Wat is ISO 26262?
ISO 26262 is de internationale norm voor functionele veiligheid van elektrische en elektronische (E/E) systemen in in serie geproduceerde wegvoertuigen, die met een risicogebaseerde veiligheidslevenscyclus en vier Automotive Safety Integrity Levels (ASIL A tot en met D) vastlegt hoe streng een functie moet worden ontwikkeld en geverifieerd. De norm van ISO is een sectorspecifieke uitwerking van IEC 61508, toegesneden op de massaproductie, de korte ontwikkelcycli en de toeleveringsketen van de auto-industrie. ISO 26262 beschermt tegen gevaren door storingen in remmen, sturen, airbags of aandrijving, van het eerste concept tot productie, onderhoud en sloop.
De norm beschrijft hoe fabrikanten en toeleveranciers aantonen dat voertuigelektronica bij een fout geen onaanvaardbaar risico oplevert voor inzittenden en andere weggebruikers.
🧠 Welke versies en delen kent ISO 26262?
De eerste editie verscheen op 11 november 2011 en gold alleen voor personenauto’s tot 3.500 kg totaalgewicht. De tweede editie van december 2018 breidde de reikwijdte uit naar alle in serie geproduceerde wegvoertuigen, dus ook vrachtwagens, bussen, aanhangers en motorfietsen; bromfietsen vallen erbuiten. Unieke E/E-systemen in speciale voertuigen, zoals aanpassingen voor bestuurders met een beperking, behandelt de norm niet. Aan een derde editie wordt gewerkt; publicatie wordt op zijn vroegst in 2027 verwacht.
De editie van 2018 telt twaalf delen:
| Deel | Onderwerp |
|---|---|
| Deel 1 | Woordenlijst (vocabulary) |
| Deel 2 | Management van functionele veiligheid, inclusief veiligheidscultuur en bevestigingsmaatregelen |
| Deel 3 | Conceptfase: itemdefinitie, HARA en functioneel veiligheidsconcept |
| Deel 4 | Productontwikkeling op systeemniveau |
| Deel 5 | Productontwikkeling op hardwareniveau, met de hardwaremetrieken |
| Deel 6 | Productontwikkeling op softwareniveau |
| Deel 7 | Productie, gebruik, service en buitengebruikstelling |
| Deel 8 | Ondersteunende processen, zoals configuratiebeheer en toolkwalificatie |
| Deel 9 | ASIL-gerichte en veiligheidsgerichte analyses, waaronder ASIL-decompositie |
| Deel 10 | Richtlijnen voor de toepassing van ISO 26262 (informatief) |
| Deel 11 | Richtlijnen voor halfgeleiders (informatief) |
| Deel 12 | Aanpassing voor motorfietsen |
Deel 4 tot en met 6 volgen samen het bekende V-model: eisen worden van boven naar beneden verfijnd en aan de rechterkant van de V stap voor stap geïntegreerd en getest.
🎯 Wat is het doel van de norm?
ISO 26262 richt zich op twee soorten fouten:
- Willekeurige hardwarefouten - een condensator die doorslaat of een sensor die uitvalt. Die beheerst u met diagnose, redundantie en kwantitatieve faalkansdoelen.
- Systematische fouten - ontwerp- en softwarefouten die er vanaf het begin in zitten. Die beheerst u met proces: eisenbeheer, reviews, codeerregels, verificatie en traceerbaarheid.
Daarnaast vraagt de norm om een veiligheidscultuur, een veiligheidsplan per project en een safety case: het samenhangende bewijs dat de veiligheidsdoelen zijn gehaald. De norm gaat uitdrukkelijk niet over gevaren door een correct werkende functie die tekortschiet in een onvoorziene situatie; dat is het terrein van ISO 21448 (SOTIF).
🔧 Hoe wordt de ASIL bepaald?
ASIL (Automotive Safety Integrity Level) is de maat voor hoe streng een veiligheidsdoel moet worden uitgewerkt. De ASIL volgt uit de hazard analysis and risk assessment (HARA) in deel 3, een vorm van risicobeoordeling. Per gevaarlijke situatie scoort het team drie parameters:
| Parameter | Klassen | Betekenis |
|---|---|---|
| Severity (S) | S0–S3 | Ernst van het letsel, van geen letsel (S0) tot levensbedreigend of dodelijk (S3) |
| Exposure (E) | E0–E4 | Hoe vaak de rijsituatie voorkomt; E4 is grofweg meer dan 10% van de rijtijd |
| Controllability (C) | C0–C3 | Of de bestuurder het gevaar kan afwenden; bij C1 lukt dat 99% of meer van de bestuurders, bij C3 minder dan 90% |
De combinatie S3, E4 en C3 levert ASIL D, het hoogste niveau. Elke stap lager in een van de drie parameters verlaagt de ASIL met één niveau, via C, B en A tot QM (quality managed): dan volstaat het reguliere kwaliteitsmanagement. Een ASIL is dus geen maat voor alleen de ernst, maar voor het gecombineerde risico. Typische uitkomsten, die per voertuig en HARA kunnen verschillen:
| Functie | Typische ASIL |
|---|---|
| Uitval van de remmen op alle wielen, airbagaansturing, ongewild sturen | ASIL D |
| Uitval van alleen de achterremmen, cruise control | ASIL C |
| Koplampen en remlichten | ASIL B |
| Achterlichten | ASIL A |
| Infotainment zonder invloed op rijfuncties | QM |
De ASIL lijkt op het Safety Integrity Level uit IEC 61508, maar de schalen zijn niet één op één uitwisselbaar.
📊 Welke eisen horen bij een hogere ASIL?
Hoe hoger de ASIL, hoe meer methoden de norm aanbeveelt of sterk aanbeveelt en hoe strenger de hardwaredoelen. Deel 5 geeft streefwaarden voor drie metrieken:
| Metriek | ASIL B | ASIL C | ASIL D |
|---|---|---|---|
| Single Point Fault Metric (SPFM) | ≥ 90% | ≥ 97% | ≥ 99% |
| Latent Fault Metric (LFM) | ≥ 60% | ≥ 80% | ≥ 90% |
| PMHF (kans op schending van het veiligheidsdoel) | < 100 FIT (10⁻⁷/uur) | < 100 FIT (10⁻⁷/uur) | < 10 FIT (10⁻⁸/uur) |
Eén FIT is één fout per miljard bedrijfsuren. Voor software vraagt deel 6 onder meer om een veilige subset van de programmeertaal (zoals MISRA C), statische analyse, eenheidstests met structurele dekking en bescherming tegen onderlinge beïnvloeding van softwareonderdelen. Een gecertificeerd RTOS helpt daarbij, maar ontslaat de fabrikant niet van het bewijs voor de hele toepassing.
ASIL-decompositie (deel 9) staat toe een eis te verdelen over twee voldoende onafhankelijke, redundante elementen. Zo kan ASIL D worden gerealiseerd als C(D) plus A(D) of als B(D) plus B(D), en ASIL B als A(B) plus A(B). Dat mag alleen als een gemeenschappelijke oorzaak beide elementen niet tegelijk kan uitschakelen.
🏭 Hoe pakt u ISO 26262 in de praktijk aan?
Een typisch traject voor een nieuwe functie of een nieuw regelapparaat (ECU) loopt zo:
- Itemdefinitie - beschrijf de functie, de grenzen en de interfaces met de rest van het voertuig.
- HARA - bepaal gevaarlijke situaties, scoor S, E en C en leid veiligheidsdoelen met een ASIL af.
- Functioneel en technisch veiligheidsconcept - vertaal veiligheidsdoelen naar eisen, met bijvoorbeeld een veilige toestand, diagnose en tijdsgrenzen.
- Analyses - onderbouw het ontwerp met FMEA, foutenboomanalyse (FTA) en een FMEDA voor de hardwaremetrieken.
- Ontwikkeling en verificatie - ontwerp, codeer en test volgens de tabellen van deel 5 en 6, met volledige traceerbaarheid.
- Toolkwalificatie - bepaal voor elke ontwikkeltool het Tool Confidence Level (TCL1–TCL3) en kwalificeer waar nodig; tools krijgen zelf geen ASIL.
- Bevestigingsmaatregelen - confirmation reviews, een functional safety audit en een functional safety assessment, met meer onafhankelijkheid bij een hogere ASIL.
Toeleveranciers ontwikkelen chips en softwarecomponenten vaak als Safety Element out of Context (SEooC): met aangenomen eisen, zodat de autofabrikant ze later in een veiligheidsconcept kan inpassen.
Nederlandse en Europese context. ISO 26262 is geen wet. Voor de typegoedkeuring, in Nederland uitgevoerd door de RDW, gelden VN-reglementen zoals UNECE R155 (cybersecurity) en R156 (software-updates), die in de EU sinds juli 2022 voor nieuwe typen en sinds juli 2024 voor alle nieuwe voertuigen verplicht zijn. In de praktijk geldt ISO 26262 wel als stand van de techniek bij productaansprakelijkheid, en autofabrikanten eisen de norm in hun inkoopvoorwaarden. Daardoor raakt ISO 26262 ook Nederlandse bedrijven in de keten, zoals vrachtwagenbouwers, halfgeleiderfabrikanten en toeleveranciers in de Brainport-regio.
🔄 Hoe verhoudt ISO 26262 zich tot andere normen?
| Norm | Relatie met ISO 26262 |
|---|---|
| IEC 61508 | Basisnorm voor functionele veiligheid; ISO 26262 is de automotive-afgeleide |
| ISO 21434 | ISO/SAE 21434 (2021) voor automotive cybersecurity; aanvullend, want aanvallen kunnen veiligheidsdoelen raken |
| ISO 21448 (SOTIF) | Veiligheid van de beoogde functie, bijvoorbeeld bij beperkingen van camera’s, radar en LiDAR |
| ISO/PAS 8800 | Veiligheid van AI-componenten in wegvoertuigen |
| ISO 13849-1 | Machineveiligheid; andere sector, met Performance Levels |
| IEC 62061 | Machineveiligheid met SIL, eveneens afgeleid van IEC 61508 |
| Automotive SPICE | Procesvolwassenheid van software- en systeemontwikkeling; vaak parallel geaudit |
Voor de IT/OT-wereld is het onderscheid belangrijk. Een AGV of AMR in een fabriek of magazijn valt niet onder ISO 26262 maar onder de machinewetgeving, met ISO 3691-4, ISO 13849 en de Machineverordening. Toch komen industriële en automotive veiligheid samen in embedded hardware: veel microcontrollers en besturingssystemen zijn gecertificeerd volgens zowel IEC 61508 als ISO 26262. Ook busprotocollen zoals CAN maken in auto’s deel uit van veiligheidsconcepten volgens ISO 26262. Voertuigen met typegoedkeuring vallen overigens buiten de Cyber Resilience Act, omdat de typegoedkeuringsregels hun cybersecurity al regelen.
❓ Veelgestelde vragen
Is ISO 26262 wettelijk verplicht?
ISO 26262 is geen wettelijke eis voor de typegoedkeuring van voertuigen. De norm geldt wel als stand van de techniek bij productaansprakelijkheid, en autofabrikanten eisen naleving van ISO 26262 vrijwel altijd contractueel van hun toeleveranciers.
Wat is het verschil tussen ASIL en SIL?
ASIL komt uit ISO 26262 en wordt bepaald met ernst, blootstelling en beheersbaarheid door de bestuurder. SIL komt uit IEC 61508 en IEC 61511 en is gekoppeld aan faalkansen per uur of per aanvraag. ASIL D en SIL 3 vragen een vergelijkbare inspanning, maar ISO 26262 kent geen officiële omrekening tussen beide schalen.
Welke voertuigen vallen onder ISO 26262?
Sinds de editie van 2018 geldt ISO 26262 voor alle in serie geproduceerde wegvoertuigen, inclusief vrachtwagens, bussen, aanhangers en motorfietsen. Bromfietsen vallen erbuiten, en unieke E/E-systemen in speciale voertuigen, zoals aanpassingen voor bestuurders met een beperking, behandelt de norm niet.
Wat betekent ASIL B(D)?
De notatie ASIL B(D) betekent dat een element na ASIL-decompositie volgens ASIL B is ontwikkeld, maar deel uitmaakt van een veiligheidsdoel met ASIL D. Het element moet samen met een onafhankelijk tweede element alsnog het oorspronkelijke ASIL D-doel van ISO 26262 waarborgen.
Kan een bedrijf ISO 26262-gecertificeerd worden?
ISO 26262 kent geen formele certificatieregeling met geaccrediteerde audits zoals ISO 9001. Instellingen zoals TÜV SÜD, TÜV Rheinland en exida geven wel certificaten af voor processen, producten en personen, en die worden in de automotive-keten breed geaccepteerd.
Hoe verhoudt ISO 26262 zich tot cybersecurity?
ISO 26262 behandelt onbedoelde fouten, terwijl ISO/SAE 21434 opzettelijke aanvallen behandelt. Beide normen moeten samenwerken, omdat een cyberaanval een veiligheidsdoel kan schenden; daarom stemmen teams de HARA en de dreigingsanalyse (TARA) op elkaar af.
📌 Samengevat
ISO 26262 is dé norm voor functionele veiligheid van E/E-systemen in wegvoertuigen: zij bepaalt via de ASIL hoe streng een functie moet worden ontwikkeld, van concept tot buitengebruikstelling.
De norm combineert een risicoanalyse op basis van ernst, blootstelling en beheersbaarheid met concrete hardwaredoelen, softwareregels en bevestigingsmaatregelen. Wie embedded systemen ontwikkelt voor zowel de auto-industrie als de industrie, werkt vaak met ISO 26262 en IEC 61508 naast elkaar, aangevuld met ISO 21434 voor cybersecurity en safety-normen uit de machinebouw.