Turvallisuus, redundanssi ja sääntely

Viimeksi muokattu: elok. 08, 2026

Turvallisuus on jäsennelty väite tarkasti määritellystä toiminnosta, ajoneuvosta, toiminta-alueesta ja versiosta. Väite perustellaan ennen käyttöönottoa kerätyllä näytöllä ja käyttöönoton jälkeen seurattavalla tiedolla. Se kattaa toiminnallisen turvallisuuden, antureiden rajoitteet, inhimilliset tekijät, kyberturvallisuuden, toiminnan ja sääntelyn; yksikään esittely, testi tai ajokilometrimäärä ei kata niitä kaikkia.

Aloita turvallisuusperustelusta

Turvallisuusperustelu on näyttöön pohjautuva, looginen argumentti siitä, että järjestelmä on hyväksyttävän turvallinen tiettyyn käyttöön ja ympäristöön. Se yhdistää ylätason väitteet vaaroihin, vaatimuksiin, testeihin, tuloksiin ja toiminnallisiin hallintakeinoihin.

Rajauksen on oltava täsmällinen. Kuivalla kelillä hitaasti toimivasta palvelusta saatu näyttö ei osoita turvallisuutta lumisella moottoritiellä. Yhden ajoneuvoalustan tai ohjelmistoversion näyttö ei siirry automaattisesti toiseen.

Kehittäjät käyttävät erilaisia viitekehyksiä, mutta uskottavan turvallisuusperustelun tulisi käsitellä ainakin seuraavia asioita:

  • pätevä käyttäytyminen normaalissa toiminnassa;
  • vikojen tunnistaminen ja hallinta;
  • tarkoitetun toiminnallisuuden ja havainnoinnin rajoitukset;
  • turvallinen vuorovaikutus käyttäjien ja muiden tienkäyttäjien kanssa;
  • toimintakäytännöt, kunnossapito ja poikkeamiin reagointi;
  • kyberturvallisuus ja hallitut ohjelmistopäivitykset; sekä
  • näyttö siitä, että käytönaikainen riski pysyy hyväksyttävänä.

Julkiset yhteenvedot ovat hyödyllisiä arvioinnissa, mutta ne eivät ole koko turvallisuusperustelu eivätkä korvaa viranomaisarviointia.

Useat turvallisuuden osa-alueet limittyvät

Toiminnallinen turvallisuus käsittelee sähkö- ja elektroniikkajärjestelmien toimintahäiriöiden aiheuttamia vaaroja. ISO 26262 antaa tälle työlle ajoneuvon koko elinkaaren kattavan kehyksen.

Tarkoitetun toiminnallisuuden turvallisuus, jota käsittelee ISO 21448, koskee vaaroja tilanteissa, joissa järjestelmä toimii suunnitellusti mutta määrittely, anturien suorituskyky tai algoritmi ei riitä tilanteeseen.

Tieliikenteen ajoneuvojen tekoälyturvallisuus, jota käsittelee ISO/PAS 8800, kattaa tekoälyn riittämättömistä tuloksista, järjestelmällisistä virheistä ja satunnaisista laitteistovioista aiheutuvat riskit.

Kyberturvallisuustekniikka, jota käsittelee ISO/SAE 21434, hallitsee ajoneuvon kyberturvallisuusriskiä koko elinkaaren ajan.

Nämä osa-alueet täydentävät toisiaan eivätkä korvaa toisiaan. Täysin luotettava kamera voi silti olla kykenemätön luokittelemaan uudenlaista tilannetta. Suorituskykyinen havaintomalli voi edelleen olla vaarallinen, jos murrettu päivitys muuttaa sitä.

Redundanssin on vastattava vikaan

Redundanssi on hyödyllinen vain, jos vaihtoehtoinen reitti kestää tarkasteltavan vian. Kaksi samaan virtalähteeseen kytkettyä tietokonetta eivät suojaa kyseisen virtalähteen menetykseltä. Kaksi saman esteen takana olevaa kameraa eivät suojaa peittyneeltä näkyvyydeltä.

Korkeamman automaation arkkitehtuureissa voidaan erottaa:

  • sähkövirran syöttö- ja viestintäreitit;
  • anturityypit ja näkökentät;
  • ensisijainen laskenta ja riippumaton turvallisuusvalvonta;
  • ohjauksen ja jarrutuksen toimilaitereitit;
  • paikannuslähteet; sekä
  • normaali ohjaus ja vähimmäisriskitilaan johtava ohjaus.

Turvallisuusanalyysi määrittää, missä tarvitaan erilaisuutta tai erottelua. Suurempi komponenttimäärä voi myös luoda lisää rajapintoja ja vikatapoja, joten laitteiston määrä ei ole turvallisuuden mittari.

Tavoitteena on hallittu suorituskyvyn heikkeneminen. Ajoneuvon tulisi tunnistaa vika, säilyttää välittömän tilanteen edellyttämä toimintakyky ja saavuttaa määritelty vähimmäisriskitila.

Riippuvuus ihmisestä muuttuu automaatiotason mukaan

Tasolla 2 ihminen on osa säätöpiiriä ja hänen on valvottava tietä jatkuvasti. Turvallisuus riippuu selkeistä toimintarajoista, ymmärrettävistä ohjeista, kuljettajan valvonnasta, oikea-aikaisista varoituksista ja ennakoitavissa olevan väärinkäytön estämisestä. Tämä pätee myös silloin, kun pisteestä pisteeseen toimiva järjestelmä seuraa reittiä määränpäähän, kääntyy risteyksissä ja pysähtyy liikennevaloihin tai stop-merkeille.

Tasolla 3 käyttäjä voi siirtää huomionsa muualle, mutta hänen on pysyttävä tavoitettavissa. Järjestelmä tarvitsee hallitun siirtymän, jossa huomioidaan tilannetietoisuuden palauttamiseen tarvittava aika.

Tasolla 4 kuljettajaa ei välttämättä ole. Järjestelmän ja sen operatiivisen tuen on hallittava varatoiminta. Etätuki voi tarjota lisätietoa, mutta sitä ei pidä esittää autonomiana, jos etänä oleva ihminen tosiasiassa suorittaa ajotehtävää.

Toimintatilojen sekoittuminen on vaaratekijä. Käyttöliittymän on ilmaistava selvästi, ajaako ihminen vai järjestelmä, mitä järjestelmä voi juuri nyt tehdä ja millaista reaktiota se odottaa.

Validointi edellyttää toisiaan täydentävää näyttöä

Mikään käytännöllinen tietesti ei voi kohdata kaikkia tärkeitä tilanteita tilastollisesti hyödyllisellä tiheydellä. Mikään simulointi ei kuvaa todellisuutta täydellisesti.

Kypsä ohjelma yhdistää:

  • vaatimusten ja suunnittelun analyysin;
  • komponentti- ja integraatiotestit;
  • software- ja hardware-in-the-loop-testit;
  • skenaariosimuloinnin ja tallennetun datan toiston;
  • suljetun testialueen kokeet;
  • valvotut yleisten teiden testit;
  • riippumattoman arvioinnin ja viranomaistestit; sekä
  • käytönaikaisen suorituskyvyn seurannan.

Skenaariotestit osoittavat, selviääkö ajoneuvo määritellyistä vaaroista. Altistustiedot osoittavat, miten käyttöön otettu järjestelmä toimii todellisessa käytössä. Molemmat tarvitsevat vertailuperusteet ja täsmällisen rajauksen.

Miljoona moottoritiekilometriä ei voi validoida väitettä kaupunkiristeyksistä. Pieni kolarimäärä ei kerro paljoa ilman ajomatkaa, tietyyppiä, vakavuutta, ilmoituskynnystä ja vertailukelpoista ihmiskuljettajan viitearvoa. Yritysten ilmoittamia tuloksia on tarkasteltava yhdessä julkaistun menetelmän ja epävarmuuden kanssa.

Waymon julkinen Safety Impact -koontinäyttö on hyvä esimerkki altistukseen perustuvasta raportoinnista, sillä se sisältää ilman turvakuljettajaa ajetun matkan, tulosten määritelmät, vertailumenetelmät ihmiskuljettajiin sekä ladattavat tiedot. Se on silti näyttöä Waymon omilta toiminta-alueilta, ei todiste kaikkien automatisoidun ajamisen ratkaisujen turvallisuudesta.

Kyberturvallisuus ja päivitykset ovat turvallisuuskysymyksiä

Verkkoon liitetyt ajoneuvot avaavat rajapintoja diagnostiikan, sovellusten, langattomien verkkojen, pilvipalvelujen ja toimitusketjun ohjelmistojen kautta. Hyökkääjä tai vioittunut päivitys voi vaikuttaa luottamuksellisuuteen, käytettävyyteen tai fyysiseen käyttäytymiseen.

Turvallisuus kattaa siksi arkkitehtuurin, todennuksen, suojatun käynnistyksen, avainten hallinnan, pääsynhallinnan, valvonnan, haavoittuvuuksiin reagoinnin ja toimittajaprosessit. Yksityisyys liittyy asiaan mutta on siitä erillinen: järjestelmä voi olla suojattu ja silti kerätä käyttäjien odotuksia enemmän tietoa matkustajista tai katutilasta.

YK:n säännöt 155 ja 156 luovat niitä soveltavilla markkinoilla kehykset valmistajien kyberturvallisuuden ja ohjelmistopäivitysten hallintajärjestelmille. Ajotoiminnon langattoman päivityksen tulisi olla jäljitettävä, todennettu, validoitu ja valvottu. Toiminta-alueen laajentaminen on turvallisuuden kannalta merkittävä tuotemuutos, ei infotainment-järjestelmän tavanomaista ylläpitoa.

Hyväksyntä koskee toimintoa ja oikeusaluetta

”Hyväksytty” voi viitata eri oikeudellisiin vaiheisiin:

  • ajoneuvon tai osan tyyppihyväksyntään;
  • lupaan testata yleisillä teillä;
  • lupaan harjoittaa kaupallista kuljettajatonta palvelua;
  • toisessa maassa annetun hyväksynnän tunnustamiseen; tai
  • liikennesääntöjen noudattamiseen sen osalta, mitä ihminen saa tehdä.

Nämä päätökset eivät vastaa toisiaan. SAE-taso kuvaa ajotehtävän ja varatoiminnan työnjakoa; se ei ole hyväksyntätodistus.

Kuljettajan hallinnassa olevalle avustamiselle YK:n sääntö 171 asettaa Driver Control Assistance Systems -järjestelmien vaatimukset sitä soveltavilla markkinoilla. WP.29 hyväksyi kesäkuussa 2026 toisen muutossarjan osana näiden sääntöjen jatkuvaa kehittämistä. Koska kuljettaja pysyy vastuussa, taso 2:n tai kuljettajan hallintaan perustuvan reitin kautta hyväksytty järjestelmä ei muutu Automated Driving System -järjestelmäksi vain siksi, että se seuraa reittiä tai käsittelee kaupunkiristeyksiä.

YK:n sääntö 157 koskee Automated Lane Keeping Systems -järjestelmiä ja on tarjonnut niitä soveltavilla markkinoilla hyväksyntäreitin tason 3 moottoritietoiminnoille. Euroopan unionin täytäntöönpanoasetus 2022/1426 määrittää täysin automatisoitujen ajoneuvojen tyyppihyväksyntäsäännöt rajatuissa käyttötapauksissa, kuten ennalta määritellyillä alueilla, solmukohtien välisillä reiteillä ja automatisoidussa valet-pysäköinnissä.

Tesla FSD (Supervised) Euroopassa

Alankomaiden ajoneuvoviranomainen RDW myönsi 10. huhtikuuta 2026 Tesla FSD (Supervised) -järjestelmälle eurooppalaisen tyyppihyväksynnän, joka on väliaikaisesti voimassa Alankomaissa. RDW kuvaa sitä kuljettajan hallinnassa olevaksi avustinjärjestelmäksi, ei itseajavaksi: kuljettaja pysyy vastuussa, hänen on valvottava liikennettä ja kyettävä ottamaan ajo välittömästi hallintaansa.

RDW toteaa myös, etteivät eurooppalainen ja yhdysvaltalainen versio ole suoraan vertailukelpoisia. Eurooppalainen arviointi ei siksi hyväksy kaikkia muualla myytäviä FSD-toimintoja tai ohjelmistoversioita.

Alankomaiden päätös ei ollut koko EU:n kattava yleishyväksyntä. RDW:n mukaan laajempi voimassaolo edellyttää asian toimittamista Euroopan komissiolle, jäsenvaltioiden äänestystä ja vastuullisen komitean enemmistön tukea. Siihen asti kansallinen lupa tai tunnustaminen on tarkistettava maakohtaisesti.

Kiina erottaa valvotun avustamisen ADS-järjestelmistä

Myös Kiinan sääntely erottaa jatkuvasti valvotun kuljettajan avustamisen automatisoidusta ajamisesta. Teollisuus- ja tietotekniikkaministeriö avasi Automatisoitujen ajojärjestelmien turvallisuusvaatimusten hyväksyntäluonnoksen kommentoitavaksi 17.–24. kesäkuuta 2026. Kansallinen standardialusta ilmoittaa hankkeen nyt julkaistuksi standardina GB 44721—2026, joka korvaa suosituksen GB/T 44721—2024, ja antaa ehdotetuksi soveltamispäiväksi 1. heinäkuuta 2027.

Luonnos koskee M- ja N-luokan ajoneuvoja, joissa on tason 3 ja/tai tason 4 ADS, mutta ei automatisoitua pysäköintiä. Se kattaa koko dynaamisen ajotehtävän, ihmisen ja koneen vuorovaikutuksen, haltuunottokyvyn valvonnan, vähimmäisriskikäyttäytymisen, valmistajan turvallisuusvarmistuksen, turvallisuusperustelut ja validoinnin. Jos tekstit eroavat toisistaan, lopullinen julkaistu standardi ratkaisee, ei aiempi luonnos.

Kiinan GB 47955—2026 koskee sen sijaan yhdistettyä kuljettajan avustamista, jossa kuljettajan on jatkuvasti tarkkailtava liikennettä ja hallittava ajoneuvoa. MIIT:n mukaan sen on tarkoitus tulla voimaan 1. tammikuuta 2027. Erottelu noudattaa koko tässä artikkelissa käytettyä rajaa: tason 2 toiminto pysyy kuljettajan hallinnassa, vaikka se suorittaisi navigoinnin ohjaamia liikkeitä, kun taas tason 3 tai tason 4 ADS suorittaa koko ajotehtävän omissa toimintaehdoissaan.

Kesäkuun 2026 YK-kehys kuljettajattomille ADS-järjestelmille

UNECE:n ajoneuvosääntöjen yhdenmukaistamista käsittelevä maailmanfoorumi WP.29 hyväksyi 24. kesäkuuta 2026 ensimmäisen maailmanlaajuisen sääntelykehyksen täysin kuljettajattomille Automated Driving Systems -järjestelmille. Päätökseen sisältyi uusi vuoden 1958 sopimuksen mukainen YK:n sääntö ja rinnakkainen vuoden 1998 sopimuksen mukainen maailmanlaajuinen tekninen sääntö sekä noin yhdeksänkymmenen nykyisen YK:n ajoneuvosäännön muutokset.

Kehys koskee järjestelmiä, jotka suorittavat koko dynaamisen ajotehtävän, ei tason 2 valvottua avustamista. Sen keskeisiin vaatimuksiin kuuluvat:

  • auditoitu, koko elinkaaren kattava turvallisuuden hallintajärjestelmä;
  • jäsennelty turvallisuusperustelu, joka osoittaa, ettei riski ole kohtuuton;
  • uskottava validointi simuloinnilla, testiradalla ja todellisessa liikenteessä;
  • suorituskyky, joka vastaa pätevää ihmiskuljettajaa tai ylittää sen;
  • jatkuva käytönaikainen valvonta ja raportointi; sekä
  • automatisoidun ajamisen turvallisuudelle merkityksellisten tietojen tallentaminen.

Kehys voi kattaa moottoritie- ja kaupunkialueiden toiminta-alueita sekä ajoneuvoja, joissa ei ole tavanomaisia kuljettajan hallintalaitteita. Se on merkittävä yhdenmukaistamisen askel, koska valmistajilla ja viranomaisilla on nyt yhteinen, tuloksiin painottuva turvallisuusrakenne ADS-järjestelmien hyväksyntää varten.

Se ei ole yksi maailmanlaajuinen lupa. Sopimuspuolten on edelleen otettava sovellettavat välineet käyttöön, hyväksyttävä tarkat ajoneuvojärjestelmät ja määritettävä, missä kuljettajaton toiminta on laillista. Paikallinen liikennelainsäädäntö, toimiluvat ja palveluehdot ovat edelleen merkityksellisiä. Päätös ei myöskään luokittele FSD (Supervised) -järjestelmää, city-NOA:ta tai muita jatkuvasti valvottuja toimintoja autonomiseksi ajamiseksi.

Yhdysvallat etenee eri tavalla

Yhdysvalloissa liittovaltion ajoneuvoturvallisuuden valvonta, osavaltioiden toimintalainsäädäntö ja paikalliset käyttöönoton säännöt vaikuttavat yhdessä. Valmistajat vakuuttavat yleensä itse täyttävänsä liittovaltion moottoriajoneuvojen turvallisuusstandardit, kun taas viranomaiset tutkivat vikoja ja valvovat käytönaikaisten vaatimusten noudattamista.

NHTSA:n Standing General Order edellyttää tiettyjen tason 2 järjestelmiin ja automatisoituihin ajojärjestelmiin liittyvien kolarien raportointia. Osavaltioiden ja paikalliset viranomaiset voivat säännellä erikseen testausta ja kaupallista kuljettajatonta toimintaa. Liittovaltion poikkeuslupa, osavaltion testilupa ja lupa kuljettaa maksavia matkustajia ovat eri päätöksiä.

Tunnusmerkit uskottavalle turvallisuusviestinnälle

Vahvassa julkisessa väitteessä kerrotaan:

  • tarkka automaatiotaso ja ihmisen rooli;
  • ajoneuvo, laitteisto, ohjelmistoversio ja toiminta-alue;
  • varatoiminta ja vähimmäisriskikäyttäytyminen;
  • tosiasiallisesti saatu hyväksyntä tai lupa;
  • alue, jolla se on voimassa;
  • testi- ja käyttönäyttö vertailuperusteineen;
  • tunnetut rajaukset ja ratkaisemattomat rajoitteet; sekä
  • miten poikkeamia ja päivityksiä valvotaan.

Epämääräiset väitteet, kuten ”turvallisempi kuin ihminen”, ovat puutteellisia ilman vertailukelpoista toiminta-aluetta, tuloksen määritelmää, altistusta ja epävarmuutta. Turvallisuus ei ole kertaluonteisesti saavutettava päätepiste. Perustelua on ylläpidettävä ohjelmiston, laitteiston, teiden ja toiminnan muuttuessa.

Lähteet

Lisätietoja