ALLEGATO III

Valutazione della conformità

La valutazione complessiva della conformità del sistema di guida automatizzata si basa sugli elementi indicati di seguito.

— Parte 1 — Scenari di traffico da tenere in considerazione.

— Parte 2 — Valutazione del principio di sicurezza del sistema di guida automatizzata e ispezione del sistema di gestione della sicurezza del costruttore.

— Parte 3 — Prove per gli scenari di traffico più pertinenti.

— Parte 4 — Principi da utilizzare per la valutazione della credibilità per l’utilizzo di una catena degli strumenti virtuali ai fini della convalida del sistema di guida automatizzata.

— Parte 5 — Sistema istituito dal costruttore per garantire le segnalazioni in servizio.

Qualsiasi requisito di cui all’allegato II può essere verificato mediante prove eseguite dall’autorità di omologazione (o dal suo servizio tecnico).

PARTE 1

SCENARI DI TRAFFICO DA TENERE IN CONSIDERAZIONE

1. Serie minima di scenari di traffico

1.1. Devono essere utilizzati gli scenari e i parametri elencati al punto 1, quando tali scenari sono pertinenti per l’ambito di impiego previsto del sistema di guida automatizzata. Se il costruttore si discosta dai parametri proposti al punto 1, le metriche relative alle prestazioni di sicurezza e le ipotesi intrinseche utilizzate dal costruttore devono essere documentate nel fascicolo di documentazione. Le metriche delle prestazioni di sicurezza e le ipotesi inerenti scelte devono dimostrare che il veicolo completamente automatizzato è esente da rischi irragionevoli per la sicurezza. La validità di tali metriche delle prestazioni di sicurezza e ipotesi intrinseche deve essere supportata da dati di monitoraggio in servizio.

1.2. Parametri da utilizzare per gli scenari di cambio corsia da parte del veicolo completamente automatizzato

1.2.1. Gli scenari e i parametri per quanto riguarda il cambio di corsia devono essere applicati come specificato nel regolamento UNECE n. 157 ( 1 )

1.3. Parametri da utilizzare per gli scenari di svolta e attraversamento da parte del veicolo completamente automatizzato.

1.3.1. In assenza di norme più specifiche in materia di circolazione stradale, occorre prendere in considerazione i seguenti requisiti per quanto riguarda l’interazione con altri utenti della strada coinvolti nel movimento durante le svolte e gli attraversamenti (cfr. figura 1) in condizioni di pavimentazione stradale asciutta e adeguata.

1.3.2. In caso di confluenza con traffico avente la precedenza durante le svolte con e senza attraversamento del senso di marcia opposto, il traffico avente la precedenza nella corsia di destinazione non dovrebbe dover decelerare. Occorre tuttavia garantire che il tempo mancante alla collisione del traffico in avvicinamento avente la precedenza nella strada di destinazione [caso a) nella figura 1] non scenda mai al di sotto della soglia TTC dyn definita come: dove: v e corrisponde alla velocità del veicolo completamente automatizzato; v a corrisponde alla velocità del traffico in avvicinamento avente la precedenza; β è pari a 3 m/s2, che corrisponde alla decelerazione massima ammissibile per il traffico in avvicinamento avente la precedenza; ρ è pari a 1,5 secondi, che corrisponde al tempo di reazione del traffico in avvicinamento avente la precedenza.

1.3.3. Nel caso di una manovra di svolta con attraversamento del senso di marcia opposto, considerando il traffico che si svolge in senso inverso, il traffico avente la precedenza nella corsia di destinazione non dovrebbe dover decelerare. Tuttavia, se giustificato dalla densità del traffico, occorre garantire, oltre alla distanza dal traffico avente la precedenza in avvicinamento nella strada di destinazione, che il tempo mancante alla collisione del traffico avente la precedenza in attraversamento fino al punto di collisione fittizio [punto di intersezione delle traiettorie, caso b) nella figura 1], non scenda mai al di sotto della soglia TTC int definita come: dove: v c corrisponde alla velocità del traffico in conflitto avente la precedenza; β è pari a 3 m/s2, che corrisponde alla decelerazione massima ammissibile per il traffico in attraversamento avente la precedenza; ρ è pari a 1,5 secondi, che corrisponde al tempo di reazione del traffico in attraversamento avente la precedenza. Lo stesso si applica all’attraversamento con traffico avente la precedenza [caso c) nella figura 1]: Il tempo mancante alla collisione del traffico avente la precedenza fino al punto di collisione immaginario (punto di intersezione delle traiettorie) non deve mai scendere al di sotto della soglia TTC int definita al presente punto. Figura 1 — Visualizzazione delle distanze durante le svolte e gli attraversamenti. Caso a) — Distanza da osservare dal traffico in avvicinamento avente la precedenza nella corsia di destinazione durante l’inserimento in tale traffico e la confluenza con esso. Caso b) — Distanza da osservare dal traffico che sopraggiunge con precedenza in senso inverso durante una svolta con attraversamento del senso di marcia opposto. Caso c) — Distanza dal traffico in attraversamento avente la precedenza da rispettare durante l’attraversamento.

1.4. Parametri da utilizzare per gli scenari di manovra di emergenza da parte del veicolo completamente automatizzato (attività di guida dinamica in scenari critici)

1.4.1. Il sistema di guida automatizzata deve evitare una collisione con un veicolo che precede e che rallenta fino alla frenata massima, ammesso che nessun altro veicolo si sia inserito nella corsia davanti al veicolo dotato del sistema di guida automatizzata.

1.4.2. Le collisioni con veicoli, pedoni e ciclisti che si inseriscono nella corsia e procedono nella stessa direzione, nonché con pedoni che possono iniziare ad attraversare la strada devono essere evitate almeno nelle condizioni determinate dalla seguente equazione. dove: è il tempo mancante alla collisione nel momento in cui il veicolo o il ciclista si inserisce nella stessa corsia del veicolo completamente automatizzato a più di 30 cm di distanza; v rel è la velocità relativa in metri al secondo [m/s] tra il veicolo completamente automatizzato e il veicolo che si inserisce nella corsia (positiva se il sistema di guida automatizzata è più veloce rispetto al veicolo che si inserisce nella corsia); β è la decelerazione massima del veicolo completamente automatizzato che si presume essere pari a: 2,4 m/s2 se sta trasportando occupanti del veicolo in piedi o che non utilizzano sistemi di trattenuta e si verifica uno scenario nel quale un veicolo si inserisce nella corsia; 6 m/s2 se sta trasportando occupanti del veicolo in piedi o che non utilizzano sistemi di trattenuta per altri scenari con pedoni o ciclisti; 6 m/s2 per altri veicoli completamente automatizzati. ρ è il tempo di cui il veicolo completamente automatizzato necessita per avviare una frenata di emergenza, che si presume essere pari a 0,1 s; τ è il tempo necessario per raggiungere la massima decelerazione, β che si presume essere pari a: 0,12 s per veicoli completamente automatizzati che trasportano occupanti del veicolo in piedi o che non utilizzano sistemi di trattenuta; 0,3 s per altri veicoli completamente automatizzati. Il rispetto di questa equazione è richiesto soltanto in caso di inserimento in corsia di utenti della strada e soltanto se gli utenti della strada che si inseriscono erano visibili almeno 0,72 secondi prima dell’inserimento: ciò determina una prevenzione obbligatoria delle collisioni quando un altro utente della strada si inserisce nella corsia dell’ego vehicle (veicolo ego, ossia veicolo di riferimento per le applicazioni) con valori per il tempo mancante alla collisione superiori ai seguenti (ad esempio riportati per velocità in scaglioni di 10 km/h). Tali requisiti devono essere soddisfatti indipendentemente dalle condizioni ambientali. v rel [km/h] [s] per veicoli con occupanti del veicolo in piedi o che non utilizzano sistemi di trattenuta [s] per gli altri veicoli: 10 0,74 0,48 20 1,32 0,71 30 1,9 0,94 40 2,47 1,18 50 3,05 1,41 60 3,63 1,64 Se viene effettuato un cambio di corsia con un tempo mancante alla collisione inferiore verso la corsia del veicolo completamente automatizzato, non è più possibile presumere che non ci sarà alcuna prevenzione delle collisioni. La strategia di controllo del sistema di guida automatizzata può cambiare tra prevenzione e attenuazione della collisione soltanto se il costruttore può dimostrare che ciò aumenta la sicurezza degli occupanti del veicolo e degli altri utenti della strada (ad esempio, privilegiando la frenata rispetto a una manovra alternativa).

1.4.3. Il sistema di guida automatizzata deve evitare una collisione con un pedone o un ciclista che attraversa davanti al veicolo.

1.4.3.1. Condizioni di guida urbane e rurali

1.4.3.1.1. Il sistema di guida automatizzata deve evitare una collisione, fino a una velocità di 60 km/h e con visuale libera, in caso di attraversamento di pedoni con una componente di velocità laterale non superiore a 5 km/h o di attraversamento di ciclisti con una componente di velocità laterale non superiore a 15 km/h davanti al veicolo. Ciò deve essere assicurato indipendentemente dalla manovra specifica che il sistema di guida automatizzata sta intraprendendo.

1.4.3.1.2. Nel caso in cui il pedone o il ciclista proceda con una velocità superiore ai valori di cui sopra e il sistema di guida automatizzata non possa più evitare la collisione, la strategia di controllo del sistema di guida automatizzata può cambiare tra prevenzione e attenuazione della collisione soltanto se il costruttore può dimostrare che ciò aumenta la sicurezza degli occupanti del veicolo e degli altri utenti della strada (ad esempio, privilegiando la frenata rispetto a una manovra alternativa).

1.4.3.1.3. Quando la visuale è ostruita, il sistema di guida automatizzata deve attenuare una collisione con un pedone o un ciclista che attraversa davanti al veicolo riducendone la velocità all’impatto di almeno 20 km/h. Ciò deve essere assicurato indipendentemente dalla manovra specifica che il sistema di guida automatizzata sta intraprendendo.

1.4.3.1.4. Al fine di dimostrare il rispetto dei precedenti requisiti relativi all’attraversamento di pedoni e ciclisti davanti al veicolo, possono essere utilizzati in qualità di orientamento gli scenari di prova e di valutazione sviluppati nel quadro del programma europeo di valutazione dei nuovi modelli di automobili (Euro NCAP).

1.4.3.2. Condizioni di guida in autostrada

1.4.3.2.1. Gli scenari pertinenti per quanto concerne l’attraversamento pedonale devono essere applicati come specificato nel regolamento UNECE n. 157.

1.4.3.2.2. Nel caso in cui il pedone attraversi con valori dei parametri al di fuori dei limiti di cui al regolamento UNECE n. 157 e il sistema di guida automatizzata non possa più evitare la collisione, la strategia di controllo del sistema di guida automatizzata può cambiare tra prevenzione e attenuazione della collisione soltanto se il costruttore può dimostrare che ciò aumenta la sicurezza degli occupanti del veicolo e degli altri utenti della strada (ad esempio, privilegiando la frenata rispetto a una manovra alternativa).

1.5. Ingresso in autostrada Il veicolo completamente automatizzato deve essere in grado di entrare in sicurezza in autostrada adeguando la velocità al flusso del traffico e attivando il relativo indicatore di direzione conformemente al codice della strada. L’indicatore di direzione deve essere disattivato una volta che il veicolo ha eseguito la manovra di cambio corsia. Devono essere applicati i parametri utilizzati nello scenario di cambio corsia.

1.6. Uscita dall’autostrada Il veicolo completamente automatizzato deve essere in grado di prepararsi in anticipo per l’uscita autostradale prevista procedendo sulla corsia adiacente a quella di uscita e non deve decelerare inutilmente prima dell’inizio della manovra di cambio corsia verso la corsia di uscita. Il veicolo completamente automatizzato deve utilizzare l’indicatore di direzione in conformità al codice della strada ed eseguire senza indebito ritardo la manovra di cambio corsia verso la corsia di uscita. L’indicatore di direzione deve essere disattivato una volta completata la manovra di cambio corsia nel rispetto del codice della strada del paese di utilizzo.

1.7. Superamento di un casello autostradale A seconda dell’ambito di impiego previsto, il veicolo completamente automatizzato deve essere in grado di selezionare il varco di passaggio appropriato e adeguare la propria velocità ai limiti consentiti all’interno dell’area del casello, tenendo conto del flusso del traffico.

1.8. Funzionamento su strade diverse dalle autostrade A seconda dell’ambito di impiego previsto, si deve applicare lo scenario pertinente definito ai precedenti punti da 1.2. a 1.4.

1.9. Parametri da utilizzare per il parcheggio con servizio automatizzato di ritiro e riconsegna dei veicoli

1.9.1. A seconda dell’ambito di impiego previsto, si devono applicare gli scenari pertinenti definiti ai precedenti punti da 1.3. a 1.5. Può rivelarsi necessario adattare i parametri da utilizzare per tali scenari al fine di tenere conto della velocità di guida limitata e della generale mancanza di visibilità che si possono riscontrare all’interno di un parcheggio. Particolare attenzione deve essere prestata alla prevenzione di collisioni con pedoni, e in particolare con minori e carrozzine.

2. Scenari non contemplati dal punto 1.

2.1. Gli scenari non elencati al punto 1 devono essere generati al fine di contemplare situazioni critiche ragionevolmente prevedibili, incluse avarie e rischi per il traffico all’interno dell’ambito di impiego previsto.

2.2. Quando le capacità del sistema di guida automatizzata dipendono da capacità da remoto, gli scenari devono comprendere avarie e pericoli per il traffico derivanti dalle corrispondenti capacità da remoto.

2.3. Il metodo per generare scenari non elencati nella sezione 1 deve seguire i principi stabiliti nella parte 1, appendice 1, del presente allegato.

2.4. Il metodo utilizzato dal costruttore per generare scenari non elencati al punto 1 deve essere documentato nel fascicolo di documentazione da fornire per la valutazione del sistema di guida automatizzata. Appendice 1 Principi da seguire per derivare scenari pertinenti per l’ambito di impiego previsto del sistema di guida automatizzata 1. Generazione e classificazione di scenari Da un punto di vista qualitativo, gli scenari possono essere suddivisi in Nominale/Critico/Avaria e corrispondono a un funzionamento normale o di emergenza. Per ciascuna di queste categorie, è possibile utilizzare un approccio basato sui dati e un approccio basato sulle conoscenze per generare scenari di traffico corrispondenti. Un approccio basato sulle conoscenze utilizza le conoscenze di esperti per individuare sistematicamente eventi pericolosi e creare scenari. Un approccio basato sui dati utilizza i dati disponibili per individuare e classificare gli scenari che si verificano. Gli scenari devono essere derivati dall’ambito di impiego previsto del veicolo completamente automatizzato. 2. Scenari nominali Una serie di quadri analitici può aiutare il costruttore a derivare scenari nominali aggiuntivi per garantire la copertura per l’applicazione specifica. Tali quadri sono suddivisi nelle categorie che seguono. 2.1. Analisi dell’ambito di impiego previsto Un ambito di impiego previsto è costituito da elementi scenici (ad esempio infrastruttura fisica), condizioni ambientali, elementi dinamici (ad esempio traffico, utenti vulnerabili della strada) e vincoli operativi per l’applicazione specifica del sistema di guida automatizzata. Questa analisi mira a individuare le caratteristiche dell’ambito di impiego previsto, attribuire le proprietà e definire le interazioni tra gli oggetti. In questa sede viene analizzato l’effetto dell’ambito di impiego previsto sulle competenze comportamentali del sistema di guida automatizzata. Un esempio di analisi è riportato nella tabella 1. Tabella 1 Elementi dinamici e loro proprietà Oggetti Eventi/Interazioni Veicoli (ad esempio autovetture, autocarri leggeri, autocarri pesanti, autobus, motocicli) Decelerazione del veicolo che precede (frontale) Veicolo che precede fermo (frontale) Accelerazione del veicolo che precede (frontale) Cambio di corsia (frontale/laterale) Inserimento in corsia (adiacente) Svolta (frontale) Invasione da parte di un veicolo che procede in senso opposto (frontale/laterale) Invasione da parte di un veicolo adiacente (frontale/laterale) Ingresso in carreggiata (frontale/laterale) Abbandono dalla corsia (frontale) Pedoni Che attraversano la strada — all’interno dell’attraversamento pedonale (frontale) Che attraversano la strada — al di fuori dell’attraversamento pedonale (frontale) Che camminano sul marciapiede/nella corsia di emergenza Ciclisti Che procedono nella stessa corsia (frontale) Che procedono nella corsia adiacente (frontale/laterale) Che procedono in una corsia dedicata (frontale/laterale) Che procedono sul marciapiede/nella corsia di emergenza Che attraversano la strada — all’interno dell’attraversamento pedonale (frontale/laterale) Che attraversano la strada — al di fuori esterno dell’attraversamento pedonale (frontale/laterale) Animali Fermi in corsia (frontale) Che entrano nella corsia/escono dalla corsia (frontale/laterale) Fermi/in movimento nella corsia adiacente (frontale) Fermi/in movimento nella corsia di emergenza Detriti Fermi in corsia (frontale) Altri oggetti dinamici (ad esempio carrelli della spesa) Fermi in corsia (frontale/laterale) Che entrano nella corsia/escono dalla corsia (frontale/laterale) Segnali stradali Stop, dare precedenza, limite di velocità, attraversamento pedonale, passaggio a livello, incrocio, zona scolastica Segnali stradali luminosi Intersezione, passaggio a livello, zona scolastica Segnali del veicolo Segnali di svolta (indicatore di direzione) 2.2. Analisi del rilevamento di oggetti ed eventi e relativa risposta (analisi OEDR): individuazione delle competenze comportamentali Una volta individuati gli oggetti e le proprietà pertinenti, è possibile mappare la risposta adeguata del sistema di guida automatizzata. La risposta del sistema di guida automatizzata è modellata sulla base dei requisiti funzionali applicabili e applicando i requisiti di prestazione del presente regolamento e il codice della strada del paese di utilizzo. Anche il risultato dell’analisi OEDR costituisce un insieme di competenze che possono essere mappate tra le competenze comportamentali applicabili all’ambito di impiego previsto, per garantire la conformità ai requisiti normativi e giuridici pertinenti. La tabella 2 fornisce un esempio qualitativo di corrispondenza evento-risposta. La combinazione di oggetti, eventi e la loro potenziale interazione, quale funzione all’interno dell’ambito di impiego previsto, costituiscono l’insieme degli scenari nominali pertinenti per il sistema di guida automatizzata soggetto ad analisi. L’individuazione degli scenari nominali può beneficiare di una combinazione rafforzata di descrittori dello scenario che contemplino ad esempio, all’interno dell’ambito di impiego previsto, attributi dell’infrastruttura, caratteristiche degli oggetti e degli eventi, pericoli che incidono sulle risposte (ad esempio condizioni meteorologiche, visibilità). L’individuazione degli scenari nominali non si limita alle condizioni del traffico, ma riguarda anche le condizioni ambientali, i fattori umani, la connettività e gli errori di comunicazione. Poiché i parametri (ipotesi) per gli eventi devono ancora essere definiti, gli scenari nominali derivati dall’applicazione dell’analisi sono da considerare nel loro livello di astrazione funzionale e logico. Tabella 2 Competenze comportamentali per determinati eventi Evento Risposta Il veicolo che precede decelera Seguire il veicolo, decelerare, fermarsi Il veicolo che precede è fermo Decelerare, fermarsi Il veicolo che precede accelera Accelerare, seguire il veicolo Il veicolo che precede svolta Decelerare, fermarsi Cambio di corsia di un altro veicolo Dare la precedenza, decelerare, seguire il veicolo Inserimento di un altro veicolo Dare la precedenza, decelerare, fermarsi, seguire il veicolo Un veicolo entra nella carreggiata Seguire il veicolo, decelerare, fermarsi Invasione di corsia da parte di un veicolo che procede in senso opposto Decelerare, fermarsi, spostarsi all’interno della corsia, spostarsi fuori dalla corsia Invasione di corsia da parte di un veicolo che procede nella corsia adiacente Dare la precedenza, decelerare, fermarsi Il veicolo che precede abbandona la corsia Accelerare, decelerare, fermarsi Pedone che attraversa la strada — all’interno dell’attraversamento pedonale Dare la precedenza, decelerare, fermarsi Pedone che attraversa la strada — al di fuori dell’attraversamento pedonale Dare la precedenza, decelerare, fermarsi Ciclisti che procedono nella corsia Dare la precedenza, seguire Ciclisti che procedono nella corsia dedicata Spostarsi all’interno della corsia Ciclisti che attraversano la strada — all’interno dell’attraversamento ciclabile Dare la precedenza, decelerare, fermarsi Ciclisti che attraversano la strada — al di fuori dell’attraversamento ciclabile Dare la precedenza, decelerare, fermarsi 3. Scenari critici Gli scenari critici possono essere derivati considerando ipotesi di casi limite in relazione a scenari nominali di traffico (basati sui dati) o applicando metodi standardizzati (basati sulle conoscenze) per la valutazione delle insufficienze operative (cfr. esempio di metodi al punto 3.5.5. della parte 2). L’individuazione degli scenari critici può beneficiare di una combinazione rafforzata tra descrittori dello scenario e valori limite che contemplino ad esempio, all’interno dell’ambito di impiego previsto, attributi dell’infrastruttura, caratteristiche degli oggetti e degli eventi, pericoli che incidono sulle risposte (ad esempio condizioni meteorologiche, ostruzioni alla visibilità, interazioni con altri utenti della strada diversi dall’oggetto o evento provocato). L’individuazione degli scenari critici non si limita alle condizioni del traffico, ma riguarda anche le condizioni ambientali, i fattori umani, la connettività e gli errori di comunicazione. Gli scenari critici corrispondono al funzionamento di emergenza del sistema di guida automatizzata. 4. Scenari di avaria Questi scenari mirano a valutare come il sistema di guida automatizzata risponde a un’avaria. In letteratura sono disponibili diversi metodi (cfr. esempio di metodi al punto 3.5.5. della parte 2). Per ciascuna delle avarie di comportamento e degli effetti consequenziali individuati, il costruttore deve mettere in atto strategie pertinenti durante lo sviluppo del sistema di guida automatizzata [ad esempio, a prova di guasto (fail-safe)]. Quando si applicano gli scenari di avaria, l’obiettivo è valutare la capacità del sistema di guida automatizzata di soddisfare i requisiti per le situazioni critiche per la sicurezza, tra cui ad esempio «Il sistema di guida automatizzata deve gestire situazioni di guida critiche per la sicurezza» e «Il sistema di guida automatizzata deve gestire in sicurezza le modalità avaria» e i rispettivi sottorequisiti. 5. Ipotesi: scenari da logici a concreti Per garantire che gli scenari individuati nei punti precedenti siano pronti per essere valutati mediante simulazioni o prove fisiche, il costruttore potrebbe aver bisogno di parametrizzarli in modo coerente applicando ipotesi. Il costruttore deve fornire prove a sostegno delle ipotesi formulate, quali campagne di raccolta dati eseguite durante la fase di sviluppo, incidentologia del mondo reale e valutazioni realistiche del comportamento di guida. I parametri utilizzati per caratterizzare gli scenari critici dovrebbero contemplare valori ragionevolmente prevedibili nei descrittori dello scenario, ma non dovrebbero limitarsi ai valori già osservati nelle basi di dati documentate.

PARTE 2

VALUTAZIONE DEL PRINCIPIO DI SICUREZZA DEL SISTEMA DI GUIDA AUTOMATIZZATA E ISPEZIONE DEL SISTEMA DI GESTIONE DELLA SICUREZZA DEL COSTRUTTORE

1. Generalità

1.1. L’autorità di omologazione che rilascia l’omologazione o il servizio tecnico che agisce per suo conto deve verificare, mediante controlli e prove a campione mirati, in particolare come specificato al punto 4 del presente allegato, che l’argomentazione di sicurezza fornita dalla documentazione sia conforme ai requisiti dell’allegato II e che la progettazione e i processi descritti nella documentazione siano effettivamente attuati dal costruttore.

1.2. Anche se, sulla base della documentazione fornita, delle prove fornite per l’ispezione del sistema di gestione della sicurezza e della valutazione del principio di sicurezza del sistema di guida automatizzata eseguite in maniera soddisfacente per l’autorità di omologazione in conformità al presente regolamento, il livello di rischio residuo del sistema di guida automatizzata omologato è ritenuto accettabile per l’entrata in circolazione del tipo di veicolo, il costruttore che richiede l’omologazione resta responsabile della sicurezza complessiva del sistema di guida automatizzata durante il ciclo di vita di quest’ultimo conformemente ai requisiti di cui al presente regolamento.

2. Definizioni

Ai fini del presente allegato, si applicano le definizioni seguenti:

2.1. «principio di sicurezza»: una descrizione delle misure previste nel sistema di guida automatizzata per far sì che il veicolo completamente automatizzato funzioni per gli scenari e gli eventi pertinenti per l’ambito di impiego previsto in modo tale da non comportare rischi irragionevoli per la sicurezza degli occupanti del veicolo e di altri utenti della strada in presenza di guasti (sicurezza funzionale) e in assenza di guasti (sicurezza operativa). La possibilità di ripiegare su un funzionamento parziale o su un sistema di riserva per le funzioni vitali del sistema di guida automatizzata deve far parte del principio di sicurezza;

2.2. «unità»: le suddivisioni più piccole dei componenti del sistema che saranno prese in considerazione nel presente allegato, visto che tali combinazioni di componenti saranno considerate entità singole ai fini dell’identificazione, dell’analisi o della sostituzione;

2.3. «collegamenti di trasmissione»: dispositivi utilizzati per collegare tra loro unità distribuite ai fini della trasmissione di segnali e dati operativi o dell’alimentazione di energia. Questi accessori di norma sono elettrici, ma possono essere in alcune parti meccanici, pneumatici o idraulici;

2.4. «campo di controllo»: una variabile di uscita che definisce il campo in cui è probabile che il sistema eserciti il proprio controllo;

2.5. «limiti di funzionamento»: limiti fisici esterni all’interno dei quali il sistema di guida automatizzata è in grado di esercitare le attività di guida dinamica.

3. Documentazione relativa al sistema di guida automatizzata

3.1. Requisiti

Il costruttore deve consegnare un fascicolo di documentazione che illustri le caratteristiche progettuali principali del sistema di guida automatizzata e il modo in cui esso è collegato agli altri sistemi del veicolo o con cui controlla direttamente le variabili di uscita, nonché l’hardware/il software esterno e le capacità da remoto.

La documentazione deve spiegare la funzione o le funzioni del sistema di guida automatizzata, tra cui le strategie di controllo, e il principio di sicurezza definiti dal costruttore.

La documentazione deve essere sintetica, ma deve contenere dati oggettivi che dimostrino che nella progettazione e nello sviluppo si sono applicate le conoscenze tecniche specializzate esistenti in tutti gli ambiti del sistema di guida automatizzata interessati.

Per i controlli tecnici periodici, la documentazione deve descrivere le modalità di controllo dello stato operativo corrente del sistema di guida automatizzata, nonché della funzionalità e dell’integrità del software.

L’autorità di omologazione deve valutare il fascicolo di documenti per accertarsi che il sistema di guida automatizzata:

a) sia stato progettato e sviluppato per funzionare in maniera da non comportare rischi irragionevoli per gli occupanti del veicolo e gli altri utenti della strada nei limiti e nell’ambito di impiego previsto, quali dichiarati;

b) soddisfi i requisiti di prestazione di cui all’allegato II del presente regolamento;

c) sia stato realizzato conformemente al processo o al metodo dichiarato dal costruttore.

3.1.1. La documentazione deve essere formata da tre parti: a) domanda di omologazione: la scheda informativa presentata all’autorità di omologazione al momento della domanda di omologazione deve contenere brevi informazioni sulle voci di cui all’allegato I. Diventerà parte dell’omologazione; b) fascicolo di documentazione ufficiale per l’omologazione, contenente il materiale indicato nella presente sezione 3 (ad eccezione di quello di cui al punto 3.5.5), che deve essere fornito all’autorità di omologazione ai fini dell’esecuzione dell’omologazione del sistema di guida automatizzata. Tale fascicolo deve costituire, per l’autorità di omologazione, il riferimento per le verifiche di cui al punto 4 del presente allegato. L’autorità di omologazione deve fare in modo che tale fascicolo di documentazione resti disponibile per un periodo di almeno 10 anni a partire dalla data di cessazione definitiva della produzione del tipo di veicolo; c) materiali riservati ulteriori e dati di analisi (proprietà intellettuale) di cui al punto 3.5.5, che devono essere conservati dal costruttore ma resi consultabili per l’ispezione (ad esempio in loco presso le strutture di ingegnerizzazione del costruttore) al momento dell’omologazione del sistema di guida automatizzata. Il costruttore deve garantire che il materiale e i dati analitici in questione restino disponibili per un periodo di 10 anni a partire dalla data di cessazione definitiva della produzione del tipo di veicolo.

3.2. Descrizione generale del sistema di guida automatizzata

3.2.1. Deve essere fornita una descrizione che fornisce una spiegazione semplice delle qualità operative del sistema di guida automatizzata e delle sue caratteristiche.

3.2.2. Tale descrizione deve comprendere:

3.2.2.1 ambito di impiego previsto in termini di velocità massima di funzionamento, tipo di strada (ad esempio corsia dedicata), paesi/aree di utilizzo, condizioni stradali e condizioni ambientali necessarie (ad esempio assenza di neve ecc.)/condizioni limite;

3.2.2.2 prestazioni di base (ad esempio rilevamento di oggetti ed eventi e relativa risposta, infrastruttura esterna necessaria durante il funzionamento);

3.2.2.3. interazione con altri utenti della strada;

3.2.2.4. condizioni principali per le manovre di minimizzazione del rischio;

3.2.2.5. concetto di interazione con occupanti del veicolo, operatore di bordo (se del caso) e operatore per interventi da remoto (se del caso);

3.2.2.6. mezzi per consentire l’attivazione o la disattivazione del sistema di guida automatizzata da parte dell’operatore di bordo (se pertinente) o dell’operatore per interventi da remoto (se pertinente), degli occupanti del veicolo (se pertinente) o di altri utenti della strada (se pertinente);

3.2.2.7. misure operative (ad esempio, necessità di un operatore di bordo o di un operatore per interventi da remoto) da rispettare per garantire la sicurezza durante il funzionamento del veicolo completamente automatizzato.

3.2.2.8. back-end, infrastruttura esterna necessaria per garantire la sicurezza durante il funzionamento del veicolo completamente automatizzato.

3.3. Descrizione delle funzioni del sistema di guida automatizzata

Deve essere fornita una descrizione che spieghi tutte le funzioni, fra cui le strategie di controllo per consentire un funzionamento affidabile e sicuro del sistema di guida automatizzata e i metodi impiegati per esercitare le attività di guida dinamica nell’ambito di impiego previsto e all’interno dei limiti entro i quali il sistema di guida automatizzata è progettato per funzionare, compresa una descrizione del modo in cui ciò viene garantito.

Prima del loro utilizzo a bordo del veicolo, devono essere dichiarate tutte le funzioni di guida automatizzata abilitate o disabilitate per le quali al momento della produzione sono presenti a bordo del veicolo hardware e software, che sono soggette alle prescrizioni del presente allegato, nonché dell’allegato II del presente regolamento. Il costruttore deve inoltre documentare l’elaborazione dei dati qualora utilizzi algoritmi di apprendimento continuo.

3.3.1. Deve essere fornito un elenco di tutte le variabili di ingresso e delle variabili rilevate e deve essere definito l’intervallo di lavoro delle stesse, unitamente a una descrizione delle modalità con cui ciascuna variabile influenza il comportamento del sistema di guida automatizzata.

3.3.2. Deve essere fornito l’elenco di tutte le variabili di uscita controllate dal sistema di guida automatizzata e deve essere spiegato per ogni variabile se il controllo è attuato direttamente o attraverso un altro sistema del veicolo. Deve essere definito il campo in cui è probabile che il sistema di guida automatizzata eserciti il proprio controllo su ciascuna di tali variabili.

3.3.3. Devono essere indicati i limiti di funzionamento, compresi quelli dell’ambito di impiego previsto, che hanno rilevanza ai fini delle prestazioni del sistema di guida automatizzata.

3.3.4. Occorre spiegare il concetto di interazione uomo-macchina con gli occupanti del veicolo/l’operatore di bordo/l’operatore per interventi da remoto (se presenti) quando ci si avvicini ai limiti dell’ambito di impiego previsto per poi raggiungerli. La spiegazione deve comprendere l’elenco dei tipi di situazioni nelle quali il sistema di guida automatizzata genererà una richiesta di supporto all’operatore di bordo/operatore per interventi da remoto (se del caso), il modo in cui viene effettuata la richiesta, la procedura che gestisce una richiesta non riuscita e la manovra di minimizzazione del rischio. Devono inoltre essere descritti i segnali e le informazioni forniti all’operatore di bordo/all’operatore per interventi da remoto, agli occupanti del veicolo e agli altri utenti della strada in relazione a ciascuno degli aspetti di cui sopra.

3.4. Configurazione e schemi del sistema di guida automatizzata

3.4.1. Inventario dei componenti Deve essere fornito un elenco, che raccolga tutte le unità del sistema di guida automatizzata e menzioni gli altri sistemi del veicolo, nonché l’hardware/il software esterno e le capacità da remoto necessarie per conseguire determinate prestazioni del sistema di guida automatizzata da approvare secondo il suo ambito di impiego previsto. Deve essere presentato uno schema che mostri la combinazione delle varie unità e spieghi chiaramente la distribuzione degli accessori e le interconnessioni tra di essi. Tale schema deve comprendere: a) percezione e rilevamento di oggetti/eventi, mappatura e posizionamento compresi; b) caratterizzazione del processo decisionale; c) elementi di dati del sistema di guida automatizzata; d) collegamenti e interfaccia con altri sistemi del veicolo, hardware/software esterno e capacità da remoto.

3.4.2. Funzioni delle unità Deve essere indicata la funzione di ciascuna unità del sistema di guida automatizzata e devono essere illustrati i segnali che la collegano ad altre unità o ad altri sistemi del veicolo. In tale contesto devono figurare i sistemi esterni che assistono il sistema di guida automatizzata e altri sistemi del veicolo. Tali informazioni possono essere presentate per mezzo di un diagramma a blocchi o di uno schema di altro tipo con l’indicazione dei vari elementi, oppure per mezzo di una descrizione accompagnata da un diagramma.

3.4.3. Le interconnessioni all’interno del sistema di guida automatizzata devono essere indicate per mezzo di uno schema elettrico per i collegamenti di trasmissione elettrici, uno schema idraulico per i collegamenti di trasmissione pneumatici o idraulici e una rappresentazione schematica semplificata per i collegamenti meccanici. Devono essere visibili anche i collegamenti di trasmissione da e verso altri sistemi.

3.4.4. Deve esserci una corrispondenza chiara tra i collegamenti di trasmissione e i segnali veicolati tra le unità. Devono essere indicate le priorità dei segnali su percorsi molteplici di dati qualora possano influire sulle prestazioni o sulla sicurezza.

3.4.5. Identificazione delle unità

3.4.5.1. Ciascuna unità deve poter essere identificata in modo chiaro e univoco (ad esempio con una marcatura per l’hardware e una marcatura o un segnale software di uscita per il contenuto software), in modo che l’hardware sia associato alla relativa documentazione. Laddove sia possibile modificare una versione del software senza che ciò richieda la sostituzione della marcatura o del componente, l’identificazione del software deve avvenire soltanto tramite un segnale di uscita del software.

3.4.5.2. Se le funzioni sono combinate all’interno di un’unica unità o all’interno di un unico computer, ma mostrate in blocchi multipli nel diagramma a blocchi, per chiarezza e semplicità esplicativa deve essere usata un’unica marcatura di identificazione dell’hardware. Il costruttore, utilizzando queste marcature di identificazione, deve indicare che gli accessori forniti sono conformi al documento corrispondente.

3.4.5.3. La marcatura di identificazione definisce la versione dell’hardware e del software; se la versione cambia e di conseguenza si modifica la funzione dell’unità ai fini dell’applicazione del presente regolamento, anche la marcatura di identificazione deve essere modificata.

3.4.6. Installazione dei componenti del sistema di rilevamento Il costruttore deve fornire informazioni in merito alle modalità di installazione per i singoli componenti che formano il sistema di rilevamento. Tali modalità devono comprendere, a titolo esemplificativo ma non esaustivo, la posizione del componente nel/sul veicolo, i materiali che circondano il componente, il dimensionamento e la geometria del materiale che circonda il componente e la finitura superficiale dei materiali circostanti il componente, una volta installato nel veicolo. Le informazioni devono comprendere anche le specifiche di installazione fondamentali per le prestazioni del sistema di guida automatizzata, ad esempio le tolleranze relative all’angolo di installazione. Eventuali modifiche dei singoli componenti del sistema di rilevamento o delle modalità di installazione devono essere notificate all’autorità di omologazione e fatte oggetto di un’ulteriore valutazione.

3.5. Principio di sicurezza del costruttore e convalida dello stesso da parte del costruttore

3.5.1. Il costruttore deve fornire una dichiarazione nella quale afferma che il sistema di guida automatizzata non comporta rischi irragionevoli per gli occupanti del veicolo e gli altri utenti della strada.

3.5.2. Per il software utilizzato nel sistema di guida automatizzata, il costruttore deve spiegare l’architettura di massima e definire i metodi e gli strumenti di progettazione utilizzati (cfr. 3.5.1). Il costruttore deve indicare, fornendo dati oggettivi, in che modo è stata realizzata la logica del sistema di guida automatizzata in fase di progettazione e sviluppo.

3.5.3. Il costruttore deve fornire all’autorità di omologazione una spiegazione dei criteri progettuali applicati nel sistema di guida automatizzata per garantirne la sicurezza funzionale e operativa. Tali criteri possono essere ad esempio: a) ripiego su un funzionamento basato sull’utilizzo parziale del sistema; b) ridondanza con un sistema separato; c) diversità dei sistemi che svolgono la medesima funzione; d) neutralizzazione o limitazione della funzione o delle funzioni di guida automatizzata.

3.5.3.1. Se il criterio scelto prevede una modalità di funzionamento a prestazioni parziali in determinate condizioni di guasto (ad esempio in caso di gravi avarie), tali condizioni (ad esempio tipo di avaria) devono essere dichiarate, e devono essere definiti i limiti risultanti in termini di efficacia (ad esempio l’avvio immediato di una manovra di minimizzazione del rischio), così come la strategia di avvertimento nei confronti dell’operatore/dell’operatore da remoto, degli occupanti e degli altri utenti della strada (ove applicabile).

3.5.3.2. Se la disposizione prevista dal progetto seleziona un secondo ( back-up ) o diverso modo per realizzare la prestazione interessata dal guasto, devono essere indicati i principi del meccanismo di passaggio, la logica e il livello di ridondanza nonché eventuali elementi integrati di verifica e devono essere definiti i risultanti limiti di efficacia.

3.5.3.3. Se il criterio scelto prevede la neutralizzazione della funzione o delle funzioni di guida automatizzata, tale operazione deve essere attuata nel rispetto delle disposizioni del presente regolamento. Tutti i segnali di controllo in uscita associati a questa funzione devono essere inibiti.

3.5.4. Il costruttore deve altresì fornire all’autorità di omologazione una spiegazione delle misure di sicurezza operativa da mettere in atto per il funzionamento sicuro del sistema di guida automatizzata, ad esempio un operatore di bordo o un operatore per interventi da remoto, un’infrastruttura esterna di supporto, i requisiti dell’infrastruttura di trasporto e fisica, le misure di manutenzione ecc.

3.5.5. La documentazione deve essere corroborata da un’analisi che dimostri in che modo si comporterà il sistema di guida automatizzata per attenuare o evitare pericoli che possono avere ripercussioni sulla sicurezza degli occupanti del veicolo e degli altri utenti della strada.

3.5.5.1. Il metodo o i metodi scelti per l’analisi devono essere stabiliti e aggiornati dal costruttore e messi a disposizione dell’autorità di omologazione per i controlli del caso al momento dell’omologazione e successivamente.

3.5.5.2. L’autorità di omologazione deve valutare l’applicazione degli approcci analitici mediante: a) un esame dell’approccio alla sicurezza a livello di principio. Tale approccio deve basarsi su un’analisi dei rischi/una valutazione dei pericoli adeguata per la sicurezza del sistema; b) un esame dell’approccio alla sicurezza a livello di sistema di guida automatizzata, compreso un approccio dall’alto verso il basso (dal possibile rischio al progetto) e dal basso verso l’alto (dal progetto ai pericoli possibili). Tale approccio alla sicurezza deve basarsi su un’analisi FMEA (Failure Mode and Effect Analysis), un’analisi FTA (Fault Tree Analysis) e un’analisi STPA (System-Theoretic Process Analysis), oppure su un procedimento analogo adeguato per quanto concerne gli aspetti connessi alla sicurezza funzionale e operativa del sistema; c) un esame dei piani e dei risultati di convalida/verifica con criteri di accettazione appropriati. Devono rientrare in tale contesto prove adeguate ai fini della convalida, ad esempio prove secondo il metodo HIL (Hardware in the Loop), prove di funzionamento su strada del veicolo, prove con utenti finali reali o qualsiasi altra prova adeguata ai fini della convalida/verifica. I risultati della convalida e della verifica possono essere valutati analizzando lo spettro delle diverse prove e definendo soglie minime di copertura per varie metriche.

3.5.5.3. L’approccio analitico di cui al punto 3.5.5.2 deve confermare che è contemplata almeno ciascuna delle seguenti voci: i) questioni legate alle interazioni con altri sistemi del veicolo (impianto freni, sistema dello sterzo ecc.); ii) avarie del sistema di guida automatizzata e reazioni di attenuazione dei rischi di sistema; iii) situazioni nell’ambito di impiego previsto nelle quali un sistema di guida automatizzata può comportare rischi irragionevoli per la sicurezza degli occupanti del veicolo o di altri utenti della strada a causa di perturbazioni operative (mancata o errata comprensione dell’ambiente del veicolo, mancata comprensione della reazione da parte dell’operatore/operatore da remoto, degli occupanti del veicolo o di altri utenti della strada, controllo inadeguato, scenari difficili e così via); iv) individuazione degli scenari del caso nell’ambito delle condizioni limite, metodo di gestione utilizzato per selezionare gli scenari e strumento di convalida scelto; v) processo decisionale a monte dell’attività di guida dinamica (ad esempio per le manovre di emergenza), tenendo conto dell’interazione con gli altri utenti della strada, nel rispetto del codice della strada nazionale; vi) uso scorretto ragionevolmente prevedibile da parte degli occupanti del veicolo/di altri utenti della strada, errori o incomprensioni da parte dell’operatore/dell’operatore da remoto/degli occupanti/di altri utenti della strada (ad esempio esclusione involontaria) e manomissione intenzionale del sistema di guida automatizzata; vii) minacce in materia di cibersicurezza per la sicurezza del sistema di guida automatizzata (eventualmente mediante analisi, effettuata in conformità al regolamento UNECE n. 155, della cibersicurezza e del relativo sistema di gestione); viii) questioni di sicurezza operativa: problemi con l’infrastruttura esterna di supporto, problema con l’operatore per interventi da remoto, perdita di connettività, mancanza di manutenzione ecc.

3.5.5.4. La valutazione da parte dell’autorità di omologazione deve consistere in controlli a campione al fine di stabilire che l’argomentazione a sostegno del principio di sicurezza sia comprensibile e logica, e attuata nelle diverse funzioni del sistema di guida automatizzata. Con la valutazione si deve inoltre controllare che i piani di convalida siano sufficienti a dimostrare la sicurezza del sistema (ad esempio gamma ragionevole di prove di scenari selezionati dallo strumento di convalida scelto) e che siano stati applicati adeguatamente.

3.5.5.4.1. Si deve dimostrare che il funzionamento del veicolo completamente automatizzato non comporta rischi irragionevoli per gli occupanti del veicolo e gli altri utenti della strada nell’ambito di impiego previsto mediante: a) un obiettivo di convalida generale (criteri complessivi di accettazione della convalida) corroborato dai risultati di convalida, a dimostrazione del fatto che l’entrata in circolazione del sistema di guida automatizzata nel complesso non aumenterà il livello di rischio per gli occupanti del veicolo e gli altri utenti della strada rispetto ai veicoli guidati manualmente; e b) un approccio specifico per scenari (ossia criteri di accettazione della convalida basati su scenari) che mostri che il sistema di guida automatizzata nel complesso non aumenterà il livello di rischio per gli occupanti del veicolo e altri utenti della strada rispetto ai veicoli guidati manualmente per ciascuno degli scenari aventi rilievo per la sicurezza;

3.5.5.5. L’autorità di omologazione deve eseguire o richiedere l’esecuzione delle prove di cui al punto 4 del presente allegato, tese a verificare il principio di sicurezza adottato.

3.5.5.6. Nella documentazione devono essere indicati in dettaglio i parametri monitorati e deve essere definito, per ciascuna condizione di avaria di cui al punto 3.5.4 del presente allegato, il segnale di avvertimento per l’operatore/l’operatore da remoto/gli occupanti del veicolo/gli altri utenti della strada e/o il personale incaricato della manutenzione o dei controlli tecnici periodici.

3.5.5.7. Nella documentazione devono essere altresì descritte le misure attuate per fare in modo che il sistema di guida automatizzata non comporti rischi irragionevoli per gli occupanti del veicolo e gli altri utenti della strada quando sulla sua efficienza influiscono fattori ambientali come il clima, la temperatura, l’ingresso di polvere, l’infiltrazione d’acqua, la presenza di ghiaccio, condizioni meteorologiche inclementi.

4. Verifiche e prove

Tenuto conto dei risultati dell’analisi del fascicolo di documentazione del costruttore, l’autorità di omologazione deve richiedere che le prove siano effettuate dal servizio tecnico oppure in sua presenza al fine di verificare punti specifici derivanti dalla valutazione.

4.1. Il funzionamento del sistema di guida automatizzata, definito nei documenti prescritti ai sensi del punto 3, deve essere verificato con le prove seguenti.

4.1.1. Verifica del funzionamento del sistema di guida automatizzata L’autorità di omologazione deve verificare il sistema di guida automatizzata in assenza di avarie sottoponendo a prova su un tracciato una serie di funzioni selezionate, secondo quanto ritenuto necessario dall’autorità di omologazione, tra quelle descritte dal costruttore e controllando il comportamento complessivo del sistema di guida automatizzata in condizioni di guida reali, compreso il rispetto del codice della strada. Tali prove devono prevedere scenari tramite i quali il sistema di guida automatizzata viene escluso dall’operatore per interventi da remoto (se del caso). Tali prove possono essere basate sugli scenari di prova elencati nella parte 3 del presente allegato e/o su scenari aggiuntivi non trattati dalla parte 3.

4.1.1.1. I risultati delle prove devono corrispondere alla descrizione, anche per quanto riguarda le strategie di controllo, fornita dal costruttore al punto 3.2 e devono soddisfare i requisiti in termini di prestazioni di cui al presente regolamento.

4.1.2. Verifica del concetto di sicurezza del sistema di guida automatizzata La reazione del sistema di guida automatizzata deve essere controllata in condizioni di guasto di una qualsiasi unità singola inviando alle unità elettriche o agli elementi meccanici i segnali di uscita corrispondenti, in modo da simulare gli effetti di avarie all’interno dell’unità. L’autorità di omologazione deve verificare che tali prove riguardino anche aspetti che possono avere un influsso sulla manovrabilità del veicolo e sulle informazioni per l’utente (aspetti relativi all’interfaccia uomo-macchina, ad esempio interazione con l’operatore/l’operatore da remoto).

4.1.2.1. Le autorità di omologazione devono altresì controllare una serie di scenari critici per il rilevamento di oggetti ed eventi e la relativa risposta, nonché la caratterizzazione delle funzioni decisionali e di interfaccia uomo-macchina del sistema di guida automatizzata (oggetti difficili da rilevare quando detto sistema raggiunge i limiti dell’ambito di impiego, scenari di perturbazione del traffico, problemi di connettività, problemi con i sistemi esterni, problemi con le capacità da remoto, ad esempio assenza dell’operatore per interventi da remoto), di cui al presente regolamento.

4.1.2.2. I risultati della verifica devono corrispondere al riassunto documentato dell’analisi del rischio, a un livello di effetto generale che permetta di confermare l’adeguatezza del principio di sicurezza e della relativa attuazione e la loro conformità alle prescrizioni del presente regolamento.

4.2. Per la verifica del principio di sicurezza possono essere utilizzati uno strumento di simulazione e modelli matematici, conformemente all’allegato VIII del regolamento (UE) 2018/858, in particolare per gli scenari difficili da sottoporre a prova su un tracciato di prova o in condizioni di guida reali. I costruttori devono dimostrare il funzionamento dello strumento di simulazione, la sua validità per lo scenario in questione, nonché la convalida effettuata per la catena degli strumenti di simulazione (correlazione del risultato con le prove fisiche). Per dimostrare la validità della catena degli strumenti di simulazione, si devono applicare i principi di cui alla parte 4 del presente allegato. La simulazione non deve sostituire le prove fisiche di cui alla parte 3 del presente allegato.

4.3 Il costruttore deve essere in possesso di un certificato di conformità valido per il sistema di gestione della sicurezza relativo al tipo di veicolo da omologare.

5. Sistema di gestione della sicurezza

5.1. Per quanto riguarda il sistema di guida automatizzata, il costruttore deve dimostrare all’autorità di omologazione, con un sistema di gestione della sicurezza, che sono attuati processi, metodologie, attività di formazione e strumenti efficaci, aggiornati e seguiti all’interno dell’organizzazione per gestire la sicurezza e la conformità continua per tutto il ciclo di vita del sistema di guida automatizzata.

5.2. Il processo di progettazione e sviluppo deve essere stabilito e documentato includendo il sistema di gestione della sicurezza, la gestione e implementazione di quanto prescritto, le prove, il tracciamento delle avarie, i rimedi e il rilascio.

5.3. Il costruttore deve assicurare canali di comunicazione efficaci tra i suoi reparti competenti per la sicurezza funzionale/operativa, la cibersicurezza e qualsiasi altra disciplina relativa alla sicurezza del veicolo.

5.4. Il costruttore deve disporre di processi destinati a raccogliere dati sul veicolo e dati da altre fonti per monitorare e analizzare inconvenienti/incidenti rilevanti per la sicurezza causati dal sistema di guida automatizzata attivo. Il costruttore deve segnalare alle autorità di omologazione, alle autorità di vigilanza del mercato e alla Commissione gli eventi pertinenti in conformità alla parte 5 del presente allegato.

5.4.1. Il costruttore deve consentire all’operatore di servizi di trasporto di fornire alle autorità di omologazione, alle autorità di vigilanza del mercato o ad altre autorità designate dagli Stati membri i dati del veicolo in conformità al punto 5.4, nonché i dati del sistema di guida automatizzata e gli elementi di dati specifici per il registratore dei dati di evento raccolti in conformità all’allegato II, sezione 9.

5.5. Il costruttore deve disporre di processi per gestire potenziali lacune rilevanti per la sicurezza dopo l’immatricolazione e per aggiornare i veicoli, se necessario.

5.6. Il costruttore deve dimostrare che vengono effettuate periodicamente (ad esempio ogni due anni) ispezioni indipendenti dei processi interni per garantire che i processi stabiliti conformemente ai punti da 5.1 a 5.5 siano attuati in maniera coerente.

5.7. I costruttori devono concludere accordi adeguati (ad esempio accordi contrattuali, interfacce chiare, sistema di gestione della qualità) con i fornitori per fare sì che il sistema di gestione della sicurezza del fornitore sia conforme alle prescrizioni di cui ai punti 5.1 (a eccezione di aspetti relativi al veicolo quali «funzionamento» e «smantellamento»), 5.2, 5.3 e 5.6.

5.8. Certificato di conformità per il sistema di gestione della sicurezza

5.8.1. La domanda di certificato di conformità del sistema di gestione della sicurezza deve essere presentata dal costruttore o da un suo rappresentante accreditato presso l’autorità di omologazione.

5.8.2. La domanda deve essere accompagnata dai documenti indicati qui di seguito, in triplice copia, e dalle informazioni seguenti: a) documenti che descrivono il sistema di gestione della sicurezza; b) una dichiarazione firmata di conformità del sistema di gestione della sicurezza a tutti i requisiti per la gestione della sicurezza ai sensi del presente regolamento, redatta utilizzando il modello definito nell’appendice 3 del presente allegato.

5.8.3. Se gli esiti dell’ispezione del sistema di gestione della sicurezza sono soddisfacenti e previo ricevimento di una dichiarazione firmata del costruttore conforme al modello di cui all’appendice 3, al costruttore deve essere rilasciato il certificato di conformità del sistema di gestione della sicurezza descritto nell’appendice 4 (in seguito denominato il «certificato di conformità del sistema di gestione della sicurezza»).

5.8.4. Il certificato di conformità del sistema di gestione della sicurezza deve rimanere valido per un massimo di tre anni a decorrere dalla data di rilascio del certificato, a meno che non venga revocato.

5.8.5. L’autorità di omologazione può in qualsiasi momento verificare che i requisiti per il rilascio del certificato di conformità del sistema di gestione della sicurezza continuino a essere soddisfatti. L’autorità di omologazione deve revocare tale certificato se vengono rilevate e non immediatamente risolte non conformità gravi per quanto riguarda il rispetto dei requisiti di cui al presente regolamento.

5.8.6. Il costruttore deve informare l’autorità di omologazione o il suo servizio tecnico di qualsiasi modifica che incida sulla pertinenza del certificato di conformità del sistema di gestione della sicurezza. Dopo aver consultato il costruttore, l’autorità di omologazione o il suo servizio tecnico deve decidere se sono necessari nuovi controlli.

5.8.7. Il costruttore deve richiedere a tempo debito un nuovo certificato di conformità del sistema di gestione della sicurezza o la sua estensione. Nel caso in cui l’ispezione abbia esito positivo, l’autorità di omologazione deve rilasciare un nuovo certificato di conformità del sistema di gestione della sicurezza o prorogare la validità del certificato esistente per un ulteriore periodo di tre anni. L’autorità di omologazione deve verificare che il sistema di gestione della sicurezza continui a soddisfare i requisiti del presente regolamento. L’autorità di omologazione deve rilasciare un nuovo certificato nei casi in cui le modifiche portate all’attenzione dell’autorità di omologazione o del suo servizio tecnico abbiano a loro volta ottenuto una valutazione positiva.

5.8.8. La scadenza o la revoca del certificato di conformità del sistema di gestione della sicurezza del costruttore deve essere considerata, per quanto riguarda i tipi di veicolo per i quali il sistema di gestione della sicurezza in questione era pertinente, come una modifica dell’omologazione che può comportare la revoca dell’omologazione se le condizioni per il rilascio dell’omologazione non sono più soddisfatte.

6. Disposizione in materia di relazioni

6.1. Le relazioni sulla valutazione della sicurezza del principio di sicurezza del sistema di guida automatizzata, nonché l’ispezione del sistema di gestione della sicurezza del costruttore devono consentire la tracciabilità dei dati (ad esempio nei registri del servizio tecnico devono essere riportate, in forma codificata, le versioni dei documenti controllati).

6.2. Un esempio di formato per la relazione sulla valutazione del principio di sicurezza del sistema di guida automatizzata presentata dal servizio tecnico all’autorità di omologazione è fornito nell’appendice 1 della presente parte. Quanto indicato nell’appendice costituisce un insieme minimo di aspetti che devono essere trattati.

6.3. L’autorità che rilascia l’omologazione deve pubblicare i risultati della valutazione di sicurezza da allegare al certificato di omologazione sulla base della documentazione fornita dal costruttore, della relazione sulla valutazione del principio di sicurezza del sistema di guida automatizzata da parte del servizio tecnico e degli esiti delle campagne di verifiche e prove eseguite conformemente alla parte 3 del presente allegato. Un esempio di un possibile formato per i risultati della valutazione della sicurezza è fornito nell’appendice 4.

7. Competenza degli ispettori/dei valutatori

7.1. La valutazione del concetto di sicurezza del sistema di guida automatizzata e l’ispezione del sistema di gestione della sicurezza a norma della presente parte devono essere condotte esclusivamente da valutatori/ispettori che dispongono delle conoscenze tecniche e amministrative necessarie per tali finalità. In particolare devono possedere le necessarie competenze come ispettori/valutatori per le norme ISO 26262:2018 (Sicurezza funzionale — Veicoli stradali) e ISO/PAS 21448 (Sicurezza della funzionalità prevista dei veicoli stradali), e devono essere in grado di stabilire il collegamento necessario con gli aspetti di cibersicurezza conformemente al regolamento UNECE n. 155 e alla norma ISO/SAE 21434. Tale competenza deve essere dimostrata da qualifiche appropriate o altri documenti di formazione equivalenti. Appendice 1 Modello per la relazione di valutazione del principio di sicurezza del sistema di guida automatizzata Relazione di valutazione della sicurezza n.: 1. Identificazione 1.1. Marca del veicolo 1.2. Tipo di veicolo 1.3. Mezzi di identificazione del tipo di veicolo, se marcati sul veicolo 1.4. Posizione della marcatura 1.5. Nome e indirizzo del costruttore 1.6. Nome e indirizzo dell’eventuale rappresentante del costruttore 1.7. Fascicolo di documentazione ufficiale del costruttore N. di riferimento della documentazione: Data del primo rilascio: Data dell’ultimo aggiornamento: 2. Metodo di valutazione 2.1. Descrizione dei processi e delle metodologie di valutazione 2.2. Criteri di accettabilità 3. Risultati del riesame del pacchetto di documenti 3.1. Riesame della descrizione del sistema di guida automatizzata 3.2. Riesame del principio di sicurezza del costruttore e analisi della sicurezza del costruttore 3.3. Riesame della verifica e della convalida eseguite dal costruttore, in particolare copertura delle diverse prove e definizione di soglie minime di copertura per varie metriche 3.4. Riesame dei metodi e degli strumenti (software, laboratorio, altro) e della valutazione della credibilità 3.5. Riesame dei requisiti in materia di dati e degli elementi di dati specifici per il registratore di dati di evento del sistema di guida automatizzata per veicoli completamente automatizzati 3.6. Controlli relativi alla copertura del sistema di guida automatizzata da parte dei certificati di cibersicurezza e degli aggiornamenti del software. 3.7. Riesame delle informazioni fornite nel manuale d’uso 3.8. Riesame delle disposizioni relative ai controlli tecnici periodici del sistema di guida automatizzata 3.9. Riesame di ulteriori informazioni non contenute nella scheda informativa 4. Verifica delle funzioni del sistema di guida automatizzata in condizioni di assenza di avarie [di cui all’allegato III, parte 2, punto 4.1.1, del regolamento di esecuzione (UE) 2022/1426 della Commissione, del 5 agosto 2022, recante modalità di applicazione del regolamento (UE) 2019/2144 del Parlamento europeo e del Consiglio per quanto riguarda procedure e specifiche tecniche uniformi per l’omologazione del sistema di guida automatizzata di veicoli completamente automatizzati (2)] 4.1. Logica per la selezione degli scenari di prova 4.2. Scenari di prova selezionati 4.3. Verbali di prova 4.3.1. Prova n. (aggiungere tanti campi quanti sono le prove eseguite) 4.3.1.1. Obiettivi della prova 4.3.1.2. Condizioni di prova 4.3.1.3. Grandezze misurate e dispositivi di misura 4.3.1.4 Criteri di accettabilità 4.3.1.5. Risultati della prova 4.3.1.6. Confronto con la documentazione fornita dal costruttore 5. Verifica del principio di sicurezza del sistema di guida automatizzata in presenza di avaria [di cui all’allegato III, parte 2, punto 4.1.2, del regolamento di esecuzione (UE) 2022/1426] 5.1. Logica per la selezione degli scenari di prova 5.2. Scenari di prova selezionati 5.3. Verbali di prova 5.3.1. Prova n. (aggiungere tanti campi quanti sono le prove eseguite) 5.3.1.1. Obiettivi della prova 5.3.1.2. Condizioni di prova 5.3.1.3. Grandezze misurate e dispositivi di misura 5.3.1.4 Criteri di accettabilità 5.3.1.5. Risultati della prova 5.3.1.6. Confronto con la documentazione fornita dal costruttore 6. Certificato del sistema di gestione della sicurezza (da allegare al presente verbale di prova) 7. Data della valutazione 8. Giudizio finale sull’esito della valutazione di sicurezza 9. Tale valutazione è stata effettuata e i risultati sono stati comunicati in conformità al regolamento di esecuzione (UE) 2022/1426 Servizio tecnico che ha effettuato la valutazione Firma: ... Data: ... 10. Osservazioni: Appendice 2 Modello dei risultati della valutazione del sistema di guida automatizzata da allegare al certificato di omologazione 1. Identificazione 1.1. Marca del veicolo 1.2 Tipo di veicolo 1.3 Mezzi di identificazione del tipo di veicolo, se marcati sul veicolo: 1.4. Posizione della marcatura: 1.5. Nome e indirizzo del costruttore: 1.6. Nome e indirizzo dell’eventuale rappresentante del costruttore: 1.7. Fascicolo di documentazione ufficiale del costruttore: N. di riferimento della documentazione: Data del primo rilascio: Data dell’ultimo aggiornamento: 2. Metodo di valutazione 2.1. Descrizione dei processi e delle metodologie di valutazione 2.2. Criteri di accettabilità 3. Verifica delle funzioni del sistema di guida automatizzata in condizioni di assenza di avarie [di cui all’allegato III, parte 2, punto 4.1.1, del regolamento di esecuzione (UE) 2022/1426] 3.1. Logica per la selezione degli scenari di prova 3.2. Scenari di prova selezionati 4. Verifica del principio di sicurezza del sistema di guida automatizzata in presenza di avaria singola [di cui all’allegato III, parte 2, punto 4.1.2, del regolamento di esecuzione (UE) 2022/1426] 4.1. Logica per la selezione degli scenari di prova 4.2. Scenari di prova selezionati 5. Risultati della valutazione 5.1. Risultati del riesame della scheda informativa 5.2. Risultati della verifica delle funzioni del sistema di guida automatizzata in condizioni di assenza di avarie 5.3. Risultati della verifica del principio di sicurezza del sistema di guida automatizzata in caso di avaria singola 5.4. Risultati della valutazione del sistema di gestione della sicurezza 5.5. Risultati della verifica delle disposizioni per i controlli tecnici periodici 6. Giudizio finale sull’esito della valutazione di sicurezza Appendice 3 Modello di dichiarazione di conformità del sistema di gestione della sicurezza del costruttore Dichiarazione del costruttore attestante la conformità ai requisiti per il sistema di gestione della sicurezza Nome del costruttore: Indirizzo del costruttore: … (nome del costruttore) attesta che i processi necessari per conformare il sistema di gestione della sicurezza ai requisiti di cui al regolamento di esecuzione (UE) 2022/1426 sono stati predisposti e saranno mantenuti. Fatto a: … (luogo) Data: Nome del firmatario: Funzione del firmatario: (Timbro e firma del rappresentante del costruttore) Appendice 4 Modello di certificato di conformità del sistema di gestione della sicurezza Certificato di conformità del sistema di gestione della sicurezza al regolamento di esecuzione (UE) 2022/1426 Numero del certificato [numero di riferimento] [... autorità di omologazione] certifica che il costruttore: ... Indirizzo del costruttore: è conforme alle disposizioni del regolamento di esecuzione (UE) 2022/1426 Sono stati effettuati controlli su: da (nome e indirizzo dell’autorità di omologazione o del servizio tecnico): Numero della relazione: ... Il certificato è valido fino al [...data] Fatto a ... [luogo] In data ... [data] [...firma] Allegati: descrizione del sistema di gestione della sicurezza da parte del costruttore.

PARTE 3

PROVE

1. Disposizioni generali

I criteri per il superamento e il mancato superamento ai fini della valutazione della sicurezza del sistema di guida automatizzata devono basarsi sui requisiti di cui all’allegato II e sullo scenario descritto nella parte 1 del presente allegato. I requisiti sono definiti in modo tale che i criteri di superamento/mancato superamento possono essere derivati non soltanto per un insieme specifico di parametri di prova, ma anche per tutte le combinazioni di parametri rilevanti per la sicurezza che possono verificarsi nelle condizioni operative oggetto dall’omologazione e nell’intervallo operativo specificato (ad esempio intervallo di velocità, intervallo di accelerazione longitudinale e trasversale, raggi di curvatura, luminosità, numero di corsie). Per le condizioni non sottoposte a prova ma che possono verificarsi all’interno dell’ambito di impiego previsto definito del sistema, il costruttore deve dimostrare in modo soddisfacente per l’autorità di omologazione, nell’ambito della valutazione di cui alla parte 2, che il veicolo è controllato in modo sicuro.

Tali prove devono confermare i requisiti minimi di prestazione di cui all’allegato II così come la funzionalità del sistema di guida automatizzata e il principio di sicurezza del costruttore di cui alla parte 2 del presente allegato. I risultati delle prove devono essere documentati e comunicati conformemente al punto 6 della parte 2 del presente allegato.

Tali prove devono inoltre confermare che il sistema di guida automatizzata è conforme al codice della strada, adegua le sue operazioni alle condizioni ambientali, non condiziona il flusso di traffico (ad esempio bloccando la corsia a causa di un numero eccessivo di manovre di minimizzazione del rischio), non mostra un comportamento imprevedibile e mantiene un comportamento ragionevolmente cooperativo e anticipatorio in situazioni pertinenti (vale a dire in caso di confluenza con traffico intenso o in prossimità di utenti della strada vulnerabili).

2 Sito in cui viene effettuata la prova

Il sito in cui viene effettuata la prova deve comprendere caratteristiche (esempio: valore di attrito) che corrispondono all’ambito di impiego previsto specificato per il sistema di guida automatizzata. Le prove fisiche saranno effettuate all’interno dell’ambito di impego previsto reale (su strada) o in qualsiasi struttura di prova che riproduca le condizioni dell’ambito di impego previsto e devono essere determinate dal costruttore e dall’autorità di omologazione, secondo quanto necessario per applicare le condizioni specifiche dell’ambito di impego previsto del sistema di guida automatizzata. Il sistema di guida automatizzata deve essere sottoposto a prova su strada in conformità al diritto applicabile degli Stati membri e a condizione che le prove possano essere condotte in sicurezza e senza alcun rischio per gli altri utenti della strada.

3. Condizioni ambientali

Le prove devono essere condotte in diverse condizioni ambientali, entro i limiti dell’ambito di impiego previsto definito per il sistema di guida automatizzata. Per le condizioni ambientali non sottoposte a prova ma che possono verificarsi all’interno dell’ambito di impiego previsto definito, nell’ambito della valutazione il costruttore deve dimostrare, in modo soddisfacente per l’autorità di omologazione, che il veicolo è controllato in modo sicuro.

Per sottoporre a prova i requisiti in materia di avaria delle funzioni, autoverifica del sistema di guida automatizzata e avvio e attuazione di una manovra di minimizzazione del rischio, è possibile indurre artificialmente gli errori e il veicolo può essere portato artificiosamente in situazioni nelle quali raggiunge i limiti dell’intervallo operativo definito (ad esempio condizioni ambientali).

4. Modifiche del sistema per finalità di prova

Se sono necessarie modifiche del sistema di guida automatizzata per consentire le prove, ad esempio criteri di valutazione del tipo di strada o informazioni sul tipo di strada (dati cartografici), occorre assicurarsi che tali modifiche non incidano sui risultati delle prove. In linea di principio, tali modifiche devono essere documentate e allegate al verbale di prova. La descrizione e la prova dell’incidenza (eventuale) di tali modifiche devono essere documentate e allegate al verbale di prova.

5. Condizioni del veicolo

5.1. Massa di prova Il veicolo di prova deve essere sottoposto a prova con qualsiasi carico consentito per il veicolo. Una volta iniziata la prova, il carico non deve essere modificato. Il costruttore deve dimostrare, su base documentale, che il sistema di guida automatizzata funziona in tutte le condizioni di carico.

5.2. Il veicolo di prova deve essere sottoposto a prova con gli pneumatici gonfiati alla pressione raccomandata dal costruttore.

5.3. Occorre verificare che la condizione del sistema sia conforme alla finalità prevista della prova (ad esempio una condizione in assenza di guasti o in presenza di guasti specifici da sottoporre a prova).

6. Strumenti di prova

Oltre ai veicoli reali, per effettuare le prove possono essere utilizzati strumenti di prova allo stato dell’arte per sostituire veicoli reali e altri utenti della strada (ad esempio bersagli morbidi, piattaforme mobili ecc.). Gli strumenti di prova sostitutivi devono essere conformi alle caratteristiche pertinenti per la valutazione delle prestazioni dei sensori, i veicoli reali e gli altri partecipanti al traffico. Le prove non devono essere eseguite in modo tale da mettere in pericolo il personale coinvolto e devono essere evitati danni significativi al veicolo sottoposto a prova qualora siano disponibili altri mezzi di convalida.

7. Variazione dei parametri di prova

Il costruttore deve dichiarare i limiti del sistema all’autorità di omologazione. Quest’ultima deve definire diverse combinazioni di parametri di prova (ad esempio velocità corrente del veicolo, tipo e scostamento del bersaglio, curvatura della corsia ecc.) al fine di sottoporre a prova il sistema di guida automatizzata. I casi di prova selezionati devono fornire una copertura di prova sufficiente per tutti gli scenari, i parametri di prova e le influenze ambientali. Deve essere dimostrata un’adeguata robustezza dei sistemi di percezione per il sistema di guida automatizzata contro il malfunzionamento dei dati di ingresso/sensori e le condizioni ambientali avverse.

I parametri di prova selezionati dall’autorità di omologazione devono essere registrati nel verbale di prova in modo da consentire la tracciabilità e la ripetibilità della configurazione di prova.

8. Scenari di prova per valutare le prestazioni del sistema di guida automatizzata su un tracciato di prova (punti 8.1, 8.2, 8.5, 8.6, 8.7, 8.8, 8.9) e su strada (8.3, 8.4, 8.10)

Gli scenari inclusi nei punti seguenti sono da considerarsi un insieme minimo di prove. Su richiesta dell’autorità di omologazione, possono essere eseguiti scenari aggiuntivi che rientrano nell’ambito di impiego previsto. Se uno scenario di cui al punto 8 del presente allegato non rientra nell’ambito di impiego previsto del veicolo, tale scenario non deve essere preso in considerazione.

A seconda dell’ambito di impiego previsto, gli scenari di prova devono essere selezionati nel contesto della prova di omologazione. Gli scenari di prova devono essere selezionati conformemente alla parte 1 del presente allegato. Le prove di omologazione possono essere effettuate sulla base di simulazioni, manovre su un tracciato di prova e prove di guida nel traffico stradale reale. Per valutare il comportamento del sistema di guida automatizzata, non è tuttavia possibile basarsi esclusivamente su simulazioni al computer e, al momento dell’omologazione, l’autorità di omologazione deve condurre le prove elencate di seguito, o quanto meno assistervi.

8.1. Mantenimento della corsia

Questa prova deve dimostrare che il veicolo completamente automatizzato non lascia la propria corsia e mantiene una posizione stabile all’interno di detta corsia in tutto l’intervallo di velocità e per le diverse curvature nell’ambito dei limiti del sistema.

8.1.1. La prova deve essere basata sull’ambito di impiego previsto del sistema di guida automatizzata e deve essere condotta quanto meno: a) per una durata minima di 5 minuti; b) con un’autovettura bersaglio e con un motociclo bersaglio come altro veicolo; c) con un veicolo che precede che sterza nella corsia; e d) con un altro veicolo che procede affiancato da vicino nella corsia adiacente.

8.2. Manovra di cambio corsia

Le prove devono dimostrare che il veicolo completamente automatizzato non causa un rischio irragionevole per la sicurezza degli occupanti del veicolo e degli altri utenti della strada durante una procedura di cambio corsia e che il sistema di guida automatizzata è in grado di valutare la criticità della situazione prima di iniziare la manovra di cambio corsia per l’intero intervallo di velocità operativa. Tali prove sono necessarie soltanto se il veicolo completamente automatizzato è in grado di eseguire cambi di corsia durante una manovra di minimizzazione del rischio o durante il normale funzionamento.

8.2.1. Devono essere condotte le prove seguenti: a) con il veicolo completamente automatizzato che effettua il cambio di corsia verso la corsia adiacente (di destinazione); b) confluenza alla fine della corsia; c) confluenza in una corsia occupata.

8.2.2. Le prove devono essere effettuate quanto meno: a) con veicoli diversi, compreso un motociclo in avvicinamento da dietro; b) in uno scenario in cui è possibile eseguire una manovra di cambio corsia durante il normale funzionamento; c) in uno scenario nel quale una manovra di cambio corsia durante il normale funzionamento non è possibile a causa di un veicolo in avvicinamento da dietro; d) con un veicolo che segue alla stessa velocità nella corsia adiacente impedendo un cambio di corsia; e) con un veicolo che transita a lato nella corsia adiacente impedendo un cambio di corsia; f) in uno scenario nel quale è possibile e viene eseguita una manovra di cambio corsia durante una manovra di minimizzazione del rischio; g) in uno scenario nel quale il veicolo completamente automatizzato reagisce a un altro veicolo che inizia a cambiare corsia nello stesso spazio all’interno della corsia di destinazione, per evitare un potenziale rischio di collisione.

8.3. Risposta a diverse geometrie stradali

Queste prove devono garantire che il veicolo completamente automatizzato rilevi una variazione di diverse geometrie stradali che può verificarsi all’interno dell’ambito di impiego previsto nel contesto del suo intero intervallo di velocità e vi si adatti.

8.3.1. La prova deve essere eseguita almeno con gli scenari elencati di seguito in base all’ambito di impiego previsto del sistema di guida automatizzata: a) intersezioni a T (intersezioni a 3 vie) con e senza semafori, con diritti diversi di precedenza; b) incroci (intersezioni a 4 o più vie) con e senza semafori, con diritti diversi di precedenza; c) rotonde.

8.3.2. Ciascuna prova deve essere effettuata almeno: a) senza un veicolo che precede; b) con un’autovettura bersaglio e con un motociclo bersaglio come veicolo che precede/altro veicolo; c) con e senza veicoli in fase di avvicinamento o sorpasso.

8.4. Risposta al codice della strada nazionale e alle infrastrutture stradali

Queste prove devono garantire che il veicolo completamente automatizzato sia conforme al codice della strada nazionale e si adatti a varie modifiche permanenti e temporanee dell’infrastruttura stradale (ad esempio cantieri stradali) per l’intero intervallo di velocità.

8.4.1. Le prove devono essere eseguite almeno con gli scenari elencati di seguito che risultano pertinenti per l’ambito di impiego previsto del sistema di guida automatizzata: a) segnali di limiti di velocità diversi, affinché il sistema di guida automatizzata debba modificare la propria velocità in base ai valori indicati; b) semafori e/o stop prescritto da un agente preposto alla sicurezza stradale/delle forze dell’ordine con situazioni di andamento rettilineo, svolta a sinistra e a destra; c) attraversamenti pedonali e ciclistici con e senza pedoni/ciclisti in avvicinamento/sulla strada; d) modifiche temporanee: ad esempio, operazioni di manutenzione stradale indicate da segnali stradali, coni e altra segnaletica, limitazioni di accesso; e) ingressi, uscite e caselli autostradali.

8.4.2. Ciascuna prova deve essere effettuata almeno: a) senza un veicolo che precede; b) con un’autovettura bersaglio e con un motociclo bersaglio come veicolo che precede/altro veicolo.

8.5. Prevenzione delle collisioni: capacità di evitare la collisione con utenti della strada od oggetti che ostruiscono la corsia.

Questa prova serve a dimostrare che il sistema di guida automatizzata evita una collisione con un veicolo o un utente della strada fermo o con la corsia interamente o parzialmente bloccata fino alla velocità massima indicata del sistema di guida automatizzata.

8.5.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, laddove pertinenti nell’ambito di impiego previsto: a) con un’autovettura bersaglio ferma; b) con un motociclo bersaglio fermo; c) con un pedone bersaglio fermo; d) con un pedone bersaglio che attraversa la corsia alla velocità di 5 km/h, anche in presenza di altri oggetti pertinenti nell’ambito di impiego previsto (ad esempio una palla, una borsa della spesa ecc.); e) con un pedone bersaglio che si muove a una velocità che può raggiungere i 5 km/h all’interno della corsia del sistema di guida automatizzata, occupandola parzialmente, e che segue la stessa direzione o la direzione opposta del veicolo completamente automatizzato; f) con un pedone bersaglio che compie uno scarto improvviso nella stessa corsia del veicolo completamente automatizzato; g) con un ciclista bersaglio che attraversa la corsia a una velocità di 15 km/h; h) con un ciclista bersaglio che viaggia nella stessa direzione a una velocità di 15 km/h; i) con il veicolo completamente automatizzato che svolta a destra e attraversa la traiettoria del ciclista che viaggia nella stessa direzione a una velocità di 15 km/h; j) con un bersaglio che rappresenta una corsia bloccata; k) con un bersaglio parzialmente all’interno della corsia; l) con uno o più diversi tipi di oggetti che impediscono il transito e sono pertinenti nell’ambito di impiego previsto (ad esempio un bidone della spazzatura, una bicicletta o uno scooter a terra, un segnale stradale caduto, una palla ferma o in movimento ecc.); m) con più ostacoli consecutivi che bloccano la corsia e sono pertinenti nell’ambito di impiego previsto (ad esempio nel seguente ordine: ego vehicle - motociclo - autovettura); n) su un tratto di strada in curva.

8.6. Evitare la frenata di emergenza prima di un oggetto che non impedisce il transito nella corsia. Un «oggetto che non impedisce il transito» è un oggetto sul quale il veicolo può transitare senza causare un rischio irragionevole per gli occupanti del veicolo o altri utenti della strada.

La prova deve dimostrare che il veicolo completamente automatizzato non sta avviando una frenata di emergenza con una richiesta di decelerazione superiore a 5 m/s2 in ragione della presenza di un oggetto che non impedisce il transito nella corsia ed è pertinente per l’ambito di impiego previsto (ad esempio, un tombino o un piccolo ramo) fino alla velocità massima specificata del sistema di guida automatizzata.

8.6.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, laddove pertinenti nell’ambito di impiego previsto: a) senza un veicolo che precede; b) con un’autovettura bersaglio e con un motociclo bersaglio come veicolo che precede/altro veicolo.

8.7. Marcia al seguito di un altro veicolo

Questa prova deve dimostrare che il veicolo completamente automatizzato è in grado di mantenere e ripristinare una posizione stabile e una distanza di sicurezza rispetto a un veicolo che lo precede ed è in grado di impedire la collisione con un veicolo che lo precede e decelera fino alla sua decelerazione massima.

8.7.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, laddove pertinenti nell’ambito di impiego previsto: a) per l’intero intervallo di velocità del veicolo completamente automatizzato; b) utilizzando un’autovettura bersaglio, un motociclo bersaglio e una bicicletta bersaglio come veicolo che precede, a condizione che siano disponibili motocicli bersaglio standardizzati idonei a svolgere la prova in sicurezza; c) per velocità costanti e variabili del veicolo che precede (profilo di velocità realistico); d) per tratti di strada rettilinei e curvi; e) per varie posizioni laterali del veicolo che precede nella corsia; f) con una decelerazione del veicolo che precede pari in media ad almeno 6 m/s2 fino all’arresto.

8.8. Immissione nella corsia da parte di un altro veicolo (inserimento in corsia)

Questa prova deve dimostrare che il veicolo completamente automatizzato è in grado di impedire la collisione con un veicolo o un altro utente della strada che si inserisce nella corsia del veicolo completamente automatizzato fino a una certa criticità della manovra di inserimento.

8.8.1. La criticità della manovra di inserimento deve essere determinata secondo le disposizioni introdotte nella parte 1 del presente allegato e in funzione della distanza tra il punto più arretrato del veicolo di inserimento e il punto più anteriore del veicolo completamente automatizzato.

8.8.2. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) per valori diversi di tempo mancante alla collisione, distanza e velocità relativa della manovra di inserimento, contemplando tipi di scenari di inserimento in corsia nei quali è possibile impedire la collisione e tipi di scenari nei quali una tale collisione non può essere evitata; b) con veicoli che si inseriscono nella corsia procedendo secondo una velocità longitudinale costante, accelerando e decelerando; c) con velocità laterali diverse e accelerazioni laterali diverse del veicolo che si inserisce nella corsia; d) con un’autovettura bersaglio, con un motociclo nonché una bicicletta bersaglio come veicolo che effettua l’inserimento in corsia, a condizione che siano disponibili motocicli bersaglio standardizzati idonei a svolgere la prova in sicurezza.

8.9. Ostacolo fermo dopo il cambio di corsia del veicolo che precede (abbandono della corsia)

Questa prova deve dimostrare che il veicolo completamente automatizzato è in grado di impedire la collisione con un veicolo o un utente della strada fermo o in caso di corsia bloccata che diventa visibile dopo che un veicolo che precede ha evitato una collisione attuando una manovra di schivamento. La prova deve basarsi sui requisiti di cui all’allegato II e sui parametri di scenario di cui alla parte 1 del presente allegato. Per le condizioni non sottoposte a prova ma che possono verificarsi all’interno dell’intervallo operativo definito del veicolo, il costruttore deve dimostrare in modo soddisfacente per le autorità pertinenti, nell’ambito della valutazione di cui all’allegato III, parte 2, che il veicolo è controllato in modo sicuro.

8.9.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) con un’autovettura bersaglio ferma al centro della corsia; b) con un motociclo bersaglio fermo al centro della corsia; c) con un pedone bersaglio fermo al centro della corsia; d) con un bersaglio al centro della corsia che rappresenti una corsia bloccata; e) con più ostacoli consecutivi che bloccano la corsia (ad esempio nel seguente ordine: ego vehicle - veicolo che cambia corsia - motociclo - autovettura).

8.10. Parcheggio

La prova deve dimostrare che il sistema di guida automatizzata è in grado di parcheggiare in parcheggi diversi e con configurazioni di parcheggio diverse in condizioni diverse, e che durante la manovra di parcheggio tale veicolo non provochi danni a beni circostanti, agli utenti della strada e a sé stesso.

8.10.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) con parcheggi paralleli e perpendicolari alla strada; b) su superfici piane e inclinate; c) con altri veicoli nei parcheggi circostanti, compresi motocicli e biciclette; d) parcheggio in parcheggi aventi diverse dimensioni geometriche; e) su angoli diversi di pendenza della strada; f) con un altro veicolo che entra nel parcheggio durante la manovra di parcheggio.

8.11. Spostamenti all’interno di un parcheggio

La prova deve dimostrare che il sistema di guida automatizzata è in grado di gestire la bassa velocità di guida e la generale mancanza di visibilità che si possono riscontrare in un parcheggio.

8.11.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) con un pedone bersaglio che attraversa il percorso del veicolo completamente automatizzato alla velocità di 5 km/h, con visuale inizialmente ostruita; b) con un veicolo che esce da un parcheggio davanti al veicolo completamente automatizzato; c) con un ostacolo fermo sul percorso del veicolo completamente automatizzato; d) con percorsi diversi, nell’ambito dei quali l’infrastruttura ostruisce il campo visivo; e) con un piccolo ostacolo sulla pavimentazione dopo una rampa ostruita da altri oggetti sul percorso del veicolo completamente automatizzato.

8.12. Scenari specifici per autostrada

8.12.1. Ingresso in autostrada La prova deve dimostrare che il sistema di guida automatizzata è in grado di entrare in sicurezza in autostrada.

8.12.1.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) con veicoli diversi, compreso un motociclo in avvicinamento da dietro; b) con veicoli che si avvicinano da dietro a velocità diverse; c) con un convoglio di veicoli che procede affiancato nella corsia adiacente.

8.12.2. Uscita dall’autostrada La prova deve dimostrare che il sistema di guida automatizzata è in grado di uscire in sicurezza dall’autostrada.

8.12.2.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) senza un veicolo che precede; b) con un’autovettura bersaglio e con un motociclo bersaglio come veicolo che precede/altro veicolo; c) con uno o più altri veicoli od ostacoli che bloccano l’uscita dall’autostrada.

8.12.3. Casello autostradale La prova deve dimostrare che il sistema di guida automatizzata è in grado di selezionare il varco di passaggio corretto e di adattare la propria velocità a quella consentita all’interno dell’area del casello autostradale.

8.12.3.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) con e senza un veicolo che precede; b) con altri veicoli che bloccano uno o più varchi di passaggio; c) con varchi di passaggio chiusi e aperti; d) con diverse velocità consentite nella zona del casello autostradale.

8.13. Per i veicoli dual mode, passaggio dalla modalità di guida manuale a quella completamente automatizzata.

La prova deve dimostrare che il sistema di guida automatizzata assume il controllo dell’attività di guida dinamica in modo sicuro e soltanto a veicolo fermo.

8.13.1. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) con e senza conducente umano presente a bordo del veicolo; b) con porte del veicolo aperte e chiuse; c) con e senza ostacoli intorno al veicolo; d) all’interno e all’esterno dell’area di transizione dedicata, se applicabile.

8.13.2. Questa prova deve essere eseguita almeno con gli scenari seguenti, ove pertinente per l’ambito di impiego previsto: a) in una situazione nella quale la transizione è possibile ed eseguita; b) in una situazione nella quale non è possibile eseguire la transizione.

PARTE 4

PRINCIPI PER LA VALUTAZIONE DELLA CREDIBILITÀ PER L’UTILIZZO DI UNA CATENA DEGLI STRUMENTI VIRTUALI NELLA CONVALIDA DEL SISTEMA DI GUIDA AUTOMATIZZATA

1. Generalità

1.1. La credibilità può essere conseguita analizzando e valutando cinque proprietà della modellizzazione e simulazione (M&S): a) capacità: quali sono le possibilità dell’M&S e simulazione e quali i rischi ad essa associati; b) accuratezza: in quale misura l’M&S riproduce i dati bersaglio; c) correttezza: quanto sono solidi e affidabili i dati e gli algoritmi di M&S; d) fruibilità: quale formazione e quale esperienza sono necessarie; e) idoneità all’impiego: in quale misura l’M&S è idonea alla valutazione dell’ambito di impiego previsto e del sistema di guida automatizzata.

1.2. Allo stesso tempo il quadro di valutazione della credibilità deve essere sufficientemente generico da poter essere utilizzato per tipi e applicazioni diversi di M&S. Il conseguimento dell’obiettivo è tuttavia complicato dalle ampie differenze tra le caratteristiche del sistema di guida automatizzata e la varietà di tipi e applicazioni di M&S. Queste considerazioni richiedono un quadro di valutazione della credibilità (basato sul rischio/informato) pertinente e adeguato per tutte le applicazioni di M&S.

1.3. Il quadro di valutazione della credibilità fornisce una descrizione generale dei principali aspetti considerati ai fini della valutazione della credibilità di una soluzione di M&S unitamente ai principi sul ruolo dei valutatori di terze parti nel processo di convalida riguardo alla credibilità. Per quanto concerne quest’ultimo punto, l’autorità di omologazione deve esaminare la documentazione prodotta a supporto della credibilità nella fase di valutazione, mentre le prove di convalida effettive avvengono una volta che il costruttore ha sviluppato i sistemi integrati di simulazione.

1.4. In definitiva l’esito della valutazione corrente della credibilità deve definire la dotazione nel cui ambito può essere utilizzato lo strumento virtuale a sostegno della valutazione del sistema di guida automatizzata.

1.5. I requisiti di questa parte hanno quindi lo scopo di dimostrare la credibilità di qualsiasi modello di simulazione o catena degli strumenti virtuali per il suo utilizzo nella convalida del sistema di guida automatizzata.

2. Definizioni

Ai fini del presente allegato si applicano le definizioni seguenti:

2.1. «astrazione»: il processo di selezione degli aspetti essenziali di un sistema sorgente o di un sistema di riferimento da rappresentare in un modello o in una simulazione, ignorando gli aspetti non pertinenti. Qualsiasi astrazione di modellizzazione comporta l’assunzione che non influirà in modo significativo sugli usi previsti dello strumento di simulazione;

2.2. «prove in ambiente chiuso»: un ambiente virtuale che tiene conto delle azioni dell’elemento nell’ambiente chiuso. Gli oggetti simulati rispondono alle azioni del sistema (ad esempio sistema che interagisce con un modello di traffico);

2.3. «deterministico»: un termine che descrive un sistema la cui evoluzione nel tempo può essere prevista esattamente e in cui un dato insieme di stimoli in ingresso produrrà sempre il medesimo risultato;

2.4. «metodo DIL ( driver-in-the-loop )»: in genere attuato in un simulatore di guida utilizzato per sottoporre a prova la progettazione dell’interazione uomo-automazione; il DIL dispone di componenti che consentono al conducente di operare e comunicare con l’ambiente virtuale;

2.5. «metodo HIL ( hardware-in-the-loop )»: interessa l’hardware finale di un sottosistema specifico del veicolo che esegue il software finale con ingressi e uscite collegati a un ambiente di simulazione per eseguire prove virtuali. Una prova HIL fornisce un modo per replicare sensori, attuatori e componenti meccanici in modo da collegare tutti gli ingressi/le uscite delle centraline elettroniche (ECU) sottoposte a prova, molto prima che il sistema finale sia integrato;

2.6. «modello»: una descrizione o rappresentazione di un sistema, di un’entità, di un fenomeno o di un processo.

2.7. «calibrazione del modello»: il processo di regolazione dei parametri numerici o di modellizzazione nel modello, volto a migliorare l’accordo con un referente;

2.8. «parametri del modello»: valori numerici utilizzati per sostenere la caratterizzazione di una funzionalità del sistema. Un parametro di modello ha un valore che non può essere osservato direttamente nel mondo reale ma che deve essere dedotto dai dati raccolti nel mondo reale (in fase di calibrazione del modello);

2.9. «metodo MIL ( model-in-the-loop )»: un approccio che consente un rapido sviluppo algoritmico senza coinvolgere hardware dedicato. Questo livello di sviluppo comporta di solito quadri software di astrazione di alto livello eseguiti su sistemi informatici generici;

2.10. «prova in ambiente aperto»: un ambiente virtuale che non tiene conto delle azioni dell’elemento in un ambiente chiuso (ad esempio un sistema che interagisce con una situazione di traffico registrata);

2.11. «probabilistico»: termine relativo a eventi non deterministici, i cui esiti sono descritti da un livello di probabilità;

2.12. «campo di prova o tracciato di prova»: una struttura di prova fisica chiusa al traffico nella quale è possibile studiare le prestazioni di un sistema di guida automatizzata sul veicolo reale. Gli agenti del traffico possono essere introdotti tramite la stimolazione di sensori o tramite dispositivi fittizi posizionati sul tracciato;

2.13. «stimolazione dei sensori»: una tecnica mediante la quale i segnali generati artificialmente vengono forniti all’elemento oggetto della prova al fine di attivarlo per produrre il risultato necessario a fini di verifica del mondo reale, formazione, manutenzione o ricerca e sviluppo;

2.14. «simulazione»: l’imitazione del funzionamento di un processo o di un sistema del mondo reale nel tempo;

2.15. «modello di simulazione»: un modello le cui variabili di ingresso cambiano nel tempo;

2.16. «catena degli strumenti di simulazione»: una combinazione di strumenti di simulazione utilizzati per sostenere la convalida di un sistema di guida automatizzata;

2.17. «metodo SIL ( software-in-the-loop )»: il contesto nel quale sarà valutata l’attuazione del modello sviluppato su sistemi informatici generici. Questo passaggio può utilizzare un’implementazione software completa molto simile a quella finale. Una prova SIL è utilizzata per descrivere una metodologia di prova nella quale il codice eseguibile, ad esempio algoritmi (o anche un’intera strategia del dispositivo di controllo), è sottoposto a prova all’interno di un ambiente di modellizzazione che può contribuire a dimostrare o sottoporre a prova il software;

2.18. «stocastico»: un processo che coinvolge o contiene una o più variabili casuali. Afferente alla causalità o alla probabilità;

2.19. «convalida del modello di simulazione»: un processo destinato a stabilire il grado in cui un modello di simulazione è una rappresentazione accurata del mondo reale dal punto di vista degli usi previsti dello strumento;

2.20. «metodo VIL ( vehicle-in-the-loop )»: un ambiente di fusione di un veicolo di prova reale nel mondo reale e in un ambiente virtuale. Può riflettere la dinamica del veicolo allo stesso livello del mondo reale e può essere utilizzato su un banco di prova del veicolo o su un tracciato di prova;

2.21. «verifica del modello di simulazione»: un processo destinato a stabilire la misura in cui un modello di simulazione o uno strumento di prova virtuale è conforme ai suoi requisiti e alle sue specifiche, come indicati in dettaglio nei suoi modelli concettuali, nei modelli matematici o in altri costrutti;

2.22. «prova virtuale»: il processo di prova di un sistema mediante utilizzo di uno o più modelli di simulazione.

3. Componenti del quadro di valutazione della credibilità e relativi requisiti in materia di documentazione

3.1. Il quadro di valutazione della credibilità introduce un modo per valutare e comunicare la credibilità dell’M&S sulla base di criteri di garanzia della qualità, nel contesto del quale è possibile indicare i livelli di fiducia nei risultati. In altre parole, la credibilità è stabilita mediante la valutazione dei seguenti fattori d’influenza sull’M&S, che sono considerati i principali contributori per quanto riguarda le proprietà dell’M&S e, di conseguenza, la relativa credibilità complessiva: a) gestione dell’M&S; b) esperienza e competenza del gruppo; c) analisi e descrizione dell’M&S; d) genealogia dei dati/degli input; ed e) verifica; convalida, caratterizzazione dell’incertezza. Ciascuno di questi fattori indica il livello di qualità raggiunto dall’M&S e il confronto tra i livelli ottenuti e quelli necessari deve stabilire se l’M&S è credibile e idonea all’uso per le prove virtuali. Di seguito è riportata una rappresentazione grafica della relazione tra l