# Amtsblatt L 82/2021

| | ISSN 1977-0642 |
| --- | --- |
| Amtsblatt
  der Europäischen Union | L 82 |
| | |
| Ausgabe in deutscher Sprache | Rechtsvorschriften | 64. Jahrgang9. März 2021 |

ISSN 1977-0642

Amtsblatt

der Europäischen Union

L 82

Ausgabe in deutscher Sprache

Rechtsvorschriften

64. Jahrgang9. März 2021

---

| Inhalt | | II   Rechtsakte ohne Gesetzescharakter | Seite |
| --- | --- | --- | --- |
| | | RECHTSAKTE VON GREMIEN, DIE IM RAHMEN INTERNATIONALER ÜBEREINKÜNFTE EINGESETZT WURDEN |
| | * | UN-Regelung Nr. 153 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit des Elektroantriebs bei einem Heckaufprall [2021/386] | 1 |
| | * | UN-Regelung Nr. 155 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems [2021/387] | 30 |
| | * | UN-Regelung Nr. 156 — Einheitliche Bestimmungen für die Genehmigung von Kraftfahrzeugen hinsichtlich der Softwareaktualisierung und des Softwareaktualisierungsmanagementsystems [2021/388] | 60 |
| | * | UN-Regelung Nr. 157 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich des automatischen Spurhalteassistenzsystems (ALKS) [2021/389] | 75 |

Inhalt

II   Rechtsakte ohne Gesetzescharakter

Seite

RECHTSAKTE VON GREMIEN, DIE IM RAHMEN INTERNATIONALER ÜBEREINKÜNFTE EINGESETZT WURDEN

*

UN-Regelung Nr. 153 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit des Elektroantriebs bei einem Heckaufprall [2021/386]

1

*

UN-Regelung Nr. 155 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems [2021/387]

30

*

UN-Regelung Nr. 156 — Einheitliche Bestimmungen für die Genehmigung von Kraftfahrzeugen hinsichtlich der Softwareaktualisierung und des Softwareaktualisierungsmanagementsystems [2021/388]

60

*

UN-Regelung Nr. 157 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich des automatischen Spurhalteassistenzsystems (ALKS) [2021/389]

75

| DE | Bei Rechtsakten, deren Titel in magerer Schrift gedruckt sind, handelt es sich um Rechtsakte der laufenden Verwaltung im Bereich der Agrarpolitik, die normalerweise nur eine begrenzte Geltungsdauer haben.
  Rechtsakte, deren Titel in fetter Schrift gedruckt sind und denen ein Sternchen vorangestellt ist, sind sonstige Rechtsakte. |
| --- | --- |

DE

Bei Rechtsakten, deren Titel in magerer Schrift gedruckt sind, handelt es sich um Rechtsakte der laufenden Verwaltung im Bereich der Agrarpolitik, die normalerweise nur eine begrenzte Geltungsdauer haben.

Rechtsakte, deren Titel in fetter Schrift gedruckt sind und denen ein Sternchen vorangestellt ist, sind sonstige Rechtsakte.

---

II Rechtsakte ohne Gesetzescharakter

RECHTSAKTE VON GREMIEN, DIE IM RAHMEN INTERNATIONALER ÜBEREINKÜNFTE EINGESETZT WURDEN

| 9.3.2021 | DE | Amtsblatt der Europäischen Union | L 82/1 |
| --- | --- | --- | --- |

9.3.2021

DE

Amtsblatt der Europäischen Union

L 82/1

---

Nur die von der UNECE verabschiedeten Originalfassungen sind international rechtsverbindlich. Der Status dieser Regelung und das Datum ihres Inkrafttretens sind der neuesten Fassung des UNECE-Statusdokuments TRANS/WP.29/343 zu entnehmen, das von folgender Website abgerufen werden kann: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

UN-Regelung Nr. 153 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit des Elektroantriebs bei einem Heckaufprall [2021/386]

Datum des Inkrafttretens: 22. Januar 2021

Dieses Dokument ist nur als Dokumentationsmaterial zu verstehen. Der rechtsverbindliche Originaltext ist: ECE/TRANS/WP.29/2020/76

INHALTSVERZEICHNIS

REGELUNG

| 1. | Anwendungsbereich |
| --- | --- |

1.

| 2. | Begriffsbestimmungen |
| --- | --- |

2.

| 3. | Antrag auf Genehmigung |
| --- | --- |

3.

| 4. | Genehmigung |
| --- | --- |

4.

| 5. | Anforderungen |
| --- | --- |

5.

| 6. | Prüfung |
| --- | --- |

6.

| 7. | Änderung des Fahrzeugtyps und Erweiterung der Genehmigung |
| --- | --- |

7.

| 8. | Übereinstimmung der Produktion |
| --- | --- |

8.

| 9. | Maßnahmen bei Abweichungen in der Produktion |
| --- | --- |

9.

| 10. | Endgültige Einstellung der Produktion |
| --- | --- |

10.

| 11. | Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden |
| --- | --- |

11.

ANHÄNGE

| 1 | Mitteilung |
| --- | --- |

1

| 2 | Beispiele für die Anordnung der Genehmigungszeichen |
| --- | --- |

2

| 3 | Verfahren für die Aufprallprüfung am Heck |
| --- | --- |

3

| 4 | Prüfbedingungen und -verfahren für die Bewertung der Integrität des Wasserstoffkraftstoffsystems nach dem Aufprall |
| --- | --- |

4

| 5 | Prüfverfahren für Fahrzeuge mit Elektroantrieb |
| --- | --- |

5

1.   ANWENDUNGSBEREICH

Diese Regelung gilt für Fahrzeuge der Klasse M1
   (1) mit einer zulässigen Gesamtmasse von bis zu 3 500 kg und für Fahrzeuge der Klasse N1 hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit eines mit Hochspannung betriebenen Elektroantriebs bei einem Heckaufprall

1

1

1

2.   BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieser Verordnung gelten folgende Begriffsbestimmungen:

| 2.1. | „Fahrzeugtyp“ bezeichnet Kraftfahrzeuge, die sich in wesentlichen Punkten wie den folgenden nicht unterscheiden: |
| --- | --- |

2.1.

„Fahrzeugtyp“ bezeichnet Kraftfahrzeuge, die sich in wesentlichen Punkten wie den folgenden nicht unterscheiden:

| 2.1.1. | Länge und Breite des Fahrzeugs, sofern sie einen Einfluss auf die Ergebnisse der Aufprallprüfung nach dieser Regelung haben; |
| --- | --- |

2.1.1.

Länge und Breite des Fahrzeugs, sofern sie einen Einfluss auf die Ergebnisse der Aufprallprüfung nach dieser Regelung haben;

| 2.1.2. | Struktur, Abmessungen, Form und Werkstoffe des Teils des Fahrzeugs, der hinter der Querebene durch den R-Punkt des hintersten Sitzes gelegen ist; |
| --- | --- |

2.1.2.

Struktur, Abmessungen, Form und Werkstoffe des Teils des Fahrzeugs, der hinter der Querebene durch den R-Punkt des hintersten Sitzes gelegen ist;

| 2.1.3. | Form und Innenabmessungen des Fahrgastraums, soweit sie einen Einfluss auf die Ergebnisse der Aufprallprüfung nach dieser Regelung haben; |
| --- | --- |

2.1.3.

Form und Innenabmessungen des Fahrgastraums, soweit sie einen Einfluss auf die Ergebnisse der Aufprallprüfung nach dieser Regelung haben;

| 2.1.4. | Lage (vorn, hinten oder in der Mitte) und Ausrichtung (Quer- oder Längsanordnung) des Motors, sofern sie einen negativen Einfluss auf das Ergebnis der Aufprallprüfung nach dieser Regelung haben; |
| --- | --- |

2.1.4.

Lage (vorn, hinten oder in der Mitte) und Ausrichtung (Quer- oder Längsanordnung) des Motors, sofern sie einen negativen Einfluss auf das Ergebnis der Aufprallprüfung nach dieser Regelung haben;

| 2.1.5. | Leermasse, sofern sie einen negativen Einfluss auf das Ergebnis der Aufprallprüfung nach dieser Regelung hat; |
| --- | --- |

2.1.5.

Leermasse, sofern sie einen negativen Einfluss auf das Ergebnis der Aufprallprüfung nach dieser Regelung hat;

| 2.1.6. | Einbaulagen der wiederaufladbaren Energiespeichersysteme, sofern sie einen negativen Einfluss auf die Ergebnisse der Aufprallprüfung nach dieser Regelung haben; |
| --- | --- |

2.1.6.

Einbaulagen der wiederaufladbaren Energiespeichersysteme, sofern sie einen negativen Einfluss auf die Ergebnisse der Aufprallprüfung nach dieser Regelung haben;

| 2.1.7. | Struktur, Form, Abmessungen und Werkstoffe (Metall/Kunststoff) der Behälter; |
| --- | --- |

2.1.7.

Struktur, Form, Abmessungen und Werkstoffe (Metall/Kunststoff) der Behälter;

| 2.1.8. | Einbaulage des Behälters, sofern sie nachteilige Auswirkungen im Hinblick auf die Einhaltung der Vorschriften des Absatzes 5.2.1 hat; |
| --- | --- |

2.1.8.

Einbaulage des Behälters, sofern sie nachteilige Auswirkungen im Hinblick auf die Einhaltung der Vorschriften des Absatzes 5.2.1 hat;

| 2.1.9. | Merkmale und Lage der Kraftstoffanlage (Pumpe, Filter usw.). |
| --- | --- |

2.1.9.

Merkmale und Lage der Kraftstoffanlage (Pumpe, Filter usw.).

| 2.2. | „Fahrgastraum“ bezeichnet den Raum zur Unterbringung der Insassen, der durch das Dach, den Boden, die Seitenwände, die Türen, die Außenverglasung, die Stirnwand und die hintere Querwand oder die Hecktür sowie die Isolierbarrieren und Gehäuse, die die Insassen vor direktem Berühren von aktiven Teilen unter Hochspannung schützen, begrenzt wird. |
| --- | --- |

2.2.

„Fahrgastraum“ bezeichnet den Raum zur Unterbringung der Insassen, der durch das Dach, den Boden, die Seitenwände, die Türen, die Außenverglasung, die Stirnwand und die hintere Querwand oder die Hecktür sowie die Isolierbarrieren und Gehäuse, die die Insassen vor direktem Berühren von aktiven Teilen unter Hochspannung schützen, begrenzt wird.

| 2.3. | „Leermasse“ bezeichnet die Masse des fahrbereiten Fahrzeugs ohne Insassen und Ladung, jedoch mit Kraftstoff, Kühlflüssigkeit, Schmiermitteln, Werkzeug und Ersatzrad (wenn dieses zu der vom Fahrzeughersteller gelieferten Standardausrüstung gehört). |
| --- | --- |

2.3.

„Leermasse“ bezeichnet die Masse des fahrbereiten Fahrzeugs ohne Insassen und Ladung, jedoch mit Kraftstoff, Kühlflüssigkeit, Schmiermitteln, Werkzeug und Ersatzrad (wenn dieses zu der vom Fahrzeughersteller gelieferten Standardausrüstung gehört).

| 2.4. | „Tank“ bezeichnet die Behälter zur Aufnahme des Flüssigkraftstoffs gemäß Absatz 2.6 oder des komprimierten Wasserstoffgases, der bzw. das in erster Linie zum Antrieb des Fahrzeugs verwendet wird, ausgenommen Zubehör (Einfüllstutzen, wenn dieser ein gesondertes Bauteil ist, Einfüllöffnung, Verschluss, Füllstandsmesser, Motorzuleitungen oder Druckausgleichsleitungen usw.). |
| --- | --- |

2.4.

„Tank“ bezeichnet die Behälter zur Aufnahme des Flüssigkraftstoffs gemäß Absatz 2.6 oder des komprimierten Wasserstoffgases, der bzw. das in erster Linie zum Antrieb des Fahrzeugs verwendet wird, ausgenommen Zubehör (Einfüllstutzen, wenn dieser ein gesondertes Bauteil ist, Einfüllöffnung, Verschluss, Füllstandsmesser, Motorzuleitungen oder Druckausgleichsleitungen usw.).

| 2.5. | „Fassungsvermögen des Kraftstofftanks“ bezeichnet das vom Hersteller angegebene Fassungsvermögen des Kraftstofftanks. |
| --- | --- |

2.5.

„Fassungsvermögen des Kraftstofftanks“ bezeichnet das vom Hersteller angegebene Fassungsvermögen des Kraftstofftanks.

| 2.6. | „Flüssigkraftstoff“ bezeichnet einen Kraftstoff, der unter Normalbedingungen für Temperatur und Druck flüssig ist. |
| --- | --- |

2.6.

„Flüssigkraftstoff“ bezeichnet einen Kraftstoff, der unter Normalbedingungen für Temperatur und Druck flüssig ist.

| 2.7. | „Hochspannung“ bezeichnet die Spannung, für die ein Stromkreis oder ein elektrisches Bauteil ausgelegt ist, dessen Effektivwert der Betriebsspannung > 60 V und ≤ 1 500 V (Gleichstrom) oder > 30 V und ≤ 1 000 V (Wechselstrom) ist. |
| --- | --- |

2.7.

„Hochspannung“ bezeichnet die Spannung, für die ein Stromkreis oder ein elektrisches Bauteil ausgelegt ist, dessen Effektivwert der Betriebsspannung > 60 V und ≤ 1 500 V (Gleichstrom) oder > 30 V und ≤ 1 000 V (Wechselstrom) ist.

| 2.8. | „Wiederaufladbares Speichersystem für elektrische Energie (REESS — rechargeable electrical energy storage system)“ bezeichnet das wiederaufladbare Energiespeichersystem, das für den Antrieb elektrische Energie liefert.
  Batterien, deren Hauptverwendungszweck darin besteht, Energie für das Anlassen des Motors und/oder die Beleuchtung und/oder andere Fahrzeughilfseinrichtungen zu liefern, gelten nicht als REESS. [„Hauptverwendungszweck“ bedeutet in diesem Zusammenhang, dass in einem geeigneten Fahrzyklus, z. B. dem WLTC für Fahrzeuge der Klassen M1 und N1, mehr als 50 % der Energie aus der Batterie für das Anlassen des Motors und/oder die Beleuchtung und/oder andere Fahrzeughilfseinrichtungen verwendet werden.] |
| --- | --- |

2.8.

„Wiederaufladbares Speichersystem für elektrische Energie (REESS — rechargeable electrical energy storage system)“ bezeichnet das wiederaufladbare Energiespeichersystem, das für den Antrieb elektrische Energie liefert.

Batterien, deren Hauptverwendungszweck darin besteht, Energie für das Anlassen des Motors und/oder die Beleuchtung und/oder andere Fahrzeughilfseinrichtungen zu liefern, gelten nicht als REESS. [„Hauptverwendungszweck“ bedeutet in diesem Zusammenhang, dass in einem geeigneten Fahrzyklus, z. B. dem WLTC für Fahrzeuge der Klassen M1 und N1, mehr als 50 % der Energie aus der Batterie für das Anlassen des Motors und/oder die Beleuchtung und/oder andere Fahrzeughilfseinrichtungen verwendet werden.]

1

1

| 2.9. | „Isolierbarriere“ bezeichnet das Teil, das Schutz gegen direktes Berühren von aktiven unter Hochspannung stehenden Teilen bietet. |
| --- | --- |

2.9.

„Isolierbarriere“ bezeichnet das Teil, das Schutz gegen direktes Berühren von aktiven unter Hochspannung stehenden Teilen bietet.

| 2.10. | „Elektroantrieb“ bezeichnet den Stromkreis, der die Antriebsmotoren einschließt und der das REESS, das System zur Umwandlung elektrischer Energie, die elektronischen Umformer, das zugehörige Kabelbündel und die Steckverbinder sowie das Anschlusssystem für das Aufladen des wiederaufladbaren Speichersystems für elektrische Energie (REESS) einschließen kann. |
| --- | --- |

2.10.

„Elektroantrieb“ bezeichnet den Stromkreis, der die Antriebsmotoren einschließt und der das REESS, das System zur Umwandlung elektrischer Energie, die elektronischen Umformer, das zugehörige Kabelbündel und die Steckverbinder sowie das Anschlusssystem für das Aufladen des wiederaufladbaren Speichersystems für elektrische Energie (REESS) einschließen kann.

| 2.11. | „Aktive Teile“ bezeichnet die leitfähigen Teile, an die unter normalen Betriebsbedingungen eine Spannung angelegt wird. |
| --- | --- |

2.11.

„Aktive Teile“ bezeichnet die leitfähigen Teile, an die unter normalen Betriebsbedingungen eine Spannung angelegt wird.

| 2.12. | „Freiliegendes leitfähiges Teil“ bezeichnet das leitfähige Teil, das entsprechend der Schutzart IPXXB berührt werden kann und normalerweise nicht unter Spannung steht, bei einem Isolationsfehler jedoch unter Spannung stehen kann. Dazu gehören Teile unter einer Abdeckung, die ohne Werkzeug entfernt werden kann. |
| --- | --- |

2.12.

„Freiliegendes leitfähiges Teil“ bezeichnet das leitfähige Teil, das entsprechend der Schutzart IPXXB berührt werden kann und normalerweise nicht unter Spannung steht, bei einem Isolationsfehler jedoch unter Spannung stehen kann. Dazu gehören Teile unter einer Abdeckung, die ohne Werkzeug entfernt werden kann.

| 2.13. | „Direktes Berühren“ bezeichnet die Berührung von aktiven unter Hochspannung stehenden Teilen durch Personen. |
| --- | --- |

2.13.

„Direktes Berühren“ bezeichnet die Berührung von aktiven unter Hochspannung stehenden Teilen durch Personen.

| 2.14. | „Indirektes Berühren“ bezeichnet die Berührung von freiliegenden leitfähigen Teilen durch Personen. |
| --- | --- |

2.14.

„Indirektes Berühren“ bezeichnet die Berührung von freiliegenden leitfähigen Teilen durch Personen.

| 2.15. | „Schutzart IPXXB“ bezeichnet den Schutz, den eine Isolierbarriere oder ein Gehäuse vor der Berührung von aktiven unter Hochspannung stehenden Teilen bietet und der mit einem Gelenkprüffinger (Schutzart IPXXB) gemäß der Beschreibung in Anhang 5 Absatz 4 überprüft wird. |
| --- | --- |

2.15.

„Schutzart IPXXB“ bezeichnet den Schutz, den eine Isolierbarriere oder ein Gehäuse vor der Berührung von aktiven unter Hochspannung stehenden Teilen bietet und der mit einem Gelenkprüffinger (Schutzart IPXXB) gemäß der Beschreibung in Anhang 5 Absatz 4 überprüft wird.

| 2.16. | „Betriebsspannung“ bezeichnet den vom Hersteller angegebenen höchsten Wert der Spannung in einem Stromkreis (Effektivwert), der zwischen leitfähigen Teilen bei nicht geschlossenem Stromkreis oder unter normalen Betriebsbedingungen gemessen werden kann. Wenn der Stromkreis galvanisch getrennt ist, wird für die getrennten Stromkreise die jeweilige Betriebsspannung angegeben. |
| --- | --- |

2.16.

„Betriebsspannung“ bezeichnet den vom Hersteller angegebenen höchsten Wert der Spannung in einem Stromkreis (Effektivwert), der zwischen leitfähigen Teilen bei nicht geschlossenem Stromkreis oder unter normalen Betriebsbedingungen gemessen werden kann. Wenn der Stromkreis galvanisch getrennt ist, wird für die getrennten Stromkreise die jeweilige Betriebsspannung angegeben.

| 2.17. | „Anschlusssystem für das Aufladen des wiederaufladbaren Speichersystems für elektrische Energie (REESS)“ bezeichnet den Stromkreis (einschließlich des Eingangsanschlusses am Fahrzeug), der zum Aufladen des REESS über eine externe Stromversorgung verwendet wird. |
| --- | --- |

2.17.

„Anschlusssystem für das Aufladen des wiederaufladbaren Speichersystems für elektrische Energie (REESS)“ bezeichnet den Stromkreis (einschließlich des Eingangsanschlusses am Fahrzeug), der zum Aufladen des REESS über eine externe Stromversorgung verwendet wird.

| 2.18. | „Elektrische Masse“ bezeichnet einen Satz leitfähiger Teile, die elektrisch miteinander verbunden sind und deren Potenzial als Bezugswert verwendet wird. |
| --- | --- |

2.18.

„Elektrische Masse“ bezeichnet einen Satz leitfähiger Teile, die elektrisch miteinander verbunden sind und deren Potenzial als Bezugswert verwendet wird.

| 2.19. | „Stromkreis“ bezeichnet eine Baugruppe miteinander verbundener aktiver unter Hochspannung stehender Teile, an die im normalen Betrieb eine Spannung angelegt wird. |
| --- | --- |

2.19.

„Stromkreis“ bezeichnet eine Baugruppe miteinander verbundener aktiver unter Hochspannung stehender Teile, an die im normalen Betrieb eine Spannung angelegt wird.

| 2.20. | „System zur Umwandlung elektrischer Energie“ bezeichnet ein System (z. B. Brennstoffzelle), das für den elektrischen Antrieb elektrische Energie erzeugt und liefert. |
| --- | --- |

2.20.

„System zur Umwandlung elektrischer Energie“ bezeichnet ein System (z. B. Brennstoffzelle), das für den elektrischen Antrieb elektrische Energie erzeugt und liefert.

| 2.21. | „Elektronischer Umformer“ bezeichnet ein Gerät zur Steuerung und/oder Umformung elektrischer Energie für den elektrischen Antrieb. |
| --- | --- |

2.21.

„Elektronischer Umformer“ bezeichnet ein Gerät zur Steuerung und/oder Umformung elektrischer Energie für den elektrischen Antrieb.

| 2.22. | „Gehäuse“ bezeichnet das Teil, das die innen liegenden Baugruppen umgibt und Schutz gegen direktes Berühren bietet. |
| --- | --- |

2.22.

„Gehäuse“ bezeichnet das Teil, das die innen liegenden Baugruppen umgibt und Schutz gegen direktes Berühren bietet.

| 2.23. | „Hochspannungssammelschiene“ bezeichnet den Stromkreis, der das Anschlusssystem für das Aufladen des REESS, das mit Hochspannung betrieben wird, einschließt. Bei galvanisch verbundenen Stromkreisen, die die besondere Spannungsbedingung erfüllen, werden nur die Teile oder Bestandteile des Stromkreises, die mit Hochspannung betrieben werden, als Hochspannungssammelschiene eingestuft. |
| --- | --- |

2.23.

„Hochspannungssammelschiene“ bezeichnet den Stromkreis, der das Anschlusssystem für das Aufladen des REESS, das mit Hochspannung betrieben wird, einschließt. Bei galvanisch verbundenen Stromkreisen, die die besondere Spannungsbedingung erfüllen, werden nur die Teile oder Bestandteile des Stromkreises, die mit Hochspannung betrieben werden, als Hochspannungssammelschiene eingestuft.

| 2.24. | „Festisolierung“ bezeichnet die Isolierbeschichtung von Kabelbündeln, mit der die aktiven unter Hochspannung stehenden Teile umhüllt und gegen direktes Berühren geschützt werden. |
| --- | --- |

2.24.

„Festisolierung“ bezeichnet die Isolierbeschichtung von Kabelbündeln, mit der die aktiven unter Hochspannung stehenden Teile umhüllt und gegen direktes Berühren geschützt werden.

| 2.25. | „Automatischer Abschalter“ bezeichnet eine Einrichtung, die bei Betätigung die elektrischen Energiequellen galvanisch vom restlichen Hochspannungsstromkreis des Elektroantriebs trennt. |
| --- | --- |

2.25.

„Automatischer Abschalter“ bezeichnet eine Einrichtung, die bei Betätigung die elektrischen Energiequellen galvanisch vom restlichen Hochspannungsstromkreis des Elektroantriebs trennt.

| 2.26. | „Offene Antriebsbatterie“ bezeichnet einen Batterietyp, der mit Wasser aufgefüllt werden muss und Wasserstoffgas erzeugt, das in die Luft abgelassen wird. |
| --- | --- |

2.26.

„Offene Antriebsbatterie“ bezeichnet einen Batterietyp, der mit Wasser aufgefüllt werden muss und Wasserstoffgas erzeugt, das in die Luft abgelassen wird.

| 2.27. | „Wässriger Elektrolyt“ bezeichnet einen Elektrolyten auf der Grundlage von Wasser als Lösungsmittel für die Bestandteile (z. B. Säuren oder Basen), wodurch nach Dissoziation leitfähige Ionen entstehen. |
| --- | --- |

2.27.

„Wässriger Elektrolyt“ bezeichnet einen Elektrolyten auf der Grundlage von Wasser als Lösungsmittel für die Bestandteile (z. B. Säuren oder Basen), wodurch nach Dissoziation leitfähige Ionen entstehen.

| 2.28. | „Elektrolytaustritt“ bezeichnet das Entweichen von Elektrolyt aus dem REESS in flüssiger Form. |
| --- | --- |

2.28.

„Elektrolytaustritt“ bezeichnet das Entweichen von Elektrolyt aus dem REESS in flüssiger Form.

| 2.29. | „Nicht wässriger Elektrolyt“ bezeichnet einen Elektrolyten, der nicht auf dem Lösungsmittel Wasser basiert. |
| --- | --- |

2.29.

„Nicht wässriger Elektrolyt“ bezeichnet einen Elektrolyten, der nicht auf dem Lösungsmittel Wasser basiert.

| 2.30. | „Normale Betriebsbedingungen“ bezeichnet Betriebsarten und -bedingungen, die während des normalen Betriebs des Fahrzeugs vernünftigerweise zu erwarten sind, darunter Fahrten bei gesetzlich zulässigen Geschwindigkeiten, Parken oder Leerlauf im Straßenverkehr sowie Aufladen mithilfe von Ladegeräten, die mit den im Fahrzeug eingebauten spezifischen Ladeanschlüssen kompatibel sind. Bedingungen, unter denen das Fahrzeug durch einen Aufprall, durch Gegenstände auf der Fahrbahn oder mutwillig beschädigt, Bränden ausgesetzt oder in Wasser getaucht ist oder sich in einem Zustand befindet, in dem Wartungs- oder Instandhaltungsarbeiten notwendig sind oder gerade vorgenommen werden, zählen nicht zu den normalen Betriebsbedingungen. |
| --- | --- |

2.30.

„Normale Betriebsbedingungen“ bezeichnet Betriebsarten und -bedingungen, die während des normalen Betriebs des Fahrzeugs vernünftigerweise zu erwarten sind, darunter Fahrten bei gesetzlich zulässigen Geschwindigkeiten, Parken oder Leerlauf im Straßenverkehr sowie Aufladen mithilfe von Ladegeräten, die mit den im Fahrzeug eingebauten spezifischen Ladeanschlüssen kompatibel sind. Bedingungen, unter denen das Fahrzeug durch einen Aufprall, durch Gegenstände auf der Fahrbahn oder mutwillig beschädigt, Bränden ausgesetzt oder in Wasser getaucht ist oder sich in einem Zustand befindet, in dem Wartungs- oder Instandhaltungsarbeiten notwendig sind oder gerade vorgenommen werden, zählen nicht zu den normalen Betriebsbedingungen.

| 2.31. | „Besondere Spannungsbedingung“ bezeichnet die Bedingung, dass die Höchstspannung eines galvanisch verbundenen Stromkreises zwischen einem unter Gleichstrom stehenden aktiven Teil und einem anderen (unter Gleichstrom oder Wechselstrom stehenden) aktiven Teil ≤ 30 V Wechselstrom (Effektivwert) und ≤ 60 V Gleichstrom ist.







  Anmerkung: | Ist ein unter Gleichstrom stehendes aktives Teil eines solchen Stromkreises an die Masse angeschlossen und gilt die besondere Spannungsbedingung, beträgt die Höchstspannung zwischen jedem aktiven Teil und der elektrischen Masse ≤ 30 V Wechselstrom (Effektivwert) und ≤ 60 V Gleichstrom. |
| --- | --- | --- |

2.31.

„Besondere Spannungsbedingung“ bezeichnet die Bedingung, dass die Höchstspannung eines galvanisch verbundenen Stromkreises zwischen einem unter Gleichstrom stehenden aktiven Teil und einem anderen (unter Gleichstrom oder Wechselstrom stehenden) aktiven Teil ≤ 30 V Wechselstrom (Effektivwert) und ≤ 60 V Gleichstrom ist.

Anmerkung:

Anmerkung

Ist ein unter Gleichstrom stehendes aktives Teil eines solchen Stromkreises an die Masse angeschlossen und gilt die besondere Spannungsbedingung, beträgt die Höchstspannung zwischen jedem aktiven Teil und der elektrischen Masse ≤ 30 V Wechselstrom (Effektivwert) und ≤ 60 V Gleichstrom.

3.   ANTRAG AUF GENEHMIGUNG

| 3.1. | Der Antrag auf Erteilung einer Genehmigung für einen Fahrzeugtyp hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit eines mit Hochspannung betriebenen Elektroantriebs bei einem Heckaufprall ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter gemäß dem Verfahren nach Verzeichnis 3 des Übereinkommens (E/ECE/TRANS/505/Rev.3) einzureichen |
| --- | --- |

3.1.

Der Antrag auf Erteilung einer Genehmigung für einen Fahrzeugtyp hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit eines mit Hochspannung betriebenen Elektroantriebs bei einem Heckaufprall ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter gemäß dem Verfahren nach Verzeichnis 3 des Übereinkommens (E/ECE/TRANS/505/Rev.3) einzureichen

| 3.2. | Anhang 1 Anlage 1 enthält ein Muster des Beschreibungsbogens. |
| --- | --- |

3.2.

Anhang 1 Anlage 1 enthält ein Muster des Beschreibungsbogens.

4.   GENEHMIGUNG

| 4.1. | Entspricht das zur Genehmigung nach dieser Regelung vorgeführte Fahrzeug den Bestimmungen dieser Regelung, ist die Genehmigung für den betreffenden Fahrzeugtyp zu erteilen. |
| --- | --- |

4.1.

Entspricht das zur Genehmigung nach dieser Regelung vorgeführte Fahrzeug den Bestimmungen dieser Regelung, ist die Genehmigung für den betreffenden Fahrzeugtyp zu erteilen.

| 4.1.1. | Der nach Absatz 11 benannte technische Dienst prüft, ob die vorgeschriebenen Bedingungen erfüllt sind. |
| --- | --- |

4.1.1.

Der nach Absatz 11 benannte technische Dienst prüft, ob die vorgeschriebenen Bedingungen erfüllt sind.

| 4.1.2. | Im Zweifelsfall werden bei der Prüfung auf Einhaltung der Prüfverfahren etwaige vom Hersteller gelieferte Prüfdaten oder -ergebnisse insofern berücksichtigt, als sie zur Validierung der vom technischen Dienst durchgeführten Prüfungen herangezogen werden können. |
| --- | --- |

4.1.2.

Im Zweifelsfall werden bei der Prüfung auf Einhaltung der Prüfverfahren etwaige vom Hersteller gelieferte Prüfdaten oder -ergebnisse insofern berücksichtigt, als sie zur Validierung der vom technischen Dienst durchgeführten Prüfungen herangezogen werden können.

| 4.2. | Jedem nach Verzeichnis 4 des Übereinkommens (E/ECE/TRANS/505/Rev.3) genehmigten Typ wird eine Genehmigungsnummer zugeteilt. |
| --- | --- |

4.2.

Jedem nach Verzeichnis 4 des Übereinkommens (E/ECE/TRANS/505/Rev.3) genehmigten Typ wird eine Genehmigungsnummer zugeteilt.

| 4.3. | Über die Erteilung oder die Erweiterung oder die Versagung oder die Rücknahme der Genehmigung oder die endgültige Einstellung der Produktion für einen Fahrzeugtyp nach dieser Regelung sind die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 1 dieser Regelung entspricht. |
| --- | --- |

4.3.

Über die Erteilung oder die Erweiterung oder die Versagung oder die Rücknahme der Genehmigung oder die endgültige Einstellung der Produktion für einen Fahrzeugtyp nach dieser Regelung sind die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 1 dieser Regelung entspricht.

| 4.4. | An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die in dem Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen anzubringen, das dem Muster in Anhang 2 entspricht, bestehend aus: |
| --- | --- |

4.4.

An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die in dem Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen anzubringen, das dem Muster in Anhang 2 entspricht, bestehend aus:

| 4.4.1. | einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat (2); |
| --- | --- |

4.4.1.

einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat (2

| 4.4.2. | der Nummer dieser Regelung mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis nach Absatz 4.4.1. |
| --- | --- |

4.4.2.

der Nummer dieser Regelung mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis nach Absatz 4.4.1.

| 4.5. | Entspricht das Fahrzeug einem Fahrzeugtyp, der in dem Land, das die Typgenehmigung nach dieser Regelung erteilt hat, auch nach einer oder mehreren anderen UN-Regelungen zum Übereinkommen genehmigt wurde, braucht das Zeichen nach Absatz 4.4.1 nicht wiederholt zu werden; in diesem Fall sind die zusätzlichen Zahlen und Zeichen aller UN-Regelungen, aufgrund deren die Genehmigung in dem Land erteilt wurde, das die Genehmigung nach dieser Regelung erteilt hat, in Spalten rechts neben dem Zeichen nach Absatz 4.4.1 anzuordnen. |
| --- | --- |

4.5.

Entspricht das Fahrzeug einem Fahrzeugtyp, der in dem Land, das die Typgenehmigung nach dieser Regelung erteilt hat, auch nach einer oder mehreren anderen UN-Regelungen zum Übereinkommen genehmigt wurde, braucht das Zeichen nach Absatz 4.4.1 nicht wiederholt zu werden; in diesem Fall sind die zusätzlichen Zahlen und Zeichen aller UN-Regelungen, aufgrund deren die Genehmigung in dem Land erteilt wurde, das die Genehmigung nach dieser Regelung erteilt hat, in Spalten rechts neben dem Zeichen nach Absatz 4.4.1 anzuordnen.

| 4.6. | Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein. |
| --- | --- |

4.6.

Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein.

5.   ANFORDERUNGEN

| 5.1. | Wenn das Fahrzeug der Prüfung nach Absatz 6 unterzogen wurde, müssen die Bestimmungen des Absatzes 5.2 eingehalten werden.
  Bei einem Fahrzeug, bei dem alle Teile des Kraftstoffsystems vor dem Mittelpunkt des Radstands eingebaut sind, wird davon ausgegangen, dass es die Vorschriften des Absatzes 5.2.1 erfüllt.
  Bei einem Fahrzeug, bei dem alle Teile des mit Hochspannung betriebenen Elektroantriebs vor dem Mittelpunkt des Radstands eingebaut sind, wird davon ausgegangen, dass es die Vorschriften des Absatzes 5.2.2 erfüllt. |
| --- | --- |

5.1.

Wenn das Fahrzeug der Prüfung nach Absatz 6 unterzogen wurde, müssen die Bestimmungen des Absatzes 5.2 eingehalten werden.

Bei einem Fahrzeug, bei dem alle Teile des Kraftstoffsystems vor dem Mittelpunkt des Radstands eingebaut sind, wird davon ausgegangen, dass es die Vorschriften des Absatzes 5.2.1 erfüllt.

Bei einem Fahrzeug, bei dem alle Teile des mit Hochspannung betriebenen Elektroantriebs vor dem Mittelpunkt des Radstands eingebaut sind, wird davon ausgegangen, dass es die Vorschriften des Absatzes 5.2.2 erfüllt.

| 5.2. | Nach der Durchführung der Prüfung gemäß dem Verfahren der Anhänge 3, 4 und 5 dieser Regelung müssen folgende Bestimmungen im Hinblick auf die Integrität des Kraftstoffsystems und die Sicherheit des Elektroantriebs erfüllt sein: |
| --- | --- |

5.2.

Nach der Durchführung der Prüfung gemäß dem Verfahren der Anhänge 3, 4 und 5 dieser Regelung müssen folgende Bestimmungen im Hinblick auf die Integrität des Kraftstoffsystems und die Sicherheit des Elektroantriebs erfüllt sein:

| 5.2.1. | Bei Fahrzeugen, die mit Flüssigkraftstoff angetrieben werden, ist die Übereinstimmung mit den Absätzen 5.2.1.1 bis 5.2.1.2 nachzuweisen.
  Bei Fahrzeugen, die mit komprimiertem Wasserstoff angetrieben werden, ist die Übereinstimmung mit den Absätzen 5.2.1.3 bis 5.2.1.5 nachzuweisen. |
| --- | --- |

5.2.1.

Bei Fahrzeugen, die mit Flüssigkraftstoff angetrieben werden, ist die Übereinstimmung mit den Absätzen 5.2.1.1 bis 5.2.1.2 nachzuweisen.

Bei Fahrzeugen, die mit komprimiertem Wasserstoff angetrieben werden, ist die Übereinstimmung mit den Absätzen 5.2.1.3 bis 5.2.1.5 nachzuweisen.

| 5.2.1.1. | Bei einem Aufprall darf nur eine geringe Leckmenge Flüssigkeit aus dem Kraftstoffsystem auslaufen. |
| --- | --- |

5.2.1.1.

Bei einem Aufprall darf nur eine geringe Leckmenge Flüssigkeit aus dem Kraftstoffsystem auslaufen.

| 5.2.1.2. | Tritt nach dem Aufprall aus dem Kraftstoffsystem ständig Flüssigkeit aus, so darf die Leckrate nicht höher als 30 g/min sein; vermischt sich die Flüssigkeit aus dem Kraftstoffsystem mit Flüssigkeiten aus anderen Anlagen und können die verschiedenen Flüssigkeiten nicht ohne Weiteres getrennt und identifiziert werden, so sind alle aufgefangenen Flüssigkeiten bei der Ermittlung der ausgeflossenen Menge zu berücksichtigen. |
| --- | --- |

5.2.1.2.

Tritt nach dem Aufprall aus dem Kraftstoffsystem ständig Flüssigkeit aus, so darf die Leckrate nicht höher als 30 g/min sein; vermischt sich die Flüssigkeit aus dem Kraftstoffsystem mit Flüssigkeiten aus anderen Anlagen und können die verschiedenen Flüssigkeiten nicht ohne Weiteres getrennt und identifiziert werden, so sind alle aufgefangenen Flüssigkeiten bei der Ermittlung der ausgeflossenen Menge zu berücksichtigen.

| 5.2.1.3. | Die Wasserstoff-Leckage-Rate (VH2), die im Falle von Wasserstoff gemäß Anhang 4 Absatz 4 und im Falle von Helium gemäß Anhang 4 Absatz 5 bestimmt wird, darf für das Zeitintervall (Δt Minuten) nach dem Aufprall einen durchschnittlichen Wert von 118 NL pro Minute nicht überschreiten. |
| --- | --- |

5.2.1.3.

Die Wasserstoff-Leckage-Rate (VH2

| 5.2.1.4. | Die volumenmäßige Gaskonzentration (Wasserstoff bzw. Helium) in Luftwerten, die gemäß Anhang 4 Absatz 6 für den Fahrgastraum und den Kofferraum bestimmt wird, darf zu keinem Zeitpunkt während der sechzigminütigen Messzeit nach dem Aufprall 4,0 Prozent (Wasserstoff) bzw. 3,0 Prozent (Helium) überschreiten. Diese Anforderung ist erfüllt, wenn bestätigt wird, dass sich das Absperrventil jedes Wasserstoffspeichersystems innerhalb von fünf Sekunden nach dem ersten Kontakt des Fahrzeugs mit dem Schlagkörper geschlossen hat und keine Leckage aus den Wasserstoffspeichersystemen vorliegt. |
| --- | --- |

5.2.1.4.

Die volumenmäßige Gaskonzentration (Wasserstoff bzw. Helium) in Luftwerten, die gemäß Anhang 4 Absatz 6 für den Fahrgastraum und den Kofferraum bestimmt wird, darf zu keinem Zeitpunkt während der sechzigminütigen Messzeit nach dem Aufprall 4,0 Prozent (Wasserstoff) bzw. 3,0 Prozent (Helium) überschreiten. Diese Anforderung ist erfüllt, wenn bestätigt wird, dass sich das Absperrventil jedes Wasserstoffspeichersystems innerhalb von fünf Sekunden nach dem ersten Kontakt des Fahrzeugs mit dem Schlagkörper geschlossen hat und keine Leckage aus den Wasserstoffspeichersystemen vorliegt.

| 5.2.1.5. | Die Behälter (für die Wasserstoffspeicherung) müssen an mindestens einem Befestigungspunkt am Fahrzeug befestigt bleiben. |
| --- | --- |

5.2.1.5.

Die Behälter (für die Wasserstoffspeicherung) müssen an mindestens einem Befestigungspunkt am Fahrzeug befestigt bleiben.

| 5.2.2. | Bei Fahrzeugen mit einem Elektroantrieb, der mit Hochspannung betrieben wird, müssen der Elektroantrieb und die Hochspannungssysteme, die galvanisch mit der Hochspannungssammelschiene des Elektroantriebs verbunden sind, die Anforderungen der Absätze 5.2.2.1 bis 5.2.2.3 erfüllen: |
| --- | --- |

5.2.2.

Bei Fahrzeugen mit einem Elektroantrieb, der mit Hochspannung betrieben wird, müssen der Elektroantrieb und die Hochspannungssysteme, die galvanisch mit der Hochspannungssammelschiene des Elektroantriebs verbunden sind, die Anforderungen der Absätze 5.2.2.1 bis 5.2.2.3 erfüllen:

| 5.2.2.1. | Schutz vor Stromschlägen
  Nach dem Aufprall müssen die Hochspannungssammelschienen mindestens eines der vier in den Absätzen 5.2.2.1.1 bis 5.2.2.1.4.2 genannten Kriterien erfüllen.
  Wenn das Fahrzeug über eine automatische Abschaltfunktion oder über Vorrichtungen zur galvanischen Teilung des Stromkreises des Elektroantriebs unter Fahrtbedingungen verfügt, so muss mindestens eines der folgenden Kriterien auf den abgeschalteten Stromkreis oder auf die einzelnen verzweigten Stromkreise zutreffen, wenn die Abschaltfunktion betätigt wurde.
  Die in Absatz 5.2.2.1.4 festgelegten Kriterien gelten jedoch nicht, wenn mehr als ein einziges Potenzial eines Teils der Hochspannungssammelschiene nicht entsprechend der Schutzart IPXXB geschützt ist.
  Wird die Aufprallprüfung unter Bedingungen durchgeführt, bei denen Teile des Hochspannungssystems nicht eingeschaltet sind, ist der Schutz gegen Stromschläge für die betreffenden Teile entweder nach Absatz 5.2.2.1.3 oder nach Absatz 5.2.2.1.4 nachzuweisen; Anschlusssysteme für das Aufladen des REESS, die während der Fahrt nicht eingeschaltet sind, werden dabei nicht berücksichtigt. |
| --- | --- |

5.2.2.1.

Schutz vor Stromschlägen

Nach dem Aufprall müssen die Hochspannungssammelschienen mindestens eines der vier in den Absätzen 5.2.2.1.1 bis 5.2.2.1.4.2 genannten Kriterien erfüllen.

Wenn das Fahrzeug über eine automatische Abschaltfunktion oder über Vorrichtungen zur galvanischen Teilung des Stromkreises des Elektroantriebs unter Fahrtbedingungen verfügt, so muss mindestens eines der folgenden Kriterien auf den abgeschalteten Stromkreis oder auf die einzelnen verzweigten Stromkreise zutreffen, wenn die Abschaltfunktion betätigt wurde.

Die in Absatz 5.2.2.1.4 festgelegten Kriterien gelten jedoch nicht, wenn mehr als ein einziges Potenzial eines Teils der Hochspannungssammelschiene nicht entsprechend der Schutzart IPXXB geschützt ist.

Wird die Aufprallprüfung unter Bedingungen durchgeführt, bei denen Teile des Hochspannungssystems nicht eingeschaltet sind, ist der Schutz gegen Stromschläge für die betreffenden Teile entweder nach Absatz 5.2.2.1.3 oder nach Absatz 5.2.2.1.4 nachzuweisen; Anschlusssysteme für das Aufladen des REESS, die während der Fahrt nicht eingeschaltet sind, werden dabei nicht berücksichtigt.

| 5.2.2.1.1. | Fehlende Hochspannung
  Die Spannungen Ub, U1 und U2 der Hochspannungssammelschienen dürfen 60 s nach dem Aufprall höchstens 30 V Wechselspannung oder 60 V Gleichspannung betragen, wenn sie gemäß Anhang 5 Absatz 2 gemessen werden. |
| --- | --- |

5.2.2.1.1.

Fehlende Hochspannung

Die Spannungen Ub, U1 und U2 der Hochspannungssammelschienen dürfen 60 s nach dem Aufprall höchstens 30 V Wechselspannung oder 60 V Gleichspannung betragen, wenn sie gemäß Anhang 5 Absatz 2 gemessen werden.

b

1

2

| 5.2.2.1.2. | Niedrige elektrische Energie
  Die Gesamtenergie (TE) auf den Hochspannungssammelschienen beträgt, gemessen nach dem Testverfahren gemäß Anhang 5 Absatz 3 Formel a, weniger als 0,2 J. Alternativ kann die Gesamtenergie (TE) anhand der gemessenen Spannung Ub der Hochspannungssammelschiene und der Kapazität der X-Kondensatoren (Cx), die vom Hersteller nach Anhang 5 Absatz 3 Formel b spezifiziert wird, berechnet werden.
  Die in den Y-Kondensatoren gespeicherte Energie (TEy1, TEy2) muss ebenfalls weniger als 0,2 J betragen. Sie wird berechnet durch Messung der Spannungen U1 und U2 der Hochspannungssammelschienen und der elektrischen Masse und der Kapazität der Y-Kondensatoren, die vom Hersteller nach Anhang 5 Absatz 3 Formel c spezifiziert wird. |
| --- | --- |

5.2.2.1.2.

Niedrige elektrische Energie

Die Gesamtenergie (TE) auf den Hochspannungssammelschienen beträgt, gemessen nach dem Testverfahren gemäß Anhang 5 Absatz 3 Formel a, weniger als 0,2 J. Alternativ kann die Gesamtenergie (TE) anhand der gemessenen Spannung Ub der Hochspannungssammelschiene und der Kapazität der X-Kondensatoren (Cx), die vom Hersteller nach Anhang 5 Absatz 3 Formel b spezifiziert wird, berechnet werden.

b

Die in den Y-Kondensatoren gespeicherte Energie (TEy1, TEy2) muss ebenfalls weniger als 0,2 J betragen. Sie wird berechnet durch Messung der Spannungen U1 und U2 der Hochspannungssammelschienen und der elektrischen Masse und der Kapazität der Y-Kondensatoren, die vom Hersteller nach Anhang 5 Absatz 3 Formel c spezifiziert wird.

1

2

| 5.2.2.1.3. | Physischer Schutz
  Der Schutz gegen direktes Berühren von aktiven unter Hochspannung stehenden Teilen muss der Schutzart IPXXB entsprechen.
  Die Bewertung ist nach Anhang 5 Absatz 4 durchzuführen.
  Darüber hinaus muss zum Schutz gegen Stromschläge, die beim indirekten Berühren auftreten können, der Widerstand zwischen allen freiliegenden leitenden Teilen von Isolierbarrieren/Gehäusen und der elektrischen Masse weniger als 0,1 Ω betragen, und der Widerstand zwischen zwei beliebigen freiliegenden leitfähigen Teilen von Isolierbarrieren/Gehäusen, die gleichzeitig erreichbar und weniger als 2,5 m voneinander entfernt sind, muss bei einer Stromstärke von mindestens 0,2 A weniger als 0,2 Ω betragen. Dieser Widerstand kann aus den separat gemessenen Widerständen der maßgeblichen Teile des elektrischen Pfads berechnet werden.
  Diese Anforderung ist eingehalten, wenn die galvanische Verbindung durch Schweißen erreicht wurde. In Zweifelsfällen oder wenn die Verbindung auf andere Weise als durch Schweißen erreicht wurde, ist die Messung nach einem der in Anhang 5 Absatz 4 beschriebenen Verfahren vorzunehmen. |
| --- | --- |

5.2.2.1.3.

Physischer Schutz

Der Schutz gegen direktes Berühren von aktiven unter Hochspannung stehenden Teilen muss der Schutzart IPXXB entsprechen.

Die Bewertung ist nach Anhang 5 Absatz 4 durchzuführen.

Darüber hinaus muss zum Schutz gegen Stromschläge, die beim indirekten Berühren auftreten können, der Widerstand zwischen allen freiliegenden leitenden Teilen von Isolierbarrieren/Gehäusen und der elektrischen Masse weniger als 0,1 Ω betragen, und der Widerstand zwischen zwei beliebigen freiliegenden leitfähigen Teilen von Isolierbarrieren/Gehäusen, die gleichzeitig erreichbar und weniger als 2,5 m voneinander entfernt sind, muss bei einer Stromstärke von mindestens 0,2 A weniger als 0,2 Ω betragen. Dieser Widerstand kann aus den separat gemessenen Widerständen der maßgeblichen Teile des elektrischen Pfads berechnet werden.

Diese Anforderung ist eingehalten, wenn die galvanische Verbindung durch Schweißen erreicht wurde. In Zweifelsfällen oder wenn die Verbindung auf andere Weise als durch Schweißen erreicht wurde, ist die Messung nach einem der in Anhang 5 Absatz 4 beschriebenen Verfahren vorzunehmen.

| 5.2.2.1.4. | Isolationswiderstand
  Die in den Absätzen 5.2.2.1.4.1 und 5.2.2.1.4.2 genannten Kriterien müssen erfüllt werden.
  Die Messungen sind nach Anhang 5 Absatz 5 durchzuführen. |
| --- | --- |

5.2.2.1.4.

Isolationswiderstand

Die in den Absätzen 5.2.2.1.4.1 und 5.2.2.1.4.2 genannten Kriterien müssen erfüllt werden.

Die Messungen sind nach Anhang 5 Absatz 5 durchzuführen.

| 5.2.2.1.4.1. | Elektroantrieb, der aus getrennten Gleichstrom- oder Wechselstromsammelschienen besteht
  Wenn Wechselstrom- oder Gleichstrom-Hochspannungssammelschienen galvanisch voneinander getrennt sind, muss der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse (Ri gemäß der Begriffsbestimmung in Anhang 5 Absatz 5) bezogen auf die Betriebsspannung für Gleichstromsammelschienen mindestens 100 Ω/V und für Wechselstromsammelschienen mindestens 500 Ω/V betragen. |
| --- | --- |

5.2.2.1.4.1.

Elektroantrieb, der aus getrennten Gleichstrom- oder Wechselstromsammelschienen besteht

Wenn Wechselstrom- oder Gleichstrom-Hochspannungssammelschienen galvanisch voneinander getrennt sind, muss der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse (Ri gemäß der Begriffsbestimmung in Anhang 5 Absatz 5) bezogen auf die Betriebsspannung für Gleichstromsammelschienen mindestens 100 Ω/V und für Wechselstromsammelschienen mindestens 500 Ω/V betragen.

i

| 5.2.2.1.4.2. | Elektroantrieb, der aus kombinierten Gleichstrom- und Wechselstrom-Sammelschienen besteht
  Sind die Wechselstrom- und Gleichstrom-Hochspannungssammelschienen galvanisch verbunden, müssen sie eine der folgenden Anforderungen erfüllen:






  a) | Der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse beträgt mindestens 500 Ω/V der Betriebsspannung. |
| --- | --- | --- |

5.2.2.1.4.2.

Elektroantrieb, der aus kombinierten Gleichstrom- und Wechselstrom-Sammelschienen besteht

Sind die Wechselstrom- und Gleichstrom-Hochspannungssammelschienen galvanisch verbunden, müssen sie eine der folgenden Anforderungen erfüllen:

a)

Der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse beträgt mindestens 500 Ω/V der Betriebsspannung.

| b) | Der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse beträgt mindestens 100 Ω/V der Betriebsspannung, und die Wechselstromschiene erfüllt die in Absatz 5.2.2.1.3 beschriebenen Anforderungen an den physischen Schutz. |
| --- | --- |

b)

Der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse beträgt mindestens 100 Ω/V der Betriebsspannung, und die Wechselstromschiene erfüllt die in Absatz 5.2.2.1.3 beschriebenen Anforderungen an den physischen Schutz.

| c) | Der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse beträgt mindestens 100 Ω/V der Betriebsspannung, und die Wechselstromschiene erfüllt die Anforderung der fehlenden Hochspannung nach Absatz 5.2.2.1.1. |
| --- | --- |

c)

Der Isolationswiderstand zwischen der Hochspannungssammelschiene und der elektrischen Masse beträgt mindestens 100 Ω/V der Betriebsspannung, und die Wechselstromschiene erfüllt die Anforderung der fehlenden Hochspannung nach Absatz 5.2.2.1.1.

| 5.2.2.2. | Elektrolytaustritt |
| --- | --- |

5.2.2.2.

Elektrolytaustritt

| 5.2.2.2.1. | Bei einem REESS mit wässrigem Elektrolyt
  Im Zeitraum vom Aufprall bis zu 60 Minuten danach darf kein Elektrolyt aus dem REESS in den Fahrgastraum gelangen, und die Menge des aus dem REESS in Bereiche außerhalb des Fahrgastraums austretenden Elektrolyten darf nicht mehr als 7 Volumenprozent des im REESS enthaltenen Elektrolyten oder 5,0 l betragen. Die austretende Menge an Elektrolyt kann mit den üblichen Verfahren zur Bestimmung von Flüssigkeitsvolumina nach Auffangen gemessen werden. Bei Behältern, die Stoddard-Lösungsmittel, gefärbtes Kühlmittel und Elektrolyt enthalten, ist es zulässig, die Flüssigkeiten vor der Messung anhand des spezifischen Gewichts zu trennen. |
| --- | --- |

5.2.2.2.1.

Bei einem REESS mit wässrigem Elektrolyt

Im Zeitraum vom Aufprall bis zu 60 Minuten danach darf kein Elektrolyt aus dem REESS in den Fahrgastraum gelangen, und die Menge des aus dem REESS in Bereiche außerhalb des Fahrgastraums austretenden Elektrolyten darf nicht mehr als 7 Volumenprozent des im REESS enthaltenen Elektrolyten oder 5,0 l betragen. Die austretende Menge an Elektrolyt kann mit den üblichen Verfahren zur Bestimmung von Flüssigkeitsvolumina nach Auffangen gemessen werden. Bei Behältern, die Stoddard-Lösungsmittel, gefärbtes Kühlmittel und Elektrolyt enthalten, ist es zulässig, die Flüssigkeiten vor der Messung anhand des spezifischen Gewichts zu trennen.

| 5.2.2.2.2. | Bei einem REESS mit nicht wässrigem Elektrolyt
  Im Zeitraum vom Aufprall bis zu 60 Minuten danach darf kein flüssiger Elektrolyt aus dem REESS in den Fahrgast- oder Gepäckraum oder in Bereiche außerhalb des Fahrzeugs austreten. Diese Anforderung ist durch Sichtprüfung zu überprüfen, ohne dass Teile des Fahrzeugs auseinandergebaut werden.
  Der Hersteller muss die Einhaltung dieser Vorschrift gemäß Anhang 5 Nummer 6 nachweisen. |
| --- | --- |

5.2.2.2.2.

Bei einem REESS mit nicht wässrigem Elektrolyt

Im Zeitraum vom Aufprall bis zu 60 Minuten danach darf kein flüssiger Elektrolyt aus dem REESS in den Fahrgast- oder Gepäckraum oder in Bereiche außerhalb des Fahrzeugs austreten. Diese Anforderung ist durch Sichtprüfung zu überprüfen, ohne dass Teile des Fahrzeugs auseinandergebaut werden.

Der Hersteller muss die Einhaltung dieser Vorschrift gemäß Anhang 5 Nummer 6 nachweisen.

| 5.2.2.3. | Verbleib des REESS
  Das REESS muss mit mindestens einer Verankerung für Bauteile, einer Halterung oder einer sonstigen Struktur, die Kräfte vom REESS auf die Fahrzeugstruktur überträgt, am Fahrzeug befestigt bleiben, und REESS, die außerhalb des Fahrgastraums eingebaut sind, dürfen nicht in den Fahrgastraum eindringen.
  Der Hersteller muss die Einhaltung dieser Vorschrift gemäß Anhang 5 Absatz 7 nachweisen. |
| --- | --- |

5.2.2.3.

Verbleib des REESS

Das REESS muss mit mindestens einer Verankerung für Bauteile, einer Halterung oder einer sonstigen Struktur, die Kräfte vom REESS auf die Fahrzeugstruktur überträgt, am Fahrzeug befestigt bleiben, und REESS, die außerhalb des Fahrgastraums eingebaut sind, dürfen nicht in den Fahrgastraum eindringen.

Der Hersteller muss die Einhaltung dieser Vorschrift gemäß Anhang 5 Absatz 7 nachweisen.

6.   PRÜFUNG

| 6.1. | Die Einhaltung der Anforderungen von Absatz 5 durch das Fahrzeug ist nach dem in den Anhängen 3, 4 und 5 dieser Regelung beschriebenen Verfahren zu prüfen. |
| --- | --- |

6.1.

Die Einhaltung der Anforderungen von Absatz 5 durch das Fahrzeug ist nach dem in den Anhängen 3, 4 und 5 dieser Regelung beschriebenen Verfahren zu prüfen.

7.   ÄNDERUNGEN DES FAHRZEUGTYPS UND ERWEITERUNG DER GENEHMIGUNG

| 7.1. | Jede Änderung des Fahrzeugtyps nach dieser Regelung ist der Typgenehmigungsbehörde mitzuteilen, die die Genehmigung für den Fahrzeugtyp erteilt hat. Die Typgenehmigungsbehörde kann dann






  a) | im Benehmen mit dem Hersteller entscheiden, dass eine neue Typgenehmigung zu erteilen ist, oder |
| --- | --- | --- |

7.1.

Jede Änderung des Fahrzeugtyps nach dieser Regelung ist der Typgenehmigungsbehörde mitzuteilen, die die Genehmigung für den Fahrzeugtyp erteilt hat. Die Typgenehmigungsbehörde kann dann

a)

im Benehmen mit dem Hersteller entscheiden, dass eine neue Typgenehmigung zu erteilen ist, oder

| b) | das Verfahren nach Absatz 7.1.1 (Überarbeitung) und gegebenenfalls das Verfahren nach Absatz 7.1.2 (Erweiterung) anwenden. |
| --- | --- |

b)

das Verfahren nach Absatz 7.1.1 (Überarbeitung) und gegebenenfalls das Verfahren nach Absatz 7.1.2 (Erweiterung) anwenden.

| 7.1.1. | Überarbeitung
  Wenn sich im Beschreibungsbogen von Anhang 1 — Anlage 1 aufgezeichnete Einzelheiten ändern und die Typgenehmigungsbehörde die Auffassung vertritt, dass die vorgenommenen Änderungen wahrscheinlich keine nennenswerte nachteilige Auswirkung haben und das Fahrzeug in jedem Fall noch den Anforderungen entspricht, dann wird diese Änderung als „Überarbeitung“ bezeichnet.
  In diesem Fall gibt die Typgenehmigungsbehörde, soweit erforderlich, die überarbeiteten Seiten der Beschreibungsbögen in Anhang 1 — Anlage 1 heraus und kennzeichnet jede überarbeitete Seite, damit die Art der Änderung und das Datum der Neuausgabe klar ersichtlich sind. Eine konsolidierte, aktualisierte Fassung der Beschreibungsbögen in Anhang 1 — Anlage 1 mit einer ausführlichen Beschreibung der Änderungen erfüllt diese Anforderung. |
| --- | --- |

7.1.1.

Überarbeitung

Wenn sich im Beschreibungsbogen von Anhang 1 — Anlage 1 aufgezeichnete Einzelheiten ändern und die Typgenehmigungsbehörde die Auffassung vertritt, dass die vorgenommenen Änderungen wahrscheinlich keine nennenswerte nachteilige Auswirkung haben und das Fahrzeug in jedem Fall noch den Anforderungen entspricht, dann wird diese Änderung als „Überarbeitung“ bezeichnet.

In diesem Fall gibt die Typgenehmigungsbehörde, soweit erforderlich, die überarbeiteten Seiten der Beschreibungsbögen in Anhang 1 — Anlage 1 heraus und kennzeichnet jede überarbeitete Seite, damit die Art der Änderung und das Datum der Neuausgabe klar ersichtlich sind. Eine konsolidierte, aktualisierte Fassung der Beschreibungsbögen in Anhang 1 — Anlage 1 mit einer ausführlichen Beschreibung der Änderungen erfüllt diese Anforderung.

| 7.1.2. | Erweiterung
  Die Änderung wird als „Erweiterung“ bezeichnet, wenn zusätzlich zu der Änderung an den in der Beschreibungsmappe aufgezeichneten Einzelheiten






  a) | weitere Kontrollen oder Prüfungen erforderlich sind oder |
| --- | --- | --- |

7.1.2.

Erweiterung

Die Änderung wird als „Erweiterung“ bezeichnet, wenn zusätzlich zu der Änderung an den in der Beschreibungsmappe aufgezeichneten Einzelheiten

a)

weitere Kontrollen oder Prüfungen erforderlich sind oder

| b) | Angaben im Mitteilungsblatt (außer in den zugehörigen Anlagen) geändert wurden oder |
| --- | --- |

b)

Angaben im Mitteilungsblatt (außer in den zugehörigen Anlagen) geändert wurden oder

| c) | die Genehmigung nach einer späteren Änderungsserie nach deren Inkrafttreten beantragt wird. |
| --- | --- |

c)

die Genehmigung nach einer späteren Änderungsserie nach deren Inkrafttreten beantragt wird.

| 7.2. | Die Bestätigung, Erweiterung oder Versagung der Genehmigung ist den Vertragsparteien des Übereinkommens, die diese Regelung anwenden, nach dem in Absatz 4.3 angegebenen Verfahren mitzuteilen. Das Verzeichnis der dem Mitteilungsblatt nach Anhang 1 beigefügten Beschreibungsbögen und Prüfberichte ist entsprechend zu ändern, um das Datum der jüngsten Überarbeitung oder Erweiterung anzugeben. |
| --- | --- |

7.2.

Die Bestätigung, Erweiterung oder Versagung der Genehmigung ist den Vertragsparteien des Übereinkommens, die diese Regelung anwenden, nach dem in Absatz 4.3 angegebenen Verfahren mitzuteilen. Das Verzeichnis der dem Mitteilungsblatt nach Anhang 1 beigefügten Beschreibungsbögen und Prüfberichte ist entsprechend zu ändern, um das Datum der jüngsten Überarbeitung oder Erweiterung anzugeben.

| 7.3. | Die Typgenehmigungsbehörde, die die Erweiterung der Genehmigung bescheinigt, teilt jedem Mitteilungsblatt über eine solche Erweiterung eine laufende Nummer zu. |
| --- | --- |

7.3.

Die Typgenehmigungsbehörde, die die Erweiterung der Genehmigung bescheinigt, teilt jedem Mitteilungsblatt über eine solche Erweiterung eine laufende Nummer zu.

8.   ÜBEREINSTIMMUNG DER PRODUKTION

Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den im Übereinkommen (Verzeichnis 1, E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen:

| 8.1. | Jedes Fahrzeug, das mit einem Genehmigungszeichen nach dieser Regelung versehen ist, muss dem genehmigten Typ insofern entsprechen, als die Vorschriften des Absatzes 5 eingehalten sind. |
| --- | --- |

8.1.

Jedes Fahrzeug, das mit einem Genehmigungszeichen nach dieser Regelung versehen ist, muss dem genehmigten Typ insofern entsprechen, als die Vorschriften des Absatzes 5 eingehalten sind.

9.   MAßNAHMEN BEI ABWEICHUNGEN IN DER PRODUKTION

| 9.1. | Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Anforderungen nach Absatz 8.1 nicht eingehalten sind. |
| --- | --- |

9.1.

Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Anforderungen nach Absatz 8.1 nicht eingehalten sind.

| 9.2. | Nimmt eine Vertragspartei des Übereinkommens, die diese Regelung anwendet, eine von ihr erteilte Genehmigung zurück, so hat sie unverzüglich die anderen Vertragsparteien, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblattes der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk trägt: „GENEHMIGUNG ZURÜCKGENOMMEN“. |
| --- | --- |

9.2.

Nimmt eine Vertragspartei des Übereinkommens, die diese Regelung anwendet, eine von ihr erteilte Genehmigung zurück, so hat sie unverzüglich die anderen Vertragsparteien, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblattes der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk trägt: „GENEHMIGUNG ZURÜCKGENOMMEN“.

10.   ENDGÜLTIGE EINSTELLUNG DER PRODUKTION

Stellt der Inhaber der Genehmigung die Produktion des nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, so hat er hierüber die Typgenehmigungsbehörde, die die Genehmigung erteilt hat, zu unterrichten. Nach Erhalt der entsprechenden Mitteilung hat diese Typgenehmigungsbehörde die anderen Vertragsparteien, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblatts der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk „PRODUKTION EINGESTELLT“ trägt.

11.   NAMEN UND ANSCHRIFTEN DER TECHNISCHEN DIENSTE, DIE DIE PRÜFUNGEN FÜR DIE GENEHMIGUNG DURCHFÜHREN, UND DER TYPGENEHMIGUNGSBEHÖRDEN

Die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, übermitteln dem Sekretariat der Vereinten Nationen die Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, sowie der Behörden, die die Genehmigung erteilen und denen die in anderen Ländern ausgestellten Mitteilungsblätter über die Erteilung, Versagung, Erweiterung oder Rücknahme der Genehmigung zu übersenden sind.

---

(1)  Entsprechend den Definitionen in der Gesamtresolution über Fahrzeugtechnik (R.E.3) Dokument ECE/TRANS/WP.29/78/Rev.6, para. 2. —

1

www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

(2)  Die Kennzahlen der Vertragsparteien des Übereinkommens von 1958 finden sich in Anhang 3 der Gesamtresolution über Fahrzeugtechnik (R.E.3), Dokument ECE/TRANS/WP.29/78/Rev. 6, Anhang 3 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

2

---

ANHANG 1

Mitteilung

(Größtes Format: A4 (210 × 297 mm))

| (1) | Ausfertigende Stelle: | Bezeichnung der Behörde:
  ...
  ...
  ... |
| --- | --- | --- |

Image 1

Ausfertigende Stelle:

Bezeichnung der Behörde:

...

...

...

| über die (2) : | Erteilung der Genehmigung
  Erweiterung der Genehmigung
  Versagung der Genehmigung
  Rücknahme der Genehmigung
  Endgültige Einstellung der Produktion |
| --- | --- |

über die (2) :

Erteilung der Genehmigung

Erweiterung der Genehmigung

Versagung der Genehmigung

Rücknahme der Genehmigung

Endgültige Einstellung der Produktion

für einen Fahrzeugtyp hinsichtlich der Integrität des Kraftstoffsystems und der Sicherheit des Elektroantriebs bei einem Heckaufprall gemäß der UN-Regelung Nr. 153

| Nummer der Genehmigung: ... | Nummer der Erweiterung der Genehmigung: ... |
| --- | --- |

Nummer der Genehmigung: ...

Nummer der Erweiterung der Genehmigung: ...

1.

Fabrik- oder Handelsmarke des Kraftfahrzeugs: ...

2.

Fahrzeugtyp: ...

3.

...

4.

...

...

5.

...

5.1.

...

5.2.

...

6.

Lage des Motors: vorne/hinten/Mitte (2)

7.

Antrieb: Front-/Heckantrieb (2)

8.

Vorderachse: ...

Hinterachse: ...

Gesamt: ...

9.

Fahrzeug zur Genehmigung vorgeführt am: ...

10.

Technischer Dienst, der die Prüfungen für die Genehmigung durchführt ...

11.

Datum des Prüfberichts des technischen Dienstes ...

12.

Nummer der Prüfberichte des technischen Dienstes: ...

13.

Genehmigung erteilt/versagt/erweitert/zurückgenommen (2)

14.

Stelle, an der das Genehmigungszeichen am Fahrzeug angebracht ist ...

15.

Ort: ...

16.

Datum ...

17.

Unterschrift ...

18.

Dieser Mitteilung sind folgende mit der Genehmigungsnummer versehenen Unterlagen beigefügt: ...

19.

Anmerkungen (z. B. Anwendung alternativer Prüfverfahren nach Anhang 3 Absatz 3) ...

(Fotografien und/oder schematische Darstellungen und Zeichnungen, anhand deren Fahrzeugtypen und mögliche Varianten, für die die Regelung gilt, festgestellt werden können.)

---

(1)  Kennzahl des Landes, das die Genehmigung erteilt/erweitert/versagt/zurückgenommen hat (siehe die Vorschriften über die Genehmigung in der Regelung).

1

(2)  Nichtzutreffendes streichen.

2

---

Anlage 1 zu Anhang 1

Beschreibungsbogen

0.

ALLGEMEINES

0.1.

Marke (Handelsname des Herstellers):

0.2.

Typ:

0.2.1.

Handelsnamen (sofern vorhanden):

0.3.

Kennzeichnung zur Typidentifizierung, sofern am Fahrzeug vorhanden (1):

0.3.1.

Anbringungsstelle dieser Kennzeichnung:

0.4.

Fahrzeugklasse (2):

0.5.

Firmenname und Anschrift des Herstellers:

0.8.

Namen und Anschriften der Fertigungsstätten

0.9.

(Ggf.) Name und Anschrift des Bevollmächtigten des Herstellers:

1.

ALLGEMEINE BAUMERKMALE DES FAHRZEUGS

1.1.

Fotos und/oder Zeichnungen eines repräsentativen Fahrzeugs

1.3.

Anzahl der Achsen und Räder:

1.3.3.

Antriebsachsen (Zahl, Lage, Verbindung):

1.6.

Lage und Anordnung des Motors:

2.

MASSEN UND ABMESSUNGEN (in kg und mm) (gegebenenfalls auf Zeichnungen verweisen)

2.1.

Radstand/Radstände (bei Vollbelastung)

2.1.1.

Zweiachsige Fahrzeuge:

2.1.2.

Fahrzeuge mit drei oder mehr Achsen

2.1.2.2.

Achsabstand insgesamt:

2.4.

Maßbereiche der Fahrzeugabmessungen (Maße über alles)

2.4.1.

Für Fahrgestell ohne Aufbau

2.4.1.1.

Länge (mm):

2.4.1.2.

Breite (mm):

2.4.2.

Für Fahrgestell mit Aufbau

2.4.2.1.

Länge (mm):

2.4.2.2.

Breite (mm):

2.6.

Masse in fahrbereitem Zustand (kg):

3.

ANTRIEBSENERGIEWANDLER

3.2.2.

Kraftstoff

3.2.2.1.

Leichte Nutzfahrzeuge: Diesel/Benzin/Flüssiggas/Erdgas oder Biomethan/Ethanol (E 85)/Biodiesel/Wasserstoff

3.2.3.

Kraftstoffbehälter

3.2.3.1.

Betriebskraftstoffbehälter

3.2.3.1.1.

Anzahl der Kraftstoffbehälter und jeweiliges Fassungsvermögen:

3.2.3.1.1.1.

Werkstoff

3.2.3.1.2.

Zeichnung und technische Beschreibung der Behälter mit allen Verbindungen und Leitungen des Be- und Entlüftungssystems, Verschlüssen, Ventilen und Halterungen

3.2.3.1.3.

Zeichnung, aus der die Lage der Behälter im Fahrzeug klar hervorgeht

3.2.3.2.

Reservekraftstoffbehälter

3.2.3.2.1.

Anzahl der Kraftstoffbehälter und jeweiliges Fassungsvermögen:

3.2.3.2.1.1.

Werkstoff

3.2.3.2.2.

Zeichnung und technische Beschreibung der Behälter mit allen Verbindungen und Leitungen des Be- und Entlüftungssystems, Verschlüssen, Ventilen und Halterungen

3.2.3.2.3.

Zeichnung, aus der die Lage der Behälter im Fahrzeug klar hervorgeht

3.3.2.

Wiederaufladbares Speichersystem für elektrische Energie (REESS)

3.3.2.4.

Anordnung

3.4.

Kombinationen von Antriebsenergiewandlern

3.4.1.

Hybridelektrofahrzeug: ja/nein

3.4.2.

Art des Hybridelektrofahrzeugs: extern aufladbar/nicht extern aufladbar:

---

(1)  Enthalten die Merkmale zur Typidentifizierung Zeichen, die für die Typbeschreibung des Fahrzeugs gemäß dem Typgenehmigungsbogen irrelevant sind, so sind diese Schriftzeichen in den betreffenden Unterlagen durch das Symbol '“?“ zu ersetzen (z. B. ABC??123??).

1

(2)  Entsprechend den Definitionen in der Gesamtresolution über Fahrzeugtechnik (R.E.3) Dokument ECE/TRANS/WP.29/78/Rev.6, para. 2. — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

2

---

ANHANG 2

Anordnungen der Genehmigungszeichen

MUSTER A

(siehe Absatz 4.4 dieser Regelung)

Image 2

a = min. 8 mm

Das oben dargestellte, an einem Fahrzeug angebrachte Genehmigungszeichen besagt, dass der betreffende Fahrzeugtyp hinsichtlich des Schutzes der Insassen bei einem Heckaufprall in den Niederlanden (E4) nach der UN-Regelung Nr. 153 unter der Genehmigungsnummer 001424 genehmigt worden ist. Die Genehmigungsnummer gibt an, dass die Genehmigung nach den Vorschriften der UN-Regelung Nr. 153 in ihrer ursprünglichen Fassung erteilt wurde.

MUSTER B

(siehe Absatz 4.5 dieser Regelung)

Image 3

a = min. 8 mm

Aus den ersten beiden Ziffern der Genehmigungsnummern geht hervor, dass bei der Erteilung der jeweiligen Genehmigungen die UN-Regelung Nr. 153 in ihrer ursprünglichen Fassung vorlag und die UN-Regelung Nr. 11 die Änderungsserie 03 enthielt.

---

ANHANG 3

Verfahren für die Aufprallprüfung am Heck

1.

Zweck

1.1.

Bei der Prüfung sollen die Bedingungen eines Heckaufpralls durch ein anderes fahrendes Fahrzeug simuliert werden.

2.

Einrichtungen, Verfahren und Messgeräte

2.1.

Die Prüffläche muss so groß sein, dass das Antriebssystem des Schlagkörpers untergebracht werden kann, die Verschiebung des angestoßenen Fahrzeugs nach dem Aufprall möglich ist und die Prüfausrüstung aufgestellt werden kann. Der Bereich, in dem der Aufprall auf das Fahrzeug und die Verschiebung erfolgen, muss waagerecht, eben und glatt sein und muss für eine übliche, trockene, nicht verschmutzte Fahrbahnoberfläche repräsentativ sein.

2.2.

Schlagkörper

2.2.1.

Der Schlagkörper muss aus Stahl bestehen und als starre Konstruktion ausgeführt sein.

2.2.2.

Die Aufpralloberfläche muss eben, mindestens 2 500 mm breit und 800 mm hoch sein, und ihre Kanten müssen mit einem Radius von 40 bis 50 mm gerundet sein. Sie muss mit 20 ± 2 mm dicken Sperrholzplatten belegt sein.

2.2.3.

Im Zeitpunkt des Aufpralls müssen folgende Bedingungen eingehalten werden:

2.2.3.1.

Die Aufpralloberfläche verläuft vertikal und rechtwinklig zur Längsmittelebene des getroffenen Fahrzeugs;

2.2.3.2.

die Bewegungsrichtung des Schlagkörpers muss möglichst horizontal und parallel zur Längsmittelebene des getroffenen Fahrzeugs verlaufen;

2.2.3.3.

der höchste zulässige seitliche Versatz zwischen der vertikalen Mittellinie der Oberfläche des Schlagkörpers und der Längsmittelebene des getroffenen Fahrzeugs beträgt 300 mm. Außerdem muss die Aufpralloberfläche die gesamte Breite des getroffenen Fahrzeugs abdecken;

2.2.3.4.

der Abstand zwischen dem unteren Rand der Aufpralloberfläche und dem Boden muss 175 ± 25 mm betragen.

2.3.

Der Schlagkörper ist an einem Trägerfahrzeug (bewegliche Barriere) zu befestigen.

2.4.

Vorschriften für die Prüfung mit einer beweglichen Barriere

2.4.1.

Ist der Schlagkörper durch eine Halterung an einem Trägerfahrzeug befestigt (bewegliche Barriere), so muss die Halterung starr sein und darf sich beim Aufprall nicht verformen; das Trägerfahrzeug muss zum Zeitpunkt des Aufpralls frei beweglich und vom Antriebssystem abgetrennt sein.

2.4.2.

Zum Zeitpunkt des Aufpralls muss die Geschwindigkeit 50,0 ± 2,0 km/h betragen.

2.4.3.

Die Gesamtmasse von Trägerfahrzeug und Schlagkörper muss 1 100 ± 20 kg betragen.

2.5.

Wurde die Prüfung mit einer Aufprallgeschwindigkeit durchgeführt, die über der in Absatz 2.4.2 vorgeschriebenen Geschwindigkeit liegt, und hat das Fahrzeug die vorgeschriebenen Anforderungen eingehalten, gilt die Prüfung als bestanden.

2.6.

Zustand des zu prüfenden Fahrzeugs

2.6.1.

Bei der Prüfung muss das Fahrzeug entweder mit allen serienmäßigen Teilen und Ausrüstungsgegenständen ausgestattet sein, die bei der Leermasse berücksichtigt sind, oder sich in dem Zustand befinden, der diese Forderung hinsichtlich der Teile und Ausrüstungsgegenstände erfüllt, die den Insassenraum und die Gewichtsverteilung des gesamten fahrbereiten Fahrzeugs betreffen.

2.6.2.

Die Speichersysteme für komprimierten Wasserstoff und die geschlossenen Räume von mit komprimiertem Wasserstoff betriebenen Fahrzeugen müssen gemäß Anhang 4 Absatz 3 vorbereitet werden.

2.6.3.

Die Feststellbremse muss gelöst sein, und der Wählhebel des Getriebes/Gangschalthebel muss sich in Leerlaufstellung befinden.

2.6.4.

Auf Antrag des Herstellers werden folgende Ausnahmen zugelassen:

2.6.4.1.

Der technische Dienst, der die Prüfung durchführt, darf zulassen, dass dasselbe Fahrzeug sowohl für Prüfungen nach anderen UN-Regelungen (einschließlich Prüfungen, die seine Struktur beeinträchtigen können) als auch für Prüfungen nach dieser Regelung verwendet wird.

2.6.4.2.

Das Fahrzeug darf bis zu 10 % seiner Leermasse mit zusätzlichen Massen belastet werden, die an der Struktur so starr zu befestigen sind, dass dadurch die Integrität des Kraftstoffsystems und die Sicherheit des Elektroantriebs während der Prüfung nicht beeinträchtigt werden.

2.6.5.

Anpassung des Elektroantriebs

2.6.5.1.

Das REESS muss einen Ladezustand aufweisen, der den vom Hersteller empfohlenen normalen Betrieb des Antriebs ermöglicht.

2.6.5.2.

Der Elektroantrieb wird mit Strom versorgt, indem oder ohne dass die elektrischen Energiequellen (z. B. Motor-Generator, REESS oder System zur Umwandlung elektrischer Energie) betrieben werden; jedoch

2.6.5.2.1.

ist es nach Absprache zwischen dem technischen Dienst und dem Hersteller zulässig, die Prüfung vorzunehmen, wenn der gesamte Elektroantrieb oder Teile davon ausgeschaltet sind, sofern das Prüfergebnis dadurch nicht negativ beeinflusst wird. Bei den Teilen des Elektroantriebs, die nicht eingeschaltet sind, ist der Schutz gegen Stromstöße entweder durch den physischen Schutz oder den Isolationswiderstand und angemessene zusätzliche Nachweise zu belegen.

2.6.5.2.2.

Falls ein automatischer Abschalter vorhanden ist, kann es auf Verlangen des Herstellers zulässig sein, die Prüfung durchzuführen, wenn die automatische Abschaltfunktion ausgelöst ist. In diesem Fall ist nachzuweisen, dass der automatische Abschalter während der Aufprallprüfung funktioniert hätte. Dazu gehören das automatische Aktivierungssignal sowie die galvanische Trennung unter Berücksichtigung der während des Aufpralls beobachteten Bedingungen.

2.7.

Die Geräte zum Aufzeichnen der in Absatz 2.4.2 genannten Geschwindigkeit müssen Messungen mit einer Genauigkeit von 1 % erlauben.

3.

Auf Antrag des Herstellers kann alternativ zu dem in Absatz 2 beschriebenen folgendes Prüfverfahren angewandt werden:

3.1.

Eine versetzte Heckaufprallprüfung mit einer beweglichen verformbaren Barriere ist als Alternative zu dem in Absatz 2 dieses Anhangs beschriebenen Verfahren zulässig, wenn die Vorschriften der Absätze 3.1.1 bis 3.1.3 eingehalten sind.

3.1.1.

Die Geschwindigkeit beim Aufprall muss zwischen 78,5 km/h und 80,1 km/h liegen.

3.1.2.

Die Überlappung zwischen Fahrzeug und Barriere muss 70 % betragen.

3.1.3.

Die bewegliche verformbare Barriere muss folgenden Vorschriften entsprechen:

| a) | Die Gesamtmasse der beweglichen verformbaren Barriere mit Aufschlagfläche muss 1 361 ± 4,5 kg betragen. |
| --- | --- |

a)

Die Gesamtmasse der beweglichen verformbaren Barriere mit Aufschlagfläche muss 1 361 ± 4,5 kg betragen.

| b) | Die Gesamtlänge der beweglichen verformbaren Barriere mit Aufschlagfläche muss 4 115 mm ± 25 mm betragen. |
| --- | --- |

b)

Die Gesamtlänge der beweglichen verformbaren Barriere mit Aufschlagfläche muss 4 115 mm ± 25 mm betragen.

| c) | Die Gesamtlänge der beweglichen verformbaren Barriere ohne Aufschlagfläche muss 3 632 mm (einschließlich der 50,8 mm dicken Halterung) betragen. |
| --- | --- |

c)

Die Gesamtlänge der beweglichen verformbaren Barriere ohne Aufschlagfläche muss 3 632 mm (einschließlich der 50,8 mm dicken Halterung) betragen.

| d) | Die Gesamtbreite des Rahmenträgers muss 1 251 mm betragen. |
| --- | --- |

d)

Die Gesamtbreite des Rahmenträgers muss 1 251 mm betragen.

| e) | Die Spurbreite (Mittellinie zur Mittellinie der Vorder- oder Hinterräder) muss 1 880 mm betragen. |
| --- | --- |

e)

Die Spurbreite (Mittellinie zur Mittellinie der Vorder- oder Hinterräder) muss 1 880 mm betragen.

| f) | Der Radstand des Rahmenträgers muss 2 591 mm ± 25 mm betragen. |
| --- | --- |

f)

Der Radstand des Rahmenträgers muss 2 591 mm ± 25 mm betragen.

| g) | Trägheitseigenschaften der beweglichen verformbaren Barriere (mit zwei Kameras und Kamerabefestigungen sowie einer Lichtfallenblende und reduziertem Ballast). Für die Lage des Schwerpunkts gilt:
  X = (1 123 ± 25) mm hinter der Vorderachse
  Y = (7,6 ± 25) mm links von der Längsmittellinie
  Z = (450 ± 25) mm über dem Boden
  Es gelten folgende Trägheitsmomente (für Prüfzwecke mit einer Toleranz von 5 %):
  Stampfen = 2 263 kg-m2

  Rollen = 508 kg-m2

  Gieren = 2 572 kg-m2 |
| --- | --- |

g)

Trägheitseigenschaften der beweglichen verformbaren Barriere (mit zwei Kameras und Kamerabefestigungen sowie einer Lichtfallenblende und reduziertem Ballast). Für die Lage des Schwerpunkts gilt:

X = (1 123 ± 25) mm hinter der Vorderachse

Y = (7,6 ± 25) mm links von der Längsmittellinie

Z = (450 ± 25) mm über dem Boden

Es gelten folgende Trägheitsmomente (für Prüfzwecke mit einer Toleranz von 5 %):

Stampfen = 2 263 kg-m2

Rollen = 508 kg-m2

Gieren = 2 572 kg-m2

| h) | Form der Aufschlagfläche mit Wabenstruktur:
  Breite =1 676 mm ± 6 mm
  Höhe = 559 mm ± 6 mm
  Bodenfreiheit = 229 mm ± 3 mm
  Tiefe auf Höhe des Stoßfängers = 483 mm ± 6 mm
  Tiefe an der oberen Aufschlagfläche = 381 mm ± 6 mm |
| --- | --- |

h)

Form der Aufschlagfläche mit Wabenstruktur:

Breite =1 676 mm ± 6 mm

Höhe = 559 mm ± 6 mm

Bodenfreiheit = 229 mm ± 3 mm

Tiefe auf Höhe des Stoßfängers = 483 mm ± 6 mm

Tiefe an der oberen Aufschlagfläche = 381 mm ± 6 mm

| i) | Bei den Verformungseigenschaften (Druckfestigkeit) gilt für eine Aufschlagfläche mit Wabenstruktur ein Wert von 310 kPa ± 17 kPa und für den Stoßfänger von 1 690 kPa ± 103 kPa. |
| --- | --- |

i)

Bei den Verformungseigenschaften (Druckfestigkeit) gilt für eine Aufschlagfläche mit Wabenstruktur ein Wert von 310 kPa ± 17 kPa und für den Stoßfänger von 1 690 kPa ± 103 kPa.

Andere Parameter und Einstellungen können mit den Definitionen in Absatz 2 dieser Regelung vergleichbar sein.

3.2.

Wird ein anderes Verfahren als das in Absatz 2 oder Absatz 3.1 beschriebene angewandt, dann ist die Gleichwertigkeit nachzuweisen.

---

ANHANG 4

Prüfbedingungen und -verfahren für die Bewertung der Integrität des Wasserstoffkraftstoffsystems nach dem Aufprall

1.

Feststellung der Übereinstimmung mit den Anforderungen von Absatz 5.2.1 dieser Regelung

2.

Für die Zwecke dieses Anhangs gelten folgende Begriffsbestimmungen:

2.1.

„Geschlossene Räume“ bezeichnet spezielle Räume innerhalb des Fahrzeugs (oder der Fahrzeugkontur über Öffnungen), die sich außerhalb des Wasserstoffsystems (Speichersystem, Brennstoffzellensystem und Kraftstoffflussmanagementsystem) und seiner Gehäuse (falls vorhanden) befinden, in denen sich Wasserstoff ansammeln (und dadurch eine Gefahr darstellen) kann, wie es im Fahrgastraum, Kofferraum und Motorraum der Fall sein kann.

2.2.

„Gepäckraum“ bezeichnet den Raum im Fahrzeug für Gepäck- und/oder Güteraufbewahrung, der durch das Dach, die Haube, den Boden und die Seitenwände begrenzt und vom Fahrgastraum durch die Stirnwand und das hintere Querblech getrennt ist.

2.3.

„Nennbetriebsdruck (nominal working pressure, NWP)“ bezeichnet den Überdruck, der den typischen Betrieb eines Systems charakterisiert. Für Behälter für komprimierten Wasserstoff ist der NWP der festgelegte Druck des komprimierten Gases im vollgetankten Behälter oder Speichersystem bei einer konstanten Temperatur von 15 °C.

3.

Vorbereitung, Messtechnik und Prüfbedingungen

3.1.

Speichersystem für komprimierten Wasserstoff und nachfolgende Leitungen

3.1.1.

Vor der Durchführung des Crashtests wird die Messtechnik im Wasserstoffspeichersystem installiert, um die erforderlichen Druck- und Temperaturmessungen durchzuführen, wenn das Standardfahrzeug nicht bereits über eine Messtechnik mit der erforderlichen Genauigkeit verfügt.

3.1.2.

Ptarget = NWP × (273 + To) / 288

Dabei entspricht NWP dem Nennbetriebsdruck (MPa), To der Umgebungstemperatur, auf die sich das Speichersystem voraussichtlich einstellen wird, und Ptarget dem Soll-Fülldruck, nachdem sich die Temperatur stabilisiert hat.

3.1.3.

Der Behälter wird zu mindestens 95 % des Soll-Fülldrucks gefüllt und kann sich vor der Durchführung des Crashtests setzen (stabilisieren).

3.1.4.

Das Hauptabsperrventil und die Absperrventile für Wasserstoffgas, die sich in der nachgeschalteten Wasserstoffgasleitung befinden, befinden sich unmittelbar vor dem Aufprall im normalen Fahrzustand.

3.2.

Geschlossene Räume

3.2.1.

Es werden Sensoren eingesetzt, die entweder den Anstieg des Wasserstoff- oder Heliumgases oder die Reduktion des Sauerstoffs (aufgrund der Verdrängung von Luft durch Austritt von Wasserstoff/Helium) messen.

3.2.2.

Die Sensoren sind auf rückverfolgbare Referenzen kalibriert, um eine Genauigkeit von ± 5 Prozent bei den Soll-Kriterien von vier Volumenprozent Wasserstoff oder drei Volumenprozent Helium in der Luft und eine Skalenendwert-Messfähigkeit von mindestens 25 Prozent über den Soll-Kriterien zu gewährleisten. Der Sensor muss in der Lage sein, innerhalb von zehn Sekunden zu 90 % auf eine Veränderung der Konzentration in Richtung des Skalenendwerts zu reagieren.

3.2.3.

| a) | in einem Abstand von 250 mm vom Himmel über dem Fahrersitz oder in der Nähe der oberen Mitte des Fahrgastraums; |
| --- | --- |

a)

in einem Abstand von 250 mm vom Himmel über dem Fahrersitz oder in der Nähe der oberen Mitte des Fahrgastraums;

| b) | in einem Abstand von 250 mm vom Boden vor dem hinteren (oder hintersten) Sitz im Fahrgastraum und |
| --- | --- |

b)

in einem Abstand von 250 mm vom Boden vor dem hinteren (oder hintersten) Sitz im Fahrgastraum und

| c) | in einem Abstand von höchstens 100 mm von der Oberseite der Gepäckräume im Fahrzeug, die nicht direkt von dem jeweils durchzuführenden Aufprall betroffen sind. |
| --- | --- |

c)

in einem Abstand von höchstens 100 mm von der Oberseite der Gepäckräume im Fahrzeug, die nicht direkt von dem jeweils durchzuführenden Aufprall betroffen sind.

3.2.4.

Die Sensoren sind fest an der Fahrzeugkonstruktion oder den Fahrzeugsitzen montiert und für den geplanten Crashtest vor Schmutz, Airbag-Abgasen und Flugkörpern geschützt. Die Messungen nach dem Aufprall werden von im Fahrzeug befindlichen Instrumenten oder durch Fernübertragung aufgezeichnet.

3.2.5.

Der Test kann im Freien oder in einem Bereich durchgeführt werden, der vor Wind und möglicher Sonneneinstrahlung geschützt ist, oder in einem Raum, der groß genug oder belüftet ist, um den Anstieg von Wasserstoff auf mehr als zehn Prozent der Soll-Kriterien in den Fahrgast- und Gepäckräumen zu verhindern.

4.

Dichtheitsprüfung nach dem Aufprall: Messung bei Speichersystemen für komprimierten Wasserstoff, gefüllt mit komprimiertem Wasserstoff

4.1.

Der Wasserstoffgasdruck, P0 (MPa) und die Temperatur T0 (°C) werden unmittelbar vor dem Aufprall und dann in einem Zeitintervall, Δt (min), nach dem Aufprall gemessen.

4.1.1.

Das Zeitintervall (Δt) beginnt, wenn das Fahrzeug nach dem Aufprall zum Stillstand kommt, und dauert mindestens 60 Minuten.

4.1.2.

Δt = VCHSS × NWP /1 000 x ((– 0,027 × NWP +4) x Rs – 0,21) – 1,7 × Rs

Dabei gilt: Rs = Ps / NWP, Ps ist der Druckbereich des Drucksensors (MPa), NWP der Nennarbeitsdruck (MPa), VCHSS das Volumen des Speichersystems für komprimierten Wasserstoff (L) und Δt das Zeitintervall (min).

4.1.3.

Wenn der berechnete Wert von Δt weniger als 60 Minuten beträgt, wird Δt auf 60 Minuten gesetzt.

4.2.

Po' = Po × 288 / (273 + T0)

ρo' = – 0,0027 × (P0')2 + 0,75 × P0' + 0,5789

Mo = ρo' x VCHSS

4.3.

Pf' = Pf × 288 / (273 + Tf)

ρf' = – 0,0027 × (Pf')2 + 0,75 × Pf' + 0,5789

Mf = ρf' × VCHSS

Dabei ist Pf der gemessene Enddruck (MPa) am Ende des Zeitintervalls und Tf die gemessene Endtemperatur (°C).

4.4.

VH2 = (Mf-Mo) / Δt × 22,41 / 2,016 × (Ptarget /Po)

Dabei ist VH2 der durchschnittliche Volumenstrom (NL/min) innerhalb des Zeitintervalls und der Ausdruck (Ptarget/Po) wird verwendet, um Differenzen zwischen dem gemessenen Ausgangsdruck (Po) und dem Soll-Fülldruck (Ptarget) zu kompensieren.

5.

Dichtheitsprüfung nach dem Aufprall: Messung bei Druckwasserstoff-Speichersystemen gefüllt mit komprimiertem Helium

5.1.

Der Heliumgasdruck, P0 (MPa), und die Temperatur T0 (°C) werden unmittelbar vor dem Aufprall und dann in einem vorgegebenen Zeitintervall nach dem Aufprall gemessen.

5.1.1.

Das Zeitintervall (Δt) beginnt, wenn das Fahrzeug nach dem Aufprall zum Stillstand kommt, und dauert mindestens 60 Minuten.

5.1.2.

Δt = VCHSS × NWP /1 000 × ((– 0,028 × NWP +5,5) × Rs – 0,3) – 2,6 × Rs

Dabei gilt: Rs = Ps / NWP, Ps ist der Druckbereich des Drucksensors (MPa), NWP der Nennarbeitsdruck (MPa), VCHSS das Volumen des Speichersystems für komprimierten Wasserstoff (L) und Δt das Zeitintervall (min).

5.1.3.

Wenn der Wert von Δt weniger als 60 Minuten beträgt, wird Δt auf 60 Minuten gesetzt.

5.2.

Po' = Po × 288 / (273 + T0)

ρo' = –0,0043 × (P0')2 + 1,53 × P0' + 1,49

Mo = ρo' × VCHSS

5.3.

Pf' = Pf × 288 / (273 + Tf)

ρf' = – 0,0043 × (Pf')2 + 1,53 x Pf' + 1,49

Mf = ρf' × VCHSS

Dabei ist Pf der gemessene Enddruck (MPa) am Ende des Zeitintervalls und Tf die gemessene Endtemperatur (°C).

5.4.

VHe = (Mf - Mo) / Δt × 22,41 / 4,003 × (Ptarget/ Po)

Dabei ist VHe der durchschnittliche Volumenstrom (NL/min) innerhalb des Zeitintervalls und der Ausdruck (Ptarget/Po) wird verwendet, um Differenzen zwischen dem gemessenen Ausgangsdruck (Po) und dem Soll-Fülldruck (Ptarget) zu kompensieren.

5.5.

VH2 = VHe / 0,75

Dabei ist VH2 der entsprechende mittlere Wasserstoff-Volumenstrom.

6.

Konzentrationsmessung in geschlossenen Räumen nach dem Aufprall

6.1.

Die Datenerfassung nach dem Aufprall in geschlossenen Räumen beginnt, sobald das Fahrzeug zum Stillstand kommt. Die Daten der nach Absatz 3.2 dieses Anhangs installierten Sensoren werden mindestens alle fünf Sekunden erfasst und bleiben nach der Prüfung für einen Zeitraum von 60 Minuten erhalten. Ein Verzögerungsfilter erster Ordnung (Zeitkonstante) bis zu einem Maximum von fünf Sekunden kann auf die Messungen angewendet werden, um eine „Glättung“ zu erreichen und die Auswirkungen von fehlerhaften Datenpunkten zu filtern.

---

ANHANG 5

Prüfverfahren für Fahrzeuge mit Elektroantrieb

In diesem Anhang werden Prüfverfahren zum Nachweis der Erfüllung der Anforderungen an die elektrische Sicherheit nach Absatz 5.2.2 dieser Regelung beschrieben.

1.

Wenn eine Funktion zum Abschalten der Hochspannung benutzt wird, so müssen Messungen auf beiden Seiten der Abschaltvorrichtung durchgeführt werden. Ist jedoch die Funktion zum Abschalten der Hochspannung in das REESS oder das Energiewandlungssystem eingebaut und wird das REESS oder das Energiewandlungssystem nach der Aufprallprüfung entsprechend der Schutzart IPXXB geschützt, so dürfen Messungen nur zwischen der Abschaltvorrichtung und der Stromlast durchgeführt werden.

Das bei dieser Prüfung verwendete Voltmeter muss Gleichspannung messen und einen Innenwiderstand von mindestens 10 MΩ haben.

2.

Nach der Aufprallprüfung sind die Spannungen der Hochspannungssammelschiene (Ub, U1, U2) zu messen (siehe Abbildung 1 unten).

Die Spannungsmessung erfolgt frühestens 10 Sekunden und spätestens 60 Sekunden nach dem Aufprall.

Dieses Verfahren darf nicht angewandt werden, wenn die Prüfung bei ausgeschaltetem Elektroantrieb durchgeführt wird.

Image 4

  Abbildung 1 Messung von Ub, U1, U2 b 1 2

3.

Vor dem Aufprall werden ein Schalter S1 und ein bekannter Entladewiderstand Re parallel zum entsprechenden Kondensator angeschlossen (siehe Abbildung 2 unten).

| a) | Frühestens 10 Sekunden und spätestens 60 Sekunden nach dem Aufprall wird der Schalter S1 ausgeschaltet, während die Spannung Ub und der Strom Ie gemessen und festgehalten werden. Das Produkt der Spannung Ub und des Stroms Ie wird über den Zeitraum integriert, beginnend mit dem Zeitpunkt des Ausschaltens (tc) des Schalters S1, bis die Spannung Ub unter die Hochspannungsschwelle von 60 V Gleichspannung (th) fällt. Die sich ergebende Integration entspricht der Gesamtenergie (TE) in Joule. |
| --- | --- |

a)

Frühestens 10 Sekunden und spätestens 60 Sekunden nach dem Aufprall wird der Schalter S1 ausgeschaltet, während die Spannung Ub und der Strom Ie gemessen und festgehalten werden. Das Produkt der Spannung Ub und des Stroms Ie wird über den Zeitraum integriert, beginnend mit dem Zeitpunkt des Ausschaltens (tc) des Schalters S1, bis die Spannung Ub unter die Hochspannungsschwelle von 60 V Gleichspannung (th) fällt. Die sich ergebende Integration entspricht der Gesamtenergie (TE) in Joule.

Image 5

| b) | Wenn die Spannung Ub zu einem Zeitpunkt zwischen 10 Sekunden und 60 Sekunden nach dem Aufprall gemessen wird und die Kapazität der X-Kondensatoren (Cx) vom Hersteller spezifiziert wird, wird die Gesamtenergie (TE) nach folgender Formel berechnet:
  TE = 0,5 × Cx × Ub
  2 |
| --- | --- |

b)

Wenn die Spannung Ub zu einem Zeitpunkt zwischen 10 Sekunden und 60 Sekunden nach dem Aufprall gemessen wird und die Kapazität der X-Kondensatoren (Cx) vom Hersteller spezifiziert wird, wird die Gesamtenergie (TE) nach folgender Formel berechnet:

TE = 0,5 × Cx × Ub
  2

| c) | Wenn U1 und U2 (siehe Abbildung 1 oben) zu einem Zeitpunkt zwischen 10 Sekunden und 60 Sekunden nach dem Aufprall gemessen werden und die Kapazitäten der Y-Kondensatoren (Cy1, Cy2) vom Hersteller spezifiziert werden, ist die Gesamtenergie (TEy1, TEy2) nach folgenden Formeln zu berechnen:
  TEy1 = 0,5 × Cy1 × U1
  2

  TEy2 = 0,5 × Cy2 × U2
  2 |
| --- | --- |

c)

Wenn U1 und U2 (siehe Abbildung 1 oben) zu einem Zeitpunkt zwischen 10 Sekunden und 60 Sekunden nach dem Aufprall gemessen werden und die Kapazitäten der Y-Kondensatoren (Cy1, Cy2) vom Hersteller spezifiziert werden, ist die Gesamtenergie (TEy1, TEy2) nach folgenden Formeln zu berechnen:

TEy1 = 0,5 × Cy1 × U1
  2

TEy2 = 0,5 × Cy2 × U2
  2

Dieses Verfahren darf nicht angewandt werden, wenn die Prüfung bei ausgeschaltetem Elektroantrieb durchgeführt wird.

Image 6

  Abbildung 2 Beispiel für die Messung der in X-Kondensatoren gespeicherten Energie der Hochspannungssammelschiene

4.

Im Anschluss an die Fahrzeugaufprallprüfung sind alle die Hochspannungsbauteile umgebenden Teile ohne Werkzeug zu öffnen, auseinanderzubauen oder zu entfernen. Alle verbleibenden umgebenden Teile gelten als Teil des physischen Schutzes.

Der in Abbildung 3 beschriebene Gelenkprüffinger wird zur Beurteilung der elektrischen Sicherheit mit einer Prüfkraft von 10 N ± 10 % in alle Lücken oder Öffnungen des physischen Schutzes gesteckt. Dringt der Gelenkprüffinger teilweise oder vollständig in den physischen Schutz ein, wird der Gelenkprüffinger in alle nachstehend aufgeführten Positionen gebracht.

Ausgehend von der gestreckten Anordnung sind die beiden Glieder des Prüffingers nacheinander im Winkel bis zu 90°, bezogen auf den benachbarten Abschnitt des Fingers, zu biegen und in jede mögliche Lage zu bringen.

Interne elektrische Schutzbarrieren gelten als Teil des Gehäuses.

Gegebenenfalls sollte eine Niederspannungsstromquelle (nicht unter 40 V und nicht über 50 V) in Reihe mit einer geeigneten Lampe zwischen dem Gelenkprüffinger und aktiven unter Hochspannung stehenden Teilen an der Isolierbarriere oder im Gehäuse geschaltet werden.

Image 7

  Abbildung 3 Gelenkprüffinger

Werkstoff: Metall, falls nichts anderes festgelegt ist.

Lineare Abmessungen in mm

| a) | für Winkel: + 0°0′0′′/– 0°0′10′′; |
| --- | --- |

a)

für Winkel: + 0°0′0′′/– 0°0′10′′;

| b) | für lineare Abmessungen:






  i) | ≤ 25 mm: + 0/– 0,05 mm; |
| --- | --- | --- |

b)

für lineare Abmessungen:

i)

≤ 25 mm: + 0/– 0,05 mm;

| ii) | > 25 mm: ± 0,2 mm |
| --- | --- |

ii)

> 25 mm: ± 0,2 mm

Beide Gelenke müssen eine Bewegung in gleicher Ebene und in gleicher Richtung um einen Winkel von 90° mit einer Toleranz von 0 bis + 10° zulassen.

Die Anforderungen von Absatz 5.2.2.1.3 dieser Regelung sind erfüllt, wenn der in der Abbildung 3 beschriebene Gelenkprüffinger nicht in der Lage ist, aktive unter Hochspannung stehende Teile zu berühren.

Gegebenenfalls kann ein Spiegel oder Fiberskop benutzt werden, um zu untersuchen, ob der Gelenkprüffinger die Hochspannungssammelschienen berührt.

Falls diese Anforderung durch einen Signal-Stromkreis zwischen dem Gelenkprüffinger und den aktiven unter Hochspannung stehenden Teilen geprüft wird, darf die Lampe nicht aufleuchten.

4.1.

| a) | Prüfmethode mit einem Widerstandsprüfgerät.
  Das Widerstandsprüfgerät wird an die Messpunkte angeschlossen (typischerweise die elektrische Masse und das elektrisch leitfähige Gehäuse/die Isolierbarriere) und der Widerstand wird mit einem Widerstandsprüfgerät gemessen, das folgenden Spezifikationen entspricht:






  i) | Widerstandsprüfgerät: Messstrom mindestens 0,2 A; |
| --- | --- | --- |

a)

Prüfmethode mit einem Widerstandsprüfgerät.

Das Widerstandsprüfgerät wird an die Messpunkte angeschlossen (typischerweise die elektrische Masse und das elektrisch leitfähige Gehäuse/die Isolierbarriere) und der Widerstand wird mit einem Widerstandsprüfgerät gemessen, das folgenden Spezifikationen entspricht:

i)

Widerstandsprüfgerät: Messstrom mindestens 0,2 A;

| ii) | Messauflösung: 0,01 Ω oder weniger; |
| --- | --- |

ii)

Messauflösung: 0,01 Ω oder weniger;

| iii) | der Widerstand R muss kleiner als 0,1 Ω sein. |
| --- | --- |

iii)

der Widerstand R muss kleiner als 0,1 Ω sein.

| b) | Prüfmethode mit Gleichstromversorgung, Voltmeter und Amperemeter
  Gleichstromversorgung, Voltmeter und Amperemeter werden an die Messpunkte angeschlossen (typischerweise die elektrische Masse und das elektrisch leitfähige Gehäuse/die Isolierbarriere).
  Die Spannung der Gleichstromversorgung wird so eingestellt, dass der Stromfluss mindestens 0,2 A beträgt.
  Die Stromstärke „I“ und die Spannung „U“ werden gemessen.
  Der Widerstand „R“ wird nach der folgenden Formel berechnet:
  R = U / I
  Der Widerstand R muss kleiner als 0,1 Ω sein.







  Anmerkung: | Werden für die Spannungs- und Strommessung Leitungsdrähte verwendet, muss jeder Leitungsdraht unabhängig mit der Isolierbarriere/dem Gehäuse/der elektrischen Masse verbunden sein. Für die Spannungs- und die Strommessung kann ein gemeinsames Endgerät verwendet werden. |
| --- | --- | --- |

b)

Prüfmethode mit Gleichstromversorgung, Voltmeter und Amperemeter

Gleichstromversorgung, Voltmeter und Amperemeter werden an die Messpunkte angeschlossen (typischerweise die elektrische Masse und das elektrisch leitfähige Gehäuse/die Isolierbarriere).

Die Spannung der Gleichstromversorgung wird so eingestellt, dass der Stromfluss mindestens 0,2 A beträgt.

Die Stromstärke „I“ und die Spannung „U“ werden gemessen.

Der Widerstand „R“ wird nach der folgenden Formel berechnet:

R = U / I

Der Widerstand R muss kleiner als 0,1 Ω sein.

Anmerkung:

Nachfolgend ist ein Beispiel der Prüfmethode mit Gleichstromversorgung, Voltmeter und Amperemeter dargestellt.

Image 8

  Abbildung 4 Beispiel für ein Prüfverfahren mit Gleichstromversorgung

5.

Isolationswiderstand

5.1.

Der Isolationswiderstand jeder Hochspannungssammelschiene des Fahrzeugs wird gemessen oder wird durch Berechnung anhand der Messwerte für jedes Teil oder Bauteil einer Hochspannungssammelschiene ermittelt.

Alle Messungen zur Berechnung der Spannungen und des Innenwiderstands erfolgen mindestens 10 s nach dem Aufprall.

5.2.

Zur Messung des Isolationswiderstands ist unter den in den Absätzen 5.2.1 und 5.2.2 dieses Anhangs genannten Messverfahren ein geeignetes Verfahren auszuwählen, das von der elektrischen Ladung der aktiven Teile oder dem Isolationswiderstand abhängt.

Der Bereich des zu messenden Stromkreises wird vorher mithilfe von Schaltplänen festgelegt. Sind die Hochspannungssammelschienen galvanisch voneinander isoliert, ist der Isolationswiderstand für jeden Stromkreis zu messen.

Außerdem können Veränderungen vorgenommen werden, die für die Messung des Isolationswiderstands erforderlich sind, wie das Entfernen von Überzügen, um die aktiven Teile freizulegen, das Ziehen von Messlinien und die Veränderung der Software.

Wenn die Messwerte z. B. wegen des Betriebs des eingebauten Systems zur Überwachung des Isolationswiderstands nicht stabil sind, können für die Durchführung der Messung erforderliche Veränderungen vorgenommen werden, indem das betreffende Gerät abgestellt oder entfernt wird. Wenn das Gerät entfernt wird, ist zudem mit Zeichnungen nachzuweisen, dass der Isolationswiderstand zwischen den aktiven Teilen und der elektrischen Masse unverändert bleibt.

Diese Änderungen dürfen die Ergebnisse der Prüfung nicht beeinflussen.

Größte Vorsicht ist geboten, um Kurzschlüsse und Stromschläge zu vermeiden, da für diesen Nachweis direkte Eingriffe in den Hochspannungsstromkreis erforderlich sein könnten.

5.2.1.

Messverfahren unter Verwendung von Gleichstrom aus externen Stromquellen

5.2.1.1.

Es ist ein Gerät zur Prüfung des Isolationswiderstands zu verwenden, an das eine Gleichspannung angelegt werden kann, die höher als die Betriebsspannung der Hochspannungssammelschiene ist.

5.2.1.2.

Ein Gerät zur Prüfung des Isolationswiderstands wird zwischen die aktiven Teile und die elektrische Masse geschaltet. Dann wird der Isolationswiderstand gemessen, indem eine Gleichspannung angelegt wird, die mindestens der halben Betriebsspannung der Hochspannungssammelschiene entspricht.

Wenn das System für mehrere Spannungsbereiche (z. B. wegen eines Hochsetzstellers) in galvanisch verbundenen Stromkreisen ausgelegt ist und einige Bauteile der Betriebsspannung des gesamten Stromkreises nicht standhalten können, kann der Isolationswiderstand zwischen diesen Bauteilen und der elektrischen Masse getrennt gemessen werden, indem mindestens die Hälfte ihrer eigenen Betriebsspannung angelegt wird, wobei die oben genannten Bauteile vom Stromkreis getrennt sind.

5.2.2.

Messverfahren unter Verwendung des fahrzeugeigenen REESS als Gleichstromquelle

5.2.2.1.

Die Hochspannungssammelschiene wird durch das fahrzeugeigene REESS und/oder das Energiewandlungssystem mit Energie versorgt, und die Spannung des REESS und/oder des Energiewandlungssystems muss während der gesamten Prüfung mindestens der vom Fahrzeughersteller angegebenen Nennbetriebsspannung entsprechen.

5.2.2.2.

Messmethode

5.2.2.2.1.

Die Spannung wird entsprechend der Darstellung in Abbildung 1 gemessen, und die Spannung der Hochspannungssammelschiene (Ub) wird aufgezeichnet.

5.2.2.2.2.

Die Spannung (U1) zwischen der Minus-Hochspannungssammelschiene und der elektrischen Masse wird gemessen und aufgezeichnet (siehe Abbildung 1).

5.2.2.2.3.

Die Spannung (U2) zwischen der Plus-Hochspannungssammelschiene und der elektrischen Masse wird gemessen und aufgezeichnet (siehe Abbildung 1).

5.2.2.2.4.

Wenn U1 größer oder gleich U2 ist, wird zwischen die Minusseite der Hochspannungssammelschiene und die elektrische Masse ein bekannter Vergleichswiderstand (R0) geschaltet. Wenn R0 geschaltet ist, wird die Spannung (U1') zwischen der Minus-Hochspannungssammelschiene und der elektrischen Masse gemessen (siehe Abbildung 5).

Der Innenwiderstand (Ri) wird nach folgender Formel berechnet:

Ri = R0*Ub*(1/U1' – 1/U1)

Image 9

  Abbildung 5 Messung von U1’ 1

Wenn U2 größer oder gleich U1 ist, wird zwischen die Plusseite der Hochspannungssammelschiene und die elektrische Masse ein bekannter Vergleichswiderstand (R0) geschaltet. Wenn (R0) geschaltet ist, wird die Spannung (U2’) zwischen der Plus-Hochspannungssammelschiene und der elektrischen Masse gemessen (siehe Abbildung 6).

Der Innenwiderstand (Ri) wird nach folgender Formel berechnet:

Ri = R0*Ub*(1/U2' – 1/U2)

Image 10

  Abbildung 6 Messung von U2’ 2

5.2.2.2.5.

Der Innenwiderstand Ri (in Ω), dividiert durch die Betriebsspannung der Hochspannungssammelschiene (in V), ergibt den Isolationswiderstand (in Ω/V).

| Anmerkung: | Der bekannte Vergleichswiderstand R0 in Ohm (Ω) sollte dem vorgeschriebenen Mindestwert des Isolationswiderstands (Ω/V) multipliziert mit der Betriebsspannung des Fahrzeugs (V) ± 20 % entsprechen. R0 braucht nicht genau diesem Wert zu entsprechen, da die Gleichungen für alle Ro-Werte gelten; allerdings sollte ein R0-Wert in diesem Bereich bei den Spannungsmessungen zu einer guten Auflösung führen. |
| --- | --- |

Anmerkung:

6.

Der physische Schutz (Gehäuse) kann wenn nötig mit einer geeigneten Beschichtung versehen werden, um nach der Aufprallprüfung den Austritt von Elektrolyt aus dem REESS feststellen zu können.

7.

Durch eine Sichtprüfung ist festzustellen, ob die Vorschriften eingehalten sind.

---

| 9.3.2021 | DE | Amtsblatt der Europäischen Union | L 82/30 |
| --- | --- | --- | --- |

9.3.2021

DE

Amtsblatt der Europäischen Union

L 82/30

---

Nur die von der UNECE verabschiedeten Originalfassungen sind international rechtsverbindlich. Der Status dieser Regelung und das Datum ihres Inkrafttretens sind der neuesten Fassung des UNECE-Statusdokuments TRANS/WP.29/343 zu entnehmen, das von folgender Website abgerufen werden kann: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

UN-Regelung Nr. 155 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems [2021/387]

Datum des Inkrafttretens: 22. Januar 2021

Dieses Dokument ist lediglich eine Dokumentationsquelle. Die rechtsverbindlichen Originaltexte sind:

| — | ECE/TRANS/WP.29/2020/79, |
| --- | --- |

—

ECE/TRANS/WP.29/2020/79,

| — | ECE/TRANS/WP.29/2020/94 |
| --- | --- |

—

ECE/TRANS/WP.29/2020/94

| — | ECE/TRANS/WP.29/2020/97 |
| --- | --- |

—

ECE/TRANS/WP.29/2020/97

INHALT

REGELUNG

| 1. | Anwendungsbereich |
| --- | --- |

1.

| 2. | Begriffsbestimmungen |
| --- | --- |

2.

| 3. | Antrag auf Genehmigung |
| --- | --- |

3.

| 4. | Kennzeichnung |
| --- | --- |

4.

| 5. | Genehmigung |
| --- | --- |

5.

| 6. | Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem |
| --- | --- |

6.

| 7. | Spezifikationen |
| --- | --- |

7.

| 8. | Änderung des Fahrzeugtyps und Erweiterung der Typgenehmigung |
| --- | --- |

8.

| 9. | Übereinstimmung der Produktion |
| --- | --- |

9.

| 10. | Maßnahmen bei Abweichungen in der Produktion |
| --- | --- |

10.

| 11. | Endgültige Einstellung der Produktion |
| --- | --- |

11.

| 12. | Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden |
| --- | --- |

12.

ANHÄNGE

| 1 | Beschreibungsbogen |
| --- | --- |

1

| 2 | Mitteilung |
| --- | --- |

2

| 3 | Anordnung der Genehmigungszeichen |
| --- | --- |

3

| 4 | Muster einer Konformitätsbescheinigung für ein CSMS |
| --- | --- |

4

| 5 | Liste der Bedrohungen und der entsprechenden Minderungsmaßnahmen |
| --- | --- |

5

1.   ANWENDUNGSBEREICH

| 1.1. | Diese Regelung gilt hinsichtlich der Cybersicherheit für Fahrzeuge der Klassen M und N.
  Diese Regelung gilt auch für Fahrzeuge der Klasse O, wenn diese mit mindestens einem elektronischen Steuergerät ausgestattet sind. |
| --- | --- |

1.1.

Diese Regelung gilt hinsichtlich der Cybersicherheit für Fahrzeuge der Klassen M und N.

Diese Regelung gilt auch für Fahrzeuge der Klasse O, wenn diese mit mindestens einem elektronischen Steuergerät ausgestattet sind.

| 1.2. | Diese Regelung gilt auch für Fahrzeuge der Klassen L6 und L7, die mit Funktionen des autonomen Fahrens ab Autonomiestufe 3 ausgestattet sind, entsprechend der im Referenzdokument enthaltenen Begriffsbestimmung für autonomes Fahren („Automated Driving“) gemäß WP.29 und den Allgemeinen Grundsätzen für die Erarbeitung einer UN-Regelung zu autonomen Fahrzeugen (ECE/TRANS/WP.29/1140). |
| --- | --- |

1.2.

Diese Regelung gilt auch für Fahrzeuge der Klassen L6 und L7, die mit Funktionen des autonomen Fahrens ab Autonomiestufe 3 ausgestattet sind, entsprechend der im Referenzdokument enthaltenen Begriffsbestimmung für autonomes Fahren („Automated Driving“) gemäß WP.29 und den Allgemeinen Grundsätzen für die Erarbeitung einer UN-Regelung zu autonomen Fahrzeugen (ECE/TRANS/WP.29/1140).

| 1.3. | Diese Regelung gilt unbeschadet anderer UN-Regelungen sowie regionaler oder nationaler Rechtsvorschriften, die den Zugang befugter Parteien zu dem Fahrzeug, dessen Daten, Funktionen und Ressourcen sowie die Zugangsbedingungen regeln. Sie gilt auch unbeschadet der Anwendung nationaler und regionaler Rechtsvorschriften zum Schutz der Privatsphäre und zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten. |
| --- | --- |

1.3.

Diese Regelung gilt unbeschadet anderer UN-Regelungen sowie regionaler oder nationaler Rechtsvorschriften, die den Zugang befugter Parteien zu dem Fahrzeug, dessen Daten, Funktionen und Ressourcen sowie die Zugangsbedingungen regeln. Sie gilt auch unbeschadet der Anwendung nationaler und regionaler Rechtsvorschriften zum Schutz der Privatsphäre und zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten.

| 1.4. | Diese Regelung gilt unbeschadet anderer UN-Regelungen sowie nationaler oder regionaler Rechtsvorschriften, die die Entwicklung und Installation/Systemintegration sowohl physischer als auch digitaler Ersatzteile und Bauteile im Hinblick auf die Cybersicherheit regeln. |
| --- | --- |

1.4.

Diese Regelung gilt unbeschadet anderer UN-Regelungen sowie nationaler oder regionaler Rechtsvorschriften, die die Entwicklung und Installation/Systemintegration sowohl physischer als auch digitaler Ersatzteile und Bauteile im Hinblick auf die Cybersicherheit regeln.

2.   BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieser Regelung gelten folgende Begriffsbestimmungen:

| 2.1. | „Fahrzeugtyp“ bezeichnet Fahrzeuge, die sich zumindest in folgenden wesentlichen Punkten nicht voneinander unterscheiden:






  a) | Fahrzeugtypbezeichnung des Herstellers; |
| --- | --- | --- |

2.1.

„Fahrzeugtyp“ bezeichnet Fahrzeuge, die sich zumindest in folgenden wesentlichen Punkten nicht voneinander unterscheiden:

a)

Fahrzeugtypbezeichnung des Herstellers;

| b) | wesentliche Aspekte der elektrischen/elektronischen Architektur und der externen Schnittstellen hinsichtlich der Cybersicherheit. |
| --- | --- |

b)

wesentliche Aspekte der elektrischen/elektronischen Architektur und der externen Schnittstellen hinsichtlich der Cybersicherheit.

| 2.2. | „Cybersicherheit“ bezeichnet den Zustand, in dem Straßenfahrzeuge und deren Funktionen vor Cyberbedrohungen für elektrische oder elektronische Bauteile geschützt sind. |
| --- | --- |

2.2.

„Cybersicherheit“ bezeichnet den Zustand, in dem Straßenfahrzeuge und deren Funktionen vor Cyberbedrohungen für elektrische oder elektronische Bauteile geschützt sind.

| 2.3. | „Cybersicherheitsmanagementsystem (CSMS)“ bezeichnet einen systematischen, risikobasierten Ansatz zur Festlegung von organisatorischen Abläufen, Zuständigkeiten und Governance beim Umgang mit Risiken im Zusammenhang mit Cyberbedrohungen für Fahrzeuge und beim Schutz von Fahrzeugen vor Cyberangriffen. |
| --- | --- |

2.3.

„Cybersicherheitsmanagementsystem (CSMS)“ bezeichnet einen systematischen, risikobasierten Ansatz zur Festlegung von organisatorischen Abläufen, Zuständigkeiten und Governance beim Umgang mit Risiken im Zusammenhang mit Cyberbedrohungen für Fahrzeuge und beim Schutz von Fahrzeugen vor Cyberangriffen.

| 2.4. | „System“ bezeichnet einen Satz von Bauteilen und/oder Subsystemen, mit dem eine oder mehrere Funktionen implementiert werden. |
| --- | --- |

2.4.

„System“ bezeichnet einen Satz von Bauteilen und/oder Subsystemen, mit dem eine oder mehrere Funktionen implementiert werden.

| 2.5. | „Entwicklungsphase“ bezeichnet den Zeitraum vor der Typgenehmigung eines Fahrzeugtyps. |
| --- | --- |

2.5.

„Entwicklungsphase“ bezeichnet den Zeitraum vor der Typgenehmigung eines Fahrzeugtyps.

| 2.6. | „Produktionsphase“ bezeichnet den Zeitraum, in dem ein Fahrzeugtyp hergestellt wird. |
| --- | --- |

2.6.

„Produktionsphase“ bezeichnet den Zeitraum, in dem ein Fahrzeugtyp hergestellt wird.

| 2.7. | „Post-Produktionsphase“ bezeichnet den Zeitraum ab dem Zeitpunkt, zu dem ein Fahrzeugtyp nicht mehr produziert wird, bis zum Ende der Lebensdauer aller Fahrzeuge dieses Fahrzeugtyps. In dieser Phase sind Fahrzeuge eines bestimmten Fahrzeugtyps zwar betriebsfähig, werden aber nicht mehr produziert. Die Phase endet, wenn es keine betriebsfähigen Fahrzeuge des betreffenden Fahrzeugtyps mehr gibt. |
| --- | --- |

2.7.

„Post-Produktionsphase“ bezeichnet den Zeitraum ab dem Zeitpunkt, zu dem ein Fahrzeugtyp nicht mehr produziert wird, bis zum Ende der Lebensdauer aller Fahrzeuge dieses Fahrzeugtyps. In dieser Phase sind Fahrzeuge eines bestimmten Fahrzeugtyps zwar betriebsfähig, werden aber nicht mehr produziert. Die Phase endet, wenn es keine betriebsfähigen Fahrzeuge des betreffenden Fahrzeugtyps mehr gibt.

| 2.8. | „Minderungsmaßnahme“ bezeichnet eine Maßnahme, die ein Risiko verringert. |
| --- | --- |

2.8.

„Minderungsmaßnahme“ bezeichnet eine Maßnahme, die ein Risiko verringert.

| 2.9. | „Risiko“ bezeichnet die Möglichkeit, dass durch eine bestimmte Bedrohung Schwachstellen eines Fahrzeugs ausgenutzt werden und dadurch einer Organisation oder einer Person Schaden zugefügt wird. |
| --- | --- |

2.9.

„Risiko“ bezeichnet die Möglichkeit, dass durch eine bestimmte Bedrohung Schwachstellen eines Fahrzeugs ausgenutzt werden und dadurch einer Organisation oder einer Person Schaden zugefügt wird.

| 2.10. | „Risikobewertung“ bezeichnet den gesamten Prozess der Feststellung, Erkennung und Beschreibung von Risiken (Risikoermittlung), der Erfassung der Risikoart und der Bestimmung des Risikograds (Risikoanalyse) und des Vergleichs der Ergebnisse der Risikoanalyse mit bestimmten Risikokriterien, um festzustellen, ob das Risiko und/oder dessen Ausmaß akzeptabel bzw. tolerierbar ist (Risikoeinschätzung). |
| --- | --- |

2.10.

„Risikobewertung“ bezeichnet den gesamten Prozess der Feststellung, Erkennung und Beschreibung von Risiken (Risikoermittlung), der Erfassung der Risikoart und der Bestimmung des Risikograds (Risikoanalyse) und des Vergleichs der Ergebnisse der Risikoanalyse mit bestimmten Risikokriterien, um festzustellen, ob das Risiko und/oder dessen Ausmaß akzeptabel bzw. tolerierbar ist (Risikoeinschätzung).

| 2.11. | „Risikomanagement“ bezeichnet koordinierte Tätigkeiten zur Leitung und Kontrolle einer Organisation in Bezug auf ein Risiko. |
| --- | --- |

2.11.

„Risikomanagement“ bezeichnet koordinierte Tätigkeiten zur Leitung und Kontrolle einer Organisation in Bezug auf ein Risiko.

| 2.12. | „Bedrohung“ bezeichnet eine potenzielle Ursache eines unerwünschten Vorfalls, der zur Schädigung eines Systems, einer Organisation oder einer Person führen kann. |
| --- | --- |

2.12.

„Bedrohung“ bezeichnet eine potenzielle Ursache eines unerwünschten Vorfalls, der zur Schädigung eines Systems, einer Organisation oder einer Person führen kann.

| 2.13. | „Schwachstelle“ bezeichnet eine Schwäche eines Elements oder einer Risikominderungsmaßnahme, die durch eine oder mehrere Bedrohungen ausgenutzt werden kann. |
| --- | --- |

2.13.

„Schwachstelle“ bezeichnet eine Schwäche eines Elements oder einer Risikominderungsmaßnahme, die durch eine oder mehrere Bedrohungen ausgenutzt werden kann.

3.   ANTRAG AUF GENEHMIGUNG

| 3.1. | Der Antrag auf Erteilung einer Genehmigung für einen Fahrzeugtyp hinsichtlich der Cybersicherheit ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen. |
| --- | --- |

3.1.

Der Antrag auf Erteilung einer Genehmigung für einen Fahrzeugtyp hinsichtlich der Cybersicherheit ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen.

| 3.2. | Diesem Antrag sind die nachstehend genannten Dokumente in dreifacher Ausfertigung und mit folgenden Angaben beizufügen: |
| --- | --- |

3.2.

Diesem Antrag sind die nachstehend genannten Dokumente in dreifacher Ausfertigung und mit folgenden Angaben beizufügen:

| 3.2.1. | Eine Beschreibung des Fahrzeugtyps unter Beachtung der in Anhang 1 dieser Regelung genannten Positionen. |
| --- | --- |

3.2.1.

Eine Beschreibung des Fahrzeugtyps unter Beachtung der in Anhang 1 dieser Regelung genannten Positionen.

| 3.2.2. | Falls an solchen Informationen nachweislich Rechte des geistigen Eigentums bestehen oder mit ihnen nachweislich spezifisches Know-how des Herstellers oder seiner Zulieferer preisgegeben wird, übermitteln der Hersteller oder dessen Zulieferer hinreichende Informationen für die ordnungsgemäße Durchführung der in dieser Regelung genannten Prüfungen. Diese Informationen werden vertraulich behandelt. |
| --- | --- |

3.2.2.

Falls an solchen Informationen nachweislich Rechte des geistigen Eigentums bestehen oder mit ihnen nachweislich spezifisches Know-how des Herstellers oder seiner Zulieferer preisgegeben wird, übermitteln der Hersteller oder dessen Zulieferer hinreichende Informationen für die ordnungsgemäße Durchführung der in dieser Regelung genannten Prüfungen. Diese Informationen werden vertraulich behandelt.

| 3.2.3. | Die Konformitätsbescheinigung für das CSMS gemäß Absatz 6 dieser Regelung. |
| --- | --- |

3.2.3.

Die Konformitätsbescheinigung für das CSMS gemäß Absatz 6 dieser Regelung.

| 3.3. | Die Dokumentation muss zwei Teile umfassen:






  a) | Das formale Dokumentationspaket für die Genehmigung mit dem in Anhang 1 angegebenen Material, das der Genehmigungsbehörde oder ihrem technischen Dienst zusammen mit dem Antrag auf Erteilung der Typgenehmigung vorzulegen ist. Diese Unterlagen dienen der Genehmigungsbehörde oder ihrem technischen Dienst als Genehmigungsgrundlage. Die Genehmigungsbehörde oder ihr technischer Dienst stellt sicher, dass das Dokumentationspaket mindestens zehn Jahre ab dem Zeitpunkt, zu dem die Produktion des Fahrzeugtyps endgültig eingestellt wird, verfügbar bleibt. |
| --- | --- | --- |

3.3.

Die Dokumentation muss zwei Teile umfassen:

a)

Das formale Dokumentationspaket für die Genehmigung mit dem in Anhang 1 angegebenen Material, das der Genehmigungsbehörde oder ihrem technischen Dienst zusammen mit dem Antrag auf Erteilung der Typgenehmigung vorzulegen ist. Diese Unterlagen dienen der Genehmigungsbehörde oder ihrem technischen Dienst als Genehmigungsgrundlage. Die Genehmigungsbehörde oder ihr technischer Dienst stellt sicher, dass das Dokumentationspaket mindestens zehn Jahre ab dem Zeitpunkt, zu dem die Produktion des Fahrzeugtyps endgültig eingestellt wird, verfügbar bleibt.

| b) | Zusätzliches Material, das für die Vorschriften dieser Regelung von Bedeutung ist, kann vom Hersteller aufbewahrt werden, ist zum Zeitpunkt der Typgenehmigung jedoch zur Prüfung offenzulegen. Der Hersteller stellt sicher, dass das gesamte, zum Zeitpunkt der Typgenehmigung offengelegte Material für einen Zeitraum von mindestens zehn Jahren ab dem Zeitpunkt, zu dem die Produktion des Fahrzeugtyps endgültig eingestellt wird, verfügbar bleibt. |
| --- | --- |

b)

Zusätzliches Material, das für die Vorschriften dieser Regelung von Bedeutung ist, kann vom Hersteller aufbewahrt werden, ist zum Zeitpunkt der Typgenehmigung jedoch zur Prüfung offenzulegen. Der Hersteller stellt sicher, dass das gesamte, zum Zeitpunkt der Typgenehmigung offengelegte Material für einen Zeitraum von mindestens zehn Jahren ab dem Zeitpunkt, zu dem die Produktion des Fahrzeugtyps endgültig eingestellt wird, verfügbar bleibt.

4.   KENNZEICHNUNG

| 4.1. | An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die auf dem Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen anzubringen, bestehend aus: |
| --- | --- |

4.1.

An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die auf dem Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen anzubringen, bestehend aus:

| 4.1.1. | einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat; |
| --- | --- |

4.1.1.

einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat;

| 4.1.2. | der Nummer dieser Regelung mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis nach Absatz 4.1.1. |
| --- | --- |

4.1.2.

der Nummer dieser Regelung mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis nach Absatz 4.1.1.

| 4.2. | Entspricht das Fahrzeug einem Fahrzeugtyp, der in dem Land, das die Typgenehmigung nach dieser Regelung erteilt hat, auch nach einer oder mehreren anderen Regelungen zum Übereinkommen genehmigt wurde, braucht das Zeichen nach Absatz 4.1.1 nicht wiederholt zu werden; in diesem Fall sind die Regelungs- und Genehmigungsnummern und die zusätzlichen Zeichen aller Regelungen, aufgrund deren die Genehmigung in dem Land erteilt wurde, das die Genehmigung nach dieser Regelung erteilt hat, untereinander rechts neben dem Zeichen nach Absatz 4.1.1 anzuordnen. |
| --- | --- |

4.2.

Entspricht das Fahrzeug einem Fahrzeugtyp, der in dem Land, das die Typgenehmigung nach dieser Regelung erteilt hat, auch nach einer oder mehreren anderen Regelungen zum Übereinkommen genehmigt wurde, braucht das Zeichen nach Absatz 4.1.1 nicht wiederholt zu werden; in diesem Fall sind die Regelungs- und Genehmigungsnummern und die zusätzlichen Zeichen aller Regelungen, aufgrund deren die Genehmigung in dem Land erteilt wurde, das die Genehmigung nach dieser Regelung erteilt hat, untereinander rechts neben dem Zeichen nach Absatz 4.1.1 anzuordnen.

| 4.3. | Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein. |
| --- | --- |

4.3.

Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein.

| 4.4. | Das Genehmigungszeichen ist in der Nähe des vom Hersteller angebrachten Typenschilds des Fahrzeugs oder auf diesem selbst anzubringen. |
| --- | --- |

4.4.

Das Genehmigungszeichen ist in der Nähe des vom Hersteller angebrachten Typenschilds des Fahrzeugs oder auf diesem selbst anzubringen.

| 4.5. | Anhang 3 dieser Regelung enthält Beispiele für die Anordnung des Genehmigungszeichens. |
| --- | --- |

4.5.

Anhang 3 dieser Regelung enthält Beispiele für die Anordnung des Genehmigungszeichens.

5.   GENEHMIGUNG

| 5.1. | Genehmigungsbehörden dürfen Typgenehmigungen hinsichtlich der Cybersicherheit nur für solche Fahrzeugtypen erteilen, die den Vorschriften dieser Regelung genügen. |
| --- | --- |

5.1.

Genehmigungsbehörden dürfen Typgenehmigungen hinsichtlich der Cybersicherheit nur für solche Fahrzeugtypen erteilen, die den Vorschriften dieser Regelung genügen.

| 5.1.1. | Die Genehmigungsbehörde oder der technische Dienst überprüft mittels Dokumentenkontrollen, ob der Fahrzeughersteller die für den Fahrzeugtyp relevanten Maßnahmen ergriffen hat, die nötig sind, um Folgendes sicherzustellen:






  a) | Erfassung und Überprüfung der gemäß dieser Regelung erforderlichen Informationen über die gesamte Lieferkette hinweg, um nachzuweisen, dass lieferantenbezogene Risiken ermittelt und bewältigt werden; |
| --- | --- | --- |

5.1.1.

Die Genehmigungsbehörde oder der technische Dienst überprüft mittels Dokumentenkontrollen, ob der Fahrzeughersteller die für den Fahrzeugtyp relevanten Maßnahmen ergriffen hat, die nötig sind, um Folgendes sicherzustellen:

a)

Erfassung und Überprüfung der gemäß dieser Regelung erforderlichen Informationen über die gesamte Lieferkette hinweg, um nachzuweisen, dass lieferantenbezogene Risiken ermittelt und bewältigt werden;

| b) | Dokumentation der Risikobewertung (während der Entwicklungsphase oder nachträglich), der Testergebnisse und der Minderungsmaßnahmen bezogen auf den Fahrzeugtyp, einschließlich konstruktionsbezogener Informationen zur Untermauerung der Risikobewertung; |
| --- | --- |

b)

Dokumentation der Risikobewertung (während der Entwicklungsphase oder nachträglich), der Testergebnisse und der Minderungsmaßnahmen bezogen auf den Fahrzeugtyp, einschließlich konstruktionsbezogener Informationen zur Untermauerung der Risikobewertung;

| c) | Implementierung geeigneter Cybersicherheitsmaßnahmen bei der Konzeption des Fahrzeugtyps; |
| --- | --- |

c)

Implementierung geeigneter Cybersicherheitsmaßnahmen bei der Konzeption des Fahrzeugtyps;

| d) | Erkennung von und Reaktion auf mögliche Cyberangriffe; |
| --- | --- |

d)

Erkennung von und Reaktion auf mögliche Cyberangriffe;

| e) | Protokollierung von Daten zur Unterstützung der Erkennung von Cyberangriffen und Bereitstellung von Datenforensik, um eine Analyse versuchter oder erfolgreicher Cyberangriffe zu ermöglichen. |
| --- | --- |

e)

Protokollierung von Daten zur Unterstützung der Erkennung von Cyberangriffen und Bereitstellung von Datenforensik, um eine Analyse versuchter oder erfolgreicher Cyberangriffe zu ermöglichen.

| 5.1.2. | Die Genehmigungsbehörde oder der technische Dienst überprüft anhand von Tests an einem Fahrzeug des betreffenden Fahrzeugtyps, ob der Fahrzeughersteller die von ihm dokumentierten Cybersicherheitsmaßnahmen implementiert hat. Die entsprechenden Tests sind von der Genehmigungsbehörde oder dem technischen Dienst selbst oder in Zusammenarbeit mit dem Fahrzeughersteller mittels stichprobenartiger Überprüfungen durchzuführen. Die Stichproben sollen schwerpunktmäßig, aber nicht ausschließlich auf Risiken ausgerichtet sein, die zum Zeitpunkt der Risikobewertung als hoch eingeschätzt werden. |
| --- | --- |

5.1.2.

Die Genehmigungsbehörde oder der technische Dienst überprüft anhand von Tests an einem Fahrzeug des betreffenden Fahrzeugtyps, ob der Fahrzeughersteller die von ihm dokumentierten Cybersicherheitsmaßnahmen implementiert hat. Die entsprechenden Tests sind von der Genehmigungsbehörde oder dem technischen Dienst selbst oder in Zusammenarbeit mit dem Fahrzeughersteller mittels stichprobenartiger Überprüfungen durchzuführen. Die Stichproben sollen schwerpunktmäßig, aber nicht ausschließlich auf Risiken ausgerichtet sein, die zum Zeitpunkt der Risikobewertung als hoch eingeschätzt werden.

| 5.1.3. | Die Genehmigungsbehörde oder der technische Dienst versagt die Erteilung der Typgenehmigung hinsichtlich der Cybersicherheit, wenn der Fahrzeughersteller eine oder mehrere der in Absatz 7.3 genannten Vorschriften nicht erfüllt hat, insbesondere folgende:






  a) | Der Fahrzeughersteller hat die laut Absatz 7.3.3 vorgesehene erschöpfende Risikobewertung nicht durchgeführt; dies ist auch dann der Fall, wenn der Hersteller nicht alle Risiken im Zusammenhang mit den in Anhang 5 Teil A genannten Bedrohungen berücksichtigt hat. |
| --- | --- | --- |

5.1.3.

Die Genehmigungsbehörde oder der technische Dienst versagt die Erteilung der Typgenehmigung hinsichtlich der Cybersicherheit, wenn der Fahrzeughersteller eine oder mehrere der in Absatz 7.3 genannten Vorschriften nicht erfüllt hat, insbesondere folgende:

a)

Der Fahrzeughersteller hat die laut Absatz 7.3.3 vorgesehene erschöpfende Risikobewertung nicht durchgeführt; dies ist auch dann der Fall, wenn der Hersteller nicht alle Risiken im Zusammenhang mit den in Anhang 5 Teil A genannten Bedrohungen berücksichtigt hat.

| b) | Der Fahrzeughersteller hat den Fahrzeugtyp nicht gegen die in der Risikobewertung des Fahrzeugherstellers ermittelten Risiken geschützt oder es wurden keine angemessenen Minderungsmaßnahmen gemäß Absatz 7 vorgesehen. |
| --- | --- |

b)

Der Fahrzeughersteller hat den Fahrzeugtyp nicht gegen die in der Risikobewertung des Fahrzeugherstellers ermittelten Risiken geschützt oder es wurden keine angemessenen Minderungsmaßnahmen gemäß Absatz 7 vorgesehen.

| c) | Der Fahrzeughersteller hat keine angemessenen und verhältnismäßigen Maßnahmen ergriffen, um bestimmte Umgebungen des Fahrzeugtyps (falls vorhanden) in Bezug auf die Speicherung und Ausführung von Software, Diensten, Anwendungen oder Daten des Anschlussmarktes zu sichern. |
| --- | --- |

c)

Der Fahrzeughersteller hat keine angemessenen und verhältnismäßigen Maßnahmen ergriffen, um bestimmte Umgebungen des Fahrzeugtyps (falls vorhanden) in Bezug auf die Speicherung und Ausführung von Software, Diensten, Anwendungen oder Daten des Anschlussmarktes zu sichern.

| d) | Der Fahrzeughersteller hat vor der Genehmigung keine angemessenen und ausreichenden Tests durchgeführt, um die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu überprüfen. |
| --- | --- |

d)

Der Fahrzeughersteller hat vor der Genehmigung keine angemessenen und ausreichenden Tests durchgeführt, um die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu überprüfen.

| 5.1.4. | Die bewertende Genehmigungsbehörde versagt die Typgenehmigung hinsichtlich der Cybersicherheit auch dann, wenn die Genehmigungsbehörde oder der technische Dienst vom Fahrzeughersteller keine ausreichenden Informationen zur Bewertung der Cybersicherheit des Fahrzeugtyps erhalten hat. |
| --- | --- |

5.1.4.

Die bewertende Genehmigungsbehörde versagt die Typgenehmigung hinsichtlich der Cybersicherheit auch dann, wenn die Genehmigungsbehörde oder der technische Dienst vom Fahrzeughersteller keine ausreichenden Informationen zur Bewertung der Cybersicherheit des Fahrzeugtyps erhalten hat.

| 5.2. | Über die Erteilung oder Erweiterung oder Versagung einer Genehmigung für einen Fahrzeugtyp nach dieser Regelung sind die Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 2 dieser Regelung entspricht. |
| --- | --- |

5.2.

Über die Erteilung oder Erweiterung oder Versagung einer Genehmigung für einen Fahrzeugtyp nach dieser Regelung sind die Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 2 dieser Regelung entspricht.

| 5.3. | Die Genehmigungsbehörden erteilen keine Typgenehmigung, ohne zuvor zu überprüfen, ob der Hersteller angemessene Vorkehrungen und Verfahren eingeführt hat, um den unter diese Regelung fallenden Aspekten der Cybersicherheit ordnungsgemäß Rechnung zu tragen. |
| --- | --- |

5.3.

Die Genehmigungsbehörden erteilen keine Typgenehmigung, ohne zuvor zu überprüfen, ob der Hersteller angemessene Vorkehrungen und Verfahren eingeführt hat, um den unter diese Regelung fallenden Aspekten der Cybersicherheit ordnungsgemäß Rechnung zu tragen.

| 5.3.1. | Die Genehmigungsbehörde und ihre technischen Dienste stellen zusätzlich zu den in Verzeichnis 2 des Übereinkommens von 1958 festgelegten Kriterien sicher, dass die Hersteller über Folgendes verfügen:






  a) | Fachpersonal mit entsprechenden Kompetenzen im Bereich der Cybersicherheit und Fachkenntnissen bezüglich Risikobewertungen im Automobilbereich (1); |
| --- | --- | --- |

5.3.1.

Die Genehmigungsbehörde und ihre technischen Dienste stellen zusätzlich zu den in Verzeichnis 2 des Übereinkommens von 1958 festgelegten Kriterien sicher, dass die Hersteller über Folgendes verfügen:

a)

Fachpersonal mit entsprechenden Kompetenzen im Bereich der Cybersicherheit und Fachkenntnissen bezüglich Risikobewertungen im Automobilbereich (1);

1

| b) | implementierte Verfahren für die einheitliche Bewertung gemäß dieser Regelung. |
| --- | --- |

b)

implementierte Verfahren für die einheitliche Bewertung gemäß dieser Regelung.

| 5.3.2. | Jede Vertragspartei, die diese Regelung anwendet, unterrichtet über ihre Genehmigungsbehörde die Genehmigungsbehörden der anderen Vertragsparteien, die diese UN-Regelung anwenden, über das Verfahren und die Kriterien, die von der unterrichtenden Behörde zugrunde gelegt werden, um die Angemessenheit der Maßnahmen zu bewerten, die gemäß dieser Regelung, insbesondere gemäß den Absätzen 5.1, 7.2 und 7.3, getroffen werden.
  Diese Informationen werden (a) nur vor der erstmaligen Erteilung einer Genehmigung nach dieser Regelung und (b) bei jeder Aktualisierung des Verfahrens oder der Kriterien für die Bewertung übermittelt.
  Die Informationen sollen zwecks Erfassung und Analyse bewährter Verfahren und zur Sicherstellung einer konvergierenden Anwendung dieser Regelung durch alle Genehmigungsbehörden, die diese Regelung anwenden, gemeinsam genutzt werden. |
| --- | --- |

5.3.2.

Jede Vertragspartei, die diese Regelung anwendet, unterrichtet über ihre Genehmigungsbehörde die Genehmigungsbehörden der anderen Vertragsparteien, die diese UN-Regelung anwenden, über das Verfahren und die Kriterien, die von der unterrichtenden Behörde zugrunde gelegt werden, um die Angemessenheit der Maßnahmen zu bewerten, die gemäß dieser Regelung, insbesondere gemäß den Absätzen 5.1, 7.2 und 7.3, getroffen werden.

Diese Informationen werden (a) nur vor der erstmaligen Erteilung einer Genehmigung nach dieser Regelung und (b) bei jeder Aktualisierung des Verfahrens oder der Kriterien für die Bewertung übermittelt.

Die Informationen sollen zwecks Erfassung und Analyse bewährter Verfahren und zur Sicherstellung einer konvergierenden Anwendung dieser Regelung durch alle Genehmigungsbehörden, die diese Regelung anwenden, gemeinsam genutzt werden.

| 5.3.3. | Die Informationen gemäß Absatz 5.3.2 sind in englischer Sprache rechtzeitig und spätestens 14 Tage vor der erstmaligen Erteilung einer Genehmigung nach den betreffenden Bewertungsverfahren und -kriterien in die von der Wirtschaftskommission der Vereinten Nationen für Europa errichtete, sichere Internet-Datenbank DETA (2) hochzuladen. Die Informationen müssen hinreichend Aufschluss darüber geben, welche Mindestleistungsniveaus die Genehmigungsbehörde für die jeweiligen spezifischen Anforderungen gemäß Absatz 5.3.2 festgelegt hat und welche Verfahren und Maßnahmen sie anwendet, um zu überprüfen, ob diese Mindestleistungsniveaus erfüllt sind (3). |
| --- | --- |

5.3.3.

Die Informationen gemäß Absatz 5.3.2 sind in englischer Sprache rechtzeitig und spätestens 14 Tage vor der erstmaligen Erteilung einer Genehmigung nach den betreffenden Bewertungsverfahren und -kriterien in die von der Wirtschaftskommission der Vereinten Nationen für Europa errichtete, sichere Internet-Datenbank DETA (2

3

| 5.3.4. | Genehmigungsbehörden, die die in Absatz 5.3.2 genannten Informationen erhalten, können der unterrichtenden Genehmigungsbehörde innerhalb von 14 Tagen nach dem Tag der Unterrichtung Bemerkungen übermitteln, die sie in DETA hochladen. |
| --- | --- |

5.3.4.

Genehmigungsbehörden, die die in Absatz 5.3.2 genannten Informationen erhalten, können der unterrichtenden Genehmigungsbehörde innerhalb von 14 Tagen nach dem Tag der Unterrichtung Bemerkungen übermitteln, die sie in DETA hochladen.

| 5.3.5. | Kann die Genehmigungsbehörde, die die Genehmigung erteilt hat, die nach Absatz 5.3.4 eingegangenen Bemerkungen nicht berücksichtigen, so bemühen sich die Genehmigungsbehörden, die Bemerkungen übermittelt haben, und die Genehmigungsbehörde, die die Genehmigung erteilt hat, gemäß dem Verzeichnis 6 des Übereinkommens von 1958 um weitere Klärung. Die für diese Regelung zuständige nachgeordnete Arbeitsgruppe (4) des Weltforums für die Harmonisierung der Regelungen für Kraftfahrzeuge (WP.29) muss sich auf eine gemeinsame Auslegung der Bewertungsverfahren und -kriterien einigen (5). Diese gemeinsame Auslegung ist umzusetzen, und alle Genehmigungsbehörden müssen dementsprechend Typgenehmigungen im Rahmen dieser Regelung erteilen. |
| --- | --- |

5.3.5.

Kann die Genehmigungsbehörde, die die Genehmigung erteilt hat, die nach Absatz 5.3.4 eingegangenen Bemerkungen nicht berücksichtigen, so bemühen sich die Genehmigungsbehörden, die Bemerkungen übermittelt haben, und die Genehmigungsbehörde, die die Genehmigung erteilt hat, gemäß dem Verzeichnis 6 des Übereinkommens von 1958 um weitere Klärung. Die für diese Regelung zuständige nachgeordnete Arbeitsgruppe (4

5

| 5.3.6. | Jede Genehmigungsbehörde, die eine Typgenehmigung nach dieser Regelung erteilt, hat die anderen Genehmigungsbehörden darüber zu unterrichten. Die Genehmigungsbehörde lädt die Typgenehmigung zusammen mit der ergänzenden Dokumentation innerhalb von 14 Tagen nach dem Tag der Erteilung in englischer Sprache in DETA hoch (6). |
| --- | --- |

5.3.6.

Jede Genehmigungsbehörde, die eine Typgenehmigung nach dieser Regelung erteilt, hat die anderen Genehmigungsbehörden darüber zu unterrichten. Die Genehmigungsbehörde lädt die Typgenehmigung zusammen mit der ergänzenden Dokumentation innerhalb von 14 Tagen nach dem Tag der Erteilung in englischer Sprache in DETA hoch (6

| 5.3.7. | Die Vertragsparteien können die erteilten Genehmigungen anhand der gemäß Absatz 5.3.6 hochgeladenen Informationen untersuchen. Etwaige Meinungsverschiedenheiten zwischen den Vertragsparteien sind gemäß Artikel 10 und Verzeichnis 6 des Übereinkommens von 1958 beizulegen. Die Vertragsparteien unterrichten auch die zuständige nachgeordnete Arbeitsgruppe des Weltforums für die Harmonisierung der Regelungen für Kraftfahrzeuge (WP.29) über die abweichenden Auslegungen im Sinne von Verzeichnis 6 des Übereinkommens von 1958. Die zuständige Arbeitsgruppe unterstützt die Beilegung der Meinungsverschiedenheiten und kann sich hierzu erforderlichenfalls mit der WP.29 beraten. |
| --- | --- |

5.3.7.

Die Vertragsparteien können die erteilten Genehmigungen anhand der gemäß Absatz 5.3.6 hochgeladenen Informationen untersuchen. Etwaige Meinungsverschiedenheiten zwischen den Vertragsparteien sind gemäß Artikel 10 und Verzeichnis 6 des Übereinkommens von 1958 beizulegen. Die Vertragsparteien unterrichten auch die zuständige nachgeordnete Arbeitsgruppe des Weltforums für die Harmonisierung der Regelungen für Kraftfahrzeuge (WP.29) über die abweichenden Auslegungen im Sinne von Verzeichnis 6 des Übereinkommens von 1958. Die zuständige Arbeitsgruppe unterstützt die Beilegung der Meinungsverschiedenheiten und kann sich hierzu erforderlichenfalls mit der WP.29 beraten.

| 5.4. | Für die Zwecke des Absatzes 7.2 dieser Regelung stellt der Hersteller sicher, dass den unter diese Regelung fallenden Aspekten der Cybersicherheit Rechnung getragen wird. |
| --- | --- |

5.4.

Für die Zwecke des Absatzes 7.2 dieser Regelung stellt der Hersteller sicher, dass den unter diese Regelung fallenden Aspekten der Cybersicherheit Rechnung getragen wird.

6.   KONFORMITÄTSBESCHEINIGUNG FÜR DAS CYBERSICHERHEITSMANAGEMENTSYSTEM

| 6.1. | Die Vertragsparteien benennen eine Genehmigungsbehörde, die die Bewertung des Herstellers durchführen und eine Konformitätsbescheinigung für das CSMS ausstellen soll. |
| --- | --- |

6.1.

Die Vertragsparteien benennen eine Genehmigungsbehörde, die die Bewertung des Herstellers durchführen und eine Konformitätsbescheinigung für das CSMS ausstellen soll.

| 6.2. | Ein Antrag auf Erteilung einer Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen. |
| --- | --- |

6.2.

Ein Antrag auf Erteilung einer Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen.

| 6.3. | Dem Antrag sind die nachstehend genannten Dokumente in dreifacher Ausfertigung und mit folgenden Angaben beizufügen: |
| --- | --- |

6.3.

Dem Antrag sind die nachstehend genannten Dokumente in dreifacher Ausfertigung und mit folgenden Angaben beizufügen:

| 6.3.1. | Beschreibungen des Cybersicherheitsmanagementsystems; |
| --- | --- |

6.3.1.

Beschreibungen des Cybersicherheitsmanagementsystems;

| 6.3.2. | eine unterzeichnete Erklärung gemäß dem in Anhang 1 Anlage 1 enthaltenen Muster. |
| --- | --- |

6.3.2.

eine unterzeichnete Erklärung gemäß dem in Anhang 1 Anlage 1 enthaltenen Muster.

| 6.4. | Im Rahmen der Bewertung muss der Hersteller unter Verwendung des in Anhang 1 Anlage 1 enthaltenen Musters erklären und der Genehmigungsbehörde oder deren technischem Dienst gegenüber in zufriedenstellender Weise nachweisen, dass er über die erforderlichen Verfahren verfügt, um alle Anforderungen an die Cybersicherheit im Sinne dieser Regelung zu erfüllen. |
| --- | --- |

6.4.

Im Rahmen der Bewertung muss der Hersteller unter Verwendung des in Anhang 1 Anlage 1 enthaltenen Musters erklären und der Genehmigungsbehörde oder deren technischem Dienst gegenüber in zufriedenstellender Weise nachweisen, dass er über die erforderlichen Verfahren verfügt, um alle Anforderungen an die Cybersicherheit im Sinne dieser Regelung zu erfüllen.

| 6.5. | Wenn die Bewertung zufriedenstellend abgeschlossen wurde und eine unterzeichnete Erklärung des Herstellers gemäß dem Muster in Anhang 1 Anlage 1 eingegangen ist, wird dem Hersteller eine Bescheinigung mit der Bezeichnung „Konformitätsbescheinigung für ein CSMS“ gemäß dem Muster in Anhang 4 dieser Regelung erteilt. |
| --- | --- |

6.5.

Wenn die Bewertung zufriedenstellend abgeschlossen wurde und eine unterzeichnete Erklärung des Herstellers gemäß dem Muster in Anhang 1 Anlage 1 eingegangen ist, wird dem Hersteller eine Bescheinigung mit der Bezeichnung „Konformitätsbescheinigung für ein CSMS“ gemäß dem Muster in Anhang 4 dieser Regelung erteilt.

| 6.6. | Die Genehmigungsbehörde oder ihr technischer Dienst stellt die Konformitätsbescheinigung für das CSMS nach dem in Anhang 4 dieser Regelung enthaltenen Muster aus. |
| --- | --- |

6.6.

Die Genehmigungsbehörde oder ihr technischer Dienst stellt die Konformitätsbescheinigung für das CSMS nach dem in Anhang 4 dieser Regelung enthaltenen Muster aus.

| 6.7. | Die Konformitätsbescheinigung für das CSMS bleibt maximal drei Jahre ab Ausstellungsdatum gültig, sofern sie nicht zurückgenommen wird. |
| --- | --- |

6.7.

Die Konformitätsbescheinigung für das CSMS bleibt maximal drei Jahre ab Ausstellungsdatum gültig, sofern sie nicht zurückgenommen wird.

| 6.8. | Die Genehmigungsbehörde, die die Konformitätsbescheinigung für das CSMS erteilt hat, kann jederzeit überprüfen, ob die Anforderungen an das CSMS weiterhin erfüllt sind; wenn die in dieser Regelung festgelegten Vorschriften nicht mehr erfüllt sind, nimmt die Genehmigungsbehörde die Konformitätsbescheinigung für das CSMS zurück. |
| --- | --- |

6.8.

Die Genehmigungsbehörde, die die Konformitätsbescheinigung für das CSMS erteilt hat, kann jederzeit überprüfen, ob die Anforderungen an das CSMS weiterhin erfüllt sind; wenn die in dieser Regelung festgelegten Vorschriften nicht mehr erfüllt sind, nimmt die Genehmigungsbehörde die Konformitätsbescheinigung für das CSMS zurück.

| 6.9. | Der Hersteller muss die Genehmigungsbehörde oder ihren technischen Dienst über jede Änderung informieren, die sich auf die Einschlägigkeit der Konformitätsbescheinigung für das CSMS auswirkt. Nach Rücksprache mit dem Hersteller entscheidet die Genehmigungsbehörde oder ihr technischer Dienst, ob neue Prüfungen erforderlich sind. |
| --- | --- |

6.9.

Der Hersteller muss die Genehmigungsbehörde oder ihren technischen Dienst über jede Änderung informieren, die sich auf die Einschlägigkeit der Konformitätsbescheinigung für das CSMS auswirkt. Nach Rücksprache mit dem Hersteller entscheidet die Genehmigungsbehörde oder ihr technischer Dienst, ob neue Prüfungen erforderlich sind.

| 6.10. | Die Ausstellung einer neuen oder die Verlängerung der vorhandenen Konformitätsbescheinigung für das CSMS muss vom Hersteller rechtzeitig beantragt werden, d. h., die Genehmigungsbehörde muss Gelegenheit haben, noch vor Ablauf der Gültigkeitsdauer der vorhandenen Konformitätsbescheinigung für das CSMS ihre Bewertung abzuschließen. Vorbehaltlich einer positiven Bewertung stellt die Genehmigungsbehörde eine neue Konformitätsbescheinigung für das CSMS aus oder verlängert die Gültigkeit der vorhandenen Konformitätsbescheinigung um weitere drei Jahre. Die Genehmigungsbehörde überprüft, ob das CSMS weiterhin die Vorschriften dieser Regelung erfüllt. In Fällen, in denen der Genehmigungsbehörde oder ihrem technischen Dienst Änderungen zur Kenntnis gebracht wurden und diese Änderungen erneut positiv bewertet wurden, stellt die Genehmigungsbehörde eine neue Bescheinigung aus. |
| --- | --- |

6.10.

Die Ausstellung einer neuen oder die Verlängerung der vorhandenen Konformitätsbescheinigung für das CSMS muss vom Hersteller rechtzeitig beantragt werden, d. h., die Genehmigungsbehörde muss Gelegenheit haben, noch vor Ablauf der Gültigkeitsdauer der vorhandenen Konformitätsbescheinigung für das CSMS ihre Bewertung abzuschließen. Vorbehaltlich einer positiven Bewertung stellt die Genehmigungsbehörde eine neue Konformitätsbescheinigung für das CSMS aus oder verlängert die Gültigkeit der vorhandenen Konformitätsbescheinigung um weitere drei Jahre. Die Genehmigungsbehörde überprüft, ob das CSMS weiterhin die Vorschriften dieser Regelung erfüllt. In Fällen, in denen der Genehmigungsbehörde oder ihrem technischen Dienst Änderungen zur Kenntnis gebracht wurden und diese Änderungen erneut positiv bewertet wurden, stellt die Genehmigungsbehörde eine neue Bescheinigung aus.

| 6.11. | Der Ablauf oder die Rücknahme der Konformitätsbescheinigung des Herstellers für das CSMS gilt in Bezug auf die Fahrzeugtypen, für die das betreffende CSMS maßgeblich war, als Änderung im Sinne von Absatz 8, was dazu führen kann, dass die Genehmigung zurückgenommen wird, wenn die Bedingungen für ihre Erteilung nicht mehr erfüllt sind. |
| --- | --- |

6.11.

Der Ablauf oder die Rücknahme der Konformitätsbescheinigung des Herstellers für das CSMS gilt in Bezug auf die Fahrzeugtypen, für die das betreffende CSMS maßgeblich war, als Änderung im Sinne von Absatz 8, was dazu führen kann, dass die Genehmigung zurückgenommen wird, wenn die Bedingungen für ihre Erteilung nicht mehr erfüllt sind.

7.   SPEZIFIKATIONEN

| 7.1. | Allgemeine Spezifikationen |
| --- | --- |

7.1.

Allgemeine Spezifikationen

| 7.1.1. | Die Vorschriften dieser Regelung dürfen die Bestimmungen oder Vorschriften anderer UN-Regelungen nicht einschränken. |
| --- | --- |

7.1.1.

Die Vorschriften dieser Regelung dürfen die Bestimmungen oder Vorschriften anderer UN-Regelungen nicht einschränken.

| 7.2. | Anforderungen an das Cybersicherheitsmanagementsystem |
| --- | --- |

7.2.

Anforderungen an das Cybersicherheitsmanagementsystem

| 7.2.1. | Im Zuge der Bewertung muss die Genehmigungsbehörde oder ihr technischer Dienst überprüfen, ob der Fahrzeughersteller ein Cybersicherheitsmanagementsystem installiert hat und ob dieses System die Vorschriften der vorliegenden Regelung erfüllt. |
| --- | --- |

7.2.1.

Im Zuge der Bewertung muss die Genehmigungsbehörde oder ihr technischer Dienst überprüfen, ob der Fahrzeughersteller ein Cybersicherheitsmanagementsystem installiert hat und ob dieses System die Vorschriften der vorliegenden Regelung erfüllt.

| 7.2.2. | Das Cybersicherheitsmanagementsystem soll folgenden Aspekten Rechnung tragen: |
| --- | --- |

7.2.2.

Das Cybersicherheitsmanagementsystem soll folgenden Aspekten Rechnung tragen:

| 7.2.2.1. | Der Fahrzeughersteller muss gegenüber einer Genehmigungsbehörde oder einem technischen Dienst darlegen, dass sein Cybersicherheitsmanagementsystem in folgenden Phasen anwendbar ist:






  a) | Entwicklungsphase; |
| --- | --- | --- |

7.2.2.1.

Der Fahrzeughersteller muss gegenüber einer Genehmigungsbehörde oder einem technischen Dienst darlegen, dass sein Cybersicherheitsmanagementsystem in folgenden Phasen anwendbar ist:

a)

Entwicklungsphase;

| b) | Produktionsphase; |
| --- | --- |

b)

Produktionsphase;

| c) | Postproduktionsphase. |
| --- | --- |

c)

Postproduktionsphase.

| 7.2.2.2. | Der Fahrzeughersteller muss nachweisen, dass bei den Verfahren im Rahmen seines Cybersicherheitsmanagementsystems gewährleistet ist, dass dem Aspekt der Sicherheit angemessen Rechnung getragen wird; hier sind auch die in Anhang 5 aufgeführten Risiken und Minderungsmaßnahmen zu berücksichtigen. Dabei geht es um folgende Verfahren:






  a) | die Verfahren, die innerhalb der Organisation des Herstellers für das Cybersicherheitsmanagement eingesetzt werden; |
| --- | --- | --- |

7.2.2.2.

Der Fahrzeughersteller muss nachweisen, dass bei den Verfahren im Rahmen seines Cybersicherheitsmanagementsystems gewährleistet ist, dass dem Aspekt der Sicherheit angemessen Rechnung getragen wird; hier sind auch die in Anhang 5 aufgeführten Risiken und Minderungsmaßnahmen zu berücksichtigen. Dabei geht es um folgende Verfahren:

a)

die Verfahren, die innerhalb der Organisation des Herstellers für das Cybersicherheitsmanagement eingesetzt werden;

| b) | die Verfahren, die zur Ermittlung von Risiken für Fahrzeugtypen eingesetzt werden. Im Rahmen dieser Verfahren werden die in Anhang 5 Teil A aufgeführten Bedrohungen sowie weitere einschlägige Bedrohungen betrachtet; |
| --- | --- |

b)

die Verfahren, die zur Ermittlung von Risiken für Fahrzeugtypen eingesetzt werden. Im Rahmen dieser Verfahren werden die in Anhang 5 Teil A aufgeführten Bedrohungen sowie weitere einschlägige Bedrohungen betrachtet;

| c) | die Verfahren zur Bewertung, Kategorisierung und Behandlung der ermittelten Risiken; |
| --- | --- |

c)

die Verfahren zur Bewertung, Kategorisierung und Behandlung der ermittelten Risiken;

| d) | die Verfahren, mit denen überprüft wird, ob ein angemessenes Management der ermittelten Risiken erfolgt; |
| --- | --- |

d)

die Verfahren, mit denen überprüft wird, ob ein angemessenes Management der ermittelten Risiken erfolgt;

| e) | die Verfahren zum Testen der Cybersicherheit eines Fahrzeugtyps; |
| --- | --- |

e)

die Verfahren zum Testen der Cybersicherheit eines Fahrzeugtyps;

| f) | die Verfahren zur Sicherstellung einer kontinuierlich aktualisierten Risikobewertung; |
| --- | --- |

f)

die Verfahren zur Sicherstellung einer kontinuierlich aktualisierten Risikobewertung;

| g) | die Verfahren zur Überwachung und Erkennung von Cyberangriffen, Cyberbedrohungen und Schwachstellen von Fahrzeugtypen sowie zur Reaktion darauf, und die Verfahren, mit denen bewertet wird, ob die implementierten Cybersicherheitsmaßnahmen angesichts neu ermittelter Cyberbedrohungen und Schwachstellen noch wirksam sind; |
| --- | --- |

g)

die Verfahren zur Überwachung und Erkennung von Cyberangriffen, Cyberbedrohungen und Schwachstellen von Fahrzeugtypen sowie zur Reaktion darauf, und die Verfahren, mit denen bewertet wird, ob die implementierten Cybersicherheitsmaßnahmen angesichts neu ermittelter Cyberbedrohungen und Schwachstellen noch wirksam sind;

| h) | die Verfahren zur Bereitstellung einschlägiger Daten, die eine Analyse versuchter oder erfolgreicher Cyberangriffe unterstützen. |
| --- | --- |

h)

die Verfahren zur Bereitstellung einschlägiger Daten, die eine Analyse versuchter oder erfolgreicher Cyberangriffe unterstützen.

| 7.2.2.3. | Der Fahrzeughersteller muss nachweisen, dass mit den Verfahren im Rahmen seines Cybersicherheitsmanagementsystems sichergestellt werden kann, dass ausgehend von einer Kategorisierung gemäß den Absätzen 7.2.2.2 c und 7.2.2.2 g Cyberbedrohungen und Schwachstellen, die eine Reaktion des Fahrzeugherstellers erforderlich machen, innerhalb eines angemessenen Zeitfensters gemindert werden. |
| --- | --- |

7.2.2.3.

Der Fahrzeughersteller muss nachweisen, dass mit den Verfahren im Rahmen seines Cybersicherheitsmanagementsystems sichergestellt werden kann, dass ausgehend von einer Kategorisierung gemäß den Absätzen 7.2.2.2 c und 7.2.2.2 g Cyberbedrohungen und Schwachstellen, die eine Reaktion des Fahrzeugherstellers erforderlich machen, innerhalb eines angemessenen Zeitfensters gemindert werden.

| 7.2.2.4. | Der Fahrzeughersteller muss nachweisen, dass mit den Verfahren im Rahmen seines Cybersicherheitsmanagementsystems sichergestellt werden kann, dass die in 7.2.2.2 g vorgesehene Überwachung ununterbrochen erfolgt. Dazu gehört






  a) | die Einbeziehung von Fahrzeugen nach der Erstzulassung in die Überwachung; |
| --- | --- | --- |

7.2.2.4.

Der Fahrzeughersteller muss nachweisen, dass mit den Verfahren im Rahmen seines Cybersicherheitsmanagementsystems sichergestellt werden kann, dass die in 7.2.2.2 g vorgesehene Überwachung ununterbrochen erfolgt. Dazu gehört

a)

die Einbeziehung von Fahrzeugen nach der Erstzulassung in die Überwachung;

| b) | die Fähigkeit, Cyberbedrohungen, Schwachstellen und Cyberangriffe anhand von Fahrzeugdaten und Fahrzeugprotokollen zu analysieren und zu erkennen. Dabei sind Absatz 1.3 und die Persönlichkeitsrechte von Fahrzeughaltern oder Fahrern, insbesondere was den Aspekt der Zustimmung angeht, zu beachten. |
| --- | --- |

b)

die Fähigkeit, Cyberbedrohungen, Schwachstellen und Cyberangriffe anhand von Fahrzeugdaten und Fahrzeugprotokollen zu analysieren und zu erkennen. Dabei sind Absatz 1.3 und die Persönlichkeitsrechte von Fahrzeughaltern oder Fahrern, insbesondere was den Aspekt der Zustimmung angeht, zu beachten.

| 7.2.2.5. | Der Fahrzeughersteller muss in Anbetracht der Vorschriften laut Absatz 7.2.2.2 darlegen, wie sein Cybersicherheitsmanagementsystem mit möglicherweise bestehenden wechselseitigen Abhängigkeiten mit Zulieferern, Dienstleistern oder Unterorganisationen des Herstellers umgeht. |
| --- | --- |

7.2.2.5.

Der Fahrzeughersteller muss in Anbetracht der Vorschriften laut Absatz 7.2.2.2 darlegen, wie sein Cybersicherheitsmanagementsystem mit möglicherweise bestehenden wechselseitigen Abhängigkeiten mit Zulieferern, Dienstleistern oder Unterorganisationen des Herstellers umgeht.

| 7.3. | Anforderungen an Fahrzeugtypen |
| --- | --- |

7.3.

Anforderungen an Fahrzeugtypen

| 7.3.1. | Der Hersteller muss über eine gültige Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem verfügen, das für den zu genehmigenden Fahrzeugtyp maßgeblich ist.
  Kann der Fahrzeughersteller jedoch für Typgenehmigungen vor dem 1. Juli 2024 nachweisen, dass der Fahrzeugtyp nicht in Übereinstimmung mit dem CSMS entwickelt werden konnte, muss er nachweisen, dass in der Entwicklungsphase des betreffenden Fahrzeugtyps die Cybersicherheit angemessen berücksichtigt wurde. |
| --- | --- |

7.3.1.

Der Hersteller muss über eine gültige Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem verfügen, das für den zu genehmigenden Fahrzeugtyp maßgeblich ist.

Kann der Fahrzeughersteller jedoch für Typgenehmigungen vor dem 1. Juli 2024 nachweisen, dass der Fahrzeugtyp nicht in Übereinstimmung mit dem CSMS entwickelt werden konnte, muss er nachweisen, dass in der Entwicklungsphase des betreffenden Fahrzeugtyps die Cybersicherheit angemessen berücksichtigt wurde.

| 7.3.2. | Der Fahrzeughersteller muss für den zu genehmigenden Fahrzeugtyp die lieferantenbezogenen Risiken ermitteln und bewältigen. |
| --- | --- |

7.3.2.

Der Fahrzeughersteller muss für den zu genehmigenden Fahrzeugtyp die lieferantenbezogenen Risiken ermitteln und bewältigen.

| 7.3.3. | Der Fahrzeughersteller muss die kritischen Elemente des Fahrzeugtyps ermitteln, eine erschöpfende Risikobewertung für den Fahrzeugtyp durchführen und mit den ermittelten Risiken angemessen umgehen bzw. sie bewältigen. Bei der Risikobewertung sind die einzelnen Elemente des Fahrzeugtyps und ihre Wechselwirkungen zu berücksichtigen. Bei der Risikobewertung sind ferner Wechselwirkungen mit sämtlichen externen Systemen zu berücksichtigen. Bei der Bewertung der Risiken muss der Fahrzeughersteller die Risiken im Zusammenhang mit allen in Anhang 5 Teil A genannten Bedrohungen sowie alle sonstigen einschlägigen Risiken berücksichtigen. |
| --- | --- |

7.3.3.

Der Fahrzeughersteller muss die kritischen Elemente des Fahrzeugtyps ermitteln, eine erschöpfende Risikobewertung für den Fahrzeugtyp durchführen und mit den ermittelten Risiken angemessen umgehen bzw. sie bewältigen. Bei der Risikobewertung sind die einzelnen Elemente des Fahrzeugtyps und ihre Wechselwirkungen zu berücksichtigen. Bei der Risikobewertung sind ferner Wechselwirkungen mit sämtlichen externen Systemen zu berücksichtigen. Bei der Bewertung der Risiken muss der Fahrzeughersteller die Risiken im Zusammenhang mit allen in Anhang 5 Teil A genannten Bedrohungen sowie alle sonstigen einschlägigen Risiken berücksichtigen.

| 7.3.4. | Der Fahrzeughersteller muss den Fahrzeugtyp gegen die in der Risikobewertung des Fahrzeugherstellers ermittelten Risiken schützen. Zum Schutz des Fahrzeugtyps sind angemessene Risikominderungsmaßnahmen vorzusehen. Diese umfassen alle in Anhang 5 Teil B und Teil C genannten, für die ermittelten Risiken relevanten Minderungsmaßnahmen. Wenn jedoch eine in Anhang 5 Teil B oder Teil C vorgesehene Minderungsmaßnahme für das ermittelte Risiko nicht relevant oder nicht ausreichend ist, muss der Fahrzeughersteller sicherstellen, dass eine andere, geeignete Maßnahme vorgesehen wird.
  Insbesondere bei Typgenehmigungen vor dem 1. Juli 2024 muss der Fahrzeughersteller sicherstellen, dass, wenn eine in Anhang 5 Teil B oder Teil C vorgesehene Risikominderungsmaßnahme technisch nicht durchführbar ist, eine andere, geeignete Maßnahme vorgesehen wird. Die entsprechende Bewertung der technischen Durchführbarkeit muss der Hersteller der Genehmigungsbehörde vorlegen. |
| --- | --- |

7.3.4.

Der Fahrzeughersteller muss den Fahrzeugtyp gegen die in der Risikobewertung des Fahrzeugherstellers ermittelten Risiken schützen. Zum Schutz des Fahrzeugtyps sind angemessene Risikominderungsmaßnahmen vorzusehen. Diese umfassen alle in Anhang 5 Teil B und Teil C genannten, für die ermittelten Risiken relevanten Minderungsmaßnahmen. Wenn jedoch eine in Anhang 5 Teil B oder Teil C vorgesehene Minderungsmaßnahme für das ermittelte Risiko nicht relevant oder nicht ausreichend ist, muss der Fahrzeughersteller sicherstellen, dass eine andere, geeignete Maßnahme vorgesehen wird.

Insbesondere bei Typgenehmigungen vor dem 1. Juli 2024 muss der Fahrzeughersteller sicherstellen, dass, wenn eine in Anhang 5 Teil B oder Teil C vorgesehene Risikominderungsmaßnahme technisch nicht durchführbar ist, eine andere, geeignete Maßnahme vorgesehen wird. Die entsprechende Bewertung der technischen Durchführbarkeit muss der Hersteller der Genehmigungsbehörde vorlegen.

| 7.3.5. | Der Fahrzeughersteller muss angemessene und verhältnismäßige Maßnahmen ergreifen, um bestimmte Umgebungen des Fahrzeugtyps (falls vorhanden) in Bezug auf die Speicherung und Ausführung von Software, Diensten, Anwendungen oder Daten des Anschlussmarktes zu sichern. |
| --- | --- |

7.3.5.

Der Fahrzeughersteller muss angemessene und verhältnismäßige Maßnahmen ergreifen, um bestimmte Umgebungen des Fahrzeugtyps (falls vorhanden) in Bezug auf die Speicherung und Ausführung von Software, Diensten, Anwendungen oder Daten des Anschlussmarktes zu sichern.

| 7.3.6. | Der Fahrzeughersteller muss vor der Typgenehmigung angemessene und ausreichende Tests durchführen, um die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu überprüfen. |
| --- | --- |

7.3.6.

Der Fahrzeughersteller muss vor der Typgenehmigung angemessene und ausreichende Tests durchführen, um die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu überprüfen.

| 7.3.7. | Der Fahrzeughersteller muss für den Fahrzeugtyp Maßnahmen vorsehen, um






  a) | Cyberangriffe auf Fahrzeuge dieses Fahrzeugtyps zu erkennen und zu verhindern; |
| --- | --- | --- |

7.3.7.

Der Fahrzeughersteller muss für den Fahrzeugtyp Maßnahmen vorsehen, um

a)

Cyberangriffe auf Fahrzeuge dieses Fahrzeugtyps zu erkennen und zu verhindern;

| b) | die Überwachungskapazitäten des Fahrzeugherstellers zur Erkennung von für den Fahrzeugtyp einschlägigen Bedrohungen, Schwachstellen und Cyberangriffen zu unterstützen; |
| --- | --- |

b)

die Überwachungskapazitäten des Fahrzeugherstellers zur Erkennung von für den Fahrzeugtyp einschlägigen Bedrohungen, Schwachstellen und Cyberangriffen zu unterstützen;

| c) | Datenforensik bereitzustellen, um eine Analyse versuchter oder erfolgreicher Cyberangriffe zu ermöglichen. |
| --- | --- |

c)

Datenforensik bereitzustellen, um eine Analyse versuchter oder erfolgreicher Cyberangriffe zu ermöglichen.

| 7.3.8. | Für die Zwecke dieser Regelung verwendete kryptografische Module müssen den einheitlichen Normen entsprechen. Entsprechen die verwendeten kryptografischen Module den einheitlichen Normen nicht, muss der Fahrzeughersteller ihre Verwendung begründen. |
| --- | --- |

7.3.8.

Für die Zwecke dieser Regelung verwendete kryptografische Module müssen den einheitlichen Normen entsprechen. Entsprechen die verwendeten kryptografischen Module den einheitlichen Normen nicht, muss der Fahrzeughersteller ihre Verwendung begründen.

| 7.4. | Bestimmungen zur Berichterstattung |
| --- | --- |

7.4.

Bestimmungen zur Berichterstattung

| 7.4.1. | Der Fahrzeughersteller muss der Genehmigungsbehörde oder dem technischen Dienst mindestens einmal jährlich, gegebenenfalls auch häufiger, über die Ergebnisse seiner Überwachungstätigkeiten gemäß Absatz 7.2.2.2 g Bericht erstatten; dazu gehören auch einschlägige Informationen zu neuen Cyberangriffen. Der Fahrzeughersteller muss der Genehmigungsbehörde oder dem technischen Dienst auch mitteilen und bestätigen, dass die für seine Fahrzeugtypen implementierten Maßnahmen zur Minderung von Cybersicherheitsrisiken weiterhin wirksam sind und alle zusätzlichen Maßnahmen ergriffen wurden. |
| --- | --- |

7.4.1.

Der Fahrzeughersteller muss der Genehmigungsbehörde oder dem technischen Dienst mindestens einmal jährlich, gegebenenfalls auch häufiger, über die Ergebnisse seiner Überwachungstätigkeiten gemäß Absatz 7.2.2.2 g Bericht erstatten; dazu gehören auch einschlägige Informationen zu neuen Cyberangriffen. Der Fahrzeughersteller muss der Genehmigungsbehörde oder dem technischen Dienst auch mitteilen und bestätigen, dass die für seine Fahrzeugtypen implementierten Maßnahmen zur Minderung von Cybersicherheitsrisiken weiterhin wirksam sind und alle zusätzlichen Maßnahmen ergriffen wurden.

| 7.4.2. | Die Genehmigungsbehörde oder der technische Dienst muss die bereitgestellten Informationen überprüfen und, falls erforderlich, den Fahrzeughersteller auffordern, Abhilfe zu schaffen, wenn erkannt wurde, dass bestimmte Risikominderungsmaßnahmen nicht mehr wirksam sind.
  Wenn die Meldung oder Antwort nicht ausreichend ist, kann die Genehmigungsbehörde beschließen, die Konformitätsbescheinigung für das CSMS gemäß Absatz 6.8 zurückzunehmen. |
| --- | --- |

7.4.2.

Die Genehmigungsbehörde oder der technische Dienst muss die bereitgestellten Informationen überprüfen und, falls erforderlich, den Fahrzeughersteller auffordern, Abhilfe zu schaffen, wenn erkannt wurde, dass bestimmte Risikominderungsmaßnahmen nicht mehr wirksam sind.

Wenn die Meldung oder Antwort nicht ausreichend ist, kann die Genehmigungsbehörde beschließen, die Konformitätsbescheinigung für das CSMS gemäß Absatz 6.8 zurückzunehmen.

8.   ÄNDERUNG DES FAHRZEUGTYPS UND ERWEITERUNG DER TYPGENEHMIGUNG

| 8.1. | Die Genehmigungsbehörde, die den Fahrzeugtyp genehmigt hat, muss über jede Änderung des Fahrzeugtyps benachrichtigt werden, die sich auf die nach der vorliegenden Regelung erforderliche technische Leistung im Hinblick auf die Cybersicherheit und/oder auf die Dokumentation auswirkt. Die Genehmigungsbehörde kann dann |
| --- | --- |

8.1.

Die Genehmigungsbehörde, die den Fahrzeugtyp genehmigt hat, muss über jede Änderung des Fahrzeugtyps benachrichtigt werden, die sich auf die nach der vorliegenden Regelung erforderliche technische Leistung im Hinblick auf die Cybersicherheit und/oder auf die Dokumentation auswirkt. Die Genehmigungsbehörde kann dann

| 8.1.1. | feststellen, dass die vorgenommenen Änderungen nach wie vor mit den Vorschriften und der Dokumentation der vorhandenen Typgenehmigung im Einklang stehen, oder |
| --- | --- |

8.1.1.

feststellen, dass die vorgenommenen Änderungen nach wie vor mit den Vorschriften und der Dokumentation der vorhandenen Typgenehmigung im Einklang stehen, oder

| 8.1.2. | eine gemäß Absatz 5 erforderliche ergänzende Bewertung durchführen und gegebenenfalls einen weiteren Prüfbericht von dem technischen Dienst anfordern, der für die Durchführung der Tests zuständig ist. |
| --- | --- |

8.1.2.

eine gemäß Absatz 5 erforderliche ergänzende Bewertung durchführen und gegebenenfalls einen weiteren Prüfbericht von dem technischen Dienst anfordern, der für die Durchführung der Tests zuständig ist.

| 8.1.3. | Über die Bestätigung oder Erweiterung oder Versagung der Genehmigung wird unter Angabe der Änderungen mit einem Mitteilungsblatt informiert, das dem Muster in Anhang 2 dieser Regelung entspricht. Die Genehmigungsbehörde, die die Erweiterung der Genehmigung bescheinigt, teilt dieser Erweiterung eine laufende Nummer zu und unterrichtet hierüber die anderen Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 2 dieser Regelung entspricht. |
| --- | --- |

8.1.3.

Über die Bestätigung oder Erweiterung oder Versagung der Genehmigung wird unter Angabe der Änderungen mit einem Mitteilungsblatt informiert, das dem Muster in Anhang 2 dieser Regelung entspricht. Die Genehmigungsbehörde, die die Erweiterung der Genehmigung bescheinigt, teilt dieser Erweiterung eine laufende Nummer zu und unterrichtet hierüber die anderen Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 2 dieser Regelung entspricht.

9.   ÜBEREINSTIMMUNG DER PRODUKTION

| 9.1. | Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den in Verzeichnis 1 zum Übereinkommen von 1958 (E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen: |
| --- | --- |

9.1.

Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den in Verzeichnis 1 zum Übereinkommen von 1958 (E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen:

| 9.1.1. | Der Inhaber einer Genehmigung muss sicherstellen, dass die Ergebnisse der Prüfung der Übereinstimmung der Produktion aufgezeichnet werden und die zugehörigen Unterlagen während eines nach Absprache mit der Behörde oder ihrem technischen Dienst festzulegenden Zeitraums verfügbar bleiben. Dieser Zeitraum darf, gerechnet von dem Zeitpunkt, an dem die Produktion endgültig eingestellt wird, zehn Jahre nicht übersteigen. |
| --- | --- |

9.1.1.

Der Inhaber einer Genehmigung muss sicherstellen, dass die Ergebnisse der Prüfung der Übereinstimmung der Produktion aufgezeichnet werden und die zugehörigen Unterlagen während eines nach Absprache mit der Behörde oder ihrem technischen Dienst festzulegenden Zeitraums verfügbar bleiben. Dieser Zeitraum darf, gerechnet von dem Zeitpunkt, an dem die Produktion endgültig eingestellt wird, zehn Jahre nicht übersteigen.

| 9.1.2. | Die Genehmigungsbehörde, die die Typgenehmigung erteilt hat, kann die in den einzelnen Produktionsstätten angewendeten Verfahren zur Kontrolle der Übereinstimmung jederzeit überprüfen. Diese Überprüfungen sind in der Regel einmal alle drei Jahre durchzuführen. |
| --- | --- |

9.1.2.

Die Genehmigungsbehörde, die die Typgenehmigung erteilt hat, kann die in den einzelnen Produktionsstätten angewendeten Verfahren zur Kontrolle der Übereinstimmung jederzeit überprüfen. Diese Überprüfungen sind in der Regel einmal alle drei Jahre durchzuführen.

10.   MAßNAHMEN BEI ABWEICHUNGEN IN DER PRODUKTION

| 10.1. | Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Vorschriften dieser Regelung nicht eingehalten sind oder Prüffahrzeuge den Vorschriften dieser Regelung nicht entsprechen. |
| --- | --- |

10.1.

Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Vorschriften dieser Regelung nicht eingehalten sind oder Prüffahrzeuge den Vorschriften dieser Regelung nicht entsprechen.

| 10.2. | Nimmt eine Vertragspartei des Übereinkommens eine von ihr zuvor erteilte Genehmigung zurück, unterrichtet sie davon unverzüglich die anderen Vertragsparteien, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 2 dieser Regelung entspricht. |
| --- | --- |

10.2.

Nimmt eine Vertragspartei des Übereinkommens eine von ihr zuvor erteilte Genehmigung zurück, unterrichtet sie davon unverzüglich die anderen Vertragsparteien, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 2 dieser Regelung entspricht.

11.   ENDGÜLTIGE EINSTELLUNG DER PRODUKTION

| 11.1. | Stellt der Inhaber der Genehmigung die Produktion eines nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, so hat er dies der Behörde mitzuteilen, die die Genehmigung erteilt hat. Nach Erhalt der entsprechenden Mitteilung hat diese Behörde die anderen Vertragsparteien des Übereinkommens, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblatts der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk „PRODUKTION EINGESTELLT“ trägt. |
| --- | --- |

11.1.

Stellt der Inhaber der Genehmigung die Produktion eines nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, so hat er dies der Behörde mitzuteilen, die die Genehmigung erteilt hat. Nach Erhalt der entsprechenden Mitteilung hat diese Behörde die anderen Vertragsparteien des Übereinkommens, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblatts der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk „PRODUKTION EINGESTELLT“ trägt.

12.   NAMEN UND ANSCHRIFTEN DER TECHNISCHEN DIENSTE, DIE DIE PRÜFUNGEN FÜR DIE GENEHMIGUNG DURCHFÜHREN, UND DER TYPGENEHMIGUNGSBEHÖRDEN

| 12.1. | Die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, übermitteln dem Sekretariat der Vereinten Nationen die Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden, die die Genehmigung erteilen und denen die in anderen Ländern ausgestellten Mitteilungsblätter für die Erteilung oder Erweiterung oder Versagung oder Zurücknahme der Genehmigung zu übersenden sind. |
| --- | --- |

12.1.

Die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, übermitteln dem Sekretariat der Vereinten Nationen die Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden, die die Genehmigung erteilen und denen die in anderen Ländern ausgestellten Mitteilungsblätter für die Erteilung oder Erweiterung oder Versagung oder Zurücknahme der Genehmigung zu übersenden sind.

---

(1)  z. B. ISO 26262-2018, ISO/PAS 21448, ISO/SAE 21434.

1

(2)  https://www.unece.org/trans/main/wp29/datasharing.html

2

(3)  Anleitungen zu den im Einzelnen hochzuladenden Informationen (z. B. Verfahren, Kriterien, Leistungsniveau) und zum Format werden in dem Auslegungsdokument enthalten sein, das von der Taskforce für Cybersicherheit und Fragen der Drahtlosübertragung für die siebte Sitzung der Arbeitsgruppe „Automatisierte/autonome und vernetzte Fahrzeuge“ (GRVA) derzeit erstellt wird.

3

(4)  Die Arbeitsgruppe „Automatisierte/autonome und vernetzte Fahrzeuge“ (GRVA).

4

(5)  Diese Auslegung ist in dem in der Fußnote zu Absatz 5.3.3 angegebenen Auslegungsdokument wiederzugeben.

5

(6)  Weitere Informationen zu den Mindestanforderungen an das Dokumentationspaket werden von der GRVA auf ihrer siebten Sitzung erarbeitet.

6

---

ANHANG 1

Beschreibungsbogen

Die nachstehenden Angaben sind gegebenenfalls zusammen mit dem Verzeichnis der beiliegenden Unterlagen in dreifacher Ausfertigung einzureichen. Liegen Zeichnungen bei, so müssen diese das Format A4 haben oder auf das Format A4 gefaltet sein und hinreichende Einzelheiten in geeignetem Maßstab enthalten. Liegen Fotos bei, so müssen diese hinreichende Einzelheiten enthalten.

1.

Fabrikmarke (Firmenname des Herstellers): ...

2.

Typ und Handelsbezeichnung(en): ...

3.

Kennzeichnung zur Typenidentifizierung, sofern am Fahrzeug vorhanden: ...

4.

Anbringungsstelle dieser Kennzeichnung: ...

5.

Fahrzeugklasse(n): ...

6.

Name und Anschrift des Herstellers/Bevollmächtigten des Herstellers: ...

7.

Name(n) und Anschrift(en) der Fertigungsstätte(n) ...

8.

Foto(s) und/oder Zeichnung(en) eines repräsentativen Fahrzeugs: ...

9.

Cybersicherheit

9.1.

| a) | die für die Cybersicherheit des Fahrzeugtyps maßgeblichen Fahrzeugsysteme; |
| --- | --- |

a)

die für die Cybersicherheit des Fahrzeugtyps maßgeblichen Fahrzeugsysteme;

| b) | die Bauteile der für die Cybersicherheit maßgeblichen Systeme; |
| --- | --- |

b)

die Bauteile der für die Cybersicherheit maßgeblichen Systeme;

| c) | die Interaktionen dieser Systeme mit anderen Systemen innerhalb des Fahrzeugtyps und mit externen Schnittstellen. |
| --- | --- |

c)

die Interaktionen dieser Systeme mit anderen Systemen innerhalb des Fahrzeugtyps und mit externen Schnittstellen.

9.2.

Schematische Darstellung des Fahrzeugtyps

9.3.

Nummer der Konformitätsbescheinigung für das CSMS: ...

9.4.

Unterlagen zu dem zu genehmigenden Fahrzeugtyp, aus denen die Ergebnisse der Risikobewertung und die ermittelten Risiken hervorgehen: ...

9.5.

Unterlagen zu dem zu genehmigenden Fahrzeugtyp, aus denen hervorgeht, welche Risikominderungsmaßnahmen in den aufgeführten Systemen oder in Bezug auf den Fahrzeugtyp implementiert wurden und wie diese die festgestellten Risiken eindämmen: ...

9.6.

Unterlagen zu dem zu genehmigenden Fahrzeugtyp, aus denen der Schutz bestimmter Umgebungen in Bezug auf Software, Dienste, Anwendungen oder Daten des Anschlussmarktes hervorgeht: ...

9.7.

Unterlagen zu dem zu genehmigenden Fahrzeugtyp, aus denen die Art der durchgeführten Tests zur Überprüfung der Cybersicherheit des Fahrzeugtyps und seiner Systeme sowie die Ergebnisse dieser Tests hervorgehen: ...

9.8.

Beschreibung der Lieferkette im Hinblick auf die Cybersicherheit: ...

Anlage 1 von Anhang 1

Muster der Konformitätserklärung des Herstellers für das CSMS

Erklärung des Herstellers über die Einhaltung der Anforderungen an das Cybersicherheitsmanagementsystem

Name des Herstellers: ...

Anschrift des Herstellers: ...

............ (Name des Herstellers) bescheinigt, dass die zur Einhaltung der in Absatz 7.2 der UN-Regelung Nr. 155 festgelegten Anforderungen an das Cybersicherheitsmanagementsystem erforderlichen Verfahren vorhanden sind und regelmäßig überprüft werden.

Ort: ... (Ort)

Datum: ...

Name des Unterzeichners: ...

Funktion des Unterzeichners: ...

...

(Stempel und Unterschrift des Bevollmächtigten des Herstellers)

---

ANHANG 2

Mitteilung

(größtes Format: A4 (210 mm × 297 mm))

| (1) | Ausgestellt von: | Bezeichnung der Behörde:
  ...
  ...
  ... |
| --- | --- | --- |

Image 11

Ausgestellt von:

Bezeichnung der Behörde:

...

...

...

| über die (2): | Erteilung der Genehmigung
  Erweiterung der Genehmigung
  Rücknahme der Genehmigung mit Wirkung ab dem TT.MM.JJJJ
  Versagung der Genehmigung
  Endgültige Einstellung der Produktion |
| --- | --- |

über die (2):

Erteilung der Genehmigung

Erweiterung der Genehmigung

Rücknahme der Genehmigung mit Wirkung ab dem TT.MM.JJJJ

Versagung der Genehmigung

Endgültige Einstellung der Produktion

für einen Fahrzeugtyp, nach der UN-Regelung Nr. 155

Nummer der Genehmigung: ...

Nummer der Erweiterung der Genehmigung: ...

Grund für die Erweiterung: ...

1.

Fabrikmarke (Firmenname des Herstellers): ...

2.

Typ und allgemeine übliche Beschreibung(en): ...

3.

Kennzeichnung zur Typenidentifizierung, sofern am Fahrzeug vorhanden: ...

3.1.

Anbringungsstelle dieser Kennzeichnung: ...

4.

Fahrzeugklasse(n): ...

5.

Name und Anschrift des Herstellers/Bevollmächtigten des Herstellers: ...

6.

Name(n) und Anschrift(en) der Fertigungsstätte(n) ...

7.

Nummer der Konformitätsbescheinigung für das Cybersicherheitsmanagementsystem: ...

8.

Technischer Dienst, der für die Durchführung der Prüfungen zuständig ist: ...

9.

Datum des Prüfberichts: ...

10.

Nummer des Prüfberichts: ...

11.

Bemerkungen (falls vorhanden): ...

12.

Ort: ...

13.

Datum: ...

14.

Unterschrift: ...

15.

Die Liste der Unterlagen, die bei der Genehmigungsbehörde hinterlegt und auf Anfrage erhältlich sind, liegt dieser Mitteilung bei:

---

(1)  Kennzahl des Landes, das die Genehmigung erteilt/erweitert/versagt/zurückgenommen hat (siehe die Vorschriften über die Genehmigung in der Regelung).

1

(2)  Nichtzutreffendes streichen.

2

---

ANHANG 3

Anordnung des Genehmigungszeichens

MUSTER A

(siehe Absatz 4.2 dieser Regelung)

Image 12

a = min. 8 mm

Das oben dargestellte, an einem Fahrzeug angebrachte Genehmigungszeichen besagt, dass der betreffende Fahrzeugtyp in den Niederlanden (E4) nach der Regelung Nr. 155 unter der Genehmigungsnummer 001234 genehmigt worden ist. Aus den ersten beiden Ziffern der Genehmigungsnummer (00) geht hervor, dass die Genehmigung nach den Vorschriften dieser Regelung in ihrer ursprünglichen Fassung erteilt wurde.

---

ANHANG 4

Muster einer Konformitätsbescheinigung für ein CSMS

Bescheinigung der Übereinstimmung eines Cybersicherheitsmanagementsystems

mit der UN-Regelung Nr. 155

Nummer der Bescheinigung [Referenznummer]

[....... Genehmigungsbehörde]

bescheinigt, dass

Hersteller: ...

Anschrift des Herstellers: ...

mit den Vorschriften in Absatz 7.2 der Regelung Nr. 155 übereinstimmt.

Die Prüfungen wurden durchgeführt am: ...

durch (Name und Anschrift der Genehmigungsbehörde oder des technischen Dienstes): ...

Nummer des Berichts: ...

Die Bescheinigung ist gültig bis [......................................................... Datum].

[......................................................... Ort],

den [..........................................Datum]

[.......................................... Unterschrift]

Anlagen: Beschreibung des Cybersicherheitsmanagementsystems durch den Hersteller.

---

ANHANG 5

Liste der Bedrohungen und der entsprechenden Minderungsmaßnahmen

1.

Dieser Anhang umfasst drei Teile. In Teil A werden die Grundzüge der Bedrohungen, Schwachstellen und Angriffsmethoden beschrieben. In Teil B werden Minderungsmaßnahmen für die Bedrohungen beschrieben, die auf Fahrzeugtypen ausgerichtet sind. In Teil C werden Minderungsmaßnahmen für die Bedrohungen beschrieben, die auf Bereiche außerhalb von Fahrzeugen, z. B. IT-Back-Ends, abzielen.

2.

Teil A, Teil B und Teil C müssen bei Risikobewertungen und Minderungsmaßnahmen, die von Fahrzeugherstellern vorzusehen sind, berücksichtigt werden.

3.

Die übergeordneten Schwachstellen und entsprechende Beispiele wurden in Teil A indexiert. Diese Indexierung wurde auch in den Tabellen der Teile B und C übernommen, um die einzelnen Angriffsmethoden bzw. Schwachstellen mit einer Liste entsprechender Risikominderungsmaßnahmen zu verknüpfen.

4.

| a) | Beeinträchtigung des sicheren Betriebs eines Fahrzeugs; |
| --- | --- |

a)

Beeinträchtigung des sicheren Betriebs eines Fahrzeugs;

| b) | Ausfall von Fahrzeugfunktionen; |
| --- | --- |

b)

Ausfall von Fahrzeugfunktionen;

| c) | Modifizierung der Software, veränderte Leistung; |
| --- | --- |

c)

Modifizierung der Software, veränderte Leistung;

| d) | Änderung der Software, doch ohne Auswirkungen auf den Betrieb; |
| --- | --- |

d)

Änderung der Software, doch ohne Auswirkungen auf den Betrieb;

| e) | Verletzung der Datensicherheit; |
| --- | --- |

e)

Verletzung der Datensicherheit;

| f) | Verletzung des Datengeheimnisses; |
| --- | --- |

f)

Verletzung des Datengeheimnisses;

| g) | Verlust der Verfügbarkeit von Daten; |
| --- | --- |

g)

Verlust der Verfügbarkeit von Daten;

| h) | Sonstiges, einschließlich Kriminalität. |
| --- | --- |

h)

Sonstiges, einschließlich Kriminalität.

Teil A. Schwachstellen bzw. Angriffsmethoden bezogen auf bestimmte Bedrohungen

| 1. | Die übergeordneten Bedrohungen und die entsprechenden Schwachstellen bzw. Angriffsmethoden sind in Tabelle A1 aufgeführt.

  Tabelle A1


  Liste der Schwachstellen bzw. Angriffsmethoden bezogen auf die verschiedenen Bedrohungen










  Übergeordnete und untergeordnete Schwachstelle/Bedrohung | Beispiel für die Schwachstelle bzw. Angriffsmethode |
| --- | --- | --- |
| 4.3.1 | Bedrohungen für Back-End-Server bezüglich Fahrzeugen auf der Straße |

1.

Die übergeordneten Bedrohungen und die entsprechenden Schwachstellen bzw. Angriffsmethoden sind in Tabelle A1 aufgeführt.

Tabelle A1

Tabelle A1

Liste der Schwachstellen bzw. Angriffsmethoden bezogen auf die verschiedenen Bedrohungen

Liste der Schwachstellen bzw. Angriffsmethoden bezogen auf die verschiedenen Bedrohungen

Übergeordnete und untergeordnete Schwachstelle/Bedrohung

Beispiel für die Schwachstelle bzw. Angriffsmethode

4.3.1

Bedrohungen für Back-End-Server bezüglich Fahrzeugen auf der Straße

1

Backend-Server werden zum Angriff auf ein Fahrzeug oder zum Extrahieren von Daten genutzt

1.1

Missbrauch von Berechtigungen durch Personal (Insider-Angriff)

1.2

Unbefugter Internetzugriff auf den Server (z. B. durch Backdoors, nicht gepatchte Systemsoftwareschwachstellen, SQL-Angriffe oder andere Mittel)

1.3

Unbefugter physischer Zugriff auf den Server (z. B. mittels USB-Sticks oder anderer Datenträger, die sich mit dem Server verbinden)

2

Backend-Serverdienste werden unterbrochen und der Fahrzeugbetrieb dadurch beeinträchtigt

2.1

Ein Angriff auf einen Backend-Server führt zu dessen Ausfall; dadurch wird z. B. die Interaktion mit Fahrzeugen und die Bereitstellung von Diensten, auf die diese angewiesen sind, verhindert

3

Verlust oder Gefährdung von Fahrzeugdaten auf Backend-Servern („Datenpanne“)

3.1

Missbrauch von Berechtigungen durch Personal (Insider-Angriff)

3.2

Verlust von Informationen in der Cloud. Sensible Daten, die durch Drittanbieter von Cloud-Diensten gespeichert werden, können durch Angriffe oder Pannen verloren gehen

3.3

Unbefugter Internetzugriff auf den Server (z. B. durch Backdoors, nicht gepatchte Systemsoftwareschwachstellen, SQL-Angriffe oder andere Mittel)

3.4

Unbefugter physischer Zugriff auf den Server (z. B. mittels USB-Sticks oder anderer Medien, die sich mit dem Server verbinden)

3.5

Informationssicherheitslücken durch unbeabsichtigte Weitergabe von Daten (z. B. durch Administratorfehler)

| 4.3.2 | Bedrohungen für Fahrzeuge bezüglich ihrer Kommunikationskanäle |
| --- | --- |

4.3.2

Bedrohungen für Fahrzeuge bezüglich ihrer Kommunikationskanäle

4

Spoofing von Nachrichten oder Daten, die vom Fahrzeug empfangen werden

4.1

Spoofing von Nachrichten durch Identitätswechsel (z. B. 802.11p V2X beim Platooning, GNSS-Nachrichten usw.)

4.2

Sybil-Attacke (um für andere Fahrzeuge vorzutäuschen, es seien viele Fahrzeuge auf der Straße)

5

Kommunikationskanäle werden für die unerlaubte Manipulation, Löschung oder sonstige Änderung von Fahrzeugcode/-daten genutzt

5.1

Kommunikationskanäle ermöglichen Code-Injektion, z. B. können manipulierte Softwarebinärdateien in den Kommunikationsstrom injiziert werden

5.2

Kommunikationskanäle ermöglichen die Manipulation von Fahrzeugdaten/-code

5.3

Kommunikationskanäle ermöglichen das Überschreiben von Fahrzeugdaten/-code

5.4

Kommunikationskanäle ermöglichen die Löschung von Fahrzeugdaten/-code

5.5

Kommunikationskanäle ermöglichen die Einspeisung von Daten/Code in das Fahrzeug (Schreiben von Datencode)

6

Kommunikationskanäle ermöglichen den Empfang nicht vertrauenswürdiger/unzuverlässiger Nachrichten oder sind anfällig für Session Hijacking oder Replay-Angriffe

6.1

Akzeptieren von Informationen aus einer unzuverlässigen oder nicht vertrauenswürdigen Quelle

6.2

Man-in-the-Middle-Angriff/Session Hijacking

6.3

Replay-Angriff, z. B. ein Angriff auf ein Kommunikations-Gateway, der es dem Angreifer ermöglicht, die Software eines elektronischen Steuergeräts oder die Firmware des Gateways herabzustufen

7

Informationen können leicht offengelegt werden, beispielsweise durch Abhören der Kommunikation oder die Ermöglichung des unbefugten Zugriffs auf sicherheitskritische Dateien oder Ordner

7.1

Abfangen von Informationen/Störstrahlung/Überwachung der Kommunikation

7.2

Erlangen von unbefugtem Zugriff auf Dateien oder Daten

8

Denial-of-Service-Attacken über Kommunikationskanäle zur Störung der Fahrzeugfunktionen

8.1

Das Fahrzeuginformationssystem wird gezielt mit so vielen Anfragen bombardiert, dass es die Aufgaben nicht mehr bewältigen kann

8.2

Black-Hole-Angriff; um die Kommunikation zwischen Fahrzeugen zu stören, kann der Angreifer Nachrichten zwischen den Fahrzeugen blockieren

9

Ein unprivilegierter Benutzer kann Sonderzugriffsrechte auf Fahrzeugsysteme erhalten

9.1

Ein unprivilegierter Benutzer kann Sonderzugriffsrechte erhalten, z. B. Root-Zugriff

10

In Kommunikationsmedien eingebettete Viren können Fahrzeugsysteme infizieren

10.1

Ein in Kommunikationsmedien eingebetteter Virus infiziert Fahrzeugsysteme

11

Vom Fahrzeug empfangene Nachrichten (z. B. X2V- oder Diagnosenachrichten) oder innerhalb des Fahrzeugs übertragene Nachrichten enthalten schädliche Inhalte

11.1

Schädliche interne Nachrichten (z. B. CAN-Nachrichten)

11.2

Schädliche V2X-Nachrichten, z. B. Nachrichten zwischen Infrastruktur und Fahrzeug oder Nachrichten zwischen Fahrzeugen (z. B. CAM oder DENM)

11.3

Schädliche Diagnosemeldungen

11.4

Schädliche proprietäre Nachrichten (z. B. solche, die normalerweise vom OEM oder vom Lieferanten eines Bauteils, eines Systems oder einer Funktion gesendet werden)

| 4.3.3 | Bedrohungen für Fahrzeuge bezüglich ihrer Aktualisierungsverfahren |
| --- | --- |

4.3.3

Bedrohungen für Fahrzeuge bezüglich ihrer Aktualisierungsverfahren

12

Missbrauch oder Beeinträchtigung von Aktualisierungsverfahren

12.1

Beeinträchtigung von drahtlosen Softwareaktualisierungsverfahren; dazu gehört auch die Fälschung des Programms oder der Firmware zur Systemaktualisierung

12.2

Beeinträchtigung von lokalen/physischen Softwareaktualisierungsverfahren; dazu gehört auch die Fälschung des Programms oder der Firmware zur Systemaktualisierung

12.3

Die Software wird vor dem Aktualisierungsprozess manipuliert (und daher beschädigt), obwohl dieser intakt ist

12.4

Beeinträchtigung von kryptografischen Schlüsseln des Softwareanbieters, um eine ungültige Aktualisierung zu ermöglichen

13

Erwünschte Aktualisierungen können abgelehnt werden

13.1

Denial-of-Service-Attacke gegen den Aktualisierungsserver oder das Netzwerk, um wichtige Softwareaktualisierungen und/oder die Freigabe kundenspezifischer Funktionen zu verhindern

| 4.3.4 | Bedrohungen für Fahrzeuge bezüglich unbeabsichtigter menschlicher Handlungen, die einen Cyberangriff begünstigen |
| --- | --- |

4.3.4

Bedrohungen für Fahrzeuge bezüglich unbeabsichtigter menschlicher Handlungen, die einen Cyberangriff begünstigen

15

Berechtigte Akteure können ohne ihr Wissen Maßnahmen durchführen, die einen Cyberangriff begünstigen

15.1

Ein unschuldiges Opfer (z. B. Eigentümer, Bediener oder Wartungstechniker) wird zu einer Aktion verleitet, mit der unbeabsichtigt Malware geladen oder ein Angriff ermöglicht wird

15.2

Festgelegte Sicherheitsverfahren werden nicht befolgt

| 4.3.5 | Bedrohungen für Fahrzeuge bezüglich ihrer externen Vernetzung und Verbindungen |
| --- | --- |

4.3.5

Bedrohungen für Fahrzeuge bezüglich ihrer externen Vernetzung und Verbindungen

16

Ermöglichung eines Cyberangriffs durch Manipulation der Vernetzung von Fahrzeugfunktionen; dazu gehören Telematiksysteme, Fernsteuerungssysteme und Systeme, die drahtlose Kommunikation mit geringer Reichweite nutzen

16.1

Manipulation von Fernbedienungsfunktionen für Systeme wie Funkschlüssel, Wegfahrsperre und Ladestation

16.2

Manipulation der Fahrzeugtelematik (z. B. Manipulation der Temperaturmessung empfindlicher Güter, ferngesteuertes Entriegeln von Frachttüren)

16.3

Interferenzen mit drahtlosen Systemen oder Sensoren mit kurzer Reichweite

17

Gehostete Software von Drittanbietern, z. B. Unterhaltungsanwendungen, die zum Angriff auf Fahrzeugsysteme genutzt werden

17.1

Manipulierte oder unsichere Anwendungen, die zum Angriff auf Fahrzeugsysteme genutzt werden

18

Mit externen Schnittstellen, z. B. USB- oder OBD-Anschlüssen, verbundene Geräte, die zum Angriff auf Fahrzeugsysteme genutzt werden

18.1

Externe Schnittstellen wie USB-Anschlüsse oder andere als Angriffspunkte genutzte Anschlüsse, z. B. für Code-Injektion

18.2

Mit einem Virus infizierte Datenträger werden an ein Fahrzeugsystem angeschlossen

18.3

Ein Diagnosezugang (z. B. Dongles am OBD-Anschluss) wird zur Begünstigung eines Angriffs genutzt, z. B. durch Manipulation von Fahrzeugparametern (direkt oder indirekt)

| 4.3.6 | Bedrohungen für Fahrzeugdaten/-code |
| --- | --- |

4.3.6

Bedrohungen für Fahrzeugdaten/-code

19

Extraktion von Fahrzeugdaten/-code

19.1

Extraktion von urheberrechtlich geschützter oder proprietärer Software aus Fahrzeugsystemen (Produktpiraterie)

19.2

Unbefugter Zugriff auf die personenbezogenen Daten des Eigentümers wie persönliche Identität, Kontodaten, Adressbuchdaten, Standortdaten, elektronische Fahrzeugkennung usw.

19.3

Extraktion kryptografischer Schlüssel

20

Manipulation von Fahrzeugdaten/-code

20.1

Illegale/unbefugte Änderungen der elektronischen Fahrzeugkennung

20.2

Identitätsbetrug, z. B. wenn ein Nutzer bei der Kommunikation mit Mautsystemen oder dem Back-End des Herstellers eine abweichende Identität anzeigen will

20.3

Aktionen zur Umgehung von Überwachungssystemen (z. B. Hacking/Manipulation/Blockierung von Nachrichten wie ODR-Tracker-Daten oder Anzahl der Fahrten)

20.4

Datenmanipulation zur Fälschung der Fahrdaten des Fahrzeugs (z. B. Kilometerstand, Fahrgeschwindigkeit, Fahrtrichtung usw.)

20.5

Unbefugte Änderungen von Systemdiagnosedaten

21

Löschung von Daten/Code

21.1

Unbefugtes Löschen/Manipulieren von Systemereignisprotokollen

22

Einspeisung von Malware

22.2

Einspeisung von Schadsoftware oder Schadsoftwareaktivitäten

23

Einspeisung neuer Software oder Überschreiben vorhandener Software

23.1

Fälschung der Software des Fahrzeugsteuerungs- oder -informationssystems

24

Störung von Systemen oder Vorgängen

24.1

Denial-of-Service-Attacken, die im internen Netzwerk z. B. durch Überlastung eines CAN-Busses oder durch Provozieren von Störungen an einem elektronischen Steuergerät aufgrund großer Nachrichtenmengen ausgelöst werden kann

25

Manipulation von Fahrzeugparametern

25.1

Unbefugter Zugriff zur Verfälschung der Konfigurationsparameter von Schlüsselfunktionen des Fahrzeugs, wie z. B. Bremsdaten, Airbag-Auslöseschwelle usw.

25.2

Unbefugter Zugriff zur Verfälschung der Ladeparameter, z. B. Ladespannung, Ladeleistung, Batterietemperatur usw.

| 4.3.7 | Potenzielle Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen |
| --- | --- |

4.3.7

Potenzielle Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen

26

Kryptografische Technologien können beeinträchtigt werden oder werden unzureichend angewendet

26.1

Eine Kombination aus kurzen Verschlüsselungscodes und langen Gültigkeitszeiträumen ermöglicht es dem Angreifer, die Verschlüsselung zu knacken

26.2

Unzureichender Einsatz kryptografischer Algorithmen zum Schutz sensibler Systeme

26.3

Verwendung kryptografischer Algorithmen, die bereits veraltet sind oder es bald sein werden

27

Teile oder Zubehör könnten beeinträchtigt werden, um Angriffe auf Fahrzeuge zu ermöglichen

27.1

Hardware oder Software, die entwickelt wurde, um einen Angriff zu ermöglichen, oder die so konzipiert ist, dass sie die Kriterien zur Beendigung eines Angriffs nicht erfüllt

28

Software- oder Hardwareentwicklung führt zu Schwachstellen

28.1

Softwarefehler. Vorhandene Softwarefehler können die Grundlage für potenzielle nutzbare Schwachstellen bilden. Dies trifft insbesondere dann zu, wenn die Software nicht getestet wurde, um bekannten, fehlerhaften Code bzw. Programmfehler zu finden bzw. das Risiko von unbekanntem, fehlerhaftem Code bzw. Programmfehlern zu verringern

28.2

Überbleibsel aus der Entwicklungsphase (z. B. Debug-Ports, JTAG-Ports, Mikroprozessoren, Entwicklungszertifikate, Entwicklerpasswörter usw.) können Angreifern ermöglichen, auf elektronische Steuergeräte zuzugreifen oder sich höhere Berechtigungen zu verschaffen

29

Entstehen von Schwachstellen durch das Netzwerkdesign

29.1

Überflüssige, offen gelassene Internetanschlüsse bieten Zugang zu Netzwerksystemen

29.2

Umgehung der Netzwerktrennung, um Kontrolle zu erlangen. Ein spezifisches Beispiel ist die Nutzung ungeschützter Gateways oder Zugangspunkte (wie z. B. LKW-Anhänger-Gateways), um Schutzmaßnahmen zu umgehen und Zugang zu anderen Netzwerksegmenten zu erhalten und schädliche Aktionen durchzuführen, wie z. B. willkürliche CAN-Bus-Nachrichten zu senden

31

Mögliche unbeabsichtigte Übertragung von Daten

31.1

Informationssicherheitslücken. Personenbezogene Daten können bei einem Wechsel des Fahrzeugnutzers (z. B. durch Verkauf oder Neuvermietung) in die falschen Hände geraten

32

Ermöglichung eines Angriffs durch physische Manipulation

32.1

Manipulation elektronischer Hardware, z. B. wenn in einem Fahrzeug unzulässige elektronische Hardware hinzugefügt wird, um einen Man-in-the-Middle-Angriff zu ermöglichen

Austausch zulässiger elektronischer Hardware (z. B. Sensoren) durch unzulässige elektronische Hardware

Manipulation der von einem Sensor erfassten Daten (z. B. wenn mittels eines Magneten der am Getriebe angebrachte Hall-Sensor manipuliert wird)

Teil B. Minderungsmaßnahmen für Bedrohungen, die auf Fahrzeuge ausgerichtet sind

| 1. | Risikominderungsmaßnahmen für Fahrzeugkommunikationskanäle
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Fahrzeugkommunikationskanälen sind in Tabelle B1 aufgeführt.

  Tabelle B1


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Fahrzeugkommunikationskanälen









  Referenz Tabelle A1 | Bedrohungen für Fahrzeugkommunikationskanäle | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 4.1 | Spoofing von Nachrichten (z. B. 802.11p V2X beim Platooning, GSM-Nachrichten usw.) durch Identitätswechsel | M10 | Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen |
| 4.2 | Sybil-Attacke (um für andere Fahrzeuge vorzutäuschen, es seien viele Fahrzeuge auf der Straße) | M11 | Es sind Sicherheitsmaßnahmen zur Speicherung kryptografischer Schlüssel vorzusehen (z. B. Verwendung von Hardwaresicherheitsmodulen) |
| 5.1 | Kommunikationskanäle ermöglichen Code-Injektion in Fahrzeugdaten/-code, z. B. können manipulierte Softwarebinärdateien in den Kommunikationsstrom injiziert werden | M10
  M6 | Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen
  Bereits bei der Konzeption der Systeme müssen Sicherheitsvorkehrungen vorgesehen werden, um Risiken zu minimieren |
| 5.2 | Kommunikationskanäle ermöglichen die Manipulation von Fahrzeugdaten/-code | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden |
| 5.3 | Kommunikationskanäle ermöglichen das Überschreiben von Fahrzeugdaten/-code |
| 5.4
  21.1 | Kommunikationskanäle ermöglichen die Löschung von Fahrzeugdaten/-code |
| 5.5 | Kommunikationskanäle ermöglichen die Einspeisung von Daten/Code in Fahrzeugsysteme (Schreiben von Datencode) |
| 6.1 | Akzeptieren von Informationen aus einer unzuverlässigen oder nicht vertrauenswürdigen Quelle | M10 | Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen |
| 6.2 | Man-in-the-Middle-Angriff/Session Hijacking | M10 | Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen |
| 6.3 | Replay-Angriff, z. B. ein Angriff auf ein Kommunikations-Gateway, der es dem Angreifer ermöglicht, die Software eines elektronischen Steuergeräts oder die Firmware des Gateways herabzustufen |
| 7.1 | Abfangen von Informationen/Störstrahlung/Überwachung der Kommunikation | M12 | Vertrauliche Daten, die an das Fahrzeug oder vom Fahrzeug übermittelt werden, müssen geschützt werden |
| 7.2 | Erlangen von unbefugtem Zugriff auf Dateien oder Daten | M8 | Das Systemdesign und die Zugangskontrolle müssen so ausgelegt sein, dass Unbefugte nicht auf personenbezogene oder systemkritische Daten zugreifen können. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 8.1 | Das Fahrzeuginformationssystem wird gezielt mit so vielen Anfragen bombardiert, dass es die Aufgaben nicht mehr bewältigen kann | M13 | Es sind Maßnahmen zur Erkennung und Behebung einer Denial-of-Service-Attacke zu treffen |
| 8.2 | Black-Hole-Angriff, Störung der Kommunikation zwischen Fahrzeugen durch Blockieren der Übermittlung von Nachrichten an andere Fahrzeuge | M13 | Es sind Maßnahmen zur Erkennung und Behebung einer Denial-of-Service-Attacke zu treffen |
| 9.1 | Ein unprivilegierter Benutzer kann Sonderzugriffsrechte erhalten, z. B. Root-Zugriff | M9 | Es sind Maßnahmen zur Verhinderung und Erkennung von unbefugtem Zugriff zu treffen |
| 10.1 | Ein in Kommunikationsmedien eingebetteter Virus infiziert Fahrzeugsysteme | M14 | Maßnahmen zum Schutz von Systemen gegen eingebettete Viren/Malware sind zu erwägen |
| 11.1 | Schädliche interne Nachrichten (z. B. CAN-Nachrichten) | M15 | Maßnahmen zur Erkennung schädlicher interner Nachrichten oder Aktivitäten sind zu erwägen |
| 11.2 | Schädliche V2X-Nachrichten, z. B. Nachrichten zwischen Infrastruktur und Fahrzeug oder Nachrichten zwischen Fahrzeugen (z. B. CAM oder DENM) | M10 | Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen |
| 11.3 | Schädliche Diagnosemeldungen |
| 11.4 | Schädliche proprietäre Nachrichten (z. B. solche, die normalerweise vom OEM oder vom Lieferanten eines Bauteils, eines Systems oder einer Funktion gesendet werden) |

1.

Risikominderungsmaßnahmen für Fahrzeugkommunikationskanäle

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Fahrzeugkommunikationskanälen sind in Tabelle B1 aufgeführt.

Tabelle B1

Tabelle B1

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Fahrzeugkommunikationskanälen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Fahrzeugkommunikationskanälen

Referenz Tabelle A1

Bedrohungen für Fahrzeugkommunikationskanäle

Ref.

Minderungsmaßnahme

4.1

Spoofing von Nachrichten (z. B. 802.11p V2X beim Platooning, GSM-Nachrichten usw.) durch Identitätswechsel

M10

Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen

4.2

Sybil-Attacke (um für andere Fahrzeuge vorzutäuschen, es seien viele Fahrzeuge auf der Straße)

M11

Es sind Sicherheitsmaßnahmen zur Speicherung kryptografischer Schlüssel vorzusehen (z. B. Verwendung von Hardwaresicherheitsmodulen)

5.1

Kommunikationskanäle ermöglichen Code-Injektion in Fahrzeugdaten/-code, z. B. können manipulierte Softwarebinärdateien in den Kommunikationsstrom injiziert werden

M10

M6

Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen

Bereits bei der Konzeption der Systeme müssen Sicherheitsvorkehrungen vorgesehen werden, um Risiken zu minimieren

5.2

Kommunikationskanäle ermöglichen die Manipulation von Fahrzeugdaten/-code

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden

5.3

Kommunikationskanäle ermöglichen das Überschreiben von Fahrzeugdaten/-code

5.4

21.1

Kommunikationskanäle ermöglichen die Löschung von Fahrzeugdaten/-code

5.5

Kommunikationskanäle ermöglichen die Einspeisung von Daten/Code in Fahrzeugsysteme (Schreiben von Datencode)

6.1

Akzeptieren von Informationen aus einer unzuverlässigen oder nicht vertrauenswürdigen Quelle

M10

Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen

6.2

Man-in-the-Middle-Angriff/Session Hijacking

M10

Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen

6.3

Replay-Angriff, z. B. ein Angriff auf ein Kommunikations-Gateway, der es dem Angreifer ermöglicht, die Software eines elektronischen Steuergeräts oder die Firmware des Gateways herabzustufen

7.1

Abfangen von Informationen/Störstrahlung/Überwachung der Kommunikation

M12

Vertrauliche Daten, die an das Fahrzeug oder vom Fahrzeug übermittelt werden, müssen geschützt werden

7.2

Erlangen von unbefugtem Zugriff auf Dateien oder Daten

M8

Das Systemdesign und die Zugangskontrolle müssen so ausgelegt sein, dass Unbefugte nicht auf personenbezogene oder systemkritische Daten zugreifen können. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

8.1

Das Fahrzeuginformationssystem wird gezielt mit so vielen Anfragen bombardiert, dass es die Aufgaben nicht mehr bewältigen kann

M13

Es sind Maßnahmen zur Erkennung und Behebung einer Denial-of-Service-Attacke zu treffen

8.2

Black-Hole-Angriff, Störung der Kommunikation zwischen Fahrzeugen durch Blockieren der Übermittlung von Nachrichten an andere Fahrzeuge

M13

Es sind Maßnahmen zur Erkennung und Behebung einer Denial-of-Service-Attacke zu treffen

9.1

Ein unprivilegierter Benutzer kann Sonderzugriffsrechte erhalten, z. B. Root-Zugriff

M9

Es sind Maßnahmen zur Verhinderung und Erkennung von unbefugtem Zugriff zu treffen

10.1

Ein in Kommunikationsmedien eingebetteter Virus infiziert Fahrzeugsysteme

M14

Maßnahmen zum Schutz von Systemen gegen eingebettete Viren/Malware sind zu erwägen

11.1

Schädliche interne Nachrichten (z. B. CAN-Nachrichten)

M15

Maßnahmen zur Erkennung schädlicher interner Nachrichten oder Aktivitäten sind zu erwägen

11.2

Schädliche V2X-Nachrichten, z. B. Nachrichten zwischen Infrastruktur und Fahrzeug oder Nachrichten zwischen Fahrzeugen (z. B. CAM oder DENM)

M10

Das Fahrzeug muss die Authentizität und Integrität der empfangenen Nachrichten überprüfen

11.3

Schädliche Diagnosemeldungen

11.4

Schädliche proprietäre Nachrichten (z. B. solche, die normalerweise vom OEM oder vom Lieferanten eines Bauteils, eines Systems oder einer Funktion gesendet werden)

| 2. | Risikominderungsmaßnahmen für den Aktualisierungsprozess
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit dem Aktualisierungsprozess sind in Tabelle B2 aufgeführt.

  Tabelle B2


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit dem Aktualisierungsprozess









  Referenz Tabelle A1 | Bedrohungen für den Aktualisierungsprozess | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 12.1 | Beeinträchtigung von drahtlosen Softwareaktualisierungsverfahren; dazu gehört auch die Fälschung des Programms oder der Firmware zur Systemaktualisierung | M16 | Es sind sichere Softwareaktualisierungsverfahren anzuwenden |
| 12.2 | Beeinträchtigung von lokalen/physischen Softwareaktualisierungsverfahren; dazu gehört auch die Fälschung des Programms oder der Firmware zur Systemaktualisierung |
| 12.3 | Die Software wird vor dem Aktualisierungsprozess manipuliert (und daher beschädigt), obwohl dieser intakt ist |
| 12.4 | Beeinträchtigung von kryptografischen Schlüsseln des Softwareanbieters, um eine ungültige Aktualisierung zu ermöglichen | M11 | Es sind Sicherheitsmaßnahmen zur Speicherung kryptografischer Schlüssel vorzusehen |
| 13.1 | Denial-of-Service-Attacke gegen den Aktualisierungsserver oder das Netzwerk, um wichtige Softwareaktualisierungen und/oder die Freigabe kundenspezifischer Funktionen zu verhindern | M3 | An Back-End-Systemen sind Sicherheitsmaßnahmen anzuwenden. Wenn Back-End-Server unabdingbar für die Bereitstellung von Diensten sind, sind Wiederherstellungsmaßnahmen für den Fall von Systemausfällen vorzusehen. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |

2.

Risikominderungsmaßnahmen für den Aktualisierungsprozess

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit dem Aktualisierungsprozess sind in Tabelle B2 aufgeführt.

Tabelle B2

Tabelle B2

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit dem Aktualisierungsprozess

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit dem Aktualisierungsprozess

Referenz Tabelle A1

Bedrohungen für den Aktualisierungsprozess

Ref.

Minderungsmaßnahme

12.1

Beeinträchtigung von drahtlosen Softwareaktualisierungsverfahren; dazu gehört auch die Fälschung des Programms oder der Firmware zur Systemaktualisierung

M16

Es sind sichere Softwareaktualisierungsverfahren anzuwenden

12.2

Beeinträchtigung von lokalen/physischen Softwareaktualisierungsverfahren; dazu gehört auch die Fälschung des Programms oder der Firmware zur Systemaktualisierung

12.3

Die Software wird vor dem Aktualisierungsprozess manipuliert (und daher beschädigt), obwohl dieser intakt ist

12.4

Beeinträchtigung von kryptografischen Schlüsseln des Softwareanbieters, um eine ungültige Aktualisierung zu ermöglichen

M11

Es sind Sicherheitsmaßnahmen zur Speicherung kryptografischer Schlüssel vorzusehen

13.1

Denial-of-Service-Attacke gegen den Aktualisierungsserver oder das Netzwerk, um wichtige Softwareaktualisierungen und/oder die Freigabe kundenspezifischer Funktionen zu verhindern

M3

An Back-End-Systemen sind Sicherheitsmaßnahmen anzuwenden. Wenn Back-End-Server unabdingbar für die Bereitstellung von Diensten sind, sind Wiederherstellungsmaßnahmen für den Fall von Systemausfällen vorzusehen. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

| 3. | Risikominderungsmaßnahmen bezüglich unbeabsichtigter menschlicher Handlungen, die einen Cyberangriff begünstigen
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen, die einen Cyberangriff begünstigen, sind in Tabelle B3 aufgeführt.

  Tabelle B3


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen, die einen Cyberangriff begünstigen









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 15.1 | Ein unschuldiges Opfer (z. B. Eigentümer, Bediener oder Wartungstechniker) wird zu einer Aktion verleitet, mit der unbeabsichtigt Malware geladen oder ein Angriff ermöglicht wird | M18 | Es sind Maßnahmen zur Festlegung und Kontrolle von Nutzerrollen und Zugriffsrechten nach dem Least-Privilege-Prinzip vorzusehen |
| 15.2 | Festgelegte Sicherheitsverfahren werden nicht befolgt | M19 | Die Organisationen sorgen dafür, dass Sicherheitsverfahren festgelegt und befolgt werden, einschließlich der Protokollierung von Operationen und des Zugriffs im Zusammenhang mit der Verwaltung der Sicherheitsfunktionen |

3.

Risikominderungsmaßnahmen bezüglich unbeabsichtigter menschlicher Handlungen, die einen Cyberangriff begünstigen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen, die einen Cyberangriff begünstigen, sind in Tabelle B3 aufgeführt.

Tabelle B3

Tabelle B3

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen, die einen Cyberangriff begünstigen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen, die einen Cyberangriff begünstigen

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen

Ref.

Minderungsmaßnahme

15.1

Ein unschuldiges Opfer (z. B. Eigentümer, Bediener oder Wartungstechniker) wird zu einer Aktion verleitet, mit der unbeabsichtigt Malware geladen oder ein Angriff ermöglicht wird

M18

Es sind Maßnahmen zur Festlegung und Kontrolle von Nutzerrollen und Zugriffsrechten nach dem Least-Privilege-Prinzip vorzusehen

15.2

Festgelegte Sicherheitsverfahren werden nicht befolgt

M19

Die Organisationen sorgen dafür, dass Sicherheitsverfahren festgelegt und befolgt werden, einschließlich der Protokollierung von Operationen und des Zugriffs im Zusammenhang mit der Verwaltung der Sicherheitsfunktionen

| 4. | Risikominderungsmaßnahmen bezüglich externer Vernetzung und Verbindungen
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit externer Vernetzung und Verbindungen sind in Tabelle B4 aufgeführt.

  Tabelle B4


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit externer Vernetzung und Verbindungen









  Referenz Tabelle A1 | Bedrohungen für externe Vernetzung und Verbindungen | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 16.1 | Manipulation von Fernbedienungsfunktionen für Fahrzeugsysteme wie Funkschlüssel, Wegfahrsperre und Ladestation | M20 | Bei Systemen mit Fernzugriff sind Sicherheitsmaßnahmen anzuwenden. |
| 16.2 | Manipulation der Fahrzeugtelematik (z. B. Manipulation der Temperaturmessung empfindlicher Güter, ferngesteuertes Entriegeln von Frachttüren) |
| 16.3 | Interferenzen mit drahtlosen Systemen oder Sensoren mit kurzer Reichweite |
| 17.1 | Manipulierte oder unsichere Anwendungen, die zum Angriff auf Fahrzeugsysteme genutzt werden | M21 | Software muss sicherheitsüberprüft, authentifiziert und integritätsgeschützt sein.
  Es sind Sicherheitsmaßnahmen anzuwenden, um das Risiko durch Software Dritter zu begrenzen, die dazu bestimmt ist oder bei der vorauszusehen ist, dass sie im Fahrzeug untergebracht wird |
| 18.1 | Externe Schnittstellen wie USB-Anschlüsse oder andere als Angriffspunkte genutzte Anschlüsse, z. B. für Code-Injektion | M22 | An externen Schnittstellen sind Sicherheitsmaßnahmen anzuwenden |
| 18.2 | Mit einem Virus infizierte Datenträger werden an das Fahrzeug angeschlossen |
| 18.3 | Ein Diagnosezugang (z. B. Dongles am OBD-Anschluss) wird zur Begünstigung eines Angriffs genutzt, z. B. durch Manipulation von Fahrzeugparametern (direkt oder indirekt) | M22 | An externen Schnittstellen sind Sicherheitsmaßnahmen anzuwenden |

4.

Risikominderungsmaßnahmen bezüglich externer Vernetzung und Verbindungen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit externer Vernetzung und Verbindungen sind in Tabelle B4 aufgeführt.

Tabelle B4

Tabelle B4

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit externer Vernetzung und Verbindungen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit externer Vernetzung und Verbindungen

Referenz Tabelle A1

Bedrohungen für externe Vernetzung und Verbindungen

Ref.

Minderungsmaßnahme

16.1

Manipulation von Fernbedienungsfunktionen für Fahrzeugsysteme wie Funkschlüssel, Wegfahrsperre und Ladestation

M20

Bei Systemen mit Fernzugriff sind Sicherheitsmaßnahmen anzuwenden.

16.2

Manipulation der Fahrzeugtelematik (z. B. Manipulation der Temperaturmessung empfindlicher Güter, ferngesteuertes Entriegeln von Frachttüren)

16.3

Interferenzen mit drahtlosen Systemen oder Sensoren mit kurzer Reichweite

17.1

Manipulierte oder unsichere Anwendungen, die zum Angriff auf Fahrzeugsysteme genutzt werden

M21

Software muss sicherheitsüberprüft, authentifiziert und integritätsgeschützt sein.

Es sind Sicherheitsmaßnahmen anzuwenden, um das Risiko durch Software Dritter zu begrenzen, die dazu bestimmt ist oder bei der vorauszusehen ist, dass sie im Fahrzeug untergebracht wird

18.1

Externe Schnittstellen wie USB-Anschlüsse oder andere als Angriffspunkte genutzte Anschlüsse, z. B. für Code-Injektion

M22

An externen Schnittstellen sind Sicherheitsmaßnahmen anzuwenden

18.2

Mit einem Virus infizierte Datenträger werden an das Fahrzeug angeschlossen

18.3

Ein Diagnosezugang (z. B. Dongles am OBD-Anschluss) wird zur Begünstigung eines Angriffs genutzt, z. B. durch Manipulation von Fahrzeugparametern (direkt oder indirekt)

M22

An externen Schnittstellen sind Sicherheitsmaßnahmen anzuwenden

| 5. | Risikominderungsmaßnahmen bezüglich potenzieller Ziele oder Motivationen für einen Angriff
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff sind in Tabelle B5 aufgeführt.

  Tabelle B5


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 19.1 | Extraktion von urheberrechtlich geschützter oder proprietärer Software aus Fahrzeugsystemen (Produktpiraterie/Softwarediebstahl) | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 19.2 | Unbefugter Zugriff auf die personenbezogenen Daten des Eigentümers wie persönliche Identität, Kontodaten, Adressbuchdaten, Standortdaten, elektronische Fahrzeugkennung usw. | M8 | Das Systemdesign und die Zugangskontrolle müssen so ausgelegt sein, dass Unbefugte nicht auf personenbezogene oder systemkritische Daten zugreifen können. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 19.3 | Extraktion kryptografischer Schlüssel | M11 | Es sind Sicherheitsmaßnahmen zur Speicherung kryptografischer Schlüssel vorzusehen, z. B. Sicherheitsmodule |
| 20.1 | Illegale/unbefugte Änderungen der elektronischen Fahrzeugkennung | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 20.2 | Identitätsbetrug, z. B. wenn ein Nutzer bei der Kommunikation mit Mautsystemen eine andere Identität anzeigt, Hersteller-Back-End |
| 20.3 | Aktionen zur Umgehung von Überwachungssystemen (z. B. Hacking/Manipulation/Blockierung von Nachrichten wie ODR-Tracker-Daten oder Anzahl der Fahrten) | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP.
  Datenmanipulationsangriffe auf Sensoren oder übertragene Daten könnten durch Korrelieren der Daten aus verschiedenen Informationsquellen abgeschwächt werden |
| 20.4 | Datenmanipulation zur Fälschung der Fahrdaten des Fahrzeugs (z. B. Kilometerstand, Fahrgeschwindigkeit, Fahrtrichtung usw.) |
| 20.5 | Unbefugte Änderungen von Systemdiagnosedaten |
| 21.1 | Unbefugtes Löschen/Manipulieren von Systemereignisprotokollen | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 22.2 | Einspeisung von Schadsoftware oder Schadsoftwareaktivitäten | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 23.1 | Fälschung der Software des Fahrzeugsteuerungs- oder -informationssystems |
| 24.1 | Denial-of-Service-Attacken, die im internen Netzwerk z. B. durch Überlastung eines CAN-Busses oder durch Provozieren von Störungen an einem elektronischen Steuergerät aufgrund großer Nachrichtenmengen ausgelöst werden kann | M13 | Es sind Maßnahmen zur Erkennung und Behebung einer Denial-of-Service-Attacke zu treffen |
| 25.1 | Unbefugter Zugriff zur Verfälschung der Konfigurationsparameter von Schlüsselfunktionen des Fahrzeugs, wie z. B. Bremsdaten, Airbag-Auslöseschwelle usw. | M7 | Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 25.2 | Unbefugter Zugriff zur Verfälschung der Ladeparameter, z. B. Ladespannung, Ladeleistung, Batterietemperatur usw. |

5.

Risikominderungsmaßnahmen bezüglich potenzieller Ziele oder Motivationen für einen Angriff

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff sind in Tabelle B5 aufgeführt.

Tabelle B5

Tabelle B5

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit potenziellen Zielen oder Motivationen für einen Angriff

Ref.

Minderungsmaßnahme

19.1

Extraktion von urheberrechtlich geschützter oder proprietärer Software aus Fahrzeugsystemen (Produktpiraterie/Softwarediebstahl)

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

19.2

Unbefugter Zugriff auf die personenbezogenen Daten des Eigentümers wie persönliche Identität, Kontodaten, Adressbuchdaten, Standortdaten, elektronische Fahrzeugkennung usw.

M8

Das Systemdesign und die Zugangskontrolle müssen so ausgelegt sein, dass Unbefugte nicht auf personenbezogene oder systemkritische Daten zugreifen können. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

19.3

Extraktion kryptografischer Schlüssel

M11

Es sind Sicherheitsmaßnahmen zur Speicherung kryptografischer Schlüssel vorzusehen, z. B. Sicherheitsmodule

20.1

Illegale/unbefugte Änderungen der elektronischen Fahrzeugkennung

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

20.2

Identitätsbetrug, z. B. wenn ein Nutzer bei der Kommunikation mit Mautsystemen eine andere Identität anzeigt, Hersteller-Back-End

20.3

Aktionen zur Umgehung von Überwachungssystemen (z. B. Hacking/Manipulation/Blockierung von Nachrichten wie ODR-Tracker-Daten oder Anzahl der Fahrten)

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP.

Datenmanipulationsangriffe auf Sensoren oder übertragene Daten könnten durch Korrelieren der Daten aus verschiedenen Informationsquellen abgeschwächt werden

20.4

Datenmanipulation zur Fälschung der Fahrdaten des Fahrzeugs (z. B. Kilometerstand, Fahrgeschwindigkeit, Fahrtrichtung usw.)

20.5

Unbefugte Änderungen von Systemdiagnosedaten

21.1

Unbefugtes Löschen/Manipulieren von Systemereignisprotokollen

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

22.2

Einspeisung von Schadsoftware oder Schadsoftwareaktivitäten

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

23.1

Fälschung der Software des Fahrzeugsteuerungs- oder -informationssystems

24.1

Denial-of-Service-Attacken, die im internen Netzwerk z. B. durch Überlastung eines CAN-Busses oder durch Provozieren von Störungen an einem elektronischen Steuergerät aufgrund großer Nachrichtenmengen ausgelöst werden kann

M13

Es sind Maßnahmen zur Erkennung und Behebung einer Denial-of-Service-Attacke zu treffen

25.1

Unbefugter Zugriff zur Verfälschung der Konfigurationsparameter von Schlüsselfunktionen des Fahrzeugs, wie z. B. Bremsdaten, Airbag-Auslöseschwelle usw.

M7

Zum Schutz von Systemdaten/-code sind Zugriffskontrolltechniken und -konzepte anzuwenden. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

25.2

Unbefugter Zugriff zur Verfälschung der Ladeparameter, z. B. Ladespannung, Ladeleistung, Batterietemperatur usw.

| 6. | Risikominderungsmaßnahmen bezüglich potenzieller Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen, sind in Tabelle B6 aufgeführt.

  Tabelle B6


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 26.1 | Eine Kombination aus kurzen Verschlüsselungscodes und langen Gültigkeitszeiträumen ermöglicht es dem Angreifer, die Verschlüsselung zu knacken | M23 | Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen |
| 26.2 | Unzureichender Einsatz kryptografischer Algorithmen zum Schutz sensibler Systeme |
| 26.3 | Verwendung veralteter kryptografischer Algorithmen |
| 27.1 | Hardware oder Software, die entwickelt wurde, um einen Angriff zu ermöglichen, oder die so konzipiert ist, dass sie die Kriterien zur Beendigung eines Angriffs nicht erfüllt | M23 | Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen |
| 28.1 | Vorhandene Softwarefehler können die Grundlage für potenzielle, nutzbare Schwachstellen bilden. Dies trifft insbesondere dann zu, wenn die Software nicht getestet wurde, um bekannten, fehlerhaften Code bzw. Programmfehler zu finden bzw. das Risiko von unbekanntem, fehlerhaftem Code bzw. Programmfehlern zu verringern | M23 | Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen
  Cybersicherheitstests mit angemessener Abdeckung |
| 28.2 | Überbleibsel aus der Entwicklungsphase (z. B. Debug-Ports, JTAG-Ports, Mikroprozessoren, Entwicklungszertifikate, Entwicklerpasswörter usw.) können es einem Angreifer ermöglichen, auf elektronische Steuergeräte zuzugreifen oder sich höhere Berechtigungen zu verschaffen |
| 29.1 | Überflüssige, offen gelassene Internetanschlüsse bieten Zugang zu Netzwerksystemen |
| 29.2 | Umgehung der Netzwerktrennung, um Kontrolle zu erlangen. Ein spezifisches Beispiel ist die Nutzung ungeschützter Gateways oder Zugangspunkte (wie z. B. LKW-Anhänger-Gateways), um Schutzmaßnahmen zu umgehen und Zugang zu anderen Netzwerksegmenten zu erhalten und schädliche Aktionen durchzuführen, wie z. B. willkürliche CAN-Bus-Nachrichten zu senden | M23 | Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen
  Bewährte Verfahren für die Cybersicherheit bei Systemdesign und Systemintegration sind zu befolgen |

6.

Risikominderungsmaßnahmen bezüglich potenzieller Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen, sind in Tabelle B6 aufgeführt.

Tabelle B6

Tabelle B6

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit potenziellen Schwachstellen, die ausgenutzt werden könnten, wenn Schutz oder Härtung nicht ausreichen

Ref.

Minderungsmaßnahme

26.1

Eine Kombination aus kurzen Verschlüsselungscodes und langen Gültigkeitszeiträumen ermöglicht es dem Angreifer, die Verschlüsselung zu knacken

M23

Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen

26.2

Unzureichender Einsatz kryptografischer Algorithmen zum Schutz sensibler Systeme

26.3

Verwendung veralteter kryptografischer Algorithmen

27.1

Hardware oder Software, die entwickelt wurde, um einen Angriff zu ermöglichen, oder die so konzipiert ist, dass sie die Kriterien zur Beendigung eines Angriffs nicht erfüllt

M23

Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen

28.1

Vorhandene Softwarefehler können die Grundlage für potenzielle, nutzbare Schwachstellen bilden. Dies trifft insbesondere dann zu, wenn die Software nicht getestet wurde, um bekannten, fehlerhaften Code bzw. Programmfehler zu finden bzw. das Risiko von unbekanntem, fehlerhaftem Code bzw. Programmfehlern zu verringern

M23

Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen

Cybersicherheitstests mit angemessener Abdeckung

28.2

Überbleibsel aus der Entwicklungsphase (z. B. Debug-Ports, JTAG-Ports, Mikroprozessoren, Entwicklungszertifikate, Entwicklerpasswörter usw.) können es einem Angreifer ermöglichen, auf elektronische Steuergeräte zuzugreifen oder sich höhere Berechtigungen zu verschaffen

29.1

Überflüssige, offen gelassene Internetanschlüsse bieten Zugang zu Netzwerksystemen

29.2

Umgehung der Netzwerktrennung, um Kontrolle zu erlangen. Ein spezifisches Beispiel ist die Nutzung ungeschützter Gateways oder Zugangspunkte (wie z. B. LKW-Anhänger-Gateways), um Schutzmaßnahmen zu umgehen und Zugang zu anderen Netzwerksegmenten zu erhalten und schädliche Aktionen durchzuführen, wie z. B. willkürliche CAN-Bus-Nachrichten zu senden

M23

Bewährte Verfahren für die Cybersicherheit bei der Software- und Hardwareentwicklung sind zu befolgen

Bewährte Verfahren für die Cybersicherheit bei Systemdesign und Systemintegration sind zu befolgen

| 7. | Risikominderungsmaßnahmen bezüglich Datenverlusten/Datenpannen des Fahrzeugs
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs sind in Tabelle B7 aufgeführt.

  Tabelle B7


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 31.1 | Informationssicherheitslücken. Der Schutz personenbezogener Daten kann bei einem Wechsel des Fahrzeugnutzers (z. B. durch Verkauf oder Neuvermietung) verletzt werden | M24 | Bei der Speicherung personenbezogener Daten sind bewährte Verfahren zum Schutz der Datenintegrität und -vertraulichkeit zu befolgen |

7.

Risikominderungsmaßnahmen bezüglich Datenverlusten/Datenpannen des Fahrzeugs

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs sind in Tabelle B7 aufgeführt.

Tabelle B7

Tabelle B7

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit Datenverlusten/Datenpannen des Fahrzeugs

Ref.

Minderungsmaßnahme

31.1

Informationssicherheitslücken. Der Schutz personenbezogener Daten kann bei einem Wechsel des Fahrzeugnutzers (z. B. durch Verkauf oder Neuvermietung) verletzt werden

M24

Bei der Speicherung personenbezogener Daten sind bewährte Verfahren zum Schutz der Datenintegrität und -vertraulichkeit zu befolgen

| 8. | Risikominderungsmaßnahmen bezüglich der Ermöglichung eines Angriffs durch physische Manipulation
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation sind in Tabelle B8 aufgeführt.

  Tabelle B8


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 32.1 | Manipulation von OEM-Hardware, z. B. Hinzufügen unzulässiger Hardware in einem Fahrzeug, um einen Man-in-the-Middle-Angriff zu ermöglichen | M9 | Es sind Maßnahmen zur Verhinderung und Erkennung von unbefugtem Zugriff zu treffen |

8.

Risikominderungsmaßnahmen bezüglich der Ermöglichung eines Angriffs durch physische Manipulation

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation sind in Tabelle B8 aufgeführt.

Tabelle B8

Tabelle B8

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit der Ermöglichung eines Angriffs durch physische Manipulation

Ref.

Minderungsmaßnahme

32.1

Manipulation von OEM-Hardware, z. B. Hinzufügen unzulässiger Hardware in einem Fahrzeug, um einen Man-in-the-Middle-Angriff zu ermöglichen

M9

Es sind Maßnahmen zur Verhinderung und Erkennung von unbefugtem Zugriff zu treffen

Teil C. Minderungsmaßnahmen für die Bedrohungen, die auf Bereiche außerhalb von Fahrzeugen abzielen

| 1. | Risikominderungsmaßnahmen für Back-End-Server
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Back-End-Servern sind in Tabelle C1 aufgeführt. |
| --- | --- |

1.

Risikominderungsmaßnahmen für Back-End-Server

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Back-End-Servern sind in Tabelle C1 aufgeführt.

Tabelle C1

Tabelle C1

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Back-End-Servern

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit Back-End-Servern

| Referenz Tabelle A1 | Bedrohungen für Back-End-Server | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- |
| 1.1 und 3.1 | Missbrauch von Berechtigungen durch Personal (Insider-Angriff) | M1 | Auf Back-End-Systemen werden Sicherheitsmaßnahmen angewendet, um das Risiko eines Insider-Angriffs zu minimieren |
| 1.2 und 3.3 | Unbefugter Internetzugriff auf den Server (z. B. durch Backdoors, nicht gepatchte Systemsoftwareschwachstellen, SQL-Angriffe oder andere Mittel) | M2 | Auf Back-End-Systemen werden Sicherheitsmaßnahmen angewendet, um den unbefugten Zugriff zu minimieren. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 1.3 und 3.4 | Unbefugter physischer Zugriff auf den Server (z. B. mittels USB-Sticks oder anderer Datenträger, die sich mit dem Server verbinden) | M8 | Das Systemdesign und die Zugangskontrolle müssen so ausgelegt sein, dass Unbefugte nicht auf personenbezogene oder systemkritische Daten zugreifen können |
| 2.1 | Ein Angriff auf einen Backend-Server führt zu dessen Ausfall; dadurch wird z. B. die Interaktion mit Fahrzeugen und die Bereitstellung von Diensten, auf die diese angewiesen sind, verhindert | M3 | An Back-End-Systemen sind Sicherheitsmaßnahmen anzuwenden. Wenn Back-End-Server unabdingbar für die Bereitstellung von Diensten sind, sind Wiederherstellungsmaßnahmen für den Fall von Systemausfällen vorzusehen. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |
| 3.2 | Verlust von Informationen in der Cloud. Sensible Daten, die durch Drittanbieter von Cloud-Diensten gespeichert werden, können durch Angriffe oder Pannen verloren gehen | M4 | Es werden Sicherheitsmaßnahmen angewendet, um mit dem Cloud-Computing verbundene Risiken zu minimieren. Beispiele für Sicherheitsmaßnahmen bieten das OWASP und der Leitfaden für Cloud-Sicherheit (Cloud Security Guidance) der britischen NCSC |
| 3.5 | Informationssicherheitslücken durch unbeabsichtigte Weitergabe von Daten (z. B. durch Administratorfehler, Serveraufstellung in Garagen) | M5 | Auf Back-End-Systemen werden Sicherheitsmaßnahmen angewendet, um Datenpannen zu verhindern. Beispiele für Sicherheitsmaßnahmen bietet das OWASP |

Referenz Tabelle A1

Bedrohungen für Back-End-Server

Ref.

Minderungsmaßnahme

1.1 und 3.1

Missbrauch von Berechtigungen durch Personal (Insider-Angriff)

M1

Auf Back-End-Systemen werden Sicherheitsmaßnahmen angewendet, um das Risiko eines Insider-Angriffs zu minimieren

1.2 und 3.3

Unbefugter Internetzugriff auf den Server (z. B. durch Backdoors, nicht gepatchte Systemsoftwareschwachstellen, SQL-Angriffe oder andere Mittel)

M2

Auf Back-End-Systemen werden Sicherheitsmaßnahmen angewendet, um den unbefugten Zugriff zu minimieren. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

1.3 und 3.4

Unbefugter physischer Zugriff auf den Server (z. B. mittels USB-Sticks oder anderer Datenträger, die sich mit dem Server verbinden)

M8

Das Systemdesign und die Zugangskontrolle müssen so ausgelegt sein, dass Unbefugte nicht auf personenbezogene oder systemkritische Daten zugreifen können

2.1

Ein Angriff auf einen Backend-Server führt zu dessen Ausfall; dadurch wird z. B. die Interaktion mit Fahrzeugen und die Bereitstellung von Diensten, auf die diese angewiesen sind, verhindert

M3

An Back-End-Systemen sind Sicherheitsmaßnahmen anzuwenden. Wenn Back-End-Server unabdingbar für die Bereitstellung von Diensten sind, sind Wiederherstellungsmaßnahmen für den Fall von Systemausfällen vorzusehen. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

3.2

Verlust von Informationen in der Cloud. Sensible Daten, die durch Drittanbieter von Cloud-Diensten gespeichert werden, können durch Angriffe oder Pannen verloren gehen

M4

Es werden Sicherheitsmaßnahmen angewendet, um mit dem Cloud-Computing verbundene Risiken zu minimieren. Beispiele für Sicherheitsmaßnahmen bieten das OWASP und der Leitfaden für Cloud-Sicherheit (Cloud Security Guidance) der britischen NCSC

3.5

Informationssicherheitslücken durch unbeabsichtigte Weitergabe von Daten (z. B. durch Administratorfehler, Serveraufstellung in Garagen)

M5

Auf Back-End-Systemen werden Sicherheitsmaßnahmen angewendet, um Datenpannen zu verhindern. Beispiele für Sicherheitsmaßnahmen bietet das OWASP

| 2. | Risikominderungsmaßnahmen bezüglich unbeabsichtigter menschlicher Handlungen
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen sind in Tabelle C2 aufgeführt.

  Tabelle C2


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 15.1 | Ein unschuldiges Opfer (z. B. Eigentümer, Bediener oder Wartungstechniker) wird zu einer Aktion verleitet, mit der unbeabsichtigt Malware geladen oder ein Angriff ermöglicht wird | M18 | Es sind Maßnahmen zur Festlegung und Kontrolle von Nutzerrollen und Zugriffsrechten nach dem Least-Privilege-Prinzip vorzusehen |
| 15.2 | Festgelegte Sicherheitsverfahren werden nicht befolgt | M19 | Die Organisationen sorgen dafür, dass Sicherheitsverfahren festgelegt und befolgt werden, einschließlich der Protokollierung von Operationen und des Zugriffs im Zusammenhang mit der Verwaltung der Sicherheitsfunktionen |

2.

Risikominderungsmaßnahmen bezüglich unbeabsichtigter menschlicher Handlungen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen sind in Tabelle C2 aufgeführt.

Tabelle C2

Tabelle C2

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit unbeabsichtigten menschlichen Handlungen

Ref.

Minderungsmaßnahme

15.1

Ein unschuldiges Opfer (z. B. Eigentümer, Bediener oder Wartungstechniker) wird zu einer Aktion verleitet, mit der unbeabsichtigt Malware geladen oder ein Angriff ermöglicht wird

M18

Es sind Maßnahmen zur Festlegung und Kontrolle von Nutzerrollen und Zugriffsrechten nach dem Least-Privilege-Prinzip vorzusehen

15.2

Festgelegte Sicherheitsverfahren werden nicht befolgt

M19

Die Organisationen sorgen dafür, dass Sicherheitsverfahren festgelegt und befolgt werden, einschließlich der Protokollierung von Operationen und des Zugriffs im Zusammenhang mit der Verwaltung der Sicherheitsfunktionen

| 3. | Risikominderungsmaßnahmen bezüglich physischen Datenverlusten
  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit physischen Datenverlusten sind in Tabelle C3 aufgeführt.

  Tabelle C3


  Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit physischen Datenverlusten









  Referenz Tabelle A1 | Bedrohungen im Zusammenhang mit physischen Datenverlusten | Ref. | Minderungsmaßnahme |
| --- | --- | --- | --- | --- |
| 30.1 | Verursachung von Schäden durch Dritte. Durch physische Schäden, die etwa bei Verkehrsunfällen oder Diebstahl entstehen, können sensible Daten verloren gehen oder beeinträchtigt werden | M24 | Bei der Speicherung personenbezogener Daten sind bewährte Verfahren zum Schutz der Datenintegrität und -vertraulichkeit zu befolgen. Beispiele für Sicherheitsmaßnahmen bietet das ISO/SC27/WG5 |
| 30.2 | Verluste durch DRM-Konflikte (Digital Right Management, digitale Rechteverwaltung). Benutzerdaten können aufgrund von DRM-Problemen gelöscht werden |
| 30.3 | Sensible Daten bzw. deren Integrität können durch Abnutzung von IT-Komponenten verloren gehen, was zu kaskadierenden Problemen führen kann (z. B. bei Schlüsseländerungen) |

3.

Risikominderungsmaßnahmen bezüglich physischen Datenverlusten

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit physischen Datenverlusten sind in Tabelle C3 aufgeführt.

Tabelle C3

Tabelle C3

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit physischen Datenverlusten

Minderungsmaßnahmen für Bedrohungen im Zusammenhang mit physischen Datenverlusten

Referenz Tabelle A1

Bedrohungen im Zusammenhang mit physischen Datenverlusten

Ref.

Minderungsmaßnahme

30.1

Verursachung von Schäden durch Dritte. Durch physische Schäden, die etwa bei Verkehrsunfällen oder Diebstahl entstehen, können sensible Daten verloren gehen oder beeinträchtigt werden

M24

Bei der Speicherung personenbezogener Daten sind bewährte Verfahren zum Schutz der Datenintegrität und -vertraulichkeit zu befolgen. Beispiele für Sicherheitsmaßnahmen bietet das ISO/SC27/WG5

30.2

Verluste durch DRM-Konflikte (Digital Right Management, digitale Rechteverwaltung). Benutzerdaten können aufgrund von DRM-Problemen gelöscht werden

30.3

Sensible Daten bzw. deren Integrität können durch Abnutzung von IT-Komponenten verloren gehen, was zu kaskadierenden Problemen führen kann (z. B. bei Schlüsseländerungen)

---

| 9.3.2021 | DE | Amtsblatt der Europäischen Union | L 82/60 |
| --- | --- | --- | --- |

9.3.2021

DE

Amtsblatt der Europäischen Union

L 82/60

---

Nur die von der UNECE verabschiedeten Originalfassungen sind international rechtsverbindlich. Der Status dieser Regelung und das Datum ihres Inkrafttretens sind der neuesten Fassung des UNECE-Statusdokuments TRANS/WP.29/343 zu entnehmen, das von folgender Website abgerufen werden kann: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

UN-Regelung Nr. 156 — Einheitliche Bestimmungen für die Genehmigung von Kraftfahrzeugen hinsichtlich der Softwareaktualisierung und des Softwareaktualisierungsmanagementsystems [2021/388]

Datum des Inkrafttretens: 22. Januar 2021

Dieses Dokument ist lediglich eine Dokumentationsquelle. Der rechtsverbindliche Originaltext ist: ECE/TRANS/WP.29/2020/80.

INHALT

REGELUNG

| 1. | Anwendungsbereich |
| --- | --- |

1.

| 2. | Begriffsbestimmungen |
| --- | --- |

2.

| 3. | Antrag auf Genehmigung |
| --- | --- |

3.

| 4. | Kennzeichnungen |
| --- | --- |

4.

| 5. | Genehmigung |
| --- | --- |

5.

| 6. | Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem |
| --- | --- |

6.

| 7. | Allgemeine Vorschriften |
| --- | --- |

7.

| 8. | Änderung des Fahrzeugtyps und Erweiterung der Typgenehmigung |
| --- | --- |

8.

| 9. | Übereinstimmung der Produktion |
| --- | --- |

9.

| 10. | Maßnahmen bei Abweichungen der Produktion |
| --- | --- |

10.

| 11. | Endgültige Einstellung der Produktion |
| --- | --- |

11.

| 12. | Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden |
| --- | --- |

12.

ANHÄNGE

| 1 | Beschreibungsbogen
  Anlage 1 Muster einer Konformitätserklärung für das Softwareaktualisierungsmanagementsystem |
| --- | --- |

1

Beschreibungsbogen

Anlage 1 Muster einer Konformitätserklärung für das Softwareaktualisierungsmanagementsystem

| 2 | Mitteilung |
| --- | --- |

2

| 3 | Anordnung des Genehmigungszeichens |
| --- | --- |

3

| 4 | Muster der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem |
| --- | --- |

4

1.   ANWENDUNGSBEREICH

| 1.1. | Diese Regelung gilt für Fahrzeuge der Klassen (1) M, N, O, R, S und T, bei denen Softwareaktualisierungen möglich sind. |
| --- | --- |

1.1.

Diese Regelung gilt für Fahrzeuge der Klassen (1

2.   BEGRIFFSBESTIMMUNGEN

| 2.1. | „Fahrzeugtyp“ bezeichnet Fahrzeuge, die sich zumindest in folgender Hinsicht nicht voneinander unterscheiden:






  a) | vom Hersteller angegebene Bezeichnung des Fahrzeugtyps, |
| --- | --- | --- |

2.1.

„Fahrzeugtyp“ bezeichnet Fahrzeuge, die sich zumindest in folgender Hinsicht nicht voneinander unterscheiden:

a)

vom Hersteller angegebene Bezeichnung des Fahrzeugtyps,

| b) | wesentliche Merkmale der Konzeption des Fahrzeugtyps in Bezug auf die Verfahren zur Softwareaktualisierung. |
| --- | --- |

b)

wesentliche Merkmale der Konzeption des Fahrzeugtyps in Bezug auf die Verfahren zur Softwareaktualisierung.

| 2.2. | „RX-Software-Identifikationsnummer“ bezeichnet eine vom Fahrzeughersteller festgelegte spezielle Identifikationsnummer, die Informationen über die für die Typgenehmigung relevante Software des elektronischen Steuersystems enthält und zu einem für die Typgenehmigung nach Regelung Nr. X maßgeblichen Merkmal des Fahrzeugs gehört. |
| --- | --- |

2.2.

„RX-Software-Identifikationsnummer“ bezeichnet eine vom Fahrzeughersteller festgelegte spezielle Identifikationsnummer, die Informationen über die für die Typgenehmigung relevante Software des elektronischen Steuersystems enthält und zu einem für die Typgenehmigung nach Regelung Nr. X maßgeblichen Merkmal des Fahrzeugs gehört.

| 2.3. | „Softwareaktualisierung“ bezeichnet ein Paket, das für das Upgrade auf eine neue Version verwendet wird; dies schließt eine Änderung der Konfigurationsparameter ein. |
| --- | --- |

2.3.

„Softwareaktualisierung“ bezeichnet ein Paket, das für das Upgrade auf eine neue Version verwendet wird; dies schließt eine Änderung der Konfigurationsparameter ein.

| 2.4. | „Durchführung“ bezeichnet das Verfahren zur Installation und Aktivierung einer Aktualisierung, die heruntergeladen wurde. |
| --- | --- |

2.4.

„Durchführung“ bezeichnet das Verfahren zur Installation und Aktivierung einer Aktualisierung, die heruntergeladen wurde.

| 2.5. | „Softwareaktualisierungsmanagementsystem“ bezeichnet einen systematischen Ansatz zur Festlegung organisatorischer Verfahren und Vorgänge, um den Anforderungen an die Bereitstellung von Softwareaktualisierungen gemäß dieser Regelung zu entsprechen. |
| --- | --- |

2.5.

„Softwareaktualisierungsmanagementsystem“ bezeichnet einen systematischen Ansatz zur Festlegung organisatorischer Verfahren und Vorgänge, um den Anforderungen an die Bereitstellung von Softwareaktualisierungen gemäß dieser Regelung zu entsprechen.

| 2.6. | „Fahrzeugnutzer“ bezeichnet eine Person, die das Fahrzeug bedient oder fährt, einen Fahrzeugbesitzer, einen bevollmächtigten Vertreter oder Mitarbeiter eines Flottenmanagers, einen bevollmächtigten Vertreter oder Mitarbeiter des Fahrzeugherstellers oder einen befugten Techniker. |
| --- | --- |

2.6.

„Fahrzeugnutzer“ bezeichnet eine Person, die das Fahrzeug bedient oder fährt, einen Fahrzeugbesitzer, einen bevollmächtigten Vertreter oder Mitarbeiter eines Flottenmanagers, einen bevollmächtigten Vertreter oder Mitarbeiter des Fahrzeugherstellers oder einen befugten Techniker.

| 2.7. | „Sicherer Zustand“ bezeichnet einen Betriebsmodus ohne unverhältnismäßiges Risiko bei Ausfall eines Merkmals. |
| --- | --- |

2.7.

„Sicherer Zustand“ bezeichnet einen Betriebsmodus ohne unverhältnismäßiges Risiko bei Ausfall eines Merkmals.

| 2.8. | „Software“ bezeichnet den Teil eines elektronischen Steuergeräts, der aus digitalen Daten und Befehlen besteht. |
| --- | --- |

2.8.

„Software“ bezeichnet den Teil eines elektronischen Steuergeräts, der aus digitalen Daten und Befehlen besteht.

| 2.9. | „Drahtloses Update“ bezeichnet jede Art der drahtlosen Übertragung von Daten anstelle der Verwendung eines Kabels oder einer anderen ortsgebundenen Verbindung. |
| --- | --- |

2.9.

„Drahtloses Update“ bezeichnet jede Art der drahtlosen Übertragung von Daten anstelle der Verwendung eines Kabels oder einer anderen ortsgebundenen Verbindung.

| 2.10. | „System“ bezeichnet einen Satz von Bauteilen und/oder Subsystemen, die eine oder mehrere Funktionen erfüllen. |
| --- | --- |

2.10.

„System“ bezeichnet einen Satz von Bauteilen und/oder Subsystemen, die eine oder mehrere Funktionen erfüllen.

| 2.11. | „Validierungsdaten für die Integrität“ bezeichnet eine Darstellung digitaler Daten, mit der Vergleiche zur Erkennung von Fehlern oder Änderungen der Daten angestellt werden können. Hierzu können Prüfsummen und Hashwerte gehören. |
| --- | --- |

2.11.

„Validierungsdaten für die Integrität“ bezeichnet eine Darstellung digitaler Daten, mit der Vergleiche zur Erkennung von Fehlern oder Änderungen der Daten angestellt werden können. Hierzu können Prüfsummen und Hashwerte gehören.

3.   ANTRAG AUF GENEHMIGUNG

| 3.1. | Der Antrag auf Genehmigung eines Fahrzeugtyps hinsichtlich der Verfahren zur Softwareaktualisierung ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen. |
| --- | --- |

3.1.

Der Antrag auf Genehmigung eines Fahrzeugtyps hinsichtlich der Verfahren zur Softwareaktualisierung ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen.

| 3.2. | Dem Antrag ist in dreifacher Ausfertigung Folgendes beizufügen: |
| --- | --- |

3.2.

Dem Antrag ist in dreifacher Ausfertigung Folgendes beizufügen:

| 3.3. | Eine Beschreibung des Fahrzeugtyps hinsichtlich der in Anhang 1 dieser Regelung genannten Merkmale. |
| --- | --- |

3.3.

Eine Beschreibung des Fahrzeugtyps hinsichtlich der in Anhang 1 dieser Regelung genannten Merkmale.

| 3.4. | Falls an den Beschreibungen nachweislich geistige Eigentumsrechte bestehen oder mit ihnen nachweislich spezifisches Know-how des Herstellers oder seiner Zulieferer preisgegeben wird, übermitteln der Hersteller oder seine Zulieferer Informationen, die für die in dieser Regelung genannten Überprüfungen ausreichend sind. Diese Informationen sind vertraulich zu behandeln. |
| --- | --- |

3.4.

Falls an den Beschreibungen nachweislich geistige Eigentumsrechte bestehen oder mit ihnen nachweislich spezifisches Know-how des Herstellers oder seiner Zulieferer preisgegeben wird, übermitteln der Hersteller oder seine Zulieferer Informationen, die für die in dieser Regelung genannten Überprüfungen ausreichend sind. Diese Informationen sind vertraulich zu behandeln.

| 3.5. | Die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem nach Nummer 6 dieser Regelung. |
| --- | --- |

3.5.

Die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem nach Nummer 6 dieser Regelung.

| 3.6. | Ein Fahrzeug, das dem zu genehmigenden Fahrzeugtyp entspricht, ist dem technischen Dienst, der die Prüfungen für die Genehmigung durchführt, zur Verfügung zu stellen. |
| --- | --- |

3.6.

Ein Fahrzeug, das dem zu genehmigenden Fahrzeugtyp entspricht, ist dem technischen Dienst, der die Prüfungen für die Genehmigung durchführt, zur Verfügung zu stellen.

| 3.7. | Die Dokumentation muss zwei Teile umfassen:






  a) | Die förmliche Dokumentation für die Genehmigung, einschließlich der in Anhang 1 genannten Unterlagen, die der Genehmigungsbehörde oder dem technischen Dienst zum Zeitpunkt der Einreichung des Antrags auf Typgenehmigung vorzulegen ist. Diese Dokumentation dient der Genehmigungsbehörde oder ihrem technischen Dienst als Grundlage für das Genehmigungsverfahren. Die Genehmigungsbehörde oder ihr technischer Dienst stellen sicher, dass diese Dokumentation mindestens 10 Jahre nach der endgültigen Einstellung der Produktion des Fahrzeugtyps verfügbar bleibt. |
| --- | --- | --- |

3.7.

Die Dokumentation muss zwei Teile umfassen:

a)

Die förmliche Dokumentation für die Genehmigung, einschließlich der in Anhang 1 genannten Unterlagen, die der Genehmigungsbehörde oder dem technischen Dienst zum Zeitpunkt der Einreichung des Antrags auf Typgenehmigung vorzulegen ist. Diese Dokumentation dient der Genehmigungsbehörde oder ihrem technischen Dienst als Grundlage für das Genehmigungsverfahren. Die Genehmigungsbehörde oder ihr technischer Dienst stellen sicher, dass diese Dokumentation mindestens 10 Jahre nach der endgültigen Einstellung der Produktion des Fahrzeugtyps verfügbar bleibt.

| b) | Zusätzliches Material, das für die Anforderungen dieser Regelung von Belang ist, kann vom Hersteller aufbewahrt werden, ist aber zum Zeitpunkt der Typgenehmigung zur Prüfung offenzulegen. Der Hersteller stellt sicher, dass zusätzliches Material, das zum Zeitpunkt der Typgenehmigung zur Prüfung offengelegt worden ist, für einen Zeitraum von mindestens 10 Jahren ab der endgültigen Einstellung der Produktion des Fahrzeugtyps verfügbar ist. |
| --- | --- |

b)

Zusätzliches Material, das für die Anforderungen dieser Regelung von Belang ist, kann vom Hersteller aufbewahrt werden, ist aber zum Zeitpunkt der Typgenehmigung zur Prüfung offenzulegen. Der Hersteller stellt sicher, dass zusätzliches Material, das zum Zeitpunkt der Typgenehmigung zur Prüfung offengelegt worden ist, für einen Zeitraum von mindestens 10 Jahren ab der endgültigen Einstellung der Produktion des Fahrzeugtyps verfügbar ist.

4.   KENNZEICHNUNG

| 4.1. | An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die auf dem Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen anzubringen, bestehend aus: |
| --- | --- |

4.1.

An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die auf dem Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen anzubringen, bestehend aus:

| 4.1.1. | einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat, (2) |
| --- | --- |

4.1.1.

einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat, (2

| 4.1.2. | der Nummer dieser Regelung, mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis gemäß Nummer 4.1.1. |
| --- | --- |

4.1.2.

der Nummer dieser Regelung, mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis gemäß Nummer 4.1.1.

| 4.2. | Entspricht das Fahrzeug einem Fahrzeugtyp, der nach einer oder mehreren anderen Regelungen zum Übereinkommen in dem Land genehmigt wurde, das die Genehmigung nach dieser Regelung erteilt hat, dann braucht das Zeichen nach Nummer 4.1.1 nicht wiederholt zu werden; in diesem Fall sind die Regelungs- und Genehmigungsnummern und die zusätzlichen Zeichen aller Regelungen, aufgrund deren die Genehmigung in dem Land erteilt wurde, das die Genehmigung nach dieser Regelung erteilt hat, untereinander rechts neben dem Zeichen nach Nummer 4.1.1 anzuordnen. |
| --- | --- |

4.2.

Entspricht das Fahrzeug einem Fahrzeugtyp, der nach einer oder mehreren anderen Regelungen zum Übereinkommen in dem Land genehmigt wurde, das die Genehmigung nach dieser Regelung erteilt hat, dann braucht das Zeichen nach Nummer 4.1.1 nicht wiederholt zu werden; in diesem Fall sind die Regelungs- und Genehmigungsnummern und die zusätzlichen Zeichen aller Regelungen, aufgrund deren die Genehmigung in dem Land erteilt wurde, das die Genehmigung nach dieser Regelung erteilt hat, untereinander rechts neben dem Zeichen nach Nummer 4.1.1 anzuordnen.

| 4.3. | Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein. |
| --- | --- |

4.3.

Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein.

| 4.4. | Das Genehmigungszeichen ist auf dem vom Hersteller angebrachten Typenschild des Fahrzeugs oder in dessen Nähe anzugeben. |
| --- | --- |

4.4.

Das Genehmigungszeichen ist auf dem vom Hersteller angebrachten Typenschild des Fahrzeugs oder in dessen Nähe anzugeben.

| 4.5. | Anhang 3 dieser Regelung enthält Muster der Genehmigungszeichen. |
| --- | --- |

4.5.

Anhang 3 dieser Regelung enthält Muster der Genehmigungszeichen.

5.   GENEHMIGUNG

| 5.1. | Die Typgenehmigungsbehörden erteilen gegebenenfalls die Typgenehmigung hinsichtlich der Vorgänge und Verfahren zur Softwareaktualisierung, jedoch nur für Fahrzeugtypen, die den Anforderungen dieser Regelung entsprechen. |
| --- | --- |

5.1.

Die Typgenehmigungsbehörden erteilen gegebenenfalls die Typgenehmigung hinsichtlich der Vorgänge und Verfahren zur Softwareaktualisierung, jedoch nur für Fahrzeugtypen, die den Anforderungen dieser Regelung entsprechen.

| 5.1.1. | Die Genehmigungsbehörde oder der technische Dienst überprüft durch Prüfung eines Fahrzeugs des Fahrzeugtyps, dass der Fahrzeughersteller die von ihnen dokumentierten Maßnahmen umgesetzt hat. Die Prüfungen sind von der Genehmigungsbehörde oder dem technischen Dienst selbst oder in Zusammenarbeit mit dem Fahrzeughersteller anhand von Stichproben durchzuführen. |
| --- | --- |

5.1.1.

Die Genehmigungsbehörde oder der technische Dienst überprüft durch Prüfung eines Fahrzeugs des Fahrzeugtyps, dass der Fahrzeughersteller die von ihnen dokumentierten Maßnahmen umgesetzt hat. Die Prüfungen sind von der Genehmigungsbehörde oder dem technischen Dienst selbst oder in Zusammenarbeit mit dem Fahrzeughersteller anhand von Stichproben durchzuführen.

| 5.2. | Über die Erteilung oder Erweiterung oder Versagung einer Genehmigung für einen Fahrzeugtyp nach dieser Regelung sind die Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 2 dieser Regelung entspricht. |
| --- | --- |

5.2.

Über die Erteilung oder Erweiterung oder Versagung einer Genehmigung für einen Fahrzeugtyp nach dieser Regelung sind die Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 2 dieser Regelung entspricht.

| 5.3. | Die Genehmigungsbehörden dürfen keine Typgenehmigung erteilen, ohne sicherzustellen, dass der Hersteller ausreichende Vorkehrungen getroffen und Vorgänge eingerichtet hat, um die von dieser Regelung abgedeckten Aspekte der Verfahren zur Softwareaktualisierung ordnungsgemäß zu verwalten. |
| --- | --- |

5.3.

Die Genehmigungsbehörden dürfen keine Typgenehmigung erteilen, ohne sicherzustellen, dass der Hersteller ausreichende Vorkehrungen getroffen und Vorgänge eingerichtet hat, um die von dieser Regelung abgedeckten Aspekte der Verfahren zur Softwareaktualisierung ordnungsgemäß zu verwalten.

6.   KONFORMITÄTSBESCHEINIGUNG FÜR DAS SOFTWAREAKTUALISIERUNGSMANAGEMENTSYSTEM

| 6.1. | Die Vertragsparteien benennen eine Genehmigungsbehörde, die die Bewertung des Herstellers durchführt und eine Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem ausstellt. |
| --- | --- |

6.1.

Die Vertragsparteien benennen eine Genehmigungsbehörde, die die Bewertung des Herstellers durchführt und eine Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem ausstellt.

| 6.2. | Der Antrag auf Ausstellung einer Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen. |
| --- | --- |

6.2.

Der Antrag auf Ausstellung einer Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem ist vom Fahrzeughersteller oder seinem ordentlich bevollmächtigten Vertreter einzureichen.

| 6.3. | Dem Antrag ist in dreifacher Ausfertigung Folgendes beizufügen: |
| --- | --- |

6.3.

Dem Antrag ist in dreifacher Ausfertigung Folgendes beizufügen:

| 6.3.1. | Unterlagen, in denen das Softwareaktualisierungsmanagementsystem beschrieben wird. |
| --- | --- |

6.3.1.

Unterlagen, in denen das Softwareaktualisierungsmanagementsystem beschrieben wird.

| 6.3.2. | Eine unterschriebene Erklärung nach dem Muster in Anlage 1 Anhang 1. |
| --- | --- |

6.3.2.

Eine unterschriebene Erklärung nach dem Muster in Anlage 1 Anhang 1.

| 6.4. | Im Rahmen der Bewertung erklärt der Hersteller unter Verwendung des Musters nach Anlage 1 Anhang 1 und weist zur Zufriedenheit der Genehmigungsbehörde oder des technischen Dienstes nach, dass er die erforderlichen Verfahren eingerichtet hat, um alle Anforderungen an Softwareaktualisierungen gemäß der vorliegenden Regelung zu erfüllen. |
| --- | --- |

6.4.

Im Rahmen der Bewertung erklärt der Hersteller unter Verwendung des Musters nach Anlage 1 Anhang 1 und weist zur Zufriedenheit der Genehmigungsbehörde oder des technischen Dienstes nach, dass er die erforderlichen Verfahren eingerichtet hat, um alle Anforderungen an Softwareaktualisierungen gemäß der vorliegenden Regelung zu erfüllen.

| 6.5. | Wurde diese Bewertung zufriedenstellend abgeschlossen und ist eine unterzeichnete Erklärung des Herstellers nach dem Muster in Anlage 1 Anhang 1 eingegangen, so wird dem Hersteller eine Bescheinigung mit der Bezeichnung Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem gemäß Anhang 4 dieser Regelung (im Folgenden „Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem“) ausgestellt. |
| --- | --- |

6.5.

Wurde diese Bewertung zufriedenstellend abgeschlossen und ist eine unterzeichnete Erklärung des Herstellers nach dem Muster in Anlage 1 Anhang 1 eingegangen, so wird dem Hersteller eine Bescheinigung mit der Bezeichnung Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem gemäß Anhang 4 dieser Regelung (im Folgenden „Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem“) ausgestellt.

| 6.6. | Die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem bleibt höchstens drei Jahre ab dem Datum der Ausstellung der Bescheinigung gültig, sofern sie nicht vorher widerrufen wird. |
| --- | --- |

6.6.

Die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem bleibt höchstens drei Jahre ab dem Datum der Ausstellung der Bescheinigung gültig, sofern sie nicht vorher widerrufen wird.

| 6.7. | Die Genehmigungsbehörde, die die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem erteilt hat, kann jederzeit überprüfen, ob die Anforderungen weiterhin erfüllt sind. Die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem kann zurückgenommen werden, wenn die Anforderungen dieser Verordnung nicht mehr erfüllt sind. |
| --- | --- |

6.7.

Die Genehmigungsbehörde, die die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem erteilt hat, kann jederzeit überprüfen, ob die Anforderungen weiterhin erfüllt sind. Die Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem kann zurückgenommen werden, wenn die Anforderungen dieser Verordnung nicht mehr erfüllt sind.

| 6.8. | Der Hersteller unterrichtet die Genehmigungsbehörde oder den technischen Dienst über jede Änderung, die sich auf die Relevanz der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem auswirkt. Nach Rücksprache mit dem Hersteller entscheidet die Genehmigungsbehörde oder der technische Dienst, ob neue Prüfungen erforderlich sind. |
| --- | --- |

6.8.

Der Hersteller unterrichtet die Genehmigungsbehörde oder den technischen Dienst über jede Änderung, die sich auf die Relevanz der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem auswirkt. Nach Rücksprache mit dem Hersteller entscheidet die Genehmigungsbehörde oder der technische Dienst, ob neue Prüfungen erforderlich sind.

| 6.9. | Nach Ablauf der Gültigkeitsdauer der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem stellt die Genehmigungsbehörde bei positiver Bewertung eine neue Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem aus oder verlängert deren Gültigkeit um einen weiteren Zeitraum von drei Jahren. Die Genehmigungsbehörde stellt eine neue Bescheinigung aus, wenn der Genehmigungsbehörde oder dem technischen Dienst Änderungen mitgeteilt wurden und die Neubewertung positiv ausfällt. |
| --- | --- |

6.9.

Nach Ablauf der Gültigkeitsdauer der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem stellt die Genehmigungsbehörde bei positiver Bewertung eine neue Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem aus oder verlängert deren Gültigkeit um einen weiteren Zeitraum von drei Jahren. Die Genehmigungsbehörde stellt eine neue Bescheinigung aus, wenn der Genehmigungsbehörde oder dem technischen Dienst Änderungen mitgeteilt wurden und die Neubewertung positiv ausfällt.

| 6.10. | Bestehende Fahrzeugtypgenehmigungen verlieren ihre Gültigkeit bei Ablauf der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem nicht. |
| --- | --- |

6.10.

Bestehende Fahrzeugtypgenehmigungen verlieren ihre Gültigkeit bei Ablauf der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem nicht.

7.   ALLGEMEINE VORSCHRIFTEN

| 7.1. | Anforderungen an das Softwareaktualisierungsmanagementsystem des Fahrzeugherstellers |
| --- | --- |

7.1.

Anforderungen an das Softwareaktualisierungsmanagementsystem des Fahrzeugherstellers

| 7.1.1. | Bei der Anfangsbewertung zu überprüfende Verfahren |
| --- | --- |

7.1.1.

Bei der Anfangsbewertung zu überprüfende Verfahren

| 7.1.1.1. | Ein Verfahren, bei dem die für diese Regelung relevanten Informationen dokumentiert und beim Fahrzeughersteller geschützt aufbewahrt werden und einer Genehmigungsbehörde oder einem technischen Dienst auf Anfrage zur Verfügung gestellt werden können. |
| --- | --- |

7.1.1.1.

Ein Verfahren, bei dem die für diese Regelung relevanten Informationen dokumentiert und beim Fahrzeughersteller geschützt aufbewahrt werden und einer Genehmigungsbehörde oder einem technischen Dienst auf Anfrage zur Verfügung gestellt werden können.

| 7.1.1.2. | Ein Verfahren, bei dem Informationen hinsichtlich aller ursprünglichen und aktualisierten Softwareversionen, einschließlich Validierungsdaten für die Integrität und einschlägige Hardwarekomponenten eines typgenehmigten Systems, eindeutig identifiziert werden können. |
| --- | --- |

7.1.1.2.

Ein Verfahren, bei dem Informationen hinsichtlich aller ursprünglichen und aktualisierten Softwareversionen, einschließlich Validierungsdaten für die Integrität und einschlägige Hardwarekomponenten eines typgenehmigten Systems, eindeutig identifiziert werden können.

| 7.1.1.3. | Ein Verfahren, mit dem für einen Fahrzeugtyp mit einer RX-Software-Identifikationsnummer Informationen hinsichtlich der RX-Software-Identifikationsnummer des Fahrzeugtyps vor und nach einer Aktualisierung abgerufen und aktualisiert werden können. Dazu gehört die Fähigkeit, Informationen zu den Softwareversionen und Validierungsdaten für die Integrität aller relevanten Software für jede RX-Software-Identifikationsnummer zu aktualisieren. |
| --- | --- |

7.1.1.3.

Ein Verfahren, mit dem für einen Fahrzeugtyp mit einer RX-Software-Identifikationsnummer Informationen hinsichtlich der RX-Software-Identifikationsnummer des Fahrzeugtyps vor und nach einer Aktualisierung abgerufen und aktualisiert werden können. Dazu gehört die Fähigkeit, Informationen zu den Softwareversionen und Validierungsdaten für die Integrität aller relevanten Software für jede RX-Software-Identifikationsnummer zu aktualisieren.

| 7.1.1.4. | Ein Verfahren, mit dem der Fahrzeughersteller für einen Fahrzeugtyp, der über eine RX-Software-Identifikationsnummer verfügt, überprüfen kann, ob die Softwareversionen, die auf einem Bauteil eines typgenehmigten Systems vorhanden sind, mit den in der entsprechenden RX-Software-Identifikationsnummer definierten übereinstimmt. |
| --- | --- |

7.1.1.4.

Ein Verfahren, mit dem der Fahrzeughersteller für einen Fahrzeugtyp, der über eine RX-Software-Identifikationsnummer verfügt, überprüfen kann, ob die Softwareversionen, die auf einem Bauteil eines typgenehmigten Systems vorhanden sind, mit den in der entsprechenden RX-Software-Identifikationsnummer definierten übereinstimmt.

| 7.1.1.5. | Ein Verfahren, mit dem wechselseitige Abhängigkeiten zwischen dem aktualisierten System und anderen Systemen festgestellt werden können. |
| --- | --- |

7.1.1.5.

Ein Verfahren, mit dem wechselseitige Abhängigkeiten zwischen dem aktualisierten System und anderen Systemen festgestellt werden können.

| 7.1.1.6. | Ein Verfahren, das es dem Fahrzeughersteller ermöglicht, Zielfahrzeuge für eine Softwareaktualisierung zu identifizieren. |
| --- | --- |

7.1.1.6.

Ein Verfahren, das es dem Fahrzeughersteller ermöglicht, Zielfahrzeuge für eine Softwareaktualisierung zu identifizieren.

| 7.1.1.7. | Ein Verfahren, mit dem die Kompatibilität einer Softwareaktualisierung mit der Konfiguration der Zielfahrzeuge vor der Veröffentlichung/Herausgabe bestätigt werden kann. Dazu gehört auch, dass vor der Veröffentlichung eine Bewertung vorgenommen wird, ob die letzte bekannte Software- bzw. Hardware-Konfiguration der Zielfahrzeuge mit der Aktualisierung kompatibel ist. |
| --- | --- |

7.1.1.7.

Ein Verfahren, mit dem die Kompatibilität einer Softwareaktualisierung mit der Konfiguration der Zielfahrzeuge vor der Veröffentlichung/Herausgabe bestätigt werden kann. Dazu gehört auch, dass vor der Veröffentlichung eine Bewertung vorgenommen wird, ob die letzte bekannte Software- bzw. Hardware-Konfiguration der Zielfahrzeuge mit der Aktualisierung kompatibel ist.

| 7.1.1.8. | Ein Verfahren zur Bewertung, Identifizierung und Protokollierung, ob eine Softwareaktualisierung Auswirkungen auf typgenehmigte Systeme haben wird. Dabei ist zu prüfen, ob die Aktualisierung einen der Parameter beeinflusst oder ändert, die zur Festlegung der Systeme verwendet werden, auf die sich die Aktualisierung auswirken könnte, oder ob sie einen der Parameter ändert, die zur Typgenehmigung dieses Systems verwendet werden (wie in den einschlägigen Rechtsvorschriften festgelegt). |
| --- | --- |

7.1.1.8.

Ein Verfahren zur Bewertung, Identifizierung und Protokollierung, ob eine Softwareaktualisierung Auswirkungen auf typgenehmigte Systeme haben wird. Dabei ist zu prüfen, ob die Aktualisierung einen der Parameter beeinflusst oder ändert, die zur Festlegung der Systeme verwendet werden, auf die sich die Aktualisierung auswirken könnte, oder ob sie einen der Parameter ändert, die zur Typgenehmigung dieses Systems verwendet werden (wie in den einschlägigen Rechtsvorschriften festgelegt).

| 7.1.1.9. | Ein Verfahren zur Bewertung, Identifizierung und Protokollierung, ob eine Softwareaktualisierung Funktionen, die zum Zeitpunkt der Typgenehmigung des Fahrzeugs nicht vorhanden oder aktiviert waren, hinzufügen, verändern oder aktivieren wird oder andere Parameter oder Funktionen, die in den Rechtsvorschriften festgelegt sind, verändern oder deaktivieren wird. Im Rahmen der Bewertung wird auch geprüft, ob






  a) | die Angaben in den Beschreibungsunterlagen geändert werden müssen, |
| --- | --- | --- |

7.1.1.9.

Ein Verfahren zur Bewertung, Identifizierung und Protokollierung, ob eine Softwareaktualisierung Funktionen, die zum Zeitpunkt der Typgenehmigung des Fahrzeugs nicht vorhanden oder aktiviert waren, hinzufügen, verändern oder aktivieren wird oder andere Parameter oder Funktionen, die in den Rechtsvorschriften festgelegt sind, verändern oder deaktivieren wird. Im Rahmen der Bewertung wird auch geprüft, ob

a)

die Angaben in den Beschreibungsunterlagen geändert werden müssen,

| b) | Prüfergebnisse sich nach der Änderung nicht mehr auf das Fahrzeug beziehen, |
| --- | --- |

b)

Prüfergebnisse sich nach der Änderung nicht mehr auf das Fahrzeug beziehen,

| c) | eine Veränderung der Fahrzeugfunktionen Auswirkungen auf die Typgenehmigung des Fahrzeugs hat. |
| --- | --- |

c)

eine Veränderung der Fahrzeugfunktionen Auswirkungen auf die Typgenehmigung des Fahrzeugs hat.

| 7.1.1.10. | Ein Verfahren zur Bewertung, Identifizierung und Aufzeichnung, ob eine Softwareaktualisierung ein anderes System beeinträchtigt, das für den sicheren und kontinuierlichen Betrieb des Fahrzeugs erforderlich ist, oder ob durch die Aktualisierung im Vergleich zur Zulassung Fahrzeugfunktionen hinzugefügt oder verändert werden. |
| --- | --- |

7.1.1.10.

Ein Verfahren zur Bewertung, Identifizierung und Aufzeichnung, ob eine Softwareaktualisierung ein anderes System beeinträchtigt, das für den sicheren und kontinuierlichen Betrieb des Fahrzeugs erforderlich ist, oder ob durch die Aktualisierung im Vergleich zur Zulassung Fahrzeugfunktionen hinzugefügt oder verändert werden.

| 7.1.1.11. | Ein Verfahren, mit dem der Fahrzeugnutzer über Aktualisierungen informiert werden kann. |
| --- | --- |

7.1.1.11.

Ein Verfahren, mit dem der Fahrzeugnutzer über Aktualisierungen informiert werden kann.

| 7.1.1.12. | Ein Verfahren, mit dem der Fahrzeughersteller in der Lage ist, die Informationen nach den Nummern 7.1.2.3 und 7.1.2.4 den zuständigen Behörden oder den technischen Diensten zur Verfügung zu stellen. Dies kann dem Zweck der Typgenehmigung, der Übereinstimmung der Produktion, der Marktüberwachung, einem Rückruf oder der regelmäßigen technischen Überprüfung dienen. |
| --- | --- |

7.1.1.12.

Ein Verfahren, mit dem der Fahrzeughersteller in der Lage ist, die Informationen nach den Nummern 7.1.2.3 und 7.1.2.4 den zuständigen Behörden oder den technischen Diensten zur Verfügung zu stellen. Dies kann dem Zweck der Typgenehmigung, der Übereinstimmung der Produktion, der Marktüberwachung, einem Rückruf oder der regelmäßigen technischen Überprüfung dienen.

| 7.1.2. | Der Fahrzeughersteller protokolliert und speichert zu jeder Aktualisierung, die auf einen bestimmten Fahrzeugtyp angewendet wird, Folgendes: |
| --- | --- |

7.1.2.

Der Fahrzeughersteller protokolliert und speichert zu jeder Aktualisierung, die auf einen bestimmten Fahrzeugtyp angewendet wird, Folgendes:

| 7.1.2.1. | Unterlagen, die eine Beschreibung der Verfahren enthalten, die der Fahrzeughersteller zur Softwareaktualisierung nutzt sowie alle einschlägigen Normen, die zum Nachweis ihrer Konformität Anwendung finden. |
| --- | --- |

7.1.2.1.

Unterlagen, die eine Beschreibung der Verfahren enthalten, die der Fahrzeughersteller zur Softwareaktualisierung nutzt sowie alle einschlägigen Normen, die zum Nachweis ihrer Konformität Anwendung finden.

| 7.1.2.2. | Unterlagen, aus denen die Konfiguration einschlägiger typgenehmigter Systeme vor und nach einer Aktualisierung, einschließlich einer eindeutigen Kennung der Hardware und Software des typgenehmigten Systems (einschließlich Softwareversionen) und aller einschlägigen Fahrzeug- oder Systemparameter hervorgeht. |
| --- | --- |

7.1.2.2.

Unterlagen, aus denen die Konfiguration einschlägiger typgenehmigter Systeme vor und nach einer Aktualisierung, einschließlich einer eindeutigen Kennung der Hardware und Software des typgenehmigten Systems (einschließlich Softwareversionen) und aller einschlägigen Fahrzeug- oder Systemparameter hervorgeht.

| 7.1.2.3. | Für jede RX-Software-Identifikationsnummer existiert ein überprüfbares Register, in dem die gesamte für die RX-Software-Identifikationsnummer des Fahrzeugtyps relevante Software vor und nach einer Aktualisierung beschrieben wird. Dazu gehört die Beschreibung der Softwareversionen und Validierungsdaten für die Integrität aller relevanten Software für jede RX-Software-Identifikationsnummer. |
| --- | --- |

7.1.2.3.

Für jede RX-Software-Identifikationsnummer existiert ein überprüfbares Register, in dem die gesamte für die RX-Software-Identifikationsnummer des Fahrzeugtyps relevante Software vor und nach einer Aktualisierung beschrieben wird. Dazu gehört die Beschreibung der Softwareversionen und Validierungsdaten für die Integrität aller relevanten Software für jede RX-Software-Identifikationsnummer.

| 7.1.2.4. | Unterlagen, in denen die Zielfahrzeuge für die Aktualisierung aufgeführt und die Kompatibilität der letzten bekannten Konfiguration dieser Fahrzeuge mit der Aktualisierung bestätigt werden. |
| --- | --- |

7.1.2.4.

Unterlagen, in denen die Zielfahrzeuge für die Aktualisierung aufgeführt und die Kompatibilität der letzten bekannten Konfiguration dieser Fahrzeuge mit der Aktualisierung bestätigt werden.

| 7.1.2.5. | Unterlagen für alle Softwareaktualisierungen des betreffenden Fahrzeugtyps mit folgenden Angaben:






  a) | Zweck der Aktualisierung, |
| --- | --- | --- |

7.1.2.5.

Unterlagen für alle Softwareaktualisierungen des betreffenden Fahrzeugtyps mit folgenden Angaben:

a)

Zweck der Aktualisierung,

| b) | welche Systeme oder Funktionen des Fahrzeugs die Aktualisierung beeinflussen kann, |
| --- | --- |

b)

welche Systeme oder Funktionen des Fahrzeugs die Aktualisierung beeinflussen kann,

| c) | welche dieser Fahrzeuge typgenehmigt sind (falls zutreffend), |
| --- | --- |

c)

welche dieser Fahrzeuge typgenehmigt sind (falls zutreffend),

| d) | ob sich die Softwareaktualisierung auf die Erfüllung einer der einschlägigen Anforderungen dieses typgenehmigten Systems auswirkt (falls zutreffend), |
| --- | --- |

d)

ob sich die Softwareaktualisierung auf die Erfüllung einer der einschlägigen Anforderungen dieses typgenehmigten Systems auswirkt (falls zutreffend),

| e) | ob sich die Softwareaktualisierung auf Parameter für die Typgenehmigung des Systems auswirkt, |
| --- | --- |

e)

ob sich die Softwareaktualisierung auf Parameter für die Typgenehmigung des Systems auswirkt,

| f) | ob bei einer Genehmigungsbehörde eine Genehmigung für die Aktualisierung beantragt wurde, |
| --- | --- |

f)

ob bei einer Genehmigungsbehörde eine Genehmigung für die Aktualisierung beantragt wurde,

| g) | wie und unter welchen Bedingungen die Aktualisierung durchgeführt werden kann, |
| --- | --- |

g)

wie und unter welchen Bedingungen die Aktualisierung durchgeführt werden kann,

| h) | eine Bestätigung, dass die Softwareaktualisierung sicher und geschützt durchgeführt wird, |
| --- | --- |

h)

eine Bestätigung, dass die Softwareaktualisierung sicher und geschützt durchgeführt wird,

| i) | eine Bestätigung, dass die Softwareaktualisierung Verifizierungs- und Validierungsverfahren durchlaufen und erfolgreich bestanden hat. |
| --- | --- |

i)

eine Bestätigung, dass die Softwareaktualisierung Verifizierungs- und Validierungsverfahren durchlaufen und erfolgreich bestanden hat.

| 7.1.3. | Sicherheit — Der Fahrzeughersteller muss Folgendes darlegen: |
| --- | --- |

7.1.3.

Sicherheit — Der Fahrzeughersteller muss Folgendes darlegen:

| 7.1.3.1. | das Verfahren, das zur Anwendung kommt, um sicherzustellen, dass Softwareaktualisierungen vor Beginn des Verfahrens zur Aktualisierung nach vernünftigem Ermessen vor Manipulationen geschützt sind; |
| --- | --- |

7.1.3.1.

das Verfahren, das zur Anwendung kommt, um sicherzustellen, dass Softwareaktualisierungen vor Beginn des Verfahrens zur Aktualisierung nach vernünftigem Ermessen vor Manipulationen geschützt sind;

| 7.1.3.2. | dass die Verfahren zur Aktualisierung geschützt sind, damit nach vernünftigem Ermessen ausgeschlossen ist, dass sie beeinträchtigt werden; dies schließt die Entwicklung des Aktualisierungssystems ein; |
| --- | --- |

7.1.3.2.

dass die Verfahren zur Aktualisierung geschützt sind, damit nach vernünftigem Ermessen ausgeschlossen ist, dass sie beeinträchtigt werden; dies schließt die Entwicklung des Aktualisierungssystems ein;

| 7.1.3.3. | dass die Verfahren zur Überprüfung und Validierung der Funktionalität der Software und des Codes der im Fahrzeug verwendeten Software hierfür geeignet sind. |
| --- | --- |

7.1.3.3.

dass die Verfahren zur Überprüfung und Validierung der Funktionalität der Software und des Codes der im Fahrzeug verwendeten Software hierfür geeignet sind.

| 7.1.4. | Zusätzliche Anforderungen für drahtlose Softwareaktualisierungen |
| --- | --- |

7.1.4.

Zusätzliche Anforderungen für drahtlose Softwareaktualisierungen

| 7.1.4.1. | Der Fahrzeughersteller muss darlegen, welche Verfahren und Vorgänge er anwendet, um zu bewerten, dass drahtlose Aktualisierungen keine Auswirkungen auf die Sicherheit haben, wenn sie während der Fahrt durchgeführt werden. |
| --- | --- |

7.1.4.1.

Der Fahrzeughersteller muss darlegen, welche Verfahren und Vorgänge er anwendet, um zu bewerten, dass drahtlose Aktualisierungen keine Auswirkungen auf die Sicherheit haben, wenn sie während der Fahrt durchgeführt werden.

| 7.1.4.2. | Der Fahrzeughersteller muss darlegen, welche Verfahren und Vorgänge er anwendet, damit bei einer drahtlosen Aktualisierung, die eine bestimmte qualifizierte oder komplexe Handlung erfordert, z. B. bei der Nachkalibrierung eines Sensors nach seiner Programmierung, sichergestellt ist, dass die Aktualisierung nur dann fortgesetzt werden kann, wenn eine für diese Handlung qualifizierte Person anwesend ist oder das Verfahren kontrolliert. |
| --- | --- |

7.1.4.2.

Der Fahrzeughersteller muss darlegen, welche Verfahren und Vorgänge er anwendet, damit bei einer drahtlosen Aktualisierung, die eine bestimmte qualifizierte oder komplexe Handlung erfordert, z. B. bei der Nachkalibrierung eines Sensors nach seiner Programmierung, sichergestellt ist, dass die Aktualisierung nur dann fortgesetzt werden kann, wenn eine für diese Handlung qualifizierte Person anwesend ist oder das Verfahren kontrolliert.

| 7.2. | Vorschriften für den Fahrzeugtyp |
| --- | --- |

7.2.

Vorschriften für den Fahrzeugtyp

| 7.2.1. | Vorschriften für Softwareaktualisierungen |
| --- | --- |

7.2.1.

Vorschriften für Softwareaktualisierungen

| 7.2.1.1. | Die Authentizität und Integrität von Softwareaktualisierungen sind so zu schützen, dass sowohl ihre Beeinträchtigung als auch eine ungültige Aktualisierung nach vernünftigem Ermessen ausgeschlossen sind. |
| --- | --- |

7.2.1.1.

Die Authentizität und Integrität von Softwareaktualisierungen sind so zu schützen, dass sowohl ihre Beeinträchtigung als auch eine ungültige Aktualisierung nach vernünftigem Ermessen ausgeschlossen sind.

| 7.2.1.2. | Wenn für einen Fahrzeugtyp eine RX-Software-Identifikationsnummer genutzt wird: |
| --- | --- |

7.2.1.2.

Wenn für einen Fahrzeugtyp eine RX-Software-Identifikationsnummer genutzt wird:

| 7.2.1.2.1. | Jede RX-Software-Identifikationsnummer muss eindeutig identifizierbar sein. Wenn die für die Typgenehmigung relevante Software vom Fahrzeughersteller geändert wird, muss die RX-Software-Identifikationsnummer aktualisiert werden, wenn dies zu einer Erweiterung der Typgenehmigung oder zu einer neuen Typgenehmigung führt. |
| --- | --- |

7.2.1.2.1.

Jede RX-Software-Identifikationsnummer muss eindeutig identifizierbar sein. Wenn die für die Typgenehmigung relevante Software vom Fahrzeughersteller geändert wird, muss die RX-Software-Identifikationsnummer aktualisiert werden, wenn dies zu einer Erweiterung der Typgenehmigung oder zu einer neuen Typgenehmigung führt.

| 7.2.1.2.2. | Jede RX-Software-Identifikationsnummer muss über eine elektronische Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Port), in standardisierter Form leicht lesbar sein.
  Sind die RX-Software-Identifikationsnummern nicht am Fahrzeug vorhanden, muss der Hersteller der Genehmigungsbehörde die Softwareversionen des Fahrzeugs oder einzelner Motorsteuergeräte in Verbindung mit den betreffenden Typgenehmigungen darlegen. Diese Erklärung muss bei jeder Aktualisierung der angegebenen Softwareversionen aktualisiert werden. In diesem Fall müssen die Softwareversionen über eine elektronische Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Port), in standardisierter Form leicht lesbar sein. |
| --- | --- |

7.2.1.2.2.

Jede RX-Software-Identifikationsnummer muss über eine elektronische Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Port), in standardisierter Form leicht lesbar sein.

Sind die RX-Software-Identifikationsnummern nicht am Fahrzeug vorhanden, muss der Hersteller der Genehmigungsbehörde die Softwareversionen des Fahrzeugs oder einzelner Motorsteuergeräte in Verbindung mit den betreffenden Typgenehmigungen darlegen. Diese Erklärung muss bei jeder Aktualisierung der angegebenen Softwareversionen aktualisiert werden. In diesem Fall müssen die Softwareversionen über eine elektronische Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Port), in standardisierter Form leicht lesbar sein.

| 7.2.1.2.3. | Der Fahrzeughersteller muss die RX-Software-Identifikationsnummern bzw. Softwareversionen am Fahrzeug vor unbefugten Veränderungen schützen. Zum Zeitpunkt der Typgenehmigung sind die vom Fahrzeughersteller zum Schutz gegen unbefugte Veränderungen der RX-Software-Identifikationsnummern bzw. Softwareversionen gewählten Mittel vertraulich zur Verfügung zu stellen. |
| --- | --- |

7.2.1.2.3.

Der Fahrzeughersteller muss die RX-Software-Identifikationsnummern bzw. Softwareversionen am Fahrzeug vor unbefugten Veränderungen schützen. Zum Zeitpunkt der Typgenehmigung sind die vom Fahrzeughersteller zum Schutz gegen unbefugte Veränderungen der RX-Software-Identifikationsnummern bzw. Softwareversionen gewählten Mittel vertraulich zur Verfügung zu stellen.

| 7.2.2. | Zusätzliche Anforderungen für drahtlose Aktualisierungen |
| --- | --- |

7.2.2.

Zusätzliche Anforderungen für drahtlose Aktualisierungen

| 7.2.2.1. | Hinsichtlich Softwareaktualisierungen muss das Fahrzeug über die folgenden Funktionen verfügen: |
| --- | --- |

7.2.2.1.

Hinsichtlich Softwareaktualisierungen muss das Fahrzeug über die folgenden Funktionen verfügen:

| 7.2.2.1.1. | Der Fahrzeughersteller stellt sicher, dass das Fahrzeug im Falle einer fehlgeschlagenen oder abgebrochenen Aktualisierung in der Lage ist, die Vorversion des Systems wiederherzustellen bzw. das Fahrzeug in einen sicheren Zustand zu versetzen. |
| --- | --- |

7.2.2.1.1.

Der Fahrzeughersteller stellt sicher, dass das Fahrzeug im Falle einer fehlgeschlagenen oder abgebrochenen Aktualisierung in der Lage ist, die Vorversion des Systems wiederherzustellen bzw. das Fahrzeug in einen sicheren Zustand zu versetzen.

| 7.2.2.1.2. | Der Fahrzeughersteller stellt sicher, dass Softwareaktualisierungen nur durchgeführt werden können, wenn das Fahrzeug über genügend Energie verfügt, um das Verfahren zur Aktualisierung abzuschließen (einschließlich der Energie, die nötig ist, um gegebenenfalls eine Vorversion wiederherzustellen oder um das Fahrzeug in einen sicheren Zustand zu versetzen). |
| --- | --- |

7.2.2.1.2.

Der Fahrzeughersteller stellt sicher, dass Softwareaktualisierungen nur durchgeführt werden können, wenn das Fahrzeug über genügend Energie verfügt, um das Verfahren zur Aktualisierung abzuschließen (einschließlich der Energie, die nötig ist, um gegebenenfalls eine Vorversion wiederherzustellen oder um das Fahrzeug in einen sicheren Zustand zu versetzen).

| 7.2.2.1.3. | Wenn die Durchführung einer Aktualisierung die Sicherheit des Fahrzeugs beeinträchtigen könnte, muss der Fahrzeughersteller darlegen, dass die Aktualisierung sicher ausgeführt wird. Dies muss durch technische Mittel erreicht werden, die gewährleisten, dass sich das Fahrzeug in einem Zustand befindet, in dem die Aktualisierung sicher durchgeführt werden kann. |
| --- | --- |

7.2.2.1.3.

Wenn die Durchführung einer Aktualisierung die Sicherheit des Fahrzeugs beeinträchtigen könnte, muss der Fahrzeughersteller darlegen, dass die Aktualisierung sicher ausgeführt wird. Dies muss durch technische Mittel erreicht werden, die gewährleisten, dass sich das Fahrzeug in einem Zustand befindet, in dem die Aktualisierung sicher durchgeführt werden kann.

| 7.2.2.2. | Der Fahrzeughersteller muss darlegen, dass der Fahrzeugnutzer über eine Aktualisierung informiert werden kann, bevor die Aktualisierung durchgeführt wird. Die zur Verfügung gestellten Informationen müssen Folgendes umfassen:






  a) | Zweck der Aktualisierung; dies bezieht sich darauf, wie kritisch eine Aktualisierung ist und auch, ob die Aktualisierung zu Rückruf-, Sicherheits- und/oder Schutzzwecken erfolgt, |
| --- | --- | --- |

7.2.2.2.

Der Fahrzeughersteller muss darlegen, dass der Fahrzeugnutzer über eine Aktualisierung informiert werden kann, bevor die Aktualisierung durchgeführt wird. Die zur Verfügung gestellten Informationen müssen Folgendes umfassen:

a)

Zweck der Aktualisierung; dies bezieht sich darauf, wie kritisch eine Aktualisierung ist und auch, ob die Aktualisierung zu Rückruf-, Sicherheits- und/oder Schutzzwecken erfolgt,

| b) | alle durch die Aktualisierung durchgeführten Änderungen der Fahrzeugfunktionen, |
| --- | --- |

b)

alle durch die Aktualisierung durchgeführten Änderungen der Fahrzeugfunktionen,

| c) | die voraussichtliche Dauer bis zum Abschluss der Aktualisierung, |
| --- | --- |

c)

die voraussichtliche Dauer bis zum Abschluss der Aktualisierung,

| d) | alle Fahrzeugfunktionen, die möglicherweise nicht verfügbar sind, während die Aktualisierung durchgeführt wird, |
| --- | --- |

d)

alle Fahrzeugfunktionen, die möglicherweise nicht verfügbar sind, während die Aktualisierung durchgeführt wird,

| e) | alle Anweisungen, die den Fahrzeugnutzer dabei unterstützen, die Aktualisierung sicher durchzuführen. |
| --- | --- |

e)

alle Anweisungen, die den Fahrzeugnutzer dabei unterstützen, die Aktualisierung sicher durchzuführen.

Bei Paketen von Aktualisierungen mit ähnlichem Inhalt können sich die Beschreibungen auf eine gesamte Gruppe beziehen.

| 7.2.2.3. | In Fällen, in denen die Durchführung einer Aktualisierung während der Fahrt möglicherweise nicht sicher ist, muss der Fahrzeughersteller darlegen, dass:






  a) | sichergestellt ist, dass das Fahrzeug während der Durchführung der Aktualisierung nicht gefahren werden kann, |
| --- | --- | --- |

7.2.2.3.

In Fällen, in denen die Durchführung einer Aktualisierung während der Fahrt möglicherweise nicht sicher ist, muss der Fahrzeughersteller darlegen, dass:

a)

sichergestellt ist, dass das Fahrzeug während der Durchführung der Aktualisierung nicht gefahren werden kann,

| b) | sichergestellt ist, dass der Fahrer keine Funktionen des Fahrzeugs nutzen kann, die die Sicherheit des Fahrzeugs oder die erfolgreiche Durchführung der Aktualisierung beeinträchtigen würden. |
| --- | --- |

b)

sichergestellt ist, dass der Fahrer keine Funktionen des Fahrzeugs nutzen kann, die die Sicherheit des Fahrzeugs oder die erfolgreiche Durchführung der Aktualisierung beeinträchtigen würden.

| 7.2.2.4. | Der Fahrzeughersteller muss darlegen, dass nach der Durchführung der Aktualisierung Folgendes gewährleistet ist:






  a) | Der Fahrzeugnutzer kann über den Erfolg (oder Misserfolg) der Aktualisierung informiert werden. |
| --- | --- | --- |

7.2.2.4.

Der Fahrzeughersteller muss darlegen, dass nach der Durchführung der Aktualisierung Folgendes gewährleistet ist:

a)

Der Fahrzeugnutzer kann über den Erfolg (oder Misserfolg) der Aktualisierung informiert werden.

| b) | Der Fahrzeugnutzer kann über die vorgenommenen Änderungen und alle damit zusammenhängenden Aktualisierungen des Benutzerhandbuchs informiert werden (falls zutreffend). |
| --- | --- |

b)

Der Fahrzeugnutzer kann über die vorgenommenen Änderungen und alle damit zusammenhängenden Aktualisierungen des Benutzerhandbuchs informiert werden (falls zutreffend).

| 7.2.2.5. | Das Fahrzeug muss sich vergewissern, dass die Voraussetzungen erfüllt sind, bevor die Softwareaktualisierung durchgeführt wird. |
| --- | --- |

7.2.2.5.

Das Fahrzeug muss sich vergewissern, dass die Voraussetzungen erfüllt sind, bevor die Softwareaktualisierung durchgeführt wird.

8.   ÄNDERUNG DES FAHRZEUGTYPS UND ERWEITERUNG DER TYPGENEHMIGUNG

| 8.1. | Jede Änderung des Fahrzeugtyps, die sich auf dessen technische Leistung und/oder die nach dieser Regelung erforderlichen Unterlagen auswirkt, ist der Genehmigungsbehörde mitzuteilen, die die Genehmigung erteilt hat. Die Genehmigungsbehörde kann dann |
| --- | --- |

8.1.

Jede Änderung des Fahrzeugtyps, die sich auf dessen technische Leistung und/oder die nach dieser Regelung erforderlichen Unterlagen auswirkt, ist der Genehmigungsbehörde mitzuteilen, die die Genehmigung erteilt hat. Die Genehmigungsbehörde kann dann

| 8.1.1. | entweder zu dem Schluss kommen, dass die vorgenommenen Änderungen weiterhin den Vorschriften und der Dokumentation der vorherigen Typgenehmigung entsprechen oder |
| --- | --- |

8.1.1.

entweder zu dem Schluss kommen, dass die vorgenommenen Änderungen weiterhin den Vorschriften und der Dokumentation der vorherigen Typgenehmigung entsprechen oder

| 8.1.2. | bei dem technischen Dienst, der die Prüfungen durchführt, einen neuen Prüfbericht anfordern. |
| --- | --- |

8.1.2.

bei dem technischen Dienst, der die Prüfungen durchführt, einen neuen Prüfbericht anfordern.

| 8.1.3. | Die Bestätigung, Erweiterung oder Versagung der Genehmigung ist unter Angabe der Änderungen mit einem Mitteilungsblatt mitzuteilen, das dem Muster in Anhang 2 dieser Regelung entspricht. Die Typgenehmigungsbehörde, die die Erweiterung der Genehmigung bescheinigt, teilt dieser Erweiterung eine laufende Nummer zu und unterrichtet hierüber die anderen Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 2 dieser Regelung entspricht. |
| --- | --- |

8.1.3.

Die Bestätigung, Erweiterung oder Versagung der Genehmigung ist unter Angabe der Änderungen mit einem Mitteilungsblatt mitzuteilen, das dem Muster in Anhang 2 dieser Regelung entspricht. Die Typgenehmigungsbehörde, die die Erweiterung der Genehmigung bescheinigt, teilt dieser Erweiterung eine laufende Nummer zu und unterrichtet hierüber die anderen Vertragsparteien des Übereinkommens von 1958, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 2 dieser Regelung entspricht.

9.   ÜBEREINSTIMMUNG DER PRODUKTION

| 9.1. | Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den in Anlage 1 zum Übereinkommen von 1958 (E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen: |
| --- | --- |

9.1.

Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den in Anlage 1 zum Übereinkommen von 1958 (E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen:

| 9.1.1. | Der Inhaber einer Genehmigung muss sicherstellen, dass die Ergebnisse der Prüfungen der Übereinstimmung der Produktion protokolliert werden und die beigefügten Unterlagen während eines nach Absprache mit der Genehmigungsbehörde oder dem technischen Dienst festzulegenden Zeitraums verfügbar bleiben. Dieser Zeitraum darf, gerechnet von dem Zeitpunkt, an dem die Herstellung endgültig eingestellt wird, zehn Jahre nicht übersteigen. |
| --- | --- |

9.1.1.

Der Inhaber einer Genehmigung muss sicherstellen, dass die Ergebnisse der Prüfungen der Übereinstimmung der Produktion protokolliert werden und die beigefügten Unterlagen während eines nach Absprache mit der Genehmigungsbehörde oder dem technischen Dienst festzulegenden Zeitraums verfügbar bleiben. Dieser Zeitraum darf, gerechnet von dem Zeitpunkt, an dem die Herstellung endgültig eingestellt wird, zehn Jahre nicht übersteigen.

| 9.1.2. | Die Genehmigungsbehörde, die die Typgenehmigung erteilt hat, kann jederzeit die in jeder Fertigungsanlage angewandten Verfahren zur Kontrolle der Übereinstimmung der Produktion überprüfen. Diese Überprüfungen sind in der Regel einmal alle drei Jahre durchzuführen. |
| --- | --- |

9.1.2.

Die Genehmigungsbehörde, die die Typgenehmigung erteilt hat, kann jederzeit die in jeder Fertigungsanlage angewandten Verfahren zur Kontrolle der Übereinstimmung der Produktion überprüfen. Diese Überprüfungen sind in der Regel einmal alle drei Jahre durchzuführen.

| 9.1.3. | Die Genehmigungsbehörde oder der technische Dienst muss regelmäßig bestätigen, dass die vom Fahrzeughersteller angewandten Verfahren und getroffenen Entscheidungen den Anforderungen entsprechen, insbesondere in Fällen, in denen der Fahrzeughersteller die Genehmigungsbehörde oder den technischen Dienst nicht über eine Aktualisierung unterrichtet hat. Dies kann durch Stichprobenprüfungen erfolgen. |
| --- | --- |

9.1.3.

Die Genehmigungsbehörde oder der technische Dienst muss regelmäßig bestätigen, dass die vom Fahrzeughersteller angewandten Verfahren und getroffenen Entscheidungen den Anforderungen entsprechen, insbesondere in Fällen, in denen der Fahrzeughersteller die Genehmigungsbehörde oder den technischen Dienst nicht über eine Aktualisierung unterrichtet hat. Dies kann durch Stichprobenprüfungen erfolgen.

10.   MASSNAHMEN BEI ABWEICHUNGEN DER PRODUKTION

| 10.1. | Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Vorschriften dieser Regelung nicht eingehalten sind oder Prüffahrzeuge den Vorschriften dieser Regelung nicht entsprechen. |
| --- | --- |

10.1.

Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Vorschriften dieser Regelung nicht eingehalten sind oder Prüffahrzeuge den Vorschriften dieser Regelung nicht entsprechen.

| 10.2. | Nimmt eine Genehmigungsbehörde eine von ihr erteilte Genehmigung zurück, so hat sie davon unverzüglich die Vertragsparteien, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 2 dieser Regelung entspricht. |
| --- | --- |

10.2.

Nimmt eine Genehmigungsbehörde eine von ihr erteilte Genehmigung zurück, so hat sie davon unverzüglich die Vertragsparteien, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 2 dieser Regelung entspricht.

11.   ENDGÜLTIGE EINSTELLUNG DER PRODUKTION

| 11.1. | Stellt der Inhaber der Genehmigung die Produktion eines nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, unterrichtet er hierüber die Behörde, die die Genehmigung erteilt hat. Nach Erhalt der entsprechenden Mitteilung hat diese Behörde die anderen Vertragsparteien des Übereinkommens, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblatts der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk „PRODUKTION EINGESTELLT“ trägt. |
| --- | --- |

11.1.

Stellt der Inhaber der Genehmigung die Produktion eines nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, unterrichtet er hierüber die Behörde, die die Genehmigung erteilt hat. Nach Erhalt der entsprechenden Mitteilung hat diese Behörde die anderen Vertragsparteien des Übereinkommens, die diese Regelung anwenden, hierüber mit einer Abschrift des Mitteilungsblatts der Genehmigung zu unterrichten, die am Schluss in Großbuchstaben den unterschriebenen und datierten Vermerk „PRODUKTION EINGESTELLT“ trägt.

12.   NAMEN UND ANSCHRIFTEN DER TECHNISCHEN DIENSTE, DIE DIE PRÜFUNG FÜR DIE GENEHMIGUNG DURCHFÜHREN, UND DER TYPGENEHMIGUNGSBEHÖRDEN

| 12.1. | Die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, teilen dem Sekretariat der Vereinten Nationen die Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden, die Genehmigungen erteilen, und denen die Mitteilungsblätter über in anderen Ländern erteilte, erweiterte, versagte oder zurückgenommene Genehmigungen zu übersenden sind, mit. |
| --- | --- |

12.1.

Die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, teilen dem Sekretariat der Vereinten Nationen die Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden, die Genehmigungen erteilen, und denen die Mitteilungsblätter über in anderen Ländern erteilte, erweiterte, versagte oder zurückgenommene Genehmigungen zu übersenden sind, mit.

---

(1)  Gemäß den Begriffsbestimmungen in der Gesamtresolution über Fahrzeugtechnik (R.E.3), Dokument ECE/TRANS/WP.29/78/Rev.6, Absatz 2 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html.

1

(2)  Die Kennzahlen der Vertragsparteien des Übereinkommens von 1958 finden sich in Anhang 3 der Gesamtresolution über Fahrzeugtechnik (R.E.3), Dokument ECE/TRANS/WP.29/78/Rev.6.

2

---

ANHANG 1

Beschreibungsbogen

Die nachstehenden Angaben sind gegebenenfalls zusammen mit dem Verzeichnis der beiliegenden Unterlagen in dreifacher Ausfertigung einzureichen. Liegen Zeichnungen bei, so müssen diese das Format A4 haben oder auf das Format A4 gefaltet sein und hinreichende Einzelheiten in geeignetem Maßstab enthalten. Liegen Fotografien bei, so müssen diese hinreichende Einzelheiten erkennen lassen.

1.

Fabrikmarke (Firmenname des Herstellers): ...

2.

(„Typ“ ist der zu genehmigende Typ, „Handelsbezeichnung“ bezieht sich auf das Produkt, in dem der genehmigte Typ verwendet wird.)

3.

Kennzeichen zur Typenidentifizierung, falls am Fahrzeug vorhanden: ...

4.

Anbringungsstelle dieser Kennzeichnung: ...

5.

Fahrzeugklassen: ...

6.

Name und Anschrift des Herstellers oder des Bevollmächtigten des Herstellers: ...

7.

Namen und Anschriften der Fertigungsstätten: ...

8.

Fotos und/oder Zeichnungen eines repräsentativen Fahrzeugs: ...

9.

Softwareaktualisierungen

9.1.

Allgemeine Baumerkmale des Fahrzeugtyps: ...

9.2.

Nummer der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem: ...

9.3.

Sicherheitsmaßnahmen

9.3.1.

Unterlagen für den zu genehmigenden Fahrzeugtyp, aus denen hervorgeht, dass die Verfahren zur Aktualisierung geschützt durchgeführt werden: ...

9.3.2.

Unterlagen für den zu genehmigenden Fahrzeugtyp, aus denen hervorgeht, dass die RX-Software-Identifikationsnummern an einem Fahrzeug gegen unbefugte Manipulationen geschützt sind: ...

9.4.

Drahtlose Softwareaktualisierungen

9.4.1.

Unterlagen für den zu genehmigenden Fahrzeugtyp, aus denen hervorgeht, dass die Verfahren zur Aktualisierung sicher durchgeführt werden: ...

9.4.2.

Art und Weise, wie der Fahrzeugnutzer vor und nach der Durchführung einer Aktualisierung über diese informiert wird: ...

Anlage 1 zu Anhang 1

Muster einer Konformitätserklärung für das Softwareaktualisierungsmanagementsystem

Konformitätserklärung des Herstellers bezüglich der Anforderungen an das Softwareaktualisierungsmanagementsystem

Name des Herstellers: ...

Anschrift des Herstellers: ...

............... (Name des Herstellers) bescheinigt, dass die zur Einhaltung der Anforderungen an das Softwareaktualisierungsmanagementsystem gemäß Nummer 7.1 der UN-Regelung Nr. 156 erforderlichen Verfahren eingerichtet sind und weiterhin angewendet werden.

Ort: ................................................ (Ort)

Datum: ...

Name des Unterzeichneten: ...

Funktion des Unterzeichneten: ...

......................................................

(Stempel und Unterschrift des Bevollmächtigten des Herstellers)

---

ANHANG 2

Mitteilung

(Größtes Format: A4 (210 mm × 297 mm)

| (1) | Ausfertigende Stelle: | Bezeichnung der Behörde:
  ...
  ...
  ... |
| --- | --- | --- |

Image 13

Ausfertigende Stelle:

Bezeichnung der Behörde:

...

...

...

| über die (2): | Erteilung der Genehmigung
  Erweiterung der Genehmigung
  Rücknahme der Genehmigung mit Wirkung ab dem TT.MM.JJJJ
  Versagung der Genehmigung
  Endgültige Einstellung der Produktion |
| --- | --- |

über die (2):

Erteilung der Genehmigung

Erweiterung der Genehmigung

Rücknahme der Genehmigung mit Wirkung ab dem TT.MM.JJJJ

Versagung der Genehmigung

Endgültige Einstellung der Produktion

für einen Fahrzeugtyp nach der UN-Regelung Nr. 156

Nummer der Genehmigung: ...

Nummer der Erweiterung: ...

Grund für die Erweiterung: ...

1.

Fabrikmarke (Firmenname des Herstellers): ...

2.

Typ und Handelsbezeichnungen: ...

3.

Kennzeichen zur Typenidentifizierung, falls am Fahrzeug vorhanden:...

3.1.

Anbringungsstelle dieser Kennzeichnung: ...

4.

Fahrzeugklassen: ...

5.

Name und Anschrift des Herstellers oder des Bevollmächtigten des Herstellers: ...

6.

Namen und Anschriften der Produktionsstätten: ...

7.

Nummer der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem: ...

8.

Einschließlich drahtloser Softwareaktualisierungen (ja/nein): ...

9.

Technischer Dienst, der für die Durchführung der Prüfungen zuständig ist: ...

10.

Datum des Prüfberichts: ...

11.

Nummer des Prüfberichts: ...

12.

(Gegebenenfalls) Bemerkungen: ...

13.

Ort: ...

14.

Datum: ...

15.

Unterschrift: ...

16.

Das bei der Genehmigungsbehörde hinterlegte Inhaltsverzeichnis zu den Beschreibungsunterlagen, das auf Anforderung erhältlich ist, ist beigefügt:

---

(1)  Kennzahl des Landes, das die Genehmigung erteilt/erweitert/versagt/zurückgenommen hat (siehe die Vorschriften über die Genehmigung in der Regelung).

1

(2)  Nichtzutreffendes streichen.

2

---

ANHANG 3

Anordnung des Genehmigungszeichens

MUSTER A

(siehe Nummer 4.2 der vorliegenden Regelung)

Image 14

a = min. 8 mm

Das oben dargestellte, an einem Fahrzeug angebrachte Genehmigungszeichen besagt, dass der betreffende Typ des Straßenfahrzeugs in den Niederlanden (E4) nach der Regelung Nr. 156 unter der Genehmigungsnummer 001234 genehmigt worden ist. Aus den ersten beiden Ziffern der Genehmigungsnummer geht hervor, dass die Genehmigung nach den Vorschriften dieser Regelung in ihrer ursprünglichen Fassung (00) erteilt wurde.

---

ANHANG 4

Muster der Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem

Konformitätsbescheinigung für das Softwareaktualisierungsmanagementsystem

nach UN-Regelung Nr. 156

Nummer der Bescheinigung [Referenznummer]

[....... Genehmigungsbehörde]

bescheinigt, dass

Hersteller: ...

Anschrift des Herstellers: ...

die Vorschriften der Regelung Nr. 156 erfüllt.

Überprüft wurden: ...

von (Name und Anschrift der Genehmigungsbehörde): ...

Nummer des Berichts: ...

Diese Bescheinigung gilt bis zum: [......................................................Datum]

Ort: [..........................................Ort]

den: [..........................................Datum]

[.........................................................Unterschrift]

---

| 9.3.2021 | DE | Amtsblatt der Europäischen Union | L 82/75 |
| --- | --- | --- | --- |

9.3.2021

DE

Amtsblatt der Europäischen Union

L 82/75

---

Nur die von der UNECE verabschiedeten Originalfassungen sind international rechtsverbindlich. Der Status dieser Regelung und das Datum ihres Inkrafttretens sind der neuesten Fassung des UNECE-Statusdokuments TRANS/WP.29/343 zu entnehmen, das von folgender Website abgerufen werden kann: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

UN-Regelung Nr. 157 — Einheitliche Bedingungen für die Genehmigung von Fahrzeugen hinsichtlich des automatischen Spurhalteassistenzsystems (ALKS) [2021/389]

Datum des Inkrafttretens: 22. Januar 2021

Dieses Dokument ist lediglich eine Dokumentationsquelle. Der rechtsverbindliche Originaltext ist: ECE/TRANS/WP.29/2020/81.

INHALTSVERZEICHNIS

REGELUNG

Einleitung

| 1. | Anwendungsbereich und Zweck |
| --- | --- |

1.

| 2. | Begriffsbestimmungen |
| --- | --- |

2.

| 3. | Antrag auf Genehmigung |
| --- | --- |

3.

| 4. | Genehmigung |
| --- | --- |

4.

| 5. | Systemsicherheit und Ausfallsicherheit |
| --- | --- |

5.

| 6. | Mensch-Maschine-Schnittstelle/Fahrerinformation |
| --- | --- |

6.

| 7. | Objekt- und Ereigniserkennung und Reaktion (OEDR) |
| --- | --- |

7.

| 8. | Fahrmodusspeicher (DSSAD) |
| --- | --- |

8.

| 9. | Cybersicherheit und Softwareaktualisierung |
| --- | --- |

9.

| 10. | Änderungen des Fahrzeugtyps und Erweiterung der Genehmigung |
| --- | --- |

10.

| 11. | Übereinstimmung der Produktion |
| --- | --- |

11.

| 12. | Maßnahmen bei Abweichungen der Produktion |
| --- | --- |

12.

| 13. | Endgültige Einstellung der Produktion |
| --- | --- |

13.

| 14. | Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden |
| --- | --- |

14.

ANHÄNGE

| 1 | Mitteilung |
| --- | --- |

1

| 2 | Anordnungen der Genehmigungszeichen |
| --- | --- |

2

| 3 | (Vorbehalten) |
| --- | --- |

3

| 4 | Spezielle Vorschriften für die Sicherheitsaspekte elektronischer Steuersysteme und das Audit |
| --- | --- |

4

| 5 | Prüfvorschriften für automatische Spurhalteassistenzsysteme (ALKS) |
| --- | --- |

5

EINLEITUNG

Diese Regelung dient der Festlegung einheitlicher Vorschriften für die Genehmigung von Fahrzeugen hinsichtlich des automatischen Spurhalteassistenzsystems (Automated Lane Keeping Systems — ALKS).

Das ALKS steuert die Quer- und Längsbewegung des Fahrzeugs über einen längeren Zeitraum und ohne weitere Anweisung des Fahrzeugführers. Das ALKS ist ein System, das im aktivierten Zustand die Hauptverantwortung für das Führen des Fahrzeugs hat.

Diese Regelung ist der erste Schritt zur Regulierung eines automatischen Fahrsystems (im Sinne der Begriffsbestimmung nach ECE/TRANS/WP.29/1140) im Straßenverkehr und enthält daher neuartige Vorschriften, die der Komplexität im Zusammenhang mit der Bewertung der Systemsicherheit Rechnung tragen sollen. Sie umfasst für die Typgenehmigung geeignete Verwaltungsvorschriften, technische Anforderungen und Audit- und Berichterstattungsvorschriften sowie Vorschriften für die Prüfung.

Das ALKS kann unter bestimmten Umständen auf Straßen aktiviert werden, deren Nutzung durch Fußgänger und Radfahrer verboten ist und die so konzipiert sind, dass die Fahrbahnen für die entgegengesetzten Richtungen baulich voneinander getrennt sind, sodass der Gegenverkehr die Fahrspur des Fahrzeugs nicht kreuzen kann. In der Originalfassung dieser Regelung wird die Fahrgeschwindigkeit zunächst auf 60 km/h bei Personenkraftwagen (Fahrzeuge der Klasse M1) begrenzt.

1

Diese Regelung umfasst allgemeine Anforderungen im Hinblick auf die Systemsicherheit und die Ausfallsicherheit. Wird das ALKS aktiviert, dann übernimmt es anstelle des Fahrzeugführers die Fahraufgabe, d. h., es steuert alle Situationen einschließlich Störungen und darf die Sicherheit der Fahrzeuginsassen und anderer Verkehrsteilnehmer nicht gefährden. Der Fahrzeugführer hat jedoch immer und jederzeit die Möglichkeit, das System zu übersteuern.

Die Regelung sieht außerdem Vorschriften dazu vor, wie die Fahraufgabe sicher vom ALKS an den Fahrzeugführer zu übergeben ist, einschließlich der Fähigkeit des Systems, das Fahrzeug zum Stehen zu bringen, wenn der Fahrzeugführer nicht angemessen reagiert.

Schließlich umfasst die Regelung auch Vorschriften in Bezug auf die Mensch-Maschine-Schnittstelle (Human-Machine Interface — HMI), um Missverständnisse oder Fehlanwendungen seitens des Fahrzeugführers zu vermeiden. So verlangt die Regelung beispielsweise, dass Anzeigen im Fahrzeug, die der Fahrzeugführer bei aktiviertem ALKS für andere Tätigkeiten als das Fahren verwendet, automatisch ausgesetzt werden, sobald das System eine Übernahmeaufforderung erzeugt. Diese Maßnahmen gelten unbeschadet der Regeln über das Verhalten des Fahrzeugführers bei der Verwendung dieser Systeme durch die Vertragsparteien, die zum Zeitpunkt der Ausarbeitung dieses Dokuments im Rahmen der UNECE-Arbeitsgruppe Globales Forum für Straßenverkehrssicherheit (AG1) erörtert werden (siehe z. B. Informal Document 4 Revision 1 der 78. Sitzung der Arbeitsgruppe).

1.   ANWENDUNGSBEREICH UND ZWECK

| 1.1. | Diese Regelung gilt für die Typgenehmigung von Fahrzeugen der Klasse M1 (1) hinsichtlich des automatischen Spurhalteassistenzsystems (ALKS). |
| --- | --- |

1.1.

Diese Regelung gilt für die Typgenehmigung von Fahrzeugen der Klasse M1

1

2.   BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieser Regelung gelten folgende Begriffsbestimmungen:

| 2.1. | „Automatisches Spurhalteassistenzsystem“ oder „ALKS“ für geringe Geschwindigkeiten bezeichnet ein vom Fahrzeugführer zu aktivierendes System, das das Fahrzeug bei einer Fahrgeschwindigkeit von bis zu 60 km/h durch Steuerung der Längs- und Querbewegungen des Fahrzeugs über einen längeren Zeitraum innerhalb seiner Fahrspur hält, ohne dass weitere Eingaben des Fahrzeugführers notwendig sind.
  Für die Zwecke dieser Regelung wird das ALKS auch als „das System“ bezeichnet. |
| --- | --- |

2.1.

„Automatisches Spurhalteassistenzsystem“ oder „ALKS“ für geringe Geschwindigkeiten bezeichnet ein vom Fahrzeugführer zu aktivierendes System, das das Fahrzeug bei einer Fahrgeschwindigkeit von bis zu 60 km/h durch Steuerung der Längs- und Querbewegungen des Fahrzeugs über einen längeren Zeitraum innerhalb seiner Fahrspur hält, ohne dass weitere Eingaben des Fahrzeugführers notwendig sind.

Für die Zwecke dieser Regelung wird das ALKS auch als „das System“ bezeichnet.

| 2.1.1. | „Fahrzeugtyp hinsichtlich des automatischen Spurhalteassistenzsystems (ALKS)“ bezeichnet Fahrzeuge, die sich in wesentlichen Punkten wie den folgenden nicht voneinander unterscheiden:






  a) | Fahrzeugmerkmale, die die Leistung des ALKS erheblich beeinflussen, |
| --- | --- | --- |

2.1.1.

„Fahrzeugtyp hinsichtlich des automatischen Spurhalteassistenzsystems (ALKS)“ bezeichnet Fahrzeuge, die sich in wesentlichen Punkten wie den folgenden nicht voneinander unterscheiden:

a)

Fahrzeugmerkmale, die die Leistung des ALKS erheblich beeinflussen,

| b) | Systemmerkmale und Bauart des ALKS. |
| --- | --- |

b)

Systemmerkmale und Bauart des ALKS.

| 2.2. | „Übernahmeaufforderung“ bezeichnet ein logisches und intuitives Verfahren, durch das die dynamische Fahraufgabe (Dynamic Driving Task — DDT) vom System (automatische Steuerung) an den menschlichen Fahrzeugführer (manuelle Steuerung) übergeben wird. Diese Aufforderung wird vom System an den menschlichen Fahrzeugführer gerichtet. |
| --- | --- |

2.2.

„Übernahmeaufforderung“ bezeichnet ein logisches und intuitives Verfahren, durch das die dynamische Fahraufgabe (Dynamic Driving Task — DDT) vom System (automatische Steuerung) an den menschlichen Fahrzeugführer (manuelle Steuerung) übergeben wird. Diese Aufforderung wird vom System an den menschlichen Fahrzeugführer gerichtet.

| 2.3. | „Übernahmephase“ bezeichnet die Zeitdauer der Übernahmeaufforderung. |
| --- | --- |

2.3.

„Übernahmephase“ bezeichnet die Zeitdauer der Übernahmeaufforderung.

| 2.4. | „Geplantes Ereignis“ bezeichnet eine im Voraus — z. B. zum Zeitpunkt der Aktivierung, etwa bei Erreichen eines bestimmten Wegpunkts (z. B. Autobahnausfahrt) usw. — bekannte Situation, die eine Übernahmeaufforderung notwendig macht. |
| --- | --- |

2.4.

„Geplantes Ereignis“ bezeichnet eine im Voraus — z. B. zum Zeitpunkt der Aktivierung, etwa bei Erreichen eines bestimmten Wegpunkts (z. B. Autobahnausfahrt) usw. — bekannte Situation, die eine Übernahmeaufforderung notwendig macht.

| 2.5. | „Ungeplantes Ereignis“ bezeichnet eine im Voraus nicht bekannte Situation mit hoher Eintrittswahrscheinlichkeit, z. B. eine Baustelle, ungünstige Wetterbedingungen, ein herannahendes Rettungsfahrzeug, fehlende Fahrbahnmarkierungen oder eine verlorene Lkw-Ladung (Zusammenstoß), die eine Übernahmeaufforderung notwendig macht. |
| --- | --- |

2.5.

„Ungeplantes Ereignis“ bezeichnet eine im Voraus nicht bekannte Situation mit hoher Eintrittswahrscheinlichkeit, z. B. eine Baustelle, ungünstige Wetterbedingungen, ein herannahendes Rettungsfahrzeug, fehlende Fahrbahnmarkierungen oder eine verlorene Lkw-Ladung (Zusammenstoß), die eine Übernahmeaufforderung notwendig macht.

| 2.6. | „Gefahr eines unmittelbar bevorstehenden Zusammenstoßes“ bezeichnet eine Situation oder ein Ereignis, die bzw. das zum Zusammenstoß des Fahrzeugs mit einem anderen Verkehrsteilnehmer oder einem Hindernis führt und durch eine Bremsanforderung von weniger als 5 m/s2 nicht verhindert werden kann. |
| --- | --- |

2.6.

„Gefahr eines unmittelbar bevorstehenden Zusammenstoßes“ bezeichnet eine Situation oder ein Ereignis, die bzw. das zum Zusammenstoß des Fahrzeugs mit einem anderen Verkehrsteilnehmer oder einem Hindernis führt und durch eine Bremsanforderung von weniger als 5 m/s2

| 2.7. | „Risikominimierendes Manöver“ (Minimal Risk Manoeuvre — MRM) bezeichnet ein Verfahren zur Minimierung der Risiken im Straßenverkehr, das vom System automatisch ausgeführt wird, wenn der Fahrzeugführer nicht auf eine Übernahmeaufforderung reagiert oder wenn eine schwerwiegende Störung des ALKS oder des Fahrzeugs auftritt. |
| --- | --- |

2.7.

„Risikominimierendes Manöver“ (Minimal Risk Manoeuvre — MRM) bezeichnet ein Verfahren zur Minimierung der Risiken im Straßenverkehr, das vom System automatisch ausgeführt wird, wenn der Fahrzeugführer nicht auf eine Übernahmeaufforderung reagiert oder wenn eine schwerwiegende Störung des ALKS oder des Fahrzeugs auftritt.

| 2.8. | „Notfallmanöver“ (Emergency Manoeuvre — EM) bezeichnet ein Manöver, das das System im Falle der Gefahr eines unmittelbar bevorstehenden Zusammenstoßes des Fahrzeugs ausführt und das dazu dient, einen Zusammenstoß zu verhindern oder abzumildern. |
| --- | --- |

2.8.

„Notfallmanöver“ (Emergency Manoeuvre — EM) bezeichnet ein Manöver, das das System im Falle der Gefahr eines unmittelbar bevorstehenden Zusammenstoßes des Fahrzeugs ausführt und das dazu dient, einen Zusammenstoß zu verhindern oder abzumildern.

| 2.9. | Geschwindigkeit |
| --- | --- |

2.9.

Geschwindigkeit

| 2.9.1. | „Angegebene Höchstgeschwindigkeit“ bezeichnet die vom Hersteller angegebene Geschwindigkeit, bis zu der das System unter optimalen Bedingungen funktioniert. |
| --- | --- |

2.9.1.

„Angegebene Höchstgeschwindigkeit“ bezeichnet die vom Hersteller angegebene Geschwindigkeit, bis zu der das System unter optimalen Bedingungen funktioniert.

| 2.9.2. | „Maximale Betriebsgeschwindigkeit“ bezeichnet die vom System gewählte Geschwindigkeit, bis zu der das System unter den gegebenen Umgebungs- und Sensorbedingungen funktioniert. Dies ist die Fahrzeughöchstgeschwindigkeit, bis zu der das System aktiv sein darf; sie wird durch die Leistungsfähigkeit des Sensorsystems und die Umgebungsbedingungen bestimmt. |
| --- | --- |

2.9.2.

„Maximale Betriebsgeschwindigkeit“ bezeichnet die vom System gewählte Geschwindigkeit, bis zu der das System unter den gegebenen Umgebungs- und Sensorbedingungen funktioniert. Dies ist die Fahrzeughöchstgeschwindigkeit, bis zu der das System aktiv sein darf; sie wird durch die Leistungsfähigkeit des Sensorsystems und die Umgebungsbedingungen bestimmt.

| 2.9.3. | „Aktuelle Geschwindigkeit“ oder „Geschwindigkeit“ bezeichnet die vom System aufgrund der Verkehrslage gewählte aktuelle Fahrgeschwindigkeit. |
| --- | --- |

2.9.3.

„Aktuelle Geschwindigkeit“ oder „Geschwindigkeit“ bezeichnet die vom System aufgrund der Verkehrslage gewählte aktuelle Fahrgeschwindigkeit.

| 2.10. | „Erfassungsbereich“ des Sensorsystems bezeichnet die Entfernung, innerhalb der das System unter Berücksichtigung der zeit- und nutzungsbedingten Verschlechterung der Bauteile des Sensorsystems während der Lebensdauer des Fahrzeugs ein Objekt zuverlässig erkennen und ein Steuersignal erzeugen kann. |
| --- | --- |

2.10.

„Erfassungsbereich“ des Sensorsystems bezeichnet die Entfernung, innerhalb der das System unter Berücksichtigung der zeit- und nutzungsbedingten Verschlechterung der Bauteile des Sensorsystems während der Lebensdauer des Fahrzeugs ein Objekt zuverlässig erkennen und ein Steuersignal erzeugen kann.

| 2.11. | Störungen |
| --- | --- |

2.11.

Störungen

| 2.11.1. | „Störung des ALKS“ bezeichnet eine mit dem Betrieb des ALKS verbundene einzelne Störung (z. B. Ausfall eines einzelnen Sensors, Verlust für die Berechnung des Fahrwegs des Fahrzeugs notwendiger Daten). |
| --- | --- |

2.11.1.

„Störung des ALKS“ bezeichnet eine mit dem Betrieb des ALKS verbundene einzelne Störung (z. B. Ausfall eines einzelnen Sensors, Verlust für die Berechnung des Fahrwegs des Fahrzeugs notwendiger Daten).

| 2.11.2. | „Störungsmodus“ bezeichnet den Betriebsstatus des Systems, wenn es mit einer Störung des ALKS betrieben wird. |
| --- | --- |

2.11.2.

„Störungsmodus“ bezeichnet den Betriebsstatus des Systems, wenn es mit einer Störung des ALKS betrieben wird.

| 2.11.3. | „Schwerwiegende Störung des ALKS“ bezeichnet eine mit dem Betrieb des ALKS verbundene Störung des ALKS mit sehr geringer Eintrittswahrscheinlichkeit, die den sicheren Betrieb des im Störungsmodus befindlichen Systems beeinträchtigt, wie etwa wenn wesentliche Bauteile (z. B. ein elektronisches Steuergerät) betroffen sind. Die Störung eines einzelnen Sensors wird nur dann als schwerwiegend eingestuft, wenn der sichere Betrieb des Systems gleichzeitig durch andere Faktoren beeinträchtigt ist. |
| --- | --- |

2.11.3.

„Schwerwiegende Störung des ALKS“ bezeichnet eine mit dem Betrieb des ALKS verbundene Störung des ALKS mit sehr geringer Eintrittswahrscheinlichkeit, die den sicheren Betrieb des im Störungsmodus befindlichen Systems beeinträchtigt, wie etwa wenn wesentliche Bauteile (z. B. ein elektronisches Steuergerät) betroffen sind. Die Störung eines einzelnen Sensors wird nur dann als schwerwiegend eingestuft, wenn der sichere Betrieb des Systems gleichzeitig durch andere Faktoren beeinträchtigt ist.

| 2.11.4. | „Schwerwiegende Störung des Fahrzeugs“ bezeichnet jede (z. B. elektrische oder mechanische) Störung des Fahrzeugs, die dazu führt, dass das ALKS nicht in der Lage ist, die dynamische Fahraufgabe wahrzunehmen, und die sich auch auf den manuellen Betrieb des Fahrzeugs auswirken würde (z. B. Ausfall der Stromversorgung, Ausfall des Bremssystems, plötzlicher Reifendruckverlust). |
| --- | --- |

2.11.4.

„Schwerwiegende Störung des Fahrzeugs“ bezeichnet jede (z. B. elektrische oder mechanische) Störung des Fahrzeugs, die dazu führt, dass das ALKS nicht in der Lage ist, die dynamische Fahraufgabe wahrzunehmen, und die sich auch auf den manuellen Betrieb des Fahrzeugs auswirken würde (z. B. Ausfall der Stromversorgung, Ausfall des Bremssystems, plötzlicher Reifendruckverlust).

| 2.12. | „Selbstprüfung“ bezeichnet eine integrierte Funktion, die kontinuierlich nach einer Systemstörung sucht und den Erfassungsbereich des Sensorsystems prüft. |
| --- | --- |

2.12.

„Selbstprüfung“ bezeichnet eine integrierte Funktion, die kontinuierlich nach einer Systemstörung sucht und den Erfassungsbereich des Sensorsystems prüft.

| 2.13. | „Systemübersteuerung“ durch den Fahrzeugführer bezeichnet eine Situation, in der der Fahrzeugführer eine Eingabe vornimmt, die Vorrang vor der Längs- oder Querführung des Systems hat, während das System noch aktiv ist. |
| --- | --- |

2.13.

„Systemübersteuerung“ durch den Fahrzeugführer bezeichnet eine Situation, in der der Fahrzeugführer eine Eingabe vornimmt, die Vorrang vor der Längs- oder Querführung des Systems hat, während das System noch aktiv ist.

| 2.14. | „Dynamische Fahraufgabe“ (Dynamic Driving Task — DDT) bezeichnet die Steuerung und Ausführung aller Längs- und Querbewegungen des Fahrzeugs. |
| --- | --- |

2.14.

„Dynamische Fahraufgabe“ (Dynamic Driving Task — DDT) bezeichnet die Steuerung und Ausführung aller Längs- und Querbewegungen des Fahrzeugs.

| 2.15. | „Fahrmodusspeicher“ (Data Storage System for Automated Driving — DSSAD) bezeichnet das System, das die Bestimmung der Interaktionen zwischen dem ALKS und dem menschlichen Fahrzeugführer ermöglicht. |
| --- | --- |

2.15.

„Fahrmodusspeicher“ (Data Storage System for Automated Driving — DSSAD) bezeichnet das System, das die Bestimmung der Interaktionen zwischen dem ALKS und dem menschlichen Fahrzeugführer ermöglicht.

| 2.16. | „Systemlebensdauer“ bezeichnet die Zeitspanne, in der das ALKS als Funktion im Fahrzeug verfügbar ist. |
| --- | --- |

2.16.

„Systemlebensdauer“ bezeichnet die Zeitspanne, in der das ALKS als Funktion im Fahrzeug verfügbar ist.

| 2.17. | „Ereignis“ bezeichnet im Zusammenhang mit Bestimmungen zum Fahrmodusspeicher nach Nummer 8 eine Handlung oder einen eingetretenen Vor- oder Zwischenfall, die bzw. der im Fahrmodusspeicher gespeichert werden muss. |
| --- | --- |

2.17.

„Ereignis“ bezeichnet im Zusammenhang mit Bestimmungen zum Fahrmodusspeicher nach Nummer 8 eine Handlung oder einen eingetretenen Vor- oder Zwischenfall, die bzw. der im Fahrmodusspeicher gespeichert werden muss.

| 2.18. | „R157 Software-Identifikationsnummer (R157 SWIN)“ bezeichnet eine vom Fahrzeughersteller festgelegte spezielle Kennung zur Darstellung der typgenehmigungsrelevanten Software des elektronischen Steuersystems, die zu den typgenehmigungsrelevanten Merkmalen des Fahrzeugs nach Maßgabe der UN-Regelung Nr. 157 gehört. |
| --- | --- |

2.18.

„R157 Software-Identifikationsnummer (R157

| 2.19. | „Elektronisches Steuersystem“ bezeichnet eine Kombination von Baueinheiten, die bei der genannten automatischen Spurhaltefunktion mithilfe der elektronischen Datenverarbeitung zusammenwirken sollen. Diese Systeme, die üblicherweise durch Software gesteuert sind, bestehen aus diskreten Funktionsbauteilen, wie Sensoren, elektronischen Steuergeräten und Stellgliedern, und sind durch Übertragungsverbindungen miteinander verbunden. Sie können mechanische, elektropneumatische oder elektrohydraulische Bauelemente umfassen. |
| --- | --- |

2.19.

„Elektronisches Steuersystem“ bezeichnet eine Kombination von Baueinheiten, die bei der genannten automatischen Spurhaltefunktion mithilfe der elektronischen Datenverarbeitung zusammenwirken sollen. Diese Systeme, die üblicherweise durch Software gesteuert sind, bestehen aus diskreten Funktionsbauteilen, wie Sensoren, elektronischen Steuergeräten und Stellgliedern, und sind durch Übertragungsverbindungen miteinander verbunden. Sie können mechanische, elektropneumatische oder elektrohydraulische Bauelemente umfassen.

| 2.20. | „Software“ bezeichnet den Teil eines elektronischen Steuersystems, der aus digitalen Daten und Anweisungen besteht. |
| --- | --- |

2.20.

„Software“ bezeichnet den Teil eines elektronischen Steuersystems, der aus digitalen Daten und Anweisungen besteht.

3.   ANTRAG AUF GENEHMIGUNG

| 3.1. | Der Antrag auf Genehmigung eines Fahrzeugtyps hinsichtlich des ALKS ist vom Fahrzeughersteller oder dessen bevollmächtigtem Vertreter einzureichen. |
| --- | --- |

3.1.

Der Antrag auf Genehmigung eines Fahrzeugtyps hinsichtlich des ALKS ist vom Fahrzeughersteller oder dessen bevollmächtigtem Vertreter einzureichen.

| 3.2. | Dem Antrag ist in dreifacher Ausfertigung Folgendes beizufügen: |
| --- | --- |

3.2.

Dem Antrag ist in dreifacher Ausfertigung Folgendes beizufügen:

| 3.2.1. | eine Beschreibung des Fahrzeugtyps im Hinblick auf die unter Nummer 2.1.1 genannten Punkte sowie Dokumentation nach Anhang 4, die Angaben über die Grundkonzeption des ALKS und die Mittel zur Verbindung mit anderen Fahrzeugsystemen oder zur direkten Steuerung von Ausgangsgrößen enthält. Die Zahlen und/oder Symbole, die den Fahrzeugtyp festlegen, sind zu spezifizieren. |
| --- | --- |

3.2.1.

eine Beschreibung des Fahrzeugtyps im Hinblick auf die unter Nummer 2.1.1 genannten Punkte sowie Dokumentation nach Anhang 4, die Angaben über die Grundkonzeption des ALKS und die Mittel zur Verbindung mit anderen Fahrzeugsystemen oder zur direkten Steuerung von Ausgangsgrößen enthält. Die Zahlen und/oder Symbole, die den Fahrzeugtyp festlegen, sind zu spezifizieren.

| 3.3. | Ein Fahrzeug, das dem zu genehmigenden Typ entspricht, ist dem technischen Dienst zur Verfügung zu stellen, der die Prüfungen für die Genehmigung durchführt. |
| --- | --- |

3.3.

Ein Fahrzeug, das dem zu genehmigenden Typ entspricht, ist dem technischen Dienst zur Verfügung zu stellen, der die Prüfungen für die Genehmigung durchführt.

4.   GENEHMIGUNG

| 4.1. | Entspricht der zur Genehmigung nach dieser Regelung vorgeführte Fahrzeugtyp den Vorschriften der Nummern 5 bis 9, so ist die Genehmigung für diesen Fahrzeugtyp zu erteilen. |
| --- | --- |

4.1.

Entspricht der zur Genehmigung nach dieser Regelung vorgeführte Fahrzeugtyp den Vorschriften der Nummern 5 bis 9, so ist die Genehmigung für diesen Fahrzeugtyp zu erteilen.

| 4.2. | Jede Genehmigung umfasst die Zuteilung einer Genehmigungsnummer. Ihre ersten beiden Ziffern (derzeit 00 entsprechend der Änderungsserie 00 in ihrer ursprünglichen Fassung) geben die entsprechende Änderungsserie mit den neuesten, wichtigsten technischen Änderungen an, die zum Zeitpunkt der Erteilung der Genehmigung in die Regelung aufgenommen sind. Dieselbe Vertragspartei darf diese Nummer keinem anderen Fahrzeugtyp zuteilen. |
| --- | --- |

4.2.

Jede Genehmigung umfasst die Zuteilung einer Genehmigungsnummer. Ihre ersten beiden Ziffern (derzeit 00 entsprechend der Änderungsserie 00 in ihrer ursprünglichen Fassung) geben die entsprechende Änderungsserie mit den neuesten, wichtigsten technischen Änderungen an, die zum Zeitpunkt der Erteilung der Genehmigung in die Regelung aufgenommen sind. Dieselbe Vertragspartei darf diese Nummer keinem anderen Fahrzeugtyp zuteilen.

| 4.3. | Über die Erteilung oder Versagung oder Rücknahme einer Genehmigung für einen Fahrzeugtyp nach dieser Regelung sind die Parteien des Übereinkommens, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 1 dieser Regelung entspricht. Diesem Mitteilungsblatt sind Unterlagen in geeignetem Maßstab oder elektronischem Format beizufügen, die vom Antragsteller zur Verfügung zu stellen sind und deren Format nicht größer als A4 (210 mm × 297 mm) ist oder die auf dieses Format gefaltet sind. |
| --- | --- |

4.3.

Über die Erteilung oder Versagung oder Rücknahme einer Genehmigung für einen Fahrzeugtyp nach dieser Regelung sind die Parteien des Übereinkommens, die diese Regelung anwenden, mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 1 dieser Regelung entspricht. Diesem Mitteilungsblatt sind Unterlagen in geeignetem Maßstab oder elektronischem Format beizufügen, die vom Antragsteller zur Verfügung zu stellen sind und deren Format nicht größer als A4 (210 mm × 297 mm) ist oder die auf dieses Format gefaltet sind.

| 4.4. | An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die im Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen nach dem Muster in Anhang 2 anzubringen, bestehend aus: |
| --- | --- |

4.4.

An jedem Fahrzeug, das einem nach dieser Regelung genehmigten Fahrzeugtyp entspricht, ist sichtbar und an gut zugänglicher Stelle, die im Mitteilungsblatt anzugeben ist, ein internationales Genehmigungszeichen nach dem Muster in Anhang 2 anzubringen, bestehend aus:

| 4.4.1. | einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat (2); |
| --- | --- |

4.4.1.

einem Kreis, in dem sich der Buchstabe „E“ und die Kennzahl des Landes befinden, das die Genehmigung erteilt hat (2

| 4.4.2. | der Nummer dieser Regelung, mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis nach Nummer 4.4.1. |
| --- | --- |

4.4.2.

der Nummer dieser Regelung, mit dem nachgestellten Buchstaben „R“, einem Bindestrich und der Genehmigungsnummer rechts neben dem Kreis nach Nummer 4.4.1.

| 4.5. | Entspricht das Fahrzeug einem Fahrzeugtyp, der auch nach einer oder mehreren anderen Regelungen zum Übereinkommen in dem Land genehmigt wurde, das die Genehmigung nach dieser Regelung erteilt hat, so braucht das Zeichen nach Nummer 4.4.1 nicht wiederholt zu werden. In diesem Fall sind die Regelungs- und Genehmigungsnummern und die zusätzlichen Zeichen aller Regelungen, aufgrund deren die Genehmigung erteilt wurde, untereinander rechts neben dem Zeichen nach Nummer 4.4.1 anzuordnen. |
| --- | --- |

4.5.

Entspricht das Fahrzeug einem Fahrzeugtyp, der auch nach einer oder mehreren anderen Regelungen zum Übereinkommen in dem Land genehmigt wurde, das die Genehmigung nach dieser Regelung erteilt hat, so braucht das Zeichen nach Nummer 4.4.1 nicht wiederholt zu werden. In diesem Fall sind die Regelungs- und Genehmigungsnummern und die zusätzlichen Zeichen aller Regelungen, aufgrund deren die Genehmigung erteilt wurde, untereinander rechts neben dem Zeichen nach Nummer 4.4.1 anzuordnen.

| 4.6. | Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein. |
| --- | --- |

4.6.

Das Genehmigungszeichen muss deutlich lesbar und dauerhaft sein.

| 4.7. | Das Genehmigungszeichen ist in der Nähe des Typenschilds oder auf diesem selbst anzubringen. |
| --- | --- |

4.7.

Das Genehmigungszeichen ist in der Nähe des Typenschilds oder auf diesem selbst anzubringen.

5.   SYSTEMSICHERHEIT UND AUSFALLSICHERHEIT

| 5.1. | Allgemeine Anforderungen
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

5.1.

Allgemeine Anforderungen

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 5.1.1. | Das aktivierte System führt die dynamische Fahraufgabe aus, steuert alle Situationen einschließlich Störungen und darf keine unangemessenen Risiken für die Fahrzeuginsassen oder andere Verkehrsteilnehmer nach sich ziehen.
  Das aktivierte System darf keine nach vernünftigem Ermessen vorhersehbaren und vermeidbaren Zusammenstöße verursachen. Kann ein Zusammenstoß sicher verhindert werden, ohne dass ein weiterer Zusammenstoß verursacht wird, ist er zu verhindern. Ist das Fahrzeug in einen erkennbaren Zusammenstoß verwickelt, muss es zum Stillstand gebracht werden. |
| --- | --- |

5.1.1.

Das aktivierte System führt die dynamische Fahraufgabe aus, steuert alle Situationen einschließlich Störungen und darf keine unangemessenen Risiken für die Fahrzeuginsassen oder andere Verkehrsteilnehmer nach sich ziehen.

Das aktivierte System darf keine nach vernünftigem Ermessen vorhersehbaren und vermeidbaren Zusammenstöße verursachen. Kann ein Zusammenstoß sicher verhindert werden, ohne dass ein weiterer Zusammenstoß verursacht wird, ist er zu verhindern. Ist das Fahrzeug in einen erkennbaren Zusammenstoß verwickelt, muss es zum Stillstand gebracht werden.

| 5.1.2. | Das aktivierte System muss den im Einsatzland in Bezug auf die dynamische Fahraufgabe geltenden Straßenverkehrsvorschriften entsprechen. |
| --- | --- |

5.1.2.

Das aktivierte System muss den im Einsatzland in Bezug auf die dynamische Fahraufgabe geltenden Straßenverkehrsvorschriften entsprechen.

| 5.1.3. | Das aktivierte System muss die Systeme steuern, die benötigt werden, um den Fahrzeugführer bei der jederzeitigen Übernahme der manuellen Steuerung zu unterstützen (z. B. Frontscheibengebläse, Scheibenwischer und Beleuchtung). |
| --- | --- |

5.1.3.

Das aktivierte System muss die Systeme steuern, die benötigt werden, um den Fahrzeugführer bei der jederzeitigen Übernahme der manuellen Steuerung zu unterstützen (z. B. Frontscheibengebläse, Scheibenwischer und Beleuchtung).

| 5.1.4. | Die Sicherheit der Fahrzeuginsassen oder anderer Verkehrsteilnehmer darf durch eine Übernahmeaufforderung nicht gefährdet werden. |
| --- | --- |

5.1.4.

Die Sicherheit der Fahrzeuginsassen oder anderer Verkehrsteilnehmer darf durch eine Übernahmeaufforderung nicht gefährdet werden.

| 5.1.5. | Übernimmt der Fahrzeugführer die Steuerung der dynamischen Fahraufgabe in der Übernahmephase nicht, muss das System ein risikominimierendes Manöver durchführen. Während eines risikominimierenden Manövers hat das System die Gefahren für die Sicherheit der Fahrzeuginsassen und anderer Verkehrsteilnehmer zu minimieren. |
| --- | --- |

5.1.5.

Übernimmt der Fahrzeugführer die Steuerung der dynamischen Fahraufgabe in der Übernahmephase nicht, muss das System ein risikominimierendes Manöver durchführen. Während eines risikominimierenden Manövers hat das System die Gefahren für die Sicherheit der Fahrzeuginsassen und anderer Verkehrsteilnehmer zu minimieren.

| 5.1.6. | Das System muss Selbstprüfungen durchführen, um zu ermitteln, ob es zu Störungen gekommen ist, und um zu bestätigen, dass die Leistungsfähigkeit des Systems zu jeder Zeit gegeben ist (z. B. muss das System nach dem Anlassen des Fahrzeugs mindestens einmal einen Gegenstand in einer Entfernung erkannt haben, die mindestens dem nach Nummer 7.1 gemeldeten Erfassungsbereich entspricht). |
| --- | --- |

5.1.6.

Das System muss Selbstprüfungen durchführen, um zu ermitteln, ob es zu Störungen gekommen ist, und um zu bestätigen, dass die Leistungsfähigkeit des Systems zu jeder Zeit gegeben ist (z. B. muss das System nach dem Anlassen des Fahrzeugs mindestens einmal einen Gegenstand in einer Entfernung erkannt haben, die mindestens dem nach Nummer 7.1 gemeldeten Erfassungsbereich entspricht).

| 5.1.7. | Die Wirksamkeit des Systems darf nicht durch magnetische oder elektrische Felder beeinträchtigt werden. Dies ist durch Einhaltung der UNECE-Regelung Nr. 10 Änderungsserie 05 oder einer späteren Änderungsserie nachzuweisen. |
| --- | --- |

5.1.7.

Die Wirksamkeit des Systems darf nicht durch magnetische oder elektrische Felder beeinträchtigt werden. Dies ist durch Einhaltung der UNECE-Regelung Nr. 10 Änderungsserie 05 oder einer späteren Änderungsserie nachzuweisen.

| 5.1.8. | Der Hersteller hat Maßnahmen gegen eine vernünftigerweise vorhersehbare Fehlanwendung durch den Fahrzeugführer und gegen die Manipulation des Systems zu ergreifen. |
| --- | --- |

5.1.8.

Der Hersteller hat Maßnahmen gegen eine vernünftigerweise vorhersehbare Fehlanwendung durch den Fahrzeugführer und gegen die Manipulation des Systems zu ergreifen.

| 5.1.9. | Kann das System den Vorschriften dieser Regelung nicht mehr entsprechen, darf die Aktivierung des Systems nicht mehr möglich sein.
  Der Hersteller hat ein Verfahren zur Gewährleistung der Sicherheit und dauerhaften Konformität des ALKS über seine gesamte Lebensdauer anzugeben und umzusetzen. |
| --- | --- |

5.1.9.

Kann das System den Vorschriften dieser Regelung nicht mehr entsprechen, darf die Aktivierung des Systems nicht mehr möglich sein.

Der Hersteller hat ein Verfahren zur Gewährleistung der Sicherheit und dauerhaften Konformität des ALKS über seine gesamte Lebensdauer anzugeben und umzusetzen.

| 5.2. | Dynamische Fahraufgabe
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

5.2.

Dynamische Fahraufgabe

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 5.2.1. | Das aktivierte System hält das Fahrzeug innerhalb seiner Fahrspur und stellt sicher, dass das Fahrzeug keine Fahrbahnmarkierung überquert (Außenkante des Vorderreifens zum äußersten Rand der Fahrbahnmarkierung). Das System soll das Fahrzeug in einer stabilen seitlichen Position innerhalb der Fahrspur halten, um eine Verwirrung der anderen Verkehrsteilnehmer zu vermeiden. |
| --- | --- |

5.2.1.

Das aktivierte System hält das Fahrzeug innerhalb seiner Fahrspur und stellt sicher, dass das Fahrzeug keine Fahrbahnmarkierung überquert (Außenkante des Vorderreifens zum äußersten Rand der Fahrbahnmarkierung). Das System soll das Fahrzeug in einer stabilen seitlichen Position innerhalb der Fahrspur halten, um eine Verwirrung der anderen Verkehrsteilnehmer zu vermeiden.

| 5.2.2. | Das aktivierte System muss ein nach Nummer 7.1.2 seitlich fahrendes Fahrzeug erkennen und gegebenenfalls die Geschwindigkeit und/oder die seitliche Position des Fahrzeugs innerhalb seiner Fahrspur entsprechend anpassen. |
| --- | --- |

5.2.2.

Das aktivierte System muss ein nach Nummer 7.1.2 seitlich fahrendes Fahrzeug erkennen und gegebenenfalls die Geschwindigkeit und/oder die seitliche Position des Fahrzeugs innerhalb seiner Fahrspur entsprechend anpassen.

| 5.2.3. | Das aktivierte System muss die Geschwindigkeit des Fahrzeugs steuern. |
| --- | --- |

5.2.3.

Das aktivierte System muss die Geschwindigkeit des Fahrzeugs steuern.

| 5.2.3.1. | Das System darf bis zu einer Höchstgeschwindigkeit von 60 km/h betrieben werden. |
| --- | --- |

5.2.3.1.

Das System darf bis zu einer Höchstgeschwindigkeit von 60 km/h betrieben werden.

| 5.2.3.2. | Das aktivierte System muss die Fahrzeuggeschwindigkeit an die Bedingungen der Infrastruktur und der Umgebung anpassen (z. B. an Kurven mit engem Radius, ungünstige Wetterbedingungen). |
| --- | --- |

5.2.3.2.

Das aktivierte System muss die Fahrzeuggeschwindigkeit an die Bedingungen der Infrastruktur und der Umgebung anpassen (z. B. an Kurven mit engem Radius, ungünstige Wetterbedingungen).

| 5.2.3.3. | Das aktivierte System muss die Entfernung zum nächsten vorausfahrenden Fahrzeug nach Nummer 7.1.1 erkennen und die Fahrzeuggeschwindigkeit zwecks Verhinderung eines Zusammenstoßes anpassen.
  Solange das ALKS-Fahrzeug (im Folgenden „ALKS-Fahrzeug“) nicht stillsteht, passt das System die Geschwindigkeit so an, dass der Abstand zu einem in derselben Fahrspur fahrenden Fahrzeug gleich oder größer als der Mindestabstand ist.
  Kann die Mindestzeitspanne wegen anderer Verkehrsteilnehmer vorübergehend nicht eingehalten werden (z. B. wegen Einscheren eines Fahrzeugs, Verlangsamung eines vorausfahrenden Fahrzeugs usw.), so passt das Fahrzeug den Mindestabstand bei der nächstmöglichen Gelegenheit ohne starkes Bremsen an, sofern kein Notfallmanöver erforderlich ist.
  Der Mindestabstand ist anhand folgender Formel zu berechnen:
  dmin= vALKS* tfront

  Dabei gilt:







  dmin | = | Mindestabstand |
| --- | --- | --- | --- |
| vALKS | = | die aktuelle Geschwindigkeit des ALKS-Fahrzeugs in m/s |
| tfront | = | Mindestzeitspanne in Sekunden zwischen dem ALKS-Fahrzeug und einem vorausfahrenden Fahrzeug gemäß folgender Tabelle: |

5.2.3.3.

Das aktivierte System muss die Entfernung zum nächsten vorausfahrenden Fahrzeug nach Nummer 7.1.1 erkennen und die Fahrzeuggeschwindigkeit zwecks Verhinderung eines Zusammenstoßes anpassen.

Solange das ALKS-Fahrzeug (im Folgenden „ALKS-Fahrzeug“) nicht stillsteht, passt das System die Geschwindigkeit so an, dass der Abstand zu einem in derselben Fahrspur fahrenden Fahrzeug gleich oder größer als der Mindestabstand ist.

Kann die Mindestzeitspanne wegen anderer Verkehrsteilnehmer vorübergehend nicht eingehalten werden (z. B. wegen Einscheren eines Fahrzeugs, Verlangsamung eines vorausfahrenden Fahrzeugs usw.), so passt das Fahrzeug den Mindestabstand bei der nächstmöglichen Gelegenheit ohne starkes Bremsen an, sofern kein Notfallmanöver erforderlich ist.

Der Mindestabstand ist anhand folgender Formel zu berechnen:

dmin= vALKS* tfront

min

ALKS

front

Dabei gilt:

dmin

min

=

Mindestabstand

vALKS

ALKS

=

die aktuelle Geschwindigkeit des ALKS-Fahrzeugs in m/s

tfront

front

=

Mindestzeitspanne in Sekunden zwischen dem ALKS-Fahrzeug und einem vorausfahrenden Fahrzeug gemäß folgender Tabelle:

| Aktuelle Geschwindigkeit des ALKS-Fahrzeugs | Mindestzeitspanne | Mindestabstand |
| --- | --- | --- |
| (in km/h) | (in m/s) | (s) | (m) |
| 7,2 | 2,0 | 1,0 | 2,0 |
| 10 | 2,78 | 1,1 | 3,1 |
| 20 | 5,56 | 1,2 | 6,7 |
| 30 | 8,33 | 1,3 | 10,8 |
| 40 | 11,11 | 1,4 | 15,6 |
| 50 | 13,89 | 1,5 | 20,8 |
| 60 | 16,67 | 1,6 | 26,7 |

Aktuelle Geschwindigkeit des ALKS-Fahrzeugs

Aktuelle Geschwindigkeit des ALKS-Fahrzeugs

Mindestzeitspanne

Mindestzeitspanne

Mindestabstand

Mindestabstand

(in km/h)

(in m/s)

(s)

(m)

7,2

2,0

1,0

2,0

10

2,78

1,1

3,1

20

5,56

1,2

6,7

30

8,33

1,3

10,8

40

11,11

1,4

15,6

50

13,89

1,5

20,8

60

16,67

1,6

26,7

Bei nicht in der Tabelle aufgeführten Geschwindigkeitswerten ist die lineare Interpolation anzuwenden.

Ungeachtet des anhand vorstehender Formel errechneten Werts darf der Mindestabstand bei einer aktuellen Geschwindigkeit unter 2 m/s nie weniger als 2 m betragen.

| 5.2.4. | Das aktivierte System muss fähig sein, das Fahrzeug hinter einem stehenden Fahrzeug, einem stehenden Verkehrsteilnehmer oder einer blockierten Fahrspur zum vollständigen Stillstand zu bringen, um einen Zusammenstoß zu verhindern. Dies muss bis zur maximalen Betriebsgeschwindigkeit des Systems gewährleistet sein. |
| --- | --- |

5.2.4.

Das aktivierte System muss fähig sein, das Fahrzeug hinter einem stehenden Fahrzeug, einem stehenden Verkehrsteilnehmer oder einer blockierten Fahrspur zum vollständigen Stillstand zu bringen, um einen Zusammenstoß zu verhindern. Dies muss bis zur maximalen Betriebsgeschwindigkeit des Systems gewährleistet sein.

| 5.2.5. | Das aktivierte System muss erkennen, dass aufgrund eines langsamer werdenden vorausfahrenden Fahrzeugs, eines einscherenden Fahrzeugs oder eines plötzlich erscheinenden Hindernisses die Gefahr eines Zusammenstoßes insbesondere mit einem vor dem Fahrzeug oder seitlich des Fahrzeugs befindlichen anderen Verkehrsteilnehmer besteht, und automatisch geeignete Manöver durchführen, um die Gefahr für die Sicherheit der Fahrzeuginsassen und anderer Verkehrsteilnehmer zu minimieren.
  In Fällen, die nicht unter den Nummern 5.2.4 und 5.2.5 oder den jeweiligen Unterabsätzen genannt sind, ist dies zumindest in dem Maße sicherzustellen, in dem ein geübter und umsichtig handelnder menschlicher Fahrzeugführer die Risiken begrenzen könnte. Dies ist im Rahmen der Bewertung nach Anhang 4 und unter Berücksichtigung der Vorgaben aus Anlage 3 zu Anhang 4 nachzuweisen. |
| --- | --- |

5.2.5.

Das aktivierte System muss erkennen, dass aufgrund eines langsamer werdenden vorausfahrenden Fahrzeugs, eines einscherenden Fahrzeugs oder eines plötzlich erscheinenden Hindernisses die Gefahr eines Zusammenstoßes insbesondere mit einem vor dem Fahrzeug oder seitlich des Fahrzeugs befindlichen anderen Verkehrsteilnehmer besteht, und automatisch geeignete Manöver durchführen, um die Gefahr für die Sicherheit der Fahrzeuginsassen und anderer Verkehrsteilnehmer zu minimieren.

In Fällen, die nicht unter den Nummern 5.2.4 und 5.2.5 oder den jeweiligen Unterabsätzen genannt sind, ist dies zumindest in dem Maße sicherzustellen, in dem ein geübter und umsichtig handelnder menschlicher Fahrzeugführer die Risiken begrenzen könnte. Dies ist im Rahmen der Bewertung nach Anhang 4 und unter Berücksichtigung der Vorgaben aus Anlage 3 zu Anhang 4 nachzuweisen.

| 5.2.5.1. | Das aktivierte System muss einen Zusammenstoß mit einem bis zu seiner maximalen Bremsleistung abbremsenden vorausfahrenden Fahrzeug verhindern, sofern der Mindestabstand, an den sich das ALKS-Fahrzeug im Falle eines Einscherens des vorausfahrenden Fahrzeugs bei der aktuellen Geschwindigkeit anpassen würde, nicht unterschritten wird. |
| --- | --- |

5.2.5.1.

Das aktivierte System muss einen Zusammenstoß mit einem bis zu seiner maximalen Bremsleistung abbremsenden vorausfahrenden Fahrzeug verhindern, sofern der Mindestabstand, an den sich das ALKS-Fahrzeug im Falle eines Einscherens des vorausfahrenden Fahrzeugs bei der aktuellen Geschwindigkeit anpassen würde, nicht unterschritten wird.

| 5.2.5.2. | Das aktivierte System muss den Zusammenstoß mit einem einscherenden Fahrzeug verhindern,






  a) | sofern das einscherende Fahrzeug seine Längsgeschwindigkeit beibehält, die geringer ist als die Längsgeschwindigkeit des ALKS-Fahrzeugs, und |
| --- | --- | --- |

5.2.5.2.

Das aktivierte System muss den Zusammenstoß mit einem einscherenden Fahrzeug verhindern,

a)

sofern das einscherende Fahrzeug seine Längsgeschwindigkeit beibehält, die geringer ist als die Längsgeschwindigkeit des ALKS-Fahrzeugs, und

| b) | sofern die Querbewegung des einscherenden Fahrzeugs mindestens 0,72 Sekunden lang vor Erreichen des Bezugspunkts für den TTCLaneIntrusion-Zeitwert (Time to Collision — Zeit bis zum Zusammenstoß) sichtbar war, |
| --- | --- |

b)

sofern die Querbewegung des einscherenden Fahrzeugs mindestens 0,72 Sekunden lang vor Erreichen des Bezugspunkts für den TTCLaneIntrusion-Zeitwert (Time to Collision — Zeit bis zum Zusammenstoß) sichtbar war,

LaneIntrusion

| c) | wobei der Abstand zwischen der Front des Fahrzeugs und dem Heck des einscherenden Fahrzeugs einem anhand folgender Gleichung errechneten TTC-Zeitwert entspricht:





  Es gilt:







  Vrel | = | relative Geschwindigkeit zwischen beiden Fahrzeugen, wobei der Wert positiv ist, wenn das Fahrzeug schneller ist als das einscherende Fahrzeug |
| --- | --- | --- | --- |
| TTCLaneIntrusion | = | der TTC-Zeitwert, wenn die Reifenaußenseite des der Fahrspurmarkierung nächstgelegenen Vorderrads des eindringenden Fahrzeugs eine Linie kreuzt, die 0,3 m über den äußersten Rand der sichtbaren Fahrspurmarkierung herausragt, auf die sich das eindringende Fahrzeug zubewegt. |

c)

wobei der Abstand zwischen der Front des Fahrzeugs und dem Heck des einscherenden Fahrzeugs einem anhand folgender Gleichung errechneten TTC-Zeitwert entspricht:

Image 15

Es gilt:

Vrel

rel

=

relative Geschwindigkeit zwischen beiden Fahrzeugen, wobei der Wert positiv ist, wenn das Fahrzeug schneller ist als das einscherende Fahrzeug

TTCLaneIntrusion

LaneIntrusion

=

der TTC-Zeitwert, wenn die Reifenaußenseite des der Fahrspurmarkierung nächstgelegenen Vorderrads des eindringenden Fahrzeugs eine Linie kreuzt, die 0,3 m über den äußersten Rand der sichtbaren Fahrspurmarkierung herausragt, auf die sich das eindringende Fahrzeug zubewegt.

| 5.2.5.3. | Das aktivierte System muss den Zusammenstoß mit einem vor der Stirnseite des Fahrzeugs ungehindert querenden Fußgänger verhindern.
  In einem Szenario, in dem ein Fußgänger mit einer Quergeschwindigkeitskomponente von nicht mehr als 5 km/h ungehindert quert und der vorhergesehene Aufprallpunkt um nicht mehr als 0,2 m gegenüber der Längsmittelebene des Fahrzeugs verschoben ist, muss das aktivierte ALKS einen Zusammenstoß bis zur maximalen Betriebsgeschwindigkeit des Systems verhindern. |
| --- | --- |

5.2.5.3.

Das aktivierte System muss den Zusammenstoß mit einem vor der Stirnseite des Fahrzeugs ungehindert querenden Fußgänger verhindern.

In einem Szenario, in dem ein Fußgänger mit einer Quergeschwindigkeitskomponente von nicht mehr als 5 km/h ungehindert quert und der vorhergesehene Aufprallpunkt um nicht mehr als 0,2 m gegenüber der Längsmittelebene des Fahrzeugs verschoben ist, muss das aktivierte ALKS einen Zusammenstoß bis zur maximalen Betriebsgeschwindigkeit des Systems verhindern.

| 5.2.5.4. | Es wird anerkannt, dass die Erfüllung der Vorschrift unter Nummer 5.2.5 unter anderen als den oben dargelegten Bedingungen möglicherweise nicht vollständig erreicht werden kann. Das System darf jedoch die Steuerstrategie unter diesen anderen Bedingungen nicht deaktivieren oder in unangemessener Weise ändern. Dies ist nach Anhang 4 dieser Regelung nachzuweisen. |
| --- | --- |

5.2.5.4.

Es wird anerkannt, dass die Erfüllung der Vorschrift unter Nummer 5.2.5 unter anderen als den oben dargelegten Bedingungen möglicherweise nicht vollständig erreicht werden kann. Das System darf jedoch die Steuerstrategie unter diesen anderen Bedingungen nicht deaktivieren oder in unangemessener Weise ändern. Dies ist nach Anhang 4 dieser Regelung nachzuweisen.

| 5.3. | Notfallmanöver (Emergency Manoeuvre — EM)
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

5.3.

Notfallmanöver (Emergency Manoeuvre — EM)

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 5.3.1. | Bei Gefahr eines unmittelbar bevorstehenden Zusammenstoßes muss ein Notfallmanöver durchgeführt werden. |
| --- | --- |

5.3.1.

Bei Gefahr eines unmittelbar bevorstehenden Zusammenstoßes muss ein Notfallmanöver durchgeführt werden.

| 5.3.1.1. | Jede Längsverzögerungsanforderung des Systems von mehr als 5,0 m/s2 gilt als Notfallmanöver. |
| --- | --- |

5.3.1.1.

Jede Längsverzögerungsanforderung des Systems von mehr als 5,0 m/s2

| 5.3.2. | Bei diesem Manöver muss das Fahrzeug erforderlichenfalls bis zur maximalen Bremsleistung abbremsen und/oder kann gegebenenfalls ein automatisches Ausweichmanöver durchführen.
  Sind die Brems- oder Lenkleistung des Systems durch Störungen beeinträchtigt, ist das Manöver unter Berücksichtigung der verbleibenden Leistung durchzuführen.
  Während des Ausweichmanövers darf das ALKS-Fahrzeug die Fahrspurmarkierung nicht überqueren (Außenkante des Vorderrads zum äußersten Rand der Fahrspurmarkierung).
  Nach dem Ausweichmanöver muss das Fahrzeug möglichst wieder in eine stabile Position gebracht werden. |
| --- | --- |

5.3.2.

Bei diesem Manöver muss das Fahrzeug erforderlichenfalls bis zur maximalen Bremsleistung abbremsen und/oder kann gegebenenfalls ein automatisches Ausweichmanöver durchführen.

Sind die Brems- oder Lenkleistung des Systems durch Störungen beeinträchtigt, ist das Manöver unter Berücksichtigung der verbleibenden Leistung durchzuführen.

Während des Ausweichmanövers darf das ALKS-Fahrzeug die Fahrspurmarkierung nicht überqueren (Außenkante des Vorderrads zum äußersten Rand der Fahrspurmarkierung).

Nach dem Ausweichmanöver muss das Fahrzeug möglichst wieder in eine stabile Position gebracht werden.

| 5.3.3. | Das Notfallmanöver darf nur beendet werden, wenn die Gefahr eines unmittelbar bevorstehenden Zusammenstoßes nicht mehr besteht oder wenn der Fahrzeugführer das System deaktiviert hat. |
| --- | --- |

5.3.3.

Das Notfallmanöver darf nur beendet werden, wenn die Gefahr eines unmittelbar bevorstehenden Zusammenstoßes nicht mehr besteht oder wenn der Fahrzeugführer das System deaktiviert hat.

| 5.3.3.1. | Nach Beendigung des Notfallmanövers muss das System weiterhin in Betrieb sein. |
| --- | --- |

5.3.3.1.

Nach Beendigung des Notfallmanövers muss das System weiterhin in Betrieb sein.

| 5.3.3.2. | Kommt das Fahrzeug durch das Notfallmanöver zum Stillstand, muss das Signal zur Aktivierung des Warnblinklichts ausgelöst werden. Fährt das Fahrzeug automatisch wieder an, muss automatisch das Signal zur Deaktivierung des Warnblinklichts ausgelöst werden. |
| --- | --- |

5.3.3.2.

Kommt das Fahrzeug durch das Notfallmanöver zum Stillstand, muss das Signal zur Aktivierung des Warnblinklichts ausgelöst werden. Fährt das Fahrzeug automatisch wieder an, muss automatisch das Signal zur Deaktivierung des Warnblinklichts ausgelöst werden.

| 5.3.4. | Das Fahrzeug muss das in der UN-Regelung Nr. 13-H beschriebene Steuersignal zur Anzeige einer Notbremsung erzeugen. |
| --- | --- |

5.3.4.

Das Fahrzeug muss das in der UN-Regelung Nr. 13-H beschriebene Steuersignal zur Anzeige einer Notbremsung erzeugen.

| 5.4. | Übernahmeaufforderung und Betrieb des Systems in der Übernahmephase
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

5.4.

Übernahmeaufforderung und Betrieb des Systems in der Übernahmephase

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 5.4.1. | Das aktivierte System muss alle Situationen erkennen, in denen es die Steuerung wieder an den Fahrzeugführer übergeben muss.
  Der Fahrzeughersteller hat die Arten von Situationen, in denen das Fahrzeug eine Übernahmeaufforderung an den Fahrzeugführer auslöst, anzugeben und in die Dokumentation nach Anhang 4 aufzunehmen. |
| --- | --- |

5.4.1.

Das aktivierte System muss alle Situationen erkennen, in denen es die Steuerung wieder an den Fahrzeugführer übergeben muss.

Der Fahrzeughersteller hat die Arten von Situationen, in denen das Fahrzeug eine Übernahmeaufforderung an den Fahrzeugführer auslöst, anzugeben und in die Dokumentation nach Anhang 4 aufzunehmen.

| 5.4.2. | Die Übernahmeaufforderung ist so auszulösen, dass ausreichend Zeit für den sicheren Übergang in den manuellen Fahrmodus gewährleistet ist. |
| --- | --- |

5.4.2.

Die Übernahmeaufforderung ist so auszulösen, dass ausreichend Zeit für den sicheren Übergang in den manuellen Fahrmodus gewährleistet ist.

| 5.4.2.1. | Im Falle eines geplanten Ereignisses, das das Spurhalteassistenzsystem an der Fortsetzung des Vorgangs hindern würde, muss die Übernahmeaufforderung so frühzeitig ausgelöst werden, dass das risikominimierende Manöver das Fahrzeug vor Eintritt des geplanten Ereignisses zum Stillstand bringen kann, falls der Fahrzeugführer die Steuerung nicht übernimmt. |
| --- | --- |

5.4.2.1.

Im Falle eines geplanten Ereignisses, das das Spurhalteassistenzsystem an der Fortsetzung des Vorgangs hindern würde, muss die Übernahmeaufforderung so frühzeitig ausgelöst werden, dass das risikominimierende Manöver das Fahrzeug vor Eintritt des geplanten Ereignisses zum Stillstand bringen kann, falls der Fahrzeugführer die Steuerung nicht übernimmt.

| 5.4.2.2. | Im Falle eines ungeplanten Ereignisses muss bei Erkennen eines solchen Ereignisses eine Übernahmeaufforderung ausgelöst werden. |
| --- | --- |

5.4.2.2.

Im Falle eines ungeplanten Ereignisses muss bei Erkennen eines solchen Ereignisses eine Übernahmeaufforderung ausgelöst werden.

| 5.4.2.3. | Ist die Funktion des Systems durch eine Störung beeinträchtigt, muss das System bei Erkennen einer solchen Störung unverzüglich eine Übernahmeaufforderung auslösen. |
| --- | --- |

5.4.2.3.

Ist die Funktion des Systems durch eine Störung beeinträchtigt, muss das System bei Erkennen einer solchen Störung unverzüglich eine Übernahmeaufforderung auslösen.

| 5.4.3. | Das System muss in der Übernahmephase weiter in Betrieb bleiben. Das System kann die Geschwindigkeit des Fahrzeugs herabsetzen, um den sicheren Betrieb des Fahrzeugs zu gewährleisten, darf es aber nicht zum Stillstand bringen, es sei denn, dies ist situationsbedingt erforderlich (etwa weil andere Fahrzeuge oder Hindernisse den Fahrweg des Fahrzeugs blockieren) oder der Stillstand wurde durch eine haptische Warnung nach Nummer 6.4.1 bei einer Geschwindigkeit unter 20 km/h verursacht. |
| --- | --- |

5.4.3.

Das System muss in der Übernahmephase weiter in Betrieb bleiben. Das System kann die Geschwindigkeit des Fahrzeugs herabsetzen, um den sicheren Betrieb des Fahrzeugs zu gewährleisten, darf es aber nicht zum Stillstand bringen, es sei denn, dies ist situationsbedingt erforderlich (etwa weil andere Fahrzeuge oder Hindernisse den Fahrweg des Fahrzeugs blockieren) oder der Stillstand wurde durch eine haptische Warnung nach Nummer 6.4.1 bei einer Geschwindigkeit unter 20 km/h verursacht.

| 5.4.3.1. | Wurde das Fahrzeug zum Stillstand gebracht, kann es in diesem Zustand bleiben und muss binnen 5 Sekunden das Signal zur Aktivierung des Warnblinklichts erzeugen. |
| --- | --- |

5.4.3.1.

Wurde das Fahrzeug zum Stillstand gebracht, kann es in diesem Zustand bleiben und muss binnen 5 Sekunden das Signal zur Aktivierung des Warnblinklichts erzeugen.

| 5.4.3.2. | In der Übernahmephase muss sich die Übernahmeaufforderung spätestens 4 s nach Beginn der Übernahmeaufforderung verstärken. |
| --- | --- |

5.4.3.2.

In der Übernahmephase muss sich die Übernahmeaufforderung spätestens 4 s nach Beginn der Übernahmeaufforderung verstärken.

| 5.4.4. | Eine Übernahmeaufforderung darf nur beendet werden, nachdem das System deaktiviert oder ein risikominimierendes Manöver eingeleitet wurde. |
| --- | --- |

5.4.4.

Eine Übernahmeaufforderung darf nur beendet werden, nachdem das System deaktiviert oder ein risikominimierendes Manöver eingeleitet wurde.

| 5.4.4.1. | Reagiert der Fahrzeugführer nicht auf eine Übernahmeaufforderung, indem er das System (wie unter den Nummern 6.2.4 oder 6.2.5 beschrieben) deaktiviert, ist frühestens binnen 10 Sekunden nach Beginn der Übernahmeaufforderung ein risikominimierendes Manöver einzuleiten. |
| --- | --- |

5.4.4.1.

Reagiert der Fahrzeugführer nicht auf eine Übernahmeaufforderung, indem er das System (wie unter den Nummern 6.2.4 oder 6.2.5 beschrieben) deaktiviert, ist frühestens binnen 10 Sekunden nach Beginn der Übernahmeaufforderung ein risikominimierendes Manöver einzuleiten.

| 5.4.4.1.1. | Unbeschadet der Nummer 5.4.4.1 kann ein risikominimierendes Manöver im Falle einer schwerwiegenden Störung des ALKS oder des Fahrzeugs unverzüglich eingeleitet werden.
  Auch wenn das ALKS im Falle einer schwerwiegenden Störung des ALKS oder des Fahrzeugs nicht mehr in der Lage ist, die Vorschriften dieser Regelung zu erfüllen, sollte es die sichere Übergabe der Steuerung an den Fahrzeugführer ermöglichen. |
| --- | --- |

5.4.4.1.1.

Unbeschadet der Nummer 5.4.4.1 kann ein risikominimierendes Manöver im Falle einer schwerwiegenden Störung des ALKS oder des Fahrzeugs unverzüglich eingeleitet werden.

Auch wenn das ALKS im Falle einer schwerwiegenden Störung des ALKS oder des Fahrzeugs nicht mehr in der Lage ist, die Vorschriften dieser Regelung zu erfüllen, sollte es die sichere Übergabe der Steuerung an den Fahrzeugführer ermöglichen.

| 5.4.4.1.2. | Der Hersteller hat anzugeben, bei welchen Arten von schwerwiegenden Fahrzeug- und ALKS-Störungen das ALKS unverzüglich ein risikominimierendes Manöver einleitet. |
| --- | --- |

5.4.4.1.2.

Der Hersteller hat anzugeben, bei welchen Arten von schwerwiegenden Fahrzeug- und ALKS-Störungen das ALKS unverzüglich ein risikominimierendes Manöver einleitet.

| 5.5. | Risikominimierendes Manöver (Minimum Risk Manoeuvre — MRM)
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

5.5.

Risikominimierendes Manöver (Minimum Risk Manoeuvre — MRM)

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 (insbesondere im Hinblick auf nicht nach Anhang 5 geprüfte Bedingungen) und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 5.5.1. | Das Fahrzeug muss beim risikominimierenden Manöver innerhalb der Fahrspur abgebremst werden oder, sollten die Fahrspurmarkierungen nicht sichtbar sein, unter Berücksichtigung des umgebenden Straßenverkehrs und der Straßeninfrastruktur auf einer angemessenen Bahn bleiben, wobei eine Bremsanforderung von maximal 4,0 m/s2 erreicht werden sollte.
  Höhere Bremsanforderungswerte sind für sehr kurze Zeiträume zulässig, z. B. als haptische Warnung, um die Aufmerksamkeit des Fahrzeugführers zu erregen, oder wenn eine schwerwiegende ALKS- oder Fahrzeugstörung vorliegt.
  Zusätzlich muss bei Beginn des risikominimierenden Manövers das Signal zur Aktivierung des Warnblinklichts erzeugt werden. |
| --- | --- |

5.5.1.

Das Fahrzeug muss beim risikominimierenden Manöver innerhalb der Fahrspur abgebremst werden oder, sollten die Fahrspurmarkierungen nicht sichtbar sein, unter Berücksichtigung des umgebenden Straßenverkehrs und der Straßeninfrastruktur auf einer angemessenen Bahn bleiben, wobei eine Bremsanforderung von maximal 4,0 m/s2

Höhere Bremsanforderungswerte sind für sehr kurze Zeiträume zulässig, z. B. als haptische Warnung, um die Aufmerksamkeit des Fahrzeugführers zu erregen, oder wenn eine schwerwiegende ALKS- oder Fahrzeugstörung vorliegt.

Zusätzlich muss bei Beginn des risikominimierenden Manövers das Signal zur Aktivierung des Warnblinklichts erzeugt werden.

| 5.5.2. | Das risikominimierende Manöver bringt das Fahrzeug zum Stillstand, es sei denn, das System wird während des Manövers vom Fahrzeugführer deaktiviert. |
| --- | --- |

5.5.2.

Das risikominimierende Manöver bringt das Fahrzeug zum Stillstand, es sei denn, das System wird während des Manövers vom Fahrzeugführer deaktiviert.

| 5.5.3. | Das risikominimierende Manöver darf nur beendet werden, nachdem das System deaktiviert wurde oder das System das Fahrzeug zum Stillstand gebracht hat. |
| --- | --- |

5.5.3.

Das risikominimierende Manöver darf nur beendet werden, nachdem das System deaktiviert wurde oder das System das Fahrzeug zum Stillstand gebracht hat.

| 5.5.4. | Am Ende eines risikominimierenden Manövers muss das System immer deaktiviert werden.
  Das Warnblinklicht bleibt aktiviert, sofern es nicht manuell deaktiviert wurde; zudem darf sich das Fahrzeug nicht ohne manuelles Eingreifen wegbewegen, nachdem es zum Stillstand gebracht wurde. |
| --- | --- |

5.5.4.

Am Ende eines risikominimierenden Manövers muss das System immer deaktiviert werden.

Das Warnblinklicht bleibt aktiviert, sofern es nicht manuell deaktiviert wurde; zudem darf sich das Fahrzeug nicht ohne manuelles Eingreifen wegbewegen, nachdem es zum Stillstand gebracht wurde.

| 5.5.5. | Die Reaktivierung des Systems nach dem Ende eines risikominimierenden Manövers darf nur nach einem erneuten Motorstart-/Laufzyklus möglich sein. |
| --- | --- |

5.5.5.

Die Reaktivierung des Systems nach dem Ende eines risikominimierenden Manövers darf nur nach einem erneuten Motorstart-/Laufzyklus möglich sein.

6.   MENSCH-MASCHINE-SCHNITTSTELLE/FAHRERINFORMATION

| 6.1. | System zur Erkennung der Fahrerverfügbarkeit
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

6.1.

System zur Erkennung der Fahrerverfügbarkeit

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 6.1.1. | Das System muss ein System zur Erkennung der Fahrerverfügbarkeit umfassen.
  Das System zur Erkennung der Fahrerverfügbarkeit muss erkennen, ob der Fahrzeugführer anwesend ist und eine Lenkhaltung eingenommen hat, ob der Fahrzeugführer den Sicherheitsgurt angelegt hat und ob er verfügbar ist, sodass er die Fahraufgabe übernehmen kann. |
| --- | --- |

6.1.1.

Das System muss ein System zur Erkennung der Fahrerverfügbarkeit umfassen.

Das System zur Erkennung der Fahrerverfügbarkeit muss erkennen, ob der Fahrzeugführer anwesend ist und eine Lenkhaltung eingenommen hat, ob der Fahrzeugführer den Sicherheitsgurt angelegt hat und ob er verfügbar ist, sodass er die Fahraufgabe übernehmen kann.

| 6.1.2. | Fahreranwesenheit
  Eine Übernahmeaufforderung muss nach Nummer 5.4 ausgelöst werden, wenn eine der folgenden Bedingungen erfüllt ist:






  a) | Es wird erkannt, dass sich der Fahrzeugführer für höchstens eine Sekunde nicht auf dem Sitz befindet, oder |
| --- | --- | --- |

6.1.2.

Fahreranwesenheit

Eine Übernahmeaufforderung muss nach Nummer 5.4 ausgelöst werden, wenn eine der folgenden Bedingungen erfüllt ist:

a)

Es wird erkannt, dass sich der Fahrzeugführer für höchstens eine Sekunde nicht auf dem Sitz befindet, oder

| b) | der Sicherheitsgurt des Fahrzeugführers wird gelöst. |
| --- | --- |

b)

der Sicherheitsgurt des Fahrzeugführers wird gelöst.

Anstelle eines akustischen Warnsignals der Übernahmeaufforderung kann die zweite Warnung der Sicherheitsgurt-Warneinrichtung gemäß UN-R16 verwendet werden.

| 6.1.3. | Fahrerverfügbarkeit
  Das System muss durch Überwachung des Fahrzeugführers erkennen, ob dieser verfügbar ist und ob er sich in einer geeigneten Lenkposition befindet, um auf eine Übernahmeaufforderung reagieren zu können.
  Der Hersteller hat zur Zufriedenheit des technischen Dienstes nachzuweisen, dass das Fahrzeug erkennen kann, dass der Fahrer verfügbar ist, um die Fahraufgabe zu übernehmen. |
| --- | --- |

6.1.3.

Fahrerverfügbarkeit

Das System muss durch Überwachung des Fahrzeugführers erkennen, ob dieser verfügbar ist und ob er sich in einer geeigneten Lenkposition befindet, um auf eine Übernahmeaufforderung reagieren zu können.

Der Hersteller hat zur Zufriedenheit des technischen Dienstes nachzuweisen, dass das Fahrzeug erkennen kann, dass der Fahrer verfügbar ist, um die Fahraufgabe zu übernehmen.

| 6.1.3.1. | Kriterien für die Beurteilung der Fahrerverfügbarkeit
  Der Fahrzeugführer gilt als nicht verfügbar, wenn nicht in den vorangegangenen 30 Sekunden anhand von mindestens zwei Verfügbarkeitskriterien (z. B. eine Eingabe für die ausschließliche Steuerung des Fahrzeugs durch den Fahrzeugführer, Blinzeln oder Schließen der Augen, bewusste Kopf- oder Körperbewegung) unabhängig voneinander festgestellt wurde, dass der Fahrzeugführer verfügbar ist.
  Das System kann jederzeit annehmen, dass der Fahrzeugführer nicht verfügbar ist.
  Sobald angenommen wird, dass der Fahrzeugführer nicht verfügbar ist, oder wenn weniger als zwei Verfügbarkeitskriterien beobachtbar sind, muss das System unverzüglich ein eindeutiges Warnsignal erzeugen, bis angemessene Handlungen des Fahrzeugführers erkannt werden oder bis eine Übernahmeaufforderung eingeleitet wird. Spätestens wenn dieses Warnsignal länger als 15 Sekunden anhält, muss eine Übernahmeaufforderung nach Nummer 5.4 ausgelöst werden.
  Die Anzahl und Kombination der Verfügbarkeitskriterien sind insbesondere im Hinblick auf die zugehörige Zeitspanne vom Hersteller durch dokumentierte Nachweise zu begründen. Bei keinem Verfügbarkeitskriterium darf die erforderliche Zeitspanne jedoch 30 Sekunden überschreiten. Dies ist vom Hersteller nachzuweisen und vom technischen Dienst nach Anhang 4 zu bewerten. |
| --- | --- |

6.1.3.1.

Kriterien für die Beurteilung der Fahrerverfügbarkeit

Der Fahrzeugführer gilt als nicht verfügbar, wenn nicht in den vorangegangenen 30 Sekunden anhand von mindestens zwei Verfügbarkeitskriterien (z. B. eine Eingabe für die ausschließliche Steuerung des Fahrzeugs durch den Fahrzeugführer, Blinzeln oder Schließen der Augen, bewusste Kopf- oder Körperbewegung) unabhängig voneinander festgestellt wurde, dass der Fahrzeugführer verfügbar ist.

Das System kann jederzeit annehmen, dass der Fahrzeugführer nicht verfügbar ist.

Sobald angenommen wird, dass der Fahrzeugführer nicht verfügbar ist, oder wenn weniger als zwei Verfügbarkeitskriterien beobachtbar sind, muss das System unverzüglich ein eindeutiges Warnsignal erzeugen, bis angemessene Handlungen des Fahrzeugführers erkannt werden oder bis eine Übernahmeaufforderung eingeleitet wird. Spätestens wenn dieses Warnsignal länger als 15 Sekunden anhält, muss eine Übernahmeaufforderung nach Nummer 5.4 ausgelöst werden.

Die Anzahl und Kombination der Verfügbarkeitskriterien sind insbesondere im Hinblick auf die zugehörige Zeitspanne vom Hersteller durch dokumentierte Nachweise zu begründen. Bei keinem Verfügbarkeitskriterium darf die erforderliche Zeitspanne jedoch 30 Sekunden überschreiten. Dies ist vom Hersteller nachzuweisen und vom technischen Dienst nach Anhang 4 zu bewerten.

Image 16

| 6.1.4. | „Andere Tätigkeiten als das Fahren“, die nach Aktivierung des Spurhalteassistenzsystems auf On-Board-Anzeigen verfügbar sind, müssen automatisch ausgesetzt werden, i) sobald das System eine Übernahmeaufforderung ausgibt oder ii) sobald das System deaktiviert wird, je nachdem, was früher eintritt. |
| --- | --- |

6.1.4.

„Andere Tätigkeiten als das Fahren“, die nach Aktivierung des Spurhalteassistenzsystems auf On-Board-Anzeigen verfügbar sind, müssen automatisch ausgesetzt werden, i) sobald das System eine Übernahmeaufforderung ausgibt oder ii) sobald das System deaktiviert wird, je nachdem, was früher eintritt.

| 6.2. | Aktivierung, Deaktivierung und Eingabe des Fahrzeugführers
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen. |
| --- | --- |

6.2.

Aktivierung, Deaktivierung und Eingabe des Fahrzeugführers

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

| 6.2.1. | Das Fahrzeug muss mit einer speziellen Vorrichtung ausgestattet sein, über die der Fahrzeugführer das System aktivieren kann (Aktiv-Zustand) und deaktivieren kann (Aus-Zustand). Bei aktiviertem ALKS muss die Vorrichtung zur Deaktivierung des ALKS ständig im Sichtfeld des Fahrzeugführers sein. |
| --- | --- |

6.2.1.

Das Fahrzeug muss mit einer speziellen Vorrichtung ausgestattet sein, über die der Fahrzeugführer das System aktivieren kann (Aktiv-Zustand) und deaktivieren kann (Aus-Zustand). Bei aktiviertem ALKS muss die Vorrichtung zur Deaktivierung des ALKS ständig im Sichtfeld des Fahrzeugführers sein.

| 6.2.2. | Das System muss sich bei jedem neuen Motorstart/Laufzyklus standardmäßig im Aus-Zustand befinden.
  Diese Vorschrift gilt nicht, wenn der Motorstart/Laufzyklus automatisch erfolgt, z. B. durch Einsatz eines Stopp-/Start-Systems. |
| --- | --- |

6.2.2.

Das System muss sich bei jedem neuen Motorstart/Laufzyklus standardmäßig im Aus-Zustand befinden.

Diese Vorschrift gilt nicht, wenn der Motorstart/Laufzyklus automatisch erfolgt, z. B. durch Einsatz eines Stopp-/Start-Systems.

| 6.2.3. | Das System darf nur durch eine bewusste Handlung des Fahrzeugführers und bei Vorliegen aller folgenden Bedingungen aktiv werden:






  a) | Der Fahrzeugführer befindet sich auf dem Fahrersitz und der Sicherheitsgurt des Fahrzeugführers ist nach den Nummern 6.1.1 und 6.1.2 angelegt, |
| --- | --- | --- |

6.2.3.

Das System darf nur durch eine bewusste Handlung des Fahrzeugführers und bei Vorliegen aller folgenden Bedingungen aktiv werden:

a)

Der Fahrzeugführer befindet sich auf dem Fahrersitz und der Sicherheitsgurt des Fahrzeugführers ist nach den Nummern 6.1.1 und 6.1.2 angelegt,

| b) | der Fahrzeugführer ist verfügbar, um die Steuerung der dynamischen Fahraufgabe nach Nummer 6.1.3 zu übernehmen, |
| --- | --- |

b)

der Fahrzeugführer ist verfügbar, um die Steuerung der dynamischen Fahraufgabe nach Nummer 6.1.3 zu übernehmen,

| c) | es liegt keine Störung vor, die den sicheren Betrieb oder die Funktionsfähigkeit des ALKS beeinträchtigt, |
| --- | --- |

c)

es liegt keine Störung vor, die den sicheren Betrieb oder die Funktionsfähigkeit des ALKS beeinträchtigt,

| d) | der Fahrmodusspeicher ist betriebsbereit, |
| --- | --- |

d)

der Fahrmodusspeicher ist betriebsbereit,

| e) | die Umgebungs- und Infrastrukturbedingungen lassen den Einsatz zu, |
| --- | --- |

e)

die Umgebungs- und Infrastrukturbedingungen lassen den Einsatz zu,

| f) | die Selbstprüfung des Systems ergibt eine positive Bestätigung und |
| --- | --- |

f)

die Selbstprüfung des Systems ergibt eine positive Bestätigung und

| g) | das Fahrzeug befindet sich auf Straßen, deren Nutzung durch Fußgänger und Radfahrer verboten ist und die so konzipiert sind, dass die Fahrbahnen für die entgegengesetzten Richtungen baulich voneinander getrennt sind. |
| --- | --- |

g)

das Fahrzeug befindet sich auf Straßen, deren Nutzung durch Fußgänger und Radfahrer verboten ist und die so konzipiert sind, dass die Fahrbahnen für die entgegengesetzten Richtungen baulich voneinander getrennt sind.

Ist eine der vorstehenden Bedingungen nicht länger gegeben, muss das System unverzüglich eine Übernahmeaufforderung einleiten, sofern in dieser Regelung nichts anderes bestimmt ist.

| 6.2.4. | Das System muss durch eine bewusste Handlung des Fahrzeugführers mittels derselben Vorrichtung, mit der das System wie in Nummer 6.2.1 beschrieben aktiviert wird, manuell deaktiviert (in den Aus-Zustand versetzt) werden können.
  Die Deaktivierungsvorrichtung muss einen Schutz gegen unbeabsichtigtes manuelles Deaktivieren umfassen, indem beispielsweise eine einzelne Eingabe über einen bestimmten Mindestzeitraum oder doppeltes Drücken, oder aber zwei getrennte aber gleichzeitige Eingaben verlangt werden.
  Zusätzlich ist sicherzustellen, dass der Fahrzeugführer zum Zeitpunkt der Deaktivierung die Kontrolle über die Querführung des Fahrzeugs behält, indem z. B. die Deaktivierungsvorrichtung auf der Betätigungseinrichtung der Lenkanlage angebracht wird oder bestätigt wird, dass der Fahrzeugführer die Betätigungseinrichtung der Lenkanlage in der Hand hält. |
| --- | --- |

6.2.4.

Das System muss durch eine bewusste Handlung des Fahrzeugführers mittels derselben Vorrichtung, mit der das System wie in Nummer 6.2.1 beschrieben aktiviert wird, manuell deaktiviert (in den Aus-Zustand versetzt) werden können.

Die Deaktivierungsvorrichtung muss einen Schutz gegen unbeabsichtigtes manuelles Deaktivieren umfassen, indem beispielsweise eine einzelne Eingabe über einen bestimmten Mindestzeitraum oder doppeltes Drücken, oder aber zwei getrennte aber gleichzeitige Eingaben verlangt werden.

Zusätzlich ist sicherzustellen, dass der Fahrzeugführer zum Zeitpunkt der Deaktivierung die Kontrolle über die Querführung des Fahrzeugs behält, indem z. B. die Deaktivierungsvorrichtung auf der Betätigungseinrichtung der Lenkanlage angebracht wird oder bestätigt wird, dass der Fahrzeugführer die Betätigungseinrichtung der Lenkanlage in der Hand hält.

| 6.2.5. | Zusätzlich zu den Vorschriften unter Nummer 6.2.4 gilt, dass das System ausschließlich durch die unter den Nummern 6.2.5.1 bis 6.2.5.4 beschriebenen Eingaben deaktiviert werden darf. |
| --- | --- |

6.2.5.

Zusätzlich zu den Vorschriften unter Nummer 6.2.4 gilt, dass das System ausschließlich durch die unter den Nummern 6.2.5.1 bis 6.2.5.4 beschriebenen Eingaben deaktiviert werden darf.

| 6.2.5.1. | Deaktivierung durch Eingabe in die Betätigungseinrichtungen
  Das System wird deaktiviert, wenn mindestens eine der folgenden Bedingungen erfüllt ist:






  a) | Der Fahrer übersteuert das System, indem er die Betätigungseinrichtung der Lenkanlage beim Lenken in der Hand hält und diese Übersteuerung nicht nach Nummer 6.3 unterdrückt wird, oder |
| --- | --- | --- |

6.2.5.1.

Deaktivierung durch Eingabe in die Betätigungseinrichtungen

Das System wird deaktiviert, wenn mindestens eine der folgenden Bedingungen erfüllt ist:

a)

Der Fahrer übersteuert das System, indem er die Betätigungseinrichtung der Lenkanlage beim Lenken in der Hand hält und diese Übersteuerung nicht nach Nummer 6.3 unterdrückt wird, oder

| b) | der Fahrzeugführer hält die Betätigungseinrichtung der Lenkanlage in der Hand und übersteuert das System durch Bremsen oder Beschleunigen nach Nummer 6.3.1. |
| --- | --- |

b)

der Fahrzeugführer hält die Betätigungseinrichtung der Lenkanlage in der Hand und übersteuert das System durch Bremsen oder Beschleunigen nach Nummer 6.3.1.

| 6.2.5.2. | Deaktivierung während einer laufenden Übernahmeaufforderung oder eines laufenden risikominimierenden Manövers
  Während einer laufenden Übernahmeaufforderung oder eines laufenden risikominimierenden Manövers darf das System nur deaktiviert werden, wenn:






  a) | die in Nummer 6.2.5.1 beschriebenen Umstände gegeben sind oder |
| --- | --- | --- |

6.2.5.2.

Deaktivierung während einer laufenden Übernahmeaufforderung oder eines laufenden risikominimierenden Manövers

Während einer laufenden Übernahmeaufforderung oder eines laufenden risikominimierenden Manövers darf das System nur deaktiviert werden, wenn:

a)

die in Nummer 6.2.5.1 beschriebenen Umstände gegeben sind oder

| b) | erkannt wird, dass der Fahrzeugführer durch Ergreifen der Betätigungseinrichtung der Lenkanlage auf die Übernahmeaufforderung bzw. das risikominimierende Manöver reagiert hat, und sofern das System die Aufmerksamkeit des Fahrzeugführers nach Nummer 6.3.1.1 bestätigt. |
| --- | --- |

b)

erkannt wird, dass der Fahrzeugführer durch Ergreifen der Betätigungseinrichtung der Lenkanlage auf die Übernahmeaufforderung bzw. das risikominimierende Manöver reagiert hat, und sofern das System die Aufmerksamkeit des Fahrzeugführers nach Nummer 6.3.1.1 bestätigt.

| 6.2.5.3. | Deaktivierung während eines laufenden Notfallmanövers
  Im Falle eines laufenden Notfallmanövers darf sich die Deaktivierung verzögern, bis die Gefahr eines unmittelbar bevorstehenden Zusammenstoßes nicht mehr besteht. |
| --- | --- |

6.2.5.3.

Deaktivierung während eines laufenden Notfallmanövers

Im Falle eines laufenden Notfallmanövers darf sich die Deaktivierung verzögern, bis die Gefahr eines unmittelbar bevorstehenden Zusammenstoßes nicht mehr besteht.

| 6.2.5.4. | Deaktivierung bei schwerwiegender Störung des Fahrzeugs oder schwerwiegender Störung des ALKS
  Bei einer schwerwiegenden Störung des Fahrzeugs oder einer schwerwiegenden Störung des ALKS kann das ALKS verschiedene Deaktivierungsstrategien anwenden.
  Der Hersteller hat diese verschiedenen Strategien anzugeben, und der technische Dienst hat deren Wirksamkeit im Hinblick auf eine sichere Übergabe der Steuerung vom System an den menschlichen Fahrzeugführer nach Anhang 4 zu bewerten. |
| --- | --- |

6.2.5.4.

Deaktivierung bei schwerwiegender Störung des Fahrzeugs oder schwerwiegender Störung des ALKS

Bei einer schwerwiegenden Störung des Fahrzeugs oder einer schwerwiegenden Störung des ALKS kann das ALKS verschiedene Deaktivierungsstrategien anwenden.

Der Hersteller hat diese verschiedenen Strategien anzugeben, und der technische Dienst hat deren Wirksamkeit im Hinblick auf eine sichere Übergabe der Steuerung vom System an den menschlichen Fahrzeugführer nach Anhang 4 zu bewerten.

| 6.2.6. | Bei Deaktivierung des Systems darf keine automatische Übergabe an Funktionen erfolgen, die eine kontinuierliche Längs- und/oder Querbewegung des Fahrzeugs erzeugen (z. B. automatische Lenkfunktion der Kategorie B1).
  Nach der Deaktivierung darf die korrigierende Lenkfunktion aktiv sein, damit sich der Fahrzeugführer durch die allmähliche Verringerung der seitlichen Unterstützung an die Übernahme der Querführung gewöhnen kann.
  Ungeachtet der beiden vorstehenden Absätze dürfen keine anderen Sicherheitssysteme, die die Längs- oder Querführung des Fahrzeugs bei Gefahr eines unmittelbar bevorstehenden Zusammenstoßes unterstützen (z. B. Notbremsassistenzsysteme (AEBS), elektronische Fahrdynamik-Regelsysteme (ESC-Systeme), Bremsassistenzsysteme (BAS) oder Notlenkfunktionen (ESF)), bei Deaktivierung des ALKS deaktiviert werden. |
| --- | --- |

6.2.6.

Bei Deaktivierung des Systems darf keine automatische Übergabe an Funktionen erfolgen, die eine kontinuierliche Längs- und/oder Querbewegung des Fahrzeugs erzeugen (z. B. automatische Lenkfunktion der Kategorie B1).

Nach der Deaktivierung darf die korrigierende Lenkfunktion aktiv sein, damit sich der Fahrzeugführer durch die allmähliche Verringerung der seitlichen Unterstützung an die Übernahme der Querführung gewöhnen kann.

Ungeachtet der beiden vorstehenden Absätze dürfen keine anderen Sicherheitssysteme, die die Längs- oder Querführung des Fahrzeugs bei Gefahr eines unmittelbar bevorstehenden Zusammenstoßes unterstützen (z. B. Notbremsassistenzsysteme (AEBS), elektronische Fahrdynamik-Regelsysteme (ESC-Systeme), Bremsassistenzsysteme (BAS) oder Notlenkfunktionen (ESF)), bei Deaktivierung des ALKS deaktiviert werden.

| 6.2.7. | Eine etwaige Deaktivierung ist dem Fahrzeugführer wie unter Nummer 6.4.2.3 beschrieben anzuzeigen. |
| --- | --- |

6.2.7.

Eine etwaige Deaktivierung ist dem Fahrzeugführer wie unter Nummer 6.4.2.3 beschrieben anzuzeigen.

| 6.3. | Systemübersteuerung |
| --- | --- |

6.3.

Systemübersteuerung

| 6.3.1. | Eine Eingabe des Fahrzeugführers in die Betätigungseinrichtung der Lenkanlage muss die Querführungsfunktion des Systems übersteuern, wenn die Eingabe eine angemessene Schwelle überschreitet, die auf den Schutz vor unbeabsichtigtem Übersteuern ausgelegt ist.
  Diese Schwelle muss eine festgelegte Kraft und Dauer umfassen; außerdem muss sie abhängig von Parametern variieren, die bei Eingaben des Fahrzeugführers die zu prüfenden Kriterien für die Fahreraufmerksamkeit nach Nummer 6.3.1.1 umfassen.
  Diese Schwellen und die Grundlage für etwaige Abweichungen sind bei der Bewertung nach Anhang 4 gegenüber dem technischen Dienst nachzuweisen. |
| --- | --- |

6.3.1.

Eine Eingabe des Fahrzeugführers in die Betätigungseinrichtung der Lenkanlage muss die Querführungsfunktion des Systems übersteuern, wenn die Eingabe eine angemessene Schwelle überschreitet, die auf den Schutz vor unbeabsichtigtem Übersteuern ausgelegt ist.

Diese Schwelle muss eine festgelegte Kraft und Dauer umfassen; außerdem muss sie abhängig von Parametern variieren, die bei Eingaben des Fahrzeugführers die zu prüfenden Kriterien für die Fahreraufmerksamkeit nach Nummer 6.3.1.1 umfassen.

Diese Schwellen und die Grundlage für etwaige Abweichungen sind bei der Bewertung nach Anhang 4 gegenüber dem technischen Dienst nachzuweisen.

| 6.3.1.1. | Fahreraufmerksamkeit
  Das System muss erkennen, ob der Fahrzeugführer aufmerksam ist. Die Aufmerksamkeit des Fahrzeugführers gilt als gegeben, wenn mindestens eine der folgenden Bedingungen erfüllt ist:






  a) | Es wird bestätigt, dass die Blickrichtung des Fahrzeugführers hauptsächlich auf die vor ihm liegende Fahrbahn ausgerichtet ist, |
| --- | --- | --- |

6.3.1.1.

Fahreraufmerksamkeit

Das System muss erkennen, ob der Fahrzeugführer aufmerksam ist. Die Aufmerksamkeit des Fahrzeugführers gilt als gegeben, wenn mindestens eine der folgenden Bedingungen erfüllt ist:

a)

Es wird bestätigt, dass die Blickrichtung des Fahrzeugführers hauptsächlich auf die vor ihm liegende Fahrbahn ausgerichtet ist,

| b) | es wird bestätigt, dass die Blickrichtung des Fahrzeugführers auf die Rückspiegel ausgerichtet ist, oder |
| --- | --- |

b)

es wird bestätigt, dass die Blickrichtung des Fahrzeugführers auf die Rückspiegel ausgerichtet ist, oder

| c) | es wird bestätigt, dass die Kopfbewegungen des Fahrzeugführers hauptsächlich auf die Fahraufgabe ausgerichtet sind. |
| --- | --- |

c)

es wird bestätigt, dass die Kopfbewegungen des Fahrzeugführers hauptsächlich auf die Fahraufgabe ausgerichtet sind.

Die Spezifikation für die Bestätigung dieser oder gleichermaßen sicherer Kriterien muss vom Hersteller angegeben und durch entsprechende Nachweise belegt werden. Dies ist vom technischen Dienst nach Anhang 4 zu bewerten.

| 6.3.2. | Eine Eingabe des Fahrzeugführers in die Bremseinrichtung, die eine stärkere Verzögerung bewirkt als die vom System erzeugte Verzögerung, oder die das Fahrzeug durch ein Bremssystem im Stillstand hält, muss die Längsführungsfunktion des Systems übersteuern. |
| --- | --- |

6.3.2.

Eine Eingabe des Fahrzeugführers in die Bremseinrichtung, die eine stärkere Verzögerung bewirkt als die vom System erzeugte Verzögerung, oder die das Fahrzeug durch ein Bremssystem im Stillstand hält, muss die Längsführungsfunktion des Systems übersteuern.

| 6.3.3. | Eine Eingabe des Fahrzeugführers in die Beschleunigungseinrichtung kann die Längsführungsfunktion des Systems übersteuern. Eine solche Eingabe darf jedoch nicht dazu führen, dass das System den Vorschriften dieser Regelung nicht mehr entspricht. |
| --- | --- |

6.3.3.

Eine Eingabe des Fahrzeugführers in die Beschleunigungseinrichtung kann die Längsführungsfunktion des Systems übersteuern. Eine solche Eingabe darf jedoch nicht dazu führen, dass das System den Vorschriften dieser Regelung nicht mehr entspricht.

| 6.3.4. | Jede Eingabe des Fahrzeugführers in die Beschleunigungs- oder Bremseinrichtung muss unverzüglich eine Übernahmeaufforderung nach Nummer 5.4 auslösen, wenn die Eingabe eine angemessene Schwelle überschreitet, die auf den Schutz vor unbeabsichtigter Eingabe ausgelegt ist. |
| --- | --- |

6.3.4.

Jede Eingabe des Fahrzeugführers in die Beschleunigungs- oder Bremseinrichtung muss unverzüglich eine Übernahmeaufforderung nach Nummer 5.4 auslösen, wenn die Eingabe eine angemessene Schwelle überschreitet, die auf den Schutz vor unbeabsichtigter Eingabe ausgelegt ist.

| 6.3.5. | Ungeachtet der unter den Nummern 6.3.1 bis 6.3.3 genannten Vorschriften kann die Wirkung der Eingabe des Fahrzeugführers in eine der Betätigungseinrichtungen vom System verringert oder unterdrückt werden, wenn das System erkennt, dass die Fahrereingabe die Gefahr eines unmittelbar bevorstehenden Zusammenstoßes nach sich zieht. |
| --- | --- |

6.3.5.

Ungeachtet der unter den Nummern 6.3.1 bis 6.3.3 genannten Vorschriften kann die Wirkung der Eingabe des Fahrzeugführers in eine der Betätigungseinrichtungen vom System verringert oder unterdrückt werden, wenn das System erkennt, dass die Fahrereingabe die Gefahr eines unmittelbar bevorstehenden Zusammenstoßes nach sich zieht.

| 6.3.6. | Bei einer schwerwiegenden Störung des Fahrzeugs oder einer schwerwiegenden Störung des ALKS kann das ALKS verschiedene Strategien in Bezug auf die Systemübersteuerung anwenden. Der Hersteller hat diese verschiedenen Strategien anzugeben und der technische Dienst hat deren Wirksamkeit im Hinblick auf eine sichere Übergabe der Steuerung vom System an den menschlichen Fahrzeugführer zu bewerten. |
| --- | --- |

6.3.6.

Bei einer schwerwiegenden Störung des Fahrzeugs oder einer schwerwiegenden Störung des ALKS kann das ALKS verschiedene Strategien in Bezug auf die Systemübersteuerung anwenden. Der Hersteller hat diese verschiedenen Strategien anzugeben und der technische Dienst hat deren Wirksamkeit im Hinblick auf eine sichere Übergabe der Steuerung vom System an den menschlichen Fahrzeugführer zu bewerten.

| 6.3.7. | Die Erfüllung der Vorschriften unter Nummer 6.3 und den entsprechenden Unterabsätzen ist vom Hersteller gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 nachzuweisen. |
| --- | --- |

6.3.7.

Die Erfüllung der Vorschriften unter Nummer 6.3 und den entsprechenden Unterabsätzen ist vom Hersteller gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 nachzuweisen.

| 6.4. | Informationen für den Fahrzeugführer |
| --- | --- |

6.4.

Informationen für den Fahrzeugführer

| 6.4.1. | Folgende Informationen müssen dem Fahrzeugführer angezeigt werden:






  a) | Der Systemstatus nach Nummer 6.4.2, |
| --- | --- | --- |

6.4.1.

Folgende Informationen müssen dem Fahrzeugführer angezeigt werden:

a)

Der Systemstatus nach Nummer 6.4.2,

| b) | jede Störung, die die Funktion des Systems beeinträchtigt, mindestens durch ein optisches Signal, es sei denn, das System ist deaktiviert (befindet sich im Aus-Zustand), |
| --- | --- |

b)

jede Störung, die die Funktion des Systems beeinträchtigt, mindestens durch ein optisches Signal, es sei denn, das System ist deaktiviert (befindet sich im Aus-Zustand),

| c) | die Übernahmeaufforderung mindestens durch ein optisches und zusätzlich durch ein akustisches und/oder haptisches Warnsignal.
  Spätestens 4 Sekunden nach Einleitung der Übernahmeaufforderung muss die Übernahmeaufforderung:






  i) | eine konstante oder intermittierende haptische Warnung umfassen, sofern das Fahrzeug nicht stillsteht, und |
| --- | --- | --- |

c)

die Übernahmeaufforderung mindestens durch ein optisches und zusätzlich durch ein akustisches und/oder haptisches Warnsignal.

Spätestens 4 Sekunden nach Einleitung der Übernahmeaufforderung muss die Übernahmeaufforderung:

i)

eine konstante oder intermittierende haptische Warnung umfassen, sofern das Fahrzeug nicht stillsteht, und

| ii) | verstärkt werden und auf der höheren Stufe bleiben, bis die Übernahmeaufforderung endet. |
| --- | --- |

ii)

verstärkt werden und auf der höheren Stufe bleiben, bis die Übernahmeaufforderung endet.

| d) | Risikominimierende Manöver mindestens durch ein optisches Signal und zusätzlich durch ein akustisches und/oder haptisches Warnsignal und |
| --- | --- |

d)

Risikominimierende Manöver mindestens durch ein optisches Signal und zusätzlich durch ein akustisches und/oder haptisches Warnsignal und

| e) | Notfallmanöver durch ein optisches Signal. |
| --- | --- |

e)

Notfallmanöver durch ein optisches Signal.

Die vorstehend genannten optischen Signale müssen von angemessener Größe und Kontrastwirkung sein. Die vorstehend genannten akustischen Signale müssen laut und deutlich hörbar sein.

| 6.4.2. | Systemstatus |
| --- | --- |

6.4.2.

Systemstatus

| 6.4.2.1. | Hinweis auf Nichtverfügbarkeit des Systems
  Wird die Aktivierung des Systems nach einer bewussten Handlung des Fahrzeugführers wegen Nichtverfügbarkeit des Systems vom System abgelehnt, muss dies dem Fahrzeugführer zumindest durch ein optisches Signal angezeigt werden. |
| --- | --- |

6.4.2.1.

Hinweis auf Nichtverfügbarkeit des Systems

Wird die Aktivierung des Systems nach einer bewussten Handlung des Fahrzeugführers wegen Nichtverfügbarkeit des Systems vom System abgelehnt, muss dies dem Fahrzeugführer zumindest durch ein optisches Signal angezeigt werden.

| 6.4.2.2. | Systemstatusanzeige bei Aktivierung
  Bei der Aktivierung muss der Systemstatus (Aktiv-Zustand) dem Fahrzeugführer durch ein spezielles optisches Signal angezeigt werden.
  Das optische Signal muss eindeutig gekennzeichnet sein unter anderem durch:






  a) | ein mit einem zusätzlichen „A“ oder „AUTO“ versehenen Lenkrad oder durch die Standardsymbole nach Maßgabe der UN-Regelung Nr. 121, sowie zusätzlich durch |
| --- | --- | --- |

6.4.2.2.

Systemstatusanzeige bei Aktivierung

Bei der Aktivierung muss der Systemstatus (Aktiv-Zustand) dem Fahrzeugführer durch ein spezielles optisches Signal angezeigt werden.

Das optische Signal muss eindeutig gekennzeichnet sein unter anderem durch:

a)

ein mit einem zusätzlichen „A“ oder „AUTO“ versehenen Lenkrad oder durch die Standardsymbole nach Maßgabe der UN-Regelung Nr. 121, sowie zusätzlich durch

| b) | eine klar erkennbare Anzeige im äußeren Sichtfeld und nahe der direkten Sichtlinie des Fahrzeugführers nach außen vor das Fahrzeug, z. B. an auffallender Stelle im Kombiinstrument oder auf dem dem Fahrzeugführer zugewandten äußeren Rand der Betätigungseinrichtung der Lenkanlage. |
| --- | --- |

b)

eine klar erkennbare Anzeige im äußeren Sichtfeld und nahe der direkten Sichtlinie des Fahrzeugführers nach außen vor das Fahrzeug, z. B. an auffallender Stelle im Kombiinstrument oder auf dem dem Fahrzeugführer zugewandten äußeren Rand der Betätigungseinrichtung der Lenkanlage.

Das optische Signal muss den Aktiv-Zustand des Systems anzeigen, bis das System deaktiviert wird (Aus-Zustand).

Das optische Signal muss ständig angezeigt werden, solange sich das System im Normalbetrieb befindet; bei Einleitung einer Übernahmeaufforderung müssen sich zumindest die Merkmale der Anzeige nach Buchstabe b ändern, indem sie beispielsweise intermittierend erscheint oder die Farbe wechselt.

Bei Verwendung eines intermittierenden Signals muss dieses eine niedrige Frequenz aufweisen, damit der Fahrzeugführer nicht unnötig gewarnt wird.

In der Übernahmephase und während eines risikominimierenden Manövers kann die Anzeige nach Buchstabe a durch die Anweisung zur Übernahme der manuellen Steuerung nach Nummer 6.4.3 ersetzt werden.

| 6.4.2.3. | Systemstatusanzeige bei Deaktivierung
  Bei der Deaktivierung des Systems, d. h., wenn der Systemstatus vom Aktiv-Zustand in den Aus-Zustand wechselt, muss dies dem Fahrzeugführer zumindest durch ein optisches Warnsignal angezeigt werden. Dieses optische Signal muss durch Ausschalten des optischen Signals für die Anzeige des Aktiv-Zustands oder der Anweisung zur Übernahme der manuellen Steuerung erfolgen.
  Zusätzlich muss ein akustisches Warnsignal ertönen, es sei denn, das System wird aufgrund einer Übernahmeaufforderung mit integriertem akustischem Signal deaktiviert. |
| --- | --- |

6.4.2.3.

Systemstatusanzeige bei Deaktivierung

Bei der Deaktivierung des Systems, d. h., wenn der Systemstatus vom Aktiv-Zustand in den Aus-Zustand wechselt, muss dies dem Fahrzeugführer zumindest durch ein optisches Warnsignal angezeigt werden. Dieses optische Signal muss durch Ausschalten des optischen Signals für die Anzeige des Aktiv-Zustands oder der Anweisung zur Übernahme der manuellen Steuerung erfolgen.

Zusätzlich muss ein akustisches Warnsignal ertönen, es sei denn, das System wird aufgrund einer Übernahmeaufforderung mit integriertem akustischem Signal deaktiviert.

| 6.4.3. | Übernahmephase und risikominimierendes Manöver
  Während der Übernahmephase und eines risikominimierenden Manövers muss das System den Fahrzeugführer auf intuitive und eindeutige Weise zur Übernahme der manuellen Steuerung des Fahrzeugs anweisen. Die Anweisung besteht aus einer Bildinformation, die Hände an der Betätigungseinrichtung zeigt, und kann wie im folgenden Beispiel dargestellt durch erläuternden Text oder Warnsymbole ergänzt werden. |
| --- | --- |

6.4.3.

Übernahmephase und risikominimierendes Manöver

Während der Übernahmephase und eines risikominimierenden Manövers muss das System den Fahrzeugführer auf intuitive und eindeutige Weise zur Übernahme der manuellen Steuerung des Fahrzeugs anweisen. Die Anweisung besteht aus einer Bildinformation, die Hände an der Betätigungseinrichtung zeigt, und kann wie im folgenden Beispiel dargestellt durch erläuternden Text oder Warnsymbole ergänzt werden.

Image 17

| 6.4.3.2. | Bei Beginn des risikominimierenden Manövers müssen sich die Merkmale des angezeigten Signals ändern, um die Dringlichkeit eines Eingreifens des Fahrzeugführers — z. B. durch rotes Blinken der Bildinformation mit den Händen an der Betätigungseinrichtung — deutlich zu machen. |
| --- | --- |

6.4.3.2.

Bei Beginn des risikominimierenden Manövers müssen sich die Merkmale des angezeigten Signals ändern, um die Dringlichkeit eines Eingreifens des Fahrzeugführers — z. B. durch rotes Blinken der Bildinformation mit den Händen an der Betätigungseinrichtung — deutlich zu machen.

| 6.4.4. | Im Falle der vorstehenden Beispiele kann stattdessen eine angemessene und gleichermaßen gut wahrnehmbare Schnittstellengestaltung als optisches Signal verwendet werden. Dies ist vom Hersteller darzulegen und durch entsprechende Nachweise zu belegen. Dies ist vom technischen Dienst nach Anhang 4 zu bewerten. |
| --- | --- |

6.4.4.

Im Falle der vorstehenden Beispiele kann stattdessen eine angemessene und gleichermaßen gut wahrnehmbare Schnittstellengestaltung als optisches Signal verwendet werden. Dies ist vom Hersteller darzulegen und durch entsprechende Nachweise zu belegen. Dies ist vom technischen Dienst nach Anhang 4 zu bewerten.

| 6.4.5. | Vorrangigkeit der ALKS-Warnmeldungen
  Die von einem ALKS in der Übernahmephase, bei einem risikominimierenden Manöver oder einem Notfallmanöver erzeugten Warnsignale können Vorrang vor anderen Warnmeldungen im Fahrzeug erhalten.
  Der Hersteller hat gegenüber dem technischen Dienst während der Typgenehmigung anzugeben, welche Rangfolge die verschiedenen akustischen und optischen Warnmeldungen während des Betriebs des ALKS haben. |
| --- | --- |

6.4.5.

Vorrangigkeit der ALKS-Warnmeldungen

Die von einem ALKS in der Übernahmephase, bei einem risikominimierenden Manöver oder einem Notfallmanöver erzeugten Warnsignale können Vorrang vor anderen Warnmeldungen im Fahrzeug erhalten.

Der Hersteller hat gegenüber dem technischen Dienst während der Typgenehmigung anzugeben, welche Rangfolge die verschiedenen akustischen und optischen Warnmeldungen während des Betriebs des ALKS haben.

7.   OBJEKT- UND EREIGNISERKENNUNG UND REAKTION (OBJECT AND EVENT DETECTION AND RESPONSE — OEDR)

| 7.1. | Vorschriften für die Sensorik
  Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.
  Das ALKS-Fahrzeug muss mit einem Sensorsystem ausgestattet sein, das darauf ausgelegt ist, zumindest die Fahrumgebung (z. B. die vorausliegende Straßengeometrie oder Fahrspurmarkierungen) und die Verkehrsdynamik zu erkennen, und zwar:






  a) | über die gesamte Breite der eigenen Fahrspur und die gesamte Breite der rechts und links unmittelbar angrenzenden Fahrspuren jeweils bis zur Grenze des vorderen Erfassungsbereichs, |
| --- | --- | --- |

7.1.

Vorschriften für die Sensorik

Der Hersteller hat die Erfüllung der Vorschriften dieses Absatzes gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 und in den einschlägigen Prüfungen nach Anhang 5 nachzuweisen.

Das ALKS-Fahrzeug muss mit einem Sensorsystem ausgestattet sein, das darauf ausgelegt ist, zumindest die Fahrumgebung (z. B. die vorausliegende Straßengeometrie oder Fahrspurmarkierungen) und die Verkehrsdynamik zu erkennen, und zwar:

a)

über die gesamte Breite der eigenen Fahrspur und die gesamte Breite der rechts und links unmittelbar angrenzenden Fahrspuren jeweils bis zur Grenze des vorderen Erfassungsbereichs,

| b) | über die gesamte Länge des Fahrzeugs und bis zur Grenze des seitlichen Erfassungsbereichs. |
| --- | --- |

b)

über die gesamte Länge des Fahrzeugs und bis zur Grenze des seitlichen Erfassungsbereichs.

Die Vorschriften dieses Absatzes gelten unbeschadet anderer Vorschriften dieser Regelung, insbesondere der Vorschriften der Nummer 5.1.1.

| 7.1.1. | Vorderer Erfassungsbereich
  Der Hersteller hat den vom vordersten Punkt des Fahrzeugs aus gemessenen vorderen Erfassungsbereich anzugeben. Dieser angegebene Wert muss mindestens 46 Meter betragen.
  Der technische Dienst hat im Rahmen der einschlägigen Prüfung nach Anhang 5 zu überprüfen, ob die Entfernung, in der das Sensorsystem des Fahrzeugs einen Verkehrsteilnehmer erkennt, mindestens dem angegebenen Wert entspricht. |
| --- | --- |

7.1.1.

Vorderer Erfassungsbereich

Der Hersteller hat den vom vordersten Punkt des Fahrzeugs aus gemessenen vorderen Erfassungsbereich anzugeben. Dieser angegebene Wert muss mindestens 46 Meter betragen.

Der technische Dienst hat im Rahmen der einschlägigen Prüfung nach Anhang 5 zu überprüfen, ob die Entfernung, in der das Sensorsystem des Fahrzeugs einen Verkehrsteilnehmer erkennt, mindestens dem angegebenen Wert entspricht.

| 7.1.2. | Seitlicher Erfassungsbereich
  Der Hersteller hat den seitlichen Erfassungsbereich anzugeben. Der seitliche Erfassungsbereich muss mindestens die volle Breite der unmittelbar links des Fahrzeugs liegenden Fahrspur und der unmittelbar rechts des Fahrzeugs liegenden Fahrspur abdecken.
  Der technische Dienst hat im Rahmen der einschlägigen Prüfung nach Anhang 5 zu überprüfen, ob das Sensorsystem des Fahrzeugs andere Fahrzeuge erkennt. Dieser Bereich muss mindestens dem angegebenen Bereich entsprechen. |
| --- | --- |

7.1.2.

Seitlicher Erfassungsbereich

Der Hersteller hat den seitlichen Erfassungsbereich anzugeben. Der seitliche Erfassungsbereich muss mindestens die volle Breite der unmittelbar links des Fahrzeugs liegenden Fahrspur und der unmittelbar rechts des Fahrzeugs liegenden Fahrspur abdecken.

Der technische Dienst hat im Rahmen der einschlägigen Prüfung nach Anhang 5 zu überprüfen, ob das Sensorsystem des Fahrzeugs andere Fahrzeuge erkennt. Dieser Bereich muss mindestens dem angegebenen Bereich entsprechen.

| 7.1.3. | Das ALKS muss Strategien zum Erkennen und Ausgleichen von Umgebungsbedingungen einsetzen, die den Erfassungsbereich einschränken; entsprechende Strategien wären z. B. Verhindern der Aktivierung des Systems, Deaktivierung des Systems und Übergabe der Steuerung an den Fahrzeugführer oder Verlangsamung des Fahrzeugs bei unzureichender Sicht. Diese Strategien sind vom Hersteller zu beschreiben und nach Anhang 4 zu bewerten. |
| --- | --- |

7.1.3.

Das ALKS muss Strategien zum Erkennen und Ausgleichen von Umgebungsbedingungen einsetzen, die den Erfassungsbereich einschränken; entsprechende Strategien wären z. B. Verhindern der Aktivierung des Systems, Deaktivierung des Systems und Übergabe der Steuerung an den Fahrzeugführer oder Verlangsamung des Fahrzeugs bei unzureichender Sicht. Diese Strategien sind vom Hersteller zu beschreiben und nach Anhang 4 zu bewerten.

| 7.1.4. | Der Fahrzeughersteller hat nachzuweisen, dass die Leistungsfähigkeit des Sensorsystems durch Abnutzung und Alterung nicht soweit beeinträchtigt wird, dass der nach Nummer 7.1 vorgeschriebene Mindestwert während der Lebensdauer des Systems bzw. des Fahrzeugs unterschritten wird. |
| --- | --- |

7.1.4.

Der Fahrzeughersteller hat nachzuweisen, dass die Leistungsfähigkeit des Sensorsystems durch Abnutzung und Alterung nicht soweit beeinträchtigt wird, dass der nach Nummer 7.1 vorgeschriebene Mindestwert während der Lebensdauer des Systems bzw. des Fahrzeugs unterschritten wird.

| 7.1.5. | Die Erfüllung der Vorschriften unter Nummer 7.1 und der zugehörigen Unterabsätze ist dem technischen Dienst nachzuweisen und gemäß den einschlägigen Prüfungen nach Anhang 5 zu prüfen. |
| --- | --- |

7.1.5.

Die Erfüllung der Vorschriften unter Nummer 7.1 und der zugehörigen Unterabsätze ist dem technischen Dienst nachzuweisen und gemäß den einschlägigen Prüfungen nach Anhang 5 zu prüfen.

| 7.1.6. | Eine einzelne Fehlwahrnehmung ohne Störung sollte keinen gefährlichen Vorfall hervorrufen. Der Hersteller muss die von ihm verwendeten Gestaltungsstrategien beschreiben und ihre Sicherheit zur Zufriedenheit des technischen Dienstes nach Anhang 4 nachweisen. |
| --- | --- |

7.1.6.

Eine einzelne Fehlwahrnehmung ohne Störung sollte keinen gefährlichen Vorfall hervorrufen. Der Hersteller muss die von ihm verwendeten Gestaltungsstrategien beschreiben und ihre Sicherheit zur Zufriedenheit des technischen Dienstes nach Anhang 4 nachweisen.

8.   FAHRMODUSSPEICHER (DSSAD)

| 8.1. | Jedes mit einem ALKS (dem System) ausgerüstete Fahrzeug muss über einen Fahrmodusspeicher verfügen, das den im Folgenden beschriebenen Vorschriften entspricht. Der Hersteller hat die Erfüllung der Vorschriften unter Nummer 8 gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 nachzuweisen.
  Diese Regelung gilt unbeschadet nationaler und regionaler Rechtsvorschriften über den Zugang zu Daten, den Schutz der Privatsphäre und den Datenschutz. |
| --- | --- |

8.1.

Jedes mit einem ALKS (dem System) ausgerüstete Fahrzeug muss über einen Fahrmodusspeicher verfügen, das den im Folgenden beschriebenen Vorschriften entspricht. Der Hersteller hat die Erfüllung der Vorschriften unter Nummer 8 gegenüber dem technischen Dienst bei der Prüfung des Sicherheitsansatzes im Rahmen der Bewertung nach Anhang 4 nachzuweisen.

Diese Regelung gilt unbeschadet nationaler und regionaler Rechtsvorschriften über den Zugang zu Daten, den Schutz der Privatsphäre und den Datenschutz.

| 8.2. | Erfasste Vorfälle |
| --- | --- |

8.2.

Erfasste Vorfälle

| 8.2.1. | Jedes mit einem Fahrmodusspeicher ausgestattete Fahrzeug muss nach Aktivierung des Systems zu jedem der folgenden Vorfälle mindestens einen Eintrag erfassen:






  a) | Aktivierung des Systems; |
| --- | --- | --- |

8.2.1.

Jedes mit einem Fahrmodusspeicher ausgestattete Fahrzeug muss nach Aktivierung des Systems zu jedem der folgenden Vorfälle mindestens einen Eintrag erfassen:

a)

Aktivierung des Systems;

| b) | Deaktivierung des Systems wegen:






  i) | Betätigung einer speziellen Vorrichtung zur Deaktivierung des Systems durch den Fahrzeugführer, |
| --- | --- | --- |

b)

Deaktivierung des Systems wegen:

i)

Betätigung einer speziellen Vorrichtung zur Deaktivierung des Systems durch den Fahrzeugführer,

| ii) | Übersteuerung der Betätigungseinrichtung der Lenkanlage, |
| --- | --- |

ii)

Übersteuerung der Betätigungseinrichtung der Lenkanlage,

| iii) | Übersteuerung durch die Beschleunigungseinrichtung beim Halten der Betätigungseinrichtung der Lenkanlage, |
| --- | --- |

iii)

Übersteuerung durch die Beschleunigungseinrichtung beim Halten der Betätigungseinrichtung der Lenkanlage,

| iv) | Übersteuerung durch die Bremseinrichtung beim Halten der Betätigungseinrichtung der Lenkanlage; |
| --- | --- |

iv)

Übersteuerung durch die Bremseinrichtung beim Halten der Betätigungseinrichtung der Lenkanlage;

| c) | Übernahmeaufforderung durch das System wegen:






  i) | eines geplanten Ereignisses, |
| --- | --- | --- |

c)

Übernahmeaufforderung durch das System wegen:

i)

eines geplanten Ereignisses,

| ii) | eines ungeplanten Ereignisses, |
| --- | --- |

ii)

eines ungeplanten Ereignisses,

| iii) | Nichtverfügbarkeit des Fahrzeugführers (nach Nummer 6.1.3), |
| --- | --- |

iii)

Nichtverfügbarkeit des Fahrzeugführers (nach Nummer 6.1.3),

| iv) | Abwesenheit des Fahrzeugführers oder Lösen seines Sicherheitsgurts (nach Nummer 6.1.2), |
| --- | --- |

iv)

Abwesenheit des Fahrzeugführers oder Lösen seines Sicherheitsgurts (nach Nummer 6.1.2),

| v) | eines Systemausfalls, |
| --- | --- |

v)

eines Systemausfalls,

| vi) | einer Systemübersteuerung durch Eingabe in die Bremseinrichtung, |
| --- | --- |

vi)

einer Systemübersteuerung durch Eingabe in die Bremseinrichtung,

| vii) | einer Systemübersteuerung durch Eingabe in die Beschleunigungseinrichtung; |
| --- | --- |

vii)

einer Systemübersteuerung durch Eingabe in die Beschleunigungseinrichtung;

| d) | Nachlassen oder Unterdrücken der Eingabe des Fahrzeugführers; |
| --- | --- |

d)

Nachlassen oder Unterdrücken der Eingabe des Fahrzeugführers;

| e) | Beginn eines Notfallmanövers; |
| --- | --- |

e)

Beginn eines Notfallmanövers;

| f) | Ende eines Notfallmanövers; |
| --- | --- |

f)

Ende eines Notfallmanövers;

| g) | Eingabe zum Auslösen des Ereignisdatenspeichers (Event Data Recorder — EDR); |
| --- | --- |

g)

Eingabe zum Auslösen des Ereignisdatenspeichers (Event Data Recorder — EDR);

| h) | Beteiligung an einem erkannten Zusammenstoß; |
| --- | --- |

h)

Beteiligung an einem erkannten Zusammenstoß;

| i) | Eingriff des Systems durch ein risikominimierendes Manöver; |
| --- | --- |

i)

Eingriff des Systems durch ein risikominimierendes Manöver;

| j) | schwerwiegende Störung des ALKS; |
| --- | --- |

j)

schwerwiegende Störung des ALKS;

| k) | schwerwiegende Störung des Fahrzeugs. |
| --- | --- |

k)

schwerwiegende Störung des Fahrzeugs.

| 8.3. | Datenelemente |
| --- | --- |

8.3.

Datenelemente

| 8.3.1. | Zu jedem der unter Nummer 8.2 genannten Ereignisse muss der Fahrmodusspeicher mindestens die folgenden Datenelemente in klar erkennbarer Weise erfassen:






  a) | Merker für den Vorfall nach Nummer 8.2; |
| --- | --- | --- |

8.3.1.

Zu jedem der unter Nummer 8.2 genannten Ereignisse muss der Fahrmodusspeicher mindestens die folgenden Datenelemente in klar erkennbarer Weise erfassen:

a)

Merker für den Vorfall nach Nummer 8.2;

| b) | Gegebenenfalls den Grund des Vorfalls nach Nummer 8.2; |
| --- | --- |

b)

Gegebenenfalls den Grund des Vorfalls nach Nummer 8.2;

| c) | Datum (Auflösung: JJJJ/MM/TT); |
| --- | --- |

c)

Datum (Auflösung: JJJJ/MM/TT);

| d) | Zeitstempel:






  i) | Auflösung: hh/mm/ss (Stunde/Minute/Sekunde) Zeitzone, z. B. 12:59:59 UTC, |
| --- | --- | --- |

d)

Zeitstempel:

i)

Auflösung: hh/mm/ss (Stunde/Minute/Sekunde) Zeitzone, z. B. 12:59:59 UTC,

| ii) | Genauigkeit: +/– 1,0 s. |
| --- | --- |

ii)

Genauigkeit: +/– 1,0 s.

| 8.3.2. | Für jedes der unter Nummer 8.2 aufgeführten Ereignisse müssen die Software-Identifikationsnummer R157SWIN für das ALKS bzw. die mit dem ALKS verbundenen Softwareversionen, aus denen die zum Zeitpunkt des Ereignisses vorhandene Software hervorgeht, eindeutig identifizierbar sein. |
| --- | --- |

8.3.2.

Für jedes der unter Nummer 8.2 aufgeführten Ereignisse müssen die Software-Identifikationsnummer R157

| 8.3.3. | Für mehrere innerhalb der Zeitauflösung der jeweiligen Datenelemente gleichzeitig erfasste Elemente kann ein einzelner Zeitstempel zugelassen werden. Wenn mehr als ein Element mit demselben Zeitstempel erfasst wird, müssen die Informationen zu den einzelnen Elementen auch die chronologische Reihenfolge umfassen. |
| --- | --- |

8.3.3.

Für mehrere innerhalb der Zeitauflösung der jeweiligen Datenelemente gleichzeitig erfasste Elemente kann ein einzelner Zeitstempel zugelassen werden. Wenn mehr als ein Element mit demselben Zeitstempel erfasst wird, müssen die Informationen zu den einzelnen Elementen auch die chronologische Reihenfolge umfassen.

| 8.4. | Datenverfügbarkeit |
| --- | --- |

8.4.

Datenverfügbarkeit

| 8.4.1. | Die im Fahrmodusspeicher erfassten Daten müssen unter Beachtung der jeweiligen nationalen und regionalen Rechtsvorschriften zugänglich sein. (3) |
| --- | --- |

8.4.1.

Die im Fahrmodusspeicher erfassten Daten müssen unter Beachtung der jeweiligen nationalen und regionalen Rechtsvorschriften zugänglich sein. (3

| 8.4.2. | Nach Ablauf der Speicherfristen des Fahrmodusspeichers dürfen die vorhandenen Daten nur nach einem First-In-First-Out-Verfahren unter Einhaltung der einschlägigen Vorschriften über die Datenverfügbarkeit überschrieben werden.
  Der Fahrzeughersteller hat Belege zur Speicherkapazität vorzulegen. |
| --- | --- |

8.4.2.

Nach Ablauf der Speicherfristen des Fahrmodusspeichers dürfen die vorhandenen Daten nur nach einem First-In-First-Out-Verfahren unter Einhaltung der einschlägigen Vorschriften über die Datenverfügbarkeit überschrieben werden.

Der Fahrzeughersteller hat Belege zur Speicherkapazität vorzulegen.

| 8.4.3. | Die Daten müssen auch nach einem Aufprall eines in den UN-Regelungen Nr. 94, 95 oder 137 festgelegten Schweregrads abrufbar sein. Auch bei Nichtverfügbarkeit der fahrzeugeigenen Hauptstromversorgung müssen alle im Fahrmodusspeicher erfassten Daten nach Maßgabe der nationalen und regionalen Rechtsvorschriften zugänglich sein. |
| --- | --- |

8.4.3.

Die Daten müssen auch nach einem Aufprall eines in den UN-Regelungen Nr. 94, 95 oder 137 festgelegten Schweregrads abrufbar sein. Auch bei Nichtverfügbarkeit der fahrzeugeigenen Hauptstromversorgung müssen alle im Fahrmodusspeicher erfassten Daten nach Maßgabe der nationalen und regionalen Rechtsvorschriften zugänglich sein.

| 8.4.4. | Die im Fahrmodusspeicher gespeicherten Daten müssen in standardisierter Form über eine elektronische Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Anschluss), leicht ablesbar sein. |
| --- | --- |

8.4.4.

Die im Fahrmodusspeicher gespeicherten Daten müssen in standardisierter Form über eine elektronische Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Anschluss), leicht ablesbar sein.

| 8.4.5. | Der Hersteller hat Anweisungen für den Zugang zu den Daten vorzulegen. |
| --- | --- |

8.4.5.

Der Hersteller hat Anweisungen für den Zugang zu den Daten vorzulegen.

| 8.5. | Schutz vor Manipulation |
| --- | --- |

8.5.

Schutz vor Manipulation

| 8.5.1. | Es ist sicherzustellen, dass ein angemessener Schutz vor Manipulation (z. B. vor Datenlöschung) der gespeicherten Daten vorhanden ist, beispielsweise eine Manipulationsschutz-Vorrichtung. |
| --- | --- |

8.5.1.

Es ist sicherzustellen, dass ein angemessener Schutz vor Manipulation (z. B. vor Datenlöschung) der gespeicherten Daten vorhanden ist, beispielsweise eine Manipulationsschutz-Vorrichtung.

| 8.6. | Betriebsbereitschaft des Fahrmodusspeichers |
| --- | --- |

8.6.

Betriebsbereitschaft des Fahrmodusspeichers

| 8.6.1. | Der Fahrmodusspeicher muss mit dem System kommunizieren können, um seine Betriebsbereitschaft anzuzeigen. |
| --- | --- |

8.6.1.

Der Fahrmodusspeicher muss mit dem System kommunizieren können, um seine Betriebsbereitschaft anzuzeigen.

9.   CYBERSICHERHEIT UND SOFTWAREAKTUALISIERUNG

| 9.1. | Die Wirksamkeit des Systems darf nicht durch Cyberangriffe, Cyberbedrohungen oder entsprechende Schwachstellen beeinträchtigt werden. Die Wirksamkeit der Sicherheitsmaßnahmen ist durch Erfüllung der Vorschriften der UN-Regelung Nr. 155 nachzuweisen. |
| --- | --- |

9.1.

Die Wirksamkeit des Systems darf nicht durch Cyberangriffe, Cyberbedrohungen oder entsprechende Schwachstellen beeinträchtigt werden. Die Wirksamkeit der Sicherheitsmaßnahmen ist durch Erfüllung der Vorschriften der UN-Regelung Nr. 155 nachzuweisen.

| 9.2. | Lässt das System Softwareaktualisierungen zu, dann ist die Wirksamkeit der Verfahren und Abläufe der Softwareaktualisierung durch Erfüllung der Vorschriften der UN-Regelung Nr. 156 nachzuweisen. |
| --- | --- |

9.2.

Lässt das System Softwareaktualisierungen zu, dann ist die Wirksamkeit der Verfahren und Abläufe der Softwareaktualisierung durch Erfüllung der Vorschriften der UN-Regelung Nr. 156 nachzuweisen.

| 9.3. | Vorschriften über die Softwareidentifikation |
| --- | --- |

9.3.

Vorschriften über die Softwareidentifikation

| 9.3.1. | Um sicherzustellen, dass die Software des Systems identifizierbar ist, kann der Fahrzeughersteller eine Software-Identifikationsnummer (R157SWIN) verwenden. Wird keine R157SWIN verwendet, dann muss ein alternatives System zur Softwareidentifikation (d. h. die Softwareversion) eingesetzt werden. |
| --- | --- |

9.3.1.

Um sicherzustellen, dass die Software des Systems identifizierbar ist, kann der Fahrzeughersteller eine Software-Identifikationsnummer (R157

157

| 9.3.2. | Setzt der Hersteller eine R157SWIN ein, gilt Folgendes: |
| --- | --- |

9.3.2.

Setzt der Hersteller eine R157

| 9.3.2.1. | Der Fahrzeughersteller muss über eine gültige Zulassung nach der UN-Regelung Nr. 156 (Regelung über Softwareaktualisierungen) verfügen. |
| --- | --- |

9.3.2.1.

Der Fahrzeughersteller muss über eine gültige Zulassung nach der UN-Regelung Nr. 156 (Regelung über Softwareaktualisierungen) verfügen.

| 9.3.2.2. | Der Fahrzeughersteller hat im Mitteilungsblatt dieser Regelung folgende Angaben zu machen:






  a) | Die R157SWIN, |
| --- | --- | --- |

9.3.2.2.

Der Fahrzeughersteller hat im Mitteilungsblatt dieser Regelung folgende Angaben zu machen:

a)

Die R157SWIN,

157

| b) | Anweisungen zum Ablesen der R157SWIN bzw. der Softwareversion(en), falls die R157SWIN nicht im Fahrzeug hinterlegt ist. |
| --- | --- |

b)

Anweisungen zum Ablesen der R157SWIN bzw. der Softwareversion(en), falls die R157SWIN nicht im Fahrzeug hinterlegt ist.

157

157

| 9.3.2.3. | Der Fahrzeughersteller kann im Mitteilungsblatt dieser Regelung eine Liste der einschlägigen Parameter angeben, anhand derer die Fahrzeuge bestimmt werden können, die mit der durch die R157SWIN bezeichneten Software aktualisiert werden können. Die bereitgestellten Informationen sind vom Fahrzeughersteller anzugeben und müssen nicht von einer Genehmigungsbehörde überprüft werden. |
| --- | --- |

9.3.2.3.

Der Fahrzeughersteller kann im Mitteilungsblatt dieser Regelung eine Liste der einschlägigen Parameter angeben, anhand derer die Fahrzeuge bestimmt werden können, die mit der durch die R157

| 9.3.3. | Der Fahrzeughersteller kann eine neue Fahrzeugzulassung erhalten, um die Softwareversionen, die in bereits auf dem Markt zugelassenen Fahrzeugen verwendet werden sollen, von den in neuen Fahrzeugen eingesetzten Softwareversionen zu unterscheiden. Dies kann auch die Fälle einschließen, in denen Regelungen zur Typgenehmigung aktualisiert oder in seriengefertigten Fahrzeugen Veränderungen an der Hardware vorgenommen werden. In Absprache mit der Prüfstelle sind Doppelprüfungen nach Möglichkeit zu vermeiden. |
| --- | --- |

9.3.3.

Der Fahrzeughersteller kann eine neue Fahrzeugzulassung erhalten, um die Softwareversionen, die in bereits auf dem Markt zugelassenen Fahrzeugen verwendet werden sollen, von den in neuen Fahrzeugen eingesetzten Softwareversionen zu unterscheiden. Dies kann auch die Fälle einschließen, in denen Regelungen zur Typgenehmigung aktualisiert oder in seriengefertigten Fahrzeugen Veränderungen an der Hardware vorgenommen werden. In Absprache mit der Prüfstelle sind Doppelprüfungen nach Möglichkeit zu vermeiden.

10.   ÄNDERUNGEN DES FAHRZEUGTYPS UND ERWEITERUNG DER TYPGENEHMIGUNG

| 10.1. | Jede Änderung eines Fahrzeugtyps ist der Typgenehmigungsbehörde mitzuteilen, die die Genehmigung für den Fahrzeugtyp erteilt hat.
  Die Behörde kann dann:






  a) | im Benehmen mit dem Hersteller entscheiden, dass eine neue Typgenehmigung zu erteilen ist, oder |
| --- | --- | --- |

10.1.

Jede Änderung eines Fahrzeugtyps ist der Typgenehmigungsbehörde mitzuteilen, die die Genehmigung für den Fahrzeugtyp erteilt hat.

Die Behörde kann dann:

a)

im Benehmen mit dem Hersteller entscheiden, dass eine neue Typgenehmigung zu erteilen ist, oder

| b) | das unter Nummer 10.1.1 (Überarbeitung) beschriebene Verfahren und gegebenenfalls das unter Nummer 10.1.2 (Erweiterung) enthaltene Verfahren anwenden. |
| --- | --- |

b)

das unter Nummer 10.1.1 (Überarbeitung) beschriebene Verfahren und gegebenenfalls das unter Nummer 10.1.2 (Erweiterung) enthaltene Verfahren anwenden.

| 10.1.1. | Überarbeitung
  Wenn sich in den Beschreibungsbögen aufgezeichnete Einzelheiten ändern und die Typgenehmigungsbehörde die Auffassung vertritt, dass die vorgenommenen Änderungen keine nennenswerte nachteilige Auswirkung haben und die Pedale in jedem Fall noch den Vorschriften entsprechen, wird diese Änderung als „Revision“ bezeichnet.
  In diesem Fall gibt die Typgenehmigungsbehörde, soweit erforderlich, die revidierten Seiten der Beschreibungsbögen heraus und kennzeichnet jede revidierte Seite, damit die Art der Änderung und das Datum der Neuausgabe klar ersichtlich sind.
  Eine konsolidierte, aktualisierte Fassung der Beschreibungsbögen mit einer ausführlichen Beschreibung der Änderungen erfüllt diese Anforderung. |
| --- | --- |

10.1.1.

Überarbeitung

Wenn sich in den Beschreibungsbögen aufgezeichnete Einzelheiten ändern und die Typgenehmigungsbehörde die Auffassung vertritt, dass die vorgenommenen Änderungen keine nennenswerte nachteilige Auswirkung haben und die Pedale in jedem Fall noch den Vorschriften entsprechen, wird diese Änderung als „Revision“ bezeichnet.

In diesem Fall gibt die Typgenehmigungsbehörde, soweit erforderlich, die revidierten Seiten der Beschreibungsbögen heraus und kennzeichnet jede revidierte Seite, damit die Art der Änderung und das Datum der Neuausgabe klar ersichtlich sind.

Eine konsolidierte, aktualisierte Fassung der Beschreibungsbögen mit einer ausführlichen Beschreibung der Änderungen erfüllt diese Anforderung.

| 10.1.2. | Erweiterung
  Die Änderung wird als „Erweiterung“ bezeichnet, wenn zusätzlich zu der Änderung an den in den Beschreibungsbögen aufgezeichneten Einzelheiten






  a) | weitere Kontrollen oder Prüfungen erforderlich sind oder |
| --- | --- | --- |

10.1.2.

Erweiterung

Die Änderung wird als „Erweiterung“ bezeichnet, wenn zusätzlich zu der Änderung an den in den Beschreibungsbögen aufgezeichneten Einzelheiten

a)

weitere Kontrollen oder Prüfungen erforderlich sind oder

| b) | Angaben im Mitteilungsblatt (außer in den zugehörigen Anlagen) geändert wurden oder |
| --- | --- |

b)

Angaben im Mitteilungsblatt (außer in den zugehörigen Anlagen) geändert wurden oder

| c) | die Genehmigung nach einer späteren Änderungsserie nach deren Inkrafttreten beantragt wird. |
| --- | --- |

c)

die Genehmigung nach einer späteren Änderungsserie nach deren Inkrafttreten beantragt wird.

| 10.2. | Die Bestätigung oder Versagung der Genehmigung ist den Vertragsparteien des Übereinkommens, die diese Regelung anwenden, nach dem Verfahren nach Nummer 4.3 unter Angabe der Änderung mitzuteilen. Das Verzeichnis der dem Mitteilungsblatt nach Anhang 1 beigefügten Beschreibungsbögen und Prüfberichte ist entsprechend zu ändern, um das Datum der jüngsten Überarbeitung oder Erweiterung anzugeben. |
| --- | --- |

10.2.

Die Bestätigung oder Versagung der Genehmigung ist den Vertragsparteien des Übereinkommens, die diese Regelung anwenden, nach dem Verfahren nach Nummer 4.3 unter Angabe der Änderung mitzuteilen. Das Verzeichnis der dem Mitteilungsblatt nach Anhang 1 beigefügten Beschreibungsbögen und Prüfberichte ist entsprechend zu ändern, um das Datum der jüngsten Überarbeitung oder Erweiterung anzugeben.

| 10.3. | Die zuständige Behörde, die die Erweiterung der Genehmigung bescheinigt, teilt jedem Mitteilungsblatt, das bei einer solchen Erweiterung ausgestellt wird, eine laufende Nummer zu. |
| --- | --- |

10.3.

Die zuständige Behörde, die die Erweiterung der Genehmigung bescheinigt, teilt jedem Mitteilungsblatt, das bei einer solchen Erweiterung ausgestellt wird, eine laufende Nummer zu.

11.   ÜBEREINSTIMMUNG DER PRODUKTION

| 11.1. | Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den in Anlage 1 zum Übereinkommen von 1958 (E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen: |
| --- | --- |

11.1.

Die Verfahren zur Kontrolle der Übereinstimmung der Produktion müssen den in Anlage 1 zum Übereinkommen von 1958 (E/ECE/TRANS/505/Rev.3) beschriebenen Verfahren entsprechen, wobei folgende Vorschriften eingehalten sein müssen:

| 11.2. | Jedes nach dieser Regelung genehmigte Fahrzeug muss hinsichtlich der Herstellung dem genehmigten Fahrzeugtyp entsprechen und die Anforderungen dieser Regelung erfüllen. |
| --- | --- |

11.2.

Jedes nach dieser Regelung genehmigte Fahrzeug muss hinsichtlich der Herstellung dem genehmigten Fahrzeugtyp entsprechen und die Anforderungen dieser Regelung erfüllen.

| 11.3. | Die Typgenehmigungsbehörde, die die Genehmigung erteilt hat, kann jederzeit die Übereinstimmung der Kontrollmethoden für jede Produktionseinheit überprüfen. Diese Überprüfungen werden normalerweise einmal alle zwei Jahre durchgeführt. |
| --- | --- |

11.3.

Die Typgenehmigungsbehörde, die die Genehmigung erteilt hat, kann jederzeit die Übereinstimmung der Kontrollmethoden für jede Produktionseinheit überprüfen. Diese Überprüfungen werden normalerweise einmal alle zwei Jahre durchgeführt.

12.   MAßNAHMEN BEI ABWEICHUNGEN DER PRODUKTION

| 12.1. | Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Anforderungen unter Nummer 8 nicht erfüllt werden. |
| --- | --- |

12.1.

Die für einen Fahrzeugtyp nach dieser Regelung erteilte Genehmigung kann zurückgenommen werden, wenn die Anforderungen unter Nummer 8 nicht erfüllt werden.

| 12.2. | Nimmt eine Vertragspartei des Übereinkommens eine von ihr erteilte Genehmigung zurück, so hat sie unverzüglich die anderen Vertragsparteien, die diese Regelung anwenden, hierüber mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 1 dieser Regelung entspricht. |
| --- | --- |

12.2.

Nimmt eine Vertragspartei des Übereinkommens eine von ihr erteilte Genehmigung zurück, so hat sie unverzüglich die anderen Vertragsparteien, die diese Regelung anwenden, hierüber mit einem Mitteilungsblatt zu unterrichten, das dem Muster in Anhang 1 dieser Regelung entspricht.

13.   ENDGÜLTIGE EINSTELLUNG DER PRODUKTION

| 13.1. | Stellt der Inhaber der Genehmigung die Produktion eines nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, so hat er hierüber die Typgenehmigungsbehörde, die die Genehmigung erteilt hat, zu unterrichten. Diese benachrichtigt ihrerseits die anderen Vertragsparteien des Übereinkommens, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 1 dieser Reglung entspricht. |
| --- | --- |

13.1.

Stellt der Inhaber der Genehmigung die Produktion eines nach dieser Regelung genehmigten Fahrzeugtyps endgültig ein, so hat er hierüber die Typgenehmigungsbehörde, die die Genehmigung erteilt hat, zu unterrichten. Diese benachrichtigt ihrerseits die anderen Vertragsparteien des Übereinkommens, die diese Regelung anwenden, mit einem Mitteilungsblatt, das dem Muster in Anhang 1 dieser Reglung entspricht.

| 13.2. | Die Produktion gilt nicht als endgültig eingestellt, wenn der Fahrzeughersteller beabsichtigt, weitere Genehmigungen für Softwareaktualisierungen für bereits auf dem Markt zugelassene Fahrzeuge zu erlangen. |
| --- | --- |

13.2.

Die Produktion gilt nicht als endgültig eingestellt, wenn der Fahrzeughersteller beabsichtigt, weitere Genehmigungen für Softwareaktualisierungen für bereits auf dem Markt zugelassene Fahrzeuge zu erlangen.

14.   NAMEN UND ANSCHRIFTEN DER TECHNISCHEN DIENSTE, DIE DIE PRÜFUNGEN FÜR DIE GENEHMIGUNG DURCHFÜHREN, UND DER TYPGENEHMIGUNGSBEHÖRDEN

Die Vertragsparteien des Übereinkommens, die diese Regelung anwenden, übermitteln dem Sekretariat der Vereinten Nationen (4) die Namen und Anschriften der technischen Dienste, die die Prüfungen für die Genehmigung durchführen, und der Typgenehmigungsbehörden, die die Genehmigung erteilen und an die die in anderen Ländern ausgestellten Mitteilungsblätter über die Erteilung oder Erweiterung oder Versagung oder Rücknahme der Genehmigung zu übersenden sind.

4

---

(1)  Entsprechend den Definitionen in der Gesamtresolution über Fahrzeugtechnik (R.E.3), Dokument ECE/TRANS/WP.29/78/Rev.6, Nummer 2 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

1

(2)  Die Kennzahlen der Vertragsparteien des Übereinkommens von 1958 finden sich in Anhang 3 der Gesamtresolution über Fahrzeugtechnik (R.E.3), Dokument ECE/TRANS/WP.29/78/Rev. 6 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

2

(3)  Hinweis: Auf der Grundlage einer aktuellen quantitativen Studie einer Vertragspartei erwägt die Arbeitsgruppe zu automatisierten/autonomen und vernetzten Fahrzeugen (GRVA), ob im Wortlaut mehrere Zeitstempel-Spezifikationen aus 2 500 Zeitstempeln benannt werden sollen, die einer Nutzungsdauer von 6 Monaten entsprechen.

3

(4)  Über die von der UNECE für den Austausch solcher Informationen bereitgestellte Online-Plattform („/343 Application“): https://www.unece.org/trans/main/wp29/datasharing.html

4

---

ANHANG 1

Mitteilung

(Größtes Format: A4 (210 × 297 mm)

| (1) | ausfertigende Stelle: | Bezeichnung der Behörde:
  ...
  ...
  ... |
| --- | --- | --- |

Image 18

ausfertigende Stelle:

Bezeichnung der Behörde:

...

...

...

| über die: (2) | Erteilung der Genehmigung
  Erweiterung der Genehmigung
  Versagung der Genehmigung
  Rücknahme der Genehmigung
  Endgültige Einstellung der Produktion |
| --- | --- |

über die: (2)

Erteilung der Genehmigung

Erweiterung der Genehmigung

Versagung der Genehmigung

Rücknahme der Genehmigung

Endgültige Einstellung der Produktion

für einen Fahrzeugtyp hinsichtlich des automatischen Spurhalteassistenzsystems nach der UN-Regelung Nr. 157

Nummer der Genehmigung: ...

Grund für die Erweiterung oder Überarbeitung: ...

1.

Fabrik- oder Handelsmarke des Fahrzeugs: ...

2.

Fahrzeugtyp: ...

3.

Name und Anschrift des Herstellers: ...

4.

Gegebenenfalls Name und Anschrift des Bevollmächtigten des Herstellers: ...

5.

Allgemeine Baumerkmale des Fahrzeugs:

5.1.

Fotos und/oder Zeichnungen eines repräsentativen Fahrzeugs: ...

6.

Beschreibung und/oder Zeichnung des ALKS, einschließlich:

6.1.

Angegebene Höchstgeschwindigkeit des ALKS nach Herstellerangabe: ...

6.2

Sensorsystem (einschl. Bauteile): ...

6.3.

Einbau des ALKS-Sensorsystems: ...

6.4.

Softwareidentifikation des ALKS (falls zutreffend): ...

7.

Schriftliche Beschreibung und/oder Zeichnung der Mensch-Maschine-Schnittstelle des ALKS, einschließlich:

7.1.

Verfahren zur Erkennung der Fahrerverfügbarkeit ...

7.2.

Vorrichtungen zur Aktivierung, Deaktivierung und Übersteuerung des Systems ...

7.3.

Verfahren der Fahreraufmerksamkeitserkennung ...

7.4.

Etwaige Einschränkungen des Systems aufgrund von Umgebungsbedingungen oder Straßenzustand...

8.

Schriftliche Beschreibung und/oder Zeichnung der Informationen für den Fahrzeugführer, einschließlich:

8.1.

Systemstatus: ...

8.2.

Übernahmeaufforderung: ...

8.3.

Risikominimierendes Manöver: ...

8.4.

Notfallmanöver: ...

9.

Fahrmodusspeicher (Data Storage System for Automated Driving — DSSAD):

9.1.

Leistung des Fahrmodusspeichers nach den Prüfungen nach Anhang 5 verifiziert: ... ja/nein

9.2.

Dokumentation des Fahrmodusspeichers bezüglich Zugänglichkeit der Daten, Selbstprüfung der Datenintegrität und Schutz vor Manipulation der gespeicherten Daten verifiziert: ja/nein

10.

Cybersicherheit und Softwareaktualisierungen

10.1.

Typgenehmigungsnummer Cybersicherheit (falls zutreffend): ...

10.2.

Typgenehmigungsnummer Softwareaktualisierung (falls zutreffend): ...

11.

Besondere Vorschriften betreffend die Sicherheitsaspekte elektronischer Steuersysteme (Anhang 4)

11.1.

Referenz der Hersteller-Dokumentation für Anhang 4 (mit Versionsnummer): ...

11.2.

Formular Beschreibungsbogen (Anlage 2 zu Anhang 4) ...

12.

Technischer Dienst, der die Prüfungen für die Genehmigung durchführt ...

12.1.

Datum des Prüfberichts des technischen Dienstes ...

12.2.

(Referenz-)Nummer des Berichts des technischen Dienstes ...

13.

Genehmigung erteilt/erweitert/überarbeitet/versagt/zurückgenommen2

14.

Stelle, an der das Genehmigungszeichen am Fahrzeug angebracht ist ...

15.

Ort: ...

16.

Datum: ...

17.

Unterschrift: ...

18.

Dieser Mitteilung liegt eine Liste der Unterlagen bei, die bei der Genehmigungsbehörde eingereicht wurden und auf Anfrage erhältlich sind.

Weitere Angaben

19.

R157SWIN: ...

19.1.

Informationen zum Ablesen der R157SWIN bzw. der Softwareversion(en), falls die R157SWIN nicht im Fahrzeug hinterlegt ist: ...

19.2.

Gegebenenfalls sind die einschlägigen Parameter aufzuführen, die die Ermittlung der Fahrzeuge ermöglichen, die mit der durch die R157SWIN bezeichneten Software nach Nummer 19.1 aktualisiert werden können: ...

---

(1)  Kennzahl des Landes, das die Genehmigung erteilt/erweitert/versagt/zurückgenommen hat (siehe die Vorschriften über die Genehmigung in UN-Regelung Nr. 157).

1

(2)  Nichtzutreffendes streichen.

2

---

Anlage

Beiblatt zum Typgenehmigungsbogen Nr. ... hinsichtlich der Typgenehmigung eines Fahrzeugtyps in Bezug auf das ALKS nach der UN-Regelung Nr. 157

Weitere Angaben

Vertragsstaaten, in denen das ALKS den Angaben des Fahrzeugherstellers zufolge für mit den örtlichen Straßenverkehrsvorschriften vereinbar befunden wurde:

| Land | Geprüft | Anmerkungen zu etwaigen Einschränkungen |
| --- | --- | --- |
| E 1 Deutschland | Ja/Nein | |
| E 2 Frankreich | | |
| E 3 Italien | | |
| E 4 Niederlande | | |
| E 5 Schweden | | |
| E 6 Belgien | | |
| E 7 Ungarn | | |
| E 8 Tschechische Republik | | |
| E 9 Spanien | | |
| E 10 Serbien | | |
| E 11 Vereinigtes Königreich | | |
| E 12 Österreich | | |
| E 13 Luxemburg | | |
| E 14 Schweiz | | |
| E 16 Norwegen | | |
| E 17 Finnland | | |
| E 18 Dänemark | | |
| E 19 Rumänien | | |
| E 20 Polen | | |
| E 21 Portugal | | |
| E 22 Russische Föderation | | |
| E 23 Griechenland | | |
| E 24 Irland | | |
| E 25 Kroatien | | |
| E 26 Slowenien | | |
| E 27 Slowakei | | |
| E 28 Belarus | | |
| E 29 Estland | | |
| E 30 Republik Moldau | | |
| E 31 Bosnien und Herzegowina | | |
| E 32 Lettland | | |
| E 34 Bulgarien | | |
| E 35 Kasachstan | | |
| E 36 Litauen | | |
| E 37 Türkei | | |
| E 39 Aserbaidschan | | |
| E 40 Nordmazedonien | | |
| E 43 Japan | | |
| E 45 Australien | | |
| E 46 Ukraine | | |
| E 47 Südafrika | | |
| E 48 Neuseeland | | |
| E 49 Zypern | | |
| E 50 Malta | | |
| E 51 Republik Korea | | |
| E 52 Malaysia | | |
| E 53 Thailand | | |
| E 54 Albanien
  E 55 Armenien | | |
| E 56 Montenegro | | |
| E 57 San Marino | | |
| E 58 Tunesien | | |
| E 60 Georgien | | |
| E 62 Ägypten | | |
| E 63 Nigeria | | |
| [E 64 Pakistan] | | |
| (*) | | |

Land

Geprüft

Anmerkungen zu etwaigen Einschränkungen

E 1 Deutschland

Ja/Nein

E 2 Frankreich

E 3 Italien

E 4 Niederlande

E 5 Schweden

E 6 Belgien

E 7 Ungarn

E 8 Tschechische Republik

E 9 Spanien

E 10 Serbien

E 11 Vereinigtes Königreich

E 12 Österreich

E 13 Luxemburg

E 14 Schweiz

E 16 Norwegen

E 17 Finnland

E 18 Dänemark

E 19 Rumänien

E 20 Polen

E 21 Portugal

E 22 Russische Föderation

E 23 Griechenland

E 24 Irland

E 25 Kroatien

E 26 Slowenien

E 27 Slowakei

E 28 Belarus

E 29 Estland

E 30 Republik Moldau

E 31 Bosnien und Herzegowina

E 32 Lettland

E 34 Bulgarien

E 35 Kasachstan

E 36 Litauen

E 37 Türkei

E 39 Aserbaidschan

E 40 Nordmazedonien

E 43 Japan

E 45 Australien

E 46 Ukraine

E 47 Südafrika

E 48 Neuseeland

E 49 Zypern

E 50 Malta

E 51 Republik Korea

E 52 Malaysia

E 53 Thailand

E 54 Albanien

E 55 Armenien

E 56 Montenegro

E 57 San Marino

E 58 Tunesien

E 60 Georgien

E 62 Ägypten

E 63 Nigeria

[E 64 Pakistan]

(*)

---

(*)  Die Liste der Vertragsparteien, die die UN-Regelung Nr. 157 anwenden, ist online abrufbar unter: https://treaties.un.org/Pages/ViewDetails.aspx?src=TREATY&mtdsg_no=XI-B-16-15https://treaties.un.org/Pages/ViewDetails.aspx?src=TREATY&mtdsg_no=XI-B-16-15

---

ANHANG 2

Anordnungen der Genehmigungszeichen

Muster A

(siehe Nummer 4.4 dieser Regelung)

Image 19

a = min. 8 mm

Das oben dargestellte, an einem Fahrzeug angebrachte Genehmigungszeichen besagt, dass der betreffende Fahrzeugtyp hinsichtlich des ALKS in den Niederlanden (E 4) nach der UN-Regelung Nr. 157 unter der Genehmigungsnummer 002439 genehmigt worden ist. Aus der Genehmigungsnummer geht hervor, dass die Genehmigung nach den Vorschriften der UN-Regelung Nr. 157 in ihrer ursprünglichen Fassung erteilt wurde.

Muster B

(siehe Nummer 4.5 dieser Regelung)

Image 20

a = min. 8 mm

Das oben abgebildete, an einem Fahrzeug angebrachte Genehmigungszeichen besagt, dass dieser Fahrzeugtyp in den Niederlanden (E 4) nach den Regelungen Nr. 157 und Nr. 31 genehmigt wurde. (1) Aus den Genehmigungsnummern geht hervor, dass bei der Erteilung der jeweiligen Genehmigungen die UN-Regelung Nr. 157 in ihrer ursprünglichen Fassung vorlag und die UN-Regelung Nr. 31 die Änderungsserie 02 enthielt.

---

(1)  Die zweite Nummer dient nur als Beispiel.

---

ANHANG 3

(Vorbehalten)

---

ANHANG 4

Besondere Vorschriften für die Funktions- und Betriebssicherheitsaspekte von Spurhalteassistenzsystemen (Automated Lane Keeping Systems — ALKS)

1.   ALLGEMEINES

Mit diesem Anhang soll sichergestellt werden, dass der Hersteller die Funktions- und Betriebssicherheit bei der Entwicklung des automatischen Systems, das die durch die ALKS-Regelung geregelte(n) Funktion(en) übernimmt, in hinreichend gründlicher Weise berücksichtigt hat und in allen Phasen des Lebenszyklus des Fahrzeugtyps (Konzeption, Entwicklung, Produktion, Fahrbetrieb, Stilllegung) berücksichtigen wird.

Der Anhang umfasst die Dokumentation, die der Hersteller der Typgenehmigungsbehörde oder dem von ihr beauftragten technischen Dienst (im Folgenden „Typgenehmigungsbehörde“) für Zwecke der Typgenehmigung vorzulegen hat.

Durch diese Dokumentation ist der Nachweis zu erbringen, dass das Spurhalteassistenzsystem den in dieser UN-Regelung festgelegten Leistungsvorschriften entspricht und dass das System so ausgelegt ist, dass es im Betrieb keine unangemessenen Risiken für die Sicherheit des Fahrzeugführers, der Fahrzeuginsassen und anderer Verkehrsteilnehmer nach sich zieht.

Die Typgenehmigungsbehörde, die die Genehmigung erteilt, muss durch gezielte Stichproben und Prüfungen überprüfen, ob die Argumentation in der Dokumentation überzeugend ist und ob der Hersteller die Bauart und die Verfahren, die in der Dokumentation beschrieben sind, tatsächlich umsetzt.

Auch wenn auf der Grundlage der vorgelegten Dokumentation und Belege sowie der zur Zufriedenheit der Typgenehmigungsbehörde in Bezug auf diese Regelung durchgeführten Verfahrensaudits und Produktbewertungen das Restrisiko des geprüften automatischen Spurhalteassistenzsystems als für die Inbetriebnahme des Fahrzeugtyps vertretbar erachtet wird, liegt die Verantwortung für Sicherheit des Fahrzeugs insgesamt während der Lebensdauer des Spurhalteassistenzsystems nach den Vorschriften dieser Regelung bei dem Hersteller, der die Typgenehmigung beantragt.

2.   BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieses Anhangs gelten folgende Begriffsbestimmungen:

| 2.1. | „System“ bezeichnet ein „übergeordnetes elektronisches Steuersystem“ und die zugehörigen elektronischen Steuersysteme, die die automatische Fahrfunktion übernehmen. Das umfasst auch alle Übertragungsverbindungen an andere Systeme oder von anderen Systemen, die nicht in den Anwendungsbereich dieser mit der automatischen Spurhaltefunktion befassten Regelung fallen. |
| --- | --- |

2.1.

| 2.2. | „Sicherheitskonzept“ bezeichnet eine Beschreibung der Maßnahmen, die in das System (z. B. in die elektronischen Baueinheiten) integriert sind, um den Betrieb des Fahrzeugs unter normalen und unter Fehlerbedingungen ohne unangemessene Risiken für die Sicherheit des Fahrzeugführers, der Fahrzeuginsassen und anderer Verkehrsteilnehmer zu gewährleisten. Die Möglichkeit des Rückfalls auf ein Teilsystem oder sogar auf ein Backup-System bei wichtigen Fahrzeugfunktionen muss Teil des Sicherheitskonzepts sein. |
| --- | --- |

2.2.

| 2.3. | „Elektronisches Steuersystem“ bezeichnet eine Kombination von Baueinheiten, die bei der genannten automatischen Spurhaltefunktion mithilfe der elektronischen Datenverarbeitung zusammenwirken sollen. Diese Systeme, die üblicherweise durch Software gesteuert sind, bestehen aus diskreten Funktionsbauteilen, wie Sensoren, elektronischen Steuergeräten und Stellgliedern, und sind durch Übertragungsverbindungen miteinander verbunden. Sie können mechanische, elektropneumatische oder elektrohydraulische Bauelemente umfassen. |
| --- | --- |

2.3.

| 2.4. | „Übergeordnetes elektronisches Steuersystem“ bezeichnet ein System, das die dynamische Fahraufgabe mithilfe von Verarbeitungs- und/oder Abtastvorgängen ausübt. |
| --- | --- |

2.4.

| 2.5. | „Baueinheiten“ bezeichnet die kleinsten Teile von Systembestandteilen, die in diesem Anhang behandelt werden, da diese Kombinationen von Bauteilen bei der Kennzeichnung, der Auswertung oder dem Austausch als einzelne Einheiten betrachtet werden. |
| --- | --- |

2.5.

| 2.6. | „Übertragungsverbindungen“ bezeichnet die Mittel, mit denen verteilte Baueinheiten für die Übertragung von Signalen, Betriebsdaten oder die Energieversorgung miteinander verbunden werden. Dabei handelt es sich im Allgemeinen um eine elektrische Anlage, in einigen Teilen kann sie aber auch mechanisch, pneumatisch oder hydraulisch sein. |
| --- | --- |

2.6.

| 2.7. | „Steuerungsbereich“ bezeichnet den Bereich, in dem das System die Steuerung für eine bestimmte Ausgangsgröße sicherstellen sollte. |
| --- | --- |

2.7.

| 2.8. | „Systemgrenzen“ bezeichnet die Grenzen der externen physikalischen Faktoren, in denen das System die dynamischen Fahraufgaben ausüben kann (d. h. einschließlich der Übernahmeaufforderungen und risikominimierenden Manöver). |
| --- | --- |

2.8.

| 2.9. | „Bauartbedingter Einsatzbereich“ (Operational Design Domain – ODD) des Spurhalteassistenzsystems bezeichnet die spezifischen Betriebsbedingungen (d. h. die Bedingungen im Hinblick auf Umgebung, geografisches Umfeld, Tageszeit, Verkehrslage, Infrastruktur, Geschwindigkeitsbereich, Wetter und andere Bedingungen), auf die der Betrieb des automatischen Spurhalteassistenzsystems im Rahmen der in dieser Regelung festgelegten Grenzen ohne Eingreifen des Fahrzeugführers ausgelegt ist. |
| --- | --- |

2.9.

| 2.10. | „Automatische Fahrfunktion“ bezeichnet eine Funktion des Systems, die in der Lage ist, die dynamische Fahraufgabe des Fahrzeugs zu übernehmen. |
| --- | --- |

2.10.

| 2.11. | „Steuerstrategie“ bezeichnet eine Strategie zur Sicherstellung des stabilen und sicheren Betriebs der Funktion(en) des Systems in Abhängigkeit von spezifischen Umwelt- und/oder Betriebsbedingungen (zum Beispiel Zustand der Fahrbahnoberfläche, Verkehrsdichte und andere Verkehrsteilnehmer, ungünstige Wetterbedingungen usw.). Dies kann auch die automatische Deaktivierung einer Funktion oder eine vorübergehende Leistungsdrosselung (z. B. Verringerung der maximalen Betriebsgeschwindigkeit usw.) umfassen. |
| --- | --- |

2.11.

| 2.12. | „Funktionssicherheit“ bezeichnet die Abwesenheit unangemessener Risiken bei Auftreten von Gefahren aufgrund einer Fehlfunktion elektrischer bzw. elektronischer Systeme (Sicherheitsrisiken aufgrund von Systemstörungen). |
| --- | --- |

2.12.

| 2.13. | „Störung“ bezeichnet einen anormalen Zustand, der dazu führen kann, dass ein Element (ein System, ein Bauteil, eine Software) oder ein Teil (ein System oder eine Kombination von Systemen, das bzw. die eine Funktion des Fahrzeugs ausführen) ausfällt. |
| --- | --- |

2.13.

| 2.14. | „Ausfall“ bezeichnet die Beendigung des vorgesehenen Verhaltens eines Elements oder Teils. |
| --- | --- |

2.14.

| 2.15. | „Betriebssicherheit“ bezeichnet die Abwesenheit unangemessener Risiken bei Auftreten von Gefahren aufgrund funktionaler Beeinträchtigungen der vorgesehenen Funktion (z. B. falsche/versäumte Erkennung), aufgrund von betriebsbedingten Beeinträchtigungen (z. B. durch Umgebungsbedingungen wie Nebel, Regen, Schatten, Sonnenlicht, Infrastruktur) oder aufgrund von vernünftigerweise vorhersehbaren Fehlanwendungen/Fehlern des Fahrzeugführers, der Fahrzeuginsassen oder anderer Verkehrsteilnehmer (Sicherheitsrisiken – ohne Systemstörungen). |
| --- | --- |

2.15.

| 2.16. | „Unangemessenes Risiko“ bezeichnet ein im Vergleich zu einem auf sachkundige und umsichtige Weise manuell geführten Fahrzeug erhöhtes Risiko für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer. |
| --- | --- |

2.16.

3.   DOKUMENTATION

| 3.1. | Anforderungen
  Der Hersteller muss Dokumentation zur Verfügung stellen, die Angaben über die Grundkonzeption des Systems und die Mittel zur Verbindung mit anderen Fahrzeugsystemen oder zur direkten Steuerung von Ausgangsgrößen enthält.
  Die Funktionen des Systems, einschließlich der Steuerstrategie, und das Sicherheitskonzept müssen darin nach den Festlegungen des Herstellers erläutert sein.
  Die Dokumentation muss kurz und knapp sein, jedoch ausreichen, um nachzuweisen, dass bei der Entwicklung des Systems mit dem erforderlichen Expertenwissen aus allen betreffenden Systembereichen vorgegangen wurde.
  Für Zwecke der periodischen technischen Überwachung ist anzugeben, wie geprüft werden kann, ob das System in funktionsfähigem Zustand ist.
  Es ist anzugeben, wie die Softwareversion(en) und der Status des Fehlerwarnsignals in standardisierter Form mittels einer elektronischen Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Anschluss), abgelesen werden können.
  Die Typgenehmigungsbehörde bewertet anhand der Dokumentation, ob der Nachweis erbracht wird, dass das System:






  a) | so ausgelegt ist, dass es im Betrieb innerhalb des angegebenen bauartbedingten Einsatzbereichs (ODD) und der angegebenen Grenzen keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich zieht; |
| --- | --- | --- |

3.1.

Der Hersteller muss Dokumentation zur Verfügung stellen, die Angaben über die Grundkonzeption des Systems und die Mittel zur Verbindung mit anderen Fahrzeugsystemen oder zur direkten Steuerung von Ausgangsgrößen enthält.

Die Funktionen des Systems, einschließlich der Steuerstrategie, und das Sicherheitskonzept müssen darin nach den Festlegungen des Herstellers erläutert sein.

Die Dokumentation muss kurz und knapp sein, jedoch ausreichen, um nachzuweisen, dass bei der Entwicklung des Systems mit dem erforderlichen Expertenwissen aus allen betreffenden Systembereichen vorgegangen wurde.

Für Zwecke der periodischen technischen Überwachung ist anzugeben, wie geprüft werden kann, ob das System in funktionsfähigem Zustand ist.

Es ist anzugeben, wie die Softwareversion(en) und der Status des Fehlerwarnsignals in standardisierter Form mittels einer elektronischen Kommunikationsschnittstelle, zumindest über die Standardschnittstelle (OBD-Anschluss), abgelesen werden können.

Die Typgenehmigungsbehörde bewertet anhand der Dokumentation, ob der Nachweis erbracht wird, dass das System:

a)

so ausgelegt ist, dass es im Betrieb innerhalb des angegebenen bauartbedingten Einsatzbereichs (ODD) und der angegebenen Grenzen keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich zieht;

| b) | allen Leistungsanforderungen entspricht, die in dieser Regelung an anderer Stelle aufgeführt sind; |
| --- | --- |

b)

allen Leistungsanforderungen entspricht, die in dieser Regelung an anderer Stelle aufgeführt sind;

| c) | im Einklang mit den vom Hersteller angegebenen Entwicklungsverfahren/-methoden, die zumindest die unter Nummer 3.4.4 genannten Schritte umfassen, entwickelt wurde. |
| --- | --- |

c)

im Einklang mit den vom Hersteller angegebenen Entwicklungsverfahren/-methoden, die zumindest die unter Nummer 3.4.4 genannten Schritte umfassen, entwickelt wurde.

| 3.1.1. | Die Dokumentation muss drei Teile umfassen:






  a) | Antrag auf Typgenehmigung: Der bei der Beantragung der Erteilung der Typgenehmigung bei der Typgenehmigungsbehörde eingereichte Beschreibungsbogen muss kurze Informationen zu den in Anlage 2 aufgeführten Punkten enthalten. Er wird Bestandteil der Genehmigung sein. |
| --- | --- | --- |

3.1.1.

a)

Antrag auf Typgenehmigung: Der bei der Beantragung der Erteilung der Typgenehmigung bei der Typgenehmigungsbehörde eingereichte Beschreibungsbogen muss kurze Informationen zu den in Anlage 2 aufgeführten Punkten enthalten. Er wird Bestandteil der Genehmigung sein.

| b) | Die förmliche Dokumentation für die Genehmigung, die die unter Nummer 3 aufgeführten Unterlagen enthält (mit Ausnahme der Angaben nach Nummer 3.4.4) und das der Typgenehmigungsbehörde für die Zwecke der Produktbewertung/des Verfahrensaudits vorzulegen ist. Diese Dokumentation dient der Typgenehmigungsbehörde als Grundlage für die Nachprüfung nach Nummer 4 dieses Anhangs. Die Typgenehmigungsbehörde stellt sicher, dass diese Dokumentation für einen festgelegten Zeitraum von mindestens 10 Jahren, gerechnet von dem Zeitpunkt, an dem die Herstellung des Fahrzeugs endgültig eingestellt wird, verfügbar bleibt. |
| --- | --- |

b)

Die förmliche Dokumentation für die Genehmigung, die die unter Nummer 3 aufgeführten Unterlagen enthält (mit Ausnahme der Angaben nach Nummer 3.4.4) und das der Typgenehmigungsbehörde für die Zwecke der Produktbewertung/des Verfahrensaudits vorzulegen ist. Diese Dokumentation dient der Typgenehmigungsbehörde als Grundlage für die Nachprüfung nach Nummer 4 dieses Anhangs. Die Typgenehmigungsbehörde stellt sicher, dass diese Dokumentation für einen festgelegten Zeitraum von mindestens 10 Jahren, gerechnet von dem Zeitpunkt, an dem die Herstellung des Fahrzeugs endgültig eingestellt wird, verfügbar bleibt.

| c) | Zusätzliches Material und Analysedaten (geistiges Eigentum) nach Nummer 3.4.4, die vom Hersteller aufzubewahren, zum Zeitpunkt der Produktbewertung/des Verfahrensaudits aber zur Prüfung (z. B. am Fertigungsstandort des Herstellers) offenzulegen sind. Der Hersteller stellt sicher, dass dieses Material und diese Analysedaten für einen Zeitraum von 10 Jahren, gerechnet von dem Zeitpunkt, an dem die Herstellung des Fahrzeugtyps endgültig eingestellt wird, verfügbar bleiben. |
| --- | --- |

c)

Zusätzliches Material und Analysedaten (geistiges Eigentum) nach Nummer 3.4.4, die vom Hersteller aufzubewahren, zum Zeitpunkt der Produktbewertung/des Verfahrensaudits aber zur Prüfung (z. B. am Fertigungsstandort des Herstellers) offenzulegen sind. Der Hersteller stellt sicher, dass dieses Material und diese Analysedaten für einen Zeitraum von 10 Jahren, gerechnet von dem Zeitpunkt, an dem die Herstellung des Fahrzeugtyps endgültig eingestellt wird, verfügbar bleiben.

| 3.2. | Beschreibung der Funktionen des Systems einschließlich Steuerstrategien
  Es ist eine Beschreibung mit einer einfachen Erläuterung aller Funktionen einschließlich der Steuerstrategien des Systems und der zur Ausübung der dynamischen Fahraufgaben innerhalb des bauartbedingten Einsatzbereichs (ODD) angewandten Verfahren und der Grenzen, auf die das automatische Spurhalteassistenzsystem im Betrieb ausgelegt ist, einschließlich einer Beschreibung des Steuerungsmechanismus (der Steuerungsmechanismen), vorzulegen. Der Hersteller muss die zwischen dem System und dem Fahrzeugführer, den Fahrzeuginsassen und anderen Verkehrsteilnehmern zu erwartenden Interaktionen und die Mensch-Maschine-Schnittstelle (HMI) beschreiben.
  Alle aktivierten oder deaktivierten automatischen Fahrfunktionen, für die zum Zeitpunkt der Herstellung Hard- und Software im Fahrzeug vorhanden ist, sind vor ihrer Verwendung im Fahrzeug anzugeben und unterliegen den Vorschriften dieses Anhangs. Sollten Lernalgorithmen eingesetzt werden, so muss der Hersteller auch die Datenverarbeitung dokumentieren. |
| --- | --- |

3.2.

Es ist eine Beschreibung mit einer einfachen Erläuterung aller Funktionen einschließlich der Steuerstrategien des Systems und der zur Ausübung der dynamischen Fahraufgaben innerhalb des bauartbedingten Einsatzbereichs (ODD) angewandten Verfahren und der Grenzen, auf die das automatische Spurhalteassistenzsystem im Betrieb ausgelegt ist, einschließlich einer Beschreibung des Steuerungsmechanismus (der Steuerungsmechanismen), vorzulegen. Der Hersteller muss die zwischen dem System und dem Fahrzeugführer, den Fahrzeuginsassen und anderen Verkehrsteilnehmern zu erwartenden Interaktionen und die Mensch-Maschine-Schnittstelle (HMI) beschreiben.

Alle aktivierten oder deaktivierten automatischen Fahrfunktionen, für die zum Zeitpunkt der Herstellung Hard- und Software im Fahrzeug vorhanden ist, sind vor ihrer Verwendung im Fahrzeug anzugeben und unterliegen den Vorschriften dieses Anhangs. Sollten Lernalgorithmen eingesetzt werden, so muss der Hersteller auch die Datenverarbeitung dokumentieren.

| 3.2.1. | Es ist eine Liste aller Eingangsgrößen und abgetasteten Größen mit Angabe des jeweiligen Einsatzbereichs vorzulegen, der eine Beschreibung der Auswirkungen jeder Größe auf die Funktionsweise des Systems beizufügen ist. |
| --- | --- |

3.2.1.

| 3.2.2. | Es ist eine Liste aller vom System gesteuerten Ausgangsgrößen vorzulegen und jeweils zu erläutern, ob die Steuerung direkt oder über ein anderes Fahrzeugsystem erfolgt. Der Steuerungsbereich (Nummer 2.7) ist für jede dieser Größen anzugeben. |
| --- | --- |

3.2.2.

| 3.2.3. | Die Systemgrenzen einschließlich der Grenzen des bauartbedingten Einsatzbereichs (ODD) sind anzugeben, wenn sie für die Wirkung des automatischen Spurhalteassistenzsystems relevant sind. |
| --- | --- |

3.2.3.

| 3.2.4. | Das Konzept für die Interaktion mit dem Fahrzeugführer bei Erreichen der Grenzen des bauartbedingten Einsatzbereichs (ODD) ist zu erläutern, einschließlich der Liste der Arten von Situationen, in denen das System eine Übernahmeaufforderung an den Fahrzeugführer erzeugt. |
| --- | --- |

3.2.4.

| 3.2.5. | Es sind Informationen über die Vorrichtungen zur Aktivierung, Übersteuerung oder Deaktivierung des Systems einschließlich der Strategie zum Schutz des Systems gegen unbeabsichtigtes Deaktivieren vorzulegen. Dazu gehören auch Informationen darüber, wie das System erkennt, dass der Fahrzeugführer verfügbar ist, um die Steuerung des Fahrzeugs zu übernehmen, sowie Beschreibungen und dokumentierte Nachweise betreffend die Parameter der Fahreraufmerksamkeitserkennung sowie die Auswirkung auf die Lenkschwellen. |
| --- | --- |

3.2.5.

| 3.3. | Systemplan und Schaltbilder |
| --- | --- |

3.3.

| 3.3.1. | Liste der Bauteile
  Es ist eine Liste vorzulegen, in der alle Baueinheiten des Systems zusammengestellt und die anderen Fahrzeugsysteme aufgeführt sind, die für die betreffende Steuerfunktion erforderlich sind.
  Es ist eine Umrisszeichnung vorzulegen, aus der hervorgeht, wie diese Baueinheiten kombiniert sind, außerdem müssen sowohl die räumliche Verteilung der Bauteile als auch die Verbindungen deutlich zu erkennen sein.
  Diese Zeichnung muss Folgendes umfassen:






  a) | Wahrnehmung und Objekterkennung einschließlich Kartierung und Positionsbestimmung, |
| --- | --- | --- |

3.3.1.

Es ist eine Liste vorzulegen, in der alle Baueinheiten des Systems zusammengestellt und die anderen Fahrzeugsysteme aufgeführt sind, die für die betreffende Steuerfunktion erforderlich sind.

Es ist eine Umrisszeichnung vorzulegen, aus der hervorgeht, wie diese Baueinheiten kombiniert sind, außerdem müssen sowohl die räumliche Verteilung der Bauteile als auch die Verbindungen deutlich zu erkennen sein.

Diese Zeichnung muss Folgendes umfassen:

a)

Wahrnehmung und Objekterkennung einschließlich Kartierung und Positionsbestimmung,

| b) | Darstellung der Entscheidungsfindung, |
| --- | --- |

b)

Darstellung der Entscheidungsfindung,

| c) | Fernüberwachung und Fernbeobachtung durch eine Fernüberwachungsstelle (falls zutreffend), |
| --- | --- |

c)

Fernüberwachung und Fernbeobachtung durch eine Fernüberwachungsstelle (falls zutreffend),

| d) | Fahrmodusspeicher (DSSAD). |
| --- | --- |

d)

Fahrmodusspeicher (DSSAD).

| 3.3.2. | Funktionen der Baueinheiten
  Die Funktion jeder Baueinheit des Systems ist darzustellen, und die Signale, die sie mit anderen Baueinheiten oder anderen Fahrzeugsystemen verbinden, sind anzugeben. Dazu kann ein beschriftetes Blockschaltbild, ein anderes Schaltbild oder eine Beschreibung mit Schaltbild verwendet werden. |
| --- | --- |

3.3.2.

Die Funktion jeder Baueinheit des Systems ist darzustellen, und die Signale, die sie mit anderen Baueinheiten oder anderen Fahrzeugsystemen verbinden, sind anzugeben. Dazu kann ein beschriftetes Blockschaltbild, ein anderes Schaltbild oder eine Beschreibung mit Schaltbild verwendet werden.

| 3.3.3. | Verbindungen innerhalb des Systems sind wie folgt darzustellen: elektrische Übertragungsverbindungen in einem Schaltbild, pneumatische oder hydraulische Übertragungseinrichtungen in einem Rohrleitungsplan und mechanische Verbindungen in einer vereinfachten schematischen Darstellung. Die Übertragungsverbindungen sowohl zu als auch von anderen Systemen sind ebenfalls darzustellen. |
| --- | --- |

3.3.3.

| 3.3.4. | Zwischen Übertragungsverbindungen und den zwischen den Baueinheiten übermittelten Signalen muss eine deutliche Entsprechung bestehen. Die Prioritäten von Signalen auf Multiplexdatenbussen sind immer dann anzugeben, wenn sie einen Einfluss auf die Wirkung oder die Sicherheit haben können. |
| --- | --- |

3.3.4.

| 3.3.5. | Kennzeichnung von Baueinheiten
  Jede Baueinheit muss deutlich und eindeutig gekennzeichnet sein (z. B. durch Beschriftung bei Hardware und durch Kennzeichnung oder einen Softwarecode bei Software), damit die Entsprechung zwischen der Hardware und der Dokumentation überprüft werden kann. Kann die Softwareversion ohne Austausch der Beschriftung bzw. des Bauteils geändert werden, darf die Softwareidentifikation nur mittels Softwarecode erfolgen.
  Sind Funktionen innerhalb einer einzelnen Baueinheit oder innerhalb eines einzelnen Computers kombiniert, aber im Blockschaltbild der Deutlichkeit und der Einfachheit halber in Mehrfachblöcken dargestellt, dann braucht nur ein einziges Hardware-Kennzeichen verwendet zu werden. Der Hersteller muss unter Angabe dieses Kennzeichens bestätigen, dass das gelieferte Gerät den Unterlagen entspricht. |
| --- | --- |

3.3.5.

Jede Baueinheit muss deutlich und eindeutig gekennzeichnet sein (z. B. durch Beschriftung bei Hardware und durch Kennzeichnung oder einen Softwarecode bei Software), damit die Entsprechung zwischen der Hardware und der Dokumentation überprüft werden kann. Kann die Softwareversion ohne Austausch der Beschriftung bzw. des Bauteils geändert werden, darf die Softwareidentifikation nur mittels Softwarecode erfolgen.

Sind Funktionen innerhalb einer einzelnen Baueinheit oder innerhalb eines einzelnen Computers kombiniert, aber im Blockschaltbild der Deutlichkeit und der Einfachheit halber in Mehrfachblöcken dargestellt, dann braucht nur ein einziges Hardware-Kennzeichen verwendet zu werden. Der Hersteller muss unter Angabe dieses Kennzeichens bestätigen, dass das gelieferte Gerät den Unterlagen entspricht.

| 3.3.5.1. | Das Kennzeichen steht für eine bestimmte Hardware- und Softwareversion, und wenn die letztgenannte so geändert wird, dass sich dadurch auch die in dieser Regelung definierte Funktion der Baueinheit verändert, muss dieses Kennzeichen ebenfalls geändert werden. |
| --- | --- |

3.3.5.1.

| 3.3.6. | Einbau der Bauteile des Sensorsystems
  Der Hersteller hat zu jedem Bauteil, aus denen sich das Sensorsystem zusammensetzt, Informationen über die jeweils vorgesehenen Einbaumöglichkeiten vorzulegen. Diese Möglichkeiten müssen unter anderem die Lage des Bauteils am bzw. im Fahrzeug, das/die das Bauteil umgebende(n) Material(ien), die Abmessungen und die Geometrie der das Bauteil umgebenden Materialien sowie die Oberflächenbeschaffenheit der das Bauteil nach dem Einbau in das Fahrzeug umgebenden Materialien umfassen. Ferner sind für die Wirkung des Systems entscheidende Einbauvorschriften anzugeben, wie beispielsweise Toleranzen des Einbauwinkels.
  Änderungen an den einzelnen Bauteilen des Sensorsystems oder den Einbaumöglichkeiten sind der Typgenehmigungsbehörde zu melden und einer weiteren Bewertung zu unterziehen. |
| --- | --- |

3.3.6.

Der Hersteller hat zu jedem Bauteil, aus denen sich das Sensorsystem zusammensetzt, Informationen über die jeweils vorgesehenen Einbaumöglichkeiten vorzulegen. Diese Möglichkeiten müssen unter anderem die Lage des Bauteils am bzw. im Fahrzeug, das/die das Bauteil umgebende(n) Material(ien), die Abmessungen und die Geometrie der das Bauteil umgebenden Materialien sowie die Oberflächenbeschaffenheit der das Bauteil nach dem Einbau in das Fahrzeug umgebenden Materialien umfassen. Ferner sind für die Wirkung des Systems entscheidende Einbauvorschriften anzugeben, wie beispielsweise Toleranzen des Einbauwinkels.

Änderungen an den einzelnen Bauteilen des Sensorsystems oder den Einbaumöglichkeiten sind der Typgenehmigungsbehörde zu melden und einer weiteren Bewertung zu unterziehen.

| 3.4. | Sicherheitskonzept des Herstellers |
| --- | --- |

3.4.

| 3.4.1. | Der Hersteller muss bestätigen, dass das System keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich zieht. |
| --- | --- |

3.4.1.

| 3.4.2. | In Bezug auf die im System verwendete Software ist die Grundarchitektur zu erläutern, und die bei der Entwicklung angewandten Verfahren und Hilfsmittel sind anzugeben (siehe Nummer 3.5.1). Der Hersteller muss nachweisen, wie bei der Entwicklung vorgegangen wurde, um die Systemlogik umzusetzen. |
| --- | --- |

3.4.2.

| 3.4.3. | Der Hersteller muss der Typgenehmigungsbehörde eine Beschreibung der Konzepte vorlegen, die bei der Entwicklung des Systems vorgesehen wurden, um die Funktions- und Betriebssicherheit zu gewährleisten. Im System können zum Beispiel folgende Konzepte genutzt werden:






  a) | Rückfall auf ein Teilsystem, |
| --- | --- | --- |

3.4.3.

a)

Rückfall auf ein Teilsystem,

| b) | Redundanz mit einem anderen System, |
| --- | --- |

b)

Redundanz mit einem anderen System,

| c) | Wegschalten der automatischen Fahrfunktion(en). |
| --- | --- |

c)

Wegschalten der automatischen Fahrfunktion(en).

| 3.4.3.1. | Wenn bei dem gewählten Konzept bei bestimmten Fehlerzuständen (z. B. im Falle schwerwiegender Störungen) der Rückfall auf ein Teilsystem ausgewählt wird, sind diese Zustände (z. B. die Art der schwerwiegenden Störung) und die daraus resultierenden Funktionseinschränkungen (z. B. umgehende Einleitung eines risikominimierenden Manövers) sowie die Strategie zur Warnung des Fahrzeugführers anzugeben. |
| --- | --- |

3.4.3.1.

| 3.4.3.2. | Wenn bei dem gewählten Konzept ein zweites Werkzeug (Backup-Werkzeug) zur Erreichung der Wirkung der dynamischen Fahraufgabe ausgewählt wird, sind die Prinzipien des Übergangsmechanismus, die Logik, die Redundanz und alle vorgesehenen Backup-Überwachungsmerkmale darzustellen und die daraus resultierenden Funktionseinschränkungen anzugeben. |
| --- | --- |

3.4.3.2.

| 3.4.3.3. | Wenn bei dem gewählten Konzept das Wegschalten der automatischen Fahrfunktion ausgewählt wird, hat dies im Einklang mit den einschlägigen Vorschriften dieser Regelung zu erfolgen. Alle zugehörigen Ausgangssteuersignale, die mit dieser Funktion zusammenhängen, müssen gesperrt werden. |
| --- | --- |

3.4.3.3.

| 3.4.4. | Die Dokumentation muss durch eine Analyse ergänzt werden, in der in allgemeinen Worten dargestellt ist, wie sich das System verhält, um Gefahren zu begrenzen oder zu vermeiden, die eine Auswirkung auf die Sicherheit des Fahrzeugführers, der Fahrzeuginsassen und anderer Verkehrsteilnehmer haben.
  Die gewählten analytischen Ansätze sind vom Hersteller festzulegen und zu aktualisieren und zum Zeitpunkt der Typgenehmigung zur Prüfung durch die Typgenehmigungsbehörde offenzulegen.
  Die Typgenehmigungsbehörde führt eine Bewertung der Anwendung der analytischen Ansätze durch:






  a) | Prüfung des Sicherheitsansatzes auf Ebene des Konzepts (Fahrzeugs).
  Dieser Ansatz stützt sich auf eine für Systemsicherheit geeignete Gefahren-/Risikoanalyse. |
| --- | --- | --- |

3.4.4.

Die gewählten analytischen Ansätze sind vom Hersteller festzulegen und zu aktualisieren und zum Zeitpunkt der Typgenehmigung zur Prüfung durch die Typgenehmigungsbehörde offenzulegen.

Die Typgenehmigungsbehörde führt eine Bewertung der Anwendung der analytischen Ansätze durch:

a)

Prüfung des Sicherheitsansatzes auf Ebene des Konzepts (Fahrzeugs).

Dieser Ansatz stützt sich auf eine für Systemsicherheit geeignete Gefahren-/Risikoanalyse.

| b) | Prüfung des Sicherheitsansatzes auf Ebene des Systems, einschließlich eines Top-Down-Ansatzes (von der möglichen Gefahr zur Bauart) und eines Bottom-up-Ansatzes (von der Bauart zu möglichen Gefahren). Der Sicherheitsansatz kann sich auf Ergebnisse einer Fehlerarten- und Fehlerauswirkungsanalyse (FMEA), einer Fehlerbaumanalyse (Fault Tree Analysis — FTA), einer systemtheoretischen Prozessanalyse (System-Theoretic Process Analysis — STPA) oder eines vergleichbaren, zur Untersuchung der Funktions- und Betriebssicherheit des Systems geeigneten Analyseverfahrens stützen. |
| --- | --- |

b)

Prüfung des Sicherheitsansatzes auf Ebene des Systems, einschließlich eines Top-Down-Ansatzes (von der möglichen Gefahr zur Bauart) und eines Bottom-up-Ansatzes (von der Bauart zu möglichen Gefahren). Der Sicherheitsansatz kann sich auf Ergebnisse einer Fehlerarten- und Fehlerauswirkungsanalyse (FMEA), einer Fehlerbaumanalyse (Fault Tree Analysis — FTA), einer systemtheoretischen Prozessanalyse (System-Theoretic Process Analysis — STPA) oder eines vergleichbaren, zur Untersuchung der Funktions- und Betriebssicherheit des Systems geeigneten Analyseverfahrens stützen.

| c) | Prüfung der Validierungs-/Verifikationspläne und -ergebnisse, einschließlich geeigneter Akzeptanzkriterien. Dies umfasst für die Validierung geeignete Validierungsprüfungen, beispielsweise eine Prüfung nach dem Hardware-in-the-Loop-Verfahren (HiL), eine Betriebsprüfung des Fahrzeugs auf der Straße, Prüfungen mit echten Endnutzern oder sonstige für die Validierung/Verifikation geeignete Prüfverfahren. Die Ergebnisse der Validierung und Verifikation können durch Analyse der Abdeckung der verschiedenen Prüfungen und die Festlegung von Mindestabdeckungsschwellen für verschiedene Messgrößen bewertet werden. |
| --- | --- |

c)

Prüfung der Validierungs-/Verifikationspläne und -ergebnisse, einschließlich geeigneter Akzeptanzkriterien. Dies umfasst für die Validierung geeignete Validierungsprüfungen, beispielsweise eine Prüfung nach dem Hardware-in-the-Loop-Verfahren (HiL), eine Betriebsprüfung des Fahrzeugs auf der Straße, Prüfungen mit echten Endnutzern oder sonstige für die Validierung/Verifikation geeignete Prüfverfahren. Die Ergebnisse der Validierung und Verifikation können durch Analyse der Abdeckung der verschiedenen Prüfungen und die Festlegung von Mindestabdeckungsschwellen für verschiedene Messgrößen bewertet werden.

Bei der Prüfung muss bestätigt werden, dass mindestens alle folgenden Punkte in Bezug auf die Buchstaben a bis c, soweit zutreffend, abgedeckt sind:

| i) | Probleme im Zusammenhang mit der Interaktion mit anderen Fahrzeugsystemen (z. B. dem Brems- oder Lenksystem), |
| --- | --- |

i)

Probleme im Zusammenhang mit der Interaktion mit anderen Fahrzeugsystemen (z. B. dem Brems- oder Lenksystem),

| ii) | Störungen des automatischen Spurhalteassistenzsystems und des Systems risikominimierender Maßnahmen, |
| --- | --- |

ii)

Störungen des automatischen Spurhalteassistenzsystems und des Systems risikominimierender Maßnahmen,

| iii) | innerhalb des bauartbedingten Einsatzbereichs (ODD) auftretende Situationen, in denen ein System aufgrund von betriebsbedingten Beeinträchtigungen (z. B. fehlendes oder falsches Erfassen der Fahrzeugumgebung, Nichterfassen der Reaktion des Fahrzeugführers, der Fahrzeuginsassen oder anderer Verkehrsteilnehmer, unzureichende Steuerung, schwierige Szenarien) unangemessene Sicherheitsrisiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich ziehen kann, |
| --- | --- |

iii)

innerhalb des bauartbedingten Einsatzbereichs (ODD) auftretende Situationen, in denen ein System aufgrund von betriebsbedingten Beeinträchtigungen (z. B. fehlendes oder falsches Erfassen der Fahrzeugumgebung, Nichterfassen der Reaktion des Fahrzeugführers, der Fahrzeuginsassen oder anderer Verkehrsteilnehmer, unzureichende Steuerung, schwierige Szenarien) unangemessene Sicherheitsrisiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich ziehen kann,

| iv) | Ermittlung der relevanten Szenarien innerhalb der Randbedingungen, zur Auswahl der Szenarien angewandte Verfahren und gewähltes Validierungsmittel, |
| --- | --- |

iv)

Ermittlung der relevanten Szenarien innerhalb der Randbedingungen, zur Auswahl der Szenarien angewandte Verfahren und gewähltes Validierungsmittel,

| v) | Entscheidungsfindung, aus der unter Einhaltung der Straßenverkehrsvorschriften und unter Berücksichtigung der Interaktion mit anderen Verkehrsteilnehmern die Ausführung der dynamischen Fahraufgaben (z. B. ein Notfallmanöver) resultiert, |
| --- | --- |

v)

Entscheidungsfindung, aus der unter Einhaltung der Straßenverkehrsvorschriften und unter Berücksichtigung der Interaktion mit anderen Verkehrsteilnehmern die Ausführung der dynamischen Fahraufgaben (z. B. ein Notfallmanöver) resultiert,

| vi) | vernünftigerweise vorhersehbare Fehlanwendung durch den Fahrzeugführer (z. B. System zur Erkennung der Fahrerverfügbarkeit und eine Erläuterung darüber, wie Verfügbarkeitskriterien festgelegt wurden), Fehler oder Missverständnis seitens des Fahrzeugführers (z. B. unbeabsichtigte Übersteuerung) und bewusste Manipulation des Systems, |
| --- | --- |

vi)

vernünftigerweise vorhersehbare Fehlanwendung durch den Fahrzeugführer (z. B. System zur Erkennung der Fahrerverfügbarkeit und eine Erläuterung darüber, wie Verfügbarkeitskriterien festgelegt wurden), Fehler oder Missverständnis seitens des Fahrzeugführers (z. B. unbeabsichtigte Übersteuerung) und bewusste Manipulation des Systems,

| vii) | Cyberangriffe mit Folgen für die Sicherheit des Fahrzeugs (dies kann im Rahmen der Analyse nach der UN-Regelung Nr. 155 hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems erfolgen). |
| --- | --- |

vii)

Cyberangriffe mit Folgen für die Sicherheit des Fahrzeugs (dies kann im Rahmen der Analyse nach der UN-Regelung Nr. 155 hinsichtlich der Cybersicherheit und des Cybersicherheitsmanagementsystems erfolgen).

Im Rahmen ihrer Bewertung muss die Genehmigungsbehörde anhand von Stichproben zu ausgewählten Gefahren (oder Cyberbedrohungen) prüfen, ob die dem Sicherheitskonzept zugrunde liegende Argumentation verständlich und logisch ist und in den verschiedenen Funktionen des Systems umgesetzt wurde. Bei der Bewertung ist auch zu prüfen, ob die Validierungspläne aussagekräftig genug sind, um die Sicherheit des Systems nachzuweisen (z. B. angemessene Abdeckung der durch das gewählte Validierungsmittel zu prüfenden Szenarien), und ob sie vollständig umgesetzt wurden.

Es ist nachzuweisen, dass das Fahrzeug innerhalb des bauartbedingten Einsatzbereichs (ODD) keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer birgt, und zwar durch:

| a) | ein auf Validierungsergebnisse gestütztes allgemeines Validierungsziel (d. h. Akzeptanzkriterien für die Validierung), das zeigt, dass das Risiko insgesamt für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer durch die Inbetriebnahme des automatischen Spurhalteassistenzsystems im Vergleich zu einem manuell gesteuerten Fahrzeug nicht steigt, und |
| --- | --- |

a)

ein auf Validierungsergebnisse gestütztes allgemeines Validierungsziel (d. h. Akzeptanzkriterien für die Validierung), das zeigt, dass das Risiko insgesamt für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer durch die Inbetriebnahme des automatischen Spurhalteassistenzsystems im Vergleich zu einem manuell gesteuerten Fahrzeug nicht steigt, und

| b) | einen szenariospezifischen Ansatz, der in Bezug auf jedes sicherheitsrelevante Szenario zeigt, dass das Risiko insgesamt für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer durch das System im Vergleich zu einem manuell gesteuerten Fahrzeug nicht steigt. |
| --- | --- |

b)

einen szenariospezifischen Ansatz, der in Bezug auf jedes sicherheitsrelevante Szenario zeigt, dass das Risiko insgesamt für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer durch das System im Vergleich zu einem manuell gesteuerten Fahrzeug nicht steigt.

Die Typgenehmigungsbehörde führt Prüfungen durch oder verlangt, dass Prüfungen wie in Nummer 4 dargelegt durchgeführt werden, um das Sicherheitskonzept zu überprüfen.

| 3.4.4.1. | In dieser Dokumentation sind die überwachten Parameter aufzulisten, und für jeden Fehlerzustand nach Nummer 3.4.4 dieses Anhangs ist das Warnsignal anzugeben, das dem Fahrzeugführer/den Fahrzeuginsassen/anderen Verkehrsteilnehmern und/oder dem Wartungspersonal/Prüfer zu geben ist. |
| --- | --- |

3.4.4.1.

| 3.4.4.2. | In dieser Dokumentation sind auch die Maßnahmen zu beschreiben, die ergriffen wurden, um sicherzustellen, dass das System keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich zieht, wenn die Leistung des Systems durch Umweltbedingungen (z. B. Witterung, Temperatur, Eindringen von Staub oder Wasser, Eis) beeinträchtigt ist. |
| --- | --- |

3.4.4.2.

| 3.5. | Sicherheitsmanagementsystem (Verfahrensaudit) |
| --- | --- |

3.5.

| 3.5.1. | In Bezug auf die im System eingesetzte Hard- und Software muss der Hersteller gegenüber der Typgenehmigungsbehörde in Form eines Sicherheitsmanagementsystems nachweisen, dass wirksame Verfahren, Methoden und Instrumente eingerichtet wurden, aktuell sind und innerhalb der Organisation umgesetzt werden, um die Sicherheit und dauerhafte Einhaltung der Vorgaben in allen Phasen des Produktlebenszyklus (Konzeption, Entwicklung, Produktion, Fahrbetrieb einschließlich Einhaltung der Straßenverkehrsvorschriften, Stilllegung) zu steuern. |
| --- | --- |

3.5.1.

| 3.5.2. | Das Entwicklungsverfahren ist einschließlich folgender Komponenten festzulegen: Sicherheitsmanagementsystem, Anforderungsmanagement, Umsetzung von Anforderungen, Prüfungen, Fehlerverfolgung, Fehlerbehebung und Freigabe. |
| --- | --- |

3.5.2.

| 3.5.3. | Der Hersteller hat wirksame Kommunikationskanäle zwischen den Abteilungen, die beim Hersteller für die Funktions- und Betriebssicherheit, die Cybersicherheit und andere für die Gewährleistung der Fahrzeugsicherheit relevante Disziplinen zuständig sind, einzurichten und zu nutzen. |
| --- | --- |

3.5.3.

| 3.5.4. | Der Hersteller muss über Verfahren zur Überwachung sicherheitsrelevanter Vorfälle/Unfälle/Zusammenstöße, die durch das eingeschaltete automatische Spurhalteassistenzsystem verursacht wurden, und über ein Verfahren für den Umgang mit möglichen sicherheitsrelevanten Lücken, die nach der Zulassung auftreten (Regelkreis zur Überwachung im Fahrbetrieb), sowie für die Aktualisierung der Fahrzeuge verfügen. Der Hersteller hat kritische Vorfälle (z. B. Zusammenstöße mit anderen Verkehrsteilnehmern und mögliche sicherheitsrelevante Lücken) an die Typgenehmigungsbehörde zu melden. |
| --- | --- |

3.5.4.

| 3.5.5. | Der Hersteller hat nachzuweisen, dass periodische unabhängige interne Verfahrensaudits durchgeführt werden, um für die konsequente Umsetzung der nach den Nummern 3.5.1 und 3.5.4 eingeführten Prozesse zu sorgen. |
| --- | --- |

3.5.5.

| 3.5.6. | Der Hersteller hat geeignete Regelungen (z. B. vertragliche Regelungen, eindeutige Schnittstellen, Qualitätsmanagementsysteme) mit seinen Lieferanten zu treffen, um sicherzustellen, dass das Sicherheitsmanagementsystem der Lieferanten den Vorschriften unter den Nummern 3.5.1 (ausgenommen die fahrzeugbezogenen Aspekte wie „Betrieb“ und „Stilllegung“), 3.5.2, 3.5.3 und 3.5.5 entspricht. |
| --- | --- |

3.5.6.

4.   VERIFIKATION UND PRÜFUNG

| 4.1. | Die Arbeitsweise des Systems, die in der Dokumentation nach Nummer 3 dargestellt ist, ist wie folgt zu prüfen: |
| --- | --- |

4.1.

| 4.1.1. | Verifikation der Arbeitsweise des Systems
  Die Typgenehmigungsbehörde prüft das System unter normalen Bedingungen, indem sie auf einem Prüfstand eine Reihe von Funktionen prüft, die sie aus der vom Hersteller nach Nummer 3.2 angegebenen Liste auswählt, und indem sie das Verhalten des Systems insgesamt unter realen Fahrbedingungen einschließlich der Einhaltung der Straßenverkehrsvorschriften kontrolliert.
  Diese Prüfungen müssen Szenarien umfassen, bei denen das System vom Fahrzeugführer übersteuert wird.
  Bei Prüfungen nach diesem Anhang sind Prüfungen zu berücksichtigen, die bereits nach Anhang 5 dieser Regelung durchgeführt wurden. |
| --- | --- |

4.1.1.

Die Typgenehmigungsbehörde prüft das System unter normalen Bedingungen, indem sie auf einem Prüfstand eine Reihe von Funktionen prüft, die sie aus der vom Hersteller nach Nummer 3.2 angegebenen Liste auswählt, und indem sie das Verhalten des Systems insgesamt unter realen Fahrbedingungen einschließlich der Einhaltung der Straßenverkehrsvorschriften kontrolliert.

Diese Prüfungen müssen Szenarien umfassen, bei denen das System vom Fahrzeugführer übersteuert wird.

Bei Prüfungen nach diesem Anhang sind Prüfungen zu berücksichtigen, die bereits nach Anhang 5 dieser Regelung durchgeführt wurden.

| 4.1.1.1. | Die Ergebnisse der Verifikation müssen der Beschreibung einschließlich der Steuerstrategien entsprechen, die der Hersteller nach Nummer 3.2 vorgelegt hat, und müssen mit den Vorschriften dieser Regelung in Einklang stehen. |
| --- | --- |

4.1.1.1.

| 4.1.2. | Verifikation des Sicherheitskonzepts nach Nummer 3.4
  Die Reaktion des Systems ist unter dem Einfluss einer Störung in jeder einzelnen Baueinheit zu prüfen, indem entsprechende Ausgangssignale an elektrische Baueinheiten oder mechanische Teile übertragen werden, um die Auswirkungen einer internen Funktionsstörung innerhalb der Baueinheit zu simulieren. Die Typgenehmigungsbehörde führt diese Prüfung für mindestens eine einzelne Baueinheit durch, prüft jedoch nicht die Reaktion des Systems auf mehrere gleichzeitige Fehlfunktionen einzelner Baueinheiten.
  Die Typgenehmigungsbehörde überprüft, dass bei diesen Prüfungen Aspekte abgedeckt werden, die sich auf die Steuerbarkeit sowie Nutzerinformationen (Aspekte der Mensch-Maschine-Schnittstelle, z. B. Übernahmeszenarien) auswirken. |
| --- | --- |

4.1.2.

Die Reaktion des Systems ist unter dem Einfluss einer Störung in jeder einzelnen Baueinheit zu prüfen, indem entsprechende Ausgangssignale an elektrische Baueinheiten oder mechanische Teile übertragen werden, um die Auswirkungen einer internen Funktionsstörung innerhalb der Baueinheit zu simulieren. Die Typgenehmigungsbehörde führt diese Prüfung für mindestens eine einzelne Baueinheit durch, prüft jedoch nicht die Reaktion des Systems auf mehrere gleichzeitige Fehlfunktionen einzelner Baueinheiten.

Die Typgenehmigungsbehörde überprüft, dass bei diesen Prüfungen Aspekte abgedeckt werden, die sich auf die Steuerbarkeit sowie Nutzerinformationen (Aspekte der Mensch-Maschine-Schnittstelle, z. B. Übernahmeszenarien) auswirken.

| 4.1.2.1. | Die Typgenehmigungsbehörde prüft auch eine Reihe von Szenarien, die für die Objekt- und Ereigniserkennung und Reaktion (OEDR) und die Gestaltung der Entscheidungsfindung und der Funktionen der Mensch-Maschine-Schnittstellen des Systems (z. B. schwere Erkennbarkeit eines Objekts bei Erreichen der ODD-Grenzen, Szenarien mit Verkehrsstörungen) wie in der Regelung festgelegt kritisch sind. |
| --- | --- |

4.1.2.1.

| 4.1.2.2. | Die Ergebnisse der Verifikation müssen mit der dokumentierten Zusammenfassung der Gefahrenanalyse übereinstimmen, sodass aufgrund der Gesamtwirkung das Sicherheitskonzept und die Ausführung als ausreichend und mit den Vorschriften dieser Regelung übereinstimmend bestätigt werden können. |
| --- | --- |

4.1.2.2.

| 4.2. | Simulationswerkzeuge und mathematische Modelle für die Verifikation des Sicherheitskonzepts können nach Verzeichnis 8 Revision 3 des Übereinkommens von 1958 verwendet werden, insbesondere im Falle von Szenarien, die sich auf einem Prüfstand oder unter realen Fahrbedingungen nur schwer prüfen lassen. Der Hersteller muss den Wirkungsbereich des Simulationswerkzeugs, dessen Eignung für das betroffene Szenario und die für die Simulationswerkzeugkette durchgeführte Validierung (Korrelation des Ergebnisses mit physikalischen Prüfungen) darlegen. |
| --- | --- |

4.2.

5.   BERICHTERSTATTUNG

Die Berichterstattung über die Bewertung wird auf eine Weise durchgeführt, die ihre Nachverfolgbarkeit gewährleistet, z. B. werden die Fassungen der kontrollierten Unterlagen kodiert und in den Aufzeichnungen des technischen Dienstes aufgeführt.

Ein Beispiel für eine mögliche Gestaltung des Bewertungsformulars, das vom technischen Dienst an die Typgenehmigungsbehörde übermittelt wird, wird in Anlage 1 zu diesem Anhang gegeben. Die in dieser Anlage aufgeführten Punkte müssen mindestens abgedeckt werden.

6.   MITTEILUNG AN ANDERE TYPGENEHMIGUNGSBEHÖRDEN (Anlage 2), die Folgendes umfasst:

| a) | Eine Beschreibung des bauartbedingten Einsatzbereichs (ODD) und der übergeordneten funktionalen Architektur unter besonderer Berücksichtigung der dem Fahrzeugführer, den Fahrzeuginsassen und anderen Verkehrsteilnehmern zur Verfügung stehenden Funktionen, |
| --- | --- |

a)

Eine Beschreibung des bauartbedingten Einsatzbereichs (ODD) und der übergeordneten funktionalen Architektur unter besonderer Berücksichtigung der dem Fahrzeugführer, den Fahrzeuginsassen und anderen Verkehrsteilnehmern zur Verfügung stehenden Funktionen,

| b) | die im Zuge der Verifikation durch die Typgenehmigungsbehörden festgestellten Prüfergebnisse. |
| --- | --- |

b)

die im Zuge der Verifikation durch die Typgenehmigungsbehörden festgestellten Prüfergebnisse.

7.   QUALIFIKATION DER AUDITOREN/GUTACHTER

Die nach diesem Anhang durchgeführten Bewertungen dürfen ausschließlich von Auditoren/Gutachtern vorgenommen werden, die über die für diese Zwecke erforderlichen technischen und administrativen Kenntnisse verfügen. Die Auditoren/Gutachter müssen insbesondere zur Prüfung nach ISO 26262-2018 (Funktionale Sicherheit — Straßenfahrzeuge) und ISO/PAS 21448 (Straßenfahrzeuge — Sicherheit der beabsichtigten Funktion) zugelassen sein; ferner müssen sie in der Lage sein, die erforderliche Verbindung mit Cybersicherheitsaspekten gemäß der UN-Regelung Nr. 155 und der Norm ISO/SAE 21434 herzustellen. Diese Fähigkeit sollte durch geeignete Qualifikationen oder andere gleichwertige Ausbildungsbescheinigungen nachgewiesen werden.

Anlage 1

Musterbewertungsformular für automatische Spurhalteassistenzsysteme

Nummer des Prüfberichts: ...

1.

Identifizierung

1.1.

Marke: ...

1.2.

Fahrzeugtyp: ...

1.3.

Kennzeichnung zur Systemidentifizierung am Fahrzeug: ...

1.4.

Anbringungsstelle dieser Kennzeichnung: ...

1.5.

Name und Anschrift des Herstellers: ...

1.6.

Gegebenenfalls Name und Anschrift des Bevollmächtigten des Herstellers: ...

1.7.

Referenznummer Dokumentation: ...

Datum der Erstausstellung: ...

Datum der letzten Aktualisierung: ...

2.

Beschreibung der Prüffahrzeuge/Prüfsysteme

2.1.

Allgemeine Beschreibung: ...

2.2.

Beschreibung aller Steuerungsfunktionen des Systems sowie der Einsatzarten: ...

2.3.

Beschreibung der Bauteile und Diagramme der Verbindungen innerhalb des Systems:

3.

Sicherheitskonzept des Herstellers

3.1.

Beschreibung des Signalflusses, der Betriebsdaten und ihrer Prioritäten: ...

3.2.

Der/Die Hersteller ... bestätigt/bestätigen, dass das System keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich zieht.

3.3.

Grundarchitektur der Software und verwendete Gestaltungsverfahren und Hilfsmittel: ...

3.4.

Erläuterung des Sicherheitskonzepts des Systems: ...

3.5.

Dokumentierte Analysen des Verhaltens des Systems bei einer einzelnen Gefahr oder unter Fehlerbedingungen: ...

3.6.

Beschreibung der Maßnahmen, die in Bezug auf Umweltbedingungen ergriffen wurden: ...

3.7.

Vorschriften für die periodische technische Überwachung des Systems: ...

3.8.

Ergebnisse der Verifikation des Systems nach Anhang 4 Nummer 4.1.1 der UN-Regelung Nr. 157: ...

3.9.

Ergebnisse der Verifikation des Sicherheitskonzepts nach Anhang 4 Nummer 4.1.2 der UN-Regelung Nr. 157: ...

3.10.

Datum der Prüfung(en): ...

3.11.

Technischer Dienst, der die Prüfungen durchführt

Unterschrift: ... Datum: ....

3.12.

Kommentare: ...

Anlage 2

Beschreibungsbogen für automatische Spurhalteassistenzsysteme (vom Hersteller für die Genehmigung vorzulegen)

1.   BESCHREIBUNG DES AUTOMATISCHEN SPURHALTEASSISTENZSYSTEMS

| 1.1. | Bauartbedingter Einsatzbereich (ODD; Geschwindigkeit, Straßentyp, Land, Umgebung, Straßenzustand usw.)/Randbedingungen/wichtigste Bedingungen für risikominimierende Manöver und Übernahmeaufforderungen ... |
| --- | --- |

1.1.

| 1.2. | Grundlegende Leistung (z. B. Objekt- und Ereigniserkennung und Reaktion (OEDR) ...) ... |
| --- | --- |

1.2.

| 1.3. | Vorrichtungen zum Aktivieren, Übersteuern oder Deaktivieren des Systems ... |
| --- | --- |

1.3.

2.   BESCHREIBUNG DER FUNKTIONEN DES SYSTEMS EINSCHLIEßLICH STEUERSTRATEGIEN

| 2.1. | Wichtigste automatische Fahrfunktionen (funktionale Architektur, Umgebungswahrnehmung) ... |
| --- | --- |

2.1.

| 2.1.1. | Innerhalb des Fahrzeugs ... |
| --- | --- |

2.1.1.

| 2.1.2. | Außerhalb des Fahrzeugs (z. B. Backend) ... |
| --- | --- |

2.1.2.

3.   ÜBERSICHT ÜBER DIE WICHTIGSTEN BAUTEILE (BAUEINHEITEN) DES SYSTEMS

| 3.1. | Steuergeräte ... |
| --- | --- |

3.1.

| 3.2. | Sensoren ... |
| --- | --- |

3.2.

| 3.3. | Karten/Positionsbestimmung ... |
| --- | --- |

3.3.

4.   SYSTEMPLAN UND SCHALTBILDER

| 4.1. | Zeichnung des Systemplans einschließlich Sensoren für die Umgebungswahrnehmung (z. B. Blockschaltbild) ... |
| --- | --- |

4.1.

| 4.2. | Verzeichnis und schematische Darstellung der Verbindungen (z. B. Blockschaltbild) ... |
| --- | --- |

4.2.

5.   VORSCHRIFTEN

| 5.1. | Mittel zur Prüfung der Betriebsbereitschaft des Systems ... |
| --- | --- |

5.1.

| 5.2. | Vorkehrungen zum Schutz gegen einfaches unbefugtes Aktivieren/Betreiben und gegen Eingriffe in das System ... |
| --- | --- |

5.2.

6.   SICHERHEITSKONZEPT

| 6.1. | Sicherer Betrieb — Erklärung des Fahrzeugherstellers ... |
| --- | --- |

6.1.

| 6.2. | Grundarchitektur der Software (z. B. Blockschaltbild) ... |
| --- | --- |

6.2.

| 6.3. | Mittel zur Bestimmung der Umsetzung der Systemlogik ... |
| --- | --- |

6.3.

| 6.4. | Allgemeine Erläuterung der wichtigsten Konzepte, die bei der Entwicklung in das System integriert wurden, um den sicheren Betrieb und die sichere Interaktion mit anderen Verkehrsteilnehmern im Fehlerfall, bei betriebsbedingten Beeinträchtigungen und bei Auftreten geplanter/ungeplanter Bedingungen, die den bauartbedingten Einsatzbereich überschreiten würden, zu gewährleisten. ... |
| --- | --- |

6.4.

| 6.5. | Allgemeine Beschreibung der wichtigsten Grundsätze für den Umgang mit Störungen, Strategie für die Rückfallebene einschließlich Risikominderungsstrategie (risikominimierendes Manöver) ... |
| --- | --- |

6.5.

| 6.6. | Interaktion mit dem Fahrzeugführer, den Fahrzeuginsassen und anderen Verkehrsteilnehmern, einschließlich Warnsignale und Übernahmeaufforderungen an den Fahrzeugführer ... |
| --- | --- |

6.6.

| 6.7. | Validierung durch den Hersteller in Bezug auf die an anderer Stelle in der Regelung genannten Leistungsanforderungen, einschließlich Objekt- und Ereigniserkennung und Reaktion (OEDR), Mensch-Maschine-Schnittstelle (HMI), Einhaltung der Straßenverkehrsvorschriften und der Schlussfolgerung, dass das System so ausgelegt ist, dass es keine unangemessenen Risiken für den Fahrzeugführer, die Fahrzeuginsassen und andere Verkehrsteilnehmer nach sich zieht ... |
| --- | --- |

6.7.

7.   VERIFIKATION UND PRÜFUNG DURCH DIE BEHÖRDEN

| 7.1. | Verifikation der Grundfunktion des Systems ... |
| --- | --- |

7.1.

| 7.2. | Beispiele für die Prüfung der Reaktion des Systems unter dem Einfluss eines Störfalls, einer betriebsbedingten Beeinträchtigung sowie unter Notfall- und Randbedingungen ... |
| --- | --- |

7.2.

8.   DATENSPEICHERSYSTEM

| 8.1. | Art der gespeicherten Daten ... |
| --- | --- |

8.1.

| 8.2. | Speicherort ... |
| --- | --- |

8.2.

| 8.3. | Umgang mit aufgezeichneten Vorfällen und Datenelementen mit Blick auf die Gewährleistung von Datensicherheit und Datenschutz ... |
| --- | --- |

8.3.

| 8.4. | Datenzugriffsregelungen ... |
| --- | --- |

8.4.

9.   CYBERSICHERHEIT (QUERVERWEIS AUF DIE REGELUNG ZUR CYBERSICHERHEIT MÖGLICH)

| 9.1. | Allgemeine Beschreibung des Managementsystems für Cybersicherheit und Softwareaktualisierungen ... |
| --- | --- |

9.1.

| 9.2. | Allgemeine Beschreibung der verschiedenen Risiken und entsprechenden Risikominderungsmaßnahmen ... |
| --- | --- |

9.2.

| 9.3. | Allgemeine Beschreibung des Aktualisierungsverfahrens ... |
| --- | --- |

9.3.

10.   BEREITSTELLUNG VON NUTZERINFORMATIONEN

| 10.1. | Muster der den Nutzern bereitgestellten Informationen (einschließlich der innerhalb des bauartbedingten Einsatzbereichs und beim Verlassen des bauartbedingten Einsatzbereichs zu erwartenden Aufgaben des Fahrzeugführers) ... |
| --- | --- |

10.1.

| 10.2. | Auszug aus dem einschlägigen Teil der Betriebsanleitung ... |
| --- | --- |

10.2.

Anlage 3

Leitlinien für kritische Störungsszenarien zu ALKS im Straßenverkehr

1.   ALLGEMEINES

| 1.1. | In diesem Dokument wird das Verfahren zur Ableitung der Bedingungen erläutert, unter denen automatische Spurhalteassistenzsysteme (ALKS) einen Zusammenstoß verhindern sollen. Die Bedingungen, unter denen das ALKS in kritischen Verkehrsszenarien einen Zusammenstoß verhindern soll, werden anhand eines allgemeinen Simulationsprogramms mit dem Modell eines aufmerksam vom Menschen geführten Folgefahrzeugs und entsprechender Parameter ermittelt. |
| --- | --- |

1.1.

2.   KRITISCHE VERKEHRSSZENARIEN

| 2.1. | Unter kritischen Verkehrsszenarien sind Szenarien zu verstehen, in denen das ALKS aufgrund der herrschenden Bedingungen einen Zusammenstoß möglicherweise nicht verhindern kann. |
| --- | --- |

2.1.

| 2.2. | Drei kritische Verkehrsszenarien sind:






  a) | Einscheren: Das „Fremdfahrzeug“ schert plötzlich vor dem „Ego-Fahrzeug“ ein. |
| --- | --- | --- |

2.2.

a)

Einscheren: Das „Fremdfahrzeug“ schert plötzlich vor dem „Ego-Fahrzeug“ ein.

| b) | Ausscheren: Das „Fremdfahrzeug“ schert plötzlich aus der Fahrbahn des „Ego-Fahrzeugs“ aus. |
| --- | --- |

b)

Ausscheren: Das „Fremdfahrzeug“ schert plötzlich aus der Fahrbahn des „Ego-Fahrzeugs“ aus.

| c) | Verzögerung: Das „Fremdfahrzeug“ bremst plötzlich vor dem „Ego-Fahrzeug“ ab. |
| --- | --- |

c)

Verzögerung: Das „Fremdfahrzeug“ bremst plötzlich vor dem „Ego-Fahrzeug“ ab.

| 2.3. | Jedes dieser kritischen Verkehrsszenarien lässt sich anhand folgender Parameter/Elemente nachstellen:






  a) | Straßengeometrie |
| --- | --- | --- |

2.3.

a)

Straßengeometrie

| b) | Verhalten/Manöver anderer Fahrzeuge |
| --- | --- |

b)

Verhalten/Manöver anderer Fahrzeuge

3.   WIRKUNGSMODELL DES ALKS

| 3.1. | Für das ALKS kritische Verkehrsszenarien lassen sich in vermeidbare und unvermeidbare Szenarien unterteilen. Grundlage für die Unterscheidung zwischen vermeidbaren und unvermeidbaren Szenarien ist das simulierte Verhalten eines geübten und aufmerksamen menschlichen Fahrzeugführers. Es wird angenommen, dass die nach menschlichem Maßstab „unvermeidbaren“ Szenarien durch das ALKS vermieden werden könnten. |
| --- | --- |

3.1.

| 3.2. | In einem Niedriggeschwindigkeitsszenario wird angenommen, dass das Fahrermodell den Zusammenstoß nur durch Bremsen verhindern kann. Das Fahrermodell wird in drei Segmente unterteilt: „Wahrnehmung“, „Entscheidung“ und „Reaktion“. Diese Segmente lassen sich wie folgt veranschaulichen: |
| --- | --- |

3.2.

| 3.3. | Um zu bestimmen, unter welchen Bedingungen das automatische Spurhalteassistenzsystem (ALKS) einen Zusammenstoß verhindern soll, sollten die in folgender Tabelle zu diesen drei Segmenten genannten Wirkungsmodellfaktoren als Wirkungsmodell des ALKS unter Berücksichtigung des Verhaltens aufmerksamer Fahrer mit automatischem Fahrerassistenzsystem (ADAS) eingesetzt werden. |
| --- | --- |

3.3.

Image 21

Tabelle 1

Wirkungsmodellfaktoren für Fahrzeuge

| | | Faktoren |
| --- | --- | --- |
| Punkt der Risikowahrnehmung | Spurwechsel (Einscheren, Ausscheren) | Abweichung der Fahrzeugmitte um mehr als 0,375 m von der Fahrspurmitte
  (nach Forschungsergebnissen Japans) |
| Verzögerung | Verzögerungsrate des vorausfahrenden Fahrzeugs und Abstand des Ego-Fahrzeugs |
| Dauer der Risikobewertung | 0,4 Sekunden
  (nach Forschungsergebnissen Japans) |
| Zeitspanne zwischen Ende der Wahrnehmung und Beginn der Verzögerung | 0,75 Sekunden
  (Allgemein zugängliche Daten aus Japan) |
| Schwellzeit bis zur Vollverzögerung (Reibung: 1,0) | 0,6 Sekunden bis 0,774 G
  (nach Erprobungen der NHTSA und Japans) |
| Schwellzeit bis zur Vollverzögerung (nach vollständigem Loslassen des Gaspedals beim Ego-Fahrzeug und einscherenden Fahrzeug, Reibung: 1,0) | 0,6 Sekunden bis 0,85 G
  (nach der UN-Regelung Nr. 152 über Notbremsassistenzsysteme) |

Faktoren

Punkt der Risikowahrnehmung

Spurwechsel (Einscheren, Ausscheren)

Abweichung der Fahrzeugmitte um mehr als 0,375 m von der Fahrspurmitte

(nach Forschungsergebnissen Japans)

Verzögerung

Verzögerungsrate des vorausfahrenden Fahrzeugs und Abstand des Ego-Fahrzeugs

Dauer der Risikobewertung

0,4 Sekunden

(nach Forschungsergebnissen Japans)

Zeitspanne zwischen Ende der Wahrnehmung und Beginn der Verzögerung

0,75 Sekunden

(Allgemein zugängliche Daten aus Japan)

Schwellzeit bis zur Vollverzögerung (Reibung: 1,0)

0,6 Sekunden bis 0,774 G

(nach Erprobungen der NHTSA und Japans)

Schwellzeit bis zur Vollverzögerung (nach vollständigem Loslassen des Gaspedals beim Ego-Fahrzeug und einscherenden Fahrzeug, Reibung: 1,0)

0,6 Sekunden bis 0,85 G

(nach der UN-Regelung Nr. 152 über Notbremsassistenzsysteme)

| 3.4. | Fahrermodell für die drei ALKS-Szenarien: |
| --- | --- |

3.4.

| 3.4.1. | Für das Einscherszenario gilt:
  Die Querbewegungszone des Fahrzeugs innerhalb seiner Fahrspur beträgt normalerweise 0,375 m.
  Die wahrgenommene Grenze für das Einscheren tritt ein, wenn das Fahrzeug die normale Querbewegungszone verlässt (gegebenenfalls schon vor dem eigentlichen Spurwechsel).
  Der Abstand a. ist der Wahrnehmungsabstand auf Grundlage der Wahrnehmungszeit [a]. Er bestimmt den Seitenabstand, der erforderlich ist, um zu erkennen, dass ein Fahrzeug ein Einschermanöver ausführt. Die Größe a. wird anhand folgender Formel berechnet:
  a. = Quergeschwindigkeit x Risikowahrnehmungszeit [a] (0,4 s).
  Die Risikowahrnehmungszeit beginnt, wenn das vorausfahrende Fahrzeug die Schwelle der Einschergrenze überschreitet.
  Die maximale Quergeschwindigkeit entspricht realen Daten aus Japan.
  Die Risikowahrnehmungszeit [a] entspricht bei Fahrsimulationen in Japan gewonnenen Daten.
  2sec* wurde als maximale Zeit bis zum Zusammenstoß (Time to Collision – TTC) zugrunde gelegt; es wurde angenommen, dass unterhalb dieses Zeitwerts ein Zusammenstoß in Längsrichtung droht.







  Hinweis: | TTC = 2,0 Sekunden wurde auf der Grundlage der Leitlinien zur UN-Regelung über Warnsignale gewählt. |
| --- | --- | --- |

3.4.1.

Die Querbewegungszone des Fahrzeugs innerhalb seiner Fahrspur beträgt normalerweise 0,375 m.

Die wahrgenommene Grenze für das Einscheren tritt ein, wenn das Fahrzeug die normale Querbewegungszone verlässt (gegebenenfalls schon vor dem eigentlichen Spurwechsel).

Der Abstand a. ist der Wahrnehmungsabstand auf Grundlage der Wahrnehmungszeit [a]. Er bestimmt den Seitenabstand, der erforderlich ist, um zu erkennen, dass ein Fahrzeug ein Einschermanöver ausführt. Die Größe a. wird anhand folgender Formel berechnet:

a. = Quergeschwindigkeit x Risikowahrnehmungszeit [a] (0,4 s).

Die Risikowahrnehmungszeit beginnt, wenn das vorausfahrende Fahrzeug die Schwelle der Einschergrenze überschreitet.

Die maximale Quergeschwindigkeit entspricht realen Daten aus Japan.

Die Risikowahrnehmungszeit [a] entspricht bei Fahrsimulationen in Japan gewonnenen Daten.

2sec* wurde als maximale Zeit bis zum Zusammenstoß (Time to Collision – TTC) zugrunde gelegt; es wurde angenommen, dass unterhalb dieses Zeitwerts ein Zusammenstoß in Längsrichtung droht.

Hinweis:

Image 22

| 3.4.2. | Für das Ausscherszenario gilt:
  Die Querbewegungszone des Fahrzeugs innerhalb seiner Fahrspur beträgt normalerweise 0,375 m.
  Die wahrgenommene Grenze für das Ausscheren tritt ein, wenn das Fahrzeug die normale Querbewegungszone verlässt (gegebenenfalls schon vor dem eigentlichen Spurwechsel).
  Die Risikowahrnehmungszeit [a] beträgt 0,4 Sekunden und beginnt, wenn das vorausfahrende Fahrzeug die Schwelle der Ausschergrenze überschreitet.
  Die Zeitspanne von 2 Sekunden wurde als maximale Fahrzeugfolgezeit (Time Headway — THW) zugrunde gelegt; es wurde angenommen, dass unterhalb dieses Zeitwerts ein Zusammenstoß in Längsrichtung droht.







  Hinweis: | THW = 2,0 Sekunden wurde auf der Grundlage der Regelungen und Leitlinien anderer Länder gewählt. |
| --- | --- | --- |

3.4.2.

Die Querbewegungszone des Fahrzeugs innerhalb seiner Fahrspur beträgt normalerweise 0,375 m.

Die wahrgenommene Grenze für das Ausscheren tritt ein, wenn das Fahrzeug die normale Querbewegungszone verlässt (gegebenenfalls schon vor dem eigentlichen Spurwechsel).

Die Risikowahrnehmungszeit [a] beträgt 0,4 Sekunden und beginnt, wenn das vorausfahrende Fahrzeug die Schwelle der Ausschergrenze überschreitet.

Die Zeitspanne von 2 Sekunden wurde als maximale Fahrzeugfolgezeit (Time Headway — THW) zugrunde gelegt; es wurde angenommen, dass unterhalb dieses Zeitwerts ein Zusammenstoß in Längsrichtung droht.

Hinweis:

Image 23

| 3.4.3. | Für das Bremsszenario gilt:
  Die Risikowahrnehmungszeit [a] beträgt 0,4 Sekunden. Die Risikowahrnehmungszeit [a] beginnt, wenn das vorausfahrende Fahrzeug eine Verzögerungsschwelle von 5 m/s2 überschreitet. |
| --- | --- |

3.4.3.

Die Risikowahrnehmungszeit [a] beträgt 0,4 Sekunden. Die Risikowahrnehmungszeit [a] beginnt, wenn das vorausfahrende Fahrzeug eine Verzögerungsschwelle von 5 m/s2 überschreitet.

Image 24

4.   PARAMETER

| 4.1. | Die folgenden Parameter sind für die Beschreibung des Musters kritischer Verkehrsszenarien in Abschnitt 2.1 entscheidend. |
| --- | --- |

4.1.

| 4.2. | Je nach Betriebsumgebung könnten weitere Parameter hinzugefügt werden (z. B. Fahrbahnreibung, Straßenkrümmung, Lichtverhältnisse).

  Tabelle 2


  Zusätzliche Parameter








  Betriebsbedingungen | Fahrbahn | Anzahl Fahrspuren = Anzahl in gleicher Fahrtrichtung parallel verlaufender, aneinandergrenzender Fahrspuren
  Fahrspurbreite = Breite der einzelnen Fahrspuren
  Straßenkategorie = Kategorie der im Prüfbereich befindlichen Straße
  Fahrbahnzustand = Zustand der Fahrbahn (trocken, nass, vereist, verschneit, neu, abgenutzt) einschließlich des Reibungskoeffizienten
  Fahrspurmarkierungen = Art, Farbe, Breite, Sichtbarkeit der Fahrspurmarkierungen |
| --- | --- | --- | --- |
| Umgebungsbedingungen | Lichtverhältnisse = Lichtmenge und -richtung (d. h. Tag, Nacht, sonnig, bewölkt)
  Wetterbedingungen = Menge, Art und Intensität von Wind, Regen, Schnee usw. |
| Anfangszustand | Anfangsgeschwindigkeit | Ve0 = Ego-Fahrzeug |
| Vo0 = In der Fahrspur oder der angrenzenden Spur vorausfahrendes Fahrzeug |
| Vf0 = Fahrzeug vor dem in der Fahrspur vorausfahrenden Fahrzeug |
| Anfangsabstand | dx0 = Abstand in Längsrichtung zwischen der Front des Ego-Fahrzeugs und dem Heck des in der Fahrspur des Ego-Fahrzeugs oder der angrenzenden Fahrspur vorausfahrenden Fahrzeugs |
| dy0 = Seitlicher Innenabstand zwischen der parallel zur Fahrzeuglängsmittelebene innerhalb der Fahrspur verlaufenden Außenkante des Ego-Fahrzeugs und der parallel zur Fahrzeuglängsmittelebene verlaufenden Außenkante des in der angrenzenden Fahrspur vorausfahrenden Fahrzeugs |
| dy0_f = Seitlicher Innenabstand zwischen der parallel zur Fahrzeuglängsmittelebene innerhalb der Fahrspur verlaufenden Außenkante des vorausfahrenden Fahrzeugs und der parallel zur Fahrzeuglängsmittelebene verlaufenden Außenkante des in den angrenzenden Fahrspuren vor dem vorausfahrenden Fahrzeug fahrenden Fahrzeugs |
| dx0_f = Abstand in Längsrichtung zwischen der Fahrzeugfront des vorausfahrenden Fahrzeugs und dem Heck des vor dem vorausfahrenden Fahrzeug fahrenden Fahrzeugs |
| dfy = Breite des vor dem vorausfahrenden Fahrzeug fahrenden Fahrzeugs |
| doy = Breite des vorausfahrenden Fahrzeugs |
| dox = Länge des vorausfahrenden Fahrzeugs |
| Fahrzeugbewegung | Querbewegung | Vy = Quergeschwindigkeit des vorausfahrenden Fahrzeugs |
| Verzögerung | Gx_max = Maximale Verzögerung des vorausfahrenden Fahrzeugs in G |
| dG/dt = Verzögerungsrate (Schwellwert) des vorausfahrenden Fahrzeugs |

4.2.

Tabelle 2

Zusätzliche Parameter

Betriebsbedingungen

Fahrbahn

Anzahl Fahrspuren = Anzahl in gleicher Fahrtrichtung parallel verlaufender, aneinandergrenzender Fahrspuren

Fahrspurbreite = Breite der einzelnen Fahrspuren

Straßenkategorie = Kategorie der im Prüfbereich befindlichen Straße

Fahrbahnzustand = Zustand der Fahrbahn (trocken, nass, vereist, verschneit, neu, abgenutzt) einschließlich des Reibungskoeffizienten

Fahrspurmarkierungen = Art, Farbe, Breite, Sichtbarkeit der Fahrspurmarkierungen

Umgebungsbedingungen

Lichtverhältnisse = Lichtmenge und -richtung (d. h. Tag, Nacht, sonnig, bewölkt)

Wetterbedingungen = Menge, Art und Intensität von Wind, Regen, Schnee usw.

Anfangszustand

Anfangsgeschwindigkeit

Ve0 = Ego-Fahrzeug

Vo0 = In der Fahrspur oder der angrenzenden Spur vorausfahrendes Fahrzeug

Vf0 = Fahrzeug vor dem in der Fahrspur vorausfahrenden Fahrzeug

Anfangsabstand

dx0 = Abstand in Längsrichtung zwischen der Front des Ego-Fahrzeugs und dem Heck des in der Fahrspur des Ego-Fahrzeugs oder der angrenzenden Fahrspur vorausfahrenden Fahrzeugs

dy0 = Seitlicher Innenabstand zwischen der parallel zur Fahrzeuglängsmittelebene innerhalb der Fahrspur verlaufenden Außenkante des Ego-Fahrzeugs und der parallel zur Fahrzeuglängsmittelebene verlaufenden Außenkante des in der angrenzenden Fahrspur vorausfahrenden Fahrzeugs

dy0_f = Seitlicher Innenabstand zwischen der parallel zur Fahrzeuglängsmittelebene innerhalb der Fahrspur verlaufenden Außenkante des vorausfahrenden Fahrzeugs und der parallel zur Fahrzeuglängsmittelebene verlaufenden Außenkante des in den angrenzenden Fahrspuren vor dem vorausfahrenden Fahrzeug fahrenden Fahrzeugs

dx0_f = Abstand in Längsrichtung zwischen der Fahrzeugfront des vorausfahrenden Fahrzeugs und dem Heck des vor dem vorausfahrenden Fahrzeug fahrenden Fahrzeugs

dfy = Breite des vor dem vorausfahrenden Fahrzeug fahrenden Fahrzeugs

doy = Breite des vorausfahrenden Fahrzeugs

dox = Länge des vorausfahrenden Fahrzeugs

Fahrzeugbewegung

Querbewegung

Vy = Quergeschwindigkeit des vorausfahrenden Fahrzeugs

Verzögerung

Gx_max = Maximale Verzögerung des vorausfahrenden Fahrzeugs in G

dG/dt = Verzögerungsrate (Schwellwert) des vorausfahrenden Fahrzeugs

| 4.3. | Im Folgenden werden die Parameter zu den drei Szenarien grafisch dargestellt. |
| --- | --- |

4.3.

Image 25

5.   HINWEIS

Bei den folgenden Datenblättern handelt es sich um grafisch dargestellte Simulationsbeispiele, anhand derer festgelegt wird, unter welchen Bedingungen das ALKS unter Berücksichtigung der Kombination aller Parameter bei und unterhalb der zulässigen Höchstgeschwindigkeit eines ALKS-Fahrzeugs einen Zusammenstoß vermeiden sollte.

| 5.1. | Einscherszenario





  (Abbildung aus Datenblatt) |
| --- | --- |

5.1.

Image 26

(Abbildung aus Datenblatt)

Image 27

Image 28

Image 29

Image 30

Image 31

Image 32

Image 33

Image 34

Image 35

| 5.2. | Ausscheren:
  Bei folgender Fahrstellung und einer Fahrzeugfolgezeit von 2,0 Sekunden ist es möglich, allen vor dem vorausfahrenden ausscherenden Fahrzeug abbremsenden (stehenden) Fahrzeugen auszuweichen.
  (Abbildung aus Datenblatt) |
| --- | --- |

5.2.

Bei folgender Fahrstellung und einer Fahrzeugfolgezeit von 2,0 Sekunden ist es möglich, allen vor dem vorausfahrenden ausscherenden Fahrzeug abbremsenden (stehenden) Fahrzeugen auszuweichen.

(Abbildung aus Datenblatt)

Image 36

Image 37

Image 38

Image 39

| 5.3. | Verzögerungsszenario
  In folgender Fahrsituation und bei einer Fahrzeugfolgezeit von 2,0 Sekunden ist es möglich, eine plötzliche Verzögerung von – 1,0 G oder weniger zu vermeiden.
  (Abbildung aus Datenblatt)





  (Abbildung aus Datenblatt) |
| --- | --- |

5.3.

In folgender Fahrsituation und bei einer Fahrzeugfolgezeit von 2,0 Sekunden ist es möglich, eine plötzliche Verzögerung von – 1,0 G oder weniger zu vermeiden.

(Abbildung aus Datenblatt)

Image 40

(Abbildung aus Datenblatt)

Image 41

---

ANHANG 5

Prüfvorschriften für automatische Spurhalteassistenzsysteme (ALKS)

1.   EINLEITUNG

In diesem Anhang werden die Prüfungen beschrieben, die der Überprüfung der technischen Vorschriften zu Spurhalteassistenzsystemen (ALKS) dienen sollen.

Bis zur Verabschiedung spezifischer Prüfvorschriften hat der technische Dienst sicherzustellen, dass das ALKS zumindest den in Anhang 5 dargelegten Prüfungen unterzogen wird. Die spezifischen Prüfparameter für die einzelnen Prüfungen sind vom technischen Dienst auszuwählen und im Prüfbericht so zu verzeichnen, dass die Prüfanordnung nachvollzogen und wiederholt werden kann.

Die Pass-/Fail-Kriterien für die Prüfungen werden ausschließlich aus den unter den Nummern 5 bis 7 der Regelung dargelegten technischen Anforderungen abgeleitet. Diese Anforderungen sind so formuliert, dass sie die Ableitung von Pass-/Fail-Kriterien nicht nur für vorgegebene Prüfparameter ermöglichen, sondern auch für jede Kombination von Parametern, auf die das System ausgelegt ist (z. B. Betriebsgeschwindigkeitsbereich, Betriebsbereich der Querbeschleunigung, Krümmungsbereich innerhalb der Systemgrenzen).

Die in diesem Dokument dargelegten Prüfvorschriften sind als Mindestvorgaben zu verstehen; der technische Dienst kann innerhalb der Systemgrenzen andere Prüfungen durchführen und die gemessenen Ergebnisse anschließend mit den Vorschriften vergleichen (konkret: erwartetes Prüfergebnis).

2.   BEGRIFFSBESTIMMUNGEN

Für die Zwecke dieses Anhangs gelten folgende Begriffsbestimmungen:

| 2.1. | „Zeit bis zum Zusammenstoß“ (Time to Collision — TTC) bezeichnet den Zeitwert, der sich ergibt, indem der zu einem gegebenen Zeitpunkt bestehende Längsabstand (in Fahrtrichtung des Prüffahrzeugs) zwischen dem Prüffahrzeug und dem Aufprallziel durch die relative Geschwindigkeit des Prüffahrzeugs in Längsrichtung und des Aufprallziels geteilt wird. |
| --- | --- |

2.1.

| 2.2. | „Versatz“ bezeichnet den Abstand zwischen der Längsmittelebene des Fahrzeugs und des jeweiligen Aufprallziels in Fahrtrichtung, gemessen am Boden, normiert um die halbe Fahrzeugbreite ohne Einrichtungen für indirekte Sicht und berichtigt durch Addition von 50 Prozent. |
| --- | --- |

2.2.

| 2.3. | „Fußgängeraufprallziel“ bezeichnet ein weiches Aufprallziel, das einen Fußgänger darstellt. |
| --- | --- |

2.3.

| 2.4. | „Fahrzeugaufprallziel“ bezeichnet ein Aufprallziel, das ein Fahrzeug darstellt. |
| --- | --- |

2.4.

| 2.5. | „Motorisiertes Zweiradaufprallziel“ bezeichnet ein Motorrad mit Motorradfahrer. |
| --- | --- |

2.5.

3.   ALLGEMEINE GRUNDSÄTZE

| 3.1. | Prüfbedingungen |
| --- | --- |

3.1.

| 3.1.1. | Die Prüfungen sind unter Bedingungen (z. B. Umgebungsbedingungen, Straßengeometrie) durchzuführen, die eine Aktivierung des ALKS erlauben. |
| --- | --- |

3.1.1.

| 3.1.2. | Müssen Änderungen am System vorgenommen werden, um die Prüfung zu ermöglichen, z. B. Bewertungskriterien betreffend den Straßentyp oder Informationen über den Straßentyp (Kartendaten), so ist sicherzustellen, dass diese Änderungen die Prüfergebnisse nicht beeinflussen. Diese Änderungen sind grundsätzlich zu dokumentieren und dem Prüfbericht beizufügen. Die Beschreibung und der Nachweis einer etwaigen Beeinflussung durch diese Änderungen sind zu dokumentieren und dem Prüfbericht beizufügen. |
| --- | --- |

3.1.2.

| 3.1.3. | Die Prüfstrecke muss mindestens eine Haftung aufweisen, die das im Rahmen des Szenarios zu erwartende Ergebnis ermöglicht. |
| --- | --- |

3.1.3.

| 3.1.4. | Prüfaufprallziele |
| --- | --- |

3.1.4.

| 3.1.4.1. | Das für die Prüfung der Erkennung von Fahrzeugen verwendete Aufprallziel muss ein reguläres, in hoher Stückzahl in Serienproduktion hergestelltes Fahrzeug der Klasse M oder N sein; alternativ kann es sich auch um ein „weiches Aufprallziel“ handeln, das für ein solches Fahrzeug hinsichtlich seiner Identifikationsmerkmale in Bezug auf das zu prüfende ALKS-Sensorsystem gemäß ISO 19206-3:2018 repräsentativ ist. Der Bezugspunkt für die Lage des Fahrzeugs muss der hinterste Punkt auf der Mittellinie des Fahrzeugs sein. |
| --- | --- |

3.1.4.1.

| 3.1.4.2. | Das für die Prüfung der Erkennung von motorisierten Zweirädern verwendete Aufprallziel muss ein Prüfgerät nach ISO CD 19206-5 oder ein typgenehmigtes, in hoher Stückzahl in Serienproduktion hergestelltes Motorrad der Klasse L3 mit einem Motorhubraum von maximal 600 cm3 sein. Der Bezugspunkt für die Lage des Motorrads muss der hinterste Punkt auf der Mittellinie des Motorrads sein. |
| --- | --- |

3.1.4.2.

| 3.1.4.3. | Das für die Prüfung der Erkennung von Fußgängern verwendete Aufprallziel muss ein „gelenkiges weiches Aufprallziel“ sein, das den menschlichen Merkmalen entspricht, die für das zu prüfende ALKS-Sensorsystem gemäß ISO 19206-2:2018 repräsentativ sind. |
| --- | --- |

3.1.4.3.

| 3.1.4.4. | Einzelheiten, anhand derer die Aufprallziele identifiziert und nachgebaut werden können, müssen in den Typgenehmigungsunterlagen aufgeführt werden. |
| --- | --- |

3.1.4.4.

| 3.2. | Variation der Prüfparameter
  Der Hersteller muss die Systemgrenzen gegenüber dem technischen Dienst angeben. Der technische Dienst legt die verschiedenen Kombinationen von Testparametern fest (z. B. die aktuelle Geschwindigkeit des ALKS-Fahrzeugs, Art und Versatz des Aufprallziels, Krümmung der Fahrspur), sodass sowohl Szenarien abgedeckt werden, in denen das System einen Zusammenstoß verhindern soll, als auch gegebenenfalls Szenarien, in denen ein Zusammenstoß voraussichtlich nicht verhindert werden kann.
  Der technische Dienst kann zusätzlich beliebige andere Parameterkombination prüfen, wenn dies für gerechtfertigt erachtet wird.
  Kann ein Zusammenstoß bei bestimmten Parametern nicht verhindert werden, muss der Hersteller entweder durch Dokumentation oder nach Möglichkeit durch Verifikation/Prüfung nachweisen, dass das System seine Steuerstrategie nicht unbegründet ändert. |
| --- | --- |

3.2.

Der Hersteller muss die Systemgrenzen gegenüber dem technischen Dienst angeben. Der technische Dienst legt die verschiedenen Kombinationen von Testparametern fest (z. B. die aktuelle Geschwindigkeit des ALKS-Fahrzeugs, Art und Versatz des Aufprallziels, Krümmung der Fahrspur), sodass sowohl Szenarien abgedeckt werden, in denen das System einen Zusammenstoß verhindern soll, als auch gegebenenfalls Szenarien, in denen ein Zusammenstoß voraussichtlich nicht verhindert werden kann.

Der technische Dienst kann zusätzlich beliebige andere Parameterkombination prüfen, wenn dies für gerechtfertigt erachtet wird.

Kann ein Zusammenstoß bei bestimmten Parametern nicht verhindert werden, muss der Hersteller entweder durch Dokumentation oder nach Möglichkeit durch Verifikation/Prüfung nachweisen, dass das System seine Steuerstrategie nicht unbegründet ändert.

4.   PRÜFSZENARIEN ZUR BEWERTUNG DER LEISTUNG DES SYSTEMS IM HINBLICK AUF DIE DYNAMISCHE FAHRAUFGABE

| 4.1. | Spurhaltung |
| --- | --- |

4.1.

| 4.1.1. | Bei der Prüfung ist nachzuweisen, dass das ALKS in allen Geschwindigkeitsbereichen und bei unterschiedlichen Krümmungen innerhalb seiner Systemgrenzen seine Fahrspur nicht verlässt und eine stabile Position innerhalb seiner eigenen Fahrspur beibehält. |
| --- | --- |

4.1.1.

| 4.1.2. | Die Prüfung ist mindestens durchzuführen:






  a) | mit einer Mindestprüfdauer von 5 Minuten, |
| --- | --- | --- |

4.1.2.

a)

mit einer Mindestprüfdauer von 5 Minuten,

| b) | mit einem Fahrzeugaufprallziel und einem motorisierten Zweiradaufprallziel als voranfahrendes bzw. Fremdfahrzeug, |
| --- | --- |

b)

mit einem Fahrzeugaufprallziel und einem motorisierten Zweiradaufprallziel als voranfahrendes bzw. Fremdfahrzeug,

| c) | mit einem in der Fahrspur schlingernden vorausfahrenden Fahrzeug und |
| --- | --- |

c)

mit einem in der Fahrspur schlingernden vorausfahrenden Fahrzeug und

| d) | mit einem anderen Fahrzeug, das mit geringem Abstand seitlich in der angrenzenden Fahrspur fährt. |
| --- | --- |

d)

mit einem anderen Fahrzeug, das mit geringem Abstand seitlich in der angrenzenden Fahrspur fährt.

| 4.2. | Verhinderung eines Zusammenstoßes mit einem Verkehrsteilnehmer oder Objekt, der bzw. das die Fahrspur blockiert |
| --- | --- |

4.2.

| 4.2.1. | Bei der Prüfung ist nachzuweisen, dass das ALKS einen Zusammenstoß mit einem stehenden Fahrzeug, Verkehrsteilnehmer oder einem Objekt, das die Fahrspur vollständig oder teilweise blockiert, bis zur angegebenen Höchstgeschwindigkeit des Systems verhindert. |
| --- | --- |

4.2.1.

| 4.2.2. | Diese Prüfung ist mindestens durchzuführen:






  a) | mit einem stehenden Fahrzeugaufprallziel (Personenkraftwagen), |
| --- | --- | --- |

4.2.2.

a)

mit einem stehenden Fahrzeugaufprallziel (Personenkraftwagen),

| b) | mit einem stehenden motorisierten Zweiradaufprallziel, |
| --- | --- |

b)

mit einem stehenden motorisierten Zweiradaufprallziel,

| c) | mit einem stehenden Fußgängeraufprallziel, |
| --- | --- |

c)

mit einem stehenden Fußgängeraufprallziel,

| d) | mit einem Fußgängeraufprallziel, das die Fahrspur mit einer Geschwindigkeit von 5 km/h überquert, |
| --- | --- |

d)

mit einem Fußgängeraufprallziel, das die Fahrspur mit einer Geschwindigkeit von 5 km/h überquert,

| e) | mit einem Aufprallziel, das eine blockierte Fahrspur darstellt, |
| --- | --- |

e)

mit einem Aufprallziel, das eine blockierte Fahrspur darstellt,

| f) | mit einem Aufprallziel, das eine teilweise blockierte Fahrspur darstellt, |
| --- | --- |

f)

mit einem Aufprallziel, das eine teilweise blockierte Fahrspur darstellt,

| g) | mit mehreren aufeinanderfolgenden Hindernissen, die die Fahrspur blockieren (z. B. in folgender Reihenfolge: Ego-Fahrzeug — Motorrad — Personenkraftwagen), |
| --- | --- |

g)

mit mehreren aufeinanderfolgenden Hindernissen, die die Fahrspur blockieren (z. B. in folgender Reihenfolge: Ego-Fahrzeug — Motorrad — Personenkraftwagen),

| h) | auf einem gekrümmten Straßenabschnitt. |
| --- | --- |

h)

auf einem gekrümmten Straßenabschnitt.

| 4.3. | Folgen eines vorausfahrenden Fahrzeugs |
| --- | --- |

4.3.

| 4.3.1. | Bei der Prüfung ist nachzuweisen, dass das ALKS in der Lage ist, den vorgeschriebenen Sicherheitsabstand zu einem vorausfahrenden Fahrzeug einzuhalten und wiederherzustellen, und dass es in der Lage ist, einen Zusammenstoß mit einem vorausfahrenden Fahrzeug zu verhindern, das bis zu seiner größtmöglichen Verzögerung abbremst. |
| --- | --- |

4.3.1.

| 4.3.2. | Diese Prüfung ist mindestens durchzuführen:






  a) | über den gesamten Geschwindigkeitsbereich des ALKS, |
| --- | --- | --- |

4.3.2.

a)

über den gesamten Geschwindigkeitsbereich des ALKS,

| b) | mit einem Fahrzeugaufprallziel (Personenkraftwagen) sowie mit einem motorisierten Zweirad als vorausfahrendes Fahrzeug, sofern standardisierte motorisierte Zweiradaufprallziele zur Verfügung stehen, mit denen die Prüfung gefahrlos durchgeführt werden kann, |
| --- | --- |

b)

mit einem Fahrzeugaufprallziel (Personenkraftwagen) sowie mit einem motorisierten Zweirad als vorausfahrendes Fahrzeug, sofern standardisierte motorisierte Zweiradaufprallziele zur Verfügung stehen, mit denen die Prüfung gefahrlos durchgeführt werden kann,

| c) | bei konstanten und bei variablen Geschwindigkeiten des vorausfahrenden Fahrzeugs (z. B. nach einem realistischen, aus realen Fahrdaten abgeleiteten Geschwindigkeitsprofil), |
| --- | --- |

c)

bei konstanten und bei variablen Geschwindigkeiten des vorausfahrenden Fahrzeugs (z. B. nach einem realistischen, aus realen Fahrdaten abgeleiteten Geschwindigkeitsprofil),

| d) | auf geraden und gekrümmten Straßenabschnitten, |
| --- | --- |

d)

auf geraden und gekrümmten Straßenabschnitten,

| e) | bei unterschiedlichen Querpositionen des in der Fahrspur vorausfahrenden Fahrzeugs, |
| --- | --- |

e)

bei unterschiedlichen Querpositionen des in der Fahrspur vorausfahrenden Fahrzeugs,

| f) | bei einer Verzögerung des vorausfahrenden Fahrzeugs von mindestens 6 m/s2 mittlerer Vollverzögerung bis zum Stillstand. |
| --- | --- |

f)

bei einer Verzögerung des vorausfahrenden Fahrzeugs von mindestens 6 m/s2 mittlerer Vollverzögerung bis zum Stillstand.

| 4.4. | Wechsel eines anderen Fahrzeugs in die Spur |
| --- | --- |

4.4.

| 4.4.1. | Bei der Prüfung ist nachzuweisen, dass das ALKS in der Lage ist, bis zu einer bestimmten Kritikalität des Einschermanövers einen Zusammenstoß mit einem Fahrzeug zu verhindern, das in die Fahrspur des ALKS-Fahrzeugs einschert. |
| --- | --- |

4.4.1.

| 4.4.2. | Die Kritikalität des Einschermanövers ist in Abhängigkeit von der Zeit bis zum Zusammenstoß (TTC), dem Längsabstand zwischen dem hintersten Punkt des einscherenden Fahrzeugs und dem vordersten Punkt des ALKS-Fahrzeugs, der Quergeschwindigkeit des einscherenden Fahrzeugs und der Längsbewegung des einscherenden Fahrzeugs nach Nummer 5.2.5 dieser Regelung zu bestimmen. |
| --- | --- |

4.4.2.

| 4.4.3. | Diese Prüfung ist unter Berücksichtigung mindestens folgender Bedingungen durchzuführen:






  a) | Bei unterschiedlichen TTC-Zeitwerten, Abstandswerten und relativen Geschwindigkeitswerten des Einschermanövers, wobei Einscherszenarien abzudecken sind, in denen ein Zusammenstoß verhindert werden kann und solche, in denen ein Zusammenstoß nicht verhindert werden kann, |
| --- | --- | --- |

4.4.3.

a)

Bei unterschiedlichen TTC-Zeitwerten, Abstandswerten und relativen Geschwindigkeitswerten des Einschermanövers, wobei Einscherszenarien abzudecken sind, in denen ein Zusammenstoß verhindert werden kann und solche, in denen ein Zusammenstoß nicht verhindert werden kann,

| b) | mit einscherenden Fahrzeugen, die mit konstanter Längsgeschwindigkeit fahren, die beschleunigen und abbremsen, |
| --- | --- |

b)

mit einscherenden Fahrzeugen, die mit konstanter Längsgeschwindigkeit fahren, die beschleunigen und abbremsen,

| c) | bei unterschiedlichen Quergeschwindigkeits- und Querbeschleunigungswerten des einscherenden Fahrzeugs, |
| --- | --- |

c)

bei unterschiedlichen Quergeschwindigkeits- und Querbeschleunigungswerten des einscherenden Fahrzeugs,

| d) | mit einem Personenkraftwagen sowie mit einem motorisierten Zweirad als einscherendes Fahrzeug, sofern standardisierte motorisierte Zweiradaufprallziele zur Verfügung stehen, mit denen die Prüfung gefahrlos durchgeführt werden kann. |
| --- | --- |

d)

mit einem Personenkraftwagen sowie mit einem motorisierten Zweirad als einscherendes Fahrzeug, sofern standardisierte motorisierte Zweiradaufprallziele zur Verfügung stehen, mit denen die Prüfung gefahrlos durchgeführt werden kann.

| 4.5. | Stehendes Hindernis nach Spurwechsel des vorausfahrenden Fahrzeugs |
| --- | --- |

4.5.

| 4.5.1. | Bei der Prüfung ist nachzuweisen, dass das AKLS in der Lage ist, einen Zusammenstoß mit einem stehenden Fahrzeug oder Verkehrsteilnehmer oder einer Blockade auf der Fahrspur zu verhindern, die sichtbar werden, nachdem ein vorausfahrendes Fahrzeug einen Zusammenstoß durch ein Ausweichmanöver verhindert hat. |
| --- | --- |

4.5.1.

| 4.5.2. | Die Prüfung ist mindestens durchzuführen:






  a) | mit einem mittig in der Fahrspur stehenden Fahrzeugaufprallziel, |
| --- | --- | --- |

4.5.2.

a)

mit einem mittig in der Fahrspur stehenden Fahrzeugaufprallziel,

| b) | mit einem mittig in der Fahrspur stehenden motorisierten Zweiradaufprallziel, |
| --- | --- |

b)

mit einem mittig in der Fahrspur stehenden motorisierten Zweiradaufprallziel,

| c) | mit einem mittig in der Fahrspur stehenden Fußgängeraufprallziel, |
| --- | --- |

c)

mit einem mittig in der Fahrspur stehenden Fußgängeraufprallziel,

| d) | mit einem Aufprallziel, das eine mittig blockierte Fahrspur darstellt, |
| --- | --- |

d)

mit einem Aufprallziel, das eine mittig blockierte Fahrspur darstellt,

| e) | mit mehreren aufeinanderfolgenden Hindernissen, die die Fahrspur blockieren (z. B. in folgender Reihenfolge: Ego-Fahrzeug — die Spur wechselndes Fahrzeug — Motorrad — Personenkraftwagen). |
| --- | --- |

e)

mit mehreren aufeinanderfolgenden Hindernissen, die die Fahrspur blockieren (z. B. in folgender Reihenfolge: Ego-Fahrzeug — die Spur wechselndes Fahrzeug — Motorrad — Personenkraftwagen).

| 4.6. | Prüfung des Sichtfelds |
| --- | --- |

4.6.

| 4.6.1. | Bei der Prüfung ist nachzuweisen, dass das ALKS in der Lage ist, einen anderen Verkehrsteilnehmer im vorderen Erfassungsbereich bis zur angegebenen Grenze des vorderen Erfassungsbereichs sowie ein seitlich befindliches Fahrzeug im seitlichen Erfassungsbereich mindestens bis zur vollen Breite der angrenzenden Fahrspur zu erkennen. |
| --- | --- |

4.6.1.

| 4.6.2. | Die Prüfung in Bezug auf den vorderen Erfassungsbereich ist mindestens durchzuführen:






  a) | bei Annäherung an ein an der Außenkante jeder angrenzenden Fahrspur positioniertes Motorradaufprallziel, |
| --- | --- | --- |

4.6.2.

a)

bei Annäherung an ein an der Außenkante jeder angrenzenden Fahrspur positioniertes Motorradaufprallziel,

| b) | bei Annäherung an ein an der Außenkante jeder angrenzenden Fahrspur positioniertes Fußgängeraufprallziel, |
| --- | --- |

b)

bei Annäherung an ein an der Außenkante jeder angrenzenden Fahrspur positioniertes Fußgängeraufprallziel,

| c) | bei Annäherung an ein in der Ego-Fahrspur stehendes Motorradaufprallziel, |
| --- | --- |

c)

bei Annäherung an ein in der Ego-Fahrspur stehendes Motorradaufprallziel,

| d) | bei Annäherung an ein in der Ego-Fahrspur stehendes Fußgängeraufprallziel. |
| --- | --- |

d)

bei Annäherung an ein in der Ego-Fahrspur stehendes Fußgängeraufprallziel.

| 4.6.3. | Die Prüfung in Bezug auf den seitlichen Erfassungsbereich ist mindestens durchzuführen:






  a) | mit einem Motorradaufprallziel, das sich dem ALKS-Fahrzeug von der links angrenzenden Fahrspur nähert, |
| --- | --- | --- |

4.6.3.

a)

mit einem Motorradaufprallziel, das sich dem ALKS-Fahrzeug von der links angrenzenden Fahrspur nähert,

| b) | mit einem Motorradaufprallziel, das sich dem ALKS-Fahrzeug von der rechts angrenzenden Fahrspur nähert. |
| --- | --- |

b)

mit einem Motorradaufprallziel, das sich dem ALKS-Fahrzeug von der rechts angrenzenden Fahrspur nähert.

5.   ZUSÄTZLICHE VERIFIKATION

| 5.1. | (Vorbehalten) |
| --- | --- |

5.1.

| 5.2. | Die Einhaltung der folgenden Bestimmungen ist vom Hersteller nachzuweisen und vom technischen Dienst zum Zeitpunkt der Typgenehmigung zu bewerten: | Prüfung/Kontrolle |
| --- | --- | --- |
| 6.2.2. | Aus-Zustand nach erneutem Motorstart/Lauf |
| 6.2.3. | Das System ist nur aktivierbar, wenn






  a) | sich der Fahrzeugführer im Fahrersitz befindet und der Sitzgurt angelegt ist, |

5.2.

Prüfung/Kontrolle

6.2.2.

Aus-Zustand nach erneutem Motorstart/Lauf

6.2.3.

Das System ist nur aktivierbar, wenn

a)

sich der Fahrzeugführer im Fahrersitz befindet und der Sitzgurt angelegt ist,

| b) | der Fahrzeugführer verfügbar ist, |
| --- | --- |

b)

der Fahrzeugführer verfügbar ist,

| c) | keine Störungen vorliegen, |
| --- | --- |

c)

keine Störungen vorliegen,

| d) | der Fahrmodusspeicher betriebsbereit ist, |
| --- | --- |

d)

der Fahrmodusspeicher betriebsbereit ist,

| e) | Bedingungen herrschen, die innerhalb der Systemgrenzen liegen. |
| --- | --- |

e)

Bedingungen herrschen, die innerhalb der Systemgrenzen liegen.

6.2.1.

6.2.4.

6.2.5.

6.2.6.

Vorrichtung zur Deaktivierung

Spezielle Vorrichtung zur Aktivierung und Deaktivierung

mit Schutz gegen unbeabsichtigtes Betätigen

Lenkung

| a) | Halten des Lenkrads und Bremsen/Beschleunigen |
| --- | --- |

a)

Halten des Lenkrads und Bremsen/Beschleunigen

| b) | Fahrzeugführer reagiert durch Halten des Lenkrads auf Übernahmeaufforderung und risikominimierendes Manöver |
| --- | --- |

b)

Fahrzeugführer reagiert durch Halten des Lenkrads auf Übernahmeaufforderung und risikominimierendes Manöver

| c) | Nach Deaktivierung |
| --- | --- |

c)

Nach Deaktivierung

6.3

Vorrichtung zur Übersteuerung des Systems

| a) | Betätigungseinrichtung der Lenkanlage |
| --- | --- |

a)

Betätigungseinrichtung der Lenkanlage

| b) | Bremseingabe stärker als System |
| --- | --- |

b)

Bremseingabe stärker als System

| c) | Beschleunigen auf Geschwindigkeit innerhalb der Systemgrenzen |
| --- | --- |

c)

Beschleunigen auf Geschwindigkeit innerhalb der Systemgrenzen

6.1.3.1.

Kriterien für die Beurteilung der Fahrerverfügbarkeit

5.1.3.

Fahrerassistenzsysteme aktiv

6.3.1.1.

Fahreraufmerksamkeit

5.5

Verhalten des Systems während eines risikominimierenden Manövers

| a) | Übernahme durch den Fahrzeugführer |
| --- | --- |

a)

Übernahme durch den Fahrzeugführer

| b) | Stillstand (Warnblinklicht) |
| --- | --- |

b)

Stillstand (Warnblinklicht)

| c) | Reaktivierung bei Stillstand deaktiviert |
| --- | --- |

c)

Reaktivierung bei Stillstand deaktiviert

5.1.4.

5.1.5.

5.4

Übernahmeaufforderung und Verhalten/Verstärkung

Fahrzeugführer übernimmt die Steuerung

Ohne Reaktion des Fahrzeugführers (risikominimierendes Manöver)

| a) | Geplante Übernahme |
| --- | --- |

a)

Geplante Übernahme

| b) | Ungeplante Übernahme |
| --- | --- |

b)

Ungeplante Übernahme

6.1.2.

6.1.3.

5.4.

Übernahmeaufforderung im Betrieb

Systemparameter überschritten

Störung

| a) | Erkennbarer Zusammenstoß |
| --- | --- |

a)

Erkennbarer Zusammenstoß

| b) | Fahrzeugführer abwesend |
| --- | --- |

b)

Fahrzeugführer abwesend

5.3

Verhalten des Systems bei einem Notfallmanöver

| a) | Notfallmanöver führt zum Stillstand |
| --- | --- |

a)

Notfallmanöver führt zum Stillstand

| b) | Notfallmanöver führt nicht zum Stillstand |
| --- | --- |

b)

Notfallmanöver führt nicht zum Stillstand

7.1

7.1.1.

7.1.2.

Erkennungsbereiche des Systems

Vorne

Seitlich

7.1.3.

Sichtbarkeit

| 5.3. | Es können weitere Prüffälle bewertet werden, falls nach Auffassung des technischen Dienstes gerechtfertigt. Mögliche weitere Prüffälle:






  a) | Gabelung von Autobahnspuren |
| --- | --- | --- |

5.3.

a)

Gabelung von Autobahnspuren

| b) | Ein- und Ausfahrt von Fahrzeugen auf der Autobahn |
| --- | --- |

b)

Ein- und Ausfahrt von Fahrzeugen auf der Autobahn

| c) | Teilweise blockierte Ego-Fahrspur, Tunnel |
| --- | --- |

c)

Teilweise blockierte Ego-Fahrspur, Tunnel

| d) | Ampeln |
| --- | --- |

d)

Ampeln

| e) | Einsatzfahrzeuge |
| --- | --- |

e)

Einsatzfahrzeuge

| f) | Baustellen |
| --- | --- |

f)

Baustellen

| g) | Verblasste/entfernte/verborgene Fahrspurmarkierungen |
| --- | --- |

g)

Verblasste/entfernte/verborgene Fahrspurmarkierungen

| h) | Verkehrslenkung durch Rettungs-/Einsatzkräfte |
| --- | --- |

h)

Verkehrslenkung durch Rettungs-/Einsatzkräfte

| i) | Veränderte Straßenmerkmale (nicht mehr aufgeteilt, Fußgänger erlaubt, Kreisverkehr, Kreuzung) |
| --- | --- |

i)

Veränderte Straßenmerkmale (nicht mehr aufgeteilt, Fußgänger erlaubt, Kreisverkehr, Kreuzung)

| j) | Normaler Verkehrsfluss wiederhergestellt (d. h. alle Fahrzeuge bewegen sich mit > 60 km/h) |
| --- | --- |

j)

Normaler Verkehrsfluss wiederhergestellt (d. h. alle Fahrzeuge bewegen sich mit > 60 km/h)

| 5.4. | Prüfung unter Realbedingungen
  Der technische Dienst muss eine Bewertung des Systems in fehlerfreiem Zustand und bei vorhandenem Straßenverkehr selbst vornehmen oder eine solche Bewertung begutachten (Prüfung unter Realbedingungen). Diese Prüfung soll dem technischen Dienst Einblick in die Funktionsweise des Systems in seiner Einsatzumgebung verschaffen und die Bewertung der nach Anhang 4 vorgelegten Dokumentation ergänzen.
  Nach der Bewertung der Dokumentation nach Anhang 4 und der Prüfung unter Realbedingungen muss der technische Dienst beurteilen können, ob Bereiche der Systemleistung einer weiteren Bewertung bedürfen und dazu Prüfungen durchgeführt müssen oder die Dokumentation nach Anhang 4 weiter überprüft werden muss.
  Bei der Prüfung unter Realbedingungen hat der technische Dienst mindestens Folgendes zu bewerten:






  a) | Verhinderung der Aktivierung, wenn sich das System außerhalb seiner technischen Grenzen/Anforderungen an das ALKS befindet |
| --- | --- | --- |

5.4.

Der technische Dienst muss eine Bewertung des Systems in fehlerfreiem Zustand und bei vorhandenem Straßenverkehr selbst vornehmen oder eine solche Bewertung begutachten (Prüfung unter Realbedingungen). Diese Prüfung soll dem technischen Dienst Einblick in die Funktionsweise des Systems in seiner Einsatzumgebung verschaffen und die Bewertung der nach Anhang 4 vorgelegten Dokumentation ergänzen.

Nach der Bewertung der Dokumentation nach Anhang 4 und der Prüfung unter Realbedingungen muss der technische Dienst beurteilen können, ob Bereiche der Systemleistung einer weiteren Bewertung bedürfen und dazu Prüfungen durchgeführt müssen oder die Dokumentation nach Anhang 4 weiter überprüft werden muss.

Bei der Prüfung unter Realbedingungen hat der technische Dienst mindestens Folgendes zu bewerten:

a)

Verhinderung der Aktivierung, wenn sich das System außerhalb seiner technischen Grenzen/Anforderungen an das ALKS befindet

| b) | Keine Missachtung von Straßenverkehrsvorschriften |
| --- | --- |

b)

Keine Missachtung von Straßenverkehrsvorschriften

| c) | Reaktion auf ein geplantes Ereignis |
| --- | --- |

c)

Reaktion auf ein geplantes Ereignis

| d) | Reaktion auf ein ungeplantes Ereignis |
| --- | --- |

d)

Reaktion auf ein ungeplantes Ereignis

| e) | Erkennen anderer Verkehrsteilnehmer im vorderen und im seitlichen Erfassungsbereich |
| --- | --- |

e)

Erkennen anderer Verkehrsteilnehmer im vorderen und im seitlichen Erfassungsbereich

| f) | Verhalten des Fahrzeugs bei der Reaktion auf andere Verkehrsteilnehmer (Abstand zum vorausfahrenden Fahrzeug, Einscherszenario, Ausscherszenario usw.) |
| --- | --- |

f)

Verhalten des Fahrzeugs bei der Reaktion auf andere Verkehrsteilnehmer (Abstand zum vorausfahrenden Fahrzeug, Einscherszenario, Ausscherszenario usw.)

| g) | Systemübersteuerung |
| --- | --- |

g)

Systemübersteuerung

Der Standort und die Auswahl der Prüfstrecke, die Tageszeit und die Umgebungsbedingungen werden vom technischen Dienst vorgegeben.

Die Prüfungsfahrt ist aufzuzeichnen und das Prüffahrzeug mit nichtstörenden Geräten auszurüsten. Der technische Dienst kann alle Datenkanäle, die vom System verwendet oder erzeugt werden, protokollieren oder entsprechende Protokolle anfordern, wenn dies für die Auswertung nach der Prüfung für notwendig erachtet wird.

Es wird empfohlen, die Prüfung unter Realbedingungen durchzuführen, nachdem das System alle anderen in diesem Anhang beschriebenen Prüfungen erfolgreich bestanden und der technische Dienst eine Risikobewertung abgeschlossen hat.

---