Sikkerhet, redundans og regulering

Sikkerhet er en strukturert påstand om en definert funksjon, et kjøretøy, et driftsområde og en versjon, støttet av dokumentasjon før utrulling og overvåkede data etterpå. Den omfatter funksjonell sikkerhet, sensorbegrensninger, menneskelige faktorer, cybersikkerhet, drift og regulering; ingen demonstrasjon, test eller kjørelengde dekker alt.

Begynn med en sikkerhetsvurdering

En sikkerhetsvurdering er et begrunnet argument, støttet av dokumentasjon, for at et system er tilstrekkelig sikkert for en bestemt bruk og et bestemt miljø. Den kobler overordnede påstander til farer, krav, tester, resultater og driftskontroller.

Omfanget må være nøyaktig. Dokumentasjon for en tjeneste ved lav hastighet i tørre forhold fastslår ikke sikkerhet på en motorvei i snø. Dokumentasjon for én kjøretøyplattform eller programvareversjon overføres ikke automatisk til en annen.

Utviklere bruker ulike rammeverk, men en troverdig sikkerhetsvurdering bør minst omfatte:

kompetent atferd under normal drift;
oppdagelse og håndtering av feil;
grenser i tiltenkt funksjonalitet og persepsjon;
sikker samhandling med brukere og andre trafikanter;
driftspraksis, vedlikehold og hendelsesrespons;
cybersikkerhet og kontrollerte programvareoppdateringer; og
dokumentasjon på at risikoen i drift fortsatt er akseptabel.

Offentlige sammendrag er nyttige for kontroll, men de er ikke hele vurderingen og erstatter ikke myndighetenes bedømmelse.

Flere sikkerhetsfag overlapper

Funksjonell sikkerhet omhandler farer fra feil i elektriske og elektroniske systemer. ISO 26262 gir rammeverket for arbeidet gjennom kjøretøyets livssyklus.

Sikkerhet ved tiltenkt funksjonalitet, dekket av ISO 21448, omhandler farer når et system virker som konstruert, men spesifikasjonen, sensorytelsen eller algoritmen er utilstrekkelig for situasjonen.

KI-sikkerhet i veikjøretøy, omhandlet i ISO/PAS 8800, dekker risiko fra utilstrekkelige KI-resultater, systematiske feil og tilfeldige maskinvarefeil.

Cybersikkerhetsteknikk, dekket av ISO/SAE 21434, håndterer kjøretøyets cybersikkerhetsrisiko gjennom hele livssyklusen.

Fagene utfyller hverandre i stedet for å erstatte hverandre. Et helt pålitelig kamera kan likevel ikke klassifisere en ny type situasjon. En dyktig persepsjonsmodell kan fortsatt være usikker hvis en kompromittert oppdatering endrer den.

Redundans må håndtere feilen

Redundans er bare nyttig når den alternative veien overlever den aktuelle feilen. To datamaskiner på én strømforsyning beskytter ikke mot tap av forsyningen. To kameraer bak samme hindring beskytter ikke mot blokkert sikt.

Arkitekturer med høyere automatisering kan skille:

elektriske strøm- og kommunikasjonsveier;
sensortyper og synsfelt;
primær databehandling og uavhengig sikkerhetsovervåking;
aktiveringsveier for styring og bremsing;
lokaliseringskilder; og
normal kontroll og kontroll med minimal risiko.

Sikkerhetsanalysen avgjør hvor variasjon eller adskillelse trengs. Flere komponenter kan også skape flere grensesnitt og feilmoduser, så antallet maskinvarekomponenter er ikke et sikkerhetsmål.

Målet er kontrollert degradering. Kjøretøyet bør oppdage feilen, beholde kapasiteten som kreves i den umiddelbare situasjonen, og nå sin definerte tilstand med minimal risiko.

Avhengigheten av mennesket endres med nivået

På nivå 2 er mennesket en del av kontrollsløyfen og må overvåke veien kontinuerlig. Sikkerheten avhenger av kapasitetsgrenser, klare instruksjoner, førerovervåking, varsler i tide og vern mot forutsigbar feilbruk. Det gjelder også når et punkt-til-punkt-system følger en rute til et mål, svinger i kryss og stanser for trafikkregulering.

På nivå 3 kan brukeren flytte oppmerksomheten, men må være tilgjengelig. Systemet trenger en kontrollert overgang som tar hensyn til tiden det tar å gjenvinne situasjonsforståelsen.

På nivå 4 finnes det kanskje ingen fører. Systemet og driftsstøtten må håndtere reserveløsningen. Fjernassistanse kan gi sammenheng, men bør ikke fremstilles som autonomi dersom et menneske på avstand faktisk utfører kjøreoppgaven.

Modusforvirring er en fare. Grensesnittet må tydelig vise om mennesket eller systemet kjører, hva systemet kan gjøre nå, og hvilken reaksjon det forventer.

Validering krever utfyllende dokumentasjon

Ingen praktisk veittest kan møte alle viktige scenarioer med statistisk nyttig hyppighet. Ingen simulering gjengir virkeligheten perfekt.

Et modent program kombinerer:

krav- og designanalyse;
komponent- og integrasjonstester;
programvare- og maskinvare-i-sløyfen-testing;
scenariosimulering og avspilling av registrerte data;
testing på lukket bane;
overvåket testing på offentlig vei;
uavhengig gjennomgang og myndighetstester; og
overvåket ytelse i drift.

Scenariotester viser om kjøretøyet håndterer definerte farer. Eksponeringsdata viser hvordan det utrullede systemet fungerer i virkelig drift. Begge krever nevnere og tydelig omfang.

En million motorveikilometer kan ikke validere en påstand om bykryss. Et lavt antall ulykker er ikke opplysende uten avstand, veitype, alvorlighetsgrad, rapporteringsterskel og et sammenlignbart menneskelig referansegrunnlag. Resultater rapportert av et selskap bør leses sammen med den publiserte metoden og usikkerheten.

Waymos offentlige Safety Impact-oversikt er et godt eksempel på eksponeringsbasert rapportering fordi den gir kjørelengde kun med passasjerer, resultatdefinisjoner, metoder for menneskelig sammenligning og nedlastbare data. Det er fortsatt dokumentasjon for Waymos serviceområder, ikke bevis på at alle konstruksjoner for automatisert kjøring er sikre.

Cybersikkerhet og oppdateringer er sikkerhetsspørsmål

Tilkoblede kjøretøy åpner grensesnitt gjennom diagnostikk, apper, trådløse nettverk, skytjenester og programvare i leverandørkjeden. En angriper eller skadet oppdatering kan påvirke konfidensialitet, tilgjengelighet eller fysisk atferd.

Sikkerhet omfatter derfor arkitektur, autentisering, sikker oppstart, nøkkelhåndtering, tilgangskontroll, overvåking, sårbarhetsrespons og leverandørprosesser. Personvern er relatert, men separat: Systemet kan være sikkert og samtidig samle inn mer data om personer eller gater enn brukerne forventer.

FN-regulativ 155 og 156 etablerer rammeverk for produsentenes styringssystemer for cybersikkerhet og programvareoppdateringer i markeder som anvender dem. En trådløs oppdatering av en kjørefunksjon bør være sporbar, autentisert, validert og overvåket. Utvidelse av driftsområdet er en sikkerhetsrelevant produktendring, ikke rutinemessig vedlikehold av infotainment.

Godkjenning følger funksjon og jurisdiksjon

«Godkjent» kan vise til ulike juridiske trinn:

typegodkjenning av et kjøretøy eller en komponent;
tillatelse til testing på offentlig vei;
tillatelse til å drive en kommersiell førerløs tjeneste;
anerkjennelse av en godkjenning fra et annet land; eller
overholdelse av trafikkregler som styrer hva mennesket kan gjøre.

De kan ikke erstatte hverandre. Et SAE-nivå beskriver fordelingen av kjøreoppgaven og reserveløsningen; det er ikke et godkjenningssertifikat.

For førerstyrt assistanse fastsetter FN-regulativ 171 krav til Driver Control Assistance Systems i markeder som anvender det. WP.29 vedtok en andre endringsserie i juni 2026 som del av den videre utviklingen av reglene. Fordi føreren fortsatt er ansvarlig, blir ikke et system godkjent gjennom nivå 2 eller en førerstyrt vei til et Automated Driving System bare fordi det følger en rute eller håndterer bykryss.

FN-regulativ 157 omfatter Automated Lane Keeping Systems og har gitt en vei til godkjente motorveifunksjoner på nivå 3 i markeder som anvender det. Den europeiske unions gjennomføringsforordning 2022/1426 fastsetter typegodkjenningsregler for helautomatiserte kjøretøy i definerte brukstilfeller, inkludert forhåndsdefinerte områder, knutepunkt-til-knutepunkt-ruter og automatisert parkeringstjeneste.

Tesla FSD (Supervised) i Europa

Den 10. april 2026 ga den nederlandske kjøretøymyndigheten RDW Tesla FSD (Supervised) en europeisk typegodkjenning med foreløpig gyldighet i Nederland. RDW beskriver det som et førerstyrt assistansesystem, ikke selvkjørende: Føreren er fortsatt ansvarlig, må overvåke trafikken og kunne overta umiddelbart.

RDW opplyser også at europeiske og amerikanske versjoner ikke kan sammenlignes direkte. Den europeiske vurderingen godkjenner derfor ikke alle FSD-funksjoner eller programvareversjoner som selges andre steder.

Den nederlandske beslutningen var ikke en generell EU-godkjenning. RDW sa at bredere gyldighet krever fremleggelse for Europakommisjonen, avstemning blant medlemsstatene og flertallsstøtte i ansvarlig komité. Inntil prosessen er fullført, må nasjonal tillatelse eller anerkjennelse kontrolleres land for land.

FN-rammeverket fra juni 2026 for førerløse ADS

Den 24. juni 2026 vedtok UNECEs verdensforum for harmonisering av kjøretøyregulativer, WP.29, det første globale regelverket for helt førerløse Automated Driving Systems. Beslutningen omfattet et nytt FN-regulativ under 1958-avtalen og et parallelt globalt teknisk regulativ under 1998-avtalen, sammen med endringer i rundt nitti eksisterende FN-regulativer for kjøretøy.

Rammeverket gjelder systemer som utfører hele den dynamiske kjøreoppgaven, ikke overvåket assistanse på nivå 2. Kjernekravene omfatter:

et revidert sikkerhetsstyringssystem gjennom hele livssyklusen;
en strukturert sikkerhetsvurdering som viser at risikoen ikke er urimelig;
troverdig validering i simulering, på bane og i den virkelige verden;
ytelse som tilsvarer eller overgår en kompetent menneskelig fører;
kontinuerlig overvåking og rapportering i drift; og
lagring av sikkerhetsrelevante data om automatisert kjøring.

Rammeverket kan dekke driftsområder på motorveier og i byer og støtte kjøretøy uten konvensjonelle førerkontroller. Det er et viktig harmoniseringstrinn fordi produsenter og myndigheter nå har en felles, resultatorientert sikkerhetsstruktur for ADS-godkjenning.

Det er ikke én verdensomspennende tillatelse. Avtalepartene må fortsatt gjennomføre de relevante instrumentene, godkjenne konkrete kjøretøysystemer og avgjøre hvor førerløs drift er lovlig. Lokal trafikklov, driftstillatelser og tjenestevilkår er fortsatt relevante. Beslutningen omklassifiserer heller ikke FSD (Supervised), City NOA eller andre kontinuerlig overvåkede funksjoner til autonom kjøring.

USA følger en annen vei

I USA virker føderalt tilsyn med kjøretøysikkerhet, delstatenes driftslovgivning og lokale utrullingsregler sammen. Produsenter egensertifiserer vanligvis at de følger føderale sikkerhetsstandarder for motorkjøretøy, mens myndighetene undersøker feil og håndhever krav under bruk.

NHTSAs Standing General Order krever rapportering av bestemte ulykker med systemer på nivå 2 og automatiserte kjøresystemer. Delstatlige og lokale myndigheter kan regulere testing og kommersiell førerløs drift separat. Et føderalt unntak, en delstatlig testtillatelse og tillatelse til å frakte betalende passasjerer er ulike avgjørelser.

Slik ser troverdig sikkerhetskommunikasjon ut

En sterk offentlig påstand angir:

nøyaktig automatiseringsnivå og menneskets rolle;
kjøretøy, maskinvare, programvareversjon og driftsområde;
reserveatferd og atferd med minimal risiko;
godkjenningen eller tillatelsen som faktisk foreligger;
området der den gjelder;
test- og driftsdokumentasjon med nevnere;
kjente unntak og uløste begrensninger; og
hvordan hendelser og oppdateringer overvåkes.

Vage påstander som «sikrere enn mennesker» er ufullstendige uten et samsvarende domene, resultatdefinisjon, eksponering og usikkerhet. Sikkerhet er ikke en målstrek som krysses én gang. Vurderingen må vedlikeholdes når programvare, maskinvare, veier og drift endres.