ISO 26262 Norm zur funtionalen Sicherheit von Straßenfahrzeugen

Die ISO 26262 wird als Norm zur funktionalen Sicherheit von Straßenfahrzeugen die IEC 61508 für die Automobilindustrie ablösen. Dieser Beitrag ordnet die Norm zeitlich und rechtlich ein, gibt einen groben Überblick über ihre Struktur und Inhalte.

Anbieter zum Thema

Valeo GmbH

invenio AG

PIA AUTOMATION HOLDING GMBH

Bei der ISO 26262, Functional Safety – Road vehicles, handelt es sich um eine derzeit entstehende Norm zur funktionalen Sicherheit von Straßenfahrzeugen. Seit Juli 2009 liegt sie als „Draft International Standard (DIS)“ vor. Ihre Veröffentlichung als weltweit gültiger internationaler Standard ist Mitte 2011 geplant. Ab diesem Zeitpunkt löst sie als branchenspezifische Ableitung die IEC 61508 als derzeit formaljuristisch gültige Norm für Straßenfahrzeuge ab.

Der Automobilbranche steht damit eine anwendbare Norm zur funktionalen Sicherheit zur Verfügung, die im Gegensatz zur IEC 61508 unter Beteiligung der Automobilindustrie entstanden ist und deren speziellen Belange berücksichtigt.

Dies sind beispielsweise:

• der für die Automobilbranche typische Lebenszyklus, insbesondere die durchgängige Verifikation bzw. Validation,
• die Schnittstellen bzw. die Zuweisung der Sicherheitsverantwortung bei verteilter Entwicklung teilweise über mehrere Zuliefererebenen hinweg,
• der Einsatz konfigurierbarer Software, deren Verhalten möglicherweise erst nach Serienstart durch Kalibrierdaten bestimmt wird, und
• statt des oft nicht vorhandenen Konzepts des „Equipment under control (EUC)“ die intrinsische Eigensicherheit automobiler Systemen.

Wofür eine eigene Automotive-ISO?

Aus der vorherrschenden Gesetzeslandschaft ergibt sich für den Hersteller von Verbraucherprodukten (hier Straßenfahrzeuge) eine Verkehrssicherungspflicht. Danach dürfen Produkte nur dann in Verkehr gebracht werden, wenn sie die Sicherheitserwartungen erfüllen, die der Verbraucher nach dem Stand von Wissenschaft und Technik zum Zeitpunkt des In-Verkehr-Bringens berechtigerweise erwarten darf.

Eine Norm trägt zu ihrem Veröffentlichungszeitpunkt zum Stand von Wissenschaft und Technik bei. Da dieser üblicherweise schneller voranschreitet als sich die entsprechende Norm weiterentwickelt, genügt es aber nicht, lediglich die Norm umzusetzen. Normerfüllung ist notwendig, aber nicht hinreichend um den Stand von Wissenschaft und Technik zu erfüllen. Erfüllt man Anforderungen einer Norm jedoch nicht und es kommt in einem Produkthaftungsfall zu dem Vorwurf, der Schaden sei entstanden, weil das Produkt nicht dem Stand von Wissenschaft und Technik entsprochen habe, so wird kann man gezwungen sein, das Gegenteil zu beweisen (Beweislastumkehr). Dies kann sich dann als beliebig schwierig bis unmöglich gestalten.

Um dieses unberechenbare Produkthaftungsrisiko zu reduzieren, ist die Umsetzung insbesondere von Sicherheitsnormen wie der ISO 26262 zwingend notwendig. Hierbei reicht es nicht aus, zum Zeitpunkt der Norm-Veröffentlichung mit ihrer Umsetzung zu beginnen, vielmehr müssen alle Produkte ab Veröffentlichungszeitpunkt der Norm bereits nach den darin geforderten Entwicklungsprozessen entwickelt worden sein und die geforderten Produkteigenschaften besitzen. In diesem Sinne kann die Phase zwischen Veröffentlichung des DIS und der endgültigen Norm als Einführungsphase gesehen werden, d.h. spätestens jetzt, mit Veröffentlichung des ISO/DIS 26262 sollten Unternehmen beginnen, die Norm flächendeckend einzuführen.

Für wen gilt die ISO 26262?

Der ISO/DIS 26262 adressiert momentan Personenkraftwagen bis 3,5 t zulässiges Gesamtgewicht. Durch den in der Automobilindustrie üblichen Plattformgedanken kommen Systeme nicht nur in diesen, sondern auch in anderen Fahrzeugklassen zum Einsatz – z.B. unterscheiden sich Fensterheber für Pkw nur unwesentlich bis gar nicht von Fensterhebern für Nutzfahrzeuge. Da die ISO 26262 Nutzfahrzeuge jedoch nicht explizit adressiert, ist hier zunächst die IEC 61508 die formaljuristisch gültige Norm – ebenso für Busse, Motorräder etc. Fahrzeugklassenübergreifende Systeme sind also potenziell nach mehreren Sicherheitsstandards zu entwickeln.

Die ISO 26262 verbietet jedoch an keiner Stelle, den Geltungsbereich auf weitere Fahrzeugklassen zu erweitern. Sie stellt als branchenspezifische Ableitung der IEC 61508 eine sehr gute Interpretation dieser Norm für alle Fahrzeugklassen dar. Somit ist eine grundsätzliche Anwendung der ISO 26262 auf alle Klassen von Straßenfahrzeugen möglich und sinnvoll, wobei durch geeignete begleitende Maßnahmen sichergestellt werden muss, dass der vorhandene Stand von Wissenschaft und Technik erreicht wird.

Welche Aspekte regelt die Norm?

Aufgrund des Umfanges des ISO/DIS 26262 kann hier nur ein kurzer Überblick über die 10 Bände der Norm (siehe Bild 1, Bildergalerie am Ende des Artikels) gegeben werden. Beispielhaft wird Band 6, der die Anforderungen an die Softwareentwicklung enthält, etwas detaillierter vorgestellt. Die Bände 2 bis 9 umfassen Anforderungen sowohl an den Entwicklungsprozess als auch an das Produkt. Die verwendeten Begriffe werden im Band 1 definiert, Band 10 stellt einen informativen Leitfaden dar. Band 2 beschreibt die Anforderungen an das Management der funktionalen Sicherheit. Dies umfasst neben Anforderungen an die Organisation das Projektmanagement über den gesamten Produktlebenszyklus hinweg sowie die Absicherungsmaßnahmen (Functional Safety Assessment) zum Nachweis der Normkonformität.

Die Bände 3 bis 7 beschreiben den eigentlichen Produktlebenszyklus. Die Produktentwicklung ist durch den Sicherheitslebenszyklus in Phasen strukturiert (siehe Bild 2, Bildergalerie am Ende des Artikels), beginnend mit der Konzeptphase über die Produktentwicklung auf System-, Hardware- und Softwareebene bis hin zu Produktion, Betrieb und Außerbetriebnahme. Die Entwicklungsphasen sind grundsätzlich in drei Abschnitte geteilt: Planung der Aktivitäten, deren Durchführung und abschließend die Verifikation bzw. Validation der dabei entstandenen Arbeitsprodukte.

Band 3 beschreibt die Konzeptphase, welche mit der Definition des so genannten Items (System bzw. Fahrzeugfunktion) beginnt. In der anschließenden Gefährdungs- und Risikoanalyse wird dem Item ein ASIL (Automotive Safety Integrity Level) zugeordnet. Abgeschlossen wird die Konzeptphase mit der Erstellung des Funktionalen Sicherheitskonzepts.

In der Systementwicklung (Band 4) wird dieses dann zum Technischen Sicherheitskonzept verfeinert. Aus dem Technischen Sicherheitskonzept leiten sich die Anforderungen an die Hard- bzw. Software ab. Deren Entwicklung wird in den Bänden 5 (Hardware) und 6 (Software) beschrieben. Die Phasen von der Systemintegration bis zur Produktfreigabe sind dann wieder in Band 4 beschrieben. Band 7 enthält Anforderungen an Produktion, Betrieb, Service und Außerbetriebnahme.

In Band 8 werden neben unterstützenden Prozessen wie Konfigurations- oder Anforderungsmanagement auch neue Methoden wie die Qualifizierung von Tools, von Software- oder Hardware-Komponenten sowie der Nachweis der Betriebsbewährtheit (Proven in use) beschrieben. In Band 9 finden sich spezielle sicherheitsorientierte Methoden wie die ASIL-Dekomposition (Automotive Safety Integrity Level), Kriterien zur Koexistenz von Elementen unterschiedlicher ASIL-Einstufung sowie Anforderungen an Sicherheitsanalysen.

Beispiel: Softwareentwickung nach ISO 26262

In Bild 3 (Bildergalerie am Ende des Artikels) ist die Softwareentwicklung nach ISO/DIS 26262 Band 6 „Product development: Software Level“ als V-Modell dargestellt. Eine wichtige Phase der Softwareentwicklung, nämlich die Applikation, ist in diesem Referenzphasenmodell nicht mit aufgeführt. Anforderungen an die Applikation finden sich im normativen Anhang zum Umgang mit konfigurierbarer Software. Dort sind die Möglichkeiten der Anwendung eines verkürzten Sicherheitslebenszyklus für verschiedene Softwarekonfigurationen aufgezeigt.

Zu den größten Herausforderungen einer effizienten Softwareentwicklung nach ISO/DIS 26262 gehört der im SW Architectural Design beschriebene Nachweis der Rückwirkungsfreiheit (Freedom of interference). Dieser Nachweis ist notwendig, wenn Softwarekomponenten mit unterschiedlich zugeordneten ASIL (inkl. QM für nicht sicherheitsrelevante SW-Komponenten) in einem Steuergerät umgesetzt werden sollen. Ohne diesen Nachweis muss die gesamte Software nach dem höchsten zugeordneten ASIL entwickelt werden. An den Softwaretest auf den verschiedenen Ebenen werden Anforderungen an die Testmethoden, Verfahren zur Ermittlung von Testfällen, zur Ermittlung der strukturellen Abdeckung dieser Testfälle sowie zur Testumgebung gestellt.

ASIL: Wie relevant ist eine Fehlfunktion für die Sicherheit?

Ziel einer Norm wie der ISO 26262 ist es, Anforderungen vorzugeben, ohne den Lösungsraum allzu sehr einzuschränken, da weder Innovation noch Wettbewerbsdifferenzierung behindert werden sollen. Durch die daraus resultierende Abstraktion der Anforderungen ergeben sich Interpretationsspielräume, die jedoch ungewollt zu Wettbewerbsverzerrungen führen können. Als Beispiel sei hier die Methodik der ASIL-Einstufung genannt:

Der „Automotive Safety Integrity Level (ASIL)“ ist ein Maß für die Sicherheitsrelevanz einer Fehlfunktion (z.B. ungewollte Momentenerhöhung bei der Motorsteuerung) und ergibt sich aus drei Parametern:

• Exposure (E): Wie häufig sind Situationen, in denen die Fehlfunktion relevant ist?
• Controllability (C): Wenn die Fehlfunktion in der angenommenen Situation auftritt, wie gut kann sie dann beherrscht werden?
• Severity (S): Wenn die Fehlfunktion in der angenommenen Situation auftritt und nicht beherrscht werden kann, wie groß ist dann die Schwere der Auswirkung?

Aus den drei Parametern E, C und S ergibt sich der ASIL auf einer Skala A bis D (bzw. QM für nicht sicherheitsrelevante Systeme), wobei A die niedrigste und D die höchste Einstufung darstellt. Die Anforderungen der ISO 26262 sind dann in Abhängigkeit des ermittelten ASIL umzusetzen.

Während in der IEC 61508 die Methodik zur Bestimmung des „Safety Integrity Levels“ (SIL) noch rein informativ beschrieben war, ist in der ISO 26262 die Methodik zur Bestimmung des ASIL nun normativ wie oben grob umrissen vorgegeben. Allerdings gibt die ISO/DIS 26262 nur wenig Hinweise, wie die drei Parameter E, C und S konkret festzulegen sind. Beispielsweise wird jemand aus Norddeutschland die Exposure E der Fahrsituation „Anfahren am Berg“ anders einstufen als jemand aus der Alpenregion.

Bei der Controllability C und der Severity S spielt zudem die konkrete Fahrzeugkonfiguration eine Rolle, was durch die Methodik der ISO 26262 nur implizit berücksichtigt wird. Herausforderung bei der ASIL-Einstufung ist also, eine Methodik zu finden, nach der sich ein in sich ein möglichst konsistentes „ASIL-Gefüge“ ergibt. Ansonsten besteht die Gefahr, dass sich zukünftige Fehlfunktionen neuer Systeme nur schwer vernünftig einstufen lassen.

Zusammenfassend lässt sich sagen, dass mit der ISO 26262 der Automobilindustrie erstmals eine anwendbare Norm zur funktionalen Sicherheit von Straßenfahrzeugen zur Verfügung steht. Sie trägt ab Veröffentlichungszeitpunkt zum Stand von Wissenschaft und Technik bezüglich der funktionalen Sicherheit von Straßenfahrzeugen bei, wobei eine Anwendung auf andere Fahrzeugklassen als PKW bis 3,5 t möglich und sinnvoll ist. In der Gefährdungsanalyse und Risikobewertung wird der Automotive Safety Integrity Level (ASIL) nach einer fest vorgegebenen Methodik bestimmt, wobei die Eingangsparameter Exposure E, Controllability C und Severity S einen zum Teil recht großen Interpretationsspielraum lassen.

Dies macht es zwar schwierig, zu einem konsistenten „ASIL-Gefüge“ der möglichen Fehlfunktionen zu kommen. Um Wettbewerbsverzerrungen zu vermeiden ist es jedoch notwendig ein branchenweites Verständnis dafür zu schaffen. Dieses ist letztendlich nur durch intensive weltweite Diskussionen unter Beteiligung aller OEM und Zulieferer erreichbar.

Jürgen Sauler ist International Expert ISO 26262 bei der Robert Bosch GmbH. Stefan Kriso arbeitet ebenfalls bei Bosch im Bereich Corporate Research.

(ID:329675)