Die ISO 26262 („Road vehicles – Functional safety“) ist eine ISO-Norm für sicherheitsrelevante elektrische/elektronische Systeme in Kraftfahrzeugen. Die ISO 26262 definiert ein Vorgehensmodell zusammen mit geforderten Aktivitäten und Arbeitsprodukten („work products“) sowie anzuwendenden Methoden in Entwicklung und Produktion. Häufig wird auch von 'Funktionaler Sicherheit’Nach Dudenregel D89 2.d.b ist hier auch die Großschreibung des Adjektivs zulässig, da es sich um einen ideomatischen Gesamtbegriff handelt, siehe kurz 'FuSi’ oder auch 'Functional Safety’, kurz 'FuSa’ gesprochen.
Nach einem längeren Vorlauf wurde die erste Version der Norm 2011 in Kraft gesetzt.Webseite der ISO Seit Dezember 2018 ist die „Second Edition“ verfügbar, die in Zitaten als ISO 26262:2018 gekennzeichnet wird. Die ISO bietet diese Norm nur in englischer Sprache an. Scharf definierte Begriffe wie fault, error oder failure werden im Deutschen oftmals unscharf nur mit „Fehler“ übersetzt, weil ein genaues Äquivalent fehlt, somit sollte wenn möglich nur mit den englischen Fachbegriffen gearbeitet werden.
Die Umsetzung der Norm soll die Funktionale Sicherheit eines Systems mit elektrischen/elektronischen Komponenten im Kraftfahrzeug gewährleisten. Damit ist die Norm eine Anpassung der IEC 61508 an die spezifischen Produkte im Automobilbereich.
Unterschiede zwischen erster und zweiter Ausgabe Ein wesentlicher Unterschied zwischen der ersten (2011) und zweiten (2018) Ausgabe ist der Anwendungsbereich. Während sich die erste Ausgabe auf Fahrzeuge beschränkte, die in Serienproduktion sind und max. 3,5 t Gesamtmasse erreichen, wurde die Ausgabe 2018 auf Serienfahrzeuge (Pkw), Lkw, Busse, Anhänger (sofern mit elektronischen Steuergeräten ausgerüstet) und Motorräder erweitert. Beide Ausgaben schließen Prototypen, Rennfahrzeuge oder Spezialfahrzeuge für Personen mit BehinderungenISO 26262 Abschnitt „Scope“, zu Beginn in jedem Band und beiden Ausgaben enthalten von der Normenanwendung aus. Die jeweilige Norm ist nicht anwendbar auf Systeme, die vor der ersten Ausgabe 2011 entwickelt wurden bzw. auf Erweiterungen (Fahrzeugkategorien) und Änderungen zur ersten Ausgabe in der zweiten Ausgabe 2018.
Die erste Ausgabe bestand aus 10 Teilen, die zweite Ausgabe enthält zusätzlich die Teile 11 und 12. Die einzelnen Teile werden im Abschnitt Inhalt genauer beschrieben.
Beide Normen schließen die Anwendungen auf Sonderfahrzeuge aus, die typischerweise in Kleinstserien oder Einzelfertigung entstehen. Dazu nennt die Norm als Beispiel Behindertenfahrzeuge.
Anwendungsbereich und Hintergrund Mit der stetig wachsenden Komplexität elektronischer Komponenten in Fahrzeugen steigt auch die Möglichkeit von Fehlfunktionen. Ist eine sicherheitsrelevante Komponente von einer solchen Fehlfunktion betroffen, können im schlimmsten Fall Menschen getötet werden. Würde z. B. ein ESP-Steuergerät in einem Kraftfahrzeug bei zügiger Fahrt unerwartet eine Vollbremsung auslösen, könnte dies zu einem Auffahrunfall führen. Um das Risiko von Gefahr bringenden Fehlfunktionen von sicherheitsrelevanten Elektronik-Systemen zu minimieren, sollten diese unter Berücksichtigung einschlägiger Normen entwickelt werden.
In der Vergangenheit galt die Empfehlung, elektrische/elektronische Systeme, die eine sicherheitsrelevante Funktion in Automobilen ausführen und deren Ausfall ein maßgebliches Risiko für Mensch oder Umwelt bedeutet, auf Basis der IEC 61508 zu entwickeln. Diese Norm ist generisch auf sicherheitsrelevante Produkte, wie ein Sicherheitsschaltrelais für eine Notstromabschaltung, anwendbar. Da dieser Standard für moderne Automotive-Anwendungen nicht ausreichend bzw. nicht spezifisch genug ist, wurde eine neue Norm erstellt.
Zu den Anwendern der ISO 26262 gehören Automobilhersteller, Automobilzulieferer und Prüfinstitute. Möchte beispielsweise ein Automobilhersteller oder -zulieferer ein sicherheitsrelevantes System bzw. eine Komponente entwickeln, so wird der Auftraggeber in der Regel die Anwendung einer Sicherheitsnorm wie beispielsweise der ISO 26262 verlangen. Um die Funktionale Sicherheit des Produkts zu gewährleisten, wird von der ISO 26262 ab einer entsprechenden Sicherheitsstufe gefordert, dass eine von der Entwicklung organisatorisch unabhängige Stelle hinzugezogen wird. Auch hier macht der Auftraggeber häufig Vorgaben, so dass beispielsweise bei der höchsten Risikostufe (ASIL D) die Prüfung durch ein externes Prüfinstitut verlangt wird.
Ablauf in der Entwicklung (Normbegriffe durch 'Apostrophe’ hervorgehoben)
Eine (Neu-)Entwicklung nach und mit der ISO 26262 lässt sich grob in folgenden Schritten beschreiben: Das Produkt respektive 'Item' wird definiert und zweckmäßig von anderen Systemen abgegrenzt, Voranalysen zum Gefährdungspotential bei Fehlfunktion dieses Items (unkritische Items wie beispielsweise Klimasteuergerät werden nicht weiter betrachtet) Definition von Sicherheitszielen ('safety goals') für das Item, die den Versagensmodus reflektieren, z. B. für ESP „Das abrupte Anfahren des Fahrzeugs muss vermieden werden.“, oder für Abblendlicht „Eine ungewollte Deaktivierung des Abblendlichtes auf beiden Seiten muss verhindert werden.“ Gefahr- und Risikoanalyse ('HARA'), drei Faktoren - Ausgesetztsein oder Wahrscheinlichkeit ('E0'-'E4') und Kontrollierbarkeit ('C0'-'C3') einer individuellen Fahrsituation, das Schadensausmaß ('S0'-'S3') - gehen in eine quantitative Bestimmung mit ein, exemplarisch: keine oder nur sehr geringe Gefahren, die ohne Anwendung der Norm auskommt und nur ein Fall für das Qualitätsmanagement ('QM') sind, beispielsweise ein einseitiger Ausfall des Abblendlichts auf der Straße innerorts, der vom Fahrer voll kontrollierbar ist (es wird unterstellt, dass dieser die Möglichkeit hat, schnell an die Seite zu fahren, ein 'C0' führt automatisch zu 'QM') ASIL ('Automotive Safety Integrity Level’) Einstufung A bis D, für die die Norm anzuwenden ist, beispielsweise ein beidseitiger Ausfall des Abblendlichts, der bei Nacht auf der Autobahn sehr gefährlich wäre. ASIL D ist hierbei das höchstmögliche Level, bedingt sehr aufwändige Maßnahmen und wird normalerweise nur angewandt bei höchst kritischen Fahrzeugbestandteilen wie Lenkung oder Bremsen. Funktionsarchitektur unter Berücksichtigung der Sicherheitsanforderungen festlegen, ggf. mit Hilfe von Methodiken wie FMEA oder FTA Systemarchitektur festlegen, welche die gewählte technische Umsetzung widerspiegelt; die ASIL-Einstufung für kritische Fahrsituationen (d. h. das Sicherheitsziel) propagiert sich mit genannten Schritten im V-Modell immer weiter „nach unten“ bis hin zur 'software unit' und kann unter Umständen durch Dekomposition und Einbringung von Redundanzen herabgestuft werden.
Nicht alle von der Norm empfohlenen Methoden müssen bei der Entwicklung eines Produktes angewendet werden und nicht alle geforderten Arbeitsprodukte müssen in der Form erstellt werden. Es gilt die Prämisse, die Norm an die eigene Organisation anzupassen, jedoch nicht die gesamte Organisation an die Norm. Im Produkthaftungsfall gilt aber die Norm als Untergrenze des Stands der Technik (siehe weiter unten).
Maßnahmen mini|Symbolische Darstellung: (A) zeigt das gewünschte Ergebnis, (B) die Abweichung durch systematische, und (C) zufällige Fehler Damit sich bei der Entwicklung keine Fehler einschleichen, setzt die Norm bei der Entwicklung der Komponenten an: Risiken werden nach ihrer Bedeutung bewertet, an deren Ende eine ASIL-Einstufung steht. Ziel ist die Minimierung der Risiken eines Fahrzeugs oder einer seiner Komponenten auf ein „gesellschaftlich akzeptiertes Maß“. Zur Vermeidung systematischer Fehler werden unterschiedliche Methoden vorgeschlagen. Die Empfehlungen hängen vom ASIL ab, mit höherem ASIL steigen die Anforderungen. Für Risiken, die mit QM bewertet wurden, schlägt die Norm keine eigenen Maßnahmen vor, sondern verweist auf die Maßnahmen, die durch das Qualitätsmanagementsystem des entwickelnden Unternehmens bereits vorgegeben sind. Liegt ein systematischer Fehler vor, ist dieser in allen Produkten vorhanden. So sind beispielsweise Softwarefehler stets systematische Fehler, ebenso wie Konstruktionsfehler. Zur Vermeidung zufälliger Fehler erwartet die Norm ab ASIL B eine quantitative Bewertung der elektronischen Komponenten (Hardware). Dabei wird das Produkt nach Ausfallwahrscheinlichkeit, Ausfallart und Umgebungsbedingungen mit einer Failure modes, effects, and diagnostic analysis (FMEDA, nach Teil 5, Annex D der Norm) oder einer Fehlerbaumanalyse untersucht. Aus dieser Untersuchung werden Diagnosen abgeleitet, die gefährliche Zustände rechtzeitig erkennen und verhindern sollen – beispielsweise durch eine Selbstabschaltung des Produktes oder durch frühzeitige Warnung.
Abgrenzung Die ISO hat die Sicherheit im Sinne der Eigensicherheit (Schutz der Umwelt vor dem Produkt) im Fokus, daher funktionale Sicherheit. Die „normale“ Funktion kann dabei durchaus im Sinne der Sicherheit eingeschränkt oder auch abgeschaltet werden (Systemreaktion).
Es reicht dabei nicht aus, dass die Funktion korrekt ausgeführt wird, sondern Ziel der Entwicklung muss auch sein, dass sie im richtigen Kontext ausgeführt wird bzw. nicht in der falschen Situation ausgeführt wird. Löst beispielsweise der Airbag in einer Unfallsituation aus, ist die Funktion einwandfrei. Löst er dagegen bei normaler Fahrt aus, mag die Funktion an sich einwandfrei sein. Das Auslösen führt jedoch zu einer Gefährdung der Insassen und in der Folge ggf. auch zur Gefährdung anderer Verkehrsteilnehmer, da der Fahrer das Fahrzeug nicht mehr kontrollieren kann.
Die ISO ist daher als Richtlinie für die Absicherung speziell in der Funktion zu sehen. Umfang der Absicherung von Risiko und Beherrschbarkeit hängt von der Fehlfunktion ab und wird nach den Kriterien in Teil 3 (siehe unten) bestimmt.
Fokus der Norm: Die Entwicklung von Kraftfahrzeugen aus Serienproduktion und dort speziell auf elektrische, elektronische und programmierbare Komponenten. Die ISO betrifft sowohl das Fahrzeug als Ganzes, wie auch Komponenten von Zulieferern. Die Norm unterscheidet bei den Methodenempfehlungen nicht zwischen Zulieferern und Kraftfahrzeugherstellern (OEMs).
Andere Punkte schließt die Norm von einer Betrachtung aus: Was nicht zur spezifizierten Funktion gehört, ist nicht im Fokus der Norm. So ist die Gefahr von Verbrennungen am Motor nicht Teil der Funktion (Hitzeentwicklung am Motorblock oder Auspuff ist keine Motorfunktion, sondern „Abfallprodukt“). Die Risikominimierung bei nicht-funktionalen Gefahren ist Teil der allgemeinen Produktsicherheit und bleibt Aufgabe jedes Herstellers, aber die Maßnahmen der ISO 26262 müssen dazu nicht herangezogen werden. Gegenbeispiel: Hauptfunktion einer Sitzheizung ist die Erwärmung, daher wären Verbrennungen Folge eines Fehlers in der Hauptfunktion. Für mechanische, hydraulische und pneumatische Komponenten schlägt die Norm keine Methoden vor. Cyber Security, also Schutz des Produktes vor der Umwelt, wird in ISO/SAE 21434, SAE J3061 und UNECE R 155 behandelt. SOTIF (safety of the intended functionality) im Sinne der ISO 21448, legt den Fokus auf vorhersehbaren Fehlgebrauch durch den Fahrer sowie auf Unfälle, die ausdrücklich nicht durch Komponentenversagen, sondern aufgrund von unerwarteten und in der Entwicklung nicht geplanten Betriebssituationen hervorgerufen werden.
Rechtliche Verbindlichkeit Derzeit (Stand Januar 2025) gibt es keine gesetzliche Pflicht zur Anwendung der ISO 26262, sie gilt jedoch als Stand der Technik. Da nach der Norm auch zugelieferte Komponenten berücksichtigt werden müssen, verlangen in der Praxis fast alle Automobilhersteller von ihren Zulieferern die Anwendung in neuen Projekten, um für Aufträge nominiert zu werden, so dass sich die Norm durch die gesamte Zulieferkette zieht.