Sicurezza, ridondanza e normativa

Ultima modifica: ago 08, 2026

La sicurezza è un’affermazione strutturata relativa a una funzione, un veicolo, un dominio operativo e una versione definiti, supportata da prove prima dell’impiego e da dati monitorati dopo l’impiego. Comprende sicurezza funzionale, limiti dei sensori, fattori umani, cybersicurezza, operazioni e normativa; nessuna dimostrazione, prova o cifra chilometrica copre da sola tutti questi aspetti.

Partire da un dossier di sicurezza

Un dossier di sicurezza è un’argomentazione motivata, sostenuta da prove, secondo cui un sistema è sufficientemente sicuro per uno specifico impiego e ambiente. Collega le affermazioni di alto livello a pericoli, requisiti, prove, risultati e controlli operativi.

L’ambito deve essere preciso. Le prove raccolte per un servizio a bassa velocità su fondo asciutto non dimostrano la sicurezza in autostrada con la neve. Le prove relative a una piattaforma del veicolo o a una versione software non si trasferiscono automaticamente a un’altra.

Gli sviluppatori adottano quadri diversi, ma un dossier di sicurezza credibile dovrebbe trattare almeno:

  • comportamento competente durante il normale funzionamento;
  • rilevamento e gestione dei guasti;
  • limiti della funzionalità prevista e della percezione;
  • interazione sicura con utenti e altri utenti della strada;
  • pratiche operative, manutenzione e risposta agli incidenti;
  • cybersicurezza e aggiornamenti software controllati; e
  • prove che il rischio durante l’esercizio rimanga accettabile.

Le sintesi pubbliche sono utili per l’analisi critica, ma non costituiscono il dossier completo e non sostituiscono la valutazione normativa.

Diverse discipline della sicurezza si sovrappongono

La sicurezza funzionale affronta i pericoli causati dal malfunzionamento dei sistemi elettrici ed elettronici. La norma ISO 26262 fornisce il quadro del ciclo di vita automobilistico per questo lavoro.

La sicurezza della funzionalità prevista, disciplinata dalla ISO 21448, affronta i pericoli che emergono quando un sistema funziona come progettato ma la specifica, le prestazioni dei sensori o l’algoritmo risultano insufficienti per la situazione.

La sicurezza dell’IA nei veicoli stradali, trattata nella ISO/PAS 8800, copre i rischi derivanti da risultati insufficienti dell’IA, errori sistematici e guasti casuali dell’hardware.

L’ingegneria della cybersicurezza, disciplinata dalla ISO/SAE 21434, gestisce il rischio di cybersicurezza del veicolo lungo l’intero ciclo di vita.

Queste discipline si completano invece di sostituirsi. Una telecamera perfettamente affidabile può comunque non riuscire a classificare una situazione nuova. Un modello di percezione capace può ancora essere pericoloso se viene modificato da un aggiornamento compromesso.

La ridondanza deve rispondere al guasto

La ridondanza è utile solo quando il percorso alternativo resiste al guasto considerato. Due computer collegati alla stessa alimentazione non proteggono dalla perdita di quella fonte. Due telecamere dietro la stessa ostruzione non proteggono dalla visuale bloccata.

Le architetture con maggiore automazione possono separare:

  • i percorsi di alimentazione elettrica e comunicazione;
  • le modalità di rilevamento e i campi visivi;
  • l’elaborazione primaria e il monitoraggio indipendente della sicurezza;
  • i percorsi di attuazione di sterzo e freni;
  • le fonti di localizzazione; e
  • il controllo normale e quello destinato a raggiungere una condizione di rischio minimo.

L’analisi della sicurezza determina dove servono diversità o separazione. Più componenti possono creare anche più interfacce e modalità di guasto, quindi la quantità di hardware non è una misura della sicurezza.

L’obiettivo è un degrado controllato. Il veicolo dovrebbe rilevare il guasto, conservare la capacità necessaria per la situazione immediata e raggiungere la condizione di rischio minimo definita.

La dipendenza dall’essere umano cambia con il livello

Al livello 2, l’essere umano fa parte dell’anello di controllo e deve sorvegliare continuamente la strada. La sicurezza dipende dai limiti delle capacità, da istruzioni chiare, dal monitoraggio del conducente, da avvisi tempestivi e dalla protezione contro un uso improprio prevedibile. Questo resta vero quando un sistema punto a punto segue un itinerario verso la destinazione, svolta agli incroci e si ferma ai semafori o ai segnali di stop.

Al livello 3, l’utente può distogliere l’attenzione ma deve rimanere disponibile. Il sistema necessita di una transizione gestita che consideri il tempo necessario per recuperare la consapevolezza della situazione.

Al livello 4, potrebbe non esserci un conducente. Il sistema e il relativo supporto operativo devono gestire il fallback. L’assistenza remota può fornire contesto, ma non deve essere presentata come autonomia se una persona a distanza esegue in realtà il compito di guida.

La confusione tra modalità è un pericolo. L’interfaccia deve indicare chiaramente se sta guidando la persona o il sistema, cosa può fare il sistema in quel momento e quale risposta si aspetta.

La validazione richiede prove complementari

Nessuna prova pratica su strada può incontrare ogni scenario importante con una frequenza statisticamente utile. Nessuna simulazione rappresenta perfettamente la realtà.

Un programma maturo combina:

  • analisi dei requisiti e della progettazione;
  • prove dei componenti e dell’integrazione;
  • prove software-in-the-loop e hardware-in-the-loop;
  • simulazione degli scenari e riproduzione dei dati registrati;
  • prove su pista chiusa;
  • prove supervisionate su strade pubbliche;
  • revisione indipendente e prove normative; e
  • monitoraggio delle prestazioni in servizio.

Le prove basate su scenari mostrano se il veicolo affronta pericoli definiti. I dati di esposizione mostrano come si comporta il sistema impiegato nelle operazioni reali. Entrambi richiedono denominatori e un ambito preciso.

Un milione di chilometri in autostrada non può convalidare un’affermazione relativa agli incroci urbani. Un numero ridotto di incidenti non è informativo senza distanza, tipo di strada, gravità, soglia di segnalazione e un riferimento umano comparabile. I risultati comunicati da un’azienda devono essere letti insieme alla metodologia pubblicata e all’incertezza.

Il pannello pubblico Safety Impact di Waymo è un buon esempio di rendicontazione basata sull’esposizione perché fornisce la distanza percorsa senza conducente di sicurezza, le definizioni dei risultati, i metodi di confronto con i conducenti umani e dati scaricabili. Rimane una prova relativa ai domini di servizio di Waymo, non la dimostrazione che qualsiasi progetto di guida automatizzata sia sicuro.

Cybersicurezza e aggiornamenti sono questioni di sicurezza

I veicoli connessi espongono interfacce tramite diagnostica, app, reti wireless, servizi cloud e software della catena di fornitura. Un aggressore o un aggiornamento corrotto può compromettere riservatezza, disponibilità o comportamento fisico.

La sicurezza comprende quindi architettura, autenticazione, avvio sicuro, gestione delle chiavi, controllo degli accessi, monitoraggio, risposta alle vulnerabilità e processi dei fornitori. La privacy è correlata ma distinta: il sistema può essere sicuro e raccogliere comunque più dati sugli occupanti o sullo spazio pubblico di quanto gli utenti si aspettino.

I regolamenti ONU 155 e 156 stabiliscono quadri per i sistemi di gestione della cybersicurezza e degli aggiornamenti software dei costruttori nei mercati che li applicano. Un aggiornamento wireless di una funzione di guida dovrebbe essere tracciabile, autenticato, convalidato e monitorato. L’espansione del dominio operativo è una modifica del prodotto rilevante per la sicurezza, non una manutenzione ordinaria dell’infotainment.

L’approvazione segue la funzione e la giurisdizione

“Approvato” può riferirsi a diverse fasi giuridiche:

  • un’omologazione di tipo di un veicolo o componente;
  • l’autorizzazione a effettuare prove su strade pubbliche;
  • l’autorizzazione a gestire un servizio commerciale senza conducente;
  • il riconoscimento di un’omologazione in un altro Paese; o
  • la conformità alle norme stradali che stabiliscono ciò che la persona può fare.

Queste decisioni non sono intercambiabili. Un livello SAE descrive la ripartizione del compito di guida e del fallback; non è un certificato di omologazione.

Per l’assistenza controllata dal conducente, il regolamento ONU 171 stabilisce i requisiti per i Driver Control Assistance Systems nei mercati che lo applicano. Il WP.29 ha adottato una seconda serie di modifiche nel giugno 2026 nell’ambito dell’evoluzione di queste regole. Poiché il conducente rimane responsabile, un sistema approvato attraverso un percorso di livello 2 o controllato dal conducente non diventa un Automated Driving System solo perché segue un itinerario o gestisce incroci urbani.

Il regolamento ONU 157 riguarda gli Automated Lane Keeping Systems e ha fornito un percorso di omologazione per le funzioni autostradali di livello 3 nei mercati che lo applicano. Il regolamento di esecuzione (UE) 2022/1426 stabilisce le regole di omologazione per i veicoli completamente automatizzati in casi d’uso definiti, tra cui aree prestabilite, percorsi tra nodi logistici e parcheggio automatizzato con servizio valet.

Tesla FSD (Supervised) in Europa

Il 10 aprile 2026, l’autorità olandese dei veicoli RDW ha concesso a Tesla FSD (Supervised) un’omologazione europea con validità provvisoria nei Paesi Bassi. RDW lo descrive come un sistema di assistenza controllato dal conducente, non come guida autonoma: il conducente rimane responsabile, deve sorvegliare il traffico e deve poter riprendere immediatamente il controllo.

RDW afferma inoltre che le versioni europea e statunitense non sono confrontabili punto per punto. La valutazione europea, quindi, non approva ogni funzione o versione software di FSD venduta altrove.

La decisione olandese non costituiva un’approvazione generale valida in tutta l’UE. RDW ha dichiarato che una validità più ampia richiede la presentazione alla Commissione europea, una votazione degli Stati membri e il sostegno della maggioranza nel comitato competente. Finché il processo non sarà completato, l’autorizzazione o il riconoscimento nazionale devono essere verificati Paese per Paese.

La Cina separa l’assistenza supervisionata dagli ADS

La struttura normativa cinese separa anch’essa l’assistenza alla guida costantemente supervisionata dalla guida automatizzata. Il Ministero dell’Industria e delle Tecnologie dell’Informazione ha aperto alla consultazione, dal 17 al 24 giugno 2026, il progetto per l’approvazione dei Requisiti di sicurezza per i sistemi di guida automatizzata. La piattaforma nazionale delle norme indica ora il progetto come pubblicato con la sigla GB 44721—2026, in sostituzione della raccomandazione GB/T 44721—2024, e riporta il 1° luglio 2027 come data di applicazione proposta.

Il progetto si applica ai veicoli delle categorie M e N dotati di ADS di livello 3 e/o livello 4 ed esclude il parcheggio automatizzato. Copre l’intero compito dinamico di guida, l’interazione uomo–macchina, il monitoraggio della capacità di ripresa del controllo, il comportamento a rischio minimo, la garanzia di sicurezza del costruttore, i dossier di sicurezza e la validazione. In caso di differenze tra i testi, prevale la norma definitiva pubblicata, non una bozza precedente.

La norma cinese GB 47955—2026 si applica invece all’assistenza combinata alla guida, nella quale il conducente deve osservare continuamente il traffico e controllare il veicolo. Secondo il MIIT, dovrebbe entrare in vigore il 1° gennaio 2027. Questa separazione segue il confine adottato in tutto l’articolo: una funzione di livello 2 rimane controllata dal conducente anche se esegue manovre guidate dalla navigazione, mentre un ADS di livello 3 o livello 4 svolge l’intero compito di guida entro le proprie condizioni operative.

Il quadro ONU di giugno 2026 per gli ADS senza conducente

Il 24 giugno 2026, il Forum mondiale per l’armonizzazione dei regolamenti sui veicoli dell’UNECE, WP.29, ha adottato il primo quadro normativo globale per Automated Driving Systems completamente privi di conducente. La decisione comprendeva un nuovo regolamento ONU ai sensi dell’accordo del 1958 e un regolamento tecnico mondiale parallelo ai sensi dell’accordo del 1998, accompagnati da modifiche a circa novanta regolamenti ONU esistenti sui veicoli.

Questo quadro riguarda sistemi che svolgono l’intero compito dinamico di guida, non l’assistenza supervisionata di livello 2. I requisiti principali comprendono:

  • un sistema di gestione della sicurezza sottoposto ad audit per l’intero ciclo di vita;
  • un dossier di sicurezza strutturato che dimostri l’assenza di un rischio irragionevole;
  • una validazione credibile mediante simulazione, pista e guida reale;
  • prestazioni pari o superiori a quelle di un conducente umano competente;
  • monitoraggio e segnalazione continui durante l’esercizio; e
  • conservazione dei dati di guida automatizzata rilevanti per la sicurezza.

Il quadro può comprendere domini operativi autostradali e urbani e può adattarsi a veicoli privi di comandi di guida convenzionali. È un importante passo verso l’armonizzazione perché costruttori e autorità dispongono ora di una struttura di sicurezza comune, orientata ai risultati, per l’approvazione degli ADS.

Non è un’unica autorizzazione valida in tutto il mondo. Le parti contraenti devono ancora attuare gli strumenti applicabili, approvare sistemi di veicoli specifici e stabilire dove sia legale l’esercizio senza conducente. Le norme stradali locali, le autorizzazioni operative e le condizioni del servizio rimangono rilevanti. La decisione non riclassifica inoltre FSD (Supervised), NOA urbano o altre funzioni costantemente supervisionate come guida autonoma.

Gli Stati Uniti seguono un percorso diverso

Negli Stati Uniti, la vigilanza federale sulla sicurezza dei veicoli interagisce con il diritto operativo dei singoli Stati e con le regole locali di impiego. In genere, i costruttori autocertificano la conformità agli standard federali di sicurezza dei veicoli a motore, mentre le autorità indagano sui difetti e fanno rispettare i requisiti durante l’uso.

Lo Standing General Order della NHTSA richiede la segnalazione di determinati incidenti che coinvolgono sistemi di livello 2 e sistemi di guida automatizzata. Le autorità statali e locali possono disciplinare separatamente le prove e l’esercizio commerciale senza conducente. Un’esenzione federale, un’autorizzazione statale alle prove e il permesso di trasportare passeggeri paganti sono decisioni diverse.

Come si presenta una comunicazione credibile sulla sicurezza

Un’affermazione pubblica solida specifica:

  • il livello esatto di automazione e il ruolo della persona;
  • il veicolo, l’hardware, la versione software e il dominio operativo;
  • il fallback e il comportamento a rischio minimo;
  • l’omologazione o l’autorizzazione effettivamente ottenuta;
  • il territorio in cui è valida;
  • le prove di collaudo e operative, con i relativi denominatori;
  • le esclusioni note e le limitazioni irrisolte; e
  • il modo in cui vengono monitorati incidenti e aggiornamenti.

Le affermazioni vaghe come “più sicuro degli esseri umani” sono incomplete senza un dominio comparabile, una definizione dei risultati, l’esposizione e l’incertezza. La sicurezza non è un traguardo raggiunto una sola volta. Il dossier deve essere mantenuto man mano che cambiano software, hardware, strade e operazioni.

Fonti

Maggiori informazioni