Segurança, redundância e regulamentação

A segurança é uma afirmação estruturada sobre uma função, um veículo, um domínio operacional e uma versão definidos, apoiada por provas antes da implementação e por dados monitorizados depois. Abrange segurança funcional, limitações dos sensores, fatores humanos, cibersegurança, operações e regulamentação; nenhuma demonstração, teste ou quilometragem cobre tudo.

Começar por um dossier de segurança

Um dossier de segurança é um argumento fundamentado, apoiado por provas, de que um sistema é aceitavelmente seguro para uma utilização e um ambiente específicos. Liga afirmações de alto nível a perigos, requisitos, testes, resultados e controlos operacionais.

O âmbito tem de ser exato. Provas relativas a um serviço de baixa velocidade em condições secas não estabelecem segurança numa autoestrada com neve. Provas sobre uma plataforma de veículo ou versão de software não se transferem automaticamente para outra.

Os programadores utilizam estruturas diferentes, mas um dossier de segurança credível deve abordar pelo menos:

comportamento competente durante o funcionamento normal;
deteção e gestão de falhas;
limites da funcionalidade prevista e da perceção;
interação segura com utilizadores e outros utentes da estrada;
práticas operacionais, manutenção e resposta a incidentes;
cibersegurança e atualizações de software controladas; e
provas de que o risco em serviço continua aceitável.

Os resumos públicos são úteis para escrutínio, mas não constituem o dossier completo nem substituem a avaliação regulamentar.

Várias disciplinas de segurança sobrepõem-se

A segurança funcional aborda perigos causados pelo mau funcionamento de sistemas elétricos e eletrónicos. A ISO 26262 fornece a estrutura do ciclo de vida automóvel para este trabalho.

A segurança da funcionalidade prevista, abrangida pela ISO 21448, aborda perigos quando um sistema funciona conforme concebido, mas a especificação, o desempenho dos sensores ou o algoritmo são insuficientes para a situação.

A segurança da IA em veículos rodoviários, abordada pela ISO/PAS 8800, cobre riscos de resultados insuficientes da IA, erros sistemáticos e erros aleatórios do hardware.

A engenharia de cibersegurança, abrangida pela ISO/SAE 21434, gere o risco de cibersegurança do veículo durante todo o ciclo de vida.

Estas disciplinas complementam-se, em vez de se substituírem. Uma câmara perfeitamente fiável pode ainda não conseguir classificar uma cena inédita. Um modelo de perceção capaz pode continuar inseguro se uma atualização comprometida o alterar.

A redundância tem de responder à falha

A redundância só é útil quando o caminho alternativo sobrevive à falha considerada. Dois computadores com uma única alimentação não protegem contra a perda dessa alimentação. Duas câmaras atrás da mesma obstrução não protegem contra a visão bloqueada.

As arquiteturas com maior automatização podem separar:

caminhos de alimentação elétrica e comunicação;
modalidades de deteção e campos de visão;
computação principal e monitorização de segurança independente;
caminhos de atuação da direção e da travagem;
fontes de localização; e
controlo normal e controlo de risco mínimo.

A análise de segurança determina onde são necessárias diversidade ou separação. Mais componentes também podem criar mais interfaces e modos de falha, pelo que a quantidade de hardware não é uma medida de segurança.

O objetivo é a degradação controlada. O veículo deve detetar a falha, conservar a capacidade necessária para a situação imediata e alcançar a condição de risco mínimo definida.

A dependência humana muda consoante o nível

No nível 2, a pessoa faz parte do circuito de controlo e tem de monitorizar continuamente a estrada. A segurança depende dos limites de capacidade, de instruções claras, da monitorização do condutor, de alertas atempados e da proteção contra utilização indevida previsível. Isto continua válido quando um sistema de ponto a ponto segue um itinerário até ao destino, vira em cruzamentos e para perante controlos de trânsito.

No nível 3, o utilizador pode desviar a atenção, mas tem de continuar disponível. O sistema necessita de uma transição gerida que tenha em conta o tempo necessário para recuperar a consciência da situação.

No nível 4, pode não haver condutor. O sistema e o seu apoio operacional têm de gerir a resposta de recurso. A assistência remota pode fornecer contexto, mas não deve ser apresentada como autonomia se uma pessoa remota estiver efetivamente a executar a tarefa de condução.

A confusão de modo é um perigo. A interface tem de indicar claramente se a pessoa ou o sistema conduz, o que o sistema pode fazer no momento e que resposta espera.

A validação exige provas complementares

Nenhum teste prático em estrada consegue encontrar todos os cenários importantes com uma frequência estatística útil. Nenhuma simulação representa perfeitamente a realidade.

Um programa maduro combina:

análise de requisitos e conceção;
testes de componentes e integração;
testes de software e hardware no circuito;
simulação de cenários e reprodução de dados gravados;
testes em pista fechada;
testes supervisionados em vias públicas;
análise independente e testes regulamentares; e
desempenho monitorizado em serviço.

Os testes de cenários mostram se o veículo lida com perigos definidos. Os dados de exposição mostram como o sistema implementado funciona na operação real. Ambos necessitam de denominadores e âmbito.

Um milhão de quilómetros de autoestrada não pode validar uma afirmação sobre cruzamentos urbanos. Um baixo número de acidentes não é informativo sem distância, tipo de estrada, gravidade, limiar de comunicação e uma referência humana comparável. Os resultados comunicados por empresas devem ser lidos com a metodologia publicada e a incerteza.

O painel público Safety Impact da Waymo é um bom exemplo de comunicação baseada na exposição, pois fornece distância percorrida apenas com passageiros, definições de resultados, métodos de referência humana e dados descarregáveis. Continua a ser prova para os domínios de serviço da Waymo, não uma demonstração de que todo o projeto de condução automatizada é seguro.

A cibersegurança e as atualizações são questões de segurança

Os veículos conectados expõem interfaces através de diagnósticos, aplicações, redes sem fios, serviços de nuvem e software da cadeia de fornecimento. Um atacante ou uma atualização corrompida pode afetar a confidencialidade, a disponibilidade ou o comportamento físico.

Por isso, a segurança abrange arquitetura, autenticação, arranque seguro, gestão de chaves, controlo de acesso, monitorização, resposta a vulnerabilidades e processos dos fornecedores. A privacidade está relacionada, mas é distinta: o sistema pode ser seguro e recolher mais dados sobre ocupantes ou ruas do que os utilizadores esperam.

Os Regulamentos da ONU 155 e 156 estabelecem estruturas para os sistemas de gestão da cibersegurança e de atualizações de software dos fabricantes nos mercados que os aplicam. Uma atualização remota de uma função de condução deve ser rastreável, autenticada, validada e monitorizada. A expansão do domínio operacional é uma alteração do produto relevante para a segurança, não manutenção rotineira do infoentretenimento.

A aprovação segue a função e a jurisdição

«Aprovado» pode referir-se a diferentes etapas jurídicas:

uma homologação de tipo do veículo ou componente;
permissão para testar em vias públicas;
autorização para operar um serviço comercial sem condutor;
reconhecimento de uma homologação de outro país; ou
cumprimento das regras de trânsito que regem o que a pessoa pode fazer.

Estas etapas não são intercambiáveis. Um nível SAE descreve a distribuição da tarefa de condução e da resposta de recurso; não é um certificado de homologação.

Para a assistência controlada pelo condutor, o Regulamento da ONU 171 estabelece requisitos para os Driver Control Assistance Systems nos mercados que o aplicam. O WP.29 adotou uma segunda série de alterações em junho de 2026, no âmbito do desenvolvimento contínuo destas regras. Como o condutor continua responsável, um sistema aprovado por uma via de nível 2 ou de controlo pelo condutor não se torna um Automated Driving System apenas por seguir um itinerário ou lidar com cruzamentos urbanos.

O Regulamento da ONU 157 abrange os Automated Lane Keeping Systems e proporcionou uma via para funções de autoestrada de nível 3 aprovadas nos mercados que o aplicam. O Regulamento de Execução 2022/1426 da União Europeia estabelece regras de homologação para veículos totalmente automatizados em casos de utilização definidos, incluindo áreas predefinidas, percursos entre centros e estacionamento automatizado com manobrista.

Tesla FSD (Supervised) na Europa

Em 10 de abril de 2026, a autoridade neerlandesa de veículos RDW concedeu ao Tesla FSD (Supervised) uma homologação europeia com validade provisória nos Países Baixos. A RDW descreve-o como um sistema de assistência controlado pelo condutor, não como condução autónoma: o condutor continua responsável, tem de monitorizar o trânsito e poder assumir imediatamente o controlo.

A RDW também afirma que as versões europeia e norte-americana não são diretamente comparáveis. A avaliação europeia não aprova, portanto, todas as funções FSD ou versões de software vendidas noutros locais.

A decisão neerlandesa não foi uma aprovação geral em toda a UE. A RDW indicou que uma validade mais ampla exige apresentação à Comissão Europeia, votação pelos Estados-Membros e apoio maioritário no comité responsável. Até à conclusão desse processo, a autorização ou o reconhecimento nacional tem de ser verificado país a país.

O quadro da ONU de junho de 2026 para ADS sem condutor

Em 24 de junho de 2026, o Fórum Mundial da UNECE para a Harmonização dos Regulamentos aplicáveis a Veículos, WP.29, adotou o primeiro quadro regulamentar mundial para Automated Driving Systems totalmente sem condutor. A decisão incluiu um novo Regulamento da ONU ao abrigo do Acordo de 1958 e um Regulamento Técnico Mundial paralelo ao abrigo do Acordo de 1998, acompanhados de alterações a cerca de noventa regulamentos da ONU existentes para veículos.

O quadro abrange sistemas que executam toda a tarefa dinâmica de condução, não a assistência supervisionada de nível 2. Os seus requisitos essenciais incluem:

um sistema de gestão da segurança auditado durante todo o ciclo de vida;
um dossier de segurança estruturado que demonstre ausência de risco injustificado;
validação credível por simulação, em pista e no mundo real;
desempenho igual ou superior ao de um condutor humano competente;
monitorização e comunicação contínuas em serviço; e
armazenamento de dados de condução automatizada relevantes para a segurança.

O quadro pode abranger domínios operacionais de autoestrada e urbanos e acomodar veículos sem comandos convencionais. É um passo importante de harmonização, porque fabricantes e autoridades dispõem agora de uma estrutura comum de segurança, orientada para resultados, para aprovação de ADS.

Não é uma autorização mundial única. As partes contratantes ainda têm de aplicar os instrumentos relevantes, aprovar sistemas concretos e determinar onde a operação sem condutor é legal. A legislação rodoviária local, as licenças de operação e as condições do serviço continuam relevantes. A decisão também não reclassifica FSD (Supervised), City NOA ou outras funções continuamente supervisionadas como condução autónoma.

Os Estados Unidos seguem um caminho diferente

Nos Estados Unidos, interagem a supervisão federal da segurança dos veículos, a legislação operacional dos estados e as regras locais de implementação. Os fabricantes geralmente autocertificam o cumprimento das normas federais de segurança dos veículos, enquanto os reguladores investigam defeitos e aplicam os requisitos durante a utilização.

A Standing General Order da NHTSA exige a comunicação de determinados acidentes que envolvem sistemas de nível 2 e sistemas de condução automatizada. As autoridades estaduais e locais podem regular separadamente os testes e a operação comercial sem condutor. Uma isenção federal, uma licença estadual de testes e a permissão para transportar passageiros pagantes são decisões diferentes.

Como é uma comunicação de segurança credível

Uma afirmação pública sólida indica:

o nível exato de automatização e o papel da pessoa;
o veículo, hardware, versão de software e domínio operacional;
o comportamento de recurso e de risco mínimo;
a homologação ou licença efetivamente detida;
o território onde é válida;
as provas de testes e operação, com denominadores;
exclusões conhecidas e limitações não resolvidas; e
como são monitorizados incidentes e atualizações.

Afirmações vagas como «mais seguro do que os humanos» são incompletas sem domínio comparável, definição de resultados, exposição e incerteza. A segurança não é uma meta atingida uma única vez. O dossier deve ser mantido à medida que software, hardware, estradas e operações mudam.