До конца 1980-х годов вождение было физическим процессом. Вы нажимали на педаль. Трос тянул за собой лепестковую заслонку. Воздух устремлялся внутрь. Топливо смешивалось с ним. Происходило воспламенение. Колеса вращались. Всё просто. Если вы хотели увеличить скорость, вы просто сильнее давили на педаль. Дроссельная заслонка открывалась шире. Мощность следовала за этим.
А теперь? Всё стало цифровым. Электронное управление дроссельной заслонкой (ETC). Система «drive-by-wire» (управление по проводам).
Нажимая на педаль акселератора сегодня, вы не открываете клапан напрямую. Вы активируете модуль педали акселератора. Это устройство преобразует давление вашей ноги в электрический сигнал. Сигнал поступает в электронный блок управления (ЭБУ). ЭБУ обрабатывает ваш ввод. Он также проверяет внешние переменные. Затем он дает команду дроссельной заслонке открыться. Не обязательно для максимальной мощности. А для оптимальной эффективности.
Сложно? Да. Полезно? В основном да. Но сложность создает новые уязвимости.
Почему ETC превосходит механические связи
Это кажется нелогичным. Почему заменять систему, которая работает, на ту, которая может выйти из строя электронным путем?
Ответ кроется в обслуживании и безопасности.
Механические дроссели состоят из множества движущихся частей. Тросы. Пружины. Рычаги. Они изнашиваются. Со временем компоненты деградируют. В электронных системах гораздо меньше движущихся частей. Сигналы передаются посредством электрических импульсов. Меньший износ означает меньшее техническое обслуживание.
Затем есть вопрос безопасности.
Механические системы полностью зависят от вашей ноги. Если вы сильно давите, дроссельная заслонка открывается. Точка.
Электронные системы учитывают всё. ЭБУ считывает ввод с педали акселератора. Но он также контролирует проскальзывание колес. Он проверяет сцепление шин с дорогой. Он следит за углом поворота руля. Он контролирует давление в тормозной системе.
«Система электронного управления дроссельной заслонкой может балансировать несколько факторов, влияющих на скорость и направление автомобиля — не только давление ноги на педаль.»
ЭБУ может исправить ошибку водителя. Он может удержать автомобиль под контролем. Это ключевой компонент в системе круиз-контроля. Он добавляет уровни безопасности, которым просто не могут соответствовать механические системы.
Тень отзыва Toyota
Несмотря на эти преимущества, ETC имеет дурную репутацию.
В 2009 году заголовки новостей взорвались. Toyota отозвала сотни тысяч автомобилей. Проблемы с контролем ускорения мучили весь парк автомобилей. Водители паниковали. Пресса жестко критиковала эту технологию.
Общественная реакция была не совсем справедливой. Проблемы часто были вызваны ковриками, застревание которых задевало педали, или залипающими акселераторами. Не обязательно отказом самой электронной логики. Тем не менее, стигма осталась.
Это поднимает самый большой страх.
Если система электронная, можно ли её взломать? Могут ли внешние сигналы вмешиваться в работу?
Могут ли внешние сигналы вмешиваться в работу ETC?
Это вопрос, который не дает уснуть любителям автомобилей по ночам.
Может ли чужеродный сигнал перебить ваш сигнал с педали? Может ли электромагнитная помеха заставить дроссельную заслонку открыться?
Система не идеальна. Она не непобедима. Но она также не является «чистым листом» для хакеров.
Существуют системы защиты. ЭБУ запускает диагностические процедуры. Он проверяет согласованность сигналов. Если сигнал кажется странным, система часто переходит в аварийный режим («limp mode»). Или полностью отключает управление дроссельной заслонкой.
Но как она отличает реальную команду от всплеска помехи?
Именно здесь сложность становится запутанной.
Нам нужно посмотреть на системы защиты. Нам нужно посмотреть на аппаратное обеспечение. И нам нужно понять, почему отзывы 2009 года на самом деле не доказали, что ETC уязвима для удаленного взлома.
Спойлер: Всё не так просто.
Давайте копнем глубже в системы защиты.
Миф об ЭМИ и реальность неисправностей дроссельной заслонки
Вы выезжаете на шоссе. Движение плотное. Внезапно педаль газа заедает. Машина резко рванула вперед. Охватывает паника. Многие водители утверждают, что это происходит из-за электромагнитных помех (ЭМИ). Они винят сотовые телефоны. Они винят линии электропередач. Они винят невидимые волны, поражающие их электронику.
Это звучит правдоподобно. Пока вы не посмотрите на инженерную сторону вопроса.
Эксперты и водители указывают на ЭМИ как на виновника сбоев в системе электронного управления дроссельной заслонкой (ЭУДЗ). Теория проста: помехи вызывают короткое замыкание. Дроссельная заслонка открывается. Обороты двигателя растут. Машина идет на ускорение. Это пугающая история. И у нее есть известный сторонник.
Профессор Дэвид Гилберт доказал, что такое возможно.
Демонстрация Toyota с участием Гилберта
Гилберт — профессор инженерии в Университете Южного Иллинойса. Он вышел в эфир ABC News, чтобы показать, насколько хрупкими на самом деле являются современные автомобили. Он взял Toyota Avalon. Он перерезал провода. Он подключил их определенным образом. Он создал короткое замыкание.
Каков был результат? Двигатель начал набирать обороты. Машина ускорилась. Были нажаты тормоза. Машина не остановилась. Она продолжала движение.
Это была мощная визуальная демонстрация. Но это также была искусственно созданная ситуация.
Критики немедленно ответили. Гилберту пришлось физически перерезать и заново подключить провода в системе ЭУДЗ. Это не является нормальным износом. Этого не происходит в автомобиле, который используется для стандартных поездок на работу. Вероятность того, что такое конкретное перерезание проводов произойдет естественным образом, близка к нулю.
Большинство экспертов согласны. Системы хорошо изолированы. ЭМИ вряд ли сможет нарушить работу дроссельной заслонки. Но это не означает, что автопроизводители игнорировали такую возможность. Они внедрили системы защиты.
Избыточность в системе ЭУДЗ
Системы электронного управления дроссельной заслонкой не являются простыми. Это сложные сети датчиков и логических блоков. И, как и все сложные системы, они имеют избыточность. Это резервные механизмы. Они предназначены для поддержания работы автомобиля или безопасной остановки в случае возникновения проблем.
Вот как они работают.
Большинство систем ЭУДЗ спроектированы так, чтобы закрывать дроссельную заслонку при первых признаках неисправности. Если блок управления двигателем (ЭБУ) обнаруживает ошибку датчика, система переходит в режим холостого хода. Дроссельная заслонка закрывается. Двигатель не идет на ускорение.
Избыточность заложена в сами датчики. Вы получаете не один датчик для ввода данных водителем, а два. Каждая позиция датчика использует двойную сенсорную пару. Если один датчик выходит из строя, второй принимает сигнал. Если два датчика сообщают разные показания, система считает это ошибкой. Она закрывает дроссельную заслонку. Двигатель переходит на холостой ход.
Умный двигатель дроссельной заслонки
А что насчет скачков напряжения? А что насчет реальных коротких замыканий?
В большинстве систем используется умный двигатель дроссельной заслонки. Это последний контрольный пункт. Сигналы от ЭБУ должны пройти через этот двигатель, прежде чем физически изменится положение дроссельной заслонки.
Двигатель спроектирован так, чтобы распознавать напряжение и сигналы, поступающие от ЭБУ. Если он обнаруживает напряжение или сигналы, которые не поступали от блока управления двигателем, он останавливает двигатель. Он не открывает дроссельную заслонку.
Если электромагнитные помехи будут достаточно сильными, чтобы повлиять на ЭУДЗ, система спроектирована так, чтобы отключаться. Не идти на ускорение. Не разгоняться. А отключаться.
Это не означает, что системы ЭУДЗ лишены проблем. Они не лишены. Но они спроектированы с использованием нескольких уровней защиты. При правильной работе эти системы защиты должны предотвращать непредвиденные скачки оборотов двигателя.
Технология принудительного торможения
Осведомленность потребителей изменила правила игры. Нежелательное ускорение — горячая тема. Вопросы о ЭУДЗ возникают повсюду. Автопроизводители прислушиваются.
Они добавляют еще одну систему защиты. Принудительное торможение.
Эти системы позволяют вводу данных водителем перехватывать управление и отменять работу дроссельной заслонки. Если система дает сбой и дроссельная заслонка открывается самостоятельно, нажатие на тормоз закроет ее. Эта технология уже доступна на многих автомобилях. Немецкие производители лидируют в этом направлении.
Концепция проста. Ввод данных водителем имеет приоритет. Всегда.
Движение дальше дроссельной заслонки
Электронное управление дроссельной заслонкой — лишь одна часть головоломки. Это не единственный электронный компонент под капотом.
Есть и другие. Датчики. Модули. Исполнительные механизмы. Все они работают вместе. Или отказывают вместе.
Читайте дальше, чтобы узнать о других системах. История не заканчивается на дроссельной заслонке. Она продолжается в жгутах проводов. В программном коде. В самом сердце современной машины.
А вопросы? Они только начинают набирать обороты.
Дебаты разгораются снова
Техническая сторона вопроса становится запутанной, если углубиться в отчеты. Брэд Бергхольдт из McClatchy-Tribune отметил, что системы электронного управления дроссельной заслонкой (ETC) сложны. Они точны, безусловно. Но точность не означает неуязвимость к ошибкам. Освещение этого вопроса в феврале 2010 года заложило основу для понимания того, почему механики были так растеряны.
Анита Лиенер из Inside Line нашла презентацию Toyota по тестированию электромагнитных помех. Компания пыталась доказать, что ее системы способны выдерживать посторонние электрические шумы. Они утверждали, что ETC надежна. Но надежность в лаборатории не всегда означает надежность на ухабистой трассе с умирающим генератором.
Джейн О’Доннелл из USA Today задала более сложный вопрос. Могли ли электронные компоненты на самом деле вызывать эти автомобили, вышедшие из-под контроля? Это было не просто предположение. Она проанализировала данные. Подозрение заключалось в том, что сбой датчика или скачок напряжения могли обмануть блок управления двигателем, заставив его думать, что водитель требует полного ускорения.
Эксперты спорят из-за доказательств
Затем последовал ответный удар. Джозеф Ри, пишущий для ABC News, осветил агрессивное сопротивление Toyota. Они не просто оспаривали критику. Они атаковали методологию эксперта по автомобилям, который утверждал, что воссоздал событие внезапного ускорения. Toyota назвала исследование нереалистичным. Они утверждали, что условия теста не отражают реальное вождение.
Брайан Росс добавил масла в огонь с помощью видеодоказательств. Эксперт воссоздал сценарий внезапного ускорения для ABC News. На видео было показано, насколько легко автомобиль мог резко рвануть вперед, если коврик мешал педали. Или если ETC неправильно считывала сигнал. Это было убедительное визуальное доказательство, даже если Toyota отказалась принимать его как окончательное.
Кен Томас и Стивен Мэннинг из Ассошиэйтед Пресс сообщили, что Toyota активно оспаривала критика, который винил электронику. Автомобильный гигант занял оборонительную позицию. Они не хотели, чтобы этот нарратив закрепился.
В марте 2010 года Toyota опубликовала всесторонний анализ. Они нацелились на показания Гилберта в Конгрессе и конкретный сегмент программы ABC News. В их пресс-релизе утверждалось, что сделанные выводы ошибочны. Они настаивали на надежности своей инженерии. Конфликт уже касался не только автомобилей. Речь шла о доверии.
«Всесторонний анализ вызывает опасения относительно показаний Гилберта в Конгрессе.»
Источников становится больше. Компания Pico Technology предоставила технические заметки о системах ETC еще в марте 2010 года. Они выделили принципы работы этих систем. Сложные. Точные. Но способные к отказу. Индустрия наблюдала. Общество было напугано. А производители боролись за свою репутацию.
Где мы находимся сейчас?
У нас все еще есть тесты безопасности. Видео краш-тестов. Руководства о том, как работают подушки безопасности и камеры фиксации нарушения правил проезда через красный свет. Это базовые факты. Они не меняются. Но вопрос внезапного ускорения? Он все еще висит в воздухе.
Играла ли электромагнитная помеха какую-либо роль? Вызвали ли дефектные коврики большинство инцидентов? Или это была комбинация человеческой ошибки и механического дефекта? Эксперты расходятся во мнениях. Производители защищают свою инженерную разработку. Данные есть. Но интерпретация остается спорной.
Если вы покупаете подержанный автомобиль этого периода, проверьте дроссельную заслонку. Осмотрите проводку. Не полагайтесь только на индикаторы приборной панели. Технологии развивались. Но так же развивались и риски.
Что дальше?
Указанные здесь источники относятся к 2010 году. История не закрыта полностью. В более новых моделях улучшены меры предосторожности. Избыточные датчики. Лучшая защита от помех. Но основная проблема остается. Электроника сложна. И сложные системы могут выходить из строя.
Когда вы нажимаете на педаль газа, вы доверяете компьютеру. Крошечный чип решает, сколько топлива впрыскивать. Сколько воздуха пропускать. Если этот чип запутается, вы будете двигаться быстрее, чем планировали.
