# Journal officiel L 82/2021

| | ISSN 1977-0693 |
| --- | --- |
| Journal officiel
  de l’Union européenne | L 82 |
| | |
| Édition de langue française | Législation | 64e année9 mars 2021 |

ISSN 1977-0693

Journal officiel

de l’Union européenne

L 82

Édition de langue française

Législation

64e année9 mars 2021

---

| Sommaire | | II   Actes non législatifs | page |
| --- | --- | --- | --- |
| | | ACTES ADOPTÉS PAR DES INSTANCES CRÉÉES PAR DES ACCORDS INTERNATIONAUX |
| | * | Règlement ONU no 153 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique en cas choc arrière [2021/386] | 1 |
| | * | Règlement ONU no 155 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne la cybersécurité et de leurs systèmes de gestion de la cybersécurité [2021/387] | 30 |
| | * | Règlement ONU no 156 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne les mises à jour logicielles et le système de gestion des mises à jour logicielles [2021/388] | 60 |
| | * | Règlement ONU no 157 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne leur système automatisé de maintien dans la voie [2021/389] | 75 |

Sommaire

II   Actes non législatifs

page

ACTES ADOPTÉS PAR DES INSTANCES CRÉÉES PAR DES ACCORDS INTERNATIONAUX

*

Règlement ONU no 153 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique en cas choc arrière [2021/386]

o

1

*

Règlement ONU no 155 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne la cybersécurité et de leurs systèmes de gestion de la cybersécurité [2021/387]

o

30

*

Règlement ONU no 156 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne les mises à jour logicielles et le système de gestion des mises à jour logicielles [2021/388]

o

60

*

Règlement ONU no 157 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne leur système automatisé de maintien dans la voie [2021/389]

o

75

| FR | Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.
  Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes. |
| --- | --- |

FR

Les actes dont les titres sont imprimés en caractères maigres sont des actes de gestion courante pris dans le cadre de la politique agricole et ayant généralement une durée de validité limitée.

Les actes dont les titres sont imprimés en caractères gras et précédés d'un astérisque sont tous les autres actes.

---

II Actes non législatifs

ACTES ADOPTÉS PAR DES INSTANCES CRÉÉES PAR DES ACCORDS INTERNATIONAUX

| 9.3.2021 | FR | Journal officiel de l’Union européenne | L 82/1 |
| --- | --- | --- | --- |

9.3.2021

FR

Journal officiel de l’Union européenne

L 82/1

---

Seuls les textes originaux de la CEE-ONU ont un effet légal en vertu du droit public international. Le statut et la date d’entrée en vigueur du présent règlement sont à vérifier dans la dernière version du document de statut TRANS/WP.29/343 de la CEE-ONU, disponible à l’adresse suivante: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Règlement ONU no 153 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique en cas choc arrière [2021/386]

Date d’entrée en vigueur: 22 janvier 2021

Le présent document est communiqué uniquement à titre d’information. Le texte authentique, juridiquement contraignant, est celui du document ECE/TRANS/WP.29/2020/76.

TABLE DES MATIÈRES

RÈGLEMENT

| 1. | Champ d’application |
| --- | --- |

1.

| 2. | Définitions |
| --- | --- |

2.

| 3. | Demande d’homologation |
| --- | --- |

3.

| 4. | Homologation |
| --- | --- |

4.

| 5. | Prescriptions |
| --- | --- |

5.

| 6. | Essai |
| --- | --- |

6.

| 7. | Modification et extension de l’homologation d’un type de véhicule |
| --- | --- |

7.

| 8. | Conformité de la production |
| --- | --- |

8.

| 9. | Sanctions pour non-conformité de la production |
| --- | --- |

9.

| 10. | Arrêt définitif de la production |
| --- | --- |

10.

| 11. | Noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type |
| --- | --- |

11.

ANNEXES

| 1 | Communication |
| --- | --- |

1

| 2 | Exemples de marques d’homologation |
| --- | --- |

2

| 3 | Procédure d’essai de choc arrière |
| --- | --- |

3

| 4 | Modalité des essais visant à évaluer l’intégrité du système d’alimentation en hydrogène en cas de choc |
| --- | --- |

4

| 5 | Procédures d’essai pour les véhicules équipés d’une chaîne de traction électrique |
| --- | --- |

5

1.   CHAMP D’APPLICATION

Le présent Règlement s’applique aux véhicules de la catégorie M1 dont la masse totale admissible ne dépasse pas 3 500 kg et aux véhicules de la catégorie N1 en ce qui concerne l’intégrité de leur système d’alimentation en carburant et la sûreté de leur chaîne de traction électrique à haute tension en cas de choc arrière (1).

1

1

1

2.   DÉFINITIONS

Aux fins du présent Règlement, on entend par:

| 2.1. | «Type de véhicule»: une catégorie de véhicules à moteur qui ne diffèrent pas entre eux sur des aspects essentiels tels que: |
| --- | --- |

2.1.

«Type de véhicule»: une catégorie de véhicules à moteur qui ne diffèrent pas entre eux sur des aspects essentiels tels que:

| 2.1.1. | La longueur et la largeur du véhicule, dans la mesure où elles influent sur les résultats de l’essai de choc prescrit dans le présent Règlement; |
| --- | --- |

2.1.1.

La longueur et la largeur du véhicule, dans la mesure où elles influent sur les résultats de l’essai de choc prescrit dans le présent Règlement;

| 2.1.2. | La structure, les dimensions, la forme et les matériaux de la partie du véhicule située à l’arrière du plan transversal passant par le point «R» du siège situé le plus en arrière; |
| --- | --- |

2.1.2.

La structure, les dimensions, la forme et les matériaux de la partie du véhicule située à l’arrière du plan transversal passant par le point «R» du siège situé le plus en arrière;

| 2.1.3. | La forme et les dimensions intérieures de l’habitacle, dans la mesure où elles influent sur les résultats de l’essai de choc prescrit dans le présent Règlement; |
| --- | --- |

2.1.3.

La forme et les dimensions intérieures de l’habitacle, dans la mesure où elles influent sur les résultats de l’essai de choc prescrit dans le présent Règlement;

| 2.1.4. | L’emplacement (avant, arrière ou central) et l’orientation (transversale ou longitudinale) du moteur, dans la mesure où ils faussent les résultats de l’essai de choc prescrit dans le présent Règlement; |
| --- | --- |

2.1.4.

L’emplacement (avant, arrière ou central) et l’orientation (transversale ou longitudinale) du moteur, dans la mesure où ils faussent les résultats de l’essai de choc prescrit dans le présent Règlement;

| 2.1.5. | La masse à vide, dans la mesure où elle fausse les résultats de l’essai de choc prescrit dans le présent Règlement; |
| --- | --- |

2.1.5.

La masse à vide, dans la mesure où elle fausse les résultats de l’essai de choc prescrit dans le présent Règlement;

| 2.1.6. | Les emplacements des éléments du système rechargeable de stockage de l’énergie électrique, dans la mesure où ils faussent les résultats de l’essai de choc prescrit dans le présent Règlement; |
| --- | --- |

2.1.6.

Les emplacements des éléments du système rechargeable de stockage de l’énergie électrique, dans la mesure où ils faussent les résultats de l’essai de choc prescrit dans le présent Règlement;

| 2.1.7. | La structure, la forme, les dimensions et les matériaux (métal ou plastique) du ou des réservoirs; |
| --- | --- |

2.1.7.

La structure, la forme, les dimensions et les matériaux (métal ou plastique) du ou des réservoirs;

| 2.1.8. | La position du ou des réservoirs dans le véhicule, dans la mesure où elle a un effet négatif sur les prescriptions du paragraphe 5.2.1; |
| --- | --- |

2.1.8.

La position du ou des réservoirs dans le véhicule, dans la mesure où elle a un effet négatif sur les prescriptions du paragraphe 5.2.1;

| 2.1.9. | Les caractéristiques et l’emplacement du système d’alimentation en carburant (pompe, filtres, etc.). |
| --- | --- |

2.1.9.

Les caractéristiques et l’emplacement du système d’alimentation en carburant (pompe, filtres, etc.).

| 2.2. | «Habitacle»: l’espace destiné aux occupants, délimité par le pavillon, le plancher, les parois latérales, les portes, les vitrages extérieurs, la cloison avant et la cloison arrière ou le hayon arrière, ainsi que par les barrières et carters de protection destinés à empêcher les occupants d’entrer en contact avec des composants sous haute tension de la chaîne de traction; |
| --- | --- |

2.2.

«Habitacle»: l’espace destiné aux occupants, délimité par le pavillon, le plancher, les parois latérales, les portes, les vitrages extérieurs, la cloison avant et la cloison arrière ou le hayon arrière, ainsi que par les barrières et carters de protection destinés à empêcher les occupants d’entrer en contact avec des composants sous haute tension de la chaîne de traction;

| 2.3. | «Masse à vide»: la masse du véhicule en ordre de marche, sans occupant ni chargement, mais avec le plein de carburant, de liquide de refroidissement et de lubrifiant, l’outillage et la roue de secours (s’ils sont livrés de série par le constructeur); |
| --- | --- |

2.3.

«Masse à vide»: la masse du véhicule en ordre de marche, sans occupant ni chargement, mais avec le plein de carburant, de liquide de refroidissement et de lubrifiant, l’outillage et la roue de secours (s’ils sont livrés de série par le constructeur);

| 2.4. | «Réservoir»: le ou les réservoirs conçus pour contenir le carburant liquide tel que défini au paragraphe 2.6, ou l’hydrogène gazeux comprimé utilisés principalement pour la propulsion du véhicule à l’exclusion de ses accessoires (tuyau de remplissage, s’il s’agit d’un élément distinct, orifice de remplissage, bouchon, jauge, raccords au moteur ou raccords destinés à compenser la surpression intérieure, etc.); |
| --- | --- |

2.4.

«Réservoir»: le ou les réservoirs conçus pour contenir le carburant liquide tel que défini au paragraphe 2.6, ou l’hydrogène gazeux comprimé utilisés principalement pour la propulsion du véhicule à l’exclusion de ses accessoires (tuyau de remplissage, s’il s’agit d’un élément distinct, orifice de remplissage, bouchon, jauge, raccords au moteur ou raccords destinés à compenser la surpression intérieure, etc.);

| 2.5. | «Contenance du réservoir à carburant»: la contenance du réservoir à carburant indiquée par le constructeur; |
| --- | --- |

2.5.

«Contenance du réservoir à carburant»: la contenance du réservoir à carburant indiquée par le constructeur;

| 2.6. | «Carburant liquide»: un carburant qui est à l’état liquide dans des conditions normales de température et de pression; |
| --- | --- |

2.6.

«Carburant liquide»: un carburant qui est à l’état liquide dans des conditions normales de température et de pression;

| 2.7. | «Haute tension»: la classification d’un composant ou circuit électrique, si sa tension de fonctionnement est >60 V et ≤1 500 V en courant continu (CC) ou >30 V et ≤1 000 V en courant alternatif (CA), en valeur efficace; |
| --- | --- |

2.7.

«Haute tension»: la classification d’un composant ou circuit électrique, si sa tension de fonctionnement est >60 V et ≤1 500 V en courant continu (CC) ou >30 V et ≤1 000 V en courant alternatif (CA), en valeur efficace;

| 2.8. | «Système rechargeable de stockage de l’énergie électrique (SRSEE)»: le système rechargeable de stockage de l’énergie qui fournit l’énergie électrique nécessaire à la traction.
  Une batterie dont la fonction principale est de fournir de l’énergie pour le démarrage du moteur, l’éclairage ou d’autres fonctions auxiliaires du véhicule n’est pas considérée comme un SRSEE. [Dans ce contexte, «fonction principale» signifie que plus de 50 % de l’énergie de la batterie est utilisée pour le démarrage du moteur et/ou de l’éclairage et/ou d’autres systèmes auxiliaires du véhicule sur un cycle de conduite approprié, par exemple cycle d’essai mondial harmonisé (WLTC) pour les véhicules des catégories M1 et N1] |
| --- | --- |

2.8.

«Système rechargeable de stockage de l’énergie électrique (SRSEE)»: le système rechargeable de stockage de l’énergie qui fournit l’énergie électrique nécessaire à la traction.

Une batterie dont la fonction principale est de fournir de l’énergie pour le démarrage du moteur, l’éclairage ou d’autres fonctions auxiliaires du véhicule n’est pas considérée comme un SRSEE. [Dans ce contexte, «fonction principale» signifie que plus de 50 % de l’énergie de la batterie est utilisée pour le démarrage du moteur et/ou de l’éclairage et/ou d’autres systèmes auxiliaires du véhicule sur un cycle de conduite approprié, par exemple cycle d’essai mondial harmonisé (WLTC) pour les véhicules des catégories M1 et N1]

1

1

| 2.9. | «Barrière de protection électrique»: l’élément de protection contre tout contact direct avec des éléments sous haute tension; |
| --- | --- |

2.9.

«Barrière de protection électrique»: l’élément de protection contre tout contact direct avec des éléments sous haute tension;

| 2.10. | «Chaîne de traction électrique»: l’ensemble du circuit électrique comprenant le ou les moteurs de traction, et pouvant comprendre le SRSEE, le système de conversion pour l’énergie électrique, les convertisseurs électroniques, le faisceau de câblage et les connecteurs, et le système de raccordement pour la recharge du SRSEE; |
| --- | --- |

2.10.

«Chaîne de traction électrique»: l’ensemble du circuit électrique comprenant le ou les moteurs de traction, et pouvant comprendre le SRSEE, le système de conversion pour l’énergie électrique, les convertisseurs électroniques, le faisceau de câblage et les connecteurs, et le système de raccordement pour la recharge du SRSEE;

| 2.11. | «Élément sous tension»: un élément conducteur conçu pour être mis sous tension en conditions normales d’utilisation; |
| --- | --- |

2.11.

«Élément sous tension»: un élément conducteur conçu pour être mis sous tension en conditions normales d’utilisation;

| 2.12. | «Élément conducteur exposé»: un élément conducteur qui peut être touché selon les dispositions relatives au degré de protection IPXXB et qui peut se trouver mis sous tension en cas de défaillance de l’isolement. Il s’agit notamment des éléments protégés par un cache qui peut être enlevé sans avoir recours à des outils; |
| --- | --- |

2.12.

«Élément conducteur exposé»: un élément conducteur qui peut être touché selon les dispositions relatives au degré de protection IPXXB et qui peut se trouver mis sous tension en cas de défaillance de l’isolement. Il s’agit notamment des éléments protégés par un cache qui peut être enlevé sans avoir recours à des outils;

| 2.13. | «Contact direct»: le contact de personnes avec des éléments sous haute tension; |
| --- | --- |

2.13.

«Contact direct»: le contact de personnes avec des éléments sous haute tension;

| 2.14. | «Contact indirect»: le contact de personnes avec des éléments conducteurs exposés; |
| --- | --- |

2.14.

«Contact indirect»: le contact de personnes avec des éléments conducteurs exposés;

| 2.15. | «Degré de protection IPXXB»: la protection contre tout risque de contact avec les éléments sous haute tension grâce à une barrière de protection électrique ou un carter de protection, déterminée au moyen d’un doigt d’épreuve articulé (degré de protection IPXXB), tel qu’il est décrit au paragraphe 4 de l’annexe 5; |
| --- | --- |

2.15.

«Degré de protection IPXXB»: la protection contre tout risque de contact avec les éléments sous haute tension grâce à une barrière de protection électrique ou un carter de protection, déterminée au moyen d’un doigt d’épreuve articulé (degré de protection IPXXB), tel qu’il est décrit au paragraphe 4 de l’annexe 5;

| 2.16. | «Tension de fonctionnement»: la valeur la plus élevée de la tension efficace d’un circuit électrique indiquée par le constructeur, qui peut exister entre des éléments conducteurs quand le circuit est ouvert ou dans des conditions normales de fonctionnement. Si le circuit électrique est divisé en plusieurs circuits par isolement galvanique, la tension de fonctionnement est définie pour chacun d’eux; |
| --- | --- |

2.16.

«Tension de fonctionnement»: la valeur la plus élevée de la tension efficace d’un circuit électrique indiquée par le constructeur, qui peut exister entre des éléments conducteurs quand le circuit est ouvert ou dans des conditions normales de fonctionnement. Si le circuit électrique est divisé en plusieurs circuits par isolement galvanique, la tension de fonctionnement est définie pour chacun d’eux;

| 2.17. | «Système de raccordement pour la recharge du système rechargeable de stockage de l’énergie électrique (SRSEE)»: le circuit électrique utilisé pour recharger le SRSEE à partir d’une source électrique extérieure, y compris la prise de raccordement côté véhicule; |
| --- | --- |

2.17.

«Système de raccordement pour la recharge du système rechargeable de stockage de l’énergie électrique (SRSEE)»: le circuit électrique utilisé pour recharger le SRSEE à partir d’une source électrique extérieure, y compris la prise de raccordement côté véhicule;

| 2.18. | «Masse électrique»: un ensemble d’éléments conducteurs reliés électriquement, dont le potentiel électrique est pris comme référence; |
| --- | --- |

2.18.

«Masse électrique»: un ensemble d’éléments conducteurs reliés électriquement, dont le potentiel électrique est pris comme référence;

| 2.19. | «Circuit électrique»: un ensemble d’éléments interconnectés conçus pour être sous haute tension dans des conditions normales de fonctionnement; |
| --- | --- |

2.19.

«Circuit électrique»: un ensemble d’éléments interconnectés conçus pour être sous haute tension dans des conditions normales de fonctionnement;

| 2.20. | «Système de conversion pour l’énergie électrique»: un système (une pile à combustible, par exemple) qui produit et fournit l’énergie électrique nécessaire à la traction; |
| --- | --- |

2.20.

«Système de conversion pour l’énergie électrique»: un système (une pile à combustible, par exemple) qui produit et fournit l’énergie électrique nécessaire à la traction;

| 2.21. | «Convertisseur électronique»: un appareil capable de réguler ou de convertir l’énergie électrique nécessaire à la traction; |
| --- | --- |

2.21.

«Convertisseur électronique»: un appareil capable de réguler ou de convertir l’énergie électrique nécessaire à la traction;

| 2.22. | «Carter de protection»: un élément qui contient les organes internes et protège contre tout contact direct; |
| --- | --- |

2.22.

«Carter de protection»: un élément qui contient les organes internes et protège contre tout contact direct;

| 2.23. | «Rail haute tension»: le circuit électrique, y compris le système de raccordement pour la recharge du SRSEE, qui fonctionne sous haute tension. Lorsque des circuits électriques sont reliés galvaniquement entre eux et remplissent les conditions spécifiques de tension, seuls les éléments ou parties du circuit électrique qui fonctionnent sous haute tension sont considérés comme un rail haute tension; |
| --- | --- |

2.23.

«Rail haute tension»: le circuit électrique, y compris le système de raccordement pour la recharge du SRSEE, qui fonctionne sous haute tension. Lorsque des circuits électriques sont reliés galvaniquement entre eux et remplissent les conditions spécifiques de tension, seuls les éléments ou parties du circuit électrique qui fonctionnent sous haute tension sont considérés comme un rail haute tension;

| 2.24. | «Isolant solide»: le revêtement isolant du faisceau de câblage destiné à recouvrir les éléments sous haute tension et à les protéger de tout contact direct; |
| --- | --- |

2.24.

«Isolant solide»: le revêtement isolant du faisceau de câblage destiné à recouvrir les éléments sous haute tension et à les protéger de tout contact direct;

| 2.25. | «Fonction de déconnexion automatique»: une fonction qui, lorsqu’elle est activée, isole de façon galvanique les sources d’énergie électrique du véhicule du reste du circuit à haute tension de la chaîne de traction électrique; |
| --- | --- |

2.25.

«Fonction de déconnexion automatique»: une fonction qui, lorsqu’elle est activée, isole de façon galvanique les sources d’énergie électrique du véhicule du reste du circuit à haute tension de la chaîne de traction électrique;

| 2.26. | «Batterie de traction de type ouvert»: un type de batterie nécessitant un liquide et produisant de l’hydrogène qui est relâché dans l’atmosphère; |
| --- | --- |

2.26.

«Batterie de traction de type ouvert»: un type de batterie nécessitant un liquide et produisant de l’hydrogène qui est relâché dans l’atmosphère;

| 2.27. | «Électrolyte aqueux»: un électrolyte obtenu avec de l’eau agissant comme solvant pour les composés (acides ou bases, par exemple), ce qui produit des ions conducteurs après dissociation; |
| --- | --- |

2.27.

«Électrolyte aqueux»: un électrolyte obtenu avec de l’eau agissant comme solvant pour les composés (acides ou bases, par exemple), ce qui produit des ions conducteurs après dissociation;

| 2.28. | «Fuite d’électrolyte»: un écoulement d’électrolyte s’échappant du SRSEE sous forme liquide; |
| --- | --- |

2.28.

«Fuite d’électrolyte»: un écoulement d’électrolyte s’échappant du SRSEE sous forme liquide;

| 2.29. | «Électrolyte non aqueux»: un électrolyte dans lequel le solvant n’est pas l’eau; |
| --- | --- |

2.29.

«Électrolyte non aqueux»: un électrolyte dans lequel le solvant n’est pas l’eau;

| 2.30. | «Conditions normales d’utilisation»: les modes et conditions de fonctionnement auxquels on peut raisonnablement s’attendre dans le cadre de l’utilisation normale du véhicule, à savoir la conduite du véhicule aux vitesses autorisées, le stationnement ou l’arrêt dans un encombrement, ainsi que la recharge au moyen de chargeurs compatibles avec les prises de recharge prévues sur le véhicule. Sont exclues les conditions suivantes: véhicule endommagé à la suite d’un accident, du fait d’un objet projeté ou en raison d’un acte de vandalisme, véhicule incendié ou immergé dans de l’eau, ou véhicule nécessitant une réparation ou un entretien ou en cours de réparation ou d’entretien; |
| --- | --- |

2.30.

«Conditions normales d’utilisation»: les modes et conditions de fonctionnement auxquels on peut raisonnablement s’attendre dans le cadre de l’utilisation normale du véhicule, à savoir la conduite du véhicule aux vitesses autorisées, le stationnement ou l’arrêt dans un encombrement, ainsi que la recharge au moyen de chargeurs compatibles avec les prises de recharge prévues sur le véhicule. Sont exclues les conditions suivantes: véhicule endommagé à la suite d’un accident, du fait d’un objet projeté ou en raison d’un acte de vandalisme, véhicule incendié ou immergé dans de l’eau, ou véhicule nécessitant une réparation ou un entretien ou en cours de réparation ou d’entretien;

| 2.31. | «Condition spécifique de tension»: la condition dans laquelle la tension maximale d’un circuit électrique relié galvaniquement entre un élément sous tension CC et tout autre élément sous tension (CC ou CA) est inférieure ou égale à 30 VCA (valeur efficace) et inférieure ou égale à 60 VCC.







  Note: | Lorsqu’un élément sous tension CC d’un tel circuit électrique est relié à la masse et que la condition spécifique de tension s’applique, la tension maximale entre tout élément sous tension et la masse électrique est inférieure ou égale à 30 VCA (valeur efficace) et inférieure ou égale à 60 VCC. |
| --- | --- | --- |

2.31.

«Condition spécifique de tension»: la condition dans laquelle la tension maximale d’un circuit électrique relié galvaniquement entre un élément sous tension CC et tout autre élément sous tension (CC ou CA) est inférieure ou égale à 30 VCA (valeur efficace) et inférieure ou égale à 60 VCC.

Note:

Note

Lorsqu’un élément sous tension CC d’un tel circuit électrique est relié à la masse et que la condition spécifique de tension s’applique, la tension maximale entre tout élément sous tension et la masse électrique est inférieure ou égale à 30 VCA (valeur efficace) et inférieure ou égale à 60 VCC.

3.   DEMANDE D’HOMOLOGATION

| 3.1. | La demande d’homologation d’un type de véhicule en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique fonctionnant sous haute tension en cas de choc arrière est présentée par le constructeur du véhicule ou par son représentant dûment accrédité, conformément à la procédure définie dans l’annexe 3 de l’Accord (E/ECE/TRANS/505/Rev.3). |
| --- | --- |

3.1.

La demande d’homologation d’un type de véhicule en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique fonctionnant sous haute tension en cas de choc arrière est présentée par le constructeur du véhicule ou par son représentant dûment accrédité, conformément à la procédure définie dans l’annexe 3 de l’Accord (E/ECE/TRANS/505/Rev.3).

| 3.2. | Un modèle de document d’information est donné à l’appendice 1 de l’annexe 1. |
| --- | --- |

3.2.

Un modèle de document d’information est donné à l’appendice 1 de l’annexe 1.

4.   HOMOLOGATION

| 4.1. | Si le véhicule présenté à l’homologation conformément au présent Règlement satisfait à ses prescriptions, l’homologation est accordée à ce type de véhicule. |
| --- | --- |

4.1.

Si le véhicule présenté à l’homologation conformément au présent Règlement satisfait à ses prescriptions, l’homologation est accordée à ce type de véhicule.

| 4.1.1. | Le service technique désigné conformément au paragraphe 11 ci-dessous vérifie que les conditions prescrites sont remplies. |
| --- | --- |

4.1.1.

Le service technique désigné conformément au paragraphe 11 ci-dessous vérifie que les conditions prescrites sont remplies.

| 4.1.2. | En cas de doute, il est tenu compte, pour la vérification de la conformité du véhicule aux prescriptions du présent Règlement, de toute donnée ou résultat d’essai communiqué par le constructeur, qui peut être pris en considération pour valider l’essai d’homologation effectué par le service technique. |
| --- | --- |

4.1.2.

En cas de doute, il est tenu compte, pour la vérification de la conformité du véhicule aux prescriptions du présent Règlement, de toute donnée ou résultat d’essai communiqué par le constructeur, qui peut être pris en considération pour valider l’essai d’homologation effectué par le service technique.

| 4.2. | Un numéro d’homologation de type est attribué à chaque type de véhicule homologué conformément à l’annexe 4 de l’Accord de 1958 (E/ECE/TRANS/505/Rev.3). |
| --- | --- |

4.2.

Un numéro d’homologation de type est attribué à chaque type de véhicule homologué conformément à l’annexe 4 de l’Accord de 1958 (E/ECE/TRANS/505/Rev.3).

| 4.3. | L’homologation, le refus d’homologation, l’extension ou le retrait d’une homologation, ou l’arrêt définitif de la production d’un type de véhicule en application du présent Règlement doit être notifié aux Parties contractantes à l’Accord qui appliquent ce Règlement, au moyen d’une fiche conforme au modèle qui figure à l’annexe 1 du présent Règlement. |
| --- | --- |

4.3.

L’homologation, le refus d’homologation, l’extension ou le retrait d’une homologation, ou l’arrêt définitif de la production d’un type de véhicule en application du présent Règlement doit être notifié aux Parties contractantes à l’Accord qui appliquent ce Règlement, au moyen d’une fiche conforme au modèle qui figure à l’annexe 1 du présent Règlement.

| 4.4. | Sur tout véhicule conforme à un type de véhicule homologué en vertu du présent Règlement, il sera apposé, de manière visible, en un endroit facilement accessible et indiqué sur la fiche d’homologation, une marque d’homologation internationale conforme au modèle figurant à l’annexe 2, composée: |
| --- | --- |

4.4.

Sur tout véhicule conforme à un type de véhicule homologué en vertu du présent Règlement, il sera apposé, de manière visible, en un endroit facilement accessible et indiqué sur la fiche d’homologation, une marque d’homologation internationale conforme au modèle figurant à l’annexe 2, composée:

| 4.4.1. | D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays qui a délivré l’homologation (2); |
| --- | --- |

4.4.1.

D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays qui a délivré l’homologation (2

| 4.4.2. | Du numéro du présent Règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, placé à droite du cercle prévu au paragraphe 4.4.1. |
| --- | --- |

4.4.2.

Du numéro du présent Règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, placé à droite du cercle prévu au paragraphe 4.4.1.

| 4.5. | Si le véhicule est conforme à un type de véhicule homologué en application d’un ou de plusieurs autres Règlements ONU joints en annexe à l’Accord dans le pays même qui a accordé l’homologation en application du présent Règlement, il n’est pas nécessaire de répéter le symbole prescrit au paragraphe 4.4.1; dans ce cas, les numéros et les symboles supplémentaires de tous les Règlements ONU en vertu desquels l’homologation est accordée dans le pays ayant accordé l’homologation en application du présent Règlement doivent être rangés en colonnes verticales, à la droite du symbole prescrit au paragraphe 4.4.1. |
| --- | --- |

4.5.

Si le véhicule est conforme à un type de véhicule homologué en application d’un ou de plusieurs autres Règlements ONU joints en annexe à l’Accord dans le pays même qui a accordé l’homologation en application du présent Règlement, il n’est pas nécessaire de répéter le symbole prescrit au paragraphe 4.4.1; dans ce cas, les numéros et les symboles supplémentaires de tous les Règlements ONU en vertu desquels l’homologation est accordée dans le pays ayant accordé l’homologation en application du présent Règlement doivent être rangés en colonnes verticales, à la droite du symbole prescrit au paragraphe 4.4.1.

| 4.6. | La marque d’homologation doit être nettement lisible et indélébile. |
| --- | --- |

4.6.

La marque d’homologation doit être nettement lisible et indélébile.

5.   PRESCRIPTIONS

| 5.1. | Si le véhicule a subi l’essai mentionné au paragraphe 6 ci-dessous, il doit être satisfait aux dispositions du paragraphe 5.2.
  Un véhicule dont toutes les parties du système d’alimentation en carburant sont situées en avant du milieu de l’empattement est considéré comme satisfaisant aux prescriptions du paragraphe 5.2.1.
  Un véhicule dont toutes les parties de la chaîne de traction électrique fonctionnant sous haute tension sont situées en avant du milieu de l’empattement est considéré comme satisfaisant aux prescriptions du paragraphe 5.2.2. |
| --- | --- |

5.1.

Si le véhicule a subi l’essai mentionné au paragraphe 6 ci-dessous, il doit être satisfait aux dispositions du paragraphe 5.2.

Un véhicule dont toutes les parties du système d’alimentation en carburant sont situées en avant du milieu de l’empattement est considéré comme satisfaisant aux prescriptions du paragraphe 5.2.1.

Un véhicule dont toutes les parties de la chaîne de traction électrique fonctionnant sous haute tension sont situées en avant du milieu de l’empattement est considéré comme satisfaisant aux prescriptions du paragraphe 5.2.2.

| 5.2. | À la suite de l’essai effectué conformément à la procédure prescrite aux annexe 3, 4 et 5 du présent Règlement, il doit être satisfait aux prescriptions ci-dessous en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique: |
| --- | --- |

5.2.

À la suite de l’essai effectué conformément à la procédure prescrite aux annexe 3, 4 et 5 du présent Règlement, il doit être satisfait aux prescriptions ci-dessous en ce qui concerne l’intégrité du système d’alimentation en carburant et la sûreté de la chaîne de traction électrique:

| 5.2.1. | Dans le cas d’un véhicule fonctionnant avec un carburant liquide, la conformité avec les paragraphes 5.2.1.1 et 5.2.1.2 doit être démontrée.
  Dans le cas d’un véhicule fonctionnant à l’hydrogène comprimé, la conformité aux paragraphes 5.2.1.3 à 5.2.1.5 doit être démontrée. |
| --- | --- |

5.2.1.

Dans le cas d’un véhicule fonctionnant avec un carburant liquide, la conformité avec les paragraphes 5.2.1.1 et 5.2.1.2 doit être démontrée.

Dans le cas d’un véhicule fonctionnant à l’hydrogène comprimé, la conformité aux paragraphes 5.2.1.3 à 5.2.1.5 doit être démontrée.

| 5.2.1.1. | En cas de choc, seule une légère fuite du système d’alimentation en carburant est tolérée. |
| --- | --- |

5.2.1.1.

En cas de choc, seule une légère fuite du système d’alimentation en carburant est tolérée.

| 5.2.1.2. | Si le système d’alimentation en carburant fuit de façon continue à la suite du choc, le débit de la fuite ne doit pas dépasser 30 g/min. Si le carburant provenant du système d’alimentation se mélange avec des liquides provenant d’autres systèmes et qu’il est difficile de distinguer les différents liquides, ils doivent tous être recueillis et pris en considération pour évaluer le débit de la fuite. |
| --- | --- |

5.2.1.2.

Si le système d’alimentation en carburant fuit de façon continue à la suite du choc, le débit de la fuite ne doit pas dépasser 30 g/min. Si le carburant provenant du système d’alimentation se mélange avec des liquides provenant d’autres systèmes et qu’il est difficile de distinguer les différents liquides, ils doivent tous être recueillis et pris en considération pour évaluer le débit de la fuite.

| 5.2.1.3. | Le débit de la fuite (VH2) déterminé conformément soit au paragraphe 4 de l’annexe 4 s’il s’agit d’hydrogène, soit au paragraphe 5 de l’annexe 4 s’il s’agit d’hélium, ne doit pas dépasser en moyenne 118 Nl par minute pendant l’intervalle de temps prévu (Δt, en min) après l’accident; |
| --- | --- |

5.2.1.3.

Le débit de la fuite (VH2

| 5.2.1.4. | La concentration de gaz en volume dans l’air, déterminée pour l’habitacle et le coffre à bagages conformément au paragraphe 6 de l’annexe 4 ne doit pas dépasser 4,0 % pour l’hydrogène et 3,0 % pour l’hélium, à tout moment pendant les 60 min que dure la période de mesure faisant suite au choc. Cette prescription est remplie s’il est confirmé que la vanne d’arrêt de chaque réservoir d’hydrogène s’est fermée dans les 5 s suivant le premier contact du véhicule avec l’élément de frappe et que le ou les systèmes de stockage d’hydrogène ne présentent pas de fuite. |
| --- | --- |

5.2.1.4.

La concentration de gaz en volume dans l’air, déterminée pour l’habitacle et le coffre à bagages conformément au paragraphe 6 de l’annexe 4 ne doit pas dépasser 4,0 % pour l’hydrogène et 3,0 % pour l’hélium, à tout moment pendant les 60 min que dure la période de mesure faisant suite au choc. Cette prescription est remplie s’il est confirmé que la vanne d’arrêt de chaque réservoir d’hydrogène s’est fermée dans les 5 s suivant le premier contact du véhicule avec l’élément de frappe et que le ou les systèmes de stockage d’hydrogène ne présentent pas de fuite.

| 5.2.1.5. | Le ou les réservoirs (d’hydrogène) doivent rester fixés au véhicule par au moins un point. |
| --- | --- |

5.2.1.5.

Le ou les réservoirs (d’hydrogène) doivent rester fixés au véhicule par au moins un point.

| 5.2.2. | Dans le cas d’un véhicule équipé d’une chaîne de traction électrique fonctionnant sous haute tension, ladite chaîne de traction électrique et les systèmes sous haute tension qui sont reliés galvaniquement au rail haute tension de la chaîne de traction électrique doivent satisfaire aux prescriptions des paragraphes 5.2.2.1 à 5.2.2.3: |
| --- | --- |

5.2.2.

Dans le cas d’un véhicule équipé d’une chaîne de traction électrique fonctionnant sous haute tension, ladite chaîne de traction électrique et les systèmes sous haute tension qui sont reliés galvaniquement au rail haute tension de la chaîne de traction électrique doivent satisfaire aux prescriptions des paragraphes 5.2.2.1 à 5.2.2.3:

| 5.2.2.1. | Protection contre les chocs électriques
  À la suite de l’essai de choc, les rails haute tension doivent satisfaire à l’un au moins des quatre critères indiqués aux paragraphes 5.2.2.1.1 à 5.2.2.1.4.2.
  Si le véhicule est équipé d’une fonction de déconnexion automatique, ou d’un ou de plusieurs dispositifs qui isolent de façon galvanique le circuit de la chaîne de traction électrique pendant la conduite, l’un au moins des critères ci-après doit s’appliquer au circuit déconnecté ou à chacun des circuits isolés après la déconnexion.
  Toutefois, les critères définis au point 5.2.2.1.4 ne s’appliquent cependant pas si plus d’un potentiel d’une partie du rail haute tension ne bénéficie pas du degré de protection IPXXB.
  Si l’essai de choc est effectué alors qu’une ou plusieurs parties du système haute tension ne sont pas sous tension, exception faite du système de raccordement pour la recharge du SRSEE, lequel n’est pas sous tension lors de la conduite, la protection de la ou des parties en question contre les chocs électriques doit être démontrée conformément aux dispositions du paragraphe 5.2.2.1.3 ou 5.2.2.1.4. |
| --- | --- |

5.2.2.1.

Protection contre les chocs électriques

À la suite de l’essai de choc, les rails haute tension doivent satisfaire à l’un au moins des quatre critères indiqués aux paragraphes 5.2.2.1.1 à 5.2.2.1.4.2.

Si le véhicule est équipé d’une fonction de déconnexion automatique, ou d’un ou de plusieurs dispositifs qui isolent de façon galvanique le circuit de la chaîne de traction électrique pendant la conduite, l’un au moins des critères ci-après doit s’appliquer au circuit déconnecté ou à chacun des circuits isolés après la déconnexion.

Toutefois, les critères définis au point 5.2.2.1.4 ne s’appliquent cependant pas si plus d’un potentiel d’une partie du rail haute tension ne bénéficie pas du degré de protection IPXXB.

Si l’essai de choc est effectué alors qu’une ou plusieurs parties du système haute tension ne sont pas sous tension, exception faite du système de raccordement pour la recharge du SRSEE, lequel n’est pas sous tension lors de la conduite, la protection de la ou des parties en question contre les chocs électriques doit être démontrée conformément aux dispositions du paragraphe 5.2.2.1.3 ou 5.2.2.1.4.

| 5.2.2.1.1. | Absence de haute tension
  Les tensions Ub, U1 et U2 des rails haute tension ne doivent pas dépasser 30 V en courant alternatif ou 60 V en courant continu dans les 60 s suivant le choc lorsque la mesure est prise comme indiqué au paragraphe 2 de l’annexe 5. |
| --- | --- |

5.2.2.1.1.

Absence de haute tension

Les tensions Ub, U1 et U2 des rails haute tension ne doivent pas dépasser 30 V en courant alternatif ou 60 V en courant continu dans les 60 s suivant le choc lorsque la mesure est prise comme indiqué au paragraphe 2 de l’annexe 5.

b

1

2

| 5.2.2.1.2. | Faible niveau d’énergie électrique
  L’énergie totale (TE) des rails haute tension doit être inférieure à 0,2 J lorsqu’elle est mesurée conformément à la procédure d’essai décrite au paragraphe 3 de l’annexe 5, au moyen de la formule a). L’énergie totale (TE) peut aussi être calculée à partir de la tension mesurée Ub du rail haute tension et de la capacitance du condensateur X (Cx) indiquée par le constructeur en appliquant la formule b) du paragraphe 3 de l’annexe 5.
  L’énergie stockée dans les condensateurs Y (TEy1, TEy2) doit également être inférieure à 0,2 J. Pour la calculer, il faut utiliser les tensions U1 et U2 des rails haute tension et de la masse électrique, ainsi que la capacitance des condensateurs Y prescrite par le constructeur, conformément à la formule c) du paragraphe 3 de l’annexe 5. |
| --- | --- |

5.2.2.1.2.

Faible niveau d’énergie électrique

L’énergie totale (TE) des rails haute tension doit être inférieure à 0,2 J lorsqu’elle est mesurée conformément à la procédure d’essai décrite au paragraphe 3 de l’annexe 5, au moyen de la formule a). L’énergie totale (TE) peut aussi être calculée à partir de la tension mesurée Ub du rail haute tension et de la capacitance du condensateur X (Cx) indiquée par le constructeur en appliquant la formule b) du paragraphe 3 de l’annexe 5.

b

x

L’énergie stockée dans les condensateurs Y (TEy1, TEy2) doit également être inférieure à 0,2 J. Pour la calculer, il faut utiliser les tensions U1 et U2 des rails haute tension et de la masse électrique, ainsi que la capacitance des condensateurs Y prescrite par le constructeur, conformément à la formule c) du paragraphe 3 de l’annexe 5.

y1

y2

1

2

| 5.2.2.1.3. | Protection physique
  La protection contre tout contact direct avec des éléments sous haute tension nécessite le degré de protection IPXXB.
  La mesure doit être effectuée conformément au paragraphe 4 de l’annexe 5.
  De plus, aux fins de la protection contre les chocs électriques qui pourraient se produire par contact indirect, il convient de s’assurer que la résistance entre tous les éléments conducteurs exposés des barrières et carters de protection et la masse électrique est inférieure à 0,1 Ω et que la résistance entre deux éléments conducteurs exposés simultanément accessibles de barrières ou carters de protection qui sont à moins de 2,5 m l’un de l’autre est inférieure à 0,2 Ω pour un courant de 0,2 A au moins. Cette résistance peut être calculée en utilisant les résistances mesurées séparément des parties concernées du trajet électrique.
  Il est satisfait à cette prescription si la liaison galvanique a été faite par soudage. En cas de doute, ou si la liaison a été établie par d’autres moyens qu’une soudure, des mesures doivent être effectuées conformément à l’une des procédures d’essai décrites au paragraphe 4 de l’annexe 5. |
| --- | --- |

5.2.2.1.3.

Protection physique

La protection contre tout contact direct avec des éléments sous haute tension nécessite le degré de protection IPXXB.

La mesure doit être effectuée conformément au paragraphe 4 de l’annexe 5.

De plus, aux fins de la protection contre les chocs électriques qui pourraient se produire par contact indirect, il convient de s’assurer que la résistance entre tous les éléments conducteurs exposés des barrières et carters de protection et la masse électrique est inférieure à 0,1 Ω et que la résistance entre deux éléments conducteurs exposés simultanément accessibles de barrières ou carters de protection qui sont à moins de 2,5 m l’un de l’autre est inférieure à 0,2 Ω pour un courant de 0,2 A au moins. Cette résistance peut être calculée en utilisant les résistances mesurées séparément des parties concernées du trajet électrique.

Il est satisfait à cette prescription si la liaison galvanique a été faite par soudage. En cas de doute, ou si la liaison a été établie par d’autres moyens qu’une soudure, des mesures doivent être effectuées conformément à l’une des procédures d’essai décrites au paragraphe 4 de l’annexe 5.

| 5.2.2.1.4. | Résistance d’isolement
  Il doit être satisfait aux critères énoncés aux paragraphes 5.2.2.1.4.1 et 5.2.2.1.4.2 ci-dessous.
  La mesure doit être effectuée conformément au paragraphe 5 de l’annexe 5. |
| --- | --- |

5.2.2.1.4.

Résistance d’isolement

Il doit être satisfait aux critères énoncés aux paragraphes 5.2.2.1.4.1 et 5.2.2.1.4.2 ci-dessous.

La mesure doit être effectuée conformément au paragraphe 5 de l’annexe 5.

| 5.2.2.1.4.1. | Chaîne de traction électrique avec rails à courant continu et à courant alternatif séparés
  Si les rails haute tension à courant alternatif et les rails haute tension à courant continu sont galvaniquement isolés, la résistance d’isolement entre le rail haute tension et la masse électrique (Ri, selon la définition du paragraphe 5 de l’annexe 5) doit être au moins égale à 100 Ω/V de tension de fonctionnement des rails à courant continu et au moins 500 Ω/V de tension de fonctionnement des rails à courant alternatif. |
| --- | --- |

5.2.2.1.4.1.

Chaîne de traction électrique avec rails à courant continu et à courant alternatif séparés

Si les rails haute tension à courant alternatif et les rails haute tension à courant continu sont galvaniquement isolés, la résistance d’isolement entre le rail haute tension et la masse électrique (Ri, selon la définition du paragraphe 5 de l’annexe 5) doit être au moins égale à 100 Ω/V de tension de fonctionnement des rails à courant continu et au moins 500 Ω/V de tension de fonctionnement des rails à courant alternatif.

i

| 5.2.2.1.4.2. | Chaîne de traction électrique constituée d’une combinaison de rails à courant continu et à courant alternatif
  Si les rails haute tension à courant continu et les rails haute tension à courant alternatif sont reliés galvaniquement, ils doivent satisfaire à l’une des conditions suivantes:






  a) | La résistance d’isolement entre le rail haute tension et la masse électrique doit être au minimum de 500 Ω/V de tension de fonctionnement; |
| --- | --- | --- |

5.2.2.1.4.2.

Chaîne de traction électrique constituée d’une combinaison de rails à courant continu et à courant alternatif

Si les rails haute tension à courant continu et les rails haute tension à courant alternatif sont reliés galvaniquement, ils doivent satisfaire à l’une des conditions suivantes:

a)

La résistance d’isolement entre le rail haute tension et la masse électrique doit être au minimum de 500 Ω/V de tension de fonctionnement;

| b) | La résistance d’isolement entre le rail haute tension et la masse électrique doit être au minimum de 100 Ω/V de tension de fonctionnement et le rail à courant alternatif doit répondre aux critères de protection physique énoncés au paragraphe 5.2.2.1.3; |
| --- | --- |

b)

La résistance d’isolement entre le rail haute tension et la masse électrique doit être au minimum de 100 Ω/V de tension de fonctionnement et le rail à courant alternatif doit répondre aux critères de protection physique énoncés au paragraphe 5.2.2.1.3;

| c) | La résistance d’isolement entre le rail haute tension et la masse électrique doit être au minimum de 100 Ω/V de tension de fonctionnement et le rail à courant alternatif doit satisfaire au critère d’absence de haute tension, comme indiqué au paragraphe 5.2.2.1.1. |
| --- | --- |

c)

La résistance d’isolement entre le rail haute tension et la masse électrique doit être au minimum de 100 Ω/V de tension de fonctionnement et le rail à courant alternatif doit satisfaire au critère d’absence de haute tension, comme indiqué au paragraphe 5.2.2.1.1.

| 5.2.2.2. | Fuite d’électrolyte |
| --- | --- |

5.2.2.2.

Fuite d’électrolyte

| 5.2.2.2.1. | Cas d’un SRSEE à électrolyte aqueux
  Au cours des 60 min qui suivent le choc, il ne doit se produire aucune fuite d’électrolyte du SRSEE vers l’habitacle et une fuite maximale de 7 % en volume et de 5,0 l d’électrolyte est admise à l’extérieur de l’habitacle. Après avoir été recueilli, l’électrolyte s’étant échappé peut être mesuré par les méthodes habituelles de détermination des volumes de liquide. Dans le cas d’un récipient contenant du solvant Stoddard, un liquide de refroidissement coloré et l’électrolyte, on peut isoler les fluides par la méthode de la gravité spécifique avant de les mesurer. |
| --- | --- |

5.2.2.2.1.

Cas d’un SRSEE à électrolyte aqueux

Au cours des 60 min qui suivent le choc, il ne doit se produire aucune fuite d’électrolyte du SRSEE vers l’habitacle et une fuite maximale de 7 % en volume et de 5,0 l d’électrolyte est admise à l’extérieur de l’habitacle. Après avoir été recueilli, l’électrolyte s’étant échappé peut être mesuré par les méthodes habituelles de détermination des volumes de liquide. Dans le cas d’un récipient contenant du solvant Stoddard, un liquide de refroidissement coloré et l’électrolyte, on peut isoler les fluides par la méthode de la gravité spécifique avant de les mesurer.

| 5.2.2.2.2. | Cas d’un SRSEE à électrolyte non aqueux
  Au cours des 60 min qui suivent le choc, il ne doit se produire aucune fuite d’électrolyte liquide du SRSEE vers l’habitacle ou le compartiment à bagages ni aucune fuite d’électrolyte liquide à l’extérieur du véhicule. Le contrôle à effectuer pour s’en assurer doit être une inspection visuelle, sans démontage des éléments du dispositif soumis à l’essai.
  Le constructeur doit apporter la preuve qu’il est satisfait aux prescriptions du paragraphe 6 de l’annexe 5. |
| --- | --- |

5.2.2.2.2.

Cas d’un SRSEE à électrolyte non aqueux

Au cours des 60 min qui suivent le choc, il ne doit se produire aucune fuite d’électrolyte liquide du SRSEE vers l’habitacle ou le compartiment à bagages ni aucune fuite d’électrolyte liquide à l’extérieur du véhicule. Le contrôle à effectuer pour s’en assurer doit être une inspection visuelle, sans démontage des éléments du dispositif soumis à l’essai.

Le constructeur doit apporter la preuve qu’il est satisfait aux prescriptions du paragraphe 6 de l’annexe 5.

| 5.2.2.3. | Maintien en place du SRSEE
  Le SRSEE doit rester fixé au véhicule par au moins un ancrage, un support ou une structure transférant les charges subies à la structure du véhicule. Un SRSEE installé à l’extérieur de l’habitacle ne doit pas pénétrer dans ce dernier.
  Le constructeur doit apporter la preuve qu’il est satisfait aux prescriptions du paragraphe 7 de l’annexe 5. |
| --- | --- |

5.2.2.3.

Maintien en place du SRSEE

Le SRSEE doit rester fixé au véhicule par au moins un ancrage, un support ou une structure transférant les charges subies à la structure du véhicule. Un SRSEE installé à l’extérieur de l’habitacle ne doit pas pénétrer dans ce dernier.

Le constructeur doit apporter la preuve qu’il est satisfait aux prescriptions du paragraphe 7 de l’annexe 5.

6.   ESSAI

| 6.1. | La conformité du véhicule avec les prescriptions du paragraphe 5 ci-dessus est vérifiée au moyen de la méthode indiquée aux annexes 3, 4 et 5 du présent Règlement. |
| --- | --- |

6.1.

La conformité du véhicule avec les prescriptions du paragraphe 5 ci-dessus est vérifiée au moyen de la méthode indiquée aux annexes 3, 4 et 5 du présent Règlement.

7.   MODIFICATION ET EXTENSION DE L’HOMOLOGATION D’UN TYPE DE VÉHICULE

| 7.1. | Toute modification du type de véhicule concernant l’objet du présent Règlement doit être portée à la connaissance de l’autorité d’homologation de type qui a délivré l’homologation, qui peut alors:






  a) | Soit décider, en consultation avec le constructeur, qu’il convient d’accorder une nouvelle homologation de type; |
| --- | --- | --- |

7.1.

Toute modification du type de véhicule concernant l’objet du présent Règlement doit être portée à la connaissance de l’autorité d’homologation de type qui a délivré l’homologation, qui peut alors:

a)

Soit décider, en consultation avec le constructeur, qu’il convient d’accorder une nouvelle homologation de type;

| b) | Soit appliquer la procédure prévue au paragraphe 7.1.1 (Révision) et, le cas échéant, la procédure prévue au paragraphe 7.1.2 (Extension). |
| --- | --- |

b)

Soit appliquer la procédure prévue au paragraphe 7.1.1 (Révision) et, le cas échéant, la procédure prévue au paragraphe 7.1.2 (Extension).

| 7.1.1. | Révision
  Lorsque les éléments figurant dans les documents d’information visés à l’appendice 1 de l’annexe 1 ont changé et que l’autorité d’homologation estime que les modifications apportées ne devraient pas avoir de conséquences néfastes notables, et que dans tous les cas le véhicule est toujours conforme aux prescriptions, la modification est qualifiée de «révision».
  En pareil cas, l’autorité d’homologation de type doit publier, selon que de besoin, les pages révisées du dossier d’information de l’appendice 1 de l’annexe 1, en faisant clairement apparaître sur chacune des pages révisées la nature des modifications et la date de republication. Une version récapitulative actualisée du dossier d’information de l’appendice 1 de l’annexe 1, accompagnée d’une description détaillée de la modification, est réputée satisfaire à cette condition. |
| --- | --- |

7.1.1.

Révision

Lorsque les éléments figurant dans les documents d’information visés à l’appendice 1 de l’annexe 1 ont changé et que l’autorité d’homologation estime que les modifications apportées ne devraient pas avoir de conséquences néfastes notables, et que dans tous les cas le véhicule est toujours conforme aux prescriptions, la modification est qualifiée de «révision».

En pareil cas, l’autorité d’homologation de type doit publier, selon que de besoin, les pages révisées du dossier d’information de l’appendice 1 de l’annexe 1, en faisant clairement apparaître sur chacune des pages révisées la nature des modifications et la date de republication. Une version récapitulative actualisée du dossier d’information de l’appendice 1 de l’annexe 1, accompagnée d’une description détaillée de la modification, est réputée satisfaire à cette condition.

| 7.1.2. | Extension
  La modification doit être considérée comme une «extension» si, outre les modifications apportées aux renseignements consignés dans le dossier d’information:






  a) | D’autres contrôles ou essais sont nécessaires; ou |
| --- | --- | --- |

7.1.2.

Extension

La modification doit être considérée comme une «extension» si, outre les modifications apportées aux renseignements consignés dans le dossier d’information:

a)

D’autres contrôles ou essais sont nécessaires; ou

| b) | Une quelconque information figurant dans la fiche de communication (à l’exception des pièces jointes) a été modifiée; ou |
| --- | --- |

b)

Une quelconque information figurant dans la fiche de communication (à l’exception des pièces jointes) a été modifiée; ou

| c) | L’homologation en vertu d’une série d’amendements ultérieure est demandée après son entrée en vigueur. |
| --- | --- |

c)

L’homologation en vertu d’une série d’amendements ultérieure est demandée après son entrée en vigueur.

| 7.2. | La confirmation, l’extension ou le refus d’homologation doivent être notifiés aux Parties contractantes à l’Accord qui appliquent le présent Règlement conformément à la procédure prescrite au paragraphe 4.3 ci-dessus. En outre, la liste des pièces constituant le dossier d’homologation et des procès-verbaux d’essai, annexée à la fiche de communication de l’annexe 1, doit être modifiée en conséquence, de manière que soit indiquée la date de la révision ou de l’extension la plus récente. |
| --- | --- |

7.2.

La confirmation, l’extension ou le refus d’homologation doivent être notifiés aux Parties contractantes à l’Accord qui appliquent le présent Règlement conformément à la procédure prescrite au paragraphe 4.3 ci-dessus. En outre, la liste des pièces constituant le dossier d’homologation et des procès-verbaux d’essai, annexée à la fiche de communication de l’annexe 1, doit être modifiée en conséquence, de manière que soit indiquée la date de la révision ou de l’extension la plus récente.

| 7.3. | L’autorité d’homologation de type chargée de délivrer l’extension de l’homologation attribue un numéro de série à chaque fiche de communication établie aux fins de la délivrance de l’extension. |
| --- | --- |

7.3.

L’autorité d’homologation de type chargée de délivrer l’extension de l’homologation attribue un numéro de série à chaque fiche de communication établie aux fins de la délivrance de l’extension.

8.   CONFORMITÉ DE LA PRODUCTION

Les procédures de vérification de la conformité de la production sont celles prévues à l’annexe 1 de l’Accord (E/ECE/TRANS/505/Rev.3), conformément aux prescriptions ci-après:

| 8.1. | Tout véhicule portant une marque d’homologation en application du présent Règlement doit être construit de façon à être conforme au type homologué en satisfaisant aux prescriptions énoncées au paragraphe 5 ci-dessus. |
| --- | --- |

8.1.

Tout véhicule portant une marque d’homologation en application du présent Règlement doit être construit de façon à être conforme au type homologué en satisfaisant aux prescriptions énoncées au paragraphe 5 ci-dessus.

9.   SANCTIONS POUR NON-CONFORMITÉ DE LA PRODUCTION

| 9.1. | L’homologation délivrée pour un type de véhicule en application du présent Règlement peut être retirée si les conditions énoncées au paragraphe 8.1 ci-dessus ne sont pas respectées. |
| --- | --- |

9.1.

L’homologation délivrée pour un type de véhicule en application du présent Règlement peut être retirée si les conditions énoncées au paragraphe 8.1 ci-dessus ne sont pas respectées.

| 9.2. | Si une Partie contractante à l’Accord appliquant le présent Règlement retire une homologation qu’elle avait préalablement accordée, elle est tenue d’en aviser immédiatement les autres Parties à l’Accord appliquant le présent Règlement, au moyen d’un exemplaire du certificat d’homologation se terminant par la mention, en lettres majuscules, signée et datée, «HOMOLOGATION RETIRÉE». |
| --- | --- |

9.2.

Si une Partie contractante à l’Accord appliquant le présent Règlement retire une homologation qu’elle avait préalablement accordée, elle est tenue d’en aviser immédiatement les autres Parties à l’Accord appliquant le présent Règlement, au moyen d’un exemplaire du certificat d’homologation se terminant par la mention, en lettres majuscules, signée et datée, «HOMOLOGATION RETIRÉE».

10.   ARRÊT DÉFINITIF DE LA PRODUCTION

Si le détenteur de l’homologation arrête définitivement la fabrication d’un type de véhicule homologué conformément au présent Règlement, il doit le faire savoir à l’autorité d’homologation qui a délivré celle-ci. À réception de cette information, l’autorité concernée doit en informer les autres Parties contractantes à l’Accord appliquant le présent Règlement, au moyen d’une copie de la fiche d’homologation portant à la fin, en gros caractères, la mention «PRODUCTION ARRÊTÉE», signée et datée.

11.   NOMS ET ADRESSES DES SERVICES TECHNIQUES CHARGÉS DES ESSAIS D’HOMOLOGATION ET DES AUTORITÉS D’HOMOLOGATION DE TYPE

Les Parties contractantes à l’Accord de 1958 appliquant le présent Règlement doivent communiquer au Secrétariat de l’Organisation des Nations Unies les noms et adresses des services techniques chargés des essais d’homologation et ceux des autorités compétentes en matière d’homologation, auxquelles doivent être envoyées les fiches d’homologation ou d’extension, de refus ou de retrait d’homologation délivrées dans d’autres pays.

---

(1)  Telles qu’elles sont définies dans la Résolution d’ensemble sur la construction des véhicules (R.E.3, ECE/TRANS/WP.29/78/Rev.6, par. 2),

1

www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

(2)  Les numéros distinctifs des Parties contractantes à l’Accord de 1958 sont reproduits à l’annexe 3 de la Résolution d’ensemble sur la construction des véhicules (R.E.3, ECE/TRANS/WP.29/78/Rev.6), www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

2

---

ANNEXE 1

Communication

[format maximal: A4 (210 × 297 mm)]

| (1) | Émanant de: | Nom de l’administration:
  ...
  ...
  ... |
| --- | --- | --- |

Image 1

Émanant de:

Nom de l’administration:

...

...

...

| Concernant (2): | Délivrance d’homologation
  Extension d’homologation
  Refus d’homologation
  Retrait d’homologation
  Arrêt définitif de la production |
| --- | --- |

Concernant (2):

Délivrance d’homologation

Extension d’homologation

Refus d’homologation

Retrait d’homologation

Arrêt définitif de la production

d’un type de véhicule en ce qui concerne l’intégrité du système de carburant et la sûreté de la chaîne de traction électrique en cas de choc arrière, conformément au Règlement ONU no 153.

| No d’homologation: ... | No d’extension: ... |
| --- | --- |

No d’homologation: ...

No d’extension: ...

1.

Marque de fabrique ou de commerce du véhicule à moteur:...

2.

Type de véhicule:...

3.

...

4.

...

...

5.

...

5.1

...

5.2.

...

6.

Emplacement du moteur: à l’avant/à l’arrière/au centre (2)

7.

Roues motrices: avant/arrière (2)

8.

Essieu avant:...

Essieu arrière:...

Total:...

9.

Véhicule présenté à l’homologation le:...

10.

Service technique chargé des essais d’homologation:...

11.

Date du procès-verbal délivré par ce service:...

12.

Numéro du procès-verbal d’essai:...

13.

Homologation accordée/étendue/refusée/retirée (2)

14.

Emplacement de la marque d’homologation sur le véhicule:...

15.

Fait à:...

16.

Date:...

17.

Signature:...

18.

Sont annexées à la présente communication les pièces suivantes, qui portent le numéro d’homologation indiqué ci-dessus:...

19.

Remarques (par exemple, application d’une autre méthode d’essai conformément au paragraphe 3 de l’annexe 3) ....

(Photographies, schémas et dessins permettant l’identification de base du ou des types de véhicules et des éventuelles variantes visées par l’homologation)

---

(1)  Numéro distinctif du pays qui a délivré, étendu, refusé ou retiré l’homologation (voir les dispositions du Règlement relatives à l’homologation).

1

(2)  Biffer les mentions inutiles.

2

---

Appendice 1 à l’annexe 1

Fiche de renseignements

0.

GÉNÉRALITÉS

0.1.

Marque (raison sociale du constructeur):

0.2.

Type:

0.2.1.

Dénomination(s) commerciale(s) (le cas échéant):

0.3.

Moyen d’identification du type, s’il est indiqué sur le véhicule (1):

0.3.1.

Emplacement de cette marque d’identification:

0.4.

Catégorie de véhicule (2):

0.5.

Nom de l’entreprise et adresse du constructeur:

0.8.

Nom(s) et adresse(s) du ou des ateliers de montage:

0.9.

Nom et adresse du mandataire du constructeur (le cas échéant):

1.

CARACTÉRISTIQUES GÉNÉRALES DE CONSTRUCTION DU VÉHICULE

1.1.

Photographie(s) et/ou dessin(s) d’un véhicule représentatif

1.3.

Nombre d’essieux et de roues:

1.3.3.

Essieux moteurs (nombre, emplacement et mode d’interconnexion):

1.6.

Emplacement et disposition du moteur:

2.

MASSES ET DIMENSIONS (en kg et mm) (voir éventuellement le schéma)

2.1.

Empattement(s) (à pleine charge)

2.1.1.

Véhicules à deux essieux:

2.1.2.

Véhicules à trois essieux ou plus:

2.1.2.2.

Espacement total des essieux:

2.4.

Dimensions hors tout du véhicule

2.4.1.

Pour un châssis sans carrosserie

2.4.1.1.

Longueur (mm):

2.4.1.2.

Largeur (mm):

2.4.2.

Pour un châssis avec carrosserie

2.4.2.1.

Longueur (mm):

2.4.2.2.

Largeur (mm):

2.6.

Masse en ordre de marche (kg):

3.

CONVERTISSEUR DE L’ÉNERGIE DE PROPULSION

3.2.2.

Carburant

3.2.2.1.

Véhicules utilitaires légers: gazole/essence/GPL/GN ou biométhane/éthanol (E85)/biogazole/hydrogène

3.2.3.

Réservoir(s) de carburant

3.2.3.1.

Réservoir(s) de carburant de service

3.2.3.1.1.

Nombre et capacité de chaque réservoir:

3.2.3.1.1.1.

Matériau

3.2.3.1.2.

Schéma et description technique du ou des réservoirs, y compris l’ensemble des raccords et conduites du système d’aération et de mise à l’air libre, dispositifs de verrouillage, soupapes, dispositifs de fixation

3.2.3.1.3.

Schéma(s) indiquant l’emplacement du ou des réservoirs dans le véhicule

3.2.3.2.

Réservoir(s) de carburant de secours

3.2.3.2.1.

Nombre et capacité de chaque réservoir:

3.2.3.2.1.1.

Matériau

3.2.3.2.2.

Schéma et description technique du ou des réservoirs, y compris l’ensemble des raccords et conduites du système d’aération et de mise à l’air libre, dispositifs de verrouillage, soupapes, dispositifs de fixation

3.2.3.2.3.

Schéma(s) indiquant l’emplacement du ou des réservoirs dans le véhicule

3.3.2.

SRSEE

3.3.2.4.

Emplacement

3.4.

Combinaisons de convertisseurs d’énergie de propulsion:

3.4.1.

Véhicule hybride électrique: oui/non

3.4.2.

Catégorie de véhicule hybride électrique: véhicule à recharge extérieure/véhicule sans recharge extérieure

---

(1)  Si les moyens d’identification du type contiennent des caractères n’intéressant pas la description des types de véhicules couverts par le certificat d’homologation de type, ces caractères sont représentés dans la documentation par le symbole «?» (par exemple, «ABC??123??»).

1

(2)  Telles qu’elles sont définies dans la Résolution d’ensemble sur la construction des véhicules (R.E.3, ECE/TRANS/WP.29/78/Rev.6, par. 2), www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

2

---

ANNEXE 2

Exemples de marques d’homologation

MODÈLE A

(Voir paragraphe 4.4 du présent Règlement)

Image 2

a = 8 mm min.

La marque d’homologation ci-dessus, apposée sur un véhicule, indique que le type de ce véhicule a, en ce qui concerne la protection des occupants en cas de choc arrière, été homologuée aux Pays-Bas (E 4) en vertu du Règlement ONU no 153, sous le numéro 001424. Ce numéro indique que l’homologation a été accordée conformément aux prescriptions du Règlement ONU no 153 dans sa version originale.

MODÈLE B

(Voir paragraphe 4.5 du présent Règlement)

Image 3

a = 8 mm min.

Les deux premiers chiffres des numéros d’homologation indiquent que, aux dates où les homologations respectives ont été délivrées, le Règlement ONU no 153 était dans sa version originale et le Règlement ONU no 11 comprenait la série 03 d’amendements.

---

ANNEXE 3

Procédure d’essai de choc arrière

1.

Objet

1.1.

Cet essai a pour objet de simuler les conditions d’un choc arrière provoqué par un autre véhicule en marche.

2.

Installations, procédures et appareils de mesure

2.1.

L’aire d’essai doit être suffisamment vaste pour recevoir le système de propulsion de l’élément de frappe, et permettre le déplacement du véhicule heurté et l’installation du matériel nécessaire à l’essai. Au moment du choc et du déplacement du véhicule heurté, ce dernier doit se trouver sur une surface horizontale, plane et lisse, comparable à une chaussée normale, sèche et propre.

2.2.

Élément de frappe

2.2.1.

L’élément de frappe doit être en acier rigide.

2.2.2.

La surface d’impact doit être plane, avoir une largeur d’au moins 2 500 mm et une hauteur de 800 mm, et ses arêtes doivent présenter un rayon de courbure compris entre 40 et 50 mm. Elle doit être recouverte de planches de contreplaqué de 20 ± 2 mm d’épaisseur.

2.2.3.

Au moment de l’impact, il doit être satisfait aux prescriptions suivantes:

2.2.3.1.

La surface d’impact doit être verticale et perpendiculaire au plan longitudinal médian du véhicule heurté;

2.2.3.2.

L’élément de frappe doit se déplacer sensiblement à l’horizontale et parallèlement au plan longitudinal médian du véhicule heurté;

2.2.3.3.

L’écart latéral maximal toléré entre l’axe vertical médian de la surface de l’élément de frappe et le plan longitudinal médian du véhicule heurté est de 300 mm. En outre, la surface d’impact doit s’étendre sur toute la largeur du véhicule heurté;

2.2.3.4.

La garde au sol du bord inférieur de la surface d’impact doit être de 175 ± 25 mm.

2.3.

L’élément de frappe est fixé à un chariot (butoir mobile).

2.4.

Dispositions relatives à un essai avec butoir mobile

2.4.1.

Si l’élément de frappe est fixé sur un chariot (butoir mobile) par un élément de retenue, celui-ci doit être rigide et non déformable par le choc; le chariot doit pouvoir se déplacer librement au moment de l’impact et ne plus être soumis à l’action du dispositif de propulsion.

2.4.2.

La vitesse d’impact doit être de 50,0 ± 2,0 km/h.

2.4.3.

La masse totale du chariot et de l’élément de frappe doit être de 1 100 ± 20 kg.

2.5.

Si l’essai a été effectué à une vitesse d’impact supérieure à celles prescrites au paragraphe 2.4.2 et si le véhicule a satisfait aux conditions requises, l’essai est considéré comme satisfaisant.

2.6.

État du véhicule soumis à l’essai

2.6.1.

Le véhicule soumis à l’essai doit être soit pourvu de tous les éléments et équipements normaux inclus dans sa masse à vide soit dans un état tel qu’il satisfasse à cette prescription, en ce qui concerne les éléments et équipements constituant l’habitacle et la répartition de la masse du véhicule en ordre de marche dans son ensemble.

2.6.2.

Le ou les systèmes de stockage de l’hydrogène comprimé et les espaces fermés des véhicules fonctionnant avec ce carburant doivent être préparés conformément aux prescriptions du paragraphe 3 de l’annexe 4.

2.6.3.

Le frein de stationnement doit être desserré et la boîte de vitesses au point mort.

2.6.4.

Si le constructeur le demande, les dérogations suivantes sont admises:

2.6.4.1.

Le service technique chargé des essais peut autoriser que le véhicule utilisé pour les essais prescrits par d’autres Règlements ONU (y compris les essais pouvant affecter sa structure) soit le même que pour les essais prévus par le présent Règlement.

2.6.4.2.

Le véhicule peut être lesté, dans la limite de 10 % de sa masse à vide, avec des masses supplémentaires fixées à sa structure de manière rigide et de façon à ne pas affecter l’intégrité du système de carburant et la sûreté de la chaîne de traction électrique pendant l’essai.

2.6.5.

Réglage de la chaîne de traction électrique

2.6.5.1.

Le SRSEE doit être dans un état de charge qui permette le fonctionnement normal de la chaîne de traction selon les recommandations du constructeur.

2.6.5.2.

La chaîne de traction électrique doit être mise sous tension avec ou sans l’aide des sources d’énergie électrique initiales (alternateur, SRSEE ou système de conversion de l’énergie électrique, par exemple), mais:

2.6.5.2.1.

D’entente entre le service technique et le constructeur, il doit être possible d’effectuer l’essai alors que la totalité ou une partie de la chaîne de traction n’est pas sous tension, pour autant que cela ne fausse pas les résultats de l’essai. S’agissant des parties de la chaîne de traction qui ne sont pas sous tension, la protection contre les chocs électriques doit être assurée soit par une protection physique, soit par une résistance d’isolement et prouvée par des éléments appropriés.

2.6.5.2.2.

Si une déconnexion automatique est prévue, il doit être possible, à la demande du constructeur, d’effectuer l’essai alors que la déconnexion automatique est déclenchée. Dans ce cas, il doit être démontré que la déconnexion automatique aurait fonctionné au moment du choc. Cette prescription porte aussi bien sur le signal d’activation automatique que sur la séparation galvanique, compte tenu des conditions constatées pendant le choc.

2.7.

Les instruments utilisés pour enregistrer la vitesse indiquée au paragraphe 2.4.2 ci-dessus doivent être précis à 1 % près.

3.

À la demande du constructeur, la méthode d’essai suivante peut être utilisée en remplacement de la méthode d’essai prescrite au paragraphe 2 ci-dessus.

3.1.

Si les conditions énoncées aux paragraphes 3.1.1 à 3.1.3 sont remplies, un essai de choc arrière décalé avec un butoir mobile déformable est accepté en remplacement de la procédure décrite au paragraphe 2 de la présente annexe.

3.1.1.

La vitesse au moment du choc doit être comprise entre 78,5 km/h et 80,1 km/h.

3.1.2.

Le chevauchement du véhicule par rapport au butoir doit être de 70 %.

3.1.3.

Le butoir mobile déformable doit répondre aux spécifications suivantes:

| a) | Le poids total du butoir mobile, y compris la face d’impact, doit être de 1 361 ± 4,5 kg; |
| --- | --- |

a)

Le poids total du butoir mobile, y compris la face d’impact, doit être de 1 361 ± 4,5 kg;

| b) | La longueur totale du butoir mobile, y compris la face d’impact, doit être de 4 115 ± 25 mm; |
| --- | --- |

b)

La longueur totale du butoir mobile, y compris la face d’impact, doit être de 4 115 ± 25 mm;

| c) | La longueur totale du butoir mobile, non compris la face d’impact, doit être de 3 632 mm (y compris un bloc de montage de 50,8 mm d’épaisseur); |
| --- | --- |

c)

La longueur totale du butoir mobile, non compris la face d’impact, doit être de 3 632 mm (y compris un bloc de montage de 50,8 mm d’épaisseur);

| d) | La largeur totale du châssis du chariot doit être de 1 251 mm; |
| --- | --- |

d)

La largeur totale du châssis du chariot doit être de 1 251 mm;

| e) | La largeur de voie (distance entre les centres des zones de contact des roues avant ou des roues arrière) doit être de 1 880 mm; |
| --- | --- |

e)

La largeur de voie (distance entre les centres des zones de contact des roues avant ou des roues arrière) doit être de 1 880 mm;

| f) | L’empattement du châssis du chariot doit être de 2 591 ± 25 mm; |
| --- | --- |

f)

L’empattement du châssis du chariot doit être de 2 591 ± 25 mm;

| g) | Propriétés inertielles du butoir mobile déformable (y compris deux caméras et leurs supports et un panneau de piège à lumière et un lest réduit); le centre de gravité (CG) est le suivant:
  X = (1 123 ± 25) mm à l’arrière de l’essieu avant
  Y = (7,6 ± 25) mm à gauche de l’axe longitudinal
  Z = (450 ± 25) mm du sol
  Les moments d’inertie (tolérance de 5 % pour les essais) sont les suivants:
  Tangage = 2 263 kg-m2
  Roulis = 508 kg-m2
  Lacet = 2 572 kg-m2 |
| --- | --- |

g)

Propriétés inertielles du butoir mobile déformable (y compris deux caméras et leurs supports et un panneau de piège à lumière et un lest réduit); le centre de gravité (CG) est le suivant:

X = (1 123 ± 25) mm à l’arrière de l’essieu avant

Y = (7,6 ± 25) mm à gauche de l’axe longitudinal

Z = (450 ± 25) mm du sol

Les moments d’inertie (tolérance de 5 % pour les essais) sont les suivants:

Tangage = 2 263 kg-m2

Roulis = 508 kg-m2

Lacet = 2 572 kg-m2

| h) | Forme de la face d’impact en nid d’abeille:
  Largeur = 1 676 ± 6 mm
  Hauteur = 559 ± 6 mm
  Garde au sol = 229 ± 3 mm
  Profondeur à la hauteur du pare-chocs = 483 ± 6 mm
  Profondeur à la partie supérieure de la face d’impact = 381 ± 6 mm |
| --- | --- |

h)

Forme de la face d’impact en nid d’abeille:

Largeur = 1 676 ± 6 mm

Hauteur = 559 ± 6 mm

Garde au sol = 229 ± 3 mm

Profondeur à la hauteur du pare-chocs = 483 ± 6 mm

Profondeur à la partie supérieure de la face d’impact = 381 ± 6 mm

| i) | Les propriétés de compression (résistance à l’écrasement) doivent être de 310 ± 17 kPa pour la face d’impact en nid d’abeille et de 1 690 ± 103 kPa pour le pare-chocs. |
| --- | --- |

i)

Les propriétés de compression (résistance à l’écrasement) doivent être de 310 ± 17 kPa pour la face d’impact en nid d’abeille et de 1 690 ± 103 kPa pour le pare-chocs.

D’autres paramètres et réglages peuvent être similaires aux définitions du paragraphe 2 du présent Règlement.

3.2.

Si une méthode différente de celle qui est décrite au paragraphe 2 ou au paragraphe 3.1 ci-dessus est utilisée, son équivalence doit être démontrée.

---

ANNEXE 4

Modalité des essais visant à évaluer l’intégrité du système d’alimentation en hydrogène en cas de choc

1.

Détermination de la conformité avec les prescriptions du paragraphe 5.2.1 du présent Règlement.

2.

Aux fins de la présente annexe, on entend par:

2.1.

«Espaces fermés»: les volumes se trouvant à l’intérieur du véhicule (ou du contour du véhicule traversant des ouvertures) mais qui sont extérieurs au système hydrogène (systèmes de stockage, de pile à combustible et de gestion du débit) et le cas échéant à ses logements, dans lesquels l’hydrogène peut s’accumuler et créer ainsi un danger, notamment l’habitacle, le compartiment à bagages et l’espace situé sous le capot;

2.2.

«Compartiment à bagages»: l’espace réservé dans le véhicule aux bagages ou aux marchandises, délimité par le toit, le capot, le plancher et les parois latérales, et séparé de l’habitacle par la cloison avant ou la cloison arrière;

2.3.

«Pression de service nominale (PSN)»: la pression manométrique qui caractérise les conditions d’utilisation habituelles d’un système. Dans le cas de réservoirs à hydrogène gazeux comprimé, la PSN est la pression stabilisée du gaz comprimé dans un réservoir ou un système de stockage complètement rempli, à une température uniforme de 15 °C.

3.

Préparation, mise en place des instruments de mesure et conditions d’essai

3.1.

Systèmes de stockage d’hydrogène comprimé et tuyauteries aval

3.1.1.

Avant de procéder à l’essai de choc, le système de stockage de l’hydrogène est équipé d’instruments de mesure de la pression et de la température, sauf si le véhicule est déjà équipé d’instruments de mesure de la précision requise.

3.1.2.

Ptarget = PSN × (273 + T0) / 288

où PSN est la pression de service nominale (MPa), T0 est la température ambiante à laquelle le système de stockage est censé se stabiliser et Ptarget est la pression de remplissage recherchée une fois la température stabilisée.

3.1.3.

Le réservoir est rempli de façon à obtenir au minimum 95 % de la pression recherchée puis laissé au repos afin de se stabiliser avant l’essai de choc.

3.1.4.

La vanne d’arrêt principale et les autres vannes d’arrêt de l’hydrogène, qui sont placées dans la tuyauterie aval, sont dans des conditions normales de conduite immédiatement avant le choc.

3.2.

Espaces fermés

3.2.1.

Des capteurs sont sélectionnés pour mesurer soit l’augmentation de la pression de l’hydrogène ou de l’hélium, soit la raréfaction de l’oxygène (en raison du déplacement de l’air causé par une fuite d’hydrogène ou d’hélium).

3.2.2.

Les capteurs sont étalonnés à partir de références connues afin d’assurer une précision de ± 5 % pour la concentration visée de 4 % d’hydrogène ou de 3 % d’hélium en volume dans l’air, et une phase de mesure maximale dépassant d’au moins 25 % ces valeurs. Ils doivent être capables de réagir à 90 % à une variation de la concentration de la pleine échelle dans un délai de 10 s.

3.2.3.

| a) | À 250 mm au maximum du garnissage de pavillon au-dessus du siège du conducteur ou à proximité du centre du sommet de l’habitacle; |
| --- | --- |

a)

À 250 mm au maximum du garnissage de pavillon au-dessus du siège du conducteur ou à proximité du centre du sommet de l’habitacle;

| b) | À 250 mm au maximum du plancher en avant du siège arrière (ou le plus en arrière) dans l’habitacle; et |
| --- | --- |

b)

À 250 mm au maximum du plancher en avant du siège arrière (ou le plus en arrière) dans l’habitacle; et

| c) | À 100 mm au maximum du sommet du compartiment à bagages dans une partie du véhicule qui n’est pas directement affectée par l’essai de choc. |
| --- | --- |

c)

À 100 mm au maximum du sommet du compartiment à bagages dans une partie du véhicule qui n’est pas directement affectée par l’essai de choc.

3.2.4.

Les capteurs sont solidement fixés à la structure du véhicule ou aux sièges et protégés, en vue de l’essai de choc, des fragments, des gaz émis par les coussins gonflables et des objets projetés. Les mesures sont enregistrées par des instruments placés dans le véhicule ou à distance.

3.2.5.

L’essai de choc peut se dérouler soit à l’extérieur, en un lieu protégé du vent et du soleil, soit à l’intérieur dans un endroit suffisamment grand ou ventilé pour empêcher que l’accumulation d’hydrogène dépasse 10 % des valeurs fixées pour l’habitacle et le compartiment à bagages.

4.

Essai d’étanchéité après choc sur un système de stockage d’hydrogène comprimé rempli d’hydrogène comprimé

4.1.

La pression de l’hydrogène, P0 (MPa), et la température, T0 (°C), sont mesurées immédiatement avant le choc puis au terme d’un intervalle de temps, Δt (min) après celui-ci.

4.1.1.

L’intervalle Δt dure au moins 60 min à partir du moment où le véhicule s’est immobilisé après le choc.

4.1.2.

Δt = VCHSS × PSN /1 000 × ((– 0,027 × PSN + 4) × Rs – 0,21) – 1,7 × Rs

où Rs = Ps / PSN, Ps est la plage de pressions du capteur de pression (MPa), PSN la pression de service nominale (MPa), VCHSS la capacité du système de stockage de l’hydrogène comprimé (l), et Δt l’intervalle de temps (min).

4.1.3.

Si la valeur de Δt obtenue est inférieure à 60 min, Δt est fixé à 60 min.

4.2.

P0’ = P0 × 288 / (273 + T0)

ρ0’ = – 0,0027 × (P0’)2 + 0,75 × P0’ + 0,5789

M0 = ρ0’ × VCHSS

4.3.

Pf’ = Pf × 288 / (273 + Tf)

ρf’ = – 0,0027 × (Pf’)2 + 0,75 × Pf’ + 0,5789

Mf = ρf’ × VCHSS

où Pf est la pression finale mesurée (MPa) à la fin de l’intervalle de temps, et Tf est la température finale mesurée (°C).

4.4.

VH2 = (Mf – M0) / Δt × 22,41 / 2,016 × (Ptarget /P0)

où VH2 est le débit volumique moyen (Nl/min) pendant l’intervalle de temps et Ptarget / P0 sert à compenser les différences entre la pression initiale mesurée (P0) et la pression de remplissage visée (Ptarget).

5.

Essai d’étanchéité après choc sur un système de stockage d’hydrogène comprimé rempli d’hélium comprimé

5.1.

La pression de l’hélium P0 (MPa) et la température T0 (°C) sont mesurées immédiatement avant le choc puis au terme d’un intervalle de temps prédéterminé après celui-ci.

5.1.1.

L’intervalle Δt dure au moins 60 min à partir du moment où le véhicule s’est immobilisé après le choc.

5.1.2.

Δt = VCHSS × PSN / 1 000 × ((– 0,028 × PSN + 5,5) × Rs – 0,3) – 2,6 × Rs

où Rs = Ps / PSN, Ps est la plage de pressions du capteur de pression (MPa), PSN la pression de service nominale (MPa), VCHSS la capacité du système de stockage de l’hydrogène comprimé (l), et Δt l’intervalle de temps (min).

5.1.3.

Si la valeur de Δt obtenue est inférieure à 60 min, Δt est fixé à 60 min.

5.2.

P0’ = P0 × 288 / (273 + T0)

ρ0’ = – 0,0043 × (P0’)2 + 1,53 × P0’ + 1,49

M0 = ρ0’ × VCHSS

5.3.

Pf’ = Pf × 288 / (273 + Tf)

ρ0’ = – 0,0043 × (Pf’)2 + 1,53 × Pf’ + 1,49

Mf = ρf’ × VCHSS

où Pf est la pression finale mesurée (MPa) à la fin de l’intervalle de temps, et Tf est la température finale mesurée (°C).

5.4.

VHe = (Mf – M0) / Δt × 22,41 / 4,003 × (Ptarget / P0)

où VHe est le débit volumique moyen (Nl/min) pendant l’intervalle de temps et Ptarget / P0 sert à compenser les différences entre la pression initiale mesurée (P0) et la pression de remplissage visée (Ptarget).

5.5.

VH2 = VHe / 0,75

où VH2 est le débit volumique moyen d’hydrogène correspondant.

6.

Mesure des concentrations de gaz dans un espace fermé après le choc

6.1.

Dans un espace fermé, les mesures commencent dès que le véhicule s’est immobilisé. Les données mesurées par les capteurs installés conformément au paragraphe 3.2 de la présente annexe sont relevées au moins toutes les 5 s, et ce pendant 60 min après le choc. Un déphasage du premier ordre (constante de temps) pouvant aller jusqu’à 5 s peut être appliqué aux mesures pour lisser les données et filtrer les effets des données aberrantes.

---

ANNEXE 5

Procédures d’essai pour les véhicules équipés d’une chaîne de traction électrique

On trouvera dans la présente annexe la description des procédures d’essai visant à déterminer la conformité avec les dispositions du paragraphe 5.2.2 du présent Règlement relatives à la sûreté électrique.

1.

Si l’on utilise une fonction de déconnexion de la haute tension, les mesures doivent être relevées en amont et en aval du dispositif de déconnexion. Toutefois, si la fonction de déconnexion de la haute tension est intégrée au SRSEE ou au système de conversion de l’énergie électrique et si le rail haute tension du SRSEE ou le système de conversion bénéficient du degré de protection IPXXB à la suite de l’essai de choc, les mesures peuvent être relevées uniquement en aval du dispositif de déconnexion.

Le voltmètre utilisé pour l’essai considéré ici doit mesurer le courant continu et sa résistance interne minimale doit être de 10 MΩ.

2.

Après l’essai de choc, mesurer les tensions (Ub, U1 et U2) du rail haute tension (voir la figure 1 ci-dessous).

La tension doit être mesurée entre 10 et 60 s après le choc.

Cette procédure ne s’applique pas si l’essai est effectué alors que la chaîne de traction électrique n’est pas sous tension.

Image 4

  Figure 1 Mesure de Ub, U1 et U2

3.

Avant le choc, un commutateur S1 et une résistance de décharge connue Re sont branchés en parallèle à la capacitance requise (voir fig. 2 ci-dessous):

| a) | Entre 10 et 60 s après le choc, fermer le commutateur S1 puis mesurer et consigner la tension Ub et l’intensité Ie. Le produit de la tension Ub par l’intensité Ie est intégré pour la période qui s’écoule entre le moment où l’on ferme le commutateur S1 (tc) et celui où la tension Ub redescend sous le seuil de la haute tension de 60 V CC (th). L’intégration qui en résulte est égale à l’énergie totale (TE) en joules; |
| --- | --- |

a)

Entre 10 et 60 s après le choc, fermer le commutateur S1 puis mesurer et consigner la tension Ub et l’intensité Ie. Le produit de la tension Ub par l’intensité Ie est intégré pour la période qui s’écoule entre le moment où l’on ferme le commutateur S1 (tc) et celui où la tension Ub redescend sous le seuil de la haute tension de 60 V CC (th). L’intégration qui en résulte est égale à l’énergie totale (TE) en joules;

Image 5

| b) | Si Ub est mesuré entre 10 et 60 s après le choc et que la capacitance des condensateurs X (Cx) est fixée par le constructeur, l’énergie totale (TE) s’obtient au moyen de la formule ci-après:
  TE = 0,5 × Cx × Ub2 |
| --- | --- |

b)

Si Ub est mesuré entre 10 et 60 s après le choc et que la capacitance des condensateurs X (Cx) est fixée par le constructeur, l’énergie totale (TE) s’obtient au moyen de la formule ci-après:

TE = 0,5 × Cx × Ub2

| c) | Si U1 et U2 (voir fig. 1 ci-dessus) sont mesurés entre 10 et 60 s après le choc et que la capacitance des condensateurs Y (Cy1 et Cy2) est fixée par le constructeur, l’énergie totale (TEy1 et TEy2) s’obtient au moyen des formules ci-après:
  TEy1 = 0,5 × Cy1 × U12
  TEy2 = 0,5 × Cy2 × U22 |
| --- | --- |

c)

Si U1 et U2 (voir fig. 1 ci-dessus) sont mesurés entre 10 et 60 s après le choc et que la capacitance des condensateurs Y (Cy1 et Cy2) est fixée par le constructeur, l’énergie totale (TEy1 et TEy2) s’obtient au moyen des formules ci-après:

TEy1 = 0,5 × Cy1 × U12

TEy2 = 0,5 × Cy2 × U22

Cette procédure ne s’applique pas si l’essai est effectué alors que la chaîne de traction électrique n’est pas sous tension.

Image 6

  Figure 2 Exemple de mesure de l’énergie du rail haute tension contenue dans les condensateurs X

4.

Après l’essai de choc, toutes les pièces entourant les éléments sous haute tension doivent être ouvertes, démontées ou retirées, sans l’aide d’outils. Toutes les pièces restantes sont considérées comme faisant partie de la protection physique.

Le doigt d’épreuve articulé décrit à la figure 3 est introduit dans tous les interstices et les ouvertures de la protection physique, avec une force d’insertion de 10 N ± 10 %, aux fins de l’évaluation de la sécurité électrique. Si le doigt pénètre partiellement ou entièrement dans la protection, il est essayé dans toutes les positions indiquées ci-dessous.

À partir de la position alignée, les deux articulations du doigt d’épreuve sont repliées progressivement jusqu’à former un angle maximum de 90° par rapport à l’axe de la section adjacente du doigt et placées dans toutes les positions possibles.

Les barrières internes électriques sont considérées comme faisant partie du carter de protection.

Au besoin, une source électrique basse tension (≥ 40 V et ≤ 50 V) est branchée en série avec une lampe appropriée entre le doigt d’épreuve articulé et les éléments à haute tension situés à l’intérieur de la barrière électrique ou du carter de protection.

Image 7

  Figure 3 Doigt d’épreuve articulé

Matériau: métal, sauf indication contraire

Dimensions linéaires indiquées en millimètres.

| a) | Sur les angles: + 0°0′0′′/– 0°0′10′′; |
| --- | --- |

a)

Sur les angles: + 0°0′0′′/– 0°0′10′′;

| b) | Sur les dimensions linéaires:






  i) | ≤ 25 mm: + 0/– 0,05 mm; |
| --- | --- | --- |

b)

Sur les dimensions linéaires:

i)

≤ 25 mm: + 0/– 0,05 mm;

| ii) | > 25 mm: ± 0,2 mm. |
| --- | --- |

ii)

> 25 mm: ± 0,2 mm.

Les deux articulations doivent permettre un mouvement de 90° dans le même plan et dans la même direction, avec une tolérance comprise entre 0° et + 10°.

Les prescriptions énoncées au paragraphe 5.2.2.1.3 du présent Règlement sont considérées comme remplies si le doigt d’essai articulé décrit à la figure 3 ne peut entrer en contact avec les éléments sous haute tension.

Si nécessaire, un miroir ou un fibroscope peut être utilisé pour vérifier si le doigt d’épreuve articulé entre en contact avec les rails haute tension.

Si le respect de cette prescription est vérifié au moyen d’un circuit témoin entre le doigt d’épreuve articulé et les parties sous haute tension, la lampe témoin ne doit pas s’allumer.

4.1.

| a) | Méthode d’essai utilisant un mégohmmètre
  Le mégohmmètre est relié aux points de mesure (en règle générale, la masse électrique et le carter de protection conducteur ou la barrière de protection électrique conductrice). On mesure la résistance à l’aide d’un mégohmmètre satisfaisant aux critères suivants:






  i) | Mégohmmètre: mesure du courant: au moins 0,2 A; |
| --- | --- | --- |

a)

Méthode d’essai utilisant un mégohmmètre

Le mégohmmètre est relié aux points de mesure (en règle générale, la masse électrique et le carter de protection conducteur ou la barrière de protection électrique conductrice). On mesure la résistance à l’aide d’un mégohmmètre satisfaisant aux critères suivants:

i)

Mégohmmètre: mesure du courant: au moins 0,2 A;

| ii) | Résolution: 0,01 Ω ou moins; |
| --- | --- |

ii)

Résolution: 0,01 Ω ou moins;

| iii) | La résistance R doit être inférieure à 0,1 Ω; |
| --- | --- |

iii)

La résistance R doit être inférieure à 0,1 Ω;

| b) | Méthode d’essai utilisant une source de courant continu, un voltmètre et un ampèremètre
  La source de courant continu, le voltmètre et l’ampèremètre sont reliés aux points de mesure (en règle générale, la masse électrique et le carter de protection conducteur ou la barrière de protection électrique conductrice).
  On règle la tension de la source de courant continu de manière à obtenir une intensité égale ou supérieure à 0,2 A.
  On mesure l’intensité «I» et la tension «U».
  On calcule la résistance «R» au moyen de la formule suivante:
  R = U / I
  La résistance R doit être inférieure à 0,1 Ω.







  Note: | Si l’on utilise des fils conducteurs pour mesurer la tension et l’intensité, chacun d’entre eux doit être raccordé de manière indépendante à la barrière de protection électrique, au carter de protection conducteur ou à la masse électrique. La borne peut être commune pour la mesure de la tension et de l’intensité. |
| --- | --- | --- |

b)

Méthode d’essai utilisant une source de courant continu, un voltmètre et un ampèremètre

La source de courant continu, le voltmètre et l’ampèremètre sont reliés aux points de mesure (en règle générale, la masse électrique et le carter de protection conducteur ou la barrière de protection électrique conductrice).

On règle la tension de la source de courant continu de manière à obtenir une intensité égale ou supérieure à 0,2 A.

On mesure l’intensité «I» et la tension «U».

On calcule la résistance «R» au moyen de la formule suivante:

R = U / I

La résistance R doit être inférieure à 0,1 Ω.

Note:

On trouvera dans la figure 4 ci-dessous un exemple de méthode d’essai utilisant une source de courant continu, un voltmètre et un ampèremètre.

Image 8

  Figure 4 Exemple de méthode d’essai utilisant une source de courant continu

5.

Résistance d’isolement

5.1.

La résistance d’isolement pour chaque rail haute tension du véhicule doit être mesurée ou déterminée par calcul sur la base de valeurs de mesure obtenues pour chaque partie ou élément d’un rail haute tension.

Toutes les mesures destinées au calcul des tensions ou de l’isolement électrique sont faites au moins 10 s après le choc.

5.2.

La mesure de la résistance d’isolement se fait par une méthode de mesure appropriée choisie parmi celles énumérées aux paragraphes 5.2.1 à 5.2.2 de la présente annexe, en fonction de la charge électrique des éléments sous tension ou de la résistance d’isolement.

La gamme de tensions du circuit électrique à mesurer est déterminée à l’avance à l’aide de schémas du circuit électrique. Si les rails haute tension sont galvaniquement isolés les uns des autres, la résistance d’isolement doit être mesurée pour chaque circuit électrique.

En outre, aux fins de la mesure de la résistance d’isolement, il est permis d’effectuer les modifications nécessaires, par exemple ôter le carter de protection afin d’avoir accès aux éléments sous tension, poser des câbles de mesure ou modifier les logiciels.

Dans les cas où les valeurs mesurées ne sont pas stables du fait du fonctionnement du système embarqué de contrôle de la résistance d’isolement, il est permis d’effectuer les modifications nécessaires pour exécuter la mesure, par exemple interrompre le fonctionnement du dispositif en question ou le désinstaller. Si l’on désinstalle le système, il convient d’utiliser un ensemble de schémas pour démontrer que la résistance d’isolement entre les éléments sous tension et la masse électrique reste inchangée.

Les modifications effectuées ne doivent pas avoir d’incidences sur les résultats de l’essai.

Étant donné que cette méthode de confirmation peut nécessiter une alimentation directe du circuit à haute tension, les plus grandes précautions doivent être prises pour éviter les courts-circuits ou les décharges électriques.

5.2.1.

Mesure utilisant une tension continue à partir d’une source extérieure

5.2.1.1.

Il doit être utilisé un instrument de mesure de la résistance d’isolement capable d’appliquer une tension continue supérieure à la tension de fonctionnement du rail haute tension.

5.2.1.2.

Un instrument de mesure de la résistance d’isolement est raccordé entre les éléments sous tension et la masse électrique. La résistance d’isolement est ensuite mesurée en appliquant une tension continue au moins égale à la moitié de la tension de fonctionnement du rail haute tension.

Si le système comporte plusieurs gammes de tension (par exemple du fait de la présence d’un convertisseur d’appoint) dans un circuit relié galvaniquement, et que certains des éléments ne peuvent pas supporter la tension de fonctionnement du circuit complet, la résistance d’isolement entre ces éléments et la masse électrique peut être mesurée séparément par application de la moitié au moins de leur tension de fonctionnement propre, ces éléments étant déconnectés.

5.2.2.

Mesure utilisant le SRSEE du véhicule comme source de tension continue

5.2.2.1.

Le rail haute tension est mis sous tension au moyen du SRSEE du véhicule et/ou du système de conversion d’énergie. Durant l’essai, le niveau de tension du SRSEE et/ou du système de conversion d’énergie doit correspondre au minimum à la tension de fonctionnement nominale spécifiée par le constructeur du véhicule.

5.2.2.2.

Méthode de mesure

5.2.2.2.1.

La tension est mesurée comme indiqué à la figure 1 et la tension du rail haute tension Ub est enregistrée.

5.2.2.2.2.

La tension U1 entre le pôle négatif du rail haute tension et la masse électrique est mesurée et consignée (voir fig. 1).

5.2.2.2.3.

La tension U2 entre le pôle positif du rail haute tension et la masse électrique est mesurée et consignée (voir fig. 1).

5.2.2.2.4.

Si U1 est supérieure ou égale à U2, on insère une résistance normalisée connue R0 entre le pôle négatif du rail haute tension et la masse électrique. Une fois la résistance R0 installée, la tension U1’ entre le pôle négatif du rail haute tension et la masse électrique est mesurée et consignée (voir fig. 5).

L’isolement électrique Ri est calculé au moyen de la formule suivante:

Ri = R0 × Ub × (1 / U1’ – 1 / U1)

Image 9

  Figure 5 Mesure de U1’

Si U2 est supérieure ou égale à U1, on insère une résistance normalisée connue R0 entre le pôle positif du rail haute tension et la masse électrique. Une fois la résistance R0 installée, on mesure la tension U2’ entre le pôle positif du rail haute tension et la masse électrique (voir fig. 6).

L’isolement électrique Ri est calculé au moyen de la formule suivante:

Ri = R0 × Ub × (1 / U2’ – 1 / U2)

Image 10

  Figure 6 Mesure de U2’

5.2.2.2.5.

La valeur d’isolement électrique Ri (en Ω) divisée par la tension de fonctionnement du rail haute tension (en V) donne la résistance d’isolement (en Ω/V).

| Note: | La résistance normalisée connue R0 (en Ω) correspond à la valeur de la résistance d’isolement minimale requise (en Ω/V) multipliée par la tension de fonctionnement (V) du véhicule ± 20 %. R0 ne doit pas nécessairement être égale à cette valeur car les équations restent valables pour toute valeur de R0. Cependant, une valeur de R0 située dans cette plage devrait permettre de mesurer la tension avec une résolution satisfaisante. |
| --- | --- |

Note:

6.

Si nécessaire, un revêtement approprié peut être appliqué sur la protection physique (carter) afin de détecter toute fuite d’électrolyte du SRSEE après l’essai de choc.

7.

Le respect des prescriptions est déterminé par inspection visuelle.

---

| 9.3.2021 | FR | Journal officiel de l’Union européenne | L 82/30 |
| --- | --- | --- | --- |

9.3.2021

FR

Journal officiel de l’Union européenne

L 82/30

---

Seuls les textes originaux de la CEE (ONU) ont un effet légal en vertu du droit public international. Le statut et la date d’entrée en vigueur du présent règlement sont à vérifier dans la dernière version du document de statut TRANS/WP.29/343 de la CEE (ONU), disponible à l’adresse suivante: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Règlement ONU no 155 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne la cybersécurité et de leurs systèmes de gestion de la cybersécurité [2021/387]

Date d’entrée en vigueur: 22 janvier 2021

Ce document constitue un outil de documentation. Les textes authentiques et contraignants juridiques sont:

| — | ECE/TRANS/WP.29/2020/79 |
| --- | --- |

—

ECE/TRANS/WP.29/2020/79

| — | ECE/TRANS/WP.29/2020/94 et |
| --- | --- |

—

ECE/TRANS/WP.29/2020/94 et

| — | ECE/TRANS/WP.29/2020/97 |
| --- | --- |

—

ECE/TRANS/WP.29/2020/97

TABLE DES MATIÈRES

RÈGLEMENT

| 1. | Champ d’application |
| --- | --- |

1.

| 2. | Définitions |
| --- | --- |

2.

| 3. | Demande d’homologation |
| --- | --- |

3.

| 4. | Marquage |
| --- | --- |

4.

| 5. | Homologation |
| --- | --- |

5.

| 6. | Certificat de conformité du système de gestion de la cybersécurité |
| --- | --- |

6.

| 7. | Spécifications |
| --- | --- |

7.

| 8. | Modification du type de véhicule et extension de l’homologation de type |
| --- | --- |

8.

| 9. | Conformité de la production |
| --- | --- |

9.

| 10. | Sanctions pour non-conformité de la production |
| --- | --- |

10.

| 11. | Arrêt définitif de la production |
| --- | --- |

11.

| 12. | Noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type |
| --- | --- |

12.

ANNEXES

| 1. | Fiche de renseignements |
| --- | --- |

1.

| 2. | Fiche de communication |
| --- | --- |

2.

| 3. | Exemple de marque d’homologation |
| --- | --- |

3.

| 4. | Modèle de certificat de conformité du CSMS |
| --- | --- |

4.

| 5. | Liste des menaces et des mesures d’atténuation correspondantes |
| --- | --- |

5.

1.   CHAMP D’APPLICATION

| 1.1. | Le présent règlement s’applique aux véhicules des catégories M et N en ce qui concerne la cybersécurité.
  Il s’applique également aux véhicules de la catégorie O s’ils sont équipés d’au moins un module de gestion électronique. |
| --- | --- |

1.1.

Le présent règlement s’applique aux véhicules des catégories M et N en ce qui concerne la cybersécurité.

Il s’applique également aux véhicules de la catégorie O s’ils sont équipés d’au moins un module de gestion électronique.

| 1.2. | Le présent règlement s’applique également aux véhicules des catégories L6 et L7, s’ils sont équipés de fonctions de conduite automatisée de niveau 3 ou plus, telles que spécifiées dans le «Document de référence proposant des définitions de la conduite automatisée dans le cadre du WP.29 et des principes généraux pour l’élaboration d’un règlement ONU sur les véhicules automatisés» (ECE/TRANS/WP.29/1140). |
| --- | --- |

1.2.

Le présent règlement s’applique également aux véhicules des catégories L6

7

| 1.3. | Le présent règlement s’entend sans préjudice des autres règlements ONU et textes législatifs régionaux ou nationaux régissant l’accès des parties autorisées au véhicule et à ses données, fonctions et ressources et les conditions de cet accès. Il s’entend également sans préjudice de l’application de la législation nationale et régionale sur la vie privée et la protection des personnes physiques en ce qui concerne le traitement de leurs données personnelles. |
| --- | --- |

1.3.

Le présent règlement s’entend sans préjudice des autres règlements ONU et textes législatifs régionaux ou nationaux régissant l’accès des parties autorisées au véhicule et à ses données, fonctions et ressources et les conditions de cet accès. Il s’entend également sans préjudice de l’application de la législation nationale et régionale sur la vie privée et la protection des personnes physiques en ce qui concerne le traitement de leurs données personnelles.

| 1.4. | Le présent règlement s’entend sans préjudice des autres règlements ONU et textes législatifs nationaux ou régionaux régissant la conception et l’installation ou l’intégration de pièces et d’éléments de rechange, physiques et numériques, en ce qui concerne la cybersécurité. |
| --- | --- |

1.4.

Le présent règlement s’entend sans préjudice des autres règlements ONU et textes législatifs nationaux ou régionaux régissant la conception et l’installation ou l’intégration de pièces et d’éléments de rechange, physiques et numériques, en ce qui concerne la cybersécurité.

2.   DÉFINITIONS

Aux fins du présent règlement, on entend par:

| 2.1. | «Type de véhicule», l’ensemble des véhicules qui ne présentent pas entre eux de différences, au moins au regard des critères de base suivants:






  a) | la désignation du type de véhicule donnée par le constructeur; |
| --- | --- | --- |

2.1.

«Type de véhicule», l’ensemble des véhicules qui ne présentent pas entre eux de différences, au moins au regard des critères de base suivants:

a)

la désignation du type de véhicule donnée par le constructeur;

| b) | les aspects essentiels de l’architecture électrique/électronique et des interfaces externes en ce qui concerne la cybersécurité. |
| --- | --- |

b)

les aspects essentiels de l’architecture électrique/électronique et des interfaces externes en ce qui concerne la cybersécurité.

| 2.2. | «Cybersécurité», la protection des véhicules routiers et de leurs fonctions contre les cyberattaques visant les composants électriques ou électroniques. |
| --- | --- |

2.2.

«Cybersécurité», la protection des véhicules routiers et de leurs fonctions contre les cyberattaques visant les composants électriques ou électroniques.

| 2.3. | «Système de gestion de la cybersécurité (CSMS)», une approche systématique fondée sur les risques et définissant, au niveau organisationnel, les processus, les responsabilités et les mesures de gouvernance dont l’objet est de traiter les risques associés aux cybermenaces visant les véhicules et de protéger ceux-ci contre les cyberattaques. |
| --- | --- |

2.3.

«Système de gestion de la cybersécurité (CSMS)», une approche systématique fondée sur les risques et définissant, au niveau organisationnel, les processus, les responsabilités et les mesures de gouvernance dont l’objet est de traiter les risques associés aux cybermenaces visant les véhicules et de protéger ceux-ci contre les cyberattaques.

| 2.4. | «Système», un ensemble de composants et/ou de sous-systèmes qui assurent une ou plusieurs fonctions. |
| --- | --- |

2.4.

«Système», un ensemble de composants et/ou de sous-systèmes qui assurent une ou plusieurs fonctions.

| 2.5. | «Phase de développement», la période précédant l’homologation de type d’un type de véhicule. |
| --- | --- |

2.5.

«Phase de développement», la période précédant l’homologation de type d’un type de véhicule.

| 2.6. | «Phase de production», la durée de production d’un type de véhicule. |
| --- | --- |

2.6.

«Phase de production», la durée de production d’un type de véhicule.

| 2.7. | «Phase de postproduction», la période pendant laquelle un type de véhicule n’est plus produit, jusqu’à la fin de vie de tous les véhicules de ce type. Les véhicules conformes à un type de véhicule donné restent opérationnels pendant cette phase mais ne sont plus produits. La phase prend fin lorsque plus aucun véhicule d’un type donné n’est opérationnel. |
| --- | --- |

2.7.

«Phase de postproduction», la période pendant laquelle un type de véhicule n’est plus produit, jusqu’à la fin de vie de tous les véhicules de ce type. Les véhicules conformes à un type de véhicule donné restent opérationnels pendant cette phase mais ne sont plus produits. La phase prend fin lorsque plus aucun véhicule d’un type donné n’est opérationnel.

| 2.8. | «Mesure d’atténuation», une mesure qui réduit les risques. |
| --- | --- |

2.8.

«Mesure d’atténuation», une mesure qui réduit les risques.

| 2.9. | «Risque», la possibilité qu’une menace donnée exploite les vulnérabilités d’un véhicule et cause ainsi un préjudice à l’entreprise ou à une personne. |
| --- | --- |

2.9.

«Risque», la possibilité qu’une menace donnée exploite les vulnérabilités d’un véhicule et cause ainsi un préjudice à l’entreprise ou à une personne.

| 2.10. | «Appréciation des risques», le processus englobant la recherche, la reconnaissance et la description des risques (définition des risques), en vue d’en comprendre la nature et d’en déterminer le niveau (analyse des risques), et la comparaison des résultats de l’analyse des risques aux critères de risque afin de déterminer si les risques et/ou leur importance sont acceptables ou tolérables (évaluation des risques). |
| --- | --- |

2.10.

«Appréciation des risques», le processus englobant la recherche, la reconnaissance et la description des risques (définition des risques), en vue d’en comprendre la nature et d’en déterminer le niveau (analyse des risques), et la comparaison des résultats de l’analyse des risques aux critères de risque afin de déterminer si les risques et/ou leur importance sont acceptables ou tolérables (évaluation des risques).

| 2.11. | «Gestion des risques», les activités coordonnées visant à diriger et à piloter une entreprise vis-à-vis des risques. |
| --- | --- |

2.11.

«Gestion des risques», les activités coordonnées visant à diriger et à piloter une entreprise vis-à-vis des risques.

| 2.12. | «Menace», la source potentielle d’événements indésirables susceptibles de nuire à un système, à une entreprise ou à une personne. |
| --- | --- |

2.12.

«Menace», la source potentielle d’événements indésirables susceptibles de nuire à un système, à une entreprise ou à une personne.

| 2.13. | «Vulnérabilité», un point faible d’un élément ou d’une mesure d’atténuation, qui l’expose à une ou plusieurs menaces. |
| --- | --- |

2.13.

«Vulnérabilité», un point faible d’un élément ou d’une mesure d’atténuation, qui l’expose à une ou plusieurs menaces.

3.   DEMANDE D’HOMOLOGATION

| 3.1. | La demande d’homologation d’un type de véhicule en ce qui concerne la cybersécurité doit être présentée par le constructeur du véhicule ou par son représentant dûment accrédité. |
| --- | --- |

3.1.

La demande d’homologation d’un type de véhicule en ce qui concerne la cybersécurité doit être présentée par le constructeur du véhicule ou par son représentant dûment accrédité.

| 3.2. | Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes: |
| --- | --- |

3.2.

Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes:

| 3.2.1. | Une description du type de véhicule en ce qui concerne les points mentionnés à l’annexe 1 du présent règlement; |
| --- | --- |

3.2.1.

Une description du type de véhicule en ce qui concerne les points mentionnés à l’annexe 1 du présent règlement;

| 3.2.2. | Dans les cas où il est indiqué que les informations font l’objet de droits de propriété intellectuelle, ou qu’elles constituent un savoir-faire spécifique du constructeur ou de ses fournisseurs, le constructeur ou les fournisseurs doivent fournir des éléments d’information suffisants pour permettre d’effectuer convenablement les vérifications mentionnées dans le présent règlement. Ces éléments d’information doivent être utilisés de façon confidentielle; |
| --- | --- |

3.2.2.

Dans les cas où il est indiqué que les informations font l’objet de droits de propriété intellectuelle, ou qu’elles constituent un savoir-faire spécifique du constructeur ou de ses fournisseurs, le constructeur ou les fournisseurs doivent fournir des éléments d’information suffisants pour permettre d’effectuer convenablement les vérifications mentionnées dans le présent règlement. Ces éléments d’information doivent être utilisés de façon confidentielle;

| 3.2.3. | Le certificat de conformité du CSMS, conformément aux dispositions du paragraphe 6 du présent règlement. |
| --- | --- |

3.2.3.

Le certificat de conformité du CSMS, conformément aux dispositions du paragraphe 6 du présent règlement.

| 3.3. | La documentation doit être fournie en deux parties:






  a) | le dossier d’information officiel aux fins de l’homologation, contenant les renseignements énumérés à l’annexe 1, à présenter à l’autorité d’homologation ou à son service technique au moment du dépôt de la demande d’homologation de type. Ce dossier d’information doit être utilisé par l’autorité d’homologation ou son service technique comme référence de base pour la procédure d’homologation. L’autorité d’homologation ou son service technique doit faire en sorte que ce dossier d’information reste disponible pendant au moins 10 ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré; |
| --- | --- | --- |

3.3.

La documentation doit être fournie en deux parties:

a)

le dossier d’information officiel aux fins de l’homologation, contenant les renseignements énumérés à l’annexe 1, à présenter à l’autorité d’homologation ou à son service technique au moment du dépôt de la demande d’homologation de type. Ce dossier d’information doit être utilisé par l’autorité d’homologation ou son service technique comme référence de base pour la procédure d’homologation. L’autorité d’homologation ou son service technique doit faire en sorte que ce dossier d’information reste disponible pendant au moins 10 ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré;

| b) | les autres éléments d’information pertinents au regard des prescriptions du présent règlement, qui peuvent être conservés par le constructeur mais doivent pouvoir faire l’objet d’une inspection au moment de l’homologation de type. Le constructeur doit faire en sorte que toute information pouvant faire l’objet d’une inspection au moment de l’homologation de type reste disponible pendant au moins 10 ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré. |
| --- | --- |

b)

les autres éléments d’information pertinents au regard des prescriptions du présent règlement, qui peuvent être conservés par le constructeur mais doivent pouvoir faire l’objet d’une inspection au moment de l’homologation de type. Le constructeur doit faire en sorte que toute information pouvant faire l’objet d’une inspection au moment de l’homologation de type reste disponible pendant au moins 10 ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré.

4.   MARQUAGE

| 4.1. | Sur tout véhicule conforme à un type de véhicule homologué en application du présent règlement doit être apposée de manière visible, en un endroit facilement accessible et indiqué sur la fiche d’homologation, une marque d’homologation internationale composée: |
| --- | --- |

4.1.

Sur tout véhicule conforme à un type de véhicule homologué en application du présent règlement doit être apposée de manière visible, en un endroit facilement accessible et indiqué sur la fiche d’homologation, une marque d’homologation internationale composée:

| 4.1.1. | D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays ayant délivré l’homologation; |
| --- | --- |

4.1.1.

D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays ayant délivré l’homologation;

| 4.1.2. | Du numéro du présent règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, à la droite du cercle prévu au paragraphe 4.1.1 ci-dessus. |
| --- | --- |

4.1.2.

Du numéro du présent règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, à la droite du cercle prévu au paragraphe 4.1.1 ci-dessus.

| 4.2. | Si le véhicule est conforme à un type de véhicule homologué en application d’un ou de plusieurs autres règlements annexés à l’accord dans le pays qui a accordé l’homologation en application du présent règlement, il n’est pas nécessaire de répéter le symbole prescrit au paragraphe 4.1.1 ci-dessus; dans un tel cas, les numéros de règlement et d’homologation et les symboles additionnels pour tous les règlements en application desquels l’homologation a été accordée dans le pays qui l’a accordée en application du présent règlement doivent être inscrits l’un au-dessous de l’autre à droite du symbole prescrit au paragraphe 4.1.1. |
| --- | --- |

4.2.

Si le véhicule est conforme à un type de véhicule homologué en application d’un ou de plusieurs autres règlements annexés à l’accord dans le pays qui a accordé l’homologation en application du présent règlement, il n’est pas nécessaire de répéter le symbole prescrit au paragraphe 4.1.1 ci-dessus; dans un tel cas, les numéros de règlement et d’homologation et les symboles additionnels pour tous les règlements en application desquels l’homologation a été accordée dans le pays qui l’a accordée en application du présent règlement doivent être inscrits l’un au-dessous de l’autre à droite du symbole prescrit au paragraphe 4.1.1.

| 4.3. | La marque d’homologation doit être nettement lisible et indélébile. |
| --- | --- |

4.3.

La marque d’homologation doit être nettement lisible et indélébile.

| 4.4. | Elle doit être placée sur la plaque signalétique du véhicule apposée par le constructeur, ou à proximité. |
| --- | --- |

4.4.

Elle doit être placée sur la plaque signalétique du véhicule apposée par le constructeur, ou à proximité.

| 4.5. | On trouvera à l’annexe 3 du présent règlement des exemples de marques d’homologation. |
| --- | --- |

4.5.

On trouvera à l’annexe 3 du présent règlement des exemples de marques d’homologation.

5.   HOMOLOGATION

| 5.1. | Les autorités d’homologation accordent, selon qu’il convient, l’homologation de type en ce qui concerne la cybersécurité, uniquement aux types de véhicules qui satisfont aux prescriptions du présent règlement. |
| --- | --- |

5.1.

Les autorités d’homologation accordent, selon qu’il convient, l’homologation de type en ce qui concerne la cybersécurité, uniquement aux types de véhicules qui satisfont aux prescriptions du présent règlement.

| 5.1.1. | L’autorité d’homologation ou son service technique doit vérifier les documents attestant que le constructeur a fait le nécessaire, en fonction du type de véhicule, pour:






  a) | recueillir et contrôler, tout au long de la chaîne d’approvisionnement, les informations prescrites par le présent règlement de façon à démontrer que les risques liés aux fournisseurs sont répertoriés et gérés; |
| --- | --- | --- |

5.1.1.

L’autorité d’homologation ou son service technique doit vérifier les documents attestant que le constructeur a fait le nécessaire, en fonction du type de véhicule, pour:

a)

recueillir et contrôler, tout au long de la chaîne d’approvisionnement, les informations prescrites par le présent règlement de façon à démontrer que les risques liés aux fournisseurs sont répertoriés et gérés;

| b) | rendre compte de l’appréciation des risques (qui a lieu pendant la phase de développement ou rétrospectivement), des résultats des essais effectués et des mesures d’atténuation prises pour le type de véhicule en question, notamment en fournissant des informations sur la conception à l’appui de l’appréciation des risques; |
| --- | --- |

b)

rendre compte de l’appréciation des risques (qui a lieu pendant la phase de développement ou rétrospectivement), des résultats des essais effectués et des mesures d’atténuation prises pour le type de véhicule en question, notamment en fournissant des informations sur la conception à l’appui de l’appréciation des risques;

| c) | mettre en œuvre des mesures de cybersécurité appropriées dans le cadre de la conception du type de véhicule; |
| --- | --- |

c)

mettre en œuvre des mesures de cybersécurité appropriées dans le cadre de la conception du type de véhicule;

| d) | détecter les menaces de cyberattaque et y réagir; |
| --- | --- |

d)

détecter les menaces de cyberattaque et y réagir;

| e) | consigner des données à l’appui de la détection des cyberattaques et disposer des capacités de traitement de données permettant d’analyser les tentatives de cyberattaque et les cyberattaques. |
| --- | --- |

e)

consigner des données à l’appui de la détection des cyberattaques et disposer des capacités de traitement de données permettant d’analyser les tentatives de cyberattaque et les cyberattaques.

| 5.1.2. | L’autorité d’homologation ou son service technique doit vérifier, en soumettant un véhicule du type concerné aux essais voulus, que le constructeur a bien mis en œuvre les mesures de cybersécurité dont il a fait état. Ces essais doivent être réalisés par l’autorité d’homologation ou par son service technique ou bien en collaboration avec le constructeur sur la base d’un échantillonnage. L’échantillonnage doit cibler, sans s’y limiter, les risques définis comme élevés pendant l’appréciation des risques. |
| --- | --- |

5.1.2.

L’autorité d’homologation ou son service technique doit vérifier, en soumettant un véhicule du type concerné aux essais voulus, que le constructeur a bien mis en œuvre les mesures de cybersécurité dont il a fait état. Ces essais doivent être réalisés par l’autorité d’homologation ou par son service technique ou bien en collaboration avec le constructeur sur la base d’un échantillonnage. L’échantillonnage doit cibler, sans s’y limiter, les risques définis comme élevés pendant l’appréciation des risques.

| 5.1.3. | L’autorité d’homologation ou son service technique doit refuser d’accorder l’homologation de type en ce qui concerne la cybersécurité si le constructeur du véhicule n’a pas satisfait à l’une ou à plusieurs des prescriptions énoncées au paragraphe 7.3, notamment:






  a) | si le constructeur n’a pas suivi toutes les étapes de l’appréciation des risques, telle que décrite au paragraphe 7.3.3, par exemple s’il n’a pas tenu compte de tous les risques relatifs aux menaces mentionnées dans la partie A de l’annexe 5; |
| --- | --- | --- |

5.1.3.

L’autorité d’homologation ou son service technique doit refuser d’accorder l’homologation de type en ce qui concerne la cybersécurité si le constructeur du véhicule n’a pas satisfait à l’une ou à plusieurs des prescriptions énoncées au paragraphe 7.3, notamment:

a)

si le constructeur n’a pas suivi toutes les étapes de l’appréciation des risques, telle que décrite au paragraphe 7.3.3, par exemple s’il n’a pas tenu compte de tous les risques relatifs aux menaces mentionnées dans la partie A de l’annexe 5;

| b) | si le constructeur n’a pas protégé le type de véhicule contre les risques répertoriés dans le cadre de son appréciation des risques ou si les mesures d’atténuation proportionnées prescrites au paragraphe 7 n’ont pas été mises en œuvre; |
| --- | --- |

b)

si le constructeur n’a pas protégé le type de véhicule contre les risques répertoriés dans le cadre de son appréciation des risques ou si les mesures d’atténuation proportionnées prescrites au paragraphe 7 n’ont pas été mises en œuvre;

| c) | si le constructeur n’a pas pris les mesures appropriées et proportionnées pour sécuriser les environnements du type du véhicule prévus (le cas échéant) pour le stockage et l’exécution des logiciels, services, applications ou données du marché secondaire; |
| --- | --- |

c)

si le constructeur n’a pas pris les mesures appropriées et proportionnées pour sécuriser les environnements du type du véhicule prévus (le cas échéant) pour le stockage et l’exécution des logiciels, services, applications ou données du marché secondaire;

| d) | si le constructeur n’a pas effectué, avant l’homologation, des essais appropriés et suffisants afin de s’assurer de l’efficacité des mesures de sécurité mises en œuvre. |
| --- | --- |

d)

si le constructeur n’a pas effectué, avant l’homologation, des essais appropriés et suffisants afin de s’assurer de l’efficacité des mesures de sécurité mises en œuvre.

| 5.1.4. | L’autorité d’homologation en charge de l’évaluation doit également refuser d’accorder l’homologation de type en ce qui concerne la cybersécurité si ni elle ni son service technique n’ont reçu d’informations suffisantes de la part du constructeur pour évaluer la cybersécurité du type de véhicule. |
| --- | --- |

5.1.4.

L’autorité d’homologation en charge de l’évaluation doit également refuser d’accorder l’homologation de type en ce qui concerne la cybersécurité si ni elle ni son service technique n’ont reçu d’informations suffisantes de la part du constructeur pour évaluer la cybersécurité du type de véhicule.

| 5.2. | L’homologation ou l’extension ou le refus d’homologation d’un type de véhicule en application du présent règlement doit être notifié aux parties à l’accord de 1958 appliquant ledit règlement au moyen d’une fiche conforme au modèle de l’annexe 2 du présent règlement. |
| --- | --- |

5.2.

L’homologation ou l’extension ou le refus d’homologation d’un type de véhicule en application du présent règlement doit être notifié aux parties à l’accord de 1958 appliquant ledit règlement au moyen d’une fiche conforme au modèle de l’annexe 2 du présent règlement.

| 5.3. | Les autorités d’homologation ne doivent pas délivrer d’homologation de type sans s’assurer que le constructeur a mis en place des dispositions et des procédures satisfaisantes pour gérer convenablement les aspects de la cybersécurité dont il est question dans le présent règlement. |
| --- | --- |

5.3.

Les autorités d’homologation ne doivent pas délivrer d’homologation de type sans s’assurer que le constructeur a mis en place des dispositions et des procédures satisfaisantes pour gérer convenablement les aspects de la cybersécurité dont il est question dans le présent règlement.

| 5.3.1. | L’autorité d’homologation et ses services techniques s’assurent, en sus des critères établis dans l’annexe 2 de l’accord de 1958:






  a) | qu’ils disposent d’un personnel compétent doté des compétences appropriées en cybersécurité et de connaissances spécifiques en matière d’évaluation des risques dans le secteur automobile (1); |
| --- | --- | --- |

5.3.1.

L’autorité d’homologation et ses services techniques s’assurent, en sus des critères établis dans l’annexe 2 de l’accord de 1958:

a)

qu’ils disposent d’un personnel compétent doté des compétences appropriées en cybersécurité et de connaissances spécifiques en matière d’évaluation des risques dans le secteur automobile (1);

1

| b) | qu’ils ont mis en œuvre les procédures relatives à l’évaluation uniforme conformément au présent règlement. |
| --- | --- |

b)

qu’ils ont mis en œuvre les procédures relatives à l’évaluation uniforme conformément au présent règlement.

| 5.3.2. | Chaque partie contractante appliquant le présent règlement doit notifier et informer les autorités d’homologation des autres parties contractantes appliquant le présent règlement ONU, par l’intermédiaire de son autorité d’homologation, de la méthode et des critères servant de base à cette dernière pour évaluer le caractère approprié des mesures prises conformément au présent règlement et en particulier aux paragraphes 5.1, 7.2 et 7.3.
  Ces renseignements doivent être communiqués a) avant la délivrance de la première homologation, seulement, conformément au présent règlement, et b) chaque fois que la méthode ou les critères d’évaluation sont mis à jour.
  Ces renseignements sont destinés à être partagés en vue de la compilation et l’analyse des meilleures pratiques et dans l’optique d’une application convergente des dispositions par toutes les autorités d’homologation qui appliquent le présent règlement. |
| --- | --- |

5.3.2.

Chaque partie contractante appliquant le présent règlement doit notifier et informer les autorités d’homologation des autres parties contractantes appliquant le présent règlement ONU, par l’intermédiaire de son autorité d’homologation, de la méthode et des critères servant de base à cette dernière pour évaluer le caractère approprié des mesures prises conformément au présent règlement et en particulier aux paragraphes 5.1, 7.2 et 7.3.

Ces renseignements doivent être communiqués a) avant la délivrance de la première homologation, seulement, conformément au présent règlement, et b) chaque fois que la méthode ou les critères d’évaluation sont mis à jour.

Ces renseignements sont destinés à être partagés en vue de la compilation et l’analyse des meilleures pratiques et dans l’optique d’une application convergente des dispositions par toutes les autorités d’homologation qui appliquent le présent règlement.

| 5.3.3. | Les renseignements visés au paragraphe 5.3.2 doivent être téléchargés en anglais dans la base de données électronique sécurisée DETA (2), établie par la Commission économique pour l’Europe, en temps voulu et au plus tard 14 jours avant la délivrance de la première homologation en application des méthodes et critères d’évaluation pertinents. Les renseignements doivent être suffisants pour permettre de comprendre quels objectifs minimaux l’autorité d’homologation a adoptés pour chaque prescription mentionnée au paragraphe 5.3.2, ainsi que les processus et mesures qu’elle applique pour vérifier que ces objectifs minimaux sont atteints (3). |
| --- | --- |

5.3.3.

Les renseignements visés au paragraphe 5.3.2 doivent être téléchargés en anglais dans la base de données électronique sécurisée DETA (2

3

| 5.3.4. | Lorsqu’elles reçoivent les renseignements visés au paragraphe 5.3.2, les autorités d’homologation peuvent soumettre des observations à l’autorité d’homologation émettrice en les téléchargeant dans la DETA dans un délai de 14 jours suivant la notification. |
| --- | --- |

5.3.4.

Lorsqu’elles reçoivent les renseignements visés au paragraphe 5.3.2, les autorités d’homologation peuvent soumettre des observations à l’autorité d’homologation émettrice en les téléchargeant dans la DETA dans un délai de 14 jours suivant la notification.

| 5.3.5. | Si l’autorité d’homologation accordant une homologation ne peut pas tenir compte des observations formulées en vertu du paragraphe 5.3.4, les autorités d’homologation qui les ont transmises et l’autorité d’homologation accordant une homologation doivent demander des éclaircissements en application de l’annexe 6 de l’accord de 1958. Le groupe de travail subsidiaire (4) du Forum mondial de l’harmonisation des règlements concernant les véhicules (WP.29) chargé du présent règlement doit convenir d’une interprétation commune des méthodes et critères d’évaluation (5). Cette interprétation commune doit être appliquée et toutes les autorités d’homologation doivent délivrer des homologations de type en conséquence, au titre du présent règlement. |
| --- | --- |

5.3.5.

Si l’autorité d’homologation accordant une homologation ne peut pas tenir compte des observations formulées en vertu du paragraphe 5.3.4, les autorités d’homologation qui les ont transmises et l’autorité d’homologation accordant une homologation doivent demander des éclaircissements en application de l’annexe 6 de l’accord de 1958. Le groupe de travail subsidiaire (4

5

| 5.3.6. | Chaque autorité d’homologation qui délivre une homologation de type en application du présent règlement doit en notifier les autres autorités d’homologation. L’homologation de type et les documents justificatifs doivent être téléchargés dans la DETA, en anglais, par l’autorité d’homologation, dans les 14 jours suivant la délivrance de ladite homologation (6). |
| --- | --- |

5.3.6.

Chaque autorité d’homologation qui délivre une homologation de type en application du présent règlement doit en notifier les autres autorités d’homologation. L’homologation de type et les documents justificatifs doivent être téléchargés dans la DETA, en anglais, par l’autorité d’homologation, dans les 14 jours suivant la délivrance de ladite homologation (6

| 5.3.7. | Les parties contractantes peuvent étudier les homologations délivrées sur la base des renseignements téléchargés en vertu du paragraphe 5.3.6. Toutes divergences de vues éventuelles entre les parties contractantes doivent être réglées conformément à l’article 10 et à l’annexe 6 de l’accord de 1958. Les parties contractantes doivent également informer le groupe de travail subsidiaire compétent du Forum mondial de l’harmonisation des règlements concernant les véhicules (WP.29) des interprétations divergentes au sens de l’annexe 6 de l’accord de 1958. Le groupe de travail compétent doit contribuer au règlement des divergences de vues et peut, au besoin, consulter le WP.29 à cet effet |
| --- | --- |

5.3.7.

Les parties contractantes peuvent étudier les homologations délivrées sur la base des renseignements téléchargés en vertu du paragraphe 5.3.6. Toutes divergences de vues éventuelles entre les parties contractantes doivent être réglées conformément à l’article 10 et à l’annexe 6 de l’accord de 1958. Les parties contractantes doivent également informer le groupe de travail subsidiaire compétent du Forum mondial de l’harmonisation des règlements concernant les véhicules (WP.29) des interprétations divergentes au sens de l’annexe 6 de l’accord de 1958. Le groupe de travail compétent doit contribuer au règlement des divergences de vues et peut, au besoin, consulter le WP.29 à cet effet

| 5.4. | Aux fins du paragraphe 7.2 du présent règlement, le constructeur doit veiller à ce que les aspects de la cybersécurité dont il est question dans le présent règlement soient mis en œuvre. |
| --- | --- |

5.4.

Aux fins du paragraphe 7.2 du présent règlement, le constructeur doit veiller à ce que les aspects de la cybersécurité dont il est question dans le présent règlement soient mis en œuvre.

6.   CERTIFICAT DE CONFORMITÉ DU SYSTÈME DE GESTION DE LA CYBERSÉCURITÉ

| 6.1. | Les parties contractantes doivent désigner une autorité d’homologation chargée de procéder à l’évaluation du constructeur et de délivrer le certificat de conformité du CSMS. |
| --- | --- |

6.1.

Les parties contractantes doivent désigner une autorité d’homologation chargée de procéder à l’évaluation du constructeur et de délivrer le certificat de conformité du CSMS.

| 6.2. | La demande de certificat de conformité du système de gestion de la cybersécurité doit être présentée par le constructeur du véhicule ou par son représentant dûment accrédité. |
| --- | --- |

6.2.

La demande de certificat de conformité du système de gestion de la cybersécurité doit être présentée par le constructeur du véhicule ou par son représentant dûment accrédité.

| 6.3. | Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes: |
| --- | --- |

6.3.

Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes:

| 6.3.1. | Une description du système de gestion de la cybersécurité; |
| --- | --- |

6.3.1.

Une description du système de gestion de la cybersécurité;

| 6.3.2. | Une déclaration signée conforme au modèle de l’appendice 1 de l’annexe 1. |
| --- | --- |

6.3.2.

Une déclaration signée conforme au modèle de l’appendice 1 de l’annexe 1.

| 6.4. | Dans le cadre de l’évaluation, le constructeur doit déclarer, à l’aide du modèle de l’appendice 1 de l’annexe 1, et démontrer à la satisfaction de l’autorité d’homologation ou de son service technique qu’il a mis en place les procédures requises pour satisfaire à toutes les prescriptions en matière de cybersécurité énoncées dans le présent règlement. |
| --- | --- |

6.4.

Dans le cadre de l’évaluation, le constructeur doit déclarer, à l’aide du modèle de l’appendice 1 de l’annexe 1, et démontrer à la satisfaction de l’autorité d’homologation ou de son service technique qu’il a mis en place les procédures requises pour satisfaire à toutes les prescriptions en matière de cybersécurité énoncées dans le présent règlement.

| 6.5. | Si les résultats de cette évaluation sont satisfaisants, et à réception d’une déclaration signée par le constructeur conforme au modèle de l’appendice 1 de l’annexe 1, un certificat appelé «certificat de conformité du CSMS» tel que décrit à l’annexe 4 du présent règlement est délivré au constructeur. |
| --- | --- |

6.5.

Si les résultats de cette évaluation sont satisfaisants, et à réception d’une déclaration signée par le constructeur conforme au modèle de l’appendice 1 de l’annexe 1, un certificat appelé «certificat de conformité du CSMS» tel que décrit à l’annexe 4 du présent règlement est délivré au constructeur.

| 6.6. | L’autorité d’homologation ou son service technique doit établir le certificat de conformité du CSMS en suivant le modèle de l’annexe 4 du présent règlement. |
| --- | --- |

6.6.

L’autorité d’homologation ou son service technique doit établir le certificat de conformité du CSMS en suivant le modèle de l’annexe 4 du présent règlement.

| 6.7. | Le certificat de conformité du CSMS a une durée de validité de trois ans au maximum à compter de la date de sa délivrance, à moins qu’il ne soit retiré. |
| --- | --- |

6.7.

Le certificat de conformité du CSMS a une durée de validité de trois ans au maximum à compter de la date de sa délivrance, à moins qu’il ne soit retiré.

| 6.8. | L’autorité d’homologation qui a délivré le certificat de conformité du CSMS peut à tout moment vérifier que les conditions de sa validité restent remplies. L’autorité d’homologation doit retirer le certificat de conformité du CSMS si les prescriptions énoncées dans le présent règlement ne sont plus respectées. |
| --- | --- |

6.8.

L’autorité d’homologation qui a délivré le certificat de conformité du CSMS peut à tout moment vérifier que les conditions de sa validité restent remplies. L’autorité d’homologation doit retirer le certificat de conformité du CSMS si les prescriptions énoncées dans le présent règlement ne sont plus respectées.

| 6.9. | Le constructeur doit informer l’autorité d’homologation ou son service technique de toute modification ayant une incidence sur la validité du certificat de conformité du CSMS. Après avoir consulté le constructeur, l’autorité d’homologation ou son service technique doit déterminer s’il convient de procéder à de nouvelles vérifications. |
| --- | --- |

6.9.

Le constructeur doit informer l’autorité d’homologation ou son service technique de toute modification ayant une incidence sur la validité du certificat de conformité du CSMS. Après avoir consulté le constructeur, l’autorité d’homologation ou son service technique doit déterminer s’il convient de procéder à de nouvelles vérifications.

| 6.10. | Le constructeur doit demander un nouveau certificat de conformité du CSMS ou une prolongation du certificat existant en temps voulu, de façon à permettre à l’autorité d’homologation d’achever son évaluation avant la fin de la période de validité du certificat de conformité du CSMS. Sous réserve d’une évaluation favorable, l’autorité d’homologation doit délivrer un nouveau certificat de conformité du CSMS ou prolonger la validité du certificat périmé pour une nouvelle période de trois ans. L’autorité d’homologation doit vérifier que le CSMS est toujours conforme aux prescriptions du présent règlement. L’autorité d’homologation doit délivrer un nouveau certificat lorsque des modifications ont été portées à son attention ou à celle de son service technique et que ces modifications ont fait l’objet d’une réévaluation favorable. |
| --- | --- |

6.10.

Le constructeur doit demander un nouveau certificat de conformité du CSMS ou une prolongation du certificat existant en temps voulu, de façon à permettre à l’autorité d’homologation d’achever son évaluation avant la fin de la période de validité du certificat de conformité du CSMS. Sous réserve d’une évaluation favorable, l’autorité d’homologation doit délivrer un nouveau certificat de conformité du CSMS ou prolonger la validité du certificat périmé pour une nouvelle période de trois ans. L’autorité d’homologation doit vérifier que le CSMS est toujours conforme aux prescriptions du présent règlement. L’autorité d’homologation doit délivrer un nouveau certificat lorsque des modifications ont été portées à son attention ou à celle de son service technique et que ces modifications ont fait l’objet d’une réévaluation favorable.

| 6.11. | L’expiration ou le retrait du certificat de conformité du CSMS accordé au constructeur doit faire l’objet d’un examen compte tenu du type de véhicules pour lesquels le CSMS concerné était pertinent, en tant que modification de l’approbation, comme indiqué au paragraphe 8, ce qui peut impliquer le retrait de l’homologation si les conditions d’octroi ne sont plus remplies. |
| --- | --- |

6.11.

L’expiration ou le retrait du certificat de conformité du CSMS accordé au constructeur doit faire l’objet d’un examen compte tenu du type de véhicules pour lesquels le CSMS concerné était pertinent, en tant que modification de l’approbation, comme indiqué au paragraphe 8, ce qui peut impliquer le retrait de l’homologation si les conditions d’octroi ne sont plus remplies.

7.   SPÉCIFICATIONS

| 7.1. | Spécifications générales |
| --- | --- |

7.1.

Spécifications générales

| 7.1.1. | Les prescriptions du présent règlement ne limitent pas les dispositions ou prescriptions d’autres règlements ONU. |
| --- | --- |

7.1.1.

Les prescriptions du présent règlement ne limitent pas les dispositions ou prescriptions d’autres règlements ONU.

| 7.2. | Prescriptions relatives au système de gestion de la cybersécurité |
| --- | --- |

7.2.

Prescriptions relatives au système de gestion de la cybersécurité

| 7.2.1. | Aux fins de l’évaluation, l’autorité d’homologation ou son service technique doit vérifier que le constructeur du véhicule dispose d’un système de gestion de la cybersécurité et que celui-ci est conforme au présent règlement. |
| --- | --- |

7.2.1.

Aux fins de l’évaluation, l’autorité d’homologation ou son service technique doit vérifier que le constructeur du véhicule dispose d’un système de gestion de la cybersécurité et que celui-ci est conforme au présent règlement.

| 7.2.2. | Le système de gestion de la cybersécurité doit couvrir les aspects suivants: |
| --- | --- |

7.2.2.

Le système de gestion de la cybersécurité doit couvrir les aspects suivants:

| 7.2.2.1. | Le constructeur du véhicule doit démontrer à l’autorité d’homologation ou à son service technique que son système de gestion de la cybersécurité s’applique aux phases suivantes:






  a) | phase de développement; |
| --- | --- | --- |

7.2.2.1.

Le constructeur du véhicule doit démontrer à l’autorité d’homologation ou à son service technique que son système de gestion de la cybersécurité s’applique aux phases suivantes:

a)

phase de développement;

| b) | phase de production; |
| --- | --- |

b)

phase de production;

| c) | phase de postproduction. |
| --- | --- |

c)

phase de postproduction.

| 7.2.2.2. | Le constructeur du véhicule doit démontrer que les processus mis en œuvre dans le cadre de son système de gestion de la cybersécurité garantissent que la sécurité est dûment prise en compte, notamment au regard des risques et mesures d’atténuation énumérés à l’annexe 5. Ces processus comprennent:






  a) | les processus mis en œuvre en interne par le constructeur pour gérer la cybersécurité; |
| --- | --- | --- |

7.2.2.2.

Le constructeur du véhicule doit démontrer que les processus mis en œuvre dans le cadre de son système de gestion de la cybersécurité garantissent que la sécurité est dûment prise en compte, notamment au regard des risques et mesures d’atténuation énumérés à l’annexe 5. Ces processus comprennent:

a)

les processus mis en œuvre en interne par le constructeur pour gérer la cybersécurité;

| b) | les processus mis en œuvre pour répertorier les risques auxquels chaque type de véhicule est exposé. Dans le cadre de ces processus, les menaces énumérées dans la partie A de l’annexe 5 et les autres menaces pertinentes doivent être prises en compte; |
| --- | --- |

b)

les processus mis en œuvre pour répertorier les risques auxquels chaque type de véhicule est exposé. Dans le cadre de ces processus, les menaces énumérées dans la partie A de l’annexe 5 et les autres menaces pertinentes doivent être prises en compte;

| c) | les processus mis en œuvre pour apprécier, catégoriser et traiter les risques répertoriés; |
| --- | --- |

c)

les processus mis en œuvre pour apprécier, catégoriser et traiter les risques répertoriés;

| d) | les processus en place pour vérifier que les risques répertoriés sont correctement gérés; |
| --- | --- |

d)

les processus en place pour vérifier que les risques répertoriés sont correctement gérés;

| e) | les processus mis en œuvre pour contrôler la cybersécurité d’un type de véhicule; |
| --- | --- |

e)

les processus mis en œuvre pour contrôler la cybersécurité d’un type de véhicule;

| f) | les processus mis en œuvre pour garantir que l’appréciation des risques est actualisée; |
| --- | --- |

f)

les processus mis en œuvre pour garantir que l’appréciation des risques est actualisée;

| g) | les processus mis en œuvre, s’agissant de chaque type de véhicule, pour surveiller et détecter les cyberattaques, les cybermenaces et les vulnérabilités et y réagir, et les processus mis en œuvre pour évaluer si les mesures de cybersécurité prises sont toujours efficaces à la lumière des nouvelles cybermenaces et vulnérabilités qui ont été répertoriées; |
| --- | --- |

g)

les processus mis en œuvre, s’agissant de chaque type de véhicule, pour surveiller et détecter les cyberattaques, les cybermenaces et les vulnérabilités et y réagir, et les processus mis en œuvre pour évaluer si les mesures de cybersécurité prises sont toujours efficaces à la lumière des nouvelles cybermenaces et vulnérabilités qui ont été répertoriées;

| h) | les processus mis en œuvre pour recueillir les données utiles à l’analyse des tentatives de cyberattaque et des cyberattaques. |
| --- | --- |

h)

les processus mis en œuvre pour recueillir les données utiles à l’analyse des tentatives de cyberattaque et des cyberattaques.

| 7.2.2.3. | Le constructeur du véhicule doit démontrer que les processus mis en œuvre dans le cadre de son système de gestion de la cybersécurité garantissent que, sur la base des catégories mentionnées aux alinéas c) et g) du paragraphe 7.2.2.2, les cybermenaces et les vulnérabilités auxquelles il doit réagir sont atténuées dans un délai raisonnable. |
| --- | --- |

7.2.2.3.

Le constructeur du véhicule doit démontrer que les processus mis en œuvre dans le cadre de son système de gestion de la cybersécurité garantissent que, sur la base des catégories mentionnées aux alinéas c) et g) du paragraphe 7.2.2.2, les cybermenaces et les vulnérabilités auxquelles il doit réagir sont atténuées dans un délai raisonnable.

| 7.2.2.4. | Le constructeur du véhicule doit démontrer que les processus mis en œuvre dans le cadre de son système de gestion de la cybersécurité garantissent que la surveillance mentionnée à l’alinéa g) du paragraphe 7.2.2.2 est permanente. Cette surveillance doit:






  a) | commencer dès la première immatriculation du véhicule; |
| --- | --- | --- |

7.2.2.4.

Le constructeur du véhicule doit démontrer que les processus mis en œuvre dans le cadre de son système de gestion de la cybersécurité garantissent que la surveillance mentionnée à l’alinéa g) du paragraphe 7.2.2.2 est permanente. Cette surveillance doit:

a)

commencer dès la première immatriculation du véhicule;

| b) | permettre d’analyser et de détecter les cybermenaces, les vulnérabilités et les cyberattaques à partir des données et des journaux du véhicule. Cette capacité doit s’exercer conformément au paragraphe 1.3 et dans le respect des droits des propriétaires ou des conducteurs des véhicules en matière de vie privée, en particulier s’agissant du consentement. |
| --- | --- |

b)

permettre d’analyser et de détecter les cybermenaces, les vulnérabilités et les cyberattaques à partir des données et des journaux du véhicule. Cette capacité doit s’exercer conformément au paragraphe 1.3 et dans le respect des droits des propriétaires ou des conducteurs des véhicules en matière de vie privée, en particulier s’agissant du consentement.

| 7.2.2.5. | Le constructeur du véhicule doit montrer comment son système de gestion de la cybersécurité gérera les dépendances pouvant exister avec ses fournisseurs, ses prestataires de services ou ses sous-entités en ce qui concerne les prescriptions du paragraphe 7.2.2.2. |
| --- | --- |

7.2.2.5.

Le constructeur du véhicule doit montrer comment son système de gestion de la cybersécurité gérera les dépendances pouvant exister avec ses fournisseurs, ses prestataires de services ou ses sous-entités en ce qui concerne les prescriptions du paragraphe 7.2.2.2.

| 7.3. | Prescriptions relatives aux types de véhicules |
| --- | --- |

7.3.

Prescriptions relatives aux types de véhicules

| 7.3.1. | Le constructeur doit disposer d’un certificat de conformité valide pour le système de gestion de la cybersécurité correspondant au type de véhicule à homologuer.
  Toutefois, pour les homologations de type antérieures au 1er juillet 2024, si le constructeur peut donner la preuve que le type de véhicule n’a pas pu être développé conformément au système de gestion de la cybersécurité, il doit démontrer que la cybersécurité a été dûment prise en compte pendant la phase de développement du type de véhicule en question. |
| --- | --- |

7.3.1.

Le constructeur doit disposer d’un certificat de conformité valide pour le système de gestion de la cybersécurité correspondant au type de véhicule à homologuer.

Toutefois, pour les homologations de type antérieures au 1er juillet 2024, si le constructeur peut donner la preuve que le type de véhicule n’a pas pu être développé conformément au système de gestion de la cybersécurité, il doit démontrer que la cybersécurité a été dûment prise en compte pendant la phase de développement du type de véhicule en question.

er

| 7.3.2. | Le constructeur du véhicule doit répertorier et gérer, pour le type de véhicule à homologuer, les risqués liés aux fournisseurs. |
| --- | --- |

7.3.2.

Le constructeur du véhicule doit répertorier et gérer, pour le type de véhicule à homologuer, les risqués liés aux fournisseurs.

| 7.3.3. | Le constructeur doit répertorier les éléments critiques du type de véhicule concerné, procéder à une appréciation des risques complète pour ce type de véhicule et traiter ou gérer correctement les risques répertoriés. L’appréciation des risques doit tenir compte de chaque élément du type de véhicule et des interactions entre ces éléments. Elle doit également porter sur les interactions avec tout système externe. Dans le cadre de l’appréciation des risques, le constructeur du véhicule doit tenir compte des risques liés à toutes les menaces visées dans la partie A de l’annexe 5 ainsi que de tout autre risque pertinent. |
| --- | --- |

7.3.3.

Le constructeur doit répertorier les éléments critiques du type de véhicule concerné, procéder à une appréciation des risques complète pour ce type de véhicule et traiter ou gérer correctement les risques répertoriés. L’appréciation des risques doit tenir compte de chaque élément du type de véhicule et des interactions entre ces éléments. Elle doit également porter sur les interactions avec tout système externe. Dans le cadre de l’appréciation des risques, le constructeur du véhicule doit tenir compte des risques liés à toutes les menaces visées dans la partie A de l’annexe 5 ainsi que de tout autre risque pertinent.

| 7.3.4. | Le constructeur doit protéger le type de véhicule contre les risques répertoriés dans le cadre de son appréciation des risques et, à cette fin, prendre des mesures d’atténuation proportionnées. Celles-ci doivent comprendre toutes les mesures mentionnées dans les parties B et C de l’annexe 5 qui sont pertinentes au regard des risques répertoriés. Toutefois, si une mesure d’atténuation mentionnée dans la partie B ou C de l’annexe 5 n’est pas pertinente ou suffisante au regard du risque répertorié, le constructeur du véhicule doit s’assurer qu’une mesure de remplacement appropriée est mise en œuvre.
  En particulier, pour les homologations de type antérieures au 1er juillet 2024, le constructeur du véhicule doit s’assurer qu’une mesure de remplacement appropriée est mise en œuvre si une mesure d’atténuation mentionnée dans la partie B ou C de l’annexe 5 n’est pas faisable d’un point de vue technique. Le cas échéant, le constructeur doit communiquer l’évaluation de la faisabilité technique à l’autorité d’homologation. |
| --- | --- |

7.3.4.

Le constructeur doit protéger le type de véhicule contre les risques répertoriés dans le cadre de son appréciation des risques et, à cette fin, prendre des mesures d’atténuation proportionnées. Celles-ci doivent comprendre toutes les mesures mentionnées dans les parties B et C de l’annexe 5 qui sont pertinentes au regard des risques répertoriés. Toutefois, si une mesure d’atténuation mentionnée dans la partie B ou C de l’annexe 5 n’est pas pertinente ou suffisante au regard du risque répertorié, le constructeur du véhicule doit s’assurer qu’une mesure de remplacement appropriée est mise en œuvre.

En particulier, pour les homologations de type antérieures au 1er juillet 2024, le constructeur du véhicule doit s’assurer qu’une mesure de remplacement appropriée est mise en œuvre si une mesure d’atténuation mentionnée dans la partie B ou C de l’annexe 5 n’est pas faisable d’un point de vue technique. Le cas échéant, le constructeur doit communiquer l’évaluation de la faisabilité technique à l’autorité d’homologation.

er

| 7.3.5. | Le constructeur du véhicule doit mettre en œuvre des mesures appropriées et proportionnées pour sécuriser les environnements du type du véhicule prévus (le cas échéant) pour le stockage et l’exécution des logiciels, services, applications ou données du marché secondaire. |
| --- | --- |

7.3.5.

Le constructeur du véhicule doit mettre en œuvre des mesures appropriées et proportionnées pour sécuriser les environnements du type du véhicule prévus (le cas échéant) pour le stockage et l’exécution des logiciels, services, applications ou données du marché secondaire.

| 7.3.6. | Le constructeur du véhicule doit effectuer, avant l’homologation de type, des essais appropriés et suffisants afin de s’assurer de l’efficacité des mesures de sécurité mises en œuvre. |
| --- | --- |

7.3.6.

Le constructeur du véhicule doit effectuer, avant l’homologation de type, des essais appropriés et suffisants afin de s’assurer de l’efficacité des mesures de sécurité mises en œuvre.

| 7.3.7. | Le constructeur du véhicule doit mettre en œuvre des mesures correspondant au type de véhicule pour:






  a) | détecter et prévenir les cyberattaques contre les véhicules de ce type; |
| --- | --- | --- |

7.3.7.

Le constructeur du véhicule doit mettre en œuvre des mesures correspondant au type de véhicule pour:

a)

détecter et prévenir les cyberattaques contre les véhicules de ce type;

| b) | renforcer ses capacités de surveillance aux fins de la détection des menaces, vulnérabilités et cyberattaques qui concernent ce type de véhicule; |
| --- | --- |

b)

renforcer ses capacités de surveillance aux fins de la détection des menaces, vulnérabilités et cyberattaques qui concernent ce type de véhicule;

| c) | disposer des capacités de traitement des données permettant d’analyser les tentatives de cyberattaque et les cyberattaques. |
| --- | --- |

c)

disposer des capacités de traitement des données permettant d’analyser les tentatives de cyberattaque et les cyberattaques.

| 7.3.8. | Les modules cryptographiques utilisés aux fins du présent règlement doivent être conformes aux normes consensuelles. Dans le cas contraire, le constructeur du véhicule doit justifier leur utilisation. |
| --- | --- |

7.3.8.

Les modules cryptographiques utilisés aux fins du présent règlement doivent être conformes aux normes consensuelles. Dans le cas contraire, le constructeur du véhicule doit justifier leur utilisation.

| 7.4. | Dispositions relatives à la communication de l’information |
| --- | --- |

7.4.

Dispositions relatives à la communication de l’information

| 7.4.1. | Le constructeur du véhicule doit rendre compte, au moins une fois par an et, si nécessaire, plus fréquemment, à l’autorité d’homologation ou à son service technique des résultats de ses activités de surveillance, telles que définies à l’alinéa g) du paragraphe 7.2.2.2, notamment en communiquant des informations relatives aux nouvelles cyberattaques. Le constructeur doit également confirmer à l’autorité d’homologation ou à son service technique que les mesures d’atténuation des cyberattaques mises en œuvre pour les types de véhicules concernés demeurent efficaces, et l’informer des mesures supplémentaires éventuellement prises. |
| --- | --- |

7.4.1.

Le constructeur du véhicule doit rendre compte, au moins une fois par an et, si nécessaire, plus fréquemment, à l’autorité d’homologation ou à son service technique des résultats de ses activités de surveillance, telles que définies à l’alinéa g) du paragraphe 7.2.2.2, notamment en communiquant des informations relatives aux nouvelles cyberattaques. Le constructeur doit également confirmer à l’autorité d’homologation ou à son service technique que les mesures d’atténuation des cyberattaques mises en œuvre pour les types de véhicules concernés demeurent efficaces, et l’informer des mesures supplémentaires éventuellement prises.

| 7.4.2. | L’autorité d’homologation ou son service technique doit vérifier les informations communiquées et, si nécessaire, demander au constructeur du véhicule de remédier aux faiblesses éventuellement détectées.
  Si les informations communiquées ou la réponse apportée ne suffisent pas, l’autorité d’homologation peut décider de retirer le certificat de conformité du CSMS en application du paragraphe 6.8. |
| --- | --- |

7.4.2.

L’autorité d’homologation ou son service technique doit vérifier les informations communiquées et, si nécessaire, demander au constructeur du véhicule de remédier aux faiblesses éventuellement détectées.

Si les informations communiquées ou la réponse apportée ne suffisent pas, l’autorité d’homologation peut décider de retirer le certificat de conformité du CSMS en application du paragraphe 6.8.

8.   MODIFICATION DU TYPE DE VÉHICULE ET EXTENSION DE L’HOMOLOGATION DE TYPE

| 8.1. | Toute modification du type de véhicule ayant une incidence sur ses caractéristiques techniques en ce qui concerne la cybersécurité et/ou sur la documentation prescrite dans le présent règlement doit être portée à la connaissance de l’autorité d’homologation ayant délivré l’homologation correspondante. Cette dernière peut alors: |
| --- | --- |

8.1.

Toute modification du type de véhicule ayant une incidence sur ses caractéristiques techniques en ce qui concerne la cybersécurité et/ou sur la documentation prescrite dans le présent règlement doit être portée à la connaissance de l’autorité d’homologation ayant délivré l’homologation correspondante. Cette dernière peut alors:

| 8.1.1. | Soit considérer que le véhicule ainsi modifié est toujours conforme aux prescriptions et à la documentation correspondant à l’homologation de type existante; |
| --- | --- |

8.1.1.

Soit considérer que le véhicule ainsi modifié est toujours conforme aux prescriptions et à la documentation correspondant à l’homologation de type existante;

| 8.1.2. | Soit réaliser une évaluation complémentaire nécessaire en vertu du paragraphe 5 et exiger, le cas échéant, un nouveau procès-verbal du service technique chargé des essais. |
| --- | --- |

8.1.2.

Soit réaliser une évaluation complémentaire nécessaire en vertu du paragraphe 5 et exiger, le cas échéant, un nouveau procès-verbal du service technique chargé des essais.

| 8.1.3. | La confirmation, l’extension ou le refus de l’homologation, faisant mention des modifications apportées, doit être notifié au moyen d’une fiche de communication conforme au modèle de l’annexe 2 du présent règlement. L’autorité d’homologation qui délivre une extension d’homologation doit attribuer un numéro de série à ladite extension et en informer les autres parties à l’accord de 1958 appliquant le présent règlement au moyen d’une fiche de communication conforme au modèle de l’annexe 2 dudit règlement. |
| --- | --- |

8.1.3.

La confirmation, l’extension ou le refus de l’homologation, faisant mention des modifications apportées, doit être notifié au moyen d’une fiche de communication conforme au modèle de l’annexe 2 du présent règlement. L’autorité d’homologation qui délivre une extension d’homologation doit attribuer un numéro de série à ladite extension et en informer les autres parties à l’accord de 1958 appliquant le présent règlement au moyen d’une fiche de communication conforme au modèle de l’annexe 2 dudit règlement.

9.   CONFORMITÉ DE LA PRODUCTION

| 9.1. | Les procédures relatives à la conformité de la production doivent correspondre à celles qui sont énoncées dans l’annexe 1 de l’accord de 1958 (E/ECE/TRANS/505/Rev.3) et satisfaire aux prescriptions suivantes: |
| --- | --- |

9.1.

Les procédures relatives à la conformité de la production doivent correspondre à celles qui sont énoncées dans l’annexe 1 de l’accord de 1958 (E/ECE/TRANS/505/Rev.3) et satisfaire aux prescriptions suivantes:

| 9.1.1. | Le titulaire de l’homologation doit veiller à ce que les résultats des essais de contrôle de la conformité de la production soient enregistrés et que les documents annexés restent disponibles pour une période fixée en accord avec l’autorité d’homologation ou son service technique. Cette période ne doit pas excéder 10 ans à partir de la date de l’arrêt définitif de la production; |
| --- | --- |

9.1.1.

Le titulaire de l’homologation doit veiller à ce que les résultats des essais de contrôle de la conformité de la production soient enregistrés et que les documents annexés restent disponibles pour une période fixée en accord avec l’autorité d’homologation ou son service technique. Cette période ne doit pas excéder 10 ans à partir de la date de l’arrêt définitif de la production;

| 9.1.2. | L’autorité qui a accordé l’homologation de type peut à tout moment vérifier les méthodes de contrôle de la conformité appliquées dans chaque unité de production. La fréquence normale de ces vérifications est d’une fois tous les trois ans. |
| --- | --- |

9.1.2.

L’autorité qui a accordé l’homologation de type peut à tout moment vérifier les méthodes de contrôle de la conformité appliquées dans chaque unité de production. La fréquence normale de ces vérifications est d’une fois tous les trois ans.

10.   SANCTIONS POUR NON-CONFORMITÉ DE LA PRODUCTION

| 10.1. | L’homologation délivrée pour un type de véhicule en application du présent règlement peut être retirée si les prescriptions énoncées dans ledit règlement ne sont pas respectées ou si les véhicules prélevés ne satisfont pas auxdites prescriptions. |
| --- | --- |

10.1.

L’homologation délivrée pour un type de véhicule en application du présent règlement peut être retirée si les prescriptions énoncées dans ledit règlement ne sont pas respectées ou si les véhicules prélevés ne satisfont pas auxdites prescriptions.

| 10.2. | Lorsqu’une autorité d’homologation retire une homologation qu’elle avait accordée, elle doit en aviser immédiatement les parties contractantes appliquant le présent règlement par l’envoi d’une fiche de communication conforme au modèle de l’annexe 2 dudit règlement. |
| --- | --- |

10.2.

Lorsqu’une autorité d’homologation retire une homologation qu’elle avait accordée, elle doit en aviser immédiatement les parties contractantes appliquant le présent règlement par l’envoi d’une fiche de communication conforme au modèle de l’annexe 2 dudit règlement.

11.   ARRÊT DÉFINITIF DE LA PRODUCTION

| 11.1. | Si le titulaire d’une homologation cesse définitivement la production d’un type de véhicule homologué conformément au présent règlement, il doit en informer l’autorité qui a délivré l’homologation, laquelle, à son tour, avise les parties à l’accord appliquant ledit règlement, au moyen d’une copie de la fiche d’homologation portant à la fin, en gros caractères, la mention signée et datée «PRODUCTION ARRÊTÉE». |
| --- | --- |

11.1.

Si le titulaire d’une homologation cesse définitivement la production d’un type de véhicule homologué conformément au présent règlement, il doit en informer l’autorité qui a délivré l’homologation, laquelle, à son tour, avise les parties à l’accord appliquant ledit règlement, au moyen d’une copie de la fiche d’homologation portant à la fin, en gros caractères, la mention signée et datée «PRODUCTION ARRÊTÉE».

12.   NOMS ET ADRESSES DES SERVICES TECHNIQUES CHARGÉS DES ESSAIS D’HOMOLOGATION ET DES AUTORITÉS D’HOMOLOGATION DE TYPE

| 12.1. | Les parties à l’accord appliquant le présent règlement communiquent au Secrétariat de l’Organisation des Nations Unies les noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type qui délivrent les homologations et auxquelles doivent être envoyées les fiches d’homologation ou d’extension, de refus ou de retrait d’homologation émises dans les autres pays. |
| --- | --- |

12.1.

Les parties à l’accord appliquant le présent règlement communiquent au Secrétariat de l’Organisation des Nations Unies les noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type qui délivrent les homologations et auxquelles doivent être envoyées les fiches d’homologation ou d’extension, de refus ou de retrait d’homologation émises dans les autres pays.

---

(1)  Voir par exemple les normes ISO 26262-2018, ISO/PAS 21448 et ISO/SAE 21434.

1

(2)  https://www.unece.org/trans/main/wp29/datasharing.html

2

(3)  Des lignes directrices concernant les renseignements (méthode, critères et objectifs minimaux, par exemple) à télécharger et le format à utiliser doivent être données dans le document d’interprétation que le groupe de travail informel de la cybersécurité et des questions de sûreté des transmissions sans fil (CS/OTA) prépare pour la septième session du GRVA.

3

(4)  Groupe de travail des véhicules automatisés/autonomes et connectés (GRVA).

4

(5)  Cette interprétation doit être prise en compte dans le document d'interprétation mentionné dans la note de bas de page du paragraphe 5.3.3.

5

(6)  Des renseignements complémentaires sur les prescriptions minimales concernant les documents seront préparés par le GRA durant sa septième session.

6

---

ANNEXE 1

Fiche de renseignements

Les renseignements ci-dessous doivent, s’il y a lieu, être fournis en triple exemplaire et être accompagnés d’une table des matières. Les schémas, s’il y en a, doivent être fournis à l’échelle appropriée, au format A4 ou pliés à ce format, et être suffisamment détaillés. Les photographies, s’il y en a, doivent être suffisamment détaillées.

1.

Marque (raison sociale du constructeur): ...

2.

Type et dénomination(s) commerciale(s) générale(s): ...

3.

Moyen d’identification du type, s’il est indiqué sur le véhicule: ...

4.

Emplacement de cette marque: ...

5.

Catégorie(s) du véhicule: ...

6.

Nom et adresse du constructeur ou de son représentant: ...

7.

Nom(s) et adresse(s) de l’atelier (des ateliers) de montage: ...

8.

Photographie(s) ou dessin(s) d’un véhicule type: ...

9.

Cybersécurité

9.1.

| a) | les systèmes du véhicule qui sont pertinents pour la cybersécurité du type de véhicule; |
| --- | --- |

a)

les systèmes du véhicule qui sont pertinents pour la cybersécurité du type de véhicule;

| b) | les composants de ces systèmes qui sont pertinents pour la cybersécurité; |
| --- | --- |

b)

les composants de ces systèmes qui sont pertinents pour la cybersécurité;

| c) | les interactions de ces systèmes avec d’autres systèmes du type de véhicule et les interfaces externes. |
| --- | --- |

c)

les interactions de ces systèmes avec d’autres systèmes du type de véhicule et les interfaces externes.

9.2.

Représentation schématique du type de véhicule

9.3.

Numéro du certificat de conformité du CSMS: ...

9.4.

Documents relatifs au type de véhicule à homologuer décrivant les résultats de l’appréciation des risques et les risques répertoriés: ...

9.5.

Documents relatifs au type de véhicule à homologuer décrivant les mesures d’atténuation qui ont été mises en œuvre sur les systèmes énumérés ou sur le type de véhicule, et la façon dont elles permettent de gérer les risques répertoriés: ...

9.6.

Documents relatifs au type de véhicule à homologuer décrivant la protection des environnements prévus pour les logiciels, services, applications ou données du marché secondaire: ...

9.7.

Documents relatifs au type de véhicule à homologuer décrivant les essais qui ont été effectués pour vérifier la cybersécurité du type de véhicule et de ses systèmes et les résultats de ces essais: ...

9.8.

Description de la prise en compte de la chaîne d’approvisionnement en ce qui concerne la cybersécurité: ...

Appendice 1 de l’annexe 1

Modèle de déclaration de conformité du CSMS à établir par le constructeur

Déclaration du constructeur s’agissant de la conformité du système de gestion de la cybersécurité aux prescriptions y relatives

Nom du constructeur: ...

Adresse du constructeur: ...

... (nom du constructeur) atteste que les processus nécessaires pour satisfaire aux prescriptions relatives au système de gestion de la cybersécurité énoncées au paragraphe 7.2 du règlement ONU no 155 sont en place et qu’ils seront maintenus..........

Fait à: ... (lieu)

Le: ...

Nom du signataire: ...

Fonction du signataire: ...

...

(Cachet et signature du représentant du constructeur)

---

ANNEXE 2

Fiche de communication

[Format maximal: A4 (210 × 297 mm)]

| (1) | Émanant de: | Nom de l’administration:
  ...
  ...
  ... |
| --- | --- | --- |

Image 11

Émanant de:

Nom de l’administration:

...

...

...

| concernant (2) | Délivrance d’une homologation
  Extension d’homologation
  Retrait d’homologation avec effet au jj/mm/aaaa
  Refus d’homologation
  Arrêt définitif de la production |
| --- | --- |

concernant (2)

Délivrance d’une homologation

Extension d’homologation

Retrait d’homologation avec effet au jj/mm/aaaa

Refus d’homologation

Arrêt définitif de la production

d’un type de véhicule, conformément au règlement ONU no 155.

No d’homologation: ...

No d’extension: ...

Motif de l’extension: ...

1.

Marque (raison sociale du constructeur): ...

2.

Type et dénomination(s) commerciale(s) générale(s): ...

3.

Moyen d’identification du type, s’il est indiqué sur le véhicule: ...

3.1.

Emplacement de cette marque: ...

4.

Catégorie(s) du véhicule: ...

5.

Nom et adresse du constructeur ou de son représentant: ...

6.

Nom(s) et adresse(s) de l’atelier (des ateliers) de montage: ...

7.

Numéro du certificat de conformité du système de gestion de la cybersécurité: ...

8.

Service technique chargé des essais: ...

9.

Date du procès-verbal d’essai: ...

10.

Numéro du procès-verbal d’essai: ...

11.

Remarques (le cas échéant): ...

12.

Lieu: ...

13.

Date: ...

14.

Signature: ...

15.

On trouvera en annexe la liste des documents du dossier d’homologation déposé auprès de l’autorité d’homologation, qui peut être obtenu sur demande.

---

(1)  Numéro distinctif du pays qui a accordé/étendu/refusé/retiré l’homologation (voir les dispositions du présent règlement relatives à l’homologation).

1

(2)  Biffer la mention inutile.:

2

---

ANNEXE 3

Exemple de marque d’homologation

MODÈLE A

(Voir le paragraphe 4.2 du présent règlement)

Image 12

a = 8 mm min.

La marque d’homologation ci-dessus, apposée sur un véhicule, indique que le type de ce véhicule a été homologué aux Pays-Bas (E 4), en application du règlement no 155, sous le numéro d’homologation 001234. Les deux premiers chiffres du numéro d’homologation (00) signifient que l’homologation a été délivrée conformément aux prescriptions dudit règlement sous sa forme originale.

---

ANNEXE 4

Modèle de certificat de conformité du CSMS

Certificat de conformité du système de gestion de la cybersécurité

avec le règlement ONU no 155

Numéro de certificat [numéro de référence]

[....... autorité d’homologation]

Certifie que

Nom du constructeur: ...

Adresse du constructeur: ...

est en conformité avec les dispositions du paragraphe 7.2 du règlement no 155.

Des contrôles ont été effectués le: ...

par (nom et adresse de l’autorité d’homologation ou du service technique): ...

Numéro du procès-verbal: ...

Le présent certificat est valable jusqu’au: [... date]

Fait à: [.........................................................lieu]

Le: [...................................................date]

[.........................................................signature]

Pièces jointes: description du système de gestion de la cybersécurité établie par le constructeur.

---

ANNEXE 5

Liste des menaces et des mesures d’atténuation correspondantes

1.

La présente annexe se compose de trois parties. La partie A décrit l’état de référence des menaces, vulnérabilités et méthodes d’attaque. La partie B décrit les mesures d’atténuation des menaces visant les types de véhicule. La partie C décrit les mesures d’atténuation des menaces visant les zones situées en dehors des véhicules, par exemple les systèmes dorsaux.

2.

Les parties A, B et C doivent être prises en compte dans le cadre de l’appréciation des risques et des mesures d’atténuation que les constructeurs de véhicules doivent mettre en œuvre.

3.

La vulnérabilité de haut niveau et les exemples correspondants ont été indexés dans la partie A. La même indexation a été référencée dans les tableaux des parties B et C pour établir un lien entre chaque attaque ou vulnérabilité et les mesures d’atténuation correspondantes.

4.

| a) | compromettre la sécurité d’utilisation du véhicule; |
| --- | --- |

a)

compromettre la sécurité d’utilisation du véhicule;

| b) | interrompre certaines fonctions du véhicule; |
| --- | --- |

b)

interrompre certaines fonctions du véhicule;

| c) | modifier des logiciels et altérer les performances; |
| --- | --- |

c)

modifier des logiciels et altérer les performances;

| d) | modifier des logiciels sans avoir d’effet sur le fonctionnement; |
| --- | --- |

d)

modifier des logiciels sans avoir d’effet sur le fonctionnement;

| e) | compromettre l’intégrité des données; |
| --- | --- |

e)

compromettre l’intégrité des données;

| f) | compromettre la confidentialité des données; |
| --- | --- |

f)

compromettre la confidentialité des données;

| g) | interdire l’accès aux données; |
| --- | --- |

g)

interdire l’accès aux données;

| h) | avoir d’autres conséquences, par exemple d’ordre criminel. |
| --- | --- |

h)

avoir d’autres conséquences, par exemple d’ordre criminel.

Partie A — Vulnérabilités ou méthodes d’attaque liées aux menaces

| 1. | Des descriptions de haut niveau des menaces et des vulnérabilités ou des méthodes d’attaque correspondantes sont présentées dans le tableau A1.

  Tableau A1


  Liste de vulnérabilités ou de méthodes d’attaque liées aux menaces










  Descriptions de haut niveau et de sous-niveau de la vulnérabilité/menace | Exemple de vulnérabilité ou de méthode d’attaque |
| --- | --- | --- |
| 4.3.1. | Menaces concernant les serveurs dorsaux liés aux véhicules en circulation |

1.

Des descriptions de haut niveau des menaces et des vulnérabilités ou des méthodes d’attaque correspondantes sont présentées dans le tableau A1.

Tableau A1

Tableau A1

Liste de vulnérabilités ou de méthodes d’attaque liées aux menaces

Liste de vulnérabilités ou de méthodes d’attaque liées aux menaces

Descriptions de haut niveau et de sous-niveau de la vulnérabilité/menace

Exemple de vulnérabilité ou de méthode d’attaque

4.3.1.

Menaces concernant les serveurs dorsaux liés aux véhicules en circulation

1

Serveurs dorsaux utilisés pour attaquer un véhicule ou extraire des données

1.1

Abus de privilèges de la part du personnel (attaque d’initié)

1.2

Accès Internet non autorisé au serveur (activé par exemple par des portes dérobées, des vulnérabilités logicielles système non corrigées, des attaques SQL ou d’autres moyens)

1.3

Accès physique non autorisé au serveur (au moyen, par exemple, de clefs USB ou d’autres supports connectés au serveur)

2

Services d’un serveur dorsal perturbés, entravant le fonctionnement d’un véhicule

2.1

Attaque d’un serveur dorsal bloquant son fonctionnement, par exemple en l’empêchant d’interagir avec les véhicules et de fournir les services dont ils ont besoin

3

Données liées aux véhicules stockées sur des serveurs dorsaux perdues ou compromises («violation des données»)

3.1

Abus de privilèges de la part du personnel (attaque d’initié)

3.2

Perte d’informations dans le «nuage». Des données sensibles peuvent être perdues en raison d’attaques ou d’accidents lorsque les données sont stockées par des fournisseurs de services en nuage tiers

3.3

Accès Internet non autorisé au serveur (activé par exemple par des portes dérobées, des vulnérabilités logicielles système non corrigées, des attaques SQL ou d’autres moyens)

3.4

Accès physique non autorisé au serveur (au moyen, par exemple, de clef USB ou d’autres supports connectés au serveur)

3.5

Atteinte à la sécurité de l’information due au partage involontaire de données (par exemple, erreurs administratives)

| 4.3.2. | Menaces pour les véhicules liées à leurs voies de communication |
| --- | --- |

4.3.2.

Menaces pour les véhicules liées à leurs voies de communication

4

Simulation de messages ou de données reçus par le véhicule

4.1

Simulation de messages par usurpation d’identité (802.11p V2X en cas de circulation en peloton, messages GNSS, etc.)

4.2

Attaque Sybil (visant à simuler d’autres véhicules pour faire croire qu’il y en a beaucoup sur la route)

5

Voies de communication utilisées pour effectuer des manipulations, suppressions ou autres modifications non autorisées du code ou des données du véhicule

5.1

Les voies de communication permettent l’injection de code, par exemple un code binaire altéré peut être injecté dans le flux de communication

5.2

Les voies de communication permettent de manipuler les données ou le code du véhicule

5.3

Les voies de communication permettent d’écraser les données ou le code du véhicule

5.4

Les voies de communication permettent d’effacer les données ou le code du véhicule

5.5

Les voies de communication permettent l’introduction de données ou de code dans le véhicule (écriture de données ou de code)

6

Voies de communication permettant l’acceptation de messages non fiables, ou vulnérables au détournement de session ou aux attaques par rejeu

6.1

Acceptation d’informations provenant d’une source non fiable

6.2

Attaque de l’homme du milieu/détournement de session

6.3

Attaque par rejeu, par exemple une attaque contre une passerelle de communication permettant à l’attaquant d’installer une version antérieure du logiciel d’un module de gestion électronique ou du microprogramme de la passerelle

7

Les informations peuvent être facilement divulguées. Par exemple, les communications peuvent être interceptées ou l’accès non autorisé à des fichiers ou dossiers sensibles peut être rendu possible

7.1

Interception de l’information/rayonnements brouilleurs/surveillance des communications

7.2

Obtention d’un accès non autorisé à des fichiers ou à des données

8

Attaques par déni de service sur les voies de communication pour perturber les fonctions du véhicule

8.1

Envoi d’un grand nombre de données parasites au système d’information du véhicule, de sorte qu’il soit incapable de fournir des services de manière normale

8.2

Attaque par trou noir, visant à perturber la communication entre les véhicules en bloquant les messages entre ceux-ci

9

Un utilisateur sans privilèges peut obtenir un accès privilégié aux systèmes du véhicule

9.1

Un utilisateur sans privilèges peut obtenir un accès privilégié, par exemple un accès racine

10

Des virus introduits dans les moyens de communication peuvent infecter les systèmes du véhicule

10.1

Un virus introduit dans les moyens de communication infecte les systèmes du véhicule

11

Des messages reçus par le véhicule (par exemple, messages X2V ou de diagnostic), ou transmis à l’intérieur de celui-ci, renferment des contenus malveillants

11.1

Messages internes malveillants (par exemple, bus CAN)

11.2

Messages V2X malveillants, par exemple, messages d’infrastructure à véhicule ou de véhicule à véhicule (CAM, DENM, etc.)

11.3

Messages de diagnostic malveillants

11.4

Messages propriétaires malveillants (par exemple, ceux normalement envoyés par les équipementiers ou les fournisseurs de composants/systèmes/fonctions)

| 4.3.3. | Menaces pour les véhicules liées à leurs procédures de mise à jour |
| --- | --- |

4.3.3.

Menaces pour les véhicules liées à leurs procédures de mise à jour

12

Utilisation abusive ou compromission des procédures de mise à jour

12.1

Compromission des procédures de mise à jour logicielle sans fil, y compris la fabrication du programme ou du microprogramme de mise à jour du système

12.2

Compromission des procédures de mise à jour logicielle locales/physiques, y compris la fabrication du programme ou du microprogramme de mise à jour du système

12.3

Le logiciel est manipulé avant le processus de mise à jour (il est donc corrompu), bien que le processus de mise à jour soit intact

12.4

Compromission des clefs cryptographiques du fournisseur du logiciel visant à permettre une mise à jour non valide

13

Possibilité d’empêcher des mises à jour légitimes

13.1

Attaque par déni de service contre le serveur ou le réseau de mise à jour pour empêcher le déploiement de mises à jour logicielles critiques et/ou le déverrouillage de fonctionnalités spécifiques au client

| 4.3.4. | Menaces pour les véhicules liées à des actions humaines non intentionnelles qui facilitent les cyberattaques |
| --- | --- |

4.3.4.

Menaces pour les véhicules liées à des actions humaines non intentionnelles qui facilitent les cyberattaques

15

Des acteurs légitimes peuvent prendre des mesures sans avoir conscience que celles-ci sont susceptibles de faciliter une cyberattaque

15.1

Victime innocente (par exemple, propriétaire, opérateur ou ingénieur de maintenance) amenée par la ruse et à son insu à charger un logiciel malveillant ou à permettre une attaque

15.2

Les procédures de sécurité définies ne sont pas suivies

| 4.3.5. | Menaces pour les véhicules liées à leur connectivité et à leurs connexions externes |
| --- | --- |

4.3.5.

Menaces pour les véhicules liées à leur connectivité et à leurs connexions externes

16

La manipulation de la connectivité des fonctions du véhicule permet une cyberattaque, les moyens utilisés comprenant: la télématique, les systèmes permettant des opérations à distance et les systèmes utilisant des communications sans fil à courte portée

16.1

Manipulation des fonctions conçues pour commander à distance des systèmes, tels qu’une clef à distance, un dispositif d’immobilisation et une pile de chargement

16.2

Manipulation de la télématique du véhicule (par exemple, manipulation de la mesure de la température de marchandises qui y sont sensibles, déverrouillage à distance des portes de chargement)

16.3

Interférence avec des systèmes ou capteurs sans fil à courte portée

17

Utilisation de logiciels tiers embarqués, comme les applications de divertissement, pour attaquer les systèmes du véhicule

17.1

Utilisation d’applications corrompues, ou dont la sécurité logicielle est déficiente, pour attaquer des systèmes du véhicule

18

Utilisation de dispositifs connectés à des interfaces externes, par exemple des ports USB ou le port OBD, pour attaquer les systèmes du véhicule

18.1

Interfaces externes telles que les ports USB ou autres utilisées comme point d’attaque, par exemple par injection de code

18.2

Support infecté par un virus connecté à un système du véhicule

18.3

Accès diagnostique (par exemple, dongles dans le port OBD) utilisé pour faciliter une attaque, comme la manipulation (directe ou indirecte) des paramètres du véhicule

| 4.3.6. | Menaces pour les données ou le code du véhicule |
| --- | --- |

4.3.6.

Menaces pour les données ou le code du véhicule

19

Extraction des données ou du code du véhicule

19.1

Extraction de logiciels soumis à des droits d’auteur ou propriétaires des systèmes du véhicule (piratage de produits)

19.2

Accès non autorisé aux données personnelles du propriétaire, notamment concernant son identité, son compte de paiement, son carnet d’adresses, sa localisation, l’identifiant électronique du véhicule, etc.

19.3

Extraction de clefs cryptographiques

20

Manipulation des données ou du code du véhicule

20.1

Modifications illicites/non autorisées de l’identifiant électronique du véhicule

20.2

Usurpation d’identité. Par exemple, si un utilisateur souhaite afficher une autre identité lorsqu’il communique avec les systèmes de péage, le système dorsal du constructeur

20.3

Mesure visant à contourner les systèmes de surveillance (par exemple, piratage/altération/blocage de messages tels que les données ODR Tracker ou le nombre de passages)

20.4

Manipulation des données visant à falsifier les données de conduite du véhicule (kilométrage, vitesse de conduite, itinéraire, etc.)

20.5

Modifications non autorisées des données de diagnostic du système

21

Effacement des données ou du code

21.1

Effacement/manipulation non autorisé(e) des journaux d’événements du système

22

Introduction de logiciels malveillants

22.2

Introduire un logiciel malveillant ou une activité logicielle malveillante

23

Introduction de nouveaux logiciels ou écrasement de logiciels existants

23.1

Fabrication du logiciel du système de commande ou d’information du véhicule

24

Perturbation des systèmes ou des opérations

24.1

Déni de service que l’on peut, par exemple, déclencher sur le réseau interne en inondant un bus CAN, ou en provoquant des pannes sur un module de gestion électronique par l’envoi d’un grand nombre de messages

25

Manipulation des paramètres du véhicule

25.1

Accès non autorisé visant à falsifier les paramètres de configuration des fonctions critiques du véhicule, telles que les données de freinage, le seuil de déploiement du coussin gonflable, etc.

25.2

Accès non autorisé visant à falsifier les paramètres de charge, tels que la tension de charge, la puissance de charge, la température de la batterie, etc.

| 4.3.7. | Vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites |
| --- | --- |

4.3.7.

Vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites

26

Les technologies cryptographiques peuvent être compromises ou ne sont pas suffisamment appliquées

26.1

L’utilisation de courtes clefs cryptographiques ayant une longue période de validité permet à l’attaquant de casser le cryptage

26.2

Recours insuffisant aux algorithmes cryptographiques pour protéger les systèmes vulnérables

26.3

Utilisation d’algorithmes cryptographiques obsolètes ou sur le point de l’être

27

Des pièces ou des fournitures pourraient être compromises afin que les véhicules puissent être attaqués

27.1

Matériel ou logiciel que l’on modifie pour permettre une attaque ou qui ne répond pas aux critères de conception permettant de bloquer une attaque

28

La conception des logiciels ou du matériel est à l’origine de vulnérabilités

28.1

Bogues logiciels. La présence de bogues logiciels peut être la cause de vulnérabilités potentiellement exploitables, en particulier si l’on n’a pas contrôlé le logiciel pour vérifier l’absence de mauvais code ou de bogues connus et pour réduire le risque de leur présence.

28.2

L’utilisation des restes de la phase de développement (ports de débogage, ports JTAG, microprocesseurs, certificats de développement, mots de passe des développeurs, etc.) peut permettre l’accès aux modules de gestion électronique ou permettre à des attaquants d’obtenir des privilèges plus élevés

29

La conception des réseaux introduit des vulnérabilités

29.1

Ports Internet superflus laissés ouverts, donnant accès aux systèmes réseau

29.2

Contourner la séparation réseau pour en prendre le contrôle. Par exemple, en utilisant des passerelles non protégées, ou des points d’accès (tels que les passerelles camion-remorque), pour contourner les protections et accéder à d’autres segments du réseau en vue de commettre des actes malveillants, comme l’envoi de messages arbitraires sur le bus CAN

31

Le transfert involontaire de données est possible

31.1

Atteinte à la sécurité de l’information. Des données personnelles peuvent être divulguées lorsque la voiture change de main (par exemple, en cas de vente ou d’utilisation comme véhicule de location par de nouveaux clients)

32

La manipulation physique des systèmes peut permettre une attaque

32.1

Manipulation du matériel électronique, par exemple ajout de matériel non autorisé à un véhicule pour permettre une attaque de «l’homme du milieu»

Remplacement de matériel électronique autorisé (par exemple capteurs) par du matériel électronique non autorisé

Manipulation des informations recueillies par un capteur (par exemple utilisation d’un aimant pour altérer le capteur à effet Hall relié à la boîte de vitesses)

Partie B — Mesures d’atténuation des menaces visant les véhicules

| 1. | Mesures d’atténuation — «Voies de communication des véhicules»
  Les mesures d’atténuation des menaces liées aux voies de communication des véhicules sont indiquées dans le tableau B1.

  Tableau B1


  Mesures d’atténuation des menaces liées aux voies de communication des véhicules









  Référence du tableau A1 | Menace liée aux voies de communication des véhicules | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 4.1 | Simulation de messages (par exemple, 802.11p V2X en cas de circulation en peloton, messages GNSS, etc.) par usurpation d’identité | M10 | Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit. |
| 4.2 | Attaque Sybil (visant à simuler d’autres véhicules pour faire croire qu’il y en a beaucoup sur la route) | M11 | Des contrôles de sécurité doivent être mis en œuvre pour le stockage des clefs cryptographiques (par exemple au moyen de modules matériels de sécurité). |
| 5.1 | Les voies de communication permettent l’injection de code dans les données ou le code du véhicule, par exemple un code binaire altéré peut être injecté dans le flux de communication | M10
  M6 | Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit.
  La sécurité doit être prise en compte dans la conception des systèmes afin que les risques soient réduits au minimum. |
| 5.2 | Les voies de communication permettent de manipuler les données ou le code du véhicule | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées aux fins de la protection des données ou du code du système |
| 5.3 | Les voies de communication permettent d’écraser les données ou le code du véhicule |
| 5.4
  21.1 | Les voies de communication permettent d’effacer les données ou le code du véhicule |
| 5.5 | Les voies de communication permettent l’introduction de données ou de code dans les systèmes du véhicule (écriture de données ou de code) |
| 6.1 | Acceptation d’informations provenant d’une source non fiable | M10 | Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit. |
| 6.2 | Attaque de l’homme du milieu/ détournement de session | M10 | Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit. |
| 6.3 | Attaque par rejeu, par exemple une attaque contre une passerelle de communication permettant à l’attaquant d’installer une version antérieure du logiciel d’un module de gestion électronique ou du microprogramme de la passerelle |
| 7.1 | Interception de l’information/rayonnements brouilleurs/surveillance des communications | M12 | Les données confidentielles reçues et transmises par le véhicule doivent être protégées. |
| 7.2 | Obtention d’un accès non autorisé à des fichiers ou à des données | M8 | La conception du système et le contrôle de l’accès devraient empêcher que des personnes non autorisées puissent accéder à des données personnelles ou à des données critiques du système. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 8.1 | Envoi d’un grand nombre de données parasites au système d’information du véhicule, de sorte qu’il soit incapable de fournir des services de manière normale | M13 | Des mesures visant à détecter une attaque par déni de service et à s’en remettre doivent être mises en œuvre. |
| 8.2 | Attaque par trou noir, perturbation de la communication entre les véhicules par blocage du transfert de messages vers d’autres véhicules | M13 | Des mesures visant à détecter une attaque par déni de service et à s’en remettre doivent être mises en œuvre. |
| 9.1 | Un utilisateur sans privilèges peut obtenir un accès privilégié, par exemple un accès racine | M9 | Des mesures visant à empêcher et à détecter les accès non autorisés doivent être mises en œuvre. |
| 10.1 | Un virus introduit dans les moyens de communication infecte les systèmes du véhicule | M14 | Des mesures de protection des systèmes contre les virus/logiciels malveillants intégrés devraient être envisagées. |
| 11.1 | Messages internes malveillants (par exemple, bus CAN) | M15 | Des mesures de détection des messages ou activités internes malveillant(e)s devraient être envisagées. |
| 11.2 | Messages V2X malveillants, par exemple, messages d’infrastructure à véhicule ou de véhicule à véhicule (CAM, DENM, etc.) | M10 | Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit. |
| 11.3 | Messages de diagnostic malveillants |
| 11.4 | Messages propriétaires malveillants (par exemple, ceux normalement envoyés par les équipementiers ou les fournisseurs de composants/systèmes/fonctions) |

1.

Mesures d’atténuation — «Voies de communication des véhicules»

Les mesures d’atténuation des menaces liées aux voies de communication des véhicules sont indiquées dans le tableau B1.

Tableau B1

Tableau B1

Mesures d’atténuation des menaces liées aux voies de communication des véhicules

Mesures d’atténuation des menaces liées aux voies de communication des véhicules

Référence du tableau A1

Menace liée aux voies de communication des véhicules

Réf.

Mesure d’atténuation

4.1

Simulation de messages (par exemple, 802.11p V2X en cas de circulation en peloton, messages GNSS, etc.) par usurpation d’identité

M10

Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit.

4.2

Attaque Sybil (visant à simuler d’autres véhicules pour faire croire qu’il y en a beaucoup sur la route)

M11

Des contrôles de sécurité doivent être mis en œuvre pour le stockage des clefs cryptographiques (par exemple au moyen de modules matériels de sécurité).

5.1

Les voies de communication permettent l’injection de code dans les données ou le code du véhicule, par exemple un code binaire altéré peut être injecté dans le flux de communication

M10

M6

Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit.

La sécurité doit être prise en compte dans la conception des systèmes afin que les risques soient réduits au minimum.

5.2

Les voies de communication permettent de manipuler les données ou le code du véhicule

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées aux fins de la protection des données ou du code du système

5.3

Les voies de communication permettent d’écraser les données ou le code du véhicule

5.4

21.1

Les voies de communication permettent d’effacer les données ou le code du véhicule

5.5

Les voies de communication permettent l’introduction de données ou de code dans les systèmes du véhicule (écriture de données ou de code)

6.1

Acceptation d’informations provenant d’une source non fiable

M10

Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit.

6.2

Attaque de l’homme du milieu/ détournement de session

M10

Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit.

6.3

Attaque par rejeu, par exemple une attaque contre une passerelle de communication permettant à l’attaquant d’installer une version antérieure du logiciel d’un module de gestion électronique ou du microprogramme de la passerelle

7.1

Interception de l’information/rayonnements brouilleurs/surveillance des communications

M12

Les données confidentielles reçues et transmises par le véhicule doivent être protégées.

7.2

Obtention d’un accès non autorisé à des fichiers ou à des données

M8

La conception du système et le contrôle de l’accès devraient empêcher que des personnes non autorisées puissent accéder à des données personnelles ou à des données critiques du système. Pour des exemples de contrôles de sécurité, voir OWASP.

8.1

Envoi d’un grand nombre de données parasites au système d’information du véhicule, de sorte qu’il soit incapable de fournir des services de manière normale

M13

Des mesures visant à détecter une attaque par déni de service et à s’en remettre doivent être mises en œuvre.

8.2

Attaque par trou noir, perturbation de la communication entre les véhicules par blocage du transfert de messages vers d’autres véhicules

M13

Des mesures visant à détecter une attaque par déni de service et à s’en remettre doivent être mises en œuvre.

9.1

Un utilisateur sans privilèges peut obtenir un accès privilégié, par exemple un accès racine

M9

Des mesures visant à empêcher et à détecter les accès non autorisés doivent être mises en œuvre.

10.1

Un virus introduit dans les moyens de communication infecte les systèmes du véhicule

M14

Des mesures de protection des systèmes contre les virus/logiciels malveillants intégrés devraient être envisagées.

11.1

Messages internes malveillants (par exemple, bus CAN)

M15

Des mesures de détection des messages ou activités internes malveillant(e)s devraient être envisagées.

11.2

Messages V2X malveillants, par exemple, messages d’infrastructure à véhicule ou de véhicule à véhicule (CAM, DENM, etc.)

M10

Le véhicule doit vérifier l’authenticité et l’intégrité des messages qu’il reçoit.

11.3

Messages de diagnostic malveillants

11.4

Messages propriétaires malveillants (par exemple, ceux normalement envoyés par les équipementiers ou les fournisseurs de composants/systèmes/fonctions)

| 2. | Mesures d’atténuation — «Processus de mise à jour»
  Les mesures d’atténuation des menaces liées au processus de mise à jour sont indiquées dans le tableau B2.

  Tableau B2


  Mesures d’atténuation des menaces liées au processus de mise à jour









  Référence du tableau A1 | Menace liée au processus de mise à jour | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 12.1 | Compromission des procédures de mise à jour logicielle sans fil, y compris la fabrication du programme ou du microprogramme de mise à jour du système | M16 | Des procédures sécurisées de mise à jour logicielle doivent être utilisées. |
| 12.2 | Compromission des procédures de mise à jour logicielle locales/physiques, y compris la fabrication du programme ou du microprogramme de mise à jour du système |
| 12.3 | Le logiciel est manipulé avant le processus de mise à jour (il est donc corrompu), bien que le processus de mise à jour soit intact |
| 12.4 | Compromission des clefs cryptographiques du fournisseur du logiciel visant à permettre une mise à jour non valide | M11 | Des contrôles de sécurité doivent être mis en œuvre pour le stockage des clefs cryptographiques. |
| 13.1 | Attaque par déni de service contre le serveur ou le réseau de mise à jour pour empêcher le déploiement de mises à jour logicielles critiques et/ou le déverrouillage de fonctionnalités spécifiques au client | M3 | Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux. Lorsque les serveurs dorsaux sont essentiels à la prestation des services, des mesures de rétablissement sont disponibles en cas de panne du système. Pour des exemples de contrôles de sécurité, voir OWASP. |

2.

Mesures d’atténuation — «Processus de mise à jour»

Les mesures d’atténuation des menaces liées au processus de mise à jour sont indiquées dans le tableau B2.

Tableau B2

Tableau B2

Mesures d’atténuation des menaces liées au processus de mise à jour

Mesures d’atténuation des menaces liées au processus de mise à jour

Référence du tableau A1

Menace liée au processus de mise à jour

Réf.

Mesure d’atténuation

12.1

Compromission des procédures de mise à jour logicielle sans fil, y compris la fabrication du programme ou du microprogramme de mise à jour du système

M16

Des procédures sécurisées de mise à jour logicielle doivent être utilisées.

12.2

Compromission des procédures de mise à jour logicielle locales/physiques, y compris la fabrication du programme ou du microprogramme de mise à jour du système

12.3

Le logiciel est manipulé avant le processus de mise à jour (il est donc corrompu), bien que le processus de mise à jour soit intact

12.4

Compromission des clefs cryptographiques du fournisseur du logiciel visant à permettre une mise à jour non valide

M11

Des contrôles de sécurité doivent être mis en œuvre pour le stockage des clefs cryptographiques.

13.1

Attaque par déni de service contre le serveur ou le réseau de mise à jour pour empêcher le déploiement de mises à jour logicielles critiques et/ou le déverrouillage de fonctionnalités spécifiques au client

M3

Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux. Lorsque les serveurs dorsaux sont essentiels à la prestation des services, des mesures de rétablissement sont disponibles en cas de panne du système. Pour des exemples de contrôles de sécurité, voir OWASP.

| 3. | Mesures d’atténuation — «Actions humaines non intentionnelles qui facilitent les cyberattaques»
  Les mesures d’atténuation des menaces liées aux actions humaines non intentionnelles qui facilitent les cyberattaques sont indiquées dans le tableau B3.

  Tableau B3


  Mesures d’atténuation des menaces liées aux actions humaines non intentionnelles qui facilitent les cyberattaques









  Référence du tableau A1 | Menace liée aux actions humaines non intentionnelles | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 15.1 | Victime innocente (par exemple, propriétaire, opérateur ou ingénieur de maintenance) amenée par la ruse et à son insu à charger un logiciel malveillant ou à permettre une attaque | M18 | Des mesures visant à définir et à contrôler les rôles des utilisateurs et les privilèges d’accès doivent être mises en œuvre selon le principe du moindre privilège. |
| 15.2 | Les procédures de sécurité définies ne sont pas suivies | M19 | Les entreprises doivent s’assurer que les procédures de sécurité sont définies et suivies, notamment pour ce qui est du journal d’actions et des accès réservés à la gestion des fonctions de sécurité. |

3.

Mesures d’atténuation — «Actions humaines non intentionnelles qui facilitent les cyberattaques»

Les mesures d’atténuation des menaces liées aux actions humaines non intentionnelles qui facilitent les cyberattaques sont indiquées dans le tableau B3.

Tableau B3

Tableau B3

Mesures d’atténuation des menaces liées aux actions humaines non intentionnelles qui facilitent les cyberattaques

Mesures d’atténuation des menaces liées aux actions humaines non intentionnelles qui facilitent les cyberattaques

Référence du tableau A1

Menace liée aux actions humaines non intentionnelles

Réf.

Mesure d’atténuation

15.1

Victime innocente (par exemple, propriétaire, opérateur ou ingénieur de maintenance) amenée par la ruse et à son insu à charger un logiciel malveillant ou à permettre une attaque

M18

Des mesures visant à définir et à contrôler les rôles des utilisateurs et les privilèges d’accès doivent être mises en œuvre selon le principe du moindre privilège.

15.2

Les procédures de sécurité définies ne sont pas suivies

M19

Les entreprises doivent s’assurer que les procédures de sécurité sont définies et suivies, notamment pour ce qui est du journal d’actions et des accès réservés à la gestion des fonctions de sécurité.

| 4. | Mesures d’atténuation — «Connectivité et connexions externes»
  Les mesures d’atténuation des menaces liées à la connectivité et aux connexions externes sont indiquées dans le tableau B4.

  Tableau B4


  Mesures d’atténuation des menaces liées à la connectivité et aux connexions externes









  Référence du tableau A1 | Menace liée à la connectivité et aux connexions externes | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 16.1 | Manipulation des fonctions conçues pour commander à distance des systèmes du véhicule, tels qu’une clef à distance, un dispositif d’immobilisation et une pile de chargement | M20 | Des contrôles de sécurité doivent être réalisés sur les systèmes qui ont un accès à distance. |
| 16.2 | Manipulation de la télématique du véhicule (par exemple, manipulation de la mesure de la température de marchandises qui y sont sensibles, déverrouillage à distance des portes de chargement) |
| 16.3 | Interférence avec des systèmes ou capteurs sans fil à courte portée |
| 17.1 | Utilisation d’applications corrompues, ou dont la sécurité logicielle est déficiente, pour attaquer des systèmes du véhicule | M21 | Les logiciels doivent faire l’objet d’une évaluation de sécurité, ils doivent être authentifiés et leur intégrité doit être protégée.
  Des contrôles de sécurité doivent être réalisés de façon à ce que le risque lié aux logiciels tiers destinés à être installés sur le véhicule ou vraisemblablement susceptibles de l’être soit réduit au minimum. |
| 18.1 | Interfaces externes telles que les ports USB ou autres utilisées comme point d’attaque, par exemple par injection de code | M22 | Des contrôles de sécurité doivent être réalisés sur les interfaces externes. |
| 18.2 | Support infecté par des virus connecté au véhicule |
| 18.3 | Accès diagnostique (par exemple, dongles dans le port OBD) utilisé pour faciliter une attaque, comme la manipulation (directe ou indirecte) des paramètres du véhicule | M22 | Des contrôles de sécurité doivent être réalisés sur les interfaces externes. |

4.

Mesures d’atténuation — «Connectivité et connexions externes»

Les mesures d’atténuation des menaces liées à la connectivité et aux connexions externes sont indiquées dans le tableau B4.

Tableau B4

Tableau B4

Mesures d’atténuation des menaces liées à la connectivité et aux connexions externes

Mesures d’atténuation des menaces liées à la connectivité et aux connexions externes

Référence du tableau A1

Menace liée à la connectivité et aux connexions externes

Réf.

Mesure d’atténuation

16.1

Manipulation des fonctions conçues pour commander à distance des systèmes du véhicule, tels qu’une clef à distance, un dispositif d’immobilisation et une pile de chargement

M20

Des contrôles de sécurité doivent être réalisés sur les systèmes qui ont un accès à distance.

16.2

Manipulation de la télématique du véhicule (par exemple, manipulation de la mesure de la température de marchandises qui y sont sensibles, déverrouillage à distance des portes de chargement)

16.3

Interférence avec des systèmes ou capteurs sans fil à courte portée

17.1

Utilisation d’applications corrompues, ou dont la sécurité logicielle est déficiente, pour attaquer des systèmes du véhicule

M21

Les logiciels doivent faire l’objet d’une évaluation de sécurité, ils doivent être authentifiés et leur intégrité doit être protégée.

Des contrôles de sécurité doivent être réalisés de façon à ce que le risque lié aux logiciels tiers destinés à être installés sur le véhicule ou vraisemblablement susceptibles de l’être soit réduit au minimum.

18.1

Interfaces externes telles que les ports USB ou autres utilisées comme point d’attaque, par exemple par injection de code

M22

Des contrôles de sécurité doivent être réalisés sur les interfaces externes.

18.2

Support infecté par des virus connecté au véhicule

18.3

Accès diagnostique (par exemple, dongles dans le port OBD) utilisé pour faciliter une attaque, comme la manipulation (directe ou indirecte) des paramètres du véhicule

M22

Des contrôles de sécurité doivent être réalisés sur les interfaces externes.

| 5. | Mesures d’atténuation — «Cibles ou motivations potentielles d’une attaque»
  Les mesures d’atténuation des menaces liées aux cibles ou motivations potentielles d’une attaque sont indiquées dans le tableau B5.

  Tableau B5


  Mesures d’atténuation des menaces liées aux cibles ou motivations potentielles d’une attaque









  Référence du tableau A1 | Menace liée aux cibles ou motivations potentielles d’une attaque | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 19.1 | Extraction de logiciels soumis à des droits d’auteur ou propriétaires des systèmes du véhicule (piratage de produits/logiciel volé) | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées pour protéger les données ou le code du système. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 19.2 | Accès non autorisé aux données personnelles du propriétaire, notamment concernant son identité, son compte de paiement, son carnet d’adresses, sa localisation, l’identifiant électronique du véhicule, etc. | M8 | La conception du système et le contrôle de l’accès devraient empêcher que des personnes non autorisées puissent accéder à des données personnelles ou à des données critiques du système. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 19.3 | Extraction de clefs cryptographiques | M11 | Des contrôles de sécurité doivent être mis en œuvre pour le stockage des clefs cryptographiques, par exemple des modules de sécurité. |
| 20.1 | Modifications illicites/non autorisées de l’identifiant électronique du véhicule | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées pour protéger les données ou le code du système. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 20.2 | Usurpation d’identité. Par exemple, si un utilisateur souhaite afficher une autre identité lorsqu’il communique avec les systèmes de péage, le système dorsal du constructeur |
| 20.3 | Mesure visant à contourner les systèmes de surveillance (par exemple, piratage/ altération/ blocage de messages tels que les données ODR Tracker ou le nombre de passages) | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées afin que les données ou le code du système soient protégés. Pour des exemples de contrôles de sécurité, voir OWASP.
  Il est possible d’atténuer les attaques qui consistent à manipuler des données et ciblent des capteurs ou des données transmises grâce à un recoupement des données provenant de différentes sources d’information. |
| 20.4 | Manipulation des données visant à falsifier les données de conduite du véhicule (kilométrage, vitesse de conduite, itinéraire, etc.) |
| 20.5 | Modifications non autorisées des données de diagnostic du système |
| 21.1 | Effacement/manipulation non autorisé(e) des journaux d’événements du système | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées pour protéger les données ou le code du système. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 22.2 | Introduire un logiciel malveillant ou une activité logicielle malveillante | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées afin que les données ou le code du système soient protégés. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 23.1 | Fabrication du logiciel du système de commande ou d’information du véhicule |
| 24.1 | Déni de service que l’on peut, par exemple, déclencher sur le réseau interne en inondant un bus CAN, ou en provoquant des pannes sur un module de gestion électronique par l’envoi d’un grand nombre de messages | M13 | Des mesures visant à détecter une attaque par déni de service et à s’en remettre doivent être mises en œuvre. |
| 25.1 | Accès non autorisé visant à falsifier les paramètres de configuration des fonctions critiques du véhicule, telles que les données de freinage, le seuil de déploiement du coussin gonflable, etc. | M7 | Des techniques et des conceptions de contrôle de l’accès doivent être utilisées afin que les données ou le code du système soient protégés. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 25.2 | Accès non autorisé visant à falsifier les paramètres de charge, tels que la tension de charge, la puissance de charge, la température de la batterie, etc. |

5.

Mesures d’atténuation — «Cibles ou motivations potentielles d’une attaque»

Les mesures d’atténuation des menaces liées aux cibles ou motivations potentielles d’une attaque sont indiquées dans le tableau B5.

Tableau B5

Tableau B5

Mesures d’atténuation des menaces liées aux cibles ou motivations potentielles d’une attaque

Mesures d’atténuation des menaces liées aux cibles ou motivations potentielles d’une attaque

Référence du tableau A1

Menace liée aux cibles ou motivations potentielles d’une attaque

Réf.

Mesure d’atténuation

19.1

Extraction de logiciels soumis à des droits d’auteur ou propriétaires des systèmes du véhicule (piratage de produits/logiciel volé)

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées pour protéger les données ou le code du système. Pour des exemples de contrôles de sécurité, voir OWASP.

19.2

Accès non autorisé aux données personnelles du propriétaire, notamment concernant son identité, son compte de paiement, son carnet d’adresses, sa localisation, l’identifiant électronique du véhicule, etc.

M8

La conception du système et le contrôle de l’accès devraient empêcher que des personnes non autorisées puissent accéder à des données personnelles ou à des données critiques du système. Pour des exemples de contrôles de sécurité, voir OWASP.

19.3

Extraction de clefs cryptographiques

M11

Des contrôles de sécurité doivent être mis en œuvre pour le stockage des clefs cryptographiques, par exemple des modules de sécurité.

20.1

Modifications illicites/non autorisées de l’identifiant électronique du véhicule

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées pour protéger les données ou le code du système. Pour des exemples de contrôles de sécurité, voir OWASP.

20.2

Usurpation d’identité. Par exemple, si un utilisateur souhaite afficher une autre identité lorsqu’il communique avec les systèmes de péage, le système dorsal du constructeur

20.3

Mesure visant à contourner les systèmes de surveillance (par exemple, piratage/ altération/ blocage de messages tels que les données ODR Tracker ou le nombre de passages)

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées afin que les données ou le code du système soient protégés. Pour des exemples de contrôles de sécurité, voir OWASP.

Il est possible d’atténuer les attaques qui consistent à manipuler des données et ciblent des capteurs ou des données transmises grâce à un recoupement des données provenant de différentes sources d’information.

20.4

Manipulation des données visant à falsifier les données de conduite du véhicule (kilométrage, vitesse de conduite, itinéraire, etc.)

20.5

Modifications non autorisées des données de diagnostic du système

21.1

Effacement/manipulation non autorisé(e) des journaux d’événements du système

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées pour protéger les données ou le code du système. Pour des exemples de contrôles de sécurité, voir OWASP.

22.2

Introduire un logiciel malveillant ou une activité logicielle malveillante

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées afin que les données ou le code du système soient protégés. Pour des exemples de contrôles de sécurité, voir OWASP.

23.1

Fabrication du logiciel du système de commande ou d’information du véhicule

24.1

Déni de service que l’on peut, par exemple, déclencher sur le réseau interne en inondant un bus CAN, ou en provoquant des pannes sur un module de gestion électronique par l’envoi d’un grand nombre de messages

M13

Des mesures visant à détecter une attaque par déni de service et à s’en remettre doivent être mises en œuvre.

25.1

Accès non autorisé visant à falsifier les paramètres de configuration des fonctions critiques du véhicule, telles que les données de freinage, le seuil de déploiement du coussin gonflable, etc.

M7

Des techniques et des conceptions de contrôle de l’accès doivent être utilisées afin que les données ou le code du système soient protégés. Pour des exemples de contrôles de sécurité, voir OWASP.

25.2

Accès non autorisé visant à falsifier les paramètres de charge, tels que la tension de charge, la puissance de charge, la température de la batterie, etc.

| 6. | Mesures d’atténuation — «Vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites»
  Les mesures d’atténuation des menaces liées aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites sont indiquées dans le tableau B6.

  Tableau B6


  Mesures d’atténuation des menaces liées aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites









  Référence du tableau A1 | Menace liée aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 26.1 | L’utilisation de courtes clefs cryptographiques ayant une longue période de validité permet à l’attaquant de casser le cryptage | M23 | Les meilleures pratiques de cybersécurité doivent être suivies dans le cadre du développement des logiciels et du matériel. |
| 26.2 | Recours insuffisant aux algorithmes cryptographiques pour protéger les systèmes vulnérables |
| 26.3 | Utilisation d’algorithmes cryptographiques obsolètes |
| 27.1 | Matériel ou logiciel que l’on modifie pour permettre une attaque ou qui ne répond pas aux critères de conception permettant de bloquer une attaque | M23 | Les meilleures pratiques de cybersécurité doivent être suivies dans le cadre du développement des logiciels et du matériel. |
| 28.1 | La présence de bogues logiciels peut être la cause de vulnérabilités potentiellement exploitables, en particulier si l’on n’a pas testé le logiciel pour vérifier l’absence de mauvais code ou de bogues connus et pour réduire le risque de leur présence. | M23 | Les meilleures pratiques de cybersécurité doivent être suivies lors du développement des logiciels et du matériel.
  Les contrôles en matière de cybersécurité doivent avoir une portée suffisante. |
| 28.2 | L’utilisation des restes de la phase de développement (ports de débogage, ports JTAG, microprocesseurs, certificats de développement, mots de passe des développeurs, etc.) peut permettre à un attaquant d’accéder aux modules de gestion électronique ou d’obtenir des privilèges plus élevés |
| 29.1 | Ports Internet superflus laissés ouverts, donnant accès aux systèmes réseau |
| 29.2 | Contourner la séparation réseau pour en prendre le contrôle. Par exemple, en utilisant des passerelles non protégées, ou des points d’accès (tels que les passerelles camion-remorque), pour contourner les protections et accéder à d’autres segments du réseau en vue de commettre des actes malveillants, comme l’envoi de messages arbitraires sur le bus CAN | M23 | Les meilleures pratiques de cybersécurité doivent être suivies lors du développement des logiciels et du matériel.
  Les meilleures pratiques de cybersécurité en matière de conception et d’intégration des systèmes doivent être suivies. |

6.

Mesures d’atténuation — «Vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites»

Les mesures d’atténuation des menaces liées aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites sont indiquées dans le tableau B6.

Tableau B6

Tableau B6

Mesures d’atténuation des menaces liées aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites

Mesures d’atténuation des menaces liées aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites

Référence du tableau A1

Menace liée aux vulnérabilités potentielles susceptibles d’être exploitées si elles ne sont pas suffisamment protégées ou réduites

Réf.

Mesure d’atténuation

26.1

L’utilisation de courtes clefs cryptographiques ayant une longue période de validité permet à l’attaquant de casser le cryptage

M23

Les meilleures pratiques de cybersécurité doivent être suivies dans le cadre du développement des logiciels et du matériel.

26.2

Recours insuffisant aux algorithmes cryptographiques pour protéger les systèmes vulnérables

26.3

Utilisation d’algorithmes cryptographiques obsolètes

27.1

Matériel ou logiciel que l’on modifie pour permettre une attaque ou qui ne répond pas aux critères de conception permettant de bloquer une attaque

M23

Les meilleures pratiques de cybersécurité doivent être suivies dans le cadre du développement des logiciels et du matériel.

28.1

La présence de bogues logiciels peut être la cause de vulnérabilités potentiellement exploitables, en particulier si l’on n’a pas testé le logiciel pour vérifier l’absence de mauvais code ou de bogues connus et pour réduire le risque de leur présence.

M23

Les meilleures pratiques de cybersécurité doivent être suivies lors du développement des logiciels et du matériel.

Les contrôles en matière de cybersécurité doivent avoir une portée suffisante.

28.2

L’utilisation des restes de la phase de développement (ports de débogage, ports JTAG, microprocesseurs, certificats de développement, mots de passe des développeurs, etc.) peut permettre à un attaquant d’accéder aux modules de gestion électronique ou d’obtenir des privilèges plus élevés

29.1

Ports Internet superflus laissés ouverts, donnant accès aux systèmes réseau

29.2

Contourner la séparation réseau pour en prendre le contrôle. Par exemple, en utilisant des passerelles non protégées, ou des points d’accès (tels que les passerelles camion-remorque), pour contourner les protections et accéder à d’autres segments du réseau en vue de commettre des actes malveillants, comme l’envoi de messages arbitraires sur le bus CAN

M23

Les meilleures pratiques de cybersécurité doivent être suivies lors du développement des logiciels et du matériel.

Les meilleures pratiques de cybersécurité en matière de conception et d’intégration des systèmes doivent être suivies.

| 7. | Mesures d’atténuation — «Perte de données/violation des données du véhicule»
  Les mesures d’atténuation des menaces liées à la perte de données ou à la violation des données du véhicule sont indiquées dans le tableau B7.

  Tableau B7


  Mesures d’atténuation des menaces liées à la perte de données ou à la violation des données du véhicule









  Référence du tableau A1 | Menace liée à la perte de données/ou à la violation des données du véhicule | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 31.1 | Atteinte à la sécurité de l’information. Des données personnelles ou confidentielles peuvent être divulguées lorsque la voiture change de main (par exemple, en cas de vente ou d’utilisation comme véhicule de location par de nouveaux clients) | M24 | Les meilleures pratiques de protection de l’intégrité et de la confidentialité des données doivent être suivies pour le stockage des données personnelles. |

7.

Mesures d’atténuation — «Perte de données/violation des données du véhicule»

Les mesures d’atténuation des menaces liées à la perte de données ou à la violation des données du véhicule sont indiquées dans le tableau B7.

Tableau B7

Tableau B7

Mesures d’atténuation des menaces liées à la perte de données ou à la violation des données du véhicule

Mesures d’atténuation des menaces liées à la perte de données ou à la violation des données du véhicule

Référence du tableau A1

Menace liée à la perte de données/ou à la violation des données du véhicule

Réf.

Mesure d’atténuation

31.1

Atteinte à la sécurité de l’information. Des données personnelles ou confidentielles peuvent être divulguées lorsque la voiture change de main (par exemple, en cas de vente ou d’utilisation comme véhicule de location par de nouveaux clients)

M24

Les meilleures pratiques de protection de l’intégrité et de la confidentialité des données doivent être suivies pour le stockage des données personnelles.

| 8. | Mesures d’atténuation — «Manipulation physique des systèmes en vue de permettre une attaque»
  Les mesures d’atténuation des menaces liées à la manipulation physique des systèmes en vue de permettre une attaque sont indiquées dans le tableau B8.

  Tableau B8


  Mesures d’atténuation des menaces liées à la manipulation physique des systèmes en vue de permettre une attaque









  Référence du tableau A1 | Menace liée à la manipulation physique des systèmes en vue de permettre une attaque | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 32.1 | Manipulation du matériel électronique, par exemple ajout de matériel non autorisé à un véhicule pour permettre une attaque de l’homme du milieu | M9 | Des mesures visant à empêcher et à détecter les accès non autorisés doivent être prises. |

8.

Mesures d’atténuation — «Manipulation physique des systèmes en vue de permettre une attaque»

Les mesures d’atténuation des menaces liées à la manipulation physique des systèmes en vue de permettre une attaque sont indiquées dans le tableau B8.

Tableau B8

Tableau B8

Mesures d’atténuation des menaces liées à la manipulation physique des systèmes en vue de permettre une attaque

Mesures d’atténuation des menaces liées à la manipulation physique des systèmes en vue de permettre une attaque

Référence du tableau A1

Menace liée à la manipulation physique des systèmes en vue de permettre une attaque

Réf.

Mesure d’atténuation

32.1

Manipulation du matériel électronique, par exemple ajout de matériel non autorisé à un véhicule pour permettre une attaque de l’homme du milieu

M9

Des mesures visant à empêcher et à détecter les accès non autorisés doivent être prises.

Partie C — Mesures d’atténuation des menaces visant les zones situées en dehors des véhicules

| 1. | Mesures d’atténuation — «Serveurs dorsaux»
  Les mesures d’atténuation des menaces liées aux serveurs dorsaux sont indiquées dans le tableau C1. |
| --- | --- |

1.

Mesures d’atténuation — «Serveurs dorsaux»

Les mesures d’atténuation des menaces liées aux serveurs dorsaux sont indiquées dans le tableau C1.

Tableau C1

Tableau C1

Mesures d’atténuation des menaces liées aux serveurs dorsaux

Mesures d’atténuation des menaces liées aux serveurs dorsaux

| Référence du tableau A1 | Menace liée aux serveurs dorsaux | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- |
| 1.1 et 3.1 | Abus de privilèges de la part du personnel (attaque d’initié) | M1 | Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux afin que le risque d’attaques d’initié soit réduit au minimum. |
| 1.2 et 3.3 | Accès Internet non autorisé au serveur (activé par exemple par des portes dérobées, des vulnérabilités logicielles système non corrigées, des attaques SQL ou d’autres moyens) | M2 | Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux afin que les accès non autorisés soient réduits au minimum. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 1.3 et 3.4 | Accès physique non autorisé au serveur (au moyen, par exemple, de clefs USB ou d’autres supports connectés au serveur) | M8 | La conception du système et le contrôle de l’accès devraient empêcher que des personnes non autorisées puissent accéder à des données personnelles ou des données critiques du système. |
| 2.1 | Attaque d’un serveur dorsal bloquant son fonctionnement, par exemple en l’empêchant d’interagir avec les véhicules et de fournir les services dont ils ont besoin | M3 | Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux. Lorsque les serveurs dorsaux sont essentiels à la prestation des services, des mesures de rétablissement doivent être disponibles en cas de panne du système. Pour des exemples de contrôles de sécurité, voir OWASP. |
| 3.2 | Perte d’informations dans le «nuage». Des données sensibles peuvent être perdues en raison d’attaques ou d’accidents lorsque les données sont stockées par des fournisseurs de services en nuage tiers | M4 | Des contrôles de sécurité doivent être réalisés pour que les risques associés à l’informatique en nuage soient réduits au minimum. Pour des exemples de contrôles de sécurité, voir OWASP et les orientations NCSC sur l’informatique en nuage. |
| 3.5 | Atteinte à la sécurité de l’information due au partage involontaire de données (par exemple, erreurs administratives, stockage des données sur des serveurs situés dans des garages) | M5 | Des contrôles de sécurité visant à éviter les atteintes à la sécurité des données doivent être réalisés sur les systèmes dorsaux. Pour des exemples de contrôles de sécurité, voir OWASP. |

Référence du tableau A1

Menace liée aux serveurs dorsaux

Réf.

Mesure d’atténuation

1.1 et 3.1

Abus de privilèges de la part du personnel (attaque d’initié)

M1

Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux afin que le risque d’attaques d’initié soit réduit au minimum.

1.2 et 3.3

Accès Internet non autorisé au serveur (activé par exemple par des portes dérobées, des vulnérabilités logicielles système non corrigées, des attaques SQL ou d’autres moyens)

M2

Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux afin que les accès non autorisés soient réduits au minimum. Pour des exemples de contrôles de sécurité, voir OWASP.

1.3 et 3.4

Accès physique non autorisé au serveur (au moyen, par exemple, de clefs USB ou d’autres supports connectés au serveur)

M8

La conception du système et le contrôle de l’accès devraient empêcher que des personnes non autorisées puissent accéder à des données personnelles ou des données critiques du système.

2.1

Attaque d’un serveur dorsal bloquant son fonctionnement, par exemple en l’empêchant d’interagir avec les véhicules et de fournir les services dont ils ont besoin

M3

Des contrôles de sécurité doivent être réalisés sur les systèmes dorsaux. Lorsque les serveurs dorsaux sont essentiels à la prestation des services, des mesures de rétablissement doivent être disponibles en cas de panne du système. Pour des exemples de contrôles de sécurité, voir OWASP.

3.2

Perte d’informations dans le «nuage». Des données sensibles peuvent être perdues en raison d’attaques ou d’accidents lorsque les données sont stockées par des fournisseurs de services en nuage tiers

M4

Des contrôles de sécurité doivent être réalisés pour que les risques associés à l’informatique en nuage soient réduits au minimum. Pour des exemples de contrôles de sécurité, voir OWASP et les orientations NCSC sur l’informatique en nuage.

3.5

Atteinte à la sécurité de l’information due au partage involontaire de données (par exemple, erreurs administratives, stockage des données sur des serveurs situés dans des garages)

M5

Des contrôles de sécurité visant à éviter les atteintes à la sécurité des données doivent être réalisés sur les systèmes dorsaux. Pour des exemples de contrôles de sécurité, voir OWASP.

| 2. | Mesures d’atténuation — «Actions humaines non intentionnelles»
  Les mesures d’atténuation des menaces liées aux actions humaines non intentionnelles sont indiquées dans le tableau C2.

  Tableau C2


  Mesures d’atténuation des menaces liées aux actions humaines non intentionnelles









  Référence du tableau A1 | Menace liée aux actions humaines non intentionnelles | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 15.1 | Victime innocente (par exemple, propriétaire, opérateur ou ingénieur de maintenance) amenée par la ruse et à son insu à charger un logiciel malveillant ou à permettre une attaque | M18 | Des mesures visant à définir et à contrôler les rôles des utilisateurs et les privilèges d’accès doivent être mises en œuvre selon le principe du moindre privilège. |
| 15.2 | Les procédures de sécurité définies ne sont pas suivies | M19 | Les entreprises doivent s’assurer que les procédures de sécurité sont définies et suivies, notamment pour ce qui est du journal d’actions et des accès réservés à la gestion des fonctions de sécurité. |

2.

Mesures d’atténuation — «Actions humaines non intentionnelles»

Les mesures d’atténuation des menaces liées aux actions humaines non intentionnelles sont indiquées dans le tableau C2.

Tableau C2

Tableau C2

Mesures d’atténuation des menaces liées aux actions humaines non intentionnelles

Mesures d’atténuation des menaces liées aux actions humaines non intentionnelles

Référence du tableau A1

Menace liée aux actions humaines non intentionnelles

Réf.

Mesure d’atténuation

15.1

Victime innocente (par exemple, propriétaire, opérateur ou ingénieur de maintenance) amenée par la ruse et à son insu à charger un logiciel malveillant ou à permettre une attaque

M18

Des mesures visant à définir et à contrôler les rôles des utilisateurs et les privilèges d’accès doivent être mises en œuvre selon le principe du moindre privilège.

15.2

Les procédures de sécurité définies ne sont pas suivies

M19

Les entreprises doivent s’assurer que les procédures de sécurité sont définies et suivies, notamment pour ce qui est du journal d’actions et des accès réservés à la gestion des fonctions de sécurité.

| 3. | Mesures d’atténuation — «Perte physique de données»
  Les mesures d’atténuation des menaces liées à la perte physique de données sont indiquées dans le tableau C3.

  Tableau C3


  Mesures d’atténuation des menaces liées à la perte physique de données









  Référence du tableau A1 | Menace liée à la perte physique de données | Réf. | Mesure d’atténuation |
| --- | --- | --- | --- | --- |
| 30.1 | Dommages causés par un tiers. Des données sensibles peuvent être perdues ou compromises en raison de dommages matériels subis en cas d’accident de la circulation ou de vol. | M24 | Les meilleures pratiques de protection de l’intégrité et de la confidentialité des données doivent être suivies pour le stockage des données personnelles. Pour des exemples de contrôles de sécurité, voir ISO/SC27/WG5. |
| 30.2 | Perte due à des conflits de gestion des droits numériques (DRM). Les données de l’utilisateur peuvent être effacées en raison de problèmes de DRM. |
| 30.3 | Des données sensibles (ou leur intégrité) peuvent être perdues en raison de l’usure des composants informatiques, ce qui peut entraîner des problèmes en cascade (en cas de modification des clefs, par exemple) |

3.

Mesures d’atténuation — «Perte physique de données»

Les mesures d’atténuation des menaces liées à la perte physique de données sont indiquées dans le tableau C3.

Tableau C3

Tableau C3

Mesures d’atténuation des menaces liées à la perte physique de données

Mesures d’atténuation des menaces liées à la perte physique de données

Référence du tableau A1

Menace liée à la perte physique de données

Réf.

Mesure d’atténuation

30.1

Dommages causés par un tiers. Des données sensibles peuvent être perdues ou compromises en raison de dommages matériels subis en cas d’accident de la circulation ou de vol.

M24

Les meilleures pratiques de protection de l’intégrité et de la confidentialité des données doivent être suivies pour le stockage des données personnelles. Pour des exemples de contrôles de sécurité, voir ISO/SC27/WG5.

30.2

Perte due à des conflits de gestion des droits numériques (DRM). Les données de l’utilisateur peuvent être effacées en raison de problèmes de DRM.

30.3

Des données sensibles (ou leur intégrité) peuvent être perdues en raison de l’usure des composants informatiques, ce qui peut entraîner des problèmes en cascade (en cas de modification des clefs, par exemple)

---

| 9.3.2021 | FR | Journal officiel de l’Union européenne | L 82/60 |
| --- | --- | --- | --- |

9.3.2021

FR

Journal officiel de l’Union européenne

L 82/60

---

Seuls les textes originaux de la CEE-ONU ont un effet légal en vertu du droit public international. Le statut et la date d’entrée en vigueur du présent règlement sont à vérifier dans la dernière version du document de statut TRANS/WP.29/343 de la CEE-ONU, disponible à l’adresse suivante: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Règlement ONU no 156 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne les mises à jour logicielles et le système de gestion des mises à jour logicielles [2021/388]

Date d’entrée en vigueur: 22 janvier 2021

Le présent document est communiqué uniquement à titre d’information. Le texte authentique, juridiquement contraignant, est celui du document ECE/TRANS/WP.29/2020/80.

TABLE DES MATIÈRES

RÈGLEMENT

| 1. | Champ d’application |
| --- | --- |

1.

| 2. | Définitions |
| --- | --- |

2.

| 3. | Demande d’homologation |
| --- | --- |

3.

| 4. | Marquage |
| --- | --- |

4.

| 5. | Homologation |
| --- | --- |

5.

| 6. | Certificat de conformité du système de gestion des mises à jour logicielles |
| --- | --- |

6.

| 7. | Spécifications générales |
| --- | --- |

7.

| 8. | Modification du type de véhicule et extension de l’homologation de type |
| --- | --- |

8.

| 9. | Conformité de la production |
| --- | --- |

9.

| 10. | Sanctions pour non-conformité de la production |
| --- | --- |

10.

| 11. | Arrêt définitif de la production |
| --- | --- |

11.

| 12. | Noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type |
| --- | --- |

12.

ANNEXES

| 1. | Fiche de renseignements
  Appendice 1 — Modèle de déclaration de conformité du système de gestion des mises à jour logicielles |
| --- | --- |

1.

Fiche de renseignements

Appendice 1 — Modèle de déclaration de conformité du système de gestion des mises à jour logicielles

| 2. | Communication |
| --- | --- |

2.

| 3. | Exemple de marque d’homologation |
| --- | --- |

3.

| 4. | Modèle de certificat de conformité du système de gestion des mises à jour logicielles |
| --- | --- |

4.

1.   CHAMP D’APPLICATION

| 1.1. | Le présent Règlement s’applique aux véhicules des catégories (1) M, N, O, R, S et T qui autorisent les mises à jour logicielles. |
| --- | --- |

1.1.

Le présent Règlement s’applique aux véhicules des catégories (1

2.   DÉFINITIONS

Aux fins du présent Règlement, on entend par :

| 2.1. | «Type de véhicule»: l’ensemble des véhicules qui ne présentent pas entre eux de différences, au moins au regard des critères de base suivants:






  a) | La désignation de type donnée par le constructeur; |
| --- | --- | --- |

2.1.

«Type de véhicule»: l’ensemble des véhicules qui ne présentent pas entre eux de différences, au moins au regard des critères de base suivants:

a)

La désignation de type donnée par le constructeur;

| b) | Les aspects essentiels de la conception en ce qui concerne les processus de mise à jour logicielle. |
| --- | --- |

b)

Les aspects essentiels de la conception en ce qui concerne les processus de mise à jour logicielle.

| 2.2. | «Code RXSWIN (RX Software Identification Number — RX Numéro d’identification du logiciel)»: le code attribué par le constructeur du véhicule, associé aux informations concernant le logiciel du système de commande électronique, soumis à homologation et faisant partie intégrante des caractéristiques du véhicule pertinentes dans le cadre de son homologation de type au titre du Règlement no X. |
| --- | --- |

2.2.

«Code RXSWIN (RX Software Identification Number —

o

| 2.3. | «Mise à jour logicielle»: le programme utilisé pour installer une nouvelle version d’un logiciel comportant une modification des paramètres de configuration. |
| --- | --- |

2.3.

«Mise à jour logicielle»: le programme utilisé pour installer une nouvelle version d’un logiciel comportant une modification des paramètres de configuration.

| 2.4. | «Exécution»: le processus d’installation et d’activation d’une mise à jour qui a été téléchargée. |
| --- | --- |

2.4.

«Exécution»: le processus d’installation et d’activation d’une mise à jour qui a été téléchargée.

| 2.5. | «Système de gestion des mises à jour logicielles (Software Update Management System — SUMS)»: l’ensemble des processus et procédures établis de manière systématique satisfaire aux prescriptions concernant la fourniture de mises à jour logicielles conformément au présent Règlement. |
| --- | --- |

2.5.

«Système de gestion des mises à jour logicielles (Software Update Management System

| 2.6. | «Utilisateur du véhicule»: une personne qui dirige ou conduit le véhicule, le propriétaire du véhicule, un représentant habilité ou un employé d’un gestionnaire de parc automobile, un représentant habilité ou un employé du constructeur du véhicule, ou un technicien habilité. |
| --- | --- |

2.6.

«Utilisateur du véhicule»: une personne qui dirige ou conduit le véhicule, le propriétaire du véhicule, un représentant habilité ou un employé d’un gestionnaire de parc automobile, un représentant habilité ou un employé du constructeur du véhicule, ou un technicien habilité.

| 2.7. | «Mode sécurisé»: un mode de fonctionnement en cas de défaillance d’un élément n’exposant pas à un risque déraisonnable. |
| --- | --- |

2.7.

«Mode sécurisé»: un mode de fonctionnement en cas de défaillance d’un élément n’exposant pas à un risque déraisonnable.

| 2.8. | «Logiciel»: la partie d’un système de commande électronique constituée de données numériques et d’instructions. |
| --- | --- |

2.8.

«Logiciel»: la partie d’un système de commande électronique constituée de données numériques et d’instructions.

| 2.9. | «Mise à jour à distance»: toute méthode permettant d’effectuer des transferts de données sans fil au lieu d’utiliser un câble ou une autre connexion locale. |
| --- | --- |

2.9.

«Mise à jour à distance»: toute méthode permettant d’effectuer des transferts de données sans fil au lieu d’utiliser un câble ou une autre connexion locale.

| 2.10. | «Système»: un ensemble de composants ou de sous-systèmes qui assurent une ou plusieurs fonctions. |
| --- | --- |

2.10.

«Système»: un ensemble de composants ou de sous-systèmes qui assurent une ou plusieurs fonctions.

| 2.11. | «Données de validation de l’intégrité»: une représentation des données numériques sur la base de quoi des comparaisons peuvent être établies pour détecter des erreurs ou des changements dans les données. Elles peuvent inclure des totaux de contrôle et des valeurs de hachage. |
| --- | --- |

2.11.

«Données de validation de l’intégrité»: une représentation des données numériques sur la base de quoi des comparaisons peuvent être établies pour détecter des erreurs ou des changements dans les données. Elles peuvent inclure des totaux de contrôle et des valeurs de hachage.

3.   DEMANDE D’HOMOLOGATION

| 3.1. | La demande d’homologation d’un type de véhicule en ce qui concerne les processus de mise à jour logicielle doit être présentée par le constructeur du véhicule ou par son représentant dûment accrédité. |
| --- | --- |

3.1.

La demande d’homologation d’un type de véhicule en ce qui concerne les processus de mise à jour logicielle doit être présentée par le constructeur du véhicule ou par son représentant dûment accrédité.

| 3.2. | Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes: |
| --- | --- |

3.2.

Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes:

| 3.3. | Une description du type de véhicule en ce qui concerne les points mentionnés à l’annexe 1 du présent Règlement. |
| --- | --- |

3.3.

Une description du type de véhicule en ce qui concerne les points mentionnés à l’annexe 1 du présent Règlement.

| 3.4. | Dans les cas où il est indiqué que les informations font l’objet de droits de propriété intellectuelle, ou qu’elles constituent un savoir-faire spécifique du constructeur ou de ses fournisseurs, le constructeur ou les fournisseurs doivent fournir les éléments d’information suffisants pour permettre d’effectuer convenablement les vérifications mentionnées dans le présent Règlement. Ces éléments d’information doivent être utilisés de façon confidentielle. |
| --- | --- |

3.4.

Dans les cas où il est indiqué que les informations font l’objet de droits de propriété intellectuelle, ou qu’elles constituent un savoir-faire spécifique du constructeur ou de ses fournisseurs, le constructeur ou les fournisseurs doivent fournir les éléments d’information suffisants pour permettre d’effectuer convenablement les vérifications mentionnées dans le présent Règlement. Ces éléments d’information doivent être utilisés de façon confidentielle.

| 3.5. | Le certificat de conformité du système de gestion des mises à jour logicielles, conformément aux dispositions du paragraphe 6 du présent Règlement. |
| --- | --- |

3.5.

Le certificat de conformité du système de gestion des mises à jour logicielles, conformément aux dispositions du paragraphe 6 du présent Règlement.

| 3.6. | Un véhicule représentatif du type à homologuer doit être présenté au service technique chargé de réaliser les essais d’homologation. |
| --- | --- |

3.6.

Un véhicule représentatif du type à homologuer doit être présenté au service technique chargé de réaliser les essais d’homologation.

| 3.7. | La documentation doit être fournie en deux parties:






  a) | Le dossier d’information officiel aux fins de l’homologation, contenant les renseignements énumérés à l’annexe 1, à présenter à l’autorité d’homologation ou à son service technique au moment du dépôt de la demande d’homologation de type. Ce dossier d’information doit être utilisé par l’autorité d’homologation ou son service technique comme référence de base pour la procédure d’homologation. L’autorité d’homologation ou son service technique doit faire en sorte que ce dossier d’information reste disponible pendant au moins dix ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré. |
| --- | --- | --- |

3.7.

La documentation doit être fournie en deux parties:

a)

Le dossier d’information officiel aux fins de l’homologation, contenant les renseignements énumérés à l’annexe 1, à présenter à l’autorité d’homologation ou à son service technique au moment du dépôt de la demande d’homologation de type. Ce dossier d’information doit être utilisé par l’autorité d’homologation ou son service technique comme référence de base pour la procédure d’homologation. L’autorité d’homologation ou son service technique doit faire en sorte que ce dossier d’information reste disponible pendant au moins dix ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré.

| b) | Les autres éléments d’information pertinents au regard des prescriptions du présent Règlement, qui peuvent être conservés par le constructeur mais doivent pouvoir faire l’objet d’une inspection au moment de l’homologation de type. Le constructeur doit faire en sorte que toute information pouvant faire l’objet d’une inspection au moment de l’homologation de type reste disponible pendant au moins dix ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré. |
| --- | --- |

b)

Les autres éléments d’information pertinents au regard des prescriptions du présent Règlement, qui peuvent être conservés par le constructeur mais doivent pouvoir faire l’objet d’une inspection au moment de l’homologation de type. Le constructeur doit faire en sorte que toute information pouvant faire l’objet d’une inspection au moment de l’homologation de type reste disponible pendant au moins dix ans à compter de la date de l’arrêt définitif de la production du type de véhicule considéré.

4.   MARQUAGE

| 4.1. | Sur tout véhicule conforme à un type de véhicule homologué en application du présent Règlement doit être apposée de manière visible, en un endroit facilement accessible et indiqué sur la fiche d’homologation, une marque d’homologation internationale composée: |
| --- | --- |

4.1.

Sur tout véhicule conforme à un type de véhicule homologué en application du présent Règlement doit être apposée de manière visible, en un endroit facilement accessible et indiqué sur la fiche d’homologation, une marque d’homologation internationale composée:

| 4.1.1. | D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays ayant délivré l’homologation (2). |
| --- | --- |

4.1.1.

D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays ayant délivré l’homologation (2

| 4.1.2. | Du numéro du présent Règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, à la droite du cercle prévu au paragraphe 4.1.1 ci-dessus. |
| --- | --- |

4.1.2.

Du numéro du présent Règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, à la droite du cercle prévu au paragraphe 4.1.1 ci-dessus.

| 4.2. | Si le véhicule est conforme à un type de véhicule homologué en application d’un ou de plusieurs autres Règlements annexés à l’Accord dans le pays qui a accordé l’homologation en application du présent Règlement, il n’est pas nécessaire de répéter le symbole prescrit au paragraphe 4.1.1 ci-dessus; dans un tel cas, les numéros de règlement et d’homologation et les symboles additionnels pour tous les Règlements en application desquels l’homologation a été accordée dans le pays qui l’a accordée en application du présent Règlement doivent être inscrits l’un au-dessous de l’autre à droite du symbole prescrit au paragraphe 4.1.1. |
| --- | --- |

4.2.

Si le véhicule est conforme à un type de véhicule homologué en application d’un ou de plusieurs autres Règlements annexés à l’Accord dans le pays qui a accordé l’homologation en application du présent Règlement, il n’est pas nécessaire de répéter le symbole prescrit au paragraphe 4.1.1 ci-dessus; dans un tel cas, les numéros de règlement et d’homologation et les symboles additionnels pour tous les Règlements en application desquels l’homologation a été accordée dans le pays qui l’a accordée en application du présent Règlement doivent être inscrits l’un au-dessous de l’autre à droite du symbole prescrit au paragraphe 4.1.1.

| 4.3. | La marque d’homologation doit être nettement lisible et indélébile. |
| --- | --- |

4.3.

La marque d’homologation doit être nettement lisible et indélébile.

| 4.4. | Elle doit être placée sur la plaque signalétique du véhicule apposée par le constructeur, ou à proximité. |
| --- | --- |

4.4.

Elle doit être placée sur la plaque signalétique du véhicule apposée par le constructeur, ou à proximité.

| 4.5. | On trouvera à l’annexe 3 du présent Règlement des exemples de marques d’homologation. |
| --- | --- |

4.5.

On trouvera à l’annexe 3 du présent Règlement des exemples de marques d’homologation.

5.   HOMOLOGATION

| 5.1. | Les autorités d’homologation accordent, selon qu’il convient, l’homologation de type en ce qui concerne les procédures et processus de mise à jour logicielle, uniquement aux types de véhicules qui satisfont aux prescriptions du présent Règlement. |
| --- | --- |

5.1.

Les autorités d’homologation accordent, selon qu’il convient, l’homologation de type en ce qui concerne les procédures et processus de mise à jour logicielle, uniquement aux types de véhicules qui satisfont aux prescriptions du présent Règlement.

| 5.1.1. | L’autorité d’homologation ou le service technique doit vérifier, en soumettant un véhicule du type visé aux essais voulus, que le constructeur a bien mis en œuvre les mesures dont il a fait état. Les essais doivent être conduits par l’autorité d’homologation ou le service technique, ou encore avec le concours du constructeur, par échantillonnage. |
| --- | --- |

5.1.1.

L’autorité d’homologation ou le service technique doit vérifier, en soumettant un véhicule du type visé aux essais voulus, que le constructeur a bien mis en œuvre les mesures dont il a fait état. Les essais doivent être conduits par l’autorité d’homologation ou le service technique, ou encore avec le concours du constructeur, par échantillonnage.

| 5.2. | L’homologation ou l’extension ou le refus d’homologation d’un type de véhicule en application du présent Règlement doit être notifié aux Parties à l’Accord de 1958 appliquant ledit Règlement au moyen d’une fiche conforme au modèle de l’annexe 2 du présent Règlement. |
| --- | --- |

5.2.

L’homologation ou l’extension ou le refus d’homologation d’un type de véhicule en application du présent Règlement doit être notifié aux Parties à l’Accord de 1958 appliquant ledit Règlement au moyen d’une fiche conforme au modèle de l’annexe 2 du présent Règlement.

| 5.3. | Les autorités d’homologation ne doivent pas délivrer d’homologation de type sans s’assurer que le constructeur a mis en place des dispositions et des procédures satisfaisantes pour gérer convenablement les aspects des processus de mise à jour logicielle dont il est question dans le présent Règlement. |
| --- | --- |

5.3.

Les autorités d’homologation ne doivent pas délivrer d’homologation de type sans s’assurer que le constructeur a mis en place des dispositions et des procédures satisfaisantes pour gérer convenablement les aspects des processus de mise à jour logicielle dont il est question dans le présent Règlement.

6.   CERTIFICAT DE CONFORMITÉ DU SYSTÈME DE GESTION DES MISES À JOUR LOGICIELLES

| 6.1. | Les Parties contractantes doivent désigner une autorité d’homologation chargée de procéder à l’évaluation du constructeur et de délivrer le certificat de conformité du système de gestion des mises à jour logicielles. |
| --- | --- |

6.1.

Les Parties contractantes doivent désigner une autorité d’homologation chargée de procéder à l’évaluation du constructeur et de délivrer le certificat de conformité du système de gestion des mises à jour logicielles.

| 6.2. | La demande de certificat de conformité du système de gestion des mises à jour logicielles doit être présentée par le constructeur du véhicule ou par son représentant dûment agréé. |
| --- | --- |

6.2.

La demande de certificat de conformité du système de gestion des mises à jour logicielles doit être présentée par le constructeur du véhicule ou par son représentant dûment agréé.

| 6.3. | Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes: |
| --- | --- |

6.3.

Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes:

| 6.3.1. | Une description du système de gestion des mises à jour logicielles. |
| --- | --- |

6.3.1.

Une description du système de gestion des mises à jour logicielles.

| 6.3.2. | Une déclaration signée conforme au modèle de l’appendice 1 de l’annexe 1. |
| --- | --- |

6.3.2.

Une déclaration signée conforme au modèle de l’appendice 1 de l’annexe 1.

| 6.4. | Dans le cadre de l’évaluation, le constructeur doit déclarer, à l’aide du modèle de l’appendice 1 de l’annexe 1, et démontrer à la satisfaction de l’autorité d’homologation ou de son service technique qu’il a mis en place les procédures requises pour satisfaire à toutes les prescriptions en matière de mise à jour logicielle énoncées dans le présent Règlement. |
| --- | --- |

6.4.

Dans le cadre de l’évaluation, le constructeur doit déclarer, à l’aide du modèle de l’appendice 1 de l’annexe 1, et démontrer à la satisfaction de l’autorité d’homologation ou de son service technique qu’il a mis en place les procédures requises pour satisfaire à toutes les prescriptions en matière de mise à jour logicielle énoncées dans le présent Règlement.

| 6.5. | Si les résultats de cette évaluation sont satisfaisants, et à réception d’une déclaration signée par le constructeur conforme au modèle de l’appendice 1 de l’annexe 1, un certificat appelé «certificat de conformité du SUMS» tel que décrit à l’annexe 4 du présent Règlement est délivré au constructeur. |
| --- | --- |

6.5.

Si les résultats de cette évaluation sont satisfaisants, et à réception d’une déclaration signée par le constructeur conforme au modèle de l’appendice 1 de l’annexe 1, un certificat appelé «certificat de conformité du SUMS» tel que décrit à l’annexe 4 du présent Règlement est délivré au constructeur.

| 6.6. | Le certificat de conformité du SUMS a une durée de validité de trois ans au maximum à compter de la date de sa délivrance, à moins qu’il ne soit retiré. |
| --- | --- |

6.6.

Le certificat de conformité du SUMS a une durée de validité de trois ans au maximum à compter de la date de sa délivrance, à moins qu’il ne soit retiré.

| 6.7. | L’autorité d’homologation qui a délivré le certificat de conformité du système de gestion des mises à jour logicielles peut à tout moment vérifier que les conditions de sa validité restent remplies. Le certificat de conformité du système de gestion des mises à jour logicielles peut être retiré si les prescriptions énoncées dans le présent Règlement ne sont plus respectées. |
| --- | --- |

6.7.

L’autorité d’homologation qui a délivré le certificat de conformité du système de gestion des mises à jour logicielles peut à tout moment vérifier que les conditions de sa validité restent remplies. Le certificat de conformité du système de gestion des mises à jour logicielles peut être retiré si les prescriptions énoncées dans le présent Règlement ne sont plus respectées.

| 6.8. | Le constructeur doit informer l’autorité d’homologation ou son service technique de toute modification ayant une incidence sur la validité du certificat de conformité du système de gestion des mises à jour logicielles. Après avoir consulté le constructeur, l’autorité d’homologation ou son service technique doit déterminer s’il convient de procéder à de nouvelles vérifications. |
| --- | --- |

6.8.

Le constructeur doit informer l’autorité d’homologation ou son service technique de toute modification ayant une incidence sur la validité du certificat de conformité du système de gestion des mises à jour logicielles. Après avoir consulté le constructeur, l’autorité d’homologation ou son service technique doit déterminer s’il convient de procéder à de nouvelles vérifications.

| 6.9. | À la fin de la période de validité du certificat de conformité de mise à jour logicielle, l’autorité d’homologation doit, après une évaluation positive, délivrer un nouveau certificat de conformité du système de gestion des mises à jour logicielles ou prolonger la validité du certificat périmé pour une nouvelle période de trois ans. L’autorité d’homologation doit délivrer un nouveau certificat lorsque des modifications ont été portées à son attention ou à celle de son service technique et que ces modifications ont fait l’objet d’une réévaluation positive. |
| --- | --- |

6.9.

À la fin de la période de validité du certificat de conformité de mise à jour logicielle, l’autorité d’homologation doit, après une évaluation positive, délivrer un nouveau certificat de conformité du système de gestion des mises à jour logicielles ou prolonger la validité du certificat périmé pour une nouvelle période de trois ans. L’autorité d’homologation doit délivrer un nouveau certificat lorsque des modifications ont été portées à son attention ou à celle de son service technique et que ces modifications ont fait l’objet d’une réévaluation positive.

| 6.10. | Les homologations de type en vigueur pour les véhicules ne perdent pas leur validité du fait de l’expiration du certificat de conformité du système de gestion des mises à jour logicielles accordé au constructeur. |
| --- | --- |

6.10.

Les homologations de type en vigueur pour les véhicules ne perdent pas leur validité du fait de l’expiration du certificat de conformité du système de gestion des mises à jour logicielles accordé au constructeur.

7.   SPÉCIFICATIONS GÉNÉRALES

| 7.1. | Prescriptions relatives au système de gestion des mises à jour logicielles du constructeur du véhicule |
| --- | --- |

7.1.

Prescriptions relatives au système de gestion des mises à jour logicielles du constructeur du véhicule

| 7.1.1. | Processus à vérifier dans le cadre de l’évaluation initiale |
| --- | --- |

7.1.1.

Processus à vérifier dans le cadre de l’évaluation initiale

| 7.1.1.1. | Un processus par lequel les informations pertinentes pour le présent Règlement sont étayées et conservées en toute sécurité dans les locaux du constructeur du véhicule, et peuvent être mises à la disposition d’une autorité d’homologation ou d’un service technique sur demande; |
| --- | --- |

7.1.1.1.

Un processus par lequel les informations pertinentes pour le présent Règlement sont étayées et conservées en toute sécurité dans les locaux du constructeur du véhicule, et peuvent être mises à la disposition d’une autorité d’homologation ou d’un service technique sur demande;

| 7.1.1.2. | Un processus par lequel les informations concernant toutes les versions, initiale et ultérieures, d’un logiciel, y compris les données de validation de l’intégrité, et les composants matériels pertinents d’un système homologué peuvent être identifiés; |
| --- | --- |

7.1.1.2.

Un processus par lequel les informations concernant toutes les versions, initiale et ultérieures, d’un logiciel, y compris les données de validation de l’intégrité, et les composants matériels pertinents d’un système homologué peuvent être identifiés;

| 7.1.1.3. | Un processus par lequel, pour un type de véhicule ayant un RXSWIN, les informations concernant le RXSWIN du type de véhicule avant et après une mise à jour peuvent être consultées et actualisées. Il doit ainsi être possible de mettre à jour les informations concernant les versions du logiciel et les données de validation de l’intégrité de tous les composants logiciels pertinents pour chaque RXSWIN; |
| --- | --- |

7.1.1.3.

Un processus par lequel, pour un type de véhicule ayant un RXSWIN, les informations concernant le RXSWIN du type de véhicule avant et après une mise à jour peuvent être consultées et actualisées. Il doit ainsi être possible de mettre à jour les informations concernant les versions du logiciel et les données de validation de l’intégrité de tous les composants logiciels pertinents pour chaque RXSWIN;

| 7.1.1.4. | Un processus par lequel, pour un type de véhicule ayant un RXSWIN, le constructeur du véhicule peut vérifier que la ou les versions du logiciel présentes sur un composant d’un système homologué sont conformes à celles associées au RXSWIN correspondant; |
| --- | --- |

7.1.1.4.

Un processus par lequel, pour un type de véhicule ayant un RXSWIN, le constructeur du véhicule peut vérifier que la ou les versions du logiciel présentes sur un composant d’un système homologué sont conformes à celles associées au RXSWIN correspondant;

| 7.1.1.5. | Un processus permettant de mettre en évidence toute interdépendance du système mis à jour avec d’autres systèmes; |
| --- | --- |

7.1.1.5.

Un processus permettant de mettre en évidence toute interdépendance du système mis à jour avec d’autres systèmes;

| 7.1.1.6. | Un processus par lequel le constructeur du véhicule peut identifier les véhicules cibles aux fins d’une mise à jour logicielle; |
| --- | --- |

7.1.1.6.

Un processus par lequel le constructeur du véhicule peut identifier les véhicules cibles aux fins d’une mise à jour logicielle;

| 7.1.1.7. | Un processus permettant de confirmer la compatibilité d’une mise à jour logicielle avec la configuration du ou des véhicules cibles avant sa mise à disposition. Pour cela, il convient de déterminer la dernière configuration logicielle et matérielle connue du ou des véhicules cibles; |
| --- | --- |

7.1.1.7.

Un processus permettant de confirmer la compatibilité d’une mise à jour logicielle avec la configuration du ou des véhicules cibles avant sa mise à disposition. Pour cela, il convient de déterminer la dernière configuration logicielle et matérielle connue du ou des véhicules cibles;

| 7.1.1.8. | Un processus permettant de déterminer si une mise à jour logicielle aura une incidence sur tel ou tel système homologué et, si tel est le cas, de déterminer et d’enregistrer cette incidence. Il s’agit de déterminer si la mise à jour aura une incidence sur tel ou tel paramètre utilisé pour définir les systèmes que la mise à jour est susceptible de concerner, ou si elle modifiera tel ou tel paramètre utilisé pour homologuer ces systèmes (tels que définis dans la réglementation pertinente); |
| --- | --- |

7.1.1.8.

Un processus permettant de déterminer si une mise à jour logicielle aura une incidence sur tel ou tel système homologué et, si tel est le cas, de déterminer et d’enregistrer cette incidence. Il s’agit de déterminer si la mise à jour aura une incidence sur tel ou tel paramètre utilisé pour définir les systèmes que la mise à jour est susceptible de concerner, ou si elle modifiera tel ou tel paramètre utilisé pour homologuer ces systèmes (tels que définis dans la réglementation pertinente);

| 7.1.1.9. | Un processus permettant de déterminer si une mise à jour logicielle ajoutera, modifiera ou activera des fonctions qui n’étaient pas présentes ou activées lorsque le véhicule a été homologué, ou modifiera ou désactivera tout autre paramètre ou toute autre fonction définis dans la réglementation, et, si tel est le cas, de déterminer et d’enregistrer ces effets. L’évaluation doit porter sur la question de savoir si:






  a) | Des entrées devront être modifiées dans le dossier d’information; |
| --- | --- | --- |

7.1.1.9.

Un processus permettant de déterminer si une mise à jour logicielle ajoutera, modifiera ou activera des fonctions qui n’étaient pas présentes ou activées lorsque le véhicule a été homologué, ou modifiera ou désactivera tout autre paramètre ou toute autre fonction définis dans la réglementation, et, si tel est le cas, de déterminer et d’enregistrer ces effets. L’évaluation doit porter sur la question de savoir si:

a)

Des entrées devront être modifiées dans le dossier d’information;

| b) | Les résultats des essais ne rendront plus compte du fonctionnement du véhicule après que la modification aura eu lieu; |
| --- | --- |

b)

Les résultats des essais ne rendront plus compte du fonctionnement du véhicule après que la modification aura eu lieu;

| c) | Une éventuelle modification des fonctions du véhicule aura une incidence sur l’homologation de type du véhicule; |
| --- | --- |

c)

Une éventuelle modification des fonctions du véhicule aura une incidence sur l’homologation de type du véhicule;

| 7.1.1.10. | Un processus permettant de déterminer si une mise à jour logicielle aura une incidence sur tout autre système requis pour continuer d’utiliser le véhicule en toute sécurité, ou si la mise à jour ajoutera ou modifiera des fonctions propres au véhicule par rapport à la date où il a été immatriculé, et, si tel est le cas, de déterminer et d’enregistrer ces effets; |
| --- | --- |

7.1.1.10.

Un processus permettant de déterminer si une mise à jour logicielle aura une incidence sur tout autre système requis pour continuer d’utiliser le véhicule en toute sécurité, ou si la mise à jour ajoutera ou modifiera des fonctions propres au véhicule par rapport à la date où il a été immatriculé, et, si tel est le cas, de déterminer et d’enregistrer ces effets;

| 7.1.1.11. | Un processus par lequel l’utilisateur du véhicule peut être informé des mises à jour; |
| --- | --- |

7.1.1.11.

Un processus par lequel l’utilisateur du véhicule peut être informé des mises à jour;

| 7.1.1.12. | Un processus par lequel le constructeur du véhicule doit pouvoir mettre les informations visées aux paragraphes 7.1.2.3 et 7.1.2.4 à la disposition des autorités d’homologation responsables ou de leurs services techniques. Ces informations peuvent être demandées aux fins de l’homologation de type, d’une vérification de la conformité de la production, de la surveillance des marchés, d’un rappel ou du contrôle technique périodique. |
| --- | --- |

7.1.1.12.

Un processus par lequel le constructeur du véhicule doit pouvoir mettre les informations visées aux paragraphes 7.1.2.3 et 7.1.2.4 à la disposition des autorités d’homologation responsables ou de leurs services techniques. Ces informations peuvent être demandées aux fins de l’homologation de type, d’une vérification de la conformité de la production, de la surveillance des marchés, d’un rappel ou du contrôle technique périodique.

| 7.1.2. | Le constructeur du véhicule doit enregistrer et conserver les informations suivantes pour chaque mise à jour appliquée à un type de véhicule donné: |
| --- | --- |

7.1.2.

Le constructeur du véhicule doit enregistrer et conserver les informations suivantes pour chaque mise à jour appliquée à un type de véhicule donné:

| 7.1.2.1. | La documentation sur les processus qu’il met en œuvre pour effectuer les mises à jour logicielles et sur toute norme pertinente qu’il utilise pour démontrer leur conformité; |
| --- | --- |

7.1.2.1.

La documentation sur les processus qu’il met en œuvre pour effectuer les mises à jour logicielles et sur toute norme pertinente qu’il utilise pour démontrer leur conformité;

| 7.1.2.2. | La documentation sur la configuration, avant et après une mise à jour, de tout système homologué pertinent; celle-ci doit comprendre des codes uniques pour les composants matériels et logiciels du système homologué (y compris pour les différentes versions du logiciel) ainsi que tous les paramètres pertinents du véhicule ou du système; |
| --- | --- |

7.1.2.2.

La documentation sur la configuration, avant et après une mise à jour, de tout système homologué pertinent; celle-ci doit comprendre des codes uniques pour les composants matériels et logiciels du système homologué (y compris pour les différentes versions du logiciel) ainsi que tous les paramètres pertinents du véhicule ou du système;

| 7.1.2.3. | Pour chaque RXSWIN, un registre vérifiable décrivant l’ensemble du logiciel auquel renvoie le RXSWIN du type de véhicule avant et après une mise à jour. Il s’agit notamment des informations sur les versions du logiciel et les données de validation de l’intégrité pour tous les composants logiciels pertinents de chaque RXSWIN; |
| --- | --- |

7.1.2.3.

Pour chaque RXSWIN, un registre vérifiable décrivant l’ensemble du logiciel auquel renvoie le RXSWIN du type de véhicule avant et après une mise à jour. Il s’agit notamment des informations sur les versions du logiciel et les données de validation de l’intégrité pour tous les composants logiciels pertinents de chaque RXSWIN;

| 7.1.2.4. | La liste des véhicules cibles de la mise à jour et la confirmation de la compatibilité de la dernière configuration connue de ces véhicules avec la mise à jour; |
| --- | --- |

7.1.2.4.

La liste des véhicules cibles de la mise à jour et la confirmation de la compatibilité de la dernière configuration connue de ces véhicules avec la mise à jour;

| 7.1.2.5. | La documentation sur toutes les mises à jour logicielles pour le type de véhicule visé, comprenant les éléments d’information suivants:






  a) | Le but de la mise à jour; |
| --- | --- | --- |

7.1.2.5.

La documentation sur toutes les mises à jour logicielles pour le type de véhicule visé, comprenant les éléments d’information suivants:

a)

Le but de la mise à jour;

| b) | Les systèmes ou les fonctions du véhicule concernés par la mise à jour; |
| --- | --- |

b)

Les systèmes ou les fonctions du véhicule concernés par la mise à jour;

| c) | Les systèmes ou fonctions homologués (s’il y en a) parmi les systèmes ou fonctions concernés par la mise à jour; |
| --- | --- |

c)

Les systèmes ou fonctions homologués (s’il y en a) parmi les systèmes ou fonctions concernés par la mise à jour;

| d) | S’il existe de tels systèmes ou fonctions homologués, les éventuelles incidences de la mise à jour logicielle sur le respect des prescriptions relatives à ces systèmes; |
| --- | --- |

d)

S’il existe de tels systèmes ou fonctions homologués, les éventuelles incidences de la mise à jour logicielle sur le respect des prescriptions relatives à ces systèmes;

| e) | L’éventuelle incidence de la mise à jour logicielle sur un paramètre d’homologation d’un système; |
| --- | --- |

e)

L’éventuelle incidence de la mise à jour logicielle sur un paramètre d’homologation d’un système;

| f) | L’éventuelle demande d’homologation de la mise à jour auprès d’un organisme d’homologation; |
| --- | --- |

f)

L’éventuelle demande d’homologation de la mise à jour auprès d’un organisme d’homologation;

| g) | Le mode et les conditions d’exécution de la mise à jour; |
| --- | --- |

g)

Le mode et les conditions d’exécution de la mise à jour;

| h) | Les éléments permettant de confirmer que la mise à jour logicielle se fera en toute sécurité; |
| --- | --- |

h)

Les éléments permettant de confirmer que la mise à jour logicielle se fera en toute sécurité;

| i) | Les éléments permettant de confirmer que la mise à jour logicielle a fait l’objet de procédures de vérification et de validation qui ont été satisfaisantes. |
| --- | --- |

i)

Les éléments permettant de confirmer que la mise à jour logicielle a fait l’objet de procédures de vérification et de validation qui ont été satisfaisantes.

| 7.1.3. | S’agissant de la sécurité, le constructeur du véhicule doit démontrer: |
| --- | --- |

7.1.3.

S’agissant de la sécurité, le constructeur du véhicule doit démontrer:

| 7.1.3.1. | Quel processus est mis en œuvre pour s’assurer de la protection raisonnable des mises à jour logicielles contre toute manipulation avant le lancement de la mise à jour; |
| --- | --- |

7.1.3.1.

Quel processus est mis en œuvre pour s’assurer de la protection raisonnable des mises à jour logicielles contre toute manipulation avant le lancement de la mise à jour;

| 7.1.3.2. | Que les processus de mise à jour mis en œuvre sont raisonnablement protégés contre toute altération, y compris au stade de l’élaboration de la mise à jour du système; |
| --- | --- |

7.1.3.2.

Que les processus de mise à jour mis en œuvre sont raisonnablement protégés contre toute altération, y compris au stade de l’élaboration de la mise à jour du système;

| 7.1.3.3. | Que les processus mis en œuvre pour vérifier et valider les fonctions et le code informatique du logiciel utilisé sur le véhicule sont appropriés. |
| --- | --- |

7.1.3.3.

Que les processus mis en œuvre pour vérifier et valider les fonctions et le code informatique du logiciel utilisé sur le véhicule sont appropriés.

| 7.1.4. | Prescriptions additionnelles applicables aux mises à jour à distance |
| --- | --- |

7.1.4.

Prescriptions additionnelles applicables aux mises à jour à distance

| 7.1.4.1. | Le constructeur du véhicule doit faire une démonstration des processus et procédures qu’il mettra en œuvre pour s’assurer que les mises à jour à distance n’auront aucune incidence sur la sécurité si elles se font pendant la conduite du véhicule. |
| --- | --- |

7.1.4.1.

Le constructeur du véhicule doit faire une démonstration des processus et procédures qu’il mettra en œuvre pour s’assurer que les mises à jour à distance n’auront aucune incidence sur la sécurité si elles se font pendant la conduite du véhicule.

| 7.1.4.2. | Le constructeur du véhicule doit décrire en détail les processus et procédures qu’il mettra en œuvre pour s’assurer que, lorsqu’une mise à jour à distance suppose un travail complexe ou faisant appel à des compétences particulières, comme un réétalonnage de capteur post-programmation pour terminer la mise à jour, celle-ci ne puisse avoir lieu que si elle est effectuée en présence d’une personne qualifiée pour ce faire, ou sous son contrôle. |
| --- | --- |

7.1.4.2.

Le constructeur du véhicule doit décrire en détail les processus et procédures qu’il mettra en œuvre pour s’assurer que, lorsqu’une mise à jour à distance suppose un travail complexe ou faisant appel à des compétences particulières, comme un réétalonnage de capteur post-programmation pour terminer la mise à jour, celle-ci ne puisse avoir lieu que si elle est effectuée en présence d’une personne qualifiée pour ce faire, ou sous son contrôle.

| 7.2. | Prescriptions relatives au type de véhicule |
| --- | --- |

7.2.

Prescriptions relatives au type de véhicule

| 7.2.1. | Prescriptions s’appliquant aux mises à jour logicielles |
| --- | --- |

7.2.1.

Prescriptions s’appliquant aux mises à jour logicielles

| 7.2.1.1. | L’authenticité et l’intégrité des mises à jour logicielles doivent être protégées afin de prévenir de façon raisonnable l’altération des mises à jour et d’éviter les mises à jour non valables. |
| --- | --- |

7.2.1.1.

L’authenticité et l’intégrité des mises à jour logicielles doivent être protégées afin de prévenir de façon raisonnable l’altération des mises à jour et d’éviter les mises à jour non valables.

| 7.2.1.2. | Lorsqu’il existe des codes RXSWIN pour un type de véhicule: |
| --- | --- |

7.2.1.2.

Lorsqu’il existe des codes RXSWIN pour un type de véhicule:

| 7.2.1.2.1. | Chaque code RXSWIN doit être unique. Lorsqu’un logiciel soumis à homologation est modifié par le constructeur du véhicule, le code RXSWIN correspondant doit être mis à jour si la modification donne lieu à une extension de l’homologation ou à une nouvelle homologation. |
| --- | --- |

7.2.1.2.1.

Chaque code RXSWIN doit être unique. Lorsqu’un logiciel soumis à homologation est modifié par le constructeur du véhicule, le code RXSWIN correspondant doit être mis à jour si la modification donne lieu à une extension de l’homologation ou à une nouvelle homologation.

| 7.2.1.2.2. | Chaque code RXSWIN doit être aisément lisible de façon normalisée, au moyen d’une interface de communication électronique. On doit pouvoir le lire au moins par l’interface standard (port OBD).
  Si les codes RXSWIN ne sont pas présents sur le véhicule, le constructeur doit déclarer à l’autorité d’homologation la ou les versions du logiciel ou les modules de gestion électronique correspondant aux homologations de type pertinentes. Cette déclaration doit être actualisée à chaque nouvelle mise à jour des versions du logiciel déclarées. La ou les versions du logiciel doivent être aisément lisibles de façon normalisée, au moyen d’une interface de communication électronique. On doit pouvoir la (les) lire au moins par l’interface standard (port OBD). |
| --- | --- |

7.2.1.2.2.

Chaque code RXSWIN doit être aisément lisible de façon normalisée, au moyen d’une interface de communication électronique. On doit pouvoir le lire au moins par l’interface standard (port OBD).

Si les codes RXSWIN ne sont pas présents sur le véhicule, le constructeur doit déclarer à l’autorité d’homologation la ou les versions du logiciel ou les modules de gestion électronique correspondant aux homologations de type pertinentes. Cette déclaration doit être actualisée à chaque nouvelle mise à jour des versions du logiciel déclarées. La ou les versions du logiciel doivent être aisément lisibles de façon normalisée, au moyen d’une interface de communication électronique. On doit pouvoir la (les) lire au moins par l’interface standard (port OBD).

| 7.2.1.2.3. | Le constructeur du véhicule doit protéger les codes RXSWIN et/ou la ou les versions du logiciel utilisées sur le véhicule contre toute modification non autorisée. Lorsque l’homologation de type est accordée, les moyens mis en œuvre par le constructeur pour protéger les codes RXSWIN et/ou les versions du logiciel contre toute modification non autorisée doivent être communiqués de façon confidentielle. |
| --- | --- |

7.2.1.2.3.

Le constructeur du véhicule doit protéger les codes RXSWIN et/ou la ou les versions du logiciel utilisées sur le véhicule contre toute modification non autorisée. Lorsque l’homologation de type est accordée, les moyens mis en œuvre par le constructeur pour protéger les codes RXSWIN et/ou les versions du logiciel contre toute modification non autorisée doivent être communiqués de façon confidentielle.

| 7.2.2. | Prescriptions additionnelles applicables aux mises à jour à distance |
| --- | --- |

7.2.2.

Prescriptions additionnelles applicables aux mises à jour à distance

| 7.2.2.1. | Le véhicule doit être doté des fonctions suivantes en ce qui concerne les mises à jour logicielles: |
| --- | --- |

7.2.2.1.

Le véhicule doit être doté des fonctions suivantes en ce qui concerne les mises à jour logicielles:

| 7.2.2.1.1. | Le constructeur du véhicule doit s’assurer que le véhicule peut rétablir un système dans sa version précédente en cas d’échec ou d’interruption d’une mise à jour, ou que le véhicule peut être mis en mode sécurisé après qu’une mise à jour a échoué ou a été interrompue; |
| --- | --- |

7.2.2.1.1.

Le constructeur du véhicule doit s’assurer que le véhicule peut rétablir un système dans sa version précédente en cas d’échec ou d’interruption d’une mise à jour, ou que le véhicule peut être mis en mode sécurisé après qu’une mise à jour a échoué ou a été interrompue;

| 7.2.2.1.2. | Le constructeur du véhicule doit s’assurer qu’une mise à jour logicielle ne peut être exécutée que lorsque le véhicule a suffisamment d’énergie pour achever le processus de mise à jour (y compris l’énergie requise pour un éventuel rétablissement de la version précédente ou pour mettre le véhicule en mode sécurisé); |
| --- | --- |

7.2.2.1.2.

Le constructeur du véhicule doit s’assurer qu’une mise à jour logicielle ne peut être exécutée que lorsque le véhicule a suffisamment d’énergie pour achever le processus de mise à jour (y compris l’énergie requise pour un éventuel rétablissement de la version précédente ou pour mettre le véhicule en mode sécurisé);

| 7.2.2.1.3. | Dans le cas où l’exécution d’une mise à jour peut avoir une incidence sur la sécurité du véhicule, le constructeur du véhicule doit démontrer que la mise à jour s’effectuera sans risques. Cela doit se faire par des moyens techniques garantissant que le véhicule est dans un état où la mise à jour peut s’effectuer en toute sécurité. |
| --- | --- |

7.2.2.1.3.

Dans le cas où l’exécution d’une mise à jour peut avoir une incidence sur la sécurité du véhicule, le constructeur du véhicule doit démontrer que la mise à jour s’effectuera sans risques. Cela doit se faire par des moyens techniques garantissant que le véhicule est dans un état où la mise à jour peut s’effectuer en toute sécurité.

| 7.2.2.2. | Le constructeur du véhicule doit démontrer que l’utilisateur du véhicule peut être averti d’une mise à jour avant que celle-ci soit exécutée. Les informations devant être communiquées à cet effet sont celles-ci:






  a) | Le but de la mise à jour. L’information donnée peut se rapporter au degré d’importance de la mise à jour et indiquer si cette dernière est faite pour des raisons de rappel, de sécurité et/ou de sûreté; |
| --- | --- | --- |

7.2.2.2.

Le constructeur du véhicule doit démontrer que l’utilisateur du véhicule peut être averti d’une mise à jour avant que celle-ci soit exécutée. Les informations devant être communiquées à cet effet sont celles-ci:

a)

Le but de la mise à jour. L’information donnée peut se rapporter au degré d’importance de la mise à jour et indiquer si cette dernière est faite pour des raisons de rappel, de sécurité et/ou de sûreté;

| b) | Toute modification apportée aux fonctions du véhicule par la mise à jour; |
| --- | --- |

b)

Toute modification apportée aux fonctions du véhicule par la mise à jour;

| c) | Le temps prévu pour l’exécution de la mise à jour; |
| --- | --- |

c)

Le temps prévu pour l’exécution de la mise à jour;

| d) | Toutes les fonctions du véhicule susceptibles de ne pas être disponibles durant l’exécution de la mise à jour; |
| --- | --- |

d)

Toutes les fonctions du véhicule susceptibles de ne pas être disponibles durant l’exécution de la mise à jour;

| e) | Toutes les instructions pouvant aider l’utilisateur du véhicule à exécuter la mise à jour en toute sécurité. |
| --- | --- |

e)

Toutes les instructions pouvant aider l’utilisateur du véhicule à exécuter la mise à jour en toute sécurité.

Dans le cas de mises à jour groupées ayant un contenu semblable, une même information peut se rapporter à l’ensemble de ces mises à jour.

| 7.2.2.3. | Dans le cas où l’exécution d’une mise à jour pendant la conduite peut comporter des risques, le constructeur du véhicule doit démontrer:






  a) | Comment il fait en sorte que le véhicule ne puisse pas être conduit durant l’exécution de la mise à jour; |
| --- | --- | --- |

7.2.2.3.

Dans le cas où l’exécution d’une mise à jour pendant la conduite peut comporter des risques, le constructeur du véhicule doit démontrer:

a)

Comment il fait en sorte que le véhicule ne puisse pas être conduit durant l’exécution de la mise à jour;

| b) | Comment il fait en sorte que le conducteur ne puisse pas utiliser une fonction du véhicule qui aurait une incidence sur la sécurité de ce dernier ou sur la bonne exécution de la mise à jour. |
| --- | --- |

b)

Comment il fait en sorte que le conducteur ne puisse pas utiliser une fonction du véhicule qui aurait une incidence sur la sécurité de ce dernier ou sur la bonne exécution de la mise à jour.

| 7.2.2.4. | Le constructeur doit démontrer quels moyens sont mis en œuvre, dès que l’exécution de la mise à jour est achevée, pour que l’utilisateur du véhicule soit informé:






  a) | Du succès (ou de l’échec) de la mise à jour; |
| --- | --- | --- |

7.2.2.4.

Le constructeur doit démontrer quels moyens sont mis en œuvre, dès que l’exécution de la mise à jour est achevée, pour que l’utilisateur du véhicule soit informé:

a)

Du succès (ou de l’échec) de la mise à jour;

| b) | Des modifications apportées et des mises à jour y relatives dans le manuel d’utilisation du véhicule (le cas échéant). |
| --- | --- |

b)

Des modifications apportées et des mises à jour y relatives dans le manuel d’utilisation du véhicule (le cas échéant).

| 7.2.2.5. | Le véhicule doit s’assurer, avant l’exécution de la mise à jour logicielle, que les conditions requises pour celle-ci sont réunies. |
| --- | --- |

7.2.2.5.

Le véhicule doit s’assurer, avant l’exécution de la mise à jour logicielle, que les conditions requises pour celle-ci sont réunies.

8.   MODIFICATION DU TYPE DE VÉHICULE ET EXTENSION DE L’HOMOLOGATION DE TYPE

| 8.1. | Toute modification du type de véhicule ayant une incidence sur ses caractéristiques techniques et/ou sur la documentation prescrite dans le présent Règlement doit être portée à la connaissance de l’autorité ayant délivré l’homologation. Cette dernière peut alors: |
| --- | --- |

8.1.

Toute modification du type de véhicule ayant une incidence sur ses caractéristiques techniques et/ou sur la documentation prescrite dans le présent Règlement doit être portée à la connaissance de l’autorité ayant délivré l’homologation. Cette dernière peut alors:

| 8.1.1. | Soit considérer que le véhicule ainsi modifié est toujours conforme aux prescriptions et à la documentation correspondant à l’homologation de type existante; |
| --- | --- |

8.1.1.

Soit considérer que le véhicule ainsi modifié est toujours conforme aux prescriptions et à la documentation correspondant à l’homologation de type existante;

| 8.1.2. | Soit exiger un nouveau procès-verbal du service technique chargé des essais. |
| --- | --- |

8.1.2.

Soit exiger un nouveau procès-verbal du service technique chargé des essais.

| 8.1.3. | La confirmation, l’extension ou le refus de l’homologation, faisant mention des modifications apportées, doit être notifié au moyen d’une fiche de communication conforme au modèle de l’annexe 2 du présent Règlement. L’autorité d’homologation qui délivre une extension d’homologation doit attribuer un numéro de série à ladite extension et en informer les autres Parties à l’Accord de 1958 appliquant le présent Règlement au moyen d’une fiche de communication conforme au modèle de l’annexe 2 dudit Règlement. |
| --- | --- |

8.1.3.

La confirmation, l’extension ou le refus de l’homologation, faisant mention des modifications apportées, doit être notifié au moyen d’une fiche de communication conforme au modèle de l’annexe 2 du présent Règlement. L’autorité d’homologation qui délivre une extension d’homologation doit attribuer un numéro de série à ladite extension et en informer les autres Parties à l’Accord de 1958 appliquant le présent Règlement au moyen d’une fiche de communication conforme au modèle de l’annexe 2 dudit Règlement.

9.   CONFORMITÉ DE LA PRODUCTION

| 9.1. | Les procédures relatives à la conformité de la production doivent correspondre à celles qui sont énoncées dans l’annexe 1 de l’Accord de 1958 (E/ECE/TRANS/505/Rev.3) et satisfaire aux prescriptions suivantes: |
| --- | --- |

9.1.

Les procédures relatives à la conformité de la production doivent correspondre à celles qui sont énoncées dans l’annexe 1 de l’Accord de 1958 (E/ECE/TRANS/505/Rev.3) et satisfaire aux prescriptions suivantes:

| 9.1.1. | Le détenteur de l’homologation doit veiller à ce que les résultats des essais de contrôle de la conformité de la production soient enregistrés et que les documents annexés restent disponibles pour une période fixée en accord avec l’autorité d’homologation ou son service technique. Cette période ne doit pas excéder dix ans à partir de la date de l’arrêt définitif de la production; |
| --- | --- |

9.1.1.

Le détenteur de l’homologation doit veiller à ce que les résultats des essais de contrôle de la conformité de la production soient enregistrés et que les documents annexés restent disponibles pour une période fixée en accord avec l’autorité d’homologation ou son service technique. Cette période ne doit pas excéder dix ans à partir de la date de l’arrêt définitif de la production;

| 9.1.2. | L’autorité qui a accordé l’homologation de type peut à tout moment vérifier les méthodes de contrôle de la conformité appliquées dans chaque unité de production. La fréquence normale de ces vérifications est d’une fois tous les trois ans; |
| --- | --- |

9.1.2.

L’autorité qui a accordé l’homologation de type peut à tout moment vérifier les méthodes de contrôle de la conformité appliquées dans chaque unité de production. La fréquence normale de ces vérifications est d’une fois tous les trois ans;

| 9.1.3. | L’autorité d’homologation ou son service technique doit vérifier périodiquement que les processus mis en œuvre et les décisions prises par le constructeur du véhicule sont conformes, en particulier dans les cas où le constructeur a choisi de ne pas notifier une mise à jour à l’autorité d’homologation ou à son service technique. Cette vérification peut être effectuée sur la base d’un échantillonnage. |
| --- | --- |

9.1.3.

L’autorité d’homologation ou son service technique doit vérifier périodiquement que les processus mis en œuvre et les décisions prises par le constructeur du véhicule sont conformes, en particulier dans les cas où le constructeur a choisi de ne pas notifier une mise à jour à l’autorité d’homologation ou à son service technique. Cette vérification peut être effectuée sur la base d’un échantillonnage.

10.   SANCTIONS POUR NON-CONFORMITÉ DE LA PRODUCTION

| 10.1. | L’homologation délivrée pour un type de véhicule en application du présent Règlement peut être retirée si les prescriptions énoncées dans ledit Règlement ne sont pas respectées ou si les véhicules prélevés ne satisfont pas auxdites prescriptions. |
| --- | --- |

10.1.

L’homologation délivrée pour un type de véhicule en application du présent Règlement peut être retirée si les prescriptions énoncées dans ledit Règlement ne sont pas respectées ou si les véhicules prélevés ne satisfont pas auxdites prescriptions.

| 10.2. | Lorsqu’une autorité d’homologation retire une homologation qu’elle avait accordée, elle doit en aviser immédiatement les autres Parties contractantes appliquant le présent Règlement par l’envoi d’une fiche de communication conforme au modèle de l’annexe 2 dudit Règlement. |
| --- | --- |

10.2.

Lorsqu’une autorité d’homologation retire une homologation qu’elle avait accordée, elle doit en aviser immédiatement les autres Parties contractantes appliquant le présent Règlement par l’envoi d’une fiche de communication conforme au modèle de l’annexe 2 dudit Règlement.

11.   ARRÊT DÉFINITIF DE LA PRODUCTION

| 11.1. | Si le titulaire d’une homologation cesse définitivement la production d’un type de véhicule homologué conformément au présent Règlement, il doit en informer l’autorité qui a délivré l’homologation, laquelle, à son tour, avise les Parties à l’Accord appliquant ledit Règlement, au moyen d’une copie de la fiche d’homologation portant à la fin, en gros caractères, la mention signée et datée «PRODUCTION ARRÊTÉE». |
| --- | --- |

11.1.

Si le titulaire d’une homologation cesse définitivement la production d’un type de véhicule homologué conformément au présent Règlement, il doit en informer l’autorité qui a délivré l’homologation, laquelle, à son tour, avise les Parties à l’Accord appliquant ledit Règlement, au moyen d’une copie de la fiche d’homologation portant à la fin, en gros caractères, la mention signée et datée «PRODUCTION ARRÊTÉE».

12.   NOMS ET ADRESSES DES SERVICES TECHNIQUES CHARGÉS DES ESSAIS D’HOMOLOGATION ET DES AUTORITÉS D’HOMOLOGATION DE TYPE

| 12.1. | Les Parties à l’Accord appliquant le présent Règlement communiquent au Secrétariat de l’Organisation des Nations Unies les noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type qui délivrent les homologations et auxquelles doivent être envoyées les fiches d’homologation ou d’extension, de refus ou de retrait d’homologation émises dans les autres pays. |
| --- | --- |

12.1.

Les Parties à l’Accord appliquant le présent Règlement communiquent au Secrétariat de l’Organisation des Nations Unies les noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type qui délivrent les homologations et auxquelles doivent être envoyées les fiches d’homologation ou d’extension, de refus ou de retrait d’homologation émises dans les autres pays.

---

(1)  Telles que définies dans la Résolution d’ensemble sur la construction des véhicules (R.E.3), document ECE/TRANS/WP.29/78/Rev.6, par. 2 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

1

(2)  La liste des numéros distinctifs des Parties contractantes à l’Accord de 1958 est reproduite à l’annexe 3 de la Résolution d’ensemble sur la construction des véhicules (R.E.3), document ECE/TRANS/WP.29/78/Rev.6.

2

---

ANNEXE 1

Fiche de renseignements

Les renseignements ci-dessous doivent, s’il y a lieu, être fournis en triple exemplaire et être accompagnés d’une table des matières. Les schémas, s’il y en a, doivent être fournis à l’échelle appropriée, au format A4 ou pliés à ce format, et être suffisamment détaillés. Les photographies, s’il y en a, doivent être suffisamment détaillées.

1.

Marque (raison sociale du constructeur): ...

2.

(Le type est celui qui est présenté pour homologation; la dénomination commerciale désigne le produit dans lequel le type homologué est utilisé)

3.

Moyen d’identification du type, s’il est marqué sur le véhicule: ...

4.

Emplacement de cette marque: ...

5.

Catégorie(s) du véhicule: ...

6.

Nom et adresse du constructeur ou de son représentant: ...

7.

Nom(s) et adresse(s) de l’atelier (des ateliers) de montage: ...

8.

Photographie(s) ou dessin(s) d’un véhicule type: ...

9.

Mises à jour logicielles

9.1.

Caractéristiques générales de conception du type de véhicule: ...

9.2.

Numéro du certificat de conformité du SUMS: ...

9.3.

Mesures de sécurité

9.3.1.

Documents relatifs au type de véhicule à homologuer, décrivant l’exécution sûre du processus de mise à jour ...

9.3.2.

Documents relatifs au type de véhicule à homologuer, décrivant de quelle manière les codes RXSWIN sur un véhicule sont protégés contre toute manipulation non autorisée ...

9.4.

Mises à jour logicielles à distance

9.4.1.

Documents relatifs au type de véhicule à homologuer, décrivant l’exécution sûre du processus de mise à jour ...

9.4.2.

Modalités d’information de l’utilisateur d’un véhicule avant et après l’exécution d’une mise à jour ...

Appendice 1 à l’annexe 1

Modèle de déclaration de conformité du système de gestion des mises à jour logicielles

Déclaration du constructeur s’agissant de la conformité du système de gestion des mises à jour logicielles

Nom du constructeur: ...

Adresse du constructeur: ...

............... (nom du constructeur) atteste que les processus nécessaires pour satisfaire aux prescriptions relatives au système de gestion des mises à jour logicielles énoncées au paragraphe 7.1 du Règlement ONU 156 sont en place et qu’ils seront maintenus.

Fait à: ................................................ (lieu)

Le: ...

Nom du signataire: ...

Fonction du signataire: ...

......................................................

(Timbre et signature du représentant du constructeur)

---

ANNEXE 2

Communication

(Format maximal: A4 (210 × 297 mm))

| (1) | Émanant de: | Nom de l’administration:
  ...
  ...
  ... |
| --- | --- | --- |

Image 13

Émanant de:

Nom de l’administration:

...

...

...

| Concernant (2): | Délivrance d’une homologation
  Extension d’homologation
  Retrait d’homologation avec effet au jj/mm/aaaa
  Refus d’homologation
  Arrêt définitif de la production |
| --- | --- |

Concernant (2):

Délivrance d’une homologation

Extension d’homologation

Retrait d’homologation avec effet au jj/mm/aaaa

Refus d’homologation

Arrêt définitif de la production

d’un type de véhicule, conformément au Règlement no 156

No d’homologation: ...

No d’extension: ...

Motif de l’extension: ...

1.

Marque (raison sociale du constructeur): ...

2.

Type et dénomination(s) commerciale(s) générale(s): ...

3.

Moyen d’identification du type, s’il est indiqué sur le véhicule: ...

3.1.

Emplacement de cette marque: ...

4.

Catégorie(s) du véhicule: ...

5.

Nom et adresse du constructeur ou de son représentant: ...

6.

Nom(s) et adresse(s) de l’atelier (des ateliers) de montage: ...

7.

Numéro du certificat de conformité du système de gestion des mises à jour logicielles: ...

8.

Mises à jour logicielles à distance incluses (oui/non): ...

9.

Service technique chargé des essais: ...

10.

Date du procès-verbal d’essai: ...

11.

Numéro du procès-verbal d’essai: ...

12.

Remarques (le cas échéant): ...

13.

Lieu: ...

14.

Date: ...

15.

Signature: ...

16.

On trouvera en annexe la liste des documents du dossier d’homologation déposé auprès de l’autorité d’homologation, qui peut être obtenu sur demande.

---

(1)  Numéro distinctif du pays qui a accordé/étendu/refusé/retiré l’homologation (voir les dispositions du présent Règlement relatives au marquage (voir la note de bas de page dans la section relative au marquage).

1

(2)  Biffer la mention inutile.

2

---

ANNEXE 3

Exemple de marque d’homologation

MODÈLE A

(Voir le paragraphe 4.2 du présent Règlement)

Image 14

a = 8 mm min.

La marque d’homologation ci-dessus, apposée sur un véhicule, indique que le type de ce véhicule a été homologué aux Pays-Bas (E 4), en application du Règlement no 156, sous le numéro d’homologation 001234. Les deux premiers chiffres du numéro d’homologation (00) signifient que l’homologation a été délivrée conformément aux prescriptions dudit Règlement sous sa forme originale.

---

ANNEXE 4

Modèle de certificat de conformité du système de gestion des mises à jour logicielles

Certificat de conformité du système de gestion des mises à jour logicielles

avec le Règlement ONU no 156

Numéro de certificat [numéro de référence]

[....... autorité d’homologation]

Certifie que

Nom du constructeur: ...

Adresse du constructeur: ...

est en conformité avec les dispositions du Règlement no 156

Des contrôles ont été effectués le: ...

par (nom et adresse de l’autorité d’homologation ou du service technique): ...

Numéro du procès-verbal: ...

Le présent certificat est valable jusqu’au: [...................................................... date]

Fait à: [.......................................... lieu]

Le: [.......................................... date]

[......................................................... signature]

---

| 9.3.2021 | FR | Journal officiel de l’Union européenne | L 82/75 |
| --- | --- | --- | --- |

9.3.2021

FR

Journal officiel de l’Union européenne

L 82/75

---

Seuls les textes originaux de la CEE (ONU) ont un effet légal en vertu du droit public international. Le statut et la date d'entrée en vigueur du présent règlement sont à vérifier dans la dernière version du document de statut TRANS/WP.29/343 de la CEE (ONU), disponible à l'adresse suivante:http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Règlement ONU no 157 — Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne leur système automatisé de maintien dans la voie [2021/389]

Date d’entrée en vigueur: 22 janvier 2021

Le présent document est communiqué uniquement à titre d’information. Le texte authentique, juridiquement contraignant, est celui du document ECE/TRANS/WP.29/2020/81.

TABLE DES MATIÈRES

RÈGLEMENT

Introduction

| 1. | Champ d’application et objectif |
| --- | --- |

1.

| 2. | Définitions |
| --- | --- |

2.

| 3. | Demande d’homologation |
| --- | --- |

3.

| 4. | Homologation |
| --- | --- |

4.

| 5. | Sûreté du système et sûreté en mode dégradé |
| --- | --- |

5.

| 6. | Interface homme-machine et informations sur le conducteur |
| --- | --- |

6.

| 7. | Détection d’objets et d’événements et réaction |
| --- | --- |

7.

| 8. | Système de stockage des données pour la conduite automatisée |
| --- | --- |

8.

| 9. | Cybersécurité et mises à jour logicielles |
| --- | --- |

9.

| 10. | Modification du type de véhicule et extension de l’homologation de type |
| --- | --- |

10.

| 11. | Conformité de la production |
| --- | --- |

11.

| 12. | Sanctions pour non-conformité de la production |
| --- | --- |

12.

| 13. | Arrêt définitif de la production |
| --- | --- |

13.

| 14. | Noms et adresses des services techniques chargés des essais d’homologation et des autorités d’homologation de type |
| --- | --- |

14.

ANNEXES

| 1 | Communication |
| --- | --- |

1

| 2 | Exemples de marques d’homologation |
| --- | --- |

2

| 3 | (Réservé) |
| --- | --- |

3

| 4 | Prescriptions particulières à appliquer aux aspects relatifs à la sûreté fonctionnelle et opérationnelle des systèmes automatisés de maintien dans la voie (ALKS) |
| --- | --- |

4

| 5 | Spécifications d’essai des ALKS |
| --- | --- |

5

INTRODUCTION

L’objectif du présent règlement est d’établir des prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne leur système automatisé de maintien dans la voie (ALKS).

L’ALKS contrôle le déplacement latéral et longitudinal du véhicule pendant des périodes prolongées sans intervention du conducteur. L’ALKS est un système qui, une fois activé, dirige le véhicule.

Le présent règlement est la première étape réglementaire vers l’introduction dans la circulation d’un système de conduite automatisé (tel que défini dans le document ECE/TRANS/WP.29/1140). Il prévoit donc des dispositions novatrices visant à répondre à la complexité de l’évaluation de la sûreté du système. Y sont énoncées des dispositions administratives adaptées à l’homologation de type, des prescriptions techniques, ainsi que des dispositions en matière de vérification, de notification et d’essais.

Un ALKS peut être activé dans certaines conditions sur les routes où les piétons et les cyclistes sont interdits et qui, de par leur conception, séparent physiquement les véhicules circulant en sens opposés et empêchent ainsi les véhicules venant en sens inverse de couper la trajectoire du véhicule. Dans un premier temps, le texte du présent règlement limite la vitesse maximale de fonctionnement à 60 km/h et aux voitures particulières (véhicules de la catégorie M1).

1

Le présent règlement comprend des prescriptions générales concernant la sûreté du système et la sûreté en mode dégradé. Lorsque l’ALKS est activé, il doit effectuer la tâche de conduite à la place du conducteur, c’est-à-dire gérer toutes les situations, y compris les dysfonctionnements, et ne doit pas mettre en danger la sécurité des occupants du véhicule ou de tout autre usager de la route. Le conducteur a toutefois toujours la possibilité de neutraliser le système à tout moment.

Dans le présent règlement sont également énoncées des prescriptions concernant la manière dont la tâche de conduite doit être transférée en toute sécurité de l’ALKS au conducteur, y compris la capacité du système à mettre le véhicule à l’arrêt si le conducteur ne réagit pas de manière appropriée.

Enfin, le présent règlement comprend des prescriptions relatives à l’interface homme-machine visant à prévenir tout malentendu ou mésusage de la part du conducteur. Le présent règlement prescrit par exemple, que le fonctionnement des écrans embarqués utilisés par le conducteur pour d’autres activités que la conduite lorsque l’ALKS est activé soit automatiquement suspendu dès que le système émet une demande de transition. Ces mesures sont sans préjudice des règles de comportement du conducteur relatives à la manière d’utiliser ces systèmes dans chaque partie contractante, telles qu’elles sont actuellement examinées par le Forum mondial pour la sécurité routière (WP.1) au moment de la rédaction du présent document (voir par exemple, le document informel no 4/Rev.1 de la soixante-dix-huitième session du WP.1).

o

1.   CHAMP D’APPLICATION ET OBJECTIF

| 1.1. | Le présent règlement s’applique à l’homologation de type des véhicules de la catégorie M1 (1) en ce qui concerne leur système automatisé de maintien dans la voie. |
| --- | --- |

1.1.

Le présent règlement s’applique à l’homologation de type des véhicules de la catégorie M1

1

2.   DÉFINITIONS

Aux fins du présent règlement, on entend par:

| 2.1. | «Système automatisé de maintien dans la voie (ALKS)», un système applicable à basse vitesse qui est activé par le conducteur et qui maintient le véhicule dans sa voie à une vitesse de 60 km/h au plus en contrôlant le déplacement latéral et longitudinal du véhicule pendant des périodes prolongées sans que le conducteur ait à intervenir.
  Dans le cadre du présent règlement, l’ALKS est également appelé «le système»; |
| --- | --- |

2.1.

«Système automatisé de maintien dans la voie (ALKS)», un système applicable à basse vitesse qui est activé par le conducteur et qui maintient le véhicule dans sa voie à une vitesse de 60 km/h au plus en contrôlant le déplacement latéral et longitudinal du véhicule pendant des périodes prolongées sans que le conducteur ait à intervenir.

Dans le cadre du présent règlement, l’ALKS est également appelé «le système»;

| 2.1.1. | «Type de véhicule en ce qui concerne le système automatisé de maintien dans la voie (ALKS)», une catégorie de véhicules qui ne diffèrent pas quant aux aspects essentiels suivants:






  a) | Les caractéristiques du véhicule qui influent sensiblement sur le fonctionnement de l’ALKS; |
| --- | --- | --- |

2.1.1.

«Type de véhicule en ce qui concerne le système automatisé de maintien dans la voie (ALKS)», une catégorie de véhicules qui ne diffèrent pas quant aux aspects essentiels suivants:

a)

Les caractéristiques du véhicule qui influent sensiblement sur le fonctionnement de l’ALKS;

| b) | Les caractéristiques et la conception de l’ALK; |
| --- | --- |

b)

Les caractéristiques et la conception de l’ALK;

| 2.2. | «Demande de transition», une procédure logique et intuitive visant à transférer la tâche de conduite dynamique du système (commande automatisée) au conducteur humain (commande manuelle). Cette demande est émise par le système à l’intention du conducteur humain; |
| --- | --- |

2.2.

«Demande de transition», une procédure logique et intuitive visant à transférer la tâche de conduite dynamique du système (commande automatisée) au conducteur humain (commande manuelle). Cette demande est émise par le système à l’intention du conducteur humain;

| 2.3. | «Phase de transition», la durée de la demande de transition; |
| --- | --- |

2.3.

«Phase de transition», la durée de la demande de transition;

| 2.4. | «Événement prévu», une situation qui est connue à l’avance, par exemple, au moment de l’activation, comme un point de passage (par exemple, la sortie d’une autoroute, ou autre) et qui nécessite une demande de transition; |
| --- | --- |

2.4.

«Événement prévu», une situation qui est connue à l’avance, par exemple, au moment de l’activation, comme un point de passage (par exemple, la sortie d’une autoroute, ou autre) et qui nécessite une demande de transition;

| 2.5. | «Événement imprévu», une situation qui n’est pas connue à l’avance, mais dont on suppose qu’elle puisse très vraisemblablement survenir, par exemple, des travaux routiers, une intempérie, l’approche d’un véhicule de secours, l’absence de marquage des voies, la chute du chargement d’un camion (collision), et qui nécessite une demande de transition; |
| --- | --- |

2.5.

«Événement imprévu», une situation qui n’est pas connue à l’avance, mais dont on suppose qu’elle puisse très vraisemblablement survenir, par exemple, des travaux routiers, une intempérie, l’approche d’un véhicule de secours, l’absence de marquage des voies, la chute du chargement d’un camion (collision), et qui nécessite une demande de transition;

| 2.6. | «Risque de collision imminente», une situation ou un événement susceptible de conduire à une collision du véhicule avec un autre usager de la route ou un obstacle et qui ne peut être évité par un freinage inférieur à 5 m/s2; |
| --- | --- |

2.6.

«Risque de collision imminente», une situation ou un événement susceptible de conduire à une collision du véhicule avec un autre usager de la route ou un obstacle et qui ne peut être évité par un freinage inférieur à 5 m/s2

| 2.7. | «Manœuvre à risque minimal», une procédure visant à réduire au maximum les risques dans la circulation, qui est exécutée automatiquement par le système après une demande de transition restée sans réaction de la part du conducteur ou en cas de défaillance grave de l’ALKS ou du véhicule; |
| --- | --- |

2.7.

«Manœuvre à risque minimal», une procédure visant à réduire au maximum les risques dans la circulation, qui est exécutée automatiquement par le système après une demande de transition restée sans réaction de la part du conducteur ou en cas de défaillance grave de l’ALKS ou du véhicule;

| 2.8. | «Manœuvre d’urgence», une manœuvre effectuée par le système en cas d’événement mettant le véhicule en danger de collision imminente et qui a pour but d’éviter ou d’atténuer une collision; |
| --- | --- |

2.8.

«Manœuvre d’urgence», une manœuvre effectuée par le système en cas d’événement mettant le véhicule en danger de collision imminente et qui a pour but d’éviter ou d’atténuer une collision;

| 2.9. | Vitesse |
| --- | --- |

2.9.

Vitesse

| 2.9.1. | «Vitesse maximale indiquée», la vitesse déclarée par le constructeur jusqu’à laquelle le système fonctionne dans des conditions optimales; |
| --- | --- |

2.9.1.

«Vitesse maximale indiquée», la vitesse déclarée par le constructeur jusqu’à laquelle le système fonctionne dans des conditions optimales;

| 2.9.2. | «Vitesse fonctionnelle maximale», la vitesse sélectionnée par le système jusqu’à laquelle il fonctionne dans les conditions réelles de l’environnement et des capteurs. Il s’agit de la vitesse maximale du véhicule à laquelle le système peut être activé, qui est déterminée par la capacité du système de détection ainsi que par les conditions de l’environnement; |
| --- | --- |

2.9.2.

«Vitesse fonctionnelle maximale», la vitesse sélectionnée par le système jusqu’à laquelle il fonctionne dans les conditions réelles de l’environnement et des capteurs. Il s’agit de la vitesse maximale du véhicule à laquelle le système peut être activé, qui est déterminée par la capacité du système de détection ainsi que par les conditions de l’environnement;

| 2.9.3. | «Vitesse réelle» ou «vitesse», la vitesse réelle sélectionnée par le système en fonction de la circulation; |
| --- | --- |

2.9.3.

«Vitesse réelle» ou «vitesse», la vitesse réelle sélectionnée par le système en fonction de la circulation;

| 2.10. | «Portée de détection», la distance à laquelle le système peut reconnaître de manière fiable une cible et générer un signal de commande, compte tenu de la détérioration des composants du système de capteurs due au temps et à l’utilisation tout au long de la durée de vie du véhicule; |
| --- | --- |

2.10.

«Portée de détection», la distance à laquelle le système peut reconnaître de manière fiable une cible et générer un signal de commande, compte tenu de la détérioration des composants du système de capteurs due au temps et à l’utilisation tout au long de la durée de vie du véhicule;

| 2.11. | Défaillances |
| --- | --- |

2.11.

Défaillances

| 2.11.1. | «Défaillance de l’ALKS», toute défaillance du fonctionnement de l’ALKS (par exemple, défaillance d’un seul capteur, perte des données nécessaires pour le calcul de la trajectoire du véhicule); |
| --- | --- |

2.11.1.

«Défaillance de l’ALKS», toute défaillance du fonctionnement de l’ALKS (par exemple, défaillance d’un seul capteur, perte des données nécessaires pour le calcul de la trajectoire du véhicule);

| 2.11.2. | «Mode défaillance», l’état de fonctionnement du système dans lequel celui-ci fonctionne avec une défaillance de l’ALKS; |
| --- | --- |

2.11.2.

«Mode défaillance», l’état de fonctionnement du système dans lequel celui-ci fonctionne avec une défaillance de l’ALKS;

| 2.11.3. | «Défaillance grave de l’ALKS», une défaillance de l’ALKS qui affecte la sûreté du fonctionnement du système lorsqu’il est en mode défaillance avec une très faible probabilité d’occurrence, ce qui est généralement le cas pour des composants essentiels tels que les modules de commande électronique. La défaillance d’un seul capteur n’est considérée comme grave que lorsqu’elle est accompagnée d’un autre facteur affectant la sûreté du fonctionnement du système; |
| --- | --- |

2.11.3.

«Défaillance grave de l’ALKS», une défaillance de l’ALKS qui affecte la sûreté du fonctionnement du système lorsqu’il est en mode défaillance avec une très faible probabilité d’occurrence, ce qui est généralement le cas pour des composants essentiels tels que les modules de commande électronique. La défaillance d’un seul capteur n’est considérée comme grave que lorsqu’elle est accompagnée d’un autre facteur affectant la sûreté du fonctionnement du système;

| 2.11.4. | «Défaillance grave du véhicule», toute défaillance du véhicule (par exemple, électrique ou mécanique) qui affecte la capacité de l’ALKS à effectuer la tâche de conduite dynamique et qui affecterait également le fonctionnement manuel du véhicule (par exemple, arrêt de l’alimentation électrique, défaillance du système de freinage, perte soudaine de pression des pneumatiques); |
| --- | --- |

2.11.4.

«Défaillance grave du véhicule», toute défaillance du véhicule (par exemple, électrique ou mécanique) qui affecte la capacité de l’ALKS à effectuer la tâche de conduite dynamique et qui affecterait également le fonctionnement manuel du véhicule (par exemple, arrêt de l’alimentation électrique, défaillance du système de freinage, perte soudaine de pression des pneumatiques);

| 2.12. | «Autocontrôle», une fonction intégrée qui vérifie en permanence l’absence de toute défaillance du système et la portée de détection du système de détection; |
| --- | --- |

2.12.

«Autocontrôle», une fonction intégrée qui vérifie en permanence l’absence de toute défaillance du système et la portée de détection du système de détection;

| 2.13. | «Neutralisation du système» par le conducteur, une situation dans laquelle le conducteur actionne une commande qui a priorité sur la commande de déplacement longitudinal ou latéral du système, alors que celui-ci est activé; |
| --- | --- |

2.13.

«Neutralisation du système» par le conducteur, une situation dans laquelle le conducteur actionne une commande qui a priorité sur la commande de déplacement longitudinal ou latéral du système, alors que celui-ci est activé;

| 2.14. | «Tâche de conduite dynamique», le contrôle et la conduite de l’ensemble des déplacements longitudinaux et latéraux du véhicule; |
| --- | --- |

2.14.

«Tâche de conduite dynamique», le contrôle et la conduite de l’ensemble des déplacements longitudinaux et latéraux du véhicule;

| 2.15. | «Système de stockage des données pour la conduite automatisée (DSSAD)», un dispositif permettant de déterminer les interactions entre l’ALKS et le conducteur humain; |
| --- | --- |

2.15.

«Système de stockage des données pour la conduite automatisée (DSSAD)», un dispositif permettant de déterminer les interactions entre l’ALKS et le conducteur humain;

| 2.16. | «Durée de vie du système», la période pendant laquelle l’ALKS est disponible et fonctionnel sur le véhicule; |
| --- | --- |

2.16.

«Durée de vie du système», la période pendant laquelle l’ALKS est disponible et fonctionnel sur le véhicule;

| 2.17. | «Occurrence», dans le contexte des dispositions relatives au DSSAD énoncées au paragraphe 8, une action ou un exemple d’événement ou d’incident qui se produit et qui nécessite d’être stocké dans le système de stockage des données; |
| --- | --- |

2.17.

«Occurrence», dans le contexte des dispositions relatives au DSSAD énoncées au paragraphe 8, une action ou un exemple d’événement ou d’incident qui se produit et qui nécessite d’être stocké dans le système de stockage des données;

| 2.18. | «Numéro d’identification du logiciel aux fins du règlement ONU no 157 (R157 SWIN)», un identifiant spécifique, défini par le constructeur du véhicule, représentant les informations relatives au logiciel du système de commande électronique contribuant à l’homologation de type du véhicule conformément au règlement ONU no 157; |
| --- | --- |

2.18.

«Numéro d’identification du logiciel aux fins du règlement ONU no

157

o

| 2.19. | «Système de commande électronique», une combinaison de modules conçus pour coopérer à la production de la fonction automatisée de maintien dans la voie au moyen d’un traitement électronique de données. Un tel système, en général contrôlé par un logiciel, est constitué de composants fonctionnels discrets tels que capteurs, modules de commande électronique et actionneurs, reliés par des liaisons de transmission. Il peut comprendre des éléments mécaniques, électropneumatiques ou électrohydrauliques; |
| --- | --- |

2.19.

«Système de commande électronique», une combinaison de modules conçus pour coopérer à la production de la fonction automatisée de maintien dans la voie au moyen d’un traitement électronique de données. Un tel système, en général contrôlé par un logiciel, est constitué de composants fonctionnels discrets tels que capteurs, modules de commande électronique et actionneurs, reliés par des liaisons de transmission. Il peut comprendre des éléments mécaniques, électropneumatiques ou électrohydrauliques;

| 2.20. | «Logiciel», la partie d’un système de commande électronique qui consiste en données et instructions numériques. |
| --- | --- |

2.20.

«Logiciel», la partie d’un système de commande électronique qui consiste en données et instructions numériques.

3.   DEMANDE D’HOMOLOGATION

| 3.1. | La demande d’homologation d’un type de véhicule en ce qui concerne l’ALKS doit être présentée par le constructeur du véhicule ou son mandataire dûment agréé. |
| --- | --- |

3.1.

La demande d’homologation d’un type de véhicule en ce qui concerne l’ALKS doit être présentée par le constructeur du véhicule ou son mandataire dûment agréé.

| 3.2. | Elle doit être accompagnée des documents mentionnés ci-dessous en triple exemplaire: |
| --- | --- |

3.2.

Elle doit être accompagnée des documents mentionnés ci-dessous en triple exemplaire:

| 3.2.1. | Une description du type de véhicule en ce qui concerne les points mentionnés au paragraphe 2.1.1, ainsi que le dossier d’information visé à l’annexe 4, qui décrit la conception de base de l’ALKS et les moyens par lesquels il est relié à d’autres systèmes du véhicule ou par lesquels il contrôle directement les variables de sortie. Les numéros et les symboles caractérisant le type de véhicule doivent être indiqués. |
| --- | --- |

3.2.1.

Une description du type de véhicule en ce qui concerne les points mentionnés au paragraphe 2.1.1, ainsi que le dossier d’information visé à l’annexe 4, qui décrit la conception de base de l’ALKS et les moyens par lesquels il est relié à d’autres systèmes du véhicule ou par lesquels il contrôle directement les variables de sortie. Les numéros et les symboles caractérisant le type de véhicule doivent être indiqués.

| 3.3. | Un véhicule représentatif du type de véhicule à homologuer doit être présenté au service technique chargé des essais d’homologation. |
| --- | --- |

3.3.

Un véhicule représentatif du type de véhicule à homologuer doit être présenté au service technique chargé des essais d’homologation.

4.   HOMOLOGATION

| 4.1. | Si le type de véhicule présenté à l’homologation en application du présent règlement satisfait aux prescriptions des paragraphes 5 à 9 ci-dessous, l’homologation de ce véhicule est accordée. |
| --- | --- |

4.1.

Si le type de véhicule présenté à l’homologation en application du présent règlement satisfait aux prescriptions des paragraphes 5 à 9 ci-dessous, l’homologation de ce véhicule est accordée.

| 4.2. | Un numéro d’homologation est attribué à chaque type homologué; les deux premiers chiffres (actuellement 00, pour le règlement sous sa forme originale) indiquent la série d’amendements correspondant aux plus récentes modifications techniques majeures apportées au présent règlement à la date de délivrance de l’homologation. Une même partie contractante ne peut attribuer ce même numéro à un autre type de véhicule. |
| --- | --- |

4.2.

Un numéro d’homologation est attribué à chaque type homologué; les deux premiers chiffres (actuellement 00, pour le règlement sous sa forme originale) indiquent la série d’amendements correspondant aux plus récentes modifications techniques majeures apportées au présent règlement à la date de délivrance de l’homologation. Une même partie contractante ne peut attribuer ce même numéro à un autre type de véhicule.

| 4.3. | L’homologation ou le refus ou le retrait d’une homologation en application du présent règlement est notifié aux parties à l’accord appliquant le présent règlement au moyen d’une fiche conforme au modèle de l’annexe 1 et de documents fournis par le demandeur au format maximal A4 (210 × 297 mm), ou pliés à ce format, et à une échelle appropriée ou sous format électronique. |
| --- | --- |

4.3.

L’homologation ou le refus ou le retrait d’une homologation en application du présent règlement est notifié aux parties à l’accord appliquant le présent règlement au moyen d’une fiche conforme au modèle de l’annexe 1 et de documents fournis par le demandeur au format maximal A4 (210 × 297 mm), ou pliés à ce format, et à une échelle appropriée ou sous format électronique.

| 4.4. | Une marque d’homologation internationale conforme au modèle décrit à l’annexe 2 doit être apposée sur tout véhicule conforme à un type de véhicule, homologué en application du présent règlement. Elle doit être bien visible, aisément accessible et placée à l’endroit indiqué sur la fiche d’homologation. La marque d’homologation est composée comme suit: |
| --- | --- |

4.4.

Une marque d’homologation internationale conforme au modèle décrit à l’annexe 2 doit être apposée sur tout véhicule conforme à un type de véhicule, homologué en application du présent règlement. Elle doit être bien visible, aisément accessible et placée à l’endroit indiqué sur la fiche d’homologation. La marque d’homologation est composée comme suit:

| 4.4.1. | D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays ayant délivré l’homologation (2). |
| --- | --- |

4.4.1.

D’un cercle à l’intérieur duquel est placée la lettre «E» suivie du numéro distinctif du pays ayant délivré l’homologation (2

| 4.4.2. | Du numéro du présent règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, placés à la droite du cercle mentionné au paragraphe 4.4.1 ci-dessus. |
| --- | --- |

4.4.2.

Du numéro du présent règlement, suivi de la lettre «R», d’un tiret et du numéro d’homologation, placés à la droite du cercle mentionné au paragraphe 4.4.1 ci-dessus.

| 4.5. | Si le véhicule est conforme à un type ayant déjà fait l’objet d’une homologation en application d’un ou de plusieurs autres règlements annexés à l’accord dans le pays qui a accordé l’homologation en vertu du présent règlement, le symbole visé au paragraphe 4.4.1 n’a pas à être répété. Dans ce cas, les différents numéros de règlement et d’homologation et les symboles additionnels doivent être placés en colonnes verticales à droite du symbole visé au paragraphe 4.4.1 ci-dessus. |
| --- | --- |

4.5.

Si le véhicule est conforme à un type ayant déjà fait l’objet d’une homologation en application d’un ou de plusieurs autres règlements annexés à l’accord dans le pays qui a accordé l’homologation en vertu du présent règlement, le symbole visé au paragraphe 4.4.1 n’a pas à être répété. Dans ce cas, les différents numéros de règlement et d’homologation et les symboles additionnels doivent être placés en colonnes verticales à droite du symbole visé au paragraphe 4.4.1 ci-dessus.

| 4.6. | La marque d’homologation doit être clairement lisible et indélébile. |
| --- | --- |

4.6.

La marque d’homologation doit être clairement lisible et indélébile.

| 4.7. | La marque d’homologation doit être placée à proximité de la plaque signalétique du véhicule ou sur celle-ci. |
| --- | --- |

4.7.

La marque d’homologation doit être placée à proximité de la plaque signalétique du véhicule ou sur celle-ci.

5.   SÛRETÉ DU SYSTÈME ET SÛRETÉ EN MODE DÉGRADÉ

| 5.1. | Prescriptions générales
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

5.1.

Prescriptions générales

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5.

| 5.1.1. | Lorsqu’il est activé, le système doit s’acquitter de la tâche de conduite dynamique et gérer toutes les situations, y compris les défaillances. Il doit être exempt de risques déraisonnables pour les occupants du véhicule ou tout autre usager de la route.
  Lorsqu’il est activé, le système ne doit pas provoquer de collision qui soit raisonnablement prévisible et évitable. Toute collision qu’il est possible d’éviter en toute sécurité sans en provoquer une autre doit être évitée. Lorsque le véhicule est impliqué dans un risque de collision détectable, le véhicule doit être immobilisé. |
| --- | --- |

5.1.1.

Lorsqu’il est activé, le système doit s’acquitter de la tâche de conduite dynamique et gérer toutes les situations, y compris les défaillances. Il doit être exempt de risques déraisonnables pour les occupants du véhicule ou tout autre usager de la route.

Lorsqu’il est activé, le système ne doit pas provoquer de collision qui soit raisonnablement prévisible et évitable. Toute collision qu’il est possible d’éviter en toute sécurité sans en provoquer une autre doit être évitée. Lorsque le véhicule est impliqué dans un risque de collision détectable, le véhicule doit être immobilisé.

| 5.1.2. | Lorsqu’il est activé, le système doit se conformer aux règles de circulation relatives à la tâche de conduite dynamique du pays où se trouve le véhicule. |
| --- | --- |

5.1.2.

Lorsqu’il est activé, le système doit se conformer aux règles de circulation relatives à la tâche de conduite dynamique du pays où se trouve le véhicule.

| 5.1.3. | Lorsqu’il est activé, le système doit exercer un contrôle sur les systèmes nécessaires pour aider le conducteur à reprendre le contrôle manuel à tout moment (par exemple, désembuage, essuie-glaces et feux). |
| --- | --- |

5.1.3.

Lorsqu’il est activé, le système doit exercer un contrôle sur les systèmes nécessaires pour aider le conducteur à reprendre le contrôle manuel à tout moment (par exemple, désembuage, essuie-glaces et feux).

| 5.1.4. | Une demande de transition ne doit pas mettre en danger la sécurité des occupants du véhicule ou des autres usagers de la route. |
| --- | --- |

5.1.4.

Une demande de transition ne doit pas mettre en danger la sécurité des occupants du véhicule ou des autres usagers de la route.

| 5.1.5. | Si le conducteur ne reprend pas le contrôle de la tâche de conduite dynamique pendant la phase de transition, le système doit effectuer une manœuvre à risque minimal. Au cours d’une manœuvre à risque minimal, le système doit réduire au minimum les risques pour la sécurité des occupants du véhicule et des autres usagers de la route. |
| --- | --- |

5.1.5.

Si le conducteur ne reprend pas le contrôle de la tâche de conduite dynamique pendant la phase de transition, le système doit effectuer une manœuvre à risque minimal. Au cours d’une manœuvre à risque minimal, le système doit réduire au minimum les risques pour la sécurité des occupants du véhicule et des autres usagers de la route.

| 5.1.6. | Le système doit effectuer des autocontrôles pour détecter l’apparition de défaillances et pour confirmer l’efficacité du système à tout moment (par exemple, après le démarrage du véhicule, le système a détecté au moins une fois un objet à une distance égale ou supérieure à la portée de détection déclarée conformément au paragraphe 7.1). |
| --- | --- |

5.1.6.

Le système doit effectuer des autocontrôles pour détecter l’apparition de défaillances et pour confirmer l’efficacité du système à tout moment (par exemple, après le démarrage du véhicule, le système a détecté au moins une fois un objet à une distance égale ou supérieure à la portée de détection déclarée conformément au paragraphe 7.1).

| 5.1.7. | L’efficacité du système ne doit pas être affectée par des champs magnétiques ou électriques. Cela doit être démontré par la conformité à la série 05 ou à une série ultérieure d’amendements au règlement ONU no 10. |
| --- | --- |

5.1.7.

L’efficacité du système ne doit pas être affectée par des champs magnétiques ou électriques. Cela doit être démontré par la conformité à la série 05 ou à une série ultérieure d’amendements au règlement ONU no

| 5.1.8. | Le constructeur doit prendre des mesures pour prévenir toute utilisation abusive raisonnablement prévisible par le conducteur et toute altération du système. |
| --- | --- |

5.1.8.

Le constructeur doit prendre des mesures pour prévenir toute utilisation abusive raisonnablement prévisible par le conducteur et toute altération du système.

| 5.1.9. | Lorsque le système ne peut plus satisfaire aux prescriptions du présent règlement, il ne doit pas être possible de l’activer.
  Le constructeur doit déclarer et mettre en œuvre un processus visant à gérer la sécurité et la persistance de la conformité du système ALKS tout au long de sa durée de vie. |
| --- | --- |

5.1.9.

Lorsque le système ne peut plus satisfaire aux prescriptions du présent règlement, il ne doit pas être possible de l’activer.

Le constructeur doit déclarer et mettre en œuvre un processus visant à gérer la sécurité et la persistance de la conformité du système ALKS tout au long de sa durée de vie.

| 5.2. | Tâche de conduite dynamique
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

5.2.

Tâche de conduite dynamique

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5.

| 5.2.1. | Lorsqu’il est activé, le système doit maintenir le véhicule dans sa voie de circulation et veiller à ce que le véhicule ne traverse aucun marquage de voie (du bord extérieur du pneumatique avant au bord extérieur du marquage de voie). Le système doit viser à maintenir le véhicule dans une position latérale stable à l’intérieur de la voie de circulation pour éviter de semer la confusion chez les autres usagers de la route. |
| --- | --- |

5.2.1.

Lorsqu’il est activé, le système doit maintenir le véhicule dans sa voie de circulation et veiller à ce que le véhicule ne traverse aucun marquage de voie (du bord extérieur du pneumatique avant au bord extérieur du marquage de voie). Le système doit viser à maintenir le véhicule dans une position latérale stable à l’intérieur de la voie de circulation pour éviter de semer la confusion chez les autres usagers de la route.

| 5.2.2. | Lorsqu’il est activé, le système doit détecter un véhicule circulant à côté tel que défini au paragraphe 7.1.2 et, si nécessaire, ajuster la vitesse et la position latérale du véhicule dans sa voie, selon le cas. |
| --- | --- |

5.2.2.

Lorsqu’il est activé, le système doit détecter un véhicule circulant à côté tel que défini au paragraphe 7.1.2 et, si nécessaire, ajuster la vitesse et la position latérale du véhicule dans sa voie, selon le cas.

| 5.2.3. | Lorsqu’il est activé, le système doit contrôler la vitesse du véhicule. |
| --- | --- |

5.2.3.

Lorsqu’il est activé, le système doit contrôler la vitesse du véhicule.

| 5.2.3.1. | La vitesse maximale jusqu’à laquelle le système est autorisé à fonctionner est de 60 km/h. |
| --- | --- |

5.2.3.1.

La vitesse maximale jusqu’à laquelle le système est autorisé à fonctionner est de 60 km/h.

| 5.2.3.2. | Lorsqu’il est activé, le système doit adapter la vitesse du véhicule aux conditions de l’infrastructure et de l’environnement (par exemple, courbes serrées ou intempéries). |
| --- | --- |

5.2.3.2.

Lorsqu’il est activé, le système doit adapter la vitesse du véhicule aux conditions de l’infrastructure et de l’environnement (par exemple, courbes serrées ou intempéries).

| 5.2.3.3. | Lorsqu’il est activé, le système doit détecter la distance par rapport au véhicule aval, tel que défini au paragraphe 7.1.1, et doit adapter la vitesse du véhicule afin d’éviter la collision.
  Tant que le véhicule équipé de l’ALKS n’est pas à l’arrêt, le système doit adapter sa vitesse pour que la distance par rapport au véhicule aval dans la même voie soit égale ou supérieure à la distance de sécurité.
  Dans le cas où l’écart minimal ne peut temporairement pas être respecté à cause d’autres usagers de la route (par exemple, véhicule effectuant un rabattement serré, décélération du véhicule aval, etc.), le véhicule doit réajuster la distance de sécurité à la première occasion sans freinage brusque, à moins qu’une manœuvre d’urgence devienne nécessaire.
  La distance de sécurité est calculée à l’aide de la formule suivante:
  dmin=vALKS * tfront

  Où:







  dmin | = | distance de sécurité |
| --- | --- | --- | --- |
| vALKS | = | vitesse réelle du véhicule équipé de l’ALKS (en m/s) |
| tfront | = | écart temporel minimal (en secondes) entre le véhicule équipé de l’ALKS et le véhicule aval, en fonction du tableau ci-dessous: |

5.2.3.3.

Lorsqu’il est activé, le système doit détecter la distance par rapport au véhicule aval, tel que défini au paragraphe 7.1.1, et doit adapter la vitesse du véhicule afin d’éviter la collision.

Tant que le véhicule équipé de l’ALKS n’est pas à l’arrêt, le système doit adapter sa vitesse pour que la distance par rapport au véhicule aval dans la même voie soit égale ou supérieure à la distance de sécurité.

Dans le cas où l’écart minimal ne peut temporairement pas être respecté à cause d’autres usagers de la route (par exemple, véhicule effectuant un rabattement serré, décélération du véhicule aval, etc.), le véhicule doit réajuster la distance de sécurité à la première occasion sans freinage brusque, à moins qu’une manœuvre d’urgence devienne nécessaire.

La distance de sécurité est calculée à l’aide de la formule suivante:

dmin=vALKS * tfront

min

ALKS

front

Où:

dmin

min

=

distance de sécurité

vALKS

ALKS

=

vitesse réelle du véhicule équipé de l’ALKS (en m/s)

tfront

front

=

écart temporel minimal (en secondes) entre le véhicule équipé de l’ALKS et le véhicule aval, en fonction du tableau ci-dessous:

| Vitesse réelle du véhicule équipé de l’ALKS | Écart temporel minimal | Distance de sécurité |
| --- | --- | --- |
| (km/h) | (m/s) | (s) | (m) |
| 7,2 | 2,0 | 1,0 | 2,0 |
| 10 | 2,78 | 1,1 | 3,1 |
| 20 | 5,56 | 1,2 | 6,7 |
| 30 | 8,33 | 1,3 | 10,8 |
| 40 | 11,11 | 1,4 | 15,6 |
| 50 | 13,89 | 1,5 | 20,8 |
| 60 | 16,67 | 1,6 | 26,7 |

Vitesse réelle du véhicule équipé de l’ALKS

Vitesse réelle du véhicule équipé de l’ALKS

Écart temporel minimal

Écart temporel minimal

Distance de sécurité

Distance de sécurité

(km/h)

(m/s)

(s)

(m)

7,2

2,0

1,0

2,0

10

2,78

1,1

3,1

20

5,56

1,2

6,7

30

8,33

1,3

10,8

40

11,11

1,4

15,6

50

13,89

1,5

20,8

60

16,67

1,6

26,7

Pour les valeurs de vitesse non mentionnées dans le tableau, une interpolation linéaire est appliquée.

Nonobstant le résultat de la formule ci-dessus, pour les vitesses réelles inférieures à 2 m/s, la distance de sécurité ne doit jamais être inférieure à 2 m.

| 5.2.4. | Lorsqu’il est activé, le système doit pouvoir arrêter complétement le véhicule derrière un véhicule à l’arrêt, un usager de la route à l’arrêt ou un obstacle barrant la voie de circulation de manière à éviter une collision. Cette capacité doit être assurée jusqu’à la vitesse maximale de fonctionnement du système. |
| --- | --- |

5.2.4.

Lorsqu’il est activé, le système doit pouvoir arrêter complétement le véhicule derrière un véhicule à l’arrêt, un usager de la route à l’arrêt ou un obstacle barrant la voie de circulation de manière à éviter une collision. Cette capacité doit être assurée jusqu’à la vitesse maximale de fonctionnement du système.

| 5.2.5. | Lorsqu’il est activé, le système doit détecter les risques de collision, notamment avec un autre usager de la route situé devant le véhicule ou à côté de lui, que ce soit en raison d’une décélération du véhicule aval, d’un rabattement dangereux ou d’un obstacle surgissant soudainement, et doit automatiquement effectuer les manœuvres appropriées pour réduire au maximum les risques pour la sécurité des occupants du véhicule et des autres usagers de la route.
  En ce qui concerne les conditions non indiquées au paragraphe 5.2.4 et au paragraphe 5.2.5 ou à ses alinéas, cela doit être assuré au moins au niveau auquel un conducteur humain compétent et prudent pourrait réduire au maximum les risques. Cela doit être démontré lors de l’évaluation décrite à l’annexe 4 et en s’inspirant des orientations de l’appendice 3 de l’annexe 4. |
| --- | --- |

5.2.5.

Lorsqu’il est activé, le système doit détecter les risques de collision, notamment avec un autre usager de la route situé devant le véhicule ou à côté de lui, que ce soit en raison d’une décélération du véhicule aval, d’un rabattement dangereux ou d’un obstacle surgissant soudainement, et doit automatiquement effectuer les manœuvres appropriées pour réduire au maximum les risques pour la sécurité des occupants du véhicule et des autres usagers de la route.

En ce qui concerne les conditions non indiquées au paragraphe 5.2.4 et au paragraphe 5.2.5 ou à ses alinéas, cela doit être assuré au moins au niveau auquel un conducteur humain compétent et prudent pourrait réduire au maximum les risques. Cela doit être démontré lors de l’évaluation décrite à l’annexe 4 et en s’inspirant des orientations de l’appendice 3 de l’annexe 4.

| 5.2.5.1. | Lorsqu’il est activé, le système doit éviter une collision avec un véhicule aval qui ralentit y compris à sa pleine puissance de freinage, à condition qu’il n’y ait pas de dépassement de la distance de sécurité à laquelle le véhicule équipé de l’ALKS s’adapterait à un véhicule aval à sa vitesse réelle en raison d’un rabattement brusque dudit véhicule aval. |
| --- | --- |

5.2.5.1.

Lorsqu’il est activé, le système doit éviter une collision avec un véhicule aval qui ralentit y compris à sa pleine puissance de freinage, à condition qu’il n’y ait pas de dépassement de la distance de sécurité à laquelle le véhicule équipé de l’ALKS s’adapterait à un véhicule aval à sa vitesse réelle en raison d’un rabattement brusque dudit véhicule aval.

| 5.2.5.2. | Lorsqu’il est activé, le système doit éviter une collision avec un véhicule effectuant une queue de poisson:






  a) | À condition que le véhicule qui se rabat conserve sa vitesse longitudinale qui est inférieure à la vitesse longitudinale du véhicule équipé de l’ALKS; et |
| --- | --- | --- |

5.2.5.2.

Lorsqu’il est activé, le système doit éviter une collision avec un véhicule effectuant une queue de poisson:

a)

À condition que le véhicule qui se rabat conserve sa vitesse longitudinale qui est inférieure à la vitesse longitudinale du véhicule équipé de l’ALKS; et

| b) | À condition que le déplacement latéral du véhicule qui se rabat ait été visible pendant une durée d’au moins 0,72 s avant que le point de référence pour le TTCLaneIntrusion (délai avant collision en raison d’une intrusion dans la voie de circulation) soit atteint; |
| --- | --- |

b)

À condition que le déplacement latéral du véhicule qui se rabat ait été visible pendant une durée d’au moins 0,72 s avant que le point de référence pour le TTCLaneIntrusion (délai avant collision en raison d’une intrusion dans la voie de circulation) soit atteint;

LaneIntrusion

| c) | Lorsque la distance entre l’avant du véhicule et l’arrière du véhicule qui se rabat correspond à un délai avant collision (TTC) calculé au moyen de l’équation suivante:





  Où:







  Vrel | = | vitesse relative entre les deux véhicules, la valeur positive pour le véhicule équipé de l’ALKS étant plus rapide que celle du véhicule qui se rabat; |
| --- | --- | --- | --- |
| TTCLaneIntrusion | = | valeur du TTC lorsque l’extérieur du pneumatique de la roue avant du véhicule intrus la plus proche du marquage de la voie franchit une limite de 0,3 m au-delà du bord extérieur du marquage visible de la voie vers laquelle dérive le véhicule intrus. |

c)

Lorsque la distance entre l’avant du véhicule et l’arrière du véhicule qui se rabat correspond à un délai avant collision (TTC) calculé au moyen de l’équation suivante:

Image 15

Où:

Vrel

rel

=

vitesse relative entre les deux véhicules, la valeur positive pour le véhicule équipé de l’ALKS étant plus rapide que celle du véhicule qui se rabat;

TTCLaneIntrusion

LaneIntrusion

=

valeur du TTC lorsque l’extérieur du pneumatique de la roue avant du véhicule intrus la plus proche du marquage de la voie franchit une limite de 0,3 m au-delà du bord extérieur du marquage visible de la voie vers laquelle dérive le véhicule intrus.

| 5.2.5.3. | Lorsqu’il est activé, le système doit éviter une collision avec un piéton visible qui traverse devant le véhicule.
  Dans un scénario de traversée d’un piéton visible avec une composante de vitesse de déplacement latéral ne dépassant pas 5 km/h et dans lequel le point d’impact prévu est décalé de 0,2 m au maximum par rapport au plan central longitudinal du véhicule, l’ALKS, lorsqu’il est activé, doit éviter une collision jusqu’à la vitesse maximale de fonctionnement du système. |
| --- | --- |

5.2.5.3.

Lorsqu’il est activé, le système doit éviter une collision avec un piéton visible qui traverse devant le véhicule.

Dans un scénario de traversée d’un piéton visible avec une composante de vitesse de déplacement latéral ne dépassant pas 5 km/h et dans lequel le point d’impact prévu est décalé de 0,2 m au maximum par rapport au plan central longitudinal du véhicule, l’ALKS, lorsqu’il est activé, doit éviter une collision jusqu’à la vitesse maximale de fonctionnement du système.

| 5.2.5.4. | Il est admis que la prescription énoncée au paragraphe 5.2.5 peut ne pas être pleinement satisfaite dans d’autres conditions que celles décrites ci-dessus. Toutefois, le système ne doit pas désactiver ou modifier de manière déraisonnable la stratégie de contrôle dans ces autres conditions. Cela doit être démontré conformément à l’annexe 4 du présent règlement. |
| --- | --- |

5.2.5.4.

Il est admis que la prescription énoncée au paragraphe 5.2.5 peut ne pas être pleinement satisfaite dans d’autres conditions que celles décrites ci-dessus. Toutefois, le système ne doit pas désactiver ou modifier de manière déraisonnable la stratégie de contrôle dans ces autres conditions. Cela doit être démontré conformément à l’annexe 4 du présent règlement.

| 5.3. | Manœuvre d’urgence
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

5.3.

Manœuvre d’urgence

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5.

| 5.3.1. | Une manœuvre d’urgence doit être effectuée en cas de risque de collision imminente. |
| --- | --- |

5.3.1.

Une manœuvre d’urgence doit être effectuée en cas de risque de collision imminente.

| 5.3.1.1. | Toute demande de décélération longitudinale du système supérieure à 5,0 m/s2 est considérée comme une manœuvre d’urgence. |
| --- | --- |

5.3.1.1.

Toute demande de décélération longitudinale du système supérieure à 5,0 m/s2

| 5.3.2. | Cette manœuvre doit ralentir le véhicule jusqu’à sa pleine puissance de freinage si nécessaire et effectuer une manœuvre d’évitement automatique, le cas échéant.
  Si des défaillances affectent l’efficacité du freinage ou de la direction du système, la manœuvre doit être effectuée compte tenu de l’efficacité résiduelle.
  Pendant la manœuvre d’évitement, le véhicule équipé de l’ALKS ne doit pas franchir le marquage de la voie (le bord extérieur du pneumatique avant ne doit pas franchir le bord extérieur du marquage de la voie).
  Après la manœuvre d’évitement, le véhicule doit viser à reprendre une position stable. |
| --- | --- |

5.3.2.

Cette manœuvre doit ralentir le véhicule jusqu’à sa pleine puissance de freinage si nécessaire et effectuer une manœuvre d’évitement automatique, le cas échéant.

Si des défaillances affectent l’efficacité du freinage ou de la direction du système, la manœuvre doit être effectuée compte tenu de l’efficacité résiduelle.

Pendant la manœuvre d’évitement, le véhicule équipé de l’ALKS ne doit pas franchir le marquage de la voie (le bord extérieur du pneumatique avant ne doit pas franchir le bord extérieur du marquage de la voie).

Après la manœuvre d’évitement, le véhicule doit viser à reprendre une position stable.

| 5.3.3. | Une manœuvre d’urgence ne doit pas être interrompue, sauf si le risque de collision imminente a disparu ou si le conducteur a désactivé le système. |
| --- | --- |

5.3.3.

Une manœuvre d’urgence ne doit pas être interrompue, sauf si le risque de collision imminente a disparu ou si le conducteur a désactivé le système.

| 5.3.3.1. | Après la fin d’une manœuvre d’urgence, le système doit continuer à fonctionner. |
| --- | --- |

5.3.3.1.

Après la fin d’une manœuvre d’urgence, le système doit continuer à fonctionner.

| 5.3.3.2. | Si la manœuvre d’urgence entraîne l’immobilisation du véhicule, le signal d’activation des feux de détresse doit être émis. Si le véhicule repart automatiquement, le signal de désactivation des feux de détresse doit être émis automatiquement. |
| --- | --- |

5.3.3.2.

Si la manœuvre d’urgence entraîne l’immobilisation du véhicule, le signal d’activation des feux de détresse doit être émis. Si le véhicule repart automatiquement, le signal de désactivation des feux de détresse doit être émis automatiquement.

| 5.3.4. | Le véhicule doit mettre en œuvre un signal logique indiquant un freinage d’urgence comme énoncé dans le règlement ONU no 13-H. |
| --- | --- |

5.3.4.

Le véhicule doit mettre en œuvre un signal logique indiquant un freinage d’urgence comme énoncé dans le règlement ONU no

| 5.4. | Demande de transition et fonctionnement du système pendant la phase de transition
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

5.4.

Demande de transition et fonctionnement du système pendant la phase de transition

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5.

| 5.4.1. | Lorsqu’il est activé, le système doit discerner toutes les situations dans lesquelles il doit rendre le contrôle au conducteur.
  Les types de situations dans lesquelles le véhicule émet une demande de transition à l’intention du conducteur doivent être déclarés par le constructeur du véhicule et inclus dans le dossier d’information requis à l’annexe 4. |
| --- | --- |

5.4.1.

Lorsqu’il est activé, le système doit discerner toutes les situations dans lesquelles il doit rendre le contrôle au conducteur.

Les types de situations dans lesquelles le véhicule émet une demande de transition à l’intention du conducteur doivent être déclarés par le constructeur du véhicule et inclus dans le dossier d’information requis à l’annexe 4.

| 5.4.2. | Le lancement de la demande de transition doit être tel qu’un délai suffisant soit prévu pour une transition à la conduite manuelle en toute sécurité. |
| --- | --- |

5.4.2.

Le lancement de la demande de transition doit être tel qu’un délai suffisant soit prévu pour une transition à la conduite manuelle en toute sécurité.

| 5.4.2.1. | En cas d’événement prévu qui empêcherait l’ALKS de continuer à fonctionner, une demande de transition doit être émise suffisamment tôt pour garantir que la manœuvre à risque minimal, au cas où le conducteur ne reprendrait pas le contrôle, aboutirait à immobiliser le véhicule avant que l’événement prévu se produise. |
| --- | --- |

5.4.2.1.

En cas d’événement prévu qui empêcherait l’ALKS de continuer à fonctionner, une demande de transition doit être émise suffisamment tôt pour garantir que la manœuvre à risque minimal, au cas où le conducteur ne reprendrait pas le contrôle, aboutirait à immobiliser le véhicule avant que l’événement prévu se produise.

| 5.4.2.2. | En cas d’événement imprévu, une demande de transition doit être émise dès sa détection. |
| --- | --- |

5.4.2.2.

En cas d’événement imprévu, une demande de transition doit être émise dès sa détection.

| 5.4.2.3. | En cas de défaillance affectant le fonctionnement du système, celui-ci doit immédiatement émettre une demande de transition dès sa détection. |
| --- | --- |

5.4.2.3.

En cas de défaillance affectant le fonctionnement du système, celui-ci doit immédiatement émettre une demande de transition dès sa détection.

| 5.4.3. | Pendant la phase de transition, le système doit continuer à fonctionner. Il peut réduire la vitesse du véhicule pour assurer son fonctionnement en toute sécurité, mais il ne doit pas l’arrêter, sauf si la situation l’exige (par exemple, si la trajectoire du véhicule est barrée par un véhicule ou un obstacle) ou à la suite d’un avertissement tactile conformément au paragraphe 6.4.1, déclenché à une vitesse inférieure à 20 km/h. |
| --- | --- |

5.4.3.

Pendant la phase de transition, le système doit continuer à fonctionner. Il peut réduire la vitesse du véhicule pour assurer son fonctionnement en toute sécurité, mais il ne doit pas l’arrêter, sauf si la situation l’exige (par exemple, si la trajectoire du véhicule est barrée par un véhicule ou un obstacle) ou à la suite d’un avertissement tactile conformément au paragraphe 6.4.1, déclenché à une vitesse inférieure à 20 km/h.

| 5.4.3.1. | Une fois à l’arrêt, le véhicule peut rester dans cet état et doit émettre le signal d’activation des feux de détresse dans un délai de 5 s. |
| --- | --- |

5.4.3.1.

Une fois à l’arrêt, le véhicule peut rester dans cet état et doit émettre le signal d’activation des feux de détresse dans un délai de 5 s.

| 5.4.3.2. | Pendant la phase de transition, la demande de transition doit être renforcée au plus tard 4 s après le début de la demande. |
| --- | --- |

5.4.3.2.

Pendant la phase de transition, la demande de transition doit être renforcée au plus tard 4 s après le début de la demande.

| 5.4.4. | Une demande de transition ne peut être annulée qu’une fois que le système est désactivé ou qu’une manœuvre à risque minimal a été lancée. |
| --- | --- |

5.4.4.

Une demande de transition ne peut être annulée qu’une fois que le système est désactivé ou qu’une manœuvre à risque minimal a été lancée.

| 5.4.4.1. | Si le conducteur ne répond pas à une demande de transition en désactivant le système (comme décrit aux paragraphes 6.2.4 ou 6.2.5), une manœuvre à risque minimal doit être lancée, au plus tôt 10 s après le début de la demande de transition. |
| --- | --- |

5.4.4.1.

Si le conducteur ne répond pas à une demande de transition en désactivant le système (comme décrit aux paragraphes 6.2.4 ou 6.2.5), une manœuvre à risque minimal doit être lancée, au plus tôt 10 s après le début de la demande de transition.

| 5.4.4.1.1. | Nonobstant le paragraphe 5.4.4.1, une manœuvre à risque minimal peut être immédiatement engagée en cas de défaillance grave de l’ALKS ou du véhicule.
  En cas de défaillance grave de l’ALKS ou du véhicule, l’ALKS peut ne plus être en mesure de satisfaire aux prescriptions du présent règlement, mais doit viser à permettre une transition du contrôle au conducteur en toute sécurité. |
| --- | --- |

5.4.4.1.1.

Nonobstant le paragraphe 5.4.4.1, une manœuvre à risque minimal peut être immédiatement engagée en cas de défaillance grave de l’ALKS ou du véhicule.

En cas de défaillance grave de l’ALKS ou du véhicule, l’ALKS peut ne plus être en mesure de satisfaire aux prescriptions du présent règlement, mais doit viser à permettre une transition du contrôle au conducteur en toute sécurité.

| 5.4.4.1.2. | Le constructeur doit déclarer les types de défaillances graves du véhicule et de l’ALKS qui amènent celui-ci à déclencher immédiatement une manœuvre à risque minimal. |
| --- | --- |

5.4.4.1.2.

Le constructeur doit déclarer les types de défaillances graves du véhicule et de l’ALKS qui amènent celui-ci à déclencher immédiatement une manœuvre à risque minimal.

| 5.5. | Manœuvre à risque minimal
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

5.5.

Manœuvre à risque minimal

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 (en particulier en ce qui concerne les conditions non soumises aux essais conformément à l’annexe 5) et en fonction des essais pertinents décrits à l’annexe 5.

| 5.5.1. | Pendant la manœuvre à risque minimal, le véhicule doit être ralenti à l’intérieur de la voie ou, si les marquages sur la voie ne sont pas visibles, rester sur une trajectoire appropriée en tenant compte de la circulation et de l’infrastructure routière environnante, dans le but d’atteindre une demande de décélération ne dépassant pas 4,0 m/s2.
  Des valeurs de demande de décélération plus élevées sont autorisées pour de très courtes durées, par exemple, en tant qu’avertissement tactile pour stimuler l’attention du conducteur, ou en cas de défaillance grave de l’ALKS ou du véhicule.
  En outre, le signal d’activation des feux de détresse doit être émis dès le début de la manœuvre à risque minimal. |
| --- | --- |

5.5.1.

Pendant la manœuvre à risque minimal, le véhicule doit être ralenti à l’intérieur de la voie ou, si les marquages sur la voie ne sont pas visibles, rester sur une trajectoire appropriée en tenant compte de la circulation et de l’infrastructure routière environnante, dans le but d’atteindre une demande de décélération ne dépassant pas 4,0 m/s2

Des valeurs de demande de décélération plus élevées sont autorisées pour de très courtes durées, par exemple, en tant qu’avertissement tactile pour stimuler l’attention du conducteur, ou en cas de défaillance grave de l’ALKS ou du véhicule.

En outre, le signal d’activation des feux de détresse doit être émis dès le début de la manœuvre à risque minimal.

| 5.5.2. | La manœuvre à risque minimal doit aboutir à immobiliser le véhicule, à moins que le système ne soit désactivé par le conducteur pendant la manœuvre. |
| --- | --- |

5.5.2.

La manœuvre à risque minimal doit aboutir à immobiliser le véhicule, à moins que le système ne soit désactivé par le conducteur pendant la manœuvre.

| 5.5.3. | Une manœuvre à risque minimal ne doit être interrompue qu’une fois que le système est désactivé ou que le système a immobilisé le véhicule. |
| --- | --- |

5.5.3.

Une manœuvre à risque minimal ne doit être interrompue qu’une fois que le système est désactivé ou que le système a immobilisé le véhicule.

| 5.5.4. | Le système doit être désactivé à la fin de toute manœuvre à risque minimal.
  Les feux de détresse doivent rester allumés, sauf s’ils sont désactivés manuellement, et le véhicule ne doit pas repartir après l’arrêt sans intervention manuelle. |
| --- | --- |

5.5.4.

Le système doit être désactivé à la fin de toute manœuvre à risque minimal.

Les feux de détresse doivent rester allumés, sauf s’ils sont désactivés manuellement, et le véhicule ne doit pas repartir après l’arrêt sans intervention manuelle.

| 5.5.5. | La réactivation du système après la fin de toute manœuvre à risque minimal ne doit être possible qu’après un nouveau démarrage du moteur. |
| --- | --- |

5.5.5.

La réactivation du système après la fin de toute manœuvre à risque minimal ne doit être possible qu’après un nouveau démarrage du moteur.

6.   INTERFACE HOMME-MACHINE ET INFORMATIONS SUR LE CONDUCTEUR

| 6.1. | Système de détection de la disponibilité du conducteur
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

6.1.

Système de détection de la disponibilité du conducteur

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5.

| 6.1.1. | Le système doit comprendre un système de détection de la disponibilité du conducteur.
  Le système de détection de la disponibilité du conducteur doit détecter si le conducteur est présent en position de conduite, si sa ceinture de sécurité est bouclée et s’il est disponible pour assumer la tâche de conduite. |
| --- | --- |

6.1.1.

Le système doit comprendre un système de détection de la disponibilité du conducteur.

Le système de détection de la disponibilité du conducteur doit détecter si le conducteur est présent en position de conduite, si sa ceinture de sécurité est bouclée et s’il est disponible pour assumer la tâche de conduite.

| 6.1.2. | Présence d’un conducteur
  Une demande de transition doit être émise conformément au paragraphe 5.4 si l’une des conditions suivantes est remplie:






  a) | Lorsqu’il est constaté que le conducteur n’est pas assis sur son siège pendant une période de plus d’une seconde; ou |
| --- | --- | --- |

6.1.2.

Présence d’un conducteur

Une demande de transition doit être émise conformément au paragraphe 5.4 si l’une des conditions suivantes est remplie:

a)

Lorsqu’il est constaté que le conducteur n’est pas assis sur son siège pendant une période de plus d’une seconde; ou

| b) | Lorsque la ceinture de sécurité du conducteur est détachée. |
| --- | --- |

b)

Lorsque la ceinture de sécurité du conducteur est détachée.

L’avertissement de deuxième niveau du témoin de port de ceinture de sécurité conformément au règlement ONU no 16 peut être utilisé à la place d’un avertissement sonore de la demande de transition.

o

| 6.1.3. | Disponibilité du conducteur
  Le système doit surveiller le conducteur afin de détecter s’il est disponible et s’il se trouve dans une position de conduite appropriée pour répondre à une demande de transition.
  Le constructeur doit démontrer, à la satisfaction du service technique, la capacité du véhicule à détecter que le conducteur est disponible pour reprendre la tâche de conduite. |
| --- | --- |

6.1.3.

Disponibilité du conducteur

Le système doit surveiller le conducteur afin de détecter s’il est disponible et s’il se trouve dans une position de conduite appropriée pour répondre à une demande de transition.

Le constructeur doit démontrer, à la satisfaction du service technique, la capacité du véhicule à détecter que le conducteur est disponible pour reprendre la tâche de conduite.

| 6.1.3.1. | Critères de présomption de la disponibilité du conducteur
  Le conducteur est considéré comme indisponible à moins qu’au moins deux critères de disponibilité (par exemple, reprise du contrôle exclusif du véhicule par le conducteur, clignement des yeux, fermeture des yeux, mouvement conscient de la tête ou du corps) n’aient déterminé indépendamment que le conducteur est disponible pendant les 30 dernières secondes.
  À tout moment, le système peut considérer que le conducteur est indisponible.
  Dès que le conducteur est considéré comme indisponible, ou que moins de deux critères de disponibilité peuvent être vérifiés, le système doit émettre immédiatement un avertissement distinct jusqu’à ce que soient détectées des actions appropriées de la part du conducteur ou que soit émise une demande de transition. Si cet avertissement se poursuit pendant 15 s au plus, une demande de transition doit être émise conformément au paragraphe 5.4.
  La justification du nombre et de la combinaison des critères de disponibilité, notamment en ce qui concerne l’intervalle de temps correspondant, doit être fournie par le constructeur au moyen de documents. Toutefois, l’intervalle de temps requis pour tout critère de disponibilité ne doit pas dépasser 30 secondes. Le constructeur doit en apporter la preuve et le service technique doit l’évaluer conformément à l’annexe 4. |
| --- | --- |

6.1.3.1.

Critères de présomption de la disponibilité du conducteur

Le conducteur est considéré comme indisponible à moins qu’au moins deux critères de disponibilité (par exemple, reprise du contrôle exclusif du véhicule par le conducteur, clignement des yeux, fermeture des yeux, mouvement conscient de la tête ou du corps) n’aient déterminé indépendamment que le conducteur est disponible pendant les 30 dernières secondes.

À tout moment, le système peut considérer que le conducteur est indisponible.

Dès que le conducteur est considéré comme indisponible, ou que moins de deux critères de disponibilité peuvent être vérifiés, le système doit émettre immédiatement un avertissement distinct jusqu’à ce que soient détectées des actions appropriées de la part du conducteur ou que soit émise une demande de transition. Si cet avertissement se poursuit pendant 15 s au plus, une demande de transition doit être émise conformément au paragraphe 5.4.

La justification du nombre et de la combinaison des critères de disponibilité, notamment en ce qui concerne l’intervalle de temps correspondant, doit être fournie par le constructeur au moyen de documents. Toutefois, l’intervalle de temps requis pour tout critère de disponibilité ne doit pas dépasser 30 secondes. Le constructeur doit en apporter la preuve et le service technique doit l’évaluer conformément à l’annexe 4.

Image 16

| 6.1.4. | Les «activités autres que la conduite» exécutées au moyen des écrans embarqués disponibles lors de l’activation de l’ALKS doivent être automatiquement suspendues i) dès que le système émet une demande de transition ou ii) dès que le système est désactivé, si cet événement intervient plus tôt. |
| --- | --- |

6.1.4.

Les «activités autres que la conduite» exécutées au moyen des écrans embarqués disponibles lors de l’activation de l’ALKS doivent être automatiquement suspendues i) dès que le système émet une demande de transition ou ii) dès que le système est désactivé, si cet événement intervient plus tôt.

| 6.2. | Activation, désactivation et intervention du conducteur
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5. |
| --- | --- |

6.2.

Activation, désactivation et intervention du conducteur

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5.

| 6.2.1. | Le véhicule doit être équipé de moyens particuliers permettant au conducteur d’activer (mode «actif») et de désactiver (mode «arrêt») le système. Lorsque l’ALKS est activé, les moyens de le désactiver doivent être en permanence visibles par le conducteur. |
| --- | --- |

6.2.1.

Le véhicule doit être équipé de moyens particuliers permettant au conducteur d’activer (mode «actif») et de désactiver (mode «arrêt») le système. Lorsque l’ALKS est activé, les moyens de le désactiver doivent être en permanence visibles par le conducteur.

| 6.2.2. | L’état par défaut du système doit être le mode arrêt à chaque nouveau démarrage du moteur.
  Cette prescription ne s’applique pas lorsqu’un nouveau démarrage du moteur est effectué automatiquement, par exemple, par un système d’arrêt/démarrage. |
| --- | --- |

6.2.2.

L’état par défaut du système doit être le mode arrêt à chaque nouveau démarrage du moteur.

Cette prescription ne s’applique pas lorsqu’un nouveau démarrage du moteur est effectué automatiquement, par exemple, par un système d’arrêt/démarrage.

| 6.2.3. | Le système ne doit être activé qu’à la suite d’une intervention délibérée du conducteur et si toutes les conditions suivantes sont remplies:






  a) | Le conducteur est sur le siège du conducteur et sa ceinture de sécurité est attachée conformément aux paragraphes 6.1.1 et 6.1.2; |
| --- | --- | --- |

6.2.3.

Le système ne doit être activé qu’à la suite d’une intervention délibérée du conducteur et si toutes les conditions suivantes sont remplies:

a)

Le conducteur est sur le siège du conducteur et sa ceinture de sécurité est attachée conformément aux paragraphes 6.1.1 et 6.1.2;

| b) | Le conducteur est disponible pour prendre le contrôle de la tâche de conduite dynamique conformément au paragraphe 6.1.3; |
| --- | --- |

b)

Le conducteur est disponible pour prendre le contrôle de la tâche de conduite dynamique conformément au paragraphe 6.1.3;

| c) | Aucune défaillance affectant la sûreté du fonctionnement ou le caractère fonctionnel de l’ALKS n’est présente; |
| --- | --- |

c)

Aucune défaillance affectant la sûreté du fonctionnement ou le caractère fonctionnel de l’ALKS n’est présente;

| d) | Le DSSAD est fonctionnel; |
| --- | --- |

d)

Le DSSAD est fonctionnel;

| e) | Les conditions de l’environnement et de l’infrastructure permettent le fonctionnement; |
| --- | --- |

e)

Les conditions de l’environnement et de l’infrastructure permettent le fonctionnement;

| f) | L’autocontrôle du système est positif; et |
| --- | --- |

f)

L’autocontrôle du système est positif; et

| g) | Le véhicule se trouve sur une route où les piétons et les cyclistes sont interdits et qui, de par sa conception, est équipée d’une séparation physique qui divise la circulation se déplaçant dans des directions opposées. |
| --- | --- |

g)

Le véhicule se trouve sur une route où les piétons et les cyclistes sont interdits et qui, de par sa conception, est équipée d’une séparation physique qui divise la circulation se déplaçant dans des directions opposées.

Dès que l’une des conditions susmentionnées n’est plus remplie, le système doit lancer une demande de transition, sauf disposition contraire du présent règlement.

| 6.2.4. | Il doit être possible de désactiver manuellement (mode arrêt) le système par une intervention intentionnelle du conducteur en utilisant les mêmes moyens que pour l’activer, comme mentionné au paragraphe 6.2.1.
  Les moyens de désactivation doivent assurer une protection contre une désactivation manuelle involontaire, par exemple, en exigeant une seule intervention dépassant un certain seuil de temps ou une double pression, ou deux interventions distinctes mais simultanées.
  En outre, il faut s’assurer que le conducteur a le contrôle du déplacement latéral du véhicule au moment de la désactivation, par exemple, en plaçant le moyen de désactivation sur la commande de direction ou en confirmant que le conducteur tient la commande de direction. |
| --- | --- |

6.2.4.

Il doit être possible de désactiver manuellement (mode arrêt) le système par une intervention intentionnelle du conducteur en utilisant les mêmes moyens que pour l’activer, comme mentionné au paragraphe 6.2.1.

Les moyens de désactivation doivent assurer une protection contre une désactivation manuelle involontaire, par exemple, en exigeant une seule intervention dépassant un certain seuil de temps ou une double pression, ou deux interventions distinctes mais simultanées.

En outre, il faut s’assurer que le conducteur a le contrôle du déplacement latéral du véhicule au moment de la désactivation, par exemple, en plaçant le moyen de désactivation sur la commande de direction ou en confirmant que le conducteur tient la commande de direction.

| 6.2.5. | En plus du paragraphe 6.2.4, le système ne doit pas être désactivé par une intervention du conducteur autre que celles décrites ci-dessous aux paragraphes 6.2.5.1 à 6.2.5.4. |
| --- | --- |

6.2.5.

En plus du paragraphe 6.2.4, le système ne doit pas être désactivé par une intervention du conducteur autre que celles décrites ci-dessous aux paragraphes 6.2.5.1 à 6.2.5.4.

| 6.2.5.1. | Désactivation par intervention sur les commandes de conduite
  Le système doit être désactivé lorsqu’au moins une des conditions suivantes est remplie:






  a) | Le conducteur neutralise le système en braquant tout en tenant la commande de direction et cette neutralisation n’est pas annulée, comme indiqué au paragraphe 6.3 ci-dessous; ou |
| --- | --- | --- |

6.2.5.1.

Désactivation par intervention sur les commandes de conduite

Le système doit être désactivé lorsqu’au moins une des conditions suivantes est remplie:

a)

Le conducteur neutralise le système en braquant tout en tenant la commande de direction et cette neutralisation n’est pas annulée, comme indiqué au paragraphe 6.3 ci-dessous; ou

| b) | Le conducteur tient la commande de direction et neutralise le système en freinant ou en accélérant, comme indiqué au paragraphe 6.3.1 ci-dessous. |
| --- | --- |

b)

Le conducteur tient la commande de direction et neutralise le système en freinant ou en accélérant, comme indiqué au paragraphe 6.3.1 ci-dessous.

| 6.2.5.2. | Désactivation pendant une demande de transition en cours ou une manœuvre à risque minimal en cours
  Si une demande de transition ou une manœuvre à risque minimal est en cours, le système doit seulement être désactivé:






  a) | Conformément au paragraphe 6.2.5.1; ou |
| --- | --- | --- |

6.2.5.2.

Désactivation pendant une demande de transition en cours ou une manœuvre à risque minimal en cours

Si une demande de transition ou une manœuvre à risque minimal est en cours, le système doit seulement être désactivé:

a)

Conformément au paragraphe 6.2.5.1; ou

| b) | Dès qu’il est détecté que le conducteur a pris en main la commande de direction en réaction à la demande de transition ou à la manœuvre à risque minimal, et à condition que le système confirme que le conducteur est attentif conformément au paragraphe 6.3.1.1. |
| --- | --- |

b)

Dès qu’il est détecté que le conducteur a pris en main la commande de direction en réaction à la demande de transition ou à la manœuvre à risque minimal, et à condition que le système confirme que le conducteur est attentif conformément au paragraphe 6.3.1.1.

| 6.2.5.3. | Désactivation pendant une manœuvre d’urgence en cours
  En cas de manœuvre d’urgence en cours, la désactivation du système peut être retardée jusqu’à la disparition du risque de collision imminente. |
| --- | --- |

6.2.5.3.

Désactivation pendant une manœuvre d’urgence en cours

En cas de manœuvre d’urgence en cours, la désactivation du système peut être retardée jusqu’à la disparition du risque de collision imminente.

| 6.2.5.4. | Désactivation en cas de défaillance grave du véhicule ou de l’ALKS
  En cas de défaillance grave du véhicule ou de l’ALKS, l’ALKS peut employer différentes stratégies en ce qui concerne la désactivation.
  Ces différentes stratégies doivent être déclarées par le constructeur et leur efficacité doit être évaluée par le service technique afin de garantir une transition du contrôle du système au conducteur humain en toute sécurité, conformément à l’annexe 4. |
| --- | --- |

6.2.5.4.

Désactivation en cas de défaillance grave du véhicule ou de l’ALKS

En cas de défaillance grave du véhicule ou de l’ALKS, l’ALKS peut employer différentes stratégies en ce qui concerne la désactivation.

Ces différentes stratégies doivent être déclarées par le constructeur et leur efficacité doit être évaluée par le service technique afin de garantir une transition du contrôle du système au conducteur humain en toute sécurité, conformément à l’annexe 4.

| 6.2.6. | La désactivation du système ne doit pas entraîner de transition automatique à une fonction assurant un déplacement longitudinal et/ou latéral continu du véhicule (par exemple, une fonction de direction à commande automatique de la catégorie B1).
  Après la désactivation, la fonction de direction corrective peut être active, afin d’habituer le conducteur à exécuter la tâche de contrôle du déplacement latéral en réduisant progressivement l’appui latéral.
  Nonobstant les deux alinéas ci-dessus, aucun autre système de sécurité fournissant un appui au contrôle du déplacement longitudinal ou latéral dans des situations de collision imminente (par exemple, le système actif de freinage d’urgence, le système de contrôle électronique de la stabilité, le système d’assistance au freinage ou la fonction de direction d’urgence) ne doit être désactivé en cas de désactivation de l’ALKS. |
| --- | --- |

6.2.6.

La désactivation du système ne doit pas entraîner de transition automatique à une fonction assurant un déplacement longitudinal et/ou latéral continu du véhicule (par exemple, une fonction de direction à commande automatique de la catégorie B1).

Après la désactivation, la fonction de direction corrective peut être active, afin d’habituer le conducteur à exécuter la tâche de contrôle du déplacement latéral en réduisant progressivement l’appui latéral.

Nonobstant les deux alinéas ci-dessus, aucun autre système de sécurité fournissant un appui au contrôle du déplacement longitudinal ou latéral dans des situations de collision imminente (par exemple, le système actif de freinage d’urgence, le système de contrôle électronique de la stabilité, le système d’assistance au freinage ou la fonction de direction d’urgence) ne doit être désactivé en cas de désactivation de l’ALKS.

| 6.2.7. | Toute désactivation doit être indiquée au conducteur comme défini au paragraphe 6.4.2.3. |
| --- | --- |

6.2.7.

Toute désactivation doit être indiquée au conducteur comme défini au paragraphe 6.4.2.3.

| 6.3. | Neutralisation du système |
| --- | --- |

6.3.

Neutralisation du système

| 6.3.1. | Une intervention du conducteur sur la commande de direction doit neutraliser la fonction de commande du déplacement latéral du système, lorsque cette intervention dépasse un seuil raisonnable destiné à empêcher une neutralisation involontaire.
  Ce seuil comprend une force et une durée déterminées et varie en fonction de paramètres qui comprennent les critères utilisés pour vérifier l’attention du conducteur lors de son intervention, comme défini au paragraphe 6.3.1.1.
  Ces seuils et la justification de toute variation doivent être expliqués à la satisfaction du service technique lors de l’évaluation décrite à l’annexe 4. |
| --- | --- |

6.3.1.

Une intervention du conducteur sur la commande de direction doit neutraliser la fonction de commande du déplacement latéral du système, lorsque cette intervention dépasse un seuil raisonnable destiné à empêcher une neutralisation involontaire.

Ce seuil comprend une force et une durée déterminées et varie en fonction de paramètres qui comprennent les critères utilisés pour vérifier l’attention du conducteur lors de son intervention, comme défini au paragraphe 6.3.1.1.

Ces seuils et la justification de toute variation doivent être expliqués à la satisfaction du service technique lors de l’évaluation décrite à l’annexe 4.

| 6.3.1.1. | Attention du conducteur
  Le système doit détecter si le conducteur est attentif. Celui-ci est considéré comme attentif lorsqu’est rempli au moins un des critères suivants:






  a) | Le regard du conducteur est principalement dirigé vers la route devant lui; |
| --- | --- | --- |

6.3.1.1.

Attention du conducteur

Le système doit détecter si le conducteur est attentif. Celui-ci est considéré comme attentif lorsqu’est rempli au moins un des critères suivants:

a)

Le regard du conducteur est principalement dirigé vers la route devant lui;

| b) | Le regard du conducteur est dirigé vers les rétroviseurs; |
| --- | --- |

b)

Le regard du conducteur est dirigé vers les rétroviseurs;

| c) | Les mouvements de tête du conducteur sont principalement orientés vers la tâche de conduite. |
| --- | --- |

c)

Les mouvements de tête du conducteur sont principalement orientés vers la tâche de conduite.

La spécification permettant de confirmer ces critères ou des critères également sûrs doit être déclarée par le constructeur et étayée par des documents. Le service technique doit évaluer ces éléments conformément à l’annexe 4.

| 6.3.2. | Une intervention du conducteur sur la commande de frein entraînant une décélération plus élevée que celle déterminée par le système ou maintenant le véhicule à l’arrêt par un système de freinage quelconque doit avoir priorité sur la fonction de contrôle longitudinal du système. |
| --- | --- |

6.3.2.

Une intervention du conducteur sur la commande de frein entraînant une décélération plus élevée que celle déterminée par le système ou maintenant le véhicule à l’arrêt par un système de freinage quelconque doit avoir priorité sur la fonction de contrôle longitudinal du système.

| 6.3.3. | Une intervention du conducteur sur la commande d’accélérateur peut avoir priorité sur la fonction de contrôle longitudinal du système. Toutefois, cette intervention ne doit pas avoir pour effet que le système ne réponde plus aux prescriptions du présent règlement. |
| --- | --- |

6.3.3.

Une intervention du conducteur sur la commande d’accélérateur peut avoir priorité sur la fonction de contrôle longitudinal du système. Toutefois, cette intervention ne doit pas avoir pour effet que le système ne réponde plus aux prescriptions du présent règlement.

| 6.3.4. | Toute intervention du conducteur sur la commande d’accélérateur ou de frein doit immédiatement déclencher une demande de transition comme indiqué au paragraphe 5.4, lorsque l’intervention dépasse un seuil raisonnable destiné à prévenir les interventions involontaires. |
| --- | --- |

6.3.4.

Toute intervention du conducteur sur la commande d’accélérateur ou de frein doit immédiatement déclencher une demande de transition comme indiqué au paragraphe 5.4, lorsque l’intervention dépasse un seuil raisonnable destiné à prévenir les interventions involontaires.

| 6.3.5. | Nonobstant les dispositions des paragraphes 6.3.1 à 6.3.3, l’effet de l’intervention du conducteur sur une commande peut être réduit ou supprimé par le système si celui-ci a détecté un risque de collision imminente occasionné par cette intervention. |
| --- | --- |

6.3.5.

Nonobstant les dispositions des paragraphes 6.3.1 à 6.3.3, l’effet de l’intervention du conducteur sur une commande peut être réduit ou supprimé par le système si celui-ci a détecté un risque de collision imminente occasionné par cette intervention.

| 6.3.6. | En cas de défaillance grave du véhicule ou de l’ALKS, celui-ci peut employer différentes stratégies en ce qui concerne la neutralisation du système. Ces différentes stratégies doivent être déclarées par le constructeur et leur efficacité doit être évaluée par le service technique en vue d’assurer une transition du contrôle du système au conducteur humain en toute sécurité. |
| --- | --- |

6.3.6.

En cas de défaillance grave du véhicule ou de l’ALKS, celui-ci peut employer différentes stratégies en ce qui concerne la neutralisation du système. Ces différentes stratégies doivent être déclarées par le constructeur et leur efficacité doit être évaluée par le service technique en vue d’assurer une transition du contrôle du système au conducteur humain en toute sécurité.

| 6.3.7. | Le respect des dispositions du paragraphe 6.3 et de ses alinéas doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4. |
| --- | --- |

6.3.7.

Le respect des dispositions du paragraphe 6.3 et de ses alinéas doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4.

| 6.4. | Information du conducteur |
| --- | --- |

6.4.

Information du conducteur

| 6.4.1. | Les informations suivantes doivent être indiquées au conducteur:






  a) | L’état du système tel que défini au paragraphe 6.4.2; |
| --- | --- | --- |

6.4.1.

Les informations suivantes doivent être indiquées au conducteur:

a)

L’état du système tel que défini au paragraphe 6.4.2;

| b) | Toute défaillance affectant le fonctionnement du système, au moins par un signal visuel, sauf si le système est désactivé (mode arrêt); |
| --- | --- |

b)

Toute défaillance affectant le fonctionnement du système, au moins par un signal visuel, sauf si le système est désactivé (mode arrêt);

| c) | Toute demande de transition, par au moins un signal visuel et en plus un signal d’avertissement sonore et/ou tactile.
  Au plus tard 4 s après le début de la demande de transition, la demande de transition doit:






  i) | Comporter un avertissement tactile constant ou intermittent, sauf si le véhicule est à l’arrêt; et |
| --- | --- | --- |

c)

Toute demande de transition, par au moins un signal visuel et en plus un signal d’avertissement sonore et/ou tactile.

Au plus tard 4 s après le début de la demande de transition, la demande de transition doit:

i)

Comporter un avertissement tactile constant ou intermittent, sauf si le véhicule est à l’arrêt; et

| ii) | Être intensifiée et le rester jusqu’à la fin de la demande de transition; |
| --- | --- |

ii)

Être intensifiée et le rester jusqu’à la fin de la demande de transition;

| d) | Toute manœuvre à risque minimal, par au moins un signal visuel et, en outre, un signal d’avertissement sonore et/ou tactile; et |
| --- | --- |

d)

Toute manœuvre à risque minimal, par au moins un signal visuel et, en outre, un signal d’avertissement sonore et/ou tactile; et

| e) | Toute manœuvre d’urgence, par un signal visuel. |
| --- | --- |

e)

Toute manœuvre d’urgence, par un signal visuel.

Les signaux visuels susmentionnés doivent être de taille et de contraste adéquats. Les signaux sonores susmentionnés doivent être forts et clairs.

| 6.4.2. | État du système |
| --- | --- |

6.4.2.

État du système

| 6.4.2.1. | Indication de l’indisponibilité du système
  Si l’activation du système à la suite d’une intervention délibérée du conducteur est refusée par le système en raison d’une indisponibilité de sa part, cela doit être indiqué au moins par un signal visuel à l’intention du conducteur. |
| --- | --- |

6.4.2.1.

Indication de l’indisponibilité du système

Si l’activation du système à la suite d’une intervention délibérée du conducteur est refusée par le système en raison d’une indisponibilité de sa part, cela doit être indiqué au moins par un signal visuel à l’intention du conducteur.

| 6.4.2.2. | Affichage de l’état du système lorsqu’il est activé
  Lors de l’activation, l’état du système (mode actif) doit être indiqué par un signal visuel à l’intention du conducteur.
  Le signal visuel doit contenir une indication non ambiguë comprenant:






  a) | Une commande de direction ou un véhicule, avec un «A» ou «AUTO» supplémentaire, ou les symboles normalisés conformément au règlement ONU no 121; et en outre |
| --- | --- | --- |

6.4.2.2.

Affichage de l’état du système lorsqu’il est activé

Lors de l’activation, l’état du système (mode actif) doit être indiqué par un signal visuel à l’intention du conducteur.

Le signal visuel doit contenir une indication non ambiguë comprenant:

a)

Une commande de direction ou un véhicule, avec un «A» ou «AUTO» supplémentaire, ou les symboles normalisés conformément au règlement ONU no 121; et en outre

o

| b) | Une indication facilement perceptible dans le champ de vision périphérique et située près de la ligne de visée directe du conducteur vers l’extérieur et vers l’avant du véhicule, par exemple, une indication bien visible dans le tableau de bord ou sur la commande de direction couvrant une partie du périmètre extérieur faisant face au conducteur. |
| --- | --- |

b)

Une indication facilement perceptible dans le champ de vision périphérique et située près de la ligne de visée directe du conducteur vers l’extérieur et vers l’avant du véhicule, par exemple, une indication bien visible dans le tableau de bord ou sur la commande de direction couvrant une partie du périmètre extérieur faisant face au conducteur.

Le signal visuel doit indiquer l’état actif du système jusqu’à ce que celui-ci soit désactivé (mode arrêt).

Le signal visuel doit être constant lorsque le système est en fonctionnement régulier et, en cas de demande de transition, au moins l’indication visée au point b) doit changer de caractéristiques, par exemple, devenir intermittent ou d’une couleur différente.

Lorsqu’un signal intermittent est utilisé, une fréquence basse doit être utilisée afin de ne pas alarmer le conducteur de manière déraisonnable.

Pendant la phase de transition et la manœuvre à risque minimal, l’indication visée à l’alinéa a) ci-dessus peut être remplacée par l’instruction de reprendre le contrôle manuel conformément au paragraphe 6.4.3.

| 6.4.2.3. | Affichage de l’état du système lorsqu’il est désactivé
  Lorsque le système est désactivé et que son état passe du mode actif au mode arrêt, cela doit être signalé au conducteur par au moins un signal d’avertissement visuel. Ce signal visuel doit être réalisé en n’affichant pas le signal visuel utilisé pour indiquer le mode actif ou en n’affichant pas l’instruction de reprendre le contrôle manuel.
  En outre, un signal d’avertissement sonore doit être émis à moins que le système ne soit désactivé à la suite d’une demande de transition comprenant un signal sonore. |
| --- | --- |

6.4.2.3.

Affichage de l’état du système lorsqu’il est désactivé

Lorsque le système est désactivé et que son état passe du mode actif au mode arrêt, cela doit être signalé au conducteur par au moins un signal d’avertissement visuel. Ce signal visuel doit être réalisé en n’affichant pas le signal visuel utilisé pour indiquer le mode actif ou en n’affichant pas l’instruction de reprendre le contrôle manuel.

En outre, un signal d’avertissement sonore doit être émis à moins que le système ne soit désactivé à la suite d’une demande de transition comprenant un signal sonore.

| 6.4.3. | Phase de transition et manœuvre à risque minimal
  Pendant la phase de transition et la manœuvre à risque minimal, le système doit indiquer au conducteur, de manière intuitive et sans ambiguïté, de reprendre le contrôle manuel du véhicule. Cette instruction doit comprendre une information illustrée montrant les mains et la commande de direction et peut être accompagnée d’un texte explicatif supplémentaire ou de symboles d’avertissement, comme dans l’exemple ci-dessous. |
| --- | --- |

6.4.3.

Phase de transition et manœuvre à risque minimal

Pendant la phase de transition et la manœuvre à risque minimal, le système doit indiquer au conducteur, de manière intuitive et sans ambiguïté, de reprendre le contrôle manuel du véhicule. Cette instruction doit comprendre une information illustrée montrant les mains et la commande de direction et peut être accompagnée d’un texte explicatif supplémentaire ou de symboles d’avertissement, comme dans l’exemple ci-dessous.

Image 17

| 6.4.3.2. | Au début de la manœuvre à risque minimal, le signal émis doit changer de caractéristiques pour souligner l’urgence d’une intervention du conducteur, par exemple, en faisant clignoter en rouge la commande de direction et en déplaçant les mains de l’information illustrée. |
| --- | --- |

6.4.3.2.

Au début de la manœuvre à risque minimal, le signal émis doit changer de caractéristiques pour souligner l’urgence d’une intervention du conducteur, par exemple, en faisant clignoter en rouge la commande de direction et en déplaçant les mains de l’information illustrée.

| 6.4.4. | À la place des exemples de signaux visuels donnés ci-dessus, il est possible d’utiliser d’autres types d’interface à la condition qu’ils soient adéquats et aussi perceptibles. Il incombe au constructeur de le démontrer, documents à l’appui. Le service technique évalue les interfaces conformément à l’annexe 4. |
| --- | --- |

6.4.4.

À la place des exemples de signaux visuels donnés ci-dessus, il est possible d’utiliser d’autres types d’interface à la condition qu’ils soient adéquats et aussi perceptibles. Il incombe au constructeur de le démontrer, documents à l’appui. Le service technique évalue les interfaces conformément à l’annexe 4.

| 6.4.5. | Priorisation des avertissements de l’ALKS
  Les avertissements d’un ALKS pendant une phase de transition, une manœuvre à risque minimal ou une manœuvre d’urgence peuvent être prioritaires par rapport aux autres avertissements du véhicule.
  La priorité accordée aux différents avertissements sonores et visuels pendant le fonctionnement de l’ALKS doit être déclarée par le constructeur au service technique lors de l’homologation de type. |
| --- | --- |

6.4.5.

Priorisation des avertissements de l’ALKS

Les avertissements d’un ALKS pendant une phase de transition, une manœuvre à risque minimal ou une manœuvre d’urgence peuvent être prioritaires par rapport aux autres avertissements du véhicule.

La priorité accordée aux différents avertissements sonores et visuels pendant le fonctionnement de l’ALKS doit être déclarée par le constructeur au service technique lors de l’homologation de type.

7.   DÉTECTION D’OBJETS ET D’ÉVÉNEMENTS ET RÉACTION

| 7.1. | Prescriptions en matière de capteurs
  Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5.
  Le véhicule équipé de l’ALKS doit être pourvu d’un système de capteurs permettant au moins de déterminer l’environnement de conduite (par exemple, la géométrie de la route vers l’avant, le marquage des voies) et la dynamique de la circulation:






  a) | Sur toute la largeur de sa propre voie de circulation, sur toute la largeur des voies de circulation situées immédiatement à sa gauche et à sa droite, jusqu’à la limite de la portée de détection avant; |
| --- | --- | --- |

7.1.

Prescriptions en matière de capteurs

Le respect des dispositions du présent paragraphe doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4 et en fonction des essais pertinents décrits à l’annexe 5.

Le véhicule équipé de l’ALKS doit être pourvu d’un système de capteurs permettant au moins de déterminer l’environnement de conduite (par exemple, la géométrie de la route vers l’avant, le marquage des voies) et la dynamique de la circulation:

a)

Sur toute la largeur de sa propre voie de circulation, sur toute la largeur des voies de circulation situées immédiatement à sa gauche et à sa droite, jusqu’à la limite de la portée de détection avant;

| b) | Sur toute la longueur du véhicule et jusqu’à la limite de la portée de détection latérale. |
| --- | --- |

b)

Sur toute la longueur du véhicule et jusqu’à la limite de la portée de détection latérale.

Les prescriptions du présent paragraphe sont sans préjudice des autres prescriptions du présent règlement, et particulièrement du paragraphe 5.1.1.

| 7.1.1. | Portée de détection avant
  Le constructeur doit déclarer la portée de détection vers l’avant mesurée à partir du point le plus en avant du véhicule. Cette valeur déclarée doit être d’au moins 46 m.
  Le service technique vérifie que la distance à laquelle le système de détection du véhicule détecte un usager de la route lors de l’essai pertinent décrit à l’annexe 5 est égale ou supérieure à la valeur déclarée. |
| --- | --- |

7.1.1.

Portée de détection avant

Le constructeur doit déclarer la portée de détection vers l’avant mesurée à partir du point le plus en avant du véhicule. Cette valeur déclarée doit être d’au moins 46 m.

Le service technique vérifie que la distance à laquelle le système de détection du véhicule détecte un usager de la route lors de l’essai pertinent décrit à l’annexe 5 est égale ou supérieure à la valeur déclarée.

| 7.1.2. | Portée de détection latérale
  Le constructeur doit déclarer la portée de détection latérale. La portée déclarée doit être suffisante pour couvrir toute la largeur de la voie située immédiatement à gauche et de la voie située immédiatement à droite du véhicule.
  Le service technique vérifie que le système de détection des véhicules détecte les véhicules lors de l’essai pertinent décrit à l’annexe 5. Cette portée doit être égale ou supérieure à la portée déclarée. |
| --- | --- |

7.1.2.

Portée de détection latérale

Le constructeur doit déclarer la portée de détection latérale. La portée déclarée doit être suffisante pour couvrir toute la largeur de la voie située immédiatement à gauche et de la voie située immédiatement à droite du véhicule.

Le service technique vérifie que le système de détection des véhicules détecte les véhicules lors de l’essai pertinent décrit à l’annexe 5. Cette portée doit être égale ou supérieure à la portée déclarée.

| 7.1.3. | L’ALKS doit mettre en œuvre des stratégies en vue de détecter et compenser les conditions environnementales qui réduisent la portée de détection, par exemple, en empêchant l’activation du système, en désactivant le système et en transférant le contrôle au conducteur, ou en réduisant la vitesse lorsque la visibilité est trop faible. Ces stratégies doivent être décrites par le constructeur et évaluées conformément à l’annexe 4. |
| --- | --- |

7.1.3.

L’ALKS doit mettre en œuvre des stratégies en vue de détecter et compenser les conditions environnementales qui réduisent la portée de détection, par exemple, en empêchant l’activation du système, en désactivant le système et en transférant le contrôle au conducteur, ou en réduisant la vitesse lorsque la visibilité est trop faible. Ces stratégies doivent être décrites par le constructeur et évaluées conformément à l’annexe 4.

| 7.1.4. | Le constructeur du véhicule doit fournir la preuve que les effets de l’usure et du vieillissement ne ramènent pas l’efficacité du système de détection en dessous des valeurs minimales requises énoncées au paragraphe 7.1 pendant la durée de vie du système et du véhicule. |
| --- | --- |

7.1.4.

Le constructeur du véhicule doit fournir la preuve que les effets de l’usure et du vieillissement ne ramènent pas l’efficacité du système de détection en dessous des valeurs minimales requises énoncées au paragraphe 7.1 pendant la durée de vie du système et du véhicule.

| 7.1.5. | La conformité aux dispositions du paragraphe 7.1 et de ses alinéas doit être démontrée au service technique et soumise aux essais pertinents décrits à l’annexe 5. |
| --- | --- |

7.1.5.

La conformité aux dispositions du paragraphe 7.1 et de ses alinéas doit être démontrée au service technique et soumise aux essais pertinents décrits à l’annexe 5.

| 7.1.6. | Un unique défaut de perception en l’absence de défaillance ne doit pas provoquer de situation dangereuse. Les stratégies de conception mises en place doivent être décrites par le constructeur du véhicule et leur sûreté doit être démontrée à la satisfaction du service technique conformément à l’annexe 4. |
| --- | --- |

7.1.6.

Un unique défaut de perception en l’absence de défaillance ne doit pas provoquer de situation dangereuse. Les stratégies de conception mises en place doivent être décrites par le constructeur du véhicule et leur sûreté doit être démontrée à la satisfaction du service technique conformément à l’annexe 4.

8.   SYSTÈME DE STOCKAGE DES DONNÉES POUR LA CONDUITE AUTOMATISÉE

| 8.1. | Chaque véhicule équipé d’un ALKS doit être muni d’un système de stockage des données pour la conduite automatisée (DSSAD) répondant aux prescriptions énoncées ci-dessous. Le respect des dispositions du paragraphe 8 doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4.
  Le présent règlement ne préjuge pas des lois nationales et régionales régissant l’accès aux données, la vie privée et la protection des données. |
| --- | --- |

8.1.

Chaque véhicule équipé d’un ALKS doit être muni d’un système de stockage des données pour la conduite automatisée (DSSAD) répondant aux prescriptions énoncées ci-dessous. Le respect des dispositions du paragraphe 8 doit être démontré par le constructeur au service technique lors de l’inspection de la stratégie en matière de sécurité dans le cadre de l’évaluation décrite à l’annexe 4.

Le présent règlement ne préjuge pas des lois nationales et régionales régissant l’accès aux données, la vie privée et la protection des données.

| 8.2 | Événements enregistrés |
| --- | --- |

8.2

Événements enregistrés

| 8.2.1. | Chaque véhicule équipé d’un DSSAD doit au moins enregistrer une fiche pour chacun des événements suivants à partir de l’activation du système:






  a) | Activation du système; |
| --- | --- | --- |

8.2.1.

Chaque véhicule équipé d’un DSSAD doit au moins enregistrer une fiche pour chacun des événements suivants à partir de l’activation du système:

a)

Activation du système;

| b) | Désactivation du système, par suite d’une des actions suivantes:






  i) | Utilisation par le conducteur de moyens spécialement destinés à lui permettre de désactiver le système; |
| --- | --- | --- |

b)

Désactivation du système, par suite d’une des actions suivantes:

i)

Utilisation par le conducteur de moyens spécialement destinés à lui permettre de désactiver le système;

| ii) | Neutralisation par action sur la commande de direction; |
| --- | --- |

ii)

Neutralisation par action sur la commande de direction;

| iii) | Neutralisation par action sur la commande d’accélérateur tout en tenant en main la commande de direction; |
| --- | --- |

iii)

Neutralisation par action sur la commande d’accélérateur tout en tenant en main la commande de direction;

| iv) | Neutralisation par action sur la commande de freinage tout en tenant en main la commande de direction; |
| --- | --- |

iv)

Neutralisation par action sur la commande de freinage tout en tenant en main la commande de direction;

| c) | Demande de transition par le système, par suite de:






  i) | Événement prévu; |
| --- | --- | --- |

c)

Demande de transition par le système, par suite de:

i)

Événement prévu;

| ii) | Événement imprévu; |
| --- | --- |

ii)

Événement imprévu;

| iii) | Indisponibilité du conducteur (conformément au paragraphe 6.1.3); |
| --- | --- |

iii)

Indisponibilité du conducteur (conformément au paragraphe 6.1.3);

| iv) | Le conducteur n’est pas présent ou sa ceinture n’est pas attachée (conformément au paragraphe 6.1.2); |
| --- | --- |

iv)

Le conducteur n’est pas présent ou sa ceinture n’est pas attachée (conformément au paragraphe 6.1.2);

| v) | Défaillance du système; |
| --- | --- |

v)

Défaillance du système;

| vi) | Neutralisation du système par une action sur la commande de frein; |
| --- | --- |

vi)

Neutralisation du système par une action sur la commande de frein;

| vii) | Neutralisation du système par action sur la commande d’accélérateur; |
| --- | --- |

vii)

Neutralisation du système par action sur la commande d’accélérateur;

| d) | Réduction ou arrêt de l’intervention du conducteur; |
| --- | --- |

d)

Réduction ou arrêt de l’intervention du conducteur;

| e) | Début de la manœuvre d’urgence; |
| --- | --- |

e)

Début de la manœuvre d’urgence;

| f) | Fin de la manœuvre d’urgence; |
| --- | --- |

f)

Fin de la manœuvre d’urgence;

| g) | Action de déclenchement de l’enregistreur de données de route; |
| --- | --- |

g)

Action de déclenchement de l’enregistreur de données de route;

| h) | Détection d’un danger de collision; |
| --- | --- |

h)

Détection d’un danger de collision;

| i) | Déclenchement d’une manœuvre à risque minimal par le système; |
| --- | --- |

i)

Déclenchement d’une manœuvre à risque minimal par le système;

| j) | Défaillance grave de l’ALKS; |
| --- | --- |

j)

Défaillance grave de l’ALKS;

| k) | Défaillance grave du véhicule. |
| --- | --- |

k)

Défaillance grave du véhicule.

| 8.3. | Éléments de données |
| --- | --- |

8.3.

Éléments de données

| 8.3.1. | Pour chaque événement énuméré au paragraphe 8.2, le DSSAD doit enregistrer au moins les éléments de données suivants d’une manière clairement identifiable:






  a) | Le type d’événement, tels qu’énumérés au paragraphe 8.2; |
| --- | --- | --- |

8.3.1.

Pour chaque événement énuméré au paragraphe 8.2, le DSSAD doit enregistrer au moins les éléments de données suivants d’une manière clairement identifiable:

a)

Le type d’événement, tels qu’énumérés au paragraphe 8.2;

| b) | Le motif de l’événement, le cas échéant, et énuméré au paragraphe 8.2; |
| --- | --- |

b)

Le motif de l’événement, le cas échéant, et énuméré au paragraphe 8.2;

| c) | La date (résolution: aaaa/mm/jj); |
| --- | --- |

c)

La date (résolution: aaaa/mm/jj);

| d) | L’horodatage:






  i) | Résolution: hh/mm/ss et fuseau horaire, par exemple, 12:59:59 UTC; |
| --- | --- | --- |

d)

L’horodatage:

i)

Résolution: hh/mm/ss et fuseau horaire, par exemple, 12:59:59 UTC;

| ii) | Exactitude: ±1,0 s. |
| --- | --- |

ii)

Exactitude: ±1,0 s.

| 8.3.2. | Pour chaque événement énuméré au paragraphe 8.2, le R157 SWIN de l’ALKS, ou les numéros de version des logiciels pertinents en ce qui concerne l’ALKS, et l’indication du logiciel qui fonctionnait au moment où l’événement s’est produit, doivent être clairement identifiables. |
| --- | --- |

8.3.2.

Pour chaque événement énuméré au paragraphe 8.2, le R157

| 8.3.3. | Un seul horodatage peut être autorisé pour plusieurs éléments enregistrés simultanément dans la résolution temporelle des plusieurs éléments de données. Si plusieurs éléments sont enregistrés avec le même horodatage, les informations provenant des différents éléments doivent indiquer leur ordre chronologique. |
| --- | --- |

8.3.3.

Un seul horodatage peut être autorisé pour plusieurs éléments enregistrés simultanément dans la résolution temporelle des plusieurs éléments de données. Si plusieurs éléments sont enregistrés avec le même horodatage, les informations provenant des différents éléments doivent indiquer leur ordre chronologique.

| 8.4. | Disponibilité des données |
| --- | --- |

8.4.

Disponibilité des données

| 8.4.1. | Les données du DSSAD doivent être disponibles, sous réserve des prescriptions de la législation nationale et régionale (3). |
| --- | --- |

8.4.1.

Les données du DSSAD doivent être disponibles, sous réserve des prescriptions de la législation nationale et régionale (3

| 8.4.2. | Une fois que les limites de stockage du DSSAD sont atteintes, les données existantes ne doivent être écrasées qu’à la suite d’une procédure «premier entré, premier sorti», en respectant les prescriptions pertinentes en matière de disponibilité des données.
  Des documents établissant la capacité de stockage doivent être fournis par le constructeur du véhicule. |
| --- | --- |

8.4.2.

Une fois que les limites de stockage du DSSAD sont atteintes, les données existantes ne doivent être écrasées qu’à la suite d’une procédure «premier entré, premier sorti», en respectant les prescriptions pertinentes en matière de disponibilité des données.

Des documents établissant la capacité de stockage doivent être fournis par le constructeur du véhicule.

| 8.4.3. | Les données doivent pouvoir être récupérées même après un choc du degré de gravité fixé par les règlements ONU nos 94, 95 ou 137. Même en cas d’indisponibilité de l’alimentation électrique principale du véhicule, il doit être possible de récupérer toutes les données enregistrées sur le DSSAD, conformément aux prescriptions de la législation nationale et régionale. |
| --- | --- |

8.4.3.

Les données doivent pouvoir être récupérées même après un choc du degré de gravité fixé par les règlements ONU nos

| 8.4.4. | Les données stockées dans le DSSAD doivent être faciles à lire de manière normalisée en utilisant une interface de communication électronique, au moins l’interface normalisée (port OBD). |
| --- | --- |

8.4.4.

Les données stockées dans le DSSAD doivent être faciles à lire de manière normalisée en utilisant une interface de communication électronique, au moins l’interface normalisée (port OBD).

| 8.4.5. | Le constructeur doit fournir des instructions sur la manière d’accéder aux données. |
| --- | --- |

8.4.5.

Le constructeur doit fournir des instructions sur la manière d’accéder aux données.

| 8.5. | Protection contre les manipulations |
| --- | --- |

8.5.

Protection contre les manipulations

| 8.5.1. | Il convient de veiller à ce que soit en place une protection adéquate contre les manipulations des données stockées (par exemple, leur effacement), notamment une conception antifalsification. |
| --- | --- |

8.5.1.

Il convient de veiller à ce que soit en place une protection adéquate contre les manipulations des données stockées (par exemple, leur effacement), notamment une conception antifalsification.

| 8.6. | Disponibilité du fonctionnement du DSSAD |
| --- | --- |

8.6.

Disponibilité du fonctionnement du DSSAD

| 8.6.1. | Le DSSAD doit être en mesure de communiquer avec l’ALKS afin de l’informer qu’il est fonctionnel. |
| --- | --- |

8.6.1.

Le DSSAD doit être en mesure de communiquer avec l’ALKS afin de l’informer qu’il est fonctionnel.

9.   CYBERSÉCURITÉ ET MISES À JOUR LOGICIELLES

| 9.1. | L’efficacité du système ne doit pas être compromise par des cyberattaques, des cybermenaces et des vulnérabilités. L’efficacité des mesures de sécurité doit être démontrée par le respect du règlement ONU no 155. |
| --- | --- |

9.1.

L’efficacité du système ne doit pas être compromise par des cyberattaques, des cybermenaces et des vulnérabilités. L’efficacité des mesures de sécurité doit être démontrée par le respect du règlement ONU no

| 9.2. | Si le système permet des mises à jour logicielles, l’efficacité des procédures et processus de mise à jour des logiciels doit être démontrée par le respect du règlement ONU no 156. |
| --- | --- |

9.2.

Si le système permet des mises à jour logicielles, l’efficacité des procédures et processus de mise à jour des logiciels doit être démontrée par le respect du règlement ONU no

| 9.3. | Prescriptions relatives à l’identification des logiciels |
| --- | --- |

9.3.

Prescriptions relatives à l’identification des logiciels

| 9.3.1. | Afin de garantir que le logiciel du système puisse être identifié, un R157 SWIN peut être mis en œuvre par le constructeur du véhicule. Si le R157 SWIN n’est pas mis en œuvre, un autre système d’identification du logiciel (c’est-à-dire le numéro de version du logiciel) doit être mis en œuvre. |
| --- | --- |

9.3.1.

Afin de garantir que le logiciel du système puisse être identifié, un R157

157

| 9.3.2. | Si le constructeur met en œuvre un R157 SWIN, les dispositions suivantes s’appliquent: |
| --- | --- |

9.3.2.

Si le constructeur met en œuvre un R157

| 9.3.2.1. | Le constructeur du véhicule doit être en possession d’une homologation en cours de validité conformément au règlement ONU no 156 sur les mises à jour logicielles. |
| --- | --- |

9.3.2.1.

Le constructeur du véhicule doit être en possession d’une homologation en cours de validité conformément au règlement ONU no

| 9.3.2.2. | Le constructeur du véhicule doit fournir les informations suivantes dans la fiche de communication afférente au présent règlement:






  a) | Le R157 SWIN; |
| --- | --- | --- |

9.3.2.2.

Le constructeur du véhicule doit fournir les informations suivantes dans la fiche de communication afférente au présent règlement:

a)

Le R157 SWIN;

157

| b) | Le moyen de lire le R157 SWIN ou le ou les numéros de version du logiciel, dans le cas où le R157 SWIN ne se trouve pas sur le véhicule. |
| --- | --- |

b)

Le moyen de lire le R157 SWIN ou le ou les numéros de version du logiciel, dans le cas où le R157 SWIN ne se trouve pas sur le véhicule.

157

157

| 9.3.2.3. | Le constructeur du véhicule peut fournir dans la fiche de communication afférente au présent règlement une liste des paramètres pertinents permettant de déterminer quels sont les véhicules qui peuvent être mis à jour avec le logiciel représenté par le R157 SWIN. Les informations fournies doivent être déclarées par le constructeur du véhicule et ne peuvent être vérifiées par une autorité d’homologation de type. |
| --- | --- |

9.3.2.3.

Le constructeur du véhicule peut fournir dans la fiche de communication afférente au présent règlement une liste des paramètres pertinents permettant de déterminer quels sont les véhicules qui peuvent être mis à jour avec le logiciel représenté par le R157

| 9.3.3. | Le constructeur du véhicule peut obtenir une nouvelle homologation de type afin de différencier les versions des logiciels destinées à être utilisées sur des véhicules déjà immatriculés des versions de ces logiciels utilisées sur de nouveaux véhicules. Cela peut comprendre les situations dans lesquelles les règlements d’homologation sont actualisés ou des modifications matérielles sont apportées aux véhicules en production de série. En accord avec l’organisme chargé des essais, il doit être évité autant que possible de procéder deux fois aux mêmes essais. |
| --- | --- |

9.3.3.

Le constructeur du véhicule peut obtenir une nouvelle homologation de type afin de différencier les versions des logiciels destinées à être utilisées sur des véhicules déjà immatriculés des versions de ces logiciels utilisées sur de nouveaux véhicules. Cela peut comprendre les situations dans lesquelles les règlements d’homologation sont actualisés ou des modifications matérielles sont apportées aux véhicules en production de série. En accord avec l’organisme chargé des essais, il doit être évité autant que possible de procéder deux fois aux mêmes essais.

10.   MODIFICATION DU TYPE DE VÉHICULE ET EXTENSION DE L’HOMOLOGATION DE TYPE

| 10.1. | Toute modification apportée à un type de véhicule existant doit être portée à la connaissance de l’autorité d’homologation de type qui a accordé l’homologation de type à ce véhicule.
  Cette autorité doit alors:






  a) | Décider, en consultation avec le constructeur, qu’une nouvelle homologation doit être accordée; ou |
| --- | --- | --- |

10.1.

Toute modification apportée à un type de véhicule existant doit être portée à la connaissance de l’autorité d’homologation de type qui a accordé l’homologation de type à ce véhicule.

Cette autorité doit alors:

a)

Décider, en consultation avec le constructeur, qu’une nouvelle homologation doit être accordée; ou

| b) | Appliquer la procédure prévue au paragraphe 10.1.1 (Révision) et, le cas échéant, la procédure prévue au paragraphe 10.1.2 (Extension). |
| --- | --- |

b)

Appliquer la procédure prévue au paragraphe 10.1.1 (Révision) et, le cas échéant, la procédure prévue au paragraphe 10.1.2 (Extension).

| 10.1.1. | Révision
  Lorsque les indications consignées dans le dossier d’information ont changé et que l’autorité d’homologation de type considère que les modifications apportées ne risquent pas d’avoir des effets néfastes notables et qu’en tout état de cause les pédales de commande répondent toujours aux prescriptions, la modification est considérée comme une «révision».
  En pareil cas, l’autorité d’homologation de type doit publier de nouveau, en tant que de besoin, les pages révisées du dossier d’information, en faisant clairement apparaître sur chacune de ces pages la nature des modifications et la date de republication.
  Une version récapitulative actualisée du dossier d’information, accompagnée d’une description détaillée de la modification, est réputée satisfaire à cette prescription. |
| --- | --- |

10.1.1.

Révision

Lorsque les indications consignées dans le dossier d’information ont changé et que l’autorité d’homologation de type considère que les modifications apportées ne risquent pas d’avoir des effets néfastes notables et qu’en tout état de cause les pédales de commande répondent toujours aux prescriptions, la modification est considérée comme une «révision».

En pareil cas, l’autorité d’homologation de type doit publier de nouveau, en tant que de besoin, les pages révisées du dossier d’information, en faisant clairement apparaître sur chacune de ces pages la nature des modifications et la date de republication.

Une version récapitulative actualisée du dossier d’information, accompagnée d’une description détaillée de la modification, est réputée satisfaire à cette prescription.

| 10.1.2. | Extension
  La modification est considérée comme une «extension» si outre les modifications apportées aux renseignements consignés dans le dossier d’information:






  a) | D’autres contrôles ou essais sont nécessaires; ou |
| --- | --- | --- |

10.1.2.

Extension

La modification est considérée comme une «extension» si outre les modifications apportées aux renseignements consignés dans le dossier d’information:

a)

D’autres contrôles ou essais sont nécessaires; ou

| b) | Une quelconque information figurant dans la fiche de communication (à l’exception des pièces jointes) a été modifiée; ou |
| --- | --- |

b)

Une quelconque information figurant dans la fiche de communication (à l’exception des pièces jointes) a été modifiée; ou

| c) | L’homologation en vertu d’une série d’amendements ultérieure est demandée après son entrée en vigueur. |
| --- | --- |

c)

L’homologation en vertu d’une série d’amendements ultérieure est demandée après son entrée en vigueur.

| 10.2. | La confirmation de l’homologation ou le refus d’homologation avec indication des modifications doit être notifié aux parties à l’accord appliquant le présent règlement par la procédure indiquée au paragraphe 4.3 ci-dessus. En outre, la liste des pièces constituant le dossier d’homologation, annexée à la fiche de communication (annexe 1), doit être modifiée en conséquence de manière à ce que soit indiquée la date de la révision ou extension la plus récente. |
| --- | --- |

10.2.

La confirmation de l’homologation ou le refus d’homologation avec indication des modifications doit être notifié aux parties à l’accord appliquant le présent règlement par la procédure indiquée au paragraphe 4.3 ci-dessus. En outre, la liste des pièces constituant le dossier d’homologation, annexée à la fiche de communication (annexe 1), doit être modifiée en conséquence de manière à ce que soit indiquée la date de la révision ou extension la plus récente.

| 10.3. | L’autorité compétente délivrant l’extension d’homologation attribue un numéro de série à chaque fiche de communication établie aux fins de cette extension. |
| --- | --- |

10.3.

L’autorité compétente délivrant l’extension d’homologation attribue un numéro de série à chaque fiche de communication établie aux fins de cette extension.

11.   CONFORMITÉ DE LA PRODUCTION

| 11.1. | Les procédures de contrôle de la conformité de la production doivent être conformes à celles énoncées à l’annexe 1 de l’accord de 1958 (E/ECE/ TRANS/505/Rev.3) et satisfaire aux prescriptions suivantes: |
| --- | --- |

11.1.

Les procédures de contrôle de la conformité de la production doivent être conformes à celles énoncées à l’annexe 1 de l’accord de 1958 (E/ECE/ TRANS/505/Rev.3) et satisfaire aux prescriptions suivantes:

| 11.2. | Tout véhicule homologué en application du présent règlement doit être construit de façon à être conforme au type homologué et satisfaire aux prescriptions du présent règlement; |
| --- | --- |

11.2.

Tout véhicule homologué en application du présent règlement doit être construit de façon à être conforme au type homologué et satisfaire aux prescriptions du présent règlement;

| 11.3. | L’autorité compétente qui a accordé l’homologation peut à tout moment vérifier que les méthodes de contrôle de la conformité de la production sont appliquées correctement dans chaque unité de production. La fréquence normale de ces inspections est d’une fois tous les deux ans. |
| --- | --- |

11.3.

L’autorité compétente qui a accordé l’homologation peut à tout moment vérifier que les méthodes de contrôle de la conformité de la production sont appliquées correctement dans chaque unité de production. La fréquence normale de ces inspections est d’une fois tous les deux ans.

12.   SANCTIONS POUR NON-CONFORMITÉ DE LA PRODUCTION

| 12.1. | L’homologation délivrée pour un type de véhicule en application du présent règlement peut être retirée si les prescriptions énoncées au paragraphe 8 ci-dessus ne sont pas respectées. |
| --- | --- |

12.1.

L’homologation délivrée pour un type de véhicule en application du présent règlement peut être retirée si les prescriptions énoncées au paragraphe 8 ci-dessus ne sont pas respectées.

| 12.2. | Si une partie contractante retire une homologation qu’elle avait précédemment accordée, elle doit en aviser immédiatement les autres parties contractantes appliquant le présent règlement en leur envoyant une fiche de communication conforme au modèle de l’annexe 1 du présent règlement. |
| --- | --- |

12.2.

Si une partie contractante retire une homologation qu’elle avait précédemment accordée, elle doit en aviser immédiatement les autres parties contractantes appliquant le présent règlement en leur envoyant une fiche de communication conforme au modèle de l’annexe 1 du présent règlement.

13.   ARRÊT DÉFINITIF DE LA PRODUCTION

| 13.1. | Si le titulaire de l’homologation arrête définitivement la fabrication d’un type de véhicule homologué conformément au présent règlement, il doit en informer l’autorité qui a délivré l’homologation, laquelle à son tour en informe immédiatement les autres parties contractantes à l’accord appliquant le présent règlement, au moyen d’une fiche de communication conforme au modèle de l’annexe 1 du présent règlement. |
| --- | --- |

13.1.

Si le titulaire de l’homologation arrête définitivement la fabrication d’un type de véhicule homologué conformément au présent règlement, il doit en informer l’autorité qui a délivré l’homologation, laquelle à son tour en informe immédiatement les autres parties contractantes à l’accord appliquant le présent règlement, au moyen d’une fiche de communication conforme au modèle de l’annexe 1 du présent règlement.

| 13.2. | La production n’est pas considérée comme définitivement arrêtée si le constructeur prévoit d’obtenir d’autres homologations pour des mises à jour logicielles concernant des véhicules déjà immatriculés. |
| --- | --- |

13.2.

La production n’est pas considérée comme définitivement arrêtée si le constructeur prévoit d’obtenir d’autres homologations pour des mises à jour logicielles concernant des véhicules déjà immatriculés.

14.   NOMS ET ADRESSES DES SERVICES TECHNIQUES CHARGÉS DES ESSAIS D’HOMOLOGATION ET DES AUTORITÉS D’HOMOLOGATION DE TYPE

Les parties contractantes à l’accord appliquant le présent règlement communiquent au Secrétariat de l’Organisation des Nations unies (4) les noms et adresses des services techniques chargés des essais d’homologation et ceux des services administratifs qui délivrent l’homologation et auxquels doivent être envoyées les fiches d’homologation ou d’extension, de refus ou de retrait d’homologation émises dans les autres pays.

4

---

(1)  Tels que définis dans la résolution d’ensemble sur la construction des véhicules (R.E.3.), document ECE/TRANS/WP.29/78/Rev.6, par. 2, www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29 resolutions.html

1

(2)  Les numéros distinctifs des parties contractantes à l’accord de 1958 sont reproduits dans l’annexe 3 de la résolution d’ensemble sur la construction des véhicules (R.E.3), ECE/TRANS/WP.29/78/Rev.6, www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

2

(3)  Se fondant sur une étude quantitative récente effectuée par une partie contractante, le GRVA estime que le texte pourrait prévoir plusieurs spécifications d’horodatage pour 2 500 horodatages correspondant à une période de 6 mois d’utilisation.

3

(4)  Par l’intermédiaire de la plateforme en ligne («/343 Application») fournie par la CEE et consacrée à l’échange de ce type d’informations:https://www.unece.org/trans/main/wp29/datasharing.html

4

---

ANNEXE 1

Communication

[format maximal: A4 (210 × 297 mm)]

| (1) | Émanant de: | Nom de l’administration:
  ...
  ...
  ... |
| --- | --- | --- |

Image 18

Émanant de:

Nom de l’administration:

...

...

...

| Concernant (2): | Délivrance d’une homologation
  Extension d’homologation
  Refus d’homologation
  Retrait d’homologation
  Arrêt définitif de la production |
| --- | --- |

Concernant (2):

Délivrance d’une homologation

Extension d’homologation

Refus d’homologation

Retrait d’homologation

Arrêt définitif de la production

d’un type de véhicule ce qui concerne leur système automatisé de maintien dans la voie conformément au règlement ONU no 157

No d’homologation ...

Motif de l’extension ou de la révision: ...

1.

Marque de fabrique ou de commerce du véhicule: ...

2.

Type du véhicule: ...

3.

Nom et adresse du constructeur: ...

4.

Le cas échéant, nom et adresse de son mandataire: ...

5.

Caractéristiques générales de construction du véhicule:

5.1.

Photographies et/ou dessins d’un véhicule représentatif: ...

6.

Description et/ou schémas de l’ALKS, y compris:

6.1.

Vitesse maximale indiquée de l’ALKS déclarée par le constructeur: ...

6.2.

Système de capteurs (y compris les composants): ...

6.3.

Installation du système de capteurs de l’ALKS: ...

6.4.

Identification du logiciel de l’ALKS (le cas échéant): ...

7.

Description écrite et/ou schéma de l’interface homme-machine de l’ALKS, y compris:

7.1.

Méthodes de détection de la disponibilité du conducteur: ...

7.2.

Moyens d’activer, de désactiver et de neutraliser le système: ...

7.3.

Méthodes de détermination de l’attention du conducteur: ...

7.4.

Toute limitation du système eu égard aux conditions de l’environnement ou de la route: ...

8.

Description écrite et/ou schéma des informations données au conducteur, y compris:

8.1.

État du système: ...

8.2.

Demande de transition: ...

8.3.

Manœuvre à risque minimal: ...

8.4.

Manœuvre d’urgence: ...

9.

Système de stockage de données pour la conduite automatisée (DSSAD):

9.1.

Vérification de l’efficacité du DSSAD après les essais conformément à l’annexe 5: oui/non ...

9.2.

Vérification du dossier d’information du DSSAD concernant la possibilité de récupérer les données, l’autocontrôle de l’intégrité des données et la protection contre la manipulation des données stockées: oui/non

10.

Cybersécurité et mises à jour logicielles

10.1.

Numéro d’homologation de type de la cybersécurité (le cas échéant): ...

10.2.

Numéro d’homologation de type de la mise à jour logicielle (le cas échéant): ...

11.

Prescriptions particulières à appliquer aux aspects relatifs à la sécurité des systèmes de commande électronique (annexe 4)

11.1.

Référence du document du constructeur pour l’annexe 4 (y compris le numéro de version): ...

11.2.

Formulaire de document d’information (appendice 2 de l’annexe 4): ...

12.

Service technique chargé des essais d’homologation: ...

12.1.

Date du procès-verbal délivré par ce service: ...

12.2.

Numéro du procès-verbal délivré par ce service: ...

13.

Homologation accordée/étendue/révisée/refusée/retirée2

14.

Emplacement de la marque d’homologation sur le véhicule: ...

15.

Lieu: ...

16.

Date: ...

17.

Signature: ...

18.

Est annexée à la présente communication une liste des pièces figurant dans le dossier d’homologation déposé auprès des services administratifs ayant délivré l’homologation et qui peuvent être obtenues sur demande.

Informations complémentaires

19.

R157 SWIN: ...

19.1.

Informations sur la façon de lire le R157 SWIN ou le ou les numéros de version du logiciel au cas où le R157 SWIN ne se trouve pas sur le véhicule: ...

19.2.

Le cas échéant, paramètres pertinents permettant de déterminer les véhicules dont le logiciel représenté au point 19.1 par le R157 SWIN peut être mis à jour: ...

---

(1)  Numéro distinctif du pays qui a accordé/étendu/refusé/retiré l’homologation (voir les dispositions relatives à l’homologation dans le règlement ONU no 157).

1

o

(2)  Biffer les mentions inutiles.

2

---

Appendice

Additif à la fiche de communication d’homologation de type no ... concernant l’homologation de type d’un type de véhicule en ce qui concerne son ALKS, conformément au règlement ONU no 157

Informations complémentaires

Parties contractantes dans lesquelles le constructeur du véhicule a déclaré que l’ALKS avait été jugé conforme aux règles de circulation locales:

| Pays | Évalué: | Observations sur les restrictions éventuelles |
| --- | --- | --- |
| E 1 Allemagne | Oui/Non | |
| E 2 France | | |
| E 3 Italie | | |
| E 4 Pays-Bas | | |
| E 5 Suède | | |
| E 6 Belgique | | |
| E 7 Hongrie | | |
| E 8 Tchéquie | | |
| E 9 Espagne | | |
| E 10 Serbie | | |
| E 11 Royaume-Uni | | |
| E 12 Autriche | | |
| E 13 Luxembourg | | |
| E 14 Suisse | | |
| E 16 Norvège | | |
| E 17 Finlande | | |
| E 18 Danemark | | |
| E 19 Roumanie | | |
| E 20 Pologne | | |
| E 21 Portugal | | |
| E 22 Fédération de Russie | | |
| E 23 Grèce | | |
| E 24 Irlande | | |
| E 25 Croatie | | |
| E 26 Slovénie | | |
| E 27 Slovaquie | | |
| E 28 Bélarus | | |
| E 29 Estonie | | |
| E 30 République de Moldova | | |
| E 31 Bosnie-Herzégovine | | |
| E 32 Lettonie | | |
| E 34 Bulgarie | | |
| E 35 Kazakhstan | | |
| E 36 Lituanie | | |
| E 37 Turquie | | |
| E 39 Azerbaïdjan | | |
| E 40 Macédoine du Nord | | |
| E 43 Japon | | |
| E 45 Australie | | |
| E 46 Ukraine | | |
| E 47 Afrique du Sud | | |
| E 48 Nouvelle-Zélande | | |
| E 49 Chypre | | |
| E 50 Malte | | |
| E 51 République de Corée | | |
| E 52 Malaisie | | |
| E 53 Thaïlande | | |
| E 54 Albanie
  E 55 Arménie | | |
| E 56 Monténégro | | |
| E 57 Saint-Marin | | |
| E 58 Tunisie | | |
| E 60 Géorgie | | |
| E 62 Égypte | | |
| E 63 Nigéria | | |
| [E 64 Pakistan] | | |
| (*) | | |

Pays

Évalué:

Observations sur les restrictions éventuelles

E 1 Allemagne

Oui/Non

E 2 France

E 3 Italie

E 4 Pays-Bas

E 5 Suède

E 6 Belgique

E 7 Hongrie

E 8 Tchéquie

E 9 Espagne

E 10 Serbie

E 11 Royaume-Uni

E 12 Autriche

E 13 Luxembourg

E 14 Suisse

E 16 Norvège

E 17 Finlande

E 18 Danemark

E 19 Roumanie

E 20 Pologne

E 21 Portugal

E 22 Fédération de Russie

E 23 Grèce

E 24 Irlande

E 25 Croatie

E 26 Slovénie

E 27 Slovaquie

E 28 Bélarus

E 29 Estonie

E 30 République de Moldova

E 31 Bosnie-Herzégovine

E 32 Lettonie

E 34 Bulgarie

E 35 Kazakhstan

E 36 Lituanie

E 37 Turquie

E 39 Azerbaïdjan

E 40 Macédoine du Nord

E 43 Japon

E 45 Australie

E 46 Ukraine

E 47 Afrique du Sud

E 48 Nouvelle-Zélande

E 49 Chypre

E 50 Malte

E 51 République de Corée

E 52 Malaisie

E 53 Thaïlande

E 54 Albanie

E 55 Arménie

E 56 Monténégro

E 57 Saint-Marin

E 58 Tunisie

E 60 Géorgie

E 62 Égypte

E 63 Nigéria

[E 64 Pakistan]

(*)

---

(*)  La liste des parties contractantes appliquant le règlement ONU no 157 peut être consultée en ligne à l’adresse:https://treaties.un.org/Pages/ViewDetails.aspx?src=TREATY&mtdsg_no=XI-B-16-157&chapter=11&clang=_en

---

ANNEXE 2

Exemples de marques d’homologation

MODÈLE A

(voir le paragraphe 4.4 du présent règlement)

Image 19

a = 8 mm min.

La marque d’homologation ci-dessus, apposée sur un véhicule, indique que ce type de véhicule a été homologué aux Pays-Bas (E4), en ce qui concerne l’ALKS, en application du règlement ONU no 157, sous le numéro d’homologation 002439. Ce numéro indique que l’homologation a été délivrée conformément aux prescriptions du règlement ONU no 157 dans sa version originale.

MODÈLE B

(voir le paragraphe 4.5 du présent règlement)

Image 20

a = 8 mm min.

La marque d’homologation ci-dessus, apposée sur un véhicule, indique que le type de véhicule concerné a été homologué aux Pays-Bas (E4) en application des règlements ONU nos 157 et 31 (1). Les numéros d’homologation indiquent que, aux dates où les homologations correspondantes ont été délivrées, le règlement ONU no 157 était dans sa version originale et le règlement ONU no 31 comprenait la série 02 d’amendements.

---

(1)  Le deuxième chiffre est donné à titre d’exemple.

---

ANNEXE 3

(réservé)

---

ANNEXE 4

Prescriptions particulières à appliquer aux aspects relatifs à la sûreté fonctionnelle et opérationnelle des systèmes automatisés de maintien dans la voie (ALKS)

1.   GÉNÉRALITÉS

La présente annexe vise à garantir qu’un examen approfondi acceptable de la sûreté fonctionnelle et opérationnelle du système automatisé qui assure la ou les fonctions réglementées par le règlement relatif aux ALKS a été effectué par le constructeur au cours des processus de conception et d’élaboration et continuera à être effectué tout au long du cycle de vie du type de véhicule (conception, élaboration, production, exploitation, mise hors service).

Elle traite du dossier d’information qui doit être divulgué par le constructeur aux autorités chargées de l’homologation de type ou au service technique agissant en son nom (ci-après dénommés «autorité d’homologation de type»), aux fins de l’homologation de type.

Il doit être démontré dans ce dossier d’information que le système automatisé de maintien dans la voie satisfait aux prescriptions fonctionnelles énoncées dans le présent règlement ONU, qu’il est conçu et élaboré pour fonctionner de telle manière qu’il ne présente pas de risques déraisonnables pour la sécurité du conducteur, des passagers et des autres usagers de la route.

L’autorité d’homologation de type qui accorde l’homologation doit vérifier, au moyen de contrôles et d’essais ponctuels ciblés, que l’argumentation fournie dans le dossier d’information est suffisamment solide et que la conception et les processus décrits dans ce dossier sont effectivement mis en œuvre par le constructeur.

Bien que, sur la base de ce dossier d’information, des éléments de preuve et des vérifications et évaluations des processus et produits effectués à la satisfaction de l’autorité d’homologation de type en ce qui concerne le présent règlement, le niveau de risque résiduel du système automatisé de maintien dans la voie évalué soit jugé acceptable pour la mise en service du type de véhicule, la sécurité globale du véhicule pendant la durée de vie du système automatisé de maintien dans la voie conformément aux prescriptions du présent règlement demeure de la responsabilité du constructeur qui demande l’homologation de type.

2.   DÉFINITIONS

Aux fins de la présente annexe, on entend par:

| 2.1. | «Système», un «système de contrôle électronique de niveau supérieur et son ou ses systèmes de commande électronique» qui assurent la fonction de conduite automatisée. Cela comprend également toute liaison de transmission vers ou depuis d’autres systèmes qui ne relèvent pas du champ d’application du présent règlement mais qui ont une incidence sur la fonction automatisée de maintien dans la voie; |
| --- | --- |

2.1.

| 2.2. | «Concept de sécurité», une description des mesures conçues au sein du système, par exemple, dans les modules électroniques, pour que le véhicule fonctionne de telle manière qu’il ne présente pas de risques déraisonnables pour la sécurité du conducteur, des passagers et des autres usagers de la route dans des conditions de défectuosité et d’absence de défectuosité. La possibilité d’un retour à un fonctionnement partiel ou même à un système de secours pour les fonctions vitales du véhicule doit faire partie du concept de sécurité; |
| --- | --- |

2.2.

| 2.3. | «Système de commande électronique», une combinaison de modules conçus pour coopérer à la production de la fonction automatisée de maintien dans la voie au moyen d’un traitement électronique de données. Un tel système, en général contrôlé par un logiciel, est constitué de composants fonctionnels discrets tels que capteurs, modules de commande électronique et actionneurs, reliés par des liaisons de transmission. Il peut comprendre des éléments mécaniques, électropneumatiques ou électrohydrauliques; |
| --- | --- |

2.3.

| 2.4. | «Système de contrôle électronique de niveau supérieur», un système qui utilise des dispositions de traitement et/ou de détection pour réaliser la tâche de conduite dynamique; |
| --- | --- |

2.4.

| 2.5. | «Module», la plus petite division des composants du système considérée dans la présente annexe; il s’agit d’une combinaison d’éléments traitée comme une entité unique à des fins d’identification, d’analyse ou de remplacement; |
| --- | --- |

2.5.

| 2.6. | «Liaison de transmission», un moyen utilisé pour interconnecter des modules distribués dans le but de transmettre des signaux, des données de fonctionnement ou une alimentation en énergie. Ces matériels sont en général électriques mais peuvent en partie être mécaniques, pneumatiques ou hydrauliques; |
| --- | --- |

2.6.

| 2.7. | «Plage de commande», la plage de valeurs d’une variable de sortie sur laquelle le système est susceptible d’exercer un contrôle; |
| --- | --- |

2.7.

| 2.8. | «Limite du fonctionnement efficace», les limites physiques externes dans lesquelles le système est capable d’effectuer les tâches de conduite dynamique (c’est-à-dire y compris les demandes de transition et les manœuvres à risque minimal); |
| --- | --- |

2.8.

| 2.9. | «Domaine de conception fonctionnelle» du système automatisé de maintien dans la voie, les conditions de fonctionnement spécifiques (par exemple, les conditions environnementales, géographiques ou météorologiques, l’heure, la circulation, l’infrastructure, la plage de vitesses, et autres) dans les limites fixées par le présent règlement, dans lesquelles le système automatisé de maintien dans la voie est conçu pour fonctionner sans aucune intervention du conducteur; |
| --- | --- |

2.9.

| 2.10. | «Fonction de conduite automatisée», une fonction du système qui est capable d’exécuter la tâche de conduite dynamique du véhicule; |
| --- | --- |

2.10.

| 2.11. | «Stratégie de contrôle», une stratégie visant à assurer un fonctionnement fiable et sûr de la ou des fonctions du système en réaction à un ensemble déterminé de conditions ambiantes et de fonctionnement (telles que l’état du revêtement de la route, l’intensité de la circulation, les autres usagers de la route, les conditions météorologiques, etc.). Cela peut comprendre la désactivation automatique d’une fonction ou des restrictions fonctionnelles temporaires (par exemple, une réduction de la vitesse maximale ou autre.); |
| --- | --- |

2.11.

| 2.12. | «Sûreté fonctionnelle», l’absence de risques déraisonnables en cas de danger occasionné par un comportement défectueux de systèmes électriques ou électroniques (risques pour la sécurité découlant de défectuosités du système); |
| --- | --- |

2.12.

| 2.13. | «Défectuosité», une condition anormale qui peut entraîner la défaillance d’un élément (système, composant, logiciel) ou d’un élément (système ou combinaison de systèmes qui mettent en œuvre une fonction d’un véhicule); |
| --- | --- |

2.13.

| 2.14. | «Défaillance», la cessation d’un comportement prévu d’un élément ou d’un objet; |
| --- | --- |

2.14.

| 2.15. | «Sûreté opérationnelle», l’absence de risque déraisonnable en cas de danger découlant d’une insuffisance fonctionnelle de la fonction attendue (par exemple, détection erronée ou manquée), de perturbations du fonctionnement (par exemple, conditions de l’environnement telles que brouillard, pluie, ombre, soleil, infrastructure) ou d’une mauvaise utilisation ou d’erreur raisonnablement prévisible de la part du conducteur, des passagers et des autres usagers de la route (risques pour la sécurité ne découlant pas d’une défectuosité du système); |
| --- | --- |

2.15.

| 2.16. | «Risque déraisonnable», un niveau global de risque pour le conducteur, les occupants du véhicule et les autres usagers de la route accru par rapport à un véhicule manuel conduit avec compétence et prudence. |
| --- | --- |

2.16.

3.   DOSSIER D’INFORMATION

| 3.1. | Prescriptions
  Le constructeur doit fournir un dossier d’information qui décrit la conception de base du système et les moyens par lesquels il est relié à d’autres systèmes du véhicule ou par lesquels il contrôle directement les variables de sortie.
  La ou les fonctions du système, y compris les stratégies de contrôle et le concept de sécurité tels que définis par le constructeur, doivent être expliquées.
  Le dossier doit être bref, tout en apportant la preuve que la conception et l’élaboration ont bénéficié de l’avis d’experts dans tous les domaines du système qui sont concernés.
  En ce qui concerne les inspections techniques périodiques, le dossier doit décrire la manière dont l’état fonctionnel du système à un moment donné peut être vérifié.
  Le dossier doit fournir des informations sur la manière dont le ou les numéros de version du logiciel et l’état du signal d’avertissement de défaillance peuvent être lus de manière normalisée en utilisant une interface de communication électronique, au moins l’interface standard (port du système d’autodiagnostic).
  L’autorité d’homologation de type doit évaluer le dossier d’information pour vérifier si le système:






  a) | A été conçu et élaboré pour fonctionner de manière à être exempt de risques déraisonnables pour le conducteur, les passagers et les autres usagers de la route à l’intérieur du domaine de conception fonctionnelle et des limites déclarées; |
| --- | --- | --- |

3.1.

Le constructeur doit fournir un dossier d’information qui décrit la conception de base du système et les moyens par lesquels il est relié à d’autres systèmes du véhicule ou par lesquels il contrôle directement les variables de sortie.

La ou les fonctions du système, y compris les stratégies de contrôle et le concept de sécurité tels que définis par le constructeur, doivent être expliquées.

Le dossier doit être bref, tout en apportant la preuve que la conception et l’élaboration ont bénéficié de l’avis d’experts dans tous les domaines du système qui sont concernés.

En ce qui concerne les inspections techniques périodiques, le dossier doit décrire la manière dont l’état fonctionnel du système à un moment donné peut être vérifié.

Le dossier doit fournir des informations sur la manière dont le ou les numéros de version du logiciel et l’état du signal d’avertissement de défaillance peuvent être lus de manière normalisée en utilisant une interface de communication électronique, au moins l’interface standard (port du système d’autodiagnostic).

L’autorité d’homologation de type doit évaluer le dossier d’information pour vérifier si le système:

a)

A été conçu et élaboré pour fonctionner de manière à être exempt de risques déraisonnables pour le conducteur, les passagers et les autres usagers de la route à l’intérieur du domaine de conception fonctionnelle et des limites déclarées;

| b) | Respecte les prescriptions fonctionnelles énoncées ailleurs dans le présent règlement ONU; |
| --- | --- |

b)

Respecte les prescriptions fonctionnelles énoncées ailleurs dans le présent règlement ONU;

| c) | A été mis au point selon le processus ou la méthode d’élaboration déclarés par le constructeur et comprenant au moins les étapes énumérées au paragraphe 3.4.4 de la présente annexe. |
| --- | --- |

c)

A été mis au point selon le processus ou la méthode d’élaboration déclarés par le constructeur et comprenant au moins les étapes énumérées au paragraphe 3.4.4 de la présente annexe.

| 3.1.1. | Le dossier d’information comporte trois parties:






  a) | Demande d’homologation: La fiche de renseignements qui est soumise à l’autorité d’homologation de type au moment de la demande d’homologation doit comprendre des informations succinctes sur les points énumérés à l’appendice 2. Elle fera partie intégrante de l’homologation; |
| --- | --- | --- |

3.1.1.

a)

Demande d’homologation: La fiche de renseignements qui est soumise à l’autorité d’homologation de type au moment de la demande d’homologation doit comprendre des informations succinctes sur les points énumérés à l’appendice 2. Elle fera partie intégrante de l’homologation;

| b) | Le dossier d’information officiel pour l’homologation, comprenant les éléments énumérés dans le présent paragraphe 3 (à l’exception du paragraphe 3.4.4), qui doit être fourni à l’autorité d’homologation de type aux fins de la réalisation de l’évaluation du produit ou de la vérification du processus. Ce dossier d’information doit être utilisé par l’autorité d’homologation de type comme référence de base pour le processus de vérification défini au paragraphe 4 de la présente annexe. L’autorité d’homologation doit veiller à ce que ce dossier d’information reste disponible pendant une période déterminée d’au moins 10 ans à compter du moment où la production du type de véhicule est définitivement arrêtée; |
| --- | --- |

b)

Le dossier d’information officiel pour l’homologation, comprenant les éléments énumérés dans le présent paragraphe 3 (à l’exception du paragraphe 3.4.4), qui doit être fourni à l’autorité d’homologation de type aux fins de la réalisation de l’évaluation du produit ou de la vérification du processus. Ce dossier d’information doit être utilisé par l’autorité d’homologation de type comme référence de base pour le processus de vérification défini au paragraphe 4 de la présente annexe. L’autorité d’homologation doit veiller à ce que ce dossier d’information reste disponible pendant une période déterminée d’au moins 10 ans à compter du moment où la production du type de véhicule est définitivement arrêtée;

| c) | Les données confidentielles supplémentaires et les données d’analyse (propriété intellectuelle) mentionnées au paragraphe 3.4.4 qui doivent être conservées par le constructeur, mais être ouvertes à l’inspection (par exemple, sur place dans les installations techniques du constructeur) au moment de l’évaluation du produit ou de la vérification du processus. Le constructeur doit veiller à ce que ces données matérielles et analytiques restent disponibles pendant une période de 10 ans à compter du moment où la production du type de véhicule est définitivement arrêtée. |
| --- | --- |

c)

Les données confidentielles supplémentaires et les données d’analyse (propriété intellectuelle) mentionnées au paragraphe 3.4.4 qui doivent être conservées par le constructeur, mais être ouvertes à l’inspection (par exemple, sur place dans les installations techniques du constructeur) au moment de l’évaluation du produit ou de la vérification du processus. Le constructeur doit veiller à ce que ces données matérielles et analytiques restent disponibles pendant une période de 10 ans à compter du moment où la production du type de véhicule est définitivement arrêtée.

| 3.2. | Description des fonctions du système, y compris les stratégies de contrôle
  Il doit être fourni une description simple de toutes les fonctions, y compris les stratégies de contrôle du système et les méthodes employées pour effectuer les tâches de conduite dynamique dans le domaine de conception fonctionnelle et les limites dans lesquelles le système automatisé de maintien dans la voie est conçu pour fonctionner, y compris une déclaration du ou des mécanismes au moyen desquels est exercé le contrôle. Le constructeur doit décrire les interactions attendues entre le système et le conducteur, les occupants du véhicule et les autres usagers de la route, ainsi que l’interface homme-machine.
  Toute fonction de conduite automatisée activée ou désactivée dont les éléments matériels et logiciels sont présents dans le véhicule au moment de la production doit être déclarée et soumise aux prescriptions de la présente annexe avant son utilisation dans le véhicule. Le constructeur doit également décrire au moyen de documents le traitement des données dans le cas où des algorithmes d’apprentissage continu sont mis en œuvre. |
| --- | --- |

3.2.

Il doit être fourni une description simple de toutes les fonctions, y compris les stratégies de contrôle du système et les méthodes employées pour effectuer les tâches de conduite dynamique dans le domaine de conception fonctionnelle et les limites dans lesquelles le système automatisé de maintien dans la voie est conçu pour fonctionner, y compris une déclaration du ou des mécanismes au moyen desquels est exercé le contrôle. Le constructeur doit décrire les interactions attendues entre le système et le conducteur, les occupants du véhicule et les autres usagers de la route, ainsi que l’interface homme-machine.

Toute fonction de conduite automatisée activée ou désactivée dont les éléments matériels et logiciels sont présents dans le véhicule au moment de la production doit être déclarée et soumise aux prescriptions de la présente annexe avant son utilisation dans le véhicule. Le constructeur doit également décrire au moyen de documents le traitement des données dans le cas où des algorithmes d’apprentissage continu sont mis en œuvre.

| 3.2.1. | Il doit être fourni une liste de toutes les variables d’entrée et de toutes les variables détectées, et leur plage de fonctionnement doit être définie, ainsi qu’une description de la manière dont chaque variable affecte le comportement du système. |
| --- | --- |

3.2.1.

| 3.2.2. | Il doit être fourni une liste de toutes les variables de sortie qui sont contrôlées par le système et pour chacune doit être donnée une explication permettant de savoir si le contrôle est direct ou s’il est effectué par un autre système du véhicule. La plage de commande (par. 2.7) exercé sur chacune de ces variables doit être définie. |
| --- | --- |

3.2.2.

| 3.2.3. | Les limites du fonctionnement efficace, y compris les limites du domaine de conception fonctionnelle, doivent être indiquées, le cas échéant, en fonction des caractéristiques du système automatisé de maintien dans la voie. |
| --- | --- |

3.2.3.

| 3.2.4. | La méthode d’interaction avec le conducteur lorsque les limites du domaine de conception fonctionnelle sont atteintes doit être expliquée, y compris la liste des types de situations dans lesquelles le système doit émettre une demande de transition à l’intention du conducteur. |
| --- | --- |

3.2.4.

| 3.2.5. | Des informations doivent être fournies sur les moyens d’activer, de neutraliser ou de désactiver le système, y compris la stratégie de protection du système contre une désactivation involontaire. Ces informations doivent également indiquer la manière dont le système détecte que le conducteur est disponible pour reprendre le contrôle de la conduite, ainsi que les spécifications, fondées sur des documents, du paramètre utilisé pour évaluer l’attention du conducteur et l’influence sur les seuils de direction. |
| --- | --- |

3.2.5.

| 3.3. | Disposition et schémas du système |
| --- | --- |

3.3.

| 3.3.1. | Inventaire des composants
  Il doit être fourni une liste de l’ensemble des modules du système mentionnant quels autres systèmes du véhicule sont nécessaires pour exécuter la fonction de contrôle.
  Il doit être fourni un schéma faisant apparaître ces modules en combinaison et précisant la répartition des matériels et les interconnexions.
  Ce schéma doit comprendre:






  a) | La perception et la détection d’objets, y compris la cartographie et la localisation; |
| --- | --- | --- |

3.3.1.

Il doit être fourni une liste de l’ensemble des modules du système mentionnant quels autres systèmes du véhicule sont nécessaires pour exécuter la fonction de contrôle.

Il doit être fourni un schéma faisant apparaître ces modules en combinaison et précisant la répartition des matériels et les interconnexions.

Ce schéma doit comprendre:

a)

La perception et la détection d’objets, y compris la cartographie et la localisation;

| b) | La caractérisation de la prise de décisions; |
| --- | --- |

b)

La caractérisation de la prise de décisions;

| c) | La surveillance et le contrôle à distance par un centre de contrôle à distance (le cas échéant); |
| --- | --- |

c)

La surveillance et le contrôle à distance par un centre de contrôle à distance (le cas échéant);

| d) | Le système de stockage des données pour la conduite automatisée. |
| --- | --- |

d)

Le système de stockage des données pour la conduite automatisée.

| 3.3.2. | Fonctions des modules
  La fonction de chaque module du système doit être décrite et les signaux qui le relient à d’autres modules ou à d’autres systèmes du véhicule doivent être indiqués. Cette exigence peut être remplie par la fourniture d’un diagramme fonctionnel ou d’un autre schéma étiqueté, ou par une description appuyée sur un tel schéma. |
| --- | --- |

3.3.2.

La fonction de chaque module du système doit être décrite et les signaux qui le relient à d’autres modules ou à d’autres systèmes du véhicule doivent être indiqués. Cette exigence peut être remplie par la fourniture d’un diagramme fonctionnel ou d’un autre schéma étiqueté, ou par une description appuyée sur un tel schéma.

| 3.3.3. | Les interconnexions au sein du système doivent être représentées par un schéma de circuit pour les liaisons de transmission électrique, par un schéma de tuyauterie pour les équipements de transmission pneumatique ou hydraulique et par un schéma simplifié pour les liaisons mécaniques. Les liaisons de transmission à destination et en provenance d’autres systèmes doivent également être indiquées. |
| --- | --- |

3.3.3.

| 3.3.4. | La correspondance entre les liaisons de transmission et les signaux transportés entre les modules doit être clairement indiquée. Les priorités des signaux sur les voies de données multiplexées doivent être indiquées chaque fois que la priorité peut être un problème affectant l’efficacité ou la sécurité. |
| --- | --- |

3.3.4.

| 3.3.5. | Identification des modules
  Chaque module doit être identifiable de manière claire et non ambiguë (par exemple, par un marquage pour le matériel et par un marquage ou une sortie logicielle pour le contenu logiciel) afin de permettre la correspondance entre le matériel et les documents. Lorsque la version d’un logiciel peut être modifiée sans qu’il soit nécessaire de remplacer le marquage ou le composant, l’identification du logiciel doit se faire uniquement au moyen d’un signal informatique.
  Lorsque des fonctions sont combinées au sein d’un seul module, voire d’un seul ordinateur, mais qu’elles sont présentées en plusieurs blocs dans le diagramme fonctionnel pour des raisons de clarté et de facilité d’exposition, une seule marque d’identification du matériel est utilisée. En utilisant cette marque d’identification, le constructeur affirme que le matériel fourni est conforme au document correspondant. |
| --- | --- |

3.3.5.

Chaque module doit être identifiable de manière claire et non ambiguë (par exemple, par un marquage pour le matériel et par un marquage ou une sortie logicielle pour le contenu logiciel) afin de permettre la correspondance entre le matériel et les documents. Lorsque la version d’un logiciel peut être modifiée sans qu’il soit nécessaire de remplacer le marquage ou le composant, l’identification du logiciel doit se faire uniquement au moyen d’un signal informatique.

Lorsque des fonctions sont combinées au sein d’un seul module, voire d’un seul ordinateur, mais qu’elles sont présentées en plusieurs blocs dans le diagramme fonctionnel pour des raisons de clarté et de facilité d’exposition, une seule marque d’identification du matériel est utilisée. En utilisant cette marque d’identification, le constructeur affirme que le matériel fourni est conforme au document correspondant.

| 3.3.5.1. | L’identification définit les versions des éléments matériels et logiciels et, lorsque ces derniers changent de telle manière que cela modifie la fonction du module en ce qui concerne le présent règlement, cette identification doit également être modifiée. |
| --- | --- |

3.3.5.1.

| 3.3.6. | Installation des composants du système de capteurs
  Le constructeur doit fournir des informations concernant les options d’installation qui seront utilisées pour les différents composants du système de détection. Ces options comprennent, sans s’y limiter, l’emplacement du composant dans ou sur le véhicule, le ou les matériaux à proximité du composant une fois celui-ci installé sur le véhicule, le dimensionnement et la géométrie de ces matériaux ainsi que leur finition de surface. Ces informations doivent également comprendre les spécifications d’installation qui sont essentielles pour l’efficacité du système, par exemple, les tolérances concernant l’angle d’installation.
  Les modifications apportées aux différents composants du système de capteurs ou aux options d’installation doivent être notifiées à l’autorité d’homologation de type et faire l’objet d’une évaluation complémentaire. |
| --- | --- |

3.3.6.

Le constructeur doit fournir des informations concernant les options d’installation qui seront utilisées pour les différents composants du système de détection. Ces options comprennent, sans s’y limiter, l’emplacement du composant dans ou sur le véhicule, le ou les matériaux à proximité du composant une fois celui-ci installé sur le véhicule, le dimensionnement et la géométrie de ces matériaux ainsi que leur finition de surface. Ces informations doivent également comprendre les spécifications d’installation qui sont essentielles pour l’efficacité du système, par exemple, les tolérances concernant l’angle d’installation.

Les modifications apportées aux différents composants du système de capteurs ou aux options d’installation doivent être notifiées à l’autorité d’homologation de type et faire l’objet d’une évaluation complémentaire.

| 3.4. | Concept de sécurité du constructeur |
| --- | --- |

3.4.

| 3.4.1. | Le constructeur doit fournir une déclaration affirmant que le système est exempt de risques déraisonnables pour le conducteur, les passagers et les autres usagers de la route. |
| --- | --- |

3.4.1.

| 3.4.2. | En ce qui concerne les logiciels utilisés dans le système, l’architecture générale doit être expliquée et les méthodes et outils de conception utilisés doivent être identifiés (voir 3.5.1). Le constructeur doit apporter la preuve des moyens par lesquels il a déterminé la réalisation de la logique du système, au cours du processus de conception et d’élaboration. |
| --- | --- |

3.4.2.

| 3.4.3. | Le constructeur doit fournir à l’autorité d’homologation de type une explication des dispositions de conception intégrées dans le système afin d’assurer la sûreté fonctionnelle et opérationnelle. Les dispositions de conception possibles dans le système sont par exemple:






  a) | Fonctionnement de secours utilisant un système partiel; |
| --- | --- | --- |

3.4.3.

a)

Fonctionnement de secours utilisant un système partiel;

| b) | Redondance avec un système distinct; |
| --- | --- |

b)

Redondance avec un système distinct;

| c) | Suppression de la ou des fonctions de conduite automatisée. |
| --- | --- |

c)

Suppression de la ou des fonctions de conduite automatisée.

| 3.4.3.1. | Si la disposition choisie sélectionne un mode de fonctionnement avec efficacité partielle dans certaines conditions de défectuosité (par exemple, en cas de défaillances graves), ces conditions doivent être indiquées (par exemple, le type de défaillance grave), et les limitations de l’efficacité qui en découlent ainsi que la stratégie d’avertissement du conducteur doivent être définies (par exemple, déclenchement immédiat d’une manœuvre à risque minimal). |
| --- | --- |

3.4.3.1.

| 3.4.3.2. | Si la disposition choisie sélectionne un deuxième moyen (de secours) pour réaliser la tâche de conduite dynamique, les principes du mécanisme de commutation, la logique et le niveau de redondance et tout dispositif intégré de contrôle de secours doivent être expliqués et les limitations de l’efficacité du système de secours qui en découlent doivent être définies. |
| --- | --- |

3.4.3.2.

| 3.4.3.3. | Si la disposition choisie sélectionne la suppression de la fonction de conduite automatisée, cette suppression doit être effectuée conformément aux dispositions pertinentes du présent règlement. Tous les signaux de commande de sortie correspondants associés à cette fonction doivent être bloqués. |
| --- | --- |

3.4.3.3.

| 3.4.4. | Les documents doivent être étayés par une analyse montrant en termes généraux la manière dont le système se comportera pour atténuer ou éviter les dangers qui peuvent avoir une incidence sur la sécurité du conducteur, des passagers et des autres usagers de la route.
  La ou les méthodes analytiques choisies doivent être établies et gérées par le constructeur et soumises à l’inspection de l’autorité d’homologation de type au moment de l’homologation.
  L’autorité d’homologation de type doit procéder à une évaluation de l’application de la ou des méthodes d’analyse:






  a) | Inspection de la stratégie en matière de sécurité au niveau du concept (véhicule);
  Cette stratégie doit être fondée sur une analyse des dangers et des risques adaptée à la sûreté du système; |
| --- | --- | --- |

3.4.4.

La ou les méthodes analytiques choisies doivent être établies et gérées par le constructeur et soumises à l’inspection de l’autorité d’homologation de type au moment de l’homologation.

L’autorité d’homologation de type doit procéder à une évaluation de l’application de la ou des méthodes d’analyse:

a)

Inspection de la stratégie en matière de sécurité au niveau du concept (véhicule);

Cette stratégie doit être fondée sur une analyse des dangers et des risques adaptée à la sûreté du système;

| b) | Inspection de la stratégie en matière de sécurité au niveau du système, y compris une méthode descendante (du danger éventuel à la conception) et ascendante (de la conception aux dangers éventuels). La stratégie en matière de sécurité peut être fondée sur une analyse des modes de défaillance et de leurs effets, une analyse de l’arbre des défaillances et une analyse du processus théorique du système ou tout autre processus similaire approprié à la sûreté fonctionnelle et opérationnelle du système; |
| --- | --- |

b)

Inspection de la stratégie en matière de sécurité au niveau du système, y compris une méthode descendante (du danger éventuel à la conception) et ascendante (de la conception aux dangers éventuels). La stratégie en matière de sécurité peut être fondée sur une analyse des modes de défaillance et de leurs effets, une analyse de l’arbre des défaillances et une analyse du processus théorique du système ou tout autre processus similaire approprié à la sûreté fonctionnelle et opérationnelle du système;

| c) | Inspection des plans et résultats de validation et de vérification, y compris des critères d’acceptation appropriés. Cela comprend des essais de validation appropriés, par exemple, des essais de type «matériel incorporé» (HIL), des essais fonctionnels sur route, des essais avec des utilisateurs finaux réels ou tout autre type d’essai approprié pour la validation et la vérification. Les résultats de la validation et de la vérification peuvent être évalués en analysant le domaine abordé par les différents essais et en fixant des seuils de portée minimaux pour diverses mesures. |
| --- | --- |

c)

Inspection des plans et résultats de validation et de vérification, y compris des critères d’acceptation appropriés. Cela comprend des essais de validation appropriés, par exemple, des essais de type «matériel incorporé» (HIL), des essais fonctionnels sur route, des essais avec des utilisateurs finaux réels ou tout autre type d’essai approprié pour la validation et la vérification. Les résultats de la validation et de la vérification peuvent être évalués en analysant le domaine abordé par les différents essais et en fixant des seuils de portée minimaux pour diverses mesures.

L’inspection doit confirmer que les alinéas a) à c) ci-dessus tiennent compte, le cas échéant, d’au moins chacun des éléments suivants:

| i) | Questions liées aux interactions avec d’autres systèmes du véhicule (par exemple, le freinage ou la direction); |
| --- | --- |

i)

Questions liées aux interactions avec d’autres systèmes du véhicule (par exemple, le freinage ou la direction);

| ii) | Défaillances du système automatisé de maintien dans la voie et les réactions du système visant à atténuer les risques; |
| --- | --- |

ii)

Défaillances du système automatisé de maintien dans la voie et les réactions du système visant à atténuer les risques;

| iii) | Situations autorisées par le domaine de conception fonctionnelle dans lesquelles un système peut créer des risques déraisonnables pour la sécurité du conducteur, des passagers et des autres usagers de la route en raison de perturbations fonctionnelles (par exemple, compréhension insuffisante ou erronée de l’environnement du véhicule, incompréhension de la réaction du conducteur, des passagers ou des autres usagers de la route, contrôle inadéquat, scénarios difficiles); |
| --- | --- |

iii)

Situations autorisées par le domaine de conception fonctionnelle dans lesquelles un système peut créer des risques déraisonnables pour la sécurité du conducteur, des passagers et des autres usagers de la route en raison de perturbations fonctionnelles (par exemple, compréhension insuffisante ou erronée de l’environnement du véhicule, incompréhension de la réaction du conducteur, des passagers ou des autres usagers de la route, contrôle inadéquat, scénarios difficiles);

| iv) | Détermination des scénarios pertinents dans le cadre des conditions limites, méthode de gestion utilisée pour choisir les scénarios et outil de validation choisi; |
| --- | --- |

iv)

Détermination des scénarios pertinents dans le cadre des conditions limites, méthode de gestion utilisée pour choisir les scénarios et outil de validation choisi;

| v) | Processus de prise de décisions en vue de l’exécution des tâches de conduite dynamique (par exemple, manœuvres d’urgence), de la gestion des interactions avec les autres usagers de la route et du respect des règles de circulation; |
| --- | --- |

v)

Processus de prise de décisions en vue de l’exécution des tâches de conduite dynamique (par exemple, manœuvres d’urgence), de la gestion des interactions avec les autres usagers de la route et du respect des règles de circulation;

| vi) | Utilisations abusives raisonnablement prévisibles par le conducteur (par exemple, système de détection de la disponibilité du conducteur et explication sur la manière dont les critères de disponibilité ont été établis), erreurs ou malentendus de la part du conducteur (par exemple, neutralisation involontaire) et altération intentionnelle du système; |
| --- | --- |

vi)

Utilisations abusives raisonnablement prévisibles par le conducteur (par exemple, système de détection de la disponibilité du conducteur et explication sur la manière dont les critères de disponibilité ont été établis), erreurs ou malentendus de la part du conducteur (par exemple, neutralisation involontaire) et altération intentionnelle du système;

| vii) | Cyberattaques ayant une incidence sur la sûreté du véhicule (cela peut être réalisé grâce à l’analyse effectuée dans le cadre du règlement ONU no 155 sur la cybersécurité et le système de gestion de la cybersécurité). |
| --- | --- |

vii)

Cyberattaques ayant une incidence sur la sûreté du véhicule (cela peut être réalisé grâce à l’analyse effectuée dans le cadre du règlement ONU no 155 sur la cybersécurité et le système de gestion de la cybersécurité).

L’évaluation par l’autorité d’homologation de type consiste en des contrôles ponctuels de certains dangers (ou cybermenaces) afin d’établir que l’argumentation à l’appui du concept de sécurité est compréhensible et logique et mise en œuvre dans les différentes fonctions des systèmes. L’évaluation doit également vérifier que les plans de validation sont suffisamment solides pour démontrer la sûreté (par exemple, portée raisonnable des essais des scénarios sélectionnés par l’outil de validation choisi) et qu’ils ont été réalisés.

Cela doit démontrer que le véhicule ne présente pas de risques déraisonnables pour le conducteur, les occupants du véhicule et les autres usagers de la route dans son domaine de conception opérationnelle, c’est-à-dire jusqu’à:

| a) | Un objectif de validation global (c’est-à-dire des critères d’acceptation de la validation) étayé par des résultats de validation, démontrant que la mise en service du système automatisé de maintien dans la voie n’augmentera pas globalement le niveau de risque pour le conducteur, les occupants du véhicule et les autres usagers de la route par rapport à un véhicule à conduite manuelle; |
| --- | --- |

a)

Un objectif de validation global (c’est-à-dire des critères d’acceptation de la validation) étayé par des résultats de validation, démontrant que la mise en service du système automatisé de maintien dans la voie n’augmentera pas globalement le niveau de risque pour le conducteur, les occupants du véhicule et les autres usagers de la route par rapport à un véhicule à conduite manuelle;

| b) | Une stratégie particulière à chaque scénario montrant que le système n’augmentera globalement pas le niveau de risque pour le conducteur, les passagers et les autres usagers de la route par rapport à un véhicule à conduite manuelle pour chacun des scénarios pertinents pour la sécurité; et |
| --- | --- |

b)

Une stratégie particulière à chaque scénario montrant que le système n’augmentera globalement pas le niveau de risque pour le conducteur, les passagers et les autres usagers de la route par rapport à un véhicule à conduite manuelle pour chacun des scénarios pertinents pour la sécurité; et

Pour vérifier le concept de sécurité, l’autorité d’homologation de type doit effectuer les essais spécifiés au paragraphe 4 ou prescrire leur exécution.

| 3.4.4.1. | Le dossier d’information doit détailler les paramètres contrôlés et indiquer, pour chaque condition de défaillance du type défini au paragraphe 3.4.4 de la présente annexe, le signal d’avertissement à donner au conducteur, aux occupants du véhicule ou aux autres usagers de la route et au personnel des services techniques ou du contrôle technique. |
| --- | --- |

3.4.4.1.

| 3.4.4.2. | Le dossier d’information doit également décrire les mesures mises en place pour garantir que le système ne présente pas de risques déraisonnables pour le conducteur, les occupants du véhicule et les autres usagers de la route lorsque l’efficacité du système est affectée par les conditions environnementales, par exemple, le climat, la température, la pénétration de poussière, la pénétration d’eau ou la formation de glace. |
| --- | --- |

3.4.4.2.

| 3.5. | Système de gestion de la sécurité (vérification du processus) |
| --- | --- |

3.5.

| 3.5.1. | S’agissant des éléments logiciels et matériels utilisés dans le système, le constructeur doit démontrer à l’autorité d’homologation de type, en ce qui concerne le système de gestion de la sécurité, que des processus, méthodes et outils efficaces sont en place, actualisés et suivis au sein de l’entreprise en vue de gérer la sécurité et la conformité de manière continue tout au long du cycle de vie du produit (conception, élaboration, production, fonctionnement y compris le respect des règles de circulation, et mise hors service). |
| --- | --- |

3.5.1.

| 3.5.2. | Le processus de conception et d’élaboration doit être établi, y compris le système de gestion de la sécurité, la gestion et la mise en œuvre des prescriptions, les essais, le suivi des défaillances, les mesures correctives et la mise en service. |
| --- | --- |

3.5.2.

| 3.5.3. | Le constructeur doit mettre en place et entretenir des canaux de communication efficaces entre ses services chargés de la sûreté fonctionnelle et opérationnelle, de la cybersécurité et de tout autre domaine pertinent contribuant à la sûreté des véhicules. |
| --- | --- |

3.5.3.

| 3.5.4. | Le constructeur doit disposer de processus destinés au suivi des incidents et collisions liés à la sécurité occasionnés par le système automatisé de maintien dans la voie et d’un processus destiné à gérer les lacunes potentielles en matière de sûreté après l’immatriculation (surveillance sur le terrain en boucle fermée) et pour mettre à jour les véhicules. Ces processus doivent signaler les incidents critiques (par exemple, collision avec un autre usager de la route et lacunes potentielles en matière de sécurité) aux autorités chargées de l’homologation de type. |
| --- | --- |

3.5.4.

| 3.5.5. | Le constructeur doit démontrer que des vérifications périodiques indépendantes des processus internes sont effectuées pour garantir que les processus établis conformément aux paragraphes 3.5.1 à 3.5.4 sont mis en œuvre de manière cohérente. |
| --- | --- |

3.5.5.

| 3.5.6. | Le constructeur doit mettre en place des dispositions appropriées (par exemple, des dispositions contractuelles, des interfaces claires, un système de gestion de la qualité) avec ses fournisseurs pour garantir que leur système de gestion de la sécurité soit conforme aux prescriptions des paragraphes 3.5.1 (à l’exception des aspects liés aux véhicules tels que le «fonctionnement» et la «mise hors service»), 3.5.2, 3.5.3 et 3.5.5. |
| --- | --- |

3.5.6.

4.   VÉRIFICATION ET ESSAIS

| 4.1. | L’efficacité du fonctionnement du système, tel qu’il est décrit dans les documents prescrits au paragraphe 3, doit être soumise à des essais comme suit: |
| --- | --- |

4.1.

| 4.1.1. | Vérification de la fonction du système
  L’autorité d’homologation de type doit vérifier le système dans des conditions de non-défaillance en soumettant à des essais sur piste plusieurs fonctions choisies parmi celles décrites par le constructeur au titre du paragraphe 3.2 ci-dessus, et en vérifiant le comportement global du système dans des conditions de conduite réelles, y compris le respect des règles de circulation.
  Ces essais doivent comprendre des scénarios dans lesquels le conducteur neutralise le système.
  Les essais effectués conformément à la présente annexe tiennent compte des essais déjà effectués conformément à l’annexe 5 du présent règlement. |
| --- | --- |

4.1.1.

L’autorité d’homologation de type doit vérifier le système dans des conditions de non-défaillance en soumettant à des essais sur piste plusieurs fonctions choisies parmi celles décrites par le constructeur au titre du paragraphe 3.2 ci-dessus, et en vérifiant le comportement global du système dans des conditions de conduite réelles, y compris le respect des règles de circulation.

Ces essais doivent comprendre des scénarios dans lesquels le conducteur neutralise le système.

Les essais effectués conformément à la présente annexe tiennent compte des essais déjà effectués conformément à l’annexe 5 du présent règlement.

| 4.1.1.1. | Les résultats de la vérification doivent correspondre à la description, y compris les stratégies de contrôle, fournie par le constructeur au paragraphe 3.2 et doivent être conformes aux prescriptions du présent règlement. |
| --- | --- |

4.1.1.1.

| 4.1.2. | Vérification du concept de sécurité du paragraphe 3.4
  La réaction du système doit être vérifiée sous l’influence d’une défectuosité d’un module individuel en appliquant les signaux de sortie correspondants aux modules électriques ou aux éléments mécaniques afin de simuler les effets d’une défaillance interne du module. L’autorité d’homologation de type doit effectuer cette vérification pour au moins un module, mais ne doit pas vérifier la réaction du système à des défaillances multiples et simultanées de plusieurs modules.
  L’autorité d’homologation de type vérifie que ces essais portent sur les aspects qui peuvent avoir une incidence sur la possibilité de contrôler le véhicule et les informations aux utilisateurs (aspects de l’interface homme-machine, par exemple les scénarios de transition). |
| --- | --- |

4.1.2.

La réaction du système doit être vérifiée sous l’influence d’une défectuosité d’un module individuel en appliquant les signaux de sortie correspondants aux modules électriques ou aux éléments mécaniques afin de simuler les effets d’une défaillance interne du module. L’autorité d’homologation de type doit effectuer cette vérification pour au moins un module, mais ne doit pas vérifier la réaction du système à des défaillances multiples et simultanées de plusieurs modules.

L’autorité d’homologation de type vérifie que ces essais portent sur les aspects qui peuvent avoir une incidence sur la possibilité de contrôler le véhicule et les informations aux utilisateurs (aspects de l’interface homme-machine, par exemple les scénarios de transition).

| 4.1.2.1. | Les autorités d’homologation doivent également vérifier plusieurs scénarios critiques pour la détection d’objets et d’événements et la réaction subséquente et pour la caractérisation des fonctions de prise de décisions et d’interface homme-machine du système (par exemple, objet difficile à détecter, limites du domaine de conception fonctionnelle du système atteintes, scénarios de perturbation de la circulation) tel que défini dans le présent règlement. |
| --- | --- |

4.1.2.1.

| 4.1.2.2. | Les résultats de la vérification doivent correspondre au résumé écrit de l’analyse des dangers, à un niveau d’effet global tel que soient confirmées l’adéquation et la conformité du concept de sécurité et de sa mise en œuvre aux prescriptions du présent règlement. |
| --- | --- |

4.1.2.2.

| 4.2. | Des outils de simulation et des modèles mathématiques peuvent être utilisés pour vérifier le concept de sécurité conformément à l’annexe 8 de la Révision 3 de l’accord de 1958, en particulier pour les scénarios difficiles à réaliser sur une piste d’essai ou dans des conditions de conduite réelles. Le constructeur doit démontrer la portée de l’outil de simulation, sa validité pour le scénario concerné ainsi que la validation effectuée pour la chaîne d’outils de simulation (corrélation des résultats avec les essais physiques). |
| --- | --- |

4.2.

5.   PROCÈS-VERBAL

Le procès-verbal de l’évaluation doit être établi de manière à permettre la traçabilité, par exemple en codant et répertoriant dans les archives du service technique les versions des documents inspectés.

Un exemple de présentation possible de la fiche d’évaluation soumise à l’autorité d’homologation de type par le service technique est donné dans l’appendice 1 de la présente annexe. Les éléments énumérés dans cet appendice sont donnés à titre d’ensemble minimal de points à traiter.

6.   COMMUNICATION À L’INTENTION DES AUTRES AUTORITÉS D’HOMOLOGATION DE TYPE (annexe 2) comprenant:

| a) | La description du domaine de conception fonctionnelle et de l’architecture fonctionnelle de niveau supérieur, l’accent étant mis sur les fonctions disponibles pour le conducteur, les occupants du véhicule et les autres usagers de la route; |
| --- | --- |

a)

La description du domaine de conception fonctionnelle et de l’architecture fonctionnelle de niveau supérieur, l’accent étant mis sur les fonctions disponibles pour le conducteur, les occupants du véhicule et les autres usagers de la route;

| b) | Les résultats des essais au cours du processus de vérification par les autorités d’homologation de type. |
| --- | --- |

b)

Les résultats des essais au cours du processus de vérification par les autorités d’homologation de type.

7.   COMPÉTENCE DES VÉRIFICATEURS ET ÉVALUATEURS

Les évaluations prévues par la présente annexe ne sont effectuées que par des vérificateurs et évaluateurs possédant les connaissances techniques et administratives nécessaires à cette fin. Ils doivent notamment être compétents en tant que vérificateurs ou évaluateurs pour les normes ISO 26262-2018 (Véhicules routiers – Sécurité fonctionnelle) et ISO/PAS 21448 (Véhicules routiers – Sécurité de la fonction attendue); et être en mesure d’établir le lien nécessaire avec les aspects de la cybersécurité conformément au règlement ONU no 155 et à la norme ISO/SAE 21434). Cette compétence doit être démontrée par des qualifications appropriées ou des attestations de formations équivalentes.

Appendice 1

Modèle de formulaire d’évaluation du système automatisé de maintien dans la voie

Procès-verbal d’essai no: ...

1.

Identification

1.1.

Marque: ...

1.2.

Type de véhicule: ...

1.3.

Moyens d’identification du système sur le véhicule: ...

1.4.

Emplacement de cette inscription: ...

1.5.

Nom et adresse du constructeur: ...

1.6.

Le cas échéant, nom et adresse de son mandataire ...

1.7.

No de référence du dossier: ...

Date de la première version: ...

Date de la dernière mise à jour: ...

2.

Description du ou des véhicules et systèmes soumis à l’essai

2.1.

Description générale: ...

2.2.

Description de l’ensemble des fonctions de commande du système, et des modes de fonctionnement: ...

2.3.

Description des éléments et schémas des interconnexions internes du système:

3.

Concept de sécurité du constructeur

3.1.

Description des flux de signaux et de données et de leur priorisation: ...

3.2.

Le(s)constructeur(s)...affirme(nt) que le système est exempt de risques déraisonnables pour le conducteur, les occupants du véhicule et les autres usagers de la route.

3.3.

Architecture générale du logiciel et méthodes et outils de conception utilisés: ...

3.4.

Description du concept de sécurité du système: ...

3.5.

Analyses étayées par des document du comportement du système dans des conditions particulières de danger ou de défectuosité: ...

3.6.

Description des mesures mises en place concernant les conditions environnementales: ...

3.7.

Dispositions relatives aux contrôles techniques périodiques du système: ...

3.8.

Résultats de l’essai de vérification du système conformément au paragraphe 4.1.1 de l’annexe 4 du règlement ONU no 157: ...

3.9.

Résultats de l’essai de vérification du concept de sécurité conformément au paragraphe 4.1.2 de l’annexe 4 du règlement ONU no 157: ...

3.10.

Date du ou des essais: ...

3.11.

Service technique effectuant l’essai

Signé: ...Date: ...

3.12.

Observations: ...

Appendice 2

Formulaire relatif au document d’information à fournir par le constructeur pour l’homologation du système automatisé de maintien dans la voie

1.   DESCRIPTION DU SYSTÈME AUTOMATISÉ DE MAINTIEN DANS LA VOIE

| 1.1. | Domaine de conception fonctionnelle (vitesse, type de route, pays, environnement, état des routes, etc.)/conditions limites/conditions principales concernant les manœuvres à risque minimal et les demandes de transition... |
| --- | --- |

1.1.

| 1.2. | Caractéristiques de base (par exemple, détection d’objets et événements et réaction) ... |
| --- | --- |

1.2.

| 1.3. | Moyens d’activer, de neutraliser et de désactiver le système. ... |
| --- | --- |

1.3.

2.   DESCRIPTION DES FONCTIONS DU SYSTÈME, Y COMPRIS LES STRATÉGIES DE CONTRÔLE

| 2.1. | Principales fonctions de conduite automatisées (architecture fonctionnelle, perception de l’environnement). ... |
| --- | --- |

2.1.

| 2.1.1. | Fonctions internes au véhicule... |
| --- | --- |

2.1.1.

| 2.1.2. | Fonctions externes (par exemple, arrière-plan) ... |
| --- | --- |

2.1.2.

3.   APERÇU DES PRINCIPAUX ÉLÉMENTS (MODULES) DU SYSTÈME

| 3.1. | Modules de commande... |
| --- | --- |

3.1.

| 3.2. | Capteurs... |
| --- | --- |

3.2.

| 3.3. | Cartes/localisation... |
| --- | --- |

3.3.

4.   DISPOSITION SCHÉMATIQUE DU SYSTÈME

| 4.1. | Disposition schématique du système, y compris les capteurs destinés à la perception de l’environnement (par exemple, diagramme fonctionnel) ... |
| --- | --- |

4.1.

| 4.2. | Liste et aperçu schématique des interconnexions (par exemple, diagramme fonctionnel) ... |
| --- | --- |

4.2.

5.   SPÉCIFICATIONS

| 5.1. | Moyens de s’assurer du bon état de fonctionnement du système... |
| --- | --- |

5.1.

| 5.2. | Moyens de protection contre une activation ou une utilisation non autorisées simples et contre les interventions dans le système... |
| --- | --- |

5.2.

6.   CONCEPT DE SÉCURITÉ

| 6.1. | Sûreté du fonctionnement – Déclaration du constructeur du véhicule... |
| --- | --- |

6.1.

| 6.2. | Description de l’architecture du logiciel (par exemple, diagramme fonctionnel) ... |
| --- | --- |

6.2.

| 6.3. | Moyens par lesquels est déterminée la réalisation de la logique du système... |
| --- | --- |

6.3.

| 6.4. | Description générale des principales dispositions de conception intégrées dans le système en vue d’assurer la sûreté du fonctionnement et de l’interaction avec les autres usagers de la route dans des conditions de défectuosité, de perturbations fonctionnelles et de survenue de conditions prévues ou imprévues excédant les limites du domaine de conception fonctionnelle... |
| --- | --- |

6.4.

| 6.5. | Description générale des grands principes sur lesquels s’appuie la réaction aux défaillances, ainsi que de la stratégie de secours y compris la stratégie d’atténuation des risques (manœuvre à risque minimal) ... |
| --- | --- |

6.5.

| 6.6. | Interaction entre le conducteur, les occupants du véhicule et les autres usagers de la route, y compris les signaux d’avertissement et les demandes de transition à l’intention du conducteur... |
| --- | --- |

6.6.

| 6.7. | Validation par le constructeur des prescriptions fonctionnelles énoncées ailleurs dans le présent règlement, y compris détection d’objets et d’événements et réaction, interface homme-machine, respect des règles de circulation et la conclusion selon laquelle système est conçu de manière à ne pas présenter de risques déraisonnables pour le conducteur, les occupants du véhicule et les autres usagers de la route... |
| --- | --- |

6.7.

7.   VÉRIFICATION ET ESSAIS CONDUITS PAR LES AUTORITÉS

| 7.1. | Vérification de la fonction de base du système... |
| --- | --- |

7.1.

| 7.2. | Exemples de vérification de la réaction du système sous l’influence d’une défaillance ou d’une perturbation fonctionnelle, de conditions d’urgence et de conditions limites... |
| --- | --- |

7.2.

8.   SYSTÈME DE STOCKAGE DES DONNÉES

| 8.1. | Type de données stockées... |
| --- | --- |

8.1.

| 8.2. | Emplacement du stockage... |
| --- | --- |

8.2.

| 8.3. | Occurrences et éléments de données enregistrés, moyens employés pour assurer la sécurité et la protection des données... |
| --- | --- |

8.3.

| 8.4. | Moyens d’accès aux données... |
| --- | --- |

8.4.

9.   CYBERSÉCURITÉ (POSSIBILITÉ DE RENVOI AU RÈGLEMENT SUR LA CYBERSÉCURITÉ)

| 9.1. | Description générale du système de gestion de la cybersécurité et des mises à jour logicielles ... |
| --- | --- |

9.1.

| 9.2. | Description générale des différents risques et des mesures mises en place pour les atténuer... |
| --- | --- |

9.2.

| 9.3. | Description générale de la procédure de mise à jour... |
| --- | --- |

9.3.

10.   DISPOSITIONS RELATIVES À L’INFORMATION DES UTILISATEURS

| 10.1. | Modèle des informations fournies aux utilisateurs (y compris les tâches de conduite prévues dans le cadre du domaine de conception fonctionnelle et en cas de sortie de celui-ci) ... |
| --- | --- |

10.1.

| 10.2. | Extrait de la partie pertinente du manuel d’utilisation... |
| --- | --- |

10.2.

Appendice 3

Directive relative aux scénarios de perturbation de la circulation critiques pour l’ALKS

1.   GÉNÉRALITÉS

| 1.1. | Dans le présent appendice est précisé le processus de dérivation visant à définir les conditions dans lesquelles les systèmes automatisés de maintien dans la voie (ALKS) doivent éviter une collision. Ces conditions sont déterminées par un programme général de simulation qui suit le modèle fonctionnel d’un conducteur humain attentif et les paramètres connexes dans les scénarios de perturbation critique de la circulation. |
| --- | --- |

1.1.

2.   SCÉNARIOS CRITIQUES DE PERTURBATION DE LA CIRCULATION

| 2.1. | Les scénarios critiques de perturbation de la circulation sont ceux qui présentent des conditions dans lesquelles l’ALKS peut ne pas être en mesure d’éviter une collision. |
| --- | --- |

2.1.

| 2.2. | Les trois scénarios suivants sont des scénarios critiques de perturbation de la circulation:






  a) | Queue de poisson: le véhicule tiers se rabat soudainement devant le véhicule soumis à l’essai; |
| --- | --- | --- |

2.2.

a)

Queue de poisson: le véhicule tiers se rabat soudainement devant le véhicule soumis à l’essai;

| b) | Sortie de voie: le véhicule tiers sort soudainement de la voie du véhicule soumis à l’essai; |
| --- | --- |

b)

Sortie de voie: le véhicule tiers sort soudainement de la voie du véhicule soumis à l’essai;

| c) | Décélération: le véhicule tiers ralentit soudainement devant le véhicule soumis à l’essai. |
| --- | --- |

c)

Décélération: le véhicule tiers ralentit soudainement devant le véhicule soumis à l’essai.

| 2.3. | Chacun de ces scénarios critiques de perturbation de la circulation peut être réalisé en tenant compte des paramètres et éléments suivants:






  a) | Géométrie de la route; |
| --- | --- | --- |

2.3.

a)

Géométrie de la route;

| b) | Comportement et manœuvres des autres véhicules. |
| --- | --- |

b)

Comportement et manœuvres des autres véhicules.

3.   MODÈLE FONCTIONNEL DE L’ALKS

| 3.1. | Les scénarios de perturbation de la circulation critiques pour l’ALKS sont répartis en scénarios évitables et non évitables. Le seuil séparant les scénarios évitables des scénarios non évitables est fondé sur une simulation de l’efficacité d’un conducteur humain compétent et attentif. On s’attend que certains des scénarios «non évitables» selon les normes humaines puissent en fait être évités par l’ALKS. |
| --- | --- |

3.1.

| 3.2. | Dans un scénario d’ALKS à basse vitesse, la capacité d’évitement du modèle de conducteur est supposée reposer uniquement sur le freinage. Le modèle de conducteur est divisé en trois composantes: «Perception», «Décision» et «Réaction». La figure 1 ci-après est une représentation visuelle de ces segments. |
| --- | --- |

3.2.

| 3.3. | Pour déterminer les conditions dans lesquelles les systèmes automatisés de maintien dans la voie (ALKS) doivent éviter une collision, les facteurs du modèle fonctionnel pour ces trois segments dans le tableau suivant doivent être utilisés comme modèle fonctionnel des ALKS, compte tenu du comportement des conducteurs humains attentifs avec les systèmes actifs d’aide à la conduite. |
| --- | --- |

3.3.

Image 21

Tableau 1

Facteurs fonctionnels de la modélisation en ce qui concerne les véhicules

| | | Facteurs |
| --- | --- | --- |
| Point de perception du risque | Changement de voie (queue de poisson, sortie de voie) | Centre du véhicule décalé de plus de 0,375 m par rapport au centre de la voie de circulation
  (d’après des recherches effectuées par le Japon) |
| Décélération | Rapport entre la décélération du véhicule aval et la distance de sécurité du véhicule soumis à l’essai |
| Délai d’évaluation du risque | 0,4 s
  (d’après des recherches effectuées par le Japon) |
| Durée entre la fin de la perception et le début de la décélération | 0,75 s
  (données communes au Japon) |
| Durée de l’à-coup jusqu’à décélération complète (adhérence à la route 1,0) | 0,6 s à 0,774 G
  (d’après les expériences menées par la NHTSA et le Japon) |
| Durée de l’à-coup jusqu’à décélération complète (après rabattement complet du véhicule aval devant le véhicule soumis à l’essai, adhérence à la route 1,0) | 0,6 s à 0,85 G
  (d’après le règlement ONU no 152 sur l’AEBS) |

Facteurs

Point de perception du risque

Changement de voie (queue de poisson, sortie de voie)

Centre du véhicule décalé de plus de 0,375 m par rapport au centre de la voie de circulation

(d’après des recherches effectuées par le Japon)

Décélération

Rapport entre la décélération du véhicule aval et la distance de sécurité du véhicule soumis à l’essai

Délai d’évaluation du risque

0,4 s

(d’après des recherches effectuées par le Japon)

Durée entre la fin de la perception et le début de la décélération

0,75 s

(données communes au Japon)

Durée de l’à-coup jusqu’à décélération complète (adhérence à la route 1,0)

0,6 s à 0,774 G

(d’après les expériences menées par la NHTSA et le Japon)

Durée de l’à-coup jusqu’à décélération complète (après rabattement complet du véhicule aval devant le véhicule soumis à l’essai, adhérence à la route 1,0)

0,6 s à 0,85 G

(d’après le règlement ONU no 152 sur l’AEBS)

| 3.4. | Modélisation du conducteur pour les trois scénarios d’essai de l’ALKS |
| --- | --- |

3.4.

| 3.4.1. | Scénario de queue de poisson
  L’écart latéral normal maximal du véhicule dans sa voie est de 0,375 m.
  La perception de la queue de poisson se produit lorsque le véhicule dépasse l’écart latéral normal (éventuellement avant le changement de voie réel).
  La distance a. est la distance de perception, fondée sur le délai de perception [a]. Elle définit la distance latérale nécessaire pour percevoir qu’un véhicule exécute une manœuvre de queue de poisson. On calcule la distance a. au moyen de la formule suivante:
  a. = vitesse de déplacement latéral x délai de perception du risque [a] (0,4 s)
  Le délai de perception du risque commence lorsque le véhicule aval dépasse la limite de perception de la queue de poisson.
  La vitesse maximale de déplacement latéral est fondée sur des données réelles recueillies au Japon.
  Le délai de perception du risque [a] découle des données de simulateurs de conduite recueillies au Japon.
  2 s* est le délai maximum avant collision (TTC) en dessous duquel il a été conclu qu’il existait un danger de collision dans la direction longitudinale.







  Note: | la valeur du TTC = 2,0 s a été retenue sur la base des directives du règlement ONU sur les signaux d’avertissement. |
| --- | --- | --- |

3.4.1.

L’écart latéral normal maximal du véhicule dans sa voie est de 0,375 m.

La perception de la queue de poisson se produit lorsque le véhicule dépasse l’écart latéral normal (éventuellement avant le changement de voie réel).

La distance a. est la distance de perception, fondée sur le délai de perception [a]. Elle définit la distance latérale nécessaire pour percevoir qu’un véhicule exécute une manœuvre de queue de poisson. On calcule la distance a. au moyen de la formule suivante:

a. = vitesse de déplacement latéral x délai de perception du risque [a] (0,4 s)

Le délai de perception du risque commence lorsque le véhicule aval dépasse la limite de perception de la queue de poisson.

La vitesse maximale de déplacement latéral est fondée sur des données réelles recueillies au Japon.

Le délai de perception du risque [a] découle des données de simulateurs de conduite recueillies au Japon.

2 s* est le délai maximum avant collision (TTC) en dessous duquel il a été conclu qu’il existait un danger de collision dans la direction longitudinale.

Note:

Image 22

| 3.4.2. | Scénario de sortie de voie
  L’écart latéral normal maximal du véhicule dans sa voie est de 0,375 m.
  La perception de la sortie de voie intervient lorsque le véhicule dépasse l’écart latéral normal (éventuellement avant de changer réellement de voie).
  Le délai de perception du risque [a], qui est de 0,4 s, commence lorsque le véhicule aval franchit la limite de perception de la sortie de voie.
  Le temps de 2 s est le délai maximum défini par l’espace libre devant le véhicule (THW) en dessous duquel il a été conclu qu’il existait un danger de collision dans la direction longitudinale.







  Note: | le THW = 2,0 s a été retenu en fonction des réglementations et directives en vigueur dans d’autres pays. |
| --- | --- | --- |

3.4.2.

L’écart latéral normal maximal du véhicule dans sa voie est de 0,375 m.

La perception de la sortie de voie intervient lorsque le véhicule dépasse l’écart latéral normal (éventuellement avant de changer réellement de voie).

Le délai de perception du risque [a], qui est de 0,4 s, commence lorsque le véhicule aval franchit la limite de perception de la sortie de voie.

Le temps de 2 s est le délai maximum défini par l’espace libre devant le véhicule (THW) en dessous duquel il a été conclu qu’il existait un danger de collision dans la direction longitudinale.

Note:

Image 23

| 3.4.3. | Scénario de décélération:
  Le temps de perception du risque [a] est de 0,4 s. Le délai de perception du risque [a] commence lorsque le véhicule aval dépasse un seuil de décélération de 5 m/s2. |
| --- | --- |

3.4.3.

Le temps de perception du risque [a] est de 0,4 s. Le délai de perception du risque [a] commence lorsque le véhicule aval dépasse un seuil de décélération de 5 m/s2.

Image 24

4.   PARAMÈTRES

| 4.1. | Les paramètres présentés dans le tableau 2 ci-dessous sont essentiels pour décrire la structure des scénarios critiques de perturbation de la circulation énumérés à la section 2.1. |
| --- | --- |

4.1.

| 4.2. | Il est possible d’ajouter des paramètres supplémentaires en fonction de l’environnement fonctionnel (par exemple, taux de frottement de la route, courbure de la route, conditions d’éclairement).

  Tableau 2


  Paramètres additionnels








  Conditions fonctionnelles | Chaussée | Nombre de voies = Nombre de voies parallèles adjacentes dans le même sens de circulation
  Largeur de voie = Largeur de chaque voie
  Pente de la route = Pente de la route dans la zone d’essai
  État de la chaussée = État de la chaussée (sèche, mouillée, verglacée, enneigée, neuve, usée) y compris le coefficient de frottement
  Marquage des voies = Type, couleur, largeur et visibilité du marquage des voies |
| --- | --- | --- | --- |
| Conditions environnementales | Conditions d’éclairement = Intensité et direction de la lumière (jour, nuit, temps ensoleillé ou nuageux)
  Conditions météorologiques = Durée, orientation et force du vent, pluie, neige, etc. |
| Conditions initiales | Vitesse initiale | Ve0 = Véhicule soumis à l’essai |
| Vo0 = Véhicule aval dans la voie ou dans la voie adjacente |
| Vf0 = Véhicule devant le véhicule aval dans la voie |
| Distance initiale | dx0 = Distance dans la direction longitudinale entre l’extrémité avant du véhicule soumis à l’essai et l’extrémité arrière du véhicule aval dans la voie du véhicule soumis à l’essai ou dans la voie adjacente |
| dy0 = Distance intérieure latérale entre la ligne de bordure extérieure du véhicule soumis à l’essai parallèlement au plan longitudinal médian du véhicule dans les voies et la ligne de bordure extérieure du véhicule aval parallèle au plan longitudinal médian du véhicule dans les lignes adjacentes |
| dy0_f = Distance intérieure latérale entre la ligne de bordure extérieure du véhicule aval parallèle au plan longitudinal médian du véhicule dans les voies et la ligne de bordure extérieure du véhicule devant le véhicule aval parallèle au plan longitudinal médian du véhicule dans les lignes adjacentes |
| dx0_f = Distance dans le sens longitudinal entre l’extrémité avant du véhicule aval et l’extrémité arrière du véhicule situé devant le véhicule aval |
| dfy = Largeur du véhicule situé devant le véhicule aval |
| doy = Largeur du véhicule aval |
| dox = Longueur du véhicule aval |
| Déplacement des véhicules | Déplacement latéral | Vy = Vitesse de déplacement latéral du véhicule aval |
| Décélération | Gx_max = Décélération maximale du véhicule aval en G |
| dG/dt = Taux de décélération (à-coup) du véhicule aval |

4.2.

Tableau 2

Paramètres additionnels

Conditions fonctionnelles

Chaussée

Nombre de voies = Nombre de voies parallèles adjacentes dans le même sens de circulation

Largeur de voie = Largeur de chaque voie

Pente de la route = Pente de la route dans la zone d’essai

État de la chaussée = État de la chaussée (sèche, mouillée, verglacée, enneigée, neuve, usée) y compris le coefficient de frottement

Marquage des voies = Type, couleur, largeur et visibilité du marquage des voies

Conditions environnementales

Conditions d’éclairement = Intensité et direction de la lumière (jour, nuit, temps ensoleillé ou nuageux)

Conditions météorologiques = Durée, orientation et force du vent, pluie, neige, etc.

Conditions initiales

Vitesse initiale

Ve0 = Véhicule soumis à l’essai

Vo0 = Véhicule aval dans la voie ou dans la voie adjacente

Vf0 = Véhicule devant le véhicule aval dans la voie

Distance initiale

dx0 = Distance dans la direction longitudinale entre l’extrémité avant du véhicule soumis à l’essai et l’extrémité arrière du véhicule aval dans la voie du véhicule soumis à l’essai ou dans la voie adjacente

dy0 = Distance intérieure latérale entre la ligne de bordure extérieure du véhicule soumis à l’essai parallèlement au plan longitudinal médian du véhicule dans les voies et la ligne de bordure extérieure du véhicule aval parallèle au plan longitudinal médian du véhicule dans les lignes adjacentes

dy0_f = Distance intérieure latérale entre la ligne de bordure extérieure du véhicule aval parallèle au plan longitudinal médian du véhicule dans les voies et la ligne de bordure extérieure du véhicule devant le véhicule aval parallèle au plan longitudinal médian du véhicule dans les lignes adjacentes

dx0_f = Distance dans le sens longitudinal entre l’extrémité avant du véhicule aval et l’extrémité arrière du véhicule situé devant le véhicule aval

dfy = Largeur du véhicule situé devant le véhicule aval

doy = Largeur du véhicule aval

dox = Longueur du véhicule aval

Déplacement des véhicules

Déplacement latéral

Vy = Vitesse de déplacement latéral du véhicule aval

Décélération

Gx_max = Décélération maximale du véhicule aval en G

dG/dt = Taux de décélération (à-coup) du véhicule aval

| 4.3. | La figure 5 ci-dessous offre des représentations visuelles des paramètres pour les trois types de scénarios. |
| --- | --- |

4.3.

Image 25

5.   RÉFÉRENCE

Les fiches techniques suivantes sont des exemples illustrés de simulations qui déterminent les conditions dans lesquelles l’ALKS doit éviter une collision, en tenant compte de la combinaison de chaque paramètre, à la vitesse maximale autorisée du véhicule équipé de l’ALKS et en dessous.

| 5.1. | Queue de poisson





  (image des fiches techniques) |
| --- | --- |

5.1.

Image 26

(image des fiches techniques)

Image 27

Image 28

Image 29

Image 30

Image 31

Image 32

Image 33

Image 34

Image 35

| 5.2. | Sortie de voie
  Il est possible d’éviter tous les véhicules en décélération (arrêt) en aval du véhicule aval dans l’état de marche suivant: THW = 2,0 s.
  (image des fiches techniques) |
| --- | --- |

5.2.

Il est possible d’éviter tous les véhicules en décélération (arrêt) en aval du véhicule aval dans l’état de marche suivant: THW = 2,0 s.

(image des fiches techniques)

Image 36

Image 37

Image 38

Image 39

| 5.3. | Décélération
  Avec un THW de 2,0 s, il est possible d’éviter une décélération soudaine de -1,0 G ou moins dans la situation de conduite suivante:
  (image de la fiche technique)





  (image de la fiche technique) |
| --- | --- |

5.3.

Avec un THW de 2,0 s, il est possible d’éviter une décélération soudaine de -1,0 G ou moins dans la situation de conduite suivante:

(image de la fiche technique)

Image 40

(image de la fiche technique)

Image 41

---

ANNEXE 5

Spécifications d’essai des ALKS

1.   INTRODUCTION

Dans la présente annexe sont définis les essais destinés à vérifier le respect des prescriptions techniques applicables aux ALKS.

Jusqu’à ce qu’aient été convenues des dispositions spécifiques relatives aux essais, le service technique doit veiller à ce que l’ALKS soit soumis au moins aux essais décrits à l’annexe 5. Les paramètres particuliers à chaque essai doivent être choisis par le service technique et consignés dans le procès-verbal d’essai de manière à permettre la traçabilité et la répétabilité du dispositif d’essai.

Les critères de réussite et d’échec aux essais découlent uniquement des prescriptions techniques des paragraphes 5 à 7 du présent Règlement. Ces prescriptions sont formulées de manière à permettre d’en tirer des critères de réussite et d’échec non seulement pour un ensemble donné de paramètres d’essai, mais aussi pour toute combinaison de paramètres dans laquelle le système est conçu pour fonctionner (par exemple, les plages de vitesses des véhicules, les plages d’accélérations latérales ou les plages de courbures telles qu’inscrites dans les limites du système).

Les spécifications d’essai décrites dans la présente annexe constituent un ensemble minimum. Les autorités du service technique peuvent effectuer tout autre essai dans les limites du système et peuvent ensuite comparer les résultats mesurés avec les prescriptions (résultat concret d’essai attendu).

2.   DÉFINITIONS

Aux fins de la présente annexe, on entend par:

| 2.1. | «Délai avant collision» (TTC), la valeur de temps obtenue en divisant la distance longitudinale (dans le sens de la marche du véhicule soumis à l’essai) entre le véhicule à l’essai et la cible par la vitesse longitudinale relative du véhicule à l’essai par rapport à la cible, à tout moment; |
| --- | --- |

2.1.

| 2.2. | «Décalage», la distance entre le plan médian longitudinal du véhicule et celui de la cible dans le sens de la marche, mesurée au sol, normalisée par la moitié de la largeur du véhicule à l’exclusion des dispositifs de vision indirecte et corrigée par l’ajout de 50 %; |
| --- | --- |

2.2.

| 2.3. | «Cible piéton», une cible non rigide représentant un piéton; |
| --- | --- |

2.3.

| 2.4. | «Cible voiture particulière», une cible représentant une voiture particulière; |
| --- | --- |

2.4.

| 2.5. | «Cible deux-roues motorisé (PTW)», une combinaison d’un motocycle et d’un motocycliste. |
| --- | --- |

2.5.

3.   PRINCIPES GÉNÉRAUX

| 3.1. | Conditions d’essai |
| --- | --- |

3.1.

| 3.1.1. | Les essais doivent être effectués dans des conditions (par exemple, d’environnement et de géométrie de la route) qui permettent l’activation de l’ALKS. |
| --- | --- |

3.1.1.

| 3.1.2. | Si des modifications du système sont nécessaires pour permettre les essais, par exemple des critères d’évaluation du type de route ou des informations sur le type de route (données cartographiques), il convient de s’assurer que ces modifications n’ont pas d’effet sur les résultats des essais. Ces modifications doivent en principe être consignées par écrit et annexées au procès-verbal d’essai. La description de ces modifications et les preuves de leur influence (le cas échéant) doivent être consignées par écrit et annexées au procès-verbal d’essai. |
| --- | --- |

3.1.2.

| 3.1.3. | La surface d’essai doit présenter au moins l’adhérence requise par le scénario afin d’obtenir le résultat d’essai attendu. |
| --- | --- |

3.1.3.

| 3.1.4. | Cibles des essais |
| --- | --- |

3.1.4.

| 3.1.4.1. | La cible utilisée pour les essais de détection de véhicules doit être un véhicule de série de catégorie M ou N ou une « cible non rigide » représentative d’un véhicule en termes de caractéristiques d’identification applicables au système de capteurs de l’ALKS soumis à l’essai, conformément à la norme ISO 19206-3:2018. Le point de référence pour le positionnement du véhicule est le point le plus en arrière sur l’axe longitudinal du véhicule. |
| --- | --- |

3.1.4.1.

| 3.1.4.2. | La cible utilisée pour les essais avec deux-roues motorisé doit être un dispositif d’essai conforme à la norme ISO CD 19206-5 ou un motocycle de série de la catégorie L3, homologué en série, d’une cylindrée ne dépassant pas 600 cm3. Le point de référence pour l’emplacement du motocycle est le point le plus en arrière sur l’axe central du motocycle. |
| --- | --- |

3.1.4.2.

| 3.1.4.3. | La cible utilisée pour les essais de détection de piéton doit être une cible non rigide articulée représentative des caractéristiques humaines applicables au système de capteurs de l’AEBS soumis à l’essai conformément à la norme ISO 19206-2:2018. |
| --- | --- |

3.1.4.3.

| 3.1.4.4. | Les détails permettant d’identifier et de reproduire fidèlement la ou les cibles doivent être consignés dans le dossier d’homologation de type du véhicule. |
| --- | --- |

3.1.4.4.

| 3.2. | Variation des paramètres des essais
  Le constructeur doit déclarer les limites du système au service technique. Le service technique définit différentes combinaisons de paramètres d’essai (par exemple, vitesse réelle du véhicule équipé de l’ALKS, type et décalage de la cible, courbure de la voie) afin de réaliser des scénarios dans lesquels une collision doit être évitée par le système ainsi que des scénarios dans lesquels on ne s’attend pas que la collision soit évitée, le cas échéant.
  Si cela est jugé justifié, le service technique peut en outre soumettre à essai toute autre combinaison de paramètres.
  Si une collision ne peut être évitée pour certains paramètres d’essai, le constructeur doit démontrer au moyen de documents ou, si possible, d’une vérification ou d’un essai que le système ne modifie pas de manière déraisonnable sa stratégie de contrôle. |
| --- | --- |

3.2.

Le constructeur doit déclarer les limites du système au service technique. Le service technique définit différentes combinaisons de paramètres d’essai (par exemple, vitesse réelle du véhicule équipé de l’ALKS, type et décalage de la cible, courbure de la voie) afin de réaliser des scénarios dans lesquels une collision doit être évitée par le système ainsi que des scénarios dans lesquels on ne s’attend pas que la collision soit évitée, le cas échéant.

Si cela est jugé justifié, le service technique peut en outre soumettre à essai toute autre combinaison de paramètres.

Si une collision ne peut être évitée pour certains paramètres d’essai, le constructeur doit démontrer au moyen de documents ou, si possible, d’une vérification ou d’un essai que le système ne modifie pas de manière déraisonnable sa stratégie de contrôle.

4.   SCÉNARIOS D’ESSAI DESTINÉS À ÉVALUER L’EFFICACITÉ DU SYSTÈME EN CE QUI CONCERNE LA TÂCHE DE CONDUITE DYNAMIQUE

| 4.1. | Maintien dans la voie |
| --- | --- |

4.1.

| 4.1.1. | Cet essai doit démontrer que le véhicule équipé de l’ALKS ne quitte pas sa voie et garde une position stable à l’intérieur de sa voie sur toute la plage de vitesses et de courbures inscrites dans les limites de son système. |
| --- | --- |

4.1.1.

| 4.1.2. | L’essai doit satisfaire au moins aux conditions suivantes:






  a) | Sa durée ne doit pas être inférieure à 5 minutes; |
| --- | --- | --- |

4.1.2.

a)

Sa durée ne doit pas être inférieure à 5 minutes;

| b) | Les cibles doivent comprendre une voiture particulière ainsi qu’un deux-roues motorisé (véhicule aval et autre véhicule); |
| --- | --- |

b)

Les cibles doivent comprendre une voiture particulière ainsi qu’un deux-roues motorisé (véhicule aval et autre véhicule);

| c) | Il doit comporter un véhicule aval faisant une embardée dans la voie; |
| --- | --- |

c)

Il doit comporter un véhicule aval faisant une embardée dans la voie;

| d) | Il doit comporter un autre véhicule circulant à proximité dans la voie adjacente. |
| --- | --- |

d)

Il doit comporter un autre véhicule circulant à proximité dans la voie adjacente.

| 4.2. | Évitement d’une collision avec un usager de la route ou un objet bloquant la voie |
| --- | --- |

4.2.

| 4.2.1. | Cet essai doit démontrer que l’ALKS évite une collision avec un véhicule ou un usager de la route à l’arrêt ou avec un obstacle bloquant totalement ou partiellement la voie jusqu’à la vitesse maximale indiquée du système. |
| --- | --- |

4.2.1.

| 4.2.2. | Cet essai doit être exécuté au moins:






  a) | Avec une cible voiture particulière à l’arrêt; |
| --- | --- | --- |

4.2.2.

a)

Avec une cible voiture particulière à l’arrêt;

| b) | Avec une cible deux-roues motorisé à l’arrêt; |
| --- | --- |

b)

Avec une cible deux-roues motorisé à l’arrêt;

| c) | Avec une cible piéton à l’arrêt; |
| --- | --- |

c)

Avec une cible piéton à l’arrêt;

| d) | Avec une cible piéton traversant la voie à une vitesse de 5 km/h; |
| --- | --- |

d)

Avec une cible piéton traversant la voie à une vitesse de 5 km/h;

| e) | Avec une cible obstacle bloquant la voie; |
| --- | --- |

e)

Avec une cible obstacle bloquant la voie;

| f) | Avec une cible obstruant partiellement la voie; |
| --- | --- |

f)

Avec une cible obstruant partiellement la voie;

| g) | Avec de multiples obstacles consécutifs bloquant la voie (par exemple, dans l’ordre suivant: véhicule soumis à l’essai, motocycle, voiture); |
| --- | --- |

g)

Avec de multiples obstacles consécutifs bloquant la voie (par exemple, dans l’ordre suivant: véhicule soumis à l’essai, motocycle, voiture);

| h) | Sur un tronçon de route en courbe. |
| --- | --- |

h)

Sur un tronçon de route en courbe.

| 4.3. | Suivi d’un véhicule aval |
| --- | --- |

4.3.

| 4.3.1. | L’essai doit démontrer que l’ALKS est capable de maintenir et de rétablir la distance de sécurité requise par rapport à un véhicule aval et qu’il est capable d’éviter une collision avec un véhicule aval qui ralentit jusqu’à sa décélération maximale. |
| --- | --- |

4.3.1.

| 4.3.2. | Cet essai doit être exécuté au moins:






  a) | Sur toute la plage de vitesses de l’ALKS; |
| --- | --- | --- |

4.3.2.

a)

Sur toute la plage de vitesses de l’ALKS;

| b) | Avec une cible voiture particulière et une cible deux-roues motorisé dans le rôle du véhicule aval, à condition qu’une cible normalisée deux-roues motorisé permettant d’effectuer l’essai en toute sécurité soit disponible; |
| --- | --- |

b)

Avec une cible voiture particulière et une cible deux-roues motorisé dans le rôle du véhicule aval, à condition qu’une cible normalisée deux-roues motorisé permettant d’effectuer l’essai en toute sécurité soit disponible;

| c) | À des vitesses constantes et variables du véhicule aval (par exemple, en suivant un profil de vitesses réaliste à partir de la base de données de conduite existante); |
| --- | --- |

c)

À des vitesses constantes et variables du véhicule aval (par exemple, en suivant un profil de vitesses réaliste à partir de la base de données de conduite existante);

| d) | Sur des tronçons de route droits et courbes; |
| --- | --- |

d)

Sur des tronçons de route droits et courbes;

| e) | Avec différentes positions latérales du véhicule aval dans la voie; |
| --- | --- |

e)

Avec différentes positions latérales du véhicule aval dans la voie;

| f) | Avec une décélération moyenne en régime du véhicule aval d’au moins 6 m/s2 jusqu’à l’arrêt. |
| --- | --- |

f)

Avec une décélération moyenne en régime du véhicule aval d’au moins 6 m/s2 jusqu’à l’arrêt.

| 4.4. | Changement de voie d’un autre véhicule entrant dans la voie |
| --- | --- |

4.4.

| 4.4.1. | L’essai doit démontrer que l’ALKS est capable d’éviter une collision avec un véhicule qui coupe la voie du véhicule équipé de l’ALKS jusqu’à une certaine criticité de la manœuvre de queue de poisson. |
| --- | --- |

4.4.1.

| 4.4.2. | La criticité de la manœuvre de queue de poisson est déterminée en fonction du TTC, de la distance longitudinale entre le point le plus en arrière du véhicule effectuant la queue de poisson et le point le plus en avant du véhicule équipé de l’ALKS, de la vitesse de déplacement latéral et longitudinal du véhicule effectuant la queue de poisson, tels que définis au paragraphe 5.2.5 du présent Règlement. |
| --- | --- |

4.4.2.

| 4.4.3. | Cet essai doit être effectué respectant au moins les conditions suivantes:






  a) | Avec différentes valeurs de TTC, de distance et de vitesse relative de la manœuvre de queue de poisson, en réalisant des scénarios de queue de poisson dans lesquels une collision peut être évitée et d’autres dans lesquels une collision ne peut être évitée; |
| --- | --- | --- |

4.4.3.

a)

Avec différentes valeurs de TTC, de distance et de vitesse relative de la manœuvre de queue de poisson, en réalisant des scénarios de queue de poisson dans lesquels une collision peut être évitée et d’autres dans lesquels une collision ne peut être évitée;

| b) | Avec des véhicules effectuant la queue de poisson à vitesse longitudinale constante, en accélération et en décélération; |
| --- | --- |

b)

Avec des véhicules effectuant la queue de poisson à vitesse longitudinale constante, en accélération et en décélération;

| c) | Avec différentes vitesses de déplacement latéral et accélérations latérales du véhicule effectuant la queue de poisson; |
| --- | --- |

c)

Avec différentes vitesses de déplacement latéral et accélérations latérales du véhicule effectuant la queue de poisson;

| d) | Avec une voiture particulière et un deux-roues motorisé dans le rôle du véhicule effectuant la queue de poisson, à condition qu’une cible normalisée deux-roues motorisé permettant d’effectuer l’essai en toute sécurité soit disponible. |
| --- | --- |

d)

Avec une voiture particulière et un deux-roues motorisé dans le rôle du véhicule effectuant la queue de poisson, à condition qu’une cible normalisée deux-roues motorisé permettant d’effectuer l’essai en toute sécurité soit disponible.

| 4.5. | Obstacle immobile après changement de voie du véhicule aval |
| --- | --- |

4.5.

| 4.5.1. | L’essai doit démontrer que l’ALKS est capable d’éviter une collision avec un véhicule à l’arrêt, un usager de la route ou un obstacle bloquant la voie qui devient visible après que le véhicule aval a évité une collision par une manœuvre d’évitement. |
| --- | --- |

4.5.1.

| 4.5.2. | L’essai doit être exécuté au moins:






  a) | Avec une cible voiture particulière à l’arrêt centrée dans la voie; |
| --- | --- | --- |

4.5.2.

a)

Avec une cible voiture particulière à l’arrêt centrée dans la voie;

| b) | Avec une cible deux-roues motorisé centrée dans la voie; |
| --- | --- |

b)

Avec une cible deux-roues motorisé centrée dans la voie;

| c) | Avec une cible piéton à l’arrêt centrée dans la voie; |
| --- | --- |

c)

Avec une cible piéton à l’arrêt centrée dans la voie;

| d) | Avec une cible objet bloquant la voie centrée dans la voie; |
| --- | --- |

d)

Avec une cible objet bloquant la voie centrée dans la voie;

| e) | Avec des obstacles consécutifs multiples bloquant la voie (par exemple, dans l’ordre suivant: véhicule soumis à l’essai, véhicule changeant de voie, motocycle, voiture); |
| --- | --- |

e)

Avec des obstacles consécutifs multiples bloquant la voie (par exemple, dans l’ordre suivant: véhicule soumis à l’essai, véhicule changeant de voie, motocycle, voiture);

| 4.6. | Essai d’évaluation du champ de vision |
| --- | --- |

4.6.

| 4.6.1. | L’essai doit démontrer que l’ALKS est capable de détecter un autre usager de la route dans la zone de détection avant jusqu’à la portée de détection avant déclarée et un véhicule sur le côté dans la zone de détection latérale jusqu’à au moins totalité de la largeur de la voie adjacente. |
| --- | --- |

4.6.1.

| 4.6.2. | L’essai de la portée de détection avant doit être exécuté au moins:






  a) | À l’approche d’une cible motocycle située au bord extérieur de chaque voie adjacente; |
| --- | --- | --- |

4.6.2.

a)

À l’approche d’une cible motocycle située au bord extérieur de chaque voie adjacente;

| b) | À l’approche d’une cible piéton à l’arrêt située au bord extérieur de chaque voie adjacente; |
| --- | --- |

b)

À l’approche d’une cible piéton à l’arrêt située au bord extérieur de chaque voie adjacente;

| c) | À l’approche d’une cible motocycle à l’arrêt située dans la voie du véhicule soumis à l’essai; |
| --- | --- |

c)

À l’approche d’une cible motocycle à l’arrêt située dans la voie du véhicule soumis à l’essai;

| d) | À l’approche d’une cible piéton à l’arrêt située dans la voie du véhicule soumis à l’essai. |
| --- | --- |

d)

À l’approche d’une cible piéton à l’arrêt située dans la voie du véhicule soumis à l’essai.

| 4.6.3. | L’essai d’évaluation de la portée de détection latérale doit être exécuté au moins:






  a) | Avec une cible motocycle s’approchant du véhicule équipé de l’ALKS par la voie adjacente de gauche; |
| --- | --- | --- |

4.6.3.

a)

Avec une cible motocycle s’approchant du véhicule équipé de l’ALKS par la voie adjacente de gauche;

| b) | Avec une cible motocycle s’approchant du véhicule équipé de l’ALKS depuis la voie adjacente de droite. |
| --- | --- |

b)

Avec une cible motocycle s’approchant du véhicule équipé de l’ALKS depuis la voie adjacente de droite.

5.   VERIFICATION SUPPLEMENTAIRE

| 5.1. | (Réservé) |
| --- | --- |

5.1.

| 5.2. | Le respect des dispositions suivantes doit être démontré par le constructeur et évalué par le service technique au moment de l’homologation de type: | Essai/Vérification |
| --- | --- | --- |
| 6.2.2. | Mode arrêt après nouveau démarrage/nouvelle mise en marche |
| 6.2.3. | Le système ne peut être activé que si:






  a) | Le conducteur est sur son siège et sa ceinture est attachée; |

5.2.

Essai/Vérification

6.2.2.

Mode arrêt après nouveau démarrage/nouvelle mise en marche

6.2.3.

Le système ne peut être activé que si:

a)

Le conducteur est sur son siège et sa ceinture est attachée;

| b) | Le conducteur est disponible; |
| --- | --- |

b)

Le conducteur est disponible;

| c) | Aucune défaillance n’est présente; |
| --- | --- |

c)

Aucune défaillance n’est présente;

| d) | Le DSSAD est fonctionnel; |
| --- | --- |

d)

Le DSSAD est fonctionnel;

| e) | Les conditions sont situées dans les limites du système. |
| --- | --- |

e)

Les conditions sont situées dans les limites du système.

6.2.1.

6.2.4.

6.2.5.

6.2.6.

Moyens de désactivation

Moyens spécifiques d’activation et de désactivation

Protection contre les interventions involontaires

Conduite:

| a) | Volant tenu en main et freinage ou accélération; |
| --- | --- |

a)

Volant tenu en main et freinage ou accélération;

| b) | Le conducteur tient le volant en réaction à la transition et à la manœuvre à risque minimal; |
| --- | --- |

b)

Le conducteur tient le volant en réaction à la transition et à la manœuvre à risque minimal;

| c) | Après la désactivation. |
| --- | --- |

c)

Après la désactivation.

6.3.

Moyens de neutraliser le système:

| a) | Commande de direction; |
| --- | --- |

a)

Commande de direction;

| b) | Freinage d’une puissance supérieure à celle du système; |
| --- | --- |

b)

Freinage d’une puissance supérieure à celle du système;

| c) | Accélération à une vitesse dans les limites du système. |
| --- | --- |

c)

Accélération à une vitesse dans les limites du système.

6.1.3.1.

Critères de détermination de la disponibilité du conducteur

5.1.3.

Systèmes d’aide à la conduite activés

6.3.1.1.

Attention du conducteur

5.5.

Comportement du système lors d’une manœuvre à risque minimal:

| a) | Le conducteur prend la relève; |
| --- | --- |

a)

Le conducteur prend la relève;

| b) | Arrêt (feux de détresse); |
| --- | --- |

b)

Arrêt (feux de détresse);

| c) | Réactivation désactivée en cas d’arrêt complet. |
| --- | --- |

c)

Réactivation désactivée en cas d’arrêt complet.

5.1.4.

5.1.5.

5.4.

Demande de transition et comportement, intensification

Le conducteur reprend le contrôle

Sans réaction du conducteur (manœuvre à risque minimal):

| a) | Transition prévue; |
| --- | --- |

a)

Transition prévue;

| b) | Transition imprévue. |
| --- | --- |

b)

Transition imprévue.

6.1.2.

6.1.3.

5.4.

Demande de transition en cours de fonctionnement

Dépassement des paramètres du système

Défaillance:

| a) | Collision détectable; |
| --- | --- |

a)

Collision détectable;

| b) | Conducteur non présent. |
| --- | --- |

b)

Conducteur non présent.

5.3.

Comportement du système lors de la manœuvre d’urgence:

| a) | Aboutit à l’immobilisation; |
| --- | --- |

a)

Aboutit à l’immobilisation;

| b) | N’aboutit pas à l’immobilisation. |
| --- | --- |

b)

N’aboutit pas à l’immobilisation.

7.1.

7.1.1.

7.1.2.

Zones de détection du système

Avant

Côtés

7.1.3.

Visibilité

| 5.3. | Des configurations d’essai supplémentaires peuvent être évaluées si le service technique le juge justifié. Certaines de ces configurations peuvent porter sur les cas suivants:






  a) | Séparation en Y de voies d’autoroute; |
| --- | --- | --- |

5.3.

a)

Séparation en Y de voies d’autoroute;

| b) | Véhicules entrant sur l’autoroute ou en sortant; |
| --- | --- |

b)

Véhicules entrant sur l’autoroute ou en sortant;

| c) | Voie du véhicule soumis à l’essai partiellement bloquée, tunnel; |
| --- | --- |

c)

Voie du véhicule soumis à l’essai partiellement bloquée, tunnel;

| d) | Feux de circulation; |
| --- | --- |

d)

Feux de circulation;

| e) | Véhicules d’urgence; |
| --- | --- |

e)

Véhicules d’urgence;

| f) | Zones de travaux; |
| --- | --- |

f)

Zones de travaux;

| g) | Marquage des voies de circulation usé, effacé ou dissimulé; |
| --- | --- |

g)

Marquage des voies de circulation usé, effacé ou dissimulé;

| h) | Personnel des services d’urgence ou d’entretien dirigeant la circulation; |
| --- | --- |

h)

Personnel des services d’urgence ou d’entretien dirigeant la circulation;

| i) | Changement des caractéristiques de la route (circulation non divisée, piétons autorisés, rond-point, intersection); |
| --- | --- |

i)

Changement des caractéristiques de la route (circulation non divisée, piétons autorisés, rond-point, intersection);

| j) | Reprise d’un flux de circulation normal, tous les véhicules se déplaçant à plus de 60 km/h. |
| --- | --- |

j)

Reprise d’un flux de circulation normal, tous les véhicules se déplaçant à plus de 60 km/h.

| 5.4. | Essai en conditions réelles
  Le service technique doit procéder ou assister à une évaluation du système en l’absence de défectuosité et en présence de circulation (essai en conditions réelles). L’objectif d’un tel essai est d’aider le service technique à comprendre la fonctionnalité du système dans son environnement de fonctionnement et de compléter l’évaluation du dossier fourni au titre de l’annexe 4.
  Pris conjointement, l’évaluation décrite à l’annexe 4 et l’essai en conditions réelles doivent permettre au service technique de déterminer les domaines fonctionnels du système qui pourraient nécessiter une évaluation plus approfondie, au moyen d’essais ou d’un examen plus poussé au titre de l’annexe 4.
  Lors de l’évaluation en conditions réelles, le service technique doit évaluer au moins les aspects suivants:






  a) | Prévention de l’activation lorsque le système se trouve en dehors des limites et prescriptions techniques ayant trait à l’ALKS; |
| --- | --- | --- |

5.4.

Le service technique doit procéder ou assister à une évaluation du système en l’absence de défectuosité et en présence de circulation (essai en conditions réelles). L’objectif d’un tel essai est d’aider le service technique à comprendre la fonctionnalité du système dans son environnement de fonctionnement et de compléter l’évaluation du dossier fourni au titre de l’annexe 4.

Pris conjointement, l’évaluation décrite à l’annexe 4 et l’essai en conditions réelles doivent permettre au service technique de déterminer les domaines fonctionnels du système qui pourraient nécessiter une évaluation plus approfondie, au moyen d’essais ou d’un examen plus poussé au titre de l’annexe 4.

Lors de l’évaluation en conditions réelles, le service technique doit évaluer au moins les aspects suivants:

a)

Prévention de l’activation lorsque le système se trouve en dehors des limites et prescriptions techniques ayant trait à l’ALKS;

| b) | Absence de violation des règles de circulation; |
| --- | --- |

b)

Absence de violation des règles de circulation;

| c) | Réaction à un événement prévu; |
| --- | --- |

c)

Réaction à un événement prévu;

| d) | Réaction à un événement imprévu; |
| --- | --- |

d)

Réaction à un événement imprévu;

| e) | Détection de la présence d’autres usagers de la route dans les zones de détection avant et latérale; |
| --- | --- |

e)

Détection de la présence d’autres usagers de la route dans les zones de détection avant et latérale;

| f) | Comportement du véhicule par rapport aux autres usagers de la route (distance de sécurité, scénario de queue de poisson, scénario de sortie de voie, etc.); |
| --- | --- |

f)

Comportement du véhicule par rapport aux autres usagers de la route (distance de sécurité, scénario de queue de poisson, scénario de sortie de voie, etc.);

| g) | Neutralisation du système. |
| --- | --- |

g)

Neutralisation du système.

L’emplacement et le choix de la route d’essai, de l’heure et des conditions environnementales sont déterminés par le service technique.

L’essai de conduite doit être enregistré et le véhicule d’essai doit être équipé d’un matériel non perturbateur. Le service technique peut enregistrer ou demander l’enregistrement de tous les canaux de données utilisés ou générés par le système, si cela est jugé nécessaire pour l’évaluation après l’essai.

Il est recommandé de procéder à l’essai en conditions réelles une fois que le système a subi avec succès tous les autres essais décrits dans la présente annexe et à l’issue d’une évaluation des risques effectuée par le service technique.

---