (Lücke im Archiv). ### Was nicht allein interpretiert werden darf - eine einzelne Nullstunde; - eine einmalige P-Spitze; - jegliche Anomalie ohne Prüfung des Protokolls anormaler Ereignisse und des Passes. ## Knotenzusammenfassung und stündliche Verteilung

_Knotenzusammenfassung._ Ein einziger Blick auf das „Rohgewebe“: wie viele Ereignisse, wie vielfältig die Indikatoren, Gesamtdauer, Zeitraumabdeckung. Das Histogramm „wann sie begonnen haben“ ist nützlich, um Regimemuster zu erkennen: Ereignisse nur nachts oder nur während der Geschäftszeiten sind diagnostisch wichtig (siehe das Muster „Erholungen nur während der Geschäftszeiten“). ### Zusammenfassungsmetriken | Metrik | Was sie zeigt | | ------------ | ------------------------------------------------------------------ | | Total events | Gesamtzahl der erkannten Muster | | Unique types | wie viele verschiedene Detektoren ausgelöst haben | | Duration | Gesamtdauer aller Fenster (mit Deduplizierung) | | Coverage | Anteil des Zeitraums, der von verdächtigen Fenstern abgedeckt wird | | Levels | Aufschlüsselung nach `low`/`medium`/`high`/`high_plus` | | Most severe | Name und Schwere des stärksten Indikators | ### Stündliche Verteilung Das Histogramm „wann sie begonnen haben“ verwendet eine Farbcodierung: - **Nacht** (00–05) — blau; - **Morgen** (06–08) — hellblau; - **Tag** (09–17) — orange; - **Abend** (18–23) — violett. Eine Konzentration in einer Farbe ist ein starkes diagnostisches Signal (z. B. alle Ereignisse während der Geschäftszeiten → manuelle Wartung). ## Top-5-Fenster für die Vor-Ort-Prüfung

_Top-5-Fenster für die Crew._ Wenn die Crew zeitlich begrenzt ist — mit diesen 5 Fenstern beginnen. Die vollständige Liste findet sich weiter unten im Abschnitt „alle Ereignisse nach Gruppen“. Die Spalte „was zu prüfen ist“ wird automatisch aus den ausgelösten Indikatoren zusammengestellt: Für `zero_flow_p_default` ist es das `P_const`-Regime, für `gap_with_clean_sessions` das Protokoll anormaler Ereignisse und eine Archiv-Parser-Prüfung. ### Algorithmus zur Top-5-Auswahl ```text 1. Ereignisse mit severity >= medium filtern 2. nach Gewicht sortieren (high_plus > high > medium > low) 3. innerhalb jedes Gewichts — nach Zeit absteigend 4. die ersten 5 behalten 5. die Checklisten-Vereinigung aus den ausgelösten Indikatoren zusammenstellen ``` ### Spalte „Was zu prüfen ist“ | Ausgelöster Indikator | Obligatorische Punkte | | ------------------------- | ------------------------------------------------------- | | `zero_flow_p_default` | Plomben, Pass `P_const`, Protokoll anormaler Ereignisse | | `zero_flow_p_stuck` | P-Sensor, Pass, Displayfoto | | `zero_flow_recovery` | Ventilstellungen, anormale Ereignisse, Erholungszeit | | `gap_with_clean_sessions` | Sitzungsarchiv, Parser, Rohprotokolle | | `plateau_q_p` | Impulskabel, Encoder, Pass `Qmin/Qmax` | ## Wie der obere Block zu lesen ist ### Pattern Suspicion Beantwortet die Frage: > Wie stark sind die mathematischen Verdachtsindikatoren? Beantwortet nicht die Frage: > Ist die Manipulation bewiesen? ### Evidence Confidence Beantwortet die Frage: > Wie vollständig ist die Belegbasis? Ist nicht gleich dem `suspicion score`. ### Confirmed Tampering Muss `NOT CONFIRMED` bleiben, solange es keine harten Belege oder kein Vor-Ort-Protokoll gibt. ### Legal Readiness Zeigt, ob zu einer rechtlich bedeutsamen Handlung übergegangen werden kann. ### Field Priority Zeigt, wie dringend ein Vor-Ort-Besuch erforderlich ist. ### Metrology Reliability Zeigt, ob den physikalischen und messtechnischen Annahmen vertraut werden kann. ### Data Integrity Risk Zeigt, wie vollständig und konsistent die Datenquellen sind. ## Häufige Interpretationsfehler ### Fehler: Score 100 = Beweis Falsch. Ein Score von 100 kann das Ergebnis eines starken statistischen Musters oder eines Event Scores sein. Ein Beweis erfordert Quellen. ### Fehler: P=100 kPa = illegale Substitution Falsch. Es kann ein vom Pass erlaubter `P_const`- oder Default-Wert sein. ### Fehler: Gay-Lussac verletzt = Manipulation Falsch. Das Modell gilt nur für ein abgeschlossenes Volumen. ### Fehler: Q=0 bei P>0 = Bypass Falsch. Es kann ein Stillstand, ein geschlossenes Ventil oder ein technologisches Regime sein. ### Fehler: Exposure = Verlust Falsch. Exposure ist eine Größenordnungsschätzung für die Prüfung. ### Fehler: KI schrieb „Verdacht“ = bewiesen Falsch. Der KI-Kommentar ist nur eine Erläuterung. ### Fehler: „nicht ausgelöst“ = „kein Problem“ Falsch. Ein Indikator kann durch ein Quality-Gate unterdrückt, wegen eines festsitzenden Sensors deaktiviert oder schlicht für den Knotentyp nicht anwendbar gewesen sein. Lesen Sie den Abschnitt zu den Einschränkungen sorgfältig. ## Mindestkriterien für einen vollständigen Bericht Der Bericht gilt als methodisch vollständig, wenn er Folgendes enthält: - Analysezeitraum; - Knotenkarte; - Pattern Suspicion Score; - Belegkonfidenz; - Status Confirmed Tampering; - juristische Bereitschaft; - Vor-Ort-Priorität; - Datenquellenkarte; - Liste der erkannten Muster; - formale Bedingung für jedes Muster; - Schwere- und Cap-Logik; - Event Score oder eine Erklärung seines Fehlens; - Root-Cause-Matrix; - Exposure-Schätzung; - Korrelation mit Geräteereignissen; - KI-Disclaimer; - Checkliste für den Vor-Ort-Besuch; - Methodik mit Formeln und Schwellenwerten; - Darlegung der Einschränkungen und alternativen Hypothesen. ## Empfohlene Formulierung des Endurteils Ein korrektes Endurteil muss neutral sein: ```text Der Knoten zeigt Indikatoren, die eine Überprüfung erfordern: lange Q≈0-Perioden, ein festsitzender Druckkanal und/oder Übereinstimmungen mit Geräteereignissen. Dies ist kein eigenständiger Beweis für Manipulation. Für das Endurteil müssen der P_const-Pass, das Protokoll anormaler Ereignisse, die Plomben, das Impulskabel, die Korrektorablesungen und die tatsächliche Knotenführung geprüft werden. ``` Wenn die Belegkonfidenz hoch ist: ```text Das Vorhandensein direkter Geräteereignisse erhöht das Beweisgewicht, doch die endgültige Qualifikation muss die Dekodierung der Codes, die Passparameter und die Ergebnisse der Vor-Ort-Prüfung berücksichtigen. ``` Wenn die Belegkonfidenz niedrig ist: ```text Die erkannten Indikatoren sind heuristischer Natur und werden nur zur Planung der Prüfung verwendet. ``` ## Verwandte Berichte - **[Metering Bypass (Flotte)](/de/platform/v3/ai-analytics/fleet-reports/metering-bypass-fleet)** — dieselbe Bewertung für die gesamte Flotte auf einmal, ohne die Verfahrensblöcke. - **[Suspicious Nodes](/de/platform/v3/ai-analytics/fleet-reports/suspicious-nodes)** — das wichtigste Werkzeug auf Flottenebene zur Erkennung von Bypass. - **[Consumption Analytics](/de/platform/v3/ai-analytics/node-reports/consumption-analytics)** — eine allgemeine Knotenaufschlüsselung mit Ereignisprotokoll; empfohlen, vor oder zusammen mit diesem Bericht auszuführen. - **[Passport Audit](/de/platform/v3/ai-analytics/fleet-reports/passport-audit)** — eine Prüfung der Passvollständigkeit, ohne die die juristische Bereitschaft nicht `ready` sein kann.