Veiligheid, redundantie en regelgeving

Laatst gewijzigd: aug 08, 2026

Veiligheid is een gestructureerde bewering over een afgebakende functie, een voertuig, een operationeel domein en een versie, onderbouwd met bewijs vóór ingebruikname en met bewaakte gegevens erna. Het omvat functionele veiligheid, sensorbeperkingen, menselijke factoren, cyberbeveiliging, exploitatie en regelgeving; geen demonstratie, test of kilometerstand dekt dit allemaal.

Begin met een veiligheidsdossier

Een veiligheidsdossier is een beredeneerd en met bewijs onderbouwd betoog dat een systeem voor een specifieke toepassing en omgeving aanvaardbaar veilig is. Het verbindt beweringen op hoofdlijnen met gevaren, eisen, tests, resultaten en operationele beheersmaatregelen.

De reikwijdte moet exact zijn. Bewijs voor een dienst bij lage snelheid en droog weer toont geen veiligheid aan op een besneeuwde snelweg. Bewijs voor één voertuigplatform of softwareversie wordt niet automatisch overgedragen op een andere.

Ontwikkelaars gebruiken verschillende raamwerken, maar een geloofwaardig veiligheidsdossier moet ten minste ingaan op:

competent gedrag tijdens normaal gebruik;
detectie en beheersing van storingen;
beperkingen van de bedoelde functionaliteit en waarneming;
veilige interactie met gebruikers en andere weggebruikers;
operationele werkwijzen, onderhoud en reactie op incidenten;
cyberbeveiliging en gecontroleerde software-updates; en
bewijs dat het risico tijdens gebruik aanvaardbaar blijft.

Openbare samenvattingen zijn nuttig voor kritische toetsing, maar vormen niet het volledige dossier en vervangen geen beoordeling door de toezichthouder.

Verschillende veiligheidsdisciplines overlappen

Functionele veiligheid behandelt gevaren die worden veroorzaakt door storingen in elektrische en elektronische systemen. ISO 26262 biedt het kader voor de volledige levenscyclus van voertuigen.

Veiligheid van de bedoelde functionaliteit, behandeld in ISO 21448, richt zich op gevaren waarbij een systeem werkt zoals ontworpen, maar de specificatie, sensorprestaties of het algoritme voor de situatie tekortschieten.

AI-veiligheid in wegvoertuigen, behandeld in ISO/PAS 8800, omvat risico’s door ontoereikende AI-uitvoer, systematische fouten en willekeurige hardwarestoringen.

Cybersecurity-engineering, behandeld in ISO/SAE 21434, beheerst cyberbeveiligingsrisico’s van het voertuig gedurende de hele levenscyclus.

Deze disciplines vullen elkaar aan en vervangen elkaar niet. Een volledig betrouwbare camera kan nog steeds niet in staat zijn een onbekende situatie te classificeren. Een capabel waarnemingsmodel kan onveilig worden als een gecompromitteerde update het verandert.

Redundantie moet bij de storing passen

Redundantie is alleen nuttig als het alternatieve pad de betreffende storing overleeft. Twee computers met dezelfde stroomvoorziening beschermen niet tegen uitval van die voeding. Twee camera’s achter dezelfde belemmering beschermen niet tegen geblokkeerd zicht.

Architecturen voor hogere automatisering kunnen het volgende scheiden:

elektrische voedings- en communicatiepaden;
sensormodaliteiten en gezichtsvelden;
primaire rekenverwerking en onafhankelijke veiligheidsbewaking;
aansturingspaden voor stuurinrichting en remmen;
bronnen voor plaatsbepaling; en
normale regeling en regeling naar een toestand met minimaal risico.

De veiligheidsanalyse bepaalt waar diversiteit of scheiding nodig is. Meer componenten kunnen ook meer interfaces en storingswijzen creëren, zodat de hoeveelheid hardware geen veiligheidsmaatstaf is.

Het doel is beheerste degradatie. Het voertuig moet de storing detecteren, de voor de onmiddellijke situatie vereiste capaciteit behouden en de vastgelegde toestand met minimaal risico bereiken.

De afhankelijkheid van mensen verandert per niveau

Op niveau 2 maakt de mens deel uit van de regellus en moet die de weg voortdurend bewaken. Veiligheid hangt af van duidelijke capaciteitsgrenzen, heldere instructies, bestuurdersmonitoring, tijdige waarschuwingen en bescherming tegen voorzienbaar misbruik. Dat blijft gelden wanneer een punt-tot-puntsysteem een route naar de bestemming volgt, op kruispunten afslaat en voor verkeerslichten of stopborden stopt.

Op niveau 3 mag de gebruiker de aandacht verleggen, maar moet die beschikbaar blijven. Het systeem heeft een beheerste overgang nodig die rekening houdt met de tijd die nodig is om het situatiebewustzijn terug te krijgen.

Op niveau 4 is er mogelijk geen bestuurder. Het systeem en de operationele ondersteuning moeten de terugval afhandelen. Ondersteuning op afstand kan context geven, maar mag niet als autonomie worden gepresenteerd als een mens op afstand feitelijk de rijtaak uitvoert.

Verwarring tussen modi is een gevaar. De interface moet duidelijk maken of de mens of het systeem rijdt, wat het systeem op dat moment kan en welke reactie het verwacht.

Validatie vereist aanvullend bewijs

Geen praktische wegtest kan elk belangrijk scenario met een statistisch bruikbare frequentie tegenkomen. Geen simulatie geeft de werkelijkheid perfect weer.

Een volwassen programma combineert:

analyse van eisen en ontwerp;
component- en integratietests;
software- en hardware-in-the-loop-tests;
scenariosimulatie en het opnieuw afspelen van opgenomen gegevens;
tests op een afgesloten terrein;
begeleide tests op de openbare weg;
onafhankelijke beoordeling en regelgevende tests; en
bewaking van prestaties in gebruik.

Scenariotests laten zien of het voertuig afgebakende gevaren aankan. Blootstellingsgegevens laten zien hoe het ingezette systeem in de echte praktijk presteert. Beide vereisen noemers en een duidelijk afgebakende reikwijdte.

Een miljoen snelwegkilometers kan een bewering over stedelijke kruispunten niet valideren. Een laag aantal ongevallen zegt weinig zonder afstand, wegtype, ernst, meldingsdrempel en een vergelijkbare menselijke referentie. Door bedrijven gerapporteerde resultaten moeten samen met de gepubliceerde methode en onzekerheid worden gelezen.

Waymo’s openbare Safety Impact-dashboard is een goed voorbeeld van rapportage op basis van blootstelling, omdat het afgelegde afstand zonder veiligheidsbestuurder, definities van uitkomsten, methoden voor vergelijking met menselijke bestuurders en downloadbare gegevens biedt. Het blijft bewijs voor Waymo’s eigen operationele domeinen, niet voor de veiligheid van elk ontwerp voor geautomatiseerd rijden.

Cyberbeveiliging en updates zijn veiligheidskwesties

Verbonden voertuigen stellen interfaces bloot via diagnose, apps, draadloze netwerken, clouddiensten en software uit de toeleveringsketen. Een aanvaller of beschadigde update kan vertrouwelijkheid, beschikbaarheid of fysiek gedrag beïnvloeden.

Veiligheid omvat daarom architectuur, authenticatie, beveiligd opstarten, sleutelbeheer, toegangscontrole, bewaking, reactie op kwetsbaarheden en processen van leveranciers. Privacy is gerelateerd maar afzonderlijk: het systeem kan beveiligd zijn en toch meer gegevens over inzittenden of de openbare ruimte verzamelen dan gebruikers verwachten.

VN-Reglementen 155 en 156 stellen in de markten waar ze gelden kaders vast voor beheersystemen van fabrikanten voor cyberbeveiliging en software-updates. Een draadloze update van een rijfunctie moet traceerbaar, geauthenticeerd, gevalideerd en bewaakt zijn. Uitbreiding van het operationele domein is een veiligheidsrelevante productwijziging, geen routinematig onderhoud van infotainment.

Goedkeuring volgt de functie en het rechtsgebied

“Goedgekeurd” kan naar verschillende juridische stappen verwijzen:

een typegoedkeuring voor een voertuig of onderdeel;
toestemming voor tests op de openbare weg;
vergunning om een commerciële dienst zonder bestuurder te exploiteren;
erkenning van een goedkeuring in een ander land; of
naleving van verkeersregels die bepalen wat de mens mag doen.

Deze besluiten zijn niet uitwisselbaar. Een SAE-niveau beschrijft de verdeling van de rijtaak en de terugval; het is geen goedkeuringscertificaat.

Voor assistentie onder bestuurderscontrole stelt VN-Reglement 171 eisen aan Driver Control Assistance Systems in markten waar het wordt toegepast. WP.29 nam in juni 2026 een tweede reeks wijzigingen aan als onderdeel van de verdere ontwikkeling van deze regels. Omdat de bestuurder verantwoordelijk blijft, wordt een systeem dat via een niveau 2- of bestuurdersgestuurde route is goedgekeurd niet een Automated Driving System alleen omdat het een route volgt of stedelijke kruispunten afhandelt.

VN-Reglement 157 heeft betrekking op Automated Lane Keeping Systems en bood in toepassende markten een goedkeuringsroute voor snelwegfuncties op niveau 3. Uitvoeringsverordening (EU) 2022/1426 stelt regels voor typegoedkeuring van volledig geautomatiseerde voertuigen in afgebakende toepassingen, waaronder vooraf bepaalde gebieden, routes tussen knooppunten en geautomatiseerd valetparkeren.

Tesla FSD (Supervised) in Europa

Op 10 april 2026 verleende de Nederlandse voertuigautoriteit RDW Tesla FSD (Supervised) een Europese typegoedkeuring met voorlopige geldigheid in Nederland. De RDW beschrijft het als een assistentiesysteem onder bestuurderscontrole, niet als zelfrijdend: de bestuurder blijft verantwoordelijk, moet het verkeer bewaken en moet onmiddellijk kunnen overnemen.

De RDW stelt ook dat de Europese en Amerikaanse versies niet één op één vergelijkbaar zijn. De Europese beoordeling keurt daarom niet elke FSD-functie of softwareversie goed die elders wordt verkocht.

Het Nederlandse besluit was geen algemene EU-brede goedkeuring. Volgens de RDW vereist bredere geldigheid indiening bij de Europese Commissie, een stemming onder de lidstaten en meerderheidssteun in het verantwoordelijke comité. Totdat dit proces is voltooid, moeten nationale toestemming of erkenning per land worden gecontroleerd.

China scheidt bewaakte assistentie van ADS

Ook de Chinese regelgevingsstructuur scheidt voortdurend bewaakte bestuurdersassistentie van geautomatiseerd rijden. Het ministerie van Industrie en Informatietechnologie stelde het goedkeuringsontwerp van de Veiligheidseisen voor geautomatiseerde rijsystemen van 17 tot en met 24 juni 2026 open voor reacties. Het nationale normenplatform vermeldt het project nu als gepubliceerd als GB 44721—2026, ter vervanging van de aanbevolen GB/T 44721—2024, en noemt 1 juli 2027 als voorgestelde toepassingsdatum.

Het ontwerp geldt voor voertuigen van categorie M en N met ADS op niveau 3 en/of niveau 4 en sluit geautomatiseerd parkeren uit. Het behandelt de volledige dynamische rijtaak, mens–machine-interactie, bewaking van de overnamebekwaamheid, gedrag met minimaal risico, veiligheidsborging door de fabrikant, veiligheidsdossiers en validatie. Waar teksten verschillen, is de definitief gepubliceerde norm en niet een eerder ontwerp bepalend.

China’s GB 47955—2026 geldt daarentegen voor gecombineerde bestuurdersassistentie waarbij de bestuurder het verkeer voortdurend moet waarnemen en het voertuig moet beheersen. Volgens MIIT is het de bedoeling dat deze op 1 januari 2027 van kracht wordt. De scheiding volgt de grens die in dit artikel wordt gebruikt: Een functie op niveau 2 blijft onder bestuurderscontrole, ook wanneer zij navigatiegestuurde manoeuvres uitvoert, terwijl een ADS op niveau 3 of niveau 4 binnen zijn operationele voorwaarden de volledige rijtaak uitvoert.

Het VN-kader van juni 2026 voor ADS zonder bestuurder

Op 24 juni 2026 nam het Wereldforum voor harmonisatie van voertuigreglementen van de UNECE, WP.29, het eerste wereldwijde regelgevingskader aan voor volledig bestuurderloze Automated Driving Systems. Het besluit omvatte een nieuw VN-reglement krachtens de overeenkomst van 1958 en een parallel mondiaal technisch reglement krachtens de overeenkomst van 1998, samen met wijzigingen in ongeveer negentig bestaande VN-voertuigreglementen.

Dit kader heeft betrekking op systemen die de volledige dynamische rijtaak uitvoeren, niet op bewaakte assistentie van niveau 2. De belangrijkste eisen omvatten:

een gecontroleerd veiligheidsbeheersysteem voor de volledige levenscyclus;
een gestructureerd veiligheidsdossier dat aantoont dat er geen onredelijk risico is;
geloofwaardige validatie met simulatie, circuitproeven en rijden in de praktijk;
prestaties die overeenkomen met of beter zijn dan die van een competente menselijke bestuurder;
voortdurende bewaking en rapportage tijdens gebruik; en
opslag van veiligheidsrelevante gegevens over geautomatiseerd rijden.

Het kader kan operationele domeinen op snelwegen en in steden omvatten en kan voertuigen zonder conventionele bestuurdersbediening accommoderen. Het is een belangrijke harmonisatiestap omdat fabrikanten en autoriteiten nu beschikken over een gemeenschappelijke, resultaatgerichte veiligheidsstructuur voor goedkeuring van ADS.

Het is geen enkele, wereldwijd geldige toestemming. De overeenkomstsluitende partijen moeten de toepasselijke instrumenten nog invoeren, exacte voertuigsystemen goedkeuren en bepalen waar gebruik zonder bestuurder wettelijk is toegestaan. Lokale verkeerswetgeving, exploitatievergunningen en dienstvoorwaarden blijven relevant. Het besluit classificeert FSD (Supervised), city-NOA of andere voortdurend bewaakte functies evenmin opnieuw als autonoom rijden.

De Verenigde Staten volgen een andere route

In de Verenigde Staten grijpen federaal toezicht op voertuigveiligheid, wetgeving van staten over exploitatie en lokale regels voor ingebruikname in elkaar. Fabrikanten certificeren doorgaans zelf dat zij aan federale veiligheidsnormen voor motorvoertuigen voldoen, terwijl toezichthouders defecten onderzoeken en eisen tijdens gebruik handhaven.

De Standing General Order van NHTSA verplicht tot melding van bepaalde ongevallen waarbij niveau 2-systemen en geautomatiseerde rijsystemen betrokken zijn. Staats- en lokale autoriteiten kunnen tests en commerciële exploitatie zonder bestuurder afzonderlijk reguleren. Een federale vrijstelling, een testvergunning van een staat en toestemming om betalende passagiers te vervoeren zijn verschillende besluiten.

Zo ziet geloofwaardige veiligheidscommunicatie eruit

Een sterke openbare bewering vermeldt:

het exacte automatiseringsniveau en de rol van de mens;
het voertuig, de hardware, de softwareversie en het operationele domein;
de terugval en het gedrag met minimaal risico;
de daadwerkelijk verkregen goedkeuring of vergunning;
het gebied waarin deze geldig is;
bewijs uit tests en gebruik, met noemers;
bekende uitsluitingen en onopgeloste beperkingen; en
hoe incidenten en updates worden bewaakt.

Vage beweringen zoals “veiliger dan mensen” zijn onvolledig zonder een vergelijkbaar domein, een definitie van de uitkomst, blootstelling en onzekerheid. Veiligheid is geen finish die slechts eenmaal wordt bereikt. Het dossier moet worden bijgehouden wanneer software, hardware, wegen en exploitatie veranderen.

Bronnen

Meer informatie