LIITE III

Vaatimustenmukaisuuden arviointi

ADS-järjestelmän yleisen vaatimustenmukaisuuden arviointi perustuu seuraaviin:

— Osa 1: huomioon otettavat liikenneskenaariot

— Osa 2: ADS-järjestelmän turvajärjestelyjen arviointi ja valmistajan turvallisuudenhallintajärjestelmän tarkastaminen

— Osa 3: tärkeimpiä liikenneskenaarioita koskevat testit

— Osa 4: virtuaalisen työkaluketjun käytöstä ADS-järjestelmän validoinnissa tehtävää uskottavuusarviointia ohjaavat periaatteet

— Osa 5: valmistajan järjestelmä käytönaikaista raportointia varten.

Liitteessä II esitettyjen vaatimusten täyttyminen voidaan tarkastaa tyyppihyväksyntäviranomaisen (tai sen tutkimuslaitoksen) suorittamilla testeillä.

OSA 1

HUOMIOON OTETTAVAT LIIKENNESKENAARIOT

1. Vähintään edellytettävät liikenneskenaariot

1.1 On käytettävä 1 kohdassa lueteltuja skenaarioita ja parametreja, kun skenaariot ovat ADS-järjestelmän suunnitellun toiminta-alueen kannalta merkityksellisiä. Jos valmistaja poikkeaa 1 kohdassa esitetyistä parametreista, valmistajan on kuvattava käyttämänsä turvallisuusmittarit ja oletukset asiakirjapaketissa. Valituilla turvallisuusmittareilla ja oletuksilla on osoitettava, että täysin automatisoitu ajoneuvo ei aiheuta kohtuuttomia turvallisuusriskejä. Turvallisuustasomittareiden ja oletusten pätevyyden tueksi on esitettävä käytönaikaisia seurantatietoja.

1.2 Täysin automatisoidun ajoneuvon kaistanvaihtoskenaarioissa käytettävät parametrit

1.2.1 Kaistanvaihtoon sovelletaan E-säännössä nro 157 ( 1 ) vahvistettuja skenaarioita ja parametreja.

1.3 Täysin automatisoidun ajoneuvon kääntymisen ja risteävän ajon skenaariossa käytettävät parametrit

1.3.1 Kun kyse on vuorovaikutuksesta muiden sellaisten tienkäyttäjien kanssa, joita kohdataan käännyttäessä tai risteävässä ajossa (ks. kuva 1) tienpinnan ollessa kuiva ja hyväkuntoinen eikä tarkempia liikennesääntöjä ole, on otettava huomioon seuraavat vaatimukset:

1.3.2 Kun ajoneuvolla liitytään etuajo-oikeutettuun liikennevirtaan, risteääpä ajoreitti vastaantulevan liikenteen kanssa tai ei, kohdekaistalla kulkevien etuajo-oikeutettujen ajoneuvojen ei pitäisi joutua hidastamaan nopeuttaan. On kuitenkin varmistettava, että aika törmäykseen (TTC) kohdetiellä lähestyvän etuajo-oikeutetun ajoneuvon kanssa (tilanne a kuvassa 1) ei milloinkaan alita kynnystä TTC dyn : jossa v e on täysin automatisoidun ajoneuvon nopeus v a on etuajo-oikeutetun lähestyvän ajoneuvon nopeus β = 3 m/s2 on etuajo-oikeutettujen lähestyvien ajoneuvojen suurin hyväksyttävä hidastuvuus ρ = 1,5 s on etuajo-oikeutetun lähestyvän ajoneuvon kuljettajan reaktioaika.

1.3.3 Jos ajoneuvolla käännytään niin, että sen reitti ylittää vastaantulevan liikenteen reitin, vastaantulijoiden väistämisen ei pitäisi vaatia kohdekaistaa kulkevia etuajo-oikeutettuja ajoneuvoja hidastamaan nopeuttaan. Jos se on liikenteen vilkkauden vuoksi perusteltua, on varmistettava – sen lisäksi, että säilytetään turvallinen etäisyys kohdetiellä lähestyvään etuajo-oikeutettuun ajoneuvoon – että aika törmäykseen (TTC) risteävän etuajo-oikeutetun ajoneuvon kanssa kuvitteellisessa törmäyspisteessä (ajoreittien leikkauspiste, tilanne b kuvassa 1) ei milloinkaan alita kynnystä TTC int : jossa v c on risteävän etuajo-oikeutetun ajoneuvon nopeus β = 3 m/s2 on risteävän etuajo-oikeutetun ajoneuvon suurin hyväksyttävä hidastuvuus ρ = 1,5 s on risteävän etuajo-oikeutetun ajoneuvon kuljettajan reaktioaika. Sama koskee risteämistä etuajo-oikeutetun liikenteen reitin kanssa (tilanne c kuvassa 1). Aika törmäykseen (TTC) etuajo-oikeutetun ajoneuvon kanssa kuvitteellisessa törmäyspisteessä (ajoreittien leikkauspiste) ei saa milloinkaan alittaa tässä kohdassa määriteltyä kynnystä TTC int . Kuva 1: Etäisyydet kääntymisen ja risteävän ajon aikana. Tilanne a: etäisyys kohdekaistalla ajaviin etuajo-oikeutettuihin lähestyviin ajoneuvoihin käännyttäessä ja liityttäessä etuajo-oikeutettuun liikennevirtaan. Tilanne b: turvaetäisyys etuajo-oikeutettuihin vastaantulijoihin, kun käännytään vastaantulevan liikenteen reitin ylitse. Tilanne c: risteävässä ajossa säilytettävä etäisyys risteäviin etuajo-oikeutettuihin ajoneuvoihin.

1.4 Täysin automatisoidun ajoneuvon hätäohjausliikeskenaarioissa (dynaaminen ajotehtävä kriittisessä skenaariossa) käytettävät parametrit

1.4.1 ADS-järjestelmän on vältettävä törmääminen edellä ajavaan ajoneuvoon, joka hidastaa nopeuttaan täyteen jarrutustehoon asti, ellei toinen ajoneuvo ole kiilannut sen eteen.

1.4.2 Törmäys samaan suuntaan kulkeviin kiilaaviin ajoneuvoihin, jalankulkijoihin ja pyöräilijöihin ja tietä ylittämään lähteviin jalankulkijoihin on vältettävä ainakin seuraavan yhtälön mukaisissa olosuhteissa: jossa on aika törmäykseen (TTC) hetkellä, jolloin kiilaava ajoneuvo tai pyöräilijä on siirtynyt yli 30 cm täysin automatisoidun ajoneuvon kaistalle. v rel on täysin automatisoidun ajoneuvon ja kiilaavan ajoneuvon keskinäinen suhteellinen nopeus metreinä sekunnissa [m/s] (arvo on positiivinen, jos täysin automatisoitu ajoneuvo kulkee nopeammin kuin kiilaava ajoneuvo). β on täysin automatisoidun ajoneuvon suurin hidastuvuus, jonka oletetaan olevan 2,4 m/s2, jos ajoneuvossa kuljetetaan seisovia tai ilman turvajärjestelmää matkustavia matkustajia ja ajoneuvon eteen kiilataan 6 m/s2, jos ajoneuvossa kuljetetaan seisovia tai ilman turvajärjestelmää matkustavia matkustajia ja ilmenee jokin muu skenaario, jossa on mukana jalankulkijoita tai pyöräilijöitä 6 m/s2, kun kyse on muista täysin automatisoiduista ajoneuvoista. ρ on aika jonka täysin automatisoitu ajoneuvo tarvitsee hätäjarrutuksen käynnistämiseen ja jonka oletetaan olevan 0,1 s. τ on suurimman hidastuvuuden β saavuttamiseen kuluva aika, jonka oletetaan olevan 0,12 s, kun kyse on täysin automatisoidusta ajoneuvosta, jossa kuljetetaan seisovia tai ilman turvajärjestelmää matkustavia matkustajia 0,3 s, kun kyse on muista täysin automatisoiduista ajoneuvoista. Tämän yhtälön noudattaminen on pakollista vain kiilaavien tienkäyttäjien tapauksessa, jos nämä ovat olleet näkyvissä vähintään 0,72 sekuntia ennen kiilaamista. Näin voidaan vaaditulla tavalla välttää törmäys, kun oman ajoneuvon kaistalle tulee toinen tienkäyttäjä ja jäljempänä esitettävät TTC-arvot ylittyvät (esimerkissä nopeuden porrastus on 10 km/h). Vaatimusten on täytyttävä ympäristöolosuhteista riippumatta. v rel [km/h] [s], kun ajoneuvossa on seisovia tai ilman turvajärjestelmää matkustavia matkustajia [s] muiden ajoneuvojen tapauksessa 10 0,74 0,48 20 1,32 0,71 30 1,9 0,94 40 2,47 1,18 50 3,05 1,41 60 3,63 1,64 Jos kaistanvaihto täysin automatisoidun ajoneuvon kaistalle tapahtuu niin, että TTC-arvo on esitettyjä pienempi, törmäyksen välttämistä ei enää voida pitää oletuksena. ADS-järjestelmän valvontastrategia voi muuttua törmäyksen välttämisestä sen lieventämiseen vain siinä tapauksessa, että valmistaja voi osoittaa, että muutos parantaa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuutta (esimerkiksi kun jarruttaminen asetetaan etusijalle vaihtoehtoiseen ohjausliikkeeseen nähden).

1.4.3 ADS-järjestelmän on vältettävä törmäys tietä ylittävään jalankulkijaan tai pyöräilijään ajoneuvon edessä.

1.4.3.1 Kaupunki- ja maantieliikenne

1.4.3.1.1 ADS-järjestelmän on nopeuteen 60 km/h asti vältettävä törmäys ajoneuvon edessä tietä ylittävään näkyvissä olevaan jalankulkijaan, jonka nopeuden sivusuuntainen komponentti on enintään 5 km/h, tai ajoneuvon edessä tietä ylittävään näkyvissä olevaan pyöräilijään, jonka nopeuden sivusuuntainen komponentti on enintään 15 km/h. Vaatimuksen on toteuduttava riippumatta siitä, millaista ohjausliikettä ADS-järjestelmä on suorittamassa.

1.4.3.1.2 Jos jalankulkijan tai pyöräilijän etenemisnopeus ylittää edellä mainitut arvot eikä ADS-järjestelmä enää pysty välttämään törmäystä, järjestelmän valvontastrategia voi muuttua törmäyksen välttämisestä sen lieventämiseen vain siinä tapauksessa, että valmistaja voi osoittaa, että muutos parantaa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuutta (esimerkiksi kun jarruttaminen asetetaan etusijalle vaihtoehtoiseen ohjausliikkeeseen nähden).

1.4.3.1.3 ADS-järjestelmän on lievennettävä törmäystä ajoneuvon edessä tietä ylittävään näkyvissä olevaan jalankulkijaan tai pyöräilijään vähentämällä törmäyksen hetkistä nopeuttaan vähintään 20 km/h. Vaatimuksen on toteuduttava riippumatta siitä, millaista ohjausliikettä ADS-järjestelmä on suorittamassa.

1.4.3.1.4 Edellä esitettyjen, ajoneuvon edessä tietä ylittäviin jalankulkijoihin ja pyöräilijöihin liittyvien vaatimusten täyttymisen osoittamisessa voidaan käyttää ohjenuorana arviointiskenaarioita, jotka on kehitetty eurooppalaisen uusien henkilöautojen turvallisuuden arviointiohjelman (Euro NCAP) puitteissa.

1.4.3.2 Moottoritieliikenne

1.4.3.2.1 Tietä ylittävän jalankulkijan osalta sovelletaan E-säännössä nro 157 vahvistettuja skenaarioita ja parametreja.

1.4.3.2.2 Jos jalankulkijan tienylitykseen liittyvät arvot ylittävät E-säännössä nro 157 vahvistetut rajat eikä ADS-järjestelmä enää pysty välttämään törmäystä, järjestelmän valvontastrategia voi muuttua törmäyksen välttämisestä sen lieventämiseen vain siinä tapauksessa, että valmistaja voi osoittaa, että muutos parantaa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuutta (esimerkiksi kun jarruttaminen asetetaan etusijalle vaihtoehtoiseen ohjausliikkeeseen nähden).

1.5 Liittyminen moottoritielle Täysin automatisoidun ajoneuvon on pystyttävä liittymään moottoritielle turvallisesti sovittamalla nopeutensa liikennevirtaan ja antamalla suuntamerkki liikennesääntöjen mukaisesti. Suuntamerkin on kytkeydyttävä pois toiminnasta, kun ajoneuvo on tehnyt kaistanvaihdon. Tällöin sovelletaan kaistanvaihtoskenaariossa käytettyjä parametreja.

1.6 Poistuminen moottoritieltä Täysin automatisoidun ajoneuvon on pystyttävä ennakoimaan kohteena olevan poistumisliittymän lähestyminen ajamalla poistumiskaistan viereisellä kaistalla ja välttämällä turhaa hidastamista ennen kuin kaistanvaihto poistumiskaistalle aloitetaan. Täysin automatisoidun ajoneuvon on annettava suuntamerkki liikennesääntöjen mukaisesti ja siirryttävä poistumiskaistalle ilman aiheetonta viivytystä. Kun kaistanvaihto on saatu päätökseen, suuntamerkin on kytkeydyttävä pois toiminnasta toimintamaan liikennesääntöjen mukaisesti.

1.7 Tiemaksuaseman ohittaminen Täysin automatisoidun ajoneuvon on suunnitellun toiminta-alueensa mukaisesti pystyttävä valitsemaan oikea maksuportti ja säätämään nopeutensa tiemaksuaseman alueella sallitun mukaiseksi ottaen liikennevirran huomioon.

1.8 Ajo muilla tietyypeillä kuin moottoriteillä Järjestelmän suunnitellun toiminta-alueen mukaan sovelletaan sopivaa 1.2–1.4 kohdassa määriteltyä skenaariota.

1.9 Automaattisen pysäköintipalvelun yhteydessä käytettävät parametrit

1.9.1 Järjestelmän suunnitellun toiminta-alueen mukaan sovelletaan sopivia 1.3–1.5 kohdassa määriteltyjä skenaarioita. Skenaarioissa käytettäviä parametreja voi olla tarpeen muuttaa, jotta voidaan ottaa huomioon se, että ajonopeudet ovat pysäköintilaitoksessa pienet ja yleinen näkyvyys voi olla huono. Erityisesti on pyrittävä välttämään törmäys jalankulkijoihin ja etenkin lapsiin ja lastenvaunuihin.

2. Skenaariot, joita ei käsitellä 1 kohdassa

2.1 Edellä 1 kohdassa lueteltujen skenaarioiden lisäksi on laadittava skenaarioita, joissa otetaan huomioon suunnitellulla toiminta-alueella kohtuudella ennakoitavissa olevat kriittiset tilanteet, mukaan luettuina vikaantumiset ja liikenteen vaaratilanteet.

2.2 Jos ADS-järjestelmän toimintakyky edellyttää etävalmiuksia, skenaarioihin on sisällyttävä vastaavista etävalmiuksista johtuvia vikaantumisia ja liikenteen vaaratilanteita.

2.3 Laadittaessa 1 kohtaan sisältymättömiä skenaarioita on noudatettava tämän liitteen osan 1 lisäyksessä 1 vahvistettuja periaatteita.

2.4 Menetelmät, joilla valmistaja on laatinut 1 kohtaan sisältymättömät skenaariot, on kuvattava ADS-järjestelmän arviointia varten toimitettavassa asiakirjapaketissa. Lisäys 1 ADS-järjestelmän suunnitellun toiminta-alueen kannalta merkityksellisten skenaarioiden laatimisessa noudatettavat periaatteet 1. Skenaarioiden laatiminen ja luokittelu Skenaariot voidaan luonteensa mukaan luokitella tavanomaisiksi, kriittisiksi ja häiriöskenaarioiksi, jotka vastaavat normaalia tai hätätoimintatilaa. Liikenneskenaarioiden laatimiseen voidaan kussakin luokassa käyttää data- tai tietämyspohjaista mallia. Tietämyspohjaisessa mallissa hyödynnetään asiantuntijatietoa vaaratilanteiden järjestelmälliseen kartoittamiseen ja skenaarioiden luomiseen. Datapohjaisessa mallissa hyödynnetään käytettävissä olevaa dataa skenaarioiden kartoittamiseen ja luokittelemiseen. Skenaariot on johdettava täysin automatisoidun ajoneuvon suunnitellusta toiminta-alueesta. 2. Tavanomaiset skenaariot Valmistaja voi käyttää apuna erilaisia analyysimalleja laatiessaan lisää tavanomaisia skenaarioita, joilla varmistetaan jonkin tietyn tilanteen ottaminen huomioon. Nämä mallit ovat seuraavanlaisia: 2.1 Suunnitellun toiminta-alueen analyysi Suunniteltu toiminta-alue koostuu erilaisista toimintaympäristöistä (esim. fyysinen infrastruktuuri), ympäristöolosuhteista, dynaamisista tekijöistä (esim. liikenne ja loukkaantumiselle alttiit tienkäyttäjät) ja käsillä olevaan ADS-sovellukseen liittyvistä toimintarajoituksista. Analyysin tavoitteena on kartoittaa suunnitellun toiminta-alueen ominaisuudet ja määritellä eri kohteiden ominaispiirteet ja vuorovaikutussuhteet. Tässä tarkastellaan ADS-järjestelmän suunnitellun toiminta-alueen vaikutuksia toimintavalmiuksiin. Analyysistä esitetään esimerkki taulukossa 1. Taulukko 1 Dynaamiset tekijät ja niiden ominaisuudet Tekijät Tapahtumat/vuorovaikutus Ajoneuvot (esim. henkilöautot, kevyet kuorma-autot, raskaat kuorma-autot, linja-autot, moottoripyörät) Edellä ajava ajoneuvo hidastaa vauhtiaan (edessä) Edellä ajava ajoneuvo on pysähtynyt (edessä) Edellä ajava ajoneuvo kiihdyttää vauhtiaan (edessä) Kaistanvaihto (edessä/sivulla) Kiilaaminen (vieressä) Kääntyminen (edessä) Ajokaistalle siirtyy (ohittava) vastaantuleva ajoneuvo (edessä/sivulla) Ajokaistalle siirtyy (ohittava) vieressä ajava ajoneuvo (edessä/sivulla) Liittyminen tielle (edessä/sivulla) Äkillinen poistuminen (edessä) Jalankulkijat Tienylitys suojatiellä (edessä) Tienylitys suojatien ulkopuolelle (edessä) Kävely jalkakäytävällä tai pientareella Pyöräilijät Ajaminen kaistalla (edessä) Ajaminen viereisellä kaistalla (edessä/sivulla) Ajaminen omalla kaistalla (edessä/sivulla) Ajaminen jalkakäytävällä tai pientareella Tienylitys suojatiellä (edessä/sivulla) Tienylitys suojatien ulkopuolella (edessä/sivulla) Eläimet Paikallaan kaistalla (edessä) Siirtyy kaistalle tai pois kaistalta (edessä/sivulla) Paikallaan tai liikkeellä vierekkäisellä kaistalla (edessä) Paikallaan tai liikkeellä pientareella Roju Paikallaan kaistalla (edessä) Muut dynaamiset kohteet (esim. ostoskärryt) Paikallaan kaistalla (edessä/sivulla) Siirtyy kaistalle tai pois kaistalta (edessä/sivulla) Liikennemerkit Pakollinen pysäyttäminen, väistämisvelvollisuus risteyksessä, nopeusrajoitus, suojatie, rautatie, risteys, koulualue Liikennevalot Risteys, rautatien tasoristeys, koulualue Ajoneuvon signaalit Suuntamerkki 2.2 Esineiden ja tapahtumien havaitsemisen ja niihin reagoimisen analyysi: toimintavalmiuksien kartoittaminen Kun tekijät/kohteet ja niiden keskeiset ominaisuudet on kartoitettu, voidaan määritellä niihin sopiva ADS-järjestelmän reaktio. ADS-järjestelmän reagointi mallinnetaan soveltamalla toiminnallisia vaatimuksia, tässä asetuksessa vahvistettuja suoritusvaatimuksia ja käyttömaan liikennesääntöjä. Esineiden ja tapahtumien havaitsemisen ja niihin reagoimisen analyysissä kartoitetaan lisäksi valmiudet, joista voidaan muodostaa yhteys suunniteltuun toiminta-alueeseen sovellettaviin toimintavalmiuksiin, ja joilla varmistetaan, että asiaankuuluvia sääntelyllisiä ja oikeudellisia vaatimuksia noudatetaan. Taulukossa 2 annetaan esimerkki toisiinsa sovitetuista tapahtumista ja reaktioista. Tekijöiden ja tapahtumien yhdistelmä ja niiden mahdollinen suunniteltuun toiminta-alueeseen sisältyvä vuorovaikutus muodostavat tarkasteltavan ADS-järjestelmän kannalta merkitykselliset tavanomaiset skenaariot. Tavanomaisten skenaarioiden kartoituksessa voidaan hyödyntää laajempaa skenaarioiden kuvaajien yhdistelmää, johon kuuluvat suunnitellulla toiminta-alueella esimerkiksi infrastruktuurin ominaisuudet, kohteiden ja tapahtumien ominaisuudet sekä reaktioihin vaikuttavat vaaratekijät (esim. sää ja näkyvyys). Tavanomaisten skenaarioiden kartoituksessa on kyse paitsi liikenneolosuhteista myös ympäristöolosuhteista, inhimillisistä tekijöistä, tietoliikenneyhteyksistä ja viestinnällisistä väärinkäsityksistä. Koska tapahtumaa koskevat parametrit (eli oletukset) täytyy vielä määritellä, analyysin perusteella laadittuja tavanomaisia skenaarioita on tarkasteltava niiden toiminnallisen ja loogisen mallinnuksen tasolla. Taulukko 2 Tiettyjä tapahtumia koskevat toimintavalmiudet Tapahtuma Reaktio Edellä ajava ajoneuvo hidastaa vauhtiaan Seurataan ajoneuvoa, hidastetaan, pysäytetään Edellä ajava ajoneuvo on pysähtynyt Hidastetaan, pysäytetään Edellä ajava ajoneuvo kiihdyttää vauhtiaan Kiihdytetään, seurataan ajoneuvoa Edellä ajava ajoneuvo kääntyy Hidastetaan, pysäytetään Toinen ajoneuvo vaihtaa kaistaa Väistetään, hidastetaan, seurataan ajoneuvoa Toinen ajoneuvon kiilaa eteen Väistetään, hidastetaan tai pysäytetään, seurataan ajoneuvoa Ajoneuvo liittyy tielle Seurataan ajoneuvoa, hidastetaan, pysäytetään Ajokaistalle siirtyy (ohittava) vastaantulija Hidastetaan, lopetetaan hidastaminen, siirrytään kaistalla tai sen ulkopuolelle Ajokaistalle siirtyy (ohittava) vierellä ajava ajoneuvo Väistetään, hidastetaan, pysäytetään Edellä ajava ajoneuvo poistuu äkillisesti Kiihdytetään, hidastetaan, pysäytetään Jalankulkija ylittää tien suojatiellä Väistetään, hidastetaan, pysäytetään Jalankulkija ylittää tien suojatien ulkopuolella Väistetään, hidastetaan, pysäytetään Pyöräilijöitä ajaa kaistalla Väistetään, seurataan Pyöräilijöitä ajaa omalla kaistalla Siirrytään kaistalla Pyöräilijöitä ylittää tien suojatiellä Väistetään, hidastetaan, pysäytetään Pyöräilijöitä ylittää tien suojatien ulkopuolella Väistetään, hidastetaan, pysäytetään 3. Kriittiset skenaariot Kriittisiä skenaarioita voidaan muodostaa joko rajatapausoletusten tai tavanomaisten liikenneskenaarioiden pohjalta (datapohjaisesti) tai soveltamalla standardoituja menetelmiä toiminnallisten puutteiden arviointiin (tietämyspohjaisesti) (esimerkkejä menetelmistä annetaan osassa 2 olevassa 3.5.5 kohdassa). Tavanomaisten skenaarioiden kartoituksessa voidaan hyödyntää laajempaa skenaarioiden kuvaajien yhdistelmää, johon kuuluvat suunnitellulla toiminta-alueella esimerkiksi infrastruktuurin ominaisuudet, kohteiden ja tapahtumien ominaisuudet sekä reaktioihin vaikuttavat vaaratekijät (esim. sää, näkyvyyttä peittävät tekijät ja vuorovaikutus muiden kuin kohteen tai tapahtuman taustalla olevien tienkäyttäjien kanssa). Kriittisten skenaarioiden kartoituksessa on kyse paitsi liikenneolosuhteista myös ympäristöolosuhteista, inhimillisistä tekijöistä, tietoliikenneyhteyksistä ja viestinnällisistä väärinkäsityksistä. Kriittiset skenaariot vastaavat ADS-järjestelmän hätätoimintatilaa. 4. Häiriöskenaariot Häiriöskenaarioilla pyritään arvioimaan ADS-järjestelmän reagointia vikaantumistilanteessa. Alan kirjallisuudesta löytyy erilaisia menetelmiä (esimerkkejä menetelmistä annetaan osassa 2 olevassa 3.5.5 kohdassa). Valmistajan on ADS-järjestelmää kehittäessään sisällytettävä siihen strategia kutakin kartoitettua toimintavirhettä ja sen seurauksia varten (varmistusjärjestely). Hätäskenaarioiden tarkoituksena on arvioida ADS-järjestelmän kykyä noudattaa turvallisuuden kannalta kriittisissä tilanteissa sovellettavia vaatimuksia ja niistä seuraavia jatkovaatimuksia. Tällaisia vaatimuksia ovat esimerkiksi, että ADS-järjestelmän on hallittava turvallisuuden kannalta kriittiset ajotilanteet tai että ADS-järjestelmän on hallittava vikaantumistilanteet turvallisesti. 5. Oletukset: loogisista konkreettisiin skenaarioihin Jotta edellisten kohtien mukaisesti kartoitettuja skenaarioita voitaisiin arvioida simulointien tai fyysisten testien avulla, valmistajan voi olla tarpeen määrittää niille johdonmukaiset parametrit oletusten avulla. Valmistajan on esitettävä oletusten tueksi näyttöä, joka voi perustua esimerkiksi kehittämisvaiheen aikana toteutettuihin tiedonkeruisiin, onnettomuustutkimuksiin ja ajokäyttäytymisestä tehtyihin realistisiin arviointeihin. Kriittisten skenaarioiden kuvaamiseen käytettävien parametrien olisi katettava kohtuudella ennakoitavissa olevat skenaarioiden kuvaajien arvot, joita eivät kuitenkaan ole pelkästään dokumentoiduissa tietokannoissa jo havaitut arvot.

OSA 2

ADS-JÄRJESTELMÄN SUUNNITTELURATKAISUN ARVIOINTI JA VALMISTAJAN TURVALLISUUDENHALLINTAJÄRJESTELMÄN TARKASTAMINEN

1. Yleistä

1.1 Tyyppihyväksynnän myöntävän tyyppihyväksyntäviranomaisen tai sen puolesta toimivan tutkimuslaitoksen on kohdennetuilla pistokokeilla ja testeillä (etenkin tämän liitteen 4 kohdassa kuvatuilla) varmennettava, että asiakirjoissa esitetyt turvallisuusperustelut vastaavat liitteen II vaatimuksia ja että valmistaja toteuttaa asiakirjoissa kuvatut suunnitteluratkaisut ja prosessit myös käytännössä.

1.2 Tyyppihyväksyttyyn ADS-järjestelmään liittyvän jäännösriskin katsotaan toimitettujen asiakirjojen, turvallisuudenhallintajärjestelmän tarkastamista varten esitetyn näytön sekä tyyppihyväksyntäviranomaista tyydyttävin tuloksin suoritetun ADS-järjestelmän turvajärjestelyjen arvioinnin perusteella olevan tasolla, joka on hyväksyttävissä ajoneuvotyypin ottamiseksi käyttöön. ADS-järjestelmän yleisestä turvallisuudesta koko sen käyttöiän ajan, kun järjestelmää käytetään tämän asetuksen vaatimusten mukaisesti, vastaa kuitenkin tyyppihyväksyntää hakeva valmistaja.

2. Tässä liitteessä sovelletaan seuraavia määritelmiä:

2.1 ’Turvajärjestelyillä’ tarkoitetaan kuvausta ADS-järjestelmään sisällytetyistä toimenpiteistä, joiden avulla täysin automatisoitu ajoneuvo toimii järjestelmän suunnitellun toiminta-alueen kannalta merkityksellisissä skenaarioissa ja tapahtumissa siten, ettei se vikaantuneena (toimintaturvallisuus) tai vikaantumattomana (käyttöturvallisuus) aiheuta kohtuutonta vaaraa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuudelle. Turvajärjestelyihin on kuuluttava myös toiminne, jonka myötä ADS-järjestelmän olennaiset toiminteet siirtyvät toimimaan vain osittain taikka varajärjestelmää hyödyntäen.

2.2 ’Yksiköllä’ tarkoitetaan pienintä tässä liitteessä tarkasteltavaa järjestelmän rakenneosaa; tällaisia komponenttien yhdistelmiä pidetään erillisinä kokonaisuuksina tunnistamisen, analysoinnin ja vaihtamisen kannalta.

2.3 ’Siirtoyhteyksillä’ tarkoitetaan järjestelyjä, joilla erilliset yksiköt liitetään toisiinsa signaalien, toimintadatan tai energian siirtoa varten. Laitteet ovat yleensä sähköisiä mutta voivat olla osittain myös mekaanisia, pneumaattisia tai hydraulisia.

2.4 ’Valvonta-alueella’ tarkoitetaan lähtömuuttujan vaihtelualuetta, jota järjestelmän odotetaan valvovan.

2.5 ’Toimintarajalla’ tarkoitetaan niitä fyysisiä rajoja, joiden sisäpuolella ADS-järjestelmä voi huolehtia dynaamisista ajotehtävistä.

3. ADS-järjestelmää koskevat asiakirjat

3.1 Vaatimukset

Valmistajan on toimitettava sellaiset asiakirjat, joista käy ilmi ADS-järjestelmän perusrakenne ja se, millä tavoin se on yhteydessä ajoneuvon muihin järjestelmiin tai suoraan valvoo lähtömuuttujia. Myös ajoneuvon ulkopuolisiin laitteistoihin ja ohjelmistoihin ja etävalmiuksiin liittyvät järjestelyt on selostettava.

Asiakirjoissa on selostettava valmistajan määrittelemät ADS-järjestelmän ja sen ohjausstrategioiden toiminnot ja turvajärjestelyt.

Asiakirja-aineiston on oltava tiivis, mutta siinä on kuitenkin esitettävä näyttöä siitä, että suunnittelu- ja kehitystyössä on hyödynnetty asiantuntemusta kaikilta asiaan liittyviltä aloilta.

Asiakirjoissa on määräaikaiskatsastuksia varten kuvattava, miten ADS-järjestelmän kulloinenkin toimintatila, oikea toiminta ja ohjelmiston eheys voidaan tarkastaa.

Tyyppihyväksyntäviranomaisen on arvioitava asiakirja-aineisto sen selvittämiseksi, että ADS-järjestelmä

a) on suunniteltu ja kehitetty toimimaan siten, ettei se suunnitellulla toiminta-alueellaan ja toimintarajojensa puitteissa aiheuta kohtuutonta vaaraa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuudelle

b) täyttää tämän asetuksen liitteessä II vahvistetut suorituskykyvaatimukset

c) on kehitetty valmistajan ilmoittaman prosessin tai menetelmän mukaisesti.

3.1.1 Asiakirja-aineisto koostuu seuraavista kolmesta osasta: a) Tyyppihyväksyntähakemus. Ilmoituslomakkeessa, joka toimitetaan tyyppihyväksyntäviranomaiselle tyyppihyväksyntähakemuksen yhteydessä, on annettava lyhyet tiedot liitteessä I luetelluista seikoista. Lomakkeesta tulee tyyppihyväksynnän osa. b) Tyyppihyväksyntää varten tarvittava virallinen asiakirjapaketti, joka sisältää 3 kohdassa luetellun aineiston (lukuun ottamatta 3.5.5 kohdassa tarkoitettuja tietoja) ja joka on toimitettava tyyppihyväksyntäviranomaiselle ADS-järjestelmän tyyppihyväksyntää varten. Tyyppihyväksyntäviranomainen käyttää pakettia perusviiteaineistona tämän liitteen 4 kohdassa esitetyssä tarkastusmenettelyssä. Tyyppihyväksyntäviranomaisen on varmistettava, että asiakirjapaketti on saatavilla vähintään 10 vuoden ajan siitä, kun ajoneuvotyypin tuotanto lopetetaan kokonaan. c) Luottamuksellisena pidettävä lisäaineisto ja 3.5.5 kohdassa tarkoitetun analyysin tulokset (henkinen omaisuus), jotka valmistajan on säilytettävä mutta jotka asetetaan saataville tarkastusta varten ADS-järjestelmän tyyppihyväksynnän yhteydessä (esim. valmistajan teknisissä tiloissa). Valmistajan on varmistettava, että aineisto ja analyysitiedot ovat saatavilla 10 vuoden ajan siitä, kun ajoneuvotyypin tuotanto on lopetettu kokonaan.

3.2 ADS-järjestelmän yleiskuvaus

3.2.1 Yleiskuvauksessa on selostettava yksinkertaisesti ADS-järjestelmän toiminnallisia ja muita ominaisuuksia.

3.2.2 Kuvauksessa on käsiteltävä seuraavia:

3.2.2.1 suunniteltu toiminta-alue eli suurin käyttönopeus, tietyyppi (esim. erityinen kaista), toimintamaat ja -alueet, vaaditut tie- tai ympäristöolosuhteet (esim. käyttökielto lumisissa olosuhteissa) ja reunaehdot

3.2.2.2 perustoiminta (esim. esineiden ja tapahtumien havaitseminen ja niihin reagoiminen, käytön aikana tarvittava ajoneuvon ulkopuolinen infrastruktuuri)

3.2.2.3 vuorovaikutus muiden tienkäyttäjien kanssa

3.2.2.4 vaaran minimoivaa ohjausliikettä koskevat pääehdot

3.2.2.5 järjestelyt yhteydenpitoon ajoneuvon matkustajien ja tapauksen mukaan ajoneuvossa olevan valvojan ja etävalvojan kanssa

3.2.2.6 keino, jolla tapauksen mukaan ajoneuvossa oleva valvoja tai etävalvoja, ajoneuvon matkustajat tai muut tienkäyttäjät voivat kytkeä ADS-järjestelmän toimintaan tai pois toiminnasta

3.2.2.7 toiminnalliset toimenpiteet, jotka on täytettävä turvallisuuden takaamiseksi täysin automatisoidun ajoneuvon käytön aikana (esim. tarvitaan ajoneuvossa oleva valvoja tai etävalvoja).

3.2.2.8 taustajärjestelmä, täysin automatisoidun ajoneuvon turvallisen käytön edellyttämä ajoneuvon ulkoinen infrastruktuuri.

3.3 ADS-järjestelmän toimintojen kuvaus

Kuvauksessa on selostettava kaikkia ADS-järjestelmän vakaan ja turvallisen toiminnan varmistavia toimintoja ohjausstrategiat mukaan luettuina sekä menettelyjä, joilla ADS-järjestelmä suorittaa dynaamiset ajotehtävät suunnitellun toiminta-alueensa puitteissa, ja esitettävä toimintarajat, joiden sisällä järjestelmä on suunniteltu toimimaan, mukaan luettuina mekanismit, joilla nämä varmistetaan.

Mahdollisten käytettävissä olevien tai käytöstä poistettujen automatisoitujen ajotoimintojen, joihin tarvittavat laitteistot ja ohjelmistot ovat asennettuina ajoneuvoon sitä valmistettaessa, on täytettävä tämän liitteen ja tämän asetuksen liitteen II vaatimukset, ja ne on ilmoitettava ennen niiden käyttöä ajoneuvossa. Jos käytössä on jatkuvasti oppivia algoritmeja, valmistajan on lisäksi dokumentoitava niihin liittyvä tietojenkäsittely.

3.3.1 Kaikki tulomuuttujat ja mitatut muuttujat on lueteltava ja niiden toiminta-alue määriteltävä. Lisäksi on selostettava, miten kukin muuttuja vaikuttaa ADS-järjestelmän käyttäytymiseen.

3.3.2 Kaikki ADS-järjestelmän valvomat lähtömuuttujat on lueteltava, ja lisäksi on ilmoitettava kussakin tapauksessa, tapahtuuko valvonta suoraan vai ajoneuvon jonkin toisen järjestelmän välityksellä. On määriteltävä alue, jolla ADS-järjestelmän odotetaan valvovan kutakin lähtömuuttujaa.

3.3.3 Toimintarajat määrittelevät raja-arvot (myös suunnitellun toiminta-alueen rajat) on annettava, jos niillä on merkitystä ADS-järjestelmän toiminnalle.

3.3.4 On annettava selostus järjestelystä (käyttöliittymä), jota käytetään viestinnässä ajoneuvon matkustajien tai mahdollisen ajoneuvossa olevan valvojan tai etävalvojan kanssa, kun lähestytään järjestelmän suunnitellun toiminta-alueen rajoja ja kun ne saavutetaan. Selostuksessa on lueteltava ne tilannetyypit, joissa ADS-järjestelmä esittää tukipyynnön ajoneuvossa olevalle valvojalle tai etävalvojalle (tapauksen mukaan), ja kuvattava pyynnön esittäminen, tuloksettoman pyynnön käsittelymenettely ja vaaran minimoiva ohjausliike. Lisäksi on kuvattava signaalit ja tiedot, jotka kussakin edellä mainitussa tapauksessa annetaan ajoneuvossa olevalle valvojalle tai etävalvojalle, ajoneuvon matkustajille ja muille tienkäyttäjille.

3.4 ADS-järjestelmän kokoonpano ja kaaviot

3.4.1 Komponenttiluettelo On toimitettava luettelo, jossa esitetään kaikki ADS-järjestelmään kuuluvat yksiköt ja mainitaan ne muut ajoneuvon järjestelmät, ajoneuvon ulkoiset laitteistot ja ohjelmistot ja etävalmiudet, joita tarvitaan hyväksyttävän ADS-järjestelmän kyseisen toiminnon toteuttamiseen järjestelmän suunnitellun toiminta-alueen mukaisesti. Lisäksi on toimitettava kaavio, jossa nämä yksiköt esitetään toisiinsa yhdistettynä ja josta käy selvästi ilmi laitteitten sijoittelu ja niiden väliset yhteydet. Kaaviossa on esitettävä seuraavat: a) havainnointitoiminto ja esineiden ja tapahtumien havaitseminen, mukaan luettuna kartoitus ja paikantaminen b) päätöksenteon kuvaus c) ADS-järjestelmän tietoelementit d) yhteydet ja rajapinnat ajoneuvon muiden järjestelmien, ajoneuvon ulkopuolisten laitteistojen ja ohjelmistojen ja etävalmiuksien kanssa.

3.4.2 Yksiköitten toiminta ADS-järjestelmän kunkin yksikön toiminnasta ja yksiköt muihin yksiköihin tai toiseen ajoneuvon järjestelmään yhdistävistä signaaleista on esitettävä kuvaus. Mukana on oltava ADS-järjestelmää ja ajoneuvon muita järjestelmiä tukevat ajoneuvon ulkopuoliset järjestelmät. Kuvaus voidaan antaa lohko- tai muuna kaaviona taikka kaaviota hyödyntävänä sanallisena kuvauksena.

3.4.3 ADS-järjestelmän sisäiset liitännät on esitettävä piirikaaviona sähköisten linkkien osalta, putkikaaviona pneumaattisten tai hydraulisten laitteiden osalta ja yksinkertaisena kaaviona mekaanisten liitosten osalta. Lisäksi on esitettävä muihin järjestelmiin johtavat ja niistä tulevat siirtoyhteydet.

3.4.4 Siirtoyhteyksien ja yksiköstä toiseen välitettävien signaalien on vastattava selkeästi toisiaan. Multipleksoituja datakanavia pitkin välitettäviin signaaleihin sovellettavat prioriteetit on mainittava aina, kun priorisointi voi vaikuttaa järjestelmän toimintaan tai turvallisuuteen.

3.4.5 Yksiköitten tunnistaminen

3.4.5.1 Kukin yksikkö on voitava tunnistaa selvästi ja yksiselitteisesti (esim. laitteeseen tehtävällä merkinnällä sekä ohjelmiston sisällön osoittavalla merkinnällä tai lähtösignaalilla), jotta toisiaan vastaavat laitteet ja asiakirjat voidaan yhdistää toisiinsa. Jos ohjelmistoversiota voidaan muuttaa vaihtamatta komponenttia tai merkintää, ohjelmiston tunnistamisen on tapahduttava pelkästään lähtösignaalilla.

3.4.5.2 Jos yhteen yksikköön tai yhteen tietokoneeseen on koottu useampia toimintoja, jotka kuitenkin selvyyden vuoksi esitetään lohkokaaviossa erillisinä lohkoina, on laite varustettava yhdellä ainoalla tunnistemerkinnällä. Tätä tunnistemerkintää käyttämällä valmistajan on vakuutettava, että toimitetut laitteet ovat niitä koskevien asiakirjojen mukaisia.

3.4.5.3 Tunnistemerkinnällä yksilöidään laitteen ja ohjelmiston versio, ja jos viimeksi mainittu muuttuu niin, että kyseisen yksikön toiminta muuttuu tämän asetuksen soveltamisalaan kuuluvalla tavalla, myös tunnistemerkintää on muutettava.

3.4.6 Anturijärjestelmän komponenttien asentaminen Valmistajan on toimitettavat tiedot vaihtoehdoista, joita käytetään anturijärjestelmän muodostavien yksittäisten komponenttien asentamiseen. Vaihtoehtoihin on kuuluttava ainakin komponentin sijainti ajoneuvossa, komponenttia ympäröivät materiaalit, näiden materiaalien mitat ja muoto ja niiden pintakäsittely komponentin ollessa asennettuna ajoneuvoon. Tietoihin on sisällyttävä myös ADS-järjestelmän suorituskyvyn kannalta kriittiset asennusvaatimukset, kuten asennuskulman toleranssit. Anturijärjestelmän yksittäisiin komponentteihin tai asennusvaihtoehtoihin tehtävistä muutoksista on ilmoitettava tyyppihyväksyntäviranomaiselle, ja ne on arvioitava uudelleen.

3.5 Valmistajan turvajärjestelyt ja valmistajan tekemä turvajärjestelyjen validointi

3.5.1 Valmistajan on annettava lausunto, jossa vahvistetaan, että ADS-järjestelmä ei aiheuta ajoneuvon matkustajille ja muille tienkäyttäjille kohtuutonta vaaraa.

3.5.2 ADS-järjestelmässä käytettyjen ohjelmistojen arkkitehtuuri on selostettava ja käytetyt suunnittelumenetelmät ja -välineet yksilöitävä (ks. 3.5.1 kohta). Valmistajan on esitettävä näyttöä siitä, millä tavoin ADS-järjestelmän toimintaperiaate toteutettiin suunnittelu- ja kehittelyvaiheessa.

3.5.3 Valmistajan on toimitettava tyyppihyväksyntäviranomaiselle selvitys ADS-järjestelmään sisällytetyistä toiminteista, joilla huolehditaan sen toiminta- ja käyttöturvallisuudesta. ADS-järjestelmään vikaantumisen varalta sisällytettyjä toiminteita ovat esimerkiksi seuraavat: a) toiminnan jatkaminen käyttämällä vain osaa järjestelmästä b) siirtyminen erillisen järjestelmän käyttöön c) usean järjestelmän käyttäminen saman tehtävän suorittamiseen d) automatisoitujen ajotoimintojen kytkeminen pois käytöstä.

3.5.3.1 Jos valittu toiminne kytkee päälle osittaisen toiminnan tietyissä vikaolosuhteissa (esim. vakavan vian yhteydessä), on yksilöitävä kyseiset olosuhteet (esim. vian tyyppi) ja määriteltävä tuloksena olevat toimintarajoitukset (esim. vaaran minimoivan ohjausliikkeen aloittaminen välittömästi) ja strategia, jolla ajoneuvossa olevalle valvojalle tai etävalvojalle, matkustajille ja muille tienkäyttäjille (tapauksen mukaan) annetaan varoitus.

3.5.3.2 Jos valitussa ratkaisussa otetaan käyttöön toinen (varalla oleva) keino tai eri keinoja vian estämän toiminnon toteuttamiseksi, on selostettava vaihtomekanismin periaatteet, logiikka ja varmennustaso sekä mahdolliset tarkastusjärjestelmät ja määriteltävä aiheutuvat toimintarajoitukset.

3.5.3.3 Jos valittu toiminne poistaa käytöstä automatisoidun ajotoiminnon, sen on tapahduttava tämän asetuksen asiaa koskevien määräysten mukaisesti. Kaikki toimintoon liittyvät lähtösignaalit on katkaistava.

3.5.4 Valmistajan on lisäksi toimitettava tyyppihyväksyntäviranomaiselle selvitys käyttöturvallisuustoimenpiteistä, jotka toteutetaan ADS-järjestelmän turvallisen käytön varmistamiseksi. Tällaisia voivat olla esimerkiksi ajoneuvossa olevan valvojan tai etävalvojan käyttö, järjestelmää tukeva ajoneuvon ulkopuolinen infrastruktuuri, liikenne- ja fyysistä infrastruktuuria koskevat vaatimukset, kunnossapitotoimenpiteet jne.

3.5.5 Asiakirjojen tueksi on esitettävä analyysi, joka osoittaa, miten ADS-järjestelmä toimii sellaisten vaarojen lieventämiseksi tai välttämiseksi, jotka voivat vaikuttaa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuuteen.

3.5.5.1 Valmistajan on vahvistettava valitsemansa analyysimenetelmät ja noudatettava niitä ja asetettava ne tyyppihyväksyntäviranomaisen saataville tyyppihyväksynnän yhteydessä tehtävää tarkastusta ja myöhempiä tarpeita varten.

3.5.5.2 Tyyppihyväksyntäviranomaisen on arvioitava analyysimenetelmien toteuttaminen. Arvioon on sisällytettävä seuraavat: a) Tarkastetaan turvajärjestelyt suunnitteluratkaisun tasolla. Järjestelyjen on perustuttava vaara-analyysiin tai riskinarviointiin, joka soveltuu järjestelmän turvallisuuden arviointiin. b) Tarkastetaan turvajärjestelyt ADS-järjestelmän tasolla siten, että tarkastelu tapahtuu sekä ylhäältä alas (mahdollisesta vaarasta suunnitteluun) että alhaalta ylös (suunnittelusta mahdollisiin vaaroihin). Järjestelyt voivat perustua vika- ja vaikutusanalyysiin (FMEA), vikapuuanalyysiin (FTA), systeemiteoreettiseen prosessianalyysiin (STPA) tai vastaavaan menettelyyn, joka soveltuu järjestelmän toiminta- ja käyttöturvallisuuden arviointiin. c) Tarkastetaan validointi-/todentamissuunnitelmat ja niiden tulokset mukaan luettuina asianmukaiset hyväksymisperusteet. Tällöin on käytettävä validointiin soveltuvaa testausta, esimerkiksi laitteiston sisältävään simulointimalliin (hardware-in-the-loop) perustuvaa testausta, ajoneuvon tietestausta tai muuta validointiin/todentamiseen soveltuvaa menettelyä. Validoinnin ja todentamisen tuloksia voidaan arvioida analysoimalla eri testien kattavuutta ja asettamalla erilaisille parametreille vähimmäiskattavuus.

3.5.5.3 Edellä olevan 3.5.5.2 kohdan mukaisella analyysimenetelmällä on vahvistettava, että ainakin kaikki seuraavat seikat on katettu: i) seikat, jotka liittyvät vuorovaikutukseen ajoneuvon muiden järjestelmien kanssa (esim. jarrut ja ohjaus) ii) automatisoidun ajojärjestelmän viat ja järjestelmän toteuttamat riskinlieventämistoimenpiteet iii) suunnitellun toiminta-alueen sisällä esiintyvät tilanteet, joissa ADS-järjestelmä voi aiheuttaa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuudelle kohtuuttoman vaaran, joka johtuu toimintahäiriöistä (esim. ajoneuvon ympäristön tulkitsematta jättäminen tai virheellinen tulkitseminen, ajoneuvossa olevan valvojan tai etävalvojan, ajoneuvon matkustajien tai muiden tienkäyttäjien reaktioiden virheellinen tulkitseminen, riittämätön ohjaustoiminto tai erityisen haastavat tilanteet) iv) rajaehtojen sisällä esiintyvät merkitykselliset tilanteet ja tilanteiden valintaan käytetty hallintamenetelmä sekä valittu validointiväline v) dynaamisten ajotehtävien (esim. hätäohjausliikkeiden) toteuttamiseen perustuva päätöksentekoprosessi, joka koskee vuorovaikutusta muiden tienkäyttäjien kanssa maan liikennesääntöjen mukaisesti vi) kohtuudella ennakoitavissa olevat ajoneuvon matkustajien tai muiden tienkäyttäjien virheelliset toimenpiteet, ajoneuvossa olevan valvojan tai etävalvojan, matkustajien tai muiden tienkäyttäjien virheet tai väärinkäsitykset (esim. järjestelmän tahaton ohittaminen) tai ADS-järjestelmän tahallinen luvaton muuttaminen vii) kyberuhat, jotka vaikuttavat ADS-järjestelmän turvallisuuteen (sisällytettävä kyberturvallisuutta ja kyberturvallisuuden hallintajärjestelmää koskevan E-säännön nro 155 mukaisesti tehtävään analyysiin) viii) järjestelmää tukevaan ajoneuvon ulkopuoliseen infrastruktuuriin tai etävalvojaan liittyvät ongelmat, tietoliikenneyhteyden katkeaminen, kunnossapidon puutteet jne.

3.5.5.4 Tyyppihyväksyntäviranomaisen tekemässä arvioinnissa on pistokokeilla selvitettävä, että turvajärjestelyjä tukevat perusteet ovat ymmärrettäviä ja loogisia ja että ne toteutetaan ADS-järjestelmän eri toiminnoissa. Arvioinnissa on lisäksi tarkastettava, että validointisuunnitelmilla pystytään osoittamaan turvallisuus (esim. siten, että valitulla validointivälineellä testattavaksi valittujen skenaarioiden kattavuus on asianmukainen) ja että niiden toteuttaminen on saatettu asianmukaisesti päätökseen.

3.5.5.4.1 On osoitettava, että täysin automatisoidun ajoneuvon käyttö ei suunnitellun toiminta-alueen puitteissa aiheuta ajoneuvon matkustajille tai muille tienkäyttäjille kohtuutonta vaaraa, määrittelemällä a) yleinen validointitavoite (eli validoinnin yleiset hyväksymiskriteerit) ja sitä tukevat validointitulokset, jotka osoittavat, että ADS-järjestelmän käyttöönotto ei kokonaisuutena katsottuna aiheuta ajoneuvon matkustajille tai muille tienkäyttäjille suurempaa vaaraa kuin manuaalisesti ohjattava ajoneuvo, ja b) skenaariokohtainen lähestymistapa (eli skenaariokohtaiset validoinnin hyväksymiskriteerit), joka osoittaa, että ADS-järjestelmä ei kussakin turvallisuuden kannalta merkityksellisessä skenaariossa kokonaisuutena katsottuna aiheuta ajoneuvon matkustajille tai muille tienkäyttäjille suurempaa vaaraa kuin manuaalisesti ohjattava ajoneuvo.

3.5.5.5 Turvajärjestelyjen tarkastamiseksi tyyppihyväksyntäviranomaisen on tehtävä tai teetettävä tämän liitteen 4 kohdassa esitetyt testit.

3.5.5.6 Asiakirjoissa on yksilöitävä seurattavat parametrit ja ilmoitettava kunkin tämän liitteen 3.5.4 kohdassa määritellyn tyyppisen vikatilanteen yhteydessä käytettävä varoitussignaali, joka annetaan ajoneuvossa olevalle valvojalle, etävalvojalle, ajoneuvon matkustajille tai muille tienkäyttäjille ja/tai huollosta tai teknisestä tarkastuksesta vastaavalle henkilöstölle.

3.5.5.7 Asiakirjoissa on kuvattava myös toimenpiteet, joilla varmistetaan, ettei ADS-järjestelmä aiheuta ajoneuvon matkustajille tai muille tienkäyttäjille kohtuutonta vaaraa, kun ulkoiset olosuhteet (kuten ympäristöolot, lämpötila tai pölyn, veden tai jään kerääntyminen tai huono sää) vaikuttavat järjestelmän suorituskykyyn.

4. Tarkastus ja testit

Ottaen huomioon valmistajan asiakirjapaketin analyysin tulokset tyyppihyväksyntäviranomaisen on pyydettävä tutkimuslaitosta suorittamaan tai valvomaan testejä, joilla tarkastetaan arvioinnissa esiin tulleita kysymyksiä.

4.1 ADS-järjestelmän toiminta, sellaisena kuin se on kuvattu 3 kohdassa vaadituissa asiakirjoissa, on testattava seuraavalla tavalla:

4.1.1 ADS-järjestelmän toiminnan tarkastaminen Tyyppihyväksyntäviranomaisen on tarkastettava ADS-järjestelmän toiminta vikaantumattomana testaamalla testiradalla valmistajan kuvaamista toiminnoista ne, joiden tarkastamista se pitää tarpeellisena, ja tarkastamalla järjestelmän yleinen käyttäytyminen todellisissa ajo-olosuhteissa, mukaan luettuna liikennesääntöjen noudattaminen. Testeihin on sisällyttävä tilanteita, joissa (mahdollinen) etävalvoja ohittaa järjestelmän. Testit voivat perustua tämän liitteen osassa 3 lueteltuihin tai muihin testiskenaarioihin.

4.1.1.1 Testien tulosten on vastattava valmistajan 3.2 kohdan mukaisesti antamaa kuvausta (myös ohjausstrategioiden osalta) ja oltava tämän asetuksen vaatimusten mukaisia.

4.1.2 ADS-järjestelmän turvajärjestelyjen tarkastaminen On tarkastettava ADS-järjestelmän käyttäytyminen minkä tahansa yksittäisen yksikön vikaantuessa. Sitä varten simuloidaan yksikön sisäisten vikojen vaikutusta johtamalla vastaavia signaaleja sähköisiin yksiköihin tai mekaanisiin osiin. Tyyppihyväksyntäviranomaisen on huolehdittava siitä, että näissä testeissä käsitellään näkökohtia, joilla voi olla vaikutusta ajoneuvon hallittavuuteen ja käyttäjätietoihin (käyttöliittymään liittyvät näkökohdat, kuten vuorovaikutus ajoneuvossa olevan valvojan tai etävalvojan kanssa).

4.1.2.1 Tyyppihyväksyntäviranomaisen on lisäksi tarkastettava sellaisia skenaarioita, jotka ovat kriittisiä esineiden ja tapahtumien havaitsemisen ja niihin reagoimisen (OEDR) ja ADS-järjestelmän päätöksenteon ja käyttöliittymätoimintojen luonnehdinnan kannalta (esim. hankalasti havaittava esine, järjestelmän suunnitellun toiminta-alueen rajojen saavuttaminen, liikennehäiriöt, yhteysongelmat, ajoneuvon ulkopuolisten järjestelmien ongelmat, etävalmiuksiin liittyvät kysymykset, kuten etävalvojan puuttuminen), sellaisina kuin nämä on määritelty tässä asetuksessa.

4.1.2.2 Tarkastustulosten on vastattava vaara-analyysin tuloksista tehtyä kirjallista tiivistelmää siinä määrin, että kokonaisvaikutusten perusteella voidaan vahvistaa, että turvajärjestelyt ja niiden toiminta ovat riittävän tasoisia ja tämän asetuksen vaatimusten mukaisia.

4.2 Turvajärjestelyjen tarkastamisessa voidaan käyttää simulointityökalua ja matemaattisia malleja asetuksen (EU) 2018/858 liitteen VIII mukaisesti erityisesti tilanteissa, joita on vaikea toteuttaa testiradalla tai todellisissa ajo-olosuhteissa. Valmistajien on esitettävä osoitus simulointityökalun toiminta-alasta, sen soveltuvuudesta asianomaiseen tilanteeseen ja simulointityökaluketjun validoinnista (tulosten korrelaatio fyysisten testien kanssa). Simulointityökaluketjun validiuden osoittamiseksi sovelletaan tämän liitteen osassa 4 esitettyjä periaatteita. Simuloinnilla ei saa korvata tämän liitteen osassa 3 esitettyjä fyysisiä testejä.

4.3 Valmistajalla on oltava hyväksyttävää ajoneuvotyyppiä koskeva voimassa oleva turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistus.

5. Turvallisuudenhallintajärjestelmä

5.1 Valmistajan on osoitettava tyyppihyväksyntäviranomaiselle turvallisuudenhallintajärjestelmän avulla, että ADS-järjestelmässä on käytössä tehokkaat prosessit, menetelmät, koulutus ja välineet, jotka ovat ajan tasalla ja joita noudattamalla organisaatiossa huolehditaan turvallisuudesta ja jatkuvasta vaatimustenmukaisuudesta järjestelmän koko elinkaaren mitalta.

5.2 On luotava ja dokumentoitava suunnittelu- ja kehittämisprosessi, johon kuuluu turvallisuudenhallintajärjestelmä, vaatimusten hallinta ja täytäntöönpano, testaus, vikojen jäljittäminen, korjaavat toimenpiteet ja käyttöönotto.

5.3 Valmistajan on huolehdittava tehokkaista viestintäkanavista niiden osastojensa välillä, jotka vastaavat toiminta- ja käyttöturvallisuudesta, kyberturvallisuudesta ja muista ajoneuvon turvallisuuden toteuttamiseen liittyvistä osatekijöistä.

5.4 Valmistajalla on oltava käytössään prosessit, joilla kerätään ajoneuvosta ja muista lähteistä tietoja, joiden avulla seurataan ja analysoidaan käytössä olevan automatisoidun ajojärjestelmän aiheuttamia turvallisuuden kannalta merkityksellisiä tilanteita ja onnettomuuksia. Valmistajan on ilmoitettava asianomaiset tapahtumat tyyppihyväksyntä- ja markkinavalvontaviranomaisille ja komissiolle tämän liitteen osan 5 mukaisesti.

5.4.1 Valmistajan on huolehdittava siitä, että liikenteenharjoittaja voi toimittaa tyyppihyväksyntäviranomaisille, markkinavalvontaviranomaisille tai muille jäsenvaltioiden nimeämille viranomaisille 5.4 kohdan mukaiset ajoneuvotiedot, ADS-järjestelmän tiedot ja liitteessä II olevan 9 kohdan mukaisesti kerätyt onnettomuustietotallentimen erityiset tietoelementit.

5.5 Valmistajalla on oltava käytössään prosessit, joilla puututaan mahdollisiin rekisteröinnin jälkeen ilmeneviin turvallisuuteen liittyviin puutteisiin ja päivitetään ajoneuvoja tarvittaessa.

5.6 Valmistajan on osoitettava, että säännöllisesti (esim. joka toinen vuosi) suoritettavilla riippumattomilla sisäisten menettelyjen tarkastuksilla varmistetaan, että 5.1–5.5 kohdan mukaisesti laadittuja menettelyjä noudatetaan johdonmukaisesti.

5.7 Valmistajan on otettava toimittajiensa kanssa käyttöön sopivat järjestelyt (esim. sopimusjärjestelyt, selkeät yhteyspisteet, laadunhallintajärjestelmät), joilla varmistetaan, että toimittajan turvallisuudenhallintajärjestelmä täyttää 5.1 (lukuun ottamatta ajoneuvoon liittyviä näkökohtia, kuten ”toiminta” ja ”käytöstäpoisto”), 5.2, 5.3 ja 5.6 kohdassa vahvistetut vaatimukset.

5.8 Turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistus

5.8.1 Valmistajan tai tämän asianmukaisesti valtuuttaman edustajan on toimitettava tyyppihyväksyntäviranomaiselle hakemus turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistuksen saamiseksi.

5.8.2 Hakemukseen on liitettävä jäljempänä mainitut asiakirjat kolmena kappaleena sekä seuraavat tiedot: a) asiakirjat, joissa turvallisuudenhallintajärjestelmä kuvataan b) tämän liitteen lisäyksessä 3 esitetyn mallin mukainen allekirjoitettu vakuutus siitä, että turvallisuudenhallintajärjestelmä täyttää kaikki tämän asetuksen mukaiset turvallisuudenhallintaa koskevat vaatimukset.

5.8.3 Kun turvallisuudenhallintajärjestelmän tarkastus on saatu hyväksyttävästi päätökseen ja valmistajalta on saatu lisäyksessä 3 esitetyn mallin mukainen allekirjoitettu vakuutus, valmistajalle annetaan lisäyksessä 4 kuvattu turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistus.

5.8.4 Turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistus on voimassa enintään kolme vuotta todistuksen antamispäivästä, ellei sitä peruuteta.

5.8.5 Tyyppihyväksyntäviranomainen voi milloin tahansa tarkastaa, että turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistuksen vaatimukset täyttyvät edelleen. Tyyppihyväksyntäviranomaisen on peruutettava turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistus, jos tässä asetuksessa vahvistettujen vaatimusten noudattamisessa havaitaan merkittäviä laiminlyöntejä, joita ei korjata välittömästi.

5.8.6 Valmistajan on ilmoitettava tyyppihyväksyntäviranomaiselle tai sen tutkimuslaitokselle kaikista muutoksista, jotka vaikuttavat turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistuksen pätevyyteen. Tyyppihyväksyntäviranomainen tai sen tutkimuslaitos päättää valmistajaa kuultuaan, tarvitaanko uusia tarkastuksia.

5.8.7 Valmistajan on hyvissä ajoin haettava uutta turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistusta tai myönnetyn todistuksen voimassaolon jatkamista. Jos tyyppihyväksyntäviranomainen päätyy hakemuksen arvioinnissa myönteiseen tulokseen, sen on annettava uusi turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistus tai jatkettava todistuksen voimassaoloa kolmella vuodella. Tyyppihyväksyntäviranomaisen on varmennettava, että turvallisuudenhallintajärjestelmä on edelleen tämän asetuksen vaatimusten mukainen. Tyyppihyväksyntäviranomaisen on annettava uusi todistus, jos muutokset on tuotu sen tai sen tutkimuslaitoksen tietoon ja niistä on tehty myönteinen arviointi.

5.8.8 Valmistajalle myönnetyn turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistuksen voimassaolon päättymistä tai peruuttamista on niiden ajoneuvotyyppien osalta, joihin hallintajärjestelmä on tarkoitettu, pidettävä hyväksynnän muutoksena, joka voi johtaa hyväksynnän peruuttamiseen, jos sen myöntämisen edellytykset eivät enää täyty.

6. Raportointimääräykset

6.1 ADS-järjestelmän turvajärjestelyjen turvallisuusarvioinnista ja valmistajan turvallisuudenhallintajärjestelmän tarkastuksesta raportoitaessa on huolehdittava jäljitettävyydestä esimerkiksi siten, että tarkastettujen asiakirjojen versiot koodataan ja luetellaan tutkimuslaitoksen kirjanpidossa.

6.2 Tämän osan lisäyksessä 1 esitetään malli, jota käyttäen tutkimuslaitos voi esittää ADS-järjestelmän turvajärjestelyjen arvioinnista tekemänsä raportin tyyppihyväksyntäviranomaiselle. Kyseisessä lisäyksessä luetellaan ne ominaisuudet, joita arvioinnissa on vähintään tarkasteltava.

6.3 Hyväksynnän myöntävän tyyppihyväksyntäviranomaisen on laadittava tyyppihyväksyntätodistukseen liitettävät turvallisuusarvioinnin tulokset sisältävä lomake, joka perustuu valmistajan toimittamiin asiakirjoihin, tutkimuslaitoksen tekemän ADS-järjestelmän turvajärjestelyjen arviointiraporttiin ja tämän liitteen osan 3 mukaisesti tehtyjen tarkastusten ja testien tuloksiin. Turvallisuusarvioinnin tulosten esittämiseen voidaan käyttää lisäyksessä 4 esitettyä mallia.

7. Tarkastajien ja arvioijien pätevyys

7.1 Tämän osan mukaisesti ADS-järjestelmän turvajärjestelyistä tehtävän arvioinnin ja turvallisuudenhallintajärjestelmän tarkastuksen saavat suorittaa ainoastaan sellaiset tarkastajat tai arvioijat, joilla on arviointia varten tarvittava tekninen ja hallinnollinen tietämys. Heidän on erityisesti oltava standardien ISO 26262–2018 (Functional Safety – Road Vehicles), ja ISO/PAS 21448 (Safety of the Intended Functionality of Road Vehicles) alalla päteviä tarkastajia tai arvioijia ja pystyttävä muodostamaan tarvittava kytkös kyberturvallisuusnäkökohtiin E-säännön nro 155 ja standardin ISO/SAE 21434 mukaisesti. Pätevyys on osoitettava asianmukaisilla todistuksilla tai vastaavasta koulutuksesta annetuilla tiedoilla. Lisäys 1 ADS-järjestelmän turvajärjestelyjen arviointiraportin malli Turvallisuusarviointiraportin nro: 1. Tunnistetiedot 1.1 Ajoneuvon merkki 1.2 Ajoneuvotyyppi 1.3 Ajoneuvotyypin tunniste, jos se on merkitty ajoneuvoon 1.4 Merkinnän sijainti 1.5 Valmistajan nimi ja osoite 1.6 Valmistajan edustajan (jos sellainen on) nimi ja osoite 1.7 Valmistajan virallinen asiakirjapaketti Asiakirjaviite Alkuperäinen myöntämispäivä Viimeisimmän päivityksen päivämäärä 2. Arviointimenetelmä 2.1 Arviointiprosessien ja -menetelmien kuvaus 2.2 Hyväksyttävyysperusteet 3. Asiakirjapaketin tarkastelun tulokset 3.1 ADS-järjestelmän kuvauksen tarkastelu 3.2 Valmistajan turvajärjestelyjen ja -analyysin tarkastelu 3.3 Valmistajan tekemän varmennuksen ja validoinnin tarkastelu etenkin analysoimalla eri testien kattavuutta ja asettamalla erilaisille parametreille vähimmäiskattavuus 3.4 Käytettyjen menetelmien ja välineiden (ohjelmistot, laboratorio jne.) ja uskottavuusarvioinnin tarkastelu 3.5 ADS-järjestelmää koskevien tietovaatimusten ja täysin automatisoitujen ajoneuvojen onnettomuustietotallenninta koskevien erityisten tietoelementtien tarkastelu 3.6 Tarkastukset, joilla selvitetään, kattavatko kyberturvallisuutta ja ohjelmistopäivityksiä koskevat sertifikaatit ADS-järjestelmän 3.7 Käyttöoppaassa annettujen tietojen tarkastelu 3.8 ADS-järjestelmän määräaikaiskatsastusta koskevien vaatimusten tarkastelu 3.9 Ilmoituslomakkeeseen sisältymättömien lisätietojen tarkastelu 4. ADS-järjestelmän toimintojen tarkastus vikaantumattomassa tilassa (ks. komission täytäntöönpanoasetuksen (EU) 2022/1426 (2), annettu 5 päivänä elokuuta 2022, sääntöjen vahvistamisesta Euroopan parlamentin ja neuvoston asetuksen (EU) 2019/2144 soveltamiseksi siltä osin kuin on kyse täysin automatisoitujen ajoneuvojen automatisoidun ajojärjestelmän (ADS) tyyppihyväksynnässä sovellettavista yhdenmukaisista menettelyistä ja teknisistä eritelmistä liitteen III osassa 2 oleva 4.1.1 kohta) 4.1 Testiskenaarion valinnan perusteet 4.2 Valitut testiskenaariot 4.3 Testausselosteet 4.3.1 Testi nro (lisätään kohtia tehtyjen testien määrän mukaan) 4.3.1.1 Testin tavoitteet 4.3.1.2 Testausolosuhteet 4.3.1.3 Mitatut suureet ja mittalaitteet 4.3.1.4 Hyväksyttävyysperusteet 4.3.1.5 Testitulokset 4.3.1.6 Vertailu suhteessa valmistajan toimittamiin asiakirjoihin 5. ADS-järjestelmän turvajärjestelyjen tarkastus vikatilassa (ks. täytäntöönpanoasetuksen (EU) 2022/1426 liitteen III osassa 2 oleva 4.1.2 kohta) 5.1 Testiskenaarion valinnan perusteet 5.2 Valitut testiskenaariot 5.3 Testausselosteet 5.3.1 Testi nro (lisätään kohtia tehtyjen testien määrän mukaan) 5.3.1.1 Testin tavoitteet 5.3.1.2 Testausolosuhteet 5.3.1.3 Mitatut suureet ja mittalaitteet 5.3.1.4 Hyväksyttävyysperusteet 5.3.1.5 Testitulokset 5.3.1.6 Vertailu suhteessa valmistajan toimittamiin asiakirjoihin 6. Turvallisuudenhallintajärjestelmän sertifikaatti (liitetään tähän testausselosteeseen) 7. Arvioinnin päivämäärä 8. Lopullinen päätös turvallisuusarvioinnin tuloksesta 9. Arviointi on tehty ja sen tulokset on ilmoitettu komission täytäntöönpanoasetuksen (EU) 2022/1426 mukaisesti Arvioinnista vastaava tutkimuslaitos Allekirjoitus: ... Päiväys: ... 10. Huomautukset: Lisäys 2 Tyyppihyväksyntätodistukseen liitettävän ADS-arviointituloslomakkeen malli 1. Tunnistetiedot 1.1 Ajoneuvon merkki 1.2 Ajoneuvotyyppi 1.3 Ajoneuvotyypin tunniste, jos se on merkitty ajoneuvoon 1.4 Merkinnän sijainti 1.5 Valmistajan nimi ja osoite 1.6 Valmistajan edustajan (jos sellainen on) nimi ja osoite 1.7 Valmistajan virallinen asiakirjapaketti Asiakirjaviite Alkuperäinen myöntämispäivä Viimeisimmän päivityksen päivämäärä 2. Arviointimenetelmä 2.1 Arviointiprosessien ja -menetelmien kuvaus 2.2 Hyväksyttävyysperusteet 3. ADS-järjestelmän toimintojen tarkastus vikaantumattomassa tilassa (ks. täytäntöönpanoasetuksen (EU) 2022/1426 liitteen III osassa 2 oleva 4.1.1 kohta) 3.1 Testiskenaarion valinnan perusteet 3.2 Valitut testiskenaariot 4. ADS-järjestelmän turvajärjestelyjen tarkastus yksittäisen vian tilassa (ks. täytäntöönpanoasetuksen (EU) 2022/1426 liitteen III osassa 2 oleva 4.1.2 kohta) 4.1 Testiskenaarion valinnan perusteet 4.2 Valitut testiskenaariot 5. Arvioinnin tulokset 5.1 Ilmoituslomakkeen tarkastelun tulokset 5.2 Tulokset ADS-järjestelmän toimintojen tarkastuksesta vikaantumattomassa tilassa 5.3 Tulokset ADS-järjestelmän turvajärjestelyjen tarkastuksesta yksittäisen vian tilassa 5.4 Turvallisuudenhallintajärjestelmän arvioinnin tulokset 5.5 Määräaikaiskatsastusta koskevien vaatimusten tarkastelun tulos 6. Lopullinen päätös turvallisuusarvioinnin tuloksesta Lisäys 3 Turvallisuudenhallintajärjestelmää koskevan valmistajan vaatimustenmukaisuusvakuutuksen malli Valmistajan vakuutus turvallisuudenhallintajärjestelmää koskevien vaatimusten noudattamisesta Valmistajan nimi: Valmistajan osoite: … (valmistajan nimi) vakuuttaa, että täytäntöönpanoasetuksessa (EU) 2022/1426 vahvistettujen turvallisuudenhallintajärjestelmää koskevien vaatimusten noudattamiseen tarvittavat menettelyt on otettu käyttöön ja pidetään käytössä. Paikka: … Päiväys: Allekirjoittajan nimi: Allekirjoittajan asema: (Valmistajan edustajan leima ja allekirjoitus) Lisäys 4 Turvallisuudenhallintajärjestelmän vaatimustenmukaisuustodistuksen malli Todistus turvallisuudenhallintajärjestelmän vaatimustenmukaisuudesta Todistus turvallisuudenhallintajärjestelmän vaatimustenmukaisuudesta suhteessa täytäntöönpanoasetukseen 2022/1426 Todistuksen numero [viitenumero] [… Tyyppihyväksyntäviranomainen] todistaa, että Valmistaja: … Valmistajan osoite: noudattaa täytäntöönpanoasetuksen (EU) 2022/1426 säännöksiä. Tarkastukset on suorittanut (päiväys) (hyväksyntäviranomaisen tai tutkimuslaitoksen nimi ja osoite): Selosteen numero: … Tämä todistus on voimassa [… päivämäärä] asti. Tehty [… Paikka] [… Päiväys] [….Allekirjoitus] Liitteet: valmistajan antama turvallisuudenhallintajärjestelmän kuvaus.

OSA 3

TESTIT

1. Yleiset säännökset

ADS-järjestelmän turvallisuuden arvioinnissa käytettävien hyväksymis- ja hylkäämiskriteerien on perustuttava liitteessä II vahvistettuihin vaatimuksiin ja tämän liitteen osassa 1 kuvattuun skenaarioon. Vaatimukset on määritelty siten, että niiden perusteella voidaan vahvistaa hyväksymis- ja hylkäämiskriteerit paitsi tietyille testiparametreille myös kaikille sellaisille turvallisuuden kannalta merkityksellisille parametriyhdistelmille, joita voi esiintyä tyyppihyväksynnän ja määritellyn toiminta-alueen (esim. nopeusalue, pituus- ja poikittaissuuntainen kiihtyvyysalue, kaartuvuussäteet, kirkkaus, kaistojen lukumäärä) kattamissa toimintaolosuhteissa. Sellaisten olosuhteiden osalta, joita ei testata mutta joita voi esiintyä järjestelmän suunnitellulla toiminta-alueella, valmistajan on osassa 2 kuvatun arvioinnin yhteydessä osoitettava tyyppihyväksyntäviranomaista tyydyttävällä tavalla, että ajoneuvo on turvallisesti hallittavissa.

Testeissä on tarkastettava liitteessä II kuvattujen vähimmäistoimintavaatimusten täyttyminen sekä ADS-järjestelmän toiminnot ja tämän liitteen osassa 2 kuvatut valmistajan turvajärjestelyt. Testitulokset on dokumentoitava ja raportoitava tämän liitteen osassa 2 olevan 6 kohdan mukaisesti.

Näillä testeillä on myös varmistettava, että ADS-järjestelmä noudattaa liikennesääntöjä ja mukauttaa toimintansa ympäristöolosuhteisiin, että se ei häiritse liikennevirtoja (esim. tukkimalla kaistan liian monien riskin minimoivien ohjausliikkeiden vuoksi), että sen toiminta ei ole ennalta-arvaamatonta ja että se toimii kohtuullista yhteistyökykyä ja ennakointia osoittavalla tavalla tällaista käyttäytymistä edellyttävissä tilanteissa (eli kun liitytään tiheään liikennevirtaan tai lähellä on loukkaantumiselle alttiita tienkäyttäjiä).

2. Testauspaikka

Testauspaikan on ominaisuuksiltaan (esim. kitka-arvoltaan) vastattava ADS-järjestelmän suunniteltua toiminta-aluetta. ADS-järjestelmän suunniteltuun toiminta-alueeseen kuuluvien olosuhteiden testaamiseksi tehdään fyysisiä testejä todellisella suunnitellulla toiminta-alueella (tieliikenteessä) tai testauspaikassa, jonka olosuhteet vastaavat suunnitellun toiminta-alueen olosuhteita. Testien määrittämisestä vastaavat valmistaja ja tyyppihyväksyntäviranomainen. ADS-järjestelmää on testattava tieliikenteessä jäsenvaltioiden lainsäädännön mukaisesti ja sillä edellytyksellä, että testit voidaan suorittaa turvallisesti ja aiheuttamatta vaaraa muille tienkäyttäjille.

3. Ympäristöolosuhteet

Testit on tehtävä erilaisissa ympäristöolosuhteissa ADS-järjestelmän suunnitellun toiminta-alueen asettamissa rajoissa. Sellaisten ympäristöolosuhteiden osalta, joita ei testata mutta joita voi esiintyä järjestelmän suunnitellulla toiminta-alueella, valmistajan on arvioinnin yhteydessä osoitettava tyyppihyväksyntäviranomaista tyydyttävällä tavalla, että ajoneuvo on turvallisesti hallittavissa.

Toimintojen vikaantumiseen liittyvien vaatimusten testaamista, ADS-järjestelmän automaattitestausta ja vaaran minimoivan ohjausliikkeen aloittamisen ja suorittamisen testaamista varten voidaan keinotekoisesti aiheuttaa vikoja ja saattaa ajoneuvo tilanteisiin, joissa saavutetaan määritellyn toiminta-alueen rajat (esim. ympäristöolosuhteiden osalta).

4. Järjestelmän muuttaminen testausta varten

Jos testaaminen edellyttää järjestelmän muuttamista (esimerkiksi tietyypin arviointiperusteet tai tietyyppitiedot eli karttatiedot), on varmistettava etteivät nämä muutokset vaikuta testituloksiin. Muutokset on periaatteessa dokumentoitava ja liitettävä testausselosteeseen. Muutosten kuvaus ja näyttö mahdollisista vaikutuksista on dokumentoitava ja liitettävä testausselosteeseen.

5. Ajoneuvon testauskunto

5.1 Testimassa Ajoneuvo voidaan testata millä tahansa sallitulla kuormituksella. Kuormitusta ei saa muuttaa testausmenettelyn alettua. Ajoneuvon valmistajan on asiakirjoilla osoitettava, että järjestelmä toimii kaikilla kuormituksilla.

5.2 Ajoneuvo on testattava ajoneuvon valmistajan suosittelemilla rengaspaineilla.

5.3 On varmistettava, että järjestelmä on testauksen edellyttämässä tilassa (esim. että se on vikaantumattomassa kunnossa tai että siinä on testattavat viat).

6. Testausvälineet

Testeissä voidaan käyttää todellisia ajoneuvoja tai niiden sijaan laadukkaita testausvälineitä, joilla korvataan todelliset ajoneuvot ja muut tienkäyttäjät (pehmeitä kohteita, liikkuvia alustoja jne.) Korvaavilla testausvälineillä on oltava sellaiset ominaisuudet, joita tarvitaan järjestelmän havainnointikyvyn arvioimiseen tai jotka edustavat todellisia ajoneuvoja ja muita tielläliikkujia. Testien suorittaminen ei saa aiheuttaa vaaraa osallistujille. Lisäksi on vältettävä testattavan ajoneuvon merkittävää vaurioittamista, jos muitakin validointikeinoja on käytettävissä.

7. Testiparametrien vaihtelu

Valmistajan on ilmoitettava järjestelmän toiminta-alueen rajat tyyppihyväksyntäviranomaiselle. Tyyppihyväksyntäviranomaisen on määriteltävä ADS-järjestelmän testaamista varten erilaisia testiparametrien yhdistelmiä (ajoneuvon nopeus, kohteen tyyppi ja sijainti kulkureittiin nähden, kaistan kaarevuus jne.). Testattavat tapaukset on valittava niin, että kaikki skenaariot, testiparametrit ja ympäristön vaikutukset tulevat riittävällä tavalla katetuiksi. On osoitettava, että ADS-järjestelmän havainnointijärjestelmät sietävät syöte- tai anturitietojen häiriöitä tai ympäristöolosuhteita riittävän hyvin.

Tyyppihyväksyntäviranomaisen valitsemat testiparametrit on kirjattava testausselosteeseen siten, että testausjärjestely voidaan jäljittää ja toistaa.

8. Testiskenaariot, joilla arvioidaan ADS-järjestelmän toimintaa testiradalla (8.1, 8.2, 8.5, 8.6, 8.7, 8.8 ja 8.9 kohta) ja tiellä (8.3, 8.4 ja 8.10)

On suoritettava vähintään seuraavissa kohdissa esitettäviä skenaarioita vastaavat testit. Tyyppihyväksyntäviranomaisen pyynnöstä voidaan testata myös muita järjestelmän suunniteltuun toiminta-alueeseen kuuluvia skenaarioita. Jos jokin tämän liitteen 8 kohdassa kuvattu skenaario ei kuulu ajoneuvon suunniteltuun toiminta-alueeseen, sitä ei oteta huomioon.

Testiskenaarioita valitaan tyyppihyväksyntätestin osaksi sen mukaan, millainen suunniteltu toiminta-alue on. Testiskenaariot valitaan tämän liitteen osan 1 mukaisesti. Tyyppihyväksyntätestauksessa voidaan käyttää pohjana simulointeja, testiradalla tehtäviä ajoliikkeitä ja todellisessa tieliikenteessä tehtäviä ajotestejä. Se ei kuitenkaan saa perustua ainoastaan tietokonesimulointeihin, vaan tyyppihyväksyntäviranomaisen on tyyppihyväksynnän yhteydessä tehtävä tai teetettävä valvonnassaan ainakin seuraavat testit, joilla arvioidaan ADS-järjestelmän käyttäytymistä.

8.1 Kaistanpito

Testillä on osoitettava, että täysin automatisoitu ajoneuvo ei poistu kaistaltaan vaan liikkuu vakaasti kaistansa sisällä koko nopeusalueellaan ja kaistan eri kaartuvuuksilla järjestelmän toiminta-alueen rajoissa.

8.1.1 Testi tehdään ADS-järjestelmän suunnitellun toiminta-alueen perusteella siten, että ainakin seuraavat vaatimukset toteutuvat: a) Testi kestää vähintään viisi minuuttia. b) Testissä käytetään edellä ajavana tai toisena ajoneuvona henkilöautokohdetta ja moottoripyörää edustavaa kohdetta. c) Edellä ajava ajoneuvo mutkittelee kaistalla laidasta toiseen. d) Testattavan ajoneuvon lähellä viereisellä kaistalla ajaa toinen ajoneuvo.

8.2 Kaistanvaihto

Testeillä on osoitettava, että täysin automatisoitu ajoneuvo ei kaistanvaihdon aikana aiheuta kohtuutonta vaaraa ajoneuvon matkustajien ja muiden tienkäyttäjien turvallisuudelle ja että ADS-järjestelmä pystyy koko toimintanopeusalueellaan arvioimaan tilanteen vaarallisuuden ennen kaistanvaihdon aloittamista. Testit täytyy tehdä vain siinä tapauksessa, että täysin automatisoitu ajoneuvo pystyy tekemään kaistanvaihtoja joko vaaran minimoivan ohjausliikkeen tai tavanomaisen toiminnan aikana.

8.2.1 Tehdään seuraavat testit, joissa täysin automatisoitu ajoneuvo a) vaihtaa kaistaa viereiselle (kohde)kaistalle b) liittyy oman kaistansa päättyessä yhdistyvälle kaistalle c) liittyy kaistalle, jolla on muuta liikennettä.

8.2.2 Testissä on käytettävä ainakin seuraavia tilanteita: a) Mukana on eri ajoneuvoja, myös takaa lähestyvä moottoripyörä. b) Kaistanvaihto voidaan tehdä tavanomaisessa ajossa. c) Kaistanvaihtoa ei voida tehdä tavanomaisessa ajossa, koska takaa lähestyy ajoneuvo. d) Viereisellä kaistalla yhtä suurella nopeudella ajava takaa lähestyvä ajoneuvo estää kaistanvaihdon. e) Viereisellä kaistalla vieressä ajava ajoneuvo estää kaistanvaihdon. f) Kaistanvaihto on mahdollinen ja tehdään vaaran minimoivan ohjausliikkeen aikana. g) Täysin automatisoitu ajoneuvo pyrkii välttämään törmäysriskin reagoimalla toisen ajoneuvon aikeeseen siirtyä sen kanssa samaan tilaan kohdekaistalla.

8.3 Reagointi geometrialtaan erilaisiin teihin

Testeillä on varmistettava, että täysin automatisoitu ajoneuvo havaitsee tiegeometrian mahdollisen vaihtelun suunnitellulla toiminta-alueellaan ja mukautuu siihen koko nopeusalueensa mitalta.

8.3.1 Testissä on käytettävä ainakin seuraavia ADS-järjestelmän suunniteltuun toiminta-alueeseen perustuvia skenaarioita: a) T-risteykset (kolme tietä), liikennevaloilla varustetut tai varustamattomat, erilaisia etuajo-oikeusjärjestelyjä b) neljän tai useamman tien risteykset, liikennevaloilla varustetut tai varustamattomat, erilaisia etuajo-oikeusjärjestelyjä c) liikenneympyrät.

8.3.2 Testi on tehtävä vähintään seuraavasti: a) Testi tehdään ilman edellä ajavaa ajoneuvoa. b) Testissä käytetään edellä ajavana tai toisena ajoneuvona henkilöautokohdetta ja moottoripyörää edustavaa kohdetta. c) Testi tehdään siten, että mukana on lähestyviä tai ohi kulkevia ajoneuvoja, ja ilman niitä.

8.4 Reagointi kansallisiin liikennesääntöihin ja tieinfrastruktuuriin

Testeillä on varmistettava, että täysin automatisoitu ajoneuvo noudattaa kansallisia liikennesääntöjä ja mukautuu tieinfrastruktuurin pysyviin ja tilapäisiin muutoksiin (esim. tietöihin) koko nopeusalueellaan.

8.4.1 Testissä on käytettävä ainakin seuraavia ADS-järjestelmän suunnitellun toiminta-alueen kannalta merkityksellisiä skenaarioita: a) Tiellä on vaihtelevia nopeusrajoitusmerkkejä, jolloin ADS-järjestelmän on säädettävä nopeus ilmoitetun arvon mukaiseksi. b) Liikenneturvallisuusvalvoja/lainvalvontaviranomainen käyttää merkkivaloja ja/tai antaa pysähtymiskäskyn tilanteessa, jossa ajetaan eteenpäin tai käännytään vasemmalle tai oikealle. c) Tiellä on kevyen liikenteen risteys, jossa jalankulkija/pyöräilijä lähestyy tai ylittää tietä tai joka on tyhjä. d) Tiellä on tilapäisiä muutoksia, kuten liikennemerkeillä, sulkukartioilla tai muilla ohjausmerkeillä osoitettu tietyö, tai liikennöintirajoitus. e) Liitytään moottoritielle, poistutaan moottoritieltä ja ohitetaan tiemaksuasema.

8.4.2 Testi on tehtävä vähintään seuraavasti: a) Testi tehdään ilman edellä ajavaa ajoneuvoa. b) Testissä käytetään edellä ajavana tai toisena ajoneuvona henkilöautokohdetta ja moottoripyörää edustavaa kohdetta.

8.5 Törmäyksen välttäminen: vältetään törmäys tienkäyttäjään tai kaistan tukkivaan esteeseen

Testillä on osoitettava, että täysin automatisoitu ajoneuvo välttää törmäyksen paikallaan olevaan ajoneuvoon, tienkäyttäjään tai kaistan kokonaan tai osittain tukkivaan esteeseen ADS-järjestelmän suurimpaan toimintanopeuteen saakka.

8.5.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Kohde edustaa paikallaan olevaa henkilöautoa. b) Kohde edustaa paikallaan olevaa moottoripyörää. c) Kohde edustaa paikallaan olevaa jalankulkijaa. d) Jalankulkijaa edustava kohde ylittää kaistan nopeudella 5 km/h, myös siten, että hänellä on mukanaan suunnitellun toiminta-alueen kannalta merkityksellisiä esineitä (kuten pallo tai ostoskassi). e) Jalankulkijaa edustava kohde liikkuu ADS-järjestelmällä varustetun täysin automatisoidun ajoneuvon kaistalla enintään nopeudella 5 km/h samaan tai vastakkaiseen suuntaan niin, että se peittää kaistan osittain. f) Jalankulkijaa edustava kohde mutkittelee samalla kaistalla kuin täysin automatisoitu ajoneuvo. g) Pyöräilijää edustava kohde ylittää kaistan nopeudella 15 km/h. h) Pyöräilijää edustava kohde liikkuu samaan suuntaan nopeudella 15 km/h. i) Täysin automatisoitu ajoneuvo kääntyy oikealle ja ylittää samaan suuntaan nopeudella 15 km/h liikkuvan pyöräilijän ajoreitin. j) Kohde tukkii kaistan. k) Kohde tukkii kaistan osittain. l) Tiellä on yksi tai useampi suunnitellun toiminta-alueen kannalta merkityksellinen kohde, jota ei voi väistää (jäteastia, kaatunut polkupyörä tai potkulauta, kaatunut liikennemerkki, paikallaan oleva tai liikkuva pallo tms.). m) Kaistalla on useita peräkkäisiä suunnitellun toiminta-alueen kannalta merkityksellisiä esteitä (esim. seuraavassa järjestyksessä: testattava ajoneuvo, moottoripyörä, auto). n) Testi tehdään kaartuvalla tieosuudella.

8.6 Vältetään hätäjarrutusta ennen kaistalla olevaa ohitettavissa olevaa esinettä. ”Ohitettavissa oleva esine” on esine, jonka ylitse voidaan ajaa aiheuttamatta kohtuutonta vaaraa ajoneuvon matkustajille tai muille tienkäyttäjille.

Testissä on osoitettava, että täysin automatisoitu ajoneuvo ei ADS-järjestelmän suurimpaan toimintanopeuteen ulottuvilla nopeuksilla käynnistä hätäjarrutusta, jossa hidastuvuus olisi yli 5 m/s2, kohdatessaan kaistalla olevan ohitettavissa olevan esineen, jolla on merkitystä suunnitellun toiminta-alueen kannalta (esim. kaivonkannen tai pienen oksan).

8.6.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Testi tehdään ilman edellä ajavaa ajoneuvoa. b) Testissä käytetään edellä ajavana tai toisena ajoneuvona henkilöautokohdetta ja moottoripyörää edustavaa kohdetta.

8.7 Seurataan edellä ajavaa ajoneuvoa

Testillä on osoitettava, että täysin automatisoitu ajoneuvo pystyy säilyttämään ja palauttamaan vakaan liikkeen ja tarvittavan turvavälin edellä ajavaan ajoneuvoon ja estämään törmäyksen siihen, kun se hidastaa nopeuttaan aina suurimpaan hidastuvuuteen asti.

8.7.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Käytetään täysin automatisoidun ajoneuvon koko nopeusaluetta. b) Edellä ajavana ajoneuvona on henkilöautokohde, moottoripyörää edustava kohde ja polkupyörää edustava kohde, jos käytettävissä on standardinmukainen moottoripyörää edustava kohde, jolla testi voidaan tehdä turvallisesti. c) Edellä ajavan ajoneuvon nopeus on tasainen ja vaihteleva (realistinen nopeusprofiili). d) Testi tehdään suoralla ja kaartuvalla tieosuudella. e) Edellä ajavan ajoneuvon sivusuuntainen sijainti kaistalla vaihtelee. f) Edellä ajavan ajoneuvon nopeus hidastuu pysähdyksiin asti täysin kehittyneellä hidastuvuudella, joka on keskimäärin vähintään 6 m/s2.

8.8 Toinen ajoneuvo vaihtaa kaistaa oman ajoneuvon eteen (kiilaaminen)

Testillä on osoitettava, että täysin automatisoitu ajoneuvo pystyy välttämään törmäyksen sen eteen samalle kaistalle äkillisesti siirtyvän ajoneuvon tai muun tienkäyttäjän kanssa, ellei kiilaava ohjausliike ylitä tiettyä kriittisyystasoa.

8.8.1 Kiilaavan ohjausliikkeen kriittisyys määritetään tämän liitteen osan 1 säännösten mukaisesti, ja perusteena on kiilaavan ajoneuvon takimmaisen pisteen ja täysin automatisoidun ajoneuvon etummaisten pisteen välinen etäisyys.

8.8.2 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Aika törmäykseen -arvot, etäisyysarvot ja suhteellisen nopeuden arvot ovat kiilaavassa ohjausliikkeessä erilaiset siten, että katetaan kiilaustilanteet, joissa törmäys voidaan välttää ja joissa sitä ei voida välttää. b) Kiilaava ajoneuvo ajaa tasaisella pituussuuntaisella nopeudella, kiihdyttää ja hidastaa. c) Käytetään erilaisia kiilaavan ajoneuvon sivuttaisnopeuksia ja sivuttaiskiihtyvyyksiä. d) Kiilaavana ajoneuvona on henkilöautokohde, moottoripyörää edustava kohde ja polkupyörää edustava kohde, jos käytettävissä on standardinmukainen moottoripyörää edustava kohde, jolla testi voidaan tehdä turvallisesti.

8.9 Kaistalla näkyy edellä ajavan ajoneuvon poistuttua paikallaan oleva este

Testillä on osoitettava, että täysin automatisoitu ajoneuvo pystyy välttämään törmäyksen paikallaan olevaan ajoneuvoon, tienkäyttäjään tai kaistan tukkivaan esteeseen, joka tulee näkyviin, kun edellä ajava ajoneuvo on välttänyt törmäyksen väistöliikkeellä. Testin on perustuttava liitteessä II vahvistettuihin vaatimuksiin ja tämän liitteen osassa 1 kuvattuun skenaarioparametreihin. Sellaisten olosuhteiden osalta, joita ei testata mutta joita voi esiintyä ajoneuvon toiminta-alueella, valmistajan on liitteen III osassa 2 kuvatun arvioinnin yhteydessä osoitettava asianomaisia viranomaisia tyydyttävällä tavalla, että ajoneuvo on turvallisesti hallittavissa.

8.9.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Kohde edustaa kaistan keskellä paikallaan olevaa henkilöautoa. b) Kohde edustaa kaistan keskellä paikallaan olevaa moottoripyörää. c) Kohde edustaa kaistan keskellä paikallaan olevaa jalankulkijaa. d) Kohde on kaistan keskellä oleva kaistan tukkiva este. e) Kaistalla on useita peräkkäisiä esteitä (esim. seuraavassa järjestyksessä: testattava ajoneuvo, kaistaa vaihtava ajoneuvo, moottoripyörä, auto).

8.10 Pysäköinti

Testillä on osoitettava, että ADS-järjestelmä pystyy pysäköimään ajoneuvon erilaisiin pysäköintipaikkoihin ja tilaratkaisuiltaan erilaisille pysäköintialueille erilaisissa olosuhteissa ja että se ei pysäköidessään vahingoita ympäröiviä esineitä, tienkäyttäjiä tai omaa ajoneuvoa.

8.10.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Pysäköintipaikat on sijoitettu tien suuntaisesti tai kohtisuoraan tien kanssa. b) Pysäköintipaikan pinta on tasainen tai kalteva. c) Ympäröivillä pysäköintipaikoilla on muita ajoneuvoja, myös moottori- ja polkupyöriä. d) Ajoneuvo pysäköidään geometrisiltä mitoiltaan erilaisiin pysäköintipaikkoihin. e) Tienpinnan kaltevuus vaihtelee. f) Pysäköintiliikkeen aikana toinen ajoneuvo kiilaa pysäköintipaikkaan.

8.11 Ajaminen pysäköintilaitoksessa

Testillä on osoitettava, että ADS-järjestelmä suoriutuu pysäköintilaitoksessa käytettävästä pienestä ajonopeudesta ja mahdollisesti heikosta yleisestä näkyvyydestä.

8.11.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Aluksi piilossa oleva jalankulkijaa edustava kohde ylittää täysin automatisoidun ajoneuvon kaistan nopeudella 5 km/h. b) Ajoneuvo siirtyy pois pysäköintipaikasta täysin automatisoidun ajoneuvon edessä. c) Täysin automatisoidun ajoneuvon reitillä on paikallaan pysyvä este. d) Ajoneuvoa ajetaan eri reittejä ja infrastruktuuri peittää näkyvyyden. e) Ajoluiskan jälkeen maassa on pieni este, joka jää täysin automatisoidun ajoneuvon kulkureitillä olevien muiden kohteiden peittoon.

8.12 Moottoritieskenaariot

8.12.1 Liittyminen moottoritielle Testillä on osoitettava, että ADS-järjestelmä pystyy liittymään moottoritielle turvallisesti.

8.12.1.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Mukana on eri ajoneuvoja, myös takaa lähestyvä moottoripyörä. b) Mukana on ajoneuvoja, jotka lähestyvät takaa eri nopeudella. c) Testattavan ajoneuvon viereisellä kaistalla ajaa ajoneuvojono.

8.12.2 Poistuminen moottoritieltä Testillä on osoitettava, että ADS-järjestelmä pystyy poistumaan moottoritieltä turvallisesti.

8.12.2.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Testi tehdään ilman edellä ajavaa ajoneuvoa. b) Testissä käytetään edellä ajavana tai toisena ajoneuvona henkilöautokohdetta ja moottoripyörää edustavaa kohdetta. c) Muut ajoneuvot tai esteet estävät pääsyn poistumisliittymään.

8.12.3 Tiemaksuasema Testillä on osoitettava, että ADS-järjestelmä pystyy valitsemaan oikean maksuportin ja säätämään nopeutensa tiemaksuaseman alueella sallitun mukaiseksi.

8.12.3.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Edellä ajaa ajoneuvo tai sellaista ei ole. b) Muut ajoneuvot estävät pääsyn maksuporteille. c) Maksuportti on kiinni tai auki. d) Tiemaksuaseman nopeusrajoitukset vaihtelevat.

8.13 Siirtyminen manuaalisen ja täysin automaattisen ajotilan välillä kaksitoimisessa ajoneuvossa

Testillä on osoitettava, että ADS-järjestelmä ottaa dynaamisen ajotehtävän haltuunsa turvallisesti ja vain ajoneuvon ollessa paikallaan.

8.13.1 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Ajoneuvossa on kuljettajana toimiva henkilö tai kuljettajaa ei ole. b) Ajoneuvon ovet ovat auki tai kiinni. c) Ajoneuvon ympärillä on esteitä tai ympäristö on vapaa. d) Testi tapahtuu pysäköintialueen sisä- ja ulkopuolella (tapauksen mukaan).

8.13.2 Testissä on käytettävä ainakin seuraavia skenaarioita, jotka ovat suunnitellun toiminta-alueen kannalta merkityksellisiä: a) Siirto on mahdollinen ja se toteutetaan. b) Siirtoa ei voida toteuttaa.

OSA 4

VIRTUAALISEN TYÖKALUKETJUN KÄYTÖSTÄ ADS-JÄRJESTELMÄN VALIDOINNISSA TEHTÄVÄ USKOTTAVUUSARVIOINTI

1. Yleistä

1.1 Uskottavuus voidaan osoittaa tutkimalla ja arvioimalla mallinnuksen ja simuloinnin viittä ominaisuutta: a) kyky – mihin mallinnuksella ja simuloinnilla pystytään ja mitä riskejä niiden käyttöön liittyy b) tarkkuus – kuinka tarkkoja mallinnuksella ja simuloinnilla tuotettu kohdedata on c) täsmällisyys – kuinka luotettavia ja vankkoja mallinnuksen ja simuloinnin data ja algoritmit ovat d) käytettävyys – mitä koulutusta ja kokemusta tarvitaan e) tarkoitukseensopivuus – miten hyvin mallinnuksen ja simuloinnin käyttö sopii suunnitellun toiminta-alueen ja ADS-järjestelmän arviointiin.

1.2 Uskottavuusarviointikehyksen on oltava niin yleinen, että sitä voidaan käyttää erilaisissa mallinnus- ja simulointiratkaisuissa ja -sovelluksissa. Tavoitetta mutkistavat kuitenkin ADS-järjestelmän ominaisuuksien ja erilaisten mallinnus- ja simulointiratkaisujen ja -sovellusten suuret erot. Uskottavuusarviointiin tarvitaan siksi (riskeihin ja tietoon perustuva) kehys, joka soveltuu kaikkiin mallinnus- ja simulointisovelluksiin.

1.3 Uskottavuusarviointikehyksessä annetaan yleinen kuvaus niistä keskeisistä elementeistä, joita on tarkoitus käyttää mallinnus- ja simulointiratkaisun arvioinnissa, ja hahmotellaan periaatetasolla sitä, mikä rooli kolmansia osapuolia edustavilla arvioijilla olisi uskottavuuden validoinnissa. Viime mainitun osalta tyyppihyväksyntäviranomainen tutkii uskottavuuden tueksi toimitettuja asiakirjoja arviointivaiheessa, kun taas varsinaiset validointitestit tehdään vasta sitten, kun valmistaja on kehittänyt integroidut simulointijärjestelmät.

1.4 Uskottavuusarvioinnin tulokset määrittelevät viime kädessä ne puitteet, joiden rajoissa virtuaalista välinettä voidaan käyttää ADS-järjestelmän arvioinnin tukena.

1.5 Tässä osassa vahvistettavilla vaatimuksilla on sen vuoksi tarkoitus osoittaa simulointimallin tai virtuaalisen työkaluketjun uskottavuus ADS-järjestelmän validoinnissa.

2. Tässä liitteessä sovelletaan seuraavia määritelmiä:

2.1 ’Abstraktiolla’ tarkoitetaan prosessia, jossa poimitaan lähde- tai referenssijärjestelmän olennaiset piirteet käytettäväksi mallinnuksessa tai simuloinnissa ja jätetään ei-olennaiset tekijät huomiotta. Mallinnusabstraktiossa on aina oletuksena, että se ei merkittävästi vaikuta simulointityökalun suunniteltuihin käyttötarkoituksiin.

2.2 ’Suljetun silmukan testauksella’ tarkoitetaan virtuaalista ympäristöä, jossa otetaan huomioon silmukassa olevan elementin (element-in-the-loop) toiminnot. Simuloidut kohteet reagoivat järjestelmän toimintaan (esim. järjestelmä, joka on vuorovaikutuksessa liikennemallin kanssa).

2.3 ’Deterministisellä’ tarkoitetaan termiä, joka kuvaa järjestelmää, jonka kehitys ajan mittaan voidaan ennustaa tarkasti ja jossa tietyt syötteet tuottavat aina saman tuotoksen.

2.4 ’Kuljettaja silmukassa -simulointi’ (driver-in-the-loop, DIL) toteutetaan tavallisesti ajosimulaattorissa, jota käytetään ihmisen ja automaation vuorovaikutuksen suunnitteluratkaisun testaamiseen. DIL-simuloinnissa on komponentteja, joiden avulla kuljettaja käyttää virtuaaliympäristöä ja viestii sen kanssa.

2.5 ’Laitteisto silmukassa -simuloinnissa’ (hardware-in-the-loop, HIL) mukana on ajoneuvon tietyn osajärjestelmän lopullinen laitteisto, jossa ajetaan lopullista ohjelmistoa, ja syöttö- ja ulostulosignaalit on kytketty simulointiympäristöön virtuaalitestausta varten. HIL-testauksella voidaan simuloida antureita, toimilaitteita ja mekaanisia komponentteja siten, että testattavan elektronisen ohjausyksikön (ECU) kaikki syöttö- ja ulostulosignaalit ovat kytkettyinä niihin, ja tämä voidaan tehdä jo paljon ennen kuin lopullinen järjestelmä on integroitu.

2.6 ’Mallilla’ tarkoitetaan järjestelmän, kokonaisuuden, ilmiön tai prosessin kuvausta.

2.7 ’Mallin kalibroinnilla’ tarkoitetaan prosessia, jossa mallin numeerisia tai mallinnusparametreja säätämällä parannetaan mallin vastaavuutta referenssinsä kanssa.

2.8 ’Mallinnusparametrit’ ovat numeerisia arvoja, joita käytetään tukena järjestelmän toiminnon kuvaamisessa. Mallinnusparametrilla on arvo, jota ei voida havaita suoraan reaalimaailmassa vaan joka on johdettava reaalimaailmasta kerätyistä tiedoista (mallin kalibroinnin yhteydessä).

2.9 ’Malli silmukassa -simulointi’ (model-in-the-loop, MIL) mahdollistaa algoritmien kehittämisen ilman erityistä laitteistoa. Tämän tasoisessa kehittämisessä käytetään yleensä korkean tason abstrahointiohjelmistoja, joita ajetaan yleiskäyttöisissä laskentajärjestelmissä.

2.10 ’Avoimen silmukan testauksella’ tarkoitetaan virtuaalista ympäristöä, jossa ei oteta huomioon silmukassa olevan elementin (element-in-the-loop) toimintoja (esim. järjestelmä, joka on vuorovaikutuksessa tallennetun liikennetilanteen kanssa).

2.11 ’Todennäköisyyspohjaisella’ viitataan ei-deterministisiin tapahtumiin, joiden tuloksia kuvataan niiden todennäköisyydellä.

2.12 ’Testiradalla’ tarkoitetaan fyysistä testaustilaa, joka on suljettu liikenteeltä ja jossa ADS-järjestelmän suorituskykyä voidaan tutkia todellisessa ajoneuvossa. Muita tienkäyttäjiä voidaan jäljitellä antureita stimuloivilla signaaleilla tai sijoittamalla radalle niitä esittäviä kappaleita.

2.13 ’Anturien stimuloinnilla’ tarkoitetaan tekniikkaa, jossa testikohteeseen syötetään keinotekoisesti tuotettuja signaaleja, jotta kohde tuottaisi tuloksen, jota tarvitaan todellisen toiminnan todentamiseen, koulutukseen, huoltotoimiin taikka tutkimukseen ja kehittämiseen.

2.14 ’Simuloinnilla’ tarkoitetaan todellisen prosessin tai järjestelmän toiminnan jäljittelyä.

2.15 ’Simulointimalli’ on malli, jonka syöttömuuttujat vaihtelevat ajan mittaan.

2.16 ’Simulointityökaluketjulla’ tarkoitetaan simulointityökalujen kokoonpanoa, jota käytetään ADS-järjestelmän validoinnin tukena.

2.17 ’Ohjelmisto silmukassa -simuloinnissa (software-in-the-loop, SIL)’ arvioidaan kehitetyn mallin toteutusta yleiskäyttöisissä laskentajärjestelmissä. Tässä vaiheessa voidaan käyttää täydellistä ohjelmistosovellusta, joka on hyvin lähellä lopullista versiota. SIL-testausta käytetään kuvaamaan testausmenetelmää, jossa testataan suoritettavaa koodia (kuten algoritmeja tai jopa kokonaista ohjausstrategiaa) mallinnusympäristössä, joka voi auttaa ohjelmiston testaamisessa.

2.18 ’Stokastisella’ tarkoitetaan prosessia, johon kuuluu satunnaismuuttuja tai -muuttujia. Sillä viitataan sattumaan tai todennäköisyyteen.

2.19 ’Simulointimallin validoinnilla’ tarkoitetaan prosessia, jolla määritetään, missä määrin simulointimalli kuvaa tarkasti todellisuutta tarkasteltuna välineen käyttötarkoitusten näkökulmasta.

2.20 ’Ajoneuvo silmukassa -simulointi’ (vehicle-in-the-loop, VIL) on yhdistelmäympäristö, jossa ajoneuvoa testataan todellisissa ja virtuaalisissa olosuhteissa. Simulointi voi edustaa ajoneuvon dynamiikkaa saman tasoisesti kuin todellisissa olosuhteissa, ja se voidaan suorittaa testipenkissä tai testiradalla.

2.21 ’Simulointimallin todentamisella’ tarkoitetaan prosessia, jolla määritetään missä määrin simulointimalli tai virtuaalitestausväline vastaa niitä vaatimuksia ja eritelmiä, jotka täsmennetään käsitteellisissä, matemaattisissa tai muissa malleissa.

2.22 ’Virtuaalitestauksella’ tarkoitetaan prosessia, jossa järjestelmää testataan yhtä tai useampaa simulointimallia käyttämällä.

3. Uskottavuusarviointikehyksen osatekijät ja asiaan liittyvät dokumentointivaatimukset

3.1 Uskottavuusarviointikehys tarjoaa keinon mallinnuksen ja simuloinnin uskottavuuden arvioimiseen ja siitä raportoimiseen laadunvarmistuskriteerien perusteella ja siten, että tulosten luottamustaso voidaan ilmoittaa. Uskottavuus vahvistetaan toisin sanoen arvioimalla seuraavia mallinnukseen ja simulointiin vaikuttavia tekijöitä, joiden katsotaan olevan tärkeimmät näiden toimien ominaisuuksiin ja näin ollen niiden yleiseen uskottavuuteen vaikuttavat seikat: a) mallinnuksen ja simuloinnin hallinta, b) toteuttajaryhmän kokemus ja asiantuntemus, c) mallinnuksen ja simuloinnin analyysi ja kuvaus, d) datan/syöttötietojen jäljitettävyys ja e) todentaminen, validointi ja epävarmuuden luonnehdinta. Kukin näistä tekijöistä osoittaa mallinnuksella ja simuloinnilla saavutetun laatutason. Vertailemalla saavutettuja tasoja vaadittuihin tasoihin määritetään, onko mallinnus ja simulointi uskottavaa ja soveltuuko se virtuaalitestaukseen. Seuraavassa kaaviossa kuvataan uskottavuusarviointikehyksen eri osatekijöiden suhteita.

3.2 Mallinnuksen ja simuloinnin hallinta

3.2.1 Mallinnus ja simulointi on toimenpiteenä dynaaminen prosessi, jossa on seurattava ja dokumentoitava lukuisia eri versioita. Mallinnuksen ja simuloinnin tueksi tarvitaan luonteeltaan työ- ja tuotehallinnan tyyppisiä hallintatoimia. Tarvitaan tietoja seuraavista seikoista.

3.2.2 Mallinnuksen ja simuloinnin hallintaprosessissa on a) kuvattava eri versioissa tehtyjä muutoksia b) nimettävä vastaava ohjelmisto (esim. tuote ja versio) ja laitteistojärjestely (esim. XiL-konfiguraatio) c) kirjattava sisäiset arviointiprosessit, joilla uudet versiot on hyväksytty d) oltava käytettävissä tuki virtuaalimallin koko käytön ajan.

3.2.3 Versionhallinta

3.2.3.1 Kaikki mallinnuksen ja simuloinnin työkaluketjun versiot, joita käytetään tietojen luovuttamiseen sertifiointitarkoituksia varten, on tallennettava. Testaustyökaluketjun muodostavista virtuaalisista malleista on dokumentoitava vastaavat validointimenetelmät ja hyväksymiskynnykset, joilla tuetaan ketjun yleistä uskottavuutta. Kehittäjällä on oltava käytössään menetelmä, jolla tuotetut tiedot voidaan jäljittää vastaavaan mallinnus- ja simulointityökalun versioon.

3.2.3.2 Virtuaalitietojen laadun tarkastaminen. Tietojen täydellisyys, tarkkuus ja johdonmukaisuus on todentamis- ja validointimenettelyjen tukemiseksi varmistettava mallinnus- ja simulointityökalun kaikkien versioiden ja koko käyttöiän mitalta.

3.2.4 Toteuttajaryhmän kokemus ja asiantuntemus

3.2.4.1 Vaikka kokemus ja asiantuntemus on yleisessä mielessä jo otettu huomioon organisaation sisällä, on tärkeää luoda kokemus- ja asiantuntemusperusta myös mallinnus- ja simulointitoimien osalta.

3.2.4.2 Mallinnuksen ja simuloinnin uskottavuus riippuu paitsi simulointimallien laadusta myös mallinnuksen ja simuloinnin validoinnin ja käytön parissa toimivan henkilöstön kokemuksesta ja asiantuntemuksesta. Esimerkiksi hyvä käsitys mallinnuksen ja simuloinnin rajoituksista ja validoinnista auttaa välttämään näiden toimien väärinkäyttöä ja niiden tulosten virheellistä tulkitsemista.

3.2.4.3 Sen vuoksi on tärkeää, että valmistaja voi luottaa seuraavien kokemukseen ja asiantuntemukseen: a) simulointityökaluketjun toteuttajaryhmät b) ryhmät, jotka käyttävät validoitua simulointia virtuaalitestauksen suorittamiseen ADS-järjestelmän validointia varten.

3.2.4.4 Kun ryhmän kokemusta ja asiantuntemusta hallinnoidaan asianmukaisesti, luottamus mallinnuksen ja simuloinnin ja niiden tulosten uskottavuuteen paranee sen ansiosta, että mallinnuksen ja simuloinnin taustalla olevat inhimilliset tekijät otetaan huomioon ja mahdollinen ihmiseen liittyvä riski pidetään aisoissa, kuten kaikissa soveltuvissa hallintajärjestelmissä täytyy tehdä.

3.2.4.5 Jos valmistajan työkaluketju sisältää tai hyödyntää valmistajan oman henkilöstön ulkopuolisten organisaatioiden tai tuotteiden panoksia, valmistajan on annettava selostus toimenpiteistä, joilla se tukee luottamustaan näiden panosten laatuun ja asianmukaisuuteen.

3.2.4.6 Ryhmän kokemusta ja asiantuntemusta voidaan tarkastella kahdella tasolla.

3.2.4.6.1 Organisaation taso Uskottavuus vahvistetaan prosesseilla ja menettelyillä, joilla kartoitetaan mallinnus- ja simulointitoimien suorittamiseen tarvittavat tiedot, osaaminen ja kokemus ja pidetään niitä yllä. On perustettava, pidettävä yllä ja dokumentoitava seuraavat prosessit: i) prosessi, jolla kartoitetaan ja arvioidaan yksittäisen henkilön pätevyys ja taidot ii) prosessi, jolla koulutetaan pätevää henkilöstöä suorittamaan mallinnus- ja simulointitoimia.

3.2.4.6.2 Ryhmän taso Kun mallinnus ja simulointi on saatu päätökseen, sen uskottavuuden määräävät pääasiassa sen henkilön tai ryhmän taidot ja osaaminen, joka seuraavaksi validoi mallinnuksen ja simuloinnin työkaluketjun ja käyttää mallinnusta ja simulointia ADS-järjestelmän validointiin. Uskottavuus vahvistetaan asiakirjoilla, jotka osoittavat, että nämä ryhmät ovat saaneet tehtäviensä suorittamiseen tarvittavan koulutuksen. Valmistajan on tämän jälkeen i) esitettävä perusta luottamukselleen sen henkilön tai ryhmän taitoihin ja osaamiseen, joka validoi mallinnuksen ja simuloinnin työkaluketjun ii) esitettävä perusta luottamukselleen sen henkilön/ryhmän taitoihin ja osaamiseen, joka käyttää simulointia ADS-järjestelmän validoimiseksi tehtävän virtuaalitestauksen suorittamiseen. Tämän luottamuksen määrittämisen perustana on valmistajan osoitus siitä, kuinka se soveltaa standardin ISO 9001 periaatteita tai vastaavaa parhaaksi katsottua käytäntöä tai standardia varmistaakseen mallinnusta ja simulointia suorittavan organisaationsa ja siihen kuuluvien henkilöiden pätevyyden. Tyyppihyväksyntäviranomainen ei saa ottaa valmistajan arviota organisaation tai sen jäsenten kokemuksesta ja asiantuntemuksesta omaksi arviokseen, vaan sen on tehtävä se itse.

3.2.5 Datan/syöttötietojen jäljitettävyys

3.2.5.1 Datan/syöttötietojen jäljitettävyystiedot sisältävät kirjanpidon mallinnuksen ja simuloinnin validoinnissa käytettävien valmistajan tietojen jäljitettävyydestä.

3.2.5.2 Mallinnuksessa ja simuloinnissa käytettyjen tietojen kuvaus a) Valmistajan on dokumentoitava mallin validoinnissa käytetyt tiedot ja ilmoitettava tärkeät niiden laatuun liittyvät ominaisuudet. b) Valmistajan on osoitettava asiakirjanäytöllä, että mallien validoinnissa käytetyt tiedot kattavat ne toiminnot, jotka työkaluketjulla on tarkoitus virtualisoida. c) Valmistajan on dokumentoitava kalibrointimenettelyt, joilla virtuaalisten mallien parametrit sovitetaan kerättyihin syöttötietoihin.

3.2.5.3 Tietojen laadun (esim. kattavuuden, signaali-kohinasuhteen, anturien epävarmuuden, harhan ja näytteenottotiheyden) vaikutus mallin parametrien epävarmuuteen. Mallin kehittämisessä käytettävien tietojen laatu vaikuttaa mallin parametrien arviointiin ja kalibrointiin. Mallin parametrien epävarmuus on sekin tärkeä lopullisessa epävarmuusanalyysissä huomioon otettava seikka.

3.2.6 Datan / tuotettujen tietojen jäljitettävyys

3.2.6.1 Datan / tuotettujen tietojen jäljitettävyystiedot sisältävät kirjanpidon ADS-järjestelmän validoinnissa käytettävistä mallinnuksella ja simuloinnilla tuotetuista tiedoista.

3.2.6.2 Mallinnuksella ja simuloinnilla tuotettujen tietojen kuvaus a) Valmistajan on annettava tietoja kaikista virtuaalitestauksen työkaluketjun validoinnissa käytetyistä tiedoista ja skenaarioista. b) Valmistajan on dokumentoitava siirretyt tiedot ja ilmoitettava tärkeät niiden laatuun liittyvät ominaisuudet. c) Valmistajan on jäljitettävä mallinnuksella ja simuloinnilla tuotetut tiedot vastaavaan simulointijärjestelyyn.

3.2.6.3 Tietojen laadun vaikutus mallinnuksen ja simuloinnin uskottavuuteen a) Mallinnuksella ja simuloinnilla tuotettujen tietojen on oltava riittävän laajoja, jotta validointilaskenta voidaan suorittaa asianmukaisesti. Tietojen on riittävällä tavalla edustettava ADS-järjestelmän virtuaalisen arvioinnin kannalta merkityksellistä suunniteltua toiminta-aluetta. b) Tuotettujen tietojen perusteella on voitava tarkastaa virtuaalisten mallien johdonmukaisuus ja tarkoituksenmukaisuus hyödyntämällä mahdollisesti myös tarpeettomia tietoja.

3.2.6.4 Stokastisten mallien hallinta a) Stokastisia malleja on käsiteltävä niiden varianssin mukaan. b) Stokastiset mallit on voitava määrittää uudelleen deterministisesti.

3.3 Mallinnuksen ja simuloinnin analyysi ja kuvaus

3.3.1 Mallinnuksen ja simuloinnin analyysin ja kuvauksen avulla määritellään mallinnus ja simulointi kokonaisuudessaan ja kartoitetaan se parametrikokonaisuus, jota voidaan arvioida virtuaalisella testauksella. Analyysilla ja kuvauksella määritellään mallien ja työkaluketjun laajuus ja rajat sekä ne epävarmuuden lähteet, jotka voivat vaikuttaa niiden tuloksiin.

3.3.2 Yleiskuvaus

3.3.2.1 Valmistajan on annettava kuvaus koko työkaluketjusta sekä siitä, miten simulointitietoja käytetään ADS-järjestelmän validointistrategian tukena.

3.3.2.2 Valmistajan on annettava selkeä kuvaus testin tavoitteesta.

3.3.3 Oletukset, tunnetut rajoitukset ja epävarmuuslähteet

3.3.3.1 Valmistajan on perusteltava mallinnuksen ja simuloinnin työkaluketjun suunnittelua ohjaavat mallintamisoletukset.

3.3.3.2 Valmistajan on toimitettava näyttöä seuraavista: i) valmistajan määrittelemien oletusten rooli työkaluketjun rajoitusten määrittelyssä ii) simulointimalleilta edellytettävä todenmukaisuus.

3.3.3.3 Valmistajan on esitettävä perustelut sille, että simuloinnin ja todellisuuden vastaavuudessa sallittu toleranssi on testin tavoitteen kannalta hyväksyttävä.

3.3.3.4 Lisäksi on annettava tietoja malliin liittyvistä epävarmuuslähteistä. Ne antavat tärkeän panoksen lopulliseen epävarmuusanalyysiin, jossa määritellään, miten malliin liittyvät eri epävarmuuslähteet voivat vaikuttaa mallin tuottamiin tietoihin.

3.3.4 Laajuus (mallinnuksen ja simuloinnin käyttö ADS-järjestelmän validoinnissa)

3.3.4.1 Virtuaalisen välineen uskottavuutta on tehostettava määrittelemällä kehitetyille malleille selkeä käyttöalue.

3.3.4.2 Valmiiksi kehitetyllä mallinnuksella ja simuloinnilla on pystyttävä jäljittelemään fyysisiä ilmiöitä niin tarkasti, että se vastaa sertifioinnissa edellytettyä todenmukaisuutta. Mallinnus ja simulointi toimii näin ADS-järjestelmän testauksen virtuaalisena testiratana.

3.3.4.3 Simulointimallien validoinnissa tarvitaan tarkoitusta varten määritettyjä skenaarioita ja mittareita. Validointia varten muodostettavan skenaariovalikoiman on oltava niin kattava, että työkaluketju pystyy toimimaan samalla tavalla myös validoinnin ulkopuolelle jäävissä skenaarioissa.

3.3.4.4 Valmistajan on toimitettava validointiskenaarioiden luettelo ja niitä vastaaviin parametreihin liittyvät rajoitukset.

3.3.4.5 Suunnitellun toiminta-alueen analyysi muodostaa ratkaisevan tärkeän perustan määriteltäessä ne vaatimukset, ulottuvuudet ja vaikutukset, jotka mallinnuksessa ja simuloinnissa on ADS-järjestelmän validoinnin tukemiseksi otettava huomioon.

3.3.4.6 Skenaarioita varten luoduilla parametreilla määritellään työkaluketjun ja simulointimallien tarvitsemat ulkoiset ja luontaiset tiedot.

3.3.5 Kriittisyysarviointi

3.3.5.1 Työkaluketjussa käytettyjä simulointimalleja ja -työkaluja analysoimalla on selvitettävä, missä määrin lopputuotteessa mahdollisesti ilmenevää turvallisuusvirhettä voidaan pitää niistä johtuvana. Kriittisyysanalyysiin ehdotettava malli on johdettu standardista ISO 26262, jossa edellytetään joidenkin kehittämisprosessissa käytettyjen työkalujen laatuhyväksyntää.

3.3.5.2 Simuloitujen tietojen kriittisyyden selvittämiseksi kriittisyysarvioinnissa on tarkasteltava seuraavia parametreja: a) ihmisen turvallisuuteen kohdistuvat seuraukset, esim. standardin ISO 26262 mukaiset riskin vakavuutta kuvaavat luokat b) se, missä määrin simuloidut tulokset vaikuttavat ADS-järjestelmään.

3.3.5.3 Kriittisyysarvioinnin näkökulmasta kolme mahdollista arvioitavaa tapausta ovat seuraavat: a) mallit ja välineet, joille olisi selkeästi tehtävä täysi uskottavuusarviointi b) mallit ja välineet, joiden tapauksessa arvioija päättää, onko täysi uskottavuusarviointi tarpeen tehdä c) mallit ja välineet, joille ei tarvitse tehdä uskottavuusarviointia.

3.4 Todentaminen

3.4.1. Mallintamisen ja simuloinnin todentamisessa analysoidaan, onko käytetyn työkaluketjun muodostavat käsitteelliset ja matemaattiset mallit toteutettu asianmukaisesti. Todentaminen tukee mallintamisen ja simuloinnin uskottavuutta antamalla varmuutta siitä, ettei mallintaminen ja simulointi toimi todellisuutta vastaamattomalla tavalla sellaisten syöttötietojen tapauksessa, joita ei voida testata. Menettely on monivaiheinen, ja siihen kuuluu koodin todentaminen, laskennan todentaminen ja herkkyysanalyysi.

3.4.2 Koodin todentaminen

3.4.2.1 Koodin todentamiseen kuuluu testejä, joilla osoitetaan, ettei virtuaalisiin malleihin vaikuttavia numeerisia tai loogisia virheitä ole.

3.4.2.2 Valmistajan on dokumentoitava asianmukaisten koodintodentamistekniikoiden käyttö. Tekniikoita ovat esimerkiksi staattinen tai dynaaminen koodin todentaminen, konvergenssianalyysi ja tapauksen mukaan vertailu eksakteihin ratkaisuihin.

3.4.2.3 Valmistajan on esitettävä asiakirjat, jotka osoittavat, että syöttöparametreista on tehty niin laaja tutkimus, että sen perusteella on voitu kartoittaa ne parametrien yhdistelmät, joiden tapauksessa mallintaminen ja simulointi on epävakaata tai epärealistista. Parametriyhdistelmiin sovelletuilla kattavuusmittareilla