Ubers tödlicher Unfall in Tempe machte den Sicherheitsfahrer zu einem Test für die Verantwortung im Systemdesign

Zusammenfassung

• Am 18. März 2018 hat in Tempe, Arizona, ein in Entwicklung befindliches automatisiertes Fahrsystem von Uber in einem modifizierten Volvo XC90 Elaine Herzberg erfasst und getötet. Das System erfasste sie erstmals 5,6 Sekunden vor dem Aufprall, änderte jedoch mehrmals die Klassifizierung, verwarf nach jeder Neuklassifizierung eine nützliche Verfolgungshistorie und stellte erst 1,2 Sekunden vor dem Aufprall fest, dass sie sich auf der Fahrzeugbahn befand.
• Die einzige Fahrzeugbedienerin streamte eine Fernsehsendung auf ihrem persönlichen Telefon und blickte in den letzten sechs Sekunden etwa fünf Sekunden lang von der Straße weg. Das National Transportation Safety Board stellte fest, dass ihre mangelnde Überwachung die wahrscheinliche Ursache war. Es stellte außerdem fest, dass Ubers Advanced Technologies Group (ATG) eine unzureichende Risikobewertung, eine ineffektive Aufsicht über die Bediener und das Fehlen eines angemessenen Managements der Automatisierungs-Selbstzufriedenheit beigetragen habe – alles Folgen einer unzureichenden Sicherheitskultur.
• Der Mensch war nicht einfach eine unabhängige Ursache außerhalb des Systems. Uber ATG verließ sich auf die Bedienerin als primäre Gegenmaßnahme, wenn ein Notfall die Spezifikationen des automatisierten Bremsens überstieg, während Volvos Frontkollisionswarnung und automatische Notbremsung im autonomen Modus deaktiviert waren. Etwa fünf Monate vor dem Unfall hatte ATG die Verantwortung von zwei Bedienern auf eine einzige Stelle konzentriert und sah sich selten die nach innen gerichteten Videos an, die die Ablenkung hätten aufdecken können.
• Arizona hatte autonome Tests ohne spezielle Genehmigung willkommen geheißen. Das NTSB beurteilte die staatliche Aufsicht als unzureichend und empfahl eine sicherheitsorientierte Antragstellung sowie eine Expertenprüfung vor den Tests. Die spätere Gesetzgebung Arizonas schuf Bestimmungen zu Meldung, Zertifizierung, Durchsetzung und Interaktion mit Strafverfolgungsbehörden, aber der sichtbare Rahmen stützt sich immer noch stark auf die Zusicherungen des Betreibers oder Unternehmens und nicht auf die Veröffentlichung einer unabhängigen, fallspezifischen Sicherheitsgenehmigung.
• Die Belege für Abhilfemaßnahmen sind erheblich, aber begrenzt. ATG stellte zwei Bediener wieder ein, fügte eine Echtzeit-Aufmerksamkeitsüberwachung hinzu, änderte die Bewegungsvorhersage, entfernte die einsekündige Aktionssperrlogik, reaktivierte Volvos kompatible Kollisionswarnung und Notbremsung, reduzierte die Geschwindigkeit bei öffentlichen Straßentests und implementierte ein Sicherheitsmanagementsystem. Das NTSB schloss 2024 seine Empfehlung an die ehemalige ATG, nachdem die Einheit an Aurora verkauft worden war. Dieser Abschluss reproduziert nicht alle Validierungsergebnisse und beweist nicht, wie die ursprüngliche Organisation heute funktionieren würde.
• Bis zum 15. Juli 2026 blieben erhebliche Governance-Lücken sichtbar. Die NHTSA-Standardanordnung zur Unfallmeldung liefert obligatorische Unfalldaten und Durchsetzungsmittel, aber die NTSB-Empfehlungen zur verpflichtenden Einreichung und Bewertung von Sicherheitsselbstbewertungen vor Tests stehen weiterhin auf der offenen Empfehlungsliste der NHTSA. Der dauerhafte Test ist daher, ob ein Entwickler die Ausfallkette nachweisen kann, bevor er die Öffentlichkeit gefährdet: unabhängige Notfallsteuerung, realistische Annahmen über menschliche Leistung, aktive Aufmerksamkeitssicherungen, kontrollierte Änderungsgenehmigung, staatliche und bundesstaatliche Prüfung sowie überprüfbare Nachweise aus Szenarien, die alle Schichten gemeinsam fordern.

Der Gegensatz zwischen Fahrerin und System scheitert am Kontrolltest

Die NTSB-Untersuchungsseite legt die offizielle kausale Schlussfolgerung klar dar. Die wahrscheinliche Ursache war die mangelnde Überwachung der Fahrumgebung und des automatisierten Fahrsystems durch die Bedienerin, die visuell durch ihr persönliches Telefon abgelenkt war. Dieselbe Schlussfolgerung identifiziert beitragende Faktoren innerhalb von Uber ATG: unzureichende Bewertung von Sicherheitsrisiken, ineffektive Aufsicht über die Bediener und Fehlen eines angemessenen Mechanismus zur Bekämpfung von Automatisierungs-Selbstzufriedenheit.

Die gefährliche Straßenüberquerung und die mögliche Beeinträchtigung der Fußgängerin sowie die unzureichende Aufsicht durch das Arizona Department of Transportation waren weitere beitragende Faktoren.

Diese Schlussfolgerungen lassen sich nicht sauber zwischen einem schuldigen Menschen und einer neutralen Maschine aufteilen. Ein in Entwicklung befindliches automatisiertes Fahrzeug stellt einen soziotechnischen Testbetrieb dar. Sein Sicherheitsdossier umfasst Sensoren, Wahrnehmungssoftware, Bewegungsplanung, Bremslogik, Basisfahrzeugsysteme, Routen- und Geschwindigkeitsbeschränkungen, Mensch-Maschine-Schnittstelle, Bediener, Aufsicht, Änderungskontrolle, Vorfallprüfung und die Genehmigung zur Nutzung einer öffentlichen Straße.

Wenn der Entwickler die Notfallwiederherstellung einer Person anvertraut, werden deren wahrscheinliche Leistungen während langer passiver Überwachung zu Konstruktionsdaten. Wenn er eine zweite Person streicht oder eine unabhängige Bremse deaktiviert, trägt der verbleibende Bediener einen größeren Anteil des Risikos, unabhängig davon, ob eine Richtlinie Telefone verbietet.

Deshalb ist dieser Fall ein Test für die Rechenschaftspflicht, kein Wettbewerb zur Bestimmung, welches einzelne Element den Fehler in der letzten Sekunde verursacht hat. Das Strafrecht, eine NTSB-Sicherheitsuntersuchung, das unternehmerische Sicherheitsmanagement und die Fahrzeugregulierung beantworten unterschiedliche Fragen. Der NTSB-Abschlussbericht HAR-19/03 ist ein faktischer Sicherheitsbericht, kein Urteil über die Verteilung von zivilrechtlichem Schadensersatz oder strafrechtlicher Schuld. Ein Strafverfahren kann die rechtliche Verantwortung der Bedienerin feststellen, ohne die Systemarchitektur von ATG zu validieren.

Eine reparierte Softwareversion kann die Objektverarbeitung verbessern, ohne zu beweisen, dass die Aufsicht und die Genehmigung von Straßentests angemessen waren. Jede Schlussfolgerung muss im Rahmen der Autorität und der Beweise ihrer Quelle bleiben.

Die Verteilung der Konsequenzen macht diese Disziplin wesentlich. Herzberg verlor ihr Leben. Ihre Familie und ihre Gemeinschaft erlitten einen Schaden, den sie nicht kontrollieren konnten. Die Bedienerin wurde strafrechtlich verfolgt und mehrere Jahre öffentlicher Prüfung ausgesetzt. Von den Sicherheitsfahrern wurde verlangt, eine seltene, aber folgenschwere Überwachungsaufgabe zu bewältigen. Ingenieure, Führungskräfte, Volvo, Uber, die Behörden Arizonas, die bundesstaatlichen Regulierungsbehörden und später die Entwickler autonomer Fahrzeuge kontrollierten verschiedene Präventionsebenen.

Die Verkehrsteilnehmer hatten keine praktische Möglichkeit, diese Ebenen zu überprüfen, bevor sie die Testumgebung teilten.

Die zentrale Frage der Rechenschaftspflicht ist daher operativ: Wer konnte vor dem Unfall was ändern? Uber ATG konnte die Klassifizierungs- und Vorhersagelogik, die Notfallreaktion, die Testgeschwindigkeit, die Personalstärke, die Schulung, die Videoüberprüfung und die Inbetriebnahmekriterien ändern. Volvo und ATG kontrollierten gemeinsam die Integration, die die werkseitigen Kollisionsvermeidungssysteme deaktivierte. Die Bedienerin kontrollierte ihre Aufmerksamkeit, Lenkung und Bremsung während der Fahrt. Arizona kontrollierte die Bedingungen, unter denen Tests auf seinen Straßen stattfanden.

Die NHTSA kontrollierte die bundesstaatliche Mängelaufsicht und Leitlinien, hatte aber das Sicherheitsdossier von ATG nicht vorab genehmigt. Die Fußgängerin kontrollierte den Ort und den Zeitpunkt ihrer Überquerung, aber weder das Design des sich nähernden Systems noch die Genehmigung für seinen Test. Die Konsequenzen überschnitten sich; die Kontrolle nicht.

Wer hatte konkrete Kontrolle

Uber ATG hatte die direkteste und weitreichendste Kontrolle über den Testbetrieb. Seine Software erfasste Objekte, wies ihnen Klassifizierungen zu, sagte ihre Bewegungen voraus, plante eine Flugbahn und gab Lenk- und Bremsbefehle. Seine Führungskräfte wählten den operativen Designbereich, einschließlich kartierter Routen, Licht- und Wetterbedingungen sowie einer maximalen Testgeschwindigkeit.

Seine Betriebsorganisation rekrutierte und schulte Bediener, verfasste Richtlinien zu Telefon und Fahrverhalten, entschied, ob ein oder zwei Bediener ein Fahrzeug besetzen würden, speicherte nach innen gerichtete Videos und bestimmte, wie häufig diese von Vorgesetzten überprüft wurden. Seine Sicherheits- und Führungsstruktur bestimmte, ob Gefahren vor der Inbetriebnahme auf öffentlichen Straßen identifiziert würden.

Der NTSB-Bericht zur Fahrzeugautomatisierung identifiziert die spezifische Krypton-Plattform und die Softwareversion, die im verunfallten Fahrzeug installiert waren. Er gibt auch an, dass das System nur auf festgelegten, kartierten Routen autonom funktionieren sollte, während ein Mensch sowohl das System als auch die Umgebung überwachte. Diese Aufteilung ist wichtig: Das ADS führte die Fahraufgabe aus, bis es keine angemessene Antwort mehr hatte, während die Person den Ausfall erkennen und schnell die Kontrolle übernehmen sollte.

Die Bedienerin kontrollierte die manuelle Ausweichreaktion. ATGs Anweisungen verlangten, zu überwachen, die Hände über dem Lenkrad und einen Fuß über der Bremse zu halten, ungewöhnliche Ereignisse zu melden und im Notfall einzugreifen. Die Bedienerin kontrollierte auch ihr persönliches Telefon und verstieß gegen die Nutzungsregel. Telefon- und App-Daten zeigten, dass während der gesamten Fahrt ein Video gestreamt wurde. Ihr letzter Blick nach unten entfernte die letzte verfügbare menschliche Reaktion während des kritischen Intervalls.

Diese Handlungsfähigkeit anzuerkennen bedeutet nicht, die Bedienerin als unbegrenzte Sicherheitsgarantie gegen vorhersehbare Systemgrenzen zu betrachten.

ATGs Führungskräfte kontrollierten die Bedingungen, unter denen diese Ausweichreaktion funktionieren sollte. Der Sachstandsbericht zu den Betriebsfaktoren zeigt, dass es eine schriftliche Richtlinie gab, die Telefone verbot, und dass ein Verstoß zur Kündigung führen konnte. Er offenbart auch die zugrunde liegenden Kontrollschwächen dieser Regel: Die Richtlinie war nicht autonom, ATG hatte keinen Nachweis, dass diese Bedienerin sie individuell anerkannt hatte, und die Aufsicht verwandelte die gespeicherten Bilder der Innenkamera nicht in regelmäßige Kontrollen. Eine Richtlinie setzt einen Standard.

Sie ist kein operativer Schutz, solange Schulung, Beobachtung, Eskalation und Konsequenzen die Einhaltung nicht sichtbar machen.

Volvo kontrollierte das Basisfahrzeug und seine serienmäßigen Sicherheitssysteme, während ATG deren Integration in den sich entwickelnden Stack im Rahmen einer Vereinbarung kontrollierte, an der beide Unternehmen beteiligt waren. Das Serienfahrzeug verfügte über eine Frontkollisionswarnung und eine automatische Notbremsung. Diese Funktionen waren im manuellen Modus aktiv, deaktivierten sich jedoch automatisch im autonomen Modus.

Das NTSB-Dossier gibt an, dass ein gleichzeitiger Betrieb als inkompatibel angesehen wurde, weil ATGs und Volvos Radargeräte interferieren konnten und das Bremsmodul nicht dafür ausgelegt war, zwischen zwei Bremsbefehlen zu priorisieren. Es handelte sich in dieser Nacht nicht um einen mysteriösen Komponentenausfall. Es war eine bekannte Integrationsentscheidung, die eine unabhängige Interventionsschicht entfernte, wenn das ADS aktiv war.

Arizona kontrollierte den Zugang zu öffentlichen Straßen. Die Executive Order von 2015 des Staates verlangte einen lizenzierten Bediener, der die Kontrolle übernehmen konnte, einen Nachweis der finanziellen Verantwortung und die Einhaltung der Verkehrsregeln, und schuf einen Aufsichtsausschuss. Doch die ADOT-Erklärung vom Dezember 2016 zur Begrüßung von Uber besagte, dass für autonome Tests keine spezielle Genehmigung oder Lizenz erforderlich sei. Der Staat setzte also allgemeine Bedingungen ohne technische Vorabprüfung von ATGs Gefahrenanalyse, Ausfallarchitektur oder Bedienerüberwachungsplan.

Die NHTSA kontrollierte die bundesstaatliche Aufsicht über Kraftfahrzeugmängel und nationale Leitlinien. Zu dieser Zeit war ihre ADS 2.0-Politik ausdrücklich freiwillig. Die offizielle ADS 2.0-Seite erklärt, dass ein Entwickler keine Selbsteinschätzung einreichen, auf eine Genehmigung warten oder einen neuen Konformitätsmechanismus vor Tests erfüllen musste. Die Bundesbehörde konnte auf ein unzumutbares Sicherheitsdefizit reagieren, aber die Leitlinien waren keine prospektive Genehmigung dieses sich entwickelnden Testsystems.

Schließlich kontrollierten weder Herzberg noch andere Verkehrsteilnehmer eine dieser Sicherheitsentscheidungen. Die öffentliche Straße war Teil der Validierungsumgebung, aber eine Person, die dem Fahrzeug begegnete, konnte seine Notbremsgrenze nicht kennen, nicht wissen, ob die werksseitige AEB aktiv war, wie oft die Bedienerin überwacht wurde oder ob ein unabhängiger Prüfer die Beseitigung der Redundanz angefochten hatte. Diese Asymmetrie spricht am stärksten für eine überprüfbare öffentliche Sicherheitsgarantie vor Tests und nicht nur für eine Untersuchung nach dem Schaden.

Zeitleiste: Politik, betriebliche Änderungen und die letzten Sekunden

Der Rahmen von Arizona ging der Ankunft von Uber voraus. Die Executive Order 2015-09 förderte Tests und setzte grundlegende Bedingungen für Bediener und Versicherung. Im Dezember 2016, nachdem ein Streit Ubers Tests in Kalifornien gestoppt hatte, betonte Arizona öffentlich, dass es keine spezielle Genehmigung für autonome Tests verlange. Der Staat versuchte, Investitionen und technische Entwicklung anzuziehen, während er sich weitgehend auf allgemeine Fahrzeugregeln und die Verantwortung der Entwickler stützte.

Uber ATG setzte zunächst zwei Personen pro Testfahrzeug ein. Eine überwachte die Straße und bereitete sich darauf vor, die Kontrolle zu übernehmen; die andere dokumentierte das Systemverhalten und die Umgebung. Etwa fünf Monate vor dem tödlichen Unfall führte ATG eine Tablettenschnittstelle ein und bündelte diese Verantwortungen in der Hand eines einzelnen Bedieners.

Das NTSB stellte fest, dass die Schnittstelle die Komplexität der Ereignisprotokollierung reduzierte, aber eine einzelne Person musste immer noch die Straße überwachen, das ADS beaufsichtigen, bereit sein, im Notfall einzugreifen, und gelegentlich den Blick abwenden, um das Tablet zu bedienen. Die Streichung des zweiten Bedieners entfernte auch eine Person, die eine Gefahr hätte erkennen, die Fahrerin an ihre Pflichten erinnern oder einen zweiten Aufmerksamkeitskanal bieten können.

Diese Änderung muss zusammen mit der Systemarchitektur gelesen werden. Im autonomen Modus waren die werkseitige Frontkollisionswarnung und Notbremsung inaktiv. ATGs ADS begrenzte starke Bremsungen und verwendete ein Aktionssperrintervall, um sich gegen Fehlalarme zu schützen. Wenn das System schätzte, dass eine Kollision innerhalb seiner vorgegebenen Brems- und Ruckgrenzen nicht mehr vermeidbar war, war sein Design nicht darauf ausgelegt, die maximale Bremsung allein zur Reduzierung der Aufprallschwere anzuwenden. Es sollte die Bedienerin warnen und eine allmähliche Verlangsamung einleiten.

Die Bedienerin war daher nicht eine Verteidigung unter mehreren Schichten mit gleicher Fähigkeit. In großen Notfällen war sie die primäre letzte Verteidigung.

Am 1. März 2018 veröffentlichte Arizona die Executive Order 2018-04, die den Rahmen für autonomen Betrieb mit und ohne anwesende Person erweiterte und die öffentliche Sicherheit als Priorität darstellte. Die Order verlangte die Einhaltung geltender Gesetze, eine Bedingung für minimale Risiken nach einem ADS-Ausfall im fahrerlosen Betrieb, eine Versicherung und einen Plan für die Interaktion mit Strafverfolgungsbehörden. Sie verlangte nicht, dass ein unabhängiges technisches Gremium das Sicherheitsdossier der Tests eines Entwicklers vor der Straßennutzung genehmigt.

Am Sonntag, dem 18. März, begann der modifizierte Volvo XC90 Baujahr 2017 die betreffende Testfahrt in Tempe. Die Straße war trocken und durch Straßenlaternen beleuchtet. Das Fahrzeug absolvierte seine zweite Runde auf einer festgelegten Route und war seit etwa 19 Minuten im autonomen Modus, als es sich Mill Avenue in nördlicher Richtung mit etwa 45 mph näherte. Herzberg begann, vom Mittelstreifen aus die Straße zu überqueren, außerhalb eines Fußgängerüberwegs, und schob ein Fahrrad.

Das ADS erfasste sie erstmals mit Radar 5,6 Sekunden vor dem Aufprall bei etwa 44 mph. Es klassifizierte die Rückkehr zunächst als Fahrzeug und ordnete es nicht der Fahrzeugspur zu. Das Lidar klassifizierte es dann als unbekanntes Objekt, dann als Fahrzeug. Zwischen 3,8 und 2,7 Sekunden vor dem Aufprall wechselte die Klassifizierung zwischen Fahrzeug und anderem. Bei jedem Klassifizierungswechsel behielt das System die bisherige Verfolgungshistorie des Objekts nicht bei, was die Vorhersage seiner Flugbahn schwächte.

Bei 2,6 Sekunden klassifizierte es das Objekt als Fahrrad, behandelte es aber zunächst als statisch und außerhalb der Fahrzeugspur.

1,5 Sekunden vor dem Aufprall wechselte die Klassifizierung zurück zu unbekanntem Objekt. Das Objekt befand sich teilweise in der SUV-Spur, und das ADS plante eine Flugbahn, um es zu umfahren. Bei 1,2 Sekunden wechselte die Lidar-Klassifizierung erneut zu Fahrrad und die vorhergesagte Flugbahn lag schließlich in der SUV-Spur. Der vorherige Lenkplan war nicht mehr durchführbar. Die Situation wurde gefährlich und das einsekündige Aktionssperrintervall begann. 0,2 Sekunden vor dem Aufprall endete die Sperre und das ADS erzeugte eine Verlangsamung und einen akustischen Alarm.

Das NTSB-Dossier konnte nicht feststellen, ob die leichte Kommunikationsverzögerung dazu führte, dass diese Verlangsamung begann, bevor die Bedienerin die Kontrolle übernahm.

Die Bedienerin hatte in den letzten sechs Sekunden etwa fünf Sekunden lang nach unten geschaut. Der Sachstandsbericht zur menschlichen Leistung dokumentiert ihre Schulung, Funktionen, Blickverhalten und Telefondaten. Während der gesamten Fahrt blickte sie 34 % der Zeit auf den unteren Teil der Mittelkonsole. Bei der ersten Runde an derselben Stelle dauerte ein Blick nach unten 26,5 Sekunden. Während des endgültigen Anflugs hob sie etwa eine Sekunde vor der Kollision den Blick und lenkte 0,02 Sekunden vor dem Aufprall nach links. Sie bremste erst nach dem Aufprall.

Diese Zeitleiste beweist nicht, dass eine Person auf die erste Radarrückmeldung hätte reagieren müssen. Das NTSB analysierte die Geometrie und das gewöhnliche visuelle Abtastverhalten und gab an, dass selbst eine aufmerksame Bedienerin Herzberg 5,6 Sekunden vor dem Aufprall möglicherweise nicht bemerkt hätte, als der SUV eine Kurve verließ. Sobald das Fahrzeug jedoch 3,9 Sekunden vor dem Aufprall auf die gerade Strecke gelangte, wäre die Fußgängerin in das normale Sichtfeld einer aufmerksamen Fahrerin geraten. Bremstests ergaben ein Zeitfenster von etwa zwei bis vier Sekunden, um die Gefahr zu erkennen und eine Reaktion einzuleiten.

Das NTSB kam zu dem Schluss, dass eine aufmerksame Bedienerin die Kollision wahrscheinlich hätte vermeiden oder abmildern können.

Der Unfall ereignete sich um 21:58 Uhr. Herzberg starb am Unfallort; die Bedienerin erlitt keine Verletzungen. Die mechanische Inspektion ergab keine größeren Mängel an der Basisbremsanlage, der Beleuchtung, der Federung, den elektrischen Systemen, den Rädern oder den Reifen des Fahrzeugs. Das ADS meldete während der Fahrt keine Sensor- oder Systemfehler. Diese negativen Feststellungen sind wichtig, da sie die Erklärung von einem zufälligen mechanischen Versagen wegführen und hin zum erwarteten Systemverhalten, der menschlichen Leistung und der Art und Weise, wie der Testbetrieb gesteuert wurde.

Am 19. März setzte ATG die öffentlichen Straßentests in allen seinen Betriebszentren aus. Am 26. März sandte der Gouverneur von Arizona einen im NTSB-Dossier aufbewahrten Aussetzungsbrief an Uber, in dem er das ADOT aufforderte, Ubers Fähigkeit, autonome Fahrzeuge auf öffentlichen Straßen in Arizona zu testen und zu betreiben, auszusetzen. Der Brief bezeichnete den Vorfall als Verstoß gegen die Sicherheitserwartungen des Staates. Es war eine entschlossene Durchsetzungsreaktion, aber sie erfolgte nach der permissiven Zulassungsentscheidung und nach dem Tod.

ATG nahm die öffentlichen Straßentests mit dem ADS erst am 20. Dezember 2018 wieder auf, und zwar nur auf einer 1,6 km langen Strecke in Pittsburgh mit einer Geschwindigkeitsbegrenzung von 25 mph. Das Unternehmen hatte seine technischen, betrieblichen und organisatorischen Kontrollen geändert. Im November 2019 verabschiedete das NTSB seinen Abschlussbericht und seine Empfehlungen. Das Strafverfahren verlief separat: Eine Anklage durch eine Grand Jury im Jahr 2020 beschuldigte die Bedienerin der fahrlässigen Tötung, was eine Anklage und keine Verurteilung war.

Im Juli 2023 legte eine vereinbarte Strafvereinbarung den Fall mit einem Schuldeingeständnis wegen Gefährdung bei, und der Bezirksstaatsanwalt gab eine dreijährige Bewährungszeit mit Auflagen bekannt. Dieser Ausgang begründet die persönliche rechtliche Verantwortung im Rahmen der Vereinbarung; er entscheidet nicht über die Angemessenheit der Design- und Governance-Kontrollen von ATG.

Die technische Kausalkette war eine Sequenz, keine einzelne verpasste Klassifizierung

Es ist verlockend, den Unfall damit zusammenzufassen, dass das Fahrzeug eine Fußgängerin nicht gesehen habe. Das ist ungenau. Seine Sensoren erfassten ein Objekt mehrere Sekunden vor dem Aufprall. Der Fehler trat in der Art und Weise auf, wie die Erkennungen dargestellt, klassifiziert, zeitlich beibehalten, in mögliche Bewegungen umgewandelt und dann mit der Bremsautorität verknüpft wurden.

Die Erkennung war die erste Schicht und funktionierte. Das Radar lieferte die erste Rückmeldung; die Lidar- und Kamerasysteme trugen zur Umgebungsdarstellung bei. Das NTSB stellte keine relevanten Sensorfehlfunktionen fest. Das Problem war keine einfache Sensorblindheit, und die Dunkelheit erklärte das Ereignis nicht allein. Die Frontkamera der Flotte stellte die Szene dunkler dar, als die Ermittler vor Ort beobachteten, während die Sichtweitenstudie keine Hindernisse ergab, die eine aufmerksame Bedienerin daran gehindert hätten, die Fußgängerin während des betreffenden Anflugs zu sehen.

Die Klassifizierung war instabil. Dieselbe Verkehrsteilnehmerin wechselte zwischen den Kategorien Fahrzeug, Anderes und Fahrrad. Die Klassifizierung ist wichtig, da das System verschiedenen Klassen unterschiedliche Absichten zuordnete. Ein unbekanntes Objekt konnte als statisch behandelt werden. Ein auf einer Fahrspur erkanntes Fahrrad konnte eine dieser Spur entsprechende Absicht erhalten, selbst wenn die beobachtete Person sie überquerte. In dieser Softwareversion erhielten Fußgänger außerhalb eines Fußgängerüberwegs keine explizite Überquerungsabsicht.

Das System enthielt daher Annahmen darüber, wo sich ein Fußgänger befinden sollte und wie sich ein klassifiziertes Objekt bewegen sollte.

Die Kontinuität der Verfolgung wurde durch die Architektur geschwächt. Wenn sich die Klassifizierung änderte, nutzte das System die frühere Verfolgungshistorie des Objekts nicht mehr für die neue Flugbahn. Die physische Kontinuität eines Verkehrsteilnehmers garantierte nicht seine Kontinuität im Modell. Mehrere Sekunden Beobachtungen akkumulierten sich daher nicht zu einer robusten Schätzung einer Person, die gleichmäßig die Straße überquerte. Das System startete einen Teil seiner Argumentation bei jedem Etikettenwechsel neu.

Die Vorhersage verwandelte dieses instabile Modell in eine gefährliche Flugbahnbewertung. Während des größten Teils des Anflugs wurde das Objekt als statisch oder in der benachbarten linken Spur bewegt behandelt. Erst bei 1,2 Sekunden ordnete das ADS das als Fahrrad klassifizierte Objekt vollständig der SUV-Spur zu. Zu diesem Zeitpunkt war es nicht mehr möglich, es mit dem generierten Plan zu umfahren.

Die Notfallreaktion fügte eine neue Verzögerung hinzu. ATG hatte ein einsekündiges Aktionssperrintervall entworfen, um eine potenzielle Gefahr zu überprüfen, einen alternativen Plan zu berechnen oder der Bedienerin das Eingreifen zu ermöglichen. Für sich genommen war das Anliegen berechtigt: Ein sich entwickelndes System, das heftig auf Fehlalarme reagiert, kann eigene Kollisionen verursachen. Aber die Sicherheitsfrage ist nicht, ob Fehlbremsungen wichtig waren. Sie ist, ob die kombinierte Architektur eine sichere Reaktion bewahrte, wenn die Klassifizierung spät stabil wurde.

In diesem Fall absorbierte eine Sekunde den Großteil der verbleibenden Zeit.

Die Bremsgrenzen verhinderten dann eine starke Schadensminderungsreaktion. Das ADS behandelte Situationen, die eine Bremsung über seinen definierten Verzögerungs- oder Ruckspezifikationen erforderten, als Notfälle, die menschliches Eingreifen benötigten. Wenn die maximale Bremsung innerhalb dieser Grenzen die Kollision nicht vermeiden konnte, war das automatisierte System nicht darauf ausgelegt, die maximale Bremsung allein zur Reduzierung der Schwere anzuwenden. Es gab eine Warnung aus und leitete eine allmähliche Verlangsamung ein. Keine signifikante automatische Notbremsung kompensierte die späte Vorhersage.

Das Basisfahrzeug konnte keine unabhängige Rückfallebene bieten, da seine Frontkollisionswarnung und AEB im autonomen Modus deaktiviert waren. Die Begründung für die Integration waren Radarinterferenzen und das Fehlen einer gelösten Priorität zwischen zwei Bremsbefehlsquellen. Dies sind echte technische Einschränkungen. Sie schufen auch eine gemeinsame, bekannte Betriebslücke: Wenn der ATG-Stack aktiv war, war die serienmäßige Sicherheitsschicht, die sonst hätte warnen oder bremsen können, nicht verfügbar.

Schließlich funktionierte der menschliche Ausfall nicht. Die Bedienerin schaute auf ein Telefon, ATG überwachte nicht in Echtzeit, der zweite Bediener fehlte und das ADS lieferte nur dann eine nützliche Warnung, als die Kollision praktisch unvermeidbar war. Die Kausalkette war also: Erkennung ohne stabile Interpretation, Interpretation ohne rechtzeitige Flugbahnerkennung, Erkennung gefolgt von einer Sperre, unzureichende automatisierte Schadensminderung und nicht verfügbarer menschlicher Ausfall. Kein einzelnes Glied erklärt das gesamte Ergebnis allein.

Die Sicherheitsfahrerin war Teil des entworfenen Systems

Der Begriff „Sicherheitsfahrerin“ kann eine wichtige Zuweisungsentscheidung verschleiern. Von der Person wurde erwartet, dass sie wachsam blieb, während die Automatisierung über lange Zeiträume das normale Fahren übernahm, und dann einen seltenen Ausfall erkannte und innerhalb von Sekunden eingriff. Dies ist kein gewöhnliches manuelles Fahren. Es ist Überwachungskontrolle, deren Durchführbarkeit anhand von Daten zur menschlichen Leistung bewertet werden muss.

Das NTSB kam zu dem Schluss, dass die anhaltende visuelle Ablenkung ein typischer Effekt der Automatisierungs-Selbstzufriedenheit war und dass Menschen schlecht abschneiden, wenn sie eine hochzuverlässige Automatisierung überwachen. Das Problem entschuldigt nicht die bewusste Nutzung eines Telefons. Es ändert, was ein verantwortungsvoller Konstrukteur vorhersehen muss. Ein Verbot kann einige Fehlverhalten verhindern, aber eine Risikobewertung muss von der Annahme ausgehen, dass die passive Wachsamkeit nachlässt, seltene Ausfälle schwer zu erkennen sind und eine einzelne Person eine Regel brechen kann.

Ein Design mit hohen Konsequenzen behandelt perfekte Compliance nicht als unabhängige redundante Schicht.

ATG verfügte vor dem Unfall über nützliche Überwachungsdaten. Nach innen gerichtete Kameras filmten die Bedienerin. Vorgesetzte hätten die Bilder überprüfen können, um Telefonnutzung, Handentfernung und Aufmerksamkeitstrends zu erkennen. Das NTSB stellte fest, dass eine solche Überprüfung selten war. Dies unterscheidet Datensammlung von Kontrolle. Eine Kamera, die erst nach einem tödlichen Unfall Beweise liefert, ist ein Untersuchungswerkzeug. Eine Kamera, die mit Alarmen, Stichproben, Coaching, Suspendierung und Trendanalyse verbunden ist, ist eine vorbeugende Kontrolle.

Die Streichung des zweiten Bedieners verschärfte das Risiko. Die dokumentierten Aufgaben des Fahrzeugbedieners übertrugen der operativen Rolle die Überwachung der Straße, das Eingreifen und die Ereignisprotokollierung. Das Tablet reduzierte die Protokollierungslast, beseitigte aber nicht die Notwendigkeit, den Blick abzuwenden. Eine zweite Person hätte sich um die Protokollierung kümmern, die Aufmerksamkeit der anderen überprüfen und als sozialer Erinnerer fungieren können. Zwei Personen sind nicht automatisch sicher, und beide können abgelenkt sein, aber eine zu entfernen, ohne angemessenen Ersatz, beseitigte Vielfalt im Ausfall.

Die richtige Verantwortungsfrage ist nicht, ob ATG berechtigt war, seinen Betrieb effizienter zu gestalten. Sie ist, welche Beweise die Änderung stützten. Ein vertretbares Änderungsdossier würde die vom zweiten Bediener kontrollierte Gefahr identifizieren, die verbleibende Arbeitsbelastung mit dem neuen Tablet quantifizieren, die Wachsamkeitsdauer analysieren, die Wiederherstellungsleistung nach langen ereignislosen Zeiten testen, maximale Expositionen pro Schicht und Route festlegen, Aufmerksamkeitsschwellen definieren und die Genehmigung einer unabhängigen Sicherheitsfunktion erfordern.

Das öffentliche NTSB-Dossier fand vor dem Unfall keinen angemessenen Sicherheitsrisikobewertungsprozess, der diese Rolle erfüllte.

Deshalb sind das Verschulden der Bedienerin und die systemdesignbezogene Verantwortung vereinbar. Die Bedienerin hatte die Pflicht, die Straße zu überwachen, und tat dies nicht. ATG hatte die Pflicht zu bewerten, ob der Ausfall gegen vorhersehbares menschliches Versagen resistent war, und tat dies nicht angemessen. Ersteres erklärt, warum die letzte menschliche Intervention fehlschlug. Letzteres erklärt, warum die Aufmerksamkeit einer einzelnen Person zu einem so kritischen Single Point of Failure geworden war.

Die Sicherheitskultur verwandelte einzelne Schwächen in einen einzigen Betriebszustand

Der Abschlussbericht verwendete den Begriff „Sicherheitskultur“ nicht als vage Kritik. Er verband ihn mit einer fehlenden Struktur und ineffektiver Ausführung. Zum Zeitpunkt des Unfalls hatte ATG keinen unternehmensweiten Sicherheitsplan, der Risikoverantwortlichkeiten zwischen Abteilungen zuwies, keine Sicherheitsabteilung und keinen dedizierten Sicherheitsbeauftragten. Der Betriebsleiter, der keine Erfahrung im Sicherheitsmanagement hatte, trug die Verantwortung des Sicherheitsbeauftragten zusätzlich zu seinen operativen Aufgaben.

Diese Struktur wirkte sich an mehreren Entscheidungspunkten aus. Wer konnte die Deaktivierung der serienmäßigen AEB unabhängig anfechten? Wer war für die Gefahr verantwortlich, die durch das Zurücksetzen der Verfolgungshistorie nach Klassifizierungsänderungen entstand? Wer genehmigte das einsekündige Aktionssperrintervall und die Entscheidung, eine unvermeidbare Kollision nicht mit maximal verfügbarer Bremsung abzumildern? Wer validierte die Streichung des zweiten Bedieners? Wer überprüfte die Aufmerksamkeitsdaten und setzte einen Bediener außer Dienst oder setzte eine Route aus, wenn Richtlinienverstöße auftraten?

Ohne klare, kompetente und unabhängige Zuweisung konnte jede Frage in der lokalen Logik ihrer Ingenieurs- oder Betriebsabteilung gefangen bleiben.

Die Umsetzung der Richtlinien wies die gleiche Schwäche auf. ATG hatte eine Handyregel, eine Disziplinarskala und eine Drogentestrichtlinie. Dennoch hatte es keine Aufzeichnung über die individuelle Akzeptanz der Handyregel und führte Tests sporadisch durch. Die am Unfall beteiligte Bedienerin hatte weder einen Einstellungstest noch einen Zufallstest und wurde nach der unternehmenseigenen Unfallrichtlinie nicht getestet. Das NTSB fand keine Beweise dafür, dass eine Beeinträchtigung der Bedienerin zum Unfall beigetragen hat; der Test liefert daher keine kausale Erklärung.

Es zeigt, dass schriftliche Sicherheitszusagen nicht zuverlässig in die betriebliche Praxis umgesetzt wurden.

Die Unfall- und Vorfallsdaten erforderten ebenfalls organisatorisches Lernen. Der Automatisierungsbericht zählt 37 frühere Unfälle und Vorfälle im autonomen Modus zwischen September 2016 und März 2018 auf, die meisten betrafen ein anderes Fahrzeug, das den Test-SUV traf. Diese Historie belegt nicht, dass eine frühere Warnung identisch mit Herzbergs Überquerung existierte. Sie zeigt, dass ATG über eine wachsende Feldhistorie verfügte, die eine strukturierte Klassifizierung, eine expositionsstandardisierte Analyse und eine Gefahrenprüfung erforderte.

Rohe Ereigniszahlen können Sicherheit ohne Kilometer-, Szenario- und Schweregradkontext nicht beweisen; das Fehlen eines identischen tödlichen Ereignisses sollte auch nicht als Beweis dafür angesehen werden, dass die Architektur sicher war.

Die externe Sicherheitskulturprüfung nach dem Unfall empfahl ein SMS, hochrangige Sicherheitsverantwortliche, interne Kommunikation, Schulungsreform, unangekündigte Bedienerkontrollen und stärkere betriebliche Risikokontrollen. Da es von ATG in Auftrag gegeben worden war, entspricht es nicht einer Durchsetzungsfeststellung einer Regulierungsbehörde. Das NTSB bewertete das Unfall-Dossier unabhängig und gelangte zu übereinstimmenden Schlussfolgerungen über den Sicherheitsrahmen vor dem Unfall.

Das öffentliche NTSB-Dossier ermöglicht die Einsichtnahme in die zugrunde liegenden Sachverhaltsberichte, Unternehmensbeiträge und Anhänge, sodass Leser zwischen Unternehmensaussagen und Ermittlerfeststellungen unterscheiden können.

Die Governance öffentlicher Straßen überließ es dem Entwickler, seine kritischen Schutzmaßnahmen zu notieren

Der Tempe-Betrieb lag zwischen traditionellen Autoritätsteilungen. Die NHTSA reguliert Kraftfahrzeuge und Ausrüstung auf Bundesebene. Die Bundesstaaten regulieren Fahrer, Zulassung und Straßenverkehr. Ein sich entwickelndes ADS kompliziert diese Aufteilung, weil die Maschine die Fahraufgabe ausführt, während ein Unternehmensmitarbeiter sie überwacht, und weil das modifizierte Fahrzeug die Basisfahrzeugstandards erfüllen kann, während die experimentelle Software ein neues Verhalten erzeugt.

ADS 2.0 identifizierte zwölf Sicherheitselemente, darunter operativer Designbereich, Objekt- und Ereigniserkennung und -reaktion, Ausfall, Validierung, Mensch-Maschine-Schnittstelle, Datenaufzeichnung und Verhalten nach einem Unfall. Die Leitlinien selbst förderten eine öffentliche, freiwillige Sicherheitsselbstbewertung, stellten jedoch klar, dass sie weder umfassend noch verpflichtend war und keiner Bundesgenehmigung unterlag. Das Dokument war daher ein Transparenzmechanismus und keine Zugangsvoraussetzung.

Das NTSB stellte fest, dass freiwillige Einreichungen einen begrenzten Sicherheitswert hatten, wenn Entwickler sie umgehen konnten und die NHTSA ihre Angemessenheit nicht bewertete. Es gab die Empfehlungen H-19-47 bis H-19-52 heraus. Empfehlung H-19-47 fordert die NHTSA auf, von Entwicklern, die öffentliche Straßentests durchführen, die Einreichung von Sicherheitsselbstbewertungen zu verlangen. H-19-48 fordert die Behörde auf, diese zu bewerten, um das Vorhandensein angemessener Schutzmaßnahmen zu überprüfen, einschließlich der Überwachung des Bedienerengagements.

H-19-49 und H-19-50 fordern Arizona auf, eine risikoorientierte Antragstellung und eine Expertenprüfung vor der Erteilung einer Testgenehmigung zu verlangen. H-19-52 fordert ATG auf, ein Sicherheitsmanagementsystem abzuschließen.

Der spätere gesetzgeberische Rahmen von Arizona ist expliziter als die Position von 2016, dass keine spezielle Genehmigung erforderlich sei. Artikel 28-9702 der Arizona Revised Statutes erlaubt den Betrieb mit einem lizenzierten Menschen, der die Fahraufgabe übernehmen kann. Für den fahrerlosen Betrieb verlangt er einen Plan für die Interaktion mit Strafverfolgungsbehörden und eine schriftliche Erklärung, die die bundesstaatliche Konformität anerkennt, sofern erforderlich, eine Bedingung für minimale Risiken nach einem relevanten ADS-Ausfall, die Fähigkeit, die Verkehrsregeln einzuhalten, sowie Titel, Zulassung und Versicherung.

Das ADOT kann einen Unterlassungsbescheid ausstellen, wenn die erforderlichen Unterlagen nicht eingereicht werden. Andere Artikel schaffen Verfahren zur Suspendierung der Zulassung, wenn Anzeichen darauf hindeuten, dass ein Fahrzeug gefährlich sein könnte.

Dies sind echte rechtliche Kontrollen, und das Kapitel 117 von 2021 hat wesentliche Anforderungen von der Exekutivpolitik ins Gesetz übertragen. Die aktuellen ADOT-Seiten unterscheiden zwischen Tests mit Sicherheitsfahrer und Tests oder Betrieb ohne Fahrer. Dennoch veröffentlichen die sichtbaren Bestimmungen selbst keine unabhängige Expertenfeststellung, dass die Nachweise eines Entwicklers zur Objektantwort, Ausfall, Bedienerüberwachung und Änderungskontrolle vor Tests angemessen sind.

Der Vergleich des öffentlichen Rahmens mit H-19-49 und H-19-50 legt nahe, dass Zusicherung und Durchsetzung sichtbarer sind als eine fallspezifische Expertenvorabgenehmigung. Er beweist nicht, welche nicht-öffentlichen Interaktionen das ADOT mit einem bestimmten Betreiber führen kann.

Im Jahr 2023 hob Gouverneurin Katie Hobbs die Executive Order 2018-04 auf, da die spätere Gesetzgebung das Thema abdeckte. Die Aufhebungsverordnung bestätigt den rechtlichen Übergang; sie löscht nicht die historische Rolle der Order von 2018 zum Zeitpunkt des Unfalls. Diese zeitliche Unterscheidung vermeidet zwei Fehler: das aktuelle Recht rückwirkend auf Ubers Tests im Jahr 2018 anzuwenden oder so zu tun, als ob nach der NTSB-Schlussfolgerung in Arizona keine Reformen stattgefunden hätten.

Die bundesstaatlichen Nachweiskontrollen haben sich ebenfalls geändert. Die NHTSA-Standardanordnung zur Unfallmeldung, erstmals 2021 veröffentlicht und später geändert, verlangt von identifizierten ADS- und Level-2-Entitäten, meldepflichtige Unfälle zu melden. Die NHTSA kann diese Meldungen für Nachverfolgung, Mängeluntersuchungen und Durchsetzung nutzen. Die Anordnung verbessert Aktualität und Vergleichbarkeit gegenüber Ad-hoc-Meldungen. Sie erfolgt jedoch nach einem meldepflichtigen Unfall oder Vorfall; sie ersetzt nicht die prospektive Bewertung eines Plans für öffentliche Straßentests.

Zum Zeitpunkt der Artikelerstellung listet die NHTSA-Seite zu offenen NTSB-Empfehlungen immer noch H-19-47 und H-19-48. Die Antwort der Behörde vom März 2020 bat darum, sie als offene akzeptable Antworten zu betrachten, während sie sich auf freiwillige Bewertungen und verwandte Initiativen stützte. Die vertretbare Schlussfolgerung ist nicht, dass die Bundesaufsicht stillgestanden hat; die obligatorische Unfallmeldung ist substanziell.

Sie ist, dass die verbindliche Einreichung vor Tests und die bundesstaatliche inhaltliche Bewertung, genau die Kontrollen, die das NTSB forderte, in der eigenen Liste offener Empfehlungen der Behörde nicht als abgeschlossen erschienen.

Die rechtliche Verantwortung erledigte einen Fall, nicht die Architektur

Das Strafverfahren gegen die Bedienerin ist wichtig, weil es die Vorstellung widerlegt, dass Automatisierung jede menschliche Verpflichtung beseitigt hätte. Die Grand Jury klagte sie 2020 wegen fahrlässiger Tötung an. Die spätere Vereinbarung ersetzte das Risiko eines Prozesses durch ein vereinbartes Schuldeingeständnis wegen Gefährdung und eine Bewährungszeit mit Auflagen. Die Ankündigung des Bezirksstaatsanwalts von Maricopa aus dem Jahr 2023 betont die Verantwortung einer Person am Steuer trotz der verfügbaren Technologie.

Dieser Ausgang hat Grenzen. Ein Schuldeingeständnis stellt nicht alle faktischen Behauptungen der früheren Anklage fest. Es entscheidet nicht über das technische Design, die Angemessenheit des ATG-Managements, die regulatorische Pflicht Arizonas oder eine hypothetische Verteilung zivilrechtlichen Verschuldens. Es verwandelt auch keinen beitragenden Faktor des NTSB in ein strafrechtliches Tatbestandsmerkmal. Den Fall als Beweis zu verwenden, dass nur die Bedienerin zählte, würde das gerichtliche Dossier überschreiten.

Der umgekehrte Fehler wäre, den NTSB-Bericht als ein Urteil über die Unternehmensverantwortung zu behandeln. Das Board ermittelt die wahrscheinliche Ursache und gibt Sicherheitsempfehlungen. Es spricht keinen Schadensersatz zu, und sein Verfahren ist kein kontradiktorischer Prozess. Seine systemischen Schlussfolgerungen sind maßgeblich für die Verkehrssicherheitsanalyse, beweisen aber nicht selbst eine Straftat oder eine Zivilklage.

Ein breiteres Rechenschaftsproblem entsteht, wenn die rechtliche Sichtbarkeit sich auf den letzten menschlichen Akteur konzentriert. Eine Fahrerin hat einen Namen, einen Telefonbericht und einen genauen Zeitpunkt der Unaufmerksamkeit. Die systemischen Entscheidungen verteilen sich über Anforderungen, Softwareversionen, Integrationsbesprechungen, Personalbudgets, Sicherheitsprüfungen und Landespolitik. Sie können kausal bedeutsam sein, ohne klar einer einzelnen Straftat zu entsprechen. Ein ausgereiftes Rechenschaftssystem muss die Pflicht der Fahrerin bewahren und gleichzeitig institutionelle Entscheidungen ebenso nachvollziehbar machen.

Dies bedeutet, die namentliche Genehmigung sicherheitskritischer Änderungen zu dokumentieren und Entscheidungen nicht nur einer Unternehmenseinheit zuzuweisen. Es erfordert die Aufbewahrung der Gefahrenanalyse, die die AEB-Deaktivierung rechtfertigte, der Validierung, die die Aktionssperre stützte, der Leistungsdaten zur Einzelbedienerzuweisung, der Videoprüfrate für Aufmerksamkeit und der Grundlage, die der Staat für die Zulassung der öffentlichen Straßenexposition verwendete. Ohne diese Dokumente kann das Strafrecht über das persönliche Verhalten entscheiden, während das Systemlernen unvollständig bleibt.

Die Auswirkung reichte über die Kollision hinaus

Die direkte Auswirkung war irreversibel: Herzberg wurde getötet. Die öffentliche Analyse darf sie nicht in ein Testszenario verwandeln oder das Ereignis auf einen technischen Schritt reduzieren. Sie war eine Person, die eine öffentliche Straße benutzte und nicht in die Validierung eines sich entwickelnden Systems eingewilligt hatte. Dass sie außerhalb eines Fußgängerüberwegs die Straße überquerte und die Toxikologie eine mögliche Beeinträchtigung nahelegte, gehört zum kausalen Dossier, wie das NTSB feststellte. Es überträgt ihr nicht die Kontrolle über Ubers Schutzmaßnahmen.

Ihre Familie erlitt einen Verlust und einen langen öffentlichen Prozess, in dem Video, Toxikologie, Software und das Verhalten der Fahrerin wiederholt geprüft wurden. Die hier verwendeten primären offiziellen Quellen liefern kein zuverlässiges öffentliches Maß für den gesamten wirtschaftlichen oder nichtwirtschaftlichen Schaden der Familie, und eine solche Zahl darf nicht erfunden werden. Ein Todesfall gewinnt nicht an Genauigkeit, wenn ihm eine ungestützte Geldschätzung beigefügt wird.

Die Bedienerin wurde strafrechtlich verfolgt, gestand und erhielt Bewährung. Die anderen Sicherheitsfahrer erbten einen veränderten Beruf: mehr Schulung und Überwachung, aber auch klarere Beweise, dass die Überwachung von Automatisierung zu persönlicher rechtlicher Exposition führen kann. Arbeitgeber, die eine Person als Ausweichlösung bezeichnen, müssen die tatsächlichen Grenzen offenlegen, für seltene Notfälle schulen, die Aufmerksamkeit messen und dieser Person ausreichende Autorität und Redundanz geben, um diese Rolle zu erfüllen.

Uber ATG setzte öffentliche Tests aus, verlor die Betriebserlaubnis in Arizona, trug Untersuchungs- und Neukonstruktionskosten und reduzierte Umfang und Geschwindigkeit seines Programms bei Wiederaufnahme. Die von Uber vor seinem Börsengang eingereichte Registrierungserklärung erwähnte den tödlichen Unfall und das Risiko, dass Ausfälle autonomer Fahrzeuge zu Haftung, Prüfung und Reputationsschäden führen könnten. Der bei der SEC eingereichte S-1 ist eine Unternehmensmitteilung an Investoren, kein unabhängiger Sicherheitsnachweis, aber er bestätigt, dass die Folgen zu einem bedeutenden Unternehmensrisiko geworden waren.

Die Rolle von Volvo erforderte Klarheit, weil das Fahrzeug seine Basisarchitektur verwendete, während ATG das sich entwickelnde System kontrollierte. In seiner Parteieneingabe an das NTSB betonte Volvo die Herausforderung menschlicher Faktoren, einen überwachenden Fahrer bereit zu halten, der als Ausweichlösung eingreifen kann. Eine Parteieneingabe vertritt deren Position und darf nicht als Schlussfolgerung des Boards behandelt werden. Sie ist ein nützlicher Beweis, dass der Hersteller des Basisfahrzeugs die Verfügbarkeit des Ausweichs als Designfrage anerkannte, nicht nur als Frage der Persönlichkeit der Bedienerin.

Arizona trug einen Legitimitätskosten. Der Staat hatte seine wenig regulierte Umgebung als Vorteil präsentiert und dann Uber nach dem Tod ausgesetzt. Das Problem ist nicht, dass Innovation und Sicherheit sich gegenseitig ausschließen. Es ist, dass die öffentliche Zusicherung schwächer wird, wenn der Zugang einfach ist, die technische Prüfung undurchsichtig und die entschlossene Durchsetzung erst nach dem Schaden erfolgt. Spätere Gesetze können die Autorität stärken, aber Vertrauen erfordert auch, dass offengelegt wird, was geprüft wurde und warum ein Test zugelassen wurde.

Der Sektor der autonomen Fahrzeuge wurde verstärkt geprüft hinsichtlich öffentlicher Straßentests, Sicherheitsfahrer und freiwilliger Selbstzertifizierung. Dieser Effekt kann aus einem einzigen Fall nicht quantifiziert werden. Technologieinvestitionen, öffentliche Meinung und Einsatzpläne reagieren auf viele Ereignisse. Die gestützte Ableitung ist enger: Der Unfall lieferte den konkreten Beweis, dass ein sich entwickelndes ADS einen Verkehrsteilnehmer erkennen konnte, ohne rechtzeitig ein Ausweichmanöver zu erzeugen, und dass ein menschlicher Ausfall im Rahmen einer schlecht gemanagten Überwachungsaufgabe scheitern konnte.

Belege für Abhilfemaßnahmen: Was sich geändert hat und was die Beweise zeigen

Die erste Kontrolle von ATG war die Einstellung. Das Unternehmen beendete die öffentlichen Straßentests am Tag nach dem Unfall und nahm sie erst im Dezember wieder auf. Eine Aussetzung verhindert eine sofortige Wiederholung während der Untersuchung und Neukonstruktion. Sie allein ist kein Beweis, dass das spätere System sicher ist.

Die technischen Änderungen gingen direkt auf die aufgezeichnete Sequenz ein. ATG änderte die Sensorfusion und Bewegungsvorhersage, sodass frühere Positionen bei einem Klassifizierungswechsel relevant blieben. Das aktualisierte System konnte einem Fußgänger eine Überquerungsabsicht in der Straßenmitte zuweisen. Es entfernte die Aktionssperre, erlaubte Bremsungen zur Schadensminderung, selbst wenn eine vollständige Vermeidung unmöglich war, und erhöhte den zulässigen Ruck.

Es änderte die Radarfrequenz von ATG und arbeitete mit Volvo an der Bremsbefehlspriorisierung, sodass die Frontkollisionswarnung und die Fußgänger-AEB während autonomer Tests aktiv bleiben konnten.

Diese Änderungen korrespondieren stark mit den Ursachen. Jede zielt auf eine ausgefallene Schicht: Kontinuität, Überquerungsvorhersage, verspätete Reaktion, Schadensminderung und unabhängiges Bremsen. ATG spielte die Sensordaten des Unfalls mit einer Softwareversion vom September 2018 erneut ab und gab an, dass die neue Version die Fußgängerin früher klassifiziert, den Überquerungskonflikt vorhergesagt und mehr als vier Sekunden vor der ursprünglichen Aufprallzeit eine kontrollierte Bremsung eingeleitet hätte. Dies ist ein nützlicher Regressionsnachweis, aber Quelle und Methode zählen.

Es war eine ATG-Simulation, die den Ermittlern mitgeteilt wurde, keine unabhängige öffentliche Nachstellung mit allen Details zu Software, Szenario und Akzeptanzkriterien.

Die betrieblichen Änderungen korrespondierten ebenfalls mit den Feststellungen. ATG stellte zwei geschulte Missionsspezialisten wieder ein, trennte die Straßenüberwachung vom Beifahrersitz von anderen Aufgaben, erweiterte die Schulung zu Ablenkung und Notmanövern und fügte eine Echtzeit-Aufmerksamkeitsüberwachung durch Innenkamera hinzu. Ein mehrmaliger Blick zur Seite konnte einen Alarm im Fahrzeug und einen Bericht an den Vorgesetzten auslösen. Das NTSB kam zu dem Schluss, dass diese Maßnahmen begannen, die Aufsichtsmängel zu beheben.

Das Wort „begannen“ ist angemessen vorsichtig: Installation und Verfahren zeigen das Kontrolldesign, während die Langzeitleistung der Alarme, Fehlalarmraten, Reaktion des Vorgesetzten und Verhalten unter Druck die Kontrolleffektivität zeigen.

Die organisatorische Abhilfe umfasste ein Sicherheitsmanagementsystem mit Richtlinie, Risikomanagement, Sicherstellung und Förderung; eine dedizierte Sicherheitsleitung; eine überarbeitete Test-Governance; und eine formellere Inbetriebnahmeprüfung. Die Parteieneingabe von Uber ATG an das NTSB beschrieb seine internen und externen Prüfungen und beanspruchte umfangreiche Verbesserungen. Als Unternehmenseingabe beweist sie, was ATG sagte und welche Dokumente es vorlegte, nicht deren unabhängige Wirksamkeit.

Die externen Beweise verstärkten sich später. Die aktuelle NTSB-Seite zu den Ergebnissen von Fahrzeugautomatisierungsuntersuchungen gibt an, dass H-19-52, die Empfehlung zum Abschluss des SMS, am 26. April 2024 geschlossen wurde. Der Abschluss einer Empfehlung ist bedeutsam: Das Board befand die Maßnahme des Empfängers für seine Nachverfolgung als ausreichend. Die Seite gibt auch an, dass Uber ATG von einem anderen Entwickler übernommen worden war. Der Abschluss zertifiziert nicht, dass die ursprüngliche Uber-Einheit noch in Betrieb ist, dass jede Entscheidung vor dem Unfall korrigiert wurde oder dass alle Testdaten öffentlich sind.

Der Eigentümerwechsel änderte den bewerteten Gegenstand. Uber gab den Verkauf seines ATG-Geschäfts an Aurora im Dezember 2020 bekannt und schloss ihn im Januar 2021 ab. Das Uber-Formular 10-K 2020 dokumentiert die Übertragung und die Fortsetzung der Geschäftsbeziehung. Eine reparierte Kontrolle, die in ATG integriert war, kann mit Personen und Vermögenswerten übertragen, unter Aurora modifiziert oder entfernt worden sein. Die öffentlichen Beweise sollten Uber im Jahr 2026 nicht fahrlässig als Betreiber desselben Entwicklungsprogramms wie in Tempe beschreiben.

Uber fungiert nun teilweise als Plattform, die autonome Partner integriert. Seine Sicherheitsrichtlinien für autonome Mobilität und Lieferung vom April 2026 beschreiben die Bewertung der Sicherheitspläne der Partner während Planung, Demonstration und Betrieb. Sie fordern die Kommunikation von Leistung und verweisen auf Standards, geben aber auch an, dass die Bewertung kein einzelnes Maß und keinen einzelnen Schwellenwert für jeden Partner vorschreibt.

Dies ist ein Beweis für einen aktuellen Governance-Rahmen, nicht der Beweis, dass ein bestimmter Partner einen offengelegten Test bestanden hat oder dass die Tempe-Kontrollen unabhängig repliziert wurden.

Die regulatorische Abhilfe ist ebenso gemischt. Die obligatorische Unfallmeldung liefert der NHTSA Daten, die sie 2018 nicht hatte, und Arizona hat jetzt Gesetze, die den autonomen Betrieb und dessen Durchsetzung regeln. Dennoch bleibt die bundesstaatliche Sicherheitsselbstbewertung vor Tests freiwillig, und die entsprechenden NTSB-Empfehlungen bleiben offen. Die GAO-Überprüfung der Aufsicht über automatisierte Fahrzeuge, aktualisiert bis März 2026, wies weiterhin darauf hin, dass das DOT keinen umfassenden Plan in Übereinstimmung mit den Prinzipien der umfassenden Planung hatte.

Das Bundesystem hat mehr Nachweise nach Vorfällen, aber das öffentliche Dossier offenbart keine einheitliche Genehmigungsbedingung für Sicherheitsdossiers von sich entwickelnden ADS auf öffentlichen Straßen.

Bestätigte Fakten, gestützte Ableitungen und öffentliche Unbekannte

Die bestätigten Fakten sind zahlreich. Das ADS erfasste Herzberg 5,6 Sekunden vor dem Aufprall und identifizierte eine Kollisionsflugbahn erst 1,2 Sekunden davor. Die Klassifizierung änderte sich mehrmals und die Verfolgungshistorie wurde bei diesen Änderungen nicht beibehalten. Die Aktionssperre dauerte dann eine Sekunde. Die werkseitige Frontkollisionswarnung und AEB waren im autonomen Modus deaktiviert. Die Bedienerin streamte ein Video und blickte während des kritischen Anflugs nach unten. ATG hatte den zweiten Bediener gestrichen und die Innenkamerabilder selten überprüft.

Das NTSB bezeichnete die Ablenkung der Bedienerin als wahrscheinliche Ursache und ATGs Sicherheitskultur, Risikobewertung, Aufsicht und Kontrollen der Selbstzufriedenheit als beitragende Faktoren. Arizona setzte die Tests aus, ATG stellte sie ein und nahm sie unter geänderten Bedingungen wieder auf, und die Bedienerin bekannte sich schließlich der Gefährdung schuldig.

Es ist auch bestätigt, dass ATG die betreffenden technischen und betrieblichen Kontrollen geändert hat. Das NTSB dokumentierte die Reaktivierung kompatibler Sicherheitssysteme des Basisfahrzeugs, die Änderung der Bewegungsvorhersage, die Entfernung der Sperre, die Hinzufügung von Schadensminderungsbremsungen, die Wiedereinsetzung eines zweiten Bedieners, die Hinzufügung von Echtzeit-Aufmerksamkeitsüberwachung und die Entwicklung eines SMS. Das NTSB schloss dann H-19-52. Die NHTSA schreibt jetzt die Meldung von meldepflichtigen ADS-Unfällen vor. Arizona hat Gesetze zu autonomen Fahrzeugen erlassen. Uber verkaufte ATG an Aurora.

Mehrere Schlussfolgerungen sind gestützte Ableitungen und keine direkt beobachteten Tatsachen. Die Beibehaltung der Verfolgungshistorie und die Behandlung der Überquerung in der Straßenmitte als mögliche Absicht sollten den genauen Wahrnehmungs- und Vorhersagefehler reduzieren, der in Tempe beobachtet wurde, da diese Änderungen auf seinen Mechanismus abzielen. Eine unabhängige AEB und die Entfernung der Sperre sollten die Schadensminderungsmöglichkeiten verbessern. Zwei Bediener und Echtzeit-Aufmerksamkeitsalarme sollten das Risiko verringern, dass ein einziger langer Blick den gesamten Ausfall zunichte macht.

Das NTSB und ATGs Simulation stützen diese Vorschläge, aber die Öffentlichkeit kann die genaue Risikoreduktion nicht berechnen.

Die Schlussfolgerung, dass die Streichung des zweiten Bedieners ein stärkeres Sicherheitsänderungsdossier erforderte, als das öffentliche Dossier zeigt, ist eine gestützte Ableitung. Das NTSB stellte eine erhöhte Arbeitsbelastung und reduzierte Redundanz sowie eine unzureichende Risikobewertung fest. Dies beweist nicht das geschäftliche Motiv für die Personaländerung und identifiziert nicht jeden Führungskraft, der sie genehmigt hat. Das öffentliche Dossier legt nicht fest, ob Kosten, Flottenerweiterung, Vertrauen in das Tablet oder ein anderer Faktor die Entscheidung dominierte.

Wichtige technische Details bleiben der Öffentlichkeit unbekannt. Der vollständige Quellcode, die Modellparameter, Trainingsdaten, Fehlalarmverteilungen, Simulationskorpus, Inbetriebnahmekriterien und vollständige Szenariotestergebnisse sind nicht im Dossier enthalten. Die Öffentlichkeit kann die Wiedergabe der aktualisierten Software nicht reproduzieren oder jeden Fall überprüfen, in dem das überarbeitete System unnötig gebremst hat.

Sie kann die Empfindlichkeit des Aufmerksamkeitsüberwachungssystems in Bezug auf Beleuchtung, Brille, Kopfposition und Bedienerdiversität nicht überprüfen oder feststellen, wie oft Vorgesetzte auf seine Berichte reagiert haben.

Das vollständige Dossier interner Entscheidungen ist ebenfalls nicht verfügbar. Die öffentlichen Dokumente nennen nicht jeden, der die AEB-Deaktivierung, die Aktionssperre, die Bremsgrenzen, die Einzelbedienerzuweisung oder die öffentliche Straßeninbetriebnahme genehmigt hat. Sie offenbaren nicht jeden Einwand, jede Risikoakzeptanz, jeden Termindruck oder jede Eskalation. Das Fehlen dieser Beweise beweist keine unangemessene Absicht; es schränkt die Zuschreibung ein.

Die Nachhaltigkeit der Abhilfemaßnahmen ist teilweise nicht erkennbar, da die Organisation den Besitzer gewechselt hat. Der NTSB-Abschluss stellt eine akzeptierte Antwort auf H-19-52 dar, während der Verkauf von 2021 bedeutet, dass spätere Betriebsbeweise zu einer anderen Unternehmensstruktur gehören. Der aktuelle Plattformrahmen von Uber kann nicht als bloße Fortsetzung der ATG-Kontrollen nach dem Unfall angesehen werden. Die spätere Leistung von Aurora kann nicht automatisch Uber zugeschrieben werden, und die derzeitige Governance der Uber-Partner validiert nicht das Programm von 2018.

Die Gesamtauswirkung ist nicht öffentlich. Die hier verwendeten offiziellen Dokumente quantifizieren nicht alle familiären Verluste, Folgen für Mitarbeiter, Programmkosten, kommunale Auswirkungen oder den Branchenverzug. Sie stützen keinen einzigen Gesamtbetrag. Sie legen auch nicht fest, wie sich die öffentliche Akzeptanz ohne den Unfall entwickelt hätte.

Die öffentlichen Beweise können kein kontrafaktisches Szenario ohne Unfall mit Sicherheit feststellen. Nach den NTSB-Tests hätte eine aufmerksame Bedienerin den Aufprall wahrscheinlich vermeiden oder abmildern können. Die aktualisierte ATG-Software hätte laut Angaben bei der Wiedergabe viel früher gebremst. Dies sind starke, umgrenzte Schlussfolgerungen. Sie legen nicht genau fest, wo Herzberg oder das Fahrzeug in jeder plausiblen Variation zum Stillstand gekommen wären, oder dass kein anderer Ausfall aufgetreten wäre.

Kontrafaktische Szenarien: Wo eine frühere Kontrolle die Kette hätte unterbrechen können

Das unmittelbarste kontrafaktische Szenario ist eine aufmerksame Bedienerin. Die NTSB-Analyse von Sichtweite und Bremsung stützt ein wahrscheinliches Fenster zur Vermeidung oder Milderung, nachdem der SUV auf die gerade Strecke gelangte. Dies ist das stärkste individuelle kontrafaktische Szenario, da es auf gemessener Geometrie und Fahrzeugbremsung basiert. Es rechtfertigt dennoch nicht, Aufmerksamkeit zum einzigen Sicherheitsdossier zu machen.

Ein zweites kontrafaktisches Szenario ist die aktive Überwachung der Bedienerin. Wenn die Innenkamera vor dem Unfall mit einem zuverlässigen Live-Alarm verbunden gewesen wäre, hätten die wiederholten und manchmal sehr langen Blicke der Bedienerin nach unten möglicherweise früher während der Fahrt ein Eingreifen ausgelöst. Ein Vorgesetzter hätte sie warnen oder abziehen können, oder das System hätte ein Anhalten erzwingen können. Diese Annahme wird durch den Trend der aufgezeichneten Bilder und die Form der späteren ATG-Kontrolle gestützt. Der genaue Alarmschwellenwert und das Reaktionsergebnis bleiben unbekannt.

Ein drittes kontrafaktisches Szenario ist das Beibehalten des zweiten Bedieners. Ein Bediener auf dem Beifahrersitz hätte sich um die Protokollierung kümmern, den Blick der Fahrerin bemerken oder die Überquerungsgefahr identifizieren können. Das NTSB behandelte die zweite Person als verlorene Redundanz, und ATG setzte diese Rolle wieder ein. Es kann nicht angenommen werden, dass jede zweite Person aufmerksam geblieben wäre oder rechtzeitig eingegriffen hätte. Das kontrafaktische Szenario ist, dass zwei unabhängige Aufmerksamkeitskanäle das Risiko eines Single Point of Failure reduzieren, nicht, dass zwei Personen Sicherheit garantieren.

Ein viertes beginnt in der Software. Wenn die Objektidentität und die vorherige Bewegung bei Klassifizierungsänderungen erhalten geblieben wären, hätte die beobachtete gleichmäßige Überquerung die Flugbahnvorhersage vor 1,2 Sekunden beeinflussen können. ATGs modifizierte Logik und seine Wiedergabe stützen diese Ableitung. Eine robuste Architektur würde auch unsichere oder wechselnde Klassifizierungen konservativ testen: Ein sich bewegendes unbekanntes Objekt in der Nähe einer zugänglichen Flugbahn sollte ein Kollisionspotenzial behalten, selbst wenn sein semantisches Etikett instabil ist.

Ein fünftes betrifft die Notfallsteuerung. Die Beseitigung des einsekündigen Aktionssperrintervalls hätte nach Erkennung der Gefahr eine knappe Reaktionszeit bewahrt. Die Erlaubnis der maximal möglichen Bremsung zur Schadensminderung hätte den Aufprall möglicherweise reduzieren können, selbst wenn eine vollständige Vermeidung nicht mehr möglich war. Die reaktivierte Volvo-AEB hätte eine unabhängige Warnung oder Bremsung liefern können. Das öffentliche Dossier enthält keine vollständige Rekonstruktion, wie die serienmäßige AEB diese spezielle Überquerung mit den laufenden ATG-Sensoren klassifiziert hätte;

es wäre daher übertrieben zu behaupten, sie hätte den Unfall sicher verhindert.

Ein sechstes ist eine niedrigere Testgeschwindigkeit. ATG nahm mit 25 mph wieder auf, statt der in Tempe geltenden Betriebsgrenze von 45 mph. Eine niedrigere Geschwindigkeit reduziert den Bremsweg und die Aufprallenergie und gibt einem Menschen mehr Zeit. Sie kann auch die Repräsentativität der Route verändern und Tests unter höheren Geschwindigkeitsbedingungen verzögern.

Eine verantwortungsvolle Erweiterung würde einen schrittweisen Nachweis erfordern: Demonstration von Erkennung, Vorhersage, Schadensminderung und Wiederherstellung bei niedriger Geschwindigkeit, dann Genehmigung höherer Geschwindigkeiten erst, wenn szenariobasierte Grenzen eingehalten werden.

Ein siebtes kontrafaktisches Szenario liegt außerhalb des Unternehmens. Ein sicherheitsorientierter Antrag in Arizona hätte von ATG verlangen können, die Deaktivierung der Basis-AEB, die Notbremsgrenzen, die einsekündige Sperre, die Arbeitsbelastung des Einzelbedieners und den Aufmerksamkeitsüberwachungsplan offenzulegen. Eine Expertengruppe hätte Änderungen verlangen oder Tests einschränken können. Dieses Ergebnis ist plausibel, da es genau die Schutzmaßnahmen sind, die das NTSB später hervorhob. Es ist nicht sicher, dass ein Prüfer alle Wechselwirkungen entdeckt oder die Route abgelehnt hätte.

Ein achtes ist die bundesstaatliche Bewertung. Die verpflichtende Einreichung einer VSSA und die inhaltliche Prüfung durch die NHTSA hätten einen nationalen Mindeststandard schaffen und die Entscheidungen der Bundesstaaten informieren können. Die Grenzen sind real: Eine allgemeine Selbsteinschätzung kann einen Fehler auf Quellcodeebene möglicherweise nicht aufdecken, und die Behörden benötigen qualifiziertes Personal und Testkriterien, um sie anzufechten. Eine dokumentarische Bedingung ohne Nachweise und Fachwissen kann zu einer reinen Compliance-Übung werden.

Das nützliche kontrafaktische Szenario ist eine Prüfung, die mit Gefahren, Validierungsergebnissen, Änderungsdossiers und durchsetzbaren Bedingungen verbunden ist.

Das letzte kontrafaktische Szenario betrifft die Stoppbefugnis. Jeder Ingenieur, Bediener oder Vorgesetzte, der eine nicht geminderte Gefahr feststellt, sollte Tests ohne terminliche Nachteile aussetzen können. Die öffentlichen Beweise identifizieren keinen bestimmten Mitarbeiter, der eine solche Anfechtung vor dem Unfall erfolglos vorgebracht hätte. Die Lehre ist strukturell: Arbeitsstoppbefugnis, geschütztes Meldewesen und unabhängige Sicherheitsvalidierung erhöhen die Wahrscheinlichkeit, dass schwache Signale den Einsatz unterbrechen, bevor die Straße den Beweis liefert.

Ein dauerhafter Rechenschaftstest für die sich entwickelnde automatisierte Fahrentwicklung

Der erste Test ist eine namentliche Kontrollkarte. Für jede dynamische Fahraufgabe und jeden Fehlermodus muss der Entwickler die Systemkomponente, die menschliche Rolle und die verantwortliche Person mit Autorität identifizieren. Erkennung, Klassifizierung, Verfolgung, Vorhersage, Bremsung, Ausweichreaktion, Fernunterstützung, Bedienerüberwachung und staatliche Verbindung müssen verantwortliche Personen haben. Eine geteilte Verantwortlichkeit ohne namentliche Entscheidungsbefugnisse wird zu einem Risiko ohne Eigentümer.

Der zweite Test ist die Kontinuität der Gefahr über Softwareschnittstellen hinweg. Wenn sich die Klassifizierung ändert, dürfen Unsicherheit und Bewegungshistorie nicht verschwinden. Die Validierung muss ungewöhnliche Verkehrsteilnehmer, Personen außerhalb erwarteter Überquerungsstellen, teilweise Verdeckungen, schlechte Beleuchtung und Objekte mit unsicherer semantischer Klasse einschließen. Die Sicherheitsanforderung ist nicht nur korrekte Etikettierung; es ist eine konservative Reaktion auf Kollisionen unter Unsicherheit.

Der dritte Test ist die unabhängige Schadensminderung. Ein sich entwickelnder Stack darf keinen einzelnen Menschen als einzige wirksame Notfallebene belassen, wenn eine Kollision unvermeidbar wird. Die AEB des Basisfahrzeugs, ein unabhängiges Überwachungssystem, ein Sicherheitskern oder ein anderer diversifizierter Pfad muss die Befugnis behalten, zu warnen, zu verlangsamen oder anzuhalten. Wenn die Integration einen Serienschutz deaktiviert, muss vor Straßentests ein dokumentierter, gleichwertiger oder überlegener Ersatz gefordert werden.

Der vierte Test betrifft realistische menschliche Leistung. Das Sicherheitsdossier muss den Rückgang der Wachsamkeit, Automatisierungs-Selbstzufriedenheit, Blickverhalten, Arbeitsbelastung, Wiederherstellungszeit und Regelverstöße modellieren. Schulung und Richtlinien bleiben notwendig, aber keine stellt eine unabhängige Redundanz dar. Die Schichtdauer, Routenmonotonie, visuelle Anforderungen der HMI und Alarmgestaltung müssen über lange ereignislose Sequenzen mit seltenen Gefahren getestet werden.

Der fünfte Test ist die aktive Aufmerksamkeitssicherung. Innenkameras und Telemetrie müssen definierte Alarme, eine Anhaltelogik, Vorgesetztenreaktion, Coaching und Entzugskriterien erzeugen. Der Entwickler muss verpasste Erkennungen und Falschalarme messen, nicht nur die Installation ankündigen. Datenschutzbezogene Aufbewahrungsregeln und Zugriffskontrollen müssen explizit sein, da das System kontinuierlich Arbeiter aufzeichnet.

Der sechste Test ist die Kontrolle sicherheitskritischer Änderungen. Die Streichung eines zweiten Bedieners, die Änderung der Geschwindigkeit, die Deaktivierung der AEB oder die Änderung der Sperrlogik müssen eine erneute Gefahrenanalyse und unabhängige Genehmigung auslösen. Das Dossier muss den vorherigen Schutz, seinen Ersatz, die Nachweise, das Restrisiko, den Genehmiger, den Zeitplan und die Rückfallbedingung enthalten. Betriebseffizienz ist kein gleichwertiger Sicherheitsnachweis.

Der siebte Test ist die szenariobasierte Validierung vor der öffentlichen Exposition. Arbeiten auf geschlossenen Strecken und in der Simulation müssen vorhersehbare Grenzfälle und kombinierte Ausfälle mit klaren Bestehenskriterien und Versionsnachverfolgung abdecken. Die Unfallwiedergabe ist ein nützlicher Regressionstest, aber eine Organisation muss auch angrenzende Szenarien testen, die die Korrektur zum Scheitern bringen könnten. Das Bestehen eines einzelnen historischen Falls kann zu einem Overfitting der Sicherheitsreaktion führen, genauso wie bei einem Modell.

Der achte Test ist die expositionsbereinigte Feldbeweisproduktion. Entwickler müssen gefahrene Kilometer pro operativem Designbereich, Definitionen von Abmeldungen und Eingriffen, Kategorien von Unfällen und Beinaheunfällen, Aufmerksamkeitsalarme, Arbeitsstunden der Sicherheitsfahrer und wichtige Softwareänderungen veröffentlichen. Zahlen ohne Nenner und Szenariozusammensetzung sind irreführend. Vertrauliche technische Details können geschützt werden, während genügend Informationen für eine unabhängige Trendanalyse offengelegt werden.

Der neunte Test ist die prospektive öffentliche Autorität. Ein Antrag bei einem Staat muss das Testgebiet, Geschwindigkeiten, Fahrzeugkonfiguration, Ausweichreaktion, Bedienerplan, Fernunterstützung, Vorfallreaktion und die Nachweise, die die Inbetriebnahme stützen, identifizieren. Ein qualifiziertes multidisziplinäres Gremium muss ihn prüfen, Bedingungen auferlegen und die Genehmigung nach sicherheitskritischen Änderungen neu bewerten. Die Bundesprüfung muss eine konsistente Grundlage bieten, anstatt es jedem Staat zu überlassen, die Angemessenheit aus freiwilligen Dokumenten abzuleiten, die wie Marketingmaterialien wirken.

Der zehnte Test betrifft Vorfallbeweise und Eskalation. Die Unfallmeldung muss Sensordaten, Befehle, Videos, Bedienerdaten, Softwareversion und Entscheidungen mit einer gemeinsamen Uhr bewahren. Beinaheunfälle und Aufmerksamkeitsverstöße müssen denselben Lernprozess speisen. Die NHTSA-Standardanordnung verbessert die Transparenz von Unfällen, aber Organisationen sollten nicht auf eine meldepflichtige Kollision warten, um Frühindikatoren zu untersuchen.

Der elfte Test ist die unabhängige Sicherstellung. Interne Simulationen und Richtliniendokumente zeigen Absicht. Externe Prüfer, Regulierungsbehörden und reproduzierbare Tests liefern stärkere Beweise. Sicherstellungsberichte müssen ihren Umfang, Ausschlüsse, fehlgeschlagene Tests und ungelöste Gefahren erläutern. Der Abschluss einer Empfehlung ist bedeutsam, sollte aber nicht über die bewertete spezifische Maßnahme hinaus ausgedehnt werden.

Der zwölfte Test ist die Kontinuität bei Unternehmensumwandlungen. Wenn ein Programm verkauft, umstrukturiert oder in eine Plattform integriert wird, müssen Sicherheitsdossiers, Gefahrenregister, Validierungsanlagen, Vorfallaufzeichnungen und offene Verpflichtungen mit klarer Zuweisung übertragen werden. Die Öffentlichkeit muss zwischen den Abhilfemaßnahmen des ursprünglichen Entwicklers, den Kontrollen eines Nachfolgers und den Anforderungen einer Plattform an ihre Partner unterscheiden können. Andernfalls löst sich die Verantwortung auf, wenn sich das Organigramm ändert.

Tempe bleibt ein entscheidender Fall, weil jede wichtige Schicht Beweise hinterlassen hat. Die Sensoren erfassten die Verkehrsteilnehmerin. Die Software änderte wiederholt die Bedeutung dieser Erfassung. Die Notfalllogik verbrauchte Zeit und verweigerte eine stärkere Schadensminderung. Die Kollisionsschutzsysteme des Basisfahrzeugs waren nicht verfügbar. Die einzige Bedienerin war abgelenkt. Die Überwachungsdaten existierten, wurden aber selten genutzt. Ein zweiter Bediener war gestrichen worden. Das Sicherheitsmanagement war unreif. Die staatliche Zulassung beinhaltete keine sicherheitsorientierte technische Prüfung.

Die Verantwortung der Bedienerin wird durch diese systemische Analyse bestätigt, nicht gelöscht. Die institutionelle Lektion ist, dass eine Person nicht als Sicherheitsschicht bezeichnet und dann als vom Design unabhängig betrachtet werden kann. Derjenige, der den Menschen zur Ausweichlösung macht, kontrolliert die Arbeitsbelastung, Information, Autorität, Überwachung, Redundanz und Zeit, die dieser Mensch hat. Derjenige, der öffentliche Tests genehmigt, kontrolliert die Beweisschwelle, bevor unwillige Verkehrsteilnehmer das Restrisiko tragen.

Eine Abhilfe erfordert daher mehr als ein besseres Modell oder eine strengere Handyregel. Sie erfordert eine überprüfbare Kette, in der unsichere Wahrnehmung konservativ bleibt, Notbremsungen Schäden mindern können, menschliche Grenzen im Sicherheitsdossier integriert sind, Änderungen unabhängig geprüft werden, Behörden Beweise vor der Exposition prüfen und jede behauptete Korrektur am gesamten Ausweichsystem getestet wird. Der Standard ist nicht, dass kein sich entwickelndes Fahrzeug jemals versagen darf.

Er ist, dass keine bekannte Schwäche stillschweigend auf eine einzelne Person, einen einzigen deaktivierten Schutz oder eine nicht informierte Öffentlichkeit übertragen wird.