Bezpieczeństwo, redundancja i regulacje

Ostatnia zmiana: sie 08, 2026

Bezpieczeństwo to uporządkowane twierdzenie dotyczące określonej funkcji, pojazdu, domeny operacyjnej i wersji, poparte dowodami przed wdrożeniem oraz monitorowanymi danymi po wdrożeniu. Obejmuje bezpieczeństwo funkcjonalne, ograniczenia czujników, czynniki ludzkie, cyberbezpieczeństwo, eksploatację i regulacje; żadna demonstracja, próba ani liczba przejechanych kilometrów nie obejmuje wszystkich tych obszarów.

Zacznij od argumentacji bezpieczeństwa

Argumentacja bezpieczeństwa to uzasadniony i poparty dowodami wywód, że system jest dostatecznie bezpieczny dla określonego zastosowania i środowiska. Łączy twierdzenia nadrzędne z zagrożeniami, wymaganiami, próbami, wynikami i środkami kontroli operacyjnej.

Zakres musi być precyzyjny. Dowody dotyczące usługi działającej z małą prędkością na suchej nawierzchni nie potwierdzają bezpieczeństwa na ośnieżonej autostradzie. Dowody dla jednej platformy pojazdu lub wersji oprogramowania nie przenoszą się automatycznie na inną.

Twórcy stosują różne ramy, ale wiarygodna argumentacja bezpieczeństwa powinna obejmować co najmniej:

  • kompetentne zachowanie podczas normalnej pracy;
  • wykrywanie i zarządzanie usterkami;
  • ograniczenia zamierzonej funkcjonalności i percepcji;
  • bezpieczną interakcję z użytkownikami i innymi uczestnikami ruchu;
  • praktyki operacyjne, konserwację i reagowanie na incydenty;
  • cyberbezpieczeństwo i kontrolowane aktualizacje oprogramowania; oraz
  • dowody, że ryzyko podczas eksploatacji pozostaje akceptowalne.

Publiczne podsumowania ułatwiają kontrolę, ale nie stanowią pełnej argumentacji i nie zastępują oceny regulacyjnej.

Kilka dziedzin bezpieczeństwa nakłada się na siebie

Bezpieczeństwo funkcjonalne dotyczy zagrożeń powodowanych przez wadliwe działanie układów elektrycznych i elektronicznych. Norma ISO 26262 określa ramy tego procesu w całym cyklu życia pojazdu.

Bezpieczeństwo zamierzonej funkcjonalności, objęte normą ISO 21448, dotyczy zagrożeń powstających wtedy, gdy system działa zgodnie z projektem, lecz specyfikacja, możliwości czujników lub algorytm są niewystarczające w danej sytuacji.

Bezpieczeństwo AI w pojazdach drogowych, opisane w ISO/PAS 8800, obejmuje ryzyko wynikające z niewystarczających wyników AI, błędów systematycznych i losowych usterek sprzętu.

Inżynieria cyberbezpieczeństwa, objęta normą ISO/SAE 21434, zarządza ryzykiem cyberbezpieczeństwa pojazdu przez cały cykl życia.

Dziedziny te uzupełniają się, a nie zastępują. Nawet całkowicie niezawodna kamera może nie potrafić sklasyfikować nowego rodzaju sytuacji. Sprawny model percepcji może nadal być niebezpieczny, jeżeli zmieni go przejęta aktualizacja.

Redundancja musi odpowiadać rodzajowi usterki

Redundancja jest użyteczna tylko wtedy, gdy tor alternatywny przetrwa rozpatrywaną usterkę. Dwa komputery korzystające z jednego zasilania nie chronią przed utratą tego zasilania. Dwie kamery zasłonięte przez tę samą przeszkodę nie chronią przed utratą widoczności.

Architektury wyższej automatyzacji mogą rozdzielać:

  • tory zasilania elektrycznego i komunikacji;
  • rodzaje czujników i pola widzenia;
  • główne przetwarzanie i niezależny nadzór bezpieczeństwa;
  • tory wykonawcze układu kierowniczego i hamulcowego;
  • źródła lokalizacji; oraz
  • sterowanie normalne i sterowanie prowadzące do stanu minimalnego ryzyka.

Analiza bezpieczeństwa określa, gdzie potrzebna jest różnorodność lub separacja. Więcej komponentów może też tworzyć więcej interfejsów i trybów awarii, dlatego liczba elementów sprzętowych nie jest miarą bezpieczeństwa.

Celem jest kontrolowana degradacja. Pojazd powinien wykryć usterkę, zachować zdolność niezbędną w bieżącej sytuacji i osiągnąć zdefiniowany stan minimalnego ryzyka.

Zależność od człowieka zmienia się wraz z poziomem

Na poziomie 2 człowiek pozostaje częścią pętli sterowania i musi stale obserwować drogę. Bezpieczeństwo zależy od jasnych granic możliwości, czytelnych instrukcji, monitorowania kierowcy, ostrzeżeń wydawanych w odpowiednim czasie i ochrony przed przewidywalnym niewłaściwym użyciem. Dotyczy to również systemu punkt–punkt, który podąża trasą do celu, skręca na skrzyżowaniach i zatrzymuje się przed sygnalizacją świetlną lub znakami stop.

Na poziomie 3 użytkownik może odwrócić uwagę, ale musi pozostać dostępny. System potrzebuje kontrolowanego przejścia, które uwzględnia czas konieczny do odzyskania świadomości sytuacyjnej.

Na poziomie 4 kierowcy może nie być. System i jego wsparcie operacyjne muszą obsłużyć tryb awaryjny. Pomoc zdalna może dostarczać kontekstu, ale nie powinna być przedstawiana jako autonomia, jeśli człowiek znajdujący się zdalnie faktycznie wykonuje zadanie prowadzenia.

Pomylenie trybów jest zagrożeniem. Interfejs musi jasno wskazywać, czy prowadzi człowiek, czy system, co system może zrobić w danej chwili i jakiej reakcji oczekuje.

Walidacja wymaga uzupełniających się dowodów

Żadna praktyczna próba drogowa nie może napotkać każdego ważnego scenariusza z częstotliwością przydatną statystycznie. Żadna symulacja nie odwzorowuje rzeczywistości idealnie.

Dojrzały program łączy:

  • analizę wymagań i projektu;
  • próby komponentów i integracji;
  • testy software-in-the-loop i hardware-in-the-loop;
  • symulację scenariuszy i odtwarzanie zarejestrowanych danych;
  • próby na zamkniętym torze;
  • nadzorowane próby na drogach publicznych;
  • niezależny przegląd i próby regulacyjne; oraz
  • monitorowanie osiągów podczas eksploatacji.

Próby scenariuszowe pokazują, czy pojazd radzi sobie ze zdefiniowanymi zagrożeniami. Dane o ekspozycji pokazują, jak wdrożony system działa w rzeczywistej eksploatacji. Oba rodzaje danych wymagają mianowników i precyzyjnie określonego zakresu.

Milion kilometrów na autostradzie nie może zweryfikować twierdzenia dotyczącego miejskich skrzyżowań. Niska liczba kolizji niewiele mówi bez przebiegu, rodzaju drogi, ciężkości zdarzeń, progu raportowania i porównywalnego punktu odniesienia dla kierowcy. Wyniki podawane przez firmę należy czytać razem z opublikowaną metodologią i niepewnością.

Publiczny panel Safety Impact firmy Waymo jest dobrym przykładem raportowania opartego na ekspozycji, ponieważ zawiera przebieg bez kierowcy bezpieczeństwa, definicje wyników, metody porównania z kierowcami oraz dane do pobrania. Nadal jest to dowód dotyczący domen usług Waymo, a nie potwierdzenie bezpieczeństwa każdego rozwiązania zautomatyzowanej jazdy.

Cyberbezpieczeństwo i aktualizacje są kwestiami bezpieczeństwa

Pojazdy połączone z siecią udostępniają interfejsy przez diagnostykę, aplikacje, sieci bezprzewodowe, usługi chmurowe i oprogramowanie z łańcucha dostaw. Atakujący lub uszkodzona aktualizacja może wpłynąć na poufność, dostępność albo fizyczne zachowanie pojazdu.

Bezpieczeństwo obejmuje więc architekturę, uwierzytelnianie, bezpieczny rozruch, zarządzanie kluczami, kontrolę dostępu, monitorowanie, reagowanie na podatności i procesy dostawców. Prywatność jest powiązana, ale odrębna: system może być zabezpieczony, a mimo to zbierać więcej danych o pasażerach lub przestrzeni publicznej, niż oczekują użytkownicy.

Regulaminy ONZ 155 i 156 ustanawiają na stosujących je rynkach ramy dla systemów zarządzania cyberbezpieczeństwem i aktualizacjami oprogramowania producentów. Bezprzewodowa aktualizacja funkcji prowadzenia powinna być identyfikowalna, uwierzytelniona, zwalidowana i monitorowana. Rozszerzenie domeny operacyjnej jest zmianą produktu istotną dla bezpieczeństwa, a nie rutynową konserwacją systemu multimedialnego.

Zatwierdzenie zależy od funkcji i jurysdykcji

„Zatwierdzony” może oznaczać różne etapy prawne:

  • homologację typu pojazdu lub komponentu;
  • pozwolenie na próby na drogach publicznych;
  • zezwolenie na prowadzenie komercyjnej usługi bez kierowcy;
  • uznanie homologacji w innym kraju; albo
  • zgodność z przepisami ruchu określającymi, co może robić człowiek.

Decyzje te nie są zamienne. Poziom SAE opisuje podział zadania prowadzenia i działania awaryjnego; nie jest świadectwem homologacji.

Dla asysty kontrolowanej przez kierowcę Regulamin ONZ 171 określa wymagania dotyczące Driver Control Assistance Systems na rynkach, które go stosują. WP.29 przyjęło w czerwcu 2026 drugą serię zmian w ramach dalszego rozwoju tych zasad. Ponieważ kierowca pozostaje odpowiedzialny, system zatwierdzony jako poziom 2 lub w trybie kontroli przez kierowcę nie staje się Automated Driving System tylko dlatego, że podąża trasą lub obsługuje miejskie skrzyżowania.

Regulamin ONZ 157 dotyczy Automated Lane Keeping Systems i stworzył na stosujących go rynkach ścieżkę zatwierdzania funkcji autostradowych poziomu 3. Rozporządzenie wykonawcze (UE) 2022/1426 ustanawia zasady homologacji typu w pełni zautomatyzowanych pojazdów w zdefiniowanych przypadkach użycia, w tym na wcześniej określonych obszarach, trasach między węzłami oraz w zautomatyzowanym parkowaniu typu valet.

Tesla FSD (Supervised) w Europie

10 kwietnia 2026 holenderski urząd ds. pojazdów RDW przyznał systemowi Tesla FSD (Supervised) europejską homologację typu o tymczasowej ważności w Holandii. RDW opisuje go jako system asysty kontrolowany przez kierowcę, a nie system autonomiczny: kierowca pozostaje odpowiedzialny, musi obserwować ruch i być w stanie natychmiast przejąć sterowanie.

RDW stwierdza również, że wersji europejskiej i amerykańskiej nie można porównywać jeden do jednego. Europejska ocena nie zatwierdza więc każdej funkcji ani wersji oprogramowania FSD sprzedawanej gdzie indziej.

Holenderska decyzja nie była ogólnym zatwierdzeniem na terenie całej UE. Według RDW szersza ważność wymaga przedłożenia sprawy Komisji Europejskiej, głosowania państw członkowskich i poparcia większości w odpowiedzialnym komitecie. Do czasu zakończenia tego procesu krajowe zezwolenie lub uznanie trzeba sprawdzać osobno dla każdego państwa.

Chiny oddzielają nadzorowaną asystę od ADS

Chińska struktura regulacyjna również oddziela stale nadzorowaną asystę kierowcy od zautomatyzowanej jazdy. Ministerstwo Przemysłu i Technologii Informacyjnych otworzyło projekt Wymagań bezpieczeństwa dla systemów zautomatyzowanej jazdy do konsultacji na etapie zatwierdzania w dniach 17–24 czerwca 2026. Krajowa platforma norm wskazuje obecnie projekt jako opublikowany pod numerem GB 44721—2026, zastępującym zalecenie GB/T 44721—2024, i podaje 1 lipca 2027 jako proponowaną datę stosowania.

Projekt dotyczy pojazdów kategorii M i N wyposażonych w ADS poziomu 3 i/lub poziomu 4, z wyłączeniem zautomatyzowanego parkowania. Obejmuje pełne dynamiczne zadanie prowadzenia, interakcję człowiek–maszyna, monitorowanie zdolności do przejęcia kontroli, zachowanie minimalizujące ryzyko, zapewnienie bezpieczeństwa przez producenta, argumentacje bezpieczeństwa i walidację. W razie rozbieżności decydująca jest ostatecznie opublikowana norma, a nie wcześniejszy projekt.

Chińska norma GB 47955—2026 dotyczy natomiast połączonej asysty kierowcy, w której kierowca musi stale obserwować ruch i kontrolować pojazd. Według MIIT ma ona wejść w życie 1 stycznia 2027. Podział odpowiada granicy stosowanej w całym artykule: funkcja poziomu 2 pozostaje kontrolowana przez kierowcę, nawet jeśli wykonuje manewry kierowane przez nawigację, natomiast ADS poziomu 3 lub poziomu 4 wykonuje pełne zadanie prowadzenia w swoich warunkach operacyjnych.

Ramy ONZ z czerwca 2026 dla ADS bez kierowcy

24 czerwca 2026 Światowe Forum UNECE ds. Harmonizacji Przepisów dotyczących Pojazdów, WP.29, przyjęło pierwsze globalne ramy regulacyjne dla w pełni bezzałogowych Automated Driving Systems. Decyzja obejmowała nowy Regulamin ONZ w ramach porozumienia z 1958 roku oraz równoległy Globalny Regulamin Techniczny w ramach porozumienia z 1998 roku, wraz ze zmianami w około dziewięćdziesięciu istniejących regulaminach ONZ dotyczących pojazdów.

Ramy te dotyczą systemów wykonujących pełne dynamiczne zadanie prowadzenia, a nie nadzorowanej asysty poziomu 2. Główne wymagania obejmują:

  • audytowany system zarządzania bezpieczeństwem przez cały cykl życia;
  • uporządkowaną argumentację bezpieczeństwa wykazującą brak nieuzasadnionego ryzyka;
  • wiarygodną walidację w symulacji, na torze i w ruchu rzeczywistym;
  • osiągi dorównujące kompetentnemu kierowcy lub go przewyższające;
  • ciągłe monitorowanie i raportowanie podczas eksploatacji; oraz
  • przechowywanie danych zautomatyzowanej jazdy istotnych dla bezpieczeństwa.

Ramy mogą obejmować domeny operacyjne na autostradach i w miastach oraz pojazdy bez konwencjonalnych elementów sterowania dla kierowcy. Jest to ważny krok w harmonizacji, ponieważ producenci i organy mają teraz wspólną, ukierunkowaną na wyniki strukturę bezpieczeństwa dla zatwierdzania ADS.

Nie jest to jedno zezwolenie ważne na całym świecie. Strony porozumień nadal muszą wdrożyć odpowiednie instrumenty, zatwierdzić konkretne systemy pojazdów i określić, gdzie jazda bez kierowcy jest legalna. Lokalne prawo drogowe, zezwolenia operacyjne i warunki świadczenia usług pozostają istotne. Decyzja nie zmienia też klasyfikacji FSD (Supervised), miejskiego NOA ani innych stale nadzorowanych funkcji na jazdę autonomiczną.

Stany Zjednoczone stosują inną ścieżkę

W Stanach Zjednoczonych federalny nadzór nad bezpieczeństwem pojazdów współdziała z prawem operacyjnym poszczególnych stanów i lokalnymi zasadami wdrażania. Producenci zazwyczaj samodzielnie poświadczają zgodność z federalnymi normami bezpieczeństwa pojazdów silnikowych, natomiast organy badają wady i egzekwują wymagania podczas użytkowania.

Standing General Order NHTSA wymaga zgłaszania określonych kolizji z udziałem systemów poziomu 2 i systemów zautomatyzowanej jazdy. Władze stanowe i lokalne mogą oddzielnie regulować próby i komercyjną eksploatację bez kierowcy. Federalne odstępstwo, stanowe zezwolenie na próby i pozwolenie na przewóz płacących pasażerów to różne decyzje.

Jak wygląda wiarygodna komunikacja o bezpieczeństwie

Rzetelne publiczne twierdzenie podaje:

  • dokładny poziom automatyzacji i rolę człowieka;
  • pojazd, sprzęt, wersję oprogramowania i domenę operacyjną;
  • działanie awaryjne i zachowanie minimalizujące ryzyko;
  • faktycznie uzyskaną homologację lub zezwolenie;
  • obszar, na którym jest ono ważne;
  • dowody z prób i eksploatacji wraz z mianownikami;
  • znane wyłączenia i nierozwiązane ograniczenia; oraz
  • sposób monitorowania incydentów i aktualizacji.

Nieprecyzyjne twierdzenia, takie jak „bezpieczniejszy od człowieka”, są niepełne bez porównywalnej domeny, definicji wyniku, ekspozycji i niepewności. Bezpieczeństwo nie jest metą osiąganą tylko raz. Argumentację trzeba utrzymywać wraz ze zmianami oprogramowania, sprzętu, dróg i sposobu eksploatacji.

Źródła

Więcej informacji