Segurança, redundância e regulamentação

Última modificação: ago. 08, 2026

Segurança é uma afirmação estruturada sobre uma função, um veículo, um domínio operacional e uma versão definidos, sustentada por evidências antes da implantação e por dados monitorados depois dela. Abrange segurança funcional, limitações dos sensores, fatores humanos, cibersegurança, operação e regulamentação; nenhuma demonstração, teste ou número de quilometragem cobre tudo isso.

Começar com um caso de segurança

Um caso de segurança é um argumento fundamentado, apoiado por evidências, de que um sistema é aceitavelmente seguro para um uso e um ambiente específicos. Ele conecta as afirmações de alto nível aos perigos, requisitos, testes, resultados e controles operacionais.

O escopo precisa ser exato. Evidências de um serviço em baixa velocidade e em condições secas não estabelecem segurança em uma rodovia com neve. Evidências relativas a uma plataforma de veículo ou versão de software não são transferidas automaticamente para outra.

Os desenvolvedores usam diferentes estruturas, mas um caso de segurança confiável deve abordar pelo menos:

comportamento competente durante a operação normal;
detecção e gerenciamento de falhas;
limites da funcionalidade prevista e da percepção;
interação segura com usuários e demais usuários da via;
práticas operacionais, manutenção e resposta a incidentes;
cibersegurança e atualizações de software controladas; e
evidências de que o risco em serviço continua aceitável.

Os resumos públicos são úteis para análise crítica, mas não constituem o caso completo nem substituem a avaliação regulatória.

Várias disciplinas de segurança se sobrepõem

A segurança funcional trata dos perigos causados pelo mau funcionamento dos sistemas elétricos e eletrônicos. A ISO 26262 fornece a estrutura do ciclo de vida automotivo para esse trabalho.

A segurança da funcionalidade prevista, coberta pela ISO 21448, trata dos perigos que surgem quando um sistema funciona conforme projetado, mas a especificação, o desempenho dos sensores ou o algoritmo são insuficientes para a situação.

A segurança da IA em veículos rodoviários, tratada pela ISO/PAS 8800, cobre os riscos de resultados insuficientes da IA, erros sistemáticos e falhas aleatórias de hardware.

A engenharia de cibersegurança, coberta pela ISO/SAE 21434, gerencia o risco de cibersegurança do veículo ao longo do ciclo de vida.

Essas disciplinas se complementam em vez de se substituírem. Uma câmera perfeitamente confiável ainda pode ser incapaz de classificar uma situação inédita. Um modelo de percepção competente ainda pode ser inseguro se uma atualização comprometida o alterar.

A redundância precisa responder à falha

A redundância só é útil quando o caminho alternativo sobrevive à falha considerada. Dois computadores ligados à mesma fonte de alimentação não protegem contra a perda dessa fonte. Duas câmeras atrás da mesma obstrução não protegem contra a visão bloqueada.

As arquiteturas com maior automação podem separar:

os caminhos de alimentação elétrica e comunicação;
as modalidades de detecção e os campos de visão;
o processamento principal e o monitoramento de segurança independente;
os caminhos de acionamento da direção e dos freios;
as fontes de localização; e
o controle normal e o controle para uma condição de risco mínimo.

A análise de segurança determina onde diversidade ou separação são necessárias. Mais componentes também podem criar mais interfaces e modos de falha, portanto a quantidade de hardware não é uma medida de segurança.

O objetivo é a degradação controlada. O veículo deve detectar a falha, conservar a capacidade necessária para a situação imediata e alcançar a condição de risco mínimo definida.

A dependência humana muda conforme o nível

No nível 2, a pessoa faz parte da malha de controle e precisa monitorar continuamente a via. A segurança depende dos limites de capacidade, de instruções claras, do monitoramento do motorista, de alertas oportunos e da proteção contra usos indevidos previsíveis. Isso continua válido quando um sistema ponto a ponto segue uma rota até o destino, faz conversões em cruzamentos e para diante de semáforos ou placas de pare.

No nível 3, o usuário pode desviar a atenção, mas precisa permanecer disponível. O sistema necessita de uma transição gerenciada que considere o tempo necessário para recuperar a consciência da situação.

No nível 4, pode não haver motorista. O sistema e seu suporte operacional precisam administrar a contingência. A assistência remota pode fornecer contexto, mas não deve ser apresentada como autonomia se uma pessoa à distância estiver efetivamente executando a tarefa de condução.

A confusão entre modos é um perigo. A interface precisa deixar claro se a pessoa ou o sistema está dirigindo, o que o sistema pode fazer naquele momento e qual resposta espera.

A validação exige evidências complementares

Nenhum teste prático em vias públicas consegue encontrar todos os cenários importantes com uma frequência estatisticamente útil. Nenhuma simulação representa perfeitamente a realidade.

Um programa maduro combina:

análise de requisitos e projeto;
testes de componentes e integração;
testes de software e hardware em malha;
simulação de cenários e reprodução de dados gravados;
testes em pista fechada;
testes supervisionados em vias públicas;
análise independente e testes regulatórios; e
monitoramento do desempenho em serviço.

Os testes de cenários mostram se o veículo enfrenta perigos definidos. Os dados de exposição mostram como o sistema implantado funciona na operação real. Ambos precisam de denominadores e de um escopo preciso.

Um milhão de quilômetros em rodovias não consegue validar uma afirmação sobre cruzamentos urbanos. Um número baixo de acidentes não é informativo sem distância, tipo de via, gravidade, limiar de notificação e uma referência humana comparável. Os resultados divulgados por uma empresa devem ser lidos com a metodologia publicada e sua incerteza.

O painel público Safety Impact da Waymo é um bom exemplo de divulgação baseada em exposição, pois fornece a distância percorrida sem motorista de segurança, definições dos resultados, métodos de comparação com motoristas humanos e dados para download. Ele continua sendo uma evidência relativa aos domínios de serviço da Waymo, não uma prova de que qualquer projeto de condução automatizada seja seguro.

Cibersegurança e atualizações são questões de segurança

Os veículos conectados expõem interfaces por meio de diagnósticos, aplicativos, redes sem fio, serviços em nuvem e software da cadeia de fornecedores. Um invasor ou uma atualização corrompida pode afetar a confidencialidade, a disponibilidade ou o comportamento físico.

Por isso, a segurança abrange arquitetura, autenticação, inicialização segura, gerenciamento de chaves, controle de acesso, monitoramento, resposta a vulnerabilidades e processos dos fornecedores. A privacidade é relacionada, mas distinta: o sistema pode ser seguro e ainda coletar mais dados sobre ocupantes ou as vias públicas do que os usuários esperam.

Os Regulamentos da ONU 155 e 156 estabelecem estruturas para os sistemas de gerenciamento de cibersegurança e de atualizações de software dos fabricantes nos mercados que os aplicam. Uma atualização sem fio de uma função de condução deve ser rastreável, autenticada, validada e monitorada. A expansão do domínio operacional é uma alteração do produto relevante para a segurança, não uma manutenção rotineira do sistema de infoentretenimento.

A aprovação acompanha a função e a jurisdição

“Aprovado” pode se referir a diferentes etapas legais:

uma homologação de tipo de um veículo ou componente;
permissão para testes em vias públicas;
autorização para operar um serviço comercial sem motorista;
reconhecimento de uma homologação em outro país; ou
conformidade com as regras de trânsito que determinam o que a pessoa pode fazer.

Essas decisões não são intercambiáveis. Um nível SAE descreve a divisão da tarefa de condução e da contingência; não é um certificado de homologação.

Para a assistência controlada pelo motorista, o Regulamento da ONU 171 estabelece requisitos para Driver Control Assistance Systems nos mercados que o aplicam. O WP.29 adotou uma segunda série de alterações em junho de 2026 como parte da evolução dessas regras. Como o motorista continua responsável, um sistema aprovado por uma via de nível 2 ou de controle pelo motorista não se torna um Automated Driving System apenas por seguir uma rota ou lidar com cruzamentos urbanos.

O Regulamento da ONU 157 cobre Automated Lane Keeping Systems e abriu um caminho para a aprovação de funções rodoviárias de nível 3 nos mercados que o aplicam. O Regulamento de Execução (UE) 2022/1426 estabelece regras de homologação de tipo para veículos totalmente automatizados em casos de uso definidos, incluindo áreas predefinidas, rotas entre centros logísticos e estacionamento automatizado com manobrista.

Tesla FSD (Supervised) na Europa

Em 10 de abril de 2026, a autoridade neerlandesa de veículos RDW concedeu ao Tesla FSD (Supervised) uma homologação europeia com validade provisória nos Países Baixos. A RDW o descreve como um sistema de assistência controlado pelo motorista, não como condução autônoma: o motorista continua responsável, precisa monitorar o trânsito e conseguir assumir o controle imediatamente.

A RDW também afirma que as versões europeia e norte-americana não são comparáveis ponto a ponto. Portanto, a avaliação europeia não aprova todas as funções ou versões de software do FSD vendidas em outros lugares.

A decisão neerlandesa não foi uma aprovação geral válida em toda a UE. A RDW informou que uma validade mais ampla exige apresentação à Comissão Europeia, votação dos Estados-Membros e apoio majoritário no comitê responsável. Até a conclusão desse processo, a autorização ou o reconhecimento nacional precisa ser verificado país por país.

A China separa a assistência supervisionada dos ADS

A estrutura regulatória da China também separa a assistência ao motorista continuamente supervisionada da condução automatizada. O Ministério da Indústria e Tecnologia da Informação abriu para comentários, entre os dias 17 e 24 de junho de 2026, o projeto para aprovação dos Requisitos de segurança para sistemas de condução automatizada. A plataforma nacional de normas já indica o projeto como publicado sob a referência GB 44721—2026, substituindo a recomendação GB/T 44721—2024, e informa 1º de julho de 2027 como data de aplicação proposta.

O projeto se aplica a veículos das categorias M e N equipados com ADS de nível 3 e/ou nível 4 e exclui o estacionamento automatizado. Abrange a tarefa dinâmica de condução completa, a interação pessoa–máquina, o monitoramento da capacidade de retomada, o comportamento de risco mínimo, a garantia de segurança do fabricante, os casos de segurança e a validação. Quando os textos divergirem, prevalece a norma final publicada, não um projeto anterior.

Em contraste, a norma chinesa GB 47955—2026 se aplica à assistência combinada à condução em que o motorista precisa observar continuamente o trânsito e controlar o veículo. Segundo o MIIT, está previsto que entre em vigor em 1º de janeiro de 2027. Essa separação segue o limite usado em todo o artigo: uma função de nível 2 permanece controlada pelo motorista mesmo que execute manobras orientadas pela navegação, enquanto um ADS de nível 3 ou nível 4 realiza a tarefa de condução completa dentro de suas condições operacionais.

O marco da ONU de junho de 2026 para ADS sem motorista

Em 24 de junho de 2026, o Fórum Mundial para Harmonização da Regulamentação de Veículos da UNECE, WP.29, adotou o primeiro marco regulatório mundial para Automated Driving Systems totalmente sem motorista. A decisão incluiu um novo Regulamento da ONU nos termos do Acordo de 1958 e um Regulamento Técnico Mundial paralelo nos termos do Acordo de 1998, acompanhados de alterações em cerca de noventa regulamentos de veículos existentes da ONU.

Esse marco se aplica a sistemas que executam a tarefa dinâmica de condução completa, não à assistência supervisionada de nível 2. Seus principais requisitos incluem:

um sistema de gerenciamento de segurança auditado durante todo o ciclo de vida;
um caso de segurança estruturado que demonstre a ausência de risco injustificável;
validação confiável por simulação, pista e condução real;
desempenho igual ou superior ao de um motorista humano competente;
monitoramento e comunicação contínuos em serviço; e
armazenamento de dados de condução automatizada relevantes para a segurança.

O marco pode cobrir domínios operacionais rodoviários e urbanos e incluir veículos sem controles de direção convencionais. É um passo importante de harmonização porque fabricantes e autoridades agora dispõem de uma estrutura de segurança comum e orientada a resultados para a aprovação de ADS.

Não é uma autorização única válida no mundo todo. As partes contratantes ainda precisam implementar os instrumentos aplicáveis, aprovar sistemas de veículos específicos e determinar onde a operação sem motorista é legal. As leis de trânsito locais, as licenças operacionais e as condições do serviço continuam relevantes. A decisão também não reclassifica FSD (Supervised), NOA urbano ou outras funções continuamente supervisionadas como condução autônoma.

Os Estados Unidos seguem um caminho diferente

Nos Estados Unidos, a supervisão federal da segurança dos veículos interage com as leis operacionais dos estados e as regras locais de implantação. Em geral, os fabricantes autocertificam a conformidade com as normas federais de segurança de veículos automotores, enquanto os órgãos reguladores investigam defeitos e aplicam os requisitos durante o uso.

A Standing General Order da NHTSA exige a comunicação de determinados acidentes envolvendo sistemas de nível 2 e sistemas de condução automatizada. As autoridades estaduais e locais podem regulamentar separadamente os testes e a operação comercial sem motorista. Uma isenção federal, uma licença estadual de testes e uma autorização para transportar passageiros pagantes são decisões diferentes.

Como é uma comunicação de segurança confiável

Uma afirmação pública sólida especifica:

o nível exato de automação e o papel da pessoa;
o veículo, o hardware, a versão de software e o domínio operacional;
a contingência e o comportamento de risco mínimo;
a homologação ou autorização realmente obtida;
o território em que é válida;
as evidências de testes e operação, com denominadores;
as exclusões conhecidas e as limitações não resolvidas; e
como os incidentes e as atualizações são monitorados.

Afirmações vagas como “mais seguro do que os humanos” são incompletas sem um domínio comparável, uma definição dos resultados, a exposição e a incerteza. A segurança não é uma linha de chegada cruzada uma única vez. O caso precisa ser mantido à medida que o software, o hardware, as vias e a operação mudam.

Fontes

Mais informações