Fully Fail-Operational Drive-by-Wire: Wenn der sichere Zustand Weiterfahren heißt

Für autonome und teleoperierte Fahrzeuge verändert sich damit eine grundlegende Annahme der Sicherheitsarchitektur: Der sichere Zustand kann nicht mehr grundsätzlich „aus“ bedeuten. Die Kontrolle über die Fahrzeugbewegung muss auch nach einem Fehler erhalten bleiben – mindestens so lange, bis ein sicherer Zustand erreicht werden kann. Für die Drive-by-Wire-basierte Control Layer bedeutet das: Lenken, Bremsen und Antrieb müssen auch im Störfall kontrollierbar bleiben. Genau hier beginnt die Architektur hinter Safety-by-Wire®.

Vom Sicherheitsziel zur technischen Architektur

Im Mittelpunkt funktionaler Sicherheit stehen zunächst Sicherheitsziele. Sie beschreiben, welche gefährlichen Zustände verhindert werden müssen – beispielsweise unbeabsichtigte Lenkbewegungen, den Verlust der Bremsfunktion oder ungewollten Vortrieb.

Damit daraus ein reales System entsteht, sind zwei Übersetzungsschritte notwendig. Das funktionale Sicherheitskonzept definiert, welche Funktionen und Sicherheitsmechanismen erforderlich sind. Das technische Sicherheitskonzept überführt diese anschließend in konkrete Hardware- und Softwarearchitekturen: Sensorik, Rechenpfade, Kommunikation, Energieversorgung, Diagnose und Aktuatorik.

Damit wird aus dem Sicherheitsziel eine zentrale Architekturfrage: Was muss redundant vorhanden sein, damit ein einzelner Fehler nicht zum Verlust der Fahrzeugkontrolle führt?

Redundanz muss durchgängig sein

Zwei Steuergeräte allein machen ein System noch nicht fail-operational. Teilen beide beispielsweise dieselbe Energieversorgung, einen kritischen Kommunikationspfad oder andere gemeinsame Ressourcen, bleibt ein gemeinsamer Ausfallpfad bestehen.

NX NextMotion setzt deshalb auf eine durchgängige, multi-redundante Architektur. Die physische Trennung umfasst zwei Kanäle über die gesamte Wirkungskette – von Rechen- und Kommunikationspfaden bis zur Leistungsansteuerung und Aktuatorik. Beide Seiten sind auf ASIL D ausgelegt. Hinzu kommen mehrfach ausgelegte Sensorik, kontinuierliche Diagnose sowie redundante Energiepfade. Das Ziel ist nicht lediglich, einen Fehler zu erkennen. Das System muss ihn beherrschen und die sicherheitsrelevanten Funktionen innerhalb definierter Leistungsgrenzen und Reaktionszeiten weiterführen können.

Degradation statt Abschaltung

Fail-operational bedeutet dabei nicht, dass ein Fahrzeug nach jedem Fehler unbegrenzt und unverändert weiterfährt. Entscheidend ist ein definiertes Degradationskonzept. Je nach Fehlerzustand kann die Architektur von voller Performance in einen eingeschränkten Betriebszustand wechseln oder ein risikominimales Manöver einleiten. Jeder Übergang muss spezifiziert und innerhalb der vorgesehenen Fehlertoleranzzeit abgeschlossen sein.

Der wesentliche Unterschied zum klassischen Abschaltprinzip: Die Kontrolle über die Fahrzeugbewegung bleibt erhalten. Gerade bei autonomen und teleoperierten Fahrzeugen ist das entscheidend. Ein abruptes Abschalten einer sicherheitskritischen Bewegungsfunktion kann selbst eine Gefährdung erzeugen.

Fully Fail-Operational: Redundanz auf vier Achsen

Doch auch der Begriff „fail-operational“ lässt Spielraum. Welche Funktion bleibt nach welchem Fehler wie lange und mit welcher Leistungsfähigkeit verfügbar? Arnold NextG verwendet deshalb für NX NextMotion den Begriff Fully Fail-Operational als bewusst engere Arbeitsdefinition. Dabei handelt es sich nicht um eine neue normative Kategorie, sondern um eine technisch prüfbare Beschreibung des Architekturanspruchs.

Fully Fail-Operational betrachtet Redundanz entlang von vier Vollständigkeitsachsen:

• Funktion: Die primären sicherheitsrelevanten Bewegungsfunktionen Lenken, Bremsen und Antrieb werden fail-operational ausgelegt.
• Kanal: Zwei physisch getrennte ASIL-D-Kanäle bilden die sicherheitsrelevante Wirkungskette ab. Der Verlust einer Seite darf nicht zum Verlust der Funktion führen.
• Steuerquelle: Autonomes Fahrsystem, Teleoperation und menschlicher Eingriff können innerhalb derselben Architektur berücksichtigt werden. Eine deterministische Arbitrierung entscheidet, welcher Steuerpfad gültig ist.
• Energie: Auch die Energieversorgung wird redundant betrachtet und um eine Pufferquelle für definierte Degradationsfenster ergänzt.

Erst das Zusammenspiel dieser vier Ebenen beschreibt den Anspruch, den Arnold NextG mit Fully Fail-Operational verbindet.

Warum das für OEMs und Integratoren relevant ist

Für OEMs und Systemintegratoren lohnt deshalb ein genauer Blick hinter den Begriff „fail-operational“. Ist nur eine einzelne Funktion redundant – oder die vollständige Bewegungssteuerung? Sind zwei Kanäle tatsächlich unabhängig oder teilen sie kritische Komponenten? Was passiert beim Ausfall einer Energieversorgung? Welche Steuerquelle übernimmt bei einem Fehler? Und welche Funktionalität steht während des Degradationszustands tatsächlich noch zur Verfügung?

Diese Fragen entscheiden darüber, ob Redundanz lediglich auf Komponentenebene vorhanden ist oder die gesamte sicherheitskritische Wirkungskette trägt. Für eine Drive-by-Wire-Plattform, die autonome, teleoperierte und manuelle Fahrzeugführung unterstützen soll, wird diese Durchgängigkeit zum entscheidenden Architekturmerkmal.

Fazit: Der sichere Zustand ist Kontrolle

Mit dem Wegfall des Fahrers als permanenter Rückfallebene verändert sich die Sicherheitsarchitektur grundlegend. Ein sicherheitskritisches System darf nach einem Fehler nicht einfach aufhören zu funktionieren, wenn genau dadurch die Kontrolle über das Fahrzeug verloren geht.

Drive-by-Wire muss deshalb mehr leisten als elektronische Befehle für Lenken, Bremsen und Antrieb umzusetzen. Die Control Layer muss darauf ausgelegt sein, diese Funktionen auch im Störfall kontrollierbar zu halten.

Fully Fail-Operational beschreibt bei Arnold NextG diesen Anspruch: Redundanz wird nicht punktuell, sondern über Funktion, Kanal, Steuerquelle und Energie gedacht. NX NextMotion überführt damit die Sicherheitsziele von Safety-by-Wire® in eine konkrete multi-redundante, fail-operational Systemarchitektur. Denn für autonome und teleoperierte Mobilität bedeutet Sicherheit nicht einfach Stillstand.

Sicherheit bedeutet, die Kontrolle zu behalten.

WE CONTROL WHAT MOVES