UNECE R 156

Die ECE/TRANS/WP.29/2020/80 „Proposal for a New UN Regulation on Uniform Provisions Concerning the Approval of Vehicles with Regards to Software Update and Software Updates Management System“ ist eine Regelung der Wirtschaftskommission für Europa (UNECE), die Voraussetzungen zum Update von Software in Steuergeräten von Fahrzeugen beschreibt.

Anforderung

Der Nachweis eines funktionierenden Software Update Management System (SUMS) wird von Herstellern verlangt, wenn

• sie Fahrzeuge in Verkehr bringen wollen (im Sinne des Rechtsbegriffs Inverkehrbringen),
• sie Updates von Software in ihren Fahrzeugen auch dann vornehmen wollen, nachdem diese für den öffentlichen Straßenverkehr zugelassen sind
• die Software von zulassungsrelevanten Bauteilen aktualisiert werden kann

Die Regelung verlangt dann, dass der Hersteller ein SUMS etabliert hat und dies gegenüber der Zulassungsbehörde oder einem von der Zulassungsbehörde akkreditierten Prüfinstitut nachweisen kann. Gegenwärtig wird die ISO 24089 „Road vehicles — Software update engineering“ entwickelt, die für die Industrie geeignete Maßnahmen genauer beschreiben soll. Die ISO 24089 befindet sich zurzeit (Stand 12.2021) im Status Draft International Standard (DIS).

Zweck

Ein SUMS soll sicherstellen, dass ein Update von Software-Funktionen, die für die Typgenehmigung relevant waren (beispielsweise Abgas, Bremsen, Motorsteuerung), so entwickelt und validiert werden, dass sie auch nach dem Update noch gesetzeskonform arbeiten. Die R 156 verlangt dazu, dass Update „safe and secure“ sind, ohne dies weiter auszuführen. Die genauen Details soll jeder Hersteller ermitteln und durch sein SUMS sicherstellen, dass die abstrakten Erwartungen der R 156 erfüllt werden.

Die englischen Begriffe safe und secure beziehen sich in der Fahrzeugtechnik vor allem auf folgende Punkte:

• safe meint die Sicherheit gegen Fehlfunktionen der Software selbst (Bugs). In der Automobilindustrie hat sich hier vor allem die Betrachtung der Funktionalen Sicherheit nach ISO 26262 eingebürgert. Gefährliche Fehlfunktionen wären beispielsweise eine grundlose Airbag-Auslösung oder Selbstbeschleunigung durch einen Fehler in der Motorsteuerung.
• secure meint die Manipulationssicherheit beim Update-Prozess und kann beispielsweise mit Methoden der Cyber Security (nach ISO 21434) betrachtet werden. So soll beispielsweise der Update-Mechanismus das Einspielen von Schadsoftware wie auch von Tuning-Software verhindern.

Die R 156 betrachtet auch den Fall, dass ein Update fehlschlägt. Dann muss die Software vor Update noch einwandfrei funktionieren oder einen sicheren Zustand einnehmen.

Nachweis

Ein SUMS besteht aus Prozessen und Methoden, um Software-Updates sicher an einen bestimmten Fahrzeugtyp zu verteilen. Wie ein SUMS genau aussehen soll, beschreibt die R 156 nicht. Es geht vielmehr darum, dass Hersteller ein systematisches Vorgehen bei der Entwicklung und Verteilung von Updates entwickeln, also Prozesse definieren, wie Software-Updates entwickelt, geprüft und verteilt werden.

Damit ein Unternehmen den Nachweis erbringen kann, dass ein wirksames SUMS eingeführt wurde, gehört:

• Ein Zertifikat, welches bei der Typzulassung eines neuen Fahrzeugtyps der Zulassungsbehörde vorzulegen ist
• Die Prüfung (Assessment) führt die Zulassungsbehörde oder ein zugelassenes unabhängiges Prüfinstitut durch
• Nach jeweils 3 Jahren ist das Zertifikat durch ein Assessment zu verlängern
• Nach Produktionsende des Fahrzeugtyps soll das SUMS für diesen Typ abgemeldet werden

Für jede Typzulassung ist dieses SUMS nachzuweisen.

Geltungsbereich

Die UNECE R 156 wird die durch die Vertragsstaaten in Gesetze umgesetzt und betrifft folgende Fahrzeugklassen:

• M: Kraftfahrzeuge zur Personenbeförderung mit mindestens 4 Rädern,
• N: Fahrzeuge zur Güterbeförderung mit mindestens 4 Rädern,
• O, R: Anhänger mit mindestens einem elektronischen Steuergerät, sowie Anhänger in Land- oder Forstwirtschaft
• S: Gezogene Landmaschinen wie Egge, Pflug, Mähmaschine, Ballenpresse
• T: Traktoren

Ausgenommen ist die Klasse L, dazu gehören Zweiräder, Dreiräder und sehr leichte Kfz (< 450 kg).

Ein SUMS ist nicht erforderlich, wenn die Steuergeräte im Fahrzeug kein Update erlauben.

Software

An die Eigenschaften der Software selbst wird im Wesentlichen nur eine Anforderung gestellt: Die Software soll eine „RX Software Identification Number“ erhalten, auch RXSWIN genannt, die vor und nach einem Update auslesbar ist, wenigstens über die OBD-Schnittstelle.

Das X steht für die UNECE-Regelung, der die Software unterliegt. So könnte das Update eines Bremsassistenten, der der UNECE R 139 unterliegt, eine R139SWIN erhalten, wobei der Aufbau des SWIN-Teils nicht in der R 156 spezifiziert wurde. Die RXSWIN muss eindeutig sein.

Jedes Update muss ausführlich und nachvollziehbar dokumentiert werden.

Drahtlose Updates (OTA)

Werden Updates über eine Funkschnittstelle „over-the-air“ (OTA) verteilt, dann gelten zusätzliche Regelungen. Da diese Updates nicht in der Fachwerkstatt von geschultem Personal beaufsichtigt werden, verlangt die R 156 vom SUMS des Herstellers, dass verschiedene Punkte durch dedizierte Prozesse bewertet und mit geeigneten Maßnahmen unterlegt werden:

• Updates dürfen die Sicherheit auch dann nicht beeinträchtigen, wenn sie während der Fahrt eingespielt werden.
• Sind komplexe Eingriffe erforderlich, so darf das Update erst dann vollständig abgeschlossen werden, wenn die Eingriffe erfolgt sind. Die R 156 nennt als Beispiel die Rekalibrierung eines Sensors, für die Spezialkenntnisse erforderlich sein könnten.
• Schlägt das Update fehl, so ist entweder der alte Zustand wiederherzustellen oder ein sicherer Zustand (im Sinne von ISO 26262) einzunehmen. Ein sicherer Zustand kann beispielsweise erreicht werden, wenn der Motor nicht mehr startet (Fehler beim Update von Bremsen, Lenkung, Motor) oder der Abstandsregeltempomat nach fehlgeschlagenem Update nicht mehr aktiviert werden kann.
• Es muss genügend Energie (im Sinne von Batteriekapazität) vorhanden sein, um das Update abzuschließen bzw. bei Fehlschlag entweder zurückzunehmen oder einen sicheren Zustand einzunehmen.
• Der Fahrer muss vor dem Update über Zweck und geänderte Funktionen informiert werden, über Dauer des Updates und nicht-verfügbare Funktionen während des Updates, sowie Anweisungen zu seiner Mitwirkung, um das Update sicher durchzuführen. Nach Abschluss ist dem Fahrer zu melden, ob das Update erfolgreich war und ob es zum Update auch Änderungen im Benutzerhandbuch gibt.
• Kann das Update während der Fahrt nicht sicher angewendet werden, muss der Hersteller zeigen, dass dies nur in einem sicheren Zustand möglich ist.

Offene Punkte

Die R 156 verlangt für jede Typzulassung das Zertifikat, welches ein funktionierendes SUMS bestätigt. Es bleibt jedoch offen, ob und inwieweit bei der Zertifizierung mehrerer Fahrzeugtypen auf vorhandene Nachweise aufgebaut werden kann, also ob für das Unternehmen eine zyklische Prüfung des gesamten Unternehmens (vergleichbar der Auditierung nach IATF 16949) statt einer Einzelprüfung je Fahrzeugtyp möglich ist.

Aus Sicht eines Herstellers kann es durchaus vorteilhaft sein, auf Update-Fähigkeiten einzelner Komponenten zu verzichten. Dadurch entfällt die Pflicht, ein SUMS auf solche Komponenten auszuweiten. Werden solche Komponenten von Zulieferern bereitgestellt, so kann ein Fehler nur noch durch Austausch einer ganzen Komponente behoben werden, was ein erhöhtes Gewährleistungsrisiko für die Zulieferer bedeutet.

Weblinks

• UN Regulation No. 156 - Software update and software update management system. 3. April 2021, abgerufen am 17. Oktober 2021 (englisch). 
• Statusseite der ISO zur ISO 24089 Road vehicles — Software update engineering. Abgerufen am 5. Dezember 2021 (englisch).