Was ist gefährlicher?
Ein System, das versagt?
Oder ein System, das genau wie vorgesehen funktioniert, die Situation aber dennoch nicht sicher bewältigen kann?
Das ist der praktische Unterschied zwischen Funktionaler Sicherheit (FuSa) und SOTIF.
Funktionale Sicherheit fragt:
„Was geschieht, wenn etwas nicht richtig funktioniert?“
Zum Beispiel:
• Eine Kamera stellt die Kommunikation ein
• Ein Sensor liefert einen falschen Wert
• Die Softwareausführung ist fehlerhaft
• Ein Bremsbefehl wird nicht erzeugt
• Ein elektronisches Steuergerät wird nicht verfügbar
Der Schwerpunkt liegt auf:
• Fehler identifizieren
• Fehler vermeiden oder beherrschen
• Ungewöhnliches Verhalten erkennen
• Wechsel in einen sicheren Zustand oder dessen Aufrechterhaltung
Betrachten wir nun eine andere Situation.
Die Kamera funktioniert.
Der Algorithmus läuft.
Das Bremssystem ist verfügbar.
Das Fahrzeug erkennt jedoch weiterhin nicht:
• Ein teilweise verdeckter Fußgänger
• Eine verblasste Fahrbahnmarkierung
• Ein ungewöhnliches Objekt auf der Fahrbahn
• Starker Regen, Blendung oder Nebel
• Ein Szenario, das während der Entwicklung nicht ausreichend berücksichtigt wurde
Technisch ist nichts ausgefallen.
Dennoch kann sich das Fahrzeug weiterhin unsicher verhalten.
Hier wird SOTIF wichtig.
SOTIF fragt:
„Was geschieht, wenn nichts ausfällt, die beabsichtigte Funktion für die Situation aber nicht leistungsfähig genug ist?“
Der Schwerpunkt liegt auf:
• Funktionale Einschränkungen
• Unzulänglichkeiten von Sensoren und Algorithmen
• Vorhersehbarer Fehlgebrauch
• Anspruchsvolle Betriebsszenarien
• Unbekannte oder unzureichend verstandene Bedingungen
Der Unterschied lässt sich daher einfach merken:
FuSa
Unsicheres Verhalten infolge einer Fehlfunktion
SOTIF
Unsicheres Verhalten durch eine funktionale Unzulänglichkeit, auch ohne Fehlfunktion
Dies sind keine konkurrierenden Ansätze.
Für ADAS- und automatisierte Fahrfunktionen sind beide unverzichtbar.
Ein System ist nicht allein deshalb sicher, weil es fehlerfrei ist.
Es muss außerdem in der Lage sein, die Situationen zu beherrschen, in denen es voraussichtlich eingesetzt wird.
FuSa fragt:
„Was passiert, wenn etwas ausfällt?“
SOTIF fragt:
„Was, wenn nichts ausfällt, das System aber trotzdem nicht gut genug ist?“
Was ist in Ihren aktuellen Projekten schwieriger nachzuweisen: FuSa oder SOTIF?
#FunctionalSafety #SOTIF #ISO26262 #ISO21448 #ADAS #AutomotiveSafety #AutomotiveEngineering