Introdução ao V2X — Conectando veículos, estradas, redes e pessoas com segurança

Em um cruzamento sem visibilidade, um ciclista pode estar escondido atrás de um prédio, fora do alcance da câmera e do radar do veículo principal. Um sensor na estrada ou outro veículo pode detectar o ciclista primeiro e transmitir sua posição e movimento. Essa mensagem pode ganhar segundos de tempo de previsão. A comunicação V2X (veículo para tudo) não estende magicamente a linha de visão de um sensor. Ela compartilha a observação e a intenção de outra pessoa, com uma certa idade, incerteza e tempo de expiração.

Um projeto em que o sucesso na comunicação significa segurança e a perda de pacotes significa insegurança é incompleto. Links de rádio são bloqueados, canais ficam congestionados, relógios se desviam, mapas divergem e certificados expiram. Portanto, a comunicação V2X deve contribuir com evidências para a percepção e o planejamento, enquanto o veículo permanece capaz de se degradar com segurança quando essas evidências desaparecerem.

A comunicação V2X deve, portanto, contribuir com evidências para a percepção e o planejamento, enquanto o veículo permanece capaz de se degradar com segurança quando essas evidências desaparecerem.

Exemplo de um veículo que combina sensores a bordo com funções conectadas

Imagem: Subaru WRX S4 2.0GT-S EyeSight (Tokumeigakarinoaoshima, CC BY-SA 4.0), Wikimedia Commons. Esta é uma visão externa do veículo, não uma evidência de um rádio V2X específico, protocolo ou configuração de antena.

Conclusão resumida

• V2V conecta veículos, V2I conecta infraestrutura rodoviária, V2N alcança redes celulares e serviços em nuvem, e O V2P inclui pedestres e ciclistas. Seus prazos e limites de confiança diferem.
• As famílias DSRC/IEEE 802.11p fornecem troca ad-hoc direta. O C-V2X combina o sidelink PC5 direto com a conectividade Uu por meio de uma rede celular.
• A latência média é inadequada para segurança. Meça a entrega dentro do prazo, a latência de cauda, a taxa de entrega de pacotes por distância e densidade, a duração da perda de rajada e a Idade da Informação.
• Uma assinatura válida comprova a posse de uma chave autorizada e a integridade da mensagem. Ela não comprova que uma posição GNSS seja fisicamente verdadeira ou que um remetente legítimo seja honesto.
• Transmissões frequentes de posição criam um risco de rastreamento. Certificados de pseudônimo ajudam, mas o tempo e a trajetória ainda podem vincular identidades sucessivas.
• A perda de comunicação não deve criar um comando inseguro. Aumente a incerteza e retorne suavemente a um comportamento que utilize apenas os sensores de bordo.

Os quatro relacionamentos de comunicação

Figura 1 — “X” não é um padrão de rádio. Caminhos diretos e em rede atendem a diferentes horizontes temporais e suposições de falha.

V2V: troca de movimento e intenção

Veículos podem transmitir posição, velocidade, aceleração, direção, estado de frenagem, dimensões e intenção de trajetória para frenagem de emergência e alertas de cruzamento. Uma posição recebida ainda contém erros de GNSS, relógio e transformação de quadro. Trate-a como uma observação probabilística temporizada, não como um obstáculo perfeitamente localizado.

V2I: conectando controladores de semáforo e sensores de estrada

Unidades de beira de estrada podem publicar fase e temporização do semáforo (SPaT), geometria do cruzamento (MAP), zonas de obras, restrições de velocidade, alertas de superfície ou prioridade para veículos de emergência. O controlador de semáforo de origem, a RSU, a versão do mapa e o relógio formam uma cadeia de dados. Um novo pacote de rádio contendo um estado de controlador desatualizado permanece desatualizado.

V2N: alcançando serviços de longa distância

O acesso celular suporta alertas de congestionamento à frente, atualizações de mapas, distribuição de software, operação de frotas e computação assistida por nuvem. Seu trajeto cruza uma rede de acesso de rádio, um núcleo e um serviço de aplicação. O controle de colisão iminente não deve depender exclusivamente de um servidor remoto cuja rota e disponibilidade o veículo não consegue controlar.

V2P: incluindo usuários vulneráveis da via

Um telefone ou dispositivo dedicado pode anunciar a presença de um pedestre ou ciclista. Taxas de atualização com economia de energia, posicionamento inadequado dentro de uma bolsa e o efeito multicaminho do GNSS urbano podem colocar o ponto reportado no lado errado da via. Verifique a localização com sensores na via e com a câmera monocular do veículo, controlando a taxa de alertas desnecessários.

DSRC/ITS-G5 versus C-V2X

DSRC / Família IEEE 802.11p

Sistemas DSRC baseados no padrão IEEE 802.11p utilizam métodos de contenção relacionados ao Wi-Fi, adaptados para enlaces veiculares em rápida mudança. Eles podem trocar mensagens curtas sem primeiro se associarem a um ponto de acesso convencional. Na Europa, essa família é comumente chamada de ITS-G5, enquanto WAVE denomina uma pilha de padrões relacionada dos EUA. Sua operação descentralizada é atraente, mas o tráfego denso aumenta as colisões, os efeitos de nós ocultos e os problemas de sobrecarga do canal.

V2X Celular

C-V2X não significa que cada pacote atravessa uma estação base celular:

• O link lateral PC5 suporta a troca direta de dispositivo para dispositivo, evoluindo do LTE-V2X para o NR-V2X.

• O Uu conecta-se por meio de acesso de rádio celular, uma rede central e serviços para informações e gerenciamento de longa distância.

O rótulo não determina o desempenho em campo. Posicionamento da antena, obstrução da carroceria do veículo, largura de banda do canal, potência de transmissão, modulação, seleção de recursos, retransmissão, sobrecarga de segurança e densidade de tráfego são fatores importantes. Compare o sucesso no cumprimento do prazo de entrega da aplicação sob a mesma distância, obstrução e carga, em vez de comparar siglas isoladamente.

| Pergunta | Caminho direto | Caminho de rede | |---|---|---| | Uso típico | frenagem brusca, cruzamento, consciência de pelotão | tráfego, mapas, OTA, serviços de frota | | Rota | veículo para veículo/RSU | veículo para RAN para servidor | | Vantagem | rota local curta, pode funcionar sem cobertura de longa distância | amplo alcance, acesso gerenciado, armazenamento e computação | | Preocupação com falhas | congestionamento, bloqueio, terminal oculto | cobertura, falha do núcleo/servidor, variabilidade da rota |

Latência, confiabilidade e idade da informação

Para geração de mensagens em t_s e disponibilidade do aplicativo em t_a, a latência de ponta a ponta é

Uma média de E[L] oculta atrasos raros de 500 ms. Relate P(L\le L_{max}) e percentis altos e separe o erro de relógio do atraso de transporte real. Com N_t pacotes transmitidos e N_r pacotes recebidos antes do prazo,

A mesma taxa de entrega de pacotes (PDR) pode surgir de perdas isoladas ou de uma interrupção de dez pacotes. Relate a duração da perda em rajada e a PDR em função do alcance, velocidade, obstrução, densidade e carga oferecida.

A Idade da Informação mede a idade da amostra de origem mais recente disponível. Se u(t) for o seu tempo de geração,

A baixa latência da interface aérea não pode reparar uma medição que aguardou na percepção ou em uma fila do servidor. Captura do sensor do instrumento, estimativa de estado, assinatura, enfileiramento, rádio, verificação e fusão em uma base de tempo comum.

Para uma distância de aproximação d e velocidade relativa v_r (negativa durante a aproximação), um tempo simples para colisão é

Uma era da informação \Delta adiciona aproximadamente |v_r|\Delta de incerteza de movimento antes dos erros de aceleração e localização. Isso conecta as métricas da rede à margem de segurança que o planejamento realmente consome.

Percepção cooperativa sem dupla contagem

Suponha que uma fonte remota reporte z_A com covariância P_A e a percepção do ego reporte z_E com P_E. Sob uma suposição de independência,

Se ambas as estimativas se originarem da mesma câmera ou mapa à beira da estrada, elas são correlacionadas e esta fórmula se torna excessivamente confiante. Rastreie a proveniência, o relógio da fonte, o sistema de coordenadas e as entradas comuns conhecidas. O compartilhamento pode ocorrer em vários níveis:

1. Estado e intenção do indivíduo: compacto, mas não descreve uma terceira parte observada pelo remetente.

2. Trajetórias de objetos: posições práticas, classes, velocidades e covariâncias, mas os IDs das trajetórias devem estar associados.

3. Características ou dados brutos de sensores: potencialmente ricos, mas dispendiosos em termos de largura de banda, privacidade, compatibilidade de modelos e calibração.

Para a estimativa do estado local, consulte Introdução à Navegação Inercial. Para evidências embarcadas, consulte LiDAR e radar automotivo.

Segurança: autêntico não significa necessariamente verdadeiro

A PKI veicular assina as mensagens. A verificação pode estabelecer que uma chave privada autorizada assinou os bytes e que os bytes não foram alterados. Ela não pode estabelecer a verdade física. Um veículo legítimo, porém comprometido, pode reportar uma posição falsa; uma unidade GNSS falsificada pode assinar honestamente sua estimativa incorreta.

As ameaças incluem reproduzir um alerta válido antigo, sobrecarregar o canal ou a CPU de verificação, criar múltiplas identidades aparentes, roubar chaves por meio de uma interface de serviço e comprometer uma RSU ou um sistema de atualização. As defesas combinam verificações de assinatura e certificado com janelas de carimbo de data/hora, regras de sequência, aceleração fisicamente possível, consistência do mapa rodoviário, acordo de múltiplas fontes e comparação de sensores a bordo. A emissão de relatórios e a revogação de dados precisam de limiares de evidência, pois excluir falsamente um veículo legítimo também é prejudicial.

Um ciclo de vida completo de chave abrange um módulo de segurança de hardware, inicialização segura, software assinado, provisionamento, rotação de pseudônimos, revogação, substituição de serviço, transferência de propriedade e desativação. A escolha do algoritmo criptográfico é apenas uma linha nesse ciclo de vida.

Privacidade de localização

Um identificador fixo anexado a mensagens de posição periódicas revela residência, trabalho e rotina, mesmo sem um nome. Certificados com pseudônimos reduzem a vinculação direta, mas uma trajetória suave, sincronização, dimensões do veículo e assinatura de rádio podem vincular as identidades antigas e novas.

Minimize os dados primeiro: não transmita histórico que um aplicativo de segurança não precise, agregue dados na infraestrutura rodoviária sempre que possível, limite a retenção, audite o acesso e especifique a finalidade. Alterações coordenadas de pseudônimos ou zonas de mistura podem reduzir a vinculação de trajetórias. Remover um ID de banco de dados antes de publicar um conjunto de dados de pesquisa não é suficiente para anonimizar os dados.

Degradação e avaliação da segurança

Cada item recebido precisa de um indicador de qualidade e expiração. Quando as mensagens pararem, não exclua o objeto como se ele tivesse desaparecido; propague a incerteza:

Avalie túneis, cânions urbanos, bloqueios de veículos pesados, chuva, perda de cobertura, carga densa no canal, sobrecarga na verificação de certificados, erros de relógio, divergência na versão do mapa, objetos duplicados, repetição, inundações com formato válido e malformado e a transição entre comportamento conectado e desconectado.

O PDR de rádio não é o resultado final de segurança. Meça a prevenção de colisões, o TTC mínimo, avisos perdidos e incômodos, manobras bruscas induzidas, sucesso na degradação e risco não intencional para o tráfego subsequente ou adjacente. O plano de implantação do Departamento de Transportes dos EUA para 2024 trata a interoperabilidade, a segurança, a privacidade e a proteção como condições de implantação, e não como adições opcionais.

Sequência de implementação reproduzível

1. Sincronize as medições do GNSS/IMU e do barramento do veículo com um relógio rastreável.

2. Anexe o carimbo de data/hora da fonte, o quadro, a precisão, o estado, o certificado de pseudônimo e a assinatura.

3. Valide a sintaxe, a assinatura, a janela de tempo, a plausibilidade geográfica e a cinemática na recepção.

4. Transforme em um quadro de mapa e resolva trajetórias duplicadas e fontes correlacionadas.

5. Funda somente quando a qualidade atender ao contrato do aplicativo; mantenha uma alternativa somente a bordo.

6. Registre perdas, dados obsoletos, rejeição de segurança, sobrecarga de computação, degradação e recuperação.

Progresso desde a simulação de software até HIL, cenários de rádio em circuito fechado e implantação controlada em campo. Um link pode passar em todos os testes de RF enquanto uma convenção de eixo incorreta coloca um objeto atravessando a linha central.

Resumo

V2X não é simplesmente "colocar 5G em um carro". É uma afirmação distribuída sobre quem observou o quê, quando, em qual quadro, com qual incerteza e como um receptor pode usá-lo com segurança. Selecione caminhos diretos e de rede por prazo, meça o comportamento da cauda e a idade da informação, verifique a consistência criptográfica e física e preserve o comportamento seguro sem conectividade. Se bem feita, a conectividade revela perigos ocultos e compartilha a intenção da estrada. Se mal feita, distribui coordenadas plausivelmente desatualizadas na velocidade do rádio.

Referências

• US DOT — Salvando Vidas com Conectividade: Plano Nacional de Implantação V2X
• 3GPP — Tecnologias de comunicação veículo-para-tudo
• ETSI — Sistemas Inteligentes de Transporte Automotivo
• Consórcio de Comunicação Carro a Carro
• NHTSA — Segurança Cibernética Veicular
• UNECE — Regulamento nº 155 da ONU: Segurança cibernética e sistema de gestão de segurança cibernética