A Arnold NextG estruturou um estudo de segurança para o NX NextMotion, sua camada de controle baseada em tecnologia drive-by-wire para veículos autônomos e teleoperados. Segundo a empresa, o processo rastreia cada objetivo de segurança desde os requisitos e a arquitetura até as evidências de teste — e de volta ao ponto de partida.
Drive-by-wire significa que não existe ligação mecânica direta entre volante, pedais e as rodas — tudo passa por comando eletrônico. Isso é tecnologia fundamental por trás de veículos autônomos e teleoperados, mas também elimina o backup mecânico tradicional em caso de falha: se o sistema eletrônico falhar, não há coluna de direção física para assumir o controle.
É exatamente por isso que validação de segurança nesse tipo de sistema precisa ser tratada como questão existencial, não apenas mais uma etapa de desenvolvimento.
Verificação começa antes do código
O framework Safety-by-Wire verifica requisitos e cenários por simulação antes mesmo da escrita do código de produção, usando método chamado Requirements-in-the-Loop. O processo é integrado à coleta e análise de requisitos conforme definido no Automotive SPICE — estrutura de melhoria de processos de software adaptada de normas ISO —, direcionado especificamente aos estágios SYS.1 e SYS.2, de modo que a verificação de segurança comece já na especificação, não só na fase final de verificação.
Análises quantitativas de segurança rodam em paralelo ao desenvolvimento da arquitetura. A FMEDA (Análise de Modos de Falha, Efeitos e Diagnóstico) examina modos de falha de hardware e a eficácia do diagnóstico. Já a FTA (Análise da Árvore de Falhas) trabalha de trás para frente, partindo de um evento indesejável — como perda da função de direção — para identificar combinações de falhas que poderiam causá-lo.
Para a arquitetura multirredundante que sustenta o NX NextMotion, essa análise conjunta busca demonstrar que o sistema atende seus objetivos de segurança além do plausível. Segundo a Arnold NextG, redundância sozinha não constitui evidência suficiente de segurança.
De simulação a veículo real
A validação avança progressivamente: testes Software-in-the-Loop (SiL) verificam a lógica funcional em ambiente simulado; testes Hardware-in-the-Loop (HiL) incorporam hardware de controle real para injeção de falhas; testes Vehicle-in-the-Loop (ViL) conectam um veículo físico a um ambiente simulado.
Segundo a empresa, essa abordagem em etapas permite investigar falhas de comunicação, energia e controle, além de cenários com múltiplas falhas simultâneas e transições entre estados operacionais, sem precisar reproduzi-los em teste real de estrada ou bancada. Ainda assim, a Arnold NextG reconhece que operação real do veículo continua necessária para capturar condições que simulação não prevê por completo.
A análise de segurança segue após o início da produção, incorporando dados de campo e resultados de monitoramento à estrutura de verificação conforme atualizações de software e condições operacionais mudam. A avaliação independente acontece em paralelo ao desenvolvimento, não só ao final do projeto — o objetivo é permitir ajustar decisões de arquitetura enquanto as mudanças ainda são administráveis.
Segundo a empresa, fabricantes (OEMs) e integradores avaliando uma plataforma drive-by-wire de segurança crítica deveriam olhar além da simples conformidade com o nível ASIL D ou do rótulo “fail-operational”, examinando quando a verificação realmente começa, se os objetivos de segurança são acompanhados por resultado de teste concreto, e como o histórico de segurança é mantido depois do início da produção.
A Arnold NextG afirma que o framework foi concebido para fornecer base de verificação pré-desenvolvida para projetos de cliente — mas não substitui o relatório de segurança do veículo, nem a responsabilidade do fabricante pela homologação.
Mecânica Online® com Tarcisio Dias – A frase “redundância sozinha não constitui evidência suficiente” é o ponto mais importante tecnicamente de todo esse material: dois sistemas redundantes podem, ainda assim, compartilhar o mesmo defeito de origem — o mesmo bug de software presente nos dois canais, por exemplo.
Por isso a análise estruturada (FMEDA, FTA) importa mais do que simplesmente contar componentes duplicados.
Vale explicar o ASIL D, citado mas não definido no material: é o nível mais alto de integridade de segurança automotiva dentro da norma ISO 26262, reservado para funções em que uma falha pode causar lesão grave ou risco de vida — direção é exemplo clássico de função que exige esse nível.
Esse tipo de validação conecta diretamente com duas matérias que já publicamos aqui: a expansão da Waymo com o robotáxi Ojai (com seu próprio histórico de certificação e correções junto à NHTSA) e a patente da Stellantis para o motorista-holograma. Frameworks como esse da Arnold NextG são exatamente a camada de engenharia por trás do tipo de confiança que sustenta veículo autônomo e teleoperado circulando de verdade.
Vale registrar uma ressalva importante que a própria empresa inclui, e que merece destaque: o framework não substitui o relatório de segurança do fabricante nem sua responsabilidade regulatória — é ferramenta de apoio, não certificação final. É bom sinal a empresa deixar isso explícito, em vez de vender o framework como solução completa.
A sequência SiL → HiL → ViL → teste real não é exclusividade dessa empresa, é metodologia padrão consolidada na indústria automotiva. O que a Arnold NextG está de fato vendendo como diferencial é a camada de rastreabilidade de requisitos (Requirements-in-the-Loop) que envolve esses testes já conhecidos, não os testes em si.
Siga @tarcisiomecanicaonline para mais conteúdo sobre engenharia de segurança em veículos autônomos.
Retrovisor Mecânica Online® – Entenda o que está por trás da notícia
NX NextMotion é camada de controle drive-by-wire: sistema desenvolvido para veículos autônomos e teleoperados.
Verificação de segurança começa na fase de especificação: o método Requirements-in-the-Loop atua antes mesmo da escrita do código.
FMEDA e FTA analisam falhas de hardware e cenários de causa raiz: aplicadas em paralelo ao desenvolvimento da arquitetura.
Testes avançam de simulação para veículo real: sequência SiL, HiL e ViL antes de qualquer teste em estrada.
Redundância sozinha não é considerada evidência suficiente: a empresa defende análise estruturada além da simples duplicação de componentes.
Framework não substitui responsabilidade legal do fabricante: a Arnold NextG reforça que a homologação segue sendo do OEM.
Mecânica Online® – Mecânica do jeito que você entende
Drive-by-wire: sistema em que comandos como direção, aceleração e frenagem são transmitidos eletronicamente, sem ligação mecânica direta entre o controle e a peça acionada.
ASIL D (Automotive Safety Integrity Level D): nível mais alto de exigência de segurança da norma ISO 26262, reservado para funções veiculares cuja falha pode causar lesão grave ou risco de morte.
FMEDA (Análise de Modos de Falha, Efeitos e Diagnóstico): método que examina como um componente de hardware pode falhar e se o sistema consegue detectar essa falha a tempo de agir.
Redundância: presença de mais de um sistema ou componente capaz de executar a mesma função, usada para manter operação segura caso um deles falhe — mas que não elimina, sozinha, o risco de falhas compartilhadas entre os sistemas redundantes.
Siga Google Discover – Mecânica Online®