ISO 26262-1 Vokabular
Gemeinsame Definitionen, die in allen Teilen verwendet werden.
ISO 26262
Funktionale Sicherheit von Straßenfahrzeugen
ISO 26262 ist die automobiltechnische Adaption von IEC 61508. Sie definiert einen vollständigen Sicherheitslebenszyklus für elektrische und elektronische Systeme in Straßenfahrzeugen unter Verwendung von ASIL (Automotive Safety Integrity Level) A-D anstelle von SIL. Für OEMs und Tier-1-Lieferanten weltweit verbindlich.
Dokumentstruktur
ISO 26262-2 Management der funktionalen Sicherheit
Organisatorische Anforderungen, Projektmanagement, Lieferantenmanagement, Bestätigungsmaßnahmen (Sicherheitsaudit, Beurteilung).
ISO 26262-3 Konzeptphase
Item-Definition, Gefahrenanalyse und Risikobewertung (HARA), ASIL-Bestimmung, Funktionales Sicherheitskonzept.
ISO 26262-4 Produktentwicklung auf Systemebene
Technisches Sicherheitskonzept, sicherheitsbezogene Anforderungen auf Systemebene, Integration und Tests.
ISO 26262-5 Produktentwicklung auf Hardware-Ebene
Hardware-Metriken (SPFM, LFM, PMHF), Analyse zufälliger Hardware-Fehler, ASIL-Dekompositionsregeln.
ISO 26262-6 Produktentwicklung auf Software-Ebene
Software-Sicherheitslebenszyklus, MISRA C, AUTOSAR-Sicherheit, V-Modell, ASIL-abhängige Technikauswahl.
ISO 26262-7 Produktion, Betrieb, Service und Außerbetriebnahme
Fertigung, Feldüberwachung, Post-Produktions-Updates (OTA), Außerbetriebnahme.
ISO 26262-8 Unterstützende Prozesse
Konfigurationsmanagement, Änderungsmanagement, Qualifizierung von Software-Tools, Qualifizierung vorEntwickelter Software-Komponenten (SEooC, Safety Element out of Context).
ISO 26262-9 ASIL-orientierte und sicherheitsorientierte Analysen
ASIL-Dekompositionsregeln, Analysen abhängiger Ausfälle, Sicherheitsanalysen (FTA, FMEA).
ISO 26262-10 Leitfaden zu ISO 26262
Informativ — klärt häufige Anwendungsfragen.
ISO 26262-11 Leitlinien zur Anwendung bei Halbleitern
Spezifisch für IC-Hersteller (Infineon, NXP, Renesas), die SoCs und MCUs für die Automobilbranche produzieren.
ISO 26262-12 Anpassung für Motorräder
Variante von ISO 26262 für Zweiräder.
Schlüsselbegriffe
- Automotive Safety Integrity Level
(ASIL) - Diskretes Niveau QM (keine Sicherheitsrelevanz), A, B, C, D (höchstes). Durch die Gefahrenanalyse und Risikobewertung (HARA) anhand von drei Parametern bestimmt: Schwere (S), Exposition (E), Beherrschbarkeit (C).
- Gefahrenanalyse und Risikobewertung
(HARA) - Die ISO-26262-Methode zur ASIL-Bestimmung. Für jedes Betriebsszenario × Gefährdung: S0-S3 × E0-E4 × C0-C3 bewerten → ASIL QM/A/B/C/D gemäß HARA-Tabelle (Teil 3 Anhang).
- Item
- ISO-26262-Analyseeinheit. Ein 'Item' ist ein System oder eine Anordnung von Systemen, die eine Funktion auf Fahrzeugebene implementieren (z.B. 'Elektrische Servolenkung EPS', 'ADAS Frontkollisionswarnung'). Die HARA wird auf Item-Ebene durchgeführt.
- Sicherheitsziel
- Übergeordnete sicherheitsbezogene Anforderung, die aus einer Gefährdung über die HARA abgeleitet wird. Beispiel: 'Unbeabsichtigte starke Beschleunigung im Fahrbetrieb verhindern' mit ASIL D. Das funktionale Sicherheitskonzept verfeinert es zu Anforderungen.
- ASIL-Dekomposition
- Regel, die es erlaubt, eine hohe ASIL-Anforderung auf redundante unabhängige Elemente aufzuteilen. ASIL D = ASIL B(D) + ASIL B(D), oder ASIL C(D) + ASIL A(D), oder ASIL D(D) + QM(D). Das 'D' in Klammern zeigt die Integrität der ursprünglichen Anforderung, die erhalten werden muss. Dient zur Kostenreduzierung bei einkanaligen ASIL-D-Implementierungen.
- Single Point Fault Metric
(SPFM) - ISO-26262-5-Hardware-Metrik. Anteil der Hardware-Fehler, die KEINE Einzelpunktfehler sind (d.h. entweder erkannt oder nicht sicherheitsrelevant). ASIL D erfordert SPFM ≥ 99% gemäß Tabelle 8.
- Latent Fault Metric
(LFM) - Anteil latenter Fehler (nicht erkannte Doppelpunktfehler), die durch Diagnosen oder Sicherheitsmechanismen abgedeckt sind. ASIL D erfordert LFM ≥ 90%.
- Probabilistic Metric for Hardware Failures
(PMHF) - Wahrscheinlichkeit, das Sicherheitsziel pro Stunde durch zufällige Hardware-Fehler zu verletzen. ASIL D erfordert PMHF < 10⁻⁸ /h (d.h. < 10 FIT). Äquivalent zu PFH in IEC 61508.
- Safety Element out of Context
(SEooC) - Ein sicherheitsrelevantes Bauteil (Mikrocontroller, Software-Stack, Sensormodul), das von einem Lieferanten entwickelt wurde, OHNE den endgültigen Fahrzeugintegrationskontext zu kennen. Für einen ASIL-Anspruch unter angenommenen Anwendungsfällen qualifiziert (Sicherheitshandbuch). Häufig für AUTOSAR-Stacks, MCU-Peripherie usw.
Notes & guidance
Warum ASIL statt SIL?
Die Automobilindustrie hat IEC 61508 angepasst, weil der ursprüngliche Rahmen nicht gut zu Fahrszenarien passte:
Anderes Expositionsmodell. Der PFD von IEC 61508 setzt einen Niedriganforderungsmodus voraus (ein Prozessauslöser tritt selten auf, System im Bereitschaftszustand). Das Brake-by-Wire-System eines Fahrzeugs ist täglich stundenlang in Betrieb. Die Metrik PMHF (Probabilistic Metric for Hardware Failures) ersetzt PFD und wird kontinuierlich angewendet.
Andere Risikoparameter. Prozessanlagen bewerten Risiken nach Schwere (Personen/Umwelt), Anforderungshäufigkeit und Schutzschichten. Fahrzeuge bewerten nach Schwere (Passagierverletzung), Exposition (wie oft die Betriebssituation auftritt — täglicher Pendlerweg vs. einmal im Leben) und Beherrschbarkeit (kann der Fahrer reagieren und die Gefährdung vermeiden?). Andere Mathematik.
Andere Industriestruktur. Prozessanlagen sind maßgefertigt: Jede Raffinerie ist einzigartig. Fahrzeuge werden in Serie gefertigt: Ein Tier-1-Lieferant versendet Millionen identischer ECUs. ISO 26262 bezieht die Lieferkette explizit ein (DIA — Development Interface Agreement) und das SEooC-Konzept für “einmal qualifizieren, vielfach verwenden”.
ASIL-Bestimmungsablauf (Teil 3)
1. Item definieren z.B. 'Elektrische Servolenkung EPS'
2. Gefährdungen identifizieren z.B. 'Unbeabsichtigtes Lenkdrehmoment'
3. Für jedes Szenario × Gefährdung:
- Schwere S0..S3 S0 keine Verletzungen, S3 lebensbedrohlich
- Exposition E0..E4 E0 nie, E4 hohe Wahrscheinlichkeit täglich
- Beherrschbarkeit C0..C3 C0 allgemein beherrschbar, C3 schwierig
4. ASIL-Tabelle nachschlagen S × E × C → QM, A, B, C oder D
5. Sicherheitsziel auf dieses ASIL setzen
Eine häufige Gefährdung (E4) mit schwerer Verletzung (S3) und begrenzter Beherrschbarkeit (C3) → ASIL D, das höchste. Die meisten Fahrdynamik-Sicherheitsfunktionen (Bremsen, Lenken, Antriebsstrang-Drehmoment) landen bei ASIL C oder D.
ASIL ist nicht SIL — Vergleich
| Aspekt | ASIL D (höchstes) | SIL 4 (höchstes IEC 61508) |
|---|---|---|
| Treiber | Automotive Betriebssituationen | Generisch-industriell mit hohem Risiko |
| Metrik | PMHF < 10 FIT (kontinuierlich) | PFD < 10⁻⁴ (Niedriganforderung) oder PFH < 10 FIT (Hochanforderung) |
| Hardware-Metriken | SPFM ≥ 99%, LFM ≥ 90% | SFF + HFT gemäß Typ-A/B-Tabellen |
| Software-Techniken | MISRA C, AUTOSAR safety SW | IEC 61508-3 Tabellen A.x / B.x |
| Dekomposition | Ja, explizit (D = B(D)+B(D) usw.) | Ja, aber weniger vorgeschrieben |
| Tool-Qualifizierung | Ja (Teil 8) | Ja (Teil 3 Klausel 7.4.4) |
Einfluss auf angrenzende Industrien
ISO 26262 wurde zum Modell für die Anpassung von IEC 61508 an andere Bereiche:
- ISO 25119 — Traktoren und Land- / Baumaschinen (AgPL A-E statt ASIL)
- EN 50128/50129/50126 — Eisenbahn (THR-Rahmen, leicht abweichende Metriken)
- DO-178C / DO-254 — Luft- und Raumfahrt Software / Hardware (DAL A-E statt ASIL)
- IEC 61513 — Nukleare Instrumentierung (Tiefenstaffelung)
- IEC 62304 — Medizingeräte-Software (Klasse A/B/C)
ISO 26262 ist auch die zertifizierungsintensivste der funktionalen Sicherheitsnormen. Die Branche hat sich auf Zertifizierungen von TÜV Süd, TÜV Rheinland und exida als De-facto-Beschäftigungsbasis für Automotive-FS-Rollen geeinigt (ähnlich dem TÜV-FS-Ingenieur für IEC 61511).
Wohin es geht (Ausgabe 3)
Das Komitee ISO/TC 22/SC 32/WG 8 arbeitet an Ausgabe 3 mit folgenden Schwerpunkten:
- SOTIF-Integration (ISO 21448) — Safety of the Intended Functionality deckt Leistungsgrenzen der Wahrnehmung (Kameras, Radar) ab. Komplementär zu 26262, aber eigenständig.
- KI/ML-Sicherheit — Leitlinien für ML-Komponenten in der Automobilbranche (vgl. ISO/PAS 8800)
- OTA-Updates — Sicherheitsauswirkungen von Remote-Software-Updates managen
- Cybersicherheits-Koordination mit ISO/SAE 21434 (Automotive-Cybersec) — Integrationspunkte klären
- Höhere Autonomie — Konzepte für SAE L3+ anpassen, wo der Fahrer nicht mehr als Rückfall-Beherrschbarkeitsebene angenommen werden kann
Betroffene Branchen
- Personenkraftwagen (PKW, SUV, Elektrofahrzeuge)
- Leichte Nutzfahrzeuge
- LKW und Busse
- Motorräder (Teil 12)
- Angrenzend geländegängig: Landwirtschaft und Bau (ISO-25119-Derivat)
- Halbleiter- / MCU-Hersteller für die Automobilbranche (Teil 11)