6. LISA

Sõidukite juhtplokkide ohutusaspektide suhtes kohaldatavad erinõuded

1. ÜLDTEAVE

Käesolevas lisas määratakse kindlaks sõidukite komplekssete elektrooniliste juhtsüsteemide (vt punkt 2.4) dokumentide, rikkestrateegia ja kontrolli suhtes käesoleva eeskirja raames kohaldatavad erinõuded.

Samuti kohaldatakse käesolevat lisa käesolevas eeskirjas nimetatud ohutusfunktsioonide suhtes, mida juhivad elektroonilised süsteemid (punkt 2.3), niivõrd kui see puudutab käesolevat eeskirja.

Käesolevas lisas ei määrata kindlaks „süsteemi“ jõudluskriteeriume, vaid see hõlmab projekteerimisel rakendatavaid meetodeid ja tüübikinnituse saamiseks tehnilisele teenistusele edastatavat teavet.

Selles teabes tuleb näidata, et „süsteem“ vastab nii rikkega kui ka riketeta tingimustes kõikidele asjakohastele jõudluskriteeriumidele, mis on sätestatud käesoleva eeskirja teistes osades, ja et see on projekteeritud töötama selliselt, et see ei põhjusta ohutuskriitilisi riske.

Taotleja (nt tootja) võib esitada tõendeid selle kohta, et abijuhtimisseadmestikku (kui see on paigaldatud) on varem tüübikinnituse käigus käesoleva eeskirja 4. lisa nõuete kohaselt hinnatud (nagu on nõutud käesoleva eeskirja algversioonis king 01- ja 02-seeria muudatustes). Sel juhul ei kohaldata selle abijuhtimisseadmestiku suhtes 03-seeria muudatuste kohase tüübikinnituse eesmärgil käesoleva lisa nõudeid.

2. MÕISTED

Käesolevas lisas kasutatakse järgmisi mõisteid:

2.1. „süsteem“– elektrooniline juhtsüsteem või kompleksne elektrooniline juhtsüsteem, mis tagab käesoleva eeskirjaga hõlmatud funktsioonile juhtimissignaali ülekande või on osa sellest ülekandest; see hõlmab ka kõiki muid käesoleva eeskirja kohaldamisalasse kuuluvaid süsteeme ning ülekandeühendusi teistest süsteemidest või teistesse süsteemidesse, mis ei kuulu käesoleva eeskirja kohaldamisalasse ning mis mõjutavad funktsioone, mille suhtes kohaldatakse käesolevat eeskirja;

2.2. „ohutuskontseptsioon“– süsteemi, näiteks elektroonilistesse seadmetesse kavandatud abinõude kirjeldus, millega tagatakse süsteemi terviklikkus ja ohutu toimimine nii tõrkega kui ka tõrgeteta olekus, sealhulgas elektririkke korral; ohutuskontseptsiooni osa võib olla ka üleminek osalisele funktsioneerimisele või koguni täielikule sõiduki hädavajalike funktsioonide tagamise varusüsteemile;

2.3. „elektrooniline juhtsüsteem“– seadmekombinatsioon, mis on ette nähtud koostööd tegema sõiduki kindlaksmääratud juhtimisfunktsiooni tekitamisel elektroonilise andmetöötluse abil; sellised süsteemid, mida juhitakse sageli tarkvara abil, koostatakse eraldiseisvatest funktsionaalsetest komponentidest, nagu andurid, elektroonilised juhtseadised ja ajamid, ning need ühendatakse ülekandelülide abil; need võivad sisaldada mehaanilisi, elektropneumaatilisi või elektrohüdraulilisi elemente;

2.4. „sõidukite komplekssed elektroonilised juhtsüsteemid“– elektroonilised juhtsüsteemid, milles funktsiooni, mida kontrollib elektrooniline süsteem või juht, võib tühistada juhtimishierarhias kõrgemal tasemel olev elektrooniline juhtsüsteem/funktsioon; funktsioon, mille tegevus tühistatakse, muutub kompleksse süsteemi osaks, nagu ka kõik selle tegevuse tühistanud süsteemid/funktsioonid, mis kuuluvad käesoleva eeskirja kohaldamisalasse; sellesse kuuluvad ka kõrgema taseme süsteemidesse/funktsioonidesse viivad ja nendest süsteemidest/funktsioonidest tulevad ülekandelülid;

2.5. „kõrgema taseme juhtsüsteemid/-funktsioonid“– süsteemid/funktsioonid, mis kasutavad sõiduki käitumise muutmiseks lisatöötlusseadmeid ja/või lisaandureid, varieerides käskluste abil sõiduki juhtsüsteemi funktsioone; see võimaldab komplekssetel süsteemidel muuta automaatselt oma eesmärke vastavalt nende tajutud olukordadest sõltuvale prioriteedile;

2.6. „seadmed“– käesolevas lisas käsitletavad väikseimad süsteemikomponentide osad, kuna kõnealuseid komponentide kombinatsioone vaadeldakse identimise, analüüsimise või asendamise seisukohast ühe üksusena;

2.7. „ülekandelülid“– eraldiasuvate seadmete omavaheliseks ühendamiseks kasutatavad vahendid, mille kaudu edastatakse signaale, andmeid või energiat; need on enamasti elektrilised, kuid võivad osaliselt olla ka mehaanilised, pneumaatilised või hüdraulilised;

2.8. „reguleerimispiirkond“– tähistab väljundparameetrit ning sellega määratakse kindlaks, millist ulatust süsteem tõenäoliselt kontrollib;

2.9. „funktsionaalse toimimise piirid“– välised füüsilised piirid, mille ulatuses suudab süsteem kontrolli säilitada;

2.10. „ohutusfunktsioon“– „süsteemi“ funktsioon, mis suudab muuta sõiduki dünaamilist käitumist; „süsteem“ võib olla suuteline täitma rohkem kui üht ohutusfunktsiooni.

3. DOKUMENDID

3.1. Nõuded

Tootja esitab dokumendipaketi, mis võimaldab tutvuda „süsteemi“ põhikonstruktsiooniga ja viisiga, kuidas see on seotud sõiduki muude süsteemidega või kuidas toimub väljundparameetrite otsene reguleerimine. Selgitada tuleb „süsteemi“ ja ohutuskontseptsiooni tootja poolt ette nähtud funktsioone. Dokumentatsioon peab olema lühike, ent sisaldama tõendeid selle kohta, et projekteerimis- ja arendustegevuses on osalenud kõigi sellesse hõlmatud süsteemivaldkondade asjatundjad. Korraliste tehnoülevaatuste otstarbeks tuleb dokumentides kirjeldada, kuidas saab kontrollida „süsteemi“ käitusoleku hetkeolukorda.

Tehniline teenistus hindab dokumentatsiooni, et kontrollida, et „süsteem“:

a) on projekteeritud selliselt, et see töötab nii riketeta kui ka rikkeolukorras ilma ohutuskriitilisi riske põhjustamata;

b) jälgib nii riketeta kui ka rikkeolukorras kõiki asjakohaseid mujal käesolevas eeskirjas sätestatud jõudlusnõudeid ning

c) on välja töötatud tootja deklareeritud arendusprotsessi/-meetodi kohaselt.

3.1.1. Dokumentatsioon tehakse kättesaadavaks kahes osas:

a) ametlik tüübikinnituse saamiseks esitatav dokumentatsioon, mis sisaldab punktis 3 (välja arvatud punktis 3.4.4) loetletud materjale ja mis esitatakse tehnilisele teenistusele tüübikinnitusetaotluse esitamise ajal. Tehniline teenistus kasutab seda dokumendipaketti käesoleva lisa punktis 4 sätestatud kontrolli käigus võrdlusalusena. Tehniline teenistus peab tagama, et see dokumendipakett jääb kättesaadavaks ajavahemikuks, mis määratakse kindlaks kokkuleppel tüübikinnitusasutusega. See ajavahemik peab olema vähemalt kümme aastat alates sõiduki tootmise lõpetamisest;

b) punktis 3.4.4 sätestatud lisamaterjalid ja analüüsiandmed, mis jäävad tootja valdusse, kuid mis tuleb tüübikinnituse ajal teha kontrollimise tarvis kättesaadavaks. Tootja tagab, et see materjal ja analüüsiandmed jäävad kättesaadavaks kümneks aastaks alates sõiduki tootmise lõpetamisest.

3.2. „Süsteemi“ funktsioonide kirjeldus

Esitada tuleb kirjeldus, milles selgitatakse lihtsalt ja arusaadavalt kõiki „süsteemi“ juhtfunktsioone ja eesmärkide saavutamiseks kasutatavaid meetodeid, sealhulgas nimetatakse juhttoiminguid tegev(ad) mehhanism(id).

Nimetatakse kõik kirjeldatud funktsioonid, mille toimimise saab tühistada, ja esitatakse täiendav kirjeldus funktsiooni toimimise muudetud loogika kohta.

3.2.1. Esitatakse loetelu kõikidest sisendparameetritest ja anduritega jälgitavatest parameetritest ning näidatakse nende tööpiirkond.

3.2.2. Esitada tuleb ka kõigi „süsteemi“ juhitavate väljundparameetrite loetelu ja iga juhu kohta märge, kas seda juhitakse otse või mõne muu süsteemi kaudu. Näidatakse iga sellise parameetri reguleerimispiirkond (punkt 2.7).

3.2.3. Funktsionaalse toimimise piirid (punkt 2.8) tuleb esitada juhul, kui see on süsteemi toimimise seisukohast oluline.

3.3. Süsteemi skeemid

3.3.1. Komponentide loetelu

Esitada tuleb kõiki „süsteemi“ seadmeid hõlmav loetelu, milles nimetatakse ka muid kõnealuse juhtfunktsiooni toimimiseks vajalikke sõiduki süsteeme.

Kõnealuste seadmete kombinatsiooni kujutav ülevaatlik skeem esitatakse koos seadmestiku jaotumise ning seadmete omavaheliste ühenduste selgitusega.

3.3.2. Seadmete funktsioonid

„Süsteemi“ iga seadme funktsiooni tuleb ülevaatlikult selgitada ja näidata, millised signaalid ühendavad seadet teiste seadmetega või sõiduki muude süsteemidega. Selle võib esitada kas märgistatud plokkskeemi või muu skeemina või skeemiga illustreeritud kirjeldusena.

3.3.3. Ühendused

„Süsteemi“-siseseid ühendusi näidatakse elektriliste ühenduste puhul lülitusskeemidega, pneumaatiliste või hüdrauliliste ühenduste puhul torustiku skeemiga ning mehaaniliste ühenduste puhul lihtsustatud diagramm-skeemiga. Samuti näidatakse nii teistesse süsteemidesse viivad kui ka neist tulevad ülekandelülid.

3.3.4. Signaalivoog, tööandmed ja prioriteedid

Nende ülekandelülide ning seadmete vahel edastatavate signaalide ja/või tööandmete vahel peab valitsema selge vastavus. Multipleksitud andmeteede signaalide ja/või tööandmete prioriteedid tuleb esitada juhul, kui prioriteet võib käesoleva eeskirja raames mõjutada toimimist või ohutust.

3.3.5. Seadmete identimistunnused

Iga seade peab olema selgelt ja üheselt idenditav (nt riistvara märgistamise abil ja tarkvara sisu märgistamise või tarkvaraväljundi abil), et vastavat riistvara ja dokumente oleks võimalik omavahel seostada.

Kui funktsioonid on ühe seadme või ka ühe arvuti piires kombineeritud, aga plokkskeemil on need arusaadavama ja ülevaatlikuma selgituse huvides esitatud mitme plokina, kasutatakse vaid ühte riistvara identimismärgistust. Kõnealuse identimismärgistuse kasutamisega kinnitab tootja, et paigaldatud seadmestik vastab sellega seotud dokumentidele.

3.3.5.1. Identimismärgistusega määratletakse riist- ja tarkvara versioon ning kui versiooni muutmisel muutuvad käesoleva eeskirjaga seoses ka seadme funktsioonid, muudetakse ka identimismärgistust.

3.4. Tootja ohutuskontseptsioon

3.4.1. Tootja esitab deklaratsiooni, milles kinnitab, et riketeta olukorras ei piira „süsteemi“ eesmärkide saavutamiseks valitud strateegia sõiduki ohutut toimimist.

3.4.2. „Süsteemis“ kasutatava tarkvara puhul tuleb ülevaatlikult selgitada selle arhitektuuri ning märkida kasutatud projekteerimismeetodid ja -vahendid. Tootja peab esitama tõendid vahendite kohta, mille abil määrati projekteerimis- ja arendustegevuse käigus kindlaks süsteemiloogika toimimine.

3.4.3. Tootja esitab tehnilisele teenistusele selgituse selliste lahutamatult „süsteemi“ kuuluvate projekteerimistingimuste kohta, millega tagatakse ohutu toimimine ka rikkeolukorras. Võimalikud projekteerimisvalikud „süsteemi“ rikkeolukorra puhul on näiteks järgmised:

a) üleminek osalise süsteemiga tööle;

b) ümberlülitumine eraldiseisvale varusüsteemile;

c) kõrgema taseme funktsiooni väljalülitamine.

Tõrke korral hoiatatakse juhti näiteks hoiatussignaali või kuvatava teatega. Kui juht ei ole süsteemi deaktiveerinud, pöörates näiteks süüteluku väljalülitatud asendisse või lülitades välja konkreetse funktsiooni, kui selleks on ette nähtud spetsiaalne lüliti, peab hoiatus kestma senikaua, kuni rikkeolukord püsib.

3.4.3.1. Kui valitud kontseptsioon näeb teatavate rikkeolukordade puhul ette osalise toimimise režiimi, tuleb need rikkeolukorrad nimetada ning esitada nendest tulenevad toimivuspiirangud.

3.4.3.2. Kui valitud kontseptsioon näeb sõiduki juhtsüsteemi eesmärkide saavutamiseks ette sekundaarsete vahendite (varusüsteemi) kasutamise, selgitatakse ümberlülitumismehhanismi põhimõtteid, dubleerituse loogikat ja taset ning kõiki sisseehitatud varukontrollisüsteeme ning esitatakse nendest tulenevad toimivuspiirangud.

3.4.3.3. Kui valitud kontseptsioon näeb ette kõrgema taseme funktsiooni väljalülitamise, tuleb katkestada kõik selle funktsiooniga seotud väljundjuhtsignaalid selliselt, et üleminekuhäiringute teke oleks piiratud.

3.4.4. Dokumentide täienduseks esitatakse analüüs, millest nähtub üldjoontes, kuidas süsteem käitub teatava üksikohuolukorra või rikke korral, mis mõjutab sõiduki juhitavust või ohutust.

Tootja peab valitud analüütilise(d) lähenemise(d) kindlaks määrama ja sellest/nendest kinni pidama ning tüübikinnituse ajal tuleb need tehnilisele teenistusele kontrollimise tarvis kättesaadavaks teha.

Tehniline teenistus hindab analüütilis(t)e meetodi(te) rakendamist. See kontroll hõlmab:

a) ohutuspõhimõtete kontrolli kontseptsiooni (sõiduki) tasandil koos kinnitusega selle kohta, et selles on arvesse võetud koostoimet sõiduki muude süsteemidega; need põhimõtted peavad põhinema süsteemi ohutuse seisukohast sobival ohu-/riskianaüüsil;

b) ohutuspõhimõtete kontrolli süsteemi tasandil; need põhimõtted peavad põhinema tõrgete võimalikkuse ja mõju analüüsil (Failure Mode and Effect Analysis, FMEA), vigadepuu analüüsil (Fault Tree Analysis, FTA) või muul sarnasel süsteemi ohutuse seisukohalt sobival protsessil;

c) valideerimiskavade ja valideerimise tulemuste kontrolli; valideerimisel kasutatakse näiteks HIL-katsetusmeetodit (Hardware-in-the-Loop), sõiduki talitluse katseid maanteel või muid valideerimiseks sobivaid viise.

Hindamine koosneb tehnilise teenistuse valitud ohtude ja rikete kontrollist, millega tehakse kindlaks, et tootjapoolne ohutuskontseptsiooni selgitus on arusaadav, loogiline ja et valideerimiskavad on sobivad ja on ellu viidud.

Tehniline teenistus võib ohutuskontseptsiooni kontrolliks teha punktis 4 sätestatud katsed või nõuda nende katsete tegemist.

3.4.4.1. Kõnealustes dokumentides loetletakse jälgitavad parameetrid ning nähakse iga käesoleva lisa punktis 3.4.4 määratletud rikkeolukorra liigi puhuks ette juhile ja/või hooldustöötajatele/tehnoülevaatuse töötajatele antav hoiatussignaal.

3.4.4.2. Dokumentides kirjeldatakse meetmeid, mis on võetud selleks, et „süsteem“ ei kahjustaks sõiduki ohutut käsitsemist, kui „süsteemi“ toimimist mõjutavad keskkonnatingimused, nagu ilmastik, temperatuur, tolmu või vee sissetung, jääkihi teke.

4. KONTROLLIMINE JA KATSETAMINE

4.1. Punktis 3 nõutavates dokumentides sätestatud „süsteemi“ funktsionaalset toimimist katsetatakse järgmisel viisil.

4.1.1. „Süsteemi“ funktsioneerimise kontroll

Tehniline teenistus kontrollib „süsteemi“ riketeta olukorras, katsetades teatavat hulka tootja poolt punkti 3.2 kohaselt deklareeritud funktsioonide hulgast valitud funktsioone.

Komplekssete elektrooniliste süsteemide puhul peavad need katsed hõlmama stsenaariume, milles deklareeritud funktsiooni toime tühistatakse.

4.1.2. Punkti 3.4 ohutuskontseptsiooni kontrollimine

„Süsteemi“ reageerimist tuleb kontrollida üksikus seadmes tekkinud tõrke tingimustes, andes seadme sisemise rikke tagajärgede imiteerimiseks elektriseadmetele või mehaanilistele elementidele vastava väljundsignaali. Tehniline teenistus teeb selle kontrolli vähemalt ühe üksikseadmega, kuid ei kontrolli „süsteemi“ reaktsiooni mitme samaaegse üksikseadmes tekkinud tõrke korral.

Tehniline teenistus kontrollib, et need katsed hõlmaksid aspekte, mis võivad mõjutada sõiduki juhitavust ja kasutajateavet (kasutajaliidese aspektid).

4.1.2.1. Kontrolli tulemused peavad vastama tõrkeanalüüsi dokumenteeritud kokkuvõttele sellisel üldmõju tasemel, et leiaks kinnitust ohutuskontseptsiooni ja selle rakendamise piisavus.

5. TEHNILISE TEENISTUSE ARUANDLUS

Tehnilise teenistuse hindamisaruanded koostatakse viisil, mis võimaldab jälgitavust, nt kontrollitud dokumentide versioonid kodeeritakse ja loetletakse tehnilise teenistuse ülestähendustes.

Tehnilise teenistuse poolt tüübikinnitusasutusele esitatava hindamisvormi võimaliku ülesehituse näide on esitatud käesoleva lisa 1. liites.