Segurança, redundância e regulamentação

Última modificação: ago. 08, 2026

A segurança é uma afirmação estruturada sobre uma função, um veículo, um domínio operacional e uma versão definidos, sustentada por provas antes da implementação e por dados monitorizados após a implementação. Abrange a segurança funcional, as limitações dos sensores, os fatores humanos, a cibersegurança, a operação e a regulamentação; nenhuma demonstração, ensaio ou valor de quilometragem cobre todos estes aspetos.

Começar por um dossiê de segurança

Um dossiê de segurança é uma argumentação fundamentada, apoiada por provas, de que um sistema é suficientemente seguro para uma utilização e um ambiente específicos. Liga as afirmações de alto nível aos perigos, requisitos, ensaios, resultados e controlos operacionais.

O âmbito tem de ser exato. As provas de um serviço a baixa velocidade em piso seco não demonstram segurança numa autoestrada com neve. As provas relativas a uma plataforma de veículo ou versão de software não se transferem automaticamente para outra.

Os programadores utilizam diferentes referenciais, mas um dossiê de segurança credível deve abranger, pelo menos:

comportamento competente durante a operação normal;
deteção e gestão de falhas;
limites da funcionalidade prevista e da perceção;
interação segura com utilizadores e outros utentes da estrada;
práticas operacionais, manutenção e resposta a incidentes;
cibersegurança e atualizações de software controladas; e
provas de que o risco em serviço permanece aceitável.

Os resumos públicos são úteis para análise, mas não constituem o dossiê completo nem substituem a avaliação regulamentar.

Várias disciplinas de segurança sobrepõem-se

A segurança funcional trata dos perigos causados pelo mau funcionamento dos sistemas elétricos e eletrónicos. A ISO 26262 fornece o quadro para este trabalho ao longo do ciclo de vida automóvel.

A segurança da funcionalidade prevista, abrangida pela ISO 21448, trata dos perigos em que o sistema funciona como concebido, mas a especificação, o desempenho dos sensores ou o algoritmo são insuficientes para a situação.

A segurança da IA em veículos rodoviários, tratada pela ISO/PAS 8800, abrange os riscos decorrentes de resultados insuficientes da IA, erros sistemáticos e falhas aleatórias de hardware.

A engenharia de cibersegurança, abrangida pela ISO/SAE 21434, gere o risco de cibersegurança do veículo ao longo do ciclo de vida.

Estas disciplinas complementam-se em vez de se substituírem. Uma câmara perfeitamente fiável pode continuar a não conseguir classificar uma situação inédita. Um modelo de perceção competente pode continuar a ser inseguro se uma atualização comprometida o alterar.

A redundância tem de responder à falha

A redundância só é útil quando o caminho alternativo resiste à falha considerada. Dois computadores ligados à mesma fonte de alimentação não protegem contra a perda dessa fonte. Duas câmaras atrás da mesma obstrução não protegem contra a visão bloqueada.

As arquiteturas com maior automatização podem separar:

os circuitos de alimentação elétrica e comunicação;
as modalidades de deteção e os campos de visão;
o processamento principal e a monitorização de segurança independente;
os circuitos de atuação da direção e da travagem;
as fontes de localização; e
o controlo normal e o controlo para uma condição de risco mínimo.

A análise de segurança determina onde são necessárias diversidade ou separação. Mais componentes podem também criar mais interfaces e modos de falha, pelo que a quantidade de hardware não é uma medida de segurança.

O objetivo é uma degradação controlada. O veículo deve detetar a falha, conservar a capacidade necessária para a situação imediata e atingir a condição de risco mínimo definida.

A dependência humana muda consoante o nível

No nível 2, a pessoa faz parte do ciclo de controlo e tem de monitorizar continuamente a estrada. A segurança depende dos limites de capacidade, de instruções claras, da monitorização do condutor, de alertas oportunos e da proteção contra utilizações indevidas previsíveis. Isto continua a ser válido quando um sistema ponto a ponto segue uma rota até ao destino, vira em cruzamentos e para perante semáforos ou sinais de stop.

No nível 3, o utilizador pode desviar a atenção, mas tem de permanecer disponível. O sistema precisa de uma transição gerida que considere o tempo necessário para recuperar a consciência da situação.

No nível 4, pode não existir condutor. O sistema e o respetivo apoio operacional têm de gerir a contingência. A assistência remota pode fornecer contexto, mas não deve ser apresentada como autonomia se uma pessoa à distância estiver efetivamente a executar a tarefa de condução.

A confusão entre modos é um perigo. A interface tem de deixar claro se é a pessoa ou o sistema que conduz, o que o sistema consegue fazer naquele momento e que resposta espera.

A validação exige provas complementares

Nenhum ensaio prático em estrada consegue encontrar todos os cenários importantes com uma frequência estatisticamente útil. Nenhuma simulação representa perfeitamente a realidade.

Um programa maduro combina:

análise de requisitos e conceção;
ensaios de componentes e integração;
ensaios de software e hardware no circuito;
simulação de cenários e reprodução de dados gravados;
ensaios em pista fechada;
ensaios supervisionados em vias públicas;
análise independente e ensaios regulamentares; e
monitorização do desempenho em serviço.

Os ensaios de cenários mostram se o veículo lida com perigos definidos. Os dados de exposição mostram como o sistema implementado funciona em operação real. Ambos precisam de denominadores e de um âmbito preciso.

Um milhão de quilómetros em autoestrada não consegue validar uma afirmação relativa a cruzamentos urbanos. Um número reduzido de acidentes não é informativo sem distância, tipo de via, gravidade, limiar de comunicação e uma referência humana comparável. Os resultados comunicados por uma empresa devem ser lidos com a metodologia publicada e a respetiva incerteza.

O painel público Safety Impact da Waymo é um bom exemplo de comunicação baseada na exposição, porque fornece distância percorrida sem condutor de segurança, definições dos resultados, métodos de comparação com condutores humanos e dados descarregáveis. Continua a ser prova relativa aos domínios de serviço da Waymo, não uma demonstração de que qualquer conceção de condução automatizada é segura.

A cibersegurança e as atualizações são questões de segurança

Os veículos conectados expõem interfaces através de diagnóstico, aplicações, redes sem fios, serviços na nuvem e software da cadeia de fornecimento. Um atacante ou uma atualização corrompida pode afetar a confidencialidade, a disponibilidade ou o comportamento físico.

A segurança abrange, por isso, arquitetura, autenticação, arranque seguro, gestão de chaves, controlo de acesso, monitorização, resposta a vulnerabilidades e processos de fornecedores. A privacidade está relacionada, mas é distinta: o sistema pode ser seguro e ainda assim recolher mais dados sobre ocupantes ou o espaço público do que os utilizadores esperam.

Os Regulamentos da ONU 155 e 156 estabelecem quadros para os sistemas de gestão da cibersegurança e das atualizações de software dos fabricantes nos mercados que os aplicam. Uma atualização sem fios de uma função de condução deve ser rastreável, autenticada, validada e monitorizada. A expansão do domínio operacional é uma alteração do produto relevante para a segurança, não uma manutenção de rotina do infoentretenimento.

A aprovação acompanha a função e a jurisdição

«Aprovado» pode referir-se a diferentes etapas legais:

uma homologação de tipo de um veículo ou componente;
autorização para ensaios em vias públicas;
autorização para operar um serviço comercial sem condutor;
reconhecimento de uma homologação noutro país; ou
cumprimento das regras de trânsito que determinam o que a pessoa pode fazer.

Estas decisões não são intercambiáveis. Um nível SAE descreve a distribuição da tarefa de condução e da contingência; não é um certificado de homologação.

Para a assistência controlada pelo condutor, o Regulamento da ONU 171 estabelece requisitos para Driver Control Assistance Systems nos mercados que o aplicam. O WP.29 adotou uma segunda série de alterações em junho de 2026 como parte da evolução destas regras. Como o condutor continua responsável, um sistema aprovado por uma via de nível 2 ou de controlo pelo condutor não se torna num Automated Driving System apenas por seguir uma rota ou lidar com cruzamentos urbanos.

O Regulamento da ONU 157 abrange Automated Lane Keeping Systems e criou uma via para a aprovação de funções de autoestrada de nível 3 nos mercados que o aplicam. O Regulamento de Execução (UE) 2022/1426 estabelece regras de homologação para veículos totalmente automatizados em casos de utilização definidos, incluindo zonas predefinidas, rotas entre centros logísticos e estacionamento automatizado com serviço de manobrista.

Tesla FSD (Supervised) na Europa

Em 10 de abril de 2026, a autoridade neerlandesa de veículos RDW concedeu ao Tesla FSD (Supervised) uma homologação europeia com validade provisória nos Países Baixos. A RDW descreve-o como um sistema de assistência controlado pelo condutor, não como condução autónoma: o condutor continua responsável, tem de monitorizar o trânsito e conseguir retomar imediatamente o controlo.

A RDW afirma também que as versões europeia e norte-americana não são comparáveis ponto por ponto. A avaliação europeia não aprova, portanto, todas as funções ou versões de software do FSD vendidas noutros locais.

A decisão neerlandesa não foi uma aprovação geral válida em toda a UE. A RDW indicou que uma validade mais ampla exige apresentação à Comissão Europeia, votação dos Estados-Membros e apoio maioritário no comité responsável. Até esse processo estar concluído, a autorização ou o reconhecimento nacional deve ser verificado país a país.

A China separa a assistência supervisionada dos ADS

A estrutura regulamentar da China também separa a assistência ao condutor continuamente supervisionada da condução automatizada. O Ministério da Indústria e das Tecnologias da Informação abriu a consulta do projeto para aprovação dos Requisitos de segurança para sistemas de condução automatizada entre 17 e 24 de junho de 2026. A plataforma nacional de normas já apresenta o projeto como publicado sob a referência GB 44721—2026, substituindo a recomendação GB/T 44721—2024, e indica 1 de julho de 2027 como data de aplicação proposta.

O projeto aplica-se a veículos das categorias M e N equipados com ADS de nível 3 e/ou nível 4 e exclui o estacionamento automatizado. Abrange a totalidade da tarefa dinâmica de condução, a interação pessoa–máquina, a monitorização da capacidade de retoma, o comportamento de risco mínimo, a garantia de segurança do fabricante, os dossiês de segurança e a validação. Quando os textos diferirem, prevalece a norma final publicada, e não um projeto anterior.

Em contrapartida, a norma chinesa GB 47955—2026 aplica-se à assistência combinada à condução em que o condutor tem de observar continuamente o trânsito e controlar o veículo. Segundo o MIIT, deverá entrar em vigor em 1 de janeiro de 2027. Esta separação segue o limite utilizado em todo o artigo: uma função de nível 2 permanece controlada pelo condutor mesmo que execute manobras orientadas pela navegação, enquanto um ADS de nível 3 ou nível 4 executa a tarefa completa de condução dentro das suas condições operacionais.

O quadro da ONU de junho de 2026 para ADS sem condutor

Em 24 de junho de 2026, o Fórum Mundial para a Harmonização da Regulamentação aplicável a Veículos da UNECE, WP.29, adotou o primeiro quadro regulamentar mundial para Automated Driving Systems totalmente sem condutor. A decisão incluiu um novo Regulamento da ONU ao abrigo do Acordo de 1958 e um Regulamento Técnico Mundial paralelo ao abrigo do Acordo de 1998, acompanhados por alterações a cerca de noventa regulamentos de veículos existentes da ONU.

Este quadro abrange sistemas que executam a totalidade da tarefa dinâmica de condução, não a assistência supervisionada de nível 2. Os seus principais requisitos incluem:

um sistema de gestão da segurança auditado durante todo o ciclo de vida;
um dossiê de segurança estruturado que demonstre a inexistência de risco injustificado;
validação credível através de simulação, pista e condução real;
desempenho igual ou superior ao de um condutor humano competente;
monitorização e comunicação contínuas em serviço; e
armazenamento de dados de condução automatizada relevantes para a segurança.

O quadro pode abranger domínios operacionais em autoestrada e urbanos e acomodar veículos sem comandos de condução convencionais. É um passo importante de harmonização porque fabricantes e autoridades dispõem agora de uma estrutura de segurança comum e orientada para resultados para a aprovação de ADS.

Não é uma autorização única válida em todo o mundo. As partes contratantes continuam a ter de aplicar os instrumentos relevantes, aprovar sistemas de veículos específicos e determinar onde é legal a operação sem condutor. A legislação rodoviária local, as autorizações de operação e as condições de serviço continuam relevantes. A decisão também não reclassifica FSD (Supervised), NOA urbano ou outras funções continuamente supervisionadas como condução autónoma.

Os Estados Unidos seguem uma via diferente

Nos Estados Unidos, a supervisão federal da segurança dos veículos interage com a legislação operacional dos estados e as regras locais de implementação. Em geral, os fabricantes autocertificam a conformidade com as normas federais de segurança dos veículos automóveis, enquanto os reguladores investigam defeitos e aplicam os requisitos em utilização.

A Standing General Order da NHTSA exige a comunicação de determinados acidentes que envolvam sistemas de nível 2 e sistemas de condução automatizada. As autoridades estaduais e locais podem regular separadamente os ensaios e a operação comercial sem condutor. Uma isenção federal, uma licença estadual para ensaios e uma autorização para transportar passageiros pagantes são decisões diferentes.

Como é uma comunicação de segurança credível

Uma afirmação pública sólida especifica:

o nível exato de automatização e o papel da pessoa;
o veículo, o hardware, a versão de software e o domínio operacional;
a contingência e o comportamento de risco mínimo;
a homologação ou autorização efetivamente obtida;
o território onde é válida;
as provas de ensaio e operação, com denominadores;
as exclusões conhecidas e as limitações por resolver; e
como os incidentes e as atualizações são monitorizados.

Afirmações vagas como «mais seguro do que os humanos» são incompletas sem um domínio comparável, uma definição dos resultados, a exposição e a incerteza. A segurança não é uma meta atingida uma única vez. O dossiê tem de ser mantido à medida que o software, o hardware, as estradas e a operação mudam.

Fontes

Mais informações