Sikkerhed, redundans og regulering

Sidst ændret: aug. 08, 2026

Sikkerhed er en struktureret påstand om en bestemt funktion, et bestemt køretøj, et driftsområde og en version, underbygget af dokumentation før ibrugtagning og overvågede data efter ibrugtagning. Den omfatter funktionel sikkerhed, sensorbegrænsninger, menneskelige faktorer, cybersikkerhed, drift og regulering; ingen demonstration, test eller kilometerangivelse dækker det hele.

Begynd med en sikkerhedsargumentation

En sikkerhedsargumentation er et begrundet og dokumenteret argument for, at et system er tilstrækkeligt sikkert til en bestemt anvendelse og et bestemt miljø. Den forbinder overordnede påstande med farer, krav, test, resultater og driftsmæssige kontrolforanstaltninger.

Afgrænsningen skal være præcis. Dokumentation for en tjeneste ved lav hastighed i tørt vejr beviser ikke sikkerhed på en snedækket motorvej. Dokumentation for én køretøjsplatform eller softwareversion kan ikke automatisk overføres til en anden.

Udviklere anvender forskellige rammeværk, men en troværdig sikkerhedsargumentation bør som minimum omfatte:

  • kompetent adfærd under normal drift;
  • registrering og håndtering af fejl;
  • begrænsninger i den tilsigtede funktion og perception;
  • sikker interaktion med brugere og andre trafikanter;
  • driftspraksis, vedligeholdelse og håndtering af hændelser;
  • cybersikkerhed og kontrollerede softwareopdateringer; og
  • dokumentation for, at risikoen under drift fortsat er acceptabel.

Offentlige sammenfatninger er nyttige for kritisk gennemgang, men de udgør ikke den fulde argumentation og erstatter ikke myndighedernes vurdering.

Flere sikkerhedsdiscipliner overlapper

Funktionel sikkerhed omhandler farer, der skyldes fejl i elektriske og elektroniske systemer. ISO 26262 fastlægger rammerne for dette arbejde gennem bilens livscyklus.

Sikkerheden ved den tilsigtede funktion, som dækkes af ISO 21448, omhandler farer, hvor systemet fungerer som designet, men hvor specifikationen, sensorernes ydeevne eller algoritmen er utilstrækkelig i den konkrete situation.

AI-sikkerhed i vejkøretøjer, som behandles i ISO/PAS 8800, omfatter risici fra utilstrækkelige AI-resultater, systematiske fejl og tilfældige hardwarefejl.

Cybersikkerhedsteknik, som dækkes af ISO/SAE 21434, håndterer køretøjets cybersikkerhedsrisici gennem hele livscyklussen.

Disciplinerne supplerer hinanden; de erstatter ikke hinanden. Et fuldstændigt pålideligt kamera kan stadig være ude af stand til at klassificere en ny type situation. En kompetent perceptionsmodel kan stadig være usikker, hvis en kompromitteret opdatering ændrer den.

Redundans skal passe til fejlen

Redundans er kun nyttig, når den alternative vej overlever den fejl, der analyseres. To computere på samme strømforsyning beskytter ikke mod tab af denne forsyning. To kameraer bag den samme forhindring beskytter ikke mod blokeret udsyn.

Arkitekturer med højere automatisering kan adskille:

  • elektriske forsynings- og kommunikationsveje;
  • sensortyper og synsfelter;
  • primær databehandling og uafhængig sikkerhedsovervågning;
  • aktiveringsveje til styring og bremser;
  • lokaliseringskilder; og
  • normal styring og styring til en tilstand med minimal risiko.

Sikkerhedsanalysen afgør, hvor der er behov for forskellighed eller adskillelse. Flere komponenter kan også skabe flere grænseflader og fejltilstande, så antallet af hardwarekomponenter er ikke et mål for sikkerhed.

Målet er kontrolleret degradering. Køretøjet bør registrere fejlen, bevare den kapacitet, der kræves i den umiddelbare situation, og nå den definerede tilstand med minimal risiko.

Afhængigheden af mennesker ændres med niveauet

På niveau 2 er mennesket en del af kontrolsløjfen og skal konstant overvåge vejen. Sikkerheden afhænger af klare kapacitetsgrænser, tydelige instruktioner, førerovervågning, rettidige advarsler og beskyttelse mod forudsigelig forkert brug. Det gælder også, når et punkt-til-punkt-system følger en destinationsrute, drejer i kryds og stopper for lyssignaler eller stopskilte.

På niveau 3 må brugeren rette opmærksomheden andetsteds, men skal forblive tilgængelig. Systemet har brug for en styret overgang, som tager højde for den tid, der kræves for at genvinde situationsforståelsen.

På niveau 4 er der muligvis ingen fører. Systemet og den driftsmæssige støtte skal håndtere fallback. Fjernassistance kan levere kontekst, men bør ikke fremstilles som autonomi, hvis et menneske på afstand reelt udfører kørselsopgaven.

Forveksling af tilstande er en fare. Brugerfladen skal tydeligt vise, om mennesket eller systemet kører, hvad systemet aktuelt kan gøre, og hvilken reaktion det forventer.

Validering kræver supplerende dokumentation

Ingen praktisk vejtest kan møde alle vigtige scenarier med en statistisk nyttig hyppighed. Ingen simulation gengiver virkeligheden perfekt.

Et modent program kombinerer:

  • analyse af krav og design;
  • komponent- og integrationstest;
  • software- og hardware-in-the-loop-test;
  • scenariesimulation og genafspilning af registrerede data;
  • test på lukket bane;
  • overvågede test på offentlig vej;
  • uafhængig gennemgang og myndighedstest; og
  • overvågning af ydeevnen i drift.

Scenarietest viser, om køretøjet håndterer definerede farer. Eksponeringsdata viser, hvordan det ibrugtagne system fungerer i reel drift. Begge dele kræver nævnere og en klart defineret afgrænsning.

En million motorvejskilometer kan ikke validere en påstand om bykryds. Et lavt antal ulykker er ikke informativt uden distance, vejtype, alvorlighed, rapporteringstærskel og et sammenligneligt menneskeligt referencegrundlag. Virksomhedsrapporterede resultater bør læses sammen med den offentliggjorte metode og usikkerhed.

Waymos offentlige Safety Impact-dashboard er et godt eksempel på eksponeringsbaseret rapportering, fordi det indeholder førerløs distance, definitioner af resultater, metoder til sammenligning med menneskelige førere og data til download. Det er fortsat dokumentation for Waymos egne driftsområder, ikke et bevis for, at ethvert design til automatiseret kørsel er sikkert.

Cybersikkerhed og opdateringer er sikkerhedsspørgsmål

Forbundne køretøjer har grænseflader via diagnose, apps, trådløse netværk, cloudtjenester og software fra leverandørkæden. En angriber eller en beskadiget opdatering kan påvirke fortrolighed, tilgængelighed eller fysisk adfærd.

Sikkerhed omfatter derfor arkitektur, godkendelse, sikker opstart, nøglehåndtering, adgangskontrol, overvågning, håndtering af sårbarheder og leverandørprocesser. Privatliv er beslægtet, men adskilt: Systemet kan være sikkert og samtidig indsamle flere data om passagerer eller gader, end brugerne forventer.

FN-regulativ 155 og 156 fastlægger rammer for producenternes styringssystemer for cybersikkerhed og softwareopdateringer på de markeder, der anvender dem. En trådløs opdatering af en kørefunktion bør være sporbar, godkendt, valideret og overvåget. En udvidelse af driftsområdet er en sikkerhedsrelevant produktændring, ikke rutinemæssig vedligeholdelse af infotainment.

Godkendelsen følger funktionen og jurisdiktionen

“Godkendt” kan henvise til forskellige juridiske trin:

  • en typegodkendelse af et køretøj eller en komponent;
  • tilladelse til test på offentlig vej;
  • tilladelse til at drive en kommerciel førerløs tjeneste;
  • anerkendelse af en godkendelse i et andet land; eller
  • overholdelse af færdselsregler for, hvad mennesket må gøre.

Disse beslutninger kan ikke erstatte hinanden. Et SAE-niveau beskriver fordelingen af kørselsopgaven og fallback; det er ikke et godkendelsescertifikat.

For førerstyret assistance fastlægger FN-regulativ 171 krav til Driver Control Assistance Systems på de markeder, der anvender det. WP.29 vedtog i juni 2026 en anden serie ændringer som led i den fortsatte udvikling af reglerne. Fordi føreren fortsat er ansvarlig, bliver et system, der er godkendt efter en niveau 2- eller førerstyret ordning, ikke til et Automated Driving System alene ved at følge en rute eller håndtere bykryds.

FN-regulativ 157 omfatter Automated Lane Keeping Systems og har skabt en vej til godkendelse af motorvejsfunktioner på niveau 3 på de relevante markeder. EU’s gennemførelsesforordning 2022/1426 fastlægger regler for typegodkendelse af fuldautomatiske køretøjer i definerede anvendelser, herunder forudbestemte områder, ruter mellem knudepunkter og automatiseret parkeringsservice.

Tesla FSD (Supervised) i Europa

Den 10. april 2026 gav den nederlandske køretøjsmyndighed RDW Tesla FSD (Supervised) en europæisk typegodkendelse med foreløbig gyldighed i Nederlandene. RDW beskriver det som et førerstyret assistancesystem, ikke selvkørende teknologi: Føreren er fortsat ansvarlig, skal overvåge trafikken og skal straks kunne overtage.

RDW oplyser også, at den europæiske og den amerikanske version ikke kan sammenlignes én til én. Den europæiske vurdering godkender derfor ikke enhver FSD-funktion eller softwareversion, der sælges andre steder.

Den nederlandske beslutning var ikke en generel godkendelse i hele EU. RDW oplyste, at bredere gyldighed kræver forelæggelse for Europa-Kommissionen, en afstemning blandt medlemsstaterne og flertalsstøtte i det ansvarlige udvalg. Indtil processen er afsluttet, skal national tilladelse eller anerkendelse kontrolleres land for land.

Kina adskiller overvåget assistance fra ADS

Kinas reguleringsstruktur adskiller også kontinuerligt overvåget førerassistance fra automatiseret kørsel. Ministeriet for Industri og Informationsteknologi sendte godkendelsesudkastet til Sikkerhedskrav til automatiserede køresystemer i høring fra den 17. til den 24. juni 2026. Den nationale standardplatform angiver nu projektet som offentliggjort som GB 44721—2026, der erstatter den anbefalede GB/T 44721—2024, og anfører den 1. juli 2027 som foreslået ikrafttrædelsesdato.

Udkastet gælder for køretøjer i kategori M og N med ADS på niveau 3 og/eller niveau 4 og omfatter ikke automatisk parkering. Det dækker hele den dynamiske kørselsopgave, menneske–maskine-interaktion, overvågning af evnen til at overtage, adfærd med minimal risiko, producentens sikkerhedssikring, sikkerhedsargumentation og validering. Hvor teksterne afviger, er den endeligt offentliggjorte standard og ikke et tidligere udkast gældende.

Kinas GB 47955—2026 gælder derimod kombineret førerassistance, hvor føreren konstant skal observere trafikken og kontrollere køretøjet. MIIT oplyser, at den efter planen træder i kraft den 1. januar 2027. Opdelingen følger den grænse, der bruges i hele denne artikel: En niveau 2-funktion forbliver førerstyret, selv om den udfører navigationsstyrede manøvrer, mens et ADS på niveau 3 eller niveau 4 udfører hele kørselsopgaven inden for sine driftsbetingelser.

FN-rammen fra juni 2026 for førerløse ADS

Den 24. juni 2026 vedtog UNECE’s Verdensforum for Harmonisering af Køretøjsregulativer, WP.29, den første globale reguleringsramme for fuldt førerløse Automated Driving Systems. Beslutningen omfattede et nyt FN-regulativ under 1958-aftalen og en parallel global teknisk forskrift under 1998-aftalen samt ændringer af omkring halvfems eksisterende FN-køretøjsregulativer.

Rammen omfatter systemer, der udfører hele den dynamiske kørselsopgave, ikke overvåget assistance på niveau 2. De centrale krav omfatter:

  • et revideret sikkerhedsstyringssystem, der dækker hele livscyklussen;
  • en struktureret sikkerhedsargumentation, der viser, at der ikke foreligger en urimelig risiko;
  • troværdig validering gennem simulation, banetest og kørsel i den virkelige verden;
  • en ydeevne, der svarer til eller overgår en kompetent menneskelig fører;
  • løbende overvågning og rapportering under drift; og
  • lagring af sikkerhedsrelevante data om automatiseret kørsel.

Rammen kan omfatte driftsområder på motorvej og i byer og kan rumme køretøjer uden traditionelle førerbetjeningselementer. Den er et vigtigt skridt mod harmonisering, fordi producenter og myndigheder nu har en fælles, resultatorienteret sikkerhedsstruktur til godkendelse af ADS.

Det er ikke én verdensomspændende tilladelse. De kontraherende parter skal fortsat gennemføre de relevante instrumenter, godkende konkrete køretøjssystemer og afgøre, hvor førerløs drift er lovlig. Lokale færdselsregler, driftstilladelser og tjenestebetingelser er stadig relevante. Beslutningen omklassificerer heller ikke FSD (Supervised), city-NOA eller andre kontinuerligt overvågede funktioner til autonom kørsel.

USA følger en anden vej

I USA spiller føderalt tilsyn med køretøjssikkerhed sammen med delstaternes driftslovgivning og lokale regler for ibrugtagning. Producenterne selvcertificerer normalt overholdelse af de føderale sikkerhedsstandarder for motorkøretøjer, mens myndighederne undersøger fejl og håndhæver krav under brug.

NHTSA’s Standing General Order kræver indberetning af bestemte ulykker, der involverer niveau 2-systemer og automatiserede køresystemer. Delstatslige og lokale myndigheder kan regulere test og kommerciel førerløs drift hver for sig. En føderal dispensation, en testtilladelse fra en delstat og en tilladelse til at transportere betalende passagerer er forskellige beslutninger.

Sådan ser troværdig sikkerhedskommunikation ud

En solid offentlig påstand angiver:

  • det præcise automatiseringsniveau og menneskets rolle;
  • køretøjet, hardwaren, softwareversionen og driftsområdet;
  • fallback og adfærd med minimal risiko;
  • den godkendelse eller tilladelse, der faktisk foreligger;
  • det område, hvor den er gyldig;
  • test- og driftsdokumentation med nævnere;
  • kendte undtagelser og uløste begrænsninger; og
  • hvordan hændelser og opdateringer overvåges.

Vage påstande som “sikrere end mennesker” er ufuldstændige uden et sammenligneligt driftsområde, en definition af resultater, eksponering og usikkerhed. Sikkerhed er ikke en målstreg, der kun krydses én gang. Argumentationen skal vedligeholdes, når software, hardware, veje og drift ændrer sig.

Kilder

Mere information