Unsichere Sensoruhren: Falsche Zeitausrichtung vor dem Feature-Join erkennen

BLUF: Gleiche Sensorzeitstempel beweisen keine gleichzeitige Erfassung. Bevor Sie industrielle Merkmale verbinden, überführen Sie beide Quelluhren in eine dokumentierte Referenzdomäne und erhalten Sie ein begründetes Unsicherheitsintervall. Lassen Sie ein Paar nur zu, wenn selbst sein größtmöglicher Zeitabstand innerhalb der physikalischen Toleranz liegt. Unterscheiden Sie sicher unpassende von unentscheidbaren Paaren. Eine unbekannte Erfassungssemantik muss den Eingang ungültig machen, statt scheinbare Zeitpräzision zu erzeugen.

Dieser Beitrag führt einen synthetischen Richtlinientest für zwei Datenströme aus. Von acht vorgeschlagenen Paaren akzeptiert die Rohzeitstempel-Regel vier, darunter eine physikalisch falsche Zuordnung. Die Intervallregel akzeptiert drei ohne falsche Zuordnung im Test, erhält aber nur drei von fünf tatsächlich zeitlich passenden Paaren. Das ist ein Abdeckungsverlust, keine gemessene Verbesserung einer Anlage. Produktionsuhren, Steuerungseinstellungen und OT-Steuerpfade bleiben unverändert.

Klären Sie zuerst die Bedeutung des Zeitstempels

Betrachten Sie ein Schwingungs- und ein Druckmerkmal für beratende Instandhaltung. Beide Einzelwerte können gültig sein, während ihre gemeinsame Interpretation falsch ist: Ein Drucksprung gehört möglicherweise zu einem anderen physikalischen Zeitpunkt. Die Reihenfolge des Netzwerkeingangs löst dieses Problem nicht. Definieren Sie die zulässige zeitliche Nähe aus Prozessdynamik, zeitlichem Merkmalsbezug und Folgeentscheidung, bevor Sie eine Join-Toleranz festlegen.

Die OPC-UA-Spezifikation zu sourceTimestamp beschreibt einen von der Datenquelle vergebenen Zeitstempel. Er muss UTC-Zeit sein und sollte die letzte Änderung von Wert oder statusCode angeben. Bei Weiterleitung durch einen anderen OPC-UA-Server bleibt er unverändert; ein nicht verfügbarer Quellzeitstempel kann null sein. Das bedeutet nicht, dass jeder sourceTimestamp den Erfassungszeitpunkt des Analog-Digital-Wandlers bezeichnet. Ein stabiler Wert kann berechtigt einen alten Änderungszeitstempel behalten. Ohne Herstellervertrag ist weder die Interpretation als neue Messung noch als zwingend defekter Sensor gerechtfertigt.

Erhalten Sie den Erfassungszeitpunkt, sofern das Instrument ihn liefert, den letzten Änderungszeitpunkt bei entsprechender Quellsemantik und den Empfangszeitpunkt des Collectors getrennt. Übernehmen Sie schlechte oder unsichere Qualität ohne Umdeklaration. Bei Fenstermerkmalen benötigen Sie das repräsentierte Zeitintervall und den Verfügbarkeitszeitpunkt, nicht nur das Fensterende. Die nachfolgende Prüfung für Einzelbeobachtungen setzt Erfassungszeitsemantik voraus; gleitende Merkmale benötigen eine eigene Regel zur Überlappung ihres zeitlichen Bezugs.

Der Vertrag für passive OT-Observability liefert Identität, Zeitprovenienz, Qualität und einen rein lesenden Evidenzpfad. Dieser Folgebeitrag macht eine engere Entscheidung ausführbar: Dürfen zwei Beobachtungen trotz Uhrenunsicherheit zusammengeführt werden?

Definieren Sie Uhrendomänen vor jeder Zeitdifferenz

Speichern Sie Sensor- und Anlagenlebenszyklus-ID, Quellsequenz, rohe Quellzeit, Zeitstempelbedeutung, Uhrenidentität und Uhrenepoche, Collector-Empfangszeit mit Domäne, Offset-Schätzung, Unsicherheitsgrenze, Schätzalter, Synchronisationszustand, Qualität und Vertragsversion. Bewahren Sie den Rohwert bei der Normalisierung auf. Ein Neustart oder erkannter Uhrensprung beginnt eine neue Epoche; übernehmen Sie die Kalibrierung nicht stillschweigend über diese Grenze.

Verwenden Sie eine ausdrückliche Vorzeichenregel: Offset bedeutet Quelluhr minus Referenzuhr. Der korrigierte Mittelpunkt lautet c = Quellzeit − Offset-Schätzung. Das zulässige Erfassungsintervall ist [c − u, c + u]. Dabei umfasst u den relevanten verbleibenden Uhrenfehler und Fehler der Zuordnung zwischen Zeitstempel und Erfassung. Kennen Sie nur die Paketempfangszeit, beschreibt das zunächst den Empfang, nicht automatisch die Erfassung. Transport- und Erfassungsverzögerungen benötigen eine eigene begründete Abbildung.

Implementieren Sie ganzzahlige Zeiteinheiten und speichern Sie Referenzzeitskala sowie Konvertierungsversion. UTC-Kennzeichnung allein beweist keine Synchronisation. Übergänge zwischen Hardwareuhr, UTC und TAI benötigen explizite Offset- und Schaltsekundenregeln. Subtrahieren Sie niemals monotone Uhren verschiedener Hosts, als hätten sie dieselbe Epoche. Lokale monotone Zeit eignet sich für das Kalibrierungsalter innerhalb derselben Uhrendomäne.

Die Linux-Infrastruktur für PTP-Hardwareuhren stellt Uhren- und zusätzliche Zeitstempelfunktionen bereit. Sie zertifiziert nicht die Genauigkeit Ihrer Installation. Die Linux-Dokumentation zur Netzwerkzeitstempelung unterscheidet Erzeugungsorte und Meldepfade. Hardware-Empfang und Empfang im Userspace betreffen unterschiedliche Grenzen; keiner beweist für sich den physikalischen Abtastzeitpunkt. Treiberunterstützung, Zeitstempelursprung und Uhrenabbildung gehören in den Abnahmenachweis.

Eine dreistufige Prüfung der zeitlichen Zulässigkeit

Setzen Sie d = abs(cA − cB) und U = uA + uB. Der kleinstmögliche Abstand ist max(0, d − U), der größtmögliche d + U. Diese Grenzen setzen gültige Einzelintervalle voraus, aber keine Unabhängigkeit der Uhrenfehler. Korrelation kann sie konservativ machen. Ein kalibriertes Modell des relativen Fehlers kann engere Grenzen liefern, ist jedoch ein anderer versionierter Vertrag und keine Erlaubnis, Unsicherheiten nach Belieben zu subtrahieren.

Die Beispieltoleranz von fünf Millisekunden dient ausschließlich dazu, Grenzverhalten sichtbar zu machen. Gleichheit mit der Toleranz wird akzeptiert. Eine sichere Ablehnung verlangt, dass bereits der Mindestabstand größer ist. Liegt die Toleranz zwischen beiden Grenzen, enthalten Sie sich der Zuordnung. Fehlende Metadaten, veraltete Kalibrierung, inkompatible Domänen oder unbekannte Erfassungsbedeutung sind ungültige Eingaben und werden vorher geprüft.

Konfidenzintervalle sind keine absoluten Fehlergrenzen. Ist u probabilistisch geschätzt, nennen Sie Abdeckung, Kalibrierungspopulation und Fehlerannahmen. Eine Worst-Case-Zusage gilt dann nur unter der Bedingung, dass beide Intervalle die tatsächlichen Erfassungszeiten enthalten. Stellen Sie ein nominelles Konfidenzintervall nicht als absolute Sicherheitsgrenze dar.

Diagramm: Erst normalisieren, dann Intervalle vergleichen

Im dargestellten falschen Treffer lauten beide Rohzeitstempel 120 ms. Quelle A geht bekanntermaßen 20 ms vor; ihr korrigiertes Intervall ist daher [99, 101] ms. B liegt bei [119, 121] ms. Der mögliche Abstand von 18–22 ms überschreitet die Toleranz von fünf Millisekunden. Gleiche Rohzeitstempel sind hier der falsche Join-Schlüssel. Das Diagramm verwendet eine synthetische gemeinsame Epoche und keine Anlagenmessung.

Wählen Sie in einer Streaming-Implementierung Kandidaten zunächst über normalisierte Intervalle und einen begrenzten Suchhorizont. Prüfen Sie danach Qualität, Epoche, Aktualität und zeitliche Zulässigkeit. Bestehen mehrere Kandidaten, benötigen Sie eine dokumentierte Sequenz- beziehungsweise Eins-zu-eins-Zuordnung oder eine Mehrdeutigkeitsentscheidung. Diese paarweise Prüfung löst keine globale Zuordnung, verhindert keine Wiederverwendung von Messungen und beweist keine Kausalität. Wählen Sie nicht zuerst den nächsten Rohzeitstempel und verwerfen alle Alternativen vor der Zeitprüfung.

Ausgeführter Test: Drift, Holdover, Sprünge und alte Werte

Der Test verwendet ganzzahlige Millisekunden und unabhängige Paare aus zwei synthetischen Strömen. Jeder Datensatz enthält den tatsächlichen Erfassungszeitpunkt ausschließlich zur Bewertung, Rohzeit, Offset-Schätzung, Unsicherheit und Gültigkeit. Die Klassifikation darf nicht auf die tatsächliche Zeit zugreifen. Für gültige Datensätze prüft der Test, dass diese Zeit im angegebenen Intervall liegt. Uhrensprung und veralteter Wert werden ausdrücklich ungültig gesetzt, statt außerhalb einer falschen Grenze verborgen zu bleiben.

Bei nachgeführter Drift ist der Offset von Quelle B auf acht Millisekunden gestiegen. Die aktuelle Schätzung folgt ihm mit zwei Millisekunden Unsicherheit. Im Holdover-Fall wachsen beide Unsicherheiten auf acht Millisekunden. Eine zusätzliche Rechenprüfung verwendet u(Alter) = u0 + Driftgrenze × Alter: Eine illustrative Grenze von 200 ppm ergänzt nach zwanzig Sekunden vier Millisekunden zu einer Anfangsunsicherheit von einer Millisekunde. Das ist ein gewähltes Fehlermodell, keine gemessene Oszillatorspezifikation. Temperatur, Alterung, asymmetrische Pfade und Referenzausfälle können es ungültig machen.

Beim Uhrensprung ändert sich die Rohuhr um 100 ms, während die alte Schätzung bestehen bleibt. Der Datensatz ist ungültig, weil der Sprungdetektor bereits einen Fehler gemeldet hat. Die Erkennung selbst wird damit nicht getestet. Ein unerkannter Sprung könnte die Grenze verletzen und die Prüfung aushebeln. Der veraltete Wert setzt ebenfalls eine verletzte Aktualitäts- beziehungsweise Erfassungsvereinbarung voraus; nicht jeder unveränderte OPC-UA-Wert ist veraltet. Prüfen Sie diese Detektoren gesondert anhand von Instrumentenevidenz.

Die Rohregel akzeptiert abs(RohzeitA − RohzeitB) ≤ 5 ms. Sie akzeptiert vier von acht Paaren, eines davon falsch. Die Intervallregel akzeptiert drei von acht ohne falsches Paar, lehnt eines sicher ab, enthält sich bei zwei und erklärt zwei für ungültig. Von fünf tatsächlich zeitlich passenden Paaren bleiben drei erhalten: 60 % Abdeckung. Ein passendes Paar geht durch Holdover-Unsicherheit verloren, eines durch den ungültigen Uhrensprungdatensatz. Diese kleinen Zahlen beschreiben nur den konstruierten Test, keine Präzisionsschätzung für den Betrieb.

Eine separate Negativkontrolle gibt A die tatsächliche Zeit 100 ms und die Rohzeit 120 ms. B bietet Messungen bei tatsächlichen beziehungsweise rohen Zeiten 120 und 102 ms. Die Roh-Nächster-Nachbar-Suche wählt 120; die kalibrierte Intervallprüfung lässt 102 zu. Exakte Grenztests akzeptieren bei Unsicherheit null einen Abstand von fünf Millisekunden und lehnen sechs ab. Das ist ein deterministischer Richtlinientest, kein Test eines PTP-Netzes, OPC-UA-Servers oder Erfassungsgeräts.

Checkliste für Implementierung und Betriebsfreigabe

1. Vereinbaren Sie physikalische Toleranz und Erfassungssemantik mit Instrumentierungs- und Prozessverantwortlichen. Trennen Sie Momentanwerte, Mittelwerte, gefilterte Ausgaben und Änderungsmeldungen. Berücksichtigen Sie Filterverzögerungen; Downsampling und Aliasing-Kontrollen behandeln Bandbreite und kausale Verzögerung, nicht Uhrengleichlauf.

2. Versionieren Sie Rohzeit-Referenz-Abbildung, Offset-Vorzeichen, Einheiten, Kalibrierungsalter, Epoche und Unsicherheitsherkunft. Lehnen Sie fehlende Abbildungen ab. Ersetzen Sie fehlende Quellzeit nicht durch Empfangszeit unter demselben Feldnamen. Bewahren Sie abgelehnte Datensätze mit Grund in einem begrenzten Evidenzspeicher auf.

3. Überwachen Sie die Gültigkeit der Grenzen. Vergrößern Sie Unsicherheit im Holdover nur mit begründetem Driftmodell. Erkannte Sprünge, Referenzwechsel und abgelaufene Kalibrierungen machen Eingaben ungültig. Wiederaufnahme verlangt Evidenz für die neue Epoche, nicht lediglich eine grüne Synchronisationsanzeige.

4. Prüfen Sie vor dem Zusammenbau der Merkmale. Erhalten Sie Eingangs-IDs, korrigierte Intervalle, Regelversion und Grundcodes für zugelassene und abgelehnte Paarungen. Begrenzen Sie Kandidatenpuffer und Ablaufzeiten; größere Unsicherheit erhöht Mehrdeutigkeit und Pufferbedarf.

5. Testen Sie Gleichheitsgrenzen, falsche Offset-Vorzeichen, fehlende Zeitstempel, Drift, Uhrensprünge, veraltete Werte, mehrere Kandidaten, Sequenzwiederverwendung und Domänenkonvertierung. Dieser Beitrag führt die beschriebenen paarweisen Fälle und die Rohzeit-Negativkontrolle aus. Geräteverhalten, Wiederanlauf und Zuordnungsregeln benötigen weitere Integrationstests.

6. Berichten Sie akzeptierte, unpassende, unentscheidbare und ungültige Fälle bezogen auf alle Kandidatenpaare sowie Abdeckung je Sensor und Evidenzalter. Mit Referenzwahrheit berichten Sie zusätzlich falsche Zulassungen und erhaltene passende Paare. Ohne bekannte Wahrheit ist eine Ablehnung kein nachgewiesener physikalischer Fehler.

Halten Sie die Finalisierung bei verspäteten Sensordaten getrennt: Watermarks und Aufbewahrung bestimmen, wann sich Ergebnisse ändern dürfen, nicht ob Quelluhren übereinstimmen. Ankunftsverzögerung, Aliasing und Uhrenunsicherheit sind verschiedene Fehlerklassen. Eine Korrektur ersetzt die anderen nicht.

Kosten der Prüfung und sinnvoller Einstieg

Konservative Grenzen verringern die nutzbare Abdeckung und können beeinflussen, welche Betriebszustände das Modell überhaupt sieht. Holdover in einem schwierigen Zustand kann gerade die benötigten Beobachtungen entfernen. Überwachen Sie fehlende Daten nach Anlage und Zustand, prüfen Sie Trainings-/Serving-Parität und definieren Sie einen ausdrücklichen Enthaltungspfad. Weiten Sie Toleranzen nicht stillschweigend für attraktivere Dashboards aus. Eine strengere Prüfung erzeugt keine fehlende Erfassungsevidenz und beweist weder Kausalität noch Sicherheit oder Rechtskonformität.

Bringen Sie für eine Implementierungsprüfung ein Merkmals­paar, die Zeitstempeldokumentation des Produzenten, eine rein lesend gewonnene Aufzeichnung und die zu begründende physikalische Toleranz mit. Ich unterstütze Sie dabei, daraus einen versionierten Uhrendomänenvertrag, ausführbare Ablehnungstests und einen Abdeckungsbericht zu entwickeln. Das erste belastbare Ergebnis ist nicht „unsere Uhren sind synchron“, sondern eine reproduzierbare Aussage darüber, welche Paarungen Ihre Evidenz tatsächlich zulässt.