⚡ electrical engineering

Re-imagining ISO 26262 in the Age of Autonomous Vehicles: Enhancing Controllability through Transferability and Predictability

Dieses Paper schlägt vor, das ISO 26262-Kriterium der Kontrollierbarkeit für autonome Fahrzeuge neu zu denken, indem es dieses in die messbaren Dimensionen Übertragbarkeit und Vorhersehbarkeit zerlegt und dadurch einen mathematischen Rahmen schafft, um Fallback-Fähigkeiten und Interaktionsverhalten in fahrerlosen Systemen zu quantifizieren und zu falsifizieren.

Ursprüngliche Autoren: Chaitanya Shinde, Hadi Hajieghrary, Paul Schmitt, Adam Shoemaker, Bodo Seifert, Steve Kenner

Veröffentlicht 2026-06-08

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Chaitanya Shinde, Hadi Hajieghrary, Paul Schmitt, Adam Shoemaker, Bodo Seifert, Steve Kenner

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie bringen einem Fahranfänger bei, wie man ein Auto steuert. Die aktuellen Sicherheitsregeln (genannt ISO 26262) wurden für Menschen geschrieben. Sie stellen drei große Fragen, um zu entscheiden, wie gefährlich eine Situation ist:

Wie schlimm könnte der Crash sein? (Severity/Schweregrad)
Wie oft passiert das? (Exposure/Exposition)
Kann der Fahrer ausweichen oder bremsen, um es zu vermeiden? (Controllability/Beherrschbarkeit)

Die dritte Frage, „Kann der Fahrer es vermeiden?“, funktioniert hervorragend für Menschen. Aber was passiert, wenn man den menschlichen Fahrer aus dem Auto nimmt und durch einen Roboter ersetzt? Ein Roboter kann nicht auf die gleiche Weise „lenken“ wie ein Mensch reagiert, und es gibt keinen Menschen, der „übernehmen“ kann, wenn der Roboter verwirrt ist.

Dieses Paper schlägt einen neuen Weg vor, um diese dritte Frage für selbstfahrende Autos zu beantworten. Anstatt zu fragen „Kann ein Mensch das kontrollieren?“, unterteilt es die Antwort in zwei neue, messbare Teile: Transferierbarkeit und Vorhersehbarkeit.

Hier ist die Aufschlüsselung unter Verwendung einfacher Analogien:

1. Transferierbarkeit: Der „Notfall-Plan B“

In einem Auto mit einem Menschen geht es bei der „Beherrschbarkeit“ darum, wie schnell ein Mensch reagieren kann. In einem selbstfahrenden Auto müssen wir wissen: Wenn das Hauptgehirn ausfällt, kann das Backup-System sicher übernehmen?

Die Analogie: Stellen Sie sich einen Piloten vor, der ein Flugzeug fliegt. Wenn der Autopilot ausfällt, muss der Pilot in der Lage sein, die Kontrolle zu übernehmen und das Flugzeug sicher zu landen. In einem selbstfahrenden Auto ist der „Pilot“ die Backup-Software.
Die Behauptung des Papers: Die Autoren nennen dies Transferierbarkeit. Sie misst, wie gut das Auto die Kontrolle vom Hauptsystem auf ein „Sicherheitsnetz“ (einen Fallback-Mechanismus) übertragen kann, bevor ein Desaster passiert.
Die „Lücke“ (∆T): Das Paper führt ein Konzept namens „Designed vs. Achievable Gap“ (Soll- vs. Ist-Lücke) ein.
- Designed (Geplant): Was die Ingenieure auf dem Papier denken, was das Backup-System leisten kann.
- Achievable (Erreichbar): Was das Backup-System in der Realität tatsächlich tut, wenn es mit echten, chaotischen Situationen konfrontiert wird (wie Regen, blockierten Straßen oder Blendung).
- Wenn die Leistung in der realen Welt schlechter ist als das Design, entsteht eine „Lücke“. Das Paper argumentiert, dass wir diese Lücke ehrlich messen müssen, anstatt einfach nur den Konstruktionszeichnungen zu vertrauen.

vez 2. Vorhersehbarkeit: Die „Klare Absicht“

Der zweite Teil des Problems ist, dass selbstfahrende Autos nicht nur intern sicher sein müssen; sie müssen auch mit anderen Menschen sicher interagieren. Wenn ein Auto plötzlich stoppt oder sich seltsam bewegt, könnten Fußgänger und andere Fahrer verwirrt werden und in Panik geraten.

Die Analogie: Stellen Sie sich vor, Sie gehen eine belebte Straße entlang. Sie können erkennen, dass eine Person gleich die Straße überqueren wird, weil sie Sie ansieht, einen Schritt nach vorne macht und winkt. Sie können ihre Bewegung „vorhersagen“. Wenn jemand auf Sie zukommt, stehen bleibt, sich im Kreis dreht und dann rückwärts rennt, wüssten Sie nicht, was die Person tut, und Sie könnten stolpern oder verletzt werden.
Die Behauptung des Papers: Die Autoren nennen dies Vorhersehbarkeit. Es misst, wie einfach es für einen Fußgänger oder einen anderen Fahrer ist, zu erraten, was das selbstfahrende Auto als Nächstes tun wird.
So funktioniert es: Das Paper schlägt vor, vier Dinge zu prüfen, um zu sehen, ob das Auto „vorhersehbar“ ist:
1. Kontext: Bewegt sich das Auto wie ein normales Auto in dieser Situation?
2. Absicht (Intent): Ist klar, was das Auto vorhat? (z. B. links abbiegen vs. geradeaus fahren).
3. Signale: Passen die Blinker und Bremslichter zu der tatsächlichen Bewegung des Autos?
4. Überraschung: Hat das Auto eine plötzliche, ruckartige Bewegung gemacht, die niemand erklären konnte?

Zusammenführung: Der neue Sicherheits-Score

Das Paper schlägt vor, diese beiden neuen Scores (Transferierbarkeit und Vorhersehbarkeit) zu kombinieren, um eine neue, verbesserte Version des alten „Beherrschbarkeits“-Scores zu erstellen.

Die Logik: Wenn ein Auto einen großartigen Backup-Plan hat (hohe Transferierbarkeit), aber auf eine verwirrende, ruckartige Weise fährt (niedrige Vorhersehbarkeit), ist es dennoch gefährlich.
Das Ergebnis: Das Paper erstellt eine mathematische Formel, um diese Scores zu mischen. Wenn das Auto in beiden Bereichen gut ist, erhält es eine „sichere“ Bewertung. Wenn es in einem der beiden Punkte versagt, sinkt die Sicherheitsbewertung, und das Auto muss repariert oder auf einfachere Straßen beschränkt werden.

Warum das wichtig ist

Die Autoren sagen nicht, dass die alten Regeln falsch sind; sie sagen, dass die alten Regeln für Menschen gebaut wurden und selbstfahrende Autos anders sind.

Alte Regel: „Kann der menschliche Fahrer das lösen?“
Neue Regel: „Kann das Backup-System des Autos es lösen (Transferierbarkeit) UND können die Menschen um es herum verstehen, was das Auto tut (Vorhersehbarkeit)?“

Durch das Messen dieser beiden Dinge können Regulierungsbehörden und Ingenieure beweisen, dass ein selbstfahrendes Auto nicht nur wegen seiner guten Sensoren sicher ist, sondern weil es einen zuverlässigen Backup-Plan hat und sich so verhält, dass Menschen es verstehen können.

Wichtiger Hinweis aus dem Paper:
Die Autoren betonen sehr vorsichtig, dass dies ein Vorschlag zur Aktualisierung der Regeln ist und kein fertiges Gesetz. Sie unterstreichen, dass diese neuen Scores dazu dienen sollen, die bestehenden Sicherheitsprüfungen zu ergänzen, und nicht dazu, dass Unternehmen die harte Arbeit der Fahrzeugsicherheit umgehen können. Sie warnen auch davor, dass man nicht einfach dasselbe Computerprogramm verwenden kann, um das Auto zu entwerfen und dann zu testen, ob das Auto vorhersehbar ist; der Test muss unabhängig sein, um vertrauenswürdig zu sein.

Technisches Resümee: Neugestaltung der ISO 26262 im Zeitalter autonomer Fahrzeuge

Problemstellung

Der ISO 26262-Standard bietet einen umfassenden Rahmen für die funktionale Sicherheit in Straßenfahrzeugen, der grundlegend auf einem fahrerzentrierten Paradigma basiert. Sein Risikobewertungsmodell stützt sich auf drei Parameter: Schweregrad (Severity, S), Exposition (Exposure, E) und Steuerbarkeit (Controllability, C). Der Parameter „Steuerbarkeit“ schätzt insbesondere die Wahrscheinlichkeit ein, mit der ein menschlicher Fahrer durch eine rechtzeitige Reaktion ein gefährliches Ereignis abwenden kann.

Diese fahrerzentrierte Annahme wird für autonome Fahrzeuge (AVs) der SAE-Stufen 4 und 5 ungültig, bei denen kein menschlicher Bediener zur Verfügung steht, um während der dynamischen Fahraufgabe einzugreifen. Folglich kann der traditionelle Metrik der Steuerbarkeit nicht direkt auf fahrerlose Systeme angewendet werden. Das Paper identifiziert eine kritische Lücke: Bestehende Standards lassen eine systematische Methode vermissen, um „Steuerbarkeit“ in Abwesenheit eines menschlichen Fahrers zu dekomponieren und zu quantifizieren, was eine Neuinterpretation der Bewertung von Gefahrenabwehr und Situationskontrolle für autonome Systeme erforderlich macht.

Methodik

Die Autoren schlagen eine methodische Erweiterung der ISO 26262 vor, die den Platzhalter „Steuerbarkeit“ in zwei auditierbare, messbare Subdimensionen zerlegt: Transferierbarkeit (Transferability) und Vorhersehbarkeit (Predictability). Diese Dimensionen sind darauf ausgelegt, die bestehenden ISO 26262-Prozesse zu ergänzen, statt sie zu ersetzen, und mit der ISO/PAS 21448 (SOTIF) zu harmonieren.

1. Transferierbarkeit (Systemseitige Fähigkeit)

Die Transferierbarkeit definiert die Steuerbarkeit neu – weg von einer menschlichen Reaktion hin zu einer Systemkapazität. Sie wird formal als die Fähigkeit eines AV definiert, einen sicheren und rechtzeitigen Übergang von der primären Autonomie zu einem dedizierten Fallback-Mechanismus innerhalb des fehlertoleranten Zeitintervalls (Fault-Tolerant Time Interval, FTTI) auszuführen und dabei einen Zustand minimalen Risikos (Minimal Risk Condition) zu erreichen, ohne neue Gefahren einzuführen.

Formalisierung: Die Transferierbarkeit ( $T$ ) wird als Funktion des operativen Kontextes modelliert: $T = T(o, f, s, m, \tau_{FTTI})$ , wobei $o$ der Operational Design Domain (ODD) Slice, $f$ die Fehlerfamilie, $s$ der Szenenzustand, $m$ die Klasse der Minimal Risk Maneuver (MRM) und $\tau_{FTTI}$ das Zeitintervall ist.
Evidenz-Tupel ( $E_T$ ): Ansprüche werden durch ein spezifisches Evidenz-Tupel gestützt, das Detektionslatenz, Initiierungslatenz, MRM-Erfolgszeit, Compliance der Stoppzone und die Erfolgswahrscheinlichkeit pro Anforderung mit Konfidenzintervallen aufzeichnet.
Gap zwischen Design und Erreichbarkeit ( $\Delta T$ ): Das Paper führt eine Metrik ein, um zwischen architektonischen Fallback-Ansprüchen ( $T_{designed}$ ) und szenenbedingten, erreichbaren Fähigkeiten ( $T_{achievable}$ ) zu unterscheiden. Der Gap $\Delta T = T_{achievable} - T_{designed}$ wird auf einer ordinalen Skala ( $T_0$ bis $T_3$ ) berechnet, um zu identifizieren, wo Umgebung oder Kontext die Leistung unter die Design-Erwartungen senken.
Klassifizierung: Die Transferierbarkeit wird in vier Stufen ( $T_0$ – $T_3$ ) eingeteilt, basierend auf der unteren Konfidenzgrenze der MRM-Erfolgswahrscheinlichkeit, unter Berücksichtigung spezifischer ODD-Slices und Fehlerfamilien.

2. Vorhersehbarkeit (Dimension der externen Interaktion)

Die Vorhersehbarkeit befasst sich mit der Sicherheit der Interaktionen zwischen dem AV und externen Verkehrsteilnehmern (Fußgänger, Radfahrer, andere Fahrer). Sie quantifiziert das Ausmaß, in dem diese externen Akteure das zukünftige Verhalten des AV basierend auf beobachtbarer Bewegung, Signalen und Kontext antizipieren können, bevor sie eine eigene Reaktion einleiten müssen.

Formalisierung: Die Vorhersehbarkeit wird über ein Referenzmodell der erwarteten Bewegung ( $p_{ref}$ ) und ein Beobachtermodell für die Zielinferenz ( $p(g | \xi_{0:t}, c, a)$ ) definiert.
Vektor-Monitor ( $M_P$ ): Die Vorhersehbarkeit wird über vier Diagnosekanäle bewertet:
1. Kontextuelle Konformität ( $Q_{conf}$ ): Misst, wie gut die Trajektorie zur deklarierten Referenzverteilung passt.
2. Intentionsklarheit ( $S_{intent}$ ): Quantifiziert die Reduktion der Ambiguität in der Zielinferenz des Beobachters (basierend auf der Shannon-Entropie).
3. Signal-Konsistenz ( $S_{signal}$ ): Bewertet die Übereinstimmung zwischen Blinkern, Bremslichtern und der tatsächlichen Bewegung.
4. Kinematische Überraschung ( $S_{kin}$ ): Erkennt unerklärliche Ruckler, hartes Bremsen oder Zögern.
Aggregation: Diese Kanäle werden unter Anwendung einer „Worst-Channel“-Regel (schlechtester Kanal bestimmt das Ergebnis) zu einer ordinalen Klasse ( $P_0$ – $P_3$ ) aggregiert, wobei ein einzelner Fehler in einem Kanal die Gesamtklasse herabstufen kann.

3. Einheitliche erweiterte Steuerbarkeit ( $C_u$ )

Das Paper schlägt eine einheitliche Berechnung der Steuerbarkeit in fahrerlosen Kontexten ( $C_u$ ) vor, indem es Transferierbarkeit ( $T$ ) und Vorhersehbarkeit ( $P$ ) kombiniert.

Kompositionsregel: Die Autoren schlagen eine additive Strafregel vor: $C_u = \min(3, T + \Delta P)$ , wobei $\Delta P$ eine aus der Vorhersagbarkeitsklasse abgeleitete Strafe ist.
Integration: Diese einheitliche Klasse $C_u$ wird zusammen mit den Standardparametern für Schweregrad und Exposition in der Gefahrenanalyse und Risikobewertung (HARA) als ergänzendes Evidenzmaterial gemeldet. Sie ersetzt nicht die normative ASIL-Bestimmung, liefert aber szenario-bedingte, auditierbare Daten zur Untermauerung.

Zentrale Beiträge

Das Paper leistet drei wesentliche methodische Beiträge:

Formalisierung der Transferierbarkeit: Es erweitert das Konstrukt der Steuerbarkeit für fahrerlose Kontexte durch die Bewertung der Performance von Minimal Risk Maneuvers (MRM) gegenüber den Fehlertoleranz-Zeitintervallen und führt den Gap zwischen „Design“ und „Erreichbarkeit“ ( $\Delta T$ ) ein, um Fallback-Ansprüche falsifizierbar und rückverfolgbar zu machen.
Etablierung der Vorhersehbarkeit: Es definiert Vorhersehbarkeit als eine quantifizierbare Dimension der Sicherheit für externe Verkehrsteilnehmer, die sowohl die Konformität zu erwarteten Bewegungsmustern als auch die Klarheit der Intentionskommunikation erfasst, unterstützt durch einen Vier-Kanal-Vektormonitor.
Validierungsmethoden: Es schlägt spezifische Akzeptanzkriterien und Validierungsmethoden vor, einschließlich Fehlereinspritzungstests (Fault-Injection) für die Transferierbarkeit und Human-Observer-Studien (oder kalibrierte Beobachtermodelle) für die Vorhersehbarkeit, um deren Anwendung als falsifizierbare Metriken innerhalb der ISO 26262- und SOTIF-Sicherheitslebenszyklen zu ermöglichen.

Ergebnisse und vorgeschlagener Rahmen

Das Paper präsentiert keine empirischen Testergebnisse aus einem spezifischen Fahrzeugdeployment, sondern etabliert einen theoretischen und prozeduralen Rahmen. Die „Ergebnisse“ sind die vorgeschlagenen Definitionen, mathematischen Formulierungen und Integrationspunkte:

Klassifizierungstabellen: Das Paper definiert nicht-normative Berichterstattungsklassen für die Transferierbarkeit ( $T_0$ – $T_3$ ) und die Vorhersehbarkeit ( $P_0$ – $P_3$ ) mit qualitativen Akzeptanzkriterien (z. B. erfordert $T_0$ nahtlose, fehlertolerante Übergänge; $P_0$ erfordert, dass alle Kanäle innerhalb der kalibrierten Grenzen bleiben).
Einheitliche Abbildung: Eine Mapping-Tabelle (Tabelle IV) zeigt, wie Kombinationen aus $T$ - und $P$ -Klassen zu einer einheitlichen Steuerbarkeitsklasse ( $C_0$ – $C_3$ ) führen und dabei die ordinale Skalierung der ISO 26262 bewahren.
Änderungen an der ISO 26262: Die Autoren skizzieren spezifische, prägnante Änderungen an den Teilen 1–10 der ISO 26262. Dazu gehören die Hinzunahme von Definitionen für Transferierbarkeit und Vorhersehbarkeit, die Aktualisierung der HARA zur Erfassung von $T$ - und $P$ -Bewertungen sowie die Forderung nach unabhängigen Monitoren für Planner-Designs, um zirkuläre Abhängigkeiten zwischen Trainingssignalen und Sicherheitsnachweisen zu vermeiden.

Bedeutung und Ansprüche

Das Paper behauptet, dass sein Rahmen einen skalierbaren, evidenzbasierten Weg zur Zertifizierung der Sicherheit hochautomatisierter (L4) und vollautomatischer (L5) Systeme bietet. Die Bedeutung liegt in:

Bewahrung der Standards: Es wahrt die Struktur und Intention der ISO 26262, während es deren Anwendbarkeit auf fahrerlose Systeme erweitert, wodurch die Notwendigkeit eines völlig neuen Standards vermieden wird.
Brückenbildung zwischen Disziplinen: Es harmonisiert die funktionale Sicherheit (ISO 26262) mit SOTIF (ISO 21448), indem es sowohl die intrinsische Systemkontrolle (Transferierbarkeit) als auch das externe menschliche Verständnis (Vorhersehbarkeit) quantifiziert.
Falsifizierbarkeit: Durch die Einführung messbarer Metriken wie $\Delta T$ und des Vektor-Monitors $M_P$ macht der Rahmen Fallback- und Interaktionsansprüche falsifizierbar und rückverfolgbar für spezifische ODD-Slices, weg von opaken, aggregierten Sicherheitsbehauptungen.
Unabhängigkeit: Das Paper betont, dass Planner-Design und Sicherheitsnachweis unabhängig bleiben müssen; die Verwendung von Vorhersehbarkeitsmetriken als Trainings-Rewards darf die Gültigkeit der Sicherheitsfall-Evidenz nicht gefährden.

Die Autoren erklären ausdrücklich, dass diese Vorschläge Forschungsempfehlungen für Standardisierungsgremien sind und keine normativen Anforderungen darstellen oder die Compliance-Haltung ihrer Arbeitgeber widerspiegeln. Sie räumen Einschränkungen ein und merken an, dass numerische Zielwerte szenariospezifisch sind und eine Neukalibrierung erfordern, und dass der Rahmen nicht vorschlägt, ASIL-Anforderungen basierend auf hohen Transferierbarkeits- oder Vorhersehbarkeitswerten zu lockern.