Functional Safety für Drive-by-Wire: Wenn die strengste Anforderung den Maßstab setzt

Für NX NextMotion folgt Arnold NextG dabei einem klaren Prinzip: Bewerten unterschiedliche Normen dasselbe Sicherheitsziel unterschiedlich streng, setzt die strengste Anforderung den Maßstab. Das ist ein zentraler Baustein von Safety-by-Wire®.

Am Anfang steht die Gefährdung

Bevor über ASIL D, SIL oder andere Sicherheitslevel gesprochen werden kann, muss zunächst geklärt werden, welches Risiko eine Fehlfunktion überhaupt verursacht. In der Automotive-Welt erfolgt dies über die Gefährdungsanalyse und Risikobewertung – die Hazard Analysis and Risk Assessment, kurz HARA. Dabei werden konkrete Betriebssituationen mit möglichen Fehlfunktionen kombiniert.

Was bedeutet beispielsweise ein unbeabsichtigter Lenkeingriff bei hoher Geschwindigkeit? Welche Folgen hat der Verlust der Bremsfunktion im Gefälle? Was passiert bei ungewolltem Vortrieb während eines Rangiervorgangs? Bewertet werden mögliche Schadensschwere, Exposition und – je nach Normenwelt – die Möglichkeit, die Situation noch zu kontrollieren. Aus der Risikobewertung werden schließlich Sicherheitsziele abgeleitet. Für Drive-by-Wire ist dieser Schritt besonders relevant. Denn Lenken, Bremsen und Antrieb bilden die primären Funktionen, über die Fahrzeugbewegung unmittelbar kontrolliert wird.

Dasselbe Grundrisiko – unterschiedliche Sprachen

Die grundlegende Logik funktionaler Sicherheit findet sich über verschiedene Fahrzeug- und Maschinendomänen hinweg. Die jeweiligen Risikomodelle unterscheiden sich jedoch. Die ISO 26262 verwendet für Straßenfahrzeuge Automotive Safety Integrity Levels (ASIL). Die IEC 61508 arbeitet mit Safety Integrity Levels (SIL). In der Land- und Forstwirtschaft kommen über die ISO 25119 Agricultural Performance Levels (AgPL) zum Einsatz, für Erdbaumaschinen Machine Performance Levels (MPL) nach ISO 19014 und in der Maschinensicherheit Performance Levels (PL) nach ISO 13849. Diese Einstufungen lassen sich nicht einfach gleichsetzen.

Ein ASIL D ist nicht automatisch ein SIL 4, ebenso wenig sind PL e und AgPL e trotz gleicher Buchstaben identisch. Jede Skala enthält Annahmen aus ihrer jeweiligen Anwendungswelt – beispielsweise zu Geschwindigkeit, Umgebung, Exposition oder Bedienerrolle. Für eine Plattform, die über Domänengrenzen hinweg eingesetzt werden soll, entsteht daraus eine zentrale Entwicklungsaufgabe: Die Anforderungen müssen vergleichbar gemacht werden, ohne ihre jeweilige normative Bedeutung zu verlieren.

Von fünf Bewertungen zu einem Zielkatalog

Genau hier setzt die Safety-by-Wire®-Strategie von Arnold NextG an. Die Sicherheitsziele aus den relevanten Analysen werden normübergreifend konsolidiert. Wo die jeweiligen Normen entsprechende Zuordnungen vorsehen, werden unterschiedliche Risikometriken auf eine gemeinsame Bewertungsbasis abgebildet. Für NX NextMotion bildet die ISO 26262 dabei die Leitnorm der Entwicklung.

Taucht dasselbe Sicherheitsziel in mehreren Einsatzdomänen auf, kann seine Bewertung unterschiedlich ausfallen. Für diesen Fall gilt das Prinzip der strengsten Anforderung. Kein Mittelwert, keine Auswahl nach Anwendung: Die höchste relevante Anforderung wird zum Maßstab für die Plattform. Für die primären Bewegungsfunktionen führt dieser Ansatz bis zur höchsten Einstufung der Leitnorm: ASIL D.

Auf Systemebene entstehen daraus Sicherheitsziele wie die Vermeidung unbeabsichtigter Lenkbewegungen, des Verlusts der Bremsfunktion oder ungewollten Vortriebs. Hinzu kommen Sicherheitsziele für flankierende Funktionen, beispielsweise für die Absicherung des Fahrzeugstillstands oder die Signalisierung. Das Ergebnis ist kein Nebeneinander verschiedener Safety-Kataloge, sondern eine gemeinsame Basis für die weitere Systementwicklung.

Safety-Ziele müssen Architektur bestimmen – nicht umgekehrt

Für OEMs, Tier-1-Zulieferer und Systemintegratoren ist dabei vor allem der Zeitpunkt entscheidend. Ein Sicherheitszielkatalog entfaltet seinen Wert nicht, wenn er nach einer bereits entwickelten Architektur zusammengestellt wird. Er muss vor wesentlichen Architekturentscheidungen stehen. Denn aus den Sicherheitszielen werden technische Anforderungen an Hardware und Software abgeleitet: Welche Funktionen müssen redundant vorhanden sein? Welche Fehler müssen diagnostiziert werden? Welche Reaktionszeiten gelten? Wie muss sich das System nach einem Fehler verhalten?

Bei NX NextMotion stand der konsolidierte Sicherheitszielkatalog deshalb am Anfang der Plattformentwicklung. Entscheidungen zu Redundanz, Diagnose und Degradationsverhalten lassen sich damit auf definierte Sicherheitsziele zurückführen. Gerade für eine Drive-by-Wire-basierte Control Layer ist diese Rückverfolgbarkeit entscheidend: Sie verbindet die ursprüngliche Gefährdungsanalyse mit der technischen Umsetzung und schließlich mit dem Safety Case.

Was OEMs und Integratoren prüfen sollten

Ein ASIL- oder SIL-Claim allein sagt deshalb noch wenig darüber aus, ob ein System zur konkreten Anwendung passt. Entscheidend ist unter anderem, auf welchen Betriebssituationen und Annahmen die zugrunde liegende Gefährdungsanalyse basiert. Decken diese Szenarien den tatsächlichen Einsatz des Fahrzeugs ab? Welche Annahmen wurden zur Kontrollierbarkeit getroffen? Gelten diese auch noch, wenn kein Fahrer im Fahrzeug sitzt?

Ebenso relevant ist die Frage, ob die Sicherheitsziele ausschließlich für eine Fahrzeugdomäne formuliert wurden oder bereits weitere Einsatzfelder berücksichtigen. Für eine skalierbare Drive-by-Wire-Plattform wird Functional Safety damit nicht nur zur Frage des erreichten Sicherheitslevels. Entscheidend ist die Sicherheitsargumentation dahinter.

Fazit: Ein Zielkatalog statt fünf Parallelwelten

Unterschiedliche Fahrzeugdomänen sprechen unterschiedliche Sprachen der funktionalen Sicherheit. Für eine Drive-by-Wire-Plattform, die mehrere dieser Domänen adressiert, müssen daraus jedoch eindeutige technische Anforderungen entstehen. Safety-by-Wire® führt die relevanten Sicherheitsziele deshalb in einer gemeinsamen Sicherheitszielkatalog zusammen. Wo unterschiedliche Bewertungen aufeinandertreffen, setzt die strengste Anforderung den Maßstab.

Damit entsteht die Grundlage für eine multi-redundante, fail-operational Drive-by-Wire-Architektur, deren Sicherheitsanforderungen nicht erst für das nächste Fahrzeugprojekt definiert werden, sondern bereits in der Plattform verankert sind. Denn sichere Fahrzeugbewegung beginnt nicht beim Aktuator. Sie beginnt bei der Frage, welche Gefahr beherrscht werden muss – und welche Architektur dafür notwendig ist.

WE CONTROL WHAT MOVES