Einleitung
In der sich rasant entwickelnden Automobilindustrie von heute ist Sicherheit nicht nur ein Merkmal – sie ist eine Notwendigkeit. Da Fahrzeuge zunehmend autonomer und softwaregesteuerter werden, hat die Gewährleistung der funktionalen Sicherheit höchste Priorität. Hier spielt ASIL, der Automotive Safety Integrity Level, eine entscheidende Rolle.
Die im ISO-26262-Standard definierte ASIL-Klassifizierung hilft dabei, das mit potenziellen Gefährdungen in Fahrzeugsystemen verbundene Risiko zu bewerten und die erforderlichen Sicherheitsmaßnahmen zu deren Minderung festzulegen. Von Bremssystemen bis hin zu fortschrittlichen Fahrerassistenzsystemen (ADAS) bestimmt der Automotive Safety Integrity Level, wie streng der Entwicklungsprozess gestaltet werden muss, um Menschenleben zu schützen.
In diesem Artikel erläutern wir, was der Automotive Safety Integrity Level bedeutet, wie er in ISO 26262 eingesetzt wird, welche Unterschiede zwischen Automotive Safety Integrity Level A, B, C und D bestehen und wie eine Risikobewertung mithilfe der Gefahrenanalyse und Risikobewertung (HARA) durchgeführt wird. Ganz gleich, ob Sie mit dem Konzept noch nicht vertraut sind oder Ihr Wissen über Fahrzeugsicherheit vertiefen möchten – dieser Leitfaden vermittelt Ihnen alles, was Sie wissen müssen.
Was ist ASIL (Automotive Safety Integrity Level)?
ASIL, der Automotive Safety Integrity Level, ist ein im ISO-26262-Standard für funktionale Sicherheit von Straßenfahrzeugen definiertes Risikoklassifizierungsschema. Er quantifiziert die Sicherheitsanforderungen, die erforderlich sind, um Gefährdungen durch potenzielle Systemausfälle in Fahrzeugkomponenten zu vermeiden oder zu beherrschen.
Die Automotive Safety Integrity Levels – A, B, C und D – werden anhand des Schweregrads, der Exposition und der Beherrschbarkeit einer potenziellen Gefährdung bestimmt. ASIL D stellt das höchste Risikoniveau dar und erfordert daher die strengsten Sicherheitsmaßnahmen, während ASIL A das niedrigste widerspiegelt.
Warum ist ASIL in der Automobilindustrie wichtig?
Da moderne Fahrzeuge bei kritischen Funktionen – wie Bremsen, Lenken und Kollisionsvermeidung – stark auf elektronische und softwarebasierte Systeme angewiesen sind, können die Folgen eines Systemausfalls lebensbedrohlich sein. Daher ist die ASIL-Klassifizierung unerlässlich, um sicherzustellen, dass alle sicherheitsrelevanten Fahrzeugfunktionen auf einem angemessenen Sicherheitsniveau entwickelt, getestet und validiert werden.
Durch die Zuweisung eines Automotive Safety Integrity Levels zu jeder Systemfunktion können Ingenieure die geeigneten Sicherheitsprozesse und Validierungsmethoden bestimmen. Dies gewährleistet die Einhaltung von Sicherheitsstandards der Automobilindustrie und trägt dazu bei, Unfälle aufgrund von Systemfehlfunktionen zu verhindern.
Überblick über ISO 26262 und funktionale Sicherheit
ISO 26262 ist der internationale Standard für funktionale Sicherheit elektrischer und elektronischer Systeme in Fahrzeugen. Er bietet einen systematischen Ansatz zur Identifizierung potenzieller Gefährdungen, zur Bewertung von Risiken und zur Definition von Sicherheitsanforderungen mithilfe der ASIL-Klassifizierung.
Der Standard definiert einen umfassenden Requirements-Engineering-Prozess, der sich vom Konzept und Design über Implementierung und Tests bis hin zur Wartung erstreckt. Sein primäres Ziel besteht darin, Risiken durch vorbeugende Maßnahmen, die auf den ermittelten ASIL-Level abgestimmt sind, auf ein akzeptables Niveau zu reduzieren.
Der Automotive Safety Integrity Level bildet das Rückgrat von ISO 26262 – er schließt die Lücke zwischen potenziellen Gefährdungen und den technischen Maßnahmen, die erforderlich sind, um diese zu verhindern oder zu mindern, und gewährleistet dadurch eine sichere und zuverlässige Fahrzeugleistung über den gesamten Produktlebenszyklus hinweg.
Rolle von ASIL im ISO-26262-Standard
Im Rahmen von ISO 26262 dient der Automotive Safety Integrity Level als grundlegendes Element zur Definition und Verwaltung funktionaler Sicherheitsanforderungen. ISO 26262 schreibt die Verwendung der ASIL-Klassifizierung vor, um die mit potenziellen Gefährdungen in Fahrzeugsystemen verbundenen Risiken zu bewerten.
Jede Funktion in einem Fahrzeug wird anhand von drei Kriterien bewertet:
- Schweregrad (Auswirkung des Ausfalls),
- Exposition (Häufigkeit betrieblicher Szenarien),
- Beherrschbarkeit (Fähigkeit des Fahrers, das Fahrzeug nach einem Ausfall zu kontrollieren).
Diese Kriterien bestimmen die Zuweisung eines ASIL-Levels (A bis D), der wiederum die erforderlichen Entwicklungsprozesse, Validierungsmaßnahmen und Sicherheitsmechanismen festlegt, die zur Risikominderung notwendig sind. Ohne den Automotive Safety Integrity Level würde dem ISO-26262-Standard eine strukturierte Methode zur Priorisierung sicherheitskritischer Komponenten fehlen.
Wie ASIL die funktionale Sicherheit in Fahrzeugsystemen unterstützt
Der Automotive Safety Integrity Level gewährleistet funktionale Sicherheit, indem Sicherheitsziele auf das Risikoniveau abgestimmt werden, das durch Systemausfälle entsteht. Beispielsweise könnte ein Ausfall eines autonomen Notbremssystems schwerwiegende Folgen haben und würde daher typischerweise als Level D eingestuft – was den höchsten Grad an Sicherheitsstrenge erfordert.
Durch die Zuweisung von ASIL-Levels:
- werden Entwickler bei der Anwendung geeigneter Sicherheitspraktiken unterstützt,
- können Ingenieure Redundanz, Fehlererkennung und Diagnose entsprechend dem Risiko implementieren,
- stellen Teams die Einhaltung von Sicherheitsstandards der Automobilindustrie über den gesamten Produktlebenszyklus hinweg sicher.
Kurz gesagt bietet der Automotive Safety Integrity Level in Fahrzeugsystemen eine strukturierte und quantifizierbare Methode zur Umsetzung der funktionalen Sicherheitsanforderungen von ISO 26262, wodurch das Ausfallrisiko reduziert und die Gesamtsicherheit moderner Fahrzeuge verbessert wird.
ASIL-Klassifizierung und Levels (A, B, C, D)
Die ASIL-Klassifizierung ist ein zentraler Bestandteil des ISO-26262-Standards und dient dazu, die erforderlichen Sicherheitsanforderungen für jedes Fahrzeugsystem oder jede Komponente auf Grundlage des jeweiligen Risikoniveaus festzulegen. Die Klassifizierung umfasst vier aufsteigende Levels – A, B, C und D –, wobei ASIL D den höchsten Risikograd darstellt und die strengsten Sicherheitsmaßnahmen erfordert.
Die Klassifizierung basiert auf drei Schlüsselfaktoren:
- Schweregrad – Der potenzielle Schaden, der durch eine Fehlfunktion verursacht wird,
- Exposition – Wie häufig die jeweilige Betriebssituation auftritt,
- Beherrschbarkeit – Die Fähigkeit des Fahrers oder Systems, Schäden zu verhindern.
Jede Kombination dieser Faktoren bestimmt im Rahmen eines als Hazard Analysis and Risk Assessment (HARA) bezeichneten Prozesses den geeigneten ASIL-Level.
Detaillierte Aufschlüsselung der Automotive Safety Integrity Levels: A, B, C und D
Level A
- Risikolevel: Niedrigstes
- Schweregrad: Leichte oder geringfügige Verletzungen
- Exposition: Gelegentlich
- Beherrschbarkeit: Vom Fahrer leicht beherrschbar
- Anwendungen: Nicht kritische Systeme (z. B. Infotainment-Warnungen)
Level B
- Risikolevel: Moderat
- Schweregrad: Mögliche mittelschwere Verletzungen
- Exposition: Möglich bis häufig
- Beherrschbarkeit: Im Allgemeinen beherrschbar
- Anwendungen: Servolenkungsunterstützung, Rückfahrkamerasysteme
Level C
- Risikolevel: Hoch
- Schweregrad: Schwere Verletzungen möglich
- Exposition: Wahrscheinlich oder häufig
- Beherrschbarkeit: Schwer zu beherrschen
- Anwendungen: Spurhaltesysteme, adaptive Geschwindigkeitsregelung
Level D
- Risikolevel: Höchstes
- Schweregrad: Lebensbedrohliche oder tödliche Verletzungen
- Exposition: Sehr häufig oder kontinuierlich
- Beherrschbarkeit: Schwer oder unmöglich zu beherrschen
- Anwendungen: Bremssysteme, Airbag-Auslösung, autonome Fahrfunktionen
Vergleich ASIL A vs. ASIL D: Risikoschwere, Exposition und Beherrschbarkeit
ASIL-D-Systeme durchlaufen die strengsten Entwicklungsprozesse, einschließlich umfassender Tests, redundanter Auslegung und umfangreicher Sicherheitsvalidierung, um die Richtlinien für funktionale Sicherheit gemäß ISO 26262 einzuhalten. Im Gegensatz dazu erfordern ASIL-A-Systeme weniger Aufwand, müssen jedoch weiterhin grundlegende Sicherheitsanforderungen erfüllen.
ASIL-Risikobewertung und -Bestimmung
Was ist eine ASIL-Risikobewertung?
Die ASIL-Risikobewertung ist ein strukturierter, im ISO-26262-Standard für funktionale Sicherheit definierter Prozess zur Bestimmung des geeigneten Automotive Safety Integrity Levels für eine bestimmte Fahrzeugfunktion. Dabei werden die Risiken potenzieller Systemausfälle bewertet und die Entwicklung von Sicherheitszielen auf Grundlage des ermittelten Risikos gesteuert.
Diese Bewertung stellt sicher, dass das Systemdesign der erforderlichen Sicherheitsstrenge entspricht, indem jede Funktion mithilfe einer formalen Analyse namens HARA – Hazard Analysis and Risk Assessment – unter ASIL A, B, C oder D klassifiziert wird.
So bestimmen Sie den ASIL-Level: Schritt für Schritt
Die Bestimmung der korrekten ASIL-Klassifizierung umfasst die folgenden strukturierten Schritte:
- Funktionen und potenzielle Gefährdungen identifizieren
- Das zu analysierende System oder die Komponente definieren.
- Alle potenziellen Fehlfunktionen oder Gefahrenszenarien identifizieren.
- Betriebssituation definieren
- Bewerten, unter welchen Fahrbedingungen (Geschwindigkeit, Straßentyp, Wetter) die Funktion arbeitet.
- Schweregrad (S) bewerten
- Die potenziellen Folgen eines Ausfalls einschätzen.
- Reicht von S1 (leichte Verletzung) bis S3 (lebensbedrohliche oder tödliche Verletzung).
- Exposition (E) bewerten
- Bestimmen, wie häufig die Betriebssituation auftritt.
- Reicht von E1 (sehr niedrig) bis E4 (hohe Wahrscheinlichkeit).
- Beherrschbarkeit (C) bewerten
- Die Fähigkeit des Fahrers oder Systems beurteilen, die Gefährdung zu vermeiden.
- Reicht von C1 (leicht beherrschbar) bis C3 (nicht beherrschbar).
- ASIL-Level zuweisen
- Basierend auf der Kombination aus Schweregrad, Exposition und Beherrschbarkeit einen ASIL-Level (A–D) oder QM (Quality Management) zuweisen, wenn das Risiko gering ist.
- Sicherheitsziele und Anforderungen definieren
- Die Ergebnisse des Integrity Levels in konkrete Sicherheitsziele und technische Sicherheitsanforderungen für die Systementwicklung überführen.
Was ist HARA (Hazard Analysis and Risk Assessment)?
HARA, kurz für Hazard Analysis and Risk Assessment, ist die zentrale Methodik, die in ISO 26262 zur Bewertung und Klassifizierung von Risiken im Zusammenhang mit Fahrzeugsystemen verwendet wird.
Im Rahmen von HARA wird jede identifizierte Gefährdung hinsichtlich folgender Aspekte analysiert:
- Schweregrad (S) – Auswirkung des Ausfalls auf die Sicherheit von Menschen
- Exposition (E) – Wahrscheinlichkeit des Auftretens der Fahrsituation
- Beherrschbarkeit (C) – Fähigkeit des Fahrers/Systems, Schäden zu vermeiden
Die HARA-Matrix ordnet diese Eingaben dem entsprechenden ASIL-Level zu, der anschließend alle nachgelagerten Sicherheitsaktivitäten bestimmt.
ASIL-Faktoren erklärt: Schweregrad, Exposition, Beherrschbarkeit
Diese drei Variablen bilden die Grundlage für die Bestimmung des Automotive Safety Integrity Levels und ermöglichen es Teams, über den gesamten Produktentwicklungslebenszyklus hinweg das richtige Maß an funktionaler Sicherheitsabsicherung anzuwenden.
Funktionale Sicherheit und ASIL-Compliance
Anforderungen an die funktionale Sicherheit basierend auf ASIL-Levels
Funktionale Sicherheit, wie sie im ISO-26262-Standard definiert ist, stellt sicher, dass Fahrzeugsysteme auch bei auftretenden Fehlern sicher funktionieren. Jeder ASIL-Level (A bis D) bringt unterschiedliche Anforderungen an die Sicherheitsintegrität mit sich, wobei ASIL D die strengsten Prozesse und Kontrollen verlangt.
Je höher der Automotive Safety Integrity Level, desto strenger müssen die Entwicklungsaktivitäten sein, darunter:
- Vermeidung systematischer Fehler
- Robuste Designtechniken
- Verifizierungs- und Validierungsverfahren
- Fehlertoleranz und Diagnoseabdeckung
Dadurch wird sichergestellt, dass funktionale Sicherheit proportional zum potenziellen Risiko der jeweiligen Funktion erreicht wird.
Sicherheitsziele und Sicherheitsanforderungen
Sicherheitsziele sind die übergeordneten Ziele der funktionalen Sicherheit, die aus der ASIL-Risikobewertung (HARA) abgeleitet werden. Diese Ziele sind Vorgaben auf Systemebene, die darauf abzielen, gefährliche Ereignisse zu verhindern oder zu mindern.
Jedes Sicherheitsziel wird anschließend in Functional Safety Requirements (FSRs) und Technical Safety Requirements (TSRs) unterteilt, die den verschiedenen Systemkomponenten und der Architektur zugeordnet werden.
Zum Beispiel:
- Sicherheitsziel: Unbeabsichtigte Beschleunigung verhindern
- Funktionale Sicherheitsanforderung: Gaspedaleingabe auf Plausibilität überwachen
- Technische Sicherheitsanforderung: Sensorredundanz und Signalvergleich
Jede Anforderung übernimmt den ASIL-Level des ursprünglichen Sicherheitsziels und gewährleistet so die entsprechende Entwicklungsstrenge in der gesamten Systemhierarchie.
ASIL-Compliance für Fahrzeugsysteme und Komponenten
ASIL-Compliance bedeutet, den gesamten Produktentwicklungsprozess an den Praktiken, Aktivitäten und Dokumentationsanforderungen auszurichten, die ISO 26262 für die jeweilige ASIL-Klassifizierung vorgibt.
Zu den wichtigsten Aspekten der Compliance gehören:
- Hazard Analysis and Risk Assessment (HARA)
- ASIL-Dekomposition und -Zuordnung
- Entwicklung von Sicherheitsmechanismen (z. B. Fail-Safes, Watchdogs)
- Verifizierungs- und Validierungsaktivitäten (Tests, Simulationen)
- Erstellung eines Safety Case und der unterstützenden Dokumentation
Alle Komponenten – Hardware, Software und Mechanik – müssen die Einhaltung ihres zugewiesenen Automotive Safety Integrity Levels nachweisen, um als sicher für den Einsatz in Serienfahrzeugen zu gelten.
Auswirkungen auf Electronic Control Units (ECUs) und das Systemdesign
Electronic Control Units (ECUs) spielen eine zentrale Rolle bei der Ausführung sicherheitskritischer Funktionen und sind daher direkt von der Automotive-Safety-Integrity-Level-Klassifizierung betroffen.
ASIL beeinflusst das ECU-Design auf folgende Weise:
- Redundanz: Höhere ASIL-Levels erfordern redundante Prozessoren, Speicher oder Kommunikationspfade
- Diagnose: Integration von Fehlererkennungs- und fehlertoleranten Mechanismen
- Partitionierung: Isolierung sicherheitskritischer Software von nicht kritischen Aufgaben
- Entwicklungsprozess: Verbesserte Qualitätssicherung, Rückverfolgbarkeit und Lebenszyklusdokumentation
- Komponentenauswahl: Bevorzugung ASIL-zertifizierter oder ASIL-fähiger Mikrocontroller
Ein gut konzipiertes System berücksichtigt ASIL bereits in der Architekturphase, um Compliance, Kosten und Zuverlässigkeit zu optimieren.
Visure Requirements ALM Platform für ASIL-Compliance
Die Gewährleistung der ASIL-Compliance in komplexen Fahrzeugsystemen erfordert leistungsfähige Tools, die eine durchgängige funktionale Sicherheit und die Ausrichtung an ISO 26262 unterstützen. Die Visure Requirements ALM Platform wurde speziell entwickelt, um die Herausforderungen der ASIL-gesteuerten Entwicklung zu bewältigen, und bietet eine umfassende Lösung für das Management von Sicherheitsanforderungen, Risikobewertungen, Rückverfolgbarkeit und Validierung über den gesamten Lebenszyklus hinweg.
Wichtige Funktionen von Visure für ASIL-Compliance
- ASIL-fähiges Anforderungsmanagement – Visure bietet eine zentrale Kontrolle über alle sicherheitsrelevanten Anforderungen und stellt sicher, dass diese klar definiert, klassifiziert und den entsprechenden ASIL-Levels zugeordnet sind. Teams können sowohl funktionale als auch technische Sicherheitsanforderungen innerhalb einer einheitlichen Plattform verwalten.
- Integrierte Unterstützung für HARA und Risikobewertung – Visure unterstützt den HARA-Prozess (Hazard Analysis and Risk Assessment) durch Risikomatrizen, Bewertungen von Schweregrad, Exposition und Beherrschbarkeit sowie die direkte Verknüpfung von Gefährdungen mit Sicherheitszielen und ASIL-Klassifizierungen – und ermöglicht dadurch präzise und auditierbare ASIL-Risikobewertungen.
- Vollständige End-to-End-Rückverfolgbarkeit – Von Sicherheitszielen über Systemanforderungen und Testfälle bis hin zu Verifizierungsergebnissen ermöglicht Visure eine bidirektionale Rückverfolgbarkeit – eine zentrale Anforderung für die Einhaltung der funktionalen Sicherheit gemäß ISO 26262. Traceability-Ansichten gewährleisten vollständige Abdeckung und Auswirkungsanalysen über alle Automotive Safety Integrity Levels hinweg.
- ASIL-konforme Workflows und Vorlagen – Visure bietet vorkonfigurierte ISO-26262-Vorlagen, Formulare und Workflows, die auf ASIL-Compliance zugeschnitten sind. Diese können an den Sicherheitslebenszyklus Ihres Unternehmens angepasst und projektübergreifend wiederverwendet werden, wodurch die Konsistenz verbessert und der Aufwand für die Auditvorbereitung reduziert wird.
- Automatisierte ASIL-Dokumentation und Berichterstellung – Erstellen Sie in Echtzeit ASIL-spezifische Dokumentationen wie Safety Plans, Safety Requirement Specifications (SRS), Verification & Validation Reports und Safety Cases. Dies gewährleistet eine transparente Berichterstattung für Bewertungen, Audits und Zertifizierungen.
- KI-gestützte Unterstützung der Anforderungsqualität – Mit integrierten KI-gestützten Funktionen hilft Visure dabei, schlecht formulierte oder mehrdeutige Sicherheitsanforderungen zu identifizieren und verbessert so die Qualität und Compliance mit ASIL-Schreibstandards. Dies ist entscheidend, um Sicherheitsrisiken während der Entwicklung zu minimieren.
Warum Visure für ASIL-Projekte wählen?
- Unterstützt die ISO-26262-Compliance vom Konzept bis zur Produktion
- Optimiert die Zusammenarbeit zwischen Engineering- und Sicherheitsteams
- Vereinfacht Dokumentation und Sicherheitsaudits
- Ermöglicht eine schnellere Risikominderung durch frühzeitige Fehlererkennung
- Bietet Flexibilität zur Integration mit Tools wie MATLAB, Simulink, Polarion und weiteren
Ganz gleich, ob Sie ein mit ASIL D eingestuftes Bremssystem oder eine unter QM kategorisierte Infotainment-Schnittstelle entwickeln – die Visure Requirements ALM Platform bietet Ihnen die Kontrolle, Transparenz und Strenge, die erforderlich sind, um funktionale Sicherheit und Compliance effizient zu erreichen.
Fazit
In der sich wandelnden Automobillandschaft von heute spielt ASIL (Automotive Safety Integrity Level) eine entscheidende Rolle bei der Gewährleistung funktionaler Sicherheit in zunehmend komplexen Systemen. Basierend auf dem ISO-26262-Standard bietet ASIL einen strukturierten Rahmen zur Identifizierung von Risiken, Definition von Sicherheitsanforderungen und Sicherstellung, dass kritische Fahrzeugkomponenten auch unter Fehlerbedingungen zuverlässig funktionieren.
Das Verständnis und die Implementierung der ASIL-Levels (A bis D) ermöglichen es Entwicklungsteams, Risiken systematisch zu verwalten, geeignete Sicherheitsziele zu definieren und die Systemarchitektur an der erforderlichen Sicherheitsintegrität auszurichten. Von den ersten HARA-Bewertungen über die Rückverfolgbarkeit bis hin zur Compliance-Verifizierung trägt ASIL dazu bei, gefährliche Ausfälle zu verhindern, die zu lebensbedrohlichen Situationen führen könnten.
Da Fahrzeugsysteme immer intelligenter und autonomer werden, war der Bedarf an robusten Compliance-Prozessen und Tools noch nie so groß. Genau hier setzt die Visure Requirements ALM Platform an – mit einer integrierten, KI-gestützten Lösung, die die Umsetzung des Risikomanagements vereinfacht, die Rückverfolgbarkeit verbessert und eine vollständige Ausrichtung an ISO 26262 gewährleistet.
Starten Sie noch heute Ihre kostenlose 14-tägige Testversion der Visure Requirements ALM Platform und erleben Sie, wie das richtige Tool Ihr ASIL-Anforderungsmanagement, Ihre Sicherheitsdokumentation und Ihren funktionalen Sicherheitslebenszyklus transformieren kann.
