Viele junge Ingenieure fragen sich: „Wie werde ich Functional Safety Manager?“
Das ist eine gute Frage. Denn viele Ingenieure beginnen in der Funktionalen Sicherheit mit der Überzeugung, ihre Entwicklung beruhe auf dem Erlernen von HARA, FSC, TSC, Safety Goals, FMEDA, FMEA und der Erstellung eines Safety Case.
Diese Dinge sind wichtig. Sie reichen aber nicht aus. Ich habe Ingenieure erlebt, die in der Dokumentation sehr stark wurden und sich dennoch schwertaten, in umfassendere Sicherheitsrollen hineinzuwachsen, weil sie nie über die Arbeitsergebnisse hinausgingen.
Ein Manager für funktionale Sicherheit verfolgt nicht nur offene Maßnahmen, aktualisiert Sicherheitspläne, plant Reviews und sorgt dafür, dass Vorlagen ausgefüllt werden.
Ein Functional Safety Manager versteht die Fahrzeugfunktion, verbindet Teams für System, Software, Hardware, Cybersicherheit und SOTIF, hinterfragt Annahmen, treibt schwierige Entscheidungen voran und schafft Vertrauen darin, dass Sicherheit im Programm verankert wird. Zu Beginn glauben viele Ingenieure, bei Funktionaler Sicherheit gehe es um Dokumente.
Mit der Zeit erkennen sie, dass es tatsächlich um Führung, Einfluss, ingenieurmäßiges Urteilsvermögen und die Fähigkeit geht, die richtigen Fragen zu stellen, bevor Probleme zu Gefährdungen werden. Deshalb sind die ersten Jahre so wichtig.
Gewohnheiten, Denkweise und fachliche Tiefe, die früh im Berufsleben entstehen, können bestimmen, ob jemand lediglich für Arbeitsergebnisse verantwortlich bleibt oder zu einer echten Führungspersönlichkeit für Sicherheit heranwächst.
Lernen Sie die Fahrzeugfunktion kennen, bevor Sie sich mit der Norm befassen
Einer der größten Fehler junger Ingenieure in der funktionalen Sicherheit besteht darin, zunächst die Norm zu lernen, bevor sie die Fahrzeugfunktion verstehen. Sie kennen sich mit ASILs, Sicherheitszielen, HARA-Tabellen und Confirmation Reviews aus, haben aber Schwierigkeiten mit einfachen Fragen wie:
„Was genau soll diese Funktion leisten?“
„Wie interagiert der Fahrer damit?“
„Was kann unter realen Bedingungen schiefgehen?“
„Was geschieht, wenn sich ein anderes System unerwartet verhält?“
Ein guter Functional Safety Manager muss zunächst den Betrachtungsgegenstand selbst verstehen.
Wenn es sich beispielsweise um AEBS, einen Spurhalteassistenten, ein Batteriemanagementsystem oder die Lenkung handelt, sollten Sie Folgendes verstehen:
- Was die Funktion bestimmungsgemäß leisten soll
- Wie der Kunde sie nutzt
- Welche Sensoren, ECUs, Software und Aktuatoren sind beteiligt
- Welche Abhängigkeiten zu anderen Systemen bestehen
- Wie der sichere Zustand aussieht
- Was geschieht, wenn die Funktion nicht verfügbar, unbeabsichtigt aktiv oder unzureichend ist
Die Norm liefert Ihnen den Rahmen. Die Fahrzeugfunktion liefert jedoch den Kontext. Ohne Verständnis dieses Kontexts entstehen leicht Sicherheitsziele, FSRs und TSRs, die auf dem Papier gut aussehen, den Kunden in der realen Welt aber nicht vollständig schützen.
Die besten Sicherheitsfachleute nehmen sich üblicherweise Zeit, die tatsächliche Funktion, das Systemverhalten und die Betriebsszenarien zu verstehen, bevor sie die Vorlage öffnen.
Verstehen Sie die Systemarchitektur, nicht nur die Arbeitsergebnisse
Viele Ingenieure entwickeln große Routine beim Erstellen von HARA-, FSC-, TSC-, DIA-, Safety-Plan- und Safety-Case-Dokumenten. Wenn sich Diskussionen jedoch um Architektur, Schnittstellen, Fehlerfortpflanzung, Redundanz oder Fehlerbehandlung drehen, fällt ihnen die Beteiligung schwer.
Ein Functional Safety Manager darf sich nicht allein auf Dokumentenprüfungen verlassen. Er sollte verstehen, wie das System tatsächlich aufgebaut ist.
Das bedeutet, Folgendes zu verstehen:
- Sensoren, ECUs, Aktuatoren und Kommunikationsnetze
- Hardware- und Softwareschnittstellen
- Signalfluss und Entscheidungslogik
- Redundanzkonzepte und Rückfallebenen
- Fehlererkennung, Fehlerreaktion und Strategie für den sicheren Zustand
- Abhängigkeiten von Stromversorgung, Kommunikation und externen Systemen
- Wechselwirkungen mit Cybersicherheit, Diagnose und SOTIF-Konzepten
Bei einem AEBS-System reicht es beispielsweise nicht zu wissen, dass eine Bremsanforderung vorliegt. Sie sollten wissen:
- Welche Sensoren das Objekt erkennen
- Wie die Sensorfusion erfolgt
- Welche ECU die Entscheidung trifft
- Wie die Bremsanforderung das Bremssystem erreicht
- Was geschieht, wenn ein Sensor ausfällt
- Was passiert, wenn die Kommunikation ausfällt
- Ob dem Fahrer noch genügend Zeit und Kontrolle verbleiben, um sicher zu reagieren
Je fundierter Ihr Architekturverständnis wird, desto leichter erkennen Sie schwache Annahmen, verborgene Abhängigkeiten und unrealistische Sicherheitsanforderungen. Starke Manager für funktionale Sicherheit prüfen nicht nur Dokumente. Sie verstehen, wie sich die Funktion im Fahrzeug verhält.
Starke teamübergreifende Kommunikationsfähigkeiten aufbauen
Viele junge Ingenieure glauben, dass technisches Wissen allein für den Erfolg in der funktionalen Sicherheit ausreicht. Tatsächlich entstehen einige der schwerwiegendsten Sicherheitsfehler nicht durch mangelnde technische Fähigkeiten, sondern durch fehlende Kommunikation zwischen Teams. Ein Functional Safety Manager arbeitet mit mehreren Gruppen zusammen, darunter:
- Systementwicklung
- Software
- Hardware
- Mechanisch
- Validierung
- Cybersecurity
- SOTIF
- Lieferantenqualität
- Programmmanagement
- Fertigungs- und Serviceteams
Jedes Team hat andere Prioritäten, eine andere Sprache und einen anderen Handlungsdruck. Softwareteams konzentrieren sich möglicherweise auf Fristen. Hardwareteams auf Kosten und Bauraum. Programmteams auf die Terminplanung. Lieferanten auf Leistungsumfang und kommerzielle Abgrenzungen.
Ein Manager für funktionale Sicherheit muss all diese Teams zusammenbringen können und sicherstellen, dass Sicherheitsrisiken nicht zwischen den Funktionen verloren gehen.
Das bedeutet zu lernen, wie Sie:
- Die richtigen Fragen stellen
- Sicherheitsbedenken in einfacher Sprache erklären
- Mit Meinungsverschiedenheiten professionell umgehen
- Riskante Annahmen hinterfragen
- Probleme bei Bedarf eskalieren
- Vertrauen zwischen Teams aufbauen
- Richten Sie Diskussionen auf das Kundenrisiko statt auf interne Politik aus
Eine gute Sicherheitsfachkraft schreibt nicht nur Anforderungen. Sie schafft ein gemeinsames Verständnis. In vielen Programmen hat die Person, die klar kommuniziert, oft mehr Einfluss als die Person mit dem größten technischen Wissen.
Cybersicherheit und SOTIF zusammen mit funktionaler Sicherheit erlernen
Viele Ingenieure behandeln funktionale Sicherheit, Cybersicherheit und SOTIF noch immer als getrennte Aktivitäten. In modernen Fahrzeugprogrammen lassen sich diese Bereiche in der Praxis jedoch nur selten unabhängig voneinander betrachten.
Ein Functional Safety Manager, der nur ISO 26262 kennt, kann Schwierigkeiten bekommen, wenn das eigentliche Problem von einer Cybersicherheitsbedrohung, einer Einschränkung der Sensorleistung oder einem unerwarteten Betriebsszenario ausgeht. Zum Beispiel:
- Eine Kamera kann durch Blendung, Nebel oder starken Regen ausfallen
- Ein Objekt kann wegen einer Einschränkung der Wahrnehmungsleistung zu spät erkannt werden
- Ein Kommunikationssignal kann durch eine Schwachstelle der Cybersicherheit manipuliert werden
- Ein OTA-Update kann unbeabsichtigt eine sicherheitsbezogene Funktion beeinträchtigen
- Radar und Kamera können einzeln funktionieren und dennoch aufgrund der Sensorfusionslogik eine unsichere Entscheidung erzeugen
Diese Situationen beginnen nicht immer mit einem zufälligen Hardwareausfall. Manchmal entstehen sie durch Grenzen der bestimmungsgemäßen Funktionalität, Softwareverhalten, menschliche Fehlanwendung, Umgebungsbedingungen oder Cyberangriffe.
Deshalb sollten künftige Manager für funktionale Sicherheit zumindest ein grundlegendes Verständnis folgender Themen aufbauen:
- ISO 21448 SOTIF
- ISO 21434 Cybersecurity
- Sensorgrenzen und vorgesehener Betriebsbereich
- Risiken von Softwareaktualisierungen
- Domänenübergreifende Abhängigkeiten zwischen Safety und Security
- Mensch-Maschine-Schnittstelle und Fahrerverhalten
- Reale Szenarien jenseits des normalen Anwendungsfalls
Die stärksten Führungskräfte im Sicherheitsbereich können diese Themen meist miteinander verknüpfen, statt sie als voneinander unabhängige Silos zu behandeln.
Bei künftigen Fahrzeugprogrammen wird Sicherheitsführung zunehmend davon abhängen, wie gut jemand Funktionale Sicherheit, Cybersecurity und SOTIF-Denken in einer gemeinsamen Diskussion zusammenführen kann.
Lieferantenmanagement und gemeinsame Verantwortlichkeiten verstehen
Viele Sicherheitsprobleme in Fahrzeugprogrammen entstehen nicht, weil eine Anforderung fehlte. Sie entstehen, weil angenommen wurde, jemand anderes sei verantwortlich. In der modernen Fahrzeugentwicklung können mehrere Lieferanten an Sensoren, ECUs, Software, Aktuatoren, Diagnose, Kommunikationsnetzen und cloudverbundenen Diensten beteiligt sein.
Ein Functional Safety Manager muss verstehen, wo Verantwortlichkeiten beginnen, wo sie enden und wo sie sich überschneiden.
Dies wird besonders wichtig bei der Zusammenarbeit mit:
- Tier-1-Lieferanten
- Softwarelieferanten
- Halbleiterlieferanten
- Sensorlieferanten
- Validierungspartner
- Plattformteams
- Interne funktionsübergreifende Teams
Junge Ingenieure sollten lernen, Folgendes klar zu definieren:
- Wer für jede Sicherheitsanforderung verantwortlich ist
- Wer Arbeitsergebnisse erstellt und prüft
- Wer ist für Verifizierung und Validierung verantwortlich
- Wer Annahmen und Abhängigkeiten steuert
- Wer sicherheitsbezogene Änderungen kommuniziert
- Wer Abweichungen und offene Punkte freigibt
- Wer für Tätigkeiten in Produktion, Service und Feldüberwachung verantwortlich ist
Deshalb sind Dokumente wie Development Interface Agreements so wichtig. Eine DIA ist nicht nur ein Vertragsdokument. Sie ist ein Werkzeug, um Unklarheiten, Lücken und mehrfach getroffene Annahmen zwischen Organisationen zu vermeiden.
Kompetente Functional Safety Manager setzen nicht voraus, dass jeder seine Rolle versteht. Sie machen Verantwortlichkeiten frühzeitig sichtbar, bevor das Projekt in eine Krise gerät.
Lernen Sie, Annahmen bei HARA und der Entwicklung von Sicherheitskonzepten zu hinterfragen
Eines der größten Risiken in der Funktionalen Sicherheit ist nicht ein fehlendes Dokument, sondern die zu frühe Akzeptanz schwacher Annahmen. Viele HARA-Workshops und Reviews von Sicherheitskonzepten laufen sehr schematisch ab.
Teams einigen sich schnell auf die Bewertungen für Schweregrad, Exposition und Beherrschbarkeit, ohne genügend Zeit darauf zu verwenden, das Szenario selbst zu hinterfragen. Dabei wird möglicherweise angenommen:
- Der Fahrer wird immer richtig reagieren
- Der Fehler wird immer rechtzeitig erkannt
- Ein Ersatzpfad wird immer verfügbar sein
- Die Umgebungsbedingung tritt selten auf
- Das Fehlgebrauchsszenario ist unrealistisch
- Der Kommunikationsverlust wird immer nur kurz andauern
- Ein anderes System wird sich immer korrekt verhalten
Diese Annahmen können gefährlich werden, weil sie oft erst bei späten Validierungen, Feldreklamationen oder sogar Vorfällen hinterfragt werden.
Ein guter Functional Safety Manager sollte es sich zur Gewohnheit machen, Fragen wie diese zu stellen:
- Was geschieht, wenn der Fahrer nicht reagiert?
- Was passiert, wenn der Fehler beim Überholen oder in einer Kurve auftritt?
- Was geschieht, wenn zwei Fehler gleichzeitig auftreten?
- Was passiert, wenn der Fahrer zu viele Warnungen erhält und sie ignoriert?
- Was passiert, wenn die Umgebung die Sensorleistung beeinflusst?
- Was geschieht, wenn ein anderes abhängiges System bereits beeinträchtigt ist?
- Was passiert, wenn sich die Funktion korrekt verhält, aber dennoch zu einem unsicheren Ergebnis führt?
Die Qualität der HARA und des Sicherheitskonzepts hängt häufig stärker von der Qualität der Fragen als von der Qualität der Vorlage ab.
Die besten Sicherheitsfachkräfte sind meist diejenigen, die bereit sind, die Diskussion zu verlangsamen und Annahmen zu hinterfragen, die andere zu schnell akzeptieren.
Von der Dokumentenverantwortung zur Sicherheitsführung
Zu Beginn ihrer Laufbahn werden viele Ingenieure danach beurteilt, wie gut sie Vorlagen ausfüllen, Maßnahmen verfolgen und Dokumente pflegen. Das ist normal.
Langfristige Entwicklung in der Funktionalen Sicherheit beginnt jedoch dann, wenn Sie nicht mehr wie ein Koordinator, sondern wie eine Führungskraft denken. Ein Functional Safety Manager ist nicht nur dafür verantwortlich, den Safety Plan zu pflegen, Reviews zu organisieren oder Nachweise für Audits zu sammeln.
Sie tragen die Verantwortung dafür, Vertrauen zu schaffen, dass sich das Fahrzeug in der realen Welt sicher verhält.
Das bedeutet zu lernen, wie man:
- Schwierige Entscheidungen beeinflussen
- Bedenken eskalieren, auch wenn sie unbequem sind
- Termin-, Kosten- und Sicherheitsdruck in Einklang bringen
- Sicherheitsanforderungen in Managementdiskussionen vertreten
- Den Abschluss offener Probleme vorantreiben
- Teams bei Konflikten unterstützen
- Schaffen Sie eine Kultur, in der Menschen Probleme frühzeitig ansprechen
Viele Ingenieure warten auf formelle Befugnisse, bevor sie wie Führungskräfte handeln. Tatsächlich beginnt Führung aber oft viel früher. Sie beginnt, wenn Sie Verantwortung für ein Risiko übernehmen, schwierige Fragen stellen, den Kunden schützen und sich weiter für die richtige Entscheidung einsetzen, auch wenn dies Unbehagen auslöst.
Der Unterschied zwischen einem Functional Safety Manager und einer echten Führungspersönlichkeit für Sicherheit liegt normalerweise nicht im Titel.
Entscheidend ist die Denkweise.
Viele junge Ingenieure beginnen in der Funktionalen Sicherheit mit der Vorstellung, Erfolg entstehe durch das Erlernen der Norm, das Fertigstellen der Arbeitsergebnisse und das Bestehen des Audits. Diese Dinge sind wichtig. Sie sind jedoch nur der Ausgangspunkt.
Am schnellsten entwickeln sich meist Ingenieure, die die Fahrzeugfunktion verstehen, Annahmen hinterfragen, teamübergreifend kommunizieren, die Architektur verstehen, Sicherheit mit Cybersecurity und SOTIF verbinden und über ihre formale Rolle hinaus Verantwortung übernehmen.
Funktionale Sicherheit bedeutet nicht nur, Ausfälle zu verhindern. Sie bedeutet, Menschen zu schützen. Deshalb reicht technisches Wissen allein nicht aus.
Die Zukunft gehört Ingenieuren, die technisches Fachwissen, Systemdenken, Kommunikation, Führung und den Mut zu schwierigen Entscheidungen verbinden können.
Denn letztlich erinnert man sich an einen Manager für Funktionale Sicherheit nicht aufgrund der Anzahl ausgefüllter Vorlagen.
Man erinnert sich an sie dafür, mit welcher Sicherheit sie der Organisation geholfen haben, ein sichereres Produkt zu entwickeln.