Do późnych lat 80. jazda odbywała się wyłącznie mechanicznie. Nacisnąłeś pedał. Linka pociągnęła przepustnicę. Powietrze przedostało się do kolektora dolotowego. Paliwo się paliło. Samochód przyspieszał. Wszystko jest proste i jednoznaczne. Jeśli linka pęknie, przepustnica pozostanie otwarta i nie będziesz miał kontroli (lub gorzej). Było brutalnie, ale przewidywalnie.
Następnie pojawiły się systemy drive-by-wire (sterowanie przewodowe).
Dziś wciśnięcie pedału gazu nie powoduje ciągnięcia linki. Wysyła sygnał elektryczny. Nogą nie otwiera się zaworu. Komunikujesz się z komputerem. Jest to Elektroniczna kontrola przepustnicy (ETC). Brzmi jak nadmierna komplikacja, prawda? Po co naprawiać coś, co już działa?
To nie tylko kwestia złożoności. To kwestia precyzji.
Ukryte zalety ETC
Ludzie nie lubią złożoności w samochodach. Kochają ją, gdy oszczędza im czas. ETC zmniejsza koszty konserwacji, ponieważ eliminuje sprzężenie mechaniczne. Nie ma kabla do rozciągania. Nie ma żadnych połączeń zawiasowych, które mogłyby zardzewieć. Żadnych zacinających się dysz gaźnika jak dawniej. System opiera się na impulsach elektrycznych, a nie na ruchomych metalowych częściach ocierających się o siebie. Oznacza to mniej potencjalnych awarii.
Istnieje jednak bardziej przekonujący powód tej zmiany: bezpieczeństwo i integracja.
Mechaniczne przepustnice reagują tylko na jedno: na prawą stopę. Systemy elektroniczne słuchają wszystkiego. ECU (elektroniczna jednostka sterująca) odczytuje prędkość koła. Sprawdza przyczepność. Kontroluje ciśnienie w układzie hamulcowym. Śledzi kąt skrętu.
„Elektroniczny system kontroli przepustnicy odczytuje nie tylko sygnał z stopy kierowcy, ale także dane z ślizgających się kół… co pomaga skorygować błędy kierowcy.”
Jeśli zbyt późno zwolnisz gaz w zakręcie, ECU może odciąć zasilanie, zanim samochód straci kontrolę. To jest mechanizm awaryjny. Właśnie dlatego Elektroniczna kontrola przepustnicy jest niezbędna w nowoczesnym tempomacie. Mechaniczne podłączenie tempomatu do linki przepustnicy jest trudne. Można jednak po prostu poprosić komputer o utrzymanie określonego napięcia.
Przypomnienie Toyoty i strach publiczny
Potem przyszedł rok 2009.
Toyota miała masowe wycofanie. Problemy z przyspieszeniem. Pedały się zacinają. Samochody, które „uciekały” kierowcom. Media przedstawiają elektroniczną kontrolę przepustnicy jako śmiertelną pułapkę. Kierowcy zadali oczywiste pytanie: jeśli system jest elektroniczny, czy można go zhakować? Czy sygnały zewnętrzne mogą zakłócać pracę ECU?
Strach nie był irracjonalny. Jeśli system opiera się na oprogramowaniu i przewodach, ma punkty wejścia.
Układy mechaniczne są izolowane. Nie możesz zhakować kabla. Nie da się zagłuszyć sygnału w stalowym pręcie. Ale kable przesyłają dane. Dane mogą być zniekształcone.
Czy sygnały zewnętrzne mogą zakłócać działanie?
To pytanie nie daje entuzjastom spokoju.
System został zaprojektowany z myślą o redundancji. ECU porównuje dane z czujnika położenia pedału z danymi z czujnika położenia przepustnicy. Jeśli nie są zgodne, samochód przechodzi w „tryb awaryjny”. Ogranicza moc. Zapobiega to wypadkowi.
Ale czy to oznacza, że system jest niezniszczalny?
Większość inżynierów twierdzi, że żadnego systemu nie da się zhakować w 100%. Jednak prawdopodobieństwo, że losowy sygnał zakłóci działanie przepustnicy, jest bardzo niskie. ECU jest ekranowany. Sygnały są sprawdzane pod kątem sum kontrolnych. Jeśli pakiet danych jest uszkodzony, zostaje odrzucony.
Skandal z lat 2009–2010 pozostawił jednak swoje piętno. Kierowcy chcą wiedzieć, czy ich samochód jest bezpiecznym środkiem transportu, czy też urządzeniem podłączonym do sieci, gotowym do wykorzystania przez przestępców.
Odpowiedź nie jest prosta. Ale opiera się na tym, jak współczesne samochody przetwarzają dane. A to prowadzi nas do następnego poziomu problemu.
Niektórzy kierowcy twierdzą, że ich samochody same wykonywały nagłe szarpnięcia w ruchu ulicznym. Jako winowajcę wskazują system elektronicznego sterowania przepustnicą (ETC). Eksperci i inżynierowie rozważyli te obawy. Mówią, że przyczyną mogą być zakłócenia elektromagnetyczne.
Czy zakłócenia elektromagnetyczne mogą wywołać ETC?
Teoria jest prosta. Zakłócenia pochodzące z telefonów komórkowych lub linii energetycznych mogą spowodować zwarcie. To zwarcie może spowodować otwarcie przepustnicy przez elektroniczny układ sterowania przepustnicą. Wynik? Nagłe i niezamierzone przyspieszenie.
Profesor David Gilbert z Southern Illinois University upublicznił tę teorię. Pojawił się w ABC News, aby zademonstrować ryzyko. Pracował nad Toyotą Avalon. Przeciął i ponownie podłączył przewody elektronicznego układu sterowania przepustnicą. Silnik nabrał prędkości. Samochód przyspieszył bez interwencji kierowcy. Włączono hamulce. Pośpiech trwał nadal.
Toyota i inni eksperci ostro sprzeciwili się. Nazwali scenariusz Gilberta sztucznym. W prawdziwym świecie jest to mało prawdopodobne. Normalna praca nie polega na cięciu przewodów. Większość systemów jest dobrze zabezpieczona przed zakłóceniami elektromagnetycznymi. Zwarcia są rzadkie.
Ale producenci samochodów nie ignorują całkowicie takiej możliwości. Wbudowali w projekt systemy ochrony.
Jak działają tryby ochrony ETC
Złożone systemy wymagają redundancji. Elektroniczny system kontroli przepustnicy nie jest wyjątkiem. Celem jest utrzymanie działania systemu lub zapewnienie bezpiecznego zamknięcia.
Większość systemów ma pierwszą linię obrony. Przy pierwszych oznakach problemów przepustnica zamyka się. Silnik powraca do obrotów jałowych. Jeśli moduł ECM wykryje problem z czujnikiem, zapobiega otwarciu przepustnicy.
Redundancja jest wbudowana w same czujniki. Dla każdego położenia przepustnicy stosowane są dwa czujniki. System porównuje ich odczyty. Jeśli jeden z nich ulegnie awarii lub dwa czujniki zgłaszają różne wartości, system zakłada, że wystąpił błąd. Zamyka przepustnicę. Silnik pracuje na biegu jałowym.
Inteligentny silnik przepustnicy jako kontroler
A co w przypadku skoków napięcia lub zwarć spowodowanych zakłóceniami zewnętrznymi? Odpowiedź leży w inteligentnym silniku przepustnicy. Ten komponent jest ostatecznym kontrolerem. Wszystkie sygnały sterujące przepustnicą muszą przez nią przejść, zanim przepustnica zacznie się poruszać.
Inteligentny silnik przepustnicy jest zaprogramowany tak, aby rozpoznawał prawidłowe sygnały wejściowe. Reaguje tylko na sygnały ze sterownika silnika. Jeśli wykryje napięcie lub sygnały, które nie pochodzą z ECU, wyłączy się. Silnik zatrzymuje się. Nie przyspiesza gwałtownie.
Jeżeli zakłócenia elektromagnetyczne są wystarczająco silne, aby wpłynąć na system, zamierzonym zachowaniem systemu jest wyłączenie. Nie przyspieszenie.
Systemy pierwszeństwa hamowania
Czy elektroniczne systemy kontroli przepustnicy są całkowicie bezbłędne? Żaden system nie jest doskonały. Ale systemy zabezpieczające, jeśli działają poprawnie, powinny zapobiegać nieoczekiwanym szarpnięciom.
Świadomość konsumentów dotycząca niezamierzonego przyspieszenia zmieniła sytuację. Producenci samochodów dodają kolejną warstwę ochrony. Instalują systemy priorytetu hamowania. Są już dostępne w niektórych pojazdach niemieckich producentów.
Logika jest prosta. Wejście kierowcy ma priorytet. Jeśli układ ulegnie awarii i przepustnica otworzy się sama, naciśnięcie hamulca spowoduje jej zamknięcie. System priorytetów jest aktywny. Samochód zwalnia.
Elektroniczne sterowanie przepustnicą to tylko jeden element układanki. Pod maską znajduje się wiele innych elementów elektronicznych.
Konsekwencje przesłuchań w sprawie wycofania pojazdu
Kurz po przesłuchaniach w Kongresie ledwie opadł, gdy prawdziwa wojna przeniosła się do Internetu. Reputacja Toyoty szybko traciła wiarygodność, a firma próbowała zapełnić tę lukę masową publikacją danych. Nazwali to „kompleksową analizą”. Krytycy nazwali to unikiem.
Obrona Toyoty opierała się na jednej kruchej tezie: elektroniczny system sterowania przepustnicą nie zawinił.
„Kompleksowa analiza rodzi wątpliwości co do zeznań Gilberta złożonych przed Kongresem” – stwierdziła Toyota w komunikacie prasowym, odrzucając zeznania ekspertów, którzy przysięgli mówić prawdę.
Brian Ross z ABC News właśnie wyemitował artykuł przedstawiający nagłe przyspieszenie Camry. To było instynktowne (żywe, zmysłowe). To było przerażające. Odpowiedzią Toyoty było zakwestionowanie niezawodności ekspertów, a nie mechaniki samochodu. Twierdzili, że testy są „nierealne”.
Elektroniczna dyskusja nabiera tempa
Brad Bergholdt z McClatchy-Tribune szczegółowo opisał elektroniczne sterowanie przepustnicą na początku tego roku. Technologia jest precyzyjna. Ona jest skomplikowana. Ale czy jest bezbronna?
Jane O’Donnell z „USA Today” zadała szeptane przez wszystkich pytanie: Czy systemy elektroniczne mogą powodować niekontrolowane przyspieszanie samochodów?
Odpowiedzi nie było w podręcznikach. Był na drucie. Zakłócenia elektromagnetyczne (EMI) były duchem w maszynie. W dniu 23 lutego 2010 r. Toyota przedstawiła prezentację, w której szczegółowo opisał swoje testy odporności na zakłócenia elektromagnetyczne. Anita Liener relacjonowała to dla InsideLine. Toyota nalegała, aby ich systemy były ekranowane. Argumentowali, że czujniki są zbędne.
Ale nadmiarowość nie pomoże, jeśli przewód uziemiający jest uszkodzony.
Technologia Pico zapewniła wgląd w ścieżki sygnałowe. Elektroniczna kontrola przepustnicy opiera się na dokładnych odczytach napięcia. Skok hałasu może oszukać jednostkę sterującą silnika i pomyśleć, że kierowca mocno naciska pedał. Komputer nie rozróżnia zamiaru od ingerencji.
Eksperci debatują nad „nagłym przyspieszeniem”
To była era dochodzeń w sprawie nagłego przyspieszenia. Samo określenie stało się polem bitwy.
Toyota nie tylko zaprzeczyła istnieniu problemu; zaatakowała metodologię badaczy. Joseph Rea, przemawiając w imieniu Toyoty, skrytykował badania ekspertów motoryzacyjnych jako „nierealne”. Associated Press doniosła, że Toyota odrzuciła krytykę wskazującą na problemy z elektronicznym sterowaniem przepustnicą.
Chcieli, żeby wina spadła na dywaniki. To była prosta opowieść. To była czysta narracja. Nie wymagał wycofania 8 milionów pojazdów.
Ken Thomas i Stephen Manning opisali ten konflikt. Toyota przeciwko krytykom. To nie była dyskusja. To było oblężenie.
Ludzki koszt odmowy
Za komunikatami prasowymi i technicznym żargonem na temat elektronicznego sterowania przepustnicą lista wypadków rosła. Podnoszona w poprzednich artykułach kwestia „niezniszczalności” przestała mieć charakter akademicki. Do zdarzenia doszło na podjazdach garaży. Na autostradzie.
Krążące w Internecie filmy z testów zderzeniowych pokazały brutalność samochodu przyspieszającego, gdy nie powinien. Radary laserowe rejestrowały prędkości sprzeczne z poleceniami kierowcy.
Pozycja Toyoty była trudna. Samochód był bezpieczny. Elektronika była niezawodna.
Jednak w miarę gromadzenia się źródeł – historii ABC News, śledztwa USA Today, danych Pico Technology – obraz staje się zamazany. Czy jest to błąd oprogramowania? Czy to jest EMI? Czy jest to fizyczna wada mechanizmu pedału?
Wymienione tutaj źródła za rok 2010 nie dają ostatecznej odpowiedzi. Stanowią migawkę obrazu firmy walczącej o przetrwanie. Pokazują napięcie pomiędzy rzeczywistością inżynierską a odbiorem społecznym.
Systemy elektronicznej kontroli przepustnicy pozostają w samochodach. Przypomnienia miały miejsce. Sprawy sądowe się przeciągały.
I pytanie czy
