Für autonome und teleoperierte Fahrzeuge verändert sich damit eine grundlegende Annahme der Sicherheitsarchitektur: Der sichere Zustand kann nicht mehr grundsätzlich „aus“ bedeuten. Die Kontrolle über die Fahrzeugbewegung muss auch nach einem Fehler erhalten bleiben – mindestens so lange, bis ein sicherer Zustand erreicht werden kann. Für die Drive-by-Wire-basierte Control Layer bedeutet das: Lenken, Bremsen und Antrieb müssen auch im Störfall kontrollierbar bleiben. Genau hier beginnt die Architektur hinter Safety-by-Wire®.

Vom Sicherheitsziel zur technischen Architektur

Im Mittelpunkt funktionaler Sicherheit stehen zunächst Sicherheitsziele. Sie beschreiben, welche gefährlichen Zustände verhindert werden müssen – beispielsweise unbeabsichtigte Lenkbewegungen, den Verlust der Bremsfunktion oder ungewollten Vortrieb.

Damit daraus ein reales System entsteht, sind zwei Übersetzungsschritte notwendig. Das funktionale Sicherheitskonzept definiert, welche Funktionen und Sicherheitsmechanismen erforderlich sind. Das technische Sicherheitskonzept überführt diese anschließend in konkrete Hardware- und Softwarearchitekturen: Sensorik, Rechenpfade, Kommunikation, Energieversorgung, Diagnose und Aktuatorik.

Damit wird aus dem Sicherheitsziel eine zentrale Architekturfrage: Was muss redundant vorhanden sein, damit ein einzelner Fehler nicht zum Verlust der Fahrzeugkontrolle führt?

Redundanz muss durchgängig sein

Zwei Steuergeräte allein machen ein System noch nicht fail-operational. Teilen beide beispielsweise dieselbe Energieversorgung, einen kritischen Kommunikationspfad oder andere gemeinsame Ressourcen, bleibt ein gemeinsamer Ausfallpfad bestehen.

NX NextMotion setzt deshalb auf eine durchgängige, multi-redundante Architektur. Die physische Trennung umfasst zwei Kanäle über die gesamte Wirkungskette – von Rechen- und Kommunikationspfaden bis zur Leistungsansteuerung und Aktuatorik. Beide Seiten sind auf ASIL D ausgelegt. Hinzu kommen mehrfach ausgelegte Sensorik, kontinuierliche Diagnose sowie redundante Energiepfade. Das Ziel ist nicht lediglich, einen Fehler zu erkennen. Das System muss ihn beherrschen und die sicherheitsrelevanten Funktionen innerhalb definierter Leistungsgrenzen und Reaktionszeiten weiterführen können.

Degradation statt Abschaltung

Fail-operational bedeutet dabei nicht, dass ein Fahrzeug nach jedem Fehler unbegrenzt und unverändert weiterfährt. Entscheidend ist ein definiertes Degradationskonzept. Je nach Fehlerzustand kann die Architektur von voller Performance in einen eingeschränkten Betriebszustand wechseln oder ein risikominimales Manöver einleiten. Jeder Übergang muss spezifiziert und innerhalb der vorgesehenen Fehlertoleranzzeit abgeschlossen sein.

Der wesentliche Unterschied zum klassischen Abschaltprinzip: Die Kontrolle über die Fahrzeugbewegung bleibt erhalten. Gerade bei autonomen und teleoperierten Fahrzeugen ist das entscheidend. Ein abruptes Abschalten einer sicherheitskritischen Bewegungsfunktion kann selbst eine Gefährdung erzeugen.

Fully Fail-Operational: Redundanz auf vier Achsen

Doch auch der Begriff „fail-operational“ lässt Spielraum. Welche Funktion bleibt nach welchem Fehler wie lange und mit welcher Leistungsfähigkeit verfügbar? Arnold NextG verwendet deshalb für NX NextMotion den Begriff Fully Fail-Operational als bewusst engere Arbeitsdefinition. Dabei handelt es sich nicht um eine neue normative Kategorie, sondern um eine technisch prüfbare Beschreibung des Architekturanspruchs.

Fully Fail-Operational betrachtet Redundanz entlang von vier Vollständigkeitsachsen:

• Funktion: Die primären sicherheitsrelevanten Bewegungsfunktionen Lenken, Bremsen und Antrieb werden fail-operational ausgelegt.
• Kanal: Zwei physisch getrennte ASIL-D-Kanäle bilden die sicherheitsrelevante Wirkungskette ab. Der Verlust einer Seite darf nicht zum Verlust der Funktion führen.
• Steuerquelle: Autonomes Fahrsystem, Teleoperation und menschlicher Eingriff können innerhalb derselben Architektur berücksichtigt werden. Eine deterministische Arbitrierung entscheidet, welcher Steuerpfad gültig ist.
• Energie: Auch die Energieversorgung wird redundant betrachtet und um eine Pufferquelle für definierte Degradationsfenster ergänzt.

Erst das Zusammenspiel dieser vier Ebenen beschreibt den Anspruch, den Arnold NextG mit Fully Fail-Operational verbindet.

Warum das für OEMs und Integratoren relevant ist

Für OEMs und Systemintegratoren lohnt deshalb ein genauer Blick hinter den Begriff „fail-operational“. Ist nur eine einzelne Funktion redundant – oder die vollständige Bewegungssteuerung? Sind zwei Kanäle tatsächlich unabhängig oder teilen sie kritische Komponenten? Was passiert beim Ausfall einer Energieversorgung? Welche Steuerquelle übernimmt bei einem Fehler? Und welche Funktionalität steht während des Degradationszustands tatsächlich noch zur Verfügung?

Diese Fragen entscheiden darüber, ob Redundanz lediglich auf Komponentenebene vorhanden ist oder die gesamte sicherheitskritische Wirkungskette trägt. Für eine Drive-by-Wire-Plattform, die autonome, teleoperierte und manuelle Fahrzeugführung unterstützen soll, wird diese Durchgängigkeit zum entscheidenden Architekturmerkmal.

Fazit: Der sichere Zustand ist Kontrolle

Mit dem Wegfall des Fahrers als permanenter Rückfallebene verändert sich die Sicherheitsarchitektur grundlegend. Ein sicherheitskritisches System darf nach einem Fehler nicht einfach aufhören zu funktionieren, wenn genau dadurch die Kontrolle über das Fahrzeug verloren geht.

Drive-by-Wire muss deshalb mehr leisten als elektronische Befehle für Lenken, Bremsen und Antrieb umzusetzen. Die Control Layer muss darauf ausgelegt sein, diese Funktionen auch im Störfall kontrollierbar zu halten.

Fully Fail-Operational beschreibt bei Arnold NextG diesen Anspruch: Redundanz wird nicht punktuell, sondern über Funktion, Kanal, Steuerquelle und Energie gedacht. NX NextMotion überführt damit die Sicherheitsziele von Safety-by-Wire® in eine konkrete multi-redundante, fail-operational Systemarchitektur. Denn für autonome und teleoperierte Mobilität bedeutet Sicherheit nicht einfach Stillstand.

Sicherheit bedeutet, die Kontrolle zu behalten.

WE CONTROL WHAT MOVES

Für NX NextMotion folgt Arnold NextG dabei einem klaren Prinzip: Bewerten unterschiedliche Normen dasselbe Sicherheitsziel unterschiedlich streng, setzt die strengste Anforderung den Maßstab. Das ist ein zentraler Baustein von Safety-by-Wire®.

Am Anfang steht die Gefährdung

Bevor über ASIL D, SIL oder andere Sicherheitslevel gesprochen werden kann, muss zunächst geklärt werden, welches Risiko eine Fehlfunktion überhaupt verursacht. In der Automotive-Welt erfolgt dies über die Gefährdungsanalyse und Risikobewertung – die Hazard Analysis and Risk Assessment, kurz HARA. Dabei werden konkrete Betriebssituationen mit möglichen Fehlfunktionen kombiniert.

Was bedeutet beispielsweise ein unbeabsichtigter Lenkeingriff bei hoher Geschwindigkeit? Welche Folgen hat der Verlust der Bremsfunktion im Gefälle? Was passiert bei ungewolltem Vortrieb während eines Rangiervorgangs? Bewertet werden mögliche Schadensschwere, Exposition und – je nach Normenwelt – die Möglichkeit, die Situation noch zu kontrollieren. Aus der Risikobewertung werden schließlich Sicherheitsziele abgeleitet. Für Drive-by-Wire ist dieser Schritt besonders relevant. Denn Lenken, Bremsen und Antrieb bilden die primären Funktionen, über die Fahrzeugbewegung unmittelbar kontrolliert wird.

Dasselbe Grundrisiko – unterschiedliche Sprachen

Die grundlegende Logik funktionaler Sicherheit findet sich über verschiedene Fahrzeug- und Maschinendomänen hinweg. Die jeweiligen Risikomodelle unterscheiden sich jedoch. Die ISO 26262 verwendet für Straßenfahrzeuge Automotive Safety Integrity Levels (ASIL). Die IEC 61508 arbeitet mit Safety Integrity Levels (SIL). In der Land- und Forstwirtschaft kommen über die ISO 25119 Agricultural Performance Levels (AgPL) zum Einsatz, für Erdbaumaschinen Machine Performance Levels (MPL) nach ISO 19014 und in der Maschinensicherheit Performance Levels (PL) nach ISO 13849. Diese Einstufungen lassen sich nicht einfach gleichsetzen.

Ein ASIL D ist nicht automatisch ein SIL 4, ebenso wenig sind PL e und AgPL e trotz gleicher Buchstaben identisch. Jede Skala enthält Annahmen aus ihrer jeweiligen Anwendungswelt – beispielsweise zu Geschwindigkeit, Umgebung, Exposition oder Bedienerrolle. Für eine Plattform, die über Domänengrenzen hinweg eingesetzt werden soll, entsteht daraus eine zentrale Entwicklungsaufgabe: Die Anforderungen müssen vergleichbar gemacht werden, ohne ihre jeweilige normative Bedeutung zu verlieren.

Von fünf Bewertungen zu einem Zielkatalog

Genau hier setzt die Safety-by-Wire®-Strategie von Arnold NextG an. Die Sicherheitsziele aus den relevanten Analysen werden normübergreifend konsolidiert. Wo die jeweiligen Normen entsprechende Zuordnungen vorsehen, werden unterschiedliche Risikometriken auf eine gemeinsame Bewertungsbasis abgebildet. Für NX NextMotion bildet die ISO 26262 dabei die Leitnorm der Entwicklung.

Taucht dasselbe Sicherheitsziel in mehreren Einsatzdomänen auf, kann seine Bewertung unterschiedlich ausfallen. Für diesen Fall gilt das Prinzip der strengsten Anforderung. Kein Mittelwert, keine Auswahl nach Anwendung: Die höchste relevante Anforderung wird zum Maßstab für die Plattform. Für die primären Bewegungsfunktionen führt dieser Ansatz bis zur höchsten Einstufung der Leitnorm: ASIL D.

Auf Systemebene entstehen daraus Sicherheitsziele wie die Vermeidung unbeabsichtigter Lenkbewegungen, des Verlusts der Bremsfunktion oder ungewollten Vortriebs. Hinzu kommen Sicherheitsziele für flankierende Funktionen, beispielsweise für die Absicherung des Fahrzeugstillstands oder die Signalisierung. Das Ergebnis ist kein Nebeneinander verschiedener Safety-Kataloge, sondern eine gemeinsame Basis für die weitere Systementwicklung.

Safety-Ziele müssen Architektur bestimmen – nicht umgekehrt

Für OEMs, Tier-1-Zulieferer und Systemintegratoren ist dabei vor allem der Zeitpunkt entscheidend. Ein Sicherheitszielkatalog entfaltet seinen Wert nicht, wenn er nach einer bereits entwickelten Architektur zusammengestellt wird. Er muss vor wesentlichen Architekturentscheidungen stehen. Denn aus den Sicherheitszielen werden technische Anforderungen an Hardware und Software abgeleitet: Welche Funktionen müssen redundant vorhanden sein? Welche Fehler müssen diagnostiziert werden? Welche Reaktionszeiten gelten? Wie muss sich das System nach einem Fehler verhalten?

Bei NX NextMotion stand der konsolidierte Sicherheitszielkatalog deshalb am Anfang der Plattformentwicklung. Entscheidungen zu Redundanz, Diagnose und Degradationsverhalten lassen sich damit auf definierte Sicherheitsziele zurückführen. Gerade für eine Drive-by-Wire-basierte Control Layer ist diese Rückverfolgbarkeit entscheidend: Sie verbindet die ursprüngliche Gefährdungsanalyse mit der technischen Umsetzung und schließlich mit dem Safety Case.

Was OEMs und Integratoren prüfen sollten

Ein ASIL- oder SIL-Claim allein sagt deshalb noch wenig darüber aus, ob ein System zur konkreten Anwendung passt. Entscheidend ist unter anderem, auf welchen Betriebssituationen und Annahmen die zugrunde liegende Gefährdungsanalyse basiert. Decken diese Szenarien den tatsächlichen Einsatz des Fahrzeugs ab? Welche Annahmen wurden zur Kontrollierbarkeit getroffen? Gelten diese auch noch, wenn kein Fahrer im Fahrzeug sitzt?

Ebenso relevant ist die Frage, ob die Sicherheitsziele ausschließlich für eine Fahrzeugdomäne formuliert wurden oder bereits weitere Einsatzfelder berücksichtigen. Für eine skalierbare Drive-by-Wire-Plattform wird Functional Safety damit nicht nur zur Frage des erreichten Sicherheitslevels. Entscheidend ist die Sicherheitsargumentation dahinter.

Fazit: Ein Zielkatalog statt fünf Parallelwelten

Unterschiedliche Fahrzeugdomänen sprechen unterschiedliche Sprachen der funktionalen Sicherheit. Für eine Drive-by-Wire-Plattform, die mehrere dieser Domänen adressiert, müssen daraus jedoch eindeutige technische Anforderungen entstehen. Safety-by-Wire® führt die relevanten Sicherheitsziele deshalb in einer gemeinsamen Sicherheitszielkatalog zusammen. Wo unterschiedliche Bewertungen aufeinandertreffen, setzt die strengste Anforderung den Maßstab.

Damit entsteht die Grundlage für eine multi-redundante, fail-operational Drive-by-Wire-Architektur, deren Sicherheitsanforderungen nicht erst für das nächste Fahrzeugprojekt definiert werden, sondern bereits in der Plattform verankert sind. Denn sichere Fahrzeugbewegung beginnt nicht beim Aktuator. Sie beginnt bei der Frage, welche Gefahr beherrscht werden muss – und welche Architektur dafür notwendig ist.

WE CONTROL WHAT MOVES

Damit wird Drive-by-Wire zur sicherheitskritischen Control Layer zwischen Fahrbefehl und Fahrzeugbewegung. Ob der Befehl von einem autonomen Fahrsystem, einem Teleoperator oder einem Fahrer kommt: Entscheidend ist nicht nur, dass er zuverlässig umgesetzt wird. Die Sicherheit der gesamten Wirkungskette muss systematisch nachweisbar sein. Genau hier setzt Functional Safety an.

Von „funktioniert“ zu „nachweisbar sicher“

Testkilometer und Erprobung sind unverzichtbar. Sie allein beantworten jedoch nicht die entscheidende Frage der funktionalen Sicherheit: Was passiert, wenn etwas ausfällt? Welche Fehler können auftreten? Welche Auswirkungen haben sie? Wie werden sie erkannt und wie stellt die Systemarchitektur sicher, dass die Fahrzeugbewegung trotzdem kontrollierbar bleibt?

Normen geben dafür den methodischen Rahmen vor – von der Gefährdungs- und Risikoanalyse über Sicherheitsziele und technische Anforderungen bis zu Verifikation und Validierung. Für Straßenfahrzeuge ist die ISO 26262 dabei der zentrale Referenzrahmen. Doch eine Drive-by-Wire-Plattform, die nicht nur im Pkw oder Nutzfahrzeug, sondern beispielsweise auch in Landmaschinen, Baumaschinen oder der Intralogistik eingesetzt wird, trifft auf mehrere Normenwelten.

Eine Mutternorm, viele Dialekte

Die IEC 61508 gilt als generische Basisnorm der funktionalen Sicherheit für elektrische, elektronische und programmierbare elektronische Systeme. Aus ihr sind domänenspezifische Normen hervorgegangen oder an sie angelehnt worden – jeweils zugeschnitten auf die Risikoprofile ihrer Anwendungswelt. Denn ein autonomes Shuttle im Stadtverkehr, ein Traktor auf dem Feld, ein Radlader auf der Baustelle und ein Stapler im Lager unterscheiden sich fundamental: bei Geschwindigkeit und Umgebung ebenso wie bei Exposition und der Möglichkeit eines Menschen, eine Fehlfunktion noch zu beherrschen.

Deshalb existieren unterschiedliche Risikometriken:

• ISO 26262 für Straßenfahrzeuge mit Automotive Safety Integrity Levels (ASIL A bis D)
• IEC 61508 als generische Basis mit Safety Integrity Levels (SIL 1 bis 4)
• ISO 25119 für Land- und Forstmaschinen mit Agricultural Performance Levels (AgPL)
• ISO 19014 für Erdbaumaschinen mit Machine Performance Levels (MPL)

• DIN EN 1175 / ISO 13849 für Flurförderzeuge und Maschinensteuerungen mit Performance Levels (PL)

Unterschiedliche Skalen und Einsatzbedingungen – aber im Kern dieselbe Aufgabe: gefährliche Ausfälle systematisch bewerten und beherrschen. Für NX NextMotion ist ISO 26262 die Leitnorm der Entwicklung. Für die primären Funktionen Lenken, Bremsen und Antrieb bildet ASIL D die höchste relevante Sicherheitsstufe. Gleichzeitig muss eine domänenübergreifende Plattform weitere Normenwelten bereits in ihrer Entwicklung berücksichtigen.

Functional Safety wird zur Architekturentscheidung

Genau hier liegt eine Herausforderung für OEMs, Tier-1-Zulieferer und Systemintegratoren: Funktionale Sicherheit lässt sich nicht am Ende einer Entwicklung „ergänzen“. Gefährdungsanalysen, Sicherheitsanforderungen, Architekturentscheidungen, Verifikation und Dokumentation entstehen entlang des Entwicklungsprozesses. Wird ein System zunächst ausschließlich für eine Domäne entwickelt und später auf eine weitere übertragen, können wesentliche Teile dieser Nachweise erneut erforderlich werden. Wer eine Drive-by-Wire-Plattform für mehrere Fahrzeugwelten entwickelt, muss die Normenstrategie deshalb frühzeitig in der Systemarchitektur verankern.

Safety-by-Wire®: eine gemeinsame Anforderungsbasis

Arnold NextG hat sich bei NX NextMotion deshalb gegen separate Safety-Konzepte für einzelne Märkte entschieden. Die Anforderungen der relevanten Normenwelten werden in einer gemeinsamen Anforderungsbasis konsolidiert. Unterschiedliche Risikometriken werden systematisch aufeinander abgebildet – im Zweifel setzt die strengste Anforderung den Maßstab. Diese Strategie bezeichnet Arnold NextG als Safety-by-Wire®.

Dabei geht es ausdrücklich nicht darum, unterschiedliche Normen gleichzusetzen. Ihre Anwendungsbereiche und Konformitätsanforderungen bleiben bestehen. Der Unterschied liegt im Entwicklungsansatz: Anforderungen verschiedener Fahrzeugdomänen werden bereits bei der Plattformentwicklung berücksichtigt, statt die Sicherheitsarchitektur für jede neue Anwendung nachträglich anzupassen.

Sicherheit endet nicht bei Functional Safety

Für autonome und teleoperierte Fahrzeuge reicht Functional Safety allein allerdings nicht aus. Ein vollständiger Safety Case muss weitere Ebenen berücksichtigen. ISO 21448 (SOTIF) betrachtet Gefährdungen, die ohne technischen Fehler entstehen können, beispielsweise durch funktionale Grenzen. ISO/SAE 21434 adressiert Cybersecurity. Hinzu kommen die Anforderungen der Homologation – beispielsweise UNECE-Regelungen für Lenkung, Bremse und EMV sowie der neue internationale ADS-Rahmen mit UN R185 und UN GTR No. 26. Für eine Drive-by-Wire-basierte Control Layer müssen Functional Safety, SOTIF, Cybersecurity und Homologation deshalb von Anfang an zusammengedacht werden.

Was bedeutet das für OEMs und Integratoren?

Eine zentrale Frage sollte bereits zu Projektbeginn geklärt sein: Welche Sicherheitsnachweise bringt eine Plattform mit – und welche müssen im konkreten Fahrzeugprojekt noch erbracht werden? Das betrifft nicht nur die jeweilige Normenwelt. Ebenso relevant ist, ob beispielsweise eine ASIL- oder SIL-Aussage lediglich für eine Komponente gilt oder für eine vollständige sicherheitsrelevante Funktion und wie die Schnittstellen zwischen Functional Safety, SOTIF und Cybersecurity definiert sind.

Bei NX NextMotion stand diese Betrachtung am Anfang der Plattformentwicklung. Die konsolidierte Anforderungsbasis schafft damit ein vorentwickeltes Fundament für unterschiedliche Anwendungen. Die Verantwortung des Fahrzeugherstellers für den Safety Case des Gesamtfahrzeugs bleibt davon unberührt.

Fazit: Sicherheit braucht eine Strategie

Normen sind keine Bürokratie. Sie sind die Sprache, in der Sicherheit nachweisbar wird – gegenüber Entwicklern, Auditoren, Zulassungsstellen, Betreibern und letztlich den Menschen, die autonomen und ferngesteuerten Systemen vertrauen. Wer eine Drive-by-Wire-basierte Control Layer für unterschiedliche Fahrzeugdomänen entwickelt, braucht deshalb nicht nur eine Norm, sondern eine Normenstrategie.

NX NextMotion verbindet diese Anforderungen in einer gemeinsamen, multi-redundanten, fail-operational Architektur. Das Ziel: Fahrzeugbewegung vollständig elektronisch steuerbar zu machen – und die Kontrolle auch dann zu erhalten, wenn im System etwas ausfällt.

WE CONTROL WHAT MOVES

Mit den neuen UN-Regelwerken R185 und GTR No. 26 entsteht ein internationaler Rahmen für Automated Driving Systems. Parallel arbeitet die UNECE-ADS-Arbeitsgruppe an Guidance and Interpretation Documents (GID), die die praktische Anwendung der Regelwerke unterstützen sollen. Unabhängig von der konkreten Ausgestaltung wird deutlich: Zukünftige Fahrzeugplattformen müssen so ausgelegt sein, dass automatisierte Fahrfunktionen sicher entwickelt, validiert und betrieben werden können.

Im ersten Teil dieser Reihe haben wir erläutert, warum zwischen Fahrentscheidung und Fahrzeugbewegung eine eigenständige sicherheitskritische Ebene entsteht – die Control Layer. Im zweiten Teil betrachten wir die technischen Anforderungen an diese Ebene und zeigen, weshalb Drive-by-Wire zum zentralen Enabler zukünftiger softwaredefinierter Fahrzeugarchitekturen wird.

Worauf es bei einer Control Layer technisch ankommt

• Deterministische Befehlsverarbeitung: Eine Control Layer muss Fahrbefehle jederzeit reproduzierbar verarbeiten. Prioritäten, Zeitverhalten und Grenzwerte dürfen nicht vom aktuellen Systemzustand oder der Ausführungsreihenfolge abhängen. Identische Eingangssituationen müssen zu identischen Fahrzeugreaktionen führen.
• Durchgängige Überwachung der Wirkungskette: Sicherheit endet nicht beim Fahrbefehl. Die gesamte Kette – von der Eingabe über Kommunikation und Aktuatorik bis zur tatsächlichen Fahrzeugbewegung – muss kontinuierlich überwacht und plausibilisiert werden.
• Redundanz und Fehlerbeherrschung: Kritische Funktionen benötigen unabhängige Signal-, Rechen- und Kommunikationspfade. Fehler müssen erkannt, lokalisiert und beherrscht werden, ohne die gesamte Steuerfunktion zu beeinträchtigen.
• Fail-operational statt Fail-silent: Eine Control Layer darf bei Fehlern nicht einfach abschalten. Entscheidend ist, dass die notwendige Kontrollfähigkeit erhalten bleibt, um ein definiertes Minimal-Risk-Verhalten oder einen sicheren Systemübergang auszuführen.
• Diagnose und Nachvollziehbarkeit: Sicherheitsrelevante Zustände, Fehler und Systemreaktionen müssen nachvollziehbar dokumentiert werden. Diese Daten bilden die Grundlage für Safety Case, Genehmigung, In-Service Monitoring und kontinuierliche Weiterentwicklung.
• Offene und definierte Schnittstellen: Eine Control Layer muss unterschiedliche Steuerquellen – etwa AD-Stack, Teleoperation oder Fahrerinteraktion – über klar definierte Schnittstellen integrieren können. Das erleichtert Wiederverwendung, Plattformintegration und Homologation.

Warum Drive-by-Wire zum zentralen Enabler wird

Klassische Fahrzeugarchitekturen wurden für eine Welt entwickelt, in der ein Mensch permanent Teil des Regelkreises war. Mechanische oder hydraulische Verbindungen konnten zugleich Bedienpfad und Rückfallebene sein. In fahrerlosen Anwendungen entfällt diese Annahme: Das Fahrzeug muss Lenkung, Bremsen und Antrieb elektronisch ansteuern, überwachen und bei Fehlern in einen kontrollierten Zustand überführen können.

Drive-by-Wire ersetzt oder ergänzt mechanische Bedienpfade durch elektronische Signal- und Steuerpfade. Sein strategischer Wert liegt jedoch nicht allein im Wegfall einer Lenksäule oder in neuen Packaging-Freiheiten. Entscheidend ist, dass Fahrzeugbewegung softwareseitig adressierbar, messbar und auf einer definierten Sicherheitsarchitektur beherrschbar wird.

Die Regulierung schreibt Drive-by-Wire nicht vor. In der praktischen Umsetzung macht sie aber Eigenschaften relevant, die ohne eine hochverfügbare elektronische Bewegungssteuerung nur schwer skalierbar erreichbar sind: kontrollierte Reaktion auf Fehler, eindeutige Systemzustände, nachvollziehbare Diagnostik, wiederholbare Validierung und die Integration unterschiedlicher Steuerquellen.

Safety-by-Wire® und NX NextMotion: der Ansatz von Arnold NextG

Arnold NextG versteht Safety-by-Wire® nicht als einzelne Funktion, sondern als durchgängiges Architekturprinzip. Hardware, Embedded Software, Kommunikation, Aktuatorik, Energieversorgung, Diagnose und Sicherheitsmechanismen werden als zusammenhängende Wirkungskette betrachtet.

NX NextMotion bildet innerhalb dieses Ansatzes die zentrale Control Layer. Die Plattform ist modular, fahrzeugunabhängig integrierbar und verfügt nach Unternehmensangaben über eine vierfach-redundante Hard- und Softwarearchitektur. Sie steuert Primärfunktionen wie Lenkung, Bremsen und Antrieb sowie ausgewählte sicherheitsrelevante Sekundärfunktionen und kann Fahrbefehle aus unterschiedlichen Quellen auf einer gemeinsamen Sicherheitsarchitektur verarbeiten.

• Multi-redundante Rechen-, Kommunikations- und Versorgungspfade zur Vermeidung kritischer Single Points of Failure.
• Kontinuierliches Monitoring und TÜV-geprüftes Error Management auf Hard- und Softwareebene.
• Funktionale Sicherheit nach ISO 26262 bis ASIL D sowie IEC 61508 SIL 3 gemäß ausgewiesener Entwicklungs- und Nachweislage.
• TÜV-Nachweise für Lenk- und Bremssysteme nach UN ECE R79 und R13 sowie ausgewiesene Straßenzulassung.
• Plattformunabhängige Integration vom Prototyp bis zur homologationsfähigen Fahrzeuglösung.

Damit positioniert sich Arnold NextG bewusst nicht als weiterer Anbieter des AD-Stacks. Die strategische Rolle liegt darunter: NX NextMotion soll sicherstellen, dass eine digitale Fahrentscheidung – unabhängig davon, ob sie von Autonomie, Teleoperation oder Mensch stammt – in eine definierte und kontrollierte Fahrzeugbewegung übersetzt wird.

„Wir entwickeln nicht den nächsten Fahralgorithmus. Wir entwickeln die sichere Ebene, auf der unterschiedliche Fahrentscheidungen überhaupt erst zuverlässig zu Bewegung werden. Genau darin liegt die strategische Bedeutung der Control Layer.“ Kevin Arnold, CEO der Arnold NextG GmbH

Was OEMs, ADS-Entwickler und Systempartner jetzt klären sollten

Der neue regulatorische Rahmen erhöht nicht nur den Dokumentationsaufwand. Er verändert Architekturentscheidungen und Verantwortungsgrenzen. Für Projekte mit hoch- oder vollautomatisierten Fahrfunktionen sollten deshalb frühzeitig fünf Fragen beantwortet werden:

• Wo endet die Verantwortung des AD-Stacks – und wo beginnt die Verantwortung für die tatsächliche Fahrzeugbewegung?
• Welche Fehler müssen durch die Control Layer unabhängig vom Fahralgorithmus erkannt und beherrscht werden?
• Wie werden Softwareupdates, neue Fahrfunktionen und Fahrzeugvarianten in einen bestehenden Safety Case integriert?
• Welche Daten und Diagnosen werden für Genehmigung, Ereignisanalyse und In-Service Monitoring benötigt?
• Welche Teile der Bewegungssteuerung sind projektspezifisch – und welche können als wiederverwendbare, vorentwickelte Systembasis genutzt werden?

Eine klar abgegrenzte Control Layer kann hier Komplexität reduzieren. Sie ersetzt nicht die Systemverantwortung des Fahrzeugherstellers. Sie schafft aber eine wiederverwendbare Sicherheits- und Integrationsbasis, auf der unterschiedliche AD-Stacks, Plattformen und Anwendungen aufsetzen können.

Regulatorik ist kein Schlusskapitel

Die neuen ADS-Regelwerke verschieben die Perspektive von der einmaligen Freigabe hin zu einem fortlaufenden Sicherheitsmodell. Safety Management, Softwareänderungen, Felddaten, Ereignisberichte und Systemgrenzen müssen über den Betrieb hinweg konsistent bleiben. Für Unternehmen bedeutet das: Regulatorik darf nicht am Ende eines Entwicklungsprojekts „angefügt“ werden. Sie muss Teil von Architektur, Entwicklungsprozess, Lieferkette und Betriebsmodell sein.

Für Arnold NextG bestätigt diese Entwicklung die eigene Architekturstrategie: Entscheidend ist nicht allein, ob ein System die richtige Fahrentscheidung trifft, sondern ob diese jederzeit kontrolliert, nachvollziehbar und fehlertolerant umgesetzt werden kann.Fazit: Autonomie beginnt mit kontrollierbarer Bewegung

UN R185 und UN GTR 26 schaffen einen wichtigen internationalen Referenzrahmen. Sie definieren keine bestimmte technische Lösung und sie erklären Drive-by-Wire nicht zur Pflicht. Sie machen jedoch unmissverständlich deutlich, dass Sicherheit über die gesamte Wirkungskette eines Automated Driving Systems nachgewiesen werden muss.

Damit rückt die Ebene zwischen Algorithmus und Aktuatorik in den Mittelpunkt. Die Control Layer wird zur strategischen Infrastruktur des softwaredefinierten Fahrzeugs: Sie verbindet unterschiedliche Steuerquellen, beherrscht Fehler, schafft Evidenz und übersetzt digitale Entscheidungen in reale Bewegung. Autonome Mobilität beginnt nicht mit der Entscheidung eines Algorithmus. Sie beginnt mit der Fähigkeit, jede Bewegung kontrolliert auszuführen.

WE CONTROL WHAT MOVES.

Quellen und regulatorischer Hinweis

Diese Einordnung berücksichtigt den Stand der veröffentlichten Ergebnisse der 21. ADS-Sitzung der UNECE vom 14.–17. Juli 2026. Sie stellt eine fachliche und strategische Einordnung von Arnold NextG dar und ersetzt keine Rechts- oder Homologationsberatung.

• UNECE: Mitteilung zu den neuen globalen ADS-Regelwerken
• UNECE ADS IWG: 21. Sitzung, Brüssel, 14.–17. Juli 2026
• Arnold NextG: NX NextMotion
• Arnold NextG: Sicherheitskonzept
• Arnold NextG: Zertifikate
• Arnold NextG: Unternehmen und Mission

Entscheidend ist die Kombination zweier Instrumente. UN R185 ist dem 1958er-Übereinkommen zugeordnet und bildet einen Rahmen für die Typgenehmigung durch Vertragsparteien, die die Regelung anwenden. UN GTR 26 gehört zum 1998er-Übereinkommen und schafft eine global harmonisierte technische Grundlage, die in nationale oder regionale Regelsetzung überführt werden muss. Es entsteht deshalb nicht automatisch ein weltweit identisches Zulassungsrecht. Es entsteht aber ein gemeinsamer technischer Maßstab – und damit eine deutlich belastbarere Basis für Entwicklung, Sicherheitsargumentation und internationale Skalierung.

Die 21. Sitzung der UNECE-Arbeitsgruppe für Automated Driving Systems (ADS) setzte die Arbeiten an den Guidance and Interpretation Documents (GID) zu UN R185 und UN GTR No. 26 fort. Damit wird deutlich, dass die Umsetzung der neuen ADS-Regelwerke durch ergänzende Leitlinien und Auslegungshilfen begleitet wird. Die Sitzung unterstreicht, dass Regulierung kein statischer Endpunkt ist, sondern ein fortlaufender Prozess aus Anforderungen, Auslegung, Nachweis und Betrieb.

Was sich mit den neuen ADS-Regelwerken verändert

Bisher wurde die Sicherheit automatisierter Fahrfunktionen häufig über einzelne Funktionen, definierte Szenarien oder begrenzte Anwendungsfälle betrachtet. Der neue Rahmen verschiebt die Perspektive: Nicht ein einzelner bestandener Test entscheidet, sondern die Gesamtheit der Evidenz, mit der ein Hersteller die Sicherheit seines ADS argumentiert und über den Lebenszyklus aufrechterhält.

• Safety Management: Verantwortlichkeiten, Prozesse und Kontrollen müssen von Entwicklung und Lieferkette bis in den Betrieb nachvollziehbar sein.
• Safety Case: Sicherheitsbehauptungen benötigen eine strukturierte Argumentation und belastbare Evidenz statt isolierter Prüfergebnisse.
• Mehrschichtige Validierung: Audit, Analyse, Simulation, Teststrecke und Realbetrieb ergänzen sich zu einem Gesamtbild.
• Operational Design Domain: Das System muss seine vorgesehenen Einsatzbedingungen und Grenzen eindeutig beherrschen.
• In-Service Monitoring and Reporting: Sicherheit endet nicht mit dem Produktionsstart; Felddaten, Ereignisse und Änderungen werden Teil der laufenden Bewertung.
• Nachvollziehbare Systemreaktionen: Kritische Zustände, Degradation, Minimal-Risk-Verhalten und relevante Ereignisse müssen technisch beherrscht und dokumentierbar sein.
• Datenaufzeichnung DSSAD bleibt als Bestandteil der Regelwerke relevant.

Autonomie braucht mehr als Wahrnehmung und künstliche Intelligenz

Die öffentliche Diskussion über autonomes Fahren beginnt meist bei Kameras, Radar, LiDAR und künstlicher Intelligenz. Diese Systeme erfassen die Umgebung, bilden ein Weltmodell und planen eine Trajektorie. Das ist unverzichtbar – aber noch keine Fahrzeugbewegung.

Zwischen dem digitalen Fahrentscheid und der physischen Reaktion des Fahrzeugs liegt eine sicherheitskritische Kette: Ein Befehl muss plausibilisiert, priorisiert, zeitlich korrekt verarbeitet, an die passenden Aktuatoren übertragen, kontinuierlich überwacht und bei Abweichungen kontrolliert behandelt werden. Wird ein Sensor inkonsistent, fällt ein Kommunikationspfad aus oder verliert ein Aktuator Leistung, darf das System nicht lediglich einen Fehler melden. Es muss innerhalb des Sicherheitskonzepts handlungsfähig und kontrollierbar bleiben.

Genau an dieser Stelle wird aus Software eine reale Lenkbewegung, eine Bremsverzögerung oder ein Antriebsmoment. Hier trifft digitale Intelligenz auf Physik – und hier entscheidet sich, ob die gesamte Sicherheitsargumentation trägt.

Die Control Layer: eine klare Verantwortung zwischen Entscheidung und Bewegung

Die neuen UN-Regelwerke verwenden nicht den Begriff „Control Layer“. Arnold NextG nutzt ihn als architektonische Bezeichnung für die Ebene zwischen Fahrentscheid und Aktuatorik. Diese Abgrenzung ist strategisch wichtig, weil sie eine häufig diffuse Verantwortung sichtbar macht: Wer stellt sicher, dass ein Fahrbefehl unabhängig von seiner Quelle korrekt, priorisiert, überwacht und fehlertolerant umgesetzt wird?

Eine belastbare Control Layer schafft dafür eine definierte Systemgrenze. Sie übernimmt nicht die Wahrnehmung der Umgebung und ersetzt nicht den AD-Stack. Sie sorgt dafür, dass aus dessen Sollwerten eine kontrollierte Fahrzeugreaktion wird. Gleichzeitig kann sie weitere Steuerquellen – etwa Teleoperation oder Fahrerinteraktion – auf derselben Sicherheitsarchitektur zusammenführen.

Fazit

Die neuen ADS-Regelwerke schreiben keine konkrete Systemarchitektur vor. Sie machen jedoch deutlich, dass Sicherheit künftig über die gesamte Wirkungskette eines Automated Driving Systems nachgewiesen werden muss. Damit rückt die Ebene zwischen Fahrentscheidung und Fahrzeugbewegung stärker in den Fokus.

Arnold NextG bezeichnet diese Ebene als Control Layer. Sie verbindet digitale Fahrentscheidungen mit ihrer sicheren und kontrollierten Umsetzung im Fahrzeug und schafft damit eine klar definierte Verantwortung zwischen AD-Stack und Aktuatorik.

We Control what moves!

Im zweiten Teil dieser Reihe betrachten wir die technischen Anforderungen an eine Control Layer und zeigen, warum Drive-by-Wire zur zentralen Enabling-Technologie zukünftiger Fahrzeugarchitekturen wird.

Quellen und regulatorischer Hinweis

Diese Einordnung berücksichtigt den Stand der veröffentlichten Ergebnisse der 21. ADS-Sitzung der UNECE vom 14.–17. Juli 2026. Sie stellt eine fachliche und strategische Einordnung von Arnold NextG dar und ersetzt keine Rechts- oder Homologationsberatung.

• UNECE: Mitteilung zu den neuen globalen ADS-Regelwerken
• UNECE ADS IWG: 21. Sitzung, Brüssel, 14.–17. Juli 2026
• Arnold NextG: NX NextMotion
• Arnold NextG: Sicherheitskonzept
• Arnold NextG: Zertifikate
• Arnold NextG: Unternehmen und Mission

Weitere Informationen unter www.arnoldnextg.de/blog

• Die neuen ADS-Regelwerke sind technologie-neutral, betrachten Sicherheit jedoch über Entwicklung, Genehmigung und Betrieb hinweg.
• Damit wird die sichere Umsetzung digitaler Fahrentscheidungen zu einem eigenständigen Architektur- und Nachweisthema.
• Arnold NextG beschreibt Safety-by-Wire® und NX NextMotion als plattformunabhängige Control Layer zwischen ADS, Teleoperation, Fahrerinteraktion und Fahrzeugbewegung

Mit der Verabschiedung der UN-Regelung Nr. 185 und der UN Global Technical Regulation Nr. 26 für Automated Driving Systems (ADS) hat das Weltforum für die Harmonisierung von Fahrzeugvorschriften der UNECE (WP.29) im Juni 2026 den internationalen Referenzrahmen für automatisiertes Fahren erweitert und erstmals harmonisierte Anforderungen für vollautomatisierte Fahrfunktionen geschaffen. Er umfasst auch Anwendungen, in denen ein Fahrzeug innerhalb seiner Operational Design Domain ohne fortlaufende Fahraufgabe durch einen Menschen betrieben wird.

Von der Fahrentscheidung zur kontrollierten Fahrzeugbewegung: Die Control Layer verbindet automatisierte Fahrentscheidungen mit der sicheren Ausführung von Lenk-, Brems- und Antriebsbefehlen. Sie bildet damit eine zentrale Systemebene zukünftiger softwaredefinierter Fahrzeugarchitekturen. Grafik: ArnoldNextG

Die beiden Instrumente ergänzen sich: Die UN-Regelung bildet einen Genehmigungsrahmen unter dem 1958er-Übereinkommen; die UN GTR schafft eine global harmonisierte technische Grundlage unter dem 1998er-Übereinkommen, die von den jeweiligen Vertragsparteien in ihre nationalen oder regionalen Systeme überführt wird. Damit entsteht kein weltweit identisches Zulassungsrecht, aber ein deutlich gemeinsamerer technischer Maßstab für Sicherheit, Validierung und Nachweisführung.

„Autonomie ist nicht dann belastbar, wenn ein Algorithmus eine richtige Entscheidung trifft. Sie ist dann belastbar, wenn das Fahrzeug diese Entscheidung auch unter relevanten Fehlerbedingungen kontrolliert ausführt“, sagt Kevin Arnold, CEO der Arnold NextG GmbH.  Die neuen ADS-Regelwerke schreiben keine bestimmte Architektur vor. Sie machen aber deutlich, dass Sicherheit über die gesamte Wirkungskette und den gesamten Lebenszyklus nachgewiesen werden muss. Genau dort setzt unsere Safety-by-Wire®-Technologie an.“

Die neuen ADS-Regelwerke machen deutlich: Die Leistungsfähigkeit eines automatisierten Fahrsystems allein genügt nicht. Erst die sichere elektronische Steuerung von Lenkung, Bremse und Antrieb schafft die Voraussetzung dafür, dass autonome Fahrentscheidungen zuverlässig in Fahrzeugbewegungen umgesetzt werden können. Drive-by-Wire wird damit zu einer zentralen technologischen Grundlage vollautomatisierter Fahrzeuge.

Die Sicherheitskette endet nicht am AD-Stack

In der öffentlichen Diskussion wird autonomes Fahren häufig über Sensorik, künstliche Intelligenz und die Leistungsfähigkeit des AD-Stacks beschrieben. Für die reale Fahrzeugbewegung ist jedoch eine weitere Ebene entscheidend: Digitale Fahrentscheidungen müssen in Lenk-, Brems- und Antriebsbefehle übersetzt, plausibilisiert, priorisiert, überwacht und im Fehlerfall kontrolliert degradiert werden.

Arnold NextG beschreibt diese sicherheitskritische Ebene als Control Layer. Der Begriff ist keine regulatorische Vorgabe, sondern eine architektonische Einordnung: Die Control Layer verbindet die Entscheidungslogik mit der Aktuatorik und schafft eine definierte, nachweisbare Schnittstelle zwischen Software und Physik. Sie muss unabhängig davon funktionieren, ob ein Fahrbefehl aus einem ADS, einer Teleoperationsleitstelle oder einer Fahrerinteraktion stammt.

Safety-by-Wire als Control Layer

Mit NX NextMotion entwickelt Arnold NextG eine modulare, fahrzeugplattformunabhängige und multi-redundante Steuerungsplattform für Drive-by-Wire. Die vierfach-redundante Hard- und Softwarearchitektur ist darauf ausgelegt, Primärfunktionen wie Lenkung, Bremsen und Antrieb sowie ausgewählte sicherheitsrelevante Sekundärfunktionen auf einer gemeinsamen Systembasis zu steuern und den Betrieb bei definierten Einzelfehlern aufrechtzuerhalten.

Das Sicherheitskonzept ist nach Angaben des Unternehmens und der ausgewiesenen TÜV-Nachweise auf funktionale Sicherheit nach ISO 26262 bis ASIL D sowie IEC 61508 SIL 3 ausgerichtet. Arnold NextG dokumentiert zudem TÜV-Nachweise für Lenk- und Bremssysteme nach UN ECE R79 und R13 sowie eine Straßenzulassung für NX NextMotion. Damit steht eine belastbare Basis für Entwicklung, Integration und Homologation von autonomen, teleoperierten und softwaredefinierten Fahrzeugprojekten zur Verfügung.

Der Mehrwert der Plattform liegt dabei nicht allein in einzelnen By-Wire-Funktionen. Entscheidend ist die gemeinsame Sicherheitsarchitektur: Sie entkoppelt die Quelle des Fahrbefehls von seiner sicheren Ausführung, reduziert Schnittstellenrisiken und erleichtert die Wiederverwendung über Fahrzeugvarianten und Anwendungen hinweg.

Regulatorik wird Teil des Betriebsmodells

Mit der 21. Sitzung der UNECE-Arbeitsgruppe für Automated Driving Systems (ADS) wurden die Arbeiten an den Guidance and Interpretation Documents (GID) zu UN R185 und UN GTR No. 26 fortgesetzt. Die Sitzung verdeutlicht, dass die neuen ADS-Regelwerke durch technische Leitlinien und Auslegungshilfen begleitet werden und ihre praktische Anwendung schrittweise weiterentwickelt wird. Aus Sicht von Arnold NextG unterstreicht diese Entwicklung, dass Anforderungen an die sichere Umsetzung, Überwachung und Nachweisführung automatisierter Fahrfunktionen künftig über den gesamten Fahrzeuglebenszyklus hinweg betrachtet werden müssen.

Für Arnold NextG bestätigt diese Entwicklung den eigenen Architekturansatz: Regulatorik ist kein Schlusskapitel, das nach der technischen Entwicklung ergänzt wird. Anforderungen an Nachweisführung, Diagnostik, Daten, Softwareänderungen und Betriebsüberwachung müssen von Beginn an Bestandteil von Systemarchitektur und Produktlebenszyklus sein.

Unter dem Format „Regulatory Insights by Arnold NextG“ wird das Unternehmen die weitere Ausgestaltung der ADS-Regelwerke fachlich begleiten und deren Auswirkungen auf Control Layer, Drive-by-Wire, funktionale Sicherheit und Homologation einordnen.

Fachliche Quellen und Transparenzhinweis

Die regulatorischen Aussagen basieren auf den veröffentlichten Ergebnissen der 21. Sitzung der UNECE-Arbeitsgruppe für Automated Driving Systems (ADS) sowie den verabschiedeten Regelwerken UN R185 und UN GTR No. 26. Die Einordnung der „Control Layer“ und die daraus abgeleiteten Architekturfolgen sind die fachliche Position von Arnold NextG. Die Presseinformation ersetzt keine rechtliche oder homologationsbezogene Beratung.

• UNECE: Mitteilung zu den neuen globalen ADS-Regelwerken
• UNECE ADS IWG: Sitzung, Brüssel, 14.–17. Juli 2026
• Arnold NextG: NX NextMotion und Sicherheitskonzept
• Arnold NextG: Zertifikate und Nachweise

Über Arnold NextG:

Arnold NextG entwickelt Safety-by-Wire®-Technologie für autonome, teleoperierte und softwaredefinierte Fahrzeuge. Herzstück ist NX NextMotion, ein mehrfach redundantes, fail-operational Zentralsteuergerät für die sichere elektronische Steuerung von Lenkung, Bremse, Antrieb und sicherheitsrelevanten Sekundärfunktionen. Die fahrzeugplattformunabhängige Systemarchitektur bildet die Control Layer moderner Fahrzeugarchitekturen und schafft die Grundlage für autonome Fahrzeugkonzepte sowie Anwendungen in den Bereichen Remote Operation, Teleoperation und Platooning. Mit der erfolgten Straßenzulassung von NX NextMotion steht eine Systembasis für den Einsatz im öffentlichen Straßenverkehr zur Verfügung, die Entwicklung und Homologation zukünftiger Drive-by-Wire-Fahrzeugprojekte unterstützt. Als unabhängiger Vorausentwickler, Inkubator und Systemlieferant begleitet Arnold NextG seine Kunden von der Konzeptphase bis zur Homologation. www.arnoldnextg.de

Genehmigungsfähigkeit entsteht in der Systementwicklung

Genau darin liegt ein strategischer Denkfehler. Zu oft wird Regulierung in Innovationsprojekten erst am Ende mitgedacht: Zunächst entstehen Fahrzeug, Software und Funktionen, anschließend werden Genehmigungen, Zuständigkeiten und Sicherheitsnachweise betrachtet. Für den öffentlichen Nahverkehr (ÖPNV) greift dieses Vorgehen jedoch zu kurz. Hier entscheidet Regulierung nicht erst über die Zulassung eines Fahrzeugs, sondern prägt bereits die Ausgestaltung von Betriebsbereichen, Verantwortlichkeiten, technischer Aufsicht, Sicherheitskonzepten und Betreiberrollen.

Deutschland verfügt mit § 1d des Straßenverkehrsgesetzes sowie der Verordnung über die Genehmigung und den Betrieb von Kraftfahrzeugen mit autonomer Fahrfunktion (AFGBV) bereits über einen konkreten Rechtsrahmen für autonome Fahrzeuge in festgelegten Betriebsbereichen. Damit ist autonome Mobilität längst keine rein zukünftige Vision mehr, sondern ein regulierter Anwendungsfall mit klar definierten Anforderungen an Technik, Betrieb und Verantwortung.

Damit verändert sich die Perspektive auf autonome Mobilität grundlegend. Regulierung entscheidet nicht nur darüber, ob ein Fahrzeug eingesetzt werden darf. Sie beeinflusst bereits die Entwicklung der Fahrzeugarchitektur, des Betriebsmodells und der Sicherheitsorganisation – und damit die Voraussetzungen für einen späteren Regelbetrieb.

Genehmigungsfähigkeit entsteht in der Systemarchitektur

Diese Sichtweise wird auch im Handbuch Autonomes Fahren im öffentlichen Verkehr deutlich. Dort werden autonome Mobilitätsangebote ausdrücklich als Systemaufgabe beschrieben, bei der technische, rechtliche, organisatorische und betriebliche Fragestellungen gemeinsam betrachtet werden müssen. Gerade für Entwickler und Systemarchitekten ist das eine entscheidende Erkenntnis. Genehmigungsfähigkeit beginnt bereits bei der Definition der Fahrzeugarchitektur, der Sicherheitslogik und der späteren Betriebsorganisation.

Im ÖPNV reicht es deshalb nicht aus, ein Fahrzeug autonom fahren zu lassen. Betreiber benötigen Lösungen, die sich beaufsichtigen, warten, absichern und organisatorisch in bestehende Verkehrsstrukturen integrieren lassen. Technische Aufsicht, Leitstellen, Betreiberverantwortung und Sicherheitsnachweise werden damit zu Bestandteilen der Systementwicklung – nicht erst des späteren Betriebs.

Damit verschiebt sich der Fokus vom einzelnen Fahrzeug auf das Gesamtsystem. Die eigentliche Herausforderung besteht darin, Technik und Betriebsmodell so aufeinander abzustimmen, dass regulatorische Anforderungen von Beginn an mitgedacht werden.

Standardisierung schafft regulatorische Anschlussfähigkeit

Mit zunehmender Skalierung gewinnt ein weiterer Aspekt an Bedeutung: Standardisierung. Offene Schnittstellen, interoperable Fahrzeugplattformen und klar definierte Verantwortlichkeiten vereinfachen nicht nur die technische Integration. Sie erleichtern ebenso Genehmigungsprozesse, Betreiberwechsel und die Übertragbarkeit autonomer Mobilitätsangebote auf weitere Regionen oder Anwendungsfälle.

Wer heute autonome Systeme entwickelt, entscheidet damit auch über deren spätere regulatorische Anschlussfähigkeit. Proprietäre Insellösungen erschweren die Skalierung. Standardisierte Architekturen schaffen dagegen die Voraussetzungen für wiederholbare Genehmigungsprozesse und wirtschaftlich tragfähige Betriebsmodelle.

Auch international zeigt sich diese Entwicklung. Frankreich beschreibt den Aufbau automatisierter Mobilität ausdrücklich als Zusammenspiel nationaler Regulierung und europäischer Typgenehmigung. Daraus wird deutlich, dass langfristige Skalierung nicht allein eine technische Aufgabe ist, sondern ebenso von harmonisierten regulatorischen Rahmenbedingungen abhängt.

Regulierung braucht kontrollierbare Fahrzeugbewegung

Genau hier schließt sich der Kreis zur technischen Umsetzung. Regulatorische Anforderungen richten sich nicht an einzelne Komponenten, sondern an das Verhalten des Gesamtsystems. Sie verlangen nachvollziehbare Verantwortlichkeiten, sichere Betriebsprozesse und eine Fahrzeugkontrolle, die auch unter realen Einsatzbedingungen reproduzierbar und beherrschbar bleibt.

Genau hier setzt Arnold NextG mit seinem Entwicklungsansatz an. Drive-by-Wire wird nicht als einzelne Fahrzeugfunktion verstanden, sondern als Control Layer zukünftiger Mobilitätssysteme. Mit NX NextMotion entwickelt das Unternehmen eine fail-operational ausgelegte Plattform, die Lenkung, Bremse, Antrieb und weitere Fahrzeugfunktionen vollständig elektronisch steuert und damit die Grundlage für kontrollierbare, sichere und regulatorisch belastbare Betriebsmodelle schafft. Je früher regulatorische Anforderungen in die Systemarchitektur integriert werden, desto einfacher lassen sich autonome Fahrzeuge später in den Regelbetrieb überführen. Technologie, Verantwortung und Regulierung wachsen so zu einem Gesamtsystem zusammen.

Fazit

Nach Maßstab, Region, Regelbetrieb, Systemarchitektur, Barrierefreiheit, Systemverantwortung, Vertrauen, Fahrermangel und der Zukunft des öffentlichen Nahverkehrs schließt sich mit der Regulierung der Kreis dieser Blogserie.

Alle Themen führen letztlich zu derselben Erkenntnis: Autonome Mobilität entsteht nicht allein durch intelligente Fahrzeuge. Sie entsteht dort, wo Technologie, Betrieb, Verantwortung und Regulierung von Beginn an gemeinsam entwickelt werden. Regulierung ist deshalb keine Bremse der Innovation. Sie bildet den Rahmen, in dem Innovation dauerhaft betrieben, skaliert und gesellschaftlich verankert werden kann. Erst wenn technische Lösungen regulatorisch anschlussfähig sind, wird aus einem Pilotprojekt ein belastbares öffentliches Mobilitätssystem.

Autonome Mobilität braucht mehr als leistungsfähige Fahrzeuge. Sie braucht Systeme, deren Bewegung jederzeit sicher, nachvollziehbar und kontrollierbar bleibt. Genau diese kontrollierbare Fahrzeugbewegung bildet die Grundlage für Vertrauen, Verantwortung, Regelbetrieb und regulatorische Anschlussfähigkeit.

We control what moves!

weitere Informationen finden Sie unter www.arnoldnextg.de/blog

Die Bundesregierung beschreibt autonomes Fahren ausdrücklich als Chance, den öffentlichen Verkehr zu ergänzen und insbesondere in ländlichen sowie zentrumsfernen Regionen neue Mobilitätsangebote zu schaffen. Die Zukunft des ÖPNV liegt deshalb nicht nur in größeren Netzen, sondern in intelligenteren Verknüpfungen. Autonome Angebote werden dann relevant, wenn sie bestehende Systeme nicht ersetzen, sondern sinnvoll ergänzen: als Zubringer zum Bahnhof, als On-Demand-Angebot zwischen Ortsteilen und als Lückenschluss dort, wo Linienverkehr allein nicht verfügbar, nicht präzise genug oder nicht wirtschaftlich genug ist.

Integration statt Ersatz

Der zukünftige ÖPNV wird deshalb nicht ausschließlich über größere Netze oder höhere Taktfrequenzen definiert. Entscheidend ist vielmehr die intelligente Verknüpfung unterschiedlicher Mobilitätsangebote. Autonome Shuttles können Bahnhöfe anbinden, Wohngebiete erschließen oder On-Demand-Verkehre übernehmen, ohne bestehende Linienverkehre zu ersetzen. Ihr Mehrwert entsteht dort, wo sie Versorgungslücken schließen und bestehende Angebote sinnvoll ergänzen. Dadurch entwickelt sich der öffentliche Verkehr von einem überwiegend linienorientierten System zu einem stärker bedarfsorientierten Mobilitätsnetz.

Auch das Handbuch Autonomes Fahren im öffentlichen Verkehr verfolgt genau diesen Ansatz. Autonome Fahrzeuge werden dort als Bestandteil integrierter Angebotskonzepte beschrieben, die Nachfrageprofile, Bedienformen und bestehende Verkehrsstrukturen miteinander verbinden.

Neue Betriebsmodelle stellen neue technische Anforderungen

Mit dieser Entwicklung verändern sich auch die Anforderungen an Fahrzeug- und Systemarchitekturen.

Flexible Mobilitätsangebote entstehen nicht allein durch autonome Fahrfunktionen. Sie setzen voraus, dass Fahrzeuge dauerhaft verfügbar bleiben, Übergänge zwischen verschiedenen Verkehrsträgern zuverlässig funktionieren und sich gesamte Fahrzeugflotten sicher koordinieren lassen. Je stärker unterschiedliche Mobilitätsangebote miteinander vernetzt werden, desto wichtiger werden reproduzierbare Fahrzeugbewegung, hohe Systemverfügbarkeit sowie die sichere Integration in Leitstellen, Flottenmanagement und digitale Verkehrsplattformen. Damit verschiebt sich der Fokus von der einzelnen autonomen Fahrt auf das Gesamtsystem. Entscheidend ist nicht nur, dass ein Fahrzeug autonom fahren kann, sondern dass es sich dauerhaft stabil in bestehende Betriebsprozesse integrieren lässt und dabei jederzeit kontrollierbar bleibt.

Internationale Entwicklungen zeigen den Wandel

International wird diese Entwicklung bereits konkret umgesetzt. Das Verkehrsministerium Singapurs beschreibt autonome Shuttle-Verkehre ausdrücklich als Ergänzung des bestehenden öffentlichen Verkehrs. Geplant sind feste Shuttle-Verbindungen innerhalb von Stadtquartieren, die Wohngebiete direkt mit Bahnhöfen, Märkten oder medizinischen Einrichtungen verbinden: "We will start by deploying autonomous shuttles to operate scheduled, fixed-route services within our towns." "These shuttle services can directly connect residents to key transport nodes and amenities such as the market and polyclinic." Autonome Mobilität wird damit nicht als isoliertes Technologieprojekt verstanden, sondern als integrierter Bestandteil zukünftiger Nahverkehrsstrukturen.

Auch Bitkom weist darauf hin, dass autonome Mobilität ihre Wirkung erst in größeren Bediengebieten und mit skalierbaren Flottenkonzepten entfalten kann. Der Übergang vom Demonstrator zum Regelbetrieb erfordert deshalb nicht nur leistungsfähige Fahrzeuge, sondern belastbare Betriebsarchitekturen.

Fahrzeugkontrolle wird zur Grundlage integrierter Mobilität

Genau hier setzt Arnold NextG an. Mit NX NextMotion entwickelt das Unternehmen eine fail-operational Drive-by-Wire-Plattform, die Fahrzeugkontrolle als eigenständige Systemebene versteht. Damit schafft NX NextMotion die technische Voraussetzung, autonome Fahrzeuge zuverlässig in integrierte Mobilitätsangebote einzubinden. Sie ermöglicht die sichere elektronische Steuerung von Lenkung, Bremse und Antrieb und schafft damit die technische Grundlage für autonome Fahrzeuge, Teleoperation und softwaredefinierte Fahrzeugarchitekturen. Gerade in integrierten Mobilitätssystemen entscheidet kontrollierbare Fahrzeugbewegung darüber, ob autonome Shuttles zuverlässig in bestehende Verkehrsnetze eingebunden werden können. Erst wenn Fahrzeuge jederzeit sicher steuerbar und dauerhaft verfügbar bleiben, lassen sich flexible Betriebsmodelle skalieren und langfristig wirtschaftlich betreiben.

Fazit

Der Nahverkehr der Zukunft wird nicht überall größer – aber intelligenter. Autonome Mobilität entfaltet ihren größten Nutzen dort, wo sie bestehende Verkehrsangebote ergänzt, Versorgungslücken schließt und Mobilität flexibler organisiert. Damit diese neuen Betriebsmodelle im Alltag funktionieren, braucht es jedoch mehr als autonome Fahrfunktionen. Entscheidend sind Systemarchitekturen, die Fahrzeuge sicher, reproduzierbar und dauerhaft kontrollierbar in bestehende Mobilitätsnetze integrieren. Erst dann wird aus autonomer Fahrzeugtechnik ein belastbarer Bestandteil zukünftiger Mobilitätssysteme.

We Control What Moves

weiterführende Infiormationen unter www.arnoldnextg.de/blog

Fahrermangel verändert die Betriebsarchitektur des ÖPNV

Die Diskussion über autonome Mobilität wird häufig entlang technologischer Fragestellungen geführt: Sensorik, KI, Automatisierungsgrade oder Zulassungsverfahren stehen im Mittelpunkt. Für den zukünftigen öffentlichen Verkehr dürfte jedoch ein anderer Faktor mindestens ebenso entscheidend werden: der zunehmende Mangel an qualifiziertem Fahrpersonal.

Was lange als operatives Personalproblem einzelner Verkehrsunternehmen galt, entwickelt sich zunehmend zu einer strukturellen Herausforderung für den gesamten Mobilitätssektor. Ausfallende Schichten, reduzierte Fahrpläne oder nicht realisierbare Angebotsausweitungen sind vielerorts bereits Realität. Damit rückt eine grundsätzliche Frage in den Mittelpunkt: Wie lässt sich öffentliche Mobilität langfristig stabil betreiben, wenn die personellen Ressourcen nicht im gleichen Maße wachsen wie der Mobilitätsbedarf? Damit verschiebt sich auch die eigentliche Herausforderung. Nicht die maximale Automatisierung einzelner Fahrzeuge entscheidet über die Zukunft autonomer Mobilität, sondern die Fähigkeit, knappe personelle Ressourcen durch neue Betriebsarchitekturen wirksam zu ergänzen. Autonome Mobilität wird damit zu einer Frage der Skalierbarkeit von Betrieb, Verantwortung und Kontrolle.

Die Bundesregierung beschreibt den Mangel an Berufskraftfahrerinnen und Berufskraftfahrern ausdrücklich als eine der zentralen Herausforderungen für die zukünftige Mobilität in Deutschland. Gleichzeitig wird autonomes Fahren als Baustein gesehen, um neue Mobilitätsangebote zu schaffen und bestehende Versorgungslücken zu schließen.

Autonome Mobilität braucht neue Betriebsmodelle

Damit verändert sich auch die strategische Rolle autonomer Mobilität. Sie ist nicht primär eine Technologie zur Automatisierung einzelner Fahrzeuge, sondern ein Instrument zur Weiterentwicklung des gesamten Betriebsmodells. Gerade im öffentlichen Verkehr müssen mehrere Ziele gleichzeitig erreicht werden: Linienangebote sollen stabil bleiben, Bedienzeiten erweitert, neue Verbindungen geschaffen und gleichzeitig Wirtschaftlichkeit sowie Verfügbarkeit verbessert werden. Unter den Bedingungen eines zunehmenden Fachkräftemangels lassen sich diese Anforderungen mit klassischen Betriebsmodellen vielerorts nur noch eingeschränkt erfüllen.

Das Handbuch Autonomes Fahren im öffentlichen Verkehr behandelt Personal- und Finanzierungsfragen deshalb ausdrücklich als eigenständigen Bestandteil der späteren Betriebsplanung. Personalverfügbarkeit wird damit nicht als Randbedingung verstanden, sondern als integraler Bestandteil der Systemauslegung.

Entlastung entsteht durch Systemintegration

Autonome Mobilität sollte deshalb nicht ausschließlich unter Effizienzgesichtspunkten betrachtet werden. Ihr eigentlicher Mehrwert entsteht dort, wo sie hilft, Mobilitätsangebote trotz begrenzter personeller Ressourcen dauerhaft aufrechtzuerhalten. Entscheidend ist dabei nicht die Substitution einzelner Fahrerarbeitsplätze. Entscheidend ist die Fähigkeit, Mobilität trotz begrenzter personeller Ressourcen dauerhaft verfügbar zu halten.

Autonome Fahrzeuge ersetzen dabei nicht einfach Fahrerinnen und Fahrer. Vielmehr entstehen neue Betriebsarchitekturen, in denen Leitstellen, technische Aufsicht, Teleoperation, Flottenmanagement und Servicepersonal gemeinsam ein integriertes Mobilitätssystem bilden. Die Rolle des Menschen verändert sich – sie verschwindet nicht. Damit verschiebt sich auch die technische Perspektive. Entscheidend ist nicht allein, ob ein Fahrzeug autonom fahren kann. Entscheidend ist, ob sich autonome Fahrzeuge sicher, reproduzierbar und wirtschaftlich in bestehende Betriebsprozesse integrieren lassen und dort dauerhaft verfügbar bleiben.

Internationale Strategien bestätigen den Trend

Dass diese Entwicklung keineswegs auf Deutschland beschränkt ist, zeigt der internationale Vergleich. Das Verkehrsministerium Singapurs benennt den Zusammenhang zwischen autonomem Fahren und Fachkräftemangel ungewöhnlich deutlich. In einer parlamentarischen Stellungnahme heißt es: "AVs will add to our public transport network without running up against fundamental manpower constraints."

Autonome Fahrzeuge werden dort ausdrücklich als Möglichkeit verstanden, das öffentliche Verkehrsangebot auszubauen, ohne an grundlegenden Personalengpässen zu scheitern. Fahrermangel wird damit nicht als kurzfristiges Betriebsproblem betrachtet, sondern als strategischer Ausgangspunkt zukünftiger Mobilitätsplanung.

Fahrzeugkontrolle wird zum Betriebsfaktor

Genau an dieser Stelle verschiebt sich auch die technische Herausforderung. Wenn autonome Fahrzeuge künftig Aufgaben innerhalb kritischer Mobilitätsangebote übernehmen sollen, müssen sie nicht nur automatisiert fahren können. Sie müssen dauerhaft kontrollierbar, verfügbar und sicher in betriebliche Abläufe integriert werden können. Damit wird Fahrzeugkontrolle zur Voraussetzung neuer Betriebsarchitekturen. Denn Leitstellen, technische Aufsicht und Flottensteuerung können nur dann skalieren, wenn sich Fahrzeugbewegung jederzeit reproduzierbar kontrollieren lässt. Mit NX NextMotion adressiert Arnold NextG genau diese Herausforderung. Die fail-operational ausgelegte Drive-by-Wire-Plattform versteht Fahrzeugkontrolle als eigenständige Systemebene und schafft die Grundlage für kontrollierbare Fahrzeugbewegung, Teleoperation und softwaredefinierte Fahrzeugarchitekturen.

Fazit

Der zunehmende Fahrermangel verändert die Diskussion über autonome Mobilität grundlegend. Im Mittelpunkt steht nicht länger ausschließlich die Automatisierung einzelner Fahrzeuge, sondern die Zukunftsfähigkeit öffentlicher Mobilitätssysteme. Fahrermangel macht autonome Mobilität nicht wichtiger, weil weniger Fahrer verfügbar sind. Er macht deutlich, dass öffentliche Mobilität künftig anders organisiert werden muss. Die eigentliche Herausforderung besteht deshalb nicht darin, Fahrer zu ersetzen, sondern öffentliche Mobilität unter neuen Rahmenbedingungen dauerhaft betreibbar zu halten. Dafür müssen Kontrolle, Verantwortung und Betrieb gemeinsam neu gedacht werden.

We Control What Moves

Weiter informationen unter www.arnold NextG.de/blog