VDA 450 (04/2023) Deutsch

Mit Zunahme der Elektrifizierung und Digitalisierung schreitet auch der Automatisierungsgrad von Fahrzeugfunktionen stetig voran. Damit zusammenhängend ist eine sicherheitsgerichtete Entwicklung, welche den Schutz von Leib und Leben zum Ziel hat, eine Voraussetzung. Aus diesem Grund wurde die ISO 26262 seit 2011, welche mittlerweile in der zweiten Edition ISO 26262:2018 verfügbar ist, als weltweiter Standard zur Entwicklung entsprechender Fahrzeugfunktionen ins Leben gerufen.

Das Energiebordnetz stellt als Grundfunktion eines Fahrzeugs Energie für alle elektrischen Systeme und Funktionen im Fahrzeug zur Verfügung. Ohne die entsprechende Funktion der Energiebereitstellung kann auch keine elektrische Funktion durchgeführt werden. Klassischerweise sind viele Funktionen, die im Kontext der ISO 26262:2018 entwickelt werden, als Fail-Passive Funktion ausgeführt und nehmen bei Auftreten eines Fehlers stromlos den sicheren Zustand ein. Ausnahmen gibt es auch hier z.B. mit der Lichtfunktion und der Wischfunktion eines Fahrzeuges, die in der Historie durch Nutzung unterschiedlicher Energieverteilungen für rechte / linke Seite (Kreuzverschaltung) fehlertolerant ausgelegt wurden.

Mit Einsatz von halb- bzw. vollautomatisierten Fahrzeugfunktionen (Level 3-5 nach SAE J3016:2021), welche zeitlich begrenzt oder sogar komplett ohne menschlichen Eingriff einen Fahrzeugbetrieb ermöglichen, ist eine Fail-Passive Funktion nicht mehr ausreichend, da ein weiterer Fahrbetrieb nach einem Fehler notwendig ist, um die aktuelle Gefahr abzuwenden und im Weiteren einen sicheren Zustand zu erreichen. Man spricht in diesen Fällen von Fail-Active Funktionen oder in diesem Dokument auch von sicherheitsrelevanten Fahrzeugfunktionen, wobei die Sicherheitsrelevanz sich in diesem Kontext auf die Verfügbarkeit von Energie bezieht.

Dementsprechend unterliegt die Energieversorgung für die Umsetzung von Fail-Active Fahrzeugfunktionen auch den gleichen Anforderungen an die sicherheitsgerichtete Entwicklung nach ISO 26262:2018 wie die entsprechenden Fahrzeugfunktionen selbst. Es ist dabei zu berücksichtigen, dass ein Fahrzeug in der Regel nicht nur eine sicherheitsrelevanten Fahrzeugfunktion unterstützen muss sondern mehrere. Diese können zeitlich versetzt in Anspruch genommen werden oder auch gleichzeitig auftreten.

Diese VDA-Empfehlung hat das Ziel einen Sicherheitsstandard im Energiebordnetz zu definieren, welcher sich in der Interpretation relevanter Passagen der ISO 26262:2018, der Strukturierung des Sicherheitskonzepts als auch in den Anforderungen an die Elemente widerspiegelt. Weiterhin behandelt diese Empfehlung kritische Themen in der Anwendung der ISO 26262:2018 und stellt exemplarische Fallbeispiele dar.