3.4.4.

Dokumentację należy poprzeć analizą przedstawiającą ogólnie zachowanie systemu mające na celu łagodzenie lub unikanie zagrożeń, które mogą mieć wpływ na bezpieczeństwo kierowcy, pasażerów i pozostałych użytkowników drogi. Producent ustala i utrzymuje wybraną przez siebie metodę analityczną lub metody analityczne i udostępnia je do wglądu organom udzielającym homologacji typu podczas udzielania homologacji typu. Organ udzielający homologacji typu dokonuje oceny stosowania podejścia analitycznego lub podejść analitycznych: a) kontroli podejścia do bezpieczeństwa na poziomie koncepcyjnym (pojazdu). Podejście to musi być oparte na analizie zagrożeń/ryzyka odpowiedniej dla bezpieczeństwa systemu; b) kontroli podejścia do bezpieczeństwa na poziomie systemu, w tym podejścia odgórnego (od potencjalnego zagrożenia do projektu) i oddolnego (od projektu do potencjalnych zagrożeń). Podejście do bezpieczeństwa może być oparte na metodzie FMEA (analizie przyczyn i skutków błędów), metodzie FTA (analizie drzewa błędów) i metodzie STPA (teoretycznej analizie procesów systemu) lub podobnym procesie odpowiednim dla funkcjonalnego i operacyjnego bezpieczeństwa układu; c) kontroli planów i wyników walidacji/weryfikacji, w tym odpowiednich kryteriów zatwierdzania. Musi to obejmować badanie walidacji odpowiednie dla danej walidacji, na przykład badanie typu hardware in the loop (HIL), badania eksploatacyjnego pojazdu na drodze, badania z udziałem rzeczywistych użytkowników końcowych lub dowolnego innego badania odpowiedniego do walidacji/weryfikacji. Wyniki walidacji i weryfikacji można poddać ocenie, analizując zakres poszczególnych badań i określając minimalne progi zakresu dla różnych wskaźników. Kontrola potwierdza, że w stosownych przypadkach, zgodnie z lit. a)–c) co najmniej każda z następujących pozycji wchodzi w ten zakres: (i) problemy związane z interakcjami z innymi układami pojazdu (np. hamulcowym, kierowniczym); (ii) awarie automatycznego systemu utrzymania pasa ruchu i reagowania systemu związane z łagodzeniem zagrożenia; (iii) sytuacje w ramach operacyjnego obszaru konstrukcji, w których system może prowadzić do tworzenia nieuzasadnionych zagrożeń dla bezpieczeństwa kierowcy, pasażerów i pozostałych użytkowników drogi wynikających z zakłóceń w działaniu (np. braku lub błędnego pojmowania otoczenia pojazdu, braku zrozumienia reakcji kierowcy, pasażera lub pozostałych użytkowników drogi, nieodpowiedniego sterowania, trudnych scenariuszy); (iv) identyfikacja właściwych scenariuszy w ramach warunków brzegowych i metody zarządzania stosowanej do wyboru scenariuszy, a także wybranego narzędzia służącego do walidacji; (v) proces decyzyjny prowadzący do wykonania zadań wynikających z dynamiki jazdy (np. manewrów awaryjnych) w celu interakcji z pozostałymi użytkownikami drogi oraz zgodnie z zasadami ruchu drogowego; (vi) możliwe do przewidzenia w sposób rozsądny niewłaściwe użycie przez kierowcę (np. systemu rozpoznawania dostępności kierowcy wraz z wyjaśnieniem sposobu określania kryteriów dostępności), błędy lub brak zrozumienia przez kierowcę (np. nieumyślna neutralizacja) oraz celowa ingerencja w system; (vii) cyberataki wpływające na bezpieczeństwo pojazdu (analiza możliwa zgodnie z regulaminem ONZ nr 155 dotyczącym cyberbezpieczeństwa i systemu zarządzania cyberbezpieczeństwem). Ocena dokonana przez organ udzielający homologacji obejmuje wyrywkowe kontrole wybranych zagrożeń (lub zagrożeń dla cyberbezpieczeństwa) mające na celu ustalenie, czy argumenty na poparcie koncepcji bezpieczeństwa są zrozumiałe i logiczne oraz są wdrażane w poszczególnych funkcjach układów. Ocena służy także sprawdzeniu, czy plany dotyczące walidacji są wystarczająco solidne, aby potwierdzić bezpieczeństwo (np. rozsądny zakres badań wybranych scenariuszy poprzez walidację wybranego narzędzia), oraz czy zostały ukończone. Jej celem jest wykazanie, że pojazd nie stwarza nieuzasadnionego ryzyka dla kierowcy, pasażerów pojazdu i pozostałych użytkowników drogi w projektowanym zakresie operacyjnym, np. poprzez: a) ogólny cel walidacji (tj. kryteria zatwierdzania walidacji) wspierany wynikami walidacji, co umożliwia wykazanie, że dopuszczenie do eksploatacji automatycznego systemu utrzymania pasa ruchu zasadniczo nie zwiększy poziomu zagrożenia dla kierowcy, pasażerów pojazdu, czy pozostałych użytkowników drogi, w porównaniu z pojazdami kierowanymi ręcznie; oraz b) podejście dotyczące konkretnego scenariusza wykazujące, że system zasadniczo nie zwiększy poziomu zagrożenia dla kierowcy, pasażerów pojazdu, czy pozostałych użytkowników drogi, w porównaniu z pojazdami kierowanymi ręcznie, w żadnym ze scenariuszy mających znaczenie dla bezpieczeństwa; oraz organ udzielający homologacji typu przeprowadza badania lub wymaga ich przeprowadzenia zgodnie z pkt 4 w celu weryfikacji koncepcji bezpieczeństwa.