SAE-Fahrautomatisierungsstufen 0–5 – Die Verantwortungsgrenzen hinter ADAS

„Level 2 bedeutet, dass das Auto halbautonom ist“ und „Level 3 ist ein etwas intelligenteres Level 2“ sind verlockende, aber falsche Vereinfachungen. SAE J3016 bewertet weder die Anzahl der Sensoren noch die Genauigkeit der KI oder die Straßenabdeckung. Es definiert für eine Funktion im aktivierten Zustand, wer Lenkung, Beschleunigung, Bremsen, Überwachung, Ereignisreaktion und die Ausweichfunktion übernimmt, wenn die Funktion an ihre Grenzen stößt.

Ein Fahrzeug kann unter strengen Bedingungen über eine automatische Notbremsung (Level 0), einen Autobahnassistenten (Level 2) und einen Stauassistenten (Level 3) verfügen. Dem gesamten Fahrzeug wird kein festes Level zugeordnet. Die entscheidende Frage ist stets: Welche Funktion ist in welchem Einsatzbereich aktiv und wie ist die Verantwortung aufgeteilt?

Beispiel eines Serienfahrzeugs mit ADAS-Sensorik

Bild: Subaru WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. Das Außenfoto gibt weder Aufschluss über den Automatisierungsgrad noch über die interne Systemarchitektur.

Kurze Zusammenfassung

• Auf den Stufen 0–2 steuert der Mensch das Fahrzeug und überwacht kontinuierlich die Assistenzfunktionen. Stufe 2 ermöglicht die gleichzeitige Steuerung von Lenkung und Geschwindigkeit, die Überwachung darf jedoch nicht deaktiviert werden.
• Auf den Stufen Auf den Stufen 3–5 übernimmt ein automatisiertes Fahrsystem (ADS) die gesamte dynamische Fahraufgabe, solange es aktiv ist. Auf Stufe 3 kann es einen menschlichen Eingriff anfordern; Stufe 4 muss innerhalb seines Aktionsradius (ODD) ohne menschliches Eingreifen einen Zustand minimalen Risikos erreichen.

– Der Hauptunterschied zwischen Stufe 4 und 5 liegt im Aktionsradius. Stufe 4 ist eingeschränkt; Stufe 5 deckt konzeptionell alle Straßen- und Umgebungsbedingungen ab, die ein menschlicher Fahrer bewältigen kann.

– Eine höhere Stufe ist kein Sicherheitszertifikat. Die Taxonomie spezifiziert Rollen, nicht Unfallrate, Wahrnehmungsgenauigkeit, Redundanz oder Produktqualität.

– Die Übernahmezeit umfasst Erkennung, Entscheidung, Benachrichtigung, Rekonstruktion der menschlichen Situation und Aktivierung. Eine durchschnittliche Reaktionszeit ist nicht ausreichend.

– Sicherheitsnachweise kombinieren Szenarioabdeckung, Fehler und Angriffe, Beinaheunfallmargen, unnötige Eingriffe, Simulation, Mensch-Maschine-Interaktion (HIL), Teststrecken und kontrollierten Betrieb auf öffentlichen Straßen.

Vier Fragen bestimmen eine Stufe

Abbildung 1 – Die zentrale Grenze verläuft zwischen den Stufen 2 und 3. Der Unterschied liegt nicht im Lenkeinschlag, sondern darin, wer die dynamische Fahraufgabe überwacht und ausführt.

Die Stufenbestimmung kann anhand von vier Fragen strukturiert werden.

1. Wer führt die kontinuierliche Quer- und Längssteuerung durch?

2. Wer führt die Objekt- und Ereigniserkennung und -reaktion (OEDR) durch?

3. Wer greift auf die dynamische Fahraufgabe zurück, wenn ein Grenzwert erreicht wird?

4. Ist der Betrieb auf einen definierten operativen Bereich beschränkt?

Die dynamische Fahraufgabe (DDT) umfasst operative und taktische Tätigkeiten in Echtzeit: Lenken, Bremsen, Beschleunigen, Spurwahl, Reaktion auf Signale und Ausweichen vor Hindernissen. Die strategische Streckenwahl fällt normalerweise nicht darunter. OEDR bedeutet Erkennen und Reagieren, nicht nur das Erzeugen von Erkennungen.

Ein ODD (Optimal Design Device) ist ein Satz von Straßen-, Geografie-, Geschwindigkeits-, Wetter-, Beleuchtungs-, Oberflächen-, Verkehrs-, Karten- und gegebenenfalls Verbindungsbedingungen, unter denen ein Feature funktionieren soll. Für den Bedingungsvektor x gilt:

Wenn eine erforderliche Bedingung c_i nicht mehr erfüllt ist, muss das Feature den Einsatz abbrechen oder einen sicheren Abbruch einleiten. Eine Anforderung, die nicht erfasst werden kann – wie z. B. „Nur bei guter Sicht funktionieren“ ohne validierte Sichtschätzung – ist noch kein ausführbarer ODD-Monitor.

Stufe 0: Kurzzeitiges Eingreifen ist weiterhin möglich

Auf Stufe 0 führt der Mensch eine kontinuierliche Lenk- und Geschwindigkeitskontrolle durch. Frontalkollisionswarnung, Spurverlassenswarnung, Totwinkelwarnung und eine kurzzeitige automatische Notbremsung fallen in diese Kategorie. Automatische Bewegung allein impliziert nicht Stufe 1; der Unterschied liegt in der kontinuierlichen Kontrolle und nicht in einer Warnung oder einer kurzen Notfallmaßnahme.

Serienmäßige ADAS-Systeme kombinieren üblicherweise die Kameraklassifizierung mit der Reichweite und der relativen Geschwindigkeit von Automobilradar. Eine einfache Berechnung der Annäherungszeit bis zur Kollision ist:

Diese Berechnung ist jedoch bei seitlichen Eingriffen und wechselnder Beschleunigung nicht anwendbar. Die Sicherheitsbewertung muss sowohl Fehlbremsungen als auch Bremsverfehlungen berücksichtigen, da ein unnötig starker Bremsvorgang ein Heckaufprallrisiko birgt.

Stufe 1: Lenk- oder Geschwindigkeitsunterstützung

Stufe 1 unterstützt kontinuierlich entweder die Lenkung oder die Beschleunigung/Bremsung. Ein Beispiel hierfür ist die adaptive Geschwindigkeitsregelung in Längsrichtung, die Spurzentrierung in Querrichtung. Der Fahrer übernimmt die restliche Steuerung und die gesamte Überwachung.

Ein gängiger Zielwert für den Sicherheitsabstand ist:

wobei d_0 der Sicherheitsabstand im Stillstand, T_h der Zeitabstand und v die Eigengeschwindigkeit ist. Verlängert sich der Bremsweg bei Regen oder Gefälle, sollte T_h nicht fixiert bleiben, sondern sich an die Straßenbeschaffenheit anpassen. Zwei Produkte der Stufe 1 können sehr unterschiedliche Sicherheitsbereiche aufweisen, obwohl sie die gleiche Klassifizierung tragen.

Stufe 2: Lenk- und Geschwindigkeitsunterstützung während der Fahrt

Stufe 2 ermöglicht es dem Fahrer, das Fahrzeug gleichzeitig zu zentrieren und dem Verkehr zu folgen. „Hände weg“ bedeutet bei einem bestimmten System nicht automatisch „Augen weg“. Die SAE fasst die Stufen 0–2 als Fahrerassistenzsysteme zusammen: Der Fahrer überwacht das System kontinuierlich und muss es gegebenenfalls korrigieren.

Aktuelle Beispiele sind Spurhalteassistent, Stauassistent und navigationsgestützte Spurwechsel. Produktnamen allein reichen nicht aus, um die Stufe zu bestimmen. Region, Modelljahr, Softwareversion, Straßenklasse, Geschwindigkeit, Wetter und die Bedienungsanleitung können den tatsächlichen Funktionsumfang beeinflussen.

Ein Fahrerüberwachungssystem könnte Blickrichtung, Kopfhaltung, Lidschlag und Lenkradinteraktion zu einem einfachen Aufmerksamkeitswert kombinieren:

Sonnenbrille, Blendung, Kameraverdeckung, Behinderung und individuelles Verhalten machen einen einzelnen Schwellenwert unvollständig. Das Fahrerüberwachungssystem sollte die Überwachungsannahme überprüfen und gestaffelte Warnungen sowie einen kontrollierten Stopp auslösen. Es überträgt die Verantwortung nicht durch bloßes Warnen.

Stufe 3: Das System fährt, kann aber menschliche Unterstützung anfordern

Auf Stufe 3 führt das Fahrerüberwachungssystem die vollständige Fahrerüberwachung und die automatische Verkehrserkennung innerhalb eines begrenzten Einsatzzeitraums durch. Der bereite Fahrer muss die Straße nicht ständig überwachen, sondern nur auf eine Interventionsanforderung reagieren. Dieser Übergang ist schwierig, da eine Person, die von einer anderen Aufgabe zurückkehrt, die Verkehrssituation rekonstruieren muss, bevor sie handeln kann.

Die verfügbare Zeit T_{hazard} sollte mindestens folgende Kriterien erfüllen:

T_{human} ist keine reflexartige Tastendruckzeit; Dies umfasst Blickkontakt, Situationsverständnis, Entscheidungsfindung und motorische Aktionen. Bewerten Sie den Rand der Verteilung unter Berücksichtigung von Müdigkeit, Alter, Nacht und realistischen Nebenaufgaben.

Eine Übernahmeanforderung führt nicht zu einem sofortigen Verantwortungswechsel. Der Fahrer kann sie überhören, falsch verstehen oder aus medizinischen Gründen nicht reagieren können. Das System benötigt weiterhin ein risikominderndes Manöver – kontrolliertes Abbremsen, Spurhalten, Warnblinker oder einen möglichen Seitenstreifenstopp –, dessen Sicherheit von der Straßenführung und dem nachfolgenden Verkehr abhängt.

Stufe 4: Vollständiger Betrieb innerhalb eines begrenzten Einsatzgebietes

Auf Stufe 4 führt das ADS den gesamten DDT und den Fallback innerhalb seines Einsatzgebietes durch, ohne auf menschliches Eingreifen angewiesen zu sein. Langsame Shuttles, Geofencing-Robotaxis, Minen, Häfen und Logistikzentren sind natürliche Einsatzgebiete, da Geografie, Geschwindigkeit und Interaktionen eingeschränkt sein können.

Fernunterstützung kann einen Weg vorschlagen oder eine Szene verdeutlichen, ohne kontinuierlich zu fahren. Fernsteuerung steuert die Bewegung direkt. Vermischen Sie die beiden nicht zu „Teleoperation“. Ein Sicherheitskonzept der Stufe 4 muss Kommunikationsverlust, Serverüberlastung, das Verhältnis von Fahrer zu Fahrzeug, Latenz, Authentifizierung und eine lokale Minimalrisikosituation abdecken. V2X-Kommunikation kann die Situationswahrnehmung verbessern, darf aber nicht unbemerkt zu einem Single Point of Failure werden.

Stufe 5: Das Konzept für alle Bedingungen

Stufe 5 ist nicht auf einen bestimmten Verkehrsbereich beschränkt und umfasst Straßen- und Umgebungsbedingungen, die ein menschlicher Fahrer bewältigen kann. Dies schließt nicht jeden Ort der Erde ein, sondern deckt ein enormes Spektrum ab: verdeckte Fahrbahnmarkierungen, Schnee, temporäre Polizeimaßnahmen, Baustellen, Katastrophen, ungewöhnliche Fahrzeuge und regionale Verkehrsregeln.

Ab 2026 dürfen Verbraucher keine Fahrzeuge mehr erwerben, die auf öffentlichen Straßen mit Stufe 5 verkehren. Die NHTSA erklärt ebenfalls, dass die derzeit für Verbraucher verfügbare höchste Automatisierung weiterhin die aktive Beteiligung des Fahrers erfordert. Trennen Sie zukünftige Forschungsziele von den Funktionen, die ein Kunde heute aktivieren kann.

Warum ein höheres Sicherheitsniveau nicht automatisch mehr Sicherheit bedeutet

Das Sicherheitsniveau definiert Rollen. Es sagt nichts über Kollisionswahrscheinlichkeit, Wahrnehmungserinnerung, Redundanz, Cybersicherheit oder Validierungsqualität aus. Ein gut validiertes Level-4-Shuttle auf einem abgesperrten Gelände und ein weitläufiges Level-2-Autobahnprojekt lassen sich nicht allein anhand der Sicherheitsstufe bewerten. Sicherheit muss separat beurteilt werden.

Funktionale Sicherheit und SOTIF

ISO 26262 befasst sich mit funktionaler Sicherheit und unzumutbaren Risiken durch fehlerhafte E/E-Systeme: Sensorausfälle, CPU- oder Speicherfehler, Aktorfehler und Stromausfälle. ISO 21448 SOTIF behandelt Gefahren durch Funktionsstörungen ohne Komponentenausfall: eine intakte Kamera, die jedoch Blendung, Nebel oder ungewöhnliche Objekte nicht erfassen kann. Cybersicherheit ergänzt dies um die Manipulation von GNSS, Karten, Fahrzeugnetzwerken, V2X und Software-Update-Systemen durch Angreifer.

Redundanz bedeutet nicht einfach nur die Verdopplung von etwas

Redundanz erfordert auch eine Analyse gemeinsamer Ursachen. Zwei Kameras können bei derselben Blendung ausfallen. Verschiedene Kamera-, LiDAR- und Radarsysteme können hilfreich sein, nutzen aber möglicherweise dieselbe Taktung, Karte, Stromversorgung oder Fusionssoftware.

Quantifizierung von Sicherheitsmargen

Die alleinige Betrachtung der gefahrenen Kilometer ist bei seltenen kritischen Ereignissen unzureichend. Erstellen Sie einen Szenariokatalog aus Felddaten und Sicherheitsanalysen, variieren Sie die Parameter in der Simulation und korrelieren Sie Daten aus Software-in-the-Loop, Hardware-in-the-Loop, Testgelände und kontrollierten Straßenfahrten.

Für die relative Distanz d und die relative Geschwindigkeit \Delta v>0 ergibt sich eine vereinfachte Schätzung der erforderlichen konstanten Verzögerung zum Anhalten wie folgt:

Vergleichen Sie diese mit der reibungs- und aktuatorbegrenzten Verzögerung a_{avail}. Das Verhältnis a_{req}/a_{avail} zeigt eine abnehmende Sicherheitsmarge an, beschreibt aber weder seitliches Ausweichen noch die Reaktion eines nachfolgenden Fahrzeugs oder eines Fußgängers; der Szenariokontext muss beibehalten werden.

Entwickeln Sie Szenarien von funktional über logisch zu konkret. „Ein Fußgänger taucht aus einer Verdeckung auf“ wird zu Bereichen für Geschwindigkeit, Größe des Hindernisses, Beleuchtung, Reibung und Auftauchzeit, gefolgt von konkreten Stichprobentests. Importance Sampling und Falsifikation zielen effizienter auf Grenzverletzungen ab als gleichmäßiges Zufallsfahren.

Berichten Sie mindestens Kollisionen und deren Schweregrad, Mindestabstand und TTC, Fahrereingriffe und deren Ursachen, systembedingte starke Brems- oder Lenkbewegungen, ODD-Monitorfehler, Zeit bis zum Erreichen des minimalen Risikozustands, Latenz der Fehlererkennung und Diskrepanz zwischen Simulation und Fahrzeug.

Aktuelle ADAS korrekt vergleichen

Steuerungsbereich | Spur, Folgefahrzeug, Spurwechsel, Einfädeln, Signale, Parken |

Sensorik | Kamera, Radar, LiDAR, Ultraschall, Karte, V2X |

Fallback | Mensch, Anhalten in der Spur, Anhalten auf dem Seitenstreifen, Fernunterstützung |

Updates | Softwareversion, Kartenversion, Änderungen an ODD und Anweisungen |

Gleichzeitige adaptive Geschwindigkeitsregelung (ACC) und Spurzentrierung sind üblicherweise Stufe 2, da der Fahrer die Umgebung überwacht. Eine eingeschränkte Funktion, die den vollständigen DDT durchführt und einen Fallback anfordert, kann Stufe 3 sein. Ein fahrerloser Dienst, der den Fallback innerhalb eines Geofence durchführt, kann Stufe 4 sein. Lesen Sie die genehmigte Funktion und die Anweisungen, nicht die Marketingbezeichnung.

Grenzfälle, die die Logik offenlegen

Kann automatisiertes Parken Stufe 4 sein?

Eine automatisierte Parkfunktion kann bei sehr niedriger Geschwindigkeit Stufe 4 sein, wenn ihr ODD ein begrenzter Parkplatz ist, der Mensch die Umgebung nicht überwacht und das System ohne menschliches Eingreifen sicher anhalten kann. Dies zeigt, dass die Klassifizierung von der Rollenverteilung abhängt, nicht von Geschwindigkeit oder technischer Raffinesse.

Warum ist ein leistungsstarker Notbremsassistent (AEB) immer noch Stufe 0?

Ein AEB kann unmittelbar vor einer Kollision eine starke Bremsung einleiten, übernimmt aber nicht kontinuierlich das normale Fahren. Die Stärke eines kurzzeitigen Eingriffs ist unabhängig vom Automatisierungsgrad.

Wenn die Hände auf Stufe 2 vom Lenkrad genommen werden können, warum spricht man dann immer noch von fahrergesteuertem Fahren?

Die Klassifizierung hängt nicht von der Handposition ab, sondern davon, wer die Umgebung überwacht und Fehler kompensiert. Eine blickgesteuerte, freihändige Funktion der Stufe 2 ist möglich, die Verantwortung, Dinge zu erkennen, die die Funktion nicht wahrnehmen kann, und entsprechend zu reagieren, liegt jedoch weiterhin beim Fahrer.

Checkliste für die Entwicklung

1. Weisen Sie jeder Funktion in verständlicher Sprache eine dauerhafte Steuerung, eine OEDR (Optimal Distance Response) und eine Ausweichfunktion zu.

2. Überführen Sie die ODD (Optimal Distance Response) in messbare Bedingungen und identifizieren Sie Bedingungen, die das Fahrzeug nicht direkt beobachten kann.

3. Definieren Sie die Vorwarnzeit, die sichere Deaktivierung und das risikoärmste Verhalten bei Fehlentscheidungen der ODD. 4. Auf Stufe 2 Überwachung und DMS validieren; auf Stufe 3 realistische Übernahmeverteilungen validieren.

4. Hardwarefehler, Leistungsmängel und Angriffe separat analysieren und anschließend nach gemeinsamen Ursachen suchen.

5. Dieselbe Szenario-ID in Simulationen, HIL, Testfahrten und Straßenmessungen verwenden.

6. Nach OTA-Updates Sicherheitsnachweis, ODD, Handbuch, Modell, Karten und gespeicherte Daten abgleichen.

Zusammenfassung

Die SAE-Stufen 0–5 stellen keine hierarchische Intelligenzstufe dar. Sie beschreiben, wer die kontinuierliche Steuerung, OEDR und den Fallback durchführt und wo die Funktion aktiv sein kann. Die wichtigste Grenze ist die zwischen Stufe 2 und Stufe 3: Auf Stufe 2 steuert und überwacht der Mensch; auf Stufe 3 führt das ADS die DDT im Einsatz durch.

Fragen Sie nach ODD, Grenzerkennung, Übergangszeit, Zustand minimalen Risikos und Validierungsdaten, bevor Sie nach der Stufe fragen. Dadurch wird der vage Begriff „autonomes Fahren“ in überprüfbare Verantwortlichkeiten in den Bereichen Sensorik, Steuerung, menschliche Faktoren, Vernetzung und Regulierung umgewandelt.

Referenzen

• SAE International — J3016 Stufen der Fahrautomatisierung – Visuelles Diagramm
• SAE Mobilus — J3016 Taxonomie und Definitionen
• NHTSA — Sicherheit automatisierter Fahrzeuge und Automatisierungsstufen
• NHTSA — Ständige Allgemeine Anordnung zu ADS und ADAS der Stufe 2 zur Unfallmeldung
• ISO — ISO 26262 Straßenfahrzeuge – Funktionale Sicherheit
• ISO — ISO 21448 Straßenfahrzeuge – Sicherheit der beabsichtigten Funktionalität
• UNECE — UN-Regelung Nr. 157 Automatisierte Spurhaltesysteme