Reset da centralina de airbag depois de um impacto: quando é seguro

Um embate contra um lancil, um buraco mal apanhado ou uma colisão ligeira chegam para a eletrónica de segurança passiva se trancar. A luz de airbag fica acesa, o scanner da oficina lê o código na perfeição mas a ordem de apagar é recusada pelo módulo, e a partir daí não há máquina de diagnóstico que avance.

Antes de qualquer coisa, há uma linha que temos de traçar, e é a parte mais importante deste artigo: nem toda a centralina de airbag trancada se resolve com um reset. Há um cenário em que a unidade se limpa e volta ao estado de fábrica, e há outro em que a peça tem de ser substituída. Distinguir os dois é o trabalho, não a burocracia.

Quando o reset é legítimo

Quando os sensores de inércia registaram o evento mas nenhum componente pirotécnico chegou a ser detonado — nem airbag do condutor ou do passageiro, nem cortinas laterais, nem pré-tensores dos cintos. Nesses casos a placa está fisicamente intacta: os condensadores de reserva de energia, os andares de disparo e as linhas de ignição nunca conduziram corrente de detonação. O que existe é uma bandeira de bloqueio em software, escrita pelo próprio módulo para se autoproteger. Limpar essa bandeira devolve a unidade ao estado virgem de fábrica, com todo o hardware de segurança operacional.

Quando a unidade tem de ser substituída

Se os airbags abriram ou se os pré-tensores dos cintos dispararam, não fazemos reset. Ponto. Os andares de potência que libertaram a corrente de ignição pirotécnica levaram com uma sobrecorrente térmica severa, e essa degradação não se lê no software nem se corrige com um apagamento de memória. Uma centralina que disparou recebe uma unidade de substituição com os circuitos de potência intactos. Não há versão desta regra em que se limpe a memória de um módulo cujos andares de disparo já dispararam — e se alguém te propuser isso, recusa.

Porque é que o scanner da oficina não consegue apagar

Quando os acelerómetros internos detetam uma desaceleração acima do limiar, o microcontrolador faz duas coisas ao mesmo tempo. Grava na memória não volátil a telemetria do evento — desaceleração em G, velocidade angular, pressão nos travões, estado dos cintos, os dados EDR — e escreve uma cadeia de bytes de bloqueio, passando esse setor de memória a modo de leitura apenas.

A partir daí, nenhum comando enviado pela ficha OBD lá chega. O serviço UDS 0x14, que é o que qualquer scanner usa para limpar informação de diagnóstico, é simplesmente rejeitado por imperativo de segurança. Não é o scanner que é fraco: é a área de memória que está fechada a esse caminho.

O que se faz em bancada, e o que não se toca

Acede-se ao processador ou à memória fora da viatura, por protocolos de baixo nível — JTAG, BDM, UART ou leitura direta do barramento SPI. Extrai-se o binário original, identificam-se os endereços exatos onde ficou gravada a telemetria do choque e repõem-se esses blocos com os valores de calibração de fábrica. Depois recalcula-se o checksum, para que o módulo não passe a acusar erro interno de processamento.

O que fica estritamente inalterado: o VIN, a variante de equipamento — quantos airbags laterais, que sensores de presença no banco — e os parâmetros criptográficos da rede. É isso que distingue este trabalho dos ficheiros genéricos que circulam na internet, que apagam máscaras de diagnóstico à bruta e deixam a viatura a mentir sobre o que tem instalado.

Perguntas frequentes