Automotive
Entwicklung von Steuergeräten und Fahrzeugsoftware, vom Konzept bis zur Freigabe
Elektrik, Elektronik und Software bestimmen einen großen Teil der Fahrzeugfunktionen, von der Elektromobilität über Assistenzsysteme bis zum Infotainment. Ein Steuergerät entsteht im Zusammenspiel von Anforderungen, Systemarchitektur, Hardware, Software und Test, bei Herstellern wie bei Automobilzulieferern, für Pkw, Lkw und Busse.
Für diese Entwicklung gelten feste Vorgaben. ISO 26262 regelt die funktionale Sicherheit, ISO/SAE 21434 und UN R155 die Cybersecurity und Automotive SPICE die Reife der Prozesse. Auftraggeber fragen danach, sobald ein Steuergerät in Serie gehen soll.
Welche Vorgaben in der Fahrzeugentwicklung gelten
Normen und Vorschriften, die bei Steuergeräten und Fahrzeugsoftware einzuhalten sind.
Funktionale Sicherheit
ISO 26262 geht von der Fahrzeugfunktion aus: Eine Gefährdungs- und Risikoanalyse (HARA) legt die Einstufung von ASIL A bis D und die Sicherheitsziele fest. Für Gefährdungen ohne Defekt, etwa die Grenzen von Sensoren bei Assistenzsystemen, ergänzt ISO 21448 (SOTIF).
Mehr zur Funktionalen Sicherheit →Cybersecurity
ISO/SAE 21434 verlangt eine Bedrohungs- und Risikoanalyse (TARA) und Cybersecurity-Anforderungen über den gesamten Lebenszyklus, bis zum Umgang mit Schwachstellen im Feld. UN R155 fordert für die Typgenehmigung ein Cybersecurity-Managementsystem (CSMS), UN R156 und ISO 24089 regeln Software-Updates.
Mehr zur Cybersecurity →Prozessreife
Automotive SPICE bewertet in Stufen, wie gut Prozesse für Systemanforderungen, Software-Entwicklung, Test und Projektmanagement beschrieben und gelebt werden. Viele Auftraggeber verlangen für die Vergabe eine Mindeststufe.
Mehr zu Prozessreife und Schnittstellen →Wann Unterstützung sinnvoll ist
Typische Anlässe in der Fahrzeugentwicklung.
Sicherheitskonzept fehlt
Ein Steuergerät mit sicherheitsrelevanter Funktion soll in die Serie, die ASIL-Einstufung steht aber nicht fest und das Sicherheitskonzept fehlt.
Komponente wird wiederverwendet
Eine bestehende Komponente soll in einem anderen Fahrzeug eingesetzt werden, und die Annahmen für ihren Einsatz sind nicht dokumentiert.
Nachweis zur Typgenehmigung
Der Hersteller verlangt im Rahmen von UN R155 Nachweise zum Cybersecurity-Management, und beim Zulieferer ist offen, wer Schwachstellen im Feld bewertet.
Assessment angekündigt
Ein Automotive-SPICE-Assessment des Kunden steht an, und Anforderungen, Architektur und Tests sind nicht durchgängig nachverfolgbar.
Was wir in der Fahrzeugentwicklung übernehmen
Drei Leistungsbereiche, die sich je nach Aufgabe kombinieren lassen.
Engineering
Item-Definition, Anforderungen und Systemarchitektur für Fahrzeugfunktionen, dazu Safety- und Security-Konzepte auf Systemebene und eine Machbarkeitsprüfung vor der Entscheidung.
Mehr →Management
Safety- und Security-Management im Projekt mit Sicherheitsplan und Cybersecurity-Plan, Qualitäts- und Prozessmanagement nach Automotive SPICE und die Abstimmung zwischen Auftraggeber und Zulieferern.
Mehr →Entwicklung und Test
Sicherheitsanalysen wie FMEA, FTA und FMEDA, Verifikation und Validierung nach ISO 26262 sowie Cybersecurity-Tests bis zur Freigabe.
Mehr →Vorgehen und Arbeitsprodukte
Die Arbeit folgt vier Schritten.
Item und Umfang klären
Funktion, Systemgrenzen und Schnittstellen werden festgelegt und die geltenden Normen benannt, je nachdem, ob die Rolle Hersteller oder Zulieferer ist.
Gefährdungen und Bedrohungen bewerten
Die HARA legt ASIL und Sicherheitsziele fest, die TARA die Cybersecurity-Ziele. Annahmen werden dokumentiert.
Konzepte und Anforderungen ableiten
Aus den Zielen entstehen das Sicherheits- und das Cybersecurity-Konzept und die technischen Anforderungen, bei Bedarf mit ASIL-Dekomposition.
Nachweisen
Safety Case, Verifikationsberichte und Prozessbelege werden so aufbereitet, dass Kunden und Prüfer sie nachvollziehen können.
Dabei entstehen unter anderem die Item-Definition, die Gefährdungs- und Risikoanalyse, das Sicherheitskonzept, die Bedrohungs- und Risikoanalyse, das Cybersecurity-Konzept, die Rückverfolgbarkeit von Anforderungen bis zum Test und eine Prozessbewertung mit Maßnahmenplan. Eine unabhängige Bewertung oder Zertifizierung gehört nicht dazu.
Häufige Fragen
Welche Norm gilt für mein Steuergerät?
Das hängt von der Funktion ab. Sicherheitsrelevante Funktionen fallen unter ISO 26262, vernetzte Funktionen unter ISO/SAE 21434 und UN R155, Entwicklungsprozesse werden häufig nach Automotive SPICE bewertet. In welchem Umfang das gilt, wird zu Beginn geklärt.
Was ist der Unterschied zwischen ISO 26262 und ISO/SAE 21434?
ISO 26262 betrachtet Gefährdungen durch Fehler im System, ISO/SAE 21434 Bedrohungen durch Angriffe von außen. Beide verlangen Analysen und Nachweise, die sich überschneiden und aufeinander abgestimmt werden sollten, damit nichts doppelt entsteht.
Was bedeutet ASIL, und wie wird er festgelegt?
ASIL (Automotive Safety Integrity Level) ist die Einstufung in ISO 26262 von A bis D, wobei D die höchsten Anforderungen stellt. Sie ergibt sich in der HARA aus Schwere, Eintrittshäufigkeit und Beherrschbarkeit einer Gefährdung.
Gilt ISO 26262 auch für Lkw und Busse?
Ja, die Ausgabe von 2018 schließt Lkw und Busse ein und gilt für Serienfahrzeuge der Straße mit Ausnahme von Mopeds.
Wann braucht ein Zulieferer ein Cybersecurity-Managementsystem?
UN R155 verpflichtet den Fahrzeughersteller. In der Praxis geben Hersteller die Anforderungen an ihre Zulieferer weiter, die dann Prozesse nach ISO/SAE 21434 und den Umgang mit Schwachstellen nachweisen müssen.
Was ändert sich mit Automotive SPICE 4.0?
Version 4.0 ergänzt Prozessbereiche unter anderem für Cybersecurity, Hardware-Entwicklung und maschinelles Lernen und überarbeitet die Bewertung. Für laufende Projekte ist zu klären, welche Version der Kunde zugrunde legt.
Ihr Vorhaben im Gespräch klären
Im Gespräch wird geklärt, welcher Anlass vorliegt, welche Norm gilt und welcher Termin einzuhalten ist.