Startseite > Automotive > Assistenzsysteme > Normative Anpassung der ISO 26262 aufgrund des autonomen Fahrens

Ergänzung erforderlich

Normative Anpassung der ISO 26262 aufgrund des autonomen Fahrens

17. Mai 2016, 9:59 Uhr | Von Gerhard Hofmann und Prof. Georg Scharfenberg

▶ Diesen Artikel anhören

Fortsetzung des Artikels von Teil 1

Motivation und Grundlagen des autonomen Fahrens

Laut der WHO stirbt alle 30 Sekunden ein Mensch im Straßenverkehr [12]. Durch den Einsatz von Technik besteht die Hoffnung, die Anzahl der Verkehrstoten zu verringern und die Verkehrssicherheit zu erhöhen. Zusätzlich soll durch autonomes Fahren der Energieverbrauch minimiert und damit zur CO2-Reduzierung und Effizienzsteigerung im Verkehrsfluss beigetragen werden. Darüber hinaus trägt automatisiertes Fahren dazu bei, den Komfort speziell in ermüdenden Situationen wie im Stop-and-Go-Verkehr zu steigern.

Beim autonomen Fahren wird in der Projektgruppe „Rechtsfolgen zunehmender Fahrzeugautomatisierung“ der Bundesanstalt für Straßenwesen [13] zwischen fünf verschiedenen Stufen unterschieden:

Mensch als alleiniger Fahrer
assistiert
teilautomatisiert
hochautomatisiert
vollautomatisiert (autonom)

Der Fokus der Untersuchung lag auf dem Gebiet des vollautomatisieren Fahrens.

Beim autonomen Fahren besteht die besondere Herausforderung darin, dass kein menschlicher Überwacher zur Verfügung steht, der Systemgrenzen oder Systemfehler erkennt und bei Bedarf das Fahrzeug in den sicheren Zustand überführt [14].

Beispiel: Self-driving Car von Google

Bei bisherigen Projekten, wie dem autonomen Fahrzeug von Google, war immer noch ein Sicherheitsfahrer im Fahrzeug, sodass die durchgeführten Versuche nicht wirklich ein vollautomatisiertes Fahren darstellen. Es wurden jedoch bis zu etwa 1600 km ohne einen menschlichen Eingriff gefahren [15].

Diskussion der aktuellen Gefahren und Risikoanalyse

Im Wesentlichen zeigt die Gefahrenanalyse dieselben Gefahren wie bei einem herkömmlichen Fahrzeug. Es ergeben sich folgende zusätzliche Herausforderungen:

Bei autonomen Fahrzeugen greift der Fahrer nicht in die Lenkung oder Geschwindigkeitsregelung ein, deshalb erfolgt die Ansteuerung der Aktoren über elektrische Signale. Gas, Bremse, Lenkung und Sonderfunktionen erfolgen über Steuergeräte.
Ist das Fahrzeug mit Personen besetzt und es kommt zu einem Not-Halt, muss der Aspekt berücksichtigt werden, dass die Insassen das Fahrzeug sicher verlassen können [16].

Hier entsteht insbesondere durch die Kombination aus reduzierten Fähigkeiten und erhöhten Anforderungen ein hohes Risiko [17], auf das zu achten ist.

Die Einschätzung der ASILs erfolgte anhand einer Matrix in der Norm, die durch die Bewertungskriterien Severity, Probability of Exposure und Controllability aufgespannt ist. Die beiden ersten Bewertungskriterien unterscheiden sich beim autonomen Fahren nicht von einer normalen Fahrt. Befindet sich jedoch bei einem autonomen Fahrzeug kein Fahrer im Innenraum, so ist die manuelle Kontrollierbarkeit, zum Beispiel in einer konkreten Gefahrensituation, nicht gegeben.

Die Gefahren- und Risikoanalyse gemäß normativer Vorgaben durch ISO 26262 stellt keinen Bezug zum autonomen Fahren her. Vielmehr werden grundsätzlich Fahrsituationen unterstellt, bei denen der menschliche Fahrer unter dem Bewertungskriterium der Kontrollierbarkeit (Controllability) der Gefahrensituation zur Verfügung steht, um den Zustand zu beherrschen oder das Fahrzeug in einen sicheren Zustand zu überführen. Der Entfall der menschlichen Rückfallebene im autonomen Fahrbetrieb bei veränderter Situationskomplexität führt zu der Überlegung, in der Risikoanalyse ein neues Bewertungskriterium in die Betrachtung einzubeziehen.

Damit eine wirksame Einschätzung der Gefährdung erfolgen kann, ist ein Verständnis der Wirkung der Gefährdung nötig. Dazu ist es sinnvoll, das aktuelle Unfallgeschehen zu verstehen [18]. Eine gute Informationsquelle hierzu könnte sich aus dem Forschungsprojekt GIDAS ergeben, das sich speziell mit der Analyse von Unfällen in Deutschland im Umfeld der Städte Dresden und Hannover beschäftigt [19].

Im Zug der Analyse der Unfalldaten stellt sich die Frage nach den Fahrsituationen, die zum Unfall geführt haben, sowie der Komplexität der Situation. Wird die Selbst- und Situationswahrnehmung im Straßenverkehr betrachtet, so lassen sich folgende Aspekte hervorheben:

Ungünstige Umgebungsbedingungen, wie Licht oder Wetter mit veränderten Sichtbedingungen,
Fehler anderer Verkehrsteilnehmer,
Verkehrsdichte.

Beim autonomen Fahren müssen die genannten Aspekte über Sensorsysteme plausibilisiert und mit entsprechenden Funktionen im Fahrzeug beherrscht werden.

Jobangebote+ passend zum Thema

Regional Key Account (m/w/d) für Elektronische Bauteile

KOA Europe GmbH, Dägeling

Alle Jobangebote im Elektroniknet Karrierebereich anzeigen

Darüber hinaus kommen weitere Aspekte zum Tragen, die überwiegend aus der systemischen Umgebung des autonomen Fahrzeugs bedingt sind:

Straßenseitige Unterstützung des autonomen Fahrbetriebs,
Fahrbetrieb in Abhängigkeit vom Straßentyp,
Systemkonzepte auf der eingeführten Stufe des autonomen Fahrens zwischen assistiert und vollautomatisiert,
Fahrzeugsysteme mit Open Networks und variabler Umgebungsanpassung,
Mischbetrieb autonom und manuell gesteuerter Fahrzeuge.

Des Weiteren ist es sinnvoll, über verschiedene Stufen der Degradation des Fahrbetriebs und mögliche sichere Zustände nachzudenken. Das könnten zum Beispiel eine Erhöhung des Sicherheitsabstandes, Verringerung der Geschwindigkeit oder verschiedene Formen der Nothalteoperation sein [20]. Je nach Systemkonzept auf der eingeführten Stufe des autonomen Fahrens zwischen assistiert und vollautomatisiert müssen gegebenenfalls Gefahrensituationen mit katastrophalem Schadensausmaß in Betracht gezogen werden, die zu einer Erweiterung der Risikoklassifizierung in ISO 26262 führen würden.

Situationskomplexität als Bewertungskriterium

Während bei Schienenfahrzeugen die mechanische Querführung ohne Freiheitsgrad die Komplexität der Situationen und Handlungsoptionen minimiert [21], ereignen sich im Straßenverkehr viele Ereignisse parallel. Es gibt hier viele Freiheitsgrade und diverse Situationen, die nicht durch ein einfaches Regelwerk bearbeitbar sind. In dieser sogenannten Dilemma-Situation handelt der Mensch häufig durch Reflexe und Intuition, wobei er die Situation erfasst und in seiner Reaktion berücksichtigt. Einen wichtigen Beitrag leisten hier das vorausschauende Fahren und die Erfahrung.

Im Duden wird der Begriff der Komplexität mit Vielschichtigkeit und als das Ineinander vieler Merkmale umschrieben [22]. Auf den Straßenverkehr bezogen ließen sich hier Faktoren wie Verkehrsdichte, Geschwindigkeit, Anzahl der Entscheidungsmöglichkeiten oder Umweltbedingungen diskutieren. Beim autonomen Fahren werden die Aufgaben des Menschen vollständig durch die elektronischen Funktionen ersetzt. Damit entfällt das Bewertungskriterium „Controllability“ in der Risikoanalyse.

Wie zuvor dargelegt, entstehen mit der Einführung des autonomen Fahrens neue Aspekte aus der systemischen Umgebung des autonomen Fahrzeugs, die zu einer erheblichen Steigerung der Komplexität führen werden. Je nach Automatisierungsgrad im Rahmen der verschiedenen Stufen des autonomen Fahrens wird in der Risikoabschätzung der Komplexitätsgrad Einfluss nehmen. Um hierfür eine passende Arbeitsebene zu liefern, wird vorgeschlagen, das Bewertungskriterium Situationskomplexität in der Risikomatrix von ISO 26262 einzuführen. Damit ist die Risikomatrix in der Zuweisung der Risikoniveaus – ASIL A bis D – auf breiter Basis für das autonome Fahren neu festzulegen. Im Übergang des teilautomatisierten sowie hochautomatisierten Fahrens kommt das Bewertungskriterium „Controllability“ noch zum Tragen, während das Kriterium „Complexity“ einen Analyseaspekt liefert, der bei steigender Komplexität einen Anteil nicht identifizierter Risiken berücksichtigen soll. Beim vollautomatisierten Fahrbetrieb entfällt das Bewertungskriterium Controllability und das Kriterium Complexity moderiert die Analyse zur Risikoeinstufung (Bild 2).