Sicurezza, ridondanza e regolamentazione

La sicurezza è un’affermazione strutturata su una funzione, un veicolo, un dominio operativo e una versione definiti, sostenuta da prove prima dell’implementazione e da dati monitorati dopo. Comprende sicurezza funzionale, limiti dei sensori, fattori umani, cybersicurezza, operazioni e regolamentazione; nessuna dimostrazione, prova o percorrenza copre ogni aspetto.

Iniziare da un dossier di sicurezza

Un dossier di sicurezza è un’argomentazione ragionata, sostenuta da prove, secondo cui un sistema è sufficientemente sicuro per un uso e un ambiente specifici. Collega le affermazioni principali a pericoli, requisiti, prove, risultati e controlli operativi.

L’ambito deve essere preciso. Le prove relative a un servizio a bassa velocità in condizioni asciutte non stabiliscono la sicurezza in autostrada con la neve. Le prove per una piattaforma o versione software non si trasferiscono automaticamente a un’altra.

Gli sviluppatori utilizzano quadri diversi, ma un dossier credibile dovrebbe affrontare almeno:

comportamento competente nel funzionamento normale;
rilevamento e gestione dei guasti;
limiti della funzionalità prevista e della percezione;
interazione sicura con utenti e altri utenti della strada;
pratiche operative, manutenzione e risposta agli incidenti;
cybersicurezza e aggiornamenti software controllati; e
prove che il rischio in servizio rimanga accettabile.

Le sintesi pubbliche sono utili per il controllo, ma non costituiscono il dossier completo né sostituiscono la valutazione normativa.

Diverse discipline di sicurezza si sovrappongono

La sicurezza funzionale tratta i pericoli causati da malfunzionamenti dei sistemi elettrici ed elettronici. ISO 26262 fornisce il quadro per l’intero ciclo di vita automobilistico.

La sicurezza della funzionalità prevista, coperta da ISO 21448, tratta i pericoli quando un sistema funziona come progettato ma specifica, prestazioni dei sensori o algoritmo sono insufficienti per la situazione.

La sicurezza dell’IA nei veicoli stradali, affrontata da ISO/PAS 8800, copre i rischi derivanti da risultati insufficienti dell’IA, errori sistematici ed errori hardware casuali.

L’ingegneria della cybersicurezza, coperta da ISO/SAE 21434, gestisce il rischio di cybersicurezza del veicolo nell’intero ciclo di vita.

Queste discipline si completano anziché sostituirsi. Una telecamera perfettamente affidabile può non riuscire a classificare una scena nuova. Un modello di percezione capace può restare insicuro se un aggiornamento compromesso lo modifica.

La ridondanza deve rispondere al guasto

La ridondanza è utile solo se il percorso alternativo sopravvive al guasto considerato. Due computer su un’unica alimentazione non proteggono dalla perdita di tale alimentazione. Due telecamere dietro lo stesso ostacolo non proteggono dalla visuale bloccata.

Le architetture con maggiore automazione possono separare:

percorsi di alimentazione elettrica e comunicazione;
modalità di rilevamento e campi visivi;
elaborazione primaria e monitoraggio di sicurezza indipendente;
percorsi di attuazione di sterzo e freni;
fonti di localizzazione; e
controllo normale e controllo a rischio minimo.

L’analisi di sicurezza stabilisce dove servono diversità o separazione. Più componenti possono anche creare più interfacce e modalità di guasto, quindi il numero di elementi hardware non misura la sicurezza.

L’obiettivo è un degrado controllato. Il veicolo dovrebbe rilevare il guasto, conservare la capacità necessaria per la situazione immediata e raggiungere la condizione di rischio minimo definita.

La dipendenza dalla persona cambia con il livello

Al livello 2, la persona fa parte dell’anello di controllo e deve monitorare continuamente la strada. La sicurezza dipende dai limiti di capacità, da istruzioni chiare, dal monitoraggio del conducente, da avvisi tempestivi e dalla protezione contro usi impropri prevedibili. Ciò resta vero quando un sistema da punto a punto segue un percorso verso una destinazione, svolta agli incroci e si ferma davanti ai controlli del traffico.

Al livello 3, l’utente può distogliere l’attenzione ma deve rimanere disponibile. Il sistema necessita di una transizione gestita che consideri il tempo necessario a recuperare la consapevolezza della situazione.

Al livello 4, potrebbe non esserci un conducente. Il sistema e il suo supporto operativo devono gestire il ripiego. L’assistenza remota può fornire contesto, ma non deve essere presentata come autonomia se una persona remota esegue realmente l’attività di guida.

La confusione tra modalità è un pericolo. L’interfaccia deve indicare chiaramente se guida la persona o il sistema, che cosa può fare il sistema in quel momento e quale risposta si attende.

La validazione richiede prove complementari

Nessuna prova stradale praticabile può incontrare ogni scenario importante con una frequenza statisticamente utile. Nessuna simulazione rappresenta perfettamente la realtà.

Un programma maturo combina:

analisi dei requisiti e della progettazione;
prove dei componenti e di integrazione;
prove software e hardware nell’anello;
simulazione di scenari e riproduzione di dati registrati;
prove su percorso chiuso;
prove supervisionate su strade pubbliche;
revisione indipendente e prove normative; e
prestazioni monitorate in servizio.

Le prove di scenario mostrano se il veicolo gestisce pericoli definiti. I dati di esposizione mostrano come funziona il sistema implementato nell’uso reale. Entrambi richiedono denominatori e ambito.

Un milione di chilometri autostradali non può convalidare un’affermazione sugli incroci urbani. Un basso numero di incidenti non è informativo senza distanza, tipo di strada, gravità, soglia di segnalazione e riferimento umano comparabile. I risultati comunicati dalle aziende devono essere letti con la metodologia pubblicata e l’incertezza.

Il pannello pubblico Safety Impact di Waymo è un buon esempio di comunicazione basata sull’esposizione, perché fornisce distanza percorsa solo con passeggeri, definizioni dei risultati, metodi di riferimento umano e dati scaricabili. Rimane una prova per i domini di servizio di Waymo, non la dimostrazione che ogni progetto di guida automatizzata sia sicuro.

Cybersicurezza e aggiornamenti sono questioni di sicurezza

I veicoli connessi espongono interfacce tramite diagnostica, applicazioni, reti wireless, servizi cloud e software della catena di fornitura. Un aggressore o un aggiornamento corrotto può compromettere riservatezza, disponibilità o comportamento fisico.

La sicurezza comprende quindi architettura, autenticazione, avvio protetto, gestione delle chiavi, controllo degli accessi, monitoraggio, risposta alle vulnerabilità e processi dei fornitori. La privacy è collegata ma distinta: il sistema può essere sicuro e raccogliere più dati su occupanti o strade di quanto gli utenti si aspettino.

I regolamenti ONU 155 e 156 stabiliscono quadri per i sistemi di gestione della cybersicurezza e degli aggiornamenti software dei costruttori nei mercati che li applicano. Un aggiornamento remoto di una funzione di guida dovrebbe essere tracciabile, autenticato, convalidato e monitorato. L’espansione del dominio operativo è una modifica del prodotto rilevante per la sicurezza, non manutenzione ordinaria dell’infotainment.

L’approvazione segue funzione e giurisdizione

«Approvato» può riferirsi a diverse fasi giuridiche:

un’omologazione del veicolo o del componente;
il permesso di effettuare prove su strade pubbliche;
l’autorizzazione a gestire un servizio commerciale senza conducente;
il riconoscimento di un’omologazione di un altro Paese; o
il rispetto delle regole stradali che disciplinano ciò che la persona può fare.

Non sono intercambiabili. Un livello SAE descrive la ripartizione dell’attività di guida e del ripiego; non è un certificato di approvazione.

Per l’assistenza controllata dal conducente, il regolamento ONU 171 stabilisce requisiti per i Driver Control Assistance Systems nei mercati che lo applicano. WP.29 ha adottato una seconda serie di modifiche nel giugno 2026 nell’ambito del continuo sviluppo delle regole. Poiché il conducente resta responsabile, un sistema approvato tramite livello 2 o un percorso controllato dal conducente non diventa un Automated Driving System solo perché segue un percorso o gestisce incroci urbani.

Il regolamento ONU 157 riguarda gli Automated Lane Keeping Systems e ha fornito un percorso per funzioni autostradali approvate di livello 3 nei mercati che lo applicano. Il regolamento di esecuzione 2022/1426 dell’Unione europea stabilisce regole di omologazione per veicoli completamente automatizzati in casi d’uso definiti, tra cui aree prestabilite, percorsi tra centri e parcheggio automatizzato con servizio di parcheggiatore.

Tesla FSD (Supervised) in Europa

Il 10 aprile 2026 l’autorità olandese per i veicoli RDW ha concesso a Tesla FSD (Supervised) un’omologazione europea con validità provvisoria nei Paesi Bassi. RDW lo descrive come sistema di assistenza controllato dal conducente, non come guida autonoma: il conducente resta responsabile, deve monitorare il traffico e poter riprendere immediatamente il controllo.

RDW afferma inoltre che le versioni europea e statunitense non sono direttamente confrontabili. La valutazione europea non approva quindi tutte le funzioni FSD o versioni software vendute altrove.

La decisione olandese non era un’approvazione generale in tutta l’UE. Secondo RDW, una validità più ampia richiede la presentazione alla Commissione europea, una votazione degli Stati membri e il sostegno della maggioranza nel comitato responsabile. Fino alla conclusione del processo, autorizzazione o riconoscimento nazionali devono essere verificati Paese per Paese.

Il quadro ONU del giugno 2026 per ADS senza conducente

Il 24 giugno 2026 il Forum mondiale UNECE per l’armonizzazione dei regolamenti sui veicoli, WP.29, ha adottato il primo quadro normativo mondiale per Automated Driving Systems completamente senza conducente. La decisione comprendeva un nuovo regolamento ONU ai sensi dell’Accordo del 1958 e un regolamento tecnico mondiale parallelo ai sensi dell’Accordo del 1998, accompagnati da modifiche a circa novanta regolamenti ONU esistenti sui veicoli.

Il quadro riguarda sistemi che eseguono l’intera attività dinamica di guida, non l’assistenza supervisionata di livello 2. I requisiti principali includono:

un sistema di gestione della sicurezza verificato per l’intero ciclo di vita;
un dossier di sicurezza strutturato che dimostri l’assenza di rischio irragionevole;
validazione credibile in simulazione, su pista e nel mondo reale;
prestazioni pari o superiori a quelle di un conducente umano competente;
monitoraggio e segnalazione continui in servizio; e
conservazione dei dati di guida automatizzata rilevanti per la sicurezza.

Il quadro può coprire domini operativi autostradali e urbani e accogliere veicoli senza comandi convenzionali. È un importante passo di armonizzazione, perché costruttori e autorità dispongono ora di una struttura comune di sicurezza, orientata ai risultati, per l’approvazione ADS.

Non è un’unica autorizzazione mondiale. Le parti contraenti devono ancora attuare gli strumenti pertinenti, approvare sistemi specifici e determinare dove sia legale l’esercizio senza conducente. Le leggi stradali locali, i permessi operativi e le condizioni di servizio restano rilevanti. La decisione non riclassifica inoltre FSD (Supervised), City NOA o altre funzioni continuamente supervisionate come guida autonoma.

Gli Stati Uniti seguono un percorso diverso

Negli Stati Uniti interagiscono la supervisione federale della sicurezza dei veicoli, le leggi operative degli Stati e le regole locali di implementazione. In genere, i costruttori autocertificano il rispetto delle norme federali di sicurezza, mentre le autorità indagano sui difetti e applicano i requisiti durante l’uso.

La Standing General Order della NHTSA richiede la segnalazione di determinati incidenti che coinvolgono sistemi di livello 2 e sistemi di guida automatizzata. Le autorità statali e locali possono disciplinare separatamente prove ed esercizio commerciale senza conducente. Un’esenzione federale, un permesso statale di prova e il permesso di trasportare passeggeri paganti sono decisioni diverse.

Come si presenta una comunicazione credibile sulla sicurezza

Un’affermazione pubblica solida indica:

il livello esatto di automazione e il ruolo della persona;
il veicolo, l’hardware, la versione software e il dominio operativo;
il comportamento di ripiego e di rischio minimo;
l’approvazione o il permesso effettivamente ottenuto;
il territorio in cui è valido;
le prove di test e operative, con denominatori;
esclusioni note e limitazioni irrisolte; e
come vengono monitorati incidenti e aggiornamenti.

Affermazioni vaghe come «più sicuro degli esseri umani» sono incomplete senza dominio comparabile, definizione dei risultati, esposizione e incertezza. La sicurezza non è un traguardo raggiunto una sola volta. Il dossier deve essere mantenuto mentre cambiano software, hardware, strade e operazioni.