BILAG 4

Særlige krav, der skal anvendes på de funktionelle og driftsmæssige sikkerhedsaspekter ved systemer til automatisk vognbaneassistance (ALKS)

1. GENERELT

Formålet med dette bilag er at sikre, at den funktionelle og operationelle sikkerhed for det automatiserede system, som leverer de funktioner, der er reguleret af ALKS-regulativet, har været genstand for et acceptabelt, grundigt skøn af fabrikanten under konstruktions- og udviklingsprocesserne, og at et sådant skøn vil fortsætte i hele køretøjstypens livscyklus (design, udvikling, produktion, feltdrift, udfasning).

Det omfatter den dokumentation, som fabrikanten skal fremlægge for den typegodkendende myndighed eller den tekniske tjeneste, der handler på dennes vegne (i det følgende benævnt »typegodkendende myndighed«), med henblik på typegodkendelse.

Denne dokumentation skal påvise, at et system til automatisk vognbaneassistance opfylder ydeevnekravene i dette FN-regulativ, at det er konstrueret og udviklet til at fungere på en sådan måde, at det ikke indebærer urimelige sikkerhedsrisici for føreren, passagererne og andre trafikanter.

Den typegodkendende myndighed, der meddeler godkendelse, skal ved målrettet stikprøvekontrol og prøvninger kontrollere, at argumenterne i dokumentationsmaterialet er tilstrækkelig stærke, og at fabrikanten rent faktisk anvender de konstruktioner og processer, der er beskrevet i dokumentationen.

Selv om det på grundlag af den fremlagte dokumentation og de procesauditter/produktvurderinger, der er foretaget til den typegodkendende myndigheds tilfredshed vedrørende dette regulativ, skønnes, at det resterende risikoniveau af det vurderede system til automatisk vognbaneassistance er acceptabelt for ibrugtagning af køretøjstypen, er det fortsat den fabrikant, der anmoder om typegodkendelse, der er ansvarlig for den samlede køretøjssikkerhed i hele levetiden af systemet til automatisk vognbaneassistance, jf. kravene i dette regulativ.

2. DEFINITIONER

I dette bilag forestås ved:

2.1. »systemet«: et »elektronisk kontrolsystem på højere niveau« og dets elektroniske styresystem(er), der leverer den automatiserede kørselsfunktion. Dette omfatter også transmissionsforbindelser til eller fra andre systemer, der ikke er omfattet af dette regulativ, og som virker på den automatiske vognbaneassistancefunktion

2.2. »sikkerhedskoncept«: en beskrivelse af de foranstaltninger, der er indbygget i systemet, f.eks. i de elektroniske enheder, således at køretøjet fungerer på en sådan måde, at føreren, passagerer og andre trafikanter ikke udsættes for urimelige sikkerhedsrisici ved fejltilstand og normaltilstand. Muligheden for »fall-back« til delvis drift eller et back-up-system, der sikrer køretøjets vigtigste funktioner, skal indgå i sikkerhedskonceptet

2.3. »elektronisk kontrolsystem«: en kombination af enheder, der er udformet til at bidrage til frembringelse af den pågældende automatiske vognbaneassistancefunktion ved hjælp af elektronisk databehandling. Sådanne systemer, som typisk styres af software, er fremstillet af funktionelle enkeltkomponenter som sensorer, elektroniske kontrolenheder og bremsecylindere og er forbundet via transmissionsforbindelser. De kan omfatte mekaniske, elektropneumatiske eller elektrohydrauliske elementer

2.4. »elektroniske kontrolsystemer på højere niveau«: systemer, der anvender databehandlings- og/eller sensorudstyr til at udføre den dynamiske kørselsopgave

2.5. »enhed«: den mindste underinddeling af systemkomponenter, som er omfattet af dette bilag, idet disse kombinationer af komponenter behandles som separate enheder med henblik på identifikation, analyse eller udskiftning

2.6. »transmissionsforbindelser«: midler, som anvendes til at forbinde forskellige enheder med hinanden, med henblik på udsendelse af signaler, driftsdata eller forsyning med energi. Dette udstyr er normalt elektrisk, men kan til dels være mekanisk, pneumatisk eller hydraulisk

2.7. »kontrolområde«: en output-variabel, som definerer det område, inden for hvilket systemet kan forventes at udøve kontrol

2.8. »grænser for funktionel drift«: definerer grænserne for de ydre fysiske grænser, inden for hvilke systemet er i stand til at udføre dynamiske kørselsopgaver (herunder overtagelseskrav og minimale risikomanøvrer)

2.9. »operationelt designdomæne (ODD)« for systemet til automatisk vognbaneassistance: definerer de specifikke driftsforhold (f.eks. miljømæssige, geografiske, tidspunkter på dagen, trafik, infrastruktur, hastighedsområde, vejrforhold og andre forhold) inden for de grænser, der er fastsat i dette regulativ, under hvilke systemet til automatisk vognbaneassistance er konstrueret til at fungere uden indgriben fra føreren

2.10. »automatiseret kørselsfunktion«: en funktion i »systemet«, som kan ændre køretøjets dynamiske kørselsopgaver

2.11. »kontrolstrategi«: en strategi, der skal sikre en robust og sikker drift af »systemets« funktion(er) som reaktion på et bestemt sæt af omgivelses- og/eller driftsforhold (f.eks. vejbelægningens tilstand, trafiktæthed og andre trafikanter, ugunstige vejrforhold osv.). Dette kan omfatte automatisk deaktivering af en funktion eller midlertidige funktionsbegrænsninger (f.eks. nedsættelse af den maksimale driftshastighed osv.)

2.12. »funktionel sikkerhed«: fravær af urimelige risici i forbindelse med farer, der skyldes elektriske/elektroniske systemers fejlfunktion (sikkerhedsrisici som følge af systemfejl)

2.13. »fejl«: unormal tilstand, der kan medføre, at et element (system, komponent, software) eller en enhed (system eller kombination af systemer, der gennemfører en funktion på et køretøj), svigter

2.14. »svigt«: ophør af en et elements eller en enheds tilsigtede funktion

2.15. »driftssikkerhed«: fravær af urimelig risiko i forbindelse med farer, der skyldes funktionelle mangler ved den tilsigtede funktionalitet (f.eks. falsk/manglende detektion), driftsforstyrrelser (f.eks. miljøforhold som tåge, regn, skygger, sollys, infrastruktur) eller opstår som følge af med rimelighed forudseelig misbrug/fejl foretaget af føreren, passagerer og andre trafikanter (sikkerhedsrisici — uden systemfejl)

2.16. »urimelig risiko«: det samlede risikoniveau for føreren, køretøjspassagererne og andre trafikanter, som øges sammenlignet med et kompetent og omhyggeligt ført manuelt køretøj.

3. DOKUMENTATION

3.1. Krav Fabrikanten skal levere en dokumentationspakke, der giver adgang til »systemets« grundlæggende design og de midler, hvormed det forbindes til andre køretøjssystemer, eller som direkte kontrollerer output-variablerne. »Systemets« funktion(er), herunder kontrolstrategierne, og det af fabrikanten fastsatte sikkerhedskoncept skal forklares. Dokumentationen skal være kortfattet, men skal godtgøre, at der er anvendt ekspertise fra alle relevante systemområder i design- og udviklingsprocessen. I forbindelse med periodiske tekniske syn skal dokumentationen indeholde en beskrivelse af, hvordan »systemets« aktuelle driftsstatus kan efterprøves. Oplysninger om, hvordan softwareversionerne og status for fejladvarselssignal kan læses på en standardiseret måde ved hjælp af en elektronisk kommunikationsgrænseflade, i det mindste gennem standardgrænsefladen (OBD-port), skal tilvejebringes. Den typegodkendende myndighed skal vurdere dokumentationspakken for at godtgøre, at »systemet«: a) er konstrueret og udviklet til at fungere på en sådan måde, at det er frit for urimelige risici for føreren, passagererne og andre trafikanter inden for det angivne ODD og grænser b) overholder de ydeevnekrav, der er angivet andetsteds i dette FN-regulativ c) er udviklet i henhold til den udviklingsproces/metode, som fabrikanten har angivet, og at dette som minimum omfatter de trin, der er anført i punkt 3.4.4.

3.1.1. Dokumentationen skal foreligge i tre dele: a) Ansøgning om typegodkendelse: Det oplysningsskema, der indgives til den typegodkendende myndighed på tidspunktet for typegodkendelsesansøgningen, skal indeholde kortfattede oplysninger om de punkter, der er anført i tillæg 2. Det vil indgå i som en del af godkendelsen. b) Den formelle dokumentationspakke, der kræves med henblik på godkendelse, med det materiale, der er anført i dette punkt 3 (med undtagelse af punkt 3.4.4), som leveres til den typegodkendende myndighed med henblik på gennemførelse af produktvurderingen/procesauditten. Denne dokumentationspakke skal anvendes af den typegodkendende myndighed som referencegrundlag for den verifikationsproces, der er angivet i punkt 4 i dette bilag. Den typegodkendende myndighed skal sikre, at denne dokumentationspakke forbliver tilgængelig i en periode på 10 år at regne fra tidspunktet for det endelige produktionsophør af køretøjstypen. c) Yderligere fortroligt materiale og analysedata (intellektuel ejendomsret) i punkt 3.4.4, som skal opbevares af fabrikanten, men gøres tilgængeligt for inspektion (f.eks. on-site på fabrikantens tekniske faciliteter) på tidspunktet for produktvurderingen/procesauditten. Fabrikanten skal sikre, at dette materiale og disse analysedata forbliver tilgængelige i en periode på 10 år, der regnes fra tidspunktet for det endelige produktionsophør af køretøjstypen.

3.2. Beskrivelse af »systemets« funktioner, herunder kontrolstrategier. Der skal fremlægges en beskrivelse, som giver en enkel forklaring på alle funktioner, herunder »systemets« kontrolstrategier og de metoder, der anvendes for at udføre de dynamiske kørselsopgaver inden for ODD, og de grænser, inden for hvilke systemet til automatisk vognbaneassistance er beregnet til at fungere, herunder en erklæring om den eller de mekanismer, hvormed kontrollen udøves. Fabrikanten skal beskrive de forventede interaktioner mellem systemet og føreren, køretøjspassagerer og andre trafikanter samt menneske-maskine-grænseflade (HMI). Alle aktiverede eller deaktiverede automatiserede kørselsfunktioner, for hvilke hardware og software er til stede i køretøjet på produktionstidspunktet, skal angives og er underlagt kravene i dette bilag, inden de tages i brug i køretøjet. Fabrikanten skal også dokumentere databehandlingen ved eventuelle algoritmer til kontinuerlig læring.

3.2.1. Der skal fremlægges en liste over alle indlæste og målte variabler med definition af arbejdsområdet for disse samt en beskrivelse af, hvordan hver variabel påvirker systemets funktion.

3.2.2. Der leveres en fortegnelse over alle outputvariabler, som styres af »systemet«, og det forklares i hvert enkelt tilfælde, hvorvidt der er tale om direkte kontrol eller kontrol via et andet køretøjssystem. Det kontrolområde (punkt 2.7), der udøves på hver af disse variabler, skal defineres.

3.2.3. Øvre og nedre grænseværdier for funktionel drift, herunder ODD-grænser, angives, hvis det er relevant for ydeevnen af systemet til automatisk vognbaneassistance.

3.2.4. Interaktionskonceptet med føreren, når ODD-grænserne er nået, skal forklares, herunder listen over de typer situationer, hvor systemet vil generere et overtagelseskrav til føreren.

3.2.5. Der skal gives oplysninger om midlerne til at aktivere, tilsidesætte eller deaktivere systemet, herunder strategien for, hvordan systemet er beskyttet mod utilsigtet deaktivering. Dette skal også omfatte oplysninger om, hvordan systemet opdager, at føreren er tilgængelig til at overtage kørselskontrollen, sammen med specifikation af og dokumenteret bevis for den parameter, der er anvendt til identificering af førerens opmærksomhed samt indflydelsen på styringstærsklerne.

3.3. Systemkonfiguration og -diagram

3.3.1. Fortegnelse over komponenter. Der leveres en liste med alle enhederne i »systemet« og med angivelse af andre køretøjssystemer, som er nødvendige for at opnå den pågældende kontrolfunktion. Desuden leveres et diagram, som viser kombinationen af disse enheder og indeholder en nærmere angivelse af komponenternes fordeling og forbindelser med hinanden. Dette diagram skal omfatte: a) perception og detektering af genstande, herunder kortlægning og placering b) beslutningstagningskarakteristik c) fjernsupervision og fjernovervågning foretaget af et fjernovervågningscenter (hvis relevant) d) datalagringssystemet (DSSAD).

3.3.2. Enhedernes funktioner Der gives en kort beskrivelse af de enkelte enheders funktion i »systemet«, og de signaler, som forbinder systemet med andre enheder eller med andre køretøjssystemer, angives. Disse oplysninger kan afgives som et blokdiagram eller andet diagram, eller som en beskrivelse suppleret af et sådant diagram.

3.3.3. De indbyrdes forbindelser i »systemet« illustreres med et kredsløbsdiagram for elektriske transmissionsforbindelser, med et rørdiagram for pneumatisk eller hydraulisk transmissionsudstyr og med et forenklet diagram for mekaniske forbindelser. Transmissionsforbindelserne både til og fra andre systemer skal også illustreres.

3.3.4. Der skal være en klar overensstemmelse mellem transmissionsforbindelserne og de signaler, der sendes mellem enhederne. Prioriteringer for signaler i multiplexdatastier skal angives, såfremt disse kan påvirke ydelse eller sikkerhed.

3.3.5. Identifikation af enheder Hver enhed skal klart og utvetydigt kunne identificeres (f.eks. kan hardware mærkes, og software kan mærkes eller forsynes med softwaresignal) for at sikre sammenhængen mellem hardware og dokumentation. Hvis softwareversionen kan ændres, uden at det er nødvendigt at udskifte mærkningen eller komponenten, skal softwareidentifikationen kun ske ved hjælp af softwareoutput. Hvis flere funktioner er kombineret i en enkelt enhed eller i en enkelt computer, men af overskuelighedshensyn er angivet som flere blokke i blokdiagrammet, anvendes kun en enkelt identifikationsmærkning af det pågældende hardware. Ved anvendelse af denne identifikation skal fabrikanten bekræfte, at det leverede udstyr er i overensstemmelse med det hertil svarende dokument.

3.3.5.1. Identifikationen angiver den pågældende hardware- og softwareversion, og såfremt der kommer en ny version, som ændrer den i henhold til nærværende regulativ angivne funktion, skal identifikationen også ændres.

3.3.6. Montering af sensorsystemets komponenter Fabrikanten skal give oplysninger om de monteringsmuligheder, der vil blive anvendt for de enkelte komponenter, der indgår i sensorsystemet. Disse valgmuligheder skal omfatte, men er ikke begrænset til, komponentens placering i/på køretøjet, materiale(r) omkring komponenten, dimensionering og geometri af det materiale, der omgiver komponenten, samt overfladebehandling af de materialer, der omgiver komponenten, når den er monteret i køretøjet. Oplysningerne skal også omfatte monteringsspecifikationer, der er kritiske for systemets ydeevne, f.eks. tolerancer for monteringsvinkel. Ændringer af sensorsystemets enkelte komponenter eller monteringsmulighederne skal meddeles den typegodkendende myndighed og underkastes yderligere vurdering.

3.4. Fabrikantens sikkerhedskoncept

3.4.1. Fabrikanten skal fremlægge en erklæring, hvori det bekræftes, at »systemet« er fri for urimelige risici for fører, passagerer og andre trafikanter.

3.4.2. Med hensyn til software, der anvendes i »systemet«, skal konfigurationen forklares, og de anvendte metoder og redskaber i forbindelse med konceptet skal defineres (jf. 3.5.1). Fabrikanten skal dokumentere, hvordan han bestemte systemets logik i udformnings- og udviklingsprocessen.

3.4.3. Fabrikanten skal tilsende den typegodkendende myndighed en forklaring af de konstruktionsmæssige foranstaltninger, der er indbygget i »systemet« for at opretholde funktions- og driftssikkerhed. Mulige konstruktionsmæssige foranstaltninger i »systemet« kan være: a) fall-back til drift med anvendelse af delvist system b) redundans med et separat system c) fjernelse af de(n) automatiserede kørselsfunktion(er).

3.4.3.1. Hvis den valgte foranstaltning vælger en driftsmåde med delvis ydeevne ved visse fejltilstande (f.eks. i tilfælde af alvorlige svigt), skal disse betingelser angives (f.eks. type alvorligt svigt) og de deraf følgende effektivitetsbegrænsninger defineres (f.eks. initiering af en minimal risikomanøvre), ligesom advarselsstrategien over for føreren skal angives.

3.4.3.2. Hvis den valgte foranstaltning aktiverer et andet middel (back-up) til opfyldelse af den dynamiske kørselsopgaves funktionalitet, skal principperne bag omskiftningsmekanismen, logikken og redundansniveauet og eventuelle indbyggede back-up-kontrolfunktioner forklares, og de deraf følgende begrænsninger for back-up-effektiviteten specificeres.

3.4.3.3. Hvis den valgte foranstaltning vælger at fjerne den automatiserede kørselsfunktion, skal dette ske i overensstemmelse med de relevante bestemmelser i dette regulativ. Alle de tilhørende udgangskontrolsignaler, der er forbundet med denne funktion, skal forhindres.

3.4.4. Dokumentationen skal understøttes af en analyse, der overordnet viser, hvordan systemet vil skulle afbøde eller undgå farer, der kan have betydning for førerens, passagerernes og andre trafikanters sikkerhed. Den eller de valgte analysetilgange følges og forvaltes af fabrikanten og stilles til rådighed i forbindelse med den typegodkendende myndigheds inspektion på typegodkendelsestidspunktet. Den typegodkendende myndighed skal foretage en vurdering af anvendelsen af analysetilgangen(-ene): a) inspektion af sikkerhedstilgangen på konceptniveauet (køretøj) Denne tilgang skal baseres på en fare-/risikoanalyse, der er passende for systemsikkerheden b) inspektion af sikkerhedstilgangen på systemniveau, herunder en top-down- (fra mulig fare til konstruktion) og bottom-up-tilgang (fra konstruktion til mulige farer). Sikkerhedstilgangen kan være baseret på en analyse af en fejltilstand og virkningen heraf (FMEA), en fejltræsanalyse (FTA) og en systemteoretisk procesanalyse (STPA) eller en lignende proces, der er relevant i forhold til systemfunktionaliteten og driftssikkerheden c) inspektion af validerings/verifikationsplanerne og resultaterne heraf, herunder passende acceptkriterier. Dette omfatter valideringsprøvning, der er relevant for validering, f.eks. prøvning af »hardware in the Loop« (HIL), driftsprøvning af køretøjer på vej, prøvning med faktiske slutbrugere eller andre prøvninger, der er relevante for validering/verifikation. Resultaterne af validering og verifikation kan vurderes ved at analysere dækningen af de forskellige prøvninger og fastsætte minimumstærskler for dækningen af forskellige parametre. Inspektionen skal bekræfte, at mindst hvert af følgende punkter er dækket, hvor det er relevant under litra a)-c): i) forhold vedrørende interaktioner med andre køretøjssystemer (f.eks. bremsning, styretøj) ii) svigt i systemet til automatisk vognbaneassistance og systemets risikoreducerende reaktioner iii) situationer i ODD, hvor et system kan skabe urimelige sikkerhedsrisici for føreren, passagererne og andre trafikanter på grund af driftsforstyrrelser (f.eks. manglende eller forkert forståelse af køretøjets omgivelser, manglende forståelse af førerens, passagerers eller andre trafikanters reaktion, utilstrækkelig kontrol, udfordrende scenarier) iv) identifikation af de relevante scenarier inden for de grænsebetingelser og den forvaltningsmetode, der er anvendt til at udvælge scenarier, samt det valgte valideringsværktøj v) beslutningsproces, der har betydning for ydeevnen af de dynamiske kørselsopgaver (f.eks. nødmanøvrer), interaktion med andre trafikanter og overholdelse af færdselsreglerne vi) fejlanvendelse fra førerens side, der med rimelighed kan forudses (f.eks. systemet til registrering af førerens tilgængelighed og en forklaring på, hvordan tilgængelighedskriterierne blev fastlagt), fejltagelser eller misforståelser fra førerens side (f.eks. utilsigtet tilsidesættelse) og forsætlig manipulation af systemet vii) cyberangreb, der har indvirkning på køretøjets sikkerhed (kan udføres ved hjælp af en analyse, der foretages i henhold til FN-regulativ nr. 155 om cybersikkerhed og systemer til forvaltning af cybersikkerhed). Den godkendende myndigheds vurdering skal bestå af stikprøvekontrol af udvalgte farer (eller cybertrusler) for at fastslå, at argumentationen til støtte for sikkerhedskonceptet er forståelig og logisk og implementeret i systemernes forskellige funktioner. Vurderingen skal også omfatte kontrol af, at valideringsplanerne er robuste nok til at påvise sikkerhed (f.eks. rimelig dækning af valgte scenarieprøvninger ved hjælp af det valgte valideringsværktøj) og er blevet gennemført. Den skal påvise, at køretøjet ikke indebærer urimelige risici for fører, passagerer og andre trafikanter på det operationelle designdomæne, dvs. gennem: a) et overordnet valideringsmål (dvs. acceptkriterier for validering) understøttet af valideringsresultater, der viser, at ibrugtagningen af systemet til automatisk vognbaneassistance overordnet set ikke vil øge risikoniveauet for fører, passagerer og andre trafikanter sammenlignet med manuelt styrede køretøjer, og b) en scenariespecifik tilgang, der viser, at systemet overordnet set ikke vil øge risikoniveauet for fører, passagerer og andre trafikanter sammenlignet med manuelt styrede køretøjer for hvert af de sikkerhedsrelevante scenarier, og den typegodkendende myndighed skal udføre eller kræve, at der udføres prøver som angivet i punkt 4 for at efterprøve sikkerhedskonceptet.

3.4.4.1. I dokumentationen skal de overvågede parametre være opstillet i punktform, og for hvert af de i dette bilags punkt 3.4.4 specificerede fejltilstandstyper angives de advarselssignaler, der skal afgives til føreren/passagerer/andre trafikanter og/eller til service- og inspektionspersonalet.

3.4.4.2. I dokumentationen skal der være en beskrivelse af de foranstaltninger, der er truffet for at sikre, at »systemet« er fri for urimelige risici for fører, passagerer og andre trafikanter, når »systemets« ydeevne er påvirket af miljøforhold som f.eks. klima, temperatur, støvindtrængning, vandindtrængning, isslag.

3.5. Sikkerhedsstyringssystem (procesaudit)

3.5.1. For så vidt angår software og hardware, der anvendes i »systemet«, skal fabrikanten over for den typegodkendende myndighed igennem et sikkerhedsstyringssystem påvise, at der forefindes effektive processer, metoder og værktøjer, at disse er ajourførte og følges i organisationen med henblik på at styre sikkerheden og den fortsatte overholdelse i hele produktets livscyklus (design, udvikling, produktion, drift, herunder overholdelse af færdselsregler, og udfasning).

3.5.2. Der skal etableres en design- og udviklingsproces, herunder et sikkerhedsstyringssystem, forvaltning af krav, gennemførelse af krav, prøvning, sporing af svigt, afhjælpning og frigivelse.

3.5.3. Fabrikanten skal etablere og opretholde effektive kommunikationskanaler mellem fabrikantafdelinger med ansvar for funktionel/driftsmæssig sikkerhed, cybersikkerhed og andre relevante discipliner i forbindelse med opnåelse af køretøjssikkerhed.

3.5.4. Fabrikanten skal råde over procedurer til overvågning af sikkerhedsrelaterede hændelser/ulykker/kollisioner forårsaget af systemet til automatisk vognbaneassistance og en proces til håndtering af potentielle sikkerhedsrelevante mangler efter registrering (overvågning i marken via lukket kredsløb) og for opdatering af køretøjerne. Fabrikanten skal indberette kritiske hændelser (f.eks. kollision med andre trafikanter og potentielle sikkerhedsrelevante mangler) til de typegodkendende myndigheder.

3.5.5. Fabrikanten skal påvise, at der gennemføres periodiske uafhængige interne procesauditter for at sikre, at de processer, der er etableret i overensstemmelse med punkt 3.5.1-3.5.4, gennemføres konsekvent.

3.5.6. Fabrikanter skal indføre passende ordninger (f.eks. kontraktmæssige ordninger, klare grænseflader, kvalitetssikringssystemer) med leverandørerne for at sikre, at leverandørens sikkerhedsstyringssystem opfylder kravene i punkt 3.5.1 (bortset fra køretøjsrelaterede aspekter som »drift« og »dekommissionering«), 3.5.2, 3.5.3 og 3.5.5.

4. VERIFIKATION OG PRØVNING

4.1. »Systemets« funktionelle drift, jf. de i punkt 3 foreskrevne dokumenter, prøves som følger:

4.1.1. Verifikation af »systemets« funktioner Den typegodkendende myndighed skal kontrollere »systemet« ved normaltilstand ved på en bane at prøve en række funktioner udvalgt blandt dem, der er beskrevet af fabrikanten i punkt 3.2 ovenfor, og ved at efterprøve systemets generelle funktionalitet under faktiske kørselsforhold, herunder overholdelse af færdselsreglerne. Disse prøvninger skal omfatte scenarier, hvor systemet tilsidesættes af føreren. Prøvninger i henhold til dette bilag skal tage højde for prøvninger, der allerede er udført i henhold til bilag 5 til dette regulativ.

4.1.1.1. Verifikationsresultaterne skal svare til den beskrivelse, herunder kontrolstrategierne, som fabrikanten har fremlagt i punkt 3.2, og skal opfylde kravene i dette regulativ.

4.1.2. Verifikation af sikkerhedskonceptet i punkt 3.4 »Systemets« reaktion skal kontrolleres ved fejltilstand i en vilkårlig enhed ved at anvende de respektive outputsignaler til elektriske enheder eller mekaniske elementer for at simulere virkningen af indre svigt i enheden. Den typegodkendende myndighed skal foretage denne kontrol for mindst en enkelt enhed, men må ikke kontrollere reaktionen af »systemet« på flere samtidige svigt i de enkelte enheder. Den typegodkendende myndighed skal verificere, at disse prøvninger omfatter aspekter, som kan have indflydelse på køretøjets styrbarhed og brugerinformation (HMI-aspekter, f.eks. omstillingsscenarier).

4.1.2.1. Den typegodkendende myndighed skal også kontrollere en række scenarier, der er kritiske for detektering af genstande og reaktion herpå (OEDR) og karakteriseringen af systemets beslutningstagende funktioner og HMI-funktioner (f.eks. en genstand, der er vanskelig at detektere, når systemet når ODD-grænserne, trafikforstyrrelsesscenarier) som defineret i regulativet.

4.1.2.2. Resultaterne af verifikationen skal have en sådan grad af overensstemmelse med den dokumenterede sammenfatning af fareanalysen, at det overordnet kan bekræftes, at sikkerhedskonceptet og dets gennemførelse er tilstrækkelig og i overensstemmelse med kravene i dette regulativ.

4.2. Simuleringsværktøj og matematiske modeller til verifikation af sikkerhedskonceptet kan anvendes i overensstemmelse med skema 8 til revision 3 til overenskomsten af 1958, navnlig for scenarier, der er vanskeligt realiserbare på prøvebane eller under faktiske kørselsforhold. Fabrikanterne skal påvise simuleringsværktøjets anvendelsesområde, dets gyldighed for det pågældende scenarie samt den validering, der er foretaget for simuleringsværktøjskæden (sammenhæng mellem resultatet og fysiske prøvninger).

5. RAPPORTERING

Indberetning af vurderingen skal udføres på en sådan måde, at det muliggør sporbarhed, f.eks. kan versioner af dokumenter, der inspiceres, være kodet og opført i den tekniske tjenestes register.

Et eksempel på et muligt layout til den tekniske tjenestes verifikationsblanket til den typegodkendende myndighed er angivet i tillæg 1 til dette bilag. De opførte punkter i dette tillæg er beskrevet som et minimumssæt af punkter, der skal dækkes.

6. MEDDELELSE TIL ANDRE TYPEGODKENDENDE MYNDIGHEDER (TILLÆG 2), DER INDEHOLDER:

a) beskrivelse af ODD og den funktionelle arkitektur på højt niveau med fokus på de funktioner, der er til rådighed for fører, passagerer og andre trafikanter.

b) prøvningsresultater under de typegodkendende myndigheders verifikationsproces.

7. REVISORERS/ASSESSORERS KOMPETENCE

Vurderingerne i henhold til dette bilag må kun foretages af revisorer/assessorer, som har den tekniske og administrative viden, der er nødvendig til sådanne formål. De skal navnlig være kompetente som revisor/assessor efter ISO 26262-2018 (Funktionel sikkerhed — Vejkøretøjer) og ISO/PAS 21448 (Safety of the Intended Functionality of road vehicles). De skal være i stand til at skabe den nødvendige forbindelse til cybersikkerhedsaspekter i overensstemmelse med FN-regulativ nr. 155 og ISO/SAE 21434. Denne kompetence bør dokumenteres gennem passende kvalifikationer eller andre tilsvarende uddannelsesbeviser.

Tillæg 1 Model for vurderingsformular om systemer til automatisk vognbaneassistance Prøvningsrapport nr.: … 1. Identifikation 1.1. Fabrikat: … 1.2. Køretøjstype: … 1.3. Middel til systemidentifikation på køretøjet: … 1.4. Mærkets anbringelsessted: … 1.5. Fabrikantens navn og adresse: … 1.6. Navn og adresse på fabrikantens eventuelle repræsentant: … 1.7. Fabrikantens formelle dokumentationspakke: Dokumentreference nr.: … Dato for første udstedelse: … Dato for seneste opdatering: … 2. Prøvekøretøj(er)/systembeskrivelse(r) 2.1. Generel beskrivelse: … 2.2. Beskrivelse af alle kontrolfunktionerne i »systemet« og driftsmetoder:… 2.3. Beskrivelse af komponenter og diagrammer af sammenkoblingerne inden for »systemet«: 3. Fabrikantens sikkerhedskoncept 3.1. Beskrivelse af signalflow og driftsdata og deres prioriteringer: … 3.2. Fabrikantens erklæring: Fabrikanten…bekræfter, at »systemet« er fri for urimelige risici for fører, passagerer og andre trafikanter. 3.3. Skitseringsarkitektur af software samt de anvendte metoder og værktøjer: … 3.4. Forklaring af »systemets« sikkerhedskoncept: … 3.5. Dokumenterede analyser af »systemets« adfærd under individuelle fare- eller fejltilstande: … 3.6. Beskrivelse af de anvendte foranstaltninger med henblik på miljøforhold: … 3.7. Forskrifter vedrørende periodisk inspektion af »systemet«: … 3.8. Resultater af »systemets« verifikationstest, jf. punkt 4.1.1 i bilag 4 til FN's regulativ nr. 157: … 3.9. Resultater af sikkerhedskonceptverifikationstest, jf. punkt 4.1.2 i bilag 4 til FN-regulativ nr. 157: … 3.10. Dato for prøvning: … 3.11. Denne prøvning er udført, og resultaterne af den er rapporteret i henhold til … til FN-regulativ nr. 157 senest ændret ved ændringsserie ... . Teknisk tjeneste, som udfører prøvningen Underskrift: . … Dato: … 3.12. Bemærkninger: …

Tillæg 2 Formular for oplysningsskema om systemer til automatisk vognbaneassistance, som fabrikanten skal indsende med henblik på godkendelse 1. BESKRIVELSE AF SYSTEM TIL AUTOMATISK VOGNBANEASSISTANCE 1.1. Operationelt designdomæne (hastighed, vejtype, land, miljø, vejforhold osv.)/grænsebetingelser/vigtigste betingelser for minimale risikomanøvrer og overtagelseskrav … 1.2. Grundlæggende ydelse (f.eks. detektering af genstande og hændelser samt reaktion herpå (OEDR) ...) … 1.3. Midler til aktivering, tilsidesættelse eller deaktivering af systemet … 2. BESKRIVELSE AF »SYSTEMETS« FUNKTIONER, HERUNDER KONTROLSTRATEGIER 2.1. Vigtigste automatiserede kørselsfunktioner (funktionel arkitektur, perception af omgivelser). … 2.1.1. Køretøj — intern … 2.1.2. Køretøj — ekstern (f.eks. backend)… 3. OVERSIGT OVER DE VIGTIGSTE KOMPONENTER (ENHEDER) I »SYSTEMET« 3.1. Styreenheder … 3.2. Sensorer … 3.3. Kort/positionering … 4. SYSTEMKONFIGURATION OG -DIAGRAM 4.1. Diagram over systemets konfiguration inklusive sensorer til perception af omgivelser (f.eks. blokdiagram) … 4.2. Fortegnelse og diagram over sammenkoblinger (f.eks. blokdiagram)… 5. SPECIFIKATIONER 5.1. Midler til kontrol af korrekt systemdriftsstatus … 5.2. Midler anvendt til at beskytte mod simpel uautoriseret aktivering/drift og indgreb i systemet … 6. SIKKERHEDSKONCEPT 6.1. Sikker drift — Erklæring fra køretøjsfabrikanten … 6.2. Skitsering af softwarearkitektur (f.eks. blokdiagram) … 6.3. Midler til bestemmelse af systemlogikkens realisering … 6.4. Generel redegørelse for de vigtigste konstruktionsmæssige foranstaltninger, der er indbygget i »systemet« for at tilvejebringe sikker drift og interaktion med andre trafikanter under fejlforhold, driftsforstyrrelser og planlagte/uforudsete forhold, der ville overskride ODD … 6.5. Generel beskrivelse af hovedprincipper for håndtering af svigt, fall-back-strategi, herunder risikoreduktionsstrategi (minimal risikomanøvre) … 6.6. Interaktion med fører, passagerer og andre trafikanter, herunder advarselssignaler og overtagelseskrav, der skal gives til føreren … 6.7. Fabrikantens validering af de ydeevnekrav, der er angivet andetsteds i regulativet, herunder OEDR, menneske-maskine-grænseflade, overholdelse af færdselsreglerne og konklusionen om, at systemet er konstrueret på en sådan måde, at det er frit for urimelige risici for føreren, køretøjspassagererne og andre trafikanter … 7. VERIFIKATION OG PRØVNING FORETAGET AF MYNDIGHEDER 7.1. Verifikation af »systemets« funktioner … 7.2. Eksempler på kontrol af systemreaktionen under påvirkning af et svigt eller en driftsforstyrrelse, nødforhold og grænseforhold … 8. DATALAGRINGSSYSTEM 8.1. Typen af lagrede data … 8.2. Lagringsplacering … 8.3. Midler til sikring og beskyttelse af registrerede forekomster og dataelementer … 8.4. Midler til dataadgang … 9. CYBERSIKKERHED (KRYDSHENVISNING TIL CYBERSIKKERHEDSREGULATIVET) 9.1. Generel beskrivelse ordningen for styring af cybersikkerhed og softwareopdateringer … 9.2. Generel beskrivelse af de forskellige risici og foranstaltninger, der er truffet for at afbøde disse risici … 9.3. Generel beskrivelse af opdateringsproceduren … 10. OPLYSNINGER TIL BRUGERNE 10.1. Model for de oplysninger, der gives til brugerne (herunder forventede føreraktiviteter inden for ODD og uden for ODD). … 10.2. Uddrag af de relevante dele af brugermanualen …