I veicoli a guida autonoma sono davvero sicuri? Situazione e trend normativa

I veicoli a guida autonoma: a che punto siamo?
L’automobile ha profondamente cambiato il mondo nel ventesimo secolo, dando a quasi tutti la possibilità di spostarsi anche a distanze considerevoli, senza particolari vincoli. Per far questo però l’individuo ha dovuto imparare a guidare il veicolo, compito che può essere anche piacevole, ma spesso è noioso e faticoso.
Non deve quindi stupire che già nel 1950 si immaginasse (Figura 1. The Everett Collection) la possibilità di avere dei veicoli che, seguendo delle piste magnetiche stradali, guidassero da soli, senza intervento umano e che, sempre nel 1950, si sperimentassero veicoli per realizzare questo concetto (Figura 2. Radio Corporation of America (RCA)).

Ma mentre su treni, metro ed aerei è stato possibile realizzare dei “piloti automatici” che affiancano ed in alcuni casi sostituiscono il pilota/conducente, sull’auto questo non è ancora al momento possibile: lo scenario stradale è molto più complesso e vario, per muoversi in sicurezza è necessario disporre di sensori in grado di rilevare quanto circonda il veicolo, sia ostacoli fermi che altri veicoli in movimento.
Solamente alla fine degli anni ottanta è stato possibile realizzare i primi veicoli dotati di sofisticati sistemi sensoriali per la percezione dell’ambiente circostante.
Ci sono poi voluti ancora molti anni per avere i primi veicoli a guida automatica, nella Figura 3 troviamo i tre veicoli primi classificati nel Darpa Challenge 2005, che consisteva nell’attraversare in guida automatica un percorso in un’area desertica.
Poi la tecnologia si è rapidamente sviluppata ed oggi un veicolo a guida autonoma (nella figura una Chrysler Pacifica modificata da Google/Waymo) non è molto differente da una vettura di normale produzione. La sperimentazione di questi veicoli è ormai in fase molto avanzata, e molti costruttori stanno già pianificando l’introduzione sul mercato a partire dai prossimi anni. Tesla fornisce già ai suoi clienti la possibilità di avere una guida automatica sui propri veicoli, anche se supervisionata dal guidatore, che deve sempre essere attento a riprendere il controllo del veicolo, se necessario.
La guida autonoma non promette solo minor fatica e maggior comfort al guidatore, ma anche maggiore sicurezza: il sistema di guida automatica non è soggetto a distrazioni o fatica e può risentire meno delle condizioni ambientali (notte, pioggia e nebbia). La grandissima maggioranza degli incidenti (oltre il 90%) è dovuto ad errori del guidatore, la guida automatica promette di eliminarli completamente.

Purtroppo alcuni episodi tragici hanno messo in evidenza che anche i software che governano il veicolo nella guida automatica possono essere affetti da errori, che possono poi portare ad incidenti anche gravi. Una Tesla non ha “visto” un autoarticolato che attraversava la strada, il conducente è morto, e un veicolo automatico di Uber non ha considerato un ciclista che stava attraversando la strada, investendolo mortalmente.

È quindi importante che la sperimentazione continui, fino ad essere sicuri che non ci siano più errori o che almeno si sia raggiunto un livello di sicurezza, ad esempio espresso in incidenti per milioni di chilometri percorsi, di ordini di grandezza superiore a quello del guidatore “umano”.
La verifica di questo dovrebbe essere compito della normativa: a livello internazionale sono in corso diverse azioni per la definizione delle normative per l’omologazione, cioè l’autorizzazione a circolare, di veicoli a guida autonoma. Nel seguito vengono illustrate le principali.

La normativa attuale
La sicurezza stradale si basa sulla Convenzione di Vienna del 1968. Essa definisce dei criteri generali a cui si attengono molte nazioni a livello mondiale e gran parte dell’Europa, Italia inclusa. Nell’articolo 8 si stabilisce che “ogni veicolo deve avere un guidatore” e che “ogni guidatore deve sempre essere in grado di controllare il veicolo”. Queste condizioni rendono di fatto la guida automatica non possibile. Gli Stati Uniti non hanno aderito a questa convenzione, questo spiega il fatto che sulle loro strade circolano già veicoli a guida automatica.

UNECE (United Nations Economic Commission for Europe), l’organismo che definisce la normativa a cui devono attenersi i costruttori dei veicoli per poter essere omologati, ha recepito la necessità di modificare la Convenzione di Vienna per permettere la circolazione di veicoli a guida autonoma. Una prima modifica è stata introdotta il 23 marzo del 2016, che permette di trasferire il controllo del veicolo dal guidatore al sistema di guida automatica, purché questo rispetti delle specifiche normative, anch’esse definite da UNECE.  Con questa modifica però deve sempre esserci un “guidatore” sul veicolo. Non è possibile la guida completamente automatica, senza guidatore.

Una seconda modifica, per superare questo limite, è allo studio. Anch’essa rimanderà ad altre normative, ancora da definire. Lo scoglio da superare non è quindi la convenzione di Vienna, ma la definizione di una normativa che garantisca un adeguato livello di sicurezza.

Ma come si fa ad essere certi che un veicolo autonomo è sicuro?
Il veicolo autonomo è visto come la soluzione verso una circolazione stradale senza incidenti. Ma nella realtà sappiamo che questo non è possibile, ma l’eliminazione dell’errore umano dovrebbe portare ad una drastica riduzione del numero di incidenti. Ma anche l’intelligenza artificiale del veicolo conterrà degli errori, occorre essere certi che questi errori non portino a situazioni che possano provocare incidenti. Recentemente un veicolo in guida autonoma ha investito mortalmente un ciclista negli Stati Uniti, un incidente apparentemente inevitabile da parte di un guidatore umano ma che, a detta di molti, poteva essere evitato dal veicolo, grazie alla sua ricca dotazione di sensori. Dall’analisi successiva sembra che il veicolo abbia visto effettivamente il ciclista, ma abbia erroneamente concluso che non sarebbe entrato nella traiettoria del veicolo stesso.
Dopo un incidente stradale vengono effettuate le indagini per definire le eventuali responsabilità, il conducente responsabile dovrà rispondere dei danni causati. Se il veicolo che ha causato l’incidente fosse stato in guida autonoma chi sarebbe il responsabile? Il costruttore del veicolo, il fornitore del sistema di intelligenza artificiale che lo guida, i fornitori dei sistemi sensoriali o le autorità pubbliche che hanno autorizzato il veicolo a circolare?
Una precisa normativa è quindi necessaria non solo per garantire un adeguato livello di sicurezza ma anche per rendere possibile, dopo un eventuale incidente, la definizione delle relative responsabilità.
Per essere considerato “sicuro” un veicolo autonomo dovrebbe avere una probabilità di essere coinvolto in un incidente molto inferiore rispetto ad un veicolo guidato da una persona, almeno, indicativamente, di due ordini di grandezza inferiore. In Europa i dati sono molto diversi da paese a paese ma in genere un veicolo è coinvolto in un incidente mortale ogni 100-300 milioni di km percorsi (fonte OCSE, Road safety report 2017).  Quindi un veicolo autonomo non dovrebbe avere più di un incidente mortale ogni 10-30 miliardi di km percorsi.
Non è possibile pensare di testare il veicolo per simili percorrenze, la normativa in discussione si sta orientando sulle seguenti prescrizioni:

1. Il veicolo deve comportarsi correttamente nel traffico, lungo un percorso significativo dal punto di vista degli scenari incontrati (urbano, extraurbano, ecc.)
2. Il veicolo deve evitare incidenti in una serie di scenari simulati in una pista chiusa al traffico, scenari tipici di situazioni pericolose che il veicolo può incontrare nel traffico reale;
3. In simulazione su calcolatore il veicolo deve superare, senza incidenti, tutta una lunga serie di situazioni critiche, rilevate nel traffico reale;
4. Infine il costruttore deve autocertificarsi di avere sviluppato la soluzione seguendo tutti i criteri di sicurezza disponibili.

La normativa prevedrà che il veicolo registri tutte le informazioni necessarie per definire le eventuali responsabilità in caso di incidente, ad esempio se il veicolo era effettivamente in guida autonoma e i segnali dei sensori per stabilire la responsabilità anche relativamente agli altri attori coinvolti.
Queste registrazioni saranno poi anche utilizzate per creare nuove situazioni di test, vedi punto 3 dell’elenco precedente. Il sistema normativo potrà quindi “imparare” dai pochi incidenti rimasti per promuovere una verifica del software e quindi evitarli in futuro.

Problemi collaterali
Esistono problemi collaterali legati alla guida autonoma, nel seguito ne vengono discussi alcuni, ma la lista non è esaustiva.

Interazione tra le persone. Gli umani interagiscono tra di loro, con parole, gesti, anche solo con il linguaggio del corpo. Si pensi ad un semplice scenario: un pedone vuole attraversare la strada, sulle strisce, un veicolo si avvicina e si ferma. Con uno scambio di sguardi il pedone ed il guidatore si intendono, il pedone attraversa e il veicolo riparte. Se il veicolo è senza guidatore, il pedone come fa ad essere sicuro che non riparta proprio mentre sta attraversando? Si stanno ipotizzando indicatori luminosi o schermi rivolti verso l’esterno per informare i pedoni, una complicazione.

Responsabilità delle infrazioni. Se un veicolo a guida automatica compie una infrazione, a esempio eccede il limite di velocità, chi è responsabile? Dovrebbe essere il costruttore del veicolo. Ma se il veicolo può anche essere guidato manualmente occorre stabilire chi era alla guida in quel momento, il guidatore o il sistema di guida automatica. I veicoli a guida automatica dovranno registrare continuamente chi controlla il veicolo, e mantenere queste registrazioni per un tempo adeguato, mesi, a dirimere la responsabilità in caso di multe o, peggio, incidenti.

Aggiornamento del software. Eventuali errori del programma di guida automatica sono “sistematici”, cioè se il veicolo viene messo nelle stesse condizioni l’errore si ripete. È quindi necessario che eventuali errori scoperti successivamente alla commercializzazione del veicolo vengano corretti anche su tutti i veicoli già in circolazione, in modo tempestivo e senza eccezioni. I veicoli saranno quindi necessariamente dotati della possibilità di aggiornare il software “over the air”, cioè attraverso la connessione wireless ad Internet.

Monitoraggio guidatore. Nei sistemi di guida automatica di livello 2 e 3 è necessario garantire che il guidatore sia sempre attento alla guida (livello 2) o pronto a riprendere il controllo (livello 3). Sarà necessario predisporre un sistema sensoriale che verifichi continuamente questa condizione, molto probabilmente una telecamera che osserva il guidatore.

Cyber sicurezza.  Un veicolo a guida autonoma potrebbe essere utilizzato per compiere atti terroristici. Se un terrorista riesce ad assumerne il controllo da remoto, potrebbe anche utilizzare veicoli di persone ignare ed innocenti. Questo rischio va assolutamente evitato.

Scelte etiche. Se un veicolo a guida automatica si trova a dover scegliere tra schiantarsi contro un albero (con gravi conseguenze per gli occupanti del veicolo) o investire un gruppo di bambini, che cosa fa?

Il Massachusetts Institute of Technology (MIT) ha preparato una “moral machine” dove è possibile   indicare cosa dovrebbe fare un veicolo a guida autonoma in una serie di situazioni simili http://moralmachine.mit.edu/ .

Allora cosa ci aspetta in futuro?
Sistemi di guida autonoma di secondo o terzo livello, vale a dire con la supervisione continua da parte del guidatore, sono già disponibili o lo saranno nei prossimi anni da parte di quasi tutti i costruttori di veicoli.
Per sistemi di livello superiore, dove il guidatore può dedicarsi completamente ad altre attività, anche dormire per esempio, sarà necessario attendere ancora qualche anno: la normativa deve ancora essere ben definita e probabilmente i legislatori vorranno attendere i risultati delle estese sperimentazioni in corso negli Stati Uniti come anche in Europa ed in Italia.
In Italia è stato pubblicato in Aprile il decreto “smart road” che consente la sperimentazione di veicoli a guida autonoma sulla rete stradale italiana. Nella città di Torino è stato firmato un protocollo dal Sindaco Appendino, volto a dare il via libera agli investimenti in infrastrutture tecnologiche e fisiche per lo sviluppo dei test nel capoluogo piemontese. Fiat Chrysler, General Motors, Italdesign e Telecom Italia hanno immediatamente aderito. Anche Rovereto si è proposta, ma a differenza di Torino i test potranno essere eseguiti solo su strade chiuse al traffico o extraurbane.
E il guidatore? Apparentemente ne avrebbe grandi benefici, meno fatica e meno stress, soprattutto su lunghe percorrenze. Però se vengono intervistati su come impiegherebbero il tempo di viaggio quando l’auto guida al posto loro la risposta più frequente è: “continuerei a guardare la strada”. Cambiare le abitudini dei conducenti sarà un processo molto delicato, complesso e forse richiederà tempi abbastanza lunghi, e le case costruttrici dovranno rendere massima la percezione della sicurezza di viaggio affinché l’utente effettivamente possa non pensare alla guida e rilassarsi in altre attività.

I livelli della guida autonoma
Livello 0. Sono veicoli che possono essere dotati di sistemi di ausilio alla guida, ma che forniscono solo avvisi, nessun tipo di controllo del veicolo.

Livello 1.  Sono dotati di sistemi per il controllo della velocità in funzione del traffico, cruise control adattativo, e/o di sistemi per il mantenimento della corsia di marcia. Anche se disponibili entrambi, al guidatore non è consentito di distrarsi o togliere le mani dal volante.

Livello 2.  Il veicolo è dotato di sistemi per il suo completo controllo. Il guidatore può distrarsi per breve tempo, ma deve sempre essere pronto a riprendere il controllo del veicolo. Esistono anche diversi sotto livelli, a seconda delle manovre automatiche previste, ad esempio cambio di corsia e sorpasso.

Livello 3.  Primo livello di guida veramente autonoma, al guidatore è consentito di togliere le mani dal volante, ma solo momentaneamente, deve sempre essere in gradi di riprendere in controllo in pochi secondi. Nel caso non sia in grado di riprendere il controllo, il veicolo deve potersi arrestare in sicurezza in modo automatico.

Livello 4.  Guida completamente autonoma, ma solo in scenari predisposti. Il guidatore deve essere pronto a riprendere il controllo del veicolo uscendo da tali scenari.

Livello 5.  Guida completamente autonoma, il veicolo viaggia anche senza guidatore, e potrebbe anche essere costruito privo dei comandi (volante/pedali) per la guida manuale.

(Testo a cura dell’ing. Gianfranco Burzio)