Sicherheit bei Autonomen Fahrzeugen
Der Forscher Andreas Reschka der TU Braunschweig zur Frage der Sicherheit von Autonomen Fahrzeugen.
Der Beitrag von Reschka will den sicheren Zustand für Autonomes Fahren erörtern. Sicherheit ist relativ und ist abhängig von der Einschätzung. In der Sicherheitsnorm ISO 26262 ist Sicherheit als die Abwesenheit unmutbarer Risiken definiert. Die Kombination von Wahrscheinlichkeit und der Schwere des Unfalls ermittelt das zumutbare Risiko. Das ist also der sichere Zustand.
Die Fahrassistenzsystemen sind sicher, da ein unkontrolliertes Fahrzeug ein größeres Problem darstellen, als ein kontrolliert es Fahrzeug, wenn es auch langsam ist oder steht, und warnt. Hier gilt der sichere Zustand, als die Übergabe an den Menschen, was diesen natürlich voraussetzt.
Von den 50er bis in die 90er Jahre stand der sichere Zustand im Verhältnis zu der Funktion der Steuerung. Änderungen kamen beispielsweise mit der DARPA Urban Challenge. Dabei hat man Fail-Safe Schalter entwickelt, die geöffnet werden und eine Übergabe an den Mensch erfolgen kann. Die Carnegie Mellon University hat nach der DARPA Veranstaltung das SAFER System entwickelt, wobei redundante Softwarekomponenten eingebaut wurden, die im Notfall aktiviert werden können. Bei Google nutzt man bisher Testfahrende, die den sicheren Zustand gewähren. Bei Vollautonomen Modellen von Google wäre das nicht möglich, sodass es noch keine Tests in der Öffentlichkeit vorgenommen hat.
Ein generelles Sicherheitskonzept ist nicht gegeben. In Nevada müsste ein Auto von selbst auf den Seitenstreifen fahren, was aber einen Fahrbahnwechsel erfordert. Dies wäre eine Möglichkeit, so der Autor.
Autonome Autos bedürften elektrischer Befehlsübersetzungen (Aktoren) und beim Ausfall des Stroms, wären diese nicht mehr steuerbar. Daher muss es auch hier Ersatzmöglichkeiten geben (Redunadanz). In Flugzeugen gibt es beispielsweise eine dreifache Redundanz.
Bei Robotern kann man einen sicheren Stopp als sicheren Zustand nehmen. Je geringer die Geschwindigkeit, desto geringer das Verletzungsrisiko. Wenn es sich aber um beispielsweise einen Gefahrentransport handelt, sollte ein anderer Sicherheitszustand gefunden werden. So ergibt sich für den Pkw, dass bei Autonomen Autos die Spezifikation genau erfolgen und viele Fehlerquellen implizieren muss.
Zudem variieren die Sicherheitszustände für Autonome Autos je nach Nutzung. Beim Autobahnassistenten oder beim Valet Parken muss teils auf den Menschen als Sicherheitsoption zurückgegriffen werden. Der sichere Stopp als Prinzip kann fehlerhaft sein, wenn das Auto in einer Rettungsgasse hält. Oder was ist, wenn es keinen sicheren Seitenstreifen gibt? Daher ist es wichtig, dass das Auto seine Leistungsgrenze kennt oder um Hilfe ruft. Neben dem Hilferuf muss es auch die Verkehrsregeln kennen. Auf einem Parkplatz ist auf Grund der geringen Geschwindigkeit kein hohes Risiko vorhanden. Die Übergabe an eine Fernsteuerung ist ebenfalls möglich.
Auch die Umwelt ist ein Faktor, so können Wetteränderungen die Sensorik beeinflussen oder andere Verkehrsteilnehmende verhalten sich falsch. Auch höhere Gewalt ist möglich, aber in der Norm ISO 26262 nicht vorgesehen.
Das Risiko lässt sich durch die Geschwindigkeitsreduktion erreichen. Außerdem gehören Faktoren wie der Abstand oder Verbot bestimmter Manöver dazu. Fallen Systeme aus, muss man gemäß dem biologischen Prinzip der Degradation handeln: die wichtigsten Systeme aktiviert lassen, während beispielsweise Komfort-Systeme deaktiviert werden könnten, um beispielsweise Energie zu sparen. Übertragen auf das Autonome Auto, muss sich mit sinkender Sicht die Geschwindigkeit reduzieren.
Unter zur Hilfenahme von Daten und Kommunikation, also Vernetzung, kann zudem mehr Sicherheit hergestellt werden. Die Computeranalyse, die 0,3 Sekunden schneller ist als der Mensch hat bei 50 Km/h den Reaktionsweg um 4,2 Meter verringert. Derart könnte man auch dem ethischen Dilemma entgehen, ob und wer bei einem gesteuerten Unfall zu Schaden kommt – nämlich niemand, wenn das andere Auto ebenfalls ausweicht, weil die beiden miteinander oder der Umwelt kommunizieren. Dass dabei das Verkehrsrecht missachtet wird, soll als unwichtig im Sinne der Degradation programmiert werden.
So fasst er zusammen, dass bisher ein Mensch nötig ist, um den sicheren Zustand zu erreichen. Neben der Technologie, braucht es aber auch einen gesellschaftlichen Dialog zur Lösung dieser Thematik.
