Der Software-Stack für automatisiertes Fahren

Software für automatisiertes Fahren wandelt unsichere Sensordaten in physische Bewegung um: Sie schätzt den Standort, versteht die Szene, sagt ihre Entwicklung voraus, wählt einen regelkonformen Weg und steuert das Fahrzeug. Die bekannte Kette lautet Wahrnehmung, Lokalisierung, Vorhersage, Planung und Regelung; maschinelles Lernen kann Stufen zusammenführen, doch die Sicherheitsfragen bleiben.

Wahrnehmung erstellt ein Weltmodell

Wahrnehmungssoftware erkennt Fahrspuren, Straßenränder, freien Raum, Schilder, Signale, Fahrzeuge, Fußgänger, Radfahrer und weitere relevante Objekte. Sie verfolgt diese über die Zeit und schätzt Position, Geschwindigkeit, Ausrichtung und Unsicherheit.

Sensorfusion verbindet Kamerabilder, Radarechos, Lidar-Punktwolken und Fahrzeugbewegungsdaten. Sie ist keine Mehrheitsabstimmung. Die Software muss Zeitbezug, Kalibrierung, Sensorvertrauen und korrelierte Fehler berücksichtigen. Reflexion, Verdeckung oder blockiertes Objektiv können eine Quelle irreführend machen.

Ein nützliches Weltmodell stellt auch Unsichtbares dar. Ist ein Fußgänger teilweise hinter einem Lieferwagen verborgen, muss diese Unsicherheit in Vorhersage und Planung eingehen, statt den nicht sichtbaren Bereich als leer anzusehen.

Lokalisierung schätzt Position und Vertrauen

Lokalisierung verbindet GNSS, Inertialsensorik, Radbewegung, Karten und beobachtete Straßenmerkmale. Das Ergebnis ist eine geschätzte Pose – Position und Ausrichtung – samt Unsicherheit.

Diese Unsicherheit beeinflusst sichere Manöver. Ein Fahrzeug, das seine Spur nicht sicher kennt, darf keinen knappen Spurwechsel beginnen, nur weil die Routenplanung ihn verlangt. In Tunneln, Häuserschluchten oder geänderten Straßenführungen muss es sich weniger auf eine einzelne Positionsquelle verlassen.

Vorhersage bildet mehrere mögliche Zukünfte ab

Andere Verkehrsteilnehmer folgen keinem Drehbuch. Ein Radfahrer kann einem Schlagloch ausweichen, ein Kind aus einer Verdeckung treten und ein Fahrer ohne Blinker abbiegen.

Vorhersagemodelle schätzen mögliche Trajektorien und Absichten, idealerweise als Wahrscheinlichkeiten statt als eine sichere Zukunft. Die Planung muss über glaubwürdige Alternativen hinweg sicher bleiben, nicht nur die wahrscheinlichste Handlung erraten.

Unsicherheit muss das Verhalten ändern: geringeres Tempo, größerer Abstand oder ein verschobenes Manöver. Übermäßige Vorsicht kann durch blockierten Verkehr oder unvorhersehbares Verhalten ebenfalls gefährlich werden; das System muss vorankommen, ohne Unsicherheit zu verleugnen.

Planung wählt Verhalten und Bewegung

Planung arbeitet auf mehreren Ebenen:

Routenplanung wählt Straßen und Ziele.
Verhaltensplanung entscheidet über Folgen, Vorfahrtgewähren, Einfädeln, Spurwechsel oder Anhalten.
Bewegungsplanung erzeugt eine kollisionsvermeidende Trajektorie mit Geschwindigkeit und Krümmung.

Der Plan muss Verkehrsregeln, physikalische Grenzen, Komfort und ein für andere verständliches Verhalten beachten. Ein mathematisch kollisionsfreier Weg kann schlecht sein, wenn er einen Radfahrer zu eng passiert oder an einer Kreuzung mehrdeutig zögert.

Die Planung braucht außerdem einen Rückfallweg. Die Software muss wissen, was sie tun kann, wenn eine Spur gesperrt wird, ein Sensor nachlässt oder das Ziel unerreichbar wird.

Regelung macht aus der Trajektorie Bewegung

Der Regler übersetzt den geplanten Weg in Lenkung, Motordrehmoment und Bremsen. Er berücksichtigt Geschwindigkeit, Reifenhaftung, Steigung, Zuladung und Aktuatorverzögerung.

Elektrofahrzeuge benötigen Bremsmischung: Rekuperation und Reibbremse müssen bei wechselndem Batteriezustand, Temperatur und Grip vorhersehbar verzögern. Gleichmäßigkeit ist nicht kosmetisch. Abrupte Regelung kann Insassen destabilisieren, Haftung mindern und die Absicht für andere schwerer lesbar machen.

Unabhängige Überwachungen können prüfen, ob Soll- und Istbewegung abweichen, das Fahrzeug in einer sicheren Hülle bleibt und der Haupt-Stack gesund ist.

Maschinelles Lernen ist ein Baustein, kein Sicherheitsnachweis

Maschinelles Lernen wird häufig für Wahrnehmung, Vorhersage und zunehmend Planung eingesetzt. Manche Systeme sind modular; andere nutzen gelernte Modelle, die Sensoreingaben direkter in Trajektorien überführen. Reale Lösungen können dazwischenliegen.

Weder „End-to-End-KI“ noch eine manuell entwickelte Pipeline beweisen Fähigkeit. Die Fragen lauten:

Welche Daten und Szenarien definieren das beabsichtigte Verhalten?
Wie werden seltene, verzerrte oder falsch beschriftete Fälle gefunden?
Wie bildet das System Unsicherheit ab?
Welche Grenzen liegen außerhalb des gelernten Modells?
Wie wird eine Softwareänderung auf Regressionen geprüft?
Welche unabhängige Überwachung kann eine unsichere Ausgabe begrenzen?

ISO/PAS 8800 behandelt Sicherheitsrisiken durch unzureichende KI-Ausgaben, systematische Fehler und zufällige Hardwarefehler in Straßenfahrzeugen. Das Kernproblem bleibt: Hohe durchschnittliche Modellgenauigkeit ist kein hinreichender Sicherheitsnachweis.

Training, Test und Validierung sind verschiedene Aufgaben

Training verbessert das Modell. Testen sucht Fehler. Validierung fragt, ob das Gesamtsystem für den vorgesehenen Bereich geeignet ist.

Entwickler kombinieren:

Wiedergabe aufgezeichneter Daten;
Software- und Hardware-in-the-Loop-Tests;
Simulation mit kontrollierten Variationen;
Szenarien auf abgesperrten Strecken;
überwachte Tests auf öffentlichen Straßen; und
überwachten fahrerlosen Betrieb nach der Einführung.

Simulation kann gefährliche und seltene Situationen erzeugen, ohne die Öffentlichkeit zu gefährden, ist aber nur so gut, wie Fahrzeug-, Sensor- und Verkehrsteilnehmermodelle die Realität abbilden. Kilometer im öffentlichen Verkehr liefern Betriebserfahrung, sind jedoch ineffizient für seltene, genau definierte Gefahren. Ein glaubwürdiges Programm braucht szenario- und exposurespezifische Belege.

Das Bestehen eines festen Testsatzes genügt nicht. Software kann sich an den Maßstab überanpassen, und eine Verbesserung kann anderswo eine Regression erzeugen.

Rückfall und Fernunterstützung

Der Stack prüft laufend Betriebsbereich, Sensorzustand, Lokalisierungsqualität und Fahrzeugzustand.

Auf Level 2 gibt eine Grenze die gesamte Aufgabe an den bereits überwachenden Fahrer zurück. Auf Level 3 verwaltet das System eine Übernahmeaufforderung und eine risikomindernde Reaktion. Auf Level 4 muss es ohne Fahrer einen Zustand minimalen Risikos erreichen.

Fahrerlose Flotten können Fernunterstützung für Kontext nutzen, etwa um ein ungewöhnliches Objekt als vorübergehende Barriere zu bestätigen. Das unterscheidet sich von fortlaufender Fernsteuerung. Das Fahrzeug bleibt für sichere Bewegung verantwortlich, sofern das Betriebsmodell nicht ausdrücklich einen Fernfahrer vorsieht.

Updates verändern ein sicherheitskritisches Produkt

Over-the-Air-Updates können Wahrnehmung verbessern, den Bereich erweitern oder Fahrverhalten ändern. Sie können auch Regressionen verursachen. Eine neue Version braucht deshalb Rückverfolgbarkeit, Cybersicherheit, gestaffelte Einführung, Überwachung und eine Rücknahme- oder Eindämmungsstrategie.

Ein Update ändert die SAE-Stufe nicht durch eine Marketingaussage. Die vollständige Funktion – Hardware, Software, Betriebsbereich, Rückfall, Genehmigung und Benutzeranleitung – muss die neue Rolle tragen.

Für Käufer ist die Schnittstelle oft das sichtbarste Softwareverhalten. Das Fahrzeug sollte klar mitteilen, welche Funktion aktiv ist, was sie tut, was sie vom Menschen erwartet und warum sie sich einer Grenze nähert. Modusverwirrung ist ein Systemfehler, nicht nur ein Benutzerfehler.