Volkswagen transformou o dispositivo de derrota diesel em um teste de responsabilidade de governança de software

Resumo

• O gatilho técnico confirmado foi o comportamento de controle do motor de dupla condição. Certos veículos a diesel reconheceram condições associadas aos testes oficiais de emissões e operaram os controles de emissões de forma diferente da condução normal. A Agência de Proteção Ambiental dos EUA afirma que veículos de 2,0 litros afetados emitiram óxidos de nitrogênio em níveis até 40 vezes o padrão aplicável em operação normal. O fator exato variou por veículo, rota, geração do motor e jurisdição; não é um multiplicador universal para cada carro afetado.
• A confissão criminal da Volkswagen AG nos EUA fornece a cronologia interna mais forte para a conduta que admite. A empresa confessou uma conspiração envolvendo desenvolvimento de dispositivo de derrota e falsificação repetida de certificação, obstrução da justiça e importação por declarações falsas. Essa disposição corporativa não é uma condenação de cada funcionário ou uma conclusão de que cada membro do conselho sabia dos mesmos fatos ao mesmo tempo.
• A raiz direta não foi um defeito acidental de codificação. O software foi usado para conciliar metas de produto e emissões no limite de certificação, deixando um estado operacional diferente na estrada. Fatores contribuintes incluíram autoridade de calibração concentrada, restrições de produto, separação fraca entre design e teste de conformidade, certificação repetida de software opaco, falhas de escalação gerencial, explicações enganosas a reguladores e preservação inadequada de registros.
• Testes portáteis independentes quebraram o loop de controle. Um estudo de 2014 da Universidade de West Virginia encomendado pelo Conselho Internacional de Transporte Limpo encontrou grandes diferenças de óxido de nitrogênio entre estrada e laboratório em dois veículos testados. A CARB e a EPA repetiram os testes, rejeitaram explicações que não se encaixavam nas evidências e condicionaram a aprovação de modelos posteriores à resolução da discrepância. A detecção foi bem-sucedida porque uma equipe externa variou o ambiente operacional em vez de repetir o ciclo de laboratório esperado.
• Os resultados legais devem permanecer separados. Confissões criminais nos EUA, termos de consentimento da Lei do Ar Limpo, ordens de consumidores da FTC, sentenças civis alemãs, uma confissão de culpa canadense, uma declaração judicial baseada em consentimento australiana e interpretação legal da União Europeia respondem a perguntas diferentes sob leis diferentes. Acordos resolvem reivindicações sem necessariamente admitir todas as alegações, enquanto regras de condução real posteriores e interpretações judiciais posteriores não devem ser tratadas como se fossem o teste de certificação original.
• A recuperação combinou remoção de veículos, modificações de emissões aprovadas, compensação ao consumidor, mitigação ambiental, investimento em emissão zero, penalidades civis e mudança de conformidade supervisionada externamente. A FTC relatou mais de US$ 9,5 bilhões reembolsados a consumidores dos EUA e pagamentos associados a mais de 88% dos veículos cobertos. Essa é uma forte evidência de reparação, mas não é um denominador global de reparo ou prova de que cada veículo modificado opera de forma idêntica durante toda a sua vida útil.
• O encerramento durável requer evidências verificáveis por máquina: lógica de calibração com controle de versão, aprovadores nomeados, um inventário explícito de estratégias auxiliares de emissão, testes independentes em condições reais aleatórias, acesso regulatório a configurações executáveis, telemetria de frota ou amostragem estatisticamente sólida em uso, conclusão de reparo por coorte de veículos, escalação protegida e relatórios ao conselho vinculados a exceções técnicas não resolvidas. Contagens de políticas e termos de monitoramento concluídos são relevantes, mas o comportamento observado é o controle final.

O software tornou uma representação regulatória executável

Um certificado de emissões é uma representação sobre como um tipo de veículo se comportará sob condições legalmente especificadas. Em um trem de força definido por software, essa representação é parcialmente executável. Entradas de sensores entram em uma unidade de controle do motor; mapas de calibração e lógica condicional selecionam recirculação de gases de escape, injeção de combustível, pressão de reforço, regeneração de armadilha de NOx pobre, redução catalítica seletiva e outro comportamento de controle; o escape físico sai do escapamento.

Se o código reconhece o ambiente de aprovação e seleciona um modo mais limpo apenas lá, o arquivo de certificação e o produto de estrada não descrevem mais o mesmo sistema.

A explicação atual da EPA sobre as violações da Volkswagen afirma que o software em veículos Volkswagen, Audi e Porsche afetados detectava testes de emissões, ativava os controles completos de emissões durante o teste e reduzia sua eficácia na condução normal. A agência identifica até 40 vezes o padrão para certos veículos de 2,0 litros e até nove vezes para certos veículos de 3,0 litros. Essas são descrições da agência para grupos afetados nos EUA, não uma base para atribuir uma taxa de emissões a todos os onze milhões de veículos que a Volkswagen posteriormente identificou mundialmente.

A distinção entre um recurso de software e um dispositivo de derrota é legal e técnica. Um motor moderno deve variar os controles com temperatura, carga, velocidade e proteção de componentes. A condicionalidade é normal. A falha de responsabilidade aparece quando uma condição reduz a eficácia do controle de emissões em circunstâncias razoavelmente esperadas no uso normal, não é divulgada ou justificada legalmente e permite a certificação que o produto entregue não poderia suportar de outra forma. O ato proibido não é, portanto, otimização em abstrato.

É otimização não governada ou ilegal através de um limite onde a empresa deve aos reguladores e clientes uma conta precisa do comportamento.

É por isso que o incidente não pode ser reduzido a algumas linhas de código malicioso. O código teve que ser especificado, implementado, calibrado, integrado, testado, liberado para produção, transportado por anos-modelo, incluído em veículos de certificação, reparado em campo e explicado às autoridades. Cada etapa teve um proprietário e uma oportunidade de desafio. Uma análise de governança de software pergunta por que esses portões reforçaram a divergência em vez de revelá-la.

O controle prático estava distribuído, mas o fabricante detinha o limite do sistema

A Volkswagen AG controlava o programa principal do produto, metas do motor, liberação de software, recursos de calibração e a representação de que os veículos atendiam aos padrões aplicáveis. Entidades de marca e regionais conectavam esse produto à certificação local e aos clientes. O pessoal da Audi teve papéis importantes na história admitida nos EUA da lógica de modo duplo, enquanto a empresa de engenharia externa IAV também participou do trabalho de 2,0 litros. O Departamento de Justiça posteriormente anunciou a confissão de culpa da IAV e a resolução criminal de US$ 35 milhões.

Os engenheiros tinham controle prático direto sobre algoritmos, mapas de calibração, reconhecimento de teste e implementação. Supervisores controlavam restrições de projeto, pessoal, decisões técnicas e aprovação. Equipes de segurança do produto, meio ambiente e regulamentação controlavam escalação e divulgação. O pessoal de certificação controlava aplicações e atestações. O pessoal jurídico e de registros controlava a preservação uma vez que a investigação ou litígio se tornasse previsível.

Executivos seniores controlavam metas, resolução de conflitos e a resposta a evidências de que o produto não poderia satisfazer sua combinação prometida de desempenho e emissões. Os conselhos de supervisão e gestão controlavam governança, reporte de riscos e consequências, mesmo que não se esperasse que revisassem cada tabela de calibração.

Os reguladores detinham uma camada de controle separada. EPA e CARB podiam definir requisitos de certificação, exigir informações, realizar testes confirmatórios e em uso, reter certificados, ordenar remédios e aplicar violações. Autoridades de aprovação de tipo européias e reguladores de outros países operavam sob estatutos e sistemas de teste diferentes. Seu controle era consequente mas incompleto: eles não escreviam o código da Volkswagen, observavam continuamente a tomada de decisão interna ou recebiam cada estratégia de software automaticamente.

Os proprietários controlavam se apresentavam um veículo para uma modificação opcional ou aceitavam uma recompra depois que os remédios se tornassem disponíveis. As concessionárias realizavam modificações e documentavam transações. Nenhum dos grupos poderia descobrir a lógica de modo oculto antes da divulgação ou verificar independentemente uma frota inteira. A responsabilidade não deve ser atribuída de acordo com quem finalmente possuía o veículo. Deve seguir a autoridade sobre a condição oculta, a declaração de certificação e a evidência necessária para desafiar ambas.

2006 a 2008: uma restrição de produto tornou-se uma decisão de governança

O acordo de confissão e a Declaração de Fatos admitidos da Volkswagen nos EUA descrevem o início do programa de 2,0 litros. Em 2006, engenheiros estavam desenvolvendo um novo motor a diesel para o mercado dos EUA sob limites mais rigorosos de óxido de nitrogênio. A empresa queria um veículo que pudesse satisfazer as regras de emissões preservando outras características de projeto, custo e desempenho.

De acordo com os fatos admitidos, os engenheiros não conseguiram atender à combinação exigida dentro das restrições impostas a eles e usaram software baseado em um conceito de modo duplo da Audi para reconhecer o teste e alterar o comportamento de emissões.

Este é o primeiro ponto decisivo de responsabilidade. Uma impossibilidade de engenharia dentro de um envelope de projeto escolhido pode produzir quatro respostas legítimas: alterar hardware, relaxar metas comerciais, atrasar o programa ou buscar um caminho regulatório legal. Também pode ser ocultada fazendo o produto passar no teste observável. Qual opção é escolhida não é apenas uma questão de engenharia. É uma decisão de alocação de capital e governança de produto porque custo, cronograma, posicionamento de mercado e conformidade legal são requisitos concorrentes.

A Declaração de Fatos diz que o pessoal levantou objeções e que supervisores dirigiram a continuação. Diz ainda que o software foi instalado do primeiro ano-modelo 2009 até o ano-modelo 2016 em veículos sujeitos de 2,0 litros nos EUA. Porque a Volkswagen estipulou que os fatos corporativos eram verdadeiros para a confissão, esta cronologia é uma admissão corporativa. Não autoriza uma afirmação de que toda pessoa no desenvolvimento do motor participou, conhecia a análise legal ou entendia todas as consequências posteriores.

A troca oculta também mudou a garantia. Um teste de emissões convencional pergunta se um veículo representativo segue um ciclo prescrito dentro dos limites. Uma vez que o produto pode reconhecer o ciclo, passar no teste torna-se evidência de que o reconhecimento funciona, não evidência de conformidade em uso normal. O controle deve então mover-se um nível acima: revisores precisam de acesso à lógica condicional, testes que variam suposições ocultas e independência organizacional da equipe que tenta atingir metas do programa. Nenhum desses controles foi forte o suficiente para interromper a produção.

2009 a 2012: certificação repetida enquanto o software permanecia opaco

Para cada ano-modelo, fabricantes que buscavam certificados de conformidade nos EUA tinham que descrever sistemas relevantes de controle de emissões e demonstrar conformidade. Os veículos Volkswagen passaram em testes de laboratório e entraram no mercado sob uma proposta de "diesel limpo". O comportamento duplo do código tornou esse sucesso repetido enganoso: o veículo de certificação comportava-se de forma limpa no teste esperado enquanto os controles de uso normal eram menos eficazes. A repetição aumentou a escala do problema mas também poderia criar falsa confiança. Cada certificado anterior parecia validar a próxima aplicação.

A confissão de culpa nos EUA é importante porque resolveu mais do que uma violação técnica. Em 10 de março de 2017, a Volkswagen confessou-se culpada de três acusações criminais: conspiração para fraudar os Estados Unidos, cometer fraude eletrônica e violar a Lei do Ar Limpo; obstrução da justiça; e importação por declarações falsas. A empresa aceitou assim responsabilidade criminal por repetidas representações e ocultação, não apenas por uma não conformidade isolada de software.

Os controles de certificação falharam em várias camadas. Inventários de software não produziram uma explicação voltada para o regulador suficiente para expor a troca de modo. O teste de conformidade era previsível o suficiente para ser reconhecido. O desafio independente de engenharia não forçou testes rodoviários em condições aleatórias. A aprovação de certificação não exigia uma garantia negativa dos proprietários do software de que nenhuma estratégia não divulgada de reconhecimento de teste existia. A gerência não resolveu a restrição original alterando o programa.

O marketing adicionou uma segunda representação. Um certificado responde a um teste legal do regulador; a publicidade diz aos clientes o que o produto significa na vida diária. A Comissão Federal de Comércio posteriormente alegou que alegações ambientais e de baixa emissão enganaram os compradores. O registro do caso Volkswagen da FTC contém as queixas, ordens e materiais de apoio. As ordens de acordo resolveram reivindicações de consumidores e impuseram reparação sem converter cada anúncio visto por cada comprador em uma constatação julgada individualmente.

2012 a início de 2014: falhas de hardware revelaram o estado oculto, depois levaram a um disfarce melhor

Exceções de software frequentemente deixam traços físicos. De acordo com a Declaração de Fatos admitida da Volkswagen, certos veículos de 2,0 litros experimentaram falhas de hardware do sistema de escape por volta de 2012. Engenheiros acreditavam que alguns veículos permaneciam no modo mais limpo de dinamômetro durante o uso rodoviário, colocando estresse adicional em componentes que não foram projetados para operar dessa forma continuamente. A anomalia revelou, portanto, que o produto continha um estado cuja operação rodoviária de longa duração estava fora de seu projeto pretendido.

Uma reunião em julho de 2012 trouxe o dispositivo de derrota e a explicação de falha de hardware ao pessoal sênior identificado no registro da confissão. O relato admitido diz que mais ocultação foi encorajada. Engenheiros mais tarde melhoraram o reconhecimento de teste começando em modo de rua e mudando após identificar condições de dinamômetro, incluindo através de reconhecimento do ângulo do volante. Veículos existentes receberam atualizações de software. Isso não foi remediação no sentido de conformidade. Reduziu o risco de que o modo oculto permanecesse ativo acidentalmente enquanto preservava o engano regulatório.

O episódio é crítico para análise de causa raiz. O sistema detectou uma consequência adversa de seu próprio comportamento oculto. Um processo responsável teria aberto um incidente de conformidade, preservado o software afetado, identificado cada veículo e certificado que o utilizava, testado as emissões rodoviárias comuns, notificado funções legais e regulatórias independentes e interrompido novos lançamentos. Em vez disso, o feedback foi usado para melhorar a detecção do estado. O sinal de monitoramento tornou-se uma entrada para otimização da falha de controle.

Isso não significa que toda atualização de serviço durante o período foi imprópria, ou que toda falha de hardware provou a operação do dispositivo de derrota. O fato confirmado é a admissão corporativa sobre as falhas particulares e a resposta descrita na confissão. A inferência institucional apoiada é que a gestão de mudanças de software estava alinhada à continuidade do produto em vez de conformidade independente. Uma afirmação mais forte sobre o propósito de cada engenheiro excederia o registro.

Maio de 2014: testes rodoviários independentes mudaram o sistema observável

O sinal externo decisivo veio de um pequeno estudo projetado para comparar o comportamento em laboratório e na estrada. O Conselho Internacional de Transporte Limpo encomendou ao Centro de Combustíveis Alternativos, Motores e Emissões da Universidade de West Virginia testar três veículos diesel leves certificados nos EUA com equipamento portátil de medição de emissões. O relatório de 30 de maio de 2014 descreve rotas predefinidas de rodovia, urbana, suburbana e rural, um percurso prolongado e trabalho em dinamômetro de chassi na instalação El Monte da CARB.

Dois veículos mostraram grandes excessos de óxido de nitrogênio na estrada enquanto atendiam ao padrão no ciclo de certificação em laboratório. O relatório descreve fatores de 15 a 35 para o veículo com armadilha de NOx pobre e 5 a 20 para um veículo com redução catalítica seletiva nas rotas predefinidas; um terceiro veículo geralmente teve desempenho no padrão ou abaixo dele. O estudo não identificou um dispositivo de derrota, atribuiu culpabilidade ou estimou danos mundiais.

Sua força probatória veio do padrão: altas emissões na estrada não eram inevitáveis para toda tecnologia diesel, e os dois veículos de alta emissão se comportaram de forma diferente no ciclo de laboratório conhecido.

Pesquisadores externos tiveram sucesso porque mudaram o ambiente. Equipamento portátil tornou a estrada real parte do teste. Múltiplas rotas variaram velocidade, carga e terreno. Um veículo de comparação mostrou que o método de medição poderia observar comportamento conforme. O estudo, portanto, desafiou a suposição de que um resultado de laboratório aprovado era um proxy adequado para uso normal.

A amostra limitada é uma característica e um limite. Três veículos não podem estimar uma distribuição global da frota. Pode, no entanto, gerar uma hipótese suficientemente séria para exigir acompanhamento regulatório. A governança de risco deve distinguir sensibilidade de detecção de quantificação final. Um outlier credível pode justificar investigação muito antes de apoiar uma estimativa populacional.

2014 a setembro de 2015: a persistência do regulador converteu discrepância em divulgação

CARB e EPA seguiram os resultados dos testes rodoviários com seu próprio trabalho e trocas de informações. A Volkswagen ofereceu explicações técnicas e realizou um recall voluntário nos EUA anunciado no final de 2014. Uma atualização de software foi apresentada como abordando a discrepância de emissões. A CARB testou veículos modificados e continuou a observar excesso de óxidos de nitrogênio. A explicação e o remédio propostos não se ajustavam ao resultado.

A carta de Conformidade em Uso da CARB de 18 de setembro de 2015 reconstrói esta sequência: recebimento do estudo em uso, testes confirmatórios, discussões sobre causas técnicas, recall e avaliação pós-recall. Registra que a Volkswagen divulgou a existência e operação de uma segunda calibração em setembro de 2015 depois que CARB e EPA deixaram claro que a certificação de veículos diesel do ano-modelo 2016 não prosseguiria sem uma explicação adequada.

A Notificação de Violação da EPA para os veículos de 2,0 litros alegou que veículos diesel Volkswagen e Audi dos anos-modelo 2009-2015 continham software que detectava condições de teste e reduzia a eficácia do controle de emissões durante a condução normal. No estágio de notificação, estas eram alegações regulatórias. A confissão de culpa posterior da Volkswagen e os fatos admitidos confirmaram a conduta central nos EUA, enquanto os termos de consentimento resolveram reivindicações civis.

A cronologia mostra como é um desafio eficaz. Os reguladores não aceitaram uma correção de software plausível meramente porque um recall havia sido anunciado. Eles mediram a saída após a correção, mantiveram a discrepância não resolvida e vincularam a divulgação a uma aprovação crítica para os negócios. O controle de detecção funcionou apenas quando evidência, autoridade e prazo convergiram. A divulgação mais cedo teria reduzido a duração das emissões excessivas; um regulador menos persistente poderia ter certificado outro ano-modelo.

Setembro a novembro de 2015: o evento visível expandiu-se através de motores e fronteiras

Em 18 de setembro de 2015, EPA e CARB anunciaram publicamente a violação de 2,0 litros. O anúncio conjunto com a EPA descreveu aproximadamente 482.000 carros de passageiros nos EUA na notificação inicial e enfatizou que os veículos permaneciam legais para dirigir naquele momento. O gatilho público produziu mudanças de liderança, suspensões de vendas, investigações e uma rápida ampliação do escopo.

A divulgação ad hoc da Volkswagen em 22 de setembro disse que discrepâncias notáveis entre teste e estrada foram encontradas em motores tipo EA 189 e que aproximadamente onze milhões de veículos mundialmente foram afetados. O Relatório Anual de 2015 da empresa detalhou essa população por tamanho de motor, marca e região e registrou provisões, recalls, litígios e incertezas. É evidência primária do que a Volkswagen relatou, não verificação independente de cada estimativa ou consequência legal.

A EPA emitiu uma notificação separada em 2 de novembro sobre certos veículos Volkswagen, Audi e Porsche de 3,0 litros. A agência diz que oficiais da Volkswagen mais tarde informaram que o dispositivo de derrota relevante existia em todos os modelos diesel de 3,0 litros nos EUA desde 2009. Os sistemas de 2,0 e 3,0 litros, populações e remédios não eram idênticos. Eles não devem ser colapsados em uma única versão de software ou fator de emissões.

O número global também tinha um significado diferente da população de execução nos EUA. Cerca de onze milhões referiam-se principalmente ao software de gerenciamento do motor EA 189 mundialmente. Aproximadamente 590.000 nas resoluções posteriores dos EUA incluíam veículos cobertos de 2,0 e 3,0 litros sob padrões dos EUA. Diferentes jurisdições tinham diferentes procedimentos de certificação, limites de emissões, definições legais, autoridade de recall e remédios ao consumidor. A escala é confirmada; a uniformidade legal não é.

Gatilho, raiz direta e fatores contribuintes devem permanecer separados

O gatilho foi a divergência publicamente confirmada entre o comportamento certificado em laboratório e as emissões rodoviárias comuns, finalmente rastreada ao software de reconhecimento de teste. A raiz técnica direta foi uma estratégia de controle do motor que selecionava uma calibração de baixa emissão para testes oficiais e um estado menos eficaz fora deles. A raiz de governança direta foi a autorização dessa estratégia como uma maneira de entregar um produto cujas restrições escolhidas não podiam de outra forma satisfazer os requisitos de emissões aplicáveis nos EUA.

Vários fatores contribuíram sem substituir a raiz. Metas de produto restringiram escolhas de hardware e calibração. A autoridade de software estava concentrada entre equipes responsáveis pela entrega. O pessoal de conformidade carecia de independência demonstrável do projeto. Os testes de aprovação eram previsíveis. A certificação dependia de representações que não expunham condições executáveis. A passagem repetida do mesmo tipo de teste criou dívida de garantia. Falhas de hardware foram tratadas como uma razão para refinar o reconhecimento de modo. A escalação gerencial não forçou resolução legal.

Explicações e uma atualização de recall consumiram tempo do regulador sem eliminar a discrepância. Registros foram posteriormente destruídos, produzindo a contagem de obstrução na confissão corporativa.

A cultura é frequentemente invocada, mas deve ser traduzida em controles. Uma explicação de "pressão" importa apenas se metas, avaliações de desempenho ou direitos de decisão tornaram alternativas legais praticamente indisponíveis. Um "silo" importa apenas se nenhum proprietário teve que reconciliar calibração, durabilidade, certificação e dados de teste rodoviário. Uma fraqueza de "falar abertamente" importa apenas se objeções podiam ser anuladas sem uma revisão independente rastreável. Estas são proposições testáveis.

A evidência não suporta uma afirmação de que cada funcionário da Volkswagen aceitou o engano ou que a tecnologia diesel em si exigia trapaça. O veículo de comparação no trabalho da WVU é uma razão para rejeitar a inevitabilidade tecnológica. Nem o registro prova que um sistema regulatório nacional causou a conduta. Testes previsíveis criaram uma oportunidade, mas o fabricante permaneceu responsável pela certificação precisa e pelo comportamento legal em uso normal.

A detecção bem-sucedida ocorreu fora do teste esperado e falhou dentro da empresa

A detecção interna teve várias oportunidades. A revisão de código poderia ter identificado o reconhecimento de teste. A comparação de calibração poderia ter mostrado dois estados de emissões materialmente diferentes. Testes rodoviários aleatórios poderiam ter reproduzido o excesso de óxidos de nitrogênio. A análise de durabilidade de hardware poderia ter exposto por que o estado mais limpo não poderia persistir. A revisão de certificação poderia ter exigido um inventário completo de estratégias auxiliares. Objeções de funcionários poderiam ter desencadeado uma parada independente. Nenhum encerrou o programa.

A detecção externa combinou medição portátil, testes comparativos, laboratórios regulatórios e alavancagem de certificação. A equipe da WVU não precisou de acesso ao código-fonte para estabelecer que o produto se comportava de forma diferente. A CARB não precisou provar intenção individual antes de insistir que o veículo pós-recall ainda não correspondia à explicação. A EPA não precisou de uma estimativa global da frota antes de emitir uma notificação nos EUA.

Esta sequência sugere uma hierarquia de garantia. Primeiro, testes de caixa preta devem variar rotas, temperaturas, partidas, direção, aceleração e ordem de teste. Segundo, a revisão de caixa branca deve enumerar cada entrada capaz de alterar a eficácia do controle de emissões. Terceiro, hashes binários e de calibração devem vincular o artefato revisado ao veículo de produção. Quarto, a vigilância em uso deve testar veículos envelhecidos e atualizações de serviço. Quinto, uma função independente deve investigar discrepâncias sem precisar de permissão do programa de produto.

A evidência de detecção também deve preservar decisões negativas. Se uma estratégia é julgada legal porque protege o motor, o registro deve declarar o perigo imediato, o envelope operacional, projetos alternativos considerados e por que a exceção não é mais ampla do que o necessário. A interpretação posterior do Tribunal de Justiça confirma a importância de exceções restritas, mas o princípio de governança é mais geral: condicionalidade não documentada é um passivo de conformidade sem preço.

A resposta interrompeu vendas e criou remédios, mas a recuperação exigiu prova diferente

A resposta inicial incluiu divulgação pública, mudanças de liderança, ações de suspensão de venda, retirada ou atraso de pedidos de certificação, investigação técnica e planejamento de recall. Essas ações reduziram a exposição adicional, mas não repararam a população instalada ou compensaram os proprietários. A evidência de resposta responde se a empresa conteve um evento em desenvolvimento. A evidência de recuperação responde se veículos, pessoas e danos ambientais foram tratados.

Nos Estados Unidos, a recuperação foi dividida por geração do motor porque uma única correção técnica não poderia ser assumida responsavelmente. O registro de acordo civil da EPA descreve remoção do comércio ou metas de modificação aprovadas de pelo menos 85%, metas separadas para a Califórnia, consequências financeiras para metas perdidas, programas ao consumidor, um fundo de mitigação de US$ 2,7 bilhões mais US$ 225 milhões para veículos de 3,0 litros, US$ 2 bilhões em investimento em emissão zero e uma penalidade civil de US$ 1,45 bilhão sob a Lei do Ar Limpo no terceiro acordo parcial.

A coleção de termos de consentimento aprovada pelo tribunal é a fonte controladora para obrigações detalhadas. Os termos de consentimento resolvem reivindicações civis sob termos negociados. São ordens judiciais, mas sua entrada não significa que toda alegação foi julgada. Eles deliberadamente combinam diferentes remédios: alívio no nível do veículo reduz futuras emissões excessivas, compensação aborda perda do consumidor, mitigação substitui reduções de outras fontes pela poluição já liberada, e penalidades punem e dissuadem.

Nenhuma medida individual pode representar as outras. Uma recompra remove um veículo mas não compensa uma comunidade por poluição passada. Uma modificação de software pode reduzir emissões mas pode alterar manutenção ou desempenho e requer testes de durabilidade. Um pagamento compensa um proprietário mas não estabelece restauração ambiental. A reforma da governança reduz o risco de recorrência mas não repara um motor. A responsabilidade requer evidência de conclusão separada para cada obrigação.

A reparação ao consumidor foi mensurável e excepcionalmente completa dentro de seu escopo nos EUA

As ordens da FTC deram a proprietários e arrendatários elegíveis dos EUA escolhas que variavam por geração do motor e disponibilidade de reparo. Para muitos veículos de 2,0 litros, os proprietários podiam aceitar uma recompra ou manter o veículo e receber uma modificação aprovada mais compensação. Algumas gerações de 3,0 litros tinham caminhos de reparo conformes; veículos mais antigos podiam ser recomprados se uma modificação adequada não estivesse disponível. Regras de empréstimo, arrendamento, acesso rural e administração de reivindicações abordaram barreiras práticas.

O relatório de status final da FTC de 2020 afirma que os réus reembolsaram consumidores em mais de US$ 9,5 bilhões, fizeram pagamentos associados a mais de 88% dos veículos "Clean Diesel" cobertos e que 86,2% dos consumidores elegíveis que completaram o processo e escolheram um remédio selecionaram recompra ou rescisão antecipada de arrendamento. O relatório também credita a precisão e pontualidade da administração, baseado em grande parte em dados analisados pelo supervisor independente de reivindicações.

Esses resultados são evidência forte de que um grande mecanismo de reparação operou. Seu escopo deve ser preservado. O valor de US$ 9,5 bilhões exclui mais de US$ 300 milhões pagos pela Bosch, de acordo com o relatório. A taxa de pagamento não é a mesma que a taxa de reparo porque recompras, rescisões de arrendamento e modificações são resultados diferentes. O relatório aborda ordens dos EUA, não compensação em todos os países. A participação também não prova a ausência de disputas individuais.

A aprovação judicial federal de 2016 da ordem da FTC para 2,0 litros moveu o programa de alívio proposto para um processo executável. Esta distinção processual importa. Um valor de acordo principal representa uma obrigação máxima ou estruturada; o relatório final registra resultados reais do programa. Ambos são necessários para avaliar projeto e execução.

O reparo técnico teve que ser aprovado por geração, não assumido a partir da intenção

Uma modificação de emissões é em si software relevante para segurança e conformidade. Deve remover lógica proibida, reduzir óxidos de nitrogênio em toda operação real, manter diagnóstico de bordo, proteger hardware e divulgar efeitos sobre economia de combustível, desempenho, confiabilidade e manutenção. Tratar a correção como um patch que meramente deleta uma condição repetiria o erro de governança original.

EPA e CARB aprovaram modificações em etapas. Sua aprovação em janeiro de 2017 para veículos de 2,0 litros do ano-modelo 2015 Geração 3 exigiu trabalho de software e hardware, com uma fase inicial de software seguida por software adicional e substituição de componentes de emissões. Uma carta de aprovação posterior de abril de 2018 documenta a aprovação de outra parte desse remédio.

Os reguladores não aprovaram toda proposta. A desaprovação parcial de novembro de 2017 da EPA para certas modificações da unidade de controle de transmissão de 2,0 litros Geração 1 demonstra que a recuperação reteve um portão de aprovação. Um componente rejeitado de uma modificação proposta não é evidência de que todos os remédios falharam. É evidência de que o regulador testou a proposta contra critérios de acordo em vez de tratar a submissão da Volkswagen como suficiente.

A durabilidade permanece uma questão separada. A aprovação é baseada em testes especificados, submissões de engenharia e garantias. A conclusão é baseada em registros de veículos. A eficácia a longo prazo requer dados em uso após quilometragem, envelhecimento, serviço e diversos climas. Registros públicos de acordo fornecem evidência significativa de projetos aprovados e execução de programa, mas não expõem um conjunto de dados atual e globalmente harmonizado para cada veículo afetado e cada resultado de emissões pós-modificação.

O remédio ambiental reconheceu que o reparo ao consumidor não poderia reverter emissões passadas

Os óxidos de nitrogênio contribuem para dióxido de nitrogênio, ozônio troposférico e material particulado. A EPA associa a exposição a asma agravada e outros efeitos respiratórios e cardiovasculares, com riscos elevados para crianças, idosos, trabalhadores externos e pessoas com doenças cardíacas ou pulmonares. Um resultado de saúde específico não pode ser atribuído a um veículo sem análise de exposição e causalidade, mas emissões excessivas em escala de frota criam um ônus ambiental ao nível da população.

Os termos de consentimento dos EUA, portanto, financiaram mitigação além dos veículos sujeitos. Os fundos permitem que estados, territórios, o Distrito de Colúmbia e tribos elegíveis substituam ou repotenciem fontes diesel de serviço pesado, ônibus, locomotivas, equipamentos marinhos e outras fontes elegíveis. Este projeto reconhece um limite básico de recuperação: emissões já liberadas não podem ser chamadas de volta. Reduções equivalentes ou maiores devem ser criadas em outro lugar sob projetos auditáveis.

O financiamento de mitigação não é prova auto-executável de benefício ambiental. Os beneficiários devem selecionar projetos, documentar gastos elegíveis, substituir ou destruir equipamentos antigos quando exigido e relatar resultados. As reduções modeladas dependem do uso de linha de base do motor, tecnologia de substituição, vida do projeto e execução contra dupla contagem. O valor do acordo é confirmado; a tonelagem realizada é um resultado do programa que requer evidência do beneficiário e do trustee.

O investimento em emissão zero tem uma lógica diferente. Apoia infraestrutura, acesso e conscientização para lidar com o impacto de mercado de consumidores que compraram veículos que acreditavam ser de baixa emissão. Não deve ser adicionado aos gastos de mitigação e descrito como um total de remoção de poluição. Nem o investimento posterior em veículos elétricos deve ser tratado como prova de que os controles de software originais foram reparados. Um é um remédio de mercado e tecnologia; o outro é um controle de conformidade de produto.

Mapa de controle de responsabilidade: a autoridade deve ser vinculada à evidência e a um direito de parada

O mapa de controle do incidente é útil apenas se identificar autoridade prática, não meramente títulos organizacionais.

Cada linha precisa de um direito de parada. Um revisor que pode comentar mas não pode atrasar o lançamento não é um controle independente. Um interlocutor regulatório que depende da equipe de produto para a única explicação não pode fornecer garantia negativa. Um conselho que recebe apenas reservas legais agregadas não pode ver se uma exceção técnica permanece não resolvida. O controle deve especificar quem pode interromper a certificação, que evidência inicia a interrupção, como ela é resolvida e quem revisa uma anulação.

Resultados criminais, civis, regulatórios e privados respondem a perguntas diferentes

A Volkswagen foi sentenciada no tribunal federal em 21 de abril de 2017 após sua confissão de culpa. O tribunal aceitou uma penalidade criminal de US$ 2,8 bilhões, três anos de liberdade condicional e um monitor independente de conformidade corporativa. Isso é uma disposição judicial da responsabilidade criminal da empresa. Não estabelece culpa criminal para pessoas que foram meramente acusadas, e não decide danos civis para cada proprietário.

As resoluções civis abordaram diferentes estatutos e remédios. Os decretos da Lei do Ar Limpo trataram de veículos, mitigação ambiental, penalidades e controles preventivos. As ordens da FTC abordaram marketing supostamente enganoso e perda do consumidor. Reivindicações aduaneiras e financeiras fizeram parte da resolução mais ampla de 2017. Acordos de classe privados coordenados com ordens públicas. Um número de um instrumento não deve ser combinado com outro sem verificar sobreposição, valores máximos versus pagos e escopo geográfico.

Os resultados individuais também requerem rótulos precisos. Dois ex-funcionários da Volkswagen confessaram-se culpados e foram sentenciados nos Estados Unidos; outras pessoas foram acusadas ou indiciadas. Uma acusação é uma alegação e carrega uma presunção de inocência a menos que resolvida por uma condenação. A responsabilidade corporativa pode ser estabelecida mesmo onde extradição, evidência ou padrões legais separados deixam casos individuais não resolvidos.

A resolução dos EUA é excepcionalmente forte porque a Volkswagen admitiu uma Declaração de Fatos detalhada. Ainda é específica da jurisdição. O documento expressamente enquadra termos legais e padrões de emissões sob a lei dos EUA. Não deve ser usado como uma conclusão automática de responsabilidade sob a lei criminal, administrativa, de consumidor ou de valores mobiliários de cada país.

A responsabilidade global divergiu porque lei, procedimento e remédio não eram uniformes

O Canadá fornece um resultado criminal separado. O Registro de Infratores Ambientais do Canadá registra que a Volkswagen AG confessou-se culpada de 58 acusações relativas à importação ilegal de veículos que não estavam em conformidade com os padrões de emissões prescritos e foi ordenada em janeiro de 2020 a pagar uma multa de C$ 196,5 milhões. Essa disposição é autoritativa para as ofensas canadenses registradas; não é um suplemento à contagem dos EUA ou um julgamento global.

Na Austrália, o Tribunal Federal fez declarações baseadas em consentimento de que a Volkswagen violou a lei do consumidor ao fazer falsas representações sobre conformidade. O resumo oficial do caso da Comissão Australiana de Concorrência e Consumidor afirma que o tribunal impôs A$ 125 milhões em penalidades e que a Volkswagen admitiu a não divulgação de software de dois modos ao buscar aprovação para fornecer e importar mais de 57.000 veículos. O contexto de consentimento e a base estatutária australiana devem permanecer visíveis.

O direito civil alemão produziu outro tipo de responsabilidade. Em um caso diesel de 2020, o Tribunal Federal de Justiça da Alemanha descreveu software que reconhecia o banco de teste e selecionava comportamento de menor óxido de nitrogênio. Seu resumo de decisão de 30 de julho de 2020 enviou a reivindicação de danos de um comprador de volta para tratamento adicional após uma rejeição anterior. Isso não foi uma adjudicação criminal de todo o Grupo Volkswagen, e os resultados dos compradores alemães dependem do tempo da reivindicação, veículo, compensações de uso e outros fatos.

O relatório de risco legal de 2024 da Volkswagen mostra por que o encerramento não pode ser declarado globalmente. Relatou processos em andamento em múltiplos países, aproximadamente EUR 0,6 bilhão em provisões de litígios e riscos legais no final do ano, e EUR 4,0 bilhões em passivos contingentes divulgados, predominantemente reivindicações de investidores. Estas são estimativas contábeis da empresa sob incerteza, não conclusões finais de danos.

O direito europeu ilustra por que padrões posteriores não podem ser projetados para trás

O Regulamento Europeu 715/2007 já proibia dispositivos de derrota que reduzissem a eficácia do controle de emissões sob condições de uso normal, sujeito a exceções limitadas. O regulamento oficial definiu um dispositivo de derrota através de parâmetros detectados e seu efeito nos controles de emissões. Esse texto legal, aplicável de acordo com suas próprias datas e escopo, é o ponto de partida adequado para a análise europeia.

Em dezembro de 2020, o Tribunal de Justiça da União Europeia interpretou o regulamento no processo C-693/18. O acórdão considerou, em substância, que um dispositivo que melhora sistematicamente o desempenho do controle de emissões durante os procedimentos de aprovação não poderia ser justificado meramente porque impedia o envelhecimento ou entupimento do motor; a exceção de proteção do motor tinha que ser interpretada estritamente. Esta é uma interpretação autoritativa do direito da UE, mas o procedimento de decisão preliminar respondeu a questões legais referidas em vez de calcular danos para cada proprietário.

A União Europeia subsequentemente implementou procedimentos de Condução Real de Emissões usando sistemas portáteis de medição. O Regulamento da Comissão 2016/427 descreve requisitos RDE e regras de aplicação para novas aprovações. Esses procedimentos melhoraram o ambiente de teste tornando a condução comum observável. Eles não devem ser descritos como se fossem o ciclo de certificação que a Volkswagen originalmente encontrou, nem usados para reivindicar uma violação retroativa de um protocolo de medição posterior.

A distinção correta é mais restrita. A conduta original é avaliada sob a lei, certificações e representações aplicáveis aos veículos na época. Decisões posteriores podem interpretar autoritativamente disposições existentes quando processualmente relevantes. Regras de teste posteriores demonstram uma melhoria de controle e regem de acordo com suas datas de vigência. Manter essas categorias separadas evita tanto sub-responsabilidade quanto declaração retroativa excessiva.

Inferência apoiada, questões não resolvidas e limites de alegação

Fatos confirmados incluem os resultados dos testes rodoviários da WVU, as ações da EPA e CARB, a divulgação de aproximadamente onze milhões de veículos pela Volkswagen, a confissão de culpa nos EUA e os fatos admitidos, as ordens civis inseridas no tribunal, os pagamentos registrados aos consumidores, as etapas de remédio aprovadas e rejeitadas, a confissão canadense e as declarações de consentimento australianas. As conclusões regulatórias e disposições judiciais são atribuídas ao corpo que as emitiu.

A inferência apoiada mais forte é que o dispositivo de derrota persistiu porque a governança de software, produto e conformidade estava alinhada em torno de passar um processo de aprovação conhecido em vez de demonstrar comportamento legal sobre operação normal. Essa inferência repousa sobre a origem admitida, certificação repetida, feedback de hardware de 2012, refinamento de 2014 e sequência de divulgação de 2015. Não requer especulação sobre o estado mental privado de cada líder sênior.

Questões não resolvidas permanecem. O material público não fornece um mapa completo e não expurgado de quem revisou cada versão de software em cada marca e jurisdição. Não revela todos os testes internos de monitor ou todas as recomendações. Não estabelece um denominador global de conclusão de reparo com status de registro atual. Não produz um resultado de saúde diretamente medido para cada comunidade. Não resolve finalmente todos os litígios de investidores e consumidores.

Alegações das partes devem permanecer etiquetadas. Acusações contra pessoas que não foram condenadas permanecem alegações. Queixas civis declaram reivindicações governamentais ou privadas até serem admitidas, julgadas ou acordadas. A posição da Volkswagen no relatório anual sobre conhecimento do conselho é uma declaração da empresa sob controles de relatórios financeiros, não uma exoneração independente. Por outro lado, um acordo sem admissão não é prova de que a conduta alegada não ocorreu. A forma processual faz parte da evidência.

Contrafactuais identificam controles, não certeza de história alternativa

O primeiro contrafactual é técnico e comercial. Se a liderança de produto tivesse respondido à restrição de 2006 alterando hardware, custo, desempenho ou tempo de lançamento, o programa dos EUA poderia ter sido conforme ou poderia não ter sido lançado na mesma forma. O registro suporta a viabilidade dessas escolhas de governança em princípio, mas não estabelece o resultado exato do produto, vendas ou emissões de um redesenho legal.

Um segundo contrafactual diz respeito à revisão independente. Um inventário de código nomeando cada condição que alterava o controle de emissões, combinado com um revisor fora do programa do motor e uma parada de lançamento, provavelmente teria exposto o modo duplo antes da certificação. Este é um forte contrafactual de prevenção porque o comportamento foi codificado e repetido. Ainda não pode provar que a gerência teria cancelado o programa em vez de encontrar outra resposta.

Um terceiro diz respeito a testes. Testes rodoviários portáteis aleatórios antes do lançamento poderiam ter observado a divergência laboratório-estrada anos antes. O estudo de 2014 demonstra capacidade de detecção, mas veículos, equipamentos e rotas anteriores poderiam ter produzido medições diferentes. A alegação defensável é aceleração da detecção, não uma data garantida.

Um quarto diz respeito às falhas de hardware de 2012. Tratar a operação inesperada do modo limpo como um incidente de conformidade relatável poderia ter forçado uma revisão da população de veículos e divulgação regulatória. Isso provavelmente teria encurtado o período de certificação continuada. Não pode estabelecer o número exato de veículos, emissões ou perdas do consumidor evitadas.

Um quinto diz respeito à resposta de 2014. A divulgação completa quando os reguladores apresentaram os primeiros dados rodoviários, em vez de explicações e um recall que não resolveu a discrepância, teria reduzido o atraso investigativo. A contenção mais cedo poderia ter interrompido a exposição adicional de ano-modelo. Nenhum contrafactual pode calcular resultados de saúde exatos evitados sem suposições sobre atividade da frota, química atmosférica, exposição e tempo de remédio.

A reforma da governança foi substancial, mas a certificação não é prova permanente

As resoluções criminais e civis dos EUA impuseram supervisão externa e controles preventivos específicos. O resumo do acordo da EPA diz que a Volkswagen teve que separar o pessoal que testa a conformidade de emissões daqueles que projetam veículos, estabelecer um comitê diretivo da Lei do Ar Limpo, melhorar o treinamento, criar mecanismos de denúncia e reter um auditor independente de conformidade. A confissão criminal adicionou um monitor sobre conformidade antifraude e ambiental.

A Volkswagen anunciou a conclusão da monitoria em setembro de 2020. Seu registro de fim de monitoria diz que o monitor independente certificou que as entidades cobertas haviam projetado e implementado um programa destinado a prevenir e detectar violações antifraude e ambientais, com mudanças no desenvolvimento técnico, governança, gerenciamento de riscos, conformidade e funções legais. A Porsche AG e a Porsche Cars North America estavam fora dessa certificação de monitoria, um limite de escopo importante.

A empresa também publicou o resultado da auditoria civil final do auditor independente de conformidade. O comunicado de imprensa de julho de 2020 da Volkswagen diz que o relatório final não encontrou novas violações e que as entidades revisadas cumpriram as obrigações sob os terceiros termos de consentimento parciais. Isso é mais forte do que uma autoavaliação não apoiada porque relata a conclusão de um auditor independente sob uma ordem judicial. O acesso público e o escopo ainda são limitados em comparação com um arquivo de teste reproduzível completo.

O material não público do monitor ilustra o limite de transparência. Um resumo posterior do litígio do Departamento de Justiça sobre a divulgação de um relatório de monitor observa extensas entrevistas, reuniões, revisão de políticas, recomendações e observações, enquanto aborda expurgos legais. A monitoria pode ser independente e ainda deixar os de fora incapazes de reproduzir suas evidências. A conclusão prova satisfação de um termo definido, não eliminação permanente de risco.

Evidência de reparo durável deve testar comportamento, autoridade e resultados da frota

Um pacote de encerramento responsável conteria pelo menos seis conjuntos de evidências ligados. O primeiro é a proveniência do software: commit fonte, ambiente de construção, pacote de calibração, signatário, revisores, hash de produção e um inventário legível por máquina de cada condição que afeta emissões. O segundo é o mapeamento legal: cada estratégia vinculada a um requisito, exceção divulgada ou aprovação regulatória. O terceiro é a cobertura de teste: ciclos de laboratório, ciclos aleatórios, rotas rodoviárias, faixas de temperatura e altitude, envelhecimento, comportamento de diagnóstico e fundamentação de amostragem estatística.

O quarto é a recuperação da frota: população elegível original por motor, ano-modelo e região; recompras; sucateamento; exportações; modificações aprovadas; modificações falhadas ou revertidas; proprietários inalcançáveis; registros atuais; e veículos abertos restantes. Percentagens precisam de denominadores e datas. Um veículo pago sob um programa de consumidor não deve ser automaticamente contado como reparado. Um veículo recomprado não deve ser contado como removido até que as regras de disposição sejam satisfeitas.

O quinto é o desempenho ambiental: óxidos de nitrogênio medidos pré e pós-modificação, falhas de garantia, retestes de veículos envelhecidos e reduções de projetos fiduciários com linhas de base. Benefícios modelados devem ser distinguidos de resultados de escapamento medidos. O sexto é a operação de governança: objeções arquivadas, questões interrompidas, exceções vencidas, divulgações regulatórias, falhas de teste independente e revisão do conselho. Contagens devem ser normalizadas por programas e lançamentos para que o aumento de relatórios não seja confundido com aumento de irregularidades.

Esses registros devem ser conectados por identificadores estáveis. Uma certificação deve apontar para o software executável exato. Uma modificação de concessionária deve apontar para o pacote aprovado. Um resultado de teste deve identificar a configuração do veículo e a quilometragem. Uma exceção legal deve identificar os caminhos de código que cobre. Um painel do conselho deve expor estratégias de alto risco não resolvidas sem exibir apenas treinamento de conformidade agregado. Rastreabilidade é a diferença entre uma política e um controle.

A conclusão de responsabilidade

O dispositivo de derrota da Volkswagen não foi simplesmente um caso de software derrotando um teste de laboratório. Foi um caso de uma instituição permitindo que um teste de laboratório definisse a verdade que estava disposta a observar. O código incorporou essa escolha, mas metas de produto, autoridade de aprovação, certificação repetida, testes independentes limitados, falha de escalação e divulgação tardia a tornaram durável. O teste rodoviário externo foi bem-sucedido porque mudou as condições sob as quais a verdade era medida.

A responsabilidade é, portanto, em camadas, mas não difusa. A Volkswagen AG arca com a responsabilidade corporativa estabelecida por sua confissão de culpa e por resoluções civis e regulatórias. Engenheiros, supervisores, gerentes, contratados, entidades regionais, conselhos, reguladores, concessionárias e proprietários tiveram diferentes formas de controle, mas não tinham conhecimento ou autoridade iguais. A responsabilidade individual depende da disposição de casos individuais. A fraqueza regulatória não apaga o dever do fabricante. A posse do consumidor não transfere a responsabilidade pelo código oculto.

A evidência de recuperação é substancial: enorme reparação ao consumidor, recompras de veículos e modificações aprovadas, mitigação ambiental, investimento em emissão zero, penalidades, requisitos de governança, auditoria independente e um período de monitoria concluído. Litígios globais e provisões relatadas pela empresa mostram que o limite legal e financeiro permaneceu ativo anos depois. A evidência pública é mais forte para a execução do programa dos EUA e mais fraca para uma única conta mundial de resultados de veículos e desempenho real duradouro.

O padrão durável é comportamental. Um veículo conforme deve permanecer conforme quando a rota, entrada de direção, temperatura, ordem de teste e observador mudam. Uma instituição conforme deve trazer à superfície uma meta de produto inviável antes que o código a esconda, preservar dissenso, dar aos revisores independentes um direito de parada, divulgar estratégias materiais e provar reparo contra um denominador datado. Quando o software pode reconhecer o examinador, a responsabilidade começa garantindo que nem o produto nem a organização escolhem quando as regras se aplicam.