„Eine Zulassung darf kein Freibrief für Softwareänderungen sein“

Autonomes Fahren gewinnt in Deutschland an Dynamik. So hat der Branchenprimus Waymo in München mit der Vorbereitung seines ersten deutschen Robotaxi-Dienstes begonnen. Parallel laufen weitere Level-4-Projekte, unter anderem von Uber mit Momenta sowie von Uber und Autobrains. Deutschland entwickelt sich damit zunehmend vom Testfeld zum möglichen Einsatzmarkt für fahrerlose Mobilitätsdienste. Diese Entwicklungen nimmt der Deutsche Verkehrssicherheitsrat (DVR) zum Anlass, höhere Anforderungen an den Sicherheitsnachweis autonomer Fahrzeuge zu fordern. Beispieslweise müssten fahrerlose Systeme im realen Betrieb dauerhaft deutlich sicherer sein als konventionell gefahrene Fahrzeuge. Dazu zählen laut DVR belastbare Felddaten, klar definierte Betriebsbereiche, der Schutz vulnerabler Verkehrsteilnehmer sowie eine kontinuierliche Kontrolle sicherheitsrelevanter Softwareupdates.

Wie sich ein solcher Sicherheitsgewinn überhaupt messen lässt und welche Anforderungen Level-4-Fahrzeuge vor dem Regelbetrieb erfüllen sollten, erklärt DVR-Präsident Manfred Wirsch im Interview mit automotiveIT.

„Level-4-Fahrzeuge müssen deutlich sicherer fahren“

Herr Wirsch, sind Sie selbst schon einmal beruflich oder privat mit einem autonomen Fahrdienst gefahren?

Während eines Aufenthalts im Silicon Valley hatte ich die Gelegenheit, einen autonomen Fahrdienst zu nutzen. Das war für mich eine sehr interessante Erfahrung, weil ich die Technologie nicht nur theoretisch kennenlernen, sondern unmittelbar im realen Straßenverkehr erleben konnte.

Der DVR fordert für fahrerlose Fahrzeuge ein „deutlich höheres Sicherheitsniveau“ als bei konventionellen Fahrzeugen. Was bedeutet „deutlich höher“ konkret?

Die EU verlangt im Kern, dass ein automatisiertes Fahrzeug das Risiko gegenüber einem vergleichbaren manuell gefahrenen Fahrzeug nicht erhöht. Das allein würde allerdings noch keinen signifikanten Sicherheitsgewinn bedeuten. Absolute Sicherheit kann es zwar nicht geben – der Anspruch sollte aber sein, Level-4-Funktionen zu entwickeln, die deutlich sicherer sind als der „Normalfahrer“. Die Meinungen darüber, wann ein Level-4-Fahrzeug sicher genug ist, gehen unter Fachleuten auseinander. Manche halten bereits eine Reduktion des tödlichen Unfallrisikos um zehn Prozent für eine sinnvolle Schwelle, andere gehen davon aus, dass das gesellschaftlich tolerierte Risiko bei einer 75- bis 80-prozentigen Reduzierung liegen würde. Der DVR legt sich nicht auf einen konkreten Schwellenwert fest. Klar ist aber: Level-4-Fahrzeuge dürfen keine vermeidbaren Risiken eingehen und müssen deutlich sicherer fahren als „Normalfahrer“, um einen spürbaren Sicherheitsgewinn zu erzielen.

Welche objektiven Kriterien müsste ein Level-4-System aus Ihrer Sicht mindestens erfüllen, damit der DVR einen Regelbetrieb befürworten würde?  

Vor dem Start des Regelbetriebs muss ein grundlegender Sicherheitsnachweis unter Realbedingungen vorliegen. Ein Level-4-Fahrzeug muss die Fahraufgabe in seinem definierten Betriebsbereich vollständig beherrschen und dabei mindestens so sicher agieren wie ein kompetenter menschlicher Fahrer. Dazu gehört, dass fahrerlose Systeme vulnerable Verkehrsteilnehmer zuverlässig erkennen und sich ihnen gegenüber stets regelkonform und vorhersehbar verhalten. Weder Systemfehler noch das Erreichen von Grenzen des definierten Betriebsbereichs dürfen das Unfallrisiko erhöhen. Darüber hinaus müssen Einsatzfahrzeuge, Baustellen sowie unerwartete Verkehrssituationen sicher beherrscht werden. Fernunterstützung und Notfallkommunikation müssen praxiserprobt sein. Die europäische ADS-Verordnung schlägt bereits genau diese Richtung ein. Sie verlangt, dass ein automatisiertes Fahrsystem im definierten Betriebsbereich die gesamte Fahraufgabe sicher ausführt, angemessene Abstände hält, vorausschauend auf andere Verkehrsteilnehmende reagiert und menschliches Leben priorisiert. Die Hersteller sind zudem verpflichtet, Akzeptanzkriterien für das Restrisiko festzulegen und dabei unter anderem sowohl reale Unfalldaten als auch das Leistungsniveau eines kompetent und umsichtig manuell bewegten Fahrzeugs einzubeziehen. 

Wie lässt sich Sicherheit bei autonomen Fahrzeugen messen?

Wie lässt sich ein solcher Sicherheitsgewinn messen und ab wann wäre er aus Ihrer Sicht ausreichend nachgewiesen?

Schwere Verkehrsunfälle sind bezogen auf den einzelnen Fahrer so selten, dass ein statistischer Nachweis im regulären Fahrbetrieb kaum möglich ist. Ein selbstfahrendes Fahrzeug müsste mehrere hundert Millionen bis Milliarden Kilometer unfallfrei zurücklegen, um mit möglichst hoher Sicherheit nachweisen zu können, dass es signifikant besser als ein Mensch unterwegs ist. Die Lösung dieses statistischen Problems liegt deshalb in einem Sicherheitsnachweis mit einer Bewertung von Sicherheitsreife und Simulation, einem Vergleich mit einem sehr guten Referenzfahrer, Fahrversuchen auf Teststrecken und im Realverkehr sowie einer Auswertung von Felddaten nach der Einführung. Anschließend muss überprüft werden, ob sich das prognostizierte Sicherheitsniveau im Realbetrieb bestätigt. Eine weitere Möglichkeit besteht darin, Unfallanalysen von schweren Verkehrsunfällen zu nutzen, etwa Daten aus dem GIDAS-Projekt. Wenn sich zeigen ließe, dass selbstfahrende Fahrzeuge in nahezu identischen Verkehrssituationen durch automatische Fahrmanöver in ausreichender Zahl nicht verunfallen und sich damit das relative Unfallrisiko signifikant reduziert, wäre auch das ein Hinweis auf einen Sicherheitsgewinn. Es entspräche also einem Quasi-Experiment, mit dem belastbare wissenschaftliche Evidenz gewonnen werden kann. Bei der Risikoberechnung ist allerdings zu berücksichtigen, dass Verkehrsunfälle einer anderen Wahrscheinlichkeitsverteilung folgen als der allgemein bekannten Normalverteilung. Mit geeigneten statistischen Modellen lassen sich aber auch sehr seltene Ereignisse gut hinsichtlich ihrer Zufälligkeit oder eben ihrer Nicht-mehr-Zufälligkeit beurteilen.

Vor dem Regelbetrieb fordert der DVR einen grundlegenden Sicherheitsnachweis unter Realbedingungen. Wie müsste ein solcher Nachweis grundsätzlich aussehen? Können Sie das an einem konkreten Beispiel erläutern?

Ein solcher Nachweis setzt zunächst die Definition des Betriebsbereichs voraus, für den der Sicherheitsnachweis gelten soll. Anschließend müssen Referenz- und Akzeptanzkriterien festgelegt werden, beispielsweise das Verhalten eines sorgfältigen und kompetenten menschlichen Fahrers. Darüber hinaus müssen Sicherheitsbedingungen festgelegt werden, etwa das Vermeiden systembedingter Kollisionen, die Beachtung von Verkehrsregeln, der Schutz vulnerabler Verkehrsteilnehmer oder auch Grenzwerte für kritische Eingriffe. Kritische Situationen sollten möglichst bereits vor dem Einsatz im Straßenverkehr berücksichtigt werden – zum Beispiel Fußgänger hinter einem Lieferwagen, Einsatzfahrzeuge oder der Ausfall von Sensoren. Dies kann auf Teststrecken geschehen, auf denen sich auch seltene, sicherheitskritische Ereignisse gezielt darstellen lassen. Im definierten Einsatzbereich müssen anschließend systematische Fahrten erfolgen, die möglichst viele relevante Szenarien abdecken. Dazu gehören etwa Hauptverkehrszeiten, ungünstige Lichtverhältnisse, unterschiedliche Witterungsbedingungen und komplexe Verkehrssituationen. Kollisionen, Verkehrsverstöße, riskante Annäherungen, unerwartete Notbremsungen, Manöver zur Risikominimierung, Betriebsabbrüche und Eingriffe der Leitstelle sollten ausgewertet und einer Ursache zugeordnet werden. Die abschließende Freigabe muss letztlich durch eine unabhängige Stelle erfolgen.

Das sind die neuen UN-Zulassungsregeln für autonome Autos

Die UN schafft erstmals globale Zulassungsregeln für hochautomatisierte und fahrerlose Autos. Hersteller müssen künftig nachweisen, dass ihre Systeme sicher fahren, Updates beherrschbar bleiben und Fahrzeuge auch nach der Genehmigung überwacht werden.

Welche Rolle spielt die Operational Design Domain?

Autonome Fahrzeuge operieren innerhalb eines definierten Betriebsbereichs. Welche Anforderungen sollte der Gesetzgeber an diese sogenannte Operational Design Domain stellen, bevor ein fahrerloser Dienst zugelassen wird?

In Deutschland haben wir eine zweistufige Struktur. Der Hersteller definiert zunächst, was das Fahrzeug technisch kann und in welchem Betriebsbereich es eingesetzt werden soll. Das Kraftfahrt-Bundesamt erteilt wiederum die Zulassung für das Fahrzeug. Die Festlegung des Betriebsbereichs erfolgt gemäß der Autonome-Fahrzeuge-Genehmigungs-und-Betriebs-Verordnung (AFGBV) durch den Halter. Der vorgesehene Betriebsbereich wird anschließend von der zuständigen Straßen- oder Landesbehörde genehmigt. Dabei muss die Behörde feststellen, ob das Fahrzeug die Fahraufgabe in diesem Betriebsbereich sicher bewältigen kann. Mit dieser Aufgabe kann sie auch einen Technischen Dienst beauftragen. Wie die Genehmigung des Betriebsbereichs in der Praxis konkret erfolgt, wird derzeit von Experten ausgestaltet. Ein Betriebsbereich ist dabei nicht auf ein geografisches Gebiet beschränkt. Er kann auch Parameter wie Geschwindigkeit, Wetter, Lichtverhältnisse, Verkehrssituationen umfassen.

Wo liegen aktuell die größten technischen Herausforderungen bei der zuverlässigen Erkennung und Verhaltensprognose von Fußgängern, Radfahrern, Kindern oder älteren Menschen?

Die Herausforderung liegt heute weniger darin, unterschiedliche Verkehrsteilnehmer zu erkennen, sondern vielmehr darin, ihr Verhalten zuverlässig vorherzusagen. Besonders herausfordernd sind Situationen mit sehr kurzen Reaktionszeiten sowie ungewöhnlichem oder bewusst regelwidrigem Verhalten. Hier stößt ein autonomes Fahrzeug nicht zuletzt auch an physikalische Grenzen. Fährt beispielsweise unmittelbar vor dem Fahrzeug plötzlich ein Fahrradfahrer bei Rot über eine Ampel, ist eine Kollision kaum zu vermeiden.

Wie müssen Robotaxis mit Rettungskräften umgehen?

Erfahrungen aus den USA zeigen, dass autonome Fahrzeuge auch Polizei, Feuerwehr und Rettungsdienste vor neue Herausforderungen stellen. Gibt es dazu bereits einen Austausch mit Behörden oder Organisationen aus Ländern, in denen fahrerlose Dienste länger im Einsatz sind?

Unserer Kenntnis nach gibt es bereits einen länderübergreifenden Austausch zwischen Behörden und Forschungseinrichtungen. Autonome Fahrzeuge werden künftig beim Bilden einer Rettungsgasse oder beim Vorbeifahren an Einsatzstellen gegenüber menschlichen Fahrenden deutlich vorhersehbarer und geordneter agieren. Autonome Fahrzeuge geraten nicht in Hektik und gaffen auch nicht. Entscheidend ist nun, die digitale Vernetzung weiter zu verbessern und möglichst viele relevante Szenarien vorab zu simulieren, damit Rettungskräfte im Ernstfall noch sicherer und schneller Hilfe leisten können.

US-Behörde warnt vor Edge Cases beim autonomen Fahren

Die US-Verkehrssicherheitsbehörde NHTSA fordert Entwickler fahrerloser Systeme zum raschen Handeln auf. Nach mehreren Zwischenfällen mit Rettungskräften sollen sie die Erkennung von Einsatzlagen verbessern und konkrete Lösungen vorlegen.

Welche Daten müssen erfasst werden, damit sich die Sicherheit autonomer Fahrzeuge im realen Betrieb belastbar bewerten lässt – etwa auch Beinahe-Unfälle, Notbremsungen oder Ferneingriffe?

Zum Nachweis des Potenzials zur Verbesserung der Verkehrssicherheit automatisierter Fahrzeuge sollten bedarfsorientiert anonymisierte Fahrzeug- und Verkehrsdaten aufgezeichnet und analysiert werden. Dazu zählen etwa Eingriffe der technischen Aufsicht, Konfliktszenarien einschließlich Unfällen und – soweit technisch möglich – Beinahe-Unfälle, Regelverstöße, ungeplante Spurwechsel, Ausweichmanöver, Betriebsstörungen sowie Manipulationen. Neben diesen objektiven Messdaten spielen auch Wahrnehmungen und Verhaltensreaktionen anderer Verkehrsteilnehmender eine Rolle. Ist das automatische Fahrverhalten für andere Verkehrsteilnehmende unvorhersehbar, kann dadurch ebenfalls ein erhöhtes Unfallrisiko entstehen. Inwiefern selbstfahrende Fahrzeuge das Fahrverhalten menschlicher Fahrzeugführender beeinflussen, ließe sich durch Infrarot- oder Lidar-gestützte Daten zur Fahrdynamik im Umfeld selbstfahrender Fahrzeuge oder an unfallkritischen Verkehrsstellen erfassen.

Wer sollte Zugriff auf Unfall-, Beinahe-Unfall- und Eingriffsdaten autonomer Fahrzeuge bekommen und diese auswerten dürfen? Braucht es aus Ihrer Sicht dafür eine gesetzliche Meldepflicht? 

Die besteht in Teilen bereits. Nach Paragraf 1 des Straßenverkehrsgesetzes sind Halter autonom fahrender Fahrzeuge verpflichtet, unter anderem Daten zu Unfällen, Beinahe-Unfällen, Störungen im Betriebsablauf, Eingriffen der technischen Aufsicht, unplanmäßigen Spurwechseln oder Ausweichmanövern zu speichern. Das Kraftfahrt-Bundesamt ist berechtigt, diese Daten abzufragen, zu speichern und auszuwerten, soweit dies zur Überwachung des sicheren Betriebs erforderlich ist. Nicht-personenbezogene Daten dürfen zudem der Forschung zugänglich gemacht werden. 

Brauchen Level-4-Fahrzeuge einen kontinuierlichen Sicherheitsnachweis?

Autonome Fahrfunktionen verändern sich durch Softwareupdates auch nach der Zulassung. Wie müsste eine unabhängige Kontrolle sicherheitsrelevanter Updates über die Lebensdauer eines Fahrzeugs organisiert werden?

Mit der UN-Regelung Nr. 156, dem europäischen Typgenehmigungsrecht und der deutschen AFGBV liegen bereits wichtige Instrumente zur Kontrolle von Softwareupdates vor. Denkbar wäre, daraus perspektivisch für Level-4-Fahrzeuge einen kontinuierlichen Sicherheitsnachweis zu machen. Jede sicherheitsrelevante Softwareversion muss eindeutig identifizierbar sein, vor der Freigabe risikobasiert und gegebenenfalls unabhängig erneut geprüft werden und nach dem Rollout anhand realer Sicherheitsdaten überwacht werden. Wesentliche Änderungen am Fahrverhalten oder am Betriebsbereich sollten eine Erweiterung oder erneute Genehmigung auslösen. Eine einmal erteilte Zulassung darf kein Freibrief für spätere Softwareänderungen sein, die einen Einfluss auf die Fahrzeug- und Verkehrssicherheit haben könnten.

Bei welchen Änderungen an der Fahrsoftware sollte eine erneute Sicherheitsprüfung oder Genehmigung notwendig werden – und wer sollte darüber entscheiden? 

Auch hierfür gibt es bereits eine Regelung. Nach Paragraf 4 der AFGBV müssen nachträgliche Veränderungen an Kraftfahrzeugen mit autonomer Fahrfunktion vom Kraftfahrt-Bundesamt genehmigt werden. Nicht jedes Software-Update macht eine erneute Prüfung erforderlich. Ausschlaggebend ist, ob sich das Update auf die Fahrzeug- und Verkehrssicherheit auswirken kann, wie es etwa bei veränderter Umfelderfassung oder modifizierten Brems- und Ausweichstrategien der Fall ist. Gemäß der UN-Regelung Nr. 156 hängt die Notwendigkeit einer Neugenehmigung unter anderem davon ab, ob das Update Funktionen hinzufügt, ändert oder aktiviert, die zum Zeitpunkt der ursprünglichen Typgenehmigung noch nicht vorhanden oder aktiviert waren. 

Warum der Weg zur Autonomie über Level 2++ führt

Autonomes Fahren wird konkreter, aber auch aufwendiger. Während Tests und neue Regeln die Technologie voranbringen, setzen Hersteller in der Serie zunehmend auf skalierbare Assistenzsysteme. Dahinter steckt mehr als Vorsicht.

Welche Bedeutung haben regelmäßige technische Prüfungen bei autonomen Fahrzeugen? Müssen sich dafür auch bestehende Prüfverfahren wie die Hauptuntersuchung verändern?

Die periodische technische Überwachung bleibt auch in Zukunft wichtig. Dafür bedarf es unter Umständen anderer oder neuer Prüfverfahren, die den besonderen Anforderungen autonomer Fahrzeuge Rechnung tragen.

Was wäre für Sie persönlich der größte Gewinn des autonomen Fahrens, wenn die Technik hält, was sie verspricht?

Das autonome Fahren ist in erster Linie eine Komfortfunktion. In dieser Technologie steckt aber auch das Potenzial, die Unfallzahlen deutlich zu reduzieren – und damit das Potenzial, der Vision Zero, einem Straßenverkehr ohne Getötete und Schwerverletzte, einen Schritter näher zu kommen.

Zur Person:

Manfred Wirsch ist seit 2022 Präsident des Deutschen Verkehrssicherheitsrats (DVR). Zuvor war er bereits als Vorstandsmitglied und Vizepräsident für den DVR tätig. Wirsch bringt langjährige Erfahrung in der Unfallprävention aus seinen Tätigkeiten bei der Berufsgenossenschaft Handel und Warenlogistik (BGHW) und der Deutschen Gesetzlichen Unfallversicherung (DGUV) mit.