Arnold NextG Blogspot: Drive-by-Wire Decoded – Fahrzeugkontrolle für autonome Systeme
Fail-safe reicht nicht – warum autonome Fahrzeuge fail-operational gedacht werden müssen

Pfronstetten-Aichelau, 24.03.2026 (PresseBox) - Sicherheit im Fahrzeug bedeutete lange: Im Fehlerfall in einen sicheren Zustand übergehen. Mit autonomem Fahren verschiebt sich dieses Verständnis grundlegend – denn Stillstand ist nicht mehr automatisch sicher.

In klassischen Fahrzeugarchitekturen war Sicherheit eng mit dem Konzept des Stillstands verknüpft. Systeme wurden so ausgelegt, dass sie im Fehlerfall abschalten oder in einen passiven Zustand übergehen. Der Fahrer fungierte dabei als übergeordnete Instanz, die eingreifen konnte. Mit zunehmender Automatisierung entfällt diese Rückfallebene.

Ein autonomes Fahrzeug operiert eigenständig, häufig in dynamischen Umgebungen und unter realen Einsatzbedingungen. In diesem Kontext kann Stillstand neue Risiken erzeugen – etwa im fließenden Verkehr, in logistischen Prozessen oder bei sicherheitskritischen Anwendungen. Damit verschiebt sich die zentrale Fragestellung: Nicht mehr, wie ein System sicher abschaltet – sondern wie es unter Einschränkungen kontrollierbar bleibt.

Fail-operational als betriebliche Anforderung

Fail-operational ist kein technisches Zusatzfeature, sondern eine betriebliche Voraussetzung für autonome Systeme. Ein Fahrzeug, das im Fehlerfall stehen bleibt, erfüllt zwar klassische Sicherheitslogiken, ist jedoch im autonomen Betrieb nicht wirtschaftlich nutzbar. Autonome Systeme müssen in der Lage sein, Aufgaben kontrolliert zu Ende zu führen, definierte Zustände zu erreichen oder sich aus komplexen Situationen sicher herauszubewegen. Das bedeutet: Das System muss Fehler nicht nur erkennen, sondern aktiv mit ihnen umgehen.

Es muss bewerten können,

• welche Funktionen noch verfügbar sind
• in welcher Qualität sie arbeiten
• welche Prioritäten gelten
• welche Handlungsoptionen bestehen

Solche Entscheidungen sind Teil der Systemarchitektur – nicht der Laufzeitlogik allein. Fail-operationales Verhalten ist damit kein Ausnahmezustand, sondern ein vorgesehener Betriebsmodus.

Warum fail-operational nicht nachrüstbar ist

Ein häufiges Missverständnis besteht darin, fail-operational als Erweiterung bestehender Sicherheitskonzepte zu betrachten. In der Praxis ist das nicht möglich.

Fail-operational erfordert eine Architektur, in der Redundanz, Überwachung, Entscheidungslogik und Aktorik von Beginn an aufeinander abgestimmt sind. Es geht nicht nur darum, mehrere Komponenten vorzuhalten, sondern darum, wie das System mit degradierten Zuständen umgeht. Ein System, das lediglich erkennt, dass eine Funktion ausgefallen ist, ist nicht fail-operational. Erst wenn es unter diesen Bedingungen gezielt weiterarbeiten kann, erfüllt es diese Anforderung.

Normative Grundlagen wie ISO 26262 zur funktionalen Sicherheit adressieren Sicherheitsanforderungen auf Systemebene, definieren jedoch nicht automatisch fail-operationales Verhalten im Betrieb.

Der Unterschied zeigt sich im Betrieb

In frühen Entwicklungsphasen lassen sich fail-safe und fail-operational oft nur schwer unterscheiden. Beide Ansätze können plausibel spezifiziert und normgerecht dokumentiert werden.

Der Unterschied zeigt sich erst im realen Betrieb. Dann wird sichtbar,

• ob Systeme Übergänge zwischen Zuständen stabil beherrschen
• ob degradierte Betriebsmodi kontrolliert gehalten werden können
• ob das Fahrzeug auch unter eingeschränkten Bedingungen vorhersehbar reagiert

Gerade in autonomen Anwendungen ist diese Fähigkeit entscheidend. Unkontrollierte Zustandswechsel oder abrupte Abschaltungen können selbst zu Sicherheitsrisiken werden. Fail-operational ist damit weniger eine Frage der Zertifizierung als eine Frage der Systemreife.

Warum fail-operational oft unterschätzt wird

In vielen Autonomieprogrammen liegt der Fokus auf Wahrnehmungssystemen und Entscheidungsalgorithmen. Fahrzeugkontrolle wird häufig als infrastrukturelle Voraussetzung betrachtet, nicht als limitierender Faktor. Erst im Übergang vom Testbetrieb in reale Anwendungen wird deutlich, dass ohne fail-operationale Steuerung viele Funktionen zwar theoretisch möglich sind, praktisch jedoch nicht betrieben werden können.

Fail-operationales Design entscheidet darüber, ob ein System lediglich funktioniert – oder tatsächlich betrieben werden kann. Zu diesem Zeitpunkt lassen sich grundlegende Architekturentscheidungen nicht mehr korrigieren.

Fahrzeugkontrolle als Voraussetzung für Autonomie

Für autonome Fahrzeugarchitekturen bedeutet dies einen grundlegenden Perspektivwechsel. Sicherheit entsteht nicht mehr durch Abschaltung, sondern durch kontrollierte Fortsetzung von Bewegung. Die Fähigkeit, auch unter eingeschränkten Bedingungen handlungsfähig zu bleiben, wird zur Voraussetzung für Betrieb, Skalierung und Akzeptanz.

Plattformansätze wie NX NextMotion von Arnold NextG adressieren genau diese Anforderung, indem sie Lenkung, Bremse und Antrieb in einer gemeinsamen, multi-redundanten und fail-operationalen Drive-by-Wire-Architektur zusammenführen. Damit wird Fahrzeugkontrolle nicht als Reaktion auf Fehler verstanden, sondern als kontinuierlich abgesicherte Systemfunktion.

Ein neuer Maßstab für Fahrzeugkontrolle

Für Entwickler, Integratoren und Betreiber autonomer Systeme verschiebt sich damit die zentrale Bewertungsgröße. Nicht mehr: Ist ein System im Fehlerfall sicher? Sondern: Kann es im Fehlerfall weiterhin sicher handeln? Diese Fähigkeit definiert den Übergang von assistierten zu autonomen Systemen – und stellt neue Anforderungen an die zugrunde liegende Fahrzeugarchitektur.

Ausblick

Im nächsten Beitrag dieser Serie betrachten wir, warum Plattformunabhängigkeit und Nachrüstbarkeit keine Randthemen sind, sondern zentrale Voraussetzungen für die reale Einführung autonomer Systeme.

WE CONTROL WHAT MOVES

weiterführende Informationen unter: www.arnoldnextg.de/blog