Füllstands-, Bestands- und Auffangwannenüberwachung für Tanklager

Auf einen Blick

Punkt	Typische Antwort
Problem	Tankstände, Temperaturen und Auffangraum-Zustände liegen im Messsystem und in der Leitwarte jedes Depots. Die Zentrale sieht den Bestand einmal täglich aus einer Tabelle, und ungeplante Bewegungen werden erst bei der nächsten Peilung entdeckt.
Was angeschlossen ist	Das Tankmesssystem über Modbus TCP, unabhängige Hochhochstand-Schalter, Stellungen der Zu- und Ablaufventile, Sensoren für Kohlenwasserstoffe und Wasser im Auffangraum, die Pumpe des Auffangraumsumpfs sowie die Statusausgänge der Brand- und Gasmeldezentrale.
Wer es nutzt	Depotbediener, Terminalleiter, das Bestands- und Dispositionsteam in der Zentrale, Instandhaltung und die HSE-Funktion.
Typischer erster Umfang	Ein Depot mit acht bis fünfzehn Tanks, nur lesend.
Zeit bis zur ersten Anzeige	Typischerweise ein bis zwei Wochen, sobald die Modbus-Belegung des Messsystems bekannt ist. Planen Sie vier bis sechs Wochen für einen Pilotbetrieb ein, dessen Bestandswerte das Disposititionsteam akzeptiert.

Die Ausgangslage

Ein Depot oder Terminal lagert Kraftstoffe, Lösemittel oder Chemikalien in Festdach-, Schwimmdach- und Drucktanks innerhalb von Auffangräumen. Jeder Tank hat einen Radar- oder Servopegel, ein Mehrpunkt-Temperaturelement und oft eine Messung des Wasserbodens. Ein Messsystem berechnet das beobachtete Volumen aus der Tankkalibrierung; ein unabhängiger Hochhochstand-Schalter speist den Überfüllschutz. Ventile, Pumpen und die Verladebrücke liegen in der SPS oder im DCS, Gas- und Brandmeldung in einer eigenen Zentrale.

Das Depot selbst ist meist gut instrumentiert; die Lücken liegen anderswo. Die Zentrale sieht den Bestand in einem täglichen Bericht, den das Depot exportiert. Ein Tank, dessen Füllstand über Nacht bei geschlossenen Ventilen sinkt, ein Auffangraum, der langsam von einem undichten Flansch volläuft, oder ein Messwert, der bei einem plausiblen Wert hängen bleibt, werden erst bei der morgendlichen Runde oder der nächsten Peilung entdeckt. Die Depots setzen unterschiedliche Messsystem-Marken ein, daher hat niemand ein einheitliches Bild des Bestands im Netz.

Ziel ist nicht, das Mess- oder Leitsystem zu ersetzen, sondern deren Daten an einer Stelle zusammenzuführen, unabhängige Prüfungen hinzuzufügen, etwa Bewegung bei geschlossenen Ventilen, Alarme an die Personen weiterzuleiten, die handeln, und eine prüfbare Historie für Bestand, HSE und Instandhaltung zu führen.

Ziele und Kennzahlen

Vereinbaren Sie mit dem Disposititions- und dem HSE-Team, welche Werte sie aus Hermetry verwenden und welche im Mess- oder Bestandssystem offiziell bleiben. Typische Kennzahlen:

• Bestand je Produkt = Summe des beobachteten Volumens (tov_m3) aller Tanks mit diesem Produkt, minütlich aktualisiert. Wo das Messsystem das Normvolumen (gsv_m3) berechnet, wird dieses für die Berichterstattung verwendet.
• Leerraum = sichere Füllkapazität des Tanks (ein Attribut) minus aktuelles Volumen. Disponenten nutzen ihn zur Planung der Einlagerungen.
• Reichweite in Tagen = Bestand eines Produkts ÷ durchschnittlicher täglicher Abfluss der letzten 14 Tage; der Abfluss ergibt sich aus dem täglichen Volumenrückgang der Tanks im Betrieb.
• Unerklärte Bewegung = Volumenänderung, während sowohl das Zu- als auch das Ablaufventil eines Tanks als geschlossen gemeldet werden, je Tank und Tag. Sie sollte nahe null liegen; anhaltende Werte deuten auf undichte Ventile, Lecks oder Messdrift hin.
• Datenverfügbarkeit = Minuten mit einem aktuellen Messwert ÷ Minuten im Zeitraum, je Tank. Ein Messgerät, das nicht mehr aktualisiert, ist ein verborgenes Überfüllrisiko.
• Reaktionszeit für kritische Alarme, aus dem Alarmverlauf abgelesen.

Hermetry speichert für jeden numerischen Schlüssel Ein-Minuten-, Stunden- und Tageswerte, sodass Tagesminimum, Tagesmaximum und Endwerte des Tages aus gespeicherten Daten stammen. Stündliche Werte werden auf den lokalen Tag des Depots umgerechnet, wo der Berichtstag von Bedeutung ist.

Architektur

Jedes Depot erhält ein lizenziertes Gateway mit Hermetry Edge. Es liest die Host-Schnittstelle des Messsystems über Modbus TCP, die Depot-SPS über Modbus TCP oder RTU sowie Kontakte wie Hochhochstand-Schalter und Auffangraum-Sensoren über seine digitalen Eingänge und sendet alles über MQTT mit TLS über eine einzige ausgehende Verbindung. Vor Ort nimmt nichts Verbindungen aus dem Internet an.

Jeder Tank wird zu einem eigenen Gerät, das das Gateway als untergeordnetes Gerät über dieselbe Verbindung meldet, mit eigenen Messwerten, Alarmen, Historie und einem Platz im Asset-Baum. Auffangraumecken ohne Verkabelung können batteriebetriebene LoRaWAN-Füllstands- oder Leckagesensoren nutzen, die von einem LoRaWAN-Gateway im Depot empfangen werden; die Codec-Bibliothek dekodiert gängige Ultraschall-, Radar- und Leckagesensoren. Klären Sie zuerst die Einteilung des explosionsgefährdeten Bereichs: Betriebsmittel in einer Zone benötigen die passende Zulassung.

Komponente	Rolle	Hinweise
Tankmesssystem	Füllstand, Temperatur, Wasserboden, beobachtetes und Normvolumen	Bleibt die Referenz. Nur lesender Modbus TCP von seinem Host oder seiner Schnittstelleneinheit; Registerbelegung vom Hersteller.
Unabhängiger Hochhochstand-Schalter	Eingang für den Überfüllschutz	Nur als Kontakt zur Anzeige gelesen; die Abschaltung bleibt im Überfüllschutzsystem.
Depot-SPS oder DCS	Ventilstellungen, Pumpenzustände, Status der Verladebrücke	In diesem Entwurf nur lesend.
Brand- und Gasmeldezentrale	Sammelausgänge für Gas- und Brandalarm	Potentialfreie Kontakte oder Modbus; nur zur Anzeige.
Auffangraum-Sensoren	Kohlenwasserstoff auf Wasser, Wasserstand im Auffangraum, Lauf der Sumpfpumpe	Verdrahtet an die Eingänge des Gateways oder per LoRaWAN, wo kein Kabel verlegt werden kann.
Lizenziertes Gateway mit Edge	Liest alle oben genannten Werte und veröffentlicht Tanks als untergeordnete Geräte	Eines je Depot. Mit seiner werkseitigen Identität angemeldet; Zertifikat von der Zertifizierungsstelle der Plattform.
Lizenzierter Router	Uplink	Das Netz des Depots oder ein 4G-Router mit eigener SIM. Die eSIM-Verwaltung ist in Entwicklung (Hermetry Connect).
Hermetry	Speicherung, Alarme, Regeln, Abläufe, Dashboards, SCADA	Region EU, US oder Türkiye, oder auf eigenen Servern, wo es die Richtlinie verlangt.

Profile verlangen TLS und können einschränken, aus welchen Netzen sich ein Gerät verbinden darf. Lizenzierte Gateways authentifizieren sich mit einem X.509-Zertifikat der Zertifizierungsstelle der Plattform. Siehe Gateways und Geräte hinter einem Gateway.

Datenpunktliste

Je Tank, sofern nicht anders angegeben. Registerangaben sind beispielhaft; verwenden Sie die Belegung Ihres Messsystems. Intervalle sind Startwerte.

Datenpunkt	Telemetrieschlüssel	Einheit	Quelle	Intervall	Hinweise
Produktfüllstand	level_mm	mm	Messsystem, Eingangsregister je Tank	60 s	Im Profil auf die Referenzhöhe des Tanks als 0 setzen.
Füllstand, Prozent der sicheren Füllung	level_pct	%	Messsystem oder im Root-Flow berechnet	60 s	Erlaubt, eine Zeichnung und eine Anzeigetafel für Tanks unterschiedlicher Höhe zu verwenden.
Mittlere Produkttemperatur	product_temp_c	°C	Mehrpunkt-Element über das Messsystem	60 s
Wasserboden	water_mm	mm	Grenzschichtmessung	5 min	Nur Produkttanks.
Gesamtes beobachtetes Volumen	tov_m3	m³	Berechnung über die Tankkalibrierung im Messsystem	60 s	Primärer Bestandswert.
Brutto-Normvolumen	gsv_m3	m³	Messsystem, sofern es dies berechnet	5 min	Für die Berichterstattung verwenden, wo verfügbar.
Füllstandsänderungsrate	level_rate_mm_min	mm/min	Im Root-Flow aus level_mm abgeleitet	60 s	Als eigener Schlüssel gespeichert; steuert Bewegungsalarme.
Hochhochstand-Schalter	hh_switch	bool	Digitaler Eingang des Gateways	bei Änderung	True = Schalter ausgelöst.
Zulaufventil offen	inlet_open	bool	SPS, Spule oder digitaler Eingang	bei Änderung	Den Endschalter „geschlossen“ verwenden, wenn „offen“ nicht verdrahtet ist.
Ablaufventil offen	outlet_open	bool	SPS	bei Änderung
Messgerät in Ordnung	gauge_ok	bool	Statuswort des Messsystems	60 s	False bei Messgerätestörung oder veraltetem Wert.
Kohlenwasserstoff im Auffangraum erkannt	bund_hc	bool	Sensor für Kohlenwasserstoff auf Wasser, DI	bei Änderung	Je Auffangraum-Gerät.
Wasserstand im Auffangraum	bund_water_mm	mm	Ultraschall- oder Radarpegel, LoRaWAN oder 4-20 mA	5 min	Je Auffangraum-Gerät.
Sumpfpumpe im Auffangraum läuft	sump_run	bool	Laufkontakt, DI	bei Änderung	Je Auffangraum-Gerät.
Sammelalarm Gas	fg_gas_alarm	bool	Ausgang der Brand- und Gasmeldezentrale	bei Änderung	Depot-Gerät.
Sammelalarm Brand	fg_fire_alarm	bool	Ausgang der Brand- und Gasmeldezentrale	bei Änderung	Depot-Gerät.
Verladebrücke aktiv	gantry_active	bool	SPS	bei Änderung	Depot-Gerät; erklärt den Abfluss.
Verbindungsstatus Messsystem	tgs_comm_ok	bool	Modbus-Status des Gateways	60 s	Depot-Gerät.
Netzspannung vorhanden	mains_ok	bool	Phasenüberwachungsrelais	bei Änderung	Depot-Gerät.

Deklarieren Sie jeden Schlüssel im Tab Telemetry keys des Profils mit Bezeichnung, Einheit, Nachkommastellen und Bereich. Anzeigen (Gauges) übernehmen den Bereich als Skala, sodass ein Tank mit deklariertem Bereich von 0 bis 14.000 mm ohne widgetspezifische Einstellungen korrekt skaliert wird.

Asset-Modell

Bauen Sie den Baum in Sites & Assets entlang der Frage auf, wie Bestand und Sicherheit verwaltet werden:

• Region (freier Typ) mit scheduler_team und region_code.
• Depot (Site) mit Standort, Zeitzone, operating_hours, permit_type und criticality.
• Auffangwanne (Area) mit bund_capacity_m3 und drain_valve_tag.
• Tank (Machine oder freier Typ Tank) mit tank_tag, product, safe_fill_m3, reference_height_mm, roof_type (fixed, floating, sphere), heated und last_drained.
• Verladebühne und Transferpumpe (Machine), sofern sie überwacht werden.

Platzieren Sie jedes Tankgerät an seinem Tank-Asset, Wannengeräte an der Auffangwanne und das Gateway am Depot. Fügen Sie Feeds-Beziehungen von der Annahmeleitung zum Tank und vom Tank zur Verladebühne hinzu, damit Drill-downs dem Produktweg folgen. Die Platzierung bestimmt, welches Depot Status- und Alarmzahlen um einen Tank ergänzt und welche Regeln einer Place-Karte im Rules-Card-Bereich auf ihn anwenden dürfen.

Grenzwerte, die sich je Tank unterscheiden, gehören als Server-Attribute an das Tankgerät, zum Beispiel high_level_mm, low_level_mm, max_water_mm und max_temp_c. Alarmregeln lesen sie als Schwellenwerte, sodass eine Regel alle Tanks abdeckt. Ein Tank ohne das Attribut wird für diesen Grenzwert schlicht nicht geprüft; das ist ein Grund, die Attribute bei der Inbetriebnahme zu prüfen.

Geräteeinrichtung

Profile

Legen Sie die Profile Depot gateway, Storage tank, Bund und, falls verwendet, Bund level sensor (LoRaWAN) an. Das Gateway benennt jedes untergeordnete Gerät und sendet beim Verbinden einen type; dieser Typ wählt das Profil des Kindgeräts, sodass Tanks automatisch im Profil Storage tank landen. Wenn Floating-Roof- und Fixed-Roof-Tanks Regeln brauchen, die eine Rules-Card unterscheiden muss, geben Sie ihnen getrennte Profile, da Rules-Card-Regeln auf ein einzelnes Gerät oder alle Geräte eines Profils zielen.

Verwenden Sie die Online-Regel Recent message im Tankprofil mit einem erwarteten Intervall von 60 s und einem Faktor, der einen verpassten Abruf toleriert. Ratenbegrenzungen gelten je Kindgerät und für das Gateway insgesamt; zwölf Tanks pro Minute liegen weit unter den Standardwerten.

Provisionierung

Der Administrator beansprucht das Gateway, indem er dessen Code scannt oder die Claim-Daten eingibt, und wählt Depot gateway. Tank-Kindgeräte erscheinen bei ihrer ersten Meldung; benennen Sie sie in die Tank-Kennung (TK-101) um und platzieren Sie sie sofort im Baum.

Einstellungen und Leseintervalle

Bei lizenzierten Gateways zeigen die Remote-Geräteeinstellungen jede Einstellung des Modells mit ihrem Wert: Modbus-Adresse, Abfrageintervall, Registerblöcke, Eingangsentprellung. Wenden Sie eine Grundkonfiguration je Depottyp per Massenjob an, der in Wellen läuft und pausiert, wenn zu wenige Gateways sie übernehmen. Unterstützt das Gateway-Modell ein Deadband, beginnen Sie bei etwa 2 mm für den Füllstand und 0,2 °C für die Temperatur, und behalten Sie den Heartbeat bei, damit ein eingefrorener Messwert weiterhin meldet.

Abgeleitete Werte im Root-Flow

Der Root-Flow des Tankprofils erzeugt abgeleitete Schlüssel. Ein Delta-Block ermittelt die Änderung von level_mm seit dem letzten Messwert, ein kurzes Skript teilt sie durch die Minuten zwischen den Messwerten, und ein Block zum Speichern von Telemetrie legt level_rate_mm_min am Tank ab. Das Skript kann außerdem level_pct aus reference_height_mm berechnen, hinzugefügt durch einen Enrich-Block. Die Volumen aus der Peiltabelle bleiben im Messsystem.

Zeitstempel und Ausfälle

Let the gateway stamp readings with its synchronised clock, or omit the time stamp so Hermetry stamps arrival. Readings more than ten minutes in the future are dropped. Licensed gateways can buffer readings while the uplink is down, with a capacity that depends on the model; buffered readings arrive with their original time stamps. Alarm rules evaluate them as backfill, so a bund event that came and went during an outage is in the history, marked Backfilled, without paging anyone for the past.

Firmware

Signierte Gateway-Firmware wird vom Profil aus in Wellen ausgerollt: zuerst ein risikoarmes Depot, dann eine Einwirkzeit, danach der Rest; schlägt eine Prüfung fehl, pausiert der Rollout.

Dashboards

Board	Zielgruppe	Widgets und ihre Anzeigen
Bestand im Netz	Planungsteam, Leitung	Tabelle der Tanks mit Depot, Produkt, Füllstand, Volumen, Restvolumen und letztem Messwert, als Excel-Download; Kennzahlenkarten je Produkt mit Gesamtvolumen (ein Compute-Skript auf der Karte summiert die Tankzeilen); Karte der Depots, nach Status eingefärbt; Alarmtabelle, gefiltert auf Critical und Major.
Depotübersicht	Depotbediener	Die SCADA-Zeichnung des Depots; Fortschrittskarten je Tank für den Prozentsatz der sicheren Füllung; Statuskarten für Hochhoch-Schalter und Wannensensoren; Aktivitätsfeed der letzten Ereignisse; Gerätetabelle mit der Zeit des letzten Kontakts je Tank.
Tankseite	Bediener, Planer	Wird per Drill-down mit dem Tank als Parameter geöffnet. Anzeige (Gauge) des Füllstands; Liniendiagramm von Füllstand und Temperatur über 48 Stunden; Balkendiagramm des Tagesendvolumens (letzter Tageswert) über 30 Tage; Attributkarte mit Produkt, sicherer Füllung und letzter Entleerung; die Alarmtabelle des Tanks.
Bewegungen	Bestand und HSE	Liniendiagramm von level_rate_mm_min je Tank; Alarmtabelle der Bewegungsalarme über 30 Tage; Heatmap der Füllstandsrate nach Stunde, um nächtliche Umpumpvorgänge zu erkennen.
Wannen- und Sicherheitsanzeigen	HSE	Statuskarten für Kohlenwasserstoffe in der Wanne, Sumpfpumpe und Zusammenfassungen für Feuer und Gas; Wasserdiagramm der Wanne; Alarmtabelle der HSE-Alarmtypen.

Entitätsparameter halten die Boards generisch: die Tankseite nimmt den Tank, die Depotübersicht das Depot-Asset. Ein Link zur reinen Anzeige bringt die Depotübersicht auf einen Leitstandbildschirm.

SCADA-Bildschirme

Zeichnen Sie je Depot ein Layout (die Tankpositionen unterscheiden sich) und eine Tankdetailzeichnung für alle Tanks. Das Layout zeigt Auffangwannen als umrandete Flächen, die Tanks darin, die Annahmeleitung, Transferpumpen, den Verteiler und die Verladebühne, verbunden durch Rohrverbindungen. Floating-Roof-Tanks, Kugeltanks, Verladearme, Messkufen, Ventilverteiler und Notabschaltventile stammen aus dem Paket Oil & gas; einfache Tanks, Pumpen und Ventile aus dem Kernsatz; Gas- und Flammenmelder-Symbole aus der Sicherheitsfamilie des Process pack. Siehe Symbole und Industriepakete.

• Zustände: Jeder Tank füllt sich anhand von level_pct; eine Regel färbt den Füllstandstext über 90 % bernsteinfarben und lässt ihn rot blinken, wenn hh_switch wahr ist; Ventilsymbole zeigen geöffnet oder geschlossen anhand von inlet_open und outlet_open; die Sumpfpumpe zeigt Laufen anhand von sump_run.
• Zweite Messwerte: Jeder Tank zeigt Volumen und Temperatur unter dem Füllstand; die Wanne zeigt ihren Wasserstand.
• Umrechnungen: Ein einzeiliger Ausdruck passt Rohregisterwerte an, zum Beispiel value / 10 für einen Füllstand, der in Zehnteln eines Millimeters gesendet wird.
• Wiederverwendung: Hängen Sie die Tankdetailzeichnung an die Ansichten des Profils Storage tank, damit jeder Tank seine eigene Ansicht mit eigenen Bindungen erhält. Match everything schlägt Bindungen für ungebundene Symbole im Depot-Layout vor.

Leeren Sie den Tab Problems des Designers, bevor Sie anwenden. Eine Zeichnung enthält bis zu 200 Symbole und 300 Verbindungen; teilen Sie sehr große Terminals in Bereichszeichnungen auf.

Regeln und Alarme

Alarmregeln liegen auf den Profilen für Tank, Wanne und Depot. Schwellenwerte, die sich je Tank unterscheiden, lesen Geräteattribute. Siehe Alarmregeln auf Geräteprofilen.

Alarm	Bedingung	Verzögerung und Hysterese	Schweregrad	Benachrichtigt	Eskalation
Hochhoch-Schalter	hh_switch == true	Entprellung 1 Messwert	Kritisch	Anlagenbediener und Terminalleiter, SMS und Push	Erinnerung alle 5 Min., bis bestätigt
Füllstand hoch	level_mm >= Attribut high_level_mm	Entprellung 2 Messwerte; Hysterese 20 mm	Hoch	Anlagenbediener, Push und In-App	Erinnerung alle 15 Min.
Füllstand niedrig	level_mm <= Attribut low_level_mm	Entprellung 2 Messwerte; Hysterese 20 mm	Gering	Disponenten-Team, E-Mail	Keine
Unerklärter Abfall	alle von: level_rate_mm_min < -1, inlet_open == false, outlet_open == false	Entprellung 5 Messwerte	Kritisch	Anlagenbediener und HSE, SMS	Erinnerung alle 15 Min.
Unerklärter Anstieg	alle von: level_rate_mm_min > 1, beide Ventile geschlossen	Entprellung 5 Messwerte	Hoch	Anlagenbediener, Push	Erinnerung alle 30 Min.
Messgerätefehler	gauge_ok == false	Entprellung 2 Messwerte	Hoch	Instandhaltung, E-Mail und Push	Erinnerung alle 60 Min.
Wasser am Tankboden hoch	water_mm >= Attribut max_water_mm	Entprellung 3 Messwerte; Hysterese 5 mm	Warnung	Anlagenbediener, In-App	Keine
Produkttemperatur hoch	product_temp_c > Attribut max_temp_c	Entprellung 3 Messwerte; Hysterese 1 °C	Hoch	Anlagenbediener, Push	Erinnerung alle 30 Min.
Auffangwanne Kohlenwasserstoff	bund_hc == true	Entprellung 30 s	Kritisch	Anlagenbediener und HSE, SMS	Erinnerung alle 10 Min.
Auffangwanne Wasser hoch	bund_water_mm > 300	Entprellung 2 Messwerte; Hysterese 20 mm	Gering	Anlagenbediener, In-App	Keine
Brand- und Gasmeldung	eines von: fg_gas_alarm == true, fg_fire_alarm == true	Keine	Kritisch	Terminalleiter und HSE, SMS	Erinnerung alle 5 Min.
Tank offline	Inaktivitätsregel, kein Messwert seit 5 Min.		Hoch	Anlagenbediener, Push	Erinnerung alle 30 Min.

Lebenszyklus. Ein Alarm wird eröffnet, wenn seine Bedingung die Entprellung hindurch gilt, wird (Rolle Benutzer) mit optionaler Notiz bestätigt und löst sich von selbst auf, wenn die Bedingung endet. Alarme können nicht gehalten werden; ein unerklärter Abfall, der nach zehn Minuten aufhörte, löst sich daher von selbst auf. Machen Sie die Prüfung gelöster Alarme mit leerer Spalte „Bestätigt“ zum Bestandteil der Schichtübergabe. Pro Tank und Typ ist nur ein Alarm offen; Wiederholungen zählen als Vorkommnisse. Jede Regel enthält einen Runbook-Text, zum Beispiel das Verfahren des Depots bei einem vermuteten undichten Ventil.

Eskalation. Eine höhere Schwere benachrichtigt erneut, und Erinnerungen wiederholen sich, bis jemand bestätigt. Empfänger sind Benutzer, Rollen (Owner, Admin, User) oder E-Mail-Adressen (bis zu 20 pro Regel); hinter IoT-Alarmen gibt es keine Bereitschaftsrotation, daher die Bereitschaftsempfänger oder eine gemeinsame Bereitschaftsadresse aktuell halten. Die Entprellung läuft nur weiter, wenn Messwerte eintreffen; für „keine Füllstandsänderung seit zwei Stunden“ einen Timer „bleibt so für“ auf der Regelkarte verwenden.

Zeitabhängige Regeln. Profil-Alarmregeln haben keinen Zeitplan. Eine Regel auf der Regelkarte für das Depot deckt Bewegung außerhalb der Betriebszeiten ab: Wenn level_rate_mm_min länger als 5 Minuten über 1 bleibt, nur wenn die Uhrzeit außerhalb des Betriebsfensters des Depots liegt oder der Tag im Feiertagskalender des Mandanten steht, dann einen Alarm „Hoch“ auslösen und das Team des diensthabenden Betriebsleiters benachrichtigen. Bedingungen auf der Regelkarte vergleichen mit festen Werten; daher pro Schwellenwert eine Regel verwenden.

Instandhaltung und Überflutung. Einen Tank vor Reinigungs- oder Messgerätearbeiten stummschalten; Alarme werden weiterhin erfasst, als stummgeschaltet markiert, und die Stummschaltung endet von selbst (höchstens 90 Tage). Bei mehr als 20 Benachrichtigungen pro Minute sendet Hermetry eine Sammelmeldung im Fünf-Minuten-Takt; Netzausfall bleibt dennoch Kritisch, und seine Folgen werden mit geringerer Schwere und längerer Entprellung gemeldet.

Automatisierung und Integrationen

• Bewusst nur lesend. Diese Blaupause sendet keine Befehle. Ventilbewegungen, Pumpenstarts und Überfüllabschaltungen bleiben in den Steuer- und Sicherheitssystemen des Depots.
• Transporte: Eine Regel auf der Regelkarte kann das Disponenten-Team benachrichtigen, wenn der Zulauf eines Tanks öffnet, und erneut, wenn level_pct 90 überschreitet; so entstehen Eingangsmeldungen ohne ein weiteres System.
• Webhooks: alarm.created, alarm.acknowledged und alarm.cleared, mit HMAC signiert, speisen das Vorfallprotokoll des Terminals oder das CMMS. Ein Ablauf kann einen kritischen Auffangwannen-Alarm über einen konfigurierten HTTP-Endpunkt an ein Ticketsystem senden, mit Bearer-Token oder OAuth-2-Client-Credentials.
• Lagersysteme: Das Lager- oder ERP-System kann Füllstände und Mengen über die REST-Series-API lesen, mit einem API-Schlüssel, der nur lesend ist, abläuft und auf das Netz des Systems beschränkt ist. Hermetry-Werte sind betrieblich; amtliche Bestände und eichpflichtige Übergaben bleiben in den dafür zugelassenen Systemen.
• Berichte: Historientabellen lassen sich für tägliche Bestandsblätter und monatliche Bewegungsprüfungen als Excel herunterladen. Zeitgesteuerte, per E-Mail versandte Berichte sind derzeit nicht integriert.

Für Supportarbeiten kann ein Ingenieur über den Fernzugriff auf Router die Weboberfläche eines lizenzierten Routers öffnen: ein ausgehender Tunnel, kein eingehender Port, Sitzungen auf 4 Stunden begrenzt und protokolliert.

Rollen und Zugriff

Wer	Rolle oder Gruppe	Kann
Anlagenbediener	User + Gruppe IoT-Bediener	Eigenes Depot sehen, Alarme bestätigen, Notizen hinzufügen, Regeln des Depots auf Manuell umstellen.
Disponent	User + Gruppe IoT-Betrachter	Alle Depots lesen, Historie exportieren, keine Änderungen.
HSE-Beauftragter	User	Auffangwannen- und Sicherheitsanzeigen sehen, HSE-Alarme bestätigen.
Terminalleiter	User	Alle Depots sehen, Alarme bestätigen.
Automatisierungsingenieur	Admin	Profile, Alarmregeln, Abläufe, Zeichnungen bearbeiten; Tanks stummschalten; Firmware ausrollen; Ferneinstellungen verwalten.
IT-Verantwortlicher	Owner	Mitglieder, Anmeldrichtlinie (2FA, SSO), API-Schlüssel, Firmware-Signaturschlüssel.

Attributbasierte Richtlinien können einen Bediener auf sein eigenes Depot oder einen Lagerkunden auf seine eigenen Tanks einschränken; vor dem Go-live mit dem Richtliniensimulator testen. Das Audit-Protokoll erfasst Anmeldungen, Rollenänderungen, Bestätigungen, Änderungen an Alarmregeln, Attributschreibvorgänge (Schlüssel, nicht Werte), Stummschaltungen und Firmware-Aktionen in einer prüfbaren Hash-Kette, die für HSE-Audits exportiert werden kann.

Dimensionierung und Daten

Größenordnung für zwei Depots mit je 12 Tanks und 4 Auffangwannen:

• Tanks: 24 Tank-Geräte, je eine Nachricht pro Minute: 24 × 1.440 = 34.560 Nachrichten am Tag.
• Auffangwannen: 8 Auffangwannen-Geräte, ein Heartbeat alle 5 Minuten plus Ereignisse, etwa 300 pro Tag und Gerät: 2.400 am Tag.
• Depot-Geräte und Gateways: je eine Nachricht pro Minute: etwa 2.900 am Tag.
• Summe: rund 40.000 Nachrichten am Tag, etwa 1,2 Millionen im Monat. Die Schätzung zählt eine Nachricht je Gerät und Messwert; die Planung darauf stützen, bis der eigene Datenverkehr gemessen ist. Telemetrie- und Attributnachrichten zählen auf das Kontingent; Befehle, Alarme und Verbindungsereignisse nicht.
• Werte: etwa 12 pro Tank-Nachricht, also rund 420.000 Werte am Tag, etwa 150 Millionen im Jahr.

Die Aufbewahrungsklasse des Tarifs legt fest, wie lange die Historie gespeichert wird: Rohmesswerte bis zu 90 Tage (in den Klassen für ein und drei Jahre), Minutenaggregate bis zu 31 Tage, Stunden- und Tagesaggregate über die volle Klassenlaufzeit. Bei Vorfalluntersuchungen liegen daher alle Messwerte für drei Monate vor sowie stündliche Minimal-, Maximal- und letzte Werte für Jahre; Rohdaten, die länger aufbewahrt werden müssen, exportieren. Der Tarif warnt bei 80 % und 100 % des monatlichen Kontingents; Geräte werden nicht angehalten.

Einführungsplan

Phase	Wochen	Arbeit	Abnahmekriterien
0. Erhebung	1-2	Schnittstelle des Messsystems und Registerliste, SPS-Tags, verfügbare Kontakte, Netzweg; Maßnahmen und Grenzwerte je Tank festlegen.	Unterschriebene Punktliste und Attributblatt je Tank.
1. Pilotdepot	3-8	Gateway-, Tank- und Auffangwannenprofile, Wurzelablauf für die Füllstandsrate, Depotübersicht, eine Layoutzeichnung, Alarmregeln.	Zwei Wochen Füllstände, die innerhalb ihrer Auflösung mit dem Messsystem übereinstimmen; jeder Alarm durchgehend getestet; Disponenten akzeptieren Mengen.
2. Netzbestand	9-12	Board für den Netzbestand, Excel-Exporte, Webhooks zum Vorfallprotokoll, Anzeigelink im Leitstand.	Tägliches Bestandsblatt aus Hermetry, zwei Wochen parallel zum bisherigen.
3. Übrige Depots	13+	Ein Depot alle ein bis zwei Wochen mit Referenzwerten für die Gateway-Einstellungen.	Alle Depots online; Bewegungsalarme werden wöchentlich geprüft, mit weniger Fehlalarmen als vereinbart.

Inbetriebnahme-Checkliste

1. Gateway auf Depot gateway beansprucht, Zertifikat aktiv, dem Depot-Asset zugeordnet.
2. Jedes Tank-Child-Device auf seine Kennung umbenannt, auf Storage tank, dem jeweiligen Tank-Asset zugeordnet; Attribute high_level_mm, low_level_mm, max_water_mm, max_temp_c und reference_height_mm vorhanden.
3. Füllstand, Temperatur, Wasserboden und Volumen für jeden Tank mit der Anzeige des Peilsystems verglichen; Einheiten und Nachkommastellen korrekt.
4. Hochhochschalter während des eigenen Funktionstests des Überfüllschutzsystems beobachtet: Hermetry zeigt hh_switch als true und löst den Alarm Critical aus. Mit dem Sicherheitsteam abstimmen; den Schalter niemals allein für Hermetry auslösen.
5. Ventilstellungen während einer geplanten Umfüllung beobachtet und mit dem richtigen Drehsinn bestätigt.
6. Bewegungslogik mit dem Flow-Test-Runner auf aufgezeichneten Messwerten geprüft, bevor der Alarm scharf geschaltet wird.
7. Auffangwannen-Kohlenwasserstoffsensor mit seinem Testkit geprüft; Wasserstand in der Auffangwanne gegen eine Peilung abgelesen.
8. Offline-Test: Uplink 15 Minuten lang getrennt; Offline-Alarm ausgelöst; gepufferte Messwerte füllen die Lücke nach der Wiederverbindung.
9. Tab Problems jeder Zeichnung leer; Runbook-Texte ausgefüllt.

Fallstricke

• Hermetry als Peilsystem behandeln. Volumina für Übergabe und amtlichen Bestand stammen aus den zertifizierten Peil- und Bestandssystemen. Hermetry zeigt und prüft sie.
• Bewegungsalarme ohne Ventilsignale. Ohne verlässliche Ventilstellungen wirkt jede Umfüllung ungeklärt. Zuerst die Endlagenschalter für Geschlossen anschließen.
• Ein Totband, das einen eingefrorenen Messwert verbirgt. Einen Heartbeat und den Status gauge_ok beibehalten, damit ein festhängender Wert sichtbar wird.
• Ein Grenzwert für alle Tanks. Tankspezifische Attribute verwenden; fehlt ein Attribut, wird dieser Tank nicht geprüft, daher Attribute regelmäßig auditieren.
• Abweichende Uhren. Die Füllstandsrate hängt vom Zeitabstand zwischen den Messwerten ab; ein Gateway mit abweichender Uhr erzeugt falsche Raten.
• Elektronik in explosionsgefährdeter Zone ohne passende Zertifizierung. Die Zonenklassifizierung klären, bevor Sensorpositionen gewählt werden.

Was Hermetry nicht ersetzt

Hermetry überwacht und alarmiert. Überfüllschutz, Notabschaltung, Brand- und Gaserkennung sowie jede andere Sicherheitsfunktion bleiben in zertifizierten, unabhängigen Sicherheitssystemen und müssen auch bei Ausfall der Verbindung oder der Plattform weiterarbeiten; Hermetry liest deren Zustände nur zur Anzeige. Das Peilsystem bleibt die Referenz für Füllstand und Volumen; amtlicher Bestand, Übergabe und behördliche Meldungen verbleiben in den dafür zertifizierten und zugelassenen Systemen.