Säkerhet, redundans och reglering

Senast ändrad: aug. 08, 2026

Säkerhet är ett strukturerat påstående om en bestämd funktion, ett fordon, ett användningsområde och en version, underbyggt av belägg före införande och övervakade data efter införande. Det omfattar funktionssäkerhet, sensorbegränsningar, mänskliga faktorer, cybersäkerhet, drift och reglering; ingen demonstration, provning eller uppgift om körsträcka täcker allt detta.

Börja med ett säkerhetsargument

Ett säkerhetsargument är ett motiverat och belagt resonemang om att ett system är acceptabelt säkert för en viss användning och miljö. Det knyter samman övergripande påståenden med faror, krav, provningar, resultat och driftskontroller.

Omfattningen måste vara exakt. Belägg för en tjänst i låg hastighet på torrt underlag visar inte säkerhet på en snötäckt motorväg. Belägg för en fordonsplattform eller programvaruversion överförs inte automatiskt till en annan.

Utvecklare använder olika ramverk, men ett trovärdigt säkerhetsargument bör åtminstone omfatta:

  • kompetent beteende vid normal drift;
  • upptäckt och hantering av fel;
  • begränsningar i den avsedda funktionen och perceptionen;
  • säker samverkan med användare och andra trafikanter;
  • driftsrutiner, underhåll och hantering av incidenter;
  • cybersäkerhet och kontrollerade programvaruuppdateringar; och
  • belägg för att risken i drift förblir acceptabel.

Offentliga sammanfattningar är användbara för granskning, men de är inte det fullständiga argumentet och ersätter inte myndigheternas bedömning.

Flera säkerhetsdiscipliner överlappar

Funktionssäkerhet behandlar faror som orsakas av fel i elektriska och elektroniska system. ISO 26262 ger ramverket för detta arbete under fordonets livscykel.

Säkerhet för den avsedda funktionen, som omfattas av ISO 21448, behandlar faror när ett system fungerar som avsett men specifikationen, sensorprestandan eller algoritmen inte räcker till i situationen.

AI-säkerhet i vägfordon, som behandlas i ISO/PAS 8800, omfattar risker från otillräckliga AI-resultat, systematiska fel och slumpmässiga hårdvarufel.

Cybersäkerhetsteknik, som omfattas av ISO/SAE 21434, hanterar fordonets cybersäkerhetsrisker under hela livscykeln.

Disciplinerna kompletterar varandra i stället för att ersätta varandra. En helt tillförlitlig kamera kan ändå vara oförmögen att klassificera en ny typ av situation. En kapabel perceptionsmodell kan fortfarande vara osäker om en komprometterad uppdatering förändrar den.

Redundans måste motsvara felet

Redundans är bara användbar om den alternativa vägen klarar det aktuella felet. Två datorer med samma strömförsörjning skyddar inte mot att denna försörjning försvinner. Två kameror bakom samma hinder skyddar inte mot blockerad sikt.

Arkitekturer för högre automatisering kan separera:

  • elektriska försörjnings- och kommunikationsvägar;
  • sensortyper och synfält;
  • primär beräkning och oberoende säkerhetsövervakning;
  • aktiveringsvägar för styrning och bromsar;
  • positioneringskällor; och
  • normal reglering och reglering till ett tillstånd med minimal risk.

Säkerhetsanalysen avgör var variation eller separation behövs. Fler komponenter kan också skapa fler gränssnitt och felmoder, så mängden hårdvara är inget säkerhetsmått.

Målet är kontrollerad degradering. Fordonet bör upptäcka felet, behålla den förmåga som behövs i den omedelbara situationen och nå det definierade tillståndet med minimal risk.

Beroendet av människan ändras med nivån

På nivå 2 är människan en del av reglerkretsen och måste övervaka vägen kontinuerligt. Säkerheten beror på tydliga kapacitetsgränser, klara instruktioner, förarövervakning, varningar i rätt tid och skydd mot förutsebar felanvändning. Det gäller även när ett punkt-till-punkt-system följer en destinationsrutt, svänger i korsningar och stannar vid trafikljus eller stoppskyltar.

På nivå 3 får användaren rikta uppmärksamheten åt annat håll men måste förbli tillgänglig. Systemet behöver en hanterad övergång som tar hänsyn till tiden som krävs för att återfå situationsmedvetenhet.

På nivå 4 kan förare saknas. Systemet och dess driftstöd måste hantera reservstrategin. Fjärrassistans kan ge sammanhang, men bör inte beskrivas som autonomi om en människa på distans faktiskt utför köruppgiften.

Sammanblandning av driftlägen är en fara. Gränssnittet måste tydligt visa om människan eller systemet kör, vad systemet för närvarande kan göra och vilken reaktion det förväntar sig.

Validering kräver kompletterande belägg

Ingen praktisk vägprovning kan möta varje viktigt scenario med statistiskt användbar frekvens. Ingen simulering återger verkligheten perfekt.

Ett moget program kombinerar:

  • krav- och konstruktionsanalys;
  • komponent- och integrationstestning;
  • software- och hardware-in-the-loop-provning;
  • scenariosimulering och återuppspelning av inspelade data;
  • provning på avstängt område;
  • övervakad provning på allmän väg;
  • oberoende granskning och myndighetsprovning; och
  • övervakning av prestanda i drift.

Scenarioprovning visar om fordonet hanterar definierade faror. Exponeringsdata visar hur det införda systemet fungerar i verklig drift. Båda behöver nämnare och en tydligt avgränsad omfattning.

En miljon motorvägskilometer kan inte validera ett påstående om stadskorsningar. Ett lågt antal olyckor är inte informativt utan körsträcka, vägtyp, allvarlighetsgrad, rapporteringströskel och en jämförbar mänsklig referens. Företagsrapporterade resultat bör läsas tillsammans med den publicerade metoden och osäkerheten.

Waymos offentliga Safety Impact-panel är ett bra exempel på exponeringsbaserad rapportering eftersom den tillhandahåller körsträcka utan säkerhetsförare, resultatdefinitioner, metoder för jämförelse med mänskliga förare och nedladdningsbara data. Den är fortfarande belägg för Waymos egna användningsområden, inte ett bevis för att varje konstruktion för automatiserad körning är säker.

Cybersäkerhet och uppdateringar är säkerhetsfrågor

Uppkopplade fordon exponerar gränssnitt via diagnostik, appar, trådlösa nätverk, molntjänster och programvara från leveranskedjan. En angripare eller en skadad uppdatering kan påverka konfidentialitet, tillgänglighet eller fysiskt beteende.

Säkerhet omfattar därför arkitektur, autentisering, säker uppstart, nyckelhantering, åtkomstkontroll, övervakning, hantering av sårbarheter och leverantörsprocesser. Integritet är relaterad men åtskild: Systemet kan vara säkert och ändå samla in mer data om passagerare eller gatumiljöer än användarna förväntar sig.

FN-föreskrifterna 155 och 156 fastställer ramverk för tillverkarnas ledningssystem för cybersäkerhet och programvaruuppdateringar på marknader där de tillämpas. En trådlös uppdatering av en körfunktion bör vara spårbar, autentiserad, validerad och övervakad. En utvidgning av användningsområdet är en säkerhetsrelevant produktändring, inte rutinmässigt underhåll av infotainment.

Godkännandet följer funktionen och jurisdiktionen

”Godkänd” kan syfta på olika juridiska steg:

  • ett typgodkännande för ett fordon eller en komponent;
  • tillstånd att prova på allmän väg;
  • tillstånd att driva en kommersiell förarlös tjänst;
  • erkännande av ett godkännande i ett annat land; eller
  • efterlevnad av trafikregler som styr vad människan får göra.

Dessa beslut är inte utbytbara. En SAE-nivå beskriver fördelningen av köruppgiften och reservstrategin; den är inget godkännandebevis.

För förarstyrd assistans fastställer FN-föreskrift 171 krav på Driver Control Assistance Systems på marknader där den tillämpas. WP.29 antog en andra ändringsserie i juni 2026 som en del av den fortsatta utvecklingen av reglerna. Eftersom föraren förblir ansvarig blir ett system som godkänts via en nivå 2- eller förarstyrd process inte ett Automated Driving System bara för att det följer en rutt eller hanterar stadskorsningar.

FN-föreskrift 157 omfattar Automated Lane Keeping Systems och har gett en väg till godkännande för motorvägsfunktioner på nivå 3 på tillämpande marknader. Europeiska unionens genomförandeförordning 2022/1426 fastställer typgodkännanderegler för helautomatiserade fordon i definierade användningsfall, inklusive förutbestämda områden, rutter mellan nav och automatiserad betjänad parkering.

Tesla FSD (Supervised) i Europa

Den 10 april 2026 gav den nederländska fordonsmyndigheten RDW Tesla FSD (Supervised) ett europeiskt typgodkännande med provisorisk giltighet i Nederländerna. RDW beskriver det som ett förarstyrt assistanssystem, inte självkörande: Föraren är fortfarande ansvarig, måste övervaka trafiken och omedelbart kunna ta över.

RDW uppger också att den europeiska och den amerikanska versionen inte kan jämföras punkt för punkt. Den europeiska bedömningen godkänner därför inte varje FSD-funktion eller programvaruversion som säljs på andra marknader.

Det nederländska beslutet var inte ett generellt godkännande för hela EU. RDW uppgav att bredare giltighet kräver att ärendet lämnas till Europeiska kommissionen, att medlemsstaterna röstar och att en majoritet i den ansvariga kommittén stöder det. Tills processen är klar måste nationellt tillstånd eller erkännande kontrolleras land för land.

Kina skiljer övervakad assistans från ADS

Kinas regleringsstruktur skiljer också kontinuerligt övervakad förarassistans från automatiserad körning. Ministeriet för industri och informationsteknik öppnade godkännandeutkastet till Säkerhetskrav för automatiserade körsystem för synpunkter från den 17 till den 24 juni 2026. Den nationella standardplattformen anger nu projektet som publicerat som GB 44721—2026, vilket ersätter den rekommenderade GB/T 44721—2024, och anger den 1 juli 2027 som föreslaget tillämpningsdatum.

Utkastet gäller fordon i kategori M och N med ADS på nivå 3 och/eller nivå 4 och undantar automatisk parkering. Det omfattar hela den dynamiska köruppgiften, människa–maskin-interaktion, övervakning av förmågan att ta över, beteende med minimal risk, tillverkarens säkerhetssäkring, säkerhetsargument och validering. Om texterna skiljer sig åt gäller den slutligt publicerade standarden, inte ett tidigare utkast.

Kinas GB 47955—2026 gäller däremot kombinerad förarassistans där föraren kontinuerligt måste observera trafiken och kontrollera fordonet. Enligt MIIT är avsikten att den ska träda i kraft den 1 januari 2027. Uppdelningen följer den gräns som används genom hela artikeln: En nivå 2-funktion förblir förarstyrd även om den utför navigationsstyrda manövrer, medan ett ADS på nivå 3 eller nivå 4 utför hela köruppgiften inom sina driftsvillkor.

FN-ramverket från juni 2026 för förarlösa ADS

Den 24 juni 2026 antog UNECE:s världsforum för harmonisering av fordonsföreskrifter, WP.29, det första globala regelverket för helt förarlösa Automated Driving Systems. Beslutet omfattade en ny FN-föreskrift enligt 1958 års överenskommelse och en parallell global teknisk föreskrift enligt 1998 års överenskommelse, tillsammans med ändringar av omkring nittio befintliga FN-föreskrifter för fordon.

Ramverket gäller system som utför hela den dynamiska köruppgiften, inte övervakad assistans på nivå 2. De viktigaste kraven omfattar:

  • ett granskat säkerhetsledningssystem för hela livscykeln;
  • ett strukturerat säkerhetsargument som visar att risken inte är oskälig;
  • trovärdig validering genom simulering, banprov och verklig körning;
  • prestanda som motsvarar eller överträffar en kompetent mänsklig förare;
  • kontinuerlig övervakning och rapportering i drift; och
  • lagring av säkerhetsrelevanta data om automatiserad körning.

Ramverket kan omfatta användningsområden på motorväg och i stadsmiljö och kan hantera fordon utan traditionella förarreglage. Det är ett viktigt steg mot harmonisering eftersom tillverkare och myndigheter nu har en gemensam, resultatinriktad säkerhetsstruktur för godkännande av ADS.

Det är inte ett enda globalt tillstånd. Avtalsparterna måste fortfarande införa de tillämpliga instrumenten, godkänna exakta fordonssystem och avgöra var förarlös drift är laglig. Lokal trafiklagstiftning, drifttillstånd och tjänstevillkor är fortfarande relevanta. Beslutet omklassificerar inte heller FSD (Supervised), city-NOA eller andra kontinuerligt övervakade funktioner till autonom körning.

USA följer en annan väg

I USA samverkar federal tillsyn av fordonssäkerhet, delstaternas driftlagstiftning och lokala införanderegler. Tillverkare självcertifierar i allmänhet att de uppfyller federala säkerhetsstandarder för motorfordon, medan myndigheter utreder fel och ser till att kraven följs i drift.

NHTSA:s Standing General Order kräver rapportering av vissa olyckor som involverar nivå 2-system och automatiserade körsystem. Delstatliga och lokala myndigheter kan separat reglera provning och kommersiell förarlös drift. Ett federalt undantag, ett provningstillstånd från en delstat och tillstånd att transportera betalande passagerare är olika beslut.

Så ser trovärdig säkerhetskommunikation ut

Ett starkt offentligt påstående anger:

  • den exakta automatiseringsnivån och människans roll;
  • fordonet, hårdvaran, programvaruversionen och användningsområdet;
  • reservstrategin och beteendet med minimal risk;
  • det godkännande eller tillstånd som faktiskt finns;
  • territoriet där det gäller;
  • provnings- och driftbelägg med nämnare;
  • kända undantag och olösta begränsningar; och
  • hur incidenter och uppdateringar övervakas.

Vaga påståenden som ”säkrare än människor” är ofullständiga utan ett jämförbart användningsområde, en resultatdefinition, exponering och osäkerhet. Säkerhet är inte en mållinje som passeras en gång. Argumentet måste hållas aktuellt när programvara, hårdvara, vägar och drift förändras.

Källor

Mer information