ISO 26262

Q: Wann wurde die ISO 26262 eingeführt?

Erstmals veröffentlicht wurde ISO 26262 im Jahr 2011. Durch die wachsende Komplexität moderner Fahrzeugelektronik folgte 2018 eine überarbeitete Version, die Themen wie Nutzfahrzeuge, Motorräder und Halbleiter stärker berücksichtigt.

Q: Wie ist die ISO 26262 aufgebaut?

Formal bestand ISO 26262 in ihrer ersten Ausgabe aus zehn Bänden mit spezifischen Richtlinien. Die aktuelle Ausgabe von 2018 umfasst nun 12 Bände. Ihr Inhalt reicht von der Konzeptphase über Entwicklung und Produktion bis zu Halbleitern und Motorrädern; die Bedeutung liegt vor allem in der durchgängigen Steuerung funktionaler Sicherheit.

Die ISO 26262 schafft für Unternehmen in der Automobilentwicklung einen klaren Rahmen, um die Sicherheit komplexer elektronischer Systeme zu gewährleisten. Da moderne Fahrzeugfunktionen eng mit Software, Sensorik und Steuergeräten verknüpft sind, können Fehlfunktionen schnell sicherheitsrelevante Folgen haben.

ISO 26262 – Auf einen Blick

Was ist ISO 26262?

Als internationale Norm beschreibt ISO 26262 die funktionale Sicherheit sicherheitsrelevanter elektrischer und elektronischer Systeme für Straßenfahrzeuge.

Wen betrifft ISO 26262?

Betroffen sind Automobilhersteller, Zulieferer, Softwarehäuser, Halbleiterhersteller und Entwicklungsdienstleister, die an sicherheitsrelevanten E/E-Systemen im Automobilbereich arbeiten.

Welche Systeme fallen unter ISO 26262?

In den Anwendungsbereich fallen E/E-Systeme, deren Fehlfunktion Fahrer, Insassen oder andere Verkehrsteilnehmer gefährden kann, etwa Lenkung, Bremse, Airbag, Assistenzsysteme oder Batteriemanagement.

Wie wird das Risiko nach ISO 26262 bewertet?

Der Automotive Safety Integrity Level bewertet das Risiko einer Fehlfunktion und legt fest, wie streng Entwicklung, Prüfung, Dokumentation und Nachweisführung ausfallen müssen.

Warum ist die Dokumentation nach ISO 26262 wichtig?

Jede Phase des Lebenszyklus muss dokumentiert werden, damit Sicherheitsanforderungen, Entscheidungen, Tests, Freigaben und Änderungen nachvollziehbar bleiben.

Funktionale Sicherheit nach ISO 26262

Bremsen, Lenkung, Airbag oder Batteriemanagement hängen heute eng an Software, Sensorik und Steuergeräten. ISO 26262 sorgt dafür, dass solche Systeme auch bei Fehlern beherrschbar bleiben und keine Gefahr darstellen.

Dafür verlangt die Norm einen risikobasierten Ansatz. Aus Gefahrenanalyse, Risikoanalyse und Risikobewertung entstehen Sicherheitsanforderungen für System, Hardware und Software. Methoden wie FMEA, FTA, Reviews und Tests helfen, diese Anforderungen umzusetzen und später nachvollziehbar zu belegen. Die Einstufung über den Automotive Safety Integrity Level (ASIL) legt fest, wie streng Entwicklung, Prüfung und Nachweis ausfallen müssen.

Damit ergänzt ISO 26262 etablierte Standards in der Automobilindustrie wie IATF 16949. Die ISO-Norm schärft den Blick auf sicherheitskritische Funktionen, klare Verantwortlichkeiten und belastbare Arbeitsprodukte.

Wen betrifft ISO 26262?

Betroffen sind Automobilhersteller, Zulieferer und Entwicklungsdienstleister, die an sicherheitsrelevanten E/E-Systemen im Automobilbereich arbeiten. OEMs definieren die Sicherheitsziele und verantworten das Gesamtfahrzeug.

Zulieferer setzen diese Anforderungen in Komponenten, Hardware, Software oder komplette Systeme um. Auch Softwarehäuser, Halbleiterhersteller und externe Entwicklungspartner fallen in den Anwendungsbereich, sobald ihre Arbeit sicherheitsrelevante Fahrzeugfunktionen beeinflusst. Für Zulieferer wird ISO 26262 schnell zum Nachweisthema.

Zu den typischen Herausforderungen zählt, ob Sicherheitsanforderungen verstanden, umgesetzt und sauber dokumentiert wurden. In der Lieferantenbewertung fließt genau das mit ein. Besonders kritisch sind Schnittstellen zwischen OEM, Tier-1, Softwareentwicklung und Hardwarelieferanten, denn hier gehen Anforderungen, Änderungen oder Testergebnisse im Projektalltag häufig verloren.

Welche E/E-Systeme fallen unter ISO 26262?

In den Anwendungsbereich der ISO 26262 fallen sicherheitsrelevante elektrische, elektronische und programmierbare elektronische Systeme in Serienfahrzeugen. Ziel ist die Bewertung möglicher Auswirkungen einer Fehlfunktion auf Fahrer, Insassen oder Umgebung.

Typische Beispiele sind:

Lenkung und Bremse: EPS, ABS, ESP und weitere elektronische Fahrdynamiksysteme.

Passive Sicherheit: Airbag-Steuergeräte, Crash-Sensorik und Rückhaltesysteme.

Antrieb: Motor-, Getriebe- und Fahrwerkssteuerungen.

Assistenzsysteme: Notbremsassistent, Spurhalteassistent oder adaptive Geschwindigkeitsregelung.

Automatisiertes Fahren: Kamera-, Radar- und Lidarsysteme.

Elektromobilität: Batteriemanagementsysteme, Inverter und Hochvolt-Steuergeräte.

Die aktuelle Ausgabe ISO 26262:2018 umfasst Pkw, Nutzfahrzeuge, Busse, Anhänger mit elektronischen Steuergeräten sowie Motorräder. Reine Komfortfunktionen wie Ambientebeleuchtung oder Sitzheizung bleiben meist außerhalb des strengen Anwendungsbereichs.

Lassen Sie sich zu ISO-Normen beraten!

Lassen Sie sich zu ISO-Normen beraten! Sichern Sie sich eine fachkundige und qualifizierte Beratung zu allem für Ihr Unternehmen relevanten ISO-Normen.

Die 12 Teile der ISO 26262 im Überblick

ISO 26262 deckt den gesamten Lebenszyklus von Automobilsystemen ab. Sie ist als Normenreihe zur Risikominderung aufgebaut, weil funktionale Sicherheit im Fahrzeug nicht an einer einzelnen Stelle entsteht. Sie beginnt in der Konzeptphase, läuft durch System-, Hardware- und Softwareentwicklung und reicht bis in Produktion, Betrieb, Service und Stilllegung.

Teil 1: Begriffe und Abkürzungen: Ohne gemeinsame Sprache wird funktionale Sicherheit schnell unübersichtlich. Teil 1 legt deshalb zentrale Begriffe wie ASIL, Fehler, Fehlfunktion, Sicherheitsziel oder Automotive Safety Integrity Level fest, damit OEMs, Zulieferer und Entwicklungspartner im Projekt vom Gleichen sprechen.
Teil 2: Management der funktionalen Sicherheit: Dieser Teil beschreibt die organisatorischen Grundlagen. Unternehmen legen Rollen, Verantwortlichkeiten, FuSi-Aktivitäten und Freigaben fest. Jede Phase des Lebenszyklus muss von einem Sicherheitsmanager dokumentiert werden. Genau hier zeigt sich, ob funktionale Sicherheit als gelebter prozessorientierter Ansatz funktioniert.
Teil 3: Konzeptphase: In der Konzeptphase wird aus einer Fahrzeugfunktion ein bewertbares Sicherheitsthema. Das System wird beschrieben, mögliche Gefährdungen werden analysiert und aus HARA, Gefahrenanalyse und Risikobewertung entstehen die ersten Sicherheitsziele.
Teil 4: Produktentwicklung auf Systemebene: Teil 4 überträgt die Sicherheitsziele in die Systemarchitektur. Das Vorgehensmodell orientiert sich am V-Modell: Anforderungen werden konkretisiert, Schnittstellen bewertet und durch Analyse, Integration und Tests abgesichert.
Teil 5: Produktentwicklung auf Hardwareebene: Teil 5 betrachtet Hardwareausfälle und Zuverlässigkeit. Es geht um Ausfallraten, Diagnosen, Sicherheitsmechanismen und Kennzahlen wie PMHF.
Teil 6: Produktentwicklung auf Softwareebene: Teil 6 regelt die Entwicklung sicherheitsrelevanter Software. Dazu gehören Softwarearchitektur, Codierung, Verifikation, Reviews und Tests.
Teil 7: Produktion, Betrieb, Service und Stilllegung: Teil 7 betrachtet Produktion, Wartung, Reparatur, Betrieb und Außerbetriebnahme. Für die Fertigung entsteht hier ein enger Bezug zum Produktionslenkungsplan.
Teil 8: Unterstützende Prozesse: Teil 8 bündelt Prozesse, die alle Phasen stützen. Dazu zählen Konfigurationsmanagement, Änderungsmanagement, Dokumentation, Qualifikation von Tools und Vereinbarungen mit Zulieferern, etwa über eine Qualitätssicherungsvereinbarung (QSV).
Teil 9: ASIL-orientierte und sicherheitsorientierte Analysen: Teil 9 wird wichtig, wenn Sicherheitskonzepte technisch begründet werden müssen. Hier geht es unter anderem um ASIL-Dekomposition, FMEA, FTA und Analysen abhängiger Fehler, damit Risiken nicht nur beschrieben, sondern nachvollziehbar bewertet werden.
Teil 10: Leitfaden zur ISO 26262: Teil 10 ist informativ und erklärt die Anwendung der Norm. Er hilft besonders, wenn Begriffe, Methoden oder Zusammenhänge der übrigen Teile praktisch eingeordnet werden müssen.
Teil 11: Halbleiter: Teil 11 ergänzt die Norm für Halbleiter, Mikrocontroller und komplexe SoCs. Das ist wichtig, weil moderne E/E-Systeme stark von integrierten Sicherheitsmechanismen in Chips abhängen.
Teil 12: Motorräder: Teil 12 beschreibt die Anpassung der Anforderungen an Motorräder. Unter Berücksichtigung von Fahrdynamik, Beherrschbarkeit und Risikofaktoren unterscheidet sich die Bewertung hier deutlich von Pkw, Nutzfahrzeugen oder anderen Straßenfahrzeugen.

Automotive Safety Integrity Level in der ISO 26262

Der ASIL (Automotive Safety Integrity Level) bewertet das Risiko einer möglichen Fehlfunktion. Er legt fest, wie streng Entwicklung, Prüfung, Dokumentation und Nachweisführung für ein sicherheitsrelevantes System ausfallen müssen.

Die ISO 26262 unterscheidet zwischen QM, ASIL A, ASIL B, ASIL C und ASIL D. QM bedeutet, dass die üblichen Maßnahmen des Qualitätsmanagements ausreichen. ASIL D steht für das höchste Risiko und erfordert die höchsten Sicherheitsanforderungen in der Entwicklung an Methoden, Tests, Reviews und Sicherheitsnachweisen. Je kritischer die Kombination aus diesen Faktoren ist, desto höher fällt der ASIL aus.

Die Einstufung entsteht aus drei Kriterien:

Severity: Wie schwer wäre der mögliche Schaden?

Exposure: Wie häufig tritt die kritische Fahrsituation auf?

Controllability: Kann der Fahrer die Situation noch beherrschen?

Severity: Wie schwer wäre der Schaden?

Severity beschreibt die mögliche Verletzungsschwere bei einer Fehlfunktion. Entscheidend ist, welche Folgen der Fehler für Fahrer, Insassen oder andere Verkehrsteilnehmer haben kann.

Die ISO 26262 arbeitet dabei mit vier Stufen:

S0: Keine Verletzungen zu erwarten.

S1: Leichte bis mäßige Verletzungen, vollständige Genesung wahrscheinlich.

S2: Schwere bis lebensgefährliche Verletzungen, Überleben wahrscheinlich.

S3: Lebensgefährliche bis tödliche Verletzungen, Überleben ungewiss.

Exposure: Wie häufig tritt die Fahrsituation auf?

Exposure bewertet, wie oft ein Fahrzeug in die relevante Fahrsituation kommt. Ein Risiko wiegt schwerer, wenn die kritische Situation im Alltag häufig auftritt.

Die Einstufungen sind:

E0: Extrem unwahrscheinliche oder vernachlässigbare Situation.

E1: Sehr geringe Häufigkeit.

E2: Geringe Häufigkeit, etwa wenige Male pro Jahr.

E3: Mittlere Häufigkeit, etwa monatlich.

E4: Hohe Häufigkeit, nahezu bei jeder Fahrt.

Controllability: Kann der Fahrer die Situation beherrschen?

Controllability beschreibt, ob der Fahrer oder andere Verkehrsteilnehmer eine gefährliche Situation nach einer Fehlfunktion noch kontrollieren können. Je weniger Reaktionsspielraum bleibt, desto höher steigt das Risiko.

Die ISO 26262 unterscheidet dabei:

C0: Allgemein beherrschbar.

C1: Leicht beherrschbar, die meisten Fahrer können sicher reagieren.

C2: Normal beherrschbar, viele Fahrer können die Situation meistern.

C3: Schwer oder kaum beherrschbar.

Welche Vorteile bietet die ISO 26262?

Funktionale Sicherheit wird mit ISO 26262 planbarer, prüfbarer und besser nachweisbar. Für Unternehmen entstehen daraus mehrere Vorteile:

Mehr Rechtssicherheit: Im Schadensfall kann die Anwendung der Norm zeigen, dass ein Produkt nach anerkanntem Stand der Technik entwickelt wurde.

Besserer Marktzugang: In der Automobilindustrie ist FuSi-Konformität ein K.-o.-Kriterium bei der Auftragsvergabe. Für Zulieferer in Deutschland und der internationalen Industrie fließt sie direkt in die Lieferantenbewertung ein.

Weniger Feldfehler und Rückrufe: Systematische Fehler und zufällige Hardwareausfälle werden früher erkannt. Im Idealfall fallen Probleme bereits im Test, in der Analyse oder im Fehlermanagement auf.

Gezielter Ressourceneinsatz: Der ASIL-Ansatz verhindert pauschales Over-Engineering. Kritische Funktionen, etwa mit ASIL D, erhalten strengere Methoden, Tests und Sicherheitsanalysen. Weniger kritische Systeme bleiben schlanker.

Einheitliche Zusammenarbeit: Gemeinsame Begriffe, Arbeitsprodukte und Schnittstellen erleichtern die Abstimmung zwischen OEMs, Tier-1, Tier-2, Softwarepartnern und Halbleiterlieferanten.

Häufige Fragen und Antworten

Wann wurde die ISO 26262 eingeführt?

Erstmals veröffentlicht wurde ISO 26262 im Jahr 2011. Durch die wachsende Komplexität moderner Fahrzeugelektronik folgte 2018 eine überarbeitete Version, die Themen wie Nutzfahrzeuge, Motorräder und Halbleiter stärker berücksichtigt.

Wie ist die ISO 26262 aufgebaut?

Formal bestand ISO 26262 in ihrer ersten Ausgabe aus zehn Bänden mit spezifischen Richtlinien. Die aktuelle Ausgabe von 2018 umfasst nun 12 Bände. Ihr Inhalt reicht von der Konzeptphase über Entwicklung und Produktion bis zu Halbleitern und Motorrädern; die Bedeutung liegt vor allem in der durchgängigen Steuerung funktionaler Sicherheit.

Warum ist die lückenlose Dokumentation in der ISO 26262 so wichtig?

Ohne saubere Dokumentation lässt sich funktionale Sicherheit kaum belastbar nachweisen. Für die Gewährleistung reicht die Umsetzung einzelner Maßnahmen nicht aus; Unternehmen müssen zeigen können, wann Sicherheitsanforderungen, Entscheidungen, Tests und Freigaben geprüft und dokumentiert wurden.