Transmisión segura de datos en vehículos interconectados: la columna vertebral de la movilidad moderna

Los vehículos modernos se han desarrollado hasta convertirse en sistemas interconectados de alta tecnología. Especialmente en la conducción autónoma se producen grandes cantidades de datos que tienen que transferirse en tiempo real. La transmisión segura de estos flujos de datos es decisiva, ya que un fallo o un error en la comunicación de los datos puede tener consecuencias graves en las situaciones críticas para la seguridad. Para evitarlo, los fabricantes de automóviles y sus proveedores están invirtiendo de forma masiva en tecnologías de transmisión de datos. ¿Cuáles son y qué las hace tan seguras?

Volúmenes masivos de datos y aumento de los requisitos

Desde hace años, la cantidad de datos que se genera en el vehículo no para de crecer. Los sensores de los sistemas de asistencia a la conducción (Advanced Driver Assistance Systems, ADAS), desde las cámaras hasta el radar o el Lidar, generan un flujo de datos que llega al rango de Gigabit. Los prototipos actuales con conducción altamente automatizada ya alcanzan velocidades de transmisión en torno a los 5 Gbit/s (aprox. 625 MB/s). Las cámaras individuales de alta resolución pueden requerir anchos de banda de hasta 3,5 Gbit/s. Este enorme volumen de datos tiene que distribuirse por el vehículo sin retardo para que las unidades de control centrales («Vehicle Computer») puedan tomar las decisiones adecuadas en fracciones de segundo. Al mismo tiempo, las nuevas funciones requieren unas vías de transmisión de datos cada vez más fiables: la información urgente, como las órdenes de frenado o los avisos de colisión, no se puede perder ni llegar tarde bajo ningún concepto. Por eso, los requisitos clave para las redes de a bordo son: gran ancho de banda, fiabilidad/seguridad y baja latencia. Para cumplir estos requisitos, los vehículos modernos apuestan cada vez más por una red de a bordo unificada y basada en Ethernet. A diferencia de las redes heterogéneas que existían hasta ahora (CAN, LIN, FlexRay, MOST etc.), Ethernet ofrece escalabilidad y, gracias a las nuevas ampliaciones de protocolo, también cuenta con mecanismos para alcanzar las mejores latencias posibles y una alta tolerancia a los fallos. Algunos vehículos actuales cuentan con más de 150 unidades de control que intercambian datos. Sin una red potente, sería prácticamente imposible controlar esta enorme complejidad.

Cables de datos y conectores

Los cables de datos del vehículo son la columna vertebral de las arquitecturas de a bordo modernas. Hoy en día se utilizan predominantemente los cables de cobre trenzados, la mayoría de los cuales son Single Pair Ethernet (SPE). Los pares trenzados tienen la ventaja de que permiten reducir considerablemente las perturbaciones y el «crosstalk». Mediante la elección entre variantes con y sin blindaje, se puede implementar un concepto adecuado de compatibilidad electromagnética (CEM). En entornos con un alto nivel de interferencias (por ejemplo, cerca de motores eléctricos) se emplean a menudo cables trenzados blindados, mientras que en entornos más «tranquilos», los cables sin blindar permiten reducir el peso y los costes. También es importante la resistencia mecánica: los cables de los vehículos tienen que soportar vibraciones, cambios de temperatura y humedad a lo largo de muchos años, sin perder calidad de transmisión. Los conectores también son críticos: aquí se decide si las conexiones de datos permanecerán estables incluso si sufren sacudidas. Al contrario que en los edificios, donde los conectores RJ45 son los más habituales, la industria de la automoción apuesta por sistemas de conexión especiales y muy resistentes. Estos cuentan con uniones roscadas o sistemas de bloqueo para evitar de forma fiable una desconexión involuntaria en caso de vibraciones. Estos conectores de alto rendimiento cumplen todos los estándares habituales del sector automovilístico y pueden utilizarse con distintos tipos de cables (STP, UTP, etc.). Para las aplicaciones críticas para la seguridad (p. ej., las funciones de conducción autónoma) existen mecanismos de seguridad adicionales como el Connector Position Assurance (CPA), que impide que el conector se suelte inintencionadamente y tan solo se bloquea cuando la conexión se ha insertado por completo. Estas innovaciones de hardware de los proveedores hacen que las vías de transmisión de datos permanezcan estables incluso en entornos difíciles. De cara al futuro ya se está debatiendo sobre tecnologías de transmisión óptica de datos, que no solo son ideales para anchos de banda extremos, sino que también presentan una enorme compatibilidad electromagnética.

Protocolos, estándares y organizaciones 

Ethernet se ha establecido como «lenguaje» de comunicación de las redes del vehículo, ya que se ha adaptado a los requisitos específicos de la automoción. Al contrario que el Ethernet clásico de la oficina (con cuatro pares de hilos), en el vehículo se utiliza el Single Pair Ethernet (SPE), también denominado Automotive Ethernet. Esta versión de Ethernet funciona con solo un par de hilos trenzados, que ahorra espacio y reduce el peso, resultando idóneo para las limitaciones de espacio y las altas exigencias dentro del vehículo.

Los estándares desempeñan un papel fundamental: se encargan de que los componentes de diferentes fabricantes interactúen a la perfección, definen criterios de rendimiento y verificación vinculantes y permiten escalar de forma fiable las nuevas tecnologías a la producción a gran escala. Sin estándares reconocidos internacionalmente como los estándares IEEE o las especificaciones de prueba de la OPEN Alliance, apenas sería posible contar con una comunicación Ethernet segura e interoperable en el vehículo, sobre todo con los reducidos tiempos de ciclo y los elevados requisitos de calidad de los vehículos modernos. Por eso, para las empresas OEM y los proveedores, estos estándares son imprescindibles para minimizar los riesgos en el desarrollo, aprobar las certificaciones y asegurar las inversiones tecnológicas a largo plazo.

Además, estos estándares garantizan que los sistemas críticos como los asistentes de frenado de emergencia, las funciones de mantenimiento de carril o las decisiones de conducción autónoma puedan controlarse de forma fiable a través de canales de comunicación estandarizados y resistentes, lo que constituye un elemento fundamental para la seguridad funcional y la ausencia de fallos en arquitecturas de vehículos críticas para la seguridad.

Algunos estándares importantes son:

➔100BASE-T1 (IEEE 802.3bw) – 100 Mbit/s a través de un hilo doble de cobre. Desde hace algunos años se utiliza en los vehículos de serie, por ejemplo, para los datos de la cámara y el sensor.

➔1000BASE-T1 (IEEE 802.3bp) – 1 Gbit/s a través de un hilo doble de cobre. Sirve como backbone Gigabit en el vehículo, a través de la cual varias unidades de control (ECU) pueden comunicarse entre sí a alta velocidad. Gigabit Ethernet se utiliza hoy en día, por ejemplo, para las redes centrales de Infotainment y la fusión de sensores en los sistemas ADAS.

➔2,5/5/10GBASE-T1 (IEEE 802.3ch) – 2,5/5/10 Gbit/s a través de un hilo doble de cobre. Sirve como backbone Multigigabit en el vehículo, a través de la cual varias unidades de control (ECU) pueden comunicarse entre sí a alta velocidad.

➔10BASE-T1S (IEEE 802.3cg) – 10 Mbit/s a través de un hilo doble de cobre con capacidad de bus multidrop. Este estándar permite la conexión de varios sensores/actuadores a un cable común, con lo que se reduce el cableado y el peso. 10BASE-T1S es especialmente adecuado para sensores y actuadores simples en arquitecturas zonales, de modo que no sea necesario que cada pequeño nodo tenga su propio cable hacia el switch central.

Otra norma importante es la ISO 26262 (Seguridad Funcional): esta norma internacional regula la seguridad funcional de los sistemas eléctricos y electrónicos en vehículos de carretera y establece cómo se deben identificar, evaluar y minimizar los riesgos de forma sistemática. Los componentes de red para las funciones críticas para la seguridad tienen que clasificarse conforme a lo que se denominan niveles ASIL (Automotive Safety Integrity Levels), que van desde ASIL A (riesgo bajo) a ASIL D (máximo riesgo). NXP, un fabricante de semiconductores líder a nivel mundial, centrado especialmente en aplicaciones para automóviles, ofrece, por ejemplo, un transceptor 1000BASE-T1 conforme a ASIL-B, es decir, un transformador Ethernet para la comunicación Gigabit mediante un único hilo doble de cobre trenzado, que ha sido desarrollado específicamente para el uso en arquitecturas del vehículo críticas para la seguridad y soporta funciones ampliadas de diagnóstico y seguridad como la tolerancia de errores integrada y la supervisión de estado. Estos componentes son relevantes para la seguridad porque garantizan que los datos relevantes para la vida (como controlar la dirección, los frenos o evitar colisiones) puedan transmitirse de forma fiable incluso si se ha producido algún fallo. Una perfecta comunicación entre los sistemas es un requisito fundamental para detectar los fallos de funcionamiento y bloquear las rutas de fallo.

Redundancia y seguridad funcional

Una velocidad de transmisión de datos elevada no es suficiente: las redes también tienen que ser a prueba de fallos. Según ISO 26262, un error aislado no debe provocar la pérdida de una función crítica para la seguridad. Por eso, en la arquitectura E/E se utilizan conceptos de redundancia. Un concepto es la redundancia física: los sensores o actuadores críticos (p. ej., en el caso de Steer-by-Wire) se conectan con unidades de control mediante dos cables de datos independientes. Si una conexión falla, la segunda se hace cargo. Además también existen redundancias a nivel de protocolo, por ejemplo, mediante Frame Replication: cada paquete de datos crítico para la seguridad se transmite simultáneamente por dos rutas diferentes en la red (según lo definido en la norma IEEE 802.1CB de las Time-Sensitive Networking Extensions). El receptor utiliza el primer paquete libre de fallos y rechaza los duplicados. Time-Sensitive Networking (TSN) es una ampliación del estándar IEEE 802.1 para una transmisión de datos determinista y crítica en cuanto al tiempo, que permite una comunicación determinista con latencias muy bajas gracias a la sincronización temporal, la transmisión de datos controlada por tiempo y el control del flujo. Con ella pueden desarrollarse mediante Ethernet incluso las funciones de frenado y de dirección sin que se retrasen o se pierdan paquetes de datos, lo que conllevaría situaciones peligrosas.

Arquitectura zonal como modelo de futuro

Otra tendencia es la arquitectura E/E zonal. En lugar de muchos controladores de dominio repartidos (para el motor, el chasis, la carrocería, etc.), se apuesta por unos pocos ordenadores centrales de alto rendimiento y por las llamadas unidades de control zonal en las distintas zonas del vehículo (delante, detrás, izquierda y derecha). Estas unidades de control zonal agrupan los sensores y actuadores de su zona y se comunican con el ordenador central a través de potentes cables de datos. En este contexto, Automotive Ethernet es la tecnología clave para conectar las zonas con el ordenador central (a menudo denominada backbone Gigabit). Al mismo tiempo, dentro de la zona, un bus 10BASE-T1S simple interconecta los sensores y actuadores locales. Esta combinación no solo reduce considerablemente la longitud, la complejidad y el peso del cableado, dado que cada sensor ya no necesita un cable propio para conectarse a la central, sino que la arquitectura zonal también aporta una importante contribución a la seguridad funcional: los errores locales, como un sensor defectuoso o un fallo de conexión, se limitan a la zona correspondiente y no tienen ninguna consecuencia en la red global del vehículo. La clara separación de las competencias dentro de las zonas permite un mejor diagnóstico y delimitación de los errores, y con ello, una respuesta más rápida ante las averías. Además, se puede implementar la redundancia de forma más específica, asegurando de manera dirigida las funciones críticas para la seguridad en varias zonas. Esta modularización garantiza que, en caso de fallo, el vehículo pueda controlarse y ponerse en estado seguro, lo cual supone un requisito fundamental en el contexto de la norma ISO 26262 y de la conducción autónoma.