ISO 26262 (Funktionale Sicherheit im Fahrzeug)
ISO 26262 ist die internationale Norm für die funktionale Sicherheit elektrischer und elektronischer (E/E) Systeme in Straßenfahrzeugen. Sie leitet sich von der IEC 61508 ab, definiert mit ASIL A bis D ein automobilspezifisches Risikoschema und begleitet den gesamten Sicherheitslebenszyklus — von der Konzeptphase über die Entwicklung bis zu Produktion, Betrieb und Außerbetriebnahme.
Aufbau: Zwölf Teile entlang des Sicherheitslebenszyklus
Die aktuelle zweite Edition (2018) gliedert sich in zwölf Teile:
| Teil | Inhalt |
|---|---|
| 1 | Vokabular |
| 2 | Management der funktionalen Sicherheit |
| 3 | Konzeptphase: Item-Definition, HARA, funktionales Sicherheitskonzept |
| 4 | Produktentwicklung auf Systemebene |
| 5 | Produktentwicklung auf Hardware-Ebene |
| 6 | Produktentwicklung auf Software-Ebene |
| 7 | Produktion, Betrieb, Service und Außerbetriebnahme |
| 8 | Unterstützende Prozesse — u. a. Verifikation, Konfigurationsmanagement, Tool-Qualifizierung |
| 9 | ASIL-orientierte und sicherheitsorientierte Analysen — u. a. ASIL-Dekomposition |
| 10 | Leitfaden zur Anwendung der Norm |
| 11 | Anwendung auf Halbleiter |
| 12 | Anpassung für Motorräder |
Die Teile 11 und 12 kamen mit der zweiten Edition neu hinzu. Zugleich wurde der Anwendungsbereich erweitert: Galt die erste Edition (2011) noch für Pkw, deckt die Norm seit 2018 Serien-Straßenfahrzeuge insgesamt ab — einschließlich Lkw, Bussen und Anhängern.
V-Modell und Sicherheitslebenszyklus
Die Produktentwicklung folgt in der ISO 26262 einem V-Modell — auf Systemebene (Teil 4) sowie darunter parallel für Hardware (Teil 5) und Software (Teil 6). Auf dem linken Ast werden die in der HARA ermittelten Sicherheitsziele schrittweise zu funktionalen und technischen Sicherheitsanforderungen verfeinert und in eine Architektur überführt; der rechte Ast weist über Integration, Verifikation und Test nach, dass jede Anforderung erfüllt ist. Diese durchgängige Ableitungskette vom Sicherheitsziel bis zum Testfall muss nachvollziehbar dokumentiert sein — die Norm fordert Nachverfolgbarkeit zwischen Anforderungen, Umsetzung und Verifikation.
ASIL: abgestufte Strenge statt Pauschalanforderungen
Kern der Norm ist der risikobasierte Ansatz: Nicht jede Fahrzeugfunktion wird gleich streng behandelt. Die Gefährdungsanalyse und Risikobewertung (HARA) nach Teil 3 bewertet jede Gefährdung nach Schwere (S), Exposition (E) und Beherrschbarkeit (C) und leitet daraus die Einstufung QM oder ASIL A bis D ab. Je höher der ASIL, desto strenger die Vorgaben — etwa an Testabdeckung, Architekturmetriken und die Unabhängigkeit der Prüfinstanzen. Ab ASIL C empfehlen die Methodentabellen der Norm semi-formale Methoden für Spezifikation und Software-Architekturentwurf dringend. Teil 9 erlaubt zudem die ASIL-Dekomposition: die Aufteilung einer hohen Sicherheitsanforderung auf redundante, nachweislich unabhängige Elemente mit niedrigerem ASIL.
ISO 26262 in der Praxis
Die ISO 26262 ist keine Rechtsvorschrift, gilt aber als Stand der Technik — OEMs fordern die Einhaltung vertraglich entlang der Lieferkette, und im Haftungsfall wird eine Abweichung begründungspflichtig. Die größten praktischen Hürden liegen erfahrungsgemäß weniger im Verstehen der Norm als in ihrer Umsetzung über Werkzeuggrenzen hinweg: lückenlose Traceability von der HARA bis zum Testergebnis, die Qualifizierung der eingesetzten Entwicklungswerkzeuge nach Teil 8 sowie die Pflege der Arbeitsergebnisse bei späten Systemänderungen. Wer die HARA und den Safety Case als eingefrorene Dokumente behandelt, arbeitet bei jeder Änderung gegen Kopien — und verliert die Konsistenz, die der Assessor sehen will.