Volkswagen a transformé le dispositif de contournement des émissions en un test de responsabilité de la gouvernance logicielle

Résumé

• Le déclencheur technique confirmé était un comportement de contrôle du moteur à double condition. Certains véhicules diesels ont reconnu des conditions associées aux tests d'émissions officiels et ont activé les contrôles d'émissions différemment par rapport à la conduite ordinaire. L'Agence américaine de protection de l'environnement indique que les véhicules concernés de 2,0 litres ont émis des oxydes d'azote jusqu'à 40 fois la norme applicable en fonctionnement normal. Le facteur exact variait selon le véhicule, le trajet, la génération du moteur et la juridiction; il ne s'agit pas d'un multiplicateur universel pour chaque voiture concernée.
• Le plaidoyer américain de Volkswagen AG fournit la chronologie interne la plus solide pour la conduite qu'elle admet. La société a admis une conspiration impliquant le développement de dispositifs de contournement et de fausses certifications répétées, l'obstruction à la justice et l'importation par de fausses déclarations. Cette disposition de l'entreprise n'est pas une condamnation de chaque employé ni une constatation que chaque membre du conseil connaissait les mêmes faits au même moment.
• La cause racine directe n'était pas un défaut de codage accidentel. Le logiciel a été utilisé pour concilier les objectifs de produit et d'émissions à la frontière de la certification tout en laissant un état de fonctionnement différent sur la route. Les facteurs contributifs comprenaient une autorité d'étalonnage concentrée, des contraintes de produit, une séparation faible entre la conception et les tests de conformité, la certification répétée d'un logiciel opaque, des échecs de remontée hiérarchique, des explications trompeuses aux régulateurs et une conservation inadéquate des dossiers.
• Les tests portables indépendants ont brisé la boucle de contrôle. Une étude de 2014 de l'Université de Virginie-Occidentale commandée par le Conseil international pour un transport propre a révélé de grandes différences d'oxydes d'azote entre la route et le laboratoire dans deux véhicules testés. La CARB et l'EPA ont répété les tests, rejeté des explications qui ne correspondaient pas aux preuves et conditionné l'approbation des véhicules des années-modèles ultérieures à la résolution de l'écart. La détection a réussi parce qu'une équipe externe a varié l'environnement d'exploitation plutôt que de répéter le cycle de laboratoire attendu.
• Les issues juridiques doivent rester séparées. Les admissions pénales américaines, les décrets de consentement du Clean Air Act, les ordonnances de la FTC pour les consommateurs, les jugements civils allemands, un plaidoyer de culpabilité canadien, une déclaration australienne fondée sur le consentement et l'interprétation juridique de l'Union européenne répondent à des questions différentes en vertu de lois différentes. Les règlements résolvent des réclamations sans nécessairement admettre chaque allégation, tandis que les règles ultérieures de conduite réelle et les interprétations judiciaires ultérieures ne doivent pas être traitées comme si elles étaient le test de certification initial.
• La remédiation a combiné le retrait des véhicules, les modifications d'émissions approuvées, l'indemnisation des consommateurs, l'atténuation environnementale, l'investissement dans les véhicules zéro émission, les pénalités civiles et un changement de conformité supervisé en externe. La FTC a signalé plus de 9,5 milliards de dollars remboursés aux consommateurs américains et des paiements associés à plus de 88 % des véhicules couverts. Il s'agit d'une preuve solide de réparation, mais ce n'est pas un dénominateur mondial de réparation ni une preuve que chaque véhicule modifié fonctionne de manière identique tout au long de sa durée de vie restante.
• Une clôture durable nécessite des preuves vérifiables par machine: logique d'étalonnage sous contrôle de version, approbateurs nommés, inventaire explicite des stratégies d'émissions auxiliaires, tests indépendants dans des conditions réelles randomisées, accès du régulateur aux configurations exécutables, télémétrie de parc ou échantillonnage statistique en usage, achèvement des réparations par cohorte de véhicules, remontée hiérarchique protégée et reporting au conseil lié aux exceptions techniques non résolues. Les décomptes de politiques et les périodes de surveillance achevées sont pertinents, mais le comportement observé est le contrôle final.

Le logiciel a rendu une représentation réglementaire exécutable

Un certificat d'émissions est une représentation de la façon dont un type de véhicule se comportera dans des conditions légalement spécifiées. Dans un groupe motopropulseur défini par logiciel, cette représentation est en partie exécutable. Les entrées des capteurs entrent dans une unité de contrôle moteur; les cartes d'étalonnage et la logique conditionnelle sélectionnent la recirculation des gaz d'échappement, l'injection de carburant, la pression de suralimentation, la régénération du piège à NOx pauvre, la réduction catalytique sélective et d'autres comportements de contrôle; les gaz d'échappement physiques sortent du pot d'échappement.

Si le code reconnaît l'environnement d'approbation et sélectionne un mode plus propre uniquement là, le fichier de certification et le produit sur route ne décrivent plus le même système.

L'explication actuelle de l'EPA concernant les violations de Volkswagen indique que le logiciel des véhicules Volkswagen, Audi et Porsche concernés détectait les tests d'émissions, activait les contrôles d'émissions complets pendant le test et réduisait leur efficacité en conduite normale. L'agence identifie jusqu'à 40 fois la norme pour certains véhicules de 2,0 litres et jusqu'à neuf fois pour certains véhicules de 3,0 litres. Ce sont des descriptions par l'agence des groupes américains concernés, et non une base pour attribuer un taux d'émissions unique aux onze millions de véhicules que Volkswagen a ensuite identifiés dans le monde.

La distinction entre une fonctionnalité logicielle et un dispositif de contournement est à la fois juridique et technique. Un moteur moderne doit faire varier les contrôles en fonction de la température, de la charge, de la vitesse et de la protection des composants. La conditionnalité est normale. L'échec de responsabilité apparaît lorsqu'une condition réduit l'efficacité du contrôle des émissions dans des circonstances raisonnablement attendues en usage ordinaire, n'est pas légalement divulguée ou justifiée, et permet une certification que le produit livré ne pourrait pas autrement soutenir.

L'acte interdit n'est donc pas l'optimisation en soi. C'est une optimisation non contrôlée ou illicite à travers une frontière où l'entreprise doit aux régulateurs et aux clients un compte rendu précis du comportement.

C'est pourquoi l'incident ne peut pas être réduit à quelques lignes de code malveillant. Le code a dû être spécifié, implémenté, étalonné, intégré, testé, mis en production, transporté à travers les années-modèles, inclus dans les véhicules de certification, entretenu sur le terrain et expliqué aux autorités. Chaque étape avait un propriétaire et une opportunité de contestation. Une analyse de la gouvernance logicielle se demande pourquoi ces portes ont renforcé la divergence au lieu de la révéler.

Le contrôle pratique était distribué, mais le fabricant détenait la frontière du système

Volkswagen AG contrôlait le programme produit de base, les objectifs moteur, la version logicielle, les ressources d'étalonnage et la représentation selon laquelle les véhicules respectaient les normes applicables. Les entités de marque et régionales reliaient ce produit à la certification locale et aux clients. Le personnel d'Audi a eu des rôles importants dans l'historique américain avoué de la logique à double mode, tandis que la société d'ingénierie externe IAV a également participé au travail sur le 2,0 litres. Le ministère de la Justice a ensuite annoncé le plaider coupable d'IAV et une résolution pénale de 35 millions de dollars.

La participation d'un fournisseur ou d'un sous-traitant ne transfère pas l'obligation du constructeur de certifier avec précision le véhicule intégré.

Les ingénieurs avaient un contrôle pratique direct sur les algorithmes, les cartes d'étalonnage, la reconnaissance des tests et l'implémentation. Les superviseurs contrôlaient les contraintes de conception, le personnel, les décisions techniques et l'approbation. Les équipes de sécurité des produits, d'environnement et de réglementation contrôlaient la remontée et la divulgation. Le personnel de certification contrôlait les demandes et les attestations. Le personnel juridique et d'archivage contrôlait la conservation une fois que l'enquête ou le litige devenait prévisible.

Les cadres supérieurs contrôlaient les objectifs, la résolution des conflits et la réponse aux preuves que le produit ne pouvait pas satisfaire la combinaison promise de performances et d'émissions. Le conseil de surveillance et le conseil de direction contrôlaient la gouvernance, le reporting des risques et les conséquences, même s'ils n'étaient pas censés examiner chaque table d'étalonnage.

Les régulateurs disposaient d'une couche de contrôle distincte. L'EPA et la CARB pouvaient définir les exigences de certification, demander des informations, effectuer des tests de confirmation et d'usage, retenir les certificats, ordonner des remèdes et appliquer les violations. Les autorités européennes de réception par type et les régulateurs d'autres pays opéraient sous des lois et des systèmes de test différents. Leur contrôle était conséquent mais incomplet: ils n'écrivaient pas le code de Volkswagen, n'observaient pas en continu les décisions internes et ne recevaient pas automatiquement chaque stratégie logicielle.

Les propriétaires contrôlaient s'ils présentaient ou non un véhicule pour une modification facultative ou acceptaient un rachat après la disponibilité des remèdes. Les concessionnaires effectuaient les modifications et documentaient les transactions. Aucun des deux groupes ne pouvait découvrir la logique de mode cachée avant la divulgation ni vérifier indépendamment l'ensemble d'un parc. La responsabilité ne devrait pas être attribuée en fonction de qui possédait finalement le véhicule. Elle devrait suivre l'autorité sur la condition cachée, la déclaration de certification et les preuves nécessaires pour contester les deux.

2006 à 2008: une contrainte produit devient une décision de gouvernance

Le plaidoyer américain avoué de Volkswagen et son exposé des faits décrivent le début du programme 2,0 litres. En 2006, les ingénieurs développaient un nouveau moteur diesel pour le marché américain avec des limites d'oxydes d'azote plus strictes. L'entreprise voulait un véhicule capable de respecter les règles d'émissions tout en préservant d'autres caractéristiques de conception, de coût et de performance.

Selon les faits avoués, les ingénieurs ne pouvaient pas atteindre la combinaison requise dans les contraintes imposées et ont utilisé un logiciel basé sur un concept à double mode d'Audi pour reconnaître le test et modifier le comportement des émissions.

C'est le premier point décisif de responsabilité. Une impossibilité technique dans une enveloppe de conception choisie peut produire quatre réponses légitimes: changer le matériel, assouplir les objectifs commerciaux, retarder le programme ou rechercher une voie réglementaire légale. Elle peut aussi être cachée en faisant passer le produit au test observable. L'option choisie n'est pas simplement une question d'ingénierie. C'est une décision d'allocation de capital et de gouvernance du produit, car le coût, le calendrier, le positionnement sur le marché et la conformité légale sont des exigences concurrentes.

L'exposé des faits indique que du personnel a soulevé des objections et que des superviseurs ont ordonné la poursuite. Il indique en outre que le logiciel a été installé de la première année modèle 2009 à l'année modèle 2016 dans les véhicules américains concernés de 2,0 litres. Parce que Volkswagen a stipulé que les faits de l'entreprise étaient vrais pour le plaidoyer, cette chronologie est un aveu de l'entreprise. Elle n'autorise pas une affirmation que chaque personne du développement moteur a participé, connaissait l'analyse juridique ou comprenait toutes les conséquences en aval.

Le compromis caché a également modifié l'assurance. Un test d'émissions conventionnel demande si un véhicule représentatif suit un cycle prescrit dans les limites. Une fois que le produit peut reconnaître le cycle, réussir le test devient une preuve que la reconnaissance fonctionne, et non une preuve de conformité en usage normal. Le contrôle doit alors monter d'un niveau: les examinateurs ont besoin d'accès à la logique conditionnelle, de tests qui varient les hypothèses cachées et d'une indépendance organisationnelle par rapport à l'équipe qui essaie d'atteindre les objectifs du programme.

Aucun de ces contrôles n'était assez fort pour arrêter la production.

2009 à 2012: la certification se répète tandis que le logiciel reste opaque

Pour chaque année modèle, les constructeurs cherchant des certificats de conformité américains devaient décrire les systèmes de contrôle des émissions pertinents et démontrer leur conformité. Les véhicules Volkswagen ont réussi les tests en laboratoire et sont entrés sur le marché sous une proposition de « diesel propre ». Le comportement double du code rendait ce succès répété trompeur: le véhicule de certification se comportait proprement dans le test attendu tandis que les contrôles en usage ordinaire étaient moins efficaces. La répétition augmentait l'ampleur du problème mais pouvait aussi créer une fausse confiance.

Chaque certificat antérieur semblait valider la demande suivante.

Le plaidoyer américain est important car il a résolu plus qu'une violation technique. Le 10 mars 2017, Volkswagen a plaidé coupable de trois chefs d'accusation: conspiration pour frauder les États-Unis, commettre une fraude électronique et violer le Clean Air Act; obstruction à la justice; et importation par de fausses déclarations. L'entreprise a ainsi accepté une responsabilité pénale pour des représentations répétées et une dissimulation, et pas seulement pour une non-conformité logicielle isolée.

Les contrôles de certification ont échoué à plusieurs niveaux. Les inventaires logiciels n'ont pas produit d'explication suffisante pour exposer le changement de mode. Les tests de conformité étaient assez prévisibles pour être reconnus. Les défis d'ingénierie indépendants n'ont pas forcé des tests routiers dans des conditions randomisées. Le visa de certification n'exigeait pas d'assurance négative de la part des propriétaires du logiciel qu'aucune stratégie de reconnaissance de test non divulguée n'existait. La direction n'a pas résolu la contrainte initiale en modifiant le programme.

Le marketing a ajouté une seconde représentation. Un certificat répond à un test légal d'un régulateur; la publicité dit aux clients ce que le produit signifie dans la vie quotidienne. La Federal Trade Commission a ensuite allégué que les affirmations environnementales et de faibles émissions avaient trompé les acheteurs. Le dossier de l'affaire Volkswagen de la FTC contient les plaintes, les ordonnances et les pièces justificatives. Les ordonnances de règlement ont résolu les réclamations des consommateurs et imposé une réparation sans transformer chaque publicité vue par chaque acheteur en une constatation jugée individuellement.

2012 à début 2014: des défaillances matérielles révèlent l'état caché, puis incitent à un meilleur déguisement

Les exceptions logicielles laissent souvent des traces physiques. Selon l'exposé des faits avoué de Volkswagen, certains véhicules de 2,0 litres ont connu des défaillances matérielles du système d'échappement vers 2012. Les ingénieurs pensaient que certains véhicules restaient dans le mode plus propre du dynamomètre lors de l'usage routier, exerçant une contrainte supplémentaire sur des composants qui n'avaient pas été conçus pour fonctionner ainsi en continu. L'anomalie a donc révélé que le produit contenait un état dont le fonctionnement routier de longue durée était en dehors de sa conception prévue.

Une réunion de juillet 2012 a porté le dispositif de contournement et l'explication de la défaillance matérielle à l'attention du personnel supérieur identifié dans le dossier du plaidoyer. Le récit avoué indique qu'une dissimulation supplémentaire a été encouragée. Les ingénieurs ont ensuite amélioré la reconnaissance du test en commençant en mode route et en basculant après avoir identifié les conditions du dynamomètre, notamment par la reconnaissance de l'angle du volant. Les véhicules existants ont reçu des mises à jour logicielles. Ce n'était pas une remédiation au sens de la conformité.

Cela réduisait le risque que le mode caché reste actif accidentellement tout en préservant la tromperie réglementaire.

Cet épisode est crucial pour l'analyse des causes racines. Le système a détecté une conséquence adverse de son propre comportement caché. Un processus responsable aurait ouvert un incident de conformité, conservé le logiciel concerné, identifié chaque véhicule et certificat l'utilisant, testé les émissions sur route ordinaire, notifié les fonctions juridiques et réglementaires indépendantes et arrêté toute nouvelle diffusion. Au lieu de cela, le retour d'information a été utilisé pour améliorer la détection de l'état. Le signal de surveillance est devenu une entrée pour l'optimisation de l'échec de contrôle.

Cela ne signifie pas que chaque mise à jour de service de la période était inappropriée, ni que chaque défaillance matérielle prouvait le fonctionnement d'un dispositif de contournement. Le fait confirmé est l'aveu de l'entreprise concernant les défaillances particulières et la réponse décrites dans le plaidoyer. L'inférence institutionnelle étayée est que la gestion des modifications logicielles était alignée sur la continuité du produit plutôt que sur la conformité indépendante. Une affirmation plus forte sur l'intention de chaque ingénieur dépasserait le dossier.

Mai 2014: les tests routiers indépendants changent le système observable

Le signal externe décisif est venu d'une petite étude conçue pour comparer le comportement en laboratoire et sur route. Le Conseil international pour un transport propre a chargé le Centre pour les carburants alternatifs, les moteurs et les émissions de l'Université de Virginie-Occidentale de tester trois véhicules diesel légers certifiés aux États-Unis avec un équipement de mesure des émissions portable. Le rapport du 30 mai 2014 décrit des itinéraires prédéfinis (autoroute, urbain, suburbain et rural), un trajet prolongé et des travaux sur dynamomètre dans les installations de la CARB à El Monte.

Deux véhicules ont montré des excès importants d'oxydes d'azote sur la route tout en respectant la norme sur le cycle de certification en laboratoire. Le rapport décrit des facteurs de 15 à 35 pour le véhicule à piège à NOx pauvre et de 5 à 20 pour un véhicule à réduction catalytique sélective sur les itinéraires prédéfinis; un troisième véhicule se comportait généralement au niveau ou en dessous de la norme. L'étude n'a pas identifié de dispositif de contournement, attribué de culpabilité ou estimé de préjudice mondial.

Sa force probante venait du schéma: les émissions élevées sur route n'étaient pas inévitables pour chaque technologie diesel, et les deux émetteurs élevés se comportaient différemment sur le cycle de laboratoire connu.

Les chercheurs externes ont réussi parce qu'ils ont modifié l'environnement. L'équipement portable a fait de la route réelle une partie du test. De multiples itinéraires variaient la vitesse, la charge et le terrain. Un véhicule de comparaison a montré que la méthode de mesure pouvait observer un comportement conforme. L'étude a donc remis en cause l'hypothèse selon laquelle un résultat de laboratoire réussi était un indicateur adéquat de l'usage ordinaire.

L'échantillon limité est à la fois une caractéristique et une limite. Trois véhicules ne peuvent pas estimer une distribution mondiale de parc. Ils peuvent cependant générer une hypothèse suffisamment sérieuse pour nécessiter un suivi du régulateur. La gestion des risques devrait distinguer la sensibilité de détection de la quantification finale. Un outlier crédible peut justifier une enquête bien avant de soutenir une estimation de population.

2014 à septembre 2015: la persistance des régulateurs transforme l'écart en divulgation

La CARB et l'EPA ont suivi les résultats des tests routiers avec leurs propres travaux et échanges d'informations. Volkswagen a proposé des explications techniques et mené un rappel volontaire aux États-Unis annoncé fin 2014. Une mise à jour logicielle a été présentée comme solution à l'écart d'émissions. La CARB a testé les véhicules modifiés et a continué à observer des excès d'oxydes d'azote. L'explication et le remède proposés ne correspondaient pas au résultat.

La lettre de conformité en usage du 18 septembre 2015 de la CARB reconstitue cette séquence: réception de l'étude en usage, tests de confirmation, discussions sur les causes techniques, le rappel et l'évaluation post-rappel. Elle indique que Volkswagen a divulgué l'existence et le fonctionnement d'un second étalonnage en septembre 2015 après que la CARB et l'EPA ont clairement indiqué que la certification des véhicules diesel de l'année modèle 2016 ne serait pas délivrée sans une explication adéquate.

L'avis de violation de l'EPA pour les véhicules de 2,0 litres a allégué que les véhicules diesel Volkswagen et Audi des années modèles 2009 à 2015 contenaient un logiciel qui détectait les conditions de test et réduisait l'efficacité du contrôle des émissions en conduite normale. Au stade de l'avis, il s'agissait d'allégations réglementaires. Le plaidoyer de culpabilité ultérieur de Volkswagen et les faits avoués ont confirmé la conduite centrale aux États-Unis, tandis que les décrets de consentement ont résolu les réclamations civiles.

La chronologie montre à quoi ressemble un défi efficace. Les régulateurs n'ont pas accepté un correctif logiciel plausible simplement parce qu'un rappel avait été annoncé. Ils ont mesuré la sortie après le correctif, conservé l'écart non résolu et lié la divulgation à une approbation critique pour l'activité. Le contrôle de détection n'a fonctionné que lorsque les preuves, l'autorité et une date limite ont convergé. Une divulgation plus précoce aurait réduit la durée des émissions excédentaires; un régulateur moins persistant aurait pu certifier une autre année modèle.

Septembre à novembre 2015: l'événement visible s'étend à tous les moteurs et frontières

Le 18 septembre 2015, l'EPA et la CARB ont annoncé publiquement la violation des 2,0 litres. L'annonce conjointe de la CARB avec l'EPA a décrit environ 482 000 voitures particulières américaines dans l'avis initial et a souligné que les véhicules restaient légaux à conduire à ce stade. Le déclencheur public a produit des changements de direction, des arrêts de vente, des enquêtes et un élargissement rapide du périmètre.

La communication ad hoc du 22 septembre de Volkswagen indiquait que des écarts notables entre les tests et la route avaient été constatés dans les moteurs de type EA 189 et qu'environ onze millions de véhicules dans le monde étaient concernés. Le rapport annuel 2015 de l'entreprise ventile cette population par taille de moteur, marque et région et enregistre les provisions, rappels, litiges et incertitudes. C'est une preuve primaire de ce que Volkswagen a déclaré, et non une vérification indépendante de chaque estimation ou conséquence juridique.

L'EPA a émis un avis distinct le 2 novembre concernant certains véhicules Volkswagen, Audi et Porsche de 3,0 litres. L'agence indique que les responsables de Volkswagen l'ont ensuite informée que le dispositif de contournement pertinent existait dans tous les modèles diesel américains de 3,0 litres depuis 2009. Les systèmes, populations et remèdes des 2,0 litres et 3,0 litres n'étaient pas identiques. Ils ne doivent pas être fondus en une seule version logicielle ou un seul facteur d'émissions.

Le chiffre mondial avait également une signification différente de la population d'exécution américaine. Environ onze millions se référaient principalement au logiciel de gestion moteur EA 189 dans le monde. Environ 590 000 dans les résolutions américaines ultérieures comprenaient les véhicules couverts de 2,0 et 3,0 litres sous les normes américaines. Différentes juridictions avaient des procédures de certification, des limites d'émissions, des définitions juridiques, des pouvoirs de rappel et des remèdes pour les consommateurs différents. L'ampleur est confirmée; l'uniformité juridique ne l'est pas.

Déclencheur, cause racine directe et facteurs contributifs doivent rester séparés

Le déclencheur était la divergence publiquement confirmée entre le comportement certifié en laboratoire et les émissions sur route ordinaire, finalement attribuée à un logiciel de reconnaissance de test. La cause racine technique directe était une stratégie de contrôle moteur qui sélectionnait un étalonnage à faibles émissions pour les tests officiels et un état moins efficace en dehors. La cause racine de gouvernance directe était l'autorisation de cette stratégie comme moyen de livrer un produit dont les contraintes choisies ne pouvaient autrement satisfaire aux exigences d'émissions américaines applicables.

Plusieurs facteurs ont contribué sans remplacer la cause racine. Les objectifs produit contraignaient les choix matériels et d'étalonnage. L'autorité logicielle était concentrée parmi des équipes responsables de la livraison. Le personnel de conformité manquait d'indépendance démontrable par rapport à la conception. Les tests d'approbation étaient prévisibles. La certification reposait sur des déclarations qui n'exposaient pas les conditions exécutables. Le succès répété au même type de test a créé une dette d'assurance. Les défaillances matérielles ont été traitées comme une raison d'affiner la reconnaissance de mode.

La remontée hiérarchique n'a pas forcé de résolution légale. Les explications et une mise à jour de rappel ont consommé du temps des régulateurs sans éliminer l'écart. Des dossiers ont ensuite été détruits, produisant le chef d'obstruction dans le plaidoyer de l'entreprise.

La culture est souvent invoquée, mais elle doit être traduite en contrôles. Une explication par la « pression » n'a de sens que si les objectifs, les évaluations de performance ou les droits de décision rendaient les alternatives légales pratiquement indisponibles. Un « silo » n'a de sens que si aucun propriétaire n'avait à concilier les données d'étalonnage, de durabilité, de certification et de test routier. Une faiblesse de « prise de parole » n'a de sens que si les objections pouvaient être rejetées sans examen indépendant traçable. Ce sont des propositions testables.

Les preuves ne soutiennent pas l'affirmation que chaque employé de Volkswagen a accepté la tromperie ou que la technologie diesel elle-même exigeait la tricherie. Le véhicule de comparaison dans les travaux de l'Université de Virginie-Occidentale est une raison de rejeter l'inévitabilité technologique. Le dossier ne prouve pas non plus qu'un système réglementaire national a causé la conduite. Des tests prévisibles ont créé une opportunité, mais le constructeur restait responsable d'une certification précise et d'un comportement en usage normal conforme.

La détection a réussi en dehors du test attendu et a échoué à l'intérieur de l'entreprise

La détection interne avait plusieurs opportunités. La revue de code aurait pu identifier la reconnaissance de test. La comparaison d'étalonnage aurait pu montrer deux états d'émissions matériellement différents. Les tests routiers randomisés auraient pu reproduire les excès d'oxydes d'azote. L'analyse de durabilité matérielle aurait pu exposer pourquoi l'état plus propre ne pouvait pas persister. La revue de certification aurait pu exiger un inventaire complet des stratégies auxiliaires. Les objections des employés auraient pu déclencher un arrêt indépendant. Aucun n'a mis fin au programme.

La détection externe a combiné la mesure portable, les tests comparatifs, les laboratoires des régulateurs et le levier de la certification. L'équipe de l'Université de Virginie-Occidentale n'avait pas besoin d'accéder au code source pour établir que le produit se comportait différemment. La CARB n'avait pas besoin de prouver l'intention individuelle avant d'insister sur le fait que le véhicule post-rappel ne correspondait toujours pas à l'explication. L'EPA n'avait pas besoin d'une estimation mondiale du parc avant d'émettre un avis américain.

Cette séquence suggère une hiérarchie d'assurance. Premièrement, les tests boîte noire devraient varier les itinéraires, les températures, les démarrages, la direction, l'accélération et l'ordre des tests. Deuxièmement, la revue boîte blanche devrait énumérer chaque entrée capable de modifier l'efficacité du contrôle des émissions. Troisièmement, les hachages binaires et d'étalonnage devraient lier l'artefact examiné au véhicule de production. Quatrièmement, la surveillance en usage devrait tester les véhicules vieillissants et les mises à jour de service.

Cinquièmement, une fonction indépendante devrait enquêter sur les écarts sans avoir besoin de l'autorisation du programme produit.

Les preuves de détection devraient aussi préserver les décisions négatives. Si une stratégie est jugée légale parce qu'elle protège le moteur, le dossier devrait indiquer le danger immédiat, l'enveloppe de fonctionnement, les conceptions alternatives envisagées et pourquoi l'exception n'est pas plus large que nécessaire. L'interprétation ultérieure de la Cour de justice confirme l'importance d'exceptions étroites, mais le principe de gouvernance est plus général: la conditionnalité non documentée est un passif de conformité non tarifé.

La réponse a arrêté les ventes et créé des remèdes, mais la réparation exigeait des preuves différentes

La réponse initiale comprenait la divulgation publique, les changements de direction, les actions de cessation de vente, le retrait ou le report des demandes de certification, les enquêtes techniques et la planification des rappels. Ces actions ont réduit l'exposition supplémentaire mais n'ont pas réparé la population installée ni indemnisé les propriétaires. Les preuves de réponse répondent si l'entreprise a contenu un événement en cours. Les preuves de réparation répondent si les véhicules, les personnes et les dommages environnementaux ont été traités.

Aux États-Unis, la réparation a été divisée par génération de moteur car une solution technique unique ne pouvait pas être assumée de manière responsable. Le dossier de règlement civil de l'EPA décrit le retrait du commerce ou des objectifs de modification approuvés d'au moins 85 %, des objectifs séparés pour la Californie, des conséquences financières en cas de non-respect des objectifs, des programmes pour les consommateurs, un fonds d'atténuation de 2,7 milliards de dollars plus 225 millions pour les véhicules de 3,0 litres, 2 milliards de dollars d'investissement dans les véhicules zéro émission et une pénalité civile de 1,45 milliard de dollars au titre du Clean Air Act dans le cadre du troisième règlement partiel.

La collection de décrets de consentement approuvée par le tribunal est la source de contrôle pour les obligations détaillées. Les décrets de consentement résolvent les réclamations civiles selon des conditions négociées. Ce sont des ordonnances judiciaires, mais leur entrée ne signifie pas que chaque allégation a été jugée. Ils combinent délibérément différentes mesures: le remède au niveau du véhicule réduit les émissions excédentaires futures, l'indemnisation traite de la perte du consommateur, l'atténuation substitue des réductions d'autres sources à la pollution déjà émise, et les pénalités punissent et dissuadent.

Aucune mesure ne peut se substituer aux autres. Un rachat retire un véhicule mais n'indemnise pas en soi une communauté pour la pollution passée. Une modification logicielle peut réduire les émissions mais peut altérer l'entretien ou les performances et nécessite des tests de durabilité. Un paiement indemnise un propriétaire mais n'établit pas de restauration environnementale. Une réforme de la gouvernance réduit le risque de récidive mais ne répare pas un moteur. La responsabilité exige des preuves d'achèvement séparées pour chaque obligation.

La réparation des consommateurs était mesurable et inhabituellement complète dans son périmètre américain

Les ordonnances de la FTC donnaient aux propriétaires et preneurs américains éligibles des choix qui variaient selon la génération du moteur et la disponibilité des réparations. Pour de nombreux véhicules de 2,0 litres, les propriétaires pouvaient accepter un rachat ou conserver le véhicule et recevoir une modification approuvée plus une indemnisation. Certaines générations de 3,0 litres avaient des voies de réparation conformes; les véhicules plus anciens pouvaient être rachetés si une modification adéquate n'était pas disponible.

Les règles de prêt, de location, d'accès rural et d'administration des réclamations traitaient des obstacles pratiques.

Le rapport de situation final de la FTC de 2020 indique que les défendeurs ont remboursé aux consommateurs plus de 9,5 milliards de dollars, effectué des paiements associés à plus de 88 % des véhicules « Clean Diesel » couverts et que 86,2 % des consommateurs éligibles qui ont terminé le processus et choisi un remède ont opté pour un rachat ou une résiliation anticipée de location. Le rapport crédite également la précision et la rapidité de l'administration, basées en grande partie sur des données analysées par le superviseur des réclamations indépendant.

Ces résultats sont des preuves solides qu'un mécanisme de réparation de grande envergure a fonctionné. Leur portée doit être préservée. Le chiffre de 9,5 milliards de dollars exclut plus de 300 millions de dollars payés par Bosch, selon le rapport. Le taux de paiement n'est pas le même qu'un taux de réparation car rachats, résiliations de location et modifications sont des résultats différents. Le rapport concerne les ordonnances américaines, pas les indemnisations dans chaque pays. La participation ne prouve pas non plus l'absence de litiges individuels.

L'approbation par le tribunal fédéral de l'ordonnance FTC pour les 2,0 litres en 2016 a fait passer le programme d'une mesure proposée à un processus exécutoire. Cette distinction procédurale est importante. Un montant de règlement en titre représente une obligation maximale ou structurée; le rapport final enregistre les résultats réels du programme. Les deux sont nécessaires pour évaluer la conception et l'exécution.

La réparation technique devait être approuvée par génération, non supposée à partir de l'intention

Une modification des émissions est elle-même un logiciel pertinent pour la sécurité et la conformité. Elle doit supprimer la logique interdite, réduire les oxydes d'azote sur l'ensemble du fonctionnement réel, maintenir les diagnostics embarqués, protéger le matériel et divulguer les effets sur la consommation de carburant, les performances, la fiabilité et l'entretien. Traiter le correctif comme un patch qui supprime simplement une condition répéterait l'erreur de gouvernance initiale.

L'EPA et la CARB ont approuvé les modifications par étapes. Leur approbation de janvier 2017 pour les véhicules de 2,0 litres de génération 3 de l'année modèle 2015 exigeait des travaux logiciels et matériels, avec une phase logicielle initiale suivie d'un logiciel supplémentaire et du remplacement de composants d'émissions. Une lettre d'approbation ultérieure d'avril 2018 documente l'approbation d'une autre partie de ce remède.

Les régulateurs n'ont pas approuvé chaque proposition. Le désaveu partiel de novembre 2017 de l'EPA pour certaines modifications de l'unité de contrôle de la transmission des véhicules de génération 1 de 2,0 litres démontre que la réparation conservait une porte d'approbation. Un composant rejeté d'une modification proposée n'est pas la preuve que tous les remèdes ont échoué. C'est la preuve que le régulateur a testé la proposition par rapport aux critères de règlement plutôt que de traiter la soumission de Volkswagen comme suffisante.

La durabilité reste une question distincte. L'approbation est basée sur des tests spécifiés, des soumissions techniques et des garanties. L'achèvement est basé sur les dossiers des véhicules. L'efficacité à long terme nécessite des données en usage après kilométrage, vieillissement, entretien et climats divers. Les dossiers de règlement publics fournissent des preuves significatives des conceptions approuvées et de l'exécution du programme, mais ils n'exposent pas un ensemble de données actuel, harmonisé mondialement pour chaque véhicule concerné et chaque résultat d'émissions post-modification.

Le remède environnemental reconnaissait que la réparation des consommateurs ne pouvait pas inverser les émissions passées

Les oxydes d'azote contribuent au dioxyde d'azote, à l'ozone troposphérique et aux particules. L'EPA lie l'exposition à l'aggravation de l'asthme et d'autres effets respiratoires et cardiovasculaires, avec des risques accrus pour les enfants, les personnes âgées, les travailleurs en extérieur et les personnes souffrant de maladies cardiaques ou pulmonaires. Un résultat de santé spécifique ne peut pas être attribué à un seul véhicule sans analyse d'exposition et de causalité, mais les émissions excédentaires à l'échelle du parc créent un fardeau environnemental au niveau de la population.

Les décrets de consentement américains ont donc financé une atténuation au-delà des véhicules concernés. Les fiducies permettent aux États, territoires, au district de Columbia et aux tribus éligibles de remplacer ou de rééquiper les sources diesel lourdes, les bus, les locomotives, les équipements marins et d'autres sources éligibles. Cette conception reconnaît une limite fondamentale de réparation: les émissions déjà émises ne peuvent pas être rappelées. Des réductions équivalentes ou supérieures doivent être créées ailleurs dans le cadre de projets vérifiables.

Le financement de l'atténuation n'est pas une preuve auto-exécutoire de bénéfice environnemental. Les bénéficiaires doivent sélectionner des projets, documenter les dépenses éligibles, remplacer ou détruire les anciens équipements le cas échéant et rapporter les résultats. Les réductions modélisées dépendent de l'utilisation de base du moteur, de la technologie de remplacement, de la durée de vie du projet et de la lutte contre le double comptage. Le montant du règlement est confirmé; le tonnage réalisé est un résultat du programme nécessitant des preuves du bénéficiaire et du fiduciaire.

L'investissement dans les véhicules zéro émission a une logique différente. Il soutient l'infrastructure, l'accès et la sensibilisation pour traiter l'impact sur le marché de consommateurs ayant acheté des véhicules qu'ils croyaient à faibles émissions. Il ne doit pas être ajouté aux dépenses d'atténuation et décrit comme un total de réduction de la pollution. Les investissements ultérieurs dans les véhicules électriques ne doivent pas non plus être traités comme la preuve que les contrôles logiciels d'origine ont été réparés. L'un est un remède de marché et de technologie; l'autre est un contrôle de conformité du produit.

Carte de contrôle des responsabilités: l'autorité doit être liée aux preuves et à un droit d'arrêt

La carte de contrôle de l'incident n'est utile que si elle identifie l'autorité pratique, et non seulement les titres organisationnels.

Chaque ligne a besoin d'un droit d'arrêt. Un examinateur qui peut commenter mais ne peut pas retarder la publication n'est pas un contrôle indépendant. Un agent de liaison avec le régulateur qui dépend de l'équipe produit pour la seule explication ne peut pas fournir d'assurance négative. Un conseil qui ne reçoit que des provisions juridiques agrégées ne peut pas voir si une exception technique reste non résolue. Le contrôle doit préciser qui peut arrêter la certification, quelles preuves déclenchent l'arrêt, comment il est levé et qui examine une dérogation.

Les issues pénales, civiles, réglementaires et privées répondent à des questions différentes

Volkswagen a été condamné par un tribunal fédéral le 21 avril 2017 après son plaidoyer de culpabilité. Le tribunal a accepté une peine pénale de 2,8 milliards de dollars, trois ans de probation et un contrôleur de conformité d'entreprise indépendant. Il s'agit d'une décision judiciaire sur la responsabilité pénale de l'entreprise. Elle n'établit pas de culpabilité pénale pour les personnes simplement poursuivies, et elle ne décide pas de dommages civils pour chaque propriétaire.

Les résolutions civiles traitaient de différentes lois et mesures. Les décrets du Clean Air Act concernaient les véhicules, l'atténuation environnementale, les pénalités et les contrôles préventifs. Les ordonnances de la FTC traitaient du marketing prétendument trompeur et de la perte des consommateurs. Les réclamations douanières et financières faisaient partie de la résolution plus large de 2017. Les règlements privés de recours collectifs ont été coordonnés avec les ordonnances publiques.

Un chiffre d'un instrument ne doit pas être combiné avec un autre sans vérifier les chevauchements, les montants maximums par rapport aux montants payés et la portée géographique.

Les résultats individuels nécessitent également des étiquettes précises. Deux anciens employés de Volkswagen ont plaidé coupable et ont été condamnés aux États-Unis; d'autres personnes ont été poursuivies ou mises en accusation. Une mise en accusation est une allégation et comporte une présomption d'innocence sauf si elle est résolue par une condamnation. La responsabilité de l'entreprise peut être établie même si l'extradition, les preuves ou des normes juridiques distinctes laissent des affaires individuelles non résolues.

La résolution américaine est exceptionnellement solide parce que Volkswagen a admis un exposé détaillé des faits. Elle est néanmoins spécifique à une juridiction. Le document encadre expressément les termes juridiques et les normes d'émissions en vertu du droit américain. Il ne doit pas être utilisé comme une constatation automatique de responsabilité en vertu du droit pénal, administratif, de la consommation ou des valeurs mobilières de chaque pays.

La responsabilité mondiale a divergé car le droit, la procédure et les mesures correctives n'étaient pas uniformes

Le Canada fournit un résultat pénal distinct. Le Registre des contrevenants environnementaux du Canada indique que Volkswagen AG a plaidé coupable à 58 chefs d'accusation concernant l'importation illicite de véhicules non conformes aux normes d'émissions prescrites et a été condamnée en janvier 2020 à payer une amende de 196,5 millions de dollars canadiens. Cette décision est autoritaire pour les infractions canadiennes enregistrées; elle n'est pas un complément au chef américain ni un jugement mondial.

En Australie, la Cour fédérale a rendu des déclarations fondées sur le consentement selon lesquelles Volkswagen a enfreint le droit de la consommation en faisant de fausses déclarations sur la conformité. Le résumé officiel de l'affaire par la Commission australienne de la concurrence et de la consommation indique que le tribunal a imposé 125 millions de dollars australiens de pénalités et que Volkswagen a admis la non-divulgation d'un logiciel à deux modes lors de la demande d'approbation pour fournir et plus de 57 000 véhicules. Le contexte du consentement et la base juridique australienne doivent rester visibles.

Le droit civil allemand a produit un autre type de responsabilité. Dans une affaire diesel de 2020, la Cour fédérale de justice allemande a décrit un logiciel qui reconnaissait le banc d'essai et sélectionnait un comportement à faibles oxydes d'azote. Son résumé de décision du 30 juillet 2020 a renvoyé la demande de dommages-intérêts d'un acheteur pour un traitement ultérieur après un rejet antérieur. Il ne s'agissait pas d'une décision pénale concernant l'ensemble du groupe Volkswagen, et les résultats pour les acheteurs allemands dépendent du moment de la réclamation, du véhicule, des compensations d'usage et d'autres faits.

Le rapport sur les risques juridiques 2024 de Volkswagen montre pourquoi une clôture ne peut pas être déclarée mondialement. Il fait état de procédures en cours dans plusieurs pays, d'environ 0,6 milliard d'euros de provisions pour litiges et risques juridiques liés au diesel à la fin de l'année, et de 4,0 milliards d'euros de passifs éventuels divulgués, principalement des réclamations d'investisseurs. Ce sont des estimations comptables de l'entreprise en situation d'incertitude, et non des conclusions définitives sur les dommages.

Le droit européen illustre pourquoi les normes ultérieures ne peuvent pas être projetées en arrière

Le règlement européen 715/2007 interdisait déjà les dispositifs de contournement qui réduisaient l'efficacité du contrôle des émissions dans des conditions d'utilisation normale, sous réserve d'exceptions limitées. Le règlement officiel définissait un dispositif de contournement par des paramètres détectés et leur effet sur les contrôles des émissions. Ce texte juridique, applicable selon ses propres dates et sa propre portée, est le point de départ approprié pour l'analyse européenne.

En décembre 2020, la Cour de justice de l'Union européenne a interprété le règlement dans l'affaire C-693/18. L'arrêt a jugé, en substance, qu'un dispositif améliorant systématiquement les performances de contrôle des émissions lors des procédures d'approbation ne pouvait pas être justifié au seul motif qu'il empêchait le vieillissement ou le colmatage du moteur; l'exception de protection du moteur devait être interprétée strictement. Il s'agit d'une interprétation autorisée du droit de l'UE, mais la procédure de renvoi préjudiciel a répondu à des questions juridiques déférées plutôt que de calculer des dommages pour chaque propriétaire.

L'Union européenne a par la suite mis en œuvre des procédures de conduite réelle (Real Driving Emissions) utilisant des systèmes de mesure portables. Le règlement (UE) 2016/427 de la Commission décrit les exigences RDE et les règles d'application pour les nouvelles réceptions. Ces procédures ont amélioré l'environnement de test en rendant observable la conduite ordinaire. Elles ne doivent pas être décrites comme si elles étaient le cycle de certification initialement rencontré par Volkswagen, ni être utilisées pour revendiquer une violation rétroactive d'un protocole de mesure ultérieur.

La distinction correcte est plus étroite. La conduite originale est évaluée en vertu de la loi, des certifications et des déclarations applicables aux véhicules à l'époque. Les jugements ultérieurs peuvent interpréter de manière autorisée les dispositions existantes lorsqu'ils sont procéduralement pertinents. Les règles de test ultérieures démontrent une amélioration du contrôle et s'appliquent selon leurs dates d'entrée en vigueur. Garder ces catégories séparées évite à la fois la sous-responsabilité et l'exagération rétroactive.

Inférence étayée, questions non résolues et limites des allégations

Les faits confirmés comprennent les résultats des tests routiers de l'Université de Virginie-Occidentale, les actions de l'EPA et de la CARB, la divulgation d'environ onze millions de véhicules par Volkswagen, le plaidoyer de culpabilité américain et les faits avoués de l'entreprise, les ordonnances civiles déposées au tribunal, les paiements enregistrés aux consommateurs, les étapes de remède approuvées et rejetées, le plaidoyer canadien et les déclarations australiennes fondées sur le consentement. Les conclusions réglementaires et les décisions de justice sont attribuées à l'organisme qui les a prises.

L'inférence la plus fortement étayée est que le dispositif de contournement a persisté parce que la gouvernance logicielle, produit et conformité était alignée sur la réussite d'un processus d'approbation connu plutôt que sur la démonstration d'un comportement licite sur le fonctionnement normal. Cette inférence repose sur l'origine avouée, la certification répétée, le retour d'information matériel de 2012, l'affinement de 2014 et la séquence de divulgation de 2015. Elle n'exige pas de spéculation sur l'état d'esprit privé de chaque dirigeant principal.

Des questions non résolues subsistent. Le matériel public ne fournit pas une carte complète et non expurgée de qui a examiné chaque version logicielle dans chaque marque et juridiction. Il ne révèle pas tous les tests de surveillance internes ni chaque recommandation. Il n'établit pas un dénominateur mondial d'achèvement des réparations avec l'état d'immatriculation actuel. Il ne produit pas de résultat de santé directement mesuré pour chaque communauté. Il ne résout pas définitivement tous les litiges d'investisseurs et de consommateurs.

Les allégations des parties doivent rester étiquetées. Les accusations contre des personnes non condamnées restent des allégations. Les plaintes civiles énoncent des réclamations gouvernementales ou privées jusqu'à ce qu'elles soient admises, jugées ou réglées. La position du rapport annuel de Volkswagen sur la connaissance du conseil est une déclaration de l'entreprise sous contrôles d'information financière, et non une exonération indépendante. Inversement, un règlement sans aveu n'est pas la preuve que la conduite alléguée n'a pas eu lieu. La forme procédurale fait partie des preuves.

Les contrefactuels identifient des contrôles, pas une certitude d'histoire alternative

Le contrefactuel le plus ancien est technique et commercial. Si la direction produit avait répondu à la contrainte de 2006 en modifiant le matériel, le coût, les performances ou le calendrier de lancement, le programme américain aurait peut-être été conforme ou n'aurait peut-être pas été lancé sous la même forme. Le dossier soutient la faisabilité de ces choix de gouvernance en principe, mais il n'établit pas le produit exact, les ventes ou le résultat d'émissions d'une refonte légale.

Un deuxième contrefactuel concerne l'examen indépendant. Un inventaire du code nommant chaque condition qui modifiait le contrôle des émissions, associé à un examinateur en dehors du programme moteur et à un arrêt de publication, aurait probablement exposé le double mode avant la certification. Il s'agit d'un contrefactuel de prévention fort car le comportement était encodé et répété. Il ne peut toujours pas prouver que la direction aurait annulé le programme plutôt que de trouver une autre réponse.

Un troisième concerne les tests. Des tests routiers portables randomisés avant le lancement auraient pu observer la divergence laboratoire-route des années plus tôt. L'étude de 2014 démontre la capacité de détection, mais des véhicules, équipements et itinéraires plus anciens auraient pu produire des mesures différentes. L'affirmation défendable est une accélération de la détection, et non une date garantie.

Un quatrième concerne les défaillances matérielles de 2012. Traiter l'exploitation inattendue du mode propre comme un incident de conformité signalable aurait pu forcer un examen de la population de véhicules et une divulgation au régulateur. Cela aurait probablement raccourci la période de certification continue. Cela ne peut pas établir le nombre exact de véhicules, d'émissions ou de pertes pour les consommateurs évitées.

Un cinquième concerne la réponse de 2014. Une divulgation complète lorsque les régulateurs ont présenté pour la première fois les données routières, au lieu d'explications et d'un rappel qui n'ont pas résolu l'écart, aurait réduit le retard de l'enquête. Un confinement plus précoce aurait pu arrêter l'exposition supplémentaire des années modèles. Aucun contrefactuel ne peut calculer des résultats de santé exacts évités sans hypothèses sur l'activité du parc, la chimie atmosphérique, l'exposition et le moment de la remédiation.

La réforme de la gouvernance a été substantielle, mais la certification n'est pas une preuve permanente

Les résolutions pénales et civiles américaines ont imposé une supervision externe et des contrôles préventifs spécifiques. Le résumé du règlement de l'EPA indique que Volkswagen a dû séparer le personnel testant la conformité des émissions de celui concevant les véhicules, établir un comité de pilotage du Clean Air Act, améliorer la formation, créer des mécanismes de lanceur d'alerte et retenir un auditeur de conformité indépendant. Le plaidoyer pénal a ajouté un contrôleur sur la conformité antifraude et environnementale.

Volkswagen a annoncé la fin du contrôle en septembre 2020. Son dossier de fin de contrôle indique que le contrôleur indépendant a certifié que les entités couvertes avaient conçu et mis en œuvre un programme destiné à prévenir et détecter les violations antifraude et environnementales, avec des changements dans le développement technique, la gouvernance, la gestion des risques, la conformité et les fonctions juridiques. Porsche AG et Porsche Cars North America étaient hors de cette certification de contrôle, une limite de portée importante.

L'entreprise a également publié le résultat de l'audit civil final de l'auditeur de conformité indépendant. Le communiqué de juillet 2020 de Volkswagen indique que le rapport final n'a trouvé aucune nouvelle violation et que les entités examinées ont rempli leurs obligations en vertu des troisièmes décrets de consentement partiels. C'est plus fort qu'une auto-évaluation non étayée car cela rapporte la conclusion d'un auditeur indépendant sous ordonnance du tribunal. L'accès public et la portée sont encore limités par rapport à une archive de test reproductible complète.

Le matériel non public du contrôleur illustre la frontière de transparence. Un résumé ultérieur du ministère de la Justice du litige concernant la divulgation d'un rapport de contrôle mentionne des entretiens approfondis, des réunions, un examen des politiques, des recommandations et des observations, tout en traitant des expurgations légales. Le contrôle peut être indépendant et laisser néanmoins les outsiders incapables de rejouer ses preuves. L'achèvement prouve la satisfaction d'un terme défini, et non l'élimination permanente du risque.

Les preuves de réparation durable doivent tester le comportement, l'autorité et les résultats du parc

Un ensemble de clôture responsable contiendrait au moins six ensembles de preuves liés. Le premier est la provenance logicielle: commit source, environnement de construction, package d'étalonnage, signataire, relecteurs, hachage de production et un inventaire lisible par machine de chaque condition affectant les émissions. Le deuxième est le cadrage juridique: chaque stratégie liée à une exigence, une exception divulguée ou une approbation réglementaire.

Le troisième est la couverture des tests: cycles de laboratoire, cycles randomisés, itinéraires routiers, plages de température et d'altitude, vieillissement, comportement diagnostique et justification de l'échantillonnage statistique.

Le quatrième est le rétablissement du parc: population éligible originale par moteur, année modèle et région; rachats; mises à la casse; exportations; modifications approuvées; modifications échouées ou inversées; propriétaires inatteignables; immatriculations actuelles; et véhicules ouverts restants. Les pourcentages ont besoin de dénominateurs et de dates. Un véhicule payé dans le cadre d'un programme consommateur ne doit pas être automatiquement compté comme réparé. Un véhicule racheté ne doit pas être compté comme retiré tant que les règles de disposition ne sont pas satisfaites.

Le cinquième est la performance environnementale: oxydes d'azote mesurés avant et après modification, échecs de garantie, tests de véhicules vieillissants et réductions des projets de fiducie avec références. Les bénéfices modélisés doivent être distingués des résultats mesurés au pot d'échappement. Le sixième est le fonctionnement de la gouvernance: objections déposées, problèmes arrêtés, exceptions en retard, divulgations aux régulateurs, échecs de tests indépendants et examen du conseil.

Les décomptes doivent être normalisés par programmes et versions afin qu'une augmentation des rapports ne soit pas confondue avec une augmentation des fautes.

Ces enregistrements doivent être reliés par des identifiants stables. Une certification doit pointer vers le logiciel exécutable exact. Une modification en concession doit pointer vers le package approuvé. Un résultat de test doit identifier la configuration du véhicule et le kilométrage. Une exception légale doit pointer vers les chemins de code qu'elle couvre. Un tableau de bord du conseil doit exposer les stratégies à haut risque non résolues sans afficher uniquement une formation à la conformité agrégée. La traçabilité est la différence entre une politique et un contrôle.

La conclusion de responsabilité

Le dispositif de contournement de Volkswagen n'était pas simplement un cas de logiciel contournant un test de laboratoire. C'était un cas où une institution a permis à un test de laboratoire de définir la vérité qu'elle était prête à observer. Le code incarnait ce choix, mais les objectifs produit, l'autorité d'approbation, la certification répétée, les tests indépendants limités, l'échec de remontée hiérarchique et la divulgation tardive l'ont rendu durable. Les tests routiers externes ont réussi parce qu'ils ont changé les conditions de mesure de la vérité.

La responsabilité est donc en couches mais pas diffuse. Volkswagen AG porte la responsabilité d'entreprise établie par son plaidoyer de culpabilité et par les résolutions civiles et réglementaires. Les ingénieurs, superviseurs, gestionnaires, sous-traitants, entités régionales, conseils, régulateurs, concessionnaires et propriétaires avaient différentes formes de contrôle, mais ils n'avaient pas une connaissance ou une autorité égale. La responsabilité individuelle dépend du sort des cas individuels. La faiblesse réglementaire n'efface pas le devoir du constructeur.

La possession par le consommateur ne transfère pas la responsabilité du code caché.

Les preuves de réparation sont substantielles: énorme réparation des consommateurs, rachats de véhicules et modifications approuvées, atténuation environnementale, investissement dans les véhicules zéro émission, pénalités, exigences de gouvernance, audit indépendant et un terme de contrôle achevé. Les litiges mondiaux et les provisions rapportées par l'entreprise montrent que la frontière juridique et financière est restée active des années plus tard.

Les preuves publiques sont les plus solides pour l'exécution du programme américain et plus faibles pour un compte mondial unique des résultats des véhicules et des performances durables dans le monde réel.

Le standard durable est comportemental. Un véhicule conforme doit rester conforme lorsque l'itinéraire, l'entrée de direction, la température, l'ordre des tests et l'observateur changent. Une institution conforme doit faire remonter un objectif produit irréalisable avant que le code ne le cache, préserver la dissidence, donner aux examinateurs indépendants un droit d'arrêt, divulguer les stratégies matérielles et prouver la réparation par rapport à un dénominateur daté.

Lorsque le logiciel peut reconnaître l'examinateur, la responsabilité commence par s'assurer que ni le produit ni l'organisation ne peuvent choisir quand les règles s'appliquent.