Paper (pdf) - Berner & Mattner

In der funktionsorientierten Entwicklung bietet es sich nun an, funktionales und technisches
Sicherheitskonzept stärker zu trennen und ihnen klare Aufgaben zuzuweisen: das FuSiKo,
das weiterhin nach Sicherheitszielen strukturiert wird, wird einmal pro Fahrzeugfunktion
erstellt. Es bricht die Sicherheitsziele herunter auf Sicherheits-Features (z.B. Integrität der
Abstandserfassung zu einem Hindernis), die durch funktionale (technologieunabhängige)
Anforderungen ausdefiniert werden, z.B. „Es ist sicherzustellen, dass alle Fehler, die zur
Nichtentdeckung oder zur verspäteten Entdeckung von Hindernissen führen können, sicher
entdeckt und übermittelt werden und zur geordneten Beendigung der Funktion führen.“
Solche Anforderungen beziehen sich nicht auf eine spezifische Sensortechnologie und
nennen auch keine konkreten technischen Maßnahmen wie Plausibilisierungen. Die
Anforderungen sind bewusst abstrakt formuliert (z.B. „Jegliche … sind zu verhindern.“),
damit sie sich leicht in die technologieunabhängige funktionale Anforderungsspezifikation
integrieren lassen und unverändert weiter gelten, wenn dieselbe Funktion in einem späteren
Fahrzeugprojekt mit anderen technischen Mitteln realisiert wird.
Die Betrachtungen im FuSiKo basieren auf dem Funktionsblockmodell, das aus der
Funktionsspezifikation übernommen wird. Hieran werden die Auswirkungen möglicher Fehler
untersucht und funktionale Maßnahmen dagegen definiert. Die Sicherheitsanforderungen
werden vorhandenen Funktionsblöcken (z.B. Sensordatenfusion, Bewegungsmanager)
zugeordnet, wobei es zusätzlich nötig werden kann, neue Funktionsblöcke speziell für die
Erfüllung der Sicherheitsanforderungen hinzuzufügen: Entsprechend der freiraumorientierten
Hazard-Definition aus der G&R, liegt z.B. es bei teil- und hochautomatisiertem Fahren nahe,
einen neuen Funktionsblock vorzusehen, der sich drohenden Kollisionen zwischen Ego-
Fahrzeug und Umgebung widmet. Dieser „Kollisionswächter“ ist somit der „ASIL-Träger“ der
Funktion, während viele weitere Teile der Funktion anschließend ohne (bzw. mit geringeren)
Sicherheitsanforderungen auskommen.
4.4. Systemsicherheitskonzept (SysSiKo)
Das SysSiKo ist das FuSi-seitige Gegenstück zur Systemarchitektur, denn wie diese allokiert
es die abstrakten Sicherheitsfunktionen auf konkrete technische Komponenten. Hier laufen
die Anforderungen aus den FuSiKos aller Funktionen zusammen (siehe Bild 4). Das SysSiKo
wird entsprechend vom OEM erstellt und kann interpretiert werden als komponentenübergreifender
Teil des technischen Sicherheitskonzept gem. ISO 26262 (der detailliertere
Teil des technischen Sicherheitskonzepts, der sich bspw. mit der Absicherung von
Mikroprozessoren befasst, wird weiterhin vom Zulieferer erstellt).