До конца 1980-х годов управление автомобилем было полностью механическим. Вы нажимали на педаль. Трос тянул дроссельную заслонку. Воздух устремлялся во впускной коллектор. Топливо сгорало. Машина разгонялась. Всё просто и прямолинейно. Если трос рвался, дроссельная заслонка оставалась открытой, и вы оказывались без управления (или хуже). Это было жестоко, но предсказуемо.
Затем появились системы drive-by-wire (управление по проводам).
Сегодня нажатие на педаль акселератора не тянет трос. Оно отправляет электрический сигнал. Вы не открываете клапан ногой. Вы общаетесь с компьютером. Это электронное управление дроссельной заслонкой (ETC). Звучит как излишняя усложнённость, правда? Зачем исправлять то, что и так работает?
Дело не просто в сложности. Дело в точности.
Скрытые преимущества ETC
Люди не любят сложность в автомобилях. Они любят её, когда она экономит их время. ETC снижает затраты на обслуживание, поскольку устраняет механическую связь. Нет троса, который мог бы растянуться. Нет шарнирных соединений, которые могли бы заржаветь. Нет залипающих жиклёров карбюратора, как в старые времена. Система полагается на электрические импульсы, а не на движущиеся металлические детали, трущиеся друг о друга. Это означает меньшее количество потенциальных поломок.
Но есть и более веская причина для такого перехода: безопасность и интеграция.
Механические дроссели реагируют только на одно: на вашу правую ногу. Электронные системы слушают всё. ЭБУ (электронный блок управления) считывает скорость колёс. Он проверяет сцепление с дорогой. Он контролирует давление в тормозной системе. Он отслеживает угол поворота руля.
«Система электронного управления дроссельной заслонкой считывает не только сигнал от ноги водителя, но и данные от проскальзывающих колёс… что помогает корректировать ошибки водителя».
Если вы слишком поздно сбрасываете газ в повороте, ЭБУ может отключить мощность до того, как автомобиль потеряет управление. Это аварийный механизм. Именно поэтому электронное управление дроссельной заслонкой необходимо для современного круиз-контроля. Механически подключить систему круиз-контроля к тросу дросселя сложно. Однако вы можете просто попросить компьютер поддерживать определённое напряжение.
Отзыв Toyota и общественный страх
Затем наступил 2009 год.
У Toyota был масштабный отзыв автомобилей. Проблемы с ускорением. Застревание педалей. Машины, которые «убегали» от водителей. СМИ изображали электронное управление дроссельной заслонкой как ловушку смерти. Водители задавали очевидный вопрос: если система электронная, можно ли её взломать? Могут ли внешние сигналы вмешиваться в работу ЭБУ?
Страх не был иррациональным. Если система полагается на программное обеспечение и провода, у неё есть точки входа.
Механические системы изолированы. Вы не можете взломать трос. Вы не можете заглушить сигнал в стальной штанге. Но провода передают данные. Данные могут быть искажены.
Могут ли внешние сигналы вмешиваться в работу?
Это вопрос, который не даёт уснуть энтузиастам.
Система спроектирована с учётом избыточности. ЭБУ сравнивает данные датчика положения педали с данными датчика положения дроссельной заслонки. Если они не совпадают, автомобиль переходит в «аварийный режим» (limp mode). Он ограничивает мощность. Это предотвращает аварию.
Но означает ли это, что система неуязвима?
Большинство инженеров говорят, что ни одна система не может быть взломана на 100%. Однако вероятность того, что случайный сигнал вмешается в работу вашей дроссельной заслонки, чрезвычайно мала. ЭБУ экранирован. Сигналы проверяются на контрольные суммы. Если пакет данных повреждён, он отбрасывается.
Тем не менее, скандал 2009–2010 годов оставил след. Водители хотят знать, является ли их автомобиль безопасным средством передвижения или подключённым устройством, готовым к эксплуатации злоумышленниками.
Ответ не прост. Но он основан на том, как современные автомобили обрабатывают данные. И это подводит нас к следующему уровню проблемы.
Некоторые водители утверждают, что их автомобили самостоятельно совершали резкие рывки в потоке. Они указывают на систему электронного управления дроссельной заслонкой (ETC) как на виновника. Эксперты и инженеры высказали своё мнение по поводу этих опасений. Они говорят, что причиной может быть электромагнитная интерференция.
Может ли электромагнитная интерференция вызвать срабатывание ETC?
Теория проста. Помехи от сотовых телефонов или линий электропередачи могут вызвать короткое замыкание. Это замыкание может заставить систему электронного управления дроссельной заслонкой открыть дроссель. Результат? Внезапное и непреднамеренное ускорение.
Профессор Дэвид Гилберт из Университета Южного Иллинойса сделал эту теорию достоянием общественности. Он выступил на ABC News, чтобы продемонстрировать риск. Он работал с автомобилем Toyota Avalon. Он перерезал и повторно подключил провода в системе электронного управления дроссельной заслонкой. Двигатель набрал обороты. Машина ускорилась без вмешательства водителя. Были применены тормоза. Рывок продолжился.
Toyota и другие эксперты резко возразили. Они назвали сценарий Гилберта искусственным. В реальном мире такое маловероятно. Обычная эксплуатация не предполагает перерезания проводов. Большинство систем хорошо защищены от электромагнитной интерференции. Короткие замыкания редки.
Но автопроизводители полностью не игнорируют такую возможность. Они заложили в конструкцию системы защиты.
Как работают режимы защиты ETC
Сложные системы требуют наличия резервирования. Система электронного управления дроссельной заслонкой не является исключением. Цель состоит либо в том, чтобы сохранить работоспособность системы, либо обеспечить безопасное отключение.
Большинство систем имеют первый рубеж обороны. При первых признаках неисправности дроссельная заслонка закрывается. Двигатель возвращается на холостой ход. Если блок управления двигателем обнаруживает проблему с датчиком, он предотвращает открытие дроссельной заслонки.
Резервирование заложено в сами датчики. Для каждого положения заслонки используются два датчика. Система сравнивает их показания. Если один из них выходит из строя или если два датчика сообщают разные значения, система предполагает наличие ошибки. Она закрывает дроссельную заслонку. Двигатель работает на холостом ходу.
Умный мотор дроссельной заслонки как контролёр
Что насчёт скачков напряжения или коротких замыканий из-за внешних помех? Ответ кроется в умном моторе дроссельной заслонки. Этот компонент является последним контролёром. Все сигналы управления дроссельной заслонкой должны проходить через него, прежде чем заслонка начнёт двигаться.
Умный мотор дроссельной заслонки запрограммирован на распознавание допустимых входных сигналов. Он реагирует только на сигналы от блока управления двигателем. Если он обнаруживает напряжение или сигналы, которые не поступали от ЭБУ, он отключается. Двигатель останавливается. Он не совершает резкого ускорения.
Если электромагнитная интерференция достаточно сильна, чтобы повлиять на систему, задуманное поведение системы — это отключение. А не ускорение.
Системы приоритета торможения
Являются ли системы электронного управления дроссельной заслонкой полностью безупречными? Ни одна система не идеальна. Но системы защиты, если они работают правильно, должны предотвращать неожиданные рывки.
Информированность потребителей о непреднамеренном ускорении изменила ситуацию. Автомобильные производители добавляют ещё один уровень защиты. Они устанавливают системы приоритета торможения. Они уже доступны на некоторых автомобилях немецких производителей.
Логика проста. Вводные данные водителя имеют приоритет. Если система выходит из строя и дроссельная заслонка открывается самостоятельно, нажатие на тормоз закроет её. Срабатывает система приоритета. Машина замедляется.
Электронное управление дроссельной заслонкой — лишь одна часть головоломки. Под капотом находится множество других электронных компонентов.
Последствия слушаний по отзыву автомобилей
Пыль от конгрессуальных слушаний едва осела, как настоящая война переместилась в интернет. Репутация Toyota стремительно теряла доверие, и компания попыталась закрыть эту брешь массированной выкладкой данных. Они назвали это «всеобъемлющим анализом». Критики окрестили это уклонением от ответа.
В основе защиты Toyota лежал один хрупкий тезис: система электронного дроссельного управления не виновата.
«Всесторонний анализ вызывает вопросы относительно показаний Гилберта в Конгрессе», — заявило Toyota в своем пресс-релизе, отвергая показания экспертов, давших клятву говорить правду.
Брайан Росс из ABC News только что показал сюжет, демонстрирующий внезапное ускорение автомобиля Camry. Это былоVisceral (живое, чувственное). Это было ужасающе. Ответ Toyota заключался в том, чтобы оспорить надежность экспертов, а не механику автомобиля. Они утверждали, что испытания были «нереалистичными».
Электронная дискуссия накаляется
Брэд Бергхольдт из McClatchy-Tribune ранее в этом году подробно разобрал суть электронного дроссельного управления. Технология точна. Она сложна. Но уязвима ли она?
Джейн О’Доннелл из USA Today задала вопрос, который все шептали: Могут ли электронные системы вызывать неконтролируемое ускорение автомобилей?
Ответ не содержался в учебниках. Он был в проводке. Электромагнитные помехи (EMI) были призраком в машине. Toyota провела презентацию 23 февраля 2010 года, подробно описав свои испытания на устойчивость к EMI. Анита Лиенер освещала это для InsideLine. Toyota настаивала, что их системы экранированы. Они утверждали, что датчики имеют избыточность.
Но избыточность не помогает, если заземляющий провод неисправен.
Компания Pico Technology предоставила возможность заглянуть в пути прохождения сигналов. Электронное дроссельное управление полагается на точные показания напряжения. Скачок шума может обмануть блок управления двигателем, заставив его думать, что водитель сильно нажимает на педаль. Компьютер не различает намерение и помеху.
Эксперты спорят о «внезапном ускорении»
Это была эпоха расследований случаев внезапного ускорения. Сам термин стал полем битвы.
Toyota не просто отрицала проблему; она атаковала методологию исследователей. Джозеф Ри, выступая от имени Toyota, раскритиковал исследования автомобильных экспертов как «нереалистичные». Агентство Associated Press сообщило, что Toyota оспорила критику, указывающую на проблемы с электронным дроссельным управлением.
Они хотели, чтобы вина пала на коврики для пола. Это был простой нарратив. Это был чистый нарратив. Он не требовал отзыва 8 миллионов автомобилей.
Кен Томас и Стивен Маннинг осветили этот конфликт. Toyota против критиков. Это не было обсуждением. Это была осада.
Человеческая цена отрицания
За пресс-релизами и техническим жаргоном о электронном дроссельном управлении рос список аварий. Вопрос о «неубиваемости», поднятый в предыдущих статьях, больше не был академическим. Это происходило в гаражных проездах. На шоссе.
Видео краш-тестов, циркулирующие в интернете, демонстрировали жестокость автомобиля, который ускоряется, когда не должен этого делать. Лазерные радары фиксировали скорости, которые противоречили вводам водителя.
Позиция Toyota была жесткой. Автомобиль был безопасен. Электроника была надежной.
Но по мере накопления источников — сюжет ABC News, расследование USA Today, данные Pico Technology — картина становится размытой. Это программный сбой? Это EMI? Это физический дефект механизма педали?
Источники, перечисленные здесь за 2010 год, не дают окончательного ответа. Они предоставляют снимок компании, борющейся за выживание. Они показывают напряжение между инженерной реальностью и общественным восприятием.
Системы электронного дроссельного управления остались в автомобилях. Произошли отзывы. Судебные иски затянулись.
И вопрос о том, является ли
