Kraftfahrzeuge mit autonomer Fahrfunktion müssen die im Folgenden dargestellten funktionalen Anforderungen erfüllen. Die geforderten Funktionen können vom Hersteller oder vom Halter oder von beiden in einer möglichen, so genannten Testphase des Kraftfahrzeugs mit autonomer Fahrfunktion ohne Fahrgäste im festgelegten Betriebsbereich nachgewiesen werden.
- 1.
Dynamische Fahraufgabe
Das Kraftfahrzeug muss in der Lage sein, durch geeignete Wahl von Fahrpfad und Geschwindigkeit selbstständig und stetig anpassend die Fahraufgabe in dem genehmigten festgelegten Betriebsbereich in allen Situationen sicher zu erfüllen. Dies beinhaltet die Ausrichtung des Fahrverlaufs am veränderlichen Umfeld des Kraftfahrzeugs mit autonomer Fahrfunktion und die Sicherstellung der Übereinstimmung mit gesetzlichen Vorgaben. Der Sicherheit aller Verkehrsteilnehmenden, aller unbeteiligten Dritten und aller Fahrzeuginsassen muss die höchste Priorität bei der Erfüllung der Fahraufgabe eingeräumt werden. Auf unerwartete Ereignisse, auch wenn diese plötzlich auftreten, muss das Kraftfahrzeug mit autonomer Fahrfunktion angemessen reagieren.
Kraftfahrzeuge mit autonomer Fahrfunktion, die zur Beförderung von stehenden oder nicht angegurteten Fahrzeuginsassen eingesetzt werden, dürfen im Regelbetrieb eine Beschleunigung von 2,4 Meter pro Sekunde-Quadrat in der Ebene nicht überschreiten. In Abhängigkeit von überprüfbaren Einflussfaktoren auf die Gefährdung von Fahrzeuginsassen und anderen Verkehrsteilnehmenden und unbeteiligter Dritte kann es erforderlich sein, diese Grenze zu überschreiten. Dies kann beispielsweise der Fall sein, wenn sich nur angeschnallte, nicht aber stehende Fahrzeuginsassen im Inneren des Fahrzeugs aufhalten.
Das Kraftfahrzeug mit eingeschalteter autonomer Fahrfunktion muss zur Erfüllung der Fahraufgabe mindestens die Anforderungen erfüllen, die in den folgenden Nummern 1.1 bis 1.4 genannt sind.
- 1.1
Generelle Kollisionsvermeidung
Kollisionen mit anderen Verkehrsteilnehmenden und unbeteiligten Dritten müssen vermieden werden, sofern dies durch
- 1.
Notbremseingriffe oder
- 2.
andere Teilnehmende des umgebenden Verkehrs, andere unbeteiligte Dritte oder die Insassen des Kraftfahrzeugs mit autonomer Fahrfunktion nicht gefährdende Ausweichmanöver
möglich ist.
Kann eine Kollision zur Abwendung einer Gefährdung des Lebens der Insassen des Kraftfahrzeugs mit autonomer Fahrfunktion nur durch eine Gefährdung des Lebens anderer Teilnehmender des umgebenden Verkehrs oder unbeteiligter Dritter vermieden werden (unvermeidbare alternative Gefährdung von Menschleben), darf der Schutz der anderen Teilnehmenden des umgebenden Verkehrs und der unbeteiligten Dritten nicht nachrangig gegenüber dem Schutz der Insassen des autonom fahrenden Kraftfahrzeugs erfolgen.
- 1.2
Interaktion mit anderen Verkehrsteilnehmenden- a)
Vorausfahrende Verkehrsteilnehmende auf der Fahrbahn werden erkannt. Es wird jederzeit in jedem Geschwindigkeitsbereich und in jeder möglichen Fahrsituation ein angemessener Sicherheitsabstand eingehalten. Der einzuhaltende Sicherheitsabstand bestimmt sich nach § 4 der Straßenverkehrs-Ordnung.
- b)
Der Fahrstreifenwechsel vorausfahrender oder nachfolgender Fahrzeuge, der von einem benachbarten Fahrstreifen in den eigenen Fahrstreifen oder aus dem eigenen Fahrstreifen heraus in einen benachbarten Fahrstreifen erfolgt, wird erkannt und bei der Fahraufgabe entsprechend berücksichtigt.
- c)
Situationen, welche einen Fahrstreifenwechsel bedingen (beispielsweise anhaltende oder langsame Fahrzeuge auf der Fahrbahn, Ende eines Fahrstreifens), werden erkannt und geeignete Manöver zum Fahrstreifenwechsel werden sicher durchgeführt.
- d)
Einsatzfahrzeuge werden erkannt und geeignete Fahrmanöver sicher durchgeführt.
- 1.3
Planung der Fahrpfade und Geschwindigkeiten
Bei Geschwindigkeitsanpassungen kommt es zu keiner vermeidbaren Beeinträchtigung von Insassen, anderen Verkehrsteilnehmenden und unbeteiligten Dritten. Es gelten folgende Anforderungen:
- a)
Geschwindigkeitsbeschränkungen und Änderungen der Geschwindigkeitsbeschränkung werden erkannt und die Geschwindigkeit wird entsprechend angepasst.
- b)
Besondere Anforderungen an die Geschwindigkeit werden erkannt und im Geschwindigkeits- und Fahrtverlauf befolgt (beispielsweise in Bereichen vor Schulen und an Arbeitsstellen an Straßen, an Bushaltestellen, Bahnübergängen, in engen Kurvenradien oder bei Gefällen, in Engstellen, in denen der eigene Fahrstreifen vom Gegenverkehr mitbenutzt werden muss).
- c)
Zeichen und Weisungen der Polizeibeamten gemäß § 36 der Straßenverkehrs-Ordnung, Wechsellichtzeichen gemäß § 37 der Straßenverkehrs-Ordnung, sonstige Zeichen gemäß der §§ 39 bis 42 der Straßenverkehrs-Ordnung sowie Verkehrseinrichtungen gemäß § 43 der Straßenverkehrs-Ordnung werden erkannt und im Geschwindigkeits- und Fahrtverlauf berücksichtigt.
- d)
Situationen, in denen die Vorfahrt anderen gewährt werden muss (beispielsweise vor Fußgängerüberwegen, in Kreuzungsbereichen oder Einmündungen), werden erkannt und ohne Gefährdung oder Behinderung der Vorfahrtberechtigten bewältigt. Es ist eine berechnete Zeit bis zum Aufprall von mehr als drei Sekunden bezüglich des Vorfahrtberechtigen einzuhalten. Wird von diesen Werten abgewichen, muss dies ausreichend begründet und auf Basis von systematischen Sicherheitsbewertungen nach dem Stand der Technik dokumentiert werden. Das Erfordernis des Stands der Technik gilt als erfüllt, wenn die Vorgaben der ISO 26262:2018-12 Straßenfahrzeuge – Funktionale Sicherheit
1 erfüllt werden.
- e)
Bauliche Straßengestaltungen mit Auswirkung auf das Verhaltensrecht (beispielsweise bis zu 5 Meter vom Fahrbahnrand einer vorfahrtberechtigten Straße abgesetzte Radwege nach § 9 Absatz 3 der Straßenverkehrs-Ordnung oder abgesenkte Bordsteine nach § 10 der Straßenverkehrs-Ordnung) werden erkannt und im Geschwindigkeits- und Fahrtverlauf berücksichtigt.
- f)
Arbeitsstellen an Straßen, temporär veränderte Fahrbahnverläufe oder Fahrbahnmarkierungen werden erkannt und im Geschwindigkeits- und Fahrtverlauf berücksichtigt.
- g)
Defizite am Zubehör, insbesondere der Verkehrseinrichtungen (zum Beispiel verschlissene, beschädigte, fehlende oder defekte temporäre oder dauerhafte Fahrbahnmarkierungen und Verkehrszeichen, Phantommarkierungen) und der Straßenausstattung, insbesondere solcher nach vorstehenden Buchstaben a bis f werden erkannt und im Geschwindigkeits- und Fahrtverlauf berücksichtigt. Dies gilt insbesondere nach Sturm- und sonstigen Witterungsereignissen.
- 1.4
Reaktion auf Umweltbedingungen
Wetter-, Umwelt- und Straßeninfrastrukturbedingungen (beispielsweise Regen, Sichtbehinderung durch Rauch, Schlaglöcher) werden im Geschwindigkeits- und Fahrtverlauf berücksichtigt. Fahrpfad und Geschwindigkeit sind – bis hin zum Stillstand des Fahrzeugs – so zu wählen, dass die in den Nummern 1.1 bis 1.3 gestellten Anforderungen auch bei geänderten Umweltbedingungen erfüllt werden.
- 2.
Risikominimaler Zustand
Für Kraftfahrzeuge mit autonomer Fahrfunktion und ohne konventionelle Vorrichtungen zur Ausübung der Fahraufgabe gilt:
Das Kraftfahrzeug kann nur auf Veranlassung der Technischen Aufsicht den risikominimalen Zustand verlassen.
- 3.
Notfahrfunktion
Das Kraftfahrzeug mit autonomer Fahrfunktion muss mit einer Notfahrfunktion ausgestattet sein. Muss sich das Kraftfahrzeug im Falle eines Defekts am Kraftfahrzeug in den risikominimalen Zustand versetzen, muss dies mit der Notfahrfunktion erfolgen. Fahrten mit der Notfahrfunktion dürfen nur bei Schrittgeschwindigkeit und aktivierter Warnblinkanlage erfolgen. Der Übergang der autonomen Fahrfunktion aus der normalen Fahrt in die Fahrt mit der Notfahrfunktion ist von dieser Geschwindigkeitsbegrenzung ausgenommen, sofern ein Abbremsen erforderlich ist.
- 4.
Manueller Fahrbetrieb
Im manuellen Fahrbetrieb erfüllt eine fahrzeugführende Person die Fahraufgabe. Das Kraftfahrzeug mit autonomer Fahrfunktion muss mit Vorrichtungen ausgestattet sein, die es einer fahrzeugführenden Person ermöglichen, die Fahraufgabe wahrzunehmen.
Ist die Steuerung im manuellen Fahrbetrieb auf Geschwindigkeiten nicht höher als Schrittgeschwindigkeit begrenzt, ist es nicht erforderlich, dass die fahrzeugführende Person sich innerhalb des Kraftfahrzeugs mit autonomer Fahrfunktion aufhält. Die Steuerung kann in diesem Fall über eine im Nahfeld des Kraftfahrzeugs befindliche Fernsteuerung ausgeführt werden. Die maximale Distanz, über die eine Fernsteuerung möglich ist, beträgt 6 Meter, gemessen in gerader Verbindung. Die Einhaltung der maximalen Distanz ist vom Hersteller durch geeignete technische Mittel sicher zu stellen.
Soll das Kraftfahrzeug mit autonomer Fahrfunktion im manuellen Fahrbetrieb mit Geschwindigkeiten höher als Schrittgeschwindigkeit gesteuert werden, muss es mit einem Sitzplatz für die fahrzeugführende Person ausgestattet sein. Der Sitzplatz ist entsprechend der geltenden Vorschriften zu gestalten.
- 5.
Dauerhafte Selbstüberwachung
Die zur Wahrnehmung der Fahraufgabe nötige technische Ausrüstung muss vom Kraftfahrzeug mit autonomer Fahrfunktion selbstständig dauerhaft auf ihre Funktionalität hin überwacht werden. Die Überwachung ist so auszuführen, dass eine Beeinträchtigung der technischen Ausrüstung, die zur sicheren Teilnahme des Kraftfahrzeugs mit autonomer Fahrfunktion am Straßenverkehr nötig ist, in den risikominimalen Zustand führt.
- 5.1
Für Kraftfahrzeuge mit autonomer Fahrfunktion und ohne konventionelle Vorrichtungen zur dynamischen Ausübung der Fahraufgabe gilt:- a)
Zur dauerhaften Überwachung der technischen Ausrüstung werden nicht personenbezogene technische Daten im Kraftfahrzeug erhoben und gespeichert.
- b)
Eine Beeinträchtigung der technischen Ausrüstung ist der Technischen Aufsicht unverzüglich anzuzeigen.
- 5.2
Für Kraftfahrzeuge mit autonomer Fahrfunktion und mit konventionellen Vorrichtungen zur Ausübung der Fahraufgabe gilt:
Die autonome Fahrfunktion darf nicht erneut aktivierbar sein, solange eine Beeinträchtigung der technischen Ausrüstung besteht.
- 6.
Übertragung von Daten an das Kraftfahrzeug
Die zur selbstständigen Bewältigung der Fahraufgabe im autonomen Betrieb notwendigen Daten und Informationen von externen technischen Einheiten (beispielsweise Backends oder Server eines Anbieters, externe Sensoren, Smartphone) müssen vom Kraftfahrzeug sicher empfangen und verwendet werden können. Daten externer Einheiten können im Kraftfahrzeug zur Ausführung der autonomen Fahrfunktionen verwendet werden. Daten und Informationen können beispielsweise bei bestimmten Anwendungsfällen über eine Weitverkehrsnetz-Anbindung (WAN-Verbindung) von einer externen technischen Einheit an das Kraftfahrzeug und vom Kraftfahrzeug an eine technische Einheit übertragen werden. Die Übertragung solcher Daten muss insbesondere den Vorgaben der Artikel 24, 25 und 32 der Verordnung (EU) 2016/679 entsprechen und nach dem aktuellen Stand der Technik abgesichert sein. Das Absicherungskonzept muss die in einer Bedrohungsanalyse identifizierten Risiken mit wirksamen Maßnahmen adressieren und eine Datenschutzfolgeabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 beinhalten. Zur Datenübertragung sollte eine zentrale sichere elektronische Steuereinheit (SECU) genutzt werden. Die SECU dient als Informationsgateway im Kraftfahrzeug. Die SECU kommuniziert intern an die Kommunikationsbusse des Kraftfahrzeugs und an den physischen On-Board-Diagnose II-Anschluss (OBD II) oder an eine proprietäre Schnittstelle eines Herstellers. Anforderungen an die Sicherheit im Bereich der Informationstechnik der Datenübertragung sind Teil 5 zu entnehmen. Die Integrität, Authentizität und Verfügbarkeit der Datenübertragung sind sicherzustellen.
Die Kommunikation des Kraftfahrzeugs mit autonomer Fahrfunktion mit anderen Fahrzeugen oder mit Infrastrukturkomponenten ist zulässig. Sie muss auf der Basis einer Datenschutzfolgeabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 insbesondere den Anforderungen an die Informationstechnik nach Teil 5 und damit den Vorgaben der Artikel 24, 25 und 32 der Verordnung (EU) 2016/679 entsprechen. Während des Betriebs in einer optionalen Testphase ist die Kommunikation des Kraftfahrzeugs mit autonomer Fahrfunktion mit anderen Fahrzeugen und Infrastrukturkomponenten zu testen und gegebenenfalls anzupassen.
- 7.
Funktionale Sicherheit und Sicherheit der Funktion- 7.1
Betriebshandbuch
Zweck des Betriebshandbuchs ist es, mittels detaillierter Vorgaben den sicheren Betrieb des Kraftfahrzeugs zu gewährleisten und der Technischen Aufsicht die richtige Reaktion auf Fehlerfälle zu ermöglichen.
- 7.2
Sicherheitskonzept
In dem Sicherheitskonzept ist die Sicherheit der Fahrfunktion zu bewerten. Mit einem systematischen Vorgehen müssen die für die Operational Design Domain (ODD) relevanten gefährlichen Szenarien und Ereignisse identifiziert und in einer Risikoanalyse bewertet werden.
Um Gefährdungen zu verhindern oder deren Risiko auf ein akzeptables Maß zu mindern, muss ausgehend von erkannten Risiken für die entsprechenden Szenarien und Ereignisse ein Systemverhalten definiert oder müssen Systemverbesserungen umgesetzt werden.
Die Systematik muss dem Stand der Technik entsprechen. Das Erfordernis des Stands der Technik gilt als erfüllt, wenn die Vorgaben der ISO/PAS 21448:2019-01 Straßenfahrzeuge – Sicherheit der beabsichtigten Funktion
2 erfüllt werden. Die ausreichende Vollständigkeit der Szenarien wird auf Basis von Validierungsfahrten oder anderen Datenaufzeichnungen im Fahrbetrieb durch statistische Analysen belegt.
- 7.2.1
Gefährdungsanalyse
Die Gefährdungsanalyse benennt und ordnet sicherheitskritische Anteile der autonomen Fahrfunktion. Die Analyse muss aufzeigen, wie die technische Ausrüstung zur Umsetzung der autonomen Fahrfunktion in möglichen Betriebssituationen im Fehlerfall reagiert und welchen Einfluss diese Reaktionen auf die Sicherheit und Kontrollierbarkeit des Kraftfahrzeugs haben. Die Gefährdungsanalyse schließt in jedem Fall die Sicherheit der Fahrzeuginsassen und anderer Verkehrsteilnehmender ein. Die Gefährdungsanalyse schließt auch die Ermittlung von Situationen ein, die für die technische Ausrüstung am schwersten zu bewältigen sind.
Die zur Erstellung der Gefährdungsanalyse genutzten Methoden müssen dem Stand der Wissenschaft und Technik entsprechen. Dies wird in Bezug auf die Methoden zur Gefährdungsanalyse vermutet, wenn eine Gefahren- und Risikoanalyse gemäß ISO 26262-3:2018-12 Straßenfahrzeuge – Funktionale Sicherheit – Teil 3: Konzeptphase oder „Hazard Identification and Risk Evaluation“ gemäß ISO/PAS 21448:2019-01 durchgeführt wird.
3 - 7.2.2
Sicherheitsmaßnahmen
Das Sicherheitskonzept des Herstellers nach Nummer 7.2 muss aufzeigen, wie die technische Ausrüstung nach dem Stand der Technik Gefährdungen erkennt und durch geeignete Maßnahmen vermindert oder umgeht. Mögliche Sicherheitsmaßnahmen sind insbesondere
- a)
technische Maßnahmen in der Elektrik- und Elektronikinfrastruktur, Aktivierung von Rückfallebenen oder externe Maßnahmen (beispielsweise Rückgriff auf den Notfahrmodus, Aktivierung eines Notfallsystems, Übersteuerungsfunktion, Überführung in den risikominimalen Zustand),
- b)
organisatorische Maßnahmen (beispielsweise Eingrenzung des geeigneten Betriebsbereichs, spezifische Anweisungen an die fahrzeugführende Person für den manuellen Fahrbetrieb, Eingrenzung des erlaubten Passagierkreises, Anpassung der Fahrbahn oder der Beschilderung) und
- c)
technische Maßnahmen, die sicherstellen, dass bei einem Unfallereignis die autonomen Funktionen des Fahrzeugs durch die Einsatzkräfte sicher und erkennbar stillgesetzt werden können, sodass selbstständige Fahrzeugaktionen blockiert und ausschließliche manuelle Betätigungen durch Fahrzeugeinrichtungen möglich sind. Die notwendigen Maßnahmen zum Stillsetzen autonomer Fahrfunktionen sind den Einsatzkräften in geeigneter Form laufend bereitzustellen.
Die zur Entwicklung von Maßnahmen zur Minimierung oder Umgehung von Gefährdungen verwendeten Methoden müssen dem Stand der Technik entsprechen.
Das Erfordernis des Stands der Technik gilt als erfüllt, wenn die Vorgaben der ISO 26262-4:2018-12 Straßenfahrzeuge – Funktionale Sicherheit – Teil 4: Produktentwicklung auf Systemebene oder ISO/PAS 21448:2019-01
4 erfüllt werden.
- 7.3
Periodisch technische Fahrzeugüberwachung
Durch eine geeignete funktionelle und konstruktive Gestaltung des Kraftfahrzeugs ist die Durchführbarkeit der periodischen technischen Fahrzeugüberwachung sicherzustellen (beispielsweise manueller Fahrbetrieb, Zugänglichkeit von Bremsen). Insbesondere die Befahrbarkeit von Bremsprüfständen, Lichteinstellplätzen, Hebebühnen oder Gruben und die Durchführung aller vorgeschriebenen Prüfungen müssen möglich sein.
- 8.
Sensorik
Zur technischen Umsetzung der autonomen Fahrfunktion muss eine Sensorik verwendet werden, die alle für die sichere Erfüllung der Fahraufgabe erforderlichen Gegenstände, Daten oder Personen im Umfeld des Kraftfahrzeugs erfasst und hinsichtlich der Verarbeitung personenbezogener Daten die Vorgaben der Verordnung (EU) 2016/679, des Bundesdatenschutzgesetzes und spezialgesetzlicher datenschutzrechtlicher Vorschriften beachtet. Zur Erfüllung des in Satz 1 genannten Zwecks und unter Einhaltung der genannten Vorgaben kann die Sensorik durch externe Systeme unterstützt werden. Beeinflussen Wetter-, Umwelt- und Infrastrukturbedingungen die Leistungsfähigkeit der Sensorik, werden von der technischen Ausrüstung des Kraftfahrzeugs mit autonomer Fahrfunktion Maßnahmen eingeleitet, um die aus der verminderten Leistungsfähigkeit der Sensorik resultierenden Risiken auszugleichen.
Die Sensorik ist in das Sicherheitskonzept des Kraftfahrzeugs mit autonomer Fahrfunktion nach Nummer 7.2 und in die permanente Systemüberwachung nach Nummer 5 einzubinden.
- 9.
Alterung und Abnutzung des Systems
Das Kraftfahrzeug muss die funktionalen Anforderungen auch bei Alterung und Abnutzung der relevanten Systemkomponenten erfüllen. Beeinflussen Alterungserscheinungen die Leistungsfähigkeit, beispielsweise der Sensorik, gleicht die technische Ausrüstung des Kraftfahrzeugs mit autonomer Fahrfunktion die aus der verminderten Leistungsfähigkeit der Sensorik resultierenden Risiken durch geeignete Maßnahmen aus.