Safety-by-Wire® — eine Plattform, fünf Normenwelten

Warum eine Norm nicht reicht: die Standards hinter der Functional-Safety-Strategie von Arnold NextG

In den vergangenen beiden Beiträgen haben wir gezeigt, warum UN R185 und UN GTR 26 die Sicherheit automatisierter Fahrsysteme als durchgängigen Nachweis über die gesamte Wirkungskette verstehen — und warum dabei die Control Layer und Drive-by-Wire ins Zentrum rücken. Damit beginnt die eigentliche Arbeit: Ein Sicherheitsnachweis entsteht nicht allein aus Testkilometern, sondern braucht zusätzlich eine strukturierte Argumentation gegen anerkannte Standards. In dieser neuen, vierteiligen Serie öffnen wir den Code hinter Safety-by-Wire®: die Functional-Safety-Strategie von NX NextMotion. Teil 1 beginnt dort, wo jede Sicherheitsargumentation beginnt: bei der Frage, gegen welche Normen ein System überhaupt sicher sein muss.

Auf einen Blick

• Funktionale Sicherheit ist nachweisbasiert: Entscheidend ist nicht allein, dass ein System funktioniert, sondern dass seine Sicherheit strukturiert gegen anerkannte Standards argumentiert werden kann.
• NX NextMotion ist als Drive-by-Wire-basierte Control Layer für sehr unterschiedliche Fahrzeugwelten ausgelegt — vom Straßenfahrzeug über Land- und Forstmaschinen bis zu Erdbaumaschinen und Flurförderzeugen. Jede dieser Domänen bringt eine eigene Sicherheitsnorm mit eigener Risikometrik mit.
• Fünf Normenwelten prägen die funktionale Sicherheit der Plattform: ISO 26262 (ASIL), IEC 61508 (SIL), ISO 25119 (AgPL), ISO 19014 (MPL) und DIN EN 1175 in Verbindung mit ISO 13849 (PL).
• Ergänzt werden sie durch ISO 21448 (SOTIF), ISO/SAE 21434 (Cybersecurity) und die Homologationsebene der UNECE-Regelungen — von R79, R13 und R10 bis zum neuen ADS-Rahmen aus UN R185 und UN GTR 26.
• Die strategische Antwort von Arnold NextG heißt Safety-by-Wire®: keine Normauswahl, sondern eine Normenstrategie. Die Anforderungen aller relevanten Standards werden konsolidiert, die jeweils strengste wird zum Maßstab — mit ISO 26262 als Leitnorm der Entwicklung.

Warum Normen? Der Unterschied zwischen „funktioniert" und „nachweisbar sicher"

Das Team hinter NX NextMotion hat in der Vergangenheit bereits By-Wire-Systeme entwickelt, die mehr als eine Milliarde Kilometer auf öffentlichen Straßen zurückgelegt haben — und weiß deshalb: Ein Fahrzeug, das tausende Kilometer fehlerfrei fährt, ist beeindruckend, aber es ist damit noch kein nachweisbar sicheres System. Funktionale Sicherheit stellt eine andere Frage: Was passiert, wenn etwas schiefgeht? Welche Fehler können auftreten, wie wahrscheinlich sind sie, wie schwer wären ihre Folgen — und mit welchen Mechanismen werden sie erkannt, beherrscht oder in einen kontrollierten Zustand überführt?

Normen kodifizieren die Antwort auf diese Fragen. Sie bündeln Jahrzehnte an Erfahrung darüber, wie Gefährdungen systematisch identifiziert, Risiken klassifiziert, Sicherheitsanforderungen abgeleitet und Nachweise geführt werden. Sie definieren damit, was in Entwicklung, Genehmigung und Audit als Stand der Technik gilt. Für eine Control Layer, die digitale Fahrentscheide in reale Fahrzeugbewegung übersetzt, sind Normen deshalb kein Formalismus. Sie sind die Grammatik des Safety Case, den die neuen ADS-Regelwerke ausdrücklich einfordern.

Eine Mutternorm, viele Dialekte

Die IEC 61508 gilt als generische Basisnorm der funktionalen Sicherheit für elektrische, elektronische und programmierbar elektronische Systeme. Aus ihr sind domänenspezifische Normen hervorgegangen oder an sie angelehnt worden — jeweils zugeschnitten auf die Risikoprofile ihrer Anwendungswelt. Denn ein Traktor auf dem Feld, ein Stapler im Lager und ein Shuttle im Stadtverkehr unterscheiden sich fundamental in Geschwindigkeit, Umfeld, Exposition und der Frage, wer eine Fehlfunktion noch beherrschen kann. Genau deshalb existieren unterschiedliche Risikometriken.

Die fünf Normenwelten im Kurzprofil:

• ISO 26262 — Straßenfahrzeuge. Die zentrale Norm für die funktionale Sicherheit von E/E-Systemen in Serienfahrzeugen. Risiken werden über die Automotive Safety Integrity Level ASIL A bis ASIL D klassifiziert, abgeleitet aus Schadensschwere, Auftretenswahrscheinlichkeit und Kontrollierbarkeit. Für NX NextMotion ist ISO 26262 die Leitnorm der Entwicklung — mit ASIL D als höchster Stufe für die primären Funktionen Lenken, Bremsen und Antrieb.
• IEC 61508 — die generische Basis. Sie klassifiziert Risiken über die Safety Integrity Level SIL 1 bis SIL 4 und bleibt der Bezugspunkt überall dort, wo keine Domänennorm greift. Der Nachweis bis SIL 3 erschließt der Plattform Anwendungen jenseits der klassischen Fahrzeugdomänen — zu Land, zu Wasser und in Sonderanwendungen.
• ISO 25119 — Land- und Forstmaschinen. Traktoren und selbstfahrende Arbeitsmaschinen der Landwirtschaft bewerten sicherheitsrelevante Steuerungsfunktionen über Agricultural Performance Level (AgPL a bis e) — mit eigenen Annahmen zu Umfeld, Geschwindigkeit und Bedienerrolle.
• ISO 19014 — Erdbaumaschinen. Bagger, Radlader und verwandte Maschinen klassifizieren über Machine Performance Level (MPL). Die Baustelle bringt eigene Gefährdungsbilder mit: wechselndes Personal im Nahbereich, Arbeits- und Fahrbetrieb im selben System.
• DIN EN 1175 / ISO 13849 — Flurförderzeuge und Maschinensteuerungen. Für die elektrische Ausrüstung von Flurförderzeugen greift die EN 1175 auf die Performance Level (PL a bis e) der Maschinensicherheitsnorm ISO 13849 zurück — die Welt der Intralogistik, in der Mensch und Maschine sich engste Räume teilen.

Der Einsatzkontext entscheidet — warum eine Norm nicht reicht

Dieselbe Plattform, die in einem autonomen Shuttle Lenkbefehle in kontrollierte Bewegung übersetzt, steuert Terminal-Traktoren im Werksverkehr, Traktoren auf dem Feld, Baumaschinen im Erdbau und Fahrzeuge der Intralogistik. Jede dieser Anwendungen triggert eine eigene Normenwelt mit eigener Konformitätslogik, eigenen Analysen und eigener Genehmigungspraxis.

Wer als Systemlieferant nur für eine Domäne entwickelt, steht beim Schritt in die nächste vor einem strukturellen Problem: Funktionale Sicherheit ist zu großen Teilen Prozessnachweis. Gefährdungsanalysen, Entwicklungsprozesse, Verifikation und Dokumentation lassen sich nicht rückwirkend erzeugen. Eine nachträglich „übergestülpte" Zweitnorm gleicht deshalb in der Praxis häufig einer Neuentwicklung — mit entsprechenden Folgen für Zeit, Kosten und Safety Case.

Mehr als funktionale Sicherheit: SOTIF, Security und Homologation

Funktionale Sicherheit im engeren Sinn adressiert Fehlfunktionen — also das Verhalten des Systems, wenn Hardware oder Software ausfallen. Ein vollständiger Sicherheitsnachweis braucht drei ergänzende Perspektiven:

• ISO 21448 (SOTIF) betrachtet die Sicherheit der Sollfunktion: Gefährdungen, die ohne technischen Fehler entstehen — etwa durch funktionale Unzulänglichkeiten oder vorhersehbare Fehlbedienung. SOTIF adressiert primär die Ebene des automatisierten Fahrsystems. Die Control Layer liefert dafür die Voraussetzungen: definierte Systemzustände, klare Grenzen und deterministisches Degradationsverhalten.
• ISO/SAE 21434 verankert Cybersecurity als Voraussetzung von Safety: Ein System, das manipuliert werden kann, ist nicht sicher — unabhängig davon, wie gut seine Fehlerbeherrschung ist. Regulatorisch flankiert wird dies durch UN R155 (Cybersecurity-Management) und UN R156 (Software-Updates).
• Die UNECE-Regelungen bilden die Homologationsebene. Hier gilt eine wichtige Unterscheidung: Normen beschreiben das Wie des Stands der Technik — Regelungen entscheiden über das Ob des Marktzugangs. Für die Bewegungssteuerung sind das insbesondere UN R79 (Lenkanlagen), UN R13 (Bremsen) und UN R10 (EMV); mit UN R185 und UN GTR 26 kommt der neue internationale Rahmen für Automated Driving Systems hinzu, den wir in den beiden vorangegangenen Beiträgen eingeordnet haben. Ergänzt wird diese Ebene in der Praxis durch OEM-spezifische Anforderungswerke wie die VW 81000.

Die strategische Entscheidung: eine Anforderungsbasis statt fünf Parallelwelten

Der nächstliegende Weg wäre, für jede Domäne ein eigenes Sicherheitsprojekt zu führen — nacheinander, je nach Marktchance. Arnold NextG hat sich früh anders entschieden: Die Gefährdungsanalysen und Sicherheitsanforderungen der relevanten Normenwelten werden in einer gemeinsamen Anforderungsbasis konsolidiert. Wo Normen unterschiedliche Risikometriken verwenden, werden diese über die in den Normen selbst vorgesehenen Zuordnungstabellen aufeinander abgebildet — und im Zweifel gilt immer die strengste Anforderung. Entwickelt wird durchgängig nach ISO 26262 als Leitnorm; der generische Nachweis nach IEC 61508 bis SIL 3 öffnet zusätzlich die Türen jenseits der klassischen Fahrzeugnormen.

Das Ergebnis dieser Strategie lässt sich in einem Satz zusammenfassen: einmal gegen die strengste Anforderung entwickeln — und die Plattform damit über Domänengrenzen hinweg einsetzbar machen. Entscheidend ist dabei der Zeitpunkt. Diese Konsolidierung stand am Anfang der Plattformentwicklung, nicht an ihrem Ende. Sie ist der Grund, warum NX NextMotion heute im Straßenfahrzeug, auf dem Feld, auf der Baustelle und im Lager dieselbe Sicherheitsarchitektur nutzen kann.

„Wir haben uns nie für einen einzigen Markt entschieden — also konnten wir uns auch nicht für eine einzige Norm entscheiden. Unsere Antwort war, die strengste Anforderung zum Maßstab für alle zu machen." Kevin Arnold, CEO der Arnold NextG GmbH 

Was OEMs, Integratoren und Betreiber jetzt klären sollten

Wer diese Fragen erst während eines laufenden Entwicklungsprojekts beantwortet, zahlt häufig doppelt – mit zusätzlichem Entwicklungsaufwand, längeren Projektlaufzeiten und einem deutlich komplexeren Safety Case. Wer Drive-by-Wire-Systeme für autonome oder ferngesteuerte Fahrzeuge entwickelt oder integriert, sollte sich frühzeitig einige grundlegende Fragen stellen:

• Welche Normenwelt löst meine Anwendung tatsächlich aus – Straßenfahrzeug, Maschine oder beide? Und welche Anforderungen gelten in Grenzfällen, etwa für Werksverkehre mit Anbindung an öffentliche Straßen?
• Bezieht sich die ASIL- oder SIL-Aussage eines Lieferanten auf eine einzelne Komponente – oder auf die vollständige Systemfunktion im Fahrzeug einschließlich Sensorik, Kommunikation und Aktuatorik?
• Wie lässt sich ein weiteres Einsatzfeld erschließen, wenn Entwicklung, Prozesse und Sicherheitsnachweise bislang nur auf eine Normenwelt ausgerichtet wurden?
• Wie greifen Functional Safety, SOTIF und Cybersecurity im Safety Case ineinander – und wer verantwortet die jeweiligen Schnittstellen?
• Welche Sicherheitsnachweise bringt eine Plattform bereits mit, und welche müssen erst im konkreten Kundenprojekt erbracht werden?

Genau deshalb hat Arnold NextG diese Fragen bereits zu Beginn der Entwicklung von NX NextMotion beantwortet. Die konsolidierte Anforderungsbasis über alle relevanten Normenwelten hinweg bildet heute das Fundament der Plattform. Sie ersetzt nicht die Verantwortung des Fahrzeugherstellers für den vollständigen Sicherheitsnachweis des Gesamtfahrzeugs, schafft jedoch eine belastbare Ausgangsbasis, auf der Kundenprojekte aufbauen können – statt in jeder Domäne wieder bei null beginnen zu müssen.

Fazit

Normen sind keine Bürokratie. Sie sind die gemeinsame Sprache, mit der Sicherheit nachvollziehbar und nachweisbar wird – gegenüber Zulassungsbehörden, Auditoren, Betreibern und letztlich gegenüber den Menschen, die autonomen und ferngesteuerten Fahrzeugen vertrauen sollen. Wer heute eine Drive-by-Wire-basierte Control Layer für unterschiedliche Fahrzeugdomänen entwickelt, braucht deshalb keine einzelne Norm, sondern eine durchdachte Normenstrategie. Entscheidend ist eine konsolidierte Anforderungsbasis, in der die jeweils strengste Anforderung den Maßstab für Entwicklung und Sicherheitsnachweis setzt.

Im zweiten Teil dieser Serie zeigen wir, wie aus fünf unterschiedlichen Normenwelten ein gemeinsamer Satz von Sicherheitszielen entsteht – von der Gefährdungs- und Risikoanalyse über ASIL, SIL, AgPL, MPL und PL bis hin zum Prinzip der strengsten Anforderung als Grundlage einer domänenübergreifenden Drive-by-Wire-Plattform.