Selbstfahrende Autos sind eine der grossen technischen Visionen und werden sicher Teil künftiger Mobilitätskonzepte sein. Noch unklar ist aber, welche Sicherheit erreicht werden soll und wie diese festgestellt werden kann. Dies wirft auch Fragen für den Zulassungsprozess auf.
Aus Sicht des Fahrzeugbaus ist es noch ein weiter Weg, bis Autos autonom fahren werden. Experten prognostizieren, dass die Marktdurchdringung mit teilautomatisierten (SAE-Stufe 3) oder hochautomatisierten (SAE-Stufe 4) Fahrzeugen in 10 bis 20, mit vollautomatisierten (SAE-Stufe 5) frühestens in 40 Jahren zu erwarten ist. Dennoch stellt sich schon heute die Frage, wie ein verlässliches Zulassungsverfahren aussehen könnte. Dabei geht es nicht etwa um das vielzitierte Trolley-Dilemma, sondern um wesentlich fundamentalere und wichtigere Fragen: Wie sicher ist sicher genug? Und: Wie kann diese Sicherheit verlässlich nachgewiesen werden?
Das Auto ist schon heute das komplexeste elektronische Gebrauchsgerät: Die Software eines gegenwärtigen Mittelklassewagens besteht aus etwa 100 Millionen Zeilen Code. Mit jeder Automatisierungsstufe nimmt die Komplexität markant zu. Zudem basieren autonome Fahrzeuge auf einer Vielzahl unterschiedlicher Sensoren zur Abbildung der Umgebung, auf selbstlernenden Algorithmen zur Verarbeitung enormer Datenmengen und zur Bestimmung der Trajektorie. Weiter sind sie in Kommunikationsinfrastrukturen eingebettet, um Daten untereinander, mit Leitstellen und anderen Verkehrsteilnehmern auszutauschen. Ein autonomes Auto ist ein System komplexer Einzelsysteme; es reicht nicht, die Funktionssicherheit der Komponenten einzeln zu testen. Die Andersartigkeit und Komplexität autonomer Fahrzeuge stellt die Eignung der bisherigen Zulassungspraxis grundsätzlich infrage.
Während man in den USA auf Eigenverantwortung der Hersteller setzt, kennen wir in Europa die «Typenzulassung». Der nichtregulatorische Ansatz der USA basiert auf einer letztlich freiwilligen Selbstverpflichtung. Die zuständige staatliche Behörde, das Departement of Transportation, gibt den Automobilherstellern eine Wegleitung, eine «voluntary guidance» mit zwölf Sicherheitselementen an die Hand und hält sie an, Branchennormen zu etablieren und «best practices» zu entwickeln. Diese Wegleitung gibt einen flexiblen Rahmen mit Empfehlungen vor, die den Herstellern dabei helfen sollen, die Sicherheit ihrer Fahrzeuge gegenüber Staat und Konsumenten zu belegen. Die Typenzulassung, wie sie in Europa Standard ist, erfordert dagegen regulatorische Kriterien, unter denen Fahrzeuge als sicher beurteilt und zugelassen werden können. Autonome Fahrzeuge aber sind selbstlernende Systeme und entwickeln sich im Gebrauch stets weiter, was der Logik der starren Typenzulassung grundsätzlich widerspricht. Denn diese gilt nur für ein Modell, nicht aber für seine Weiterentwicklungen.
Obwohl Testfahren (meist unter idealisierten Bedingungen), Übertragung vorhandener Unfalldaten und Crash-Untersuchungen eine logische, wertvolle Ausgangslage bilden, genügen sie nicht. Sie müssen also mit alternativen Methoden und Verfahren kombiniert werden. Dazu zählen Stresstests, beschleunigte Tests, etwa durch Einbau von Elementen automatisierter Fahrzeuge in herkömmliche Autos, Simulationen und Szenarienanalysen. Das Problem damit ist, dass die Ansätze und Modelle wiederum validiert werden müssen. Zwar gibt es formale Methoden, um Software gegen Spezifikationen zu testen, die Spezifikationen selbst lassen sich jedoch noch nicht evaluieren. Traditionelle Methoden der Zuverlässigkeitsanalyse sind ungenügend, weil die übliche Annahme konstanter Ausfallraten nicht zutrifft. Auch «Test Driving» allein ist kein verlässliches und wirtschaftliches Verfahren, um die Sicherheit autonomer Fahrzeuge nachzuweisen. So müsste ein autonomes Fahrzeug unter realen Bedingungen eine Teststrecke von 275 Mio. Kilometern absolvieren, damit statistisch signifikant festgestellt werden kann, dass es so sicher wie ein menschengelenktes Auto ist, wie eine Studie der RAND Corporation vorrechnet. Lernt das System mittels KI, oder wird es einem Update unterzogen, müsste es den Test eigentlich nochmals durchlaufen. Deshalb müssen fortschrittlichere Methoden entwickelt werden.
Derzeit werden szenariobasierte Ansätze bevorzugt. Dazu werden Daten über kritische Situationen, Zwischenfälle und Unfälle herangezogen. Mithilfe methodischer Ansätze wird Wissen erzeugt, um «kritische» Szenarien und somit Testfälle zu identifizieren: Diese werden dann genutzt, um voll ausgestattete autonome Fahrzeuge auf Prüfständen oder in gesonderten Aussenbereichen zu testen. Die Weiterverfolgung dieses Ansatzes erlaubt, die Sicherheit zugelassener autonomer Fahrzeuge unter realistischen Bedingungen zu verfolgen und sie gezielt zu verbessern. Ein solches Vorgehen erforderte eine unabhängige Stelle, die kritische Szenarien und Unfalldaten sammelt, breit nutzbar macht und auswertet.
Nicht nur sind autonome Fahrzeuge und innovative Mobilitätskonzepte Gegenstand von Forschung und Entwicklung, auch die beschriebenen Testverfahren werden erforscht und geeignete Zulassungsverfahren erarbeitet. Dazu wurden in den letzten Jahren etliche Forschungsprojekte gestartet und Gremien auf nationaler und internationaler Ebene geschaffen. Die Forschungsstelle der Europäischen Union leistet Zuarbeit zur Beurteilung der Zulassungsfähigkeit und setzt derzeit auf ein Mehrsäulenprinzip. Zunächst wird der Design- und Entwicklungsprozess der Hersteller evaluiert («Audit»), danach werden wesentliche Fahreigenschaften (einschliesslich Bewältigung kritischer Szenarien) in Simulationen und ausserhalb öffentlicher Strassen getestet. Erst danach wird das Fahrzeug für den Markt zugelassen; Erfahrungen aus dem operationellen Betrieb sollen dann genutzt werden, um bisherige Einschätzungen zu überprüfen und ggf. den Satz kritischer Szenarien zu erweitern. Die Komplexität und Vielzahl der Testverfahren zeigt eindrücklich, dass es auch von Seiten des Regulators noch ein weiter Weg ist, bis hoch- oder gar vollautomatisierte Autos auf den Markt werden.
Auskunft:
Wolfgang Kröger, Leiter Themenplattform Autonome Mobilität, Tel. +41 44 632 64 18, wolfgang.kroeger(at)satw.ch
Stefan Scheidegger, Projektleiter Früherkennung, Tel. +41 44 226 40 23, stefan.scheidegger(at)satw.ch
