Product Safe Delivery & Scaling · Fassung 0.1
Werkzeuge erzeugen schneller, als jemand verantworten kann.
Das ist die Veränderung — nicht, dass Code entsteht, sondern das Tempo, mit dem er entsteht. Dieses Regelwerk beschreibt die Vorrichtung dagegen: wer entscheidet, in welchem Gremium, mit welcher Akte, und wo ein Agent schreiben darf, ohne dass der Nachweis reisst.
Product Safe Delivery & Scaling ist der Rahmen, unter dem ich eine Embedded-Organisation führe: sicher liefern, und dabei wachsen können. Er zielt auf das, wofür Ingenieursarbeit aus Deutschland in diesem Feld steht — Sicherheit und Zuverlässigkeit über die Lebensdauer eines Produkts, nicht über die eines Releases. Ein Anspruch an die Arbeit, kein Siegel an einer Leistung.
Einsatzordnung öffnenDer Apparat
Fünf Teile, und keines trägt allein
Wählen Sie ein Teil aus. Die Regel dazu öffnet sich darunter.
Jede Entscheidung verlässt es als Akte, oder sie gilt nicht.
Kein Statusmeeting und kein Architekturzirkel. Die Stelle, an der plattformweite Festlegungen fallen, die einzelne Teams nicht allein treffen dürfen, weil ihre Folgen andere Teams binden.
Was es entscheidet
- Plattformgrenzen: was gehört zur Plattform, was ins Produkt.
- Make-or-buy je Baustein — nie für das Ganze.
- Bindungen an Werkzeugketten, Lieferanten und Lizenzmodelle.
- Die Einstufung der Agentenzonen je Arbeitsschritt.
- Aufnahme und Stilllegung von Varianten.
Was es ausdrücklich nicht entscheidet
- Liefertermine und Lieferumfang — das ist Produkt, nicht Architektur.
- Personalfragen — das ist Führung, und sie gehört nicht in ein Gremium.
- Implementierungsdetails — die gehören dem Team, das sie verantwortet.
Ein Council, das Termine verhandelt, hört auf, Architektur zu entscheiden — es wird das Gremium, in dem der lauteste Druck gewinnt.
Besetzung
| Sitz | Bringt ein | Stimme |
|---|---|---|
| Plattformführung | Vorsitz, Tagesordnung, Stichentscheid bei Patt | ja |
| Systemarchitektur | Technische Kohärenz über Teams hinweg | ja |
| Funktionale Sicherheit | Nachweiskette, Normenrahmen | Anwesenheit erforderlich |
| Werkzeugkette / Integration | Was die Kette real trägt, nicht was sie verspricht | ja |
| Einkauf | Lizenzmodelle, Bindungsdauer, Ausstiegskosten | ja |
| Je Domäne ein Vertreter | Die Folgen für die eigene Domäne | ja |
| Betroffenes Team, anlassbezogen | Den konkreten Fall | wird gehört |
Ohne funktionale Sicherheit kein Beschluss über einen Baustein, der in den Sicherheitsnachweis eingeht. Diese eine Regel verhindert den häufigsten Gremienfehler: die Entscheidung fällt, die Sicherheitsseite erfährt sie später und trägt die Folgen.
Die Grenzen
Die teuerste Überraschung in diesem Feld ist keine technische
Lizenz
Die AUTOSAR-Materialien stehen zum Herunterladen bereit, aber ausdrücklich „for the purpose of INFORMATION ONLY“; die kommerzielle Verwertung „requires a license“. „Selbst bauen auf offener Basis“ heisst nicht automatisch lizenzfrei — und die Frage gehört an Tor 1, nicht an Tor 5.
Normen
MISRA und ISO 26262 sind hier der Anforderungsrahmen, nicht eine behauptete Qualifikation. Das Regelwerk sagt, wo ihre Anforderungen einzulösen sind und wer freigibt — es ersetzt weder Normenberatung noch Assessment.
Kein Skill-Katalog
Fertige Arbeitsschritte für Agenten gibt es öffentlich bereits — etwa 152 Skills in Builder/Reviewer-Paaren von der Gefährdungsanalyse bis zum Safety Case. Genau das ist der Punkt: Skills sagen, WIE ein Schritt ausgeführt wird. Ein Regelwerk sagt, OB er ausgeführt werden darf, von wem, und was danach wahr sein muss.
§ 7
Ein Regelwerk, das nur regelt, ist eine Bremse
Klarheit, wo sie entscheiden dürfen
Die häufigste Ursache für Stillstand ist nicht Unfähigkeit, sondern die Unsicherheit, ob man darf.
Eine Gegenprobe, die ihnen gehört
Trägt die Kette die Prüfung, ist Erzeugen risikoarm und Ausprobieren erlaubt. Ohne sie wird jeder Vorschlag zur persönlichen Haftung.
Schutz vor dem Rückstau
Wer Agenten einführt, ohne die Prüfkapazität mitzuskalieren, verlagert die Last auf die erfahrensten Leute. Sie sind es, die dann gehen.
Die Erlaubnis, eine Entscheidung wieder aufzumachen
Ohne Wiedervorlage wird jede Akte ein Grabstein und Widerspruch zur Illoyalität.
Was dieses Regelwerk nicht ist
Es qualifiziert nichts, zertifiziert nichts und ersetzt keine Bewertung durch die funktionale Sicherheit. Die Ableitungslogik ist an die Werkzeugklassifikation der funktionalen Sicherheit angelehnt — eine Anlehnung an einen Denkweg, keine Konformitätsaussage.
Der stärkste Einwand, und er steht hier absichtlich
„Die Zonenzuordnung ist ein Urteil im Gewand einer Rechnung.“ Ob ein Fehler unbemerkt ins Produkt gelangen kann, ist eine Einschätzung. Das stimmt. Es bringt das Regelwerk aus zwei Gründen nicht um: die tragende Frage ist nachprüfbar — die Prüfung läuft in der Kette oder sie läuft nicht, und sie allein deckelt die Zone. Und das Festhalten des Urteils ist der Zweck. Heute wird dieselbe Einschätzung dreimal pro Woche implizit und widersprüchlich gefällt.
Fassung 0.1, Stand 2026-09-01. Zum Übernehmen und Streichen gedacht.