Die klassische Fahrzeughomologation beruhte auf einem relativ stabilen Produkt. Ein Fahrzeug wurde konstruiert, geprüft, genehmigt, hergestellt und in Verkehr gebracht, wobei seine sicherheitskritischen Eigenschaften weitgehend durch seine physische Konstruktion festgelegt waren.
Softwaredefinierte Fahrzeuge stellen dieses Modell infrage. Moderne Fahrzeuge können nach der Produktion Software-Updates erhalten, die Funktionen, Kalibrierungen, Schnittstellen, Energiemanagement, das Verhalten von Fahrerassistenzsystemen und möglicherweise typgenehmigungsrelevante Eigenschaften verändern.
Software-Updates over the air (OTA) werfen daher eine der wichtigsten Fragen der modernen Homologation auf: Wenn sich ein Fahrzeug nach der Genehmigung wesentlich verändern kann, wie können Regulierungsbehörden und Hersteller sicherstellen, dass das genehmigte Fahrzeug während seiner gesamten Nutzungsdauer konform bleibt?
Wenn Software Teil des genehmigten Fahrzeugs wird
Ein softwaredefiniertes Fahrzeug ist ein Fahrzeug, bei dem ein wachsender Anteil der Fahrzeugfunktionen durch Software umgesetzt, gesteuert oder verändert wird statt ausschließlich durch feste Hardware.
Das bedeutet, dass die von der ursprünglichen Typgenehmigung abgebildeten Eigenschaften zunehmend von der im Fahrzeug installierten Softwareversion abhängen können.
Genehmigungsrelevante Eigenschaften werden weitgehend durch physische Komponenten, mechanische Konstruktion und feste elektronische Kalibrierung festgelegt.
Genehmigte Funktionen können von Softwareversionen, Konfiguration, Kalibrierung, digitalen Funktionen und Updates nach der Produktion abhängen.
Der internationale Rahmen für Fahrzeug-Software-Updates
Die UN-Regelung Nr. 156 schafft den internationalen Regulierungsrahmen für Fahrzeug-Software-Updates und Software Update Management Systems.
Ihre Bedeutung reicht weit über die Übertragung per OTA hinaus. Die Regelung behandelt, wie Hersteller Software-Updates, die Fahrzeuge innerhalb des Genehmigungssystems betreffen, identifizieren, bewerten, steuern, dokumentieren und kontrollieren.
Der Hersteller muss strukturierte Prozesse zur Steuerung von Software-Update-Tätigkeiten betreiben.
Updates müssen daraufhin bewertet werden, ob sie typgenehmigungsrelevante Eigenschaften des Fahrzeugs beeinflussen.
Genehmigungsrelevante Software muss identifizierbar und der entsprechenden Fahrzeugkonfiguration rückverfolgbar zugeordnet sein.
Hersteller benötigen kontrollierte Informationen über Softwareversionen, Updates und betroffene Fahrzeuge.
Ihr zentraler Homologationszweck besteht darin sicherzustellen, dass Software-Updates kontrolliert gesteuert werden und die Folgen dieser Updates für genehmigte Fahrzeugeigenschaften verstanden werden.
Das Update muss kontrolliert werden, bevor es das Fahrzeug erreicht
Eines der zentralen Konzepte der UN R156 ist das Software Update Management System – üblicherweise als SUMS bezeichnet.
SUMS führt die Homologation über die Prüfung eines einzelnen Updates hinaus. Es verlangt vom Hersteller den Nachweis, dass die Organisation selbst über wirksame Prozesse zur Steuerung von Software über den relevanten Fahrzeuglebenszyklus verfügt.
Relevante Software, Versionen und Beziehungen zu Fahrzeugsystemen und Genehmigungseigenschaften identifizieren.
Kontrolle darüber behalten, welche Softwarekonfigurationen bestimmten Fahrzeugtypen und Varianten entsprechen.
Bestimmen, was sich durch das Update ändert und ob genehmigungsrelevante Funktionen betroffen sind.
Nachweisen, dass das Update bestimmungsgemäß funktioniert und keine unzulässigen Auswirkungen auf andere Systeme hat.
Sicherstellen, dass das richtige Update unter geeigneten Bedingungen kompatible Fahrzeuge erreicht.
Nachweise führen, die Softwareversionen, betroffene Fahrzeuge, Bewertungen und Update-Entscheidungen miteinander verknüpfen.
Welche Softwareversion repräsentiert das genehmigte Fahrzeug?
Die Softwarehomologation erfordert eine verlässliche Verbindung zwischen dem genehmigten Fahrzeug und der Software, die genehmigungsrelevante Funktionen steuert.
UN-Regelungen nutzen daher Mechanismen der Softwareidentifikation wie die RxSWIN – Regulation x Software Identification Number –, um die Rückverfolgbarkeit der mit regulierten Funktionen verbundenen Software zu unterstützen.
Klassische Konformitätssysteme verfolgen physische Bauteile über Zeichnungen, Teilenummern, Seriennummern und kontrollierte Produktionsaufzeichnungen.
Softwaredefinierte Funktionen erfordern eine gleichwertige Kontrolle über Versionen, Konfiguration und deren Bezug zum genehmigten Fahrzeug.
Ändert sich die steuernde Software, können sich auch das Verhalten oder die regulierten Eigenschaften des Fahrzeugs ändern. Die Softwareidentifikation wird daher integraler Bestandteil der Fahrzeugkonfigurationskontrolle.
Verändert das Software-Update das genehmigte Fahrzeug?
Dies ist wohl die wichtigste Homologationsfrage im Zeitalter softwaredefinierter Fahrzeuge.
Nicht jedes Software-Update beeinflusst die Typgenehmigung. Eine Aktualisierung der Navigationskarten, eine Korrektur der Bedienoberfläche oder eine nicht regulierte Funktion hat möglicherweise keine wesentlichen Auswirkungen auf regulierte Fahrzeugeigenschaften.
Andere Updates können ganz anders gelagert sein.
Die Änderung kann innerhalb der genehmigten Software-Update-Prozesse des Herstellers gesteuert werden, ohne dass eine neue Genehmigungsmaßnahme erforderlich ist.
Der Hersteller muss bewerten, ob vor der Verteilung Prüfungen, eine Erweiterung der Genehmigung, aktualisierte Unterlagen oder eine andere regulatorische Maßnahme erforderlich sind.
Das Fahrzeug wird zu seiner eigenen Installationsumgebung für Software
OTA-Updates machen es überflüssig, jede Softwareänderung physisch in einer Werkstatt zu installieren, schaffen aber auch neue Sicherheits- und Konformitätsrisiken.
Das Update muss nicht nur technisch korrekt sein. Es muss das richtige Fahrzeug erreichen, unter geeigneten Bedingungen installiert werden und das Fahrzeug in einem sicheren und gültigen Zustand hinterlassen.
Das System muss feststellen, ob das Update für das konkrete Fahrzeug und die Softwarekonfiguration geeignet ist.
Die Software sollte ohne unbefugte Veränderung oder Beschädigung ankommen.
Sicherheitskritische Updates erfordern möglicherweise festgelegte Bedingungen hinsichtlich Fahrzeugzustand, Betrieb oder Nutzerinteraktion.
Der Update-Prozess muss berücksichtigen, was geschieht, wenn die Installation unterbrochen wird oder fehlschlägt.
Fahrer oder Betreiber benötigen gegebenenfalls Informationen zu Zweck des Updates, Installationsbedingungen oder Änderungen, die die Fahrzeugnutzung betreffen.
Fahrzeug und Hersteller müssen sicher sein, dass die vorgesehene Konfiguration erfolgreich installiert wurde.
Ein Fahrzeug-Update kann Systeme betreffen, die lenken, bremsen, beschleunigen oder andere sicherheitsrelevante Funktionen steuern können. Die Folgen einer fehlerhaften oder unvollständigen Installation können daher grundlegend anders sein.
Die Homologation von Software-Updates ist nicht von der Cybersicherheit zu trennen
Software-Updates bringen Kommunikationswege, Softwareverteilungsmechanismen und digitale Vertrauensbeziehungen mit sich, die zu potenziellen Angriffsflächen werden können.
Deshalb wirkt die UN-Regelung Nr. 156 eng mit der UN-Regelung Nr. 155 zusammen, die die Cybersicherheit von Fahrzeugen und Cyber Security Management Systems behandelt.
Konzentriert sich auf die Identifizierung, Bewertung und Steuerung von Cybersicherheitsrisiken für Fahrzeuge über deren gesamten Lebenszyklus.
Konzentriert sich auf die Steuerung von Fahrzeug-Software-Updates und deren Bezug zu genehmigten Fahrzeugeigenschaften.
Was muss vor der Freigabe eines Updates nachgewiesen werden?
Das angemessene Validierungsprogramm hängt davon ab, was das Update verändert.
Eine Softwareänderung, die eine sicherheitsrelevante Fahrzeugfunktion betrifft, kann erheblich mehr Nachweise erfordern als eine Änderung, die sich auf eine nicht regulierte Bedienoberfläche beschränkt.
Bestätigen, dass die aktualisierte Software die vorgesehenen Anforderungen korrekt umsetzt.
Nachweisen, dass betroffene Fahrzeugfunktionen weiterhin wie gefordert arbeiten.
Bestätigen, dass Änderungen zuvor validierte Funktionen nicht unbeabsichtigt verschlechtert haben.
Gegebenenfalls die aktualisierte Funktion in der Umgebung des Gesamtfahrzeugs verifizieren.
Gefährdungen und Sicherheitsannahmen neu bewerten, wenn das Update sicherheitsrelevantes Verhalten beeinflusst.
Bestimmen, ob die anwendbaren Genehmigungsanforderungen nach der Änderung weiterhin erfüllt sind.
Die Konformität von Software-Updates ist bereits Teil der europäischen Homologation
Die Europäische Union hat die Anforderungen an Software-Updates durch die Anwendung der UN-Regelung Nr. 156 in den EU-Rahmen für die Fahrzeugtypgenehmigung integriert.
Software-Governance ist damit für Hersteller, die relevante neue Fahrzeugtypen auf dem europäischen Markt in Verkehr bringen, kein Konformitätskonzept der Zukunft mehr.
Die Konformität von Software-Updates ist Teil der regulatorischen Anforderungen für die EU-Fahrzeuggenehmigung.
Die Genehmigungsunterlagen müssen zunehmend Softwareidentifikation und update-relevante Eigenschaften berücksichtigen.
Genehmigungsrelevante Softwareänderungen können eine angemessene Abstimmung mit der Typgenehmigungsbehörde erfordern.
Softwareversionen für bereits in Betrieb befindliche Fahrzeuge müssen gegebenenfalls sorgfältig von Software für neu hergestellte Fahrzeuge abgegrenzt werden.
Softwaregesteuerte Funktionen schaffen eine fortlaufende Beziehung zwischen der genehmigten Fahrzeugkonfiguration, späteren Softwareversionen und den Nachweisen für die fortbestehende Konformität.
Die Softwarehomologation erstreckt sich über die gesamte Lieferkette
Moderne Fahrzeugsoftware wird selten von einer einzigen Organisation entwickelt. OEMs stützen sich auf Steuergerätezulieferer, Softwareentwickler, Halbleiterunternehmen, ADAS-Zulieferer, Anbieter von Batteriesystemen und andere Technologiepartner.
Dennoch bleibt der Fahrzeughersteller dafür verantwortlich nachzuweisen, dass das genehmigte Fahrzeug weiterhin die anwendbaren regulatorischen Anforderungen erfüllt.
Zulieferer benötigen kontrollierte Mechanismen, um den OEM über Änderungen an Software oder eingebetteten Funktionen zu informieren.
Die genehmigte Fahrzeugkonfiguration muss über die von mehreren Organisationen gelieferte Software hinweg rückverfolgbar sein.
Relevante Prüfnachweise der Zulieferer müssen die Gesamtkonformitätsbewertung des Herstellers stützen.
Schwachstellen und Risiken von Software-Updates können überall in der vernetzten Software-Lieferkette entstehen.
Die Genehmigung setzt sich fort, nachdem das Fahrzeug die Produktion verlassen hat
Softwaredefinierte Fahrzeuge verstärken einen umfassenderen Wandel, der in der Automobilregulierung bereits sichtbar ist: Die Konformität reicht zunehmend über den ursprünglichen Genehmigungsvorgang hinaus.
Der Homologationsprozess konzentriert sich stark auf die in Produktion gehende Fahrzeugkonstruktion und die Aufrechterhaltung der Übereinstimmung der Produktion.
Softwaregesteuerte Fahrzeuge erfordern ein fortlaufendes Konfigurationsmanagement und die Bewertung von Änderungen über die gesamte Nutzungsdauer.
Diese Frage steht im Zentrum der softwaredefinierten Homologation. Die Antwort hängt zunehmend von kontrollierter Softwareidentifikation, dokumentierter Änderungsbewertung und Nachweisen ab, dass die regulatorische Konformität erhalten bleibt.
Vom festen Produkt zur gesteuerten digitalen Plattform
Softwaredefinierte Fahrzeuge verändern die Homologation, weil das Fahrzeug zunehmend zu einer Plattform wird, die sich nach der Produktion kontrolliert weiterentwickeln kann.
Künftige Homologationskompetenz erfordert daher eine Kombination aus klassischer Fahrzeugtechnik und moderner Software-Absicherung.
Alle Regelungen und Genehmigungseigenschaften ermitteln, die von softwaregesteuerten Funktionen betroffen sein können.
Ein systematisches Software-Update-Management über Entwicklung, Produktion und Feldbetrieb hinweg einrichten.
Verlässliche Rückverfolgbarkeit zwischen Fahrzeugen, regulierten Funktionen und installierter Software aufrechterhalten.
Bestimmen, ob jede Softwareänderung Sicherheit oder genehmigungsrelevante Eigenschaften beeinflusst.
Nachweise erzeugen, dass geänderte Funktionen sicher und konform bleiben.
Konformität aufrechterhalten, während Fahrzeuge über ihre Nutzungsdauer Updates, Sicherheitspatches und Funktionsänderungen erhalten.
Kann sich ein Fahrzeug nach der Genehmigung verändern?
Das softwaredefinierte Fahrzeug macht die Antwort zunehmend klar: Ja – doch diese Veränderung muss selbst gesteuert werden.
Software kann während der gesamten Fahrzeuglebensdauer Sicherheitsverbesserungen, Cybersicherheitskorrekturen, Leistungssteigerungen und neue Funktionen liefern. Dieselbe Fähigkeit kann jedoch Systeme verändern, die ursprünglich Teil der Genehmigungsnachweise des Fahrzeugs waren.
Deshalb werden Software-Update-Management, Cybersicherheit, Rückverfolgbarkeit der Konfiguration und Bewertung regulatorischer Auswirkungen zu grundlegenden Elementen der modernen Homologation.
Sondern wie Hersteller nachweisen können, dass jede genehmigungsrelevante Änderung kontrolliert, validiert, rückverfolgbar und konform bleibt, bevor sie das Fahrzeug erreicht.