Einführung
In der sich rasant entwickelnden Automobilindustrie ist Sicherheit nicht nur ein Feature, sondern eine Notwendigkeit. Da Fahrzeuge zunehmend autonomer und softwaregesteuerter werden, ist die Gewährleistung funktionaler Sicherheit von größter Bedeutung. Dabei spielt ASIL (Automotive Safety Integrity Level) eine entscheidende Rolle.
Die in der ISO 26262-Norm definierte ASIL-Klassifizierung hilft bei der Bewertung potenzieller Gefahren in Automobilsystemen und leitet die erforderlichen Sicherheitsmaßnahmen zu deren Minderung ab. Von Bremssystemen bis hin zu fortschrittlichen Fahrerassistenzsystemen (ADAS) hilft der Automotive Safety Integrity Level (ASIL) dabei, die erforderliche Sorgfalt im Entwicklungsprozess zum Schutz von Menschenleben zu bestimmen.
In diesem Artikel erläutern wir, was der Automotive Safety Integrity Level (ASL) bedeutet, wie er in der ISO 26262 verwendet wird, die Unterschiede zwischen den ASL A, B, C und D und wie eine Risikobewertung mittels Gefahrenanalyse und Risikobewertung (HARA) durchgeführt wird. Egal, ob Sie neu mit dem Konzept sind oder Ihr Verständnis der Fahrzeugsicherheit vertiefen möchten – dieser Leitfaden führt Sie durch alles, was Sie wissen müssen.
Was ist ASIL (Automotive Safety Integrity Level)?
ASIL (Automotive Safety Integrity Level) ist ein Risikoklassifizierungsschema, das in der Norm ISO 26262 für die funktionale Sicherheit von Straßenfahrzeugen definiert ist. Es quantifiziert die Sicherheitsanforderungen, die erforderlich sind, um Gefahren durch potenzielle Systemausfälle in Fahrzeugkomponenten zu vermeiden oder zu kontrollieren.
Die Sicherheitsintegritätsstufen (ASIL) im Automobilbereich – A, B, C und D – werden anhand der Schwere, Aussetzung und Kontrollierbarkeit einer potenziellen Gefahr bestimmt. ASIL D stellt die höchste Risikostufe dar und erfordert daher die strengsten Sicherheitsmaßnahmen, während ASIL A die niedrigste darstellt.
Warum ist ASIL in der Automobilindustrie wichtig?
Da moderne Fahrzeuge für kritische Funktionen – wie Bremsen, Lenken und Kollisionsvermeidung – stark auf elektronische und Softwaresysteme angewiesen sind, können Systemausfälle lebensbedrohlich sein. Daher ist die ASIL-Klassifizierung unerlässlich, um sicherzustellen, dass alle Fahrzeugsicherheitsfunktionen auf einem angemessenen Sicherheitsniveau entwickelt, getestet und validiert werden.
Durch die Zuweisung eines Automotive Safety Integrity Levels zu jeder Systemfunktion können Ingenieure die entsprechenden Sicherheitsprozesse und Validierungsmethoden festlegen. Dies gewährleistet die Einhaltung der Automobilsicherheitsstandards und trägt dazu bei, Unfälle aufgrund von Systemfehlern zu vermeiden.
Überblick über ISO 26262 und Funktionale Sicherheit
ISO 26262 ist die internationale Norm für funktionale Sicherheit in elektrischen und elektronischen Systemen von Kraftfahrzeugen. Sie bietet einen systematischen Ansatz zur Identifizierung potenzieller Gefahren, zur Bewertung von Risiken und zur Definition von Sicherheitsanforderungen mithilfe der ASIL-Klassifizierung.
Der Standard definiert einen umfassenden Requirements-Engineering-Prozess, der von Konzept und Design über Implementierung, Test bis hin zur Wartung reicht. Sein Hauptziel ist es, das Risiko durch präventive Maßnahmen, die auf den festgelegten ASIL-Level abgestimmt sind, auf ein akzeptables Maß zu reduzieren.
Der Automotive Safety Integrity Level ist das Rückgrat der ISO 26262. Er schließt die Lücke zwischen potenziellen Gefahren und den technischen Maßnahmen, die zu ihrer Vermeidung oder Eindämmung erforderlich sind, und gewährleistet so eine sichere und zuverlässige Fahrzeugleistung während des gesamten Produktlebenszyklus.
Rolle von ASIL im ISO 26262-Standard
Im Rahmen der ISO 26262 dient der Automotive Safety Integrity Level als grundlegendes Element für die Definition und Verwaltung funktionaler Sicherheitsanforderungen. ISO 26262 schreibt die Verwendung der ASIL-Klassifizierung zur Bewertung der mit potenziellen Gefahren in Automobilsystemen verbundenen Risiken vor.
Jede Funktion in einem Fahrzeug wird anhand von drei Kriterien bewertet:
- Schweregrad (Auswirkungen des Fehlers),
- Exposition (Häufigkeit der Einsatzszenarien),
- Kontrollierbarkeit (Fähigkeit des Fahrers, das Fahrzeug nach einem Ausfall zu kontrollieren).
Diese Kriterien dienen der Zuordnung eines ASIL-Levels (A bis D), der wiederum die notwendigen Entwicklungsprozesse, Validierungsmaßnahmen und Sicherheitsmechanismen zur Risikominimierung bestimmt. Ohne den Automotive Safety Integrity Level fehle der ISO 26262-Norm eine strukturierte Methode zur Priorisierung sicherheitskritischer Komponenten.
Wie ASIL die funktionale Sicherheit in Automobilsystemen unterstützt
Der Automotive Safety Integrity Level gewährleistet funktionale Sicherheit, indem er Sicherheitsziele mit dem Risiko von Systemausfällen in Einklang bringt. Beispielsweise könnte ein Ausfall eines autonomen Notbremssystems schwerwiegende Folgen haben und wird daher typischerweise der Stufe D zugeordnet, die höchste Sicherheitsanforderungen erfordert.
Durch die Zuweisung von ASIL-Levels:
- Entwickler werden bei der Anwendung geeigneter Sicherheitspraktiken angeleitet,
- Ingenieure können Redundanz, Fehlererkennung und Diagnose basierend auf Risiko implementieren,
- Die Teams gewährleisten die Einhaltung der Automobilsicherheitsstandards über den gesamten Produktlebenszyklus hinweg.
Kurz gesagt bietet der Automotive Safety Integrity Level in Automobilsystemen eine strukturierte und quantifizierbare Möglichkeit, die funktionalen Sicherheitsanforderungen der ISO 26262 umzusetzen, das Ausfallrisiko zu verringern und die Gesamtsicherheit moderner Fahrzeuge zu verbessern.
ASIL-Klassifizierung und -Stufen (A, B, C, D)
Die ASIL-Klassifizierung ist ein zentraler Bestandteil der ISO-Norm 26262 und dient dazu, die erforderlichen Sicherheitsanforderungen für jedes Fahrzeugsystem oder jede Fahrzeugkomponente basierend auf ihrem Risikoniveau zu definieren. Die Klassifizierung umfasst vier aufsteigende Stufen – A, B, C und D – wobei ASIL D das höchste Risiko darstellt und die strengsten Sicherheitskontrollen erfordert.
Die Klassifizierung basiert auf drei Schlüsselfaktoren:
- Schwere – Der mögliche Schaden, der durch eine Fehlfunktion entsteht,
- Belichtung – wie häufig der Betriebszustand auftritt,
- Steuerbarkeit – Die Fähigkeit des Fahrers oder Systems, Schäden zu verhindern.
Jede Kombination dieser Faktoren bestimmt die entsprechende ASIL-Stufe durch einen Prozess, der als Gefahrenanalyse und Risikobewertung (HARA) bekannt ist.
Detaillierte Aufschlüsselung der Integritätsstufen der Fahrzeugsicherheit: A, B, C und D
Level A
- Risikostufe: Niedrigste
- Schwere: Leichte oder geringfügige Verletzungen
- Belichtung: Gelegentlich
- Steuerbarkeit: Leicht steuerbar durch den Fahrer
- Anwendungen: Nicht kritische Systeme (z. B. Infotainment-Warnungen)
Stufe B
- Risikostufe: Mäßig
- Schwere: Mögliche mittelschwere Verletzungen
- Belichtung: Häufiges Besuchen möglich
- Steuerbarkeit: Im Allgemeinen kontrollierbar
- Anwendungen: Servolenkungsunterstützung, Rückfahrkamerasysteme
Stufe C
- Risikostufe: High
- Schwere: Schwere Verletzungen möglich
- Belichtung: Wahrscheinlich oder häufig
- Steuerbarkeit: Schwer zu kontrollieren
- Anwendungen: Spurhaltesysteme, adaptive Geschwindigkeitsregelung
Stufe D
- Risikostufe: Höchste
- Schwere: Lebensbedrohliche oder tödliche Verletzungen
- Belichtung: Sehr häufig oder kontinuierlich
- Steuerbarkeit: Schwer oder unmöglich zu kontrollieren
- Anwendungen: Bremssysteme, Airbag-Auslösung, autonome Fahrfunktionen
Vergleich zwischen ASIL A und ASIL D: Schweregrad, Exposition und Kontrollierbarkeit
ASIL-D-Systeme durchlaufen strengste Entwicklungsprozesse, darunter ausführliche Tests, redundantes Design und umfassende Sicherheitsvalidierung, um die funktionalen Sicherheitsrichtlinien der ISO 26262 zu erfüllen. ASIL-A-Systeme erfordern dagegen weniger Aufwand, müssen aber dennoch die grundlegenden Sicherheitsanforderungen erfüllen.
ASIL-Risikobewertung und -Bestimmung
Was ist eine ASIL-Risikobewertung?
Die ASIL-Risikobewertung ist ein strukturierter Prozess, der in der funktionalen Sicherheitsnorm ISO 26262 definiert ist und den geeigneten Automotive Safety Integrity Level (ASIL) für eine bestimmte Fahrzeugfunktion bestimmt. Sie bewertet die Risiken potenzieller Systemausfälle und leitet die Entwicklung von Sicherheitszielen auf Grundlage des bewerteten Risikos.
Diese Bewertung stellt sicher, dass das Systemdesign den erforderlichen Sicherheitsanforderungen entspricht, indem jede Funktion mithilfe einer formalen Analyse namens HARA (Hazard Analysis and Risk Assessment) unter ASIL A, B, C oder D klassifiziert wird.
So bestimmen Sie den ASIL-Level: Schritt für Schritt
Die Ermittlung der richtigen ASIL-Klassifizierung umfasst die folgenden strukturierten Schritte:
- Funktionen und potenzielle Gefahren identifizieren
- Definieren Sie das zu analysierende System oder die Komponente.
- Identifizieren Sie alle potenziellen Fehlfunktionen oder Gefahrenszenarien.
- Definieren Sie die Betriebssituation
- Beurteilen Sie, unter welchen Fahrbedingungen (Geschwindigkeit, Straßentyp, Wetter) die Funktion arbeitet.
- Schweregrad bewerten (S)
- Schätzen Sie die möglichen Folgen eines Fehlers ab.
- Die Stufen reichen von S1 (leichte Verletzung) bis S3 (lebensbedrohliche oder tödliche Verletzung).
- Exposition beurteilen (E)
- Ermitteln Sie, wie oft der Betriebszustand auftritt.
- Reicht von E1 (sehr gering) bis E4 (hohe Wahrscheinlichkeit).
- Bewerten Sie die Kontrollierbarkeit (C)
- Beurteilen Sie die Fähigkeit des Fahrers oder des Systems, die Gefahr zu vermeiden.
- Reicht von C1 (leicht kontrollierbar) bis C3 (unkontrollierbar).
- ASIL-Level zuweisen
- Weisen Sie basierend auf der Kombination aus Schweregrad, Exposition und Kontrollierbarkeit eine ASIL-Stufe (A–D) oder QM (Qualitätsmanagement) zu, wenn das Risiko gering ist.
- Definieren Sie Sicherheitsziele und -anforderungen
- Übersetzen Sie die Ergebnisse des Integritätslevels in spezifische Sicherheitsziele und technische Sicherheitsanforderungen für die Systementwicklung.
Was ist HARA (Gefahrenanalyse und Risikobewertung)?
HARA steht für Hazard Analysis and Risk Assessment und ist die grundlegende Methodologie der ISO 26262 zur Bewertung und Klassifizierung von Risiken im Zusammenhang mit Automobilsystemen.
Durch HARA wird jede identifizierte Gefahr auf Folgendes analysiert:
- Schweregrad (S) – Auswirkungen des Fehlers auf die menschliche Sicherheit
- Belichtung (E) – Wahrscheinlichkeit des Eintretens der Fahrsituation
- Steuerbarkeit (C) – Fähigkeit des Fahrers/Systems, Schäden zu vermeiden
Die HARA-Matrix bildet diese Eingaben ab, um die entsprechende ASIL-Stufe zu bestimmen, die dann als Grundlage für alle nachfolgenden Sicherheitsaktivitäten dient.
ASIL-Faktoren erklärt: Schweregrad, Exposition, Kontrollierbarkeit
Diese drei Variablen bilden die Grundlage für die Bestimmung des Automotive Safety Integrity Level und ermöglichen es den Teams, während des gesamten Produktentwicklungszyklus das richtige Maß an funktionaler Sicherheitsgewährleistung anzuwenden.
Funktionale Sicherheit und ASIL-Konformität
Funktionale Sicherheitsanforderungen basierend auf ASIL-Levels
Funktionale Sicherheit gemäß ISO 26262 stellt sicher, dass Fahrzeugsysteme auch bei Fehlern sicher funktionieren. Jede ASIL-Stufe (A bis D) stellt unterschiedliche Anforderungen an die Sicherheitsintegrität, wobei ASIL D die strengsten Prozesse und Kontrollen erfordert.
Je höher das Automotive Safety Integrity Level (SIL), desto strenger müssen die Entwicklungsaktivitäten sein, darunter:
- Systematische Fehlervermeidung
- Robuste Designtechniken
- Verifizierungs- und Validierungsverfahren
- Fehlertoleranz und Diagnoseabdeckung
Dadurch wird sichergestellt, dass die funktionale Sicherheit im Verhältnis zum potenziellen Risiko jeder Funktion erreicht wird.
Sicherheitsziele und Sicherheitsanforderungen
Sicherheitsziele sind die funktionalen Sicherheitsziele auf höchster Ebene, die aus der ASIL-Risikobewertung (HARA) abgeleitet werden. Diese Ziele sind systemweite Ziele, die darauf abzielen, gefährliche Ereignisse zu verhindern oder zu mildern.
Jedes Sicherheitsziel wird dann in funktionale Sicherheitsanforderungen (FSRs) und technische Sicherheitsanforderungen (TSRs) unterteilt, die auf die Systemkomponenten und die Architektur verteilt werden.
Beispielsweise:
- Sicherheitsziel: Unbeabsichtigte Beschleunigung verhindern
- Funktionale Sicherheitsanforderung: Überwachen Sie die Drosselklappeneingabe auf Plausibilität
- Technische Sicherheitsanforderung: Sensorredundanz und Signalvergleich
Jede Anforderung trägt die dem ursprünglichen Sicherheitsziel zugewiesene ASIL-Stufe und erzwingt so eine entsprechende Entwicklungsstrenge in der gesamten Systemhierarchie.
ASIL-Konformität für Automobilsysteme und -komponenten
ASIL-Konformität bedeutet, den gesamten Produktentwicklungsprozess an den in ISO 26262 für die spezifische ASIL-Klassifizierung beschriebenen Praktiken, Aktivitäten und Dokumentationen auszurichten.
Zu den wichtigsten Aspekten der Compliance gehören:
- Gefahrenanalyse und Risikobewertung (HARA)
- ASIL-Zerlegung und -Zuordnung
- Entwicklung von Sicherheitsmechanismen (z. B. Fail-Safes, Watchdogs)
- Verifizierungs- und Validierungsaktivitäten (Tests, Simulationen)
- Erstellung eines Sicherheitsnachweises und der dazugehörigen Dokumentation
Alle Komponenten – Hardware, Software und Mechanik – müssen die Einhaltung des ihnen zugewiesenen Automotive Safety Integrity Level nachweisen, um als sicher für den Einsatz in Serienfahrzeugen zu gelten.
Auswirkungen auf elektronische Steuergeräte (ECUs) und Systemdesign
Elektronische Steuergeräte (ECUs) spielen eine zentrale Rolle bei der Ausführung sicherheitskritischer Funktionen und sind daher direkt von der Einstufung des Automotive Safety Integrity Levels betroffen.
ASIL wirkt sich auf folgende Weise auf das ECU-Design aus:
- Redundanz: Höhere ASIL-Level erfordern redundante Prozessoren, Speicher oder Kommunikationspfade
- Diagnose: Einbeziehung von Fehlererkennungs- und Fehlertoleranzmechanismen
- Partitionierung: Isolierung sicherheitskritischer Software von nicht-kritischen Aufgaben
- Entwicklungsprozess: Verbesserte Qualitätssicherung, Rückverfolgbarkeit und Lebenszyklusdokumentation
- Komponentenauswahl: Bevorzugung von ASIL-zertifizierten oder ASIL-fähigen Mikrocontrollern
Ein gut konzipiertes System berücksichtigt ASIL bereits in der Architekturphase, um Konformität, Kosten und Zuverlässigkeit zu optimieren.
Visure Requirements ALM-Plattform für ASIL-Compliance
Die Gewährleistung der ASIL-Konformität in komplexen Automobilsystemen erfordert leistungsstarke Tools, die die funktionale Sicherheit von Ende zu Ende und die ISO 26262-Anpassung unterstützen. Die Visure Requirements ALM-Plattform wurde speziell für die Herausforderungen der ASIL-gesteuerten Entwicklung entwickelt und bietet eine umfassende Lösung für das Management von Sicherheitsanforderungen, Risikobewertungen, Rückverfolgbarkeit und Validierung über den gesamten Lebenszyklus.
Schlüsselfunktionen von Visure für die ASIL-Konformität
- ASIL-fähiges Anforderungsmanagement – Visure bietet eine zentrale Kontrolle über alle sicherheitsrelevanten Anforderungen und stellt sicher, dass diese klar definiert, klassifiziert und an die entsprechenden ASIL-Stufen angepasst sind. Teams können sowohl funktionale als auch technische Sicherheitsanforderungen innerhalb einer einheitlichen Plattform verwalten.
- Integrierte Unterstützung bei HARA und Risikobewertung – Visure unterstützt den HARA-Prozess (Hazard Analysis and Risk Assessment), indem es Risikomatrizen, Bewertungen von Schweregrad, Exposition und Kontrollierbarkeit sowie eine direkte Verknüpfung von Gefahren mit Sicherheitszielen und ASIL-Klassifizierungen ermöglicht und so genaue und überprüfbare ASIL-Risikobewertungen erleichtert.
- Vollständige End-to-End-Rückverfolgbarkeit – Von Sicherheitszielen über Systemanforderungen, Testfälle bis hin zu Verifizierungsergebnissen ermöglicht Visure die bidirektionale Rückverfolgbarkeit – eine Kernanforderung für die Einhaltung der funktionalen Sicherheit nach ISO 26262. Rückverfolgbarkeitsansichten gewährleisten eine vollständige Abdeckung und Auswirkungsanalyse über alle Integritätsstufen der Fahrzeugsicherheit.
- ASIL-konforme Workflows und Vorlagen – Visure bietet vorkonfigurierte ISO 26262-Vorlagen, Formulare und Workflows, die auf ASIL-Konformität zugeschnitten sind. Diese können an den Sicherheitslebenszyklus Ihres Unternehmens angepasst und projektübergreifend wiederverwendet werden. Das erhöht die Konsistenz und verkürzt die Auditvorbereitungszeit.
- Automatisierte ASIL-Dokumentation und -Berichterstattung – Generieren Sie ASIL-spezifische Dokumentation in Echtzeit, wie z. B. Sicherheitspläne, Sicherheitsanforderungsspezifikationen (SRS), Verifizierungs- und Validierungsberichte sowie Sicherheitsnachweise. Dies gewährleistet eine transparente Berichterstattung für Bewertungen, Audits und Zertifizierungen.
- KI-gesteuerte Unterstützung bei der Anforderungsqualität – Mit integrierten KI-gestützten Funktionen hilft Visure, schlecht formulierte oder mehrdeutige Sicherheitsanforderungen zu identifizieren und so die Qualität und Einhaltung der ASIL-Schreibstandards zu verbessern. Dies ist unerlässlich, um Sicherheitsrisiken während der Entwicklung zu minimieren.
Warum sollten Sie Visure für ASIL-Projekte wählen?
- Unterstützt die ISO 26262-Konformität vom Konzept bis zur Produktion
- Optimiert die Zusammenarbeit zwischen Entwicklungs- und Sicherheitsteams
- Optimiert die Dokumentation und Sicherheitsprüfungen
- Ermöglicht eine schnellere Risikominderung durch frühzeitige Fehlererkennung
- Bietet Flexibilität bei der Integration mit Tools wie MATLAB, Simulink, Polarion und mehr
Unabhängig davon, ob Sie ein Bremssystem mit der Einstufung ASIL D oder eine Infotainment-Schnittstelle der Kategorie QM entwickeln, bietet Ihnen die Visure Requirements ALM-Plattform die Kontrolle, Transparenz und Genauigkeit, die Sie benötigen, um funktionale Sicherheit und Konformität effizient zu erreichen.
Fazit
In der sich ständig weiterentwickelnden Automobillandschaft spielt ASIL (Automotive Safety Integrity Level) eine entscheidende Rolle bei der Gewährleistung der funktionalen Sicherheit in zunehmend komplexen Systemen. ASIL basiert auf der Norm ISO 26262 und bietet einen strukturierten Rahmen zur Identifizierung von Risiken, zur Definition von Sicherheitsanforderungen und zur Gewährleistung des zuverlässigen Betriebs kritischer Fahrzeugkomponenten – auch unter Fehlerbedingungen.
Das Verständnis und die Implementierung der ASIL-Stufen (A bis D) ermöglichen Entwicklungsteams ein systematisches Risikomanagement, die Definition geeigneter Sicherheitsziele und die Ausrichtung der Systemarchitektur an der erforderlichen Sicherheitsintegrität. Von ersten HARA-Bewertungen bis hin zur Rückverfolgbarkeit und Konformitätsprüfung trägt ASIL dazu bei, gefährliche Ausfälle zu vermeiden, die zu lebensbedrohlichen Situationen führen können.
Da Automobilsysteme immer intelligenter und autonomer werden, ist die Nachfrage nach robusten Compliance-Prozessen und -Tools so groß wie nie zuvor. Hier setzt die Visure Requirements ALM-Plattform an: Sie bietet eine integrierte, KI-gestützte Lösung, die die Implementierung des Risikomanagements vereinfacht, die Rückverfolgbarkeit verbessert und die vollständige Einhaltung der ISO 26262 gewährleistet.
Starten Sie noch heute Ihre 14-tägige kostenlose Testversion der Visure Requirements ALM-Plattform und erfahren Sie, wie das richtige Tool Ihr ASIL-Anforderungsmanagement, Ihre Sicherheitsdokumentation und Ihren funktionalen Sicherheitslebenszyklus verändern kann.
