3.4.4.

La documentación deberá ir acompañada de un análisis que muestre, en términos generales, cómo se comportará el sistema para mitigar o evitar los peligros que puedan afectar a la seguridad del conductor, los pasajeros y otros usuarios de la vía. El fabricante establecerá y mantendrá los enfoques analíticos elegidos y los pondrá a disposición de la autoridad de homologación de tipo para su inspección en el momento de la homologación de tipo. La autoridad de homologación de tipo evaluará la aplicación de los enfoques analíticos, para lo cual realizará: a) una inspección del enfoque de la seguridad a nivel de concepto (vehículo); este enfoque se basará en un análisis de peligros/riesgos adecuado para la seguridad del sistema; b) una inspección del enfoque de la seguridad a nivel de sistema, que incluirá un enfoque descendente (desde el posible peligro hasta el diseño) y un enfoque ascendente (desde el diseño hasta los posibles peligros); el enfoque de la seguridad se podrá basar en un análisis modal de fallos y efectos (AMFE), un análisis en forma de árbol de fallos y un análisis de proceso teórico del sistema o cualquier otro procedimiento similar que resulte adecuado para las consideraciones relativas a la seguridad funcional y operativa del sistema; c) una inspección de los planes de validación/verificación y los resultados, que incluya criterios de aceptación adecuados. Dicha validación incluirá ensayos adecuados, por ejemplo, ensayos del sistema físico en la realimentación (Hardware in the Loop), ensayos de funcionamiento del vehículo en carretera, ensayos con usuarios reales, o cualquier otro medio apropiado para la validación/verificación. Los resultados de la validación y verificación podrán ser evaluados analizando la cobertura de los distintos ensayos y estableciendo umbrales mínimos de cobertura para varias métricas. La inspección confirmará que al menos cada uno de los siguientes aspectos esté cubierto cuando proceda en virtud de las letras a) hasta c): i) problemas relacionados con interacciones con otros sistemas del vehículo (por ejemplo, los frenos o la dirección); ii) fallos del sistema automático de mantenimiento del carril y reacciones de mitigación de riesgos del sistema; iii) situaciones en el marco del dominio del diseño operativo en las que un sistema podría entrañar riesgos excesivos para la seguridad del conductor, los pasajeros y otros usuarios de la vía debido a perturbaciones del funcionamiento (por ejemplo, falta o error de comprensión del entorno del vehículo, error de interpretación de la reacción del conductor, de un pasajero o de otro usuario de la vía, control inadecuado, escenarios complejos); iv) determinación de los escenarios pertinentes dentro de las condiciones límite y método de gestión utilizado para seleccionar escenarios y herramienta de validación elegida; v) proceso decisorio que da lugar a la ejecución de las tareas de conducción dinámica (por ejemplo, maniobras de emergencia), para la interacción con otros usuarios de la vía y en cumplimiento de las normas de tráfico; vi) uso indebido razonablemente previsible por parte del conductor (por ejemplo, sistema de reconocimiento de la disponibilidad del conductor y una explicación de cómo se han establecido los criterios de disponibilidad), errores o malos entendidos por parte del conductor (por ejemplo, anulación no intencionada) y manipulación indebida del sistema de forma deliberada; vii) ciberataques que afecten a la seguridad del vehículo (puede hacerse mediante el análisis efectuado en virtud del Reglamento n.o 155 de las Naciones Unidas sobre la ciberseguridad y el sistema de gestión de la ciberseguridad). La evaluación por parte de la autoridad de homologación consistirá en controles aleatorios de determinados peligros (o ciberamenazas) para establecer que la argumentación que justifica el concepto de seguridad es comprensible y lógica y se ha aplicado en las diferentes funciones de los sistemas. Dicha evaluación también verificará que los planes de validación son suficientemente sólidos para demostrar la seguridad (por ejemplo, una cobertura razonable de los ensayos realizados en los escenarios elegidos por la herramienta de validación elegida) y que se han llevado a cabo. Demostrará que el vehículo no entraña riesgos excesivos para el conductor, los ocupantes del vehículo y otros usuarios de la vía en el dominio del diseño operativo, es decir, mediante: a) un objetivo de validación general (es decir, criterios de aceptación de la validación) justificado por los resultados de la validación, que demuestre que la entrada en servicio del sistema automático de mantenimiento del carril no incrementará, con carácter general, el nivel de riesgo para el conductor, para los ocupantes del vehículo y para otros usuarios de la vía en comparación con la conducción manual del vehículo; y b) un enfoque específico del escenario que demuestre que el sistema no incrementará, con carácter general, el nivel de riesgo para el conductor, para los pasajeros y para otros usuarios de la vía en comparación con la conducción manual del vehículo en cada uno de los escenarios pertinentes para la seguridad; y la autoridad de homologación de tipo realizará o hará que se realicen los ensayos especificados en el apartado 4 para verificar el concepto de seguridad.