BACnet/SC testen & abnehmen: Was gilt als erfolgreich migriert?

Eine Migration auf BACnet/SC ist erst dann fertig, wenn sie nachweislich funktioniert, nicht, wenn der letzte Controller umgestellt ist. Genau hier trennt sich saubere Ingenieurarbeit von blossem Aktionismus. «Läuft doch» ist kein Abnahmekriterium. Wer eine BACnet/SC-Installation abnimmt, muss belegen können, dass jede gesicherte Verbindung steht, jedes Zertifikat gültig ist, der Ausfall eines Hubs abgefangen wird und keine Trenddaten verloren gehen. Dieser Teil zeigt, welche Kriterien eine Migration erfüllen muss, welche Tests dazugehören und welche Unterlagen am Ende vorliegen sollten, damit aus einem guten Gefühl ein belastbarer Nachweis wird.

Wann gilt eine Migration als abgenommen?

Abnahme bedeutet, dass ein definierter Soll-Zustand erreicht und dokumentiert ist. Bei BACnet/SC reicht es nicht, dass die Anlage «irgendwie kommuniziert». Die entscheidende Frage lautet: Ist die Anlage genauso funktionsfähig wie vor der Migration, und zusätzlich gesichert? Erst wenn beides belegt ist, kann der Betreiber die Anlage mit gutem Gewissen übernehmen.

Deshalb gehören zu jeder Abnahme klar formulierte, messbare Kriterien, die vor Beginn der Tests festgelegt werden. Sie beschreiben, was geprüft wird, mit welchem Werkzeug, und ab wann ein Ergebnis als bestanden gilt. Diese Kriterien sind kein bürokratischer Selbstzweck: Sie schützen Betreiber und Errichter gleichermassen, weil am Ende beide auf denselben, nachvollziehbaren Nachweis schauen. Ohne diese Grundlage wird die Abnahme zur Geschmacksfrage, und Geschmacksfragen führen im Streitfall selten zu einer guten Lösung.

Kriterium 1: Verbindungsaufbau aller Geräte

Das erste und grundlegendste Kriterium ist banal und zugleich entscheidend: Bauen wirklich alle Geräte ihre gesicherte Verbindung zum Hub auf? Bei BACnet/SC meldet sich jeder Knoten aktiv beim Primary Hub an und hält eine dauerhafte, verschlüsselte Verbindung. Ein Gerät, das sich nicht anmeldet, ist im gesamten Netz unsichtbar, es existiert für die Anlage schlicht nicht.

In der Praxis wird dazu die Hub-Verbindungsliste ausgewertet: Sie zeigt, welche Knoten verbunden sind und welche fehlen. Jeder erwartete Teilnehmer aus der Inventarliste der Bestandsanalyse muss dort auftauchen. Fehlt ein Gerät, ist die Ursache zu klären, bevor die Abnahme weitergeht, meist steckt ein falsch hinterlegtes Zertifikat, eine blockierte Firewall-Regel oder eine fehlerhafte Hub-Adresse dahinter. Erst wenn die Liste vollständig ist und keine unerwarteten Gäste enthält, ist dieses Kriterium erfüllt. Ein vollständiger Verbindungsnachweis ist damit das Fundament, auf dem alle weiteren Tests aufbauen.

Kriterium 2: TLS-Zertifikate und ihre Gültigkeit

BACnet/SC steht und fällt mit seinen Zertifikaten. Ein abgelaufenes oder falsch ausgestelltes Zertifikat bedeutet, dass ein Knoten aus der Kommunikation fällt, oft ohne offensichtliche Fehlermeldung. Deshalb gehört zur Abnahme eine systematische Prüfung aller Zertifikate: Ist jedes von der richtigen Zertifizierungsstelle signiert? Sind die Laufzeiten ausreichend lang, und ist dokumentiert, wann welches Zertifikat erneuert werden muss?

Ebenso wichtig ist die Prüfung des Vertrauensankers. Alle Geräte müssen derselben Certificate Authority vertrauen, und diese CA muss sauber hinterlegt sein. Ein häufiger Fehler ist, dass Testzertifikate aus der Inbetriebnahmephase im produktiven Betrieb verbleiben, sie haben oft zu kurze Laufzeiten oder stammen von einer provisorischen CA. Die Abnahme muss sicherstellen, dass ausschliesslich die vorgesehenen Betriebszertifikate im Einsatz sind.

Schliesslich gehört die korrekte Zeit ins Bild. Weil Zertifikate ein Gültigkeitsfenster haben, prüft die Abnahme auch, ob alle Geräte eine verlässliche Zeitquelle nutzen. Ein Knoten mit falscher Uhr kann ein völlig gültiges Zertifikat ablehnen. Erst wenn Signatur, Laufzeit, Vertrauensanker und Zeitsynchronisation stimmen, ist die kryptografische Basis der Anlage abgenommen.

Kriterium 3: Der Hub-Failover-Test

Eine der grössten Stärken von BACnet/SC ist die Möglichkeit, neben dem Primary Hub einen Failover Hub zu betreiben. Fällt der primäre Hub aus, übernehmen die Knoten automatisch den Ersatz-Hub, und die Kommunikation läuft weiter. Doch diese Fähigkeit ist nur so viel wert, wie sie im Ernstfall tatsächlich greift, und das lässt sich nur durch einen echten Test belegen.

Beim Failover-Test wird der Primary Hub bewusst abgeschaltet oder vom Netz getrennt. Anschliessend wird beobachtet, ob und wie schnell die Knoten auf den Failover Hub umschalten. Die entscheidenden Fragen: Verbinden sich alle Geräte neu? Wie lange dauert die Umschaltung? Gehen in dieser Zeit Daten oder Alarme verloren? Nach der Rückkehr des Primary Hub muss ebenso geprüft werden, ob die Anlage wieder sauber in den Normalzustand zurückfindet.

Ein bestandener Failover-Test ist eines der aussagekräftigsten Abnahmekriterien überhaupt, weil er die Redundanz nicht nur auf dem Papier, sondern im realen Verhalten der Anlage nachweist. Wer diesen Test auslässt, weiss im Ernstfall nicht, ob die teuer eingekaufte Ausfallsicherheit wirklich funktioniert. Genau deshalb gehört er fest ins Abnahmeprotokoll.

Kriterium 4: Performance und Antwortzeiten

Sicherheit darf nicht auf Kosten der Reaktionsfähigkeit gehen. Die TLS-Verschlüsselung kostet Rechenleistung, und gerade ältere Geräte oder überlastete Hubs können dadurch träge werden. Die Abnahme prüft deshalb, ob die Anlage ihre Aufgaben in der geforderten Zeit erfüllt: Werden Sollwerte zügig übernommen? Reagieren Regelkreise wie erwartet? Bleiben die Antwortzeiten auch unter Last im vereinbarten Rahmen?

Dazu werden typische Betriebsszenarien nachgestellt und die Antwortzeiten gemessen, idealerweise im Vergleich zur alten BACnet/IP-Anlage, sofern entsprechende Referenzwerte vorliegen. Auffällige Verzögerungen deuten auf einen unterdimensionierten Hub, ein überfordertes Gateway oder eine ungünstige Netzstruktur hin. Solche Engpässe müssen vor der Abnahme behoben werden, denn im Alltag zeigen sie sich sonst genau dann, wenn es ungünstig ist, etwa bei einem Störfall mit vielen gleichzeitigen Ereignissen. Eine Anlage, die im Normalbetrieb flüssig läuft, aber unter Last einbricht, ist nicht abnahmereif.

Kriterium 5: Alarmweiterleitung und Trend-Kontinuität

Zwei Funktionen entscheiden im Betrieb über Vertrauen in die Anlage: Alarme müssen zuverlässig und rechtzeitig ankommen, und Trendaufzeichnungen müssen lückenlos weiterlaufen. Beide werden bei der Abnahme gezielt geprüft. Für die Alarmweiterleitung wird ein Alarm ausgelöst und verfolgt, ob er den richtigen Empfänger in der erwarteten Zeit erreicht, über alle beteiligten Hubs, Router und Gateways hinweg.

Die Trend-Kontinuität ist besonders bei Migrationen heikel. Wenn während der Umstellung Datenpunkte kurz die Verbindung verlieren, können in den Aufzeichnungen Lücken entstehen. Für Energieauswertungen, Betriebsoptimierung und spätere Analysen sind solche Lücken ärgerlich und manchmal folgenschwer. Die Abnahme prüft deshalb, ob die Trends über den Migrationszeitraum hinweg konsistent sind und ob nach der Umstellung wieder vollständig aufgezeichnet wird.

Beide Prüfungen haben eine gemeinsame Botschaft: Eine gesicherte Anlage muss im Alltag genauso verlässlich sein wie eine ungesicherte, nur eben zusätzlich geschützt. Sicherheit, die den Betrieb verschlechtert, wird von den Nutzern nicht akzeptiert. Erst wenn Alarme und Trends nachweislich sauber funktionieren, ist die betriebliche Reife der Anlage belegt.

Besonders bewährt hat sich, für Alarme nicht nur den Empfang, sondern auch die richtige Priorisierung und Quittierung zu prüfen. Ein Alarm, der ankommt, aber in der falschen Kategorie landet oder nicht quittiert werden kann, ist im Ernstfall wertlos. Ebenso lohnt es sich, die Trendaufzeichnung nicht nur auf Vollständigkeit, sondern auch auf plausible Werte zu kontrollieren: Ein Datenpunkt, der zwar lückenlos, aber konstant den gleichen Wert liefert, weist meist auf ein hängengebliebenes Mapping hin. Solche stillen Fehler entgehen einer oberflächlichen Sichtprüfung und tauchen erst Wochen später in einer unbrauchbaren Energieauswertung auf.

Die Dokumentation: was vorliegen muss

Eine Abnahme ist nur so gut wie ihre Dokumentation. Was nicht schriftlich festgehalten ist, gilt im Zweifel als nicht geprüft. Zu einer vollständigen BACnet/SC-Abnahme gehört deshalb ein Bündel an Unterlagen, das den Zustand der Anlage nachvollziehbar beschreibt und dem Betreiber die Grundlage für den weiteren Betrieb gibt.

Dazu zählen die aktualisierte Netz- und Anlagendokumentation, die vollständige Geräteliste mit Zertifikatsangaben, ein Zertifikats-Lebenszyklusplan mit Erneuerungsterminen, die Konfiguration der Hubs inklusive Failover, die Firewall- und Portfreigaben sowie die Testprotokolle zu allen Abnahmekriterien. Ergänzend gehören die Verantwortlichkeiten dokumentiert: Wer erneuert Zertifikate, wer betreut den Hub, wer ist im Störfall Ansprechpartner? Diese Übergabe von Wissen ist so wichtig wie die Technik selbst, denn eine sichere Anlage ohne klaren Betriebsprozess bleibt nur so lange sicher, bis das erste Zertifikat unbemerkt abläuft.

Die Rolle des unabhängigen Prüfers

Bei anspruchsvollen Projekten lohnt sich ein unabhängiger Prüfer, der die Abnahme begleitet oder wiederholt. Seine Rolle ist bewusst neutral: Er hat die Anlage nicht selbst errichtet und kann deshalb ohne Interessenkonflikt beurteilen, ob die Kriterien wirklich erfüllt sind. Gerade bei sicherheitsrelevanten Installationen schafft dieser unabhängige Blick Vertrauen, beim Betreiber ebenso wie bei Versicherern oder Auditoren.

Der unabhängige Prüfer bringt zudem Erfahrung aus anderen Projekten mit. Er erkennt typische Schwachstellen, hinterfragt allzu bequeme Konfigurationen und sorgt dafür, dass die Abnahme nicht zur reinen Formsache wird. Wichtig ist, ihn früh einzubinden, idealerweise schon bei der Definition der Abnahmekriterien. Wer den Prüfer erst am Abnahmetag hinzuzieht, riskiert, dass grundlegende Punkte zu spät auffallen. Als Teil des Teams von Anfang an wird er dagegen zum Qualitätsverstärker, der die Migration insgesamt besser macht.

Ein Beispiel aus der Praxis

Bei der Abnahme einer migrierten Liegenschaft fiel im Failover-Test auf, dass drei Geräte nach dem Abschalten des Primary Hub nicht auf den Failover Hub umschalteten. Die Ursache: Bei diesen Knoten war nur der primäre Hub konfiguriert, der Failover fehlte. Im Normalbetrieb wäre das nie aufgefallen, erst der bewusste Ausfalltest brachte es ans Licht. Nach der Korrektur bestand die Anlage den Test vollständig.

Ein zweiter Punkt zeigte sich bei den Trends: Für zwei Datenpunkte klaffte im Umstellungszeitraum eine mehrstündige Lücke. Weil die Abnahme dies erkannte, konnte die Ursache, eine zu früh entfernte Bridge, dokumentiert und der Prozess für die restlichen Bereiche angepasst werden. Beide Beispiele zeigen: Eine sorgfältige Abnahme findet genau die Fehler, die im Alltag sonst erst im ungünstigsten Moment auftauchen. Der Aufwand für gründliche Tests zahlt sich damit unmittelbar aus. Bemerkenswert ist, dass beide Fehler nicht auf mangelnde Sorgfalt bei der Installation zurückgingen, sondern schlicht im Normalbetrieb unsichtbar blieben. Genau deshalb ist die Abnahme kein Misstrauensvotum gegenüber dem Errichter, sondern ein gemeinsames Werkzeug, mit dem beide Seiten den erreichten Zustand ehrlich belegen, und aus dem alle Beteiligten für das nächste Projekt lernen.

Der rote Faden zu den Nachbarserien

Abnahme setzt Verständnis voraus. Wer prüfen will, ob alle Datenpunkte sauber übertragen werden, muss das Objektmodell kennen, genau das erklärt unsere Serie «BACnet Objekte verstehen». Und wer beurteilen will, ob eine Anlage überhaupt sinnvoll strukturiert ist, findet in der Serie «BACnet Planung: Das Fundament» die Grundlagen dazu. Die vorherigen Teile dieser Serie haben gezeigt, was BACnet/SC ist, welche Infrastruktur es braucht und wie migriert wird, die Abnahme ist der Moment, in dem sich all das beweisen muss. So schliesst sich der Kreis von der Planung über die Migration bis zur nachgewiesenen, sicheren Anlage.

Die Abnahme-Checkliste im Überblick

Es hilft, die Abnahme entlang einer festen Reihenfolge abzuarbeiten, damit kein Kriterium untergeht. Zuerst wird die Vollständigkeit der Verbindungen geprüft, danach die kryptografische Basis mit allen Zertifikaten, anschliessend der Failover, die Performance und schliesslich Alarme und Trends. Erst wenn jeder dieser Schritte ein dokumentiertes Ergebnis liefert, folgt die Zusammenstellung der Übergabeunterlagen. Diese feste Reihenfolge hat einen praktischen Grund: Jeder Schritt baut auf dem vorherigen auf. Ein Failover-Test ist sinnlos, solange nicht alle Geräte überhaupt verbunden sind, und eine Performance-Messung führt in die Irre, wenn noch Testzertifikate im Einsatz sind. Wer die Reihenfolge einhält, spart am Ende Zeit, weil Fehler in der richtigen Ebene gefunden und behoben werden.

Wichtig ist ausserdem, jedes Ergebnis mit Datum, Werkzeug und Prüfer festzuhalten. Ein Protokoll, das nur «bestanden» vermerkt, ist im Streitfall wenig wert. Erst die nachvollziehbare Angabe, wann, womit und durch wen ein Kriterium geprüft wurde, macht die Abnahme belastbar, gegenüber dem Betreiber ebenso wie gegenüber späteren Auditoren.

Fazit

Eine BACnet/SC-Migration ist abgenommen, wenn sie messbar funktioniert und lückenlos dokumentiert ist. Verbindungsaufbau, Zertifikatsgültigkeit, Hub-Failover, Performance, Alarme und Trends bilden das Gerüst der Prüfung; die Dokumentation macht das Ergebnis nachvollziehbar, und ein unabhängiger Prüfer verleiht ihm zusätzliches Gewicht. Wer diese Kriterien ernst nimmt, übergibt dem Betreiber keine Blackbox, sondern eine nachweislich sichere und zuverlässige Anlage. Genau das ist der Unterschied zwischen «umgestellt» und «erfolgreich migriert».

Sie haben Fragen dazu?

Sie stehen vor der Abnahme einer BACnet/SC-Installation oder möchten Ihre Abnahmekriterien und Testprotokolle auf ein solides Fundament stellen? Wir unterstützen Sie bei Tests, Dokumentation und unabhängiger Prüfung.

WENGET GmbH info@wenget.ch +41 44 552 34 88

Quellenverzeichnis

• ASHRAE 135: BACnet, Commissioning und Abnahme BACnet/SC
• BACnet International: Test Tool Guidance
• ISO 16484-5: Gebäudeautomation, Datenkommunikation
• VDI 3814 Teil 4: Methoden und Arbeitsmittel für Planung, Ausführung und Übergabe
• Eigene Abnahmeprotokolle BACnet/SC WENGET GmbH