Volkswagen сделал дизельное устройство подавления тестом на подотчётность в управлении программным обеспечением

Краткое содержание

• Подтверждённым техническим триггером стало поведение управления двигателем с двумя условиями срабатывания. Определённые дизельные автомобили распознавали условия, связанные с официальными испытаниями на выбросы, и управляли системами контроля выбросов иначе, чем при обычном вождении. Агентство по охране окружающей среды США утверждает, что затронутые автомобили с двигателями 2,0 л выбрасывали оксиды азота в обычной эксплуатации на уровне до 40 раз выше применимого норматива. Точный коэффициент варьировался в зависимости от автомобиля, маршрута, поколения двигателя и юрисдикции; это не универсальный множитель для каждого затронутого автомобиля.
• Признание вины Volkswagen AG в уголовном деле в США даёт наиболее полную внутреннюю хронологию вменяемого поведения. Компания признала участие в сговоре, включавшем разработку устройства подавления и неоднократную ложную сертификацию, воспрепятствование правосудию и ввоз автомобилей на основании ложных заявлений. Это корпоративное урегулирование не является осуждением каждого сотрудника или установлением того, что все члены совета знали одни и те же факты одновременно.
• Непосредственная первопричина не была случайным дефектом кода. ПО использовалось для согласования продуктовых и экологических целей на границе сертификации, при этом в реальной дорожной эксплуатации оставалось другое рабочее состояние. Способствующими факторами были концентрация полномочий по калибровке, продуктовые ограничения, слабое разделение разработки и проверок соответствия, неоднократная сертификация непрозрачного ПО, сбои эскалации на уровне руководства, вводящие в заблуждение объяснения для регуляторов и ненадлежащее хранение записей.
• Независимые портативные испытания разорвали этот контур управления. Исследование Университета Западной Вирджинии 2014 года, заказанное Международным советом по чистому транспорту, выявило большие различия оксидов азота между дорожными и лабораторными условиями у двух испытанных автомобилей. CARB и EPA повторили испытания, отвергли объяснения, не соответствовавшие данным, и сделали одобрение автомобилей следующих модельных годов зависимым от устранения расхождения. Обнаружение удалось потому, что внешняя команда меняла условия эксплуатации, а не повторяла ожидаемый лабораторный цикл.
• Правовые последствия должны оставаться разделёнными. Уголовные признания в США, мировые соглашения по Закону о чистом воздухе, предписания FTC для потребителей, решения германских гражданских судов, признание вины в Канаде, австралийское судебное заявление, вынесенное с согласия сторон, и правовое толкование Европейского союза отвечают на разные вопросы по разным законам. Мировые соглашения урегулируют требования, не обязательно признавая каждое утверждение; при этом более поздние правила реальной эксплуатации и более поздние судебные толкования не следует рассматривать так, будто они были исходным сертификационным испытанием.
• Восстановление объединило вывод автомобилей из обращения, одобренные модификации выхлопа, компенсации потребителям, экологические компенсационные меры, инвестиции в автомобили с нулевыми выбросами, гражданские штрафы и внешне контролируемое изменение комплаенса. FTC сообщила о выплатах потребителям в США на сумму более 9,5 млрд долларов и о платежах, связанных более чем с 88 % охваченных автомобилей. Это весомые доказательства правовой защиты, но не глобальный знаменатель ремонта и не доказательство того, что каждый модифицированный автомобиль работает одинаково весь оставшийся срок службы.
• Устойчивое закрытие вопроса требует проверяемых машинными средствами доказательств: версионированной логики калибровки, поименованных утверждающих лиц, явного реестра вспомогательных стратегий контроля выбросов, независимых испытаний в рандомизированных реальных условиях, доступа регуляторов к исполняемым конфигурациям, телематики автопарка или статистически обоснованной выборки эксплуатационных замеров, завершения ремонта по когортам автомобилей, защищённой эскалации и отчётности перед советом по нерешённым техническим исключениям. Политические показатели и завершённые сроки мониторинга релевантны, но окончательный контроль — это наблюдаемое поведение.

ПО сделало сертификационное заявление исполняемым

Сертификат выбросов — это заявление о том, как тип автомобиля будет вести себя в юридически заданных условиях. В силовой установке, определяемой ПО, это заявление частично исполняемо. Сигналы датчиков поступают в блок управления двигателем; калибровочные карты и условная логика выбирают рециркуляцию отработавших газов, впрыск топлива, давление наддува, регенерацию ловушки оксидов азота в бедной смеси, селективную каталитическую нейтрализацию и другие режимы управления; физический выхлоп выходит из выхлопной трубы.

Если код распознаёт среду одобрения и выбирает более чистый режим только там, файл сертификации и дорожный продукт больше не описывают одну и ту же систему.

Текущееразъяснение EPA о нарушениях Volkswagenгласит, что ПО в затронутых автомобилях Volkswagen, Audi и Porsche распознавало проведение испытаний на выбросы, включало полные системы контроля выбросов во время теста и снижало их эффективность в обычном вождении. Агентство называет превышение до 40 раз для некоторых автомобилей с двигателями 2,0 л и до девяти раз для некоторых автомобилей с двигателями 3,0 л. Это описания агентства для затронутых американских групп, а не основание для присвоения единого уровня выбросов всем одиннадцати миллионам автомобилей, которые Volkswagen позже назвал по всему миру.

Различие между программной функцией и устройством подавления является не только техническим, но и юридическим. Современный двигатель должен менять режимы в зависимости от температуры, нагрузки, оборотов и защиты компонентов. Условность — это норма. Провал подотчётности возникает, когда условие снижает эффективность контроля выбросов в обстоятельствах, разумно ожидаемых при обычном использовании, не раскрыто и не оправдано законно и позволяет сертифицировать то, что поставляемый продукт иначе не смог бы подтвердить. Поэтому запрещённое деяние — не оптимизация как таковая.

Это неуправляемая или незаконная оптимизация через границу, на которой компания обязана дать регуляторам и клиентам точный отчёт о поведении.

Именно поэтому инцидент нельзя свести к нескольким строкам вредоносного кода. Код нужно было специфицировать, реализовать, откалибровать, интегрировать, протестировать, выпустить в производство, перенести через модельные годы, включить в сертификационные автомобили, обслуживать в полевых условиях и объяснять властям. У каждого шага был владелец и возможность для оспаривания. Анализ управления ПО спрашивает, почему эти контрольные точки усиливали расхождение, а не выявляли его.

Практический контроль был распределённым, но производитель удерживал границу системы

Volkswagen AG контролировал базовую продуктовую программу, целевые показатели двигателя, выпуск ПО, калибровочные ресурсы и заявление о соответствии автомобилей применимым нормам. Брендовые и региональные структуры связывали этот продукт с местной сертификацией и клиентами. Сотрудники Audi играли важные роли в признанной истории двухрежимной логики в США, а внешняя инженерная компания IAV также участвовала в работе над двигателями 2,0 л. Министерство юстиции позже объявило опризнании вины IAV и уголовном урегулировании на 35 млн долларов. Участие поставщика или подрядчика не снимает с производителя автомобиля обязанности точно сертифицировать интегрированный автомобиль.

Инженеры имели непосредственный практический контроль над алгоритмами, калибровочными картами, распознаванием теста и реализацией. Руководители контролировали проектные ограничения, кадры, технические решения и утверждения. Команды по безопасности продукта, экологии и регуляторике контролировали эскалацию и раскрытие. Персонал сертификации контролировал заявки и декларации. Юридический персонал и сотрудники по управлению документами контролировали сохранность записей, когда расследование или судебные разбирательства стали предвидимыми.

Топ-менеджеры контролировали цели, разрешение конфликтов и реакцию на доказательства того, что продукт не может обеспечить обещанное сочетание характеристик и выбросов.

Наблюдательный совет и правление контролировали управление, отчётность о рисках и последствия, хотя от них не ожидали проверки каждой калибровочной таблицы.

Регуляторы удерживали отдельный слой контроля. EPA и CARB могли определять требования сертификации, запрашивать информацию, проводить подтверждающие и эксплуатационные испытания, отказывать в сертификатах, предписывать меры устранения и обеспечивать соблюдение требований. Европейские органы одобрения типа и регуляторы других стран действовали в рамках иных законов и систем испытаний. Их контроль был весомым, но неполным: они не писали код Volkswagen, не наблюдали непрерывно за внутренними решениями и не получали автоматически каждую программную стратегию.

Владельцы контролировали, предоставлять ли автомобиль на добровольную модификацию или согласиться на обратный выкуп после появления средств устранения. Дилеры выполняли модификации и оформляли транзакции. Ни одна из этих групп не могла обнаружить скрытую логику режимов до раскрытия или самостоятельно проверить весь автопарк. Подотчётность не должна назначаться по тому, кто в конечном счёте владел автомобилем. Она должна следовать за полномочиями над скрытым условием, за сертификационным заявлением и за доказательствами, необходимыми для оспаривания того и другого.

2006–2008 годы: продуктовое ограничение стало управленческим решением

Признанное американскоесоглашение о признании вины и изложение фактовописывают начало программы 2,0 л. В 2006 году инженеры разрабатывали новый дизельный двигатель для рынка США при более жёстких нормах по оксидам азота. Компания хотела автомобиль, который соответствовал бы экологическим нормам, сохраняя другие характеристики дизайна, стоимости и производительности. Согласно признанным фактам, инженеры не могли добиться требуемого сочетания в заданных ограничениях и использовали ПО на основе концепции двойного режима Audi, чтобы распознавать тест и изменять поведение выбросов.

Это первая решающая точка подотчётности. Инженерная невозможность в выбранных проектных рамках допускает четыре легитимных ответа: изменить аппаратное обеспечение, смягчить коммерческие цели, отложить программу или найти законный регуляторный путь. Её можно также скрыть, заставив продукт проходить наблюдаемый тест. Какой вариант выбран — не только инженерный вопрос. Это решение о распределении капитала и об управлении продуктом, потому что затраты, сроки, позиционирование на рынке и юридическое соответствие являются конкурирующими требованиями.

В изложении фактов сказано, что сотрудники высказывали возражения, а руководители предписывали продолжать. Далее говорится, что ПО устанавливалось с первого модельного года 2009 по модельный год 2016 в американских автомобилях 2,0 л. Поскольку Volkswagen подтвердил, что корпоративные факты истинны для признания вины, эта хронология является корпоративным признанием. Оно не даёт основания утверждать, что каждый человек в разработке двигателей участвовал, знал юридический анализ или понимал все последствия.

Скрытый компромисс также изменил характер гарантий соответствия. Обычный тест выбросов спрашивает, следует ли репрезентативный автомобиль предписанному циклу в пределах норм. Когда продукт может распознавать цикл, прохождение теста становится доказательством того, что распознавание работает, а не доказательством соответствия при обычном использовании. Контроль должен подняться на уровень выше: проверяющим нужны доступ к условной логике, тесты, меняющие скрытые допущения, и организационная независимость от команды, добивающейся целевых показателей программы. Ни один из этих контролей не был достаточно сильным, чтобы остановить производство.

2009–2012 годы: сертификация повторялась, а ПО оставалось непрозрачным

Для каждого модельного года производители, добивавшиеся американских сертификатов соответствия, должны были описывать соответствующие системы контроля выбросов и демонстрировать соответствие. Автомобили Volkswagen проходили лабораторные испытания и выходили на рынок с позиционированием «чистого дизеля». Двойное поведение кода делало этот повторный успех вводящим в заблуждение: сертификационный автомобиль вёл себя чисто в ожидаемом тесте, тогда как режимы обычного использования были менее эффективными. Повторение увеличивало масштаб проблемы, но могло создавать и ложную уверенность.

Каждый предыдущий сертификат словно подтверждал следующую заявку.

Признание вины в США важно, потому что оно разрешило не только техническое нарушение. 10 марта 2017 года Volkswagenпризнал себя виновным по трём пунктам обвинения в совершении тяжких преступлений: сговор с целью обмана Соединённых Штатов, мошенничество с использованием электронных средств связи и нарушение Закона о чистом воздухе; воспрепятствование правосудию; и ввоз на основании ложных заявлений. Тем самым компания приняла уголовную ответственность за повторные заявления и сокрытие, а не только за изолированное несоответствие ПО.

Контроль сертификации провалился на нескольких уровнях. Реестры ПО не дали объяснения для регуляторов, достаточного для вскрытия переключения режимов. Проверки соответствия были достаточно предсказуемыми, чтобы их можно было распознать. Независимый инженерный вызов не заставил проводить дорожные испытания в рандомизированных условиях. Утверждение сертификации не требовало негативного подтверждения от владельцев ПО об отсутствии нераскрытой стратегии распознавания теста. Руководство не разрешило исходное ограничение изменением программы.

Маркетинг добавил второе заявление. Сертификат отвечает на правовой тест регулятора; реклама говорит клиентам, что продукт означает в повседневной жизни. Федеральная торговая комиссия позднее утверждала, что экологические заявления и заявления о низких выбросах вводили покупателей в заблуждение. Вматериалах дела FTC против Volkswagenсодержатся жалобы, предписания и подтверждающие документы. Мировые предписания урегулировали потребительские требования и установили компенсационные меры, не превращая каждое объявление, увиденное каждым покупателем, в отдельно рассмотренное установление факта.

2012 — начало 2014 года: отказы аппаратного обеспечения вскрыли скрытое состояние, а затем привели к лучшей маскировке

Программные исключения часто оставляют физические следы. Согласно признанному изложению фактов Volkswagen, около 2012 года некоторые автомобили 2,0 л испытывали отказы аппаратных компонентов выхлопной системы. Инженеры полагали, что некоторые автомобили оставались в более чистом динамометрическом режиме во время дорожной эксплуатации, создавая дополнительную нагрузку на компоненты, не рассчитанные на такую непрерывную работу. Аномалия, таким образом, показала, что продукт содержит состояние, длительная дорожная работа которого выходит за рамки проектного назначения.

На встрече в июле 2012 года устройство подавления и объяснение аппаратных отказов были доведены до старшего руководства, названного в протоколе признания. В признанной версии сказано, что дальнейшее сокрытие поощрялось. Инженеры позже улучшили распознавание теста, начиная с «уличного» режима и переключаясь после идентификации динамометрических условий, включая распознавание угла поворота рулевого колеса. Существующие автомобили получали обновления ПО. Это не было устранением нарушения в смысле комплаенса. Это снижало риск случайного сохранения скрытого режима, сохраняя регуляторный обман.

Этот эпизод критичен для анализа корневых причин. Система обнаружила неблагоприятное следствие собственного скрытого поведения. Подотчётный процесс открыл бы инцидент комплаенса, сохранил затронутое ПО, выявил каждый автомобиль и сертификат, использовавшие его, протестировал выбросы на обычных дорогах, уведомил независимые юридические и регуляторные функции и остановил дальнейшие выпуски. Вместо этого обратная связь использовалась для улучшения распознавания состояний. Сигнал мониторинга стал входом для оптимизации провала контроля.

Это не означает, что каждое сервисное обновление в тот период было неправомерным или что каждый аппаратный отказ доказывал работу устройства подавления. Подтверждённым фактом является корпоративное признание конкретных отказов и реакции, описанных в протоколе. Поддерживаемый институциональный вывод состоит в том, что управление изменениями ПО выстраивалось под непрерывность продукта, а не под независимый комплаенс. Более сильное утверждение о намерениях каждого инженера выходило бы за пределы протокола.

Май 2014 года: независимые дорожные испытания изменили наблюдаемую систему

Решающий внешний сигнал пришёл из небольшого исследования, предназначенного для сравнения лабораторного и дорожного поведения. Международный совет по чистому транспорту заказал Центру альтернативных видов топлива, двигателей и выбросов Университета Западной Вирджинии испытания трёх сертифицированных в США легковых дизельных автомобилей с портативным оборудованием для измерения выбросов. Вотчёте от 30 мая 2014 годаописаны заранее заданные трассы (шоссе, город, пригород, сельская местность), расширенная поездка и работы на динамометрическом стенде на объекте CARB в Эль-Монте.

Два автомобиля показали большие превышения оксидов азота на дороге, при этом проходя норматив в лабораторном сертификационном цикле. В отчёте приводятся коэффициенты от 15 до 35 для автомобиля с накопительным нейтрализатором оксидов азота и от 5 до 20 для одного автомобиля с селективной каталитической нейтрализацией на заданных маршрутах; третий автомобиль в целом показывал результаты на уровне норматива или ниже. Исследование не выявляло устройство подавления, не назначало виновных и не оценивало ущерб в мировом масштабе.

Его доказательная сила — в паттерне: высокие дорожные выбросы не были неизбежны для любой дизельной технологии, а два автомобиля с высокими выбросами вели себя иначе в известном лабораторном цикле.

Внешние исследователи добились успеха, потому что изменили среду. Портативное оборудование сделало реальную дорогу частью испытания. Множество маршрутов варьировало скорость, нагрузку и рельеф. Сравнительный автомобиль показал, что метод измерения способен наблюдать соответствующее поведение. Поэтому исследование бросило вызов допущению, что лабораторный результат является адекватным прокси для обычного использования.

Ограниченная выборка — одновременно достоинство и предел. Три автомобиля не могут оценить распределение мирового автопарка. Но они могут породить достаточно серьёзную гипотезу, требующую действий регулятора. Управление рисками должно отличать чувствительность обнаружения от финальной количественной оценки. Достоверный выброс может оправдать расследование задолго до того, как он поддержит оценку по совокупности.

2014 — сентябрь 2015 года: настойчивость регуляторов превратила расхождение в раскрытие

CARB и EPA продолжили работу с собственными испытаниями и обменами информацией после дорожных результатов. Volkswagen предлагал технические объяснения и провёл добровольный отзыв в США, объявленный в конце 2014 года. Обновление ПО было представлено как решение проблемы расхождения выбросов. CARB протестировал модифицированные автомобили и продолжал наблюдать превышения оксидов азота. Предложенное объяснение и средство не соответствовали результату.

Вписьме CARB о соответствии при реальной эксплуатации от 18 сентября 2015 годареконструируется эта последовательность: получение эксплуатационного исследования, подтверждающие испытания, обсуждения технических причин, отзыв и оценка после отзыва. В нём зафиксировано, что Volkswagen раскрыл существование и работу второй калибровки в сентябре 2015 года после того, как CARB и EPA дали понять, что сертификация дизельных автомобилей модельного года 2016 не будет продолжена без адекватного объяснения.

Вуведомлении EPA о нарушении для автомобилей 2,0 лутверждалось, что дизели Volkswagen и Audi модельных годов 2009–2015 содержали ПО, которое распознавало условия теста и снижало эффективность систем контроля выбросов при обычном вождении. На стадии уведомления это были регуляторные утверждения. Позднейшее признание вины Volkswagen и признанные факты подтвердили центральное поведение в США, тогда как мировые соглашения урегулировали гражданские требования.

Хронология показывает, как выглядит эффективный вызов. Регуляторы не приняли правдоподобное программное исправление только потому, что был объявлен отзыв. Они измерили результат после исправления, сохранили нерешённое расхождение и связали раскрытие с критически важным для бизнеса одобрением. Контроль обнаружения сработал только тогда, когда сошлись доказательства, полномочия и срок. Более раннее раскрытие сократило бы продолжительность сверхнормативных выбросов; менее настойчивый регулятор мог бы сертифицировать ещё один модельный год.

Сентябрь — ноябрь 2015 года: видимое событие расширилось на двигатели и границы

18 сентября 2015 года EPA и CARB публично объявили о нарушении по двигателям 2,0 л. Всовместном заявлении CARB и EPAговорилось примерно о 482 тыс. американских легковых автомобилей в первоначальном уведомлении и подчёркивалось, что на тот момент автомобили оставались законными для вождения. Публичный триггер привёл к смене руководства, остановкам продаж, расследованиям и быстрому расширению масштаба.

Во внеплановом раскрытии Volkswagen от 22 сентября говорилось, что заметные расхождения между тестом и дорогой обнаружены в двигателях типа EA 189 и что по всему миру затронуто примерно одиннадцать миллионов автомобилей. Вгодовом отчёте за 2015 годкомпания разбила эту совокупность по объёму двигателя, бренду и региону и отразила резервы, отзывы, судебные разбирательства и неопределённость. Это первичное свидетельство того, что сообщил Volkswagen, а не независимая проверка каждой оценки или правового последствия.

2 ноября EPA выпустило отдельное уведомление о некоторых автомобилях Volkswagen, Audi и Porsche с двигателями 3,0 л. Агентство сообщает, что официальные лица Volkswagen позже информировали его, что соответствующее устройство подавления существовало во всех американских дизельных моделях 3,0 л с 2009 года. Системы 2,0 л и 3,0 л, совокупности автомобилей и средства устранения не были идентичны. Их не следует сваливать в одну версию ПО или один фактор выбросов.

Глобальная цифра также имела иное значение, чем популяция американского правоприменения. Около одиннадцати миллионов относилось прежде всего к программному обеспечению управления двигателями EA 189 по всему миру. Примерно 590 тыс. в позднейших американских урегулированиях включали охваченные автомобили 2,0 л и 3,0 л по американским нормам. В разных юрисдикциях были разные процедуры сертификации, пределы выбросов, юридические определения, полномочия отзыва и средства защиты потребителей. Масштаб подтверждён; правовое единообразие — нет.

Триггер, непосредственная первопричина и способствующие факторы должны оставаться раздельными

Триггером стало публично подтверждённое расхождение между сертифицированным лабораторным поведением и обычными дорожными выбросами, в конечном счёте прослеженное до ПО распознавания теста. Непосредственной технической первопричиной была стратегия управления двигателем, которая выбирала калибровку с низкими выбросами для официальных испытаний и менее эффективное состояние вне их. Непосредственной управленческой первопричиной была авторизация этой стратегии как способа поставить продукт, чьи выбранные ограничения иначе не позволяли выполнить применимые требования США по выбросам.

Несколько факторов способствовали, не заменяя первопричину. Продуктовые цели ограничивали выбор аппаратного обеспечения и калибровки. Программные полномочия были сконцентрированы у команд, отвечающих за поставку. Персонал комплаенса не имел доказуемой независимости от разработки. Испытания для одобрения были предсказуемыми. Сертификация опиралась на заявления, не раскрывавшие исполняемые условия. Повторное прохождение одного и того же рода теста создавало «долг доверия». Отказы аппаратного обеспечения рассматривались как причина улучшить распознавание режимов. Эскалация на уровень руководства не привела к законному разрешению.

Объяснения и обновление отзыва занимали время регуляторов, не устраняя расхождение. Позже записи были уничтожены, что дало пункт о воспрепятствовании правосудию в корпоративном признании.

Культуру часто призывают в объяснение, но её следует переводить в контроли. Объяснение «давлением» значимо, только если цели, оценка эффективности или права принимать решения делали законные альтернативы практически недоступными. «Разобщённость» значима, только если ни один владелец не был обязан согласовывать данные калибровки, долговечности, сертификации и дорожных испытаний. Слабость «права голоса» значима, только если возражения можно было отклонить без отслеживаемого независимого пересмотра. Это проверяемые утверждения.

Доказательства не поддерживают утверждение, что каждый сотрудник Volkswagen принимал обман или что сама дизельная технология требовала обмана. Сравнительный автомобиль в работе WVU — одна из причин отвергнуть технологическую неизбежность. Не доказывает протокол и того, что поведение вызвала одна национальная регуляторная система. Предсказуемые тесты создавали возможность, но производитель оставался ответственным за точную сертификацию и законное поведение при обычном использовании.

Обнаружение сработало вне ожидаемого теста и провалилось внутри предприятия

Внутреннее обнаружение имело несколько возможностей. Проверка кода могла выявить распознавание теста. Сравнение калибровок могло показать два материально различных состояния выбросов. Рандомизированные дорожные испытания могли воспроизвести превышения оксидов азота. Анализ долговечности аппаратного обеспечения мог вскрыть, почему более чистый режим не может сохраняться. Проверка сертификации могла потребовать полного реестра вспомогательных стратегий. Возражения сотрудников могли запустить независимую остановку. Ничто не остановило программу.

Внешнее обнаружение объединило портативные измерения, сравнительное тестирование, лаборатории регуляторов и рычаг сертификации. Команде WVU не нужен был доступ к исходному коду, чтобы установить, что продукт ведёт себя иначе. CARB не нужно было доказывать индивидуальный умысел, прежде чем настаивать, что автомобиль после отзыва всё ещё не соответствует объяснению. EPA не нужна была глобальная оценка парка до выпуска американского уведомления.

Эта последовательность предполагает иерархию гарантий. Во-первых, тесты «чёрного ящика» должны варьировать маршруты, температуры, запуски, руление, ускорения и порядок тестов. Во-вторых, проверка «белого ящика» должна перечислить каждый вход, способный изменить эффективность контроля выбросов. В-третьих, хэши бинарного файла и калибровки должны связывать проверенный артефакт с производственным автомобилем. В-четвёртых, эксплуатационный надзор должен тестировать состаренные автомобили и сервисные обновления. В-пятых, независимая функция должна расследовать расхождения без разрешения продуктовой программы.

Доказательства обнаружения должны также сохранять отрицательные решения. Если стратегия признана законной, потому что защищает двигатель, протокол должен указать непосредственную опасность, рабочую оболочку, рассмотренные альтернативные конструкции и то, почему исключение не шире необходимого. Позднейшее толкование Суда Европейского союза подтверждает важность узких исключений, но принцип управления шире: незадокументированная условность — это неоценённое обязательство комплаенса.

Реакция остановила продажи и создала средства защиты, но восстановление требовало иных доказательств

Первоначальная реакция включала публичное раскрытие, смену руководства, остановку продаж, отзыв или задержку заявок на сертификацию, техническое расследование и планирование отзыва. Эти действия снизили дополнительную экспозицию, но не отремонтировали установленный парк и не компенсировали владельцев. Доказательства реакции отвечают на вопрос, сдержала ли компания разворачивающееся событие. Доказательства восстановления отвечают на вопрос, были ли устранены ущерб автомобилям, людям и окружающей среде.

В США восстановление было разделено по поколениям двигателей, потому что нельзя было ответственно предполагать единое техническое исправление. Вматериалах гражданского урегулирования EPA по Закону о чистом воздухеописаны цели вывода из обращения или одобренной модификации как минимум 85 % автомобилей, отдельные цели для Калифорнии, финансовые последствия за их недостижение, потребительские программы, компенсационный траст на 2,7 млрд долларов плюс 225 млн долларов для автомобилей 3,0 л, инвестиции в автомобили с нулевыми выбросами на 2 млрд долларов и гражданский штраф в 1,45 млрд долларов по Закону о чистом воздухе в рамках третьего частичного урегулирования.

Утверждённый судомкомплект мировых соглашений— основной источник детальных обязательств. Мировые соглашения разрешают гражданские требования на согласованных условиях. Это судебные приказы, но их вынесение не означает, что каждое утверждение было рассмотрено в суде. Они намеренно сочетают разные средства: меры на уровне автомобиля снижают будущие сверхнормативные выбросы, компенсация покрывает потери потребителей, компенсационные проекты замещают выбросы, уже попавшие в атмосферу, сокращениями из других источников, а штрафы наказывают и сдерживают.

Ни одна мера не заменяет другие. Обратный выкуп убирает автомобиль, но сам по себе не компенсирует сообществу прошлое загрязнение. Программная модификация может снизить выбросы, но способна изменить обслуживание или характеристики и требует испытаний на долговечность. Выплата компенсирует владельца, но не устанавливает восстановление окружающей среды. Реформа управления снижает риск повторения, но не ремонтирует двигатель. Подотчётность требует отдельных доказательств завершения по каждому обязательству.

Компенсация потребителям была измеримой и необычно полной в пределах своего американского охвата

Предписания FTC давали подходящим американским владельцам и лизингополучателям выбор, зависевший от поколения двигателя и доступности ремонта. Для многих автомобилей 2,0 л владельцы могли принять обратный выкуп или оставить автомобиль и получить одобренную модификацию плюс компенсацию. Некоторые поколения 3,0 л имели пути соответствующего ремонта; более старые автомобили могли быть выкуплены, если адекватная модификация была недоступна. Правила по кредитам, лизингу, сельской доступности и администрированию требований устраняли практические барьеры.

Вфинальном отчёте о статусе программы FTC за 2020 годуказано, что ответчики выплатили потребителям более 9,5 млрд долларов, осуществили платежи, связанные более чем с 88 % охваченных автомобилей «Clean Diesel», и что 86,2 % подходящих потребителей, завершивших процесс и выбравших средство, выбрали обратный выкуп или досрочное расторжение лизинга. Отчёт также подтверждает точность и своевременность администрирования, основанные в значительной степени на данных независимого супервайзера по требованиям.

Эти результаты — весомое доказательство того, что крупный механизм компенсации работал. Их охват нужно сохранять. Цифра в 9,5 млрд долларов исключает более 300 млн долларов, выплаченных Bosch, согласно отчёту. Доля платежей не равна доле ремонтов, потому что обратный выкуп, расторжение лизинга и модификация — разные результаты. Отчёт касается американских предписаний, а не компенсаций в каждой стране. Участие также не доказывает отсутствия отдельных споров.

Утверждение федеральным судомпредписания FTC по двигателям 2,0 л в 2016 годуперевело программу из предложенных мер в исполняемый процесс. Это процессуальное различие важно. Сумма из заголовков — это максимальное или структурированное обязательство; финальный отчёт фиксирует фактические результаты программы. Нужны оба, чтобы оценить дизайн и исполнение.

Технический ремонт должен был утверждаться по поколениям, а не предполагаться из намерений

Модификация выбросов сама является ПО, значимым для безопасности и соответствия. Она должна удалить запрещённую логику, снизить оксиды азота в реальной эксплуатации, сохранить бортовую диагностику, защитить аппаратное обеспечение и раскрыть влияние на расход топлива, характеристики, надёжность и обслуживание. Относиться к исправлению как к заплатке, которая просто удаляет условие, значило бы повторить исходную ошибку управления.

EPA и CARB утверждали модификации поэтапно. Иходобрение января 2017 года для автомобилей 2,0 л поколения 3 модельного года 2015требовало программных и аппаратных работ: исходная программная фаза, затем дополнительное ПО и замена компонентов выхлопа. Позднейшееписьмо об одобрении от апреля 2018 годафиксирует одобрение другой части этого средства.

Регуляторы утверждали не каждое предложение. Частичный отказ EPAот ноября 2017 года по определённым модификациям блока управления трансмиссией автомобилей 2,0 л поколения 1показывает, что восстановление сохраняло контрольный барьер одобрения. Отклонённый компонент предложенной модификации — не доказательство того, что все средства провалились. Это доказательство того, что регулятор проверил предложение по критериям мирового соглашения, а не принял представление Volkswagen как достаточное.

Долговечность остаётся отдельным вопросом. Одобрение основано на заданных испытаниях, инженерных материалах и гарантиях. Завершение основано на записях об автомобилях. Долгосрочная эффективность требует эксплуатационных данных после пробега, старения, обслуживания и в разных климатах. Публичные материалы урегулирований дают содержательные доказательства одобренных конструкций и исполнения программ, но не раскрывают актуальный глобально согласованный набор данных по каждому затронутому автомобилю и каждому результату выбросов после модификации.

Экологическое средство признало, что ремонт автомобилей потребителей не может обратить вспять прошлые выбросы

Оксиды азота вносят вклад в диоксид азота, приземный озон и твёрдые частицы. EPA связывает воздействие с обострением астмы и другими респираторными и сердечно-сосудистыми эффектами, с повышенными рисками для детей, пожилых людей, работников на открытом воздухе и людей с заболеваниями сердца или лёгких. Конкретный исход для здоровья нельзя приписать одному автомобилю без анализа воздействия и причинности, но сверхнормативные выбросы в масштабе парка создают экологическую нагрузку на уровне популяции.

Поэтому американские мировые соглашения финансировали компенсационные меры за пределами самих автомобилей. Трасты позволяют штатам, территориям, округу Колумбия и подходящим племенам заменять или переоборудовать тяжёлые дизельные источники, автобусы, локомотивы, морское оборудование и другие подходящие источники. Эта конструкция признаёт базовый предел восстановления: уже выброшенные выбросы нельзя отозвать. Эквивалентные или большие сокращения должны создаваться в другом месте в рамках проектов, поддающихся аудиту.

Компенсационное финансирование не является самоисполняющимся доказательством экологической пользы. Бенефициары должны выбрать проекты, задокументировать подходящие расходы, заменить или уничтожить старое оборудование, где это требуется, и отчитаться о результатах. Моделируемые сокращения зависят от базового использования двигателей, заменяющей технологии, срока жизни проекта и защиты от двойного учёта. Сумма урегулирования подтверждена; реализованный тоннаж — программный результат, требующий доказательств от бенефициаров и доверительного управляющего.

Инвестиции в автомобили с нулевыми выбросами имеют иное обоснование. Они поддерживают инфраструктуру, доступ и осведомлённость, чтобы компенсировать рыночное влияние покупки потребителями автомобилей, которые они считали менее загрязняющими. Их не следует прибавлять к компенсационным экологическим расходам и описывать как единую сумму удаления загрязнения. Не следует и более поздние инвестиции в электромобили рассматривать как доказательство того, что исходные программные контроли были отремонтированы. Одно — рыночное и технологическое средство; другое — контроль соответствия продукта.

Карта контроля ответственности: полномочия должны быть связаны с доказательствами и правом остановки

Карта контроля инцидента полезна, только если она выявляет практические полномочия, а не просто должности в оргструктуре.

В каждой строке нужно право остановки. Рецензент, который может комментировать, но не может задержать выпуск, — не независимый контроль. Связной с регуляторами, зависящий от продуктовой команды как единственного источника объяснений, не может дать негативное подтверждение. Совет, получающий только агрегированные юридические резервы, не увидит, остаётся ли нерешённым техническое исключение. Контроль должен определять, кто может остановить сертификацию, какие доказательства запускают остановку, как она снимается и кто пересматривает отмену остановки.

Уголовные, гражданские, регуляторные и частноправовые исходы отвечают на разные вопросы

Volkswagen былприговорён федеральным судом 21 апреля 2017 годапосле признания вины. Суд утвердил уголовный штраф в 2,8 млрд долларов, три года пробации и независимого корпоративного комплаенс-монитора. Это судебное решение об уголовной ответственности компании. Оно не устанавливает уголовной вины людей, которым лишь предъявили обвинение, и не решает вопрос гражданских убытков для каждого владельца.

Гражданские урегулирования касались разных законов и средств. Соглашения по Закону о чистом воздухе охватывали автомобили, экологическую компенсацию, штрафы и профилактические контроли. Предписания FTC касались предположительно вводящего в заблуждение маркетинга и потерь потребителей. Таможенные и финансовые требования составили часть более широкого урегулирования 2017 года. Частные коллективные урегулирования координировались с публичными предписаниями. Число из одного документа не следует складывать с числом из другого без проверки пересечений, максимальных и фактически выплаченных сумм и географического охвата.

Индивидуальные исходы тоже требуют точных обозначений. Двое бывших сотрудников Volkswagen признали вину и были осуждены в США; другим людям предъявили обвинения или вынесли обвинительные заключения. Обвинительное заключение — это утверждение, и оно пользуется презумпцией невиновности, пока не разрешено обвинительным приговором. Корпоративная ответственность может быть установлена даже там, где экстрадиция, доказательства или отдельные правовые стандарты оставляют индивидуальные дела нерешёнными.

Американское урегулирование необычно сильно, потому что Volkswagen признал подробное изложение фактов. Оно всё же специфично для юрисдикции. Документ явно оформляет правовые термины и нормы выбросов по американскому праву. Его не следует использовать как автоматическое установление ответственности по уголовному, административному, потребительскому или фондовому праву любой страны.

Глобальная подотчётность разошлась, потому что право, процедура и средства не были единообразными

Канада даёт отдельный уголовный результат. КанадскийРеестр нарушителей природоохранного законодательствафиксирует, что Volkswagen AG признал себя виновным по 58 пунктам о незаконном ввозе автомобилей, не соответствовавших предписанным нормам выбросов, и был обязан в январе 2020 года выплатить штраф в 196,5 млн канадских долларов. Это решение авторитетно для зафиксированных канадских правонарушений; оно не дополняет американский пункт обвинения и не является глобальным приговором.

В Австралии Федеральный суд вынес с согласия сторон декларации о том, что Volkswagen нарушил потребительское законодательство, сделав ложные заявления о соответствии. В официальнойсводке дела Австралийской комиссии по конкуренции и защите прав потребителейуказано, что суд назначил штрафы в 125 млн австралийских долларов и что Volkswagen признал нераскрытие двухрежимного ПО при обращении за одобрением поставки и ввоза более 57 тыс. автомобилей. Контекст согласия сторон и австралийская правовая основа должны оставаться видимыми.

Немецкое гражданское право дало ещё один тип подотчётности. В дизельном деле 2020 года Федеральный верховный суд Германии описал ПО, распознававшее испытательный стенд и выбирающее поведение с более низким уровнем оксидов азота. Врезюме решения от 30 июля 2020 годаиск покупателя о возмещении ущерба был возвращён на дальнейшее рассмотрение после ранее вынесенного отказа. Это не было уголовным разбирательством всей группы Volkswagen, и исходы немецких покупателей зависят от срока подачи иска, автомобиля, зачётов за использование и других фактов.

Отчёт Volkswagenо правовых рисках за 2024 годпоказывает, почему закрытие нельзя объявлять глобально. В нём сообщалось о продолжающихся разбирательствах в нескольких странах, резервах под дизельные судебные споры и правовые риски на конец года в размере около 0,6 млрд евро и о раскрытых условных обязательствах в 4,0 млрд евро, преимущественно по искам инвесторов. Это учётные оценки компании в условиях неопределённости, а не окончательные установления о возмещении ущерба.

Европейское право показывает, почему более поздние нормы нельзя проецировать назад

Европейский регламент 715/2007 уже запрещал устройства подавления, снижавшие эффективность контроля выбросов в условиях нормального использования, с учётом ограниченных исключений.Официальный регламентопределял устройство подавления через считываемые параметры и их влияние на системы контроля выбросов. Этот правовой текст, применимый согласно собственным датам и сфере действия, — правильная отправная точка европейского анализа.

В декабре 2020 года Суд Европейского союза истолковал регламент в деле C-693/18.Решениепо существу постановило, что устройство, систематически улучшающее работу систем контроля выбросов во время процедур одобрения, не может быть оправдано лишь предотвращением старения или засорения двигателя; исключение для защиты двигателя должно толковаться строго. Это авторитетное толкование права ЕС, но процедура преюдициального запроса ответила на поставленные правовые вопросы, а не рассчитала убытки для каждого владельца.

Европейский союз позднее внедрил процедуры выбросов в реальных условиях эксплуатации с использованием портативных измерительных систем.Регламент Комиссии 2016/427описывает требования RDE и правила применения для новых одобрений. Эти процедуры улучшили тестовую среду, сделав обычное вождение наблюдаемым. Их не следует описывать так, будто они были сертификационным циклом, с которым Volkswagen столкнулся изначально, и не следует использовать для утверждения о ретроактивном нарушении более позднего протокола измерений.

Правильное различие более тонкое. Исходное поведение оценивается по закону, сертификатам и заявлениям, действовавшим для автомобилей в то время. Позднейшие решения могут авторитетно истолковывать существующие положения там, где это процессуально релевантно. Позднейшие правила тестирования демонстрируют улучшение контроля и действуют согласно датам вступления в силу. Сохранение этих категорий раздельными позволяет избежать и недоучёта ответственности, и ретроактивного завышения.

Поддерживаемые выводы, нерешённые вопросы и границы утверждений

К подтверждённым фактам относятся дорожные результаты WVU, действия EPA и CARB, раскрытие Volkswagen примерно об одиннадцати миллионах автомобилей, признание вины в США и признанные факты, внесённые в судебные гражданские предписания, зафиксированные выплаты потребителям, одобренные и отклонённые шаги ремонта, канадское признание вины и австралийские декларации с согласия сторон. Регуляторные выводы и судебные решения атрибутируются органу, который их издал.

Наиболее сильный поддерживаемый вывод состоит в том, что устройство подавления сохранялось, потому что управление ПО, продуктом и комплаенсом было выстроено вокруг прохождения известной процедуры одобрения, а не демонстрации законного поведения при нормальной эксплуатации. Этот вывод опирается на признанное происхождение, повторную сертификацию, обратную связь от аппаратных отказов 2012 года, доработку 2014 года и последовательность раскрытия 2015 года. Он не требует догадок о личном состоянии ума каждого топ-руководителя.

Нерешённые вопросы остаются. Публичные материалы не дают полной непредактированной карты того, кто проверял каждую версию ПО в каждом бренде и юрисдикции. Они не раскрывают всех внутренних испытаний монитора и всех рекомендаций. Они не устанавливают единого мирового знаменателя завершения ремонта с актуальным статусом регистрации. Они не дают непосредственно измеренного исхода для здоровья по каждому сообществу. Они не разрешают окончательно всех судебных разбирательств инвесторов и потребителей.

Утверждения сторон должны оставаться обозначенными как таковые. Обвинения против людей, не осуждённых, остаются обвинениями. Гражданские иски излагают требования правительства или частных лиц до признания, рассмотрения или урегулирования. Позиция годового отчёта Volkswagen о знаниях совета — заявление компании в условиях контроля финансовой отчётности, а не независимое оправдание. И наоборот: урегулирование без признания не является доказательством того, что предполагаемое поведение не имело места. Процессуальная форма — часть доказательств.

Контрфактуалы выявляют контроли, а не достоверность альтернативной истории

Самый ранний контрфактуал — технический и коммерческий. Если бы продуктовое руководство ответило на ограничение 2006 года изменением аппаратного обеспечения, затрат, характеристик или сроков запуска, американская программа могла бы быть соответствующей или могла бы не запуститься в прежнем виде. Протокол подтверждает принципиальную реализуемость таких управленческих решений, но не устанавливает точный продуктовый, продажный или выбросный исход законной переработки.

Второй контрфактуал касается независимой проверки. Реестр кода, называющий каждое условие, изменяющее контроль выбросов, в сочетании с рецензентом вне программы двигателя и правом остановки релиза, вероятно, вскрыл бы двойной режим до сертификации. Это сильный превентивный контрфактуал, потому что поведение было закодировано и повторялось. Он всё же не доказывает, что руководство отменило бы программу, а не нашло другой ответ.

Третий касается тестирования. Рандомизированные портативные дорожные испытания до запуска могли бы наблюдать расхождение лаборатории и дороги на годы раньше. Исследование 2014 года демонстрирует способность обнаружения, но более ранние автомобили, оборудование и маршруты могли дать другие измерения. Защитимое утверждение — ускорение обнаружения, а не гарантированная дата.

Четвёртый касается аппаратных отказов 2012 года. Отношение к неожиданной работе чистого режима как к подлежащему отчётности инциденту комплаенса могло бы заставить провести проверку парка автомобилей и раскрытие информации регуляторам. Это, вероятно, сократило бы период продолжающейся сертификации. Оно не может установить точное число автомобилей, объём выбросов или потери потребителей, которых удалось избежать.

Пятый касается реакции 2014 года. Полное раскрытие при первом предъявлении регуляторами дорожных данных вместо объяснений и отзыва, не устранивших расхождение, сократило бы задержку расследования. Более ранняя локализация могла бы остановить дополнительную экспозицию модельных годов. Ни один контрфактуал не может рассчитать точные предотвращённые исходы для здоровья без допущений об активности парка, атмосферной химии, воздействии и сроках средств.

Реформа управления была существенной, но сертификация не является постоянным доказательством

Американские уголовные и гражданские урегулирования предписали внешний надзор и конкретные профилактические контроли. Сводка урегулирования EPA говорит, что Volkswagen должен был отделить персонал, тестирующий соответствие выбросов, от тех, кто проектирует автомобили, создать руководящий комитет по Закону о чистом воздухе, улучшить обучение, создать механизмы информирования о нарушениях и привлечь независимого аудитора комплаенса. Уголовное признание добавило монитора по противодействию мошенничеству и экологическому комплаенсу.

Volkswagen объявил о завершении надзора монитора в сентябре 2020 года. Взаписи о завершении надзорасказано, что независимый монитор засвидетельствовал: охваченные организации разработали и внедрили программу, предназначенную для предотвращения и выявления нарушений в части противодействия мошенничеству и экологии, с изменениями в технической разработке, управлении, управлении рисками, комплаенсе и юридических функциях. Porsche AG и Porsche Cars North America не входили в эту сертификацию монитора — важное ограничение охвата.

Компания также опубликовала результат финального гражданского аудита независимого аудитора комплаенса. Врелизе Volkswagen от июля 2020 годасказано, что финальный отчёт не нашёл новых нарушений и что проверенные организации выполнили обязательства по третьим частичным мировым соглашениям. Это сильнее, чем необоснованная самооценка, потому что отражает вывод независимого аудитора по судебному предписанию. Публичный доступ и охват всё же ограничены по сравнению с полным воспроизводимым архивом испытаний.

Непубличные материалы монитора иллюстрируют границу прозрачности. Более поздняясводка Министерства юстиции о судебном споре за раскрытие отчёта монитораупоминает обширные интервью, встречи, обзор политик, рекомендации и наблюдения, а также законные правки. Мониторинг может быть независимым и всё же оставлять внешних наблюдателей неспособными воспроизвести его доказательства. Завершение доказывает исполнение определённого срока, а не постоянное устранение риска.

Долговечные доказательства ремонта должны проверять поведение, полномочия и исходы парка

Подотчётный пакет закрытия содержал бы как минимум шесть связанных наборов доказательств. Первый — происхождение ПО: коммит исходного кода, среда сборки, калибровочный пакет, подписант, рецензенты, производственный хэш и машиночитаемый реестр каждого условия, влияющего на выбросы. Второй — правовое сопоставление: каждая стратегия, привязанная к требованию, раскрытому исключению или одобрению регулятора. Третий — тестовое покрытие: лабораторные циклы, рандомизированные циклы, дорожные маршруты, диапазоны температур и высот, старение, поведение диагностики и обоснование статистической выборки.

Четвёртый — восстановление парка: исходная подходящая совокупность по двигателю, модельному году и региону; обратные выкупы; утилизация; экспорт; одобренные модификации; неудачные или отменённые модификации; недостижимые владельцы; текущие регистрации; и остающиеся открытыми автомобили. Проценты требуют знаменателей и дат. Автомобиль, оплаченный по потребительской программе, не должен автоматически считаться отремонтированным. Выкупленный автомобиль не должен считаться выведенным, пока не выполнены правила распоряжения.

Пятый — экологические показатели: измеренные оксиды азота до и после модификации, гарантийные отказы, повторные испытания состаренных автомобилей и сокращения по трастовым проектам с базовыми уровнями. Моделируемые выгоды следует отличать от измеренных результатов на выхлопе. Шестой — работа управления: поданные возражения, остановленные вопросы, просроченные исключения, раскрытия регуляторам, провалы независимых тестов и рассмотрения советом. Показатели следует нормировать по программам и релизам, чтобы рост отчётности не принимался за рост нарушений.

Эти записи должны соединяться стабильными идентификаторами. Сертификат должен указывать на точное исполняемое ПО. Модификация дилера должна указывать на одобренный пакет. Результат теста должен идентифицировать конфигурацию автомобиля и пробег. Правовое исключение должно идентифицировать пути кода, которые оно покрывает. Панель совета должна раскрывать нерешённые высокорисковые стратегии, не показывая только агрегированное обучение комплаенсу. Прослеживаемость — это разница между политикой и контролем.

Вывод о подотчётности

Устройство подавления Volkswagen было не просто случаем, когда ПО обмануло лабораторный тест. Это был случай, когда институт позволил лабораторному тесту определять истину, которую он готов был наблюдать. Код воплощал этот выбор, но продуктовые цели, полномочия одобрения, повторная сертификация, ограниченное независимое тестирование, провал эскалации и задержанное раскрытие сделали его долговечным. Внешние дорожные испытания преуспели, потому что изменили условия, в которых измерялась истина.

Ответственность поэтому слоиста, но не размыта. Volkswagen AG несёт корпоративную подотчётность, установленную его признанием вины и гражданскими и регуляторными урегулированиями. Инженеры, руководители, менеджеры, подрядчики, региональные структуры, советы, регуляторы, дилеры и владельцы имели разные формы контроля, но не равные знания и полномочия. Индивидуальная ответственность зависит от исхода индивидуальных дел. Слабость регуляторов не стирает обязанность производителя. Владение потребителем не переносит ответственность за скрытый код.

Доказательства восстановления существенны: огромная компенсация потребителям, обратные выкупы и одобренные модификации, экологические компенсации, инвестиции в нулевые выбросы, штрафы, требования к управлению, независимые аудиты и завершённый срок мониторинга. Глобальные судебные разбирательства и резервы, о которых сообщила компания, показывают, что правовая и финансовая граница оставалась активной годы спустя. Публичные доказательства сильнее всего для исполнения американской программы и слабее для единого мирового учёта исходов по автомобилям и долгосрочных реальных показателей.

Долговечный стандарт — поведенческий. Соответствующий автомобиль должен оставаться соответствующим, когда меняются маршрут, ввод руля, температура, порядок теста и наблюдатель. Соответствующий институт должен выносить недостижимую продуктовую цель на поверхность до того, как код её скроет, сохранять инакомыслие, давать независимым рецензентам право остановки, раскрывать существенные стратегии и доказывать ремонт против датированного знаменателя. Когда ПО может распознать проверяющего, подотчётность начинается с того, чтобы ни продукт, ни организация не могли выбирать, когда действуют правила.