sou · H6B316 · 2018-03-07 00:00:00 — Även om ett fordon har ett stort antal sensorer ombord för att förstå sin omgivning så krävs uppkoppling för att öka säkerheten och interagera med infrastruktur och andra trafikanter. Dagens regelverk kring fordon bygger på ett långsamt informa- tionsutbyte och en mer mekanisk process för underhåll och service. kan emellertid mjukvaran i ett fordon uppgraderas mycket snabbt. Över kan en konsument i princip få ett fordon med helt nya egenskaper. Regelverket bygger på typgodkännande av fordon, vilket också det är en långsam process. Även när teknik- utvecklingen går snabbt måste det finnas ett regelverk som säker- ställer att fordon är säkra att använda och uppfyller miljökrav. Frågor om fordon behandlas närmare i kapitel 7. Det finns två trender, när det gäller informationsutbyte, som står mot varandra ur ett konsumentperspektiv. En trend är att per- soner gärna vill dela med sig av sin personliga information. Genom att olika företag, organisationer eller myndigheter kan samla in data om individuella användares aktiviteter genom digital teknik för- väntar sig användarna bland annat att få bättre service. exempelvis handla om information om fordon och individers rörel- ser och positioner för att möjliggöra delning av fordon eller hjälp att välja färdsätt och hitta rätt. Människor blir allt mer vana vid att behöva godkänna att lämna platsinformation och andra upplys- ningsdata för att få ta del av en tjänst eller informationsmöjlighet. Även om det finns möjligheter att godkänna eller tacka nej till att ge information i exempelvis mobiltelefonitjänster, begränsar detta starkt nyttan av de tjänster som erbjuds, varför de flesta bara klickar i rutan och godkänner utan att tänka efter särskilt . Den andra trenden är att personer inte vill dela med sig av personlig information till företag, organisationer eller myndigheter. Det finns en oro för att tillgången till information ska missbrukas för exempelvis spioneri, övervakning och obeställd reklam. Ett upp- kopplat, automatiserat fordon har många informationsfunktioner som liknar en mobiltelefons. Det är också fallet med de flesta moderna fordon som redan finns på marknaden . Ett exempel på motstående intressen för konsumenter är om försäkringsbolag ska ha tillgång till information från fordonen. Om konsumenten är en exemplarisk förare och kan visa detta genom information från fordonet skulle det kunna ge en lägre försäk- ringspremie. Det finns då oftast ett intresse av att dela med sig av informationen till försäkringsbolaget. Den som däremot inte är en fullt så exemplarisk förare skulle genom informationen kunna få en högre försäkringspremie. Intresset av att dela informationen från fordonet med försäkringsbolaget sjunker då avsevärt. Det finns också motstående intressen mellan olika företag (och konsumenter) när det gäller informationsutbyte och fordon. Det handlar om vem som ska ha tillgång till information på den viktiga eftermarknaden. Ska en konsument exempelvis fritt kunna välja tjänsteleverantör (som då också ska ha tillgång till information från fordonstillverkaren) eller är det något som fordonstillverkaren ska bestämma över? Det finns också starka samhällsintressen av att kunna få tillgång till läsbara data från fordon. För att kunna avgöra vem/vad som orsakade en trafikolycka behöver rättsvårdande myndigheter och försäkringsbolag tillgång till information om olyckan. kan information från en trafikolycka lagras i och hämtas från så kallade svarta lådor. Kapitlet som följer är uppbyggt i tre delar. Delarna påverkar och hänger ihop med varandra och har alla med information att göra fast på olika sätt. •informationsinsamling och utbyte av information, •den enskildes integritet. I delen om informationsinsamling och utbyte av information ligger fokus på informationen från fordonen. Ett viktigt delområde när det gäller informationsutbyte är intelligenta samverkande transport- system (ITS). Det handlar bland annat om hur fordon kommuni- cerar med varandra och med infrastrukturen. Utredningen behand- lar ITS i kapitel 9. I delen om informationssäkerhet ligger fokus på hur informationen kan skyddas. Den sista delen handlar om den enskildes integritet och information som är personlig. Till dessa tre delar kan läggas en fjärde del som handlar om innovationer. Hur kan vi genom forskning och utveckling få en bättre och säkrare värld genom den ökade tillgången till information? Innovationer kommer inte att få en egen del i detta kapitel utan inarbetas i de tre övriga delarna. Självgående landfordon (föregångare till våra moderna fordon) uppfanns . De genererade små mängder information, exempelvis genom att man manuellt kunde avläsa olika mätinstru- ment. I grunden är det samma teknik i fordonen som i dagens fordon med motor, drivlina, broms, fyra hjul etc. Allt eftersom tiden gått har ny teknik i lager på lager lagts över den ursprungliga tekniken. Tekniken bakom automatiserade fordon kommer att vara ytterligare ett lager på 1800-talstekniken. I takt med att fordon elektrifierades och senare utrustades med datorer har fordonets möjligheter att generera information dock ökat dra- matiskt. Denna utveckling accentueras med tekniken för uppkopp- lade och automatiserade fordon. När fordonen elektrifierades och senare datoriserades på 1980- talet fanns till exempel inte internet eller möjligheten till att koppla upp fordon mot något. När systemen och nätverken utvecklades designades de alltså för att verka i ett slutet system. Det medförde att informationssäkerheten blev av underordnad betydelse. Fordons- tillverkare behövde till exempel inte fundera på att skilja säkerhets- kritiska system från icke säkerhetskritiska system. Utvecklingen mot det uppkopplade fordonet påbörjades . Det var inte fordonstillverkarna som efterfrågade en möjlighet att öppna upp fordonets slutna system utan det var i stället en fråga som statsmakten drev. Olika länder ställde krav på att fordon skulle släppa ut mindre avgaser. Frågan var bara hur kontrollen av utsläppen skulle ske på ett enkelt sätt. var först med att i lag kräva att det i fordonen skulle finnas ett fysiskt uttag/port in till fordonets slutna system. I uttaget skulle ett dia- gnosverktyg anslutas manuellt för att enkelt kunna läsa av infor- mation om fordonets utsläpp. Det var föregångaren till dagens diagnosuttag. medförde diagnosuttaget att nätverket i fordonet, som varit slutet, nu blev tillgängligt från utsidan. Inte heller när diagnosuttagen uppfanns och senare standar- diserades1 fanns det något behov av informationssäkerhet. I princip är därför diagnosuttag öppna och utgör en svag punkt ur säker- hetssynpunkt. Det sker till exempel en loggning av de diagnosverk- tyg märkesverkstäderna använder och kopplar upp mot fabriks- datorn, men det är inte säkert att det går att se i efterhand om ett diagnosverktyg köpt på internet av en privatperson använts i for- donet. Diagnosuttaget är alltså en väg in i fordonet för de som vill manipulera det eller hämta information. Ett annat exempel på hur regelverk driver utvecklingen med ingångar in till fordonets system är EU-förordningen 661/2009 som bland annat säger att alla nya bilar sålda efter ska vara utrustade med tryckövervakningssystem avseende däcken (TPMS, ). TPMS innebär att en sensor i däcket ger föraren information om lufttrycket i däcket under körning, vilket ökar säkerheten och minskar bränsleförbruk- ningen. Här finns olika tekniska lösningar, men en av dessa kallas 1 Den europeiska standarden är European On-Board Diagnostics som i sin tur är kopplat till EU direktiv om övervakning av utsläpp från fordon. För att direkt TPMS ska fungera krävs det att det finns en trådlös anslutning (radio) mellan däcksensor och CAN- buss2, vilket i sin tur kräver en trådlös ingång in i fordonet. Här har alltså regelverket gått från att ett kräva att verktyg ska anslutas manuellt till fordonets slutna system till att kräva trådlösa ingångar in i fordonet. Inte heller här finns någon säkerhetsstandard utveck- lad i sig för att skydda den trådlösa ingången.3 När diagnosuttaget väl var uppfunnet kunde det även användas till annat, till exempel diagnostisering av fordonet utifrån andra kriterier än utsläpp. Först kunde man koppla in olika verktyg/ apparater fysiskt i uttaget, men möjliggjorde tekniken att en adapter kunde sättas in i uttaget och på så sätt göra det trådlöst. Fordonen blev uppkopplade mot exempelvis internet. Det är alltså inte bara statsmakten i regelverk som drivit på frågan om portar in i fordonet utan fordonstillverkarna har utvecklat egna portar bland annat för diagnostik och infotainmentanläggningar. Fordonen har således utvecklats organiskt över tiden och komplexiteten i tekniken ökar just nu snabbt. Mer och mer avan- cerad teknik används, fordonen blir mer och mer uppkopplade, vilket i sin tur ökar sårbarheten och behovet av informations- säkerhet. Den elektriska arkitekturen, hur fordon tekniskt är upp- kopplade etc. skiljer sig också åt mellan olika fordonstillverkare. Vissa fordon är därför säkrare än andra ur informationssäkerhets- synpunkt precis som vissa fordon är bättre än andra på att skydda förare och passagerare från fysisk skada vid en olycka. Samhällsutvecklingen är sådan att det finns ett allt större behov av att skydda information mot exempelvis hackare. Statsmakterna ställer också allt högre krav på informationssäkerhet. I till exempel EU:s nya allmänna dataskyddsförordning riskerar företag eller organisationer böter på eller av före- tagets eller organisationens globala omsättning vid allvarligare över- 2Controller , CAN eller CAN-bus är en databuss främst avsedd för fordon, men som även används i andra sammanhang. CAN möjliggör att flera noder eller styrenheter i fordonet kan sända meddelanden till varandra på ett säkert och snabbt sätt. 3Fordonstillverkare gör riskbedömningar för möjliga scenarier. TPMS har en egen styrenhet. I teorin är det möjligt att komma in via den trådlösa ingången, men andra styrenheter kan inte påverkas. Det värsta som kan hända är att ett felmeddelande visas i fordonet om att luft- trycket i ett eller flera däck är dåligt även om det inte stämmer med verkligheten. En fysisk förare kan enkelt kontrollera däcken, men hur ska ett automatiserade fordon agera i den här situationen? trädelser (artikel 83). Fordonstillverkare är väl medvetna om problematiken och arbetar med informationssäkerhet. Fordonstill- verkare försöker på olika sätt att göra det svårt för utomstående att angripa fordonet genom portarna till exempel med kryptering och brandväggar. 8.2.2Information som fordon genererar I ett välutrustat modernt fordon finns ett stort antal sensorer och processorer som genererar information. För att minska på kabeldragningen och öka driftsäkerheten i fordonet sätts sensorer och processorer ihop i en styrenhet tillsammans med programvara. Styrenheterna styr i sin tur ett antal funktionsområden i fordonet. Styrenheterna är sammankopplade i ett eller flera datornätverk som gör det möjligt för styrenheterna att kommunicera med varandra och med omvärlden. Kommunikationen kan vara trådbunden eller trådlös till exempel genom blåtandskoppling. Nedan följer exempel på typiska funktionsområden som finns i dagens moderna bilar och som genererar information. Varje till- verkare har sina egna lösningar så hur det ser ut i ett fordon kan variera, även om vissa funktioner är regelstyrda. I en modern bil finns över 60 större styrenheter. Bussar och lastbilar kan ha ännu fler och exempelvis motorcyklar kan ha färre. Listan nedan är därför inte uttömmande. Motorstyrning: Motorstyrningen har till uppgift att se till så att motorn fungerar optimalt till exempel genom att styra blandningen av bränsle och luft, tändning, öppnandet av ventiler och tomgång. För detta krävs att information från ett antal sensorer skickas till motorstyrningen. Styrning av växellåda: Styrenheten har till uppgift att avgöra när och hur det är dags att växla. För att utföra detta arbete krävs infor- mation från andra styrenheter såsom motorstyrningen, men även information från sensorer i fordonet för att få fordonets verkliga hastighet. Styrning av växellådan påverkar också hur mycket bränsle som används och därmed hur mycket avgaser fordonet släpper ut. Chassistyrning: Här finns funktioner såsom bromsstyrning, anti- sladdsystem (ABS) och stötdämparstyrning. I detta sammanhang kan kort skillnaden mellan aktiv och passiv säkerhet nämnas. Med aktiv säkerhet menas att tekniken griper in och förhindrar/lindrar en olycka exempelvis genom inkoppling av ABS-bromsarna. Utrustning för passiv säkerhet skyddar personer ombord vid en olycka exem- pelvis genom bältessträckare och krockkuddar. Säkerhetsstyrning: Här finns både aktiv och passiv säkerhet. Till säkerhetstyrning hör krockkuddesystem, autobromssystem (här in- går även adaptiva farthållare som håller avståndet till framförvarande fordon), radarövervakning vid till exempelbackning och fickparker- ing och kameraövervakning av död vinkel etc. Karossfunktioner: Här finns en rad olika funktioner såsom kontroll av dörrar, lås, säten, belysning (både ute och inne), speglar och larm. Förarens manövrering: Här finns bland annat olika rattspakar och rattknappar. Hit räknas också instrument- och meddelandepanelen som kommer att få stor betydelse för gränssnittet människa – fordon samt navigator. Klimatstyrning: I denna styrenhet styrs klimatet i fordonet så- som värme och avisning. Underhållning: I denna styrenhet finns infotainmentsystemet som möjliggör till exempel handsfree telefon via Blåtand, mottagare för radio, internet, mediaspelare etc. samt bildskärmar med menyhan- tering för olika syften. I detta sammanhang behöver även () nämnas4. En buss är en central komponent i modern elektronik. En buss är ett system av gemensamma ledningar som förbinder digitala moduler i syfte att överföra data. En liknelse skulle kunna vara kroppens blodomlopp som förbinder olika organ. CAN- bussystemet i ett fordon möjliggör att styrenheter kan sända med- delande till varandra snabbt och motsvarar kroppens pulsåder. CAN- buss används inte till alla styrenheter i fordonet utan främst för till 4 Det finns en internationell standard för angående digital information nämligen ISO 11898. exempel motorstyrning, styrning av växellåda, bromssystem och krockkuddesystem då det kräver att styrenheterna (som är ihop- kopplade med ) har en egen mikroprocessor. Det finns andra system i fordonet som kan användas för kommunikation såsom (), som används för enklare styrenheter som saknar egen mikroprocessor, exempelvis batteri- övervakare och MOST (Transport), som används för ljud- och bildkommunikation i fordonets infotainment- system (överföring av strömmande data). är av särskilt intresse för utredningen eftersom systemet sköter kommunikationen med de styrenheter som är säker- hetskritiska för fordonets funktion. Om en tjuv till exempel vill stjäla ett fordon behöver denne ta sig in på för att koppla ur rattlåset och starta motorn. Ju fler som har tillgång till desto större blir säkerhetsriskerna. Ur säkerhetssynpunkt är det därför viktigt att begränsa tillgången till . finns i även möjligheter till diagnos av fysiska funktioner i fordonet, som bland annat verkstäder vill och behöver ha tillgång till. En fråga är då om alla verkstäder ska ha tillgång till eller bara sådana som är betrodda av eller har avtal med fordonstill- verkaren, ställt mot fordonsägarens önskan att fritt kunna välja verk- stad efter sitt behov. EU arbetar med frågan inom ”Repair Main- tenance Information” (se vidare i kapitel 7 om fordon). Det kan även finnas andra aktörer som har ett legalt intresse av att kunna kon- trollera funktioner genom , exempelvis bilbesiktningen för kontroll av utsläpp från fordonet5. Det blir alltså en avvägnings- fråga hur och vilka som ska ha tillgång till . Ett sätt för fordonsindustrin att lösa problematiken vem, hur och hur mycket information som ska göras tillgänglig från genom ett uppkopplat fordon är att arbeta med standarder. Ett exem- pel på en sådan standard för lastbilar och bussar är (), som till exempel och AB använder. Standarden fungerar på så sätt att utvald information från sänds via ett eget FMS-uttag till ett moln. Vilken information som sänds vidare och som är fri för alla att använda anges i ett särskilt 5 I kontrolleras vissa felkoder relaterade till avgasreningen vid den årliga kontroll- besiktningen. En uppkoppling sker mot fordonets diagnosuttag vid besiktningen. Detta kan leda till ett underkännande. Kunden blir då ombedd att åka till en verkstad, som i sin tur kopplar upp sig mot fordonet, kontrollerar vilken felkoden är och reparerar vid behov. protokoll som hör till standarden. Exempel på fri information är for- donets hastighet och bränsleförbrukning. Genom att använda FMS får fordonstillverkaren också en brandvägg in i fordonet för att minska risken för att obehöriga manipulerar . Det finns även EU-direktiv6 som reglerar verkstäders tillgång till information för att garantera en fri konkurrens på eftermarknaden avseende reparationer och underhåll (se vidare kapitel 7). Kommissio- nen följer även verkstäders tillgång till information.7 Ett diagnosuttag eller en OBD-port, som det också kallas, är en nät- verksanslutning för att kommunicera med fordonets styrenheter. Den kan till exempel användas för att läsa av felkoder8, kontrollera olika funktioner såsom hur motorn arbetar eller uppdatera styren- heters programvara. Fysiskt finns uttaget vid förarplatsen. Man kan koppla in sig fysiskt på diagnosuttaget med olika sorters diagnos- verktyg eller sätta i en adapter i uttaget, vilket möjliggör trådlös kommunikation. När ett diagnosverktyg är inkopplat uppträder den som en extra styrenhet i fordonet. Rent praktiskt kan diagnosuttag användas av en auktoriserad verkstad vid service genom att fordonet kopplas upp mot fabriksdatorn. En fabriksdator söker sedan igenom for- donets styrenheter och letar efter felkoder och föreslår lämpliga åtgärder. Datorn kontrollerar också vilken version av programvaran som är installerad och uppdaterar vid behov. Diagnosuttaget kan också användas till övervakning av fordonsflottor. Genom uttaget kan fordonet sända löpande information om positionering, bränsle- förbrukning, körsträckor etc. 6Se t.ex. Regulation (EC) No 715/2007 och 595/2009. 7Se t.ex. European Commission. Study on the operation of the system of access to vehicle repair and maintenance information. 8För en fordonstillverkare är det att föredra, att på vilket sätt fordonet ska visa att det är fel på något ombord, så långt möjligt harmoniseras internationellt inom t.ex. UNECE:s arbets- grupper. 8.2.3Automatiserade fordon och sensorer Ett automatiserat fordon kommer att vara utrustat med ett stort antal sensorer kopplade till processorer för att möjliggöra automati- serad körning, förutom de sensorer som redan finns i fordonen . Syftet med många av dessa sensorer, i det automatiserade fordonet, är att skapa en modell av miljön runt fordonet. Sensorerna berättar för fordonet var det befinner sig, vilken väg det kan följa och vilka eventuella hinder som finns på vägen. Tekniken är inte helt utvecklad ännu och olika fordonstillverkare kan välja att kombinera olika sensorer i sina fordon.9 Det handlar också om hur många sensorer som faktiskt får plats fysiskt ombord på fordonet och om kostnaden för dessa. Fordonstillverkaren vill skapa redundanta system och därmed säkrare fordon. Med det menas att två eller flera slag av sensorer kan ge likadan information. Om informationen mellan sensorerna av- viker är något fel och behöver åtgärdas. I ett redundant system kan även en sensor ta över och göra arbetsuppgiften ensam om den andra sensorn slutar fungera. Nedan följer exempel på sensorer som kan finnas i ett auto- matiserat fordon. Kameror: I dagens fordon finns exempelvis backkameror. I de automatiserade fordonen kommer det att finnas olika slags kameror. De kommer också att filma runt hela fordonet. En del kameror kommer att filma rakt ut mot horisonten, men räckvidden varierar. En del kameror påminner om vanliga filmkameror, men de zoomar inte och de följer inte en enskild människas rörelser. Bildmaterialet från kamerorna är inte direkt användbart för for- donet utan kräver att en dator gör en bildanalys för att fordonet ska förstå om det till exempel har en människa eller en buss framför sig. I sammanhanget kan också nämnas att det finns två olika slag av kameror; monokameror och stereokameror. Monokameror finns redan på marknaden medan stereokameror är under utveckling. Skillnaden är att monokameror bara känner igen sådant som den har 9 I Drive Me-projekt är fordonen utrustade med sju radarsensorer, åtta kameror, tolv ultraljudssensorer och en lidar. Radarn täcker framåt och bakåt . Också kamerorna täcker med extra stöd för djup- seende framåt . En ensam lidar pekar framåt och täcker och . lärt sig känna igen medan stereokameror ska kunna hantera ovän- tade situationer. Det kan också finnas kameror som filmar med infrarött ljus utanför fordonen. En sådan kamera kan filma när det är mörkt ute och ljusförhållandet inte räcker till för vanliga kameror, exempelvis för att upptäcka djur längs vägen. Till utredningen har det framförts från fordonstillverkare att det finns ett behov av att filma ansikten och framför allt ögon på personer utanför fordonet vid en olycka i syfte att utveckla säkrare fordon. Fordonstillverkare behöver veta åt vilket håll till exempel en person tittade eller andra reaktioner hos trafikanter och att denna information behöver lagras i en svart låda. Radar: Radar är en förkortning för engelskans Radio Detection and Ranging. Med radar kan avståndsbedömningar göras med hjälp av radiovågor. Radar använder kortvågiga radiovågor (elektro- magnetisk strålning), för att identifiera avstånd, höjd och färd- riktning för olika föremål. En signal skickas ut, reflekteras mot före- målet och detekteras av avsändaren. Radar finns i många fordon, till exempel varnar radar för föremål när föraren backar eller så kan radar användas till automatisk inbromsning i kösitua- tioner. Lidar/ljusradar: Lidar är en förkortning av engelskans Light Detection and Ranging. Lidar är ett optiskt mätinstrument som mäter egenskaper hos reflekterat ljus för att finna avståndet och/eller andra egenskaper hos ett avlägset föremål. Lidar sänder ut en laserpuls och mäter sedan tidsfördröjningen och intensiteten i retur- strålen. Om ett fordon befinner sig i ett mörkt rum syns laserpul- serna som ett nät runt fordonet. Tekniken påminner mycket om den som finns för radar. Skillnaden är att radar använder radiovågor i stället för ljus. Förenklat detekterar radar metalliska ytor medan lidar detekterar molekyler/partiklar. När ljuset från en laserpuls studsar tillbaka skapas punkter. Punkterna behöver sedan analyseras av algoritmer för att fylla ut vad som finns mellan punkterna och på så sätt skapa en modell av omvärlden. Beroende på hur snabbt ljuset studsar tillbaka mellan två laserpulser går det också att avgöra hastig- heten på föremål. Fördelen med att använda ljus i stället för radiovågor är bland annat att strålen har en mycket smalare spridningsvinkel. Bland nack- delarna kan nämnas att lidar har betydligt sämre förmåga att se genom damm, dimma, regn och snö än en radar. Laserljus är, till skillnad från radiovågor, skadligt för ögat, så den maximala energi- mängden som får sändas ut i icke avspärrade områden är betydligt mer begränsade. Lidar är än så länge en dyr teknik och är inte vanligt förekommande i fordon . förväntas dock prissänk- ningar. Många fordonstillverkare har aviserat att de avser använda lidar i sina automatiserade fordon. GPS mottagare: är en förkortning av engelskans (globalt positioneringssystem). Beroende på hur exakt position som önskas kan olika tekniker användas. GPS i ford- on kan vara en kombination av uppkoppling mot mobiltelefonnätet och satelliter (a-GPs).