L'hardware ha un difetto grave, e adesso? La GAC Toyota bZ7 è stata richiamata due volte in meno di 100 giorni, entrambe per software scritto male

Il 1° agosto GAC Toyota ha depositato due avvisi di richiamo.

Il primo, S2026M0083V, riguarda 15.266 bZ7. La causa del difetto è scritta così: il programma di controllo software del modulo Bluetooth intelligente è stato considerato in modo insufficiente e in determinate condizioni può inviare un comando anomalo alla centralina di controllo del veicolo, facendo passare la vettura automaticamente da D a N durante la marcia.

Il secondo, S2026M0084V, riguarda 24.286 bZ7. La causa: la strategia di controllo software della centralina di gestione termica è incompleta e, dopo l’accensione del veicolo, il compressore del climatizzatore e il riscaldatore dell’acqua possono smettere di funzionare. Nei casi estremi calano le prestazioni di sbrinamento e disappannamento e la visuale del conducente ne risente.

I due lotti fanno 39.552 vetture. La bZ7 era in commercio da meno di 100 giorni.

La misura correttiva dei due avvisi sta nella stessa frase: aggiornamento software gratuito via etere, senza bisogno di passare dal concessionario.

Gli altri tre avvisi dello stesso mese chiedono di mettere le mani

Dall’8 agosto entrano in vigore insieme due richiami Jaguar Land Rover. S2026M0080V riguarda 76.422 Range Rover e Discovery di importazione, S2026M0081V riguarda 83.810 Defender, in tutto 160.232 vetture. Il difetto è la corrosione da sfregamento sul connettore che collega la spirale del volante all’airbag lato guida: la resistenza del circuito aumenta e l’airbag del conducente può non aprirsi correttamente. La misura correttiva è l’applicazione gratuita di un grasso speciale sui terminali del connettore.

Dal 28 agosto S2026M0082V richiama 33.473 XPeng X9. Una deriva del processo produttivo ha ridotto la tenuta delle molle pneumatiche anteriori: dopo un uso prolungato in ambiente caldo e umido possono perdere lentamente, e nei casi estremi ne risente la tenuta di strada. La misura correttiva è la sostituzione gratuita del montante a molla pneumatica anteriore migliorato.

I cinque avvisi affiancati:

Le prime tre righe significano oltre 190.000 vetture che entrano una alla volta in officina: ponti, ore di manodopera, ricambi, appuntamenti con i clienti, tutto accade davvero. Le ultime due righe sono 39.552 vetture e un ingegnere che pubblica un pacchetto di aggiornamento.

Il lessico delle cause di difetto sta cambiando: da « corrosione » a « considerato in modo insufficiente »

Sfogliando due mesi di avvisi di richiamo, il vocabolario dei difetti hardware classici è un insieme chiuso: corrosione, fatica del metallo, cricche, resistenza di progetto insufficiente, semiassi di misura sbagliata montati sull’assale anteriore, crescita di litio all’interno della cella. Il lotto Harley-Davidson dice che la resistenza del materiale della piastra superiore della forcella è dimensionata con margine insufficiente e che nelle concentrazioni di tensione possono formarsi cricche. Il lotto Volvo EX30 dice che una deviazione produttiva può causare crescita di litio dentro la cella.

Il vocabolario che compare adesso appartiene a un’altra famiglia: considerato in modo insufficiente, strategia incompleta, impostazione inadeguata. Nella stessa serie di avvisi, FAW Toyota ha richiamato 9.408 Prado perché il programma di controllo del quadro strumenti era impostato in modo inadeguato e all’avvio del veicolo il quadro poteva non accendersi correttamente.

« Il programma di controllo software del modulo Bluetooth intelligente è stato considerato in modo insufficiente », tradotto nella lingua che i team software parlano tutti i giorni, vuol dire che una condizione al contorno non è mai entrata nel controllo. Nel verbale di una revisione dei requisiti è una riga che dice: quel caso per ora non lo trattiamo. In un avviso di richiamo sono 15.266 vetture.

Su 1.904 aggiornamenti via etere nel 2025, solo 13 sono stati richiami

I dati 2025 dell’autorità cinese di regolazione del mercato: 190 richiami auto a livello nazionale per 6,846 milioni di veicoli, in calo del 18,5 per cento nel numero e del 39,1 per cento nelle unità. Di questi, 13 richiami sono stati eseguiti via etere e hanno riguardato 1,756 milioni di veicoli, il 25,7 per cento di tutti i veicoli richiamati nell’anno.

Nello stesso anno i costruttori hanno dichiarato 1.904 aggiornamenti via etere su 140 milioni di occorrenze veicolo, con il numero di aggiornamenti in crescita del 38 per cento.

1.904 e 13. La stragrande maggioranza degli aggiornamenti aggiunge funzioni, ritocca l’esperienza, sistema piccoli difetti. Tredici sono stati qualificati come richiami. Dove passa quella linea è il giudizio più costoso di tutta la faccenda: da un lato l’iterazione di prodotto, dall’altro un richiamo per difetto che va depositato presso l’autorità, che ferma produzione e vendita e che finisce nelle statistiche annuali.

La circolare congiunta del ministero dell’industria e dell’autorità di mercato del marzo 2025 traccia la linea in modo esplicito: quando un’impresa esegue un aggiornamento via etere per eliminare un difetto di un prodotto automobilistico e attuare un richiamo, deve organizzarlo secondo le modalità attuative del regolamento sul richiamo dei prodotti automobilistici difettosi e sospendere immediatamente produzione e vendita del prodotto difettoso. Lo stesso documento aggiunge una frase che punta dritta alla tentazione: normare le modalità di applicazione degli aggiornamenti via etere, perché le imprese non li usino per nascondere difetti dei veicoli o sottrarsi alle responsabilità.

L’aggiornamento via etere ha portato il costo di una riparazione da « 190.000 vetture che sfilano in officina » a « pubblicare un pacchetto », senza togliere un solo obbligo di deposito. Poter correggere da remoto non vuol dire poter correggere in silenzio.

Dopo la conferma del difetto: dieci giorni lavorativi, tre mesi, dall’1 al 10 per cento del valore

Un richiamo non comincia il giorno in cui l’avviso diventa pubblico. Comincia il giorno in cui qualcuno conclude che un difetto potrebbe esserci.

Per le auto, il regolamento sul richiamo dei prodotti automobilistici difettosi impone al costruttore di depositare un piano di richiamo presso l’autorità competente prima di attuarlo. L’hardware che non è un’auto ricade nelle disposizioni provvisorie sul richiamo dei beni di consumo, che scrivono l’orologio in modo più dettagliato. Articolo 9: quando un produttore scopre che un bene di consumo potrebbe essere difettoso, deve immediatamente avviare indagine e analisi. Articolo 17: per un richiamo volontario, il produttore comunica il piano di richiamo all’autorità provinciale entro dieci giorni lavorativi da quando l’indagine conclude che il difetto esiste. Articolo 21: un rendiconto intermedio ogni tre mesi dall’avvio del richiamo e un rendiconto finale entro quindici giorni lavorativi dal completamento del piano.

La colonna delle sanzioni cambia ordine di grandezza. L’articolo 24 del regolamento auto fissa multe dall’1 al 10 per cento del valore dei prodotti automobilistici difettosi, con revoca dell’autorizzazione nei casi gravi; l’articolo 23 prevede da 500.000 a 1.000.000 di yuan per chi non collabora a un’indagine sui difetti e rifiuta di correggere. L’articolo 25 delle disposizioni sui beni di consumo prevede da 10.000 a 30.000 yuan per la mancata correzione nei termini.

Il che rende il passaggio più difficile della catena non la riparazione ma la qualificazione: se qualcuno accetta di chiamarlo difetto. Dei 190 richiami del 2025, 55 sono stati attuati su sollecitazione dell’autorità e hanno riguardato 2,934 milioni di veicoli, il 42,9 per cento di tutti i veicoli richiamati. In unità, quasi metà delle vetture non è stata segnalata di iniziativa del costruttore.

La soluzione tecnica, la comunicazione pubblica e il piano di indennizzo si preparano tutti in 48 ore. Quello che si inceppa è sempre il passo precedente: qualcuno deve firmare che questo è un difetto.

Dalla mia parte il caso peggiore è un rollback

Io faccio software, non hardware. Quando qualcosa si rompe in produzione, la notte peggiore che ho avuto è finita con il rollback di una versione e il post mortem scritto il giorno dopo. Il costo per gli utenti sono qualche ora senza il prodotto, o un blocco di dati da reimportare. Questo prezzo posso pagarlo, ed è il motivo per cui « intanto usciamo, poi correggiamo » non mi ha quasi mai richiesto di esitare.

L’avviso della bZ7 dice che la vettura può passare automaticamente da D a N durante la marcia. Stessa specie di errore, un percorso di controllo a cui manca un caso, e dalla mia parte finisce in un rollback, dalla loro qualcuno perde la trazione in strada.

Da quando il software definisce l’hardware, il risultato peggiore di un commit passa da « l’utente riavvia l’app » a un avviso pubblico con un numero, un conteggio di unità e un deposito presso lo Stato. E chi scrive quella logica porta ancora le abitudini del software: pubblicare, guardare i dati, iterare.

L’aggiornamento via etere rende quell’abitudine più difficile da perdere. Più la correzione somiglia a un rilascio, più diventa facile giudicare anche « è davvero un problema » con i criteri di un rilascio. La bZ7 ha depositato due richiami in meno di 100 giorni, e la data di produzione più antica coinvolta è il 28 ottobre 2025: entrambi i difetti sono usciti dalla fabbrica con le prime vetture e hanno solo girato qualche mese prima che qualcuno li riconoscesse.

I cinque avvisi dell’agosto 2026, numerati da S2026M0080V a S2026M0084V, riguardano in tutto 233.257 veicoli. Per 39.552 di essi il problema è una condizione che qualcuno non ha finito di scrivere nel codice.