Der Kontext — wenn die Elektronik das Lenkrad hält
Ein modernes Auto sind über hundert Steuergeräte, die Bremse, Servolenkung, Getriebe und nun die Fahrassistenz steuern. Wenn die Elektronik entscheidet, lässt ein Ausfall nicht mehr nur den Motor abwürgen: er kann töten.
Die Toyota-Affäre um die unbeabsichtigte Beschleunigung um 2009-2010 brachte die Frage auf den Punkt — weniger durch ihre tatsächliche Ursache (weitgehend Fußmatten und Pedalen zugeschrieben) als durch jene, die sie der ganzen Branche stellte: Wie weist man nach, dass ein elektronisches Steuerungssystem sicher ist? ISO 26262, 2011 veröffentlicht, ist die normative Antwort: die funktionale Sicherheit an die Automobilwelt anzupassen, in der Stückzahl, Kosten und Nutzungsvielfalt die Regeln ändern.
ISO 26262: die IEC 61508 des Automobils
ISO 26262 — „Straßenfahrzeuge — Funktionale Sicherheit” — ist die Automobil-Anwendung der IEC 61508. Sie deckt die elektrischen und elektronischen (E/E) Systeme von Serienfahrzeugen ab. Die erste Ausgabe stammt von 2011; die zweite (2018) erweiterte den Geltungsbereich auf Lkw, Busse und motorisierte Zweiräder und ergänzte einen Teil für Halbleiter.
Wie die gesamte 61508-Familie ruht sie auf einem Sicherheitslebenszyklus — jedoch mit domänenspezifischem Vokabular und Metriken.
ASIL: die Skala, durch das Risiko bestimmt
Wo die Prozesswelt SIL und die Maschine PL spricht, spricht das Automobil ASIL — Automotive Safety Integrity Level: QM (quality managed, keine Sicherheitsanforderung), dann A, B, C, D (am anspruchsvollsten).
ASIL wird nicht gewählt, sondern per HARA-Analyse (Hazard Analysis and Risk Assessment) bestimmt, durch Kombination dreier Parameter je Gefährdungssituation:
- Schwere (S0-S3): von keiner Verletzung bis zu tödlichen Verletzungen;
- Exposition (E0-E4): die Wahrscheinlichkeit, sich in der Situation zu befinden (regnerische Autobahn, Rückwärtsfahren…);
- Kontrollierbarkeit (C0-C3): die Fähigkeit des Fahrers, den Schaden zu vermeiden.
Die Kreuzung der drei ergibt den ASIL. Eine schwere (S3), häufige (E4) und unkontrollierbare (C3) Situation verlangt ASIL D.
Das V-Modell und der Sicherheitsnachweis
ISO 26262 strukturiert die Entwicklung als V-Modell: Item-Definition, HARA, funktionales Sicherheitskonzept, dann technisches Sicherheitskonzept, System-/Hardware-/Software-Entwicklung und der Aufstieg über Integration, Verifikation und Validierung.
Alles wird in einem Safety Case (Sicherheitsnachweis) festgehalten, der argumentiert, dass das Item sicher ist. Eine Automobil-Besonderheit: die Bestätigungsmaßnahmen — Bestätigungsreviews, Audit der funktionalen Sicherheit und Assessment — mit nach ASIL steigenden Unabhängigkeitsgraden. Je höher der ASIL, desto unabhängiger muss der Bewerter vom Entwicklungsteam sein.
Die automobilspezifischen Konzepte
Vier Begriffe prägen die Praxis:
- ASIL-Dekomposition: eine ASIL-D-Anforderung auf zwei unabhängige Elemente niedrigerer Stufe aufteilen (z. B. ASIL B(D) + ASIL B(D)), sofern ihre Unabhängigkeit nachgewiesen ist. So wird erreichbar, was in einem Block zu teuer wäre.
- SEooC (Safety Element out of Context): eine Komponente ohne konkretes Zielfahrzeug entwickeln, auf Basis von Nutzungsannahmen, die ein Integrator später validiert. Das Modell der Tier-1-Zulieferer.
- FTTI (Fault Tolerant Time Interval): die Zeit zwischen dem Auftreten eines Fehlers und dem Schaden. Fehlererkennung und Übergang in den sicheren Zustand müssen in dieses Fenster passen.
- Hardware-Metriken: das Automobil misst keinen PFD, sondern Deckungsraten und eine stündliche Wahrscheinlichkeit.
| Metrik | ASIL B | ASIL C | ASIL D |
|---|---|---|---|
| SPFM (abgedeckte Einzelfehler) | ≥ 90 % | ≥ 97 % | ≥ 99 % |
| LFM (abgedeckte latente Fehler) | ≥ 60 % | ≥ 80 % | ≥ 90 % |
| PMHF (gefahrbringender Ausfall/Stunde) | < 10⁻⁷ | < 10⁻⁷ | < 10⁻⁸ |
Die Rechner Risikominderung zu SIL und Ausfallrate zu MTBF bleiben nützlich für Größenordnungen.
SOTIF (ISO 21448): wenn die Funktion „läuft”, aber nicht genügt
ISO 26262 behandelt Ausfälle: eine Komponente versagt. Doch ADAS und autonomes Fahren werfen ein anderes Problem auf: das System arbeitet genau wie ausgelegt, und die Auslegung selbst ist unzureichend — eine Kamera, die einen Fußgänger im Gegenlicht nicht erkennt, ein durch eine Reflexion getäuschtes Radar. Kein Ausfall, aber eine Gefahr.
Das ist Gegenstand von SOTIF — ISO 21448 (Safety Of The Intended Functionality): die Sicherheit der beabsichtigten Funktion gegenüber Leistungsgrenzen und vorhersehbarem Fehlgebrauch. Für ein autonomes Fahrzeug ist SOTIF mindestens so kritisch wie ISO 26262: man kann nicht mehr alles auf einen Ausfall zurückführen. Die beiden Normen ergänzen sich.
Cybersicherheit: ISO/SAE 21434
Ein vernetztes Fahrzeug ist angreifbar, und ein Angriff kann zur physischen Gefahr werden. ISO/SAE 21434 ist das Cybersicherheits-Gegenstück zu ISO 26262 — Road vehicles — Cybersecurity engineering. Funktionale Sicherheit, SOTIF und Cybersicherheit bilden nun ein von der Fahrzeugentwicklung untrennbares Triptychon.
Die Chancen und Risiken
Der menschliche Einsatz ist direkt: Bremse, Lenkung, ADAS — der Ausfall misst sich in Leben.
Der industrielle Einsatz ist die Stückzahl: ein systematischer Fehler repliziert sich über Millionen Fahrzeuge; ein Rückruf kostet Hunderte Millionen. Prozessdisziplin ist kein Luxus, sondern eine Versicherung.
Der regulatorische Einsatz steigt mit der Autonomie: Typgenehmigung, Haftung und ein sich verschärfender Rahmen (einschließlich des EU AI Act für KI-Funktionen).
Die zu vermeidenden Fehler
| Fehler | Warum man ihn macht | Warum er gefährlich ist |
|---|---|---|
| Glauben, ISO 26262 decke ADAS allein ab | Es ist DIE Automobil-Sicherheitsnorm | 26262 behandelt Ausfälle, nicht funktionale Unzulänglichkeit — man braucht SOTIF (21448) |
| In ASIL dekomponieren ohne Unabhängigkeitsnachweis | Kosten eines ASIL D senken | Ohne echte Unabhängigkeit ruiniert eine gemeinsame Ursache die Dekomposition |
| Ein SEooC ohne Prüfung der Annahmen nutzen | Eine „bereits sichere” Komponente wiederverwenden | Die Nutzungsannahmen des Zulieferers gelten in Ihrem Fahrzeug vielleicht nicht |
| Das FTTI vergessen | Den Fehler erkennen… zu spät | Eine Erkennung langsamer als das Toleranzfenster schützt nicht |
| Sicherheit und Cybersicherheit trennen | Zwei Teams, zwei Welten | Eine Cyberlücke kann genau die Gefahr auslösen, die die funktionale Sicherheit verhindern sollte |
Die gute Praxis
Eine sorgfältige HARA je Situation durchführen und den ASIL ableiten — ihn nicht aus Gewohnheit „wählen”.
ISO 26262 (Ausfälle), SOTIF (funktionale Unzulänglichkeit) und ISO/SAE 21434 (Cyber) gemeinsam behandeln, besonders für ADAS und Autonomie.
Jede ASIL-Dekomposition durch nachgewiesene Unabhängigkeit begründen.
Die Annahmen eines SEooC im realen Integrationskontext prüfen.
Fehlererkennung und Übergang in den sicheren Zustand so auslegen, dass sie ins FTTI passen.
Einen begründeten Safety Case dokumentieren und die Bestätigungsmaßnahmen mit der vom ASIL geforderten Unabhängigkeit organisieren.
Review-Checkliste
- Item-Definition klar und abgegrenzt
- HARA dokumentiert (S, E, C) und ASIL je Funktion bestimmt
- Funktionales, dann technisches Sicherheitskonzept nachverfolgt
- ASIL-Dekomposition durch nachgewiesene Unabhängigkeit begründet
- SEooC-Annahmen auf Integrationsebene geprüft
- Hardware-Metriken erreicht (SPFM, LFM, PMHF) für den Ziel-ASIL
- FTTI durch Erkennung + sicheren Zustand abgedeckt
- SOTIF (ISO 21448) für ADAS-/autonome Funktionen behandelt
- Cybersicherheit (ISO/SAE 21434) integriert
- Safety Case und Bestätigungsmaßnahmen mit angemessener Unabhängigkeit
Weiterführend
- Die Seite ISO 26262 und die Basisnorm IEC 61508.
- Die anderen Varianten: IEC 61511 — Prozess und IEC 62061 & ISO 13849 — Maschinen, auf dem Fundament IEC 61508.
- Die Rechner Risikominderung zu SIL und Ausfallrate zu MTBF.
Eine letzte Sache. Das Automobil trieb die funktionale Sicherheit in den Massenmaßstab und zwang sie dann, sich zu übertreffen: mit der Autonomie genügt es nicht mehr nachzuweisen, dass ein System nicht ausfällt — man muss nachweisen, dass es, selbst perfekt arbeitend, das Richtige tut. Das ist der ganze Sprung von ISO 26262 zu SOTIF und die eigentliche Herausforderung des Jahrzehnts.