Veiligheid, redundantie en regelgeving

Veiligheid is een gestructureerde bewering over een gedefinieerde functie, een voertuig, een operationeel domein en een versie, onderbouwd met bewijs vóór de inzet en bewaakte gegevens daarna. Ze omvat functionele veiligheid, sensorbeperkingen, menselijke factoren, cyberbeveiliging, bedrijfsvoering en regelgeving; geen demonstratie, test of kilometerstand dekt alles.

Begin met een veiligheidsargumentatie

Een veiligheidsargumentatie is een beredeneerd, door bewijs ondersteund betoog dat een systeem voor een specifiek gebruik en een specifieke omgeving voldoende veilig is. Ze verbindt uitspraken op hoofdlijnen met gevaren, eisen, tests, resultaten en operationele controles.

De reikwijdte moet exact zijn. Bewijs voor een langzame dienst bij droog weer toont geen veiligheid op een besneeuwde snelweg aan. Bewijs voor één voertuigplatform of softwareversie gaat niet automatisch op voor een andere.

Ontwikkelaars gebruiken verschillende kaders, maar een geloofwaardige veiligheidsargumentatie moet ten minste ingaan op:

competent gedrag tijdens normale werking;
detectie en beheersing van storingen;
grenzen van de beoogde functionaliteit en waarneming;
veilige interactie met gebruikers en andere verkeersdeelnemers;
operationele praktijken, onderhoud en reactie op incidenten;
cyberbeveiliging en beheerste software-updates; en
bewijs dat het risico tijdens gebruik aanvaardbaar blijft.

Openbare samenvattingen zijn nuttig voor controle, maar vormen niet de volledige argumentatie en vervangen geen beoordeling door toezichthouders.

Meerdere veiligheidsdisciplines overlappen

Functionele veiligheid behandelt gevaren door slecht functionerende elektrische en elektronische systemen. ISO 26262 biedt het kader voor dit werk gedurende de levenscyclus van het voertuig.

Veiligheid van de beoogde functionaliteit, behandeld in ISO 21448, betreft gevaren wanneer een systeem volgens ontwerp werkt, maar de specificatie, sensorprestaties of het algoritme voor de situatie onvoldoende zijn.

AI-veiligheid in wegvoertuigen, behandeld in ISO/PAS 8800, omvat risico’s van onvoldoende AI-uitvoer, systematische fouten en willekeurige hardwarefouten.

Cyberbeveiligingstechniek, behandeld in ISO/SAE 21434, beheerst het cyberrisico van het voertuig gedurende de hele levenscyclus.

Deze disciplines vullen elkaar aan in plaats van elkaar te vervangen. Een volkomen betrouwbare camera kan een nieuwe situatie toch niet classificeren. Een bekwaam waarnemingsmodel kan onveilig blijven als een gecompromitteerde update het verandert.

Redundantie moet bij de storing passen

Redundantie is alleen nuttig als het alternatieve pad de beschouwde storing overleeft. Twee computers op één voeding beschermen niet tegen het uitvallen daarvan. Twee camera’s achter dezelfde belemmering beschermen niet tegen geblokkeerd zicht.

Architecturen voor hogere automatisering kunnen het volgende scheiden:

elektrische voedings- en communicatiepaden;
sensormodaliteiten en gezichtsvelden;
primaire rekenkracht en onafhankelijke veiligheidsbewaking;
aansturingspaden voor sturen en remmen;
lokalisatiebronnen; en
normale regeling en regeling voor minimaal risico.

De veiligheidsanalyse bepaalt waar variatie of scheiding nodig is. Meer onderdelen kunnen ook meer interfaces en faalwijzen creëren; het aantal hardwarecomponenten is daarom geen veiligheidsmaatstaf.

Het doel is beheerste degradatie. Het voertuig moet de storing detecteren, de voor de onmiddellijke situatie vereiste capaciteit behouden en zijn gedefinieerde toestand met minimaal risico bereiken.

De afhankelijkheid van de mens verandert per niveau

Op niveau 2 maakt de mens deel uit van de regelkring en moet die de weg voortdurend bewaken. Veiligheid hangt af van capaciteitsgrenzen, duidelijke instructies, bestuurdersbewaking, tijdige waarschuwingen en bescherming tegen voorzienbaar misbruik. Dat blijft gelden wanneer een punt-tot-puntsysteem een route naar een bestemming volgt, op kruispunten afslaat en voor verkeersregelingen stopt.

Op niveau 3 mag de gebruiker de aandacht afwenden, maar moet beschikbaar blijven. Het systeem heeft een beheerste overgang nodig die rekening houdt met de tijd om het situationele bewustzijn te herstellen.

Op niveau 4 is er mogelijk geen bestuurder. Het systeem en de operationele ondersteuning moeten de terugval afhandelen. Hulp op afstand kan context geven, maar mag niet als autonomie worden voorgesteld als een mens op afstand feitelijk de rijtaak uitvoert.

Modusverwarring is een gevaar. De interface moet duidelijk maken of de mens of het systeem rijdt, wat het systeem op dat moment kan en welke reactie het verwacht.

Validatie vereist aanvullend bewijs

Geen uitvoerbare wegtest kan elk belangrijk scenario met een statistisch bruikbare frequentie tegenkomen. Geen simulatie geeft de werkelijkheid perfect weer.

Een volwassen programma combineert:

analyse van eisen en ontwerp;
component- en integratietests;
software- en hardware-in-the-loop-tests;
scenariosimulatie en herhaling van opgenomen gegevens;
tests op afgesloten terrein;
bewaakte tests op de openbare weg;
onafhankelijke beoordeling en tests door toezichthouders; en
bewaakte prestaties tijdens gebruik.

Scenariotests laten zien of het voertuig gedefinieerde gevaren afhandelt. Blootstellingsgegevens tonen hoe het ingezette systeem in echte omstandigheden presteert. Beide vereisen noemers en een duidelijke reikwijdte.

Een miljoen snelwegkilometers kan een bewering over stedelijke kruispunten niet valideren. Een laag aantal ongevallen zegt weinig zonder afstand, wegtype, ernst, meldingsdrempel en een vergelijkbare menselijke referentie. Door bedrijven gemelde resultaten moeten samen met de gepubliceerde methode en onzekerheid worden gelezen.

Waymo’s openbare Safety Impact-dashboard is een sterk voorbeeld van op blootstelling gebaseerde rapportage, omdat het afstand met alleen passagiers, resultaatdefinities, methoden voor menselijke vergelijkingen en downloadbare gegevens biedt. Het blijft bewijs voor Waymo’s servicegebieden, geen bewijs dat elk ontwerp voor geautomatiseerd rijden veilig is.

Cyberbeveiliging en updates zijn veiligheidskwesties

Verbonden voertuigen bieden interfaces via diagnose, apps, draadloze netwerken, clouddiensten en software in de toeleveringsketen. Een aanvaller of beschadigde update kan vertrouwelijkheid, beschikbaarheid of fysiek gedrag beïnvloeden.

Beveiliging omvat daarom architectuur, authenticatie, veilig opstarten, sleutelbeheer, toegangscontrole, bewaking, reactie op kwetsbaarheden en leveranciersprocessen. Privacy is verwant maar afzonderlijk: het systeem kan veilig zijn en toch meer gegevens over inzittenden of straten verzamelen dan gebruikers verwachten.

VN-Reglementen 155 en 156 stellen in de toepassende markten kaders vast voor de beheersystemen van fabrikanten voor cyberbeveiliging en software-updates. Een draadloze update van een rijfunctie moet traceerbaar, geauthenticeerd, gevalideerd en bewaakt zijn. Uitbreiding van het operationele domein is een veiligheidsrelevante productwijziging, geen routineonderhoud van infotainment.

Goedkeuring volgt functie en rechtsgebied

‘Goedgekeurd’ kan naar verschillende juridische stappen verwijzen:

typegoedkeuring van voertuig of onderdeel;
toestemming om op de openbare weg te testen;
vergunning om een commerciële bestuurderloze dienst te exploiteren;
erkenning van een goedkeuring uit een ander land; of
naleving van verkeersregels die bepalen wat de mens mag doen.

Ze zijn niet onderling uitwisselbaar. Een SAE-niveau beschrijft de verdeling van de rijtaak en terugval; het is geen goedkeuringscertificaat.

Voor door de bestuurder gecontroleerde assistentie stelt VN-Reglement 171 eisen aan Driver Control Assistance Systems in markten die het toepassen. WP.29 nam in juni 2026 een tweede reeks wijzigingen aan als onderdeel van de verdere ontwikkeling van de regels. Omdat de bestuurder verantwoordelijk blijft, wordt een via niveau 2 of een door de bestuurder gecontroleerde route goedgekeurd systeem niet alleen door het volgen van een route of afhandelen van stadskruispunten een Automated Driving System.

VN-Reglement 157 betreft Automated Lane Keeping Systems en heeft in toepassende markten een route geboden voor goedgekeurde snelwegfuncties van niveau 3. Uitvoeringsverordening 2022/1426 van de Europese Unie stelt typegoedkeuringsregels vast voor volledig geautomatiseerde voertuigen in gedefinieerde toepassingen, waaronder vooraf bepaalde gebieden, routes tussen knooppunten en geautomatiseerd valetparkeren.

Tesla FSD (Supervised) in Europa

Op 10 april 2026 verleende de Nederlandse voertuigautoriteit RDW Tesla FSD (Supervised) een Europese typegoedkeuring met voorlopige geldigheid in Nederland. RDW beschrijft het als een door de bestuurder gecontroleerd assistentiesysteem, niet als zelfrijdend: de bestuurder blijft verantwoordelijk, moet het verkeer bewaken en onmiddellijk kunnen overnemen.

RDW stelt ook dat Europese en Amerikaanse versies niet één op één vergelijkbaar zijn. De Europese beoordeling keurt daarom niet alle elders verkochte FSD-functies of softwareversies goed.

Het Nederlandse besluit was geen algemene goedkeuring voor de hele EU. Volgens RDW vereist bredere geldigheid indiening bij de Europese Commissie, een stemming door de lidstaten en meerderheidssteun in de verantwoordelijke commissie. Tot dit proces is voltooid, moeten nationale toestemming of erkenning per land worden gecontroleerd.

Het VN-kader van juni 2026 voor bestuurderloze ADS

Op 24 juni 2026 nam het Wereldforum van de UNECE voor harmonisatie van voertuigreglementen, WP.29, het eerste wereldwijde regelgevingskader voor volledig bestuurderloze Automated Driving Systems aan. Het besluit omvatte een nieuw VN-Reglement onder de Overeenkomst van 1958 en een parallel Mondiaal Technisch Reglement onder de Overeenkomst van 1998, samen met wijzigingen in ongeveer negentig bestaande VN-voertuigreglementen.

Dit kader betreft systemen die de volledige dynamische rijtaak uitvoeren, niet bewaakte assistentie van niveau 2. De kernvereisten omvatten:

een gecontroleerd veiligheidsbeheersysteem voor de hele levenscyclus;
een gestructureerde veiligheidsargumentatie die geen onredelijk risico aantoont;
geloofwaardige validatie via simulatie, testbaan en werkelijkheid;
prestaties gelijk aan of beter dan die van een bekwame menselijke bestuurder;
voortdurende bewaking en rapportage tijdens gebruik; en
opslag van veiligheidsrelevante gegevens over geautomatiseerd rijden.

Het kader kan operationele domeinen op snelwegen en in steden bestrijken en voertuigen zonder conventionele bediening toelaten. Het is een belangrijke harmonisatiestap omdat fabrikanten en autoriteiten nu een gemeenschappelijke, resultaatgerichte veiligheidsstructuur voor ADS-goedkeuring hebben.

Het is geen enkele wereldwijde toestemming. Verdragspartijen moeten de toepasselijke instrumenten nog invoeren, specifieke voertuigsystemen goedkeuren en bepalen waar bestuurderloze exploitatie legaal is. Lokale verkeerswetgeving, exploitatievergunningen en dienstvoorwaarden blijven relevant. Het besluit herclassificeert FSD (Supervised), City NOA of andere voortdurend bewaakte functies ook niet als autonoom rijden.

De Verenigde Staten volgen een andere route

In de Verenigde Staten werken federaal toezicht op voertuigveiligheid, operationele wetgeving van staten en lokale inzetregels op elkaar in. Fabrikanten verklaren doorgaans zelf dat ze aan federale veiligheidsnormen voldoen, terwijl toezichthouders defecten onderzoeken en eisen tijdens gebruik handhaven.

De Standing General Order van de NHTSA vereist rapportage van bepaalde ongevallen met systemen van niveau 2 en geautomatiseerde rijsystemen. Staats- en lokale autoriteiten kunnen tests en commerciële bestuurderloze exploitatie afzonderlijk reguleren. Een federale uitzondering, een testvergunning van een staat en toestemming om betalende passagiers te vervoeren zijn verschillende besluiten.

Zo ziet geloofwaardige veiligheidscommunicatie eruit

Een sterke openbare bewering vermeldt:

het exacte automatiseringsniveau en de rol van de mens;
het voertuig, de hardware, de softwareversie en het operationele domein;
terugvalgedrag en gedrag voor minimaal risico;
de werkelijk verkregen goedkeuring of vergunning;
het gebied waar die geldig is;
test- en operationeel bewijs met noemers;
bekende uitsluitingen en onopgeloste beperkingen; en
hoe incidenten en updates worden bewaakt.

Vage beweringen zoals ‘veiliger dan mensen’ zijn onvolledig zonder vergelijkbaar domein, resultaatdefinitie, blootstelling en onzekerheid. Veiligheid is geen finish die één keer wordt bereikt. De argumentatie moet worden onderhouden als software, hardware, wegen en bedrijfsvoering veranderen.