Komponenten sind nicht genug – Drive-by-Wire als Gesamtsystem

Vom Baukasten zur Systemverantwortung

In der Diskussion um Drive-by-Wire wird häufig implizit davon ausgegangen, dass sich ein funktionierendes Gesamtsystem aus hochwertigen Einzelkomponenten zusammensetzen lässt. Steer-by-Wire, Brake-by-Wire, redundante Steuergeräte – all das existiert. Die Schlussfolgerung liegt nahe: Wenn jede Komponente für sich sicher ist, muss das Gesamtsystem es ebenfalls sein.

Diese Annahme ist technisch naheliegend, aber sie greift zu kurz.

Denn Sicherheit, Verfügbarkeit und Kontrollierbarkeit autonomer Fahrzeuge entstehen nicht durch die Addition von Komponenten, sondern durch Systemverhalten. Und Systemverhalten lässt sich nicht modular „zusammenrechnen“.

Warum Safety nicht additiv ist

In klassischen Fahrzeugarchitekturen war es lange zulässig, Sicherheit auf Komponentenebene zu betrachten. Der Fahrer fungierte als übergeordnete Instanz, die im Zweifel eingreifen konnte. Entsprechend wurden viele Systeme so ausgelegt, dass sie im Fehlerfall in einen sicheren Zustand übergehen – etwa durch Abschaltung oder Rückfall auf mechanische Funktionen.

Autonome Systeme verändern diese Logik grundlegend.

Wenn kein Fahrer vorhanden ist, wird das System selbst zum letzten Entscheidungsträger. In diesem Kontext ist Sicherheit nicht mehr das Ergebnis einzelner abgesicherter Funktionen, sondern das Resultat eines koordinierten Zusammenspiels aller Subsysteme – einschließlich ihrer Übergänge, Abhängigkeiten und Fehlermodi.

Ein Brake-by-Wire-Modul mag für sich genommen ASIL-D-konform sein.
Ein Steer-by-Wire-System ebenso.
Doch was passiert, wenn beide gleichzeitig unter eingeschränkten Bedingungen betrieben werden müssen?
Wie verhalten sie sich bei degradierten Kommunikationspfaden?
Welche Prioritäten gelten im Grenzfall?

Diese Fragen lassen sich nicht auf Komponentenebene beantworten. Sie müssen auf Systemebene entschieden und verantwortet werden.

Die Integrationslücke in der Praxis

Genau hier zeigt sich eine strukturelle Lücke im Markt.

Viele Kunden – insbesondere OEMs, Systemintegratoren oder Betreiber autonomer Flotten – erhalten von großen Anbietern einzelne Drive-by-Wire-Bausteine. Diese Bausteine sind technisch ausgereift, leistungsfähig und zertifiziert. Was sie jedoch nicht liefern, ist eine verbindliche Aussage über das Verhalten des Gesamtsystems.

Die Konsequenz:
Die Verantwortung für Integration, Safety-Argumentation und Fail-Operational-Strategien verschiebt sich zum Kunden. Dieser muss entscheiden, wie Komponenten kombiniert werden, wie Redundanzen zusammenspielen und wie das Fahrzeug im Fehlerfall weiterbetrieben wird.

Das ist kein trivialer Aufwand.
Es ist eine sicherheitskritische Systemaufgabe.

Drive-by-Wire als Architekturfrage

Ein echtes Drive-by-Wire-System beginnt nicht bei der Auswahl einzelner Komponenten, sondern bei der Architektur.

Zu dieser Architektur gehören unter anderem:

• eine klare Trennung und Redundanz sicherheitskritischer Funktionen
• deterministische Kommunikationspfade
• abgestimmte Regelungs- und Überwachungsmechanismen
• ein konsistentes Energiemanagement
• sowie ein systemweites Safety-Konzept, das Fehler nicht nur erkennt, sondern beherrscht

Entscheidend ist dabei nicht nur, dass Redundanz existiert, sondern wie sie genutzt wird. Redundanz ohne Systemlogik führt im besten Fall zu Stillstand, im schlechtesten zu unvorhersehbarem Verhalten.

Systemdenken bedeutet, diese Aspekte von Beginn an zusammenzuführen – und nicht erst im Integrationsprojekt.

Plattformunabhängigkeit als Systemkriterium

Ein weiteres Indiz für systemische Reife ist Plattformunabhängigkeit.

Viele Drive-by-Wire-Lösungen sind tief in spezifische Fahrzeugplattformen integriert. Das erleichtert Serienproduktion, erschwert jedoch die Übertragbarkeit auf andere Fahrzeugtypen oder den Einsatz in bestehenden Flotten.

Autonome Anwendungen entstehen jedoch selten ausschließlich in Neufahrzeugen. Sie entstehen dort, wo Fahrzeuge bereits im Einsatz sind und automatisiert werden sollen. Für diese Realität ist ein Drive-by-Wire-System erforderlich, das sich an unterschiedliche Plattformen anpassen lässt, ohne seine Sicherheitslogik neu erfinden zu müssen.

Auch das ist keine Eigenschaft einzelner Komponenten, sondern Ergebnis einer systemischen Architekturentscheidung.

Warum echte Systemanbieter selten sind

Systemverantwortung bedeutet mehr als Lieferung.
Sie bedeutet, Aussagen über das Gesamtverhalten des Fahrzeugs zu treffen – technisch, regulatorisch und betrieblich. Ein echter Drive-by-Wire-Systemanbieter liefert nicht nur Aktuatoren und Steuergeräte.

Er definiert, wie das Fahrzeug unter allen Zuständen reagiert – auch unter degradierten Bedingungen.

Das ist anspruchsvoll.
Es erfordert Erfahrung über Produktgenerationen hinweg, ein tiefes Verständnis sicherheitskritischer Systeme und die Bereitschaft, Verantwortung nicht an Schnittstellen abzugeben.

Deshalb gibt es weltweit nur wenige Anbieter, die Drive-by-Wire nicht als Sammlung von Funktionen, sondern als kohärentes Gesamtsystem betrachten und umsetzen.

Ein notwendiger Perspektivwechsel

Die Frage, die sich Betreiber autonomer Systeme stellen sollten, lautet daher nicht:
Welche Komponenten sind verfügbar?

Sondern:
Wer übernimmt Verantwortung für das System?

Solange Drive-by-Wire primär als Baukasten verstanden wird, bleibt autonomes Fahren ein Integrationsprojekt. Erst wenn Fahrzeugkontrolle als Gesamtsystem gedacht wird, entsteht die Grundlage für skalierbaren, sicheren Betrieb.