· 

System-Safety: Schmetterlingseffekt und praktische Konsequenzen

Safety ist eine Systemeigenschaft. Deshalb müssen wir systemtheoretisch denken und entwerfen, so Nancy Leveson, führende Safety-Expertin am MIT.[1] Ein Denkansatz ist der „Schmetterlingseffekt“, wonach homöopathische Impulse extreme Wirkungen haben können.[2] Aus Safety-Sicht ist das ungewünscht. „Unkontrolliertes Springen“ von Signalen ist ein Anzeichen von Fehlern oder Gefahr. Originär beschreibt der Schmetterlingseffekt ein numerisches Problem von Computern – nicht von realen Systemen.
Technisch begegnen wir diesen Risiken unter anderem mit Kybernetik, Redundanzen, Tool Qualifikation und Verifikation & Validierung.
Außerhalb der Naturwissenschaft ist der Schmetterlingseffekt zum Marketing verkommen. In Heilpraktik, Psychologie, Ökonomie, Sozial- und Geisteswissenschaft, Beratung und Coaching, Klima- und Umweltschutz wird der Schmetterlingseffekt als pseudo-naturwissenschaftliche Legitimation für Herumdoktern an Systemen bemüht.

Das numerische Vorhersageproblem „Schmetterlingseffekt“

Natürliche Phänomene wie Wetter und Klima, Seuchenausbreitung, Warteschlangenlängen, Planeten- und Flugbahnen, Belastbarkeit von Konstruktionen, Bankenkrisen simulieren wir mit Markov-Ketten, Vektor-Modellen oder Stock-Flow-Modellen. Bei diesen Berechnungen setzen wir das Ergebnis des vorangegangenen Rechenschritts in den nachfolgenden ein.

Vereinfacht können wir uns das an einer Differentialgleichung verdeutlichen:

\[ x_{n+1} = 4x_n (1 - x_n), \quad \text{mit} \quad x_n \in (0,1), \quad n \in \mathbb{Z} \]

Wir wählen einen vernünftigen Startwert und setzen das Ergebnis wiederholt ein:

\[ x_0 = 0{,}8 \;\longrightarrow\; x_1 = 0{,}64 \;\longrightarrow\; x_2 = 0{,}9216 \;\longrightarrow\; \cdots \]

Idealerweise konvergiert das Ergebnis – auch wenn hier nicht der Fall (siehe mein Artikel Feigenbaumdiagramm (to be done))

Das Problem: Computer können Differentialgleichungen nur numerisch lösen. Das führt zu Rundungsdifferenzen, die sich im Simulationsverlauf immer weiter aufschaukeln. Eine zweite Fehlerquelle sind die endlichen Kommastellen von PCs. Irgendwann schneiden sie das Ergebnis einfach ab. Auch das schaukelt sich auf.

Das können wir im Excel demonstrieren. Wir multiplizieren die Klammer aus:

\[ 4x(1-x) = 4x - 4x^2 \]

Ziehen wir die rechte von der linken Seite ab, muss bei jeder wiederholten Berechnung die Differenz ε ‚Null‘ ergeben:

\[ \varepsilon = 4x(1-x) - (4x - 4x^2) \overset{!}{=} 0 \]

Aber in Excel sieht es anders aus. Die folgende Grafik zeigt die Abweichung ε nach n-Rechenschritten:

Schmetterlingseffekt: Numerische Rundungsdifferenzen führen zu abweichenden Simulationsergebnissen.
Abbildung 1: Schmetterlingseffekt: Numerische Rundungsdifferenzen führen zu abweichenden Simulationsergebnissen. (Quelle: Eigene Darstellung)

Bereits beim vierten Rechenschritt sehen wir die Ursache:

\[ \begin{aligned} x_4 &= 0{,}2890137\color{#FFA500}600000000 \\ x_4 &= 0{,}2890137\color{#FFA500}599999990 \end{aligned} \]

Diese Rundungsdifferenzen schwingen sich in der weiteren Simulationen auf und führen zu den Abweichungen ε in Abbildung 1. Das Abschneiden der Nachkommastellen konnte ich mit dieser einfachen Formel nicht nachstellen. Es bleibt aber eine weitere Fehlerquelle.

Die Abweichung beträgt teilweise fast 100 %. Das könnte in einem Safety-System bedeuten: Die eine Berechnung gibt „alles ok“ aus; die andere „Kurzschluss“.

Der Schmetterlingseffekt betrifft die Güte von Simulationsergebnissen und von Vorhersagen. Daraus abgeleitete Entscheidungen sind folglich riskant.

Der wahre Wert einer Simulation

Es ist paradox: Der eigentliche Wert einer Simulation liegt weniger im Ergebnis, sondern im Entwerfen. Ausgehend von einem einfachen Modell, wie die vorherige Differentialgleichung, reichern wir das Modell immer weiter an, bis es zur Realität passt. So lernen wir ein Problem immer besser verstehen. Die finale Simulation ist codiertes Wissen. Ähnlich hat es bereits Naur 1985 in „Programming as Theory Building“ beschrieben.[3]

Folglich liegt die eigentliche Wertschöpfung im Simulationsentwurf. Das Simulationsergebnis dient vor allem dazu, Entscheidungen nachvollziehbar zu machen – etwa gegenüber Kunden oder Auditoren.

Aber: Rechenfehler sind unvermeidbar. Dieses Risiko müssen wir handhaben.

Risiken aus dem Schmetterlingseffekt beherrschen

Im Safety-Engineering greifen mehrere Ansätze ineinander, um die Rechenfehler zu handhaben:

Kybernetische Rückkopplung:

Bei vielen Simulationen stoßen wir sie an, lassen sie ungestört rechnen, und Rechendifferenzen können sich aufschaukeln. Genau das vermeiden wir, indem wir a) die Rechenergebnisse fortwährend mit realen physikalischen Messgrößen abgleichen und b) den Zeithorizont begrenzen – in Embedded Systemen wenige Millisekunden, Wettermodelle täglich, Flugzeuge und Autos turnusmäßig.

Unlautere Praxis ist jedoch die langfristige Prognose. Wettermodelle sind aus gutem Grund auf 10 bis 14 Tage begrenzt.[4] [5] Wer die Zukunft über Jahrzehnte vorhersagt, betreibt unseriösen Scientismus und sollte sein Gehalt aus Steuergeldern zurückzahlen.

Redundanzen:

Kybernetische Systeme messen, übertragen, berechnen und reagieren über mehrere unabhängige Pfade. Weichen die Ergebnisse zu stark ab, folgt eine Fehlerreaktion. Das entspricht dem anerkannten Stand der Technik, etwa dem E-GAS Konzept.[6]

Dasselbe Prinzip gilt auch prozessual: Zum Beispiel hatte ich im Artikel „Systemische Portfolio-Strategie“ die InsightMaker-Simulation mit Excel-Berechnungen abgeglichen.

Verifikation & Validierung (V&V):

Wir entwerfen in Automotive ganze Fahralgorithmen mit PC-Simulationen. Wir prüfen im realen Fahrzeug, ob die Simulation korrekt rechnet (Verifikation) und ob der Algorithmus überhaupt der richtige ist (Validierung).

Tool Qualifikation:

V&V ist Pflicht, aber aufwändig, teuer und träge. Wie können wir die Verifikation minimieren und dem Simulationsergebnis direkt vertrauen? Die Safety-Antwort darauf lautet „Tool Qualifikation“ (ISO 26262‑9:2018 Kapitel 11). Wir entwickeln die PC-Simulation mit höchster Sorgfalt und testen sie auf Herz und Nieren (V&V). Damit ersetzen wir die (wiederholte) Verifikation der Simulationsergebnisse durch die (einmalige) Qualifikation der Simulation selbst.

Aber diese Möglichkeit ist begrenzt. Tool Qualifikation reduziert V&V; ersetzt sie nicht gänzlich. Manche Modelle können wir mangels Empirie nicht direkt verifizieren, z. B. Langzeit Klimasimulationen oder die Ausbreitung eines Virus. Außerdem gibt es emergente Effekte, die man erst im realen System entdecken kann. Siehe dazu den Artikel über Emergenz (to be done).

Sensitivitätsanalysen:

Als Teil der Modellverifikation prüfen wir, wie empfindlich Simulationsergebnisse auf Parameteränderungen reagieren. Das gibt direkt gute Hinweise, in welchen Grenzen Simulationsergebnisse vertrauenswürdiger sind und wo weniger.

Fazit:

Mit diesen ineinandergreifenden Techniken lässt sich das Risiko des Schmetterlingseffekts wirksam minimieren.

Systemrisiken durch Scientismus

Die Beobachtung, dass homöopathische Abweichungen wie Rundungsdifferenzen große Auswirkungen haben können, weckt Begehrlichkeiten und Fantasien. Ist doch jeder noch so kleine Systemeingriff naturwissenschaftlich legitim. In Heilpraktik, Psychologie, Ökonomie und Management, Beratung und Coaching, Sozial- und Geisteswissenschaft, Klima- und Umweltschutz wird der Schmetterlingseffekt bemüht, „… wo immer irgendwelche Umschwünge in Systemen, Organismen oder Gesellschaften in Rede stehen.“[7:164]

Das ist aber ein rein rhetorisches Bild und grober Unfug. Es basiert auf verdrehter Rhetorik: Weil es den Schmetterlingseffekt im Modell(!) gibt, sollten kleinste Abweichungen den Umbruch im realen System(!) herbeiführen.

Edward Lorenz, der Urheber des Schmetterlingseffekts, sprach explizit von von numerischen Problemen seiner Wettermodelle und über Vorhersageprobleme:Predictability: Does the Flap of a Butterfly’s Wings in Brazil Set off a Tornado in Texas?“ (Hervorhebung d.V.[2:181]) Er führt auch aus, dass minimale Abweichungen wie ein Flügelschlag keine realen Wetterphänomene auslösen:

Auszug aus 'Predictability: Does the Flap of a Butterfly’s Wings in Brazil Set off a Tornado in Texas?'. Eine Schmetterling erzeugte keinen Tornado.
Abbildung 2: In realen Systemen löst eine Flügelschlag eines Schmetterlings keinen Tornado aus. (Quelle: [2:181])

Analog für biologische, soziale und psychische Systeme. Sie verfügen über Feedback- und Lernschleifen, die kleine Störungen ausgleichen. Außerdem verhindern lebende Systeme Abweichungen. Sie bilden auf der Makroebene Muster aus, die die Teile in ein bestimmtes Verhalten zwingen („versklaven“).  Abweichungen von diesen Mustern werden korrigiert. Nur bei massiven Krisen oder existenziellen Bedrohungen kommt es zu echten Umbrüchen.[8]

So entsteht ein Managementrisiko: Wer glaubt, mit homöopathischen Eingriffen Systeme zu steuern, irrt sich fundamental. Meine eigene anekdotische Evidenz aus über zwanzig Jahren Projektarbeit und vielen Change Projekten: Ständiges „Herumdoktern“ an Teams oder Organisationen verbessert nichts. Es nervt und vertreibt gute Leute. Positiv wirkt sich indes aus, wenn wir ungestört arbeiten können. Wer Systemumbrüche braucht, nutzt andere Instrumente wie Spin-Offs.[9]

Fazit: Der Schmetterlingseffekt ist ein Modellproblem. Gutes und richtiges (Safety) Management schützt Systeme, indem es stabilisiert, nicht Chaos erzeugt.

Wenn Sie mehr über Systemdenken in Safety-Engineering erfahren wollen, abonnieren Sie gerne meinen Blog oder vernetzen wir uns auf LinkedIn.

— Ihr, Nico Litschke

Anhang - Excel Kalkulation

Download
Beispiel einer Differentialgleichung, die den Schmetterlingseffekt veranschaulicht
Schmetterlingseffekt_Beispiel.xlsx
Microsoft Excel Tabelle 35.2 KB

Mehr zum Thema

Bitte keine VUCA-Dünnbrettbohrer.
  • Systemdenken
  • Engineering Methoden

Bitte keine VUCA-Dünnbrettbohrer.

VUCA, Stacey-Matrix und Cynefin versprechen Orientierung in einer ungewissen Zukunft. Doch genau daran scheitern sie. Ich zeige, warum diese Modelle Komplexität nicht erfassen, sondern in Effekthascherei enden – und wer davon profitiert.

Systemisch analysiert: Buy-and-Hold des Weltportfolios gewinnt
  • Risiken & Realität
  • Finanzen & Investieren

Systemisch analysiert: Buy-and-Hold des Weltportfolios gewinnt

Buy-and-Hold eines Weltportfolios ist einfach und rentabel. Geht es besser? Testen Sie es selbst im Stock-Flow-Modell. Ich gehe der Frage mit systemischer Risikoanalyse, Backtests, Monte-Carlo-Simulationen und statistischem Number Crunching nach. Der Gewinner ist eindeutig.

Endnoten

  1. Leveson, N. G. (2011). Engineering a Safer World. Systems Thinking Applied to Safety (p. 534). Cambridge, London: MIT Press.
  2. Lorenz, E. N. (1993). The Essence of Chaos. Seattle: University of Washington Press.
  3. Naur, P. (1985). Programming as Theory Building. Microprocessing and Microprogramming, 15(5), 253–261. https://doi.org/10.1016/0165-6074(85)90032-8
  4. ECMWF. (2015). Forecast Skill Horizon. Im Internet: https://www.ecmwf.int/sites/default/files/elibrary/2015/8450-forecast-skill-horizon.pdf
  5. SciJinks. (n.d.). Forecast Reliability. Im Internet: https://scijinks.gov/forecast-reliability/
  6. Arbeitskreis EGAS. (2015). Standardisiertes E-Gas Überwachungskonzept für Benzin und Diesel Motorensteuerungen (Version 6). Im Internet: https://www.pff.de/wcf/file-download/166565/
  7. Brügge, P. (1993). Mythos aus dem Computer. Der Spiegel. Im Internet: https://www.spiegel.de/spiegel/print/d-13683414.html
  8. Haken, H. (1990). Synergetik. Eine Einführung. Nichtgleichgewichts-Phasenübergänge und Selbstorganisation in Physik, Chemie und Biologie (3., erweiterte Auflage). Berlin, Heidelberg: Springer-Verlag.
  9. Im Kontext von Unternehmen, vgl. Christensen, C. M. (2025). The Innovator’s Dilemma (K. Matzler & S. F. von den Eichen, Eds., 2. erweiterte Auflage). München: Verlag Franz Vahlen.

Kommentar schreiben

Kommentare: 0