L’omologazione dei veicoli è stata costruita attorno a un principio consolidato: provare il veicolo, verificarne i sistemi, dimostrarne la conformità e approvarne il tipo. La guida autonoma cambia radicalmente questa logica. Quando software, sensori e processi decisionali automatizzati svolgono il compito di guida, l’autorità di omologazione non valuta più soltanto il veicolo, ma la capacità del veicolo di guidare.
L’omologazione dei sistemi di guida automatizzata (ADS) rappresenta quindi uno degli sviluppi più significativi dell’omologazione moderna. Prestazioni di frenatura, sterzo e sicurezza convenzionale del veicolo restano importanti, ma si affiancano ora a percezione, processo decisionale, domini di progettazione operativa, prove basate su scenari, sicurezza funzionale e operativa, strategie di fallback, registrazione dei dati e monitoraggio in esercizio.
Anche il quadro normativo si sta evolvendo rapidamente. L’UNECE WP.29 ha sviluppato un nuovo quadro normativo internazionale per i sistemi di guida automatizzata, mentre l’Unione europea dispone già di un quadro di omologazione dedicato per l’ADS dei veicoli completamente automatizzati.
Che cosa viene esattamente omologato?
Un sistema di guida automatizzata è fondamentalmente diverso da una funzione convenzionale di assistenza alla guida.
Un ADS combina hardware e software in grado di svolgere in modo continuativo il compito di guida dinamica all’interno di un dominio di progettazione operativa (ODD) definito.
Ciò significa che l’omologazione non riguarda più soltanto il corretto funzionamento dei singoli componenti. Il processo di approvazione deve considerare come l’intero sistema osserva l’ambiente, interpreta gli eventi, prende decisioni e controlla il veicolo.
Frenatura, sterzo, illuminazione, resistenza agli urti, emissioni e altre caratteristiche misurabili del veicolo vengono valutate rispetto a requisiti definiti.
La valutazione si estende a percezione, processo decisionale, comportamento di guida, gestione della sicurezza, limiti del sistema, fallback e interazione con gli altri utenti della strada.
L’UNECE WP.29 sta costruendo il quadro internazionale per gli ADS
La regolamentazione dell’automazione dei veicoli si è sviluppata attraverso il Forum mondiale per l’armonizzazione dei regolamenti sui veicoli (WP.29) dell’UNECE e il suo Gruppo di lavoro sui veicoli automatizzati/autonomi e connessi (GRVA).
Stabilisce disposizioni uniformi per l’omologazione dei veicoli a motore con riguardo ai loro sistemi di guida automatizzata.
Crea una base tecnica armonizzata a livello internazionale per i requisiti di sicurezza e la valutazione dei sistemi di guida automatizzata.
Ha istituito il precedente quadro normativo per i sistemi automatizzati di mantenimento della corsia (ALKS).
Riguarda i sistemi di assistenza al controllo del conducente (DCAS), mantenendo un’importante distinzione tra assistenza alla guida e guida automatizzata.
L’approvazione inizia definendo dove il veicolo può guidare
La capacità autonoma non è semplicemente «attiva» o «disattiva». Un ADS è progettato per operare all’interno di un dominio di progettazione operativa definito.
L’ODD stabilisce le condizioni entro le quali il costruttore dichiara che il sistema automatizzato può svolgere il compito di guida in sicurezza.
Perché delimita la dichiarazione di approvazione. Un sistema dimostrato sicuro su percorsi urbani controllati con meteo favorevole non può automaticamente essere considerato sicuro su strade di montagna, con neve intensa o in condizioni al di fuori del dominio validato.
Come si dimostra che un conducente automatizzato è sicuro?
L’omologazione ADS non può realisticamente basarsi su una singola prova fisica. Il numero di possibili situazioni stradali è troppo elevato.
Il costruttore necessita quindi di evidenze strutturate che dimostrino che l’ADS è stato progettato, verificato e validato in modo sistematico per gestire i rischi pertinenti.
Architettura, obiettivi di sicurezza, confini del sistema e meccanismi utilizzati per gestire pericoli e guasti.
Sensori, processori, attuatori, comunicazioni, funzionalità esterne al veicolo e loro interazioni.
Identificazione e valutazione dei pericoli credibili derivanti dal comportamento del sistema, da malfunzionamenti o dalle condizioni operative.
Evidenze che dimostrano che i requisiti di sicurezza sono stati implementati e che il sistema funziona come previsto.
Misure adottate quando il normale funzionamento automatizzato non può proseguire in sicurezza.
La relazione tra requisiti, pericoli, controlli di progettazione, prove, scenari, risultati e conclusioni di sicurezza.
Non è possibile percorrere ogni scenario possibile
La sfida fondamentale nella validazione della guida autonoma è la scala. Il traffico reale produce un numero enorme di combinazioni di utenti della strada, velocità, traiettorie, condizioni ambientali ed eventi imprevisti.
La validazione moderna degli ADS si basa quindi su più metodi complementari anziché su un unico ambiente di prova.
Gli ambienti virtuali consentono di valutare in modo efficiente un numero molto elevato di scenari, varianti e condizioni limite.
Ambienti di prova controllati consentono di valutare software, ECU, sensori e sistemi del veicolo prima delle prove su strada del veicolo completo.
Scenari fisici ripetibili consentono una valutazione controllata del comportamento del veicolo e delle interazioni critiche.
La circolazione su strade pubbliche fornisce evidenze del comportamento del sistema in ambienti di traffico reali.
Validazione basata su scenari
La valutazione basata su scenari sta diventando centrale perché consente di concentrare le prove su situazioni di guida significative, invece di accumulare chilometri senza comprendere quali condizioni siano state effettivamente incontrate.
Un elevato chilometraggio da solo non stabilisce se siano stati incontrati scenari sufficientemente impegnativi, rari o critici per la sicurezza.
Una copertura strutturata degli scenari consente di collegare le evidenze ai pericoli identificati, alle condizioni operative e ai requisiti di sicurezza.
Il veicolo deve vedere, comprendere e reagire
Un conducente umano osserva continuamente la strada, identifica gli oggetti rilevanti, anticipa i comportamenti e sceglie la risposta adeguata. Un ADS deve riprodurre queste funzioni di guida attraverso hardware e software.
Il sistema è in grado di rilevare veicoli, pedoni, ciclisti, ostacoli, corsie, segnali e altri oggetti rilevanti?
È in grado di determinare correttamente che cosa rappresentano tali oggetti ed eventi?
È in grado di anticipare i probabili movimenti e comportamenti degli altri utenti della strada?
È in grado di selezionare una traiettoria del veicolo appropriata e sicura?
Sterzo, accelerazione e frenatura sono in grado di eseguire con precisione la manovra prevista?
Il sistema è in grado di riconoscere quando le condizioni ambientali o di sistema si avvicinano ai propri limiti operativi o li superano?
La risposta tecnicamente corretta a un altro utente della strada dipende da velocità, distanza, geometria stradale, diritto di precedenza, visibilità, movimento previsto e comportamento del traffico circostante.
Che cosa accade quando l’ADS non può proseguire?
Nessun sistema tecnico complesso può essere progettato presupponendo che ogni componente e ogni condizione ambientale rimangano ideali.
L’approvazione ADS deve quindi considerare come il veicolo reagisce quando il normale funzionamento automatizzato è degradato o non può più proseguire in sicurezza.
Manovre a rischio minimo
A seconda del concetto di guida automatizzata e dei requisiti applicabili, il sistema potrebbe dover passare a una condizione di rischio minimo quando non è più possibile proseguire in sicurezza il funzionamento automatizzato previsto.
L’adeguatezza di tale risposta deve diventare a sua volta parte della valutazione di sicurezza.
↑ Torna alla guida all’articoloUn veicolo automatizzato è anche un prodotto controllato da software
Le prestazioni di un ADS dipendono fortemente da software, sistemi di controllo elettronico, comunicazioni e dati. Di conseguenza, l’omologazione della guida autonoma non può essere separata dalla governance del software e dalla cybersecurity.
Stabilisce i requisiti di cybersecurity del veicolo e del sistema di gestione della cybersecurity (CSMS).
Stabilisce i requisiti per gli aggiornamenti software e per il sistema di gestione degli aggiornamenti software (SUMS).
Le evidenze di sicurezza devono corrispondere alla configurazione software e di sistema rappresentata dal veicolo omologato.
Gli aggiornamenti software richiedono una valutazione controllata, perché un aggiornamento può incidere su funzionalità rilevanti per l’omologazione del veicolo.
In un veicolo definito dal software, la risposta può essere sì. Per questo la configurazione software, la gestione degli aggiornamenti e la valutazione delle modifiche rilevanti per l’omologazione stanno diventando parti integranti dell’omologazione moderna.
L’UE dispone già di un percorso di omologazione dedicato agli ADS
Il Regolamento di esecuzione (UE) 2022/1426 della Commissione stabilisce procedure e specifiche tecniche per l’omologazione del sistema di guida automatizzata dei veicoli completamente automatizzati.
Il quadro europeo richiede informazioni dettagliate che descrivano l’ADS, il suo dominio di progettazione operativa, l’architettura, le funzioni e il concetto di sicurezza.
Veicoli completamente automatizzati per il trasporto di persone o merci progettati per operare all’interno di un’area definita possono rientrare nel quadro normativo.
Sono contemplati i veicoli automatizzati che operano lungo percorsi predefiniti tra punti di partenza e di arrivo fissi.
L’evoluzione del quadro UE nel 2026 ne estende l’ambito alle applicazioni di parcheggio automatizzato in condizioni operative definite.
Il costruttore deve fornire evidenze a supporto del concetto di sicurezza dell’ADS e illustrare le misure di progettazione adottate per garantire la sicurezza funzionale e operativa.
Un ADS, più mercati regolamentati
I veicoli autonomi vengono sviluppati per una diffusione globale, ma i sistemi giuridici nazionali, gli ambienti di traffico e i meccanismi di approvazione non si evolvono esattamente alla stessa velocità.
L’armonizzazione internazionale tramite l’UNECE riveste quindi un’enorme importanza strategica per i costruttori.
Interpretazioni normative separate, scenari duplicati, evidenze tecniche ripetute e procedure di approvazione diverse possono aumentare significativamente costi e tempi di sviluppo.
Un safety case strutturato a livello globale può fornire una base tecnica comune, integrata dai requisiti di approvazione nazionali o regionali.
L’omologazione non termina necessariamente con la produzione
L’omologazione convenzionale si è tradizionalmente concentrata sulla dimostrazione della conformità prima dell’immissione dei veicoli sul mercato e sul successivo mantenimento della conformità della produzione.
I veicoli automatizzati e definiti dal software pongono una sfida più ampia lungo l’intero ciclo di vita.
La conformità del prodotto è dimostrata principalmente attraverso l’omologazione, la conformità della produzione e i meccanismi di sorveglianza del mercato applicabili.
L’evoluzione del software, le evidenze operative e le informazioni di sicurezza post-commercializzazione creano un ciclo di assurance sempre più continuo.
È uno dei motivi per cui il monitoraggio in esercizio e un riscontro strutturato dall’esperienza operativa stanno diventando elementi sempre più importanti del modello normativo della guida automatizzata.
Dalla certificazione dell’hardware alla garanzia del comportamento
La guida autonoma cambia la natura della valutazione della conformità, perché il prodotto rilevante per la sicurezza è sempre più una combinazione di hardware, software, dati, architettura di sistema e comportamento automatizzato.
Il programma di omologazione del futuro richiede quindi competenze che vanno ben oltre le prove convenzionali sul veicolo.
Identificare il regolamento ADS applicabile, la categoria del veicolo, il caso d’uso, l’ODD e i requisiti dei mercati di destinazione.
Valutare architettura, pericoli, meccanismi di sicurezza, dipendenze, limiti e strategie di fallback.
Definire scenari nominali, critici, di guasto e limite pertinenti sulla base dei rischi del sistema e delle condizioni operative.
Combinare simulazione, laboratorio, hardware/software-in-the-loop, prove su circuito ed evidenze dal mondo reale.
Stabilire la tracciabilità tra requisiti normativi, dichiarazioni di sicurezza, evidenze ingegneristiche e risultati di validazione.
Mantenere configurazione software, cybersecurity, aggiornamenti, monitoraggio operativo ed evidenze di sicurezza continuative dopo l’approvazione.
Chi stiamo davvero approvando?
L’omologazione della guida autonoma rappresenta un cambiamento fondamentale nel rapporto tra ingegneria del veicolo e approvazione normativa.
Il veicolo resta il prodotto fisico, ma la capacità critica per la sicurezza oggetto di valutazione è sempre più il sistema di guida automatizzata: la sua capacità di percepire l’ambiente, interpretare gli eventi, prendere decisioni, controllare il veicolo, riconoscere i propri limiti e reagire in sicurezza quando il funzionamento normale non può proseguire.
Ciò richiede ad autorità, costruttori, servizi tecnici, laboratori e organismi indipendenti di valutazione della conformità di lavorare con un insieme di evidenze molto più ampio rispetto alle sole prove tradizionali sui componenti.
Quando nessun conducente umano svolge il compito di guida dinamica, quali evidenze sono sufficienti perché un’autorità di omologazione possa fidarsi del sistema che prende il posto del conducente?