# ISO 26262 — Funktionale Sicherheit von Straßenfahrzeugen

> ISO 26262 ist die automobiltechnische Adaption von IEC 61508. Sie definiert einen vollständigen Sicherheitslebenszyklus für elektrische und elektronische Systeme in Straßenfahrzeugen unter Verwendung von ASIL (Automotive Safety Integrity Level) A-D anstelle von SIL. Für OEMs und Tier-1-Lieferanten weltweit verbindlich.

- Quelle : https://industryhub.site/de/standards/iso-26262
- Herausgeber : ISO
- Familie : Funktionssicherheit
- Status : current
- Erstveröffentlichung : 2011
- Letzte Revision : 2018 (Ausgabe 2)
- Ausgabe : 2
- Nächste Revision : Ausgabe 3 in aktiver Entwicklung
- Zugang : Kostenpflichtig (ISO-Shop — ~1000 CHF für alle 12 Teile)
- Sprache : Deutsch

## Dokumentstruktur

- **ISO 26262-1** — Vokabular : Gemeinsame Definitionen, die in allen Teilen verwendet werden.
- **ISO 26262-2** — Management der funktionalen Sicherheit : Organisatorische Anforderungen, Projektmanagement, Lieferantenmanagement, Bestätigungsmaßnahmen (Sicherheitsaudit, Beurteilung).
- **ISO 26262-3** — Konzeptphase : Item-Definition, Gefahrenanalyse und Risikobewertung (HARA), ASIL-Bestimmung, Funktionales Sicherheitskonzept.
- **ISO 26262-4** — Produktentwicklung auf Systemebene : Technisches Sicherheitskonzept, sicherheitsbezogene Anforderungen auf Systemebene, Integration und Tests.
- **ISO 26262-5** — Produktentwicklung auf Hardware-Ebene : Hardware-Metriken (SPFM, LFM, PMHF), Analyse zufälliger Hardware-Fehler, ASIL-Dekompositionsregeln.
- **ISO 26262-6** — Produktentwicklung auf Software-Ebene : Software-Sicherheitslebenszyklus, MISRA C, AUTOSAR-Sicherheit, V-Modell, ASIL-abhängige Technikauswahl.
- **ISO 26262-7** — Produktion, Betrieb, Service und Außerbetriebnahme : Fertigung, Feldüberwachung, Post-Produktions-Updates (OTA), Außerbetriebnahme.
- **ISO 26262-8** — Unterstützende Prozesse : Konfigurationsmanagement, Änderungsmanagement, Qualifizierung von Software-Tools, Qualifizierung vorEntwickelter Software-Komponenten (SEooC, Safety Element out of Context).
- **ISO 26262-9** — ASIL-orientierte und sicherheitsorientierte Analysen : ASIL-Dekompositionsregeln, Analysen abhängiger Ausfälle, Sicherheitsanalysen (FTA, FMEA).
- **ISO 26262-10** — Leitfaden zu ISO 26262 : Informativ — klärt häufige Anwendungsfragen.
- **ISO 26262-11** — Leitlinien zur Anwendung bei Halbleitern : Spezifisch für IC-Hersteller (Infineon, NXP, Renesas), die SoCs und MCUs für die Automobilbranche produzieren.
- **ISO 26262-12** — Anpassung für Motorräder : Variante von ISO 26262 für Zweiräder.

## Schlüsselbegriffe

- **Automotive Safety Integrity Level (ASIL)** : Diskretes Niveau QM (keine Sicherheitsrelevanz), A, B, C, D (höchstes). Durch die Gefahrenanalyse und Risikobewertung (HARA) anhand von drei Parametern bestimmt: Schwere (S), Exposition (E), Beherrschbarkeit (C).
- **Gefahrenanalyse und Risikobewertung (HARA)** : Die ISO-26262-Methode zur ASIL-Bestimmung. Für jedes Betriebsszenario × Gefährdung: S0-S3 × E0-E4 × C0-C3 bewerten → ASIL QM/A/B/C/D gemäß HARA-Tabelle (Teil 3 Anhang).
- **Item** : ISO-26262-Analyseeinheit. Ein 'Item' ist ein System oder eine Anordnung von Systemen, die eine Funktion auf Fahrzeugebene implementieren (z.B. 'Elektrische Servolenkung EPS', 'ADAS Frontkollisionswarnung'). Die HARA wird auf Item-Ebene durchgeführt.
- **Sicherheitsziel** : Übergeordnete sicherheitsbezogene Anforderung, die aus einer Gefährdung über die HARA abgeleitet wird. Beispiel: 'Unbeabsichtigte starke Beschleunigung im Fahrbetrieb verhindern' mit ASIL D. Das funktionale Sicherheitskonzept verfeinert es zu Anforderungen.
- **ASIL-Dekomposition** : Regel, die es erlaubt, eine hohe ASIL-Anforderung auf redundante unabhängige Elemente aufzuteilen. ASIL D = ASIL B(D) + ASIL B(D), oder ASIL C(D) + ASIL A(D), oder ASIL D(D) + QM(D). Das 'D' in Klammern zeigt die Integrität der ursprünglichen Anforderung, die erhalten werden muss. Dient zur Kostenreduzierung bei einkanaligen ASIL-D-Implementierungen.
- **Single Point Fault Metric (SPFM)** : ISO-26262-5-Hardware-Metrik. Anteil der Hardware-Fehler, die KEINE Einzelpunktfehler sind (d.h. entweder erkannt oder nicht sicherheitsrelevant). ASIL D erfordert SPFM ≥ 99% gemäß Tabelle 8.
- **Latent Fault Metric (LFM)** : Anteil latenter Fehler (nicht erkannte Doppelpunktfehler), die durch Diagnosen oder Sicherheitsmechanismen abgedeckt sind. ASIL D erfordert LFM ≥ 90%.
- **Probabilistic Metric for Hardware Failures (PMHF)** : Wahrscheinlichkeit, das Sicherheitsziel pro Stunde durch zufällige Hardware-Fehler zu verletzen. ASIL D erfordert PMHF < 10⁻⁸ /h (d.h. < 10 FIT). Äquivalent zu PFH in IEC 61508.
- **Safety Element out of Context (SEooC)** : Ein sicherheitsrelevantes Bauteil (Mikrocontroller, Software-Stack, Sensormodul), das von einem Lieferanten entwickelt wurde, OHNE den endgültigen Fahrzeugintegrationskontext zu kennen. Für einen ASIL-Anspruch unter angenommenen Anwendungsfällen qualifiziert (Sicherheitshandbuch). Häufig für AUTOSAR-Stacks, MCU-Peripherie usw.

## Warum ASIL statt SIL?

Die Automobilindustrie hat IEC 61508 angepasst, weil der ursprüngliche Rahmen nicht gut zu Fahrszenarien passte:

**Anderes Expositionsmodell**. Der PFD von IEC 61508 setzt einen Niedriganforderungsmodus voraus (ein Prozessauslöser tritt selten auf, System im Bereitschaftszustand). Das Brake-by-Wire-System eines Fahrzeugs ist täglich stundenlang in Betrieb. Die Metrik **PMHF** (Probabilistic Metric for Hardware Failures) ersetzt PFD und wird kontinuierlich angewendet.

**Andere Risikoparameter**. Prozessanlagen bewerten Risiken nach Schwere (Personen/Umwelt), Anforderungshäufigkeit und Schutzschichten. Fahrzeuge bewerten nach Schwere (Passagierverletzung), Exposition (wie oft die Betriebssituation auftritt — täglicher Pendlerweg vs. einmal im Leben) und Beherrschbarkeit (kann der Fahrer reagieren und die Gefährdung vermeiden?). Andere Mathematik.

**Andere Industriestruktur**. Prozessanlagen sind maßgefertigt: Jede Raffinerie ist einzigartig. Fahrzeuge werden in Serie gefertigt: Ein Tier-1-Lieferant versendet Millionen identischer ECUs. ISO 26262 bezieht die Lieferkette explizit ein (DIA — Development Interface Agreement) und das SEooC-Konzept für "einmal qualifizieren, vielfach verwenden".

## ASIL-Bestimmungsablauf (Teil 3)

```
1. Item definieren                    z.B. 'Elektrische Servolenkung EPS'
2. Gefährdungen identifizieren         z.B. 'Unbeabsichtigtes Lenkdrehmoment'
3. Für jedes Szenario × Gefährdung:
   - Schwere       S0..S3          S0 keine Verletzungen, S3 lebensbedrohlich
   - Exposition    E0..E4          E0 nie, E4 hohe Wahrscheinlichkeit täglich
   - Beherrschbarkeit C0..C3       C0 allgemein beherrschbar, C3 schwierig
4. ASIL-Tabelle nachschlagen          S × E × C → QM, A, B, C oder D
5. Sicherheitsziel auf dieses ASIL setzen
```

Eine häufige Gefährdung (E4) mit schwerer Verletzung (S3) und begrenzter Beherrschbarkeit (C3) → ASIL D, das höchste. Die meisten Fahrdynamik-Sicherheitsfunktionen (Bremsen, Lenken, Antriebsstrang-Drehmoment) landen bei ASIL C oder D.

## ASIL ist nicht SIL — Vergleich

| Aspekt | ASIL D (höchstes) | SIL 4 (höchstes IEC 61508) |
|---|---|---|
| Treiber | Automotive Betriebssituationen | Generisch-industriell mit hohem Risiko |
| Metrik | PMHF < 10 FIT (kontinuierlich) | PFD < 10⁻⁴ (Niedriganforderung) oder PFH < 10 FIT (Hochanforderung) |
| Hardware-Metriken | SPFM ≥ 99%, LFM ≥ 90% | SFF + HFT gemäß Typ-A/B-Tabellen |
| Software-Techniken | MISRA C, AUTOSAR safety SW | IEC 61508-3 Tabellen A.x / B.x |
| Dekomposition | Ja, explizit (D = B(D)+B(D) usw.) | Ja, aber weniger vorgeschrieben |
| Tool-Qualifizierung | Ja (Teil 8) | Ja (Teil 3 Klausel 7.4.4) |

## Einfluss auf angrenzende Industrien

ISO 26262 wurde zum Modell für die Anpassung von IEC 61508 an andere Bereiche:
- **ISO 25119** — Traktoren und Land- / Baumaschinen (AgPL A-E statt ASIL)
- **EN 50128/50129/50126** — Eisenbahn (THR-Rahmen, leicht abweichende Metriken)
- **DO-178C / DO-254** — Luft- und Raumfahrt Software / Hardware (DAL A-E statt ASIL)
- **IEC 61513** — Nukleare Instrumentierung (Tiefenstaffelung)
- **IEC 62304** — Medizingeräte-Software (Klasse A/B/C)

ISO 26262 ist auch die **zertifizierungsintensivste** der funktionalen Sicherheitsnormen. Die Branche hat sich auf Zertifizierungen von TÜV Süd, TÜV Rheinland und exida als De-facto-Beschäftigungsbasis für Automotive-FS-Rollen geeinigt (ähnlich dem TÜV-FS-Ingenieur für IEC 61511).

## Wohin es geht (Ausgabe 3)

Das Komitee ISO/TC 22/SC 32/WG 8 arbeitet an Ausgabe 3 mit folgenden Schwerpunkten:
- **SOTIF**-Integration (ISO 21448) — Safety of the Intended Functionality deckt Leistungsgrenzen der Wahrnehmung (Kameras, Radar) ab. Komplementär zu 26262, aber eigenständig.
- **KI/ML-Sicherheit** — Leitlinien für ML-Komponenten in der Automobilbranche (vgl. ISO/PAS 8800)
- **OTA-Updates** — Sicherheitsauswirkungen von Remote-Software-Updates managen
- **Cybersicherheits-Koordination** mit **ISO/SAE 21434** (Automotive-Cybersec) — Integrationspunkte klären
- **Höhere Autonomie** — Konzepte für SAE L3+ anpassen, wo der Fahrer nicht mehr als Rückfall-Beherrschbarkeitsebene angenommen werden kann

## Betroffene Branchen

Personenkraftwagen (PKW, SUV, Elektrofahrzeuge), Leichte Nutzfahrzeuge, LKW und Busse, Motorräder (Teil 12), Angrenzend geländegängig: Landwirtschaft und Bau (ISO-25119-Derivat), Halbleiter- / MCU-Hersteller für die Automobilbranche (Teil 11)

## Referenzen & Vertiefung

- [ISO 26262 (alle 12 Teile) — offiziell](https://www.iso.org/standard/68383.html)
- [AUTOSAR — automobiltechnische Software-Architektur (kostenlose Spezifikation)](https://www.autosar.org/standards)
- [TÜV Süd — ISO-26262-Ingenieur-/Manager-Schulung](https://www.tuvsud.com/en/themes/automotive/iso-26262)
- [exida — ISO-26262-White-Papers](https://www.exida.com/Library)