L’omologazione tradizionale dei veicoli è stata costruita attorno a un prodotto relativamente stabile. Un veicolo veniva progettato, provato, omologato, prodotto e immesso sul mercato con caratteristiche critiche per la sicurezza in gran parte fissate dalla sua costruzione fisica.
I veicoli definiti dal software mettono in discussione questo modello. I veicoli moderni possono ricevere, dopo la produzione, aggiornamenti software che modificano funzioni, calibrazioni, interfacce, gestione dell’energia, comportamento dei sistemi di assistenza alla guida e potenzialmente caratteristiche rilevanti per l’omologazione.
L’aggiornamento software over-the-air pone quindi una delle domande più importanti dell’omologazione moderna: se un veicolo può cambiare in modo sostanziale dopo l’omologazione, come possono autorità e costruttori garantire che il veicolo omologato resti conforme per tutta la sua vita operativa?
Quando il software diventa parte del veicolo omologato
Un veicolo definito dal software è un veicolo in cui una quota crescente delle funzionalità è implementata, controllata o modificata tramite software e non soltanto tramite hardware fisso.
Ciò significa che le caratteristiche rappresentate dall’omologazione originale possono dipendere sempre più dalla versione software installata nel veicolo.
Le caratteristiche rilevanti per l’omologazione sono in gran parte stabilite da componenti fisici, costruzione meccanica e calibrazione elettronica fissa.
Le funzioni omologate possono dipendere da versioni software, configurazione, calibrazione, funzionalità digitali e aggiornamenti successivi alla produzione.
Il quadro internazionale per gli aggiornamenti software dei veicoli
Il Regolamento ONU n. 156 stabilisce il quadro normativo internazionale per gli aggiornamenti software dei veicoli e per i sistemi di gestione degli aggiornamenti software.
La sua importanza va ben oltre la distribuzione over-the-air. Il regolamento disciplina il modo in cui i costruttori identificano, valutano, gestiscono, registrano e controllano gli aggiornamenti software che interessano i veicoli nell’ambito del sistema di omologazione.
Il costruttore deve gestire processi strutturati che controllino le attività di aggiornamento software.
Gli aggiornamenti devono essere valutati per stabilire se incidono su caratteristiche rilevanti per l’omologazione del veicolo.
Il software rilevante per l’omologazione deve essere identificabile e tracciabile rispetto alla configurazione del veicolo appropriata.
I costruttori necessitano di informazioni controllate su versioni software, aggiornamenti e veicoli interessati.
Il suo scopo centrale ai fini dell’omologazione è garantire che gli aggiornamenti software siano gestiti in modo controllato e che le loro conseguenze sulle caratteristiche omologate del veicolo siano comprese.
L’aggiornamento deve essere controllato prima di raggiungere il veicolo
Uno dei concetti centrali del Regolamento ONU R156 è il sistema di gestione degli aggiornamenti software, comunemente indicato come SUMS.
Il SUMS porta l’omologazione oltre la verifica di un singolo aggiornamento. Richiede al costruttore di dimostrare che l’organizzazione stessa dispone di processi efficaci per gestire il software lungo il ciclo di vita pertinente del veicolo.
Identificare il software pertinente, le versioni e le relazioni con i sistemi del veicolo e le caratteristiche di omologazione.
Mantenere il controllo su quali configurazioni software corrispondono a specifici tipi e varianti di veicolo.
Stabilire che cosa cambia nell’aggiornamento e se sono interessate funzionalità rilevanti per l’omologazione.
Dimostrare che l’aggiornamento funziona come previsto e non produce effetti inaccettabili su altri sistemi.
Garantire che l’aggiornamento corretto raggiunga i veicoli compatibili in condizioni appropriate.
Conservare evidenze che colleghino versioni software, veicoli interessati, valutazioni e decisioni di aggiornamento.
Quale versione software rappresenta il veicolo omologato?
L’omologazione del software richiede un collegamento affidabile tra il veicolo omologato e il software che controlla le funzioni rilevanti per l’omologazione.
I regolamenti ONU utilizzano pertanto meccanismi di identificazione del software come l’RxSWIN (Regulation x Software Identification Number) per supportare la tracciabilità del software associato alle funzionalità regolamentate.
I sistemi di conformità tradizionali tracciano i componenti fisici attraverso disegni, codici articolo, numeri di serie e registrazioni di produzione controllate.
Le funzioni definite dal software richiedono un controllo equivalente su versioni, configurazione e loro relazione con il veicolo omologato.
Se il software di controllo cambia, possono cambiare anche il comportamento del veicolo o le sue caratteristiche regolamentate. L’identificazione del software diventa quindi parte integrante del controllo della configurazione del veicolo.
L’aggiornamento software modifica il veicolo omologato?
È probabilmente la domanda di omologazione più importante nell’era dei veicoli definiti dal software.
Non tutti gli aggiornamenti software incidono sull’omologazione. Un aggiornamento delle mappe di navigazione, una correzione dell’interfaccia o una funzione non regolamentata possono non avere alcun effetto sostanziale sulle caratteristiche regolamentate del veicolo.
Altri aggiornamenti possono essere molto diversi.
La modifica può essere gestita nell’ambito dei processi di aggiornamento software approvati del costruttore senza richiedere una nuova azione di omologazione.
Il costruttore deve valutare se prima della distribuzione siano necessarie prove, un’estensione dell’omologazione, documentazione aggiornata o un’altra azione normativa.
Il veicolo diventa il proprio ambiente di installazione del software
L’aggiornamento over-the-air elimina la necessità di installare fisicamente ogni modifica software in officina, ma crea anche nuovi rischi per la sicurezza e la conformità.
L’aggiornamento non deve solo essere tecnicamente corretto. Deve raggiungere il veicolo giusto, essere installato in condizioni appropriate e lasciare il veicolo in uno stato sicuro e valido.
Il sistema deve stabilire se l’aggiornamento è appropriato per il veicolo specifico e la sua configurazione software.
Il software dovrebbe arrivare senza modifiche non autorizzate o corruzione.
Gli aggiornamenti critici per la sicurezza possono richiedere condizioni definite relative allo stato del veicolo, al funzionamento o all’interazione con l’utente.
Il processo di aggiornamento deve considerare che cosa accade se l’installazione viene interrotta o non va a buon fine.
Conducenti o operatori possono necessitare di informazioni sullo scopo dell’aggiornamento, sulle condizioni di installazione o su modifiche che incidono sull’uso del veicolo.
Il veicolo e il costruttore devono avere la certezza che la configurazione prevista sia stata installata correttamente.
L’aggiornamento di un veicolo può interessare sistemi in grado di sterzare, frenare, accelerare o controllare altre funzioni rilevanti per la sicurezza. Le conseguenze di un’installazione errata o incompleta possono quindi essere sostanzialmente diverse.
L’omologazione degli aggiornamenti software non può essere separata dalla cybersecurity
L’aggiornamento del software introduce percorsi di comunicazione, meccanismi di distribuzione del software e relazioni di fiducia digitale che possono diventare potenziali superfici di attacco informatico.
Per questo il Regolamento ONU n. 156 opera in stretta connessione con il Regolamento ONU n. 155, che disciplina la cybersecurity dei veicoli e i sistemi di gestione della cybersecurity.
Si concentra sull’identificazione, valutazione e gestione dei rischi di cybersecurity che interessano i veicoli lungo il loro ciclo di vita.
Si concentra sul controllo degli aggiornamenti software dei veicoli e sulla loro relazione con le caratteristiche omologate del veicolo.
Che cosa deve essere dimostrato prima del rilascio di un aggiornamento?
Il programma di validazione appropriato dipende da ciò che l’aggiornamento modifica.
Una modifica software che incide su una funzione del veicolo rilevante per la sicurezza può richiedere molte più evidenze di una modifica limitata a un’interfaccia utente non regolamentata.
Confermare che il software aggiornato implementa correttamente i requisiti previsti.
Dimostrare che le funzioni del veicolo interessate continuano a funzionare come richiesto.
Confermare che le modifiche non abbiano degradato involontariamente funzioni già validate.
Ove appropriato, verificare la funzione aggiornata nell’ambiente del veicolo completo.
Rivalutare pericoli e ipotesi di sicurezza quando l’aggiornamento incide su comportamenti rilevanti per la sicurezza.
Stabilire se i requisiti di omologazione applicabili restano soddisfatti dopo la modifica.
La conformità degli aggiornamenti software fa già parte dell’omologazione europea
L’Unione europea ha integrato i requisiti sugli aggiornamenti software nel quadro UE di omologazione dei veicoli attraverso l’applicazione del Regolamento ONU n. 156.
Ciò significa che la governance del software non è più un concetto di conformità futuro per i costruttori che immettono nuovi tipi di veicoli pertinenti sul mercato europeo.
La conformità degli aggiornamenti software fa parte dei requisiti normativi a supporto dell’omologazione UE dei veicoli.
La documentazione di omologazione deve tenere sempre più conto dell’identificazione del software e delle caratteristiche rilevanti per gli aggiornamenti.
Le modifiche software rilevanti per l’omologazione possono richiedere un’adeguata interazione con l’autorità di omologazione.
Le versioni software destinate a veicoli già in servizio possono richiedere un’attenta distinzione rispetto al software utilizzato per i veicoli di nuova produzione.
Le funzionalità controllate dal software creano una relazione continua tra la configurazione del veicolo omologato, le versioni software successive e le evidenze che dimostrano la conformità continuativa.
L’omologazione del software si estende lungo la catena di fornitura
Il software dei veicoli moderni è raramente creato da un’unica organizzazione. Gli OEM si affidano a fornitori di ECU, sviluppatori software, aziende di semiconduttori, fornitori ADAS, fornitori di sistemi batteria e altri partner tecnologici.
Tuttavia il costruttore del veicolo resta responsabile di dimostrare che il veicolo omologato continua a soddisfare i requisiti normativi applicabili.
I fornitori necessitano di meccanismi controllati per informare l’OEM quando il software o le funzionalità integrate cambiano.
La configurazione del veicolo omologato deve essere tracciabile attraverso il software fornito da più organizzazioni.
Le pertinenti evidenze di prova dei fornitori devono supportare la valutazione complessiva della conformità del costruttore.
Vulnerabilità e rischi legati agli aggiornamenti software possono emergere in qualsiasi punto della catena di fornitura del software connesso.
L’omologazione prosegue dopo che il veicolo lascia la produzione
I veicoli definiti dal software rafforzano una trasformazione più ampia già visibile nella regolamentazione automobilistica: la conformità si estende sempre più oltre l’evento di omologazione iniziale.
Il processo di omologazione si concentra fortemente sulla progettazione del veicolo che entra in produzione e sul mantenimento della conformità della produzione.
I veicoli controllati dal software richiedono una gestione continua della configurazione e la valutazione delle modifiche per tutta la vita operativa.
Questa domanda è al centro dell’omologazione definita dal software. La risposta dipende sempre più da un’identificazione controllata del software, da una valutazione documentata delle modifiche e da evidenze che dimostrino che la conformità normativa resta intatta.
Da prodotto fisso a piattaforma digitale controllata
I veicoli definiti dal software cambiano l’omologazione perché il veicolo diventa sempre più una piattaforma in grado di evolvere in modo controllato dopo la produzione.
Le future capacità di omologazione richiedono quindi una combinazione di ingegneria tradizionale del veicolo e moderna assurance del software.
Identificare tutti i regolamenti e le caratteristiche di omologazione potenzialmente interessati dalle funzioni controllate dal software.
Istituire una gestione sistematica degli aggiornamenti software in sviluppo, produzione ed esercizio sul campo.
Mantenere una tracciabilità affidabile tra veicoli, funzioni regolamentate e software installato.
Stabilire se ogni modifica software incide su caratteristiche di sicurezza o rilevanti per l’omologazione.
Generare evidenze che dimostrino che le funzionalità modificate restano sicure e conformi.
Mantenere la conformità man mano che i veicoli ricevono aggiornamenti, patch di sicurezza e modifiche funzionali durante la vita in servizio.
Un veicolo può cambiare dopo l’omologazione?
Il veicolo definito dal software rende la risposta sempre più chiara: sì, ma anche tale cambiamento deve essere governato.
Il software può fornire miglioramenti della sicurezza, correzioni di cybersecurity, miglioramenti delle prestazioni e nuove funzionalità durante tutta la vita del veicolo. Tuttavia la stessa capacità può modificare sistemi che originariamente facevano parte delle evidenze di omologazione del veicolo.
Per questo la gestione degli aggiornamenti software, la cybersecurity, la tracciabilità della configurazione e la valutazione dell’impatto normativo stanno diventando elementi fondamentali dell’omologazione moderna.
È come i costruttori possano dimostrare che ogni modifica rilevante per l’omologazione resta controllata, validata, tracciabile e conforme prima di raggiungere il veicolo.