3.4.4.

Les documents doivent être étayés par une analyse montrant en termes généraux la manière dont le système se comportera pour atténuer ou éviter les dangers qui peuvent avoir une incidence sur la sécurité du conducteur, des passagers et des autres usagers de la route. La ou les méthodes analytiques choisies doivent être établies et gérées par le constructeur et soumises à l’inspection de l’autorité d’homologation de type au moment de l’homologation. L’autorité d’homologation de type doit procéder à une évaluation de l’application de la ou des méthodes d’analyse: a) Inspection de la stratégie en matière de sécurité au niveau du concept (véhicule); Cette stratégie doit être fondée sur une analyse des dangers et des risques adaptée à la sûreté du système; b) Inspection de la stratégie en matière de sécurité au niveau du système, y compris une méthode descendante (du danger éventuel à la conception) et ascendante (de la conception aux dangers éventuels). La stratégie en matière de sécurité peut être fondée sur une analyse des modes de défaillance et de leurs effets, une analyse de l’arbre des défaillances et une analyse du processus théorique du système ou tout autre processus similaire approprié à la sûreté fonctionnelle et opérationnelle du système; c) Inspection des plans et résultats de validation et de vérification, y compris des critères d’acceptation appropriés. Cela comprend des essais de validation appropriés, par exemple, des essais de type «matériel incorporé» (HIL), des essais fonctionnels sur route, des essais avec des utilisateurs finaux réels ou tout autre type d’essai approprié pour la validation et la vérification. Les résultats de la validation et de la vérification peuvent être évalués en analysant le domaine abordé par les différents essais et en fixant des seuils de portée minimaux pour diverses mesures. L’inspection doit confirmer que les alinéas a) à c) ci-dessus tiennent compte, le cas échéant, d’au moins chacun des éléments suivants: i) Questions liées aux interactions avec d’autres systèmes du véhicule (par exemple, le freinage ou la direction); ii) Défaillances du système automatisé de maintien dans la voie et les réactions du système visant à atténuer les risques; iii) Situations autorisées par le domaine de conception fonctionnelle dans lesquelles un système peut créer des risques déraisonnables pour la sécurité du conducteur, des passagers et des autres usagers de la route en raison de perturbations fonctionnelles (par exemple, compréhension insuffisante ou erronée de l’environnement du véhicule, incompréhension de la réaction du conducteur, des passagers ou des autres usagers de la route, contrôle inadéquat, scénarios difficiles); iv) Détermination des scénarios pertinents dans le cadre des conditions limites, méthode de gestion utilisée pour choisir les scénarios et outil de validation choisi; v) Processus de prise de décisions en vue de l’exécution des tâches de conduite dynamique (par exemple, manœuvres d’urgence), de la gestion des interactions avec les autres usagers de la route et du respect des règles de circulation; vi) Utilisations abusives raisonnablement prévisibles par le conducteur (par exemple, système de détection de la disponibilité du conducteur et explication sur la manière dont les critères de disponibilité ont été établis), erreurs ou malentendus de la part du conducteur (par exemple, neutralisation involontaire) et altération intentionnelle du système; vii) Cyberattaques ayant une incidence sur la sûreté du véhicule (cela peut être réalisé grâce à l’analyse effectuée dans le cadre du règlement ONU no 155 sur la cybersécurité et le système de gestion de la cybersécurité). L’évaluation par l’autorité d’homologation de type consiste en des contrôles ponctuels de certains dangers (ou cybermenaces) afin d’établir que l’argumentation à l’appui du concept de sécurité est compréhensible et logique et mise en œuvre dans les différentes fonctions des systèmes. L’évaluation doit également vérifier que les plans de validation sont suffisamment solides pour démontrer la sûreté (par exemple, portée raisonnable des essais des scénarios sélectionnés par l’outil de validation choisi) et qu’ils ont été réalisés. Cela doit démontrer que le véhicule ne présente pas de risques déraisonnables pour le conducteur, les occupants du véhicule et les autres usagers de la route dans son domaine de conception opérationnelle, c’est-à-dire jusqu’à: a) Un objectif de validation global (c’est-à-dire des critères d’acceptation de la validation) étayé par des résultats de validation, démontrant que la mise en service du système automatisé de maintien dans la voie n’augmentera pas globalement le niveau de risque pour le conducteur, les occupants du véhicule et les autres usagers de la route par rapport à un véhicule à conduite manuelle; b) Une stratégie particulière à chaque scénario montrant que le système n’augmentera globalement pas le niveau de risque pour le conducteur, les passagers et les autres usagers de la route par rapport à un véhicule à conduite manuelle pour chacun des scénarios pertinents pour la sécurité; et Pour vérifier le concept de sécurité, l’autorité d’homologation de type doit effectuer les essais spécifiés au paragraphe 4 ou prescrire leur exécution.