ANEXO III

Avaliação da Conformidade

A avaliação global da conformidade do ADS baseia-se nos seguintes elementos:

— Parte 1: Cenários de tráfego a considerar

— Parte 2: A avaliação do conceito de segurança do ADS e a auditoria do sistema de gestão de segurança do fabricante.

— Parte 3: Os ensaios dos cenários de tráfego mais pertinentes.

— Parte 4: Os princípios a aplicar para a avaliação da credibilidade da utilização de cadeias de ferramentas virtuais para validação dos ADS

— Parte 5: O sistema definido pelo fabricante para assegurar a comunicação de informações em serviço.

Todos os requisitos do anexo II podem ser verificados por meio de ensaios realizados pela entidade homologadora (ou pelo seu serviço técnico).

PARTE 1

CENÁRIOS DE TRÁFEGO A CONSIDERAR

1. Conjunto mínimo de cenários de tráfego

1.1. Os cenários e parâmetros enumerados no ponto 1 devem ser utilizados sempre que esses cenários sejam relevantes para o ODD do ADS. Se o fabricante se desviar dos parâmetros propostos no ponto 1, as métricas de desempenho de segurança e os pressupostos inerentes utilizados pelo fabricante devem ser documentados no dossiê. As métricas de desempenho de segurança e os pressupostos inerentes escolhidos devem demonstrar que o veículo totalmente automatizado não apresenta riscos de segurança irrazoáveis. A validade dessas métricas de desempenho de segurança e dos pressupostos inerentes deve ser corroborada por dados de monitorização em serviço.

1.2. Parâmetros a utilizar pelo veículo totalmente automatizado nos cenários de mudança de via de trânsito

1.2.1. o 157 da ONU No que diz respeito à mudança de via de trânsito, devem ser aplicados os cenários e parâmetros em conformidade com o Regulamento n.157 da ONU ( 1 )

1.3. Parâmetros a utilizar pelo veículo totalmente automatizado nos cenários de viragem ou cruzamento.

1.3.1. Na ausência de regras de trânsito mais específicas, devem ser tidos em conta os seguintes requisitos no que diz respeito à interação com outros utentes da estrada envolvidos na manobra de viragem e cruzamento (ver figura 1) em condições de pavimento seco e adequado.

1.3.2. No caso de convergência para uma via de trânsito com prioridade durante a viragem, quer seja ou não necessário atravessar o sentido de trânsito oposto, o trânsito com prioridade na via de trânsito que se pretende seguir não deve ter de desacelerar. No entanto, é necessário garantir que o TTC do tráfego com prioridade que se aproxima na estrada que se pretende seguir (caso «a)» na figura 1) nunca desça abaixo do valor-limite TTC dyn definido por: Em que: v e representa a velocidade do veículo totalmente automatizado v a representa a velocidade do trânsito com prioridade que se aproxima β é igual a 3 m/s2 e representa a desaceleração máxima admissível para o tráfego com prioridade que se aproxima. ρ é igual a 1,5 segundos e representa o tempo de reação do trânsito com prioridade em aproximação

1.3.3. No caso de uma manobra de viragem que atravessa o sentido de trânsito oposto, o trânsito com prioridade na via de trânsito que se pretende seguir não deve ter de desacelerar em relação ao trânsito em aproximação. No entanto, se a densidade de trânsito o justificar, para além da distância em relação ao trânsito com prioridade em aproximação na estrada que se pretende seguir, deve garantir-se que o TTC do trânsito com prioridade no cruzamento em relação ao hipotético ponto de colisão (o ponto de intersecção das trajetórias: caso «b)» na figura 1) nunca fique abaixo do valor-limite TTC int definido por: Em que: v c representa a velocidade do trânsito com prioridade em acesso concorrente à via β é igual a 3 m/s2 e representa a desaceleração máxima admissível para o tráfego com prioridade no cruzamento. ρ é igual a 1,5 segundos e representa o tempo de reação do trânsito com prioridade no cruzamento O mesmo se aplica aos cruzamentos com trânsito com prioridade (caso «c)» na figura 1): o TTC do trânsito com prioridade em relação ao ponto de colisão hipotético (ponto de intersecção das trajetórias) nunca deve ser inferior ao Figura 1: Visualização das distâncias durante a viragem e o cruzamento. Caso a): Distância a guardar em relação ao trânsito com prioridade que se aproxima na via de trânsito que se pretende seguir, ao virar e convergir numa via de trânsito com prioridade. Caso b): Distância a guardar em relação ao trânsito com prioridade no sentido oposto, ao virar e atravessar a via de trânsito no sentido oposto. Caso c): distância em relação ao trânsito com prioridade no cruzamento, que deve ser respeitada no momento da travessia.

1.4. Parâmetros a utilizar pelo veículo totalmente automatizado nos cenários de manobra de emergência (DDT em cenários críticos)

1.4.1. O ADS deve prevenir a colisão com o veículo da frente quando este desacelera até à travagem completa, desde que nenhum outro veículo tenha entrado subitamente na via.

1.4.2. As colisões com veículos que entrem subitamente na via, peões e ciclistas que circulem no mesmo sentido, bem como com peões que comecem a atravessar a faixa de rodagem a pé devem ser prevenidas pelo menos nas condições determinadas pela seguinte equação. Em que: representa o tempo até à colisão no momento da entrada súbita do veículo ou do ciclista em mais de 30 cm na via de trânsito do veículo totalmente automatizado. v rel representa a velocidade relativa em metros por segundo (m/s) entre o veículo totalmente automatizado e o veículo que entra subitamente na via (valor positivo se o ADS for mais rápido do que o veículo a entrar na via). β representa a desaceleração máxima do veículo totalmente automatizado, que se assume como sendo igual a: 2,4 m/s2 se o veículo transportar passageiros de pé ou passageiros que não utilizem um sistema de retenção e se houver um cenário de veículo a entrar subitamente na via; 6 m/s2 se o veículo transportar passageiros de pé ou passageiros que não utilizem um sistema de retenção em outros cenários que envolvam peões ou ciclistas; 6 m/s2 para outros veículos totalmente automatizados. ρ representa o tempo de que o veículo totalmente automatizado necessita para iniciar uma travagem de emergência e que se assume como sendo igual a 0,1 s. τ representa o tempo necessário para atingir a desaceleração máxima β e que se assume como sendo igual a 0,12 s para veículos totalmente automatizados que transportem passageiros de pé ou passageiros que não utilizem um sistema de retenção; 0,3 s para outros veículos totalmente automatizados. O cumprimento desta equação só é exigido na situação de utentes da estrada que entram subitamente na via, e apenas se estes utentes da estrada tiverem sido visíveis pelo menos 0,72 segundos antes da entrada: Isto leva à necessidade de prevenir a colisão quando outro utente da estrada entra na via de trânsito com valores TTC superiores aos abaixo enunciados (o exemplo representa velocidades em intervalos de 10 km/h). Estes requisitos devem ser cumpridos independentemente das condições ambientais. v rel [km/h] [s] para veículos que transportem passageiros de pé ou passageiros que não utilizem um sistema de retenção [s] para outros veículos 10 0,74 0,48 20 1,32 0,71 30 1,9 0,94 40 2,47 1,18 50 3,05 1,41 60 3,63 1,64 Se for efetuada uma mudança de via de trânsito com um TTC inferior para a via em que o veículo totalmente automatizado circula, já não se pode presumir que haverá prevenção de colisões. A estratégia de comando do ADS só pode mudar entre prevenção e mitigação de colisões se o fabricante puder demonstrar que esta mudança aumenta a segurança dos ocupantes do veículo e dos outros utentes da estrada (por exemplo, dando prioridade à travagem em detrimento de uma manobra alternativa).

1.4.3. O ADS deve prevenir a colisão com um peão ou um ciclista que atravessa à frente do veículo.

1.4.3.1. Condições de condução urbana e rural

1.4.3.1.1. O ADS deve prevenir a colisão, até uma velocidade de 60 km/h, com um peão que atravesse a via à frente do veículo, do qual a visão esteja desobstruída, com um componente de deslocação lateral não superior a 5 km/h ou com um ciclista que atravesse a via à frente do veículo, do qual a visão esteja desobstruída com uma componente de deslocação lateral não superior a 15 km/h. Este comportamento deve ser assegurado independentemente da manobra específica que o ADS esteja a executar.

1.4.3.1.2. Se o peão ou o ciclista se deslocarem a velocidades superiores aos valores acima referidos e já não for possível para o ADS prevenir a colisão, a estratégia de comando do ADS só pode mudar entre prevenção e mitigação de colisões se o fabricante puder demonstrar que esta mudança aumenta a segurança dos ocupantes do veículo e dos outros utentes da estrada (por exemplo, dando prioridade à travagem em detrimento de uma manobra alternativa).

1.4.3.1.3. O ADS deve mitigar a colisão com um peão ou um ciclista que atravessa à frente do veículo, do qual a visão esteja obstruída, reduzindo a sua velocidade em pelo menos 20 km/h no momento do impacto. Este comportamento deve ser assegurado independentemente da manobra específica que o ADS esteja a executar.

1.4.3.1.4. Os cenários de ensaio e avaliação desenvolvidos no âmbito do Programa Europeu de Avaliação de Novos Veículos (Euro NCAP) podem servir de orientação para demonstrar o cumprimento dos requisitos anteriores relacionados com a travessia de peões e ciclistas à frente do veículo.

1.4.3.2. Condições de condução em autoestrada

1.4.3.2.1. No que diz respeito à travessia de peões, devem ser aplicados os cenários pertinentes conforme especificado no Regulamento n. o 157 da ONU.

1.4.3.2.2. Se o peão atravessar a via com valores de parâmetros fora dos limiares estabelecidos no Regulamento n. o 157 da ONU e já não for possível para o ADS prevenir a colisão, a estratégia de comando do ADS só pode mudar entre prevenção e mitigação de colisões se o fabricante puder demonstrar que esta mudança aumenta a segurança dos ocupantes do veículo e dos outros utentes da estrada (por exemplo, dando prioridade à travagem em detrimento de uma manobra alternativa).

1.5. Entrada na autoestrada O veículo totalmente automatizado deve ser capaz de entrar na autoestrada de forma segura, adaptando a velocidade ao fluxo de tráfego, e ativar o indicador de mudança de direção em conformidade com as regras de trânsito. O indicador de mudança de direção deve ser desativado quando o veículo terminar de executar a manobra de mudança de via de trânsito (LCM). Devem ser aplicados os parâmetros utilizados no cenário de mudança de via de trânsito.

1.6. Saída da autoestrada O veículo totalmente automatizado deve ser capaz de antecipar a saída da autoestrada pretendida, circulando na via adjacente à via da saída e não deve desacelerar desnecessariamente antes do início da LCM para a via da saída. O veículo totalmente automatizado deve ativar o indicador de mudança de direção em conformidade com as regras de trânsito e executar a LCM para a via de saída sem demoras injustificadas. O indicador de mudança de direção deve ser desativado quando a LCM terminar em conformidade com as regras de trânsito do país em que o veículo circula.

1.7. Passagem por portagem Dependendo do ODD, o veículo totalmente automatizado deve ser capaz de selecionar o portão de passagem adequado e adaptar a sua velocidade aos limites permitidos na zona de portagem, tendo em conta o fluxo de tráfego.

1.8. Circulação noutros tipos de estrada que não autoestradas Consoante o ODD, deve ser aplicado o cenário pertinente definido nos pontos 1.2 a 1.4 acima.

1.9. Parâmetros a utilizar para o estacionamento automatizado

1.9.1. Consoante o ODD, devem ser aplicados os cenários pertinentes definidos nos pontos 1.3 a 1.5 acima. Os parâmetros a utilizar para estes cenários podem ter de ser adaptados para ter em conta a velocidade de condução limitada e a falta geral de visibilidade que pode ocorrer nas instalações de estacionamento. Deve ser dada especial atenção à prevenção de colisões com peões e, em especial, com crianças e carrinhos de bebé.

2. Cenários não abrangidos pelo ponto 1.

2.1. Devem ser criados cenários não enumerados no ponto 1 para abranger situações críticas razoavelmente previsíveis, incluindo avarias e perigos de trânsito dentro do âmbito do domínio de conceção operacional.

2.2. Nas situações em que as capacidades do ADS dependam de capacidades de controlo à distância, os cenários devem incluir avarias e perigos de trânsito decorrentes das capacidades de controlo à distância correspondentes.

2.3. O método seguido para criar cenários não enumerados no ponto 1 deve seguir os princípios estabelecidos no apêndice 1 da parte 1 do presente anexo.

2.4. O método utilizado pelo fabricante para criar cenários não enumerados no ponto 1 deve ser documentado no dossiê a fornecer para a avaliação do ADS. Apêndice 1 Princípios a seguir para determinar cenários relevantes para o ODD do ADS 1. Criação e classificação de cenários Do ponto de vista qualitativo, os cenários podem ser classificados como Nominal/Crítico/Avaria e corresponder a funcionamento normal ou de emergência. Para cada uma destas categorias, podem ser utilizadas uma abordagem baseada em dados e uma abordagem baseada no conhecimento para criar cenários de tráfego correspondentes. Uma abordagem baseada no conhecimento utiliza conhecimentos especializados para identificar sistematicamente eventos perigosos e criar cenários. Uma abordagem baseada em dados utiliza os dados disponíveis para identificar e classificar os cenários que ocorrem. Os cenários devem ser determinados a partir do ODD do veículo totalmente automatizado. 2. Cenários nominais Uma série de quadros analíticos pode ajudar o fabricante a determinar cenários nominais adicionais para garantir a cobertura de uma aplicação específica. Estes quadros dividem-se em: 2.1. Análise do ODD Um ODD consiste em elementos paisagísticos (por exemplo, infraestruturas físicas), condições ambientais, elementos dinâmicos (por exemplo, trânsito, utentes da estrada vulneráveis) e restrições operacionais à aplicação específica do ADS. O objetivo desta análise é identificar as características do ODD, atribuir propriedades e definir interações entre os objetos. Neste contexto, é estudado o efeito do ODD nas competências do ADS comportamentais. O quadro 1 apresenta um exemplo da análise. Quadro 1 Elementos dinâmicos e suas propriedades Objetos Eventos/Interações Veículos (por exemplo, automóveis, camiões ligeiros, camiões pesados, autocarros, motociclos) Veículo da frente a desacelerar (frontal) Veículo da frente parado (frontal) Veículo da frente a acelerar (frontal) Mudar de via de trânsito (frontal/lateral) Entrar na via de trânsito (adjacente) Virar (frontal) Veículo que circula no sentido oposto a invadir a via (frontal/lateral) Veículo que circula na via adjacente a invadir a via (frontal/lateral) Entrar na estrada (frontal/lateral) Entrar na via de trânsito (frontal) Peões Atravessar a estrada na passadeira (frontal) Atravessar a estrada fora da passadeira (frontal) Andar a pé pelo passeio/berma Ciclistas A circular na via de trânsito (frontal) A circular na via de trânsito adjacente (frontal/lateral) A circular numa via específica (frontal/lateral) A circular no passeio/berma Atravessar a estrada na passadeira (frontal/lateral) Atravessar a estrada fora da passadeira (frontal/lateral) Animais Parados na via de trânsito (frontal) A entrar/sair da via de trânsito (frontal/lateral) Parado/em movimento na via de trânsito adjacente (frontal) Parado/em movimento na berma Detritos Parados na via de trânsito (frontal) Outros objetos dinâmicos (por exemplo, carrinhos de compras) Parados na via de trânsito (frontal/lateral) A entrar/sair da via de trânsito (frontal/lateral) Sinais de trânsito Stop, cedência de passagem, limite de velocidade, passadeira para peões, passagem de nível, cruzamento, zona escolar Sinalização luminosa Cruzamento, passagem de nível, zona escolar Sinais luminosos do veículo Luzes indicadoras de mudança de direção 2.2. Análise de OEDR: Identificação de competências comportamentais Uma vez identificados os objetos e as propriedades pertinentes, é possível determinar a resposta adequada do ADS. A resposta do ADS baseia-se nos requisitos funcionais aplicáveis e na aplicação dos requisitos de desempenho do presente regulamento e das regras de trânsito do país em que o veículo circula. O resultado da análise de OEDR é ele próprio um conjunto de competências que podem ser associadas às competências comportamentais aplicáveis ao ODD, a fim de assegurar o cumprimento dos requisitos regulamentares e legais aplicáveis. O quadro 2 apresenta um exemplo qualitativo de uma correspondência evento — resposta. A combinação entre objetos, eventos e suas potenciais interações, como função dentro do ODD, constituem o conjunto de cenários nominais pertinentes para o ADS em análise. A identificação de cenários nominais pode beneficiar de uma combinação melhorada de descritores de cenários que abranjam, dentro do ODD, por exemplo, os atributos das infraestruturas, as características dos objetos e eventos, perigos que afetem as respostas (por exemplo, condições meteorológicas, visibilidade). A identificação de cenários nominais não está limitada às condições de tráfego, abrangendo também as condições ambientais, os fatores humanos, a conectividade e as falhas de comunicação. Uma vez que os parâmetros (pressupostos) para os eventos ainda não foram definidos, os cenários nominais determinados a partir da aplicação da análise devem ser tidos em conta no seu nível de abstração funcional e lógico. Quadro 2 Competências comportamentais para eventos específicos Evento Resposta Veículo da frente a desacelerar Seguir atrás do veículo, desacelerar, parar Veículo da frente parado Desacelerar, parar Veículo da frente a acelerar Acelerar, seguir atrás do veículo Veículo da frente a virar Desacelerar, parar Outro veículo a mudar de via de trânsito Ceder passagem, desacelerar, seguir atrás do veículo Outro veículo a entrar na via de trânsito Ceder passagem, desacelerar, parar, seguir atrás do veículo Veículo que entra na estrada Seguir atrás do veículo, desacelerar, parar Veículo que circula no sentido oposto a invadir a via Desacelerar, parar, desviar dentro da via de trânsito, desviar fora da via de trânsito Veículo que circula na via adjacente a invadir a via Ceder passagem, desacelerar, parar Veículo da frente a sair da via de trânsito Acelerar, desacelerar, parar Peão a atravessar a estrada na passadeira Ceder passagem, desacelerar, parar Peão a atravessar a estrada fora da passadeira Ceder passagem, desacelerar, parar Ciclistas que circulam na via de trânsito Ceder passagem, seguir atrás dos ciclistas Ciclistas que circulam numa via específica Desviar dentro da via de trânsito Ciclistas a atravessar a estrada na passadeira Ceder passagem, desacelerar, parar Ciclistas a atravessar a estrada fora da passadeira Ceder passagem, desacelerar, parar 3. Cenários críticos Os cenários críticos podem ser determinados tendo em consideração pressupostos de casos de emergência sobre cenários de tráfego nominais (baseados em dados) ou aplicando métodos normalizados (baseados no conhecimento) para avaliar as insuficiências operacionais (ver exemplo de métodos no ponto 3.5.5 da parte 2). A identificação de cenários críticos pode beneficiar de uma combinação melhorada de descritores de cenários e valores-limite que abranjam, dentro do ODD, por exemplo, os atributos das infraestruturas, as características dos objetos e eventos, perigos que afetem as respostas (por exemplo, condições meteorológicas, visibilidade, máscaras, interações com outros utentes da estrada que não o objeto ou evento visado). A identificação de cenários críticos não está limitada às condições de tráfego, abrangendo também as condições ambientais, os fatores humanos, a conectividade e as falhas de comunicação. Os cenários críticos correspondem ao funcionamento de emergência do ADS. 4. Cenários de avaria Estes cenários visam avaliar a forma como o ADS responde a uma avaria. A literatura prevê vários métodos diferentes (ver exemplo de métodos no ponto 3.5.5 da parte 2). Ao desenvolver o ADS, o fabricante deve implementar estratégias pertinentes para dar resposta a todas as avarias de comportamento e efeitos consequentes identificados (ou seja, um mecanismo de segurança intrínseca). Ao aplicar os cenários de avaria, o objetivo é avaliar a capacidade do ADS para cumprir os requisitos aplicáveis a situações críticas para a segurança, incluindo, por exemplo, «O ADS deve gerir situações de condução críticas para a segurança» e «O ADS deve gerir com segurança os modos de anomalia» e respetivos sub-requisitos. 5. Pressupostos lógicos para cenários concretos Para garantir que os cenários identificados nos pontos anteriores estão prontos para ser avaliados através de simulações ou de ensaios físicos, o fabricante pode ter de os parametrizar de forma coerente, aplicando pressupostos. O fabricante deve fornecer provas que corroborem os pressupostos formulados, tais como campanhas de recolha de dados realizadas durante a fase de desenvolvimento, acidentologia em situações reais e avaliações do comportamento de condução realistas. Os parâmetros utilizados para caracterizar os cenários críticos devem cobrir os valores razoavelmente previsíveis dos descritores de cenários, mas não devem estar limitados a valores já registados em bases de dados documentadas.

PARTE 2

AVALIAÇÃO DO CONCEITO DE SEGURANÇA DO ADS E AUDITORIA DO SISTEMA DE GESTÃO DE SEGURANÇA DO FABRICANTE.

1. Aspetos gerais

1.1. A entidade homologadora que concede a homologação, ou o serviço técnico que atua em seu nome, deve verificar, através de controlos por amostragem e ensaios específicos, em especial, e tal como especificado no ponto 4 do presente anexo, que os argumentos de segurança fornecidos na documentação estão em conformidade com os requisitos do anexo II e que a conceção e os processos descritos na documentação foram efetivamente aplicados pelo fabricante.

1.2. Embora, com base na documentação fornecida, nas provas apresentadas para a auditoria do sistema de gestão de segurança e nas avaliações do conceito de segurança do ADS realizadas a contento da entidade homologadora, em conformidade com o presente regulamento, o nível de risco de segurança residual do ADS homologado seja considerado aceitável para a entrada em circulação do modelo de veículo, a segurança geral do ADS durante o seu ciclo de vida em conformidade com os requisitos do presente regulamento continua a ser da responsabilidade do fabricante que solicita a homologação.

2. Definições

Para efeitos do presente anexo, entende-se por:

2.1. «Conceito de segurança», uma descrição das medidas incorporadas no ADS de forma a que o veículo totalmente automatizado funcione, nos cenários e eventos pertinentes do ODD sem apresentar riscos irrazoáveis para a segurança dos seus ocupantes e dos outros utentes da estrada em condições de avaria (segurança funcional) e não-avaria (segurança operacional). A possibilidade de recorrer em modo de recuperação de falhas a um funcionamento parcial ou mesmo a um sistema de reserva para manter as funções vitais do ADS deve fazer parte do conceito de segurança.

2.2. «Unidades», as mais pequenas divisões de componentes do sistema em consideração no presente anexo, uma vez que estas combinações de componentes serão tratadas como entidades únicas para efeitos de identificação, análise ou substituição.

2.3. «Ligações de transmissão», os meios utilizados para interconectar as diferentes unidades para efeitos de transmissão de sinais e de dados operacionais ou de alimentação de energia. Este equipamento é geralmente elétrico, mas pode, em certa medida, ser mecânico, pneumático ou hidráulico.

2.4. «Alcance do controlo», uma variável de saída que define a extensão potencial do controlo exercido pelo sistema.

2.5. «Limites de funcionamento», os limites físicos exteriores dentro dos quais o ADS tem capacidade para realizar as tarefas de condução dinâmica.

3. Documentação sobre o ADS

3.1. Requisitos

O fabricante deve fornecer um dossiê que documente a conceção de base do ADS e os meios de ligação a outros sistemas do veículo ou que lhe permitem controlar diretamente as variáveis de saída, bem como o hardware ou software exteriores e capacidades de controlo à distância.

A(s) função(ões) do ADS, incluindo as estratégias de comando e o conceito de segurança, conforme definidas pelo fabricante, devem ser explicadas.

A documentação deve ser concisa, sem deixar de demonstrar que a conceção e o desenvolvimento beneficiaram de conhecimento especializado proveniente de todos os domínios do ADS envolvidos.

Para efeitos de inspeção técnica periódica, a documentação deve indicar o modo como se pode verificar o estado de funcionamento atual do ADS, a funcionalidade e a integridade do software.

A entidade homologadora deve avaliar o dossiê que deve demonstrar que o ADS:

a) foi concebido e desenvolvido para funcionar de forma a não representar riscos irrazoáveis para os ocupantes do veículo e outros utentes da estrada dentro do seu ODD e dos limites declarados;

b) cumpre os requisitos de desempenho do anexo II do presente regulamento;

c) foi desenvolvido de acordo com o processo/método de desenvolvimento declarado pelo fabricante.

3.1.1. A documentação deve ser disponibilizada em três partes: a) Pedido de homologação: A ficha de informações fornecida à entidade homologadora aquando da apresentação do pedido de homologação deve incluir informações breves sobre os aspetos enumerados no anexo I. Esta ficha fará parte da homologação. b) O dossiê oficial para homologação, com os documentos enumerados na secção 3 (à exceção dos documentos indicados no ponto 3.5.5), que deve ser fornecido à entidade homologadora, a fim de realizar a homologação do ADS. A referida documentação deve ser utilizada pela entidade homologadora como referência de base para o processo de verificação estabelecido no ponto 4 do presente anexo. A entidade homologadora deve assegurar que este dossiê se mantém disponível por um período mínimo de dez anos, a contar da data em que a produção do modelo de veículo foi definitivamente interrompida. c) Os dados de análise e os dados confidenciais adicionais (propriedade intelectual) referidos no ponto 3.5.5 devem ficar na posse do fabricante, sendo, porém, facultados para inspeção (por exemplo, no local das instalações técnicas do fabricante) aquando da homologação da ADS. O fabricante deve assegurar que esse material e esses dados de análise se mantêm disponíveis por um período de dez anos a contar da data de cessação definitiva da produção do modelo de veículo.

3.2. Descrição geral do ADS

3.2.1. Deve ser fornecida uma descrição com uma explicação simples das características operacionais do ADS e das funcionalidades do ADS.

3.2.2. A descrição deve incluir:

3.2.2.1 o domínio de conceção operacional, como a velocidade máxima de funcionamento, o tipo de estrada (por exemplo, via específica), o(s) país(es)/zonas de funcionamento, as condições da estrada e as condições ambientais necessárias (por exemplo, ausência de neve, etc.)/Condições-limite

3.2.2.2 o desempenho básico (por exemplo, deteção e resposta a objetos e eventos, infraestrutura exterior necessária durante o funcionamento)

3.2.2.3. a interação com outros utentes da estrada

3.2.2.4. as principais condições para as manobras de risco mínimo.

3.2.2.5. o conceito de interação com os ocupantes do veículo, o operador a bordo (se aplicável) e o operador de intervenção à distância (se aplicável).

3.2.2.6. os meios para ativar ou desativar o ADS por parte do operador a bordo (se aplicável) ou do operador de intervenção à distância (se aplicável), dos ocupantes do veículo (se aplicável) ou de outros utentes da estrada (se aplicável).

3.2.2.7. medidas operacionais (por exemplo, necessidade de um operador a bordo ou de um operador de intervenção à distância) a satisfazer para garantir a segurança durante o funcionamento do veículo totalmente automatizado.

3.2.2.8. infraestruturas de apoio e exteriores necessárias para garantir a segurança durante o funcionamento do veículo totalmente automatizado.

3.3. Descrição das funções do ADS

Deve ser apresentada uma descrição que explique todas as funções, incluindo as estratégias de comando para garantir um funcionamento robusto e seguro do ADS, os métodos utilizados para realizar as tarefas de condução dinâmica dentro do ODD e os limites com os quais o sistema de condução automatizado foi concebido para funcionar, acompanhada de uma descrição sobre como tal é assegurado.

As funções de condução automatizada ativadas ou desativadas para as quais o hardware e o software estão presentes no veículo, no momento de produção, devem ser declaradas e sujeitas aos requisitos do presente anexo, bem como do anexo II do presente regulamento, antes da respetiva utilização no veículo. O fabricante também deve documentar o tratamento de dados se forem utilizados algoritmos de aprendizagem contínua.

3.3.1. Deve ser fornecida uma lista de todas as variáveis, quer as de entrada quer as detetadas pelos sensores, com definição do respetivo alcance de funcionamento, acompanhada de uma descrição da forma como cada variável afeta o comportamento do ADS.

3.3.2. Deve ser fornecida uma lista de todas as variáveis de saída controladas pelo ADS, explicando, em cada caso, se o comando é direto ou se é exercido através de outro sistema do veículo. Deve ser definido o alcance de variáveis sobre o qual o ADS é suscetível de exercer controlo.

3.3.3. Os limites que demarcam as fronteiras para o funcionamento, incluindo os limites do ODD, devem ser indicados, se tal for pertinente para a eficiência do ADS.

3.3.4. O conceito de interação homem-máquina (HMI) com os ocupantes do veículo/operador a bordo/operador de intervenção à distância (se aplicável), quando se aproximam e são atingidos os limites do ODD deve ser explicado. A explicação deve incluir a lista de tipos de situação em que o ADS irá gerar um pedido de apoio ao operador a bordo/operador de intervenção à distância (se aplicável), a forma como o pedido é efetuado, o procedimento para gerir um pedido falhado e a manobra de risco mínimo. Devem também ser descritos os sinais e informações dados ao operador a bordo/operador de intervenção à distância ou aos ocupantes do veículo e a outros utentes da estrada em cada um dos aspetos acima referidos.

3.4. Configuração e esquemas do ADS

3.4.1. Inventário de componentes. Deve ser fornecida uma lista que confira todas as unidades do ADS e mencione os demais sistemas do veículo, bem como o hardware ou software exteriores e capacidades de controlo à distância necessários para atingir o desempenho definido do ADS a aprovar em conformidade com o seu ODD. Deve ser fornecido um esquema que mostre essas unidades em combinação, que dê precisões sobre a distribuição dos elementos do equipamento e mostre com clareza as interconexões entre esses mesmos elementos. Este esquema deve incluir: a) perceção e deteção de objetos/eventos, incluindo mapeamento e posicionamento; b) caracterização da tomada de decisões; c) os elementos de dados do ADS; d) ligações e interface com outros sistemas do veículo, o hardware ou software exteriores e capacidades de controlo à distância.

3.4.2. Funções das unidades Deve ser definida a função de cada unidade do ADS e indicados os sinais que ligam cada unidade às outras unidades e aos demais sistemas do veículo. Deve incluir sistemas exteriores de apoio ao ADS e outros sistemas do veículo. Esta informação pode ser fornecida por meio de um diagrama de blocos com legendas, ou por uma descrição sustentada num diagrama desse tipo.

3.4.3. As interconexões com ADS devem ser mostradas por meio de um diagrama de circuito para as ligações de transmissão elétricas, por um diagrama de distribuição para o equipamento de transmissão pneumático ou hidráulico e por um diagrama simplificado para as ligações mecânicas. As ligações de transmissão para e de outros sistemas devem também ser indicadas.

3.4.4. Tem de haver uma correspondência clara entre as ligações de transmissão e os sinais veiculados entre as unidades. As prioridades dos sinais serão indicadas em canais de dados multiplexados sempre que a prioridade possa ter uma incidência no comportamento ou na segurança.

3.4.5. Identificação das unidades

3.4.5.1. Cada unidade deve ser identificável com clareza e sem ambiguidade (por exemplo, por meio de uma marcação para o hardware e uma marcação ou um sinal informático para o conteúdo de software ), de modo a estabelecer correspondência entre o hardware e a documentação. Caso seja possível alterar a versão do software sem necessidade de substituir a marcação ou o componente, a identificação do software só pode ser feita por meio de um sinal informático.

3.4.5.2. Quando houver funções combinadas dentro de uma mesma unidade ou mesmo dentro de um mesmo computador, mas que sejam mostradas em blocos múltiplos no diagrama de blocos para maior clareza e facilidade de explicação, utiliza-se uma única marcação de identificação do hardware . Com a utilização desta identificação, o fabricante declara que o equipamento fornecido é conforme ao documento correspondente.

3.4.5.3. A marca de identificação define a versão do hardware e do software , e, sempre que a versão deste último mudar, alterando a função da unidade em relação ao presente regulamento, essa marca de identificação deve também ser mudada.

3.4.6. Instalação dos componentes do sistema de deteção O fabricante deve fornecer informações sobre as opções de instalação para os componentes individuais que constituem o sistema de deteção. Estas opções devem incluir, sem que isto constitua uma limitação, a localização do componente no interior/exterior do veículo, o(s) material(ais) que envolve(m) o componente, a dimensão e a geometria do material que envolve o componente e o tratamento de superfície dos materiais que envolvem o componente, uma vez instalado no veículo. As informações também devem incluir as especificações de instalação essenciais para o desempenho do ADS, por exemplo, tolerâncias no ângulo de instalação. As alterações aos componentes individuais do sistema de deteção, ou às opções de instalação, devem ser comunicadas à entidade homologadora e sujeitas a nova avaliação.

3.5. Conceito de segurança do fabricante e validação do conceito de segurança pelo fabricante

3.5.1. O fabricante deve fornecer uma declaração na qual afirme que o ADS não representa riscos irrazoáveis para os ocupantes do veículo e outros utentes da estrada.

3.5.2. No que diz respeito ao software utilizado no ADS, deve ser dada uma explicação da respetiva arquitetura e identificados os métodos e ferramentas de conceção (ver ponto 3.5.1). O fabricante deve demonstrar, com base em comprovativos, os meios pelos quais esses elementos determinaram a realização da lógica do ADS durante a conceção e o processo de desenvolvimento.

3.5.3. O fabricante deve fornecer à entidade homologadora uma explicação das disposições de conceção incorporadas no ADS, por forma a assegurar a segurança funcional e operacional. Exemplos de disposições de conceção do ADS: a) Recorrer em modo de recuperação de falhas a um funcionamento com um sistema parcial; b) Redundância através de um sistema distinto; c) Diversidade de sistemas que desempenham a mesma função. d) Supressão ou limitação da(s) função(ões) de condução automatizada.

3.5.3.1. Se a opção escolhida selecionar um modo de funcionamento de eficiência parcial em determinadas condições de falha (por exemplo, em caso de avarias graves), estas condições devem ser especificadas (por exemplo, tipo de avaria) e devem ser definidos os limites de eficácia que delas resultam (por exemplo, início imediato de uma manobra de risco mínimo), bem como a estratégia de aviso ao operador/operador à distância, aos ocupantes do veículo ou aos outros utentes da estrada (se aplicável).

3.5.3.2. Se a opção de conceção escolhida selecionar um segundo meio de reserva ou um meio alternativo para atingir o desempenho afetado pela avaria, devem ser explicados os princípios do mecanismo de comutação, a lógica e o nível de redundância, assim como qualquer dispositivo integrado de verificação, e definidos os limites de eficácia que daí resultam.

3.5.3.3. Se a opção de conceção escolhida selecionar a supressão da(s) função(ões) de condução automatizada(s), tal deve ser feito em conformidade com as disposições aplicáveis do presente regulamento. Todos os sinais de comando de saída relacionados com esta função serão inibidos.

3.5.4. O fabricante deve igualmente fornecer à entidade homologadora uma explicação das medidas de segurança operacional a adotar para o funcionamento seguro do ADS, tais como um operador a bordo ou um operador de intervenção à distância, infraestrutura de apoio exterior, requisitos de infraestrutura física e de transporte, medidas de manutenção, etc.

3.5.5. A documentação será acompanhada de uma análise que demonstre como o ADS se comportará para mitigar ou evitar perigos que tenham incidência na segurança dos ocupantes do veículo e nos outros utentes da estrada.

3.5.5.1. As abordagens analíticas escolhidas devem ser definidas e mantidas pelo fabricante e disponibilizadas para inspeção pela entidade homologadora no momento da homologação e depois.

3.5.5.2. A entidade homologadora deve avaliar a aplicação da(s) abordagem(ns) analítica(s). a) Inspeção da abordagem de segurança a nível do conceito. Esta abordagem deve basear-se numa análise dos perigos ou numa avaliação dos riscos adequadas à segurança do sistema. b) Inspeção do método de segurança a nível do ADS, incluindo uma abordagem do topo para a base (do eventual perigo à conceção) e da base para o topo (da conceção aos eventuais perigos). O método de segurança pode basear-se numa análise de modos de avarias e efeitos, numa análise da árvore de anomalias ou numa análise de processo teórico do sistema ou em qualquer outro processo adaptado à segurança funcional e operacional do sistema. c) Inspeção dos planos de validação/verificação e dos resultados, incluindo critérios de aceitação adequados. Tal deve incluir ensaios de validação adequados, por exemplo, ensaios de equipamento integrado no circuito, ensaios operacionais do veículo em estrada, ensaios com utilizadores finais reais ou quaisquer outros ensaios adequados para validação/verificação. Os resultados da validação e verificação podem ser avaliados por meio da análise da abrangência dos diferentes ensaios e da definição de valores-limite de abrangência mínima para várias métricas.

3.5.5.3. A abordagem analítica definida no ponto 3.5.5.2 deve confirmar a abrangência de, pelo menos, cada um dos seguintes aspetos: i) problemas ligados a interações com outros sistemas do veículo (por exemplo, travagem, direção), ii) avarias do sistema de condução automatizada e respostas de mitigação dos riscos do sistema, iii) situações dentro do ODD em que o ADS pode criar riscos irrazoáveis para a segurança dos ocupantes do veículo e dos outros utentes da estrada, os passageiros e outros utentes da estrada devido a perturbações operacionais (por exemplo, incompreensão ou compreensão incorreta do ambiente do veículo, incompreensão da reação do operador/operador à distância, dos ocupantes do veículo ou de outros utentes da estrada, comando inadequado, cenários complexos), iv) identificação dos cenários pertinentes dentro das condições-limite e método de gestão utilizado para selecionar os cenários e a ferramenta de validação escolhidos, v) processo de tomada de decisão que resulte no desempenho das tarefas de condução dinâmica (por exemplo, manobras de emergência), para a interação com outros utentes da estrada e em conformidade com as regras de trânsito nacionais, vi) utilização indevida razoavelmente previsível por parte dos ocupantes do veículo/outros utentes da estrada, erros ou equívocos do operador/ocupantes/outros utentes da estrada (por exemplo, neutralização involuntária) e manipulação intencional não autorizada do ADS, vii) ameaças à cibersegurança do ADS (a incluir na análise realizada em conformidade com o Regulamento n.o 155 da ONU sobre cibersegurança e sistema de gestão da cibersegurança). viii) Questões de segurança operacional: problemas com as infraestruturas de apoio exteriores, problemas com o operador de intervenção à distância, perda de conectividade, falta de manutenção, etc.

3.5.5.4. A avaliação da entidade homologadora deve consistir em controlos por amostragem, a fim de determinar que os argumentos que fundamentam o conceito de segurança são compreensíveis e lógicos e foram aplicados nas diferentes funções do ADS. A avaliação também deve verificar se os planos de validação são suficientemente robustos para demonstrar segurança (por exemplo, abrangência razoável dos ensaios de cenários escolhidos através da ferramenta de validação escolhida) e se foram adequadamente concluídos.

3.5.5.4.1. Deve demonstrar que o funcionamento do veículo totalmente automatizado não representa riscos irrazoáveis para os ocupantes do veículo e outros utentes da estrada no domínio de conceção operacional, isto é, através de: a) Um alvo de validação global (isto é, critérios de aceitação da validação globais) acompanhado de resultados de validação, que demonstre que a entrada em circulação do ADS não aumentará, de um modo geral, o nível de risco para os ocupantes do veículo e outros utentes da estrada em comparação com veículos manuais; e ainda b) Uma estratégia específica para cada cenário (isto é, critérios de aceitação da validação baseados em cenários) que demonstre que, de um modo geral, o sistema não aumentará o nível de risco para os ocupantes do veículo e outros utentes da estrada em comparação com veículos manuais para cada um dos cenários de segurança pertinentes;

3.5.5.5. A entidade homologadora deve executar ou exigir a realização dos ensaios especificados no ponto 4 do presente anexo a fim de verificar o conceito de segurança.

3.5.5.6. A documentação deve enumerar os parâmetros que são monitorizados e definir, em relação a cada condição de avaria do tipo definido no ponto 3.5.4 do presente anexo, o sinal de aviso a dar ao operador/operador à distância/ocupantes do veículo/outros utentes da estrada e/ou ao pessoal da manutenção/inspeção técnica.

3.5.5.7. Esta documentação também deve descrever as medidas disponíveis para garantir que o ADS não representa riscos irrazoáveis para os ocupantes do veículo e outros utentes da estrada quando o seu desempenho é afetado por condições ambientais, por exemplo, o clima, a temperatura, a penetração de poeiras, a penetração de água, a formação de gelo e as intempéries.

4. Verificações e ensaios

Tendo em conta os resultados da análise do dossiê do fabricante, a entidade homologadora deve solicitar ao serviço técnico que realize ou testemunhe os ensaios para verificar pontos específicos decorrentes da avaliação.

4.1. A utilização funcional do ADS, tal como descrita nos documentos requeridos no n. o 3, deve ser ensaiada como segue:

4.1.1. Verificação da função do ADS A entidade homologadora deve verificar o ADS em condições de ausência de avarias ao realizar o ensaio numa faixa do número de funções selecionadas que a entidade achar necessário, entre as descritas pelo fabricante e ao verificar o comportamento geral do ADS em condições de condução reais, incluindo o cumprimento das regras de trânsito. Estes ensaios devem incluir cenários em que o ADS é neutralizado pelo operador de intervenção à distância (se aplicável). Estes ensaios podem basear-se em cenários de ensaio enumerados na parte 3 do presente anexo e/ou em cenários adicionais não abrangidos pela parte 3.

4.1.1.1. Os resultados dos ensaios devem corresponder à descrição, incluindo as estratégias de comando, fornecida pelo fabricante no ponto 3.2 e cumprir os requisitos de desempenho do presente regulamento.

4.1.2. Verificação do conceito de segurança do ADS A reação do ADS deve ser verificada em condições de falha em qualquer uma das unidades, aplicando os sinais de saída correspondentes às unidades elétricas ou aos elementos mecânicos no intuito de simular os efeitos da avaria interna no interior da unidade. A entidade homologadora deve verificar se estes ensaios incluem aspetos que possam ter impacto na capacidade de comando do veículo e na informação ao utilizador (aspetos relativos à interface homem-máquina, por exemplo, interação com o operador/operador à distância).

4.1.2.1. As entidades homologadoras também devem verificar alguns cenários que são fundamentais para a deteção e resposta a objetos e eventos (OEDR) e para a caracterização das funções da interface homem-máquina e da tomada de decisão do ADS (por exemplo, objeto difícil de detetar quando o ADS atinge os limites ODD, cenários de perturbação da circulação, questões de conectividade, problemas com sistemas exteriores, questões de capacidades de controlo à distância, como a ausência do operador de intervenção à distância) conforme definido no presente regulamento.

4.1.2.2. Os resultados da verificação devem corresponder ao resumo documentado da análise de perigos, a um nível de efeito geral que permita confirmar que o conceito de segurança e a sua execução são os adequados e cumprem os requisitos do presente regulamento.

4.2. É possível utilizar uma ferramenta de simulação e modelos matemáticos para verificar o conceito de segurança em conformidade com o anexo VIII do Regulamento (UE) 2018/858, em particular para cenários difíceis numa pista de ensaio ou em condições de condução reais. Os fabricantes devem demonstrar o âmbito de aplicação da ferramenta de simulação, a sua validade para o cenário em questão, bem como a validação realizada para a cadeia de ferramentas de simulação (correlação do resultado com os ensaios físicos). Para demonstrar a validade da cadeia de ferramentas de simulação, aplicam-se os princípios da parte 4 do presente anexo. A simulação não deve substituir os ensaios físicos na parte 3 do presente anexo.

4.3 O fabricante deve dispor de um certificado de conformidade válido para o sistema de gestão de segurança (SGS) correspondente ao modelo de veículo a homologar.

5. Sistema de gestão de segurança (SGS)

5.1. No que respeita ADS, o fabricante deve demonstrar à entidade homologadora que, em termos do sistema de gestão de segurança (SGS), existem processos, metodologias, formação e ferramentas eficazes implementados, atualizados e acompanhados na organização para gerir a segurança e a conformidade permanente durante o ciclo de vida do ADS.

5.2. A conceção e o processo de desenvolvimento devem ser estabelecidos e documentados, incluindo o sistema de gestão de segurança, a gestão de requisitos, a aplicação dos requisitos, os ensaios, a monitorização de avarias, as medidas corretivas e a entrada em serviço.

5.3. O fabricante deve assegurar a existência de canais de comunicação eficazes entre os departamentos do fabricante responsáveis pela segurança funcional/operacional, pela cibersegurança e por quaisquer outras áreas pertinentes, relacionadas com a realização da segurança do veículo.

5.4. O fabricante deve dispor de processos destinados a recolher dados do veículo e de outras fontes no sentido de monitorizar e analisar incidentes/acidentes relevantes para a segurança provocados pelo sistema de condução automatizada envolvido. O fabricante deve comunicar às entidades homologadoras, às autoridades de fiscalização do mercado e à Comissão as ocorrências pertinentes, em conformidade com a parte 5 do presente anexo.

5.4.1. O fabricante deve permitir ao operador de serviços de transporte fornecer às entidades homologadoras, autoridades de fiscalização de mercado ou outras autoridades nomeadas pelos Estados-Membros os dados do veículo em conformidade com o ponto 5.4 acima, bem como os dados do ADS e os elementos de dados específicos do gravador de dados de eventos recolhidos em conformidade com a secção 9 do anexo II.

5.5. O fabricante deve dispor de processos para gerir eventuais lacunas relevantes para a segurança após a matrícula e para atualizar os veículos, se necessário.

5.6. O fabricante deve demonstrar que são realizadas auditorias internas dos processos de forma periódica e independente (por exemplo, a cada dois anos), a fim de assegurar que os processos estabelecidos em conformidade com os pontos 5.1 a 5.5 foram aplicados de forma coerente.

5.7. Os fabricantes devem aplicar medidas adequadas (por exemplo, acordos contratuais, interfaces claras, sistema de gestão da qualidade) com os fornecedores, a fim de assegurar que o sistema de gestão de segurança do fornecedor cumpre os requisitos referidos nos pontos 5.1 (exceto para aspetos relacionados com o veículo, como o «funcionamento» e o «abate»), 5.2, 5.3 e 5.6.

5.8. Certificado de conformidade do sistema de gestão de segurança

5.8.1. O pedido de certificado de conformidade para o sistema de gestão de segurança deve ser apresentado à entidade homologadora pelo fabricante ou pelo seu representante devidamente acreditado.

5.8.2. O pedido deve ser acompanhado pelos documentos a seguir mencionados, em triplicado, e pelo seguinte: a) Documentos que descrevem o sistema de gestão de segurança; b) Uma declaração de conformidade assinada do SGS com todos os requisitos de gestão de segurança em conformidade com o presente regulamento, utilizando o modelo definido no apêndice 3 do presente anexo.

5.8.3. Quando esta auditoria do SGS tiver sido concluída satisfatoriamente e depois de receber uma declaração assinada do fabricante de acordo com o modelo definido no apêndice 3, será concedido ao fabricante um certificado de conformidade do SGS tal como descrito no apêndice 4 (a seguir designado por «Certificado de conformidade do SGS»).

5.8.4. O certificado de conformidade do SGS terá uma validade máxima de três anos a contar da data de entrega do certificado, exceto se for retirado.

5.8.5. A entidade homologadora pode, a qualquer momento, verificar se os requisitos do certificado de conformidade do SGS continuam a ser cumpridos. A entidade homologadora deve retirar o certificado de conformidade do SGS se forem detetadas e não forem imediatamente resolvidas situações de não conformidade grave em conformidade com os requisitos estabelecidos no presente regulamento.

5.8.6. O fabricante deve informar a entidade homologadora ou o seu serviço técnico sobre qualquer alteração que afete a relevância do certificado de conformidade do SGS. Após ter consultado o fabricante, a entidade homologadora ou o seu serviço técnico devem decidir se são necessárias novas verificações.

5.8.7. O fabricante deve solicitar, em tempo útil, a emissão de um novo certificado de conformidade do SGS ou a prorrogação do certificado de conformidade existente. Na sequência de um resultado de auditoria favorável, a entidade homologadora deve emitir um novo certificado de conformidade do SGS ou prorrogar a validade do existente por um novo período de três anos. A entidade homologadora deve verificar se o SGS continua a cumprir os requisitos do presente regulamento. A entidade homologadora deve emitir um novo certificado nos casos em que tenham sido comunicadas alterações à entidade homologadora ou ao seu serviço técnico e em que as alterações tenham sido reavaliadas favoravelmente.

5.8.8. A caducidade ou a retirada do certificado de conformidade do SGS do fabricante deve ser considerada, no que diz respeito aos modelos de veículos para os quais o SGS em causa era pertinente, como modificação da homologação, o que pode implicar a revogação da homologação, se já não estiverem preenchidas as condições para a concessão da homologação.

6. Disposições em matéria de comunicação de informações

6.1. A comunicação de informações relativas à avaliação de segurança do conceito de segurança do ADS, bem como à auditoria dos sistemas de gestão de segurança, deve ser realizada de modo a permitir a rastreabilidade, por exemplo, as versões dos documentos inspecionados são codificadas e inscritas nos registos do serviço técnico.

6.2. O apêndice 1 da presente parte contém um exemplo do formato da comunicação de informações de avaliação do conceito de segurança do ADS por parte do serviço técnico para a entidade homologadora. Os aspetos enumerados neste apêndice são descritos como o conjunto mínimo de aspetos que devem ser abrangidos.

6.3. A entidade homologadora que concede a homologação deve emitir os resultados da avaliação da segurança a anexar ao certificado de homologação com base na documentação fornecida pelo fabricante, no relatório da avaliação do conceito de segurança do ADS pelo serviço técnico e nos resultados das campanhas de verificação e ensaio realizadas em conformidade com a parte 3 do presente anexo. O apêndice 4 apresenta um exemplo do formato possível dos resultados da avaliação de segurança.

7. Competência dos inspetores/avaliadores

7.1. A avaliação do conceito de segurança do ADS e a auditoria do sistema de gestão de segurança ao abrigo da presente parte só devem ser realizadas por avaliadores/inspetores com os conhecimentos técnicos e administrativos necessários para o efeito. Em particular, devem ter competências de inspetor/avaliador para as normas ISO 26262-2018 (Veículos rodoviários – Segurança funcional) e ISO/PAS 21448 (Segurança da funcionalidade prevista dos veículos rodoviários) e ser capazes de fazer a ligação necessária com os aspetos de cibersegurança em conformidade com o Regulamento n. o 155 da ONU e a norma ISO/SAE 21434). Estas competências devem ser demonstradas por qualificações adequadas ou outros atestados de formação equivalentes. Apêndice 1 Modelo do relatório de avaliação do conceito de segurança do ADS Relatório de avaliação de segurança n.o: 1. Identificação. 1.1. Marca do veículo: 1.2 Modelo de veículo 1.3 Meios de identificação do modelo de veículo, se marcado no veículo: 1.4. Localização dessa marcação: 1.5. Nome e endereço do fabricante: 1.6. Se aplicável, nome e endereço do representante do fabricante: 1.7. Dossiê oficial do fabricante: N.o de referência da documentação: Data da primeira emissão: Data da última atualização: 2. Método de avaliação 2.1. Descrição dos processos e metodologias de avaliação 2.2. Critérios de aceitabilidade 3. Resultados da revisão do dossiê 3.1 Revisão da descrição do ADS. 3.2. Revisão do conceito de segurança do fabricante e da análise de segurança do fabricante. 3.3. Revisão da verificação e da validação efetuadas pelo fabricante, em particular, da abrangência dos diferentes ensaios e da definição de valores-limite de abrangência mínima para várias métricas. 3.4 Revisão dos métodos e ferramentas (software, laboratório, etc.) e avaliação da credibilidade 3.5. Revisão dos requisitos em matéria de dados do ADS e elementos de dados específicos para o aparelho de registo de eventos em veículos totalmente automatizados 3.6. Verificações dos certificados de cibersegurança e atualização de software que abrangem o ADS. 3.7. Revisão das informações fornecidas no manual de utilização 3.8. Revisão das disposições relativas às inspeções técnicas periódicas do ADS: 3.9. Revisão das informações adicionais não incluídas na ficha de informações 4. Verificação das funções do ADS em condições de ausência de avarias (a que se refere o anexo III, ponto 4.1.1, parte 2, do Regulamento de Execução (UE) 2022/1426 da Comissão, de 5 de agosto de 2022, que estabelece regras de aplicação do Regulamento (UE) 2019/2144 do Parlamento Europeu e do Conselho no que se refere a procedimentos e especificações técnicas uniformes para a homologação do sistema de condução automatizada (ADS) de veículos totalmente automatizados (2) 4.1. Lógica subjacente à seleção dos cenários de ensaio 4.2. Cenários de ensaio selecionados 4.3. Relatórios de ensaio 4.3.1. Ensaio n.o (acrescentar tantos quantos os ensaios realizados) 4.3.1.1. Objetivos do ensaio 4.3.1.2. Condições de ensaio 4.3.1.3. Quantidades medidas e instrumentos de medição 4.3.1.4 Critérios de aceitabilidade 4.3.1.5. Resultados dos ensaios 4.3.1.6. Comparação com a documentação fornecida pelo fabricante 5. Verificação do conceito de segurança do ADS em condições de avaria (a que se refere o anexo III, ponto 4.1.2, parte 2, do Regulamento de Execução (UE) 2022/1426. 5.1. Lógica subjacente à seleção dos cenários de ensaio 5.2. Cenários de ensaio selecionados 5.3. Relatórios de ensaio 5.3.1. Ensaio n.o (acrescentar tantos quantos os ensaios realizados) 5.3.1.1. Objetivos do ensaio 5.3.1.2. Condições de ensaio 5.3.1.3. Quantidades medidas e instrumentos de medição 5.3.1.4 Critérios de aceitabilidade 5.3.1.5. Resultados dos ensaios 5.3.1.6. Comparação com a documentação fornecida pelo fabricante 6. Certificado do sistema de gestão de segurança (deve ser anexado ao presente relatório de ensaio) 7. Data da avaliação 8. Decisão final sobre o resultado da avaliação de segurança 9. Esta avaliação foi realizada e os resultados foram comunicados em conformidade com o Regulamento de Execução (UE) 2022/1426. Serviço técnico que realizou a avaliação Assinatura: ... Data: ... 10. Observações: Apêndice 2 Modelo dos resultados da avaliação do ADS a anexar ao certificado de homologação 1. Identificação. 1.1. Marca do veículo 1.2 Tipo de veículo 1.3 Meios de identificação do modelo de veículo, se marcado no veículo: 1.4. Localização dessa marcação: 1.5. Nome e endereço do fabricante: 1.6. Se aplicável, nome e endereço do representante do fabricante: 1.7. Dossiê oficial do fabricante: N.o de referência da documentação: Data da primeira emissão: Data da última atualização: 2. Método de avaliação 2.1. Descrição dos processos e metodologias de avaliação 2.2. Critérios de aceitabilidade 3. Verificação das funções do ADS em condições de ausência de avarias (a que se refere o anexo III, ponto 4.1.1, parte 2, do Regulamento de Execução (UE) 2022/1426. 3.1. Lógica subjacente à seleção dos cenários de ensaio 3.2. Cenários de ensaio selecionados 4. Verificação do conceito de segurança do ADS em condições de avaria única (a que se refere o anexo III, ponto 4.1.2, parte 2, do Regulamento de Execução (UE) 2022/1426. 4.1. Lógica subjacente à seleção dos cenários de ensaio 4.2. Cenários de ensaio selecionados 5. Resultados da avaliação 5.1. Resultados da revisão da ficha de informações 5.2. Resultados da verificação das funções do ADS em condições de ausência de avarias 5.3. Resultados da verificação do conceito de segurança do ADS em condições de avaria única 5.4. Resultados da avaliação do sistema de gestão de segurança 5.5. Resultados da verificação das disposições relativas às inspeções técnicas periódicas 6. Decisão final sobre o resultado da avaliação de segurança Apêndice 3 Modelo de declaração de conformidade do SGS a preencher pelo fabricante Declaração do fabricante de conformidade com os requisitos do sistema de gestão de segurança Nome do fabricante: Endereço do fabricante: … (nome do fabricante) atesta que os processos necessários para cumprir os requisitos do sistema de gestão de segurança estabelecidos no Regulamento de Execução (UE) 2022/1426 estão instalados e serão mantidos. Feito em: … (local) Data: Nome do signatário: Função do signatário: (Carimbo e assinatura do representante do fabricante) Apêndice 4 Modelo de certificado de conformidade do SGS Certificado de conformidade do Sistema de gestão de segurança Com o Regulamento de Execução (UE) 2022/1426 Número do certificado [número de referência] [… Entidade homologadora] Certifica que Fabricante: … Endereço do fabricante: cumpre as disposições do Regulamento de Execução (UE) 2022/1426. Foram realizadas verificações em: pelo/a (nome e endereço da entidade homologadora ou do serviço técnico): Número do relatório: ... O presente certificado é válido até [... Data] Feito em [... Local] Em [... Data] [... Assinatura] Anexos: descrição do sistema de gestão de segurança elaborada pelo fabricante.

PARTE 3

ENSAIOS

1. Disposições gerais

Os critérios de aprovação e reprovação para avaliar a segurança do ADS devem basear-se nos requisitos estabelecidos no anexo II e no cenário descrito na parte 1 do presente regulamento. Os requisitos são definidos de forma a permitirem que os critérios de aprovação/reprovação possam ser determinados não só para um conjunto específico de parâmetros de ensaio, mas para qualquer combinação de parâmetros relevante para a segurança que possam ocorrer nas condições de funcionamento abrangidas pela homologação e pela gama de funcionamento especificada (por exemplo, gama de velocidades, gama de aceleração lateral longitudinal e transversal, raio de curvatura, luminosidade, número de vias de trânsito). Para condições que não sejam objeto de ensaio, mas que possam ocorrer no âmbito do ODD definido do sistema, o fabricante deve demonstrar, no âmbito da avaliação descrita na parte 2, a contento da entidade homologadora, que o veículo é controlado com segurança.

Estes ensaios devem confirmar os requisitos mínimos de desempenho descritos no anexo II e a funcionalidade do ADS e o conceito de segurança do fabricante, tal como descrito na parte 2 do presente anexo. Os resultados do ensaio devem ser documentados e comunicados em conformidade com o ponto 6, parte 2, do presente anexo.

Estes ensaios devem igualmente confirmar que o ADS cumpre as regras de trânsito, adapta o seu funcionamento em função das condições ambientais, evita perturbações do fluxo de tráfego (por exemplo, bloquear a via de trânsito devido a demasiadas MRM), não apresenta um comportamento imprevisível e demonstra um comportamento de cooperação e antecipação razoável em situações pertinentes (ou seja, convergência para uma via de trânsito em situação de tráfego intenso ou na proximidade de utentes da estrada vulneráveis).

2 Local de ensaio

As características presentes no local de ensaio (por exemplo: coeficiente de atrito) devem corresponder ao ODD especificado do ADS. Conforme necessário para aplicar as condições específicas do ODD do ADS, os ensaios físicos serão realizados no ODD real (em estrada) ou em qualquer instalação de ensaio que reproduza as condições do ODD e serão determinados pelo fabricante e pela entidade homologadora. O ADS deve ser ensaiado em estrada em conformidade com a legislação aplicável dos Estados-Membros e sob a condição de que os ensaios possam ser realizados com segurança e sem qualquer risco para os outros utentes da estrada.

3. Condições ambientais

Os ensaios devem ser realizados em diferentes condições ambientais, dentro dos limites do ODD definido para o ADS. Para condições ambientais que não sejam objeto de ensaio, mas que possam ocorrer no âmbito do ODD, o fabricante deve demonstrar, no âmbito da avaliação, a contento da entidade homologadora, que o veículo é controlado com segurança.

Para ensaiar os requisitos de avaria de funções, de autodiagnóstico do ADS e de início e implementação de uma manobra de risco mínimo, podem ser produzidos artificialmente erros e o veículo pode ser artificialmente introduzido em situações em que atinja os limites da gama de funcionamento definida (por exemplo, condições ambientais).

4. Modificações do sistema para efeitos de ensaio

Se forem necessárias modificações ao ADS a fim de permitir o ensaio, por exemplo, critérios de avaliação do tipo de estrada ou informações do tipo de estrada (dados cartográficos), deve-se assegurar que estas modificações não afetam os resultados do ensaio. Em princípio, estas modificações devem ser documentadas e anexadas ao relatório de ensaio. A descrição e a prova de influência (caso existente) destas modificações devem ser documentadas e anexadas ao relatório de ensaio.

5. Condições do veículo

5.1. Massa de ensaio O veículo em causa deve ser ensaiado com qualquer carga admissível. A carga não pode sofrer qualquer alteração após o início do procedimento de ensaio. O fabricante deve demonstrar, através da utilização de documentação, que o ADS funciona em todas as condições de carga.

5.2. O veículo em causa deve ser ensaiado à pressão dos pneus recomendada pelo fabricante.

5.3. Deve verificar-se se o estado do sistema está de acordo com a finalidade de ensaio prevista (por exemplo, num estado de ausência de anomalias ou de presença das anomalias específicas a ensaiar).

6. Ferramentas de ensaio

Para além de veículos reais, podem ser utilizadas as ferramentas de ensaio mais avançadas para realizar os ensaios, substituindo veículos reais e outros utentes da estrada (por exemplo, alvos não rígidos, plataformas móveis, etc.). As ferramentas de ensaio de substituição devem ser compatíveis com as características relevantes da avaliação do desempenho sensorial, dos veículos reais e dos outros utentes da estrada. Os ensaios não devem ser efetuados de forma a pôr em perigo o pessoal envolvido, devendo evitar-se provocar danos significativos ao veículo a ensaiar, sempre que existam outros meios de validação.

7. Variação dos parâmetros de ensaio

O fabricante deve declarar os limites do sistema à entidade homologadora. A entidade homologadora deve definir diferentes combinações de parâmetros de ensaio (por exemplo, velocidade atual do veículo, tipo e desfasamento do alvo, curvatura da via de trânsito), a fim de ensaiar o ADS. Os casos de ensaio selecionados devem proporcionar uma cobertura suficiente para abranger todos os cenários, parâmetros de ensaio e influências ambientais. Deve ser demonstrada uma solidez adequada dos sistemas de perceção do ADS contra anomalias nos dados dos sensores/informações de entrada e contra condições ambientais adversas.

Os parâmetros de ensaio selecionados pela entidade homologadora devem ser registados num relatório de ensaio, por forma a permitir a rastreabilidade e a repetibilidade da configuração do ensaio.

8. Cenários de ensaio para avaliar o desempenho do ADS numa pista de ensaio (pontos 8.1., 8.2., 8.5, 8.6, 8.7, 8.8 e 8.9.) e em estrada (8.3, 8.4 e 8.10).

Os cenários incluídos nos pontos seguintes devem ser considerados um conjunto mínimo de ensaios. A pedido da entidade homologadora, podem ser executados cenários adicionais que façam parte do ODD. Os cenários descritos no ponto 8 do presente anexo que não pertençam ao ODD do veículo não devem ser tidos em conta.

Dependendo do ODD, os cenários de ensaio devem ser selecionados como parte do ensaio de homologação. Os cenários de ensaio devem ser selecionados em conformidade com a parte 1 do presente anexo. Os ensaios de homologação podem ser efetuados com base em simulações, manobras na pista de ensaio e ensaios de condução em tráfego real. No entanto, não podem basear-se apenas em simulações por computador e, no momento da homologação, a entidade homologadora deve realizar ou testemunhar, pelo menos, os seguintes ensaios para avaliar o comportamento do ADS.

8.1. Manutenção na via de trânsito

O ensaio deve demonstrar que o veículo totalmente automatizado não sai da via de trânsito e que mantém uma deslocação estável dentro da via de trânsito do veículo sujeito a ensaio na gama de velocidades e nas diferentes curvaturas abrangidas pelos limites do sistema.

8.1.1 O ensaio deve basear-se no ODD do ADS e deve ser executado com pelo menos: a) uma duração mínima de cinco minutos; b) um automóvel de passageiros alvo, bem como um veículo motorizado de duas rodas alvo, na qualidade de outro veículo; c) um veículo da frente a desviar-se na via de trânsito; e ainda d) outro veículo a circular ao lado na via de trânsito adjacente.

8.2. Manobras de mudança de via de trânsito (LCM)

Os ensaios devem demonstrar que o veículo totalmente automatizado não representa um risco irrazoável para a segurança dos ocupantes do veículo e outros utentes da estrada durante o procedimento de mudança da via de trânsito, e que o ADS é capaz de avaliar o caráter crítico da situação antes de iniciar a manobra de mudança de via de trânsito ao longo de toda a gama de velocidades de funcionamento. Estes ensaios só são exigidos se o veículo totalmente automatizado for capaz de efetuar mudanças de via de trânsito durante uma manobra de risco mínimo ou durante o funcionamento normal.

8.2.1. Devem ser realizados os seguintes ensaios: a) o veículo totalmente automatizado deve efetuar uma mudança de via de trânsito para a via de trânsito (alvo) adjacente; b) convergência no final da via de trânsito; c) convergência para uma via de trânsito ocupada.

8.2.2. Os ensaios devem preencher pelo menos as seguintes condições: a) diferentes veículos, incluindo um veículo motorizado de duas rodas que se aproxima pela retaguarda; b) cenário em que seja possível executar uma manobra de mudança de via de trânsito em funcionamento normal; c) cenário em que uma manobra de mudança de via de trânsito em funcionamento normal não seja possível devido à aproximação de um veículo pela retaguarda; d) veículo a circular atrás, à mesma velocidade, na faixa adjacente, impedindo uma mudança de via de trânsito; e) veículo a circular ao lado, na via de trânsito adjacente, impedindo uma mudança da via de trânsito; f) cenário em que é possível e é executada uma manobra de mudança de via de trânsito durante uma manobra de risco mínimo; g) cenário em que o veículo totalmente automatizado reage a outro veículo que começa a mudar de direção e assumir o mesmo espaço na via de trânsito que se pretende seguir, a fim de evitar um potencial risco de colisão.

8.3. Resposta a diferentes geometrias da estrada

Estes ensaios devem assegurar que o veículo totalmente automatizado deteta e se adapta a uma variação das diferentes geometrias da estrada que podem ocorrer dentro do ODD pretendido, em toda a sua gama de velocidades.

8.3.1. O ensaio deve ser realizado contemplando, pelo menos, a lista de cenários a seguir apresentada, com base no ODD do ADS: a) Entroncamentos em «T» (intersecções de três vias) com e sem sinalização luminosa, com diferentes regras de prioridade; b) cruzamentos (intersecções de quatro ou mais vias) com e sem sinalização luminosa, com diferentes regras de prioridade; c) rotundas.

8.3.2. Cada ensaio deve preencher pelo menos as seguintes condições: a) sem seguir um veículo da frente; b) com um automóvel de passageiros alvo, assim como um veículo motorizado de duas rodas alvo, na qualidade de veículo da frente/outro veículo; c) com e sem aproximação ou ultrapassagem de veículos.

8.4. Resposta às regras de trânsito e infraestruturas rodoviárias nacionais

Estes ensaios devem assegurar que o veículo totalmente automatizado cumpre as regras de trânsito nacionais e se adapta a várias alterações permanentes e temporárias da infraestrutura rodoviária (por exemplo, estaleiros de construção rodoviários) em toda a gama de velocidades.

8.4.1. Os ensaios devem ser realizados contemplando, pelo menos, a lista de cenários pertinentes para o ODD do ADS a seguir apresentada: a) sinais de limite de velocidade diferentes, de modo a que o ADS tenha de mudar a sua velocidade de acordo com os valores indicados; b) luzes de sinalização e/ou paragem indicadas por um agente de segurança rodoviária/agente da autoridade em situações de continuar em frente, virar à esquerda e à direita; c) passagens para peões e ciclistas com e sem peões/ciclistas em aproximação/na estrada; d) alterações temporárias: por exemplo, operações de manutenção rodoviária indicadas por sinais de trânsito, cones e outras sinalizações, restrições de acesso. e) pontos de entrada, de saída e portagens em autoestrada.

8.4.2. Cada ensaio deve preencher pelo menos as seguintes condições: a) sem seguir um veículo da frente; b) com um automóvel de passageiros alvo, assim como um veículo motorizado de duas rodas alvo, na qualidade de veículo da frente/outro veículo;

8.5. Prevenção da colisão: Evitamento de uma colisão com utentes da estrada ou objetos a bloquear a via de trânsito.

O ensaio deve demonstrar que o veículo totalmente automatizado evita uma colisão com um veículo imobilizado, um utente da estrada ou numa via de trânsito totalmente ou parcialmente bloqueada à velocidade máxima especificada do ADS.

8.5.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) um automóvel de passageiros alvo imobilizado; b) um veículo motorizado de duas rodas alvo imobilizado; c) um peão alvo imobilizado; d) um peão alvo a atravessar a faixa de rodagem a uma velocidade de 5 km/h, também na presença de outros objetos pertinentes no ODD (por exemplo, uma bola, um saco de compras, etc.); e) um peão alvo a deslocar-se a uma velocidade de até 5 km/h e entrar e ocupar parcialmente a via de trânsito do ADS e a seguir no mesmo sentido ou no sentido oposto ao do veículo totalmente automatizado; f) um peão alvo a deslocar-se em ziguezague na mesma via de trânsito que o veículo totalmente automatizado; g) um ciclista alvo a atravessar a faixa de rodagem a uma velocidade de 15 km/h; h) um ciclista alvo a deslocar-se no mesmo sentido a uma velocidade de 15 km/h; i) enquanto o veículo totalmente automatizado vira à direita, atravessar a trajetória de um ciclista que se desloca no mesmo sentido a uma velocidade de 15 km/h; j) um alvo a representar uma via de trânsito bloqueada; k) um alvo a obstruir parcialmente a via de trânsito; l) um ou mais tipos de objetos intransponíveis diferentes, pertinentes para o ODD (por exemplo, um caixote de lixo, uma bicicleta ou trotineta caída, um sinal de trânsito caído, uma bola parada ou em movimento, etc.); m) vários obstáculos consecutivos a bloquear a via de trânsito pertinente para o ODD (por exemplo, na seguinte ordem: veículo sujeito a ensaio — motociclo — automóvel); n) numa secção curva da estrada.

8.6. Evitar a travagem de emergência antes de um objeto que pode ser transposto na via de trânsito. Por «objeto que pode ser transposto» entende-se um objeto por cima do qual o veículo pode passar sem causar um risco irrazoável para os ocupantes do veículo ou outros utentes da estrada.

O ensaio deve demonstrar que o veículo totalmente automatizado não está a iniciar uma travagem de emergência com um pedido de desaceleração superior a 5 m/s2 devido a um objeto que pode ser transposto na faixa de rodagem pertinente para o ODD (por exemplo, uma tampa de saneamento ou um ramo de pequenas dimensões) até à velocidade máxima especificada do ADS.

8.6.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) sem seguir um veículo da frente; b) com um automóvel de passageiros alvo, assim como um veículo motorizado de duas rodas alvo, na qualidade de veículo da frente/outro veículo;

8.7. Seguir atrás do veículo da frente

O ensaio deve demonstrar que o veículo totalmente automatizado é capaz de manter e repor uma deslocação estável e uma distância de segurança em relação ao veículo da frente e de prevenir uma colisão com um veículo da frente que desacelere até à desaceleração máxima.

8.7.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) em toda a gama de velocidades do veículo totalmente automatizado; b) um automóvel de passageiros alvo, um veículo motorizado de duas rodas alvo e uma bicicleta alvo, na qualidade de veículo da frente, desde que estejam disponíveis veículos motorizados de duas rodas alvo normalizados adequados para realizar o ensaio em segurança; c) velocidades constantes e variáveis do veículo da frente (perfil de velocidade realista); d) troços de estrada retos e curvos; e) posições laterais diferentes do veículo da frente na via de trânsito; f) uma desaceleração do veículo da frente de, pelo menos, 6 m/s2 de desaceleração média totalmente desenvolvida até à imobilização.

8.8. Mudança de via de trânsito de outro veículo para a via de trânsito (entrada súbita na via)

O ensaio deve demonstrar que o veículo totalmente automatizado é capaz de prevenir uma colisão com um veículo ou outro utente da estrada que entre na via de trânsito do veículo totalmente automatizado até um determinado nível crítico da manobra de entrada na via de trânsito.

8.8.1. O nível crítico da manobra de entrada na via de trânsito deve ser determinado de acordo as disposições introduzidas na parte 1 do presente anexo e dependendo da distância entre o ponto mais à retaguarda do veículo que entra na via e o ponto mais à frente do veículo totalmente automatizado.

8.8.2. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) valores diferentes de TTC, distância e velocidade relativa da manobra de entrada na via de trânsito, que abrange cenários de entrada na via de trânsito em que uma colisão pode ser prevenida e aqueles em que não é possível prevenir uma colisão; b) veículos que entram na via a uma velocidade longitudinal constante, a acelerar e a desacelerar; c) diferentes velocidades laterais, acelerações laterais do veículo que entra na via; d) um automóvel de passageiros alvo, um veículo motorizado de duas rodas alvo e uma bicicleta alvo, como veículo que entra na via, desde que estejam disponíveis veículos motorizados de duas rodas alvo normalizados adequados para realizar o ensaio em segurança.

8.9. Obstáculo imóvel após mudança de via de trânsito do veículo da frente (saída da via)

O ensaio deve demonstrar que o veículo totalmente automatizado é capaz de prevenir uma colisão com um veículo ou utente da estrada imobilizado, ou numa via de trânsito bloqueada que se torne visível após um veículo precedente ter prevenido uma colisão através de uma manobra de evasiva. O ensaio deve basear-se nos requisitos estabelecidos no anexo II e nos parâmetros de cenário descrito na parte 1 do presente anexo. Para condições que não sejam objeto de ensaio que possam ocorrer no âmbito da gama de funcionamento do veículo, o fabricante deve demonstrar, no âmbito da avaliação descrita no anexo III, parte 2, a contento das autoridades competentes, que o veículo é controlado com segurança.

8.9.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) um automóvel de passageiros alvo imobilizado no centro da via de trânsito; b) um veículo motorizado de duas rodas alvo centrado na via de trânsito; c) um peão alvo imobilizado no centro da via de trânsito; d) um alvo que representa uma via de trânsito obstruída no centro; e) vários obstáculos consecutivos a bloquear a via de trânsito (por exemplo, na seguinte ordem: veículo sujeito a ensaio – veículo a mudar de via de trânsito – motociclo – automóvel).

8.10. Estacionamento

O ensaio deve demonstrar que o ADS é capaz de estacionar em diferentes lugares e configurações de estacionamento, em diferentes condições, e que, durante a manobra de estacionamento, não provoca danos aos objetos circundantes, aos utentes da estrada ou ao próprio veículo.

8.10.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) espaços de estacionamento paralelos e perpendiculares à estrada; b) superfícies planas e com inclinação; c) outros veículos nos lugares de estacionamento circundantes, incluindo veículos motorizados de duas rodas e bicicletas; d) lugares de estacionamento com dimensões geométricas diferentes; e) diferentes ângulos de inclinação da estrada; f) outro veículo que entra subitamente no lugar de estacionamento durante a manobra de estacionamento.

8.11. Navegação em instalações de estacionamento

O ensaio deve demonstrar que o ADS é capaz de responder às situações de baixa velocidade de condução e falta geral de visibilidade que podem ocorrer num estacionamento.

8.11.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) um peão alvo do qual a visão esteja inicialmente obstruída, que se atravesse na trajetória percorrida pelo veículo totalmente automatizado a uma velocidade de 5 km/h. b) um veículo a sair de um lugar de estacionamento à frente do veículo totalmente automatizado. c) um obstáculo estacionário na trajetória do veículo totalmente automatizado. d) diferentes trajetórias, nas quais a infraestrutura obstrui o campo de visão. e) um pequeno obstáculo no piso após uma rampa obstruído por outros objetos na trajetória do veículo totalmente automatizado.

8.12. Cenários específicos para autoestrada

8.12.1. Entrada na autoestrada O ensaio deve demonstrar que o ADS é capaz de entrar na autoestrada em segurança.

8.12.1.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) diferentes veículos, incluindo um veículo motorizado de duas rodas que se aproxima pela retaguarda; b) veículos que se aproximam pela retaguarda a uma velocidade diferente; c) um comboio de veículo a circular ao lado na via de trânsito adjacente.

8.12.2. Saída da autoestrada O ensaio deve demonstrar que o ADS é capaz de sair da autoestrada em segurança.

8.12.2.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) sem seguir um veículo da frente; b) com um automóvel de passageiros alvo, assim como um veículo motorizado de duas rodas alvo, na qualidade de veículo da frente/outro veículo; c) outro(s) veículo(s) ou obstáculo(s) a bloquear a saída da autoestrada.

8.12.3. Portagem O ensaio deve demonstrar que o ADS é capaz de selecionar o portão de passagem adequado e adaptar a sua velocidade aos limites permitidos na zona de portagem.

8.12.3.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) a seguir e sem seguir um veículo da frente; b) outros veículos a bloquear o(s) portão(ões) de passagem; c) portões de passagem fechados e abertos. d) diferentes velocidades autorizadas na zona de portagem.

8.13. Para os veículos bimodais, transição entre o modo de condução manual e o modo de condução totalmente automatizada.

O ensaio deve demonstrar que o ADS assume o comando da DDT de forma segura e apenas quando o veículo está imobilizado.

8.13.1. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) com e sem um condutor humano presente no veículo; b) com as portas do veículo abertas e fechadas; c) com e sem obstáculos em torno do veículo; d) dentro e fora da zona de estacionamento específica, se aplicável.

8.13.2. Este ensaio deve ser realizado contemplando, pelo menos, os seguintes cenários, conforme pertinente no ODD: a) numa situação em que é possível e é executada a transição; b) numa situação em que não é possível executar a transição.

PARTE 4

PRINCÍPIOS PARA A AVALIAÇÃO DA CREDIBILIDADE DA UTILIZAÇÃO DE CADEIAS DE FERRAMENTAS VIRTUAIS PARA VALIDAR OS ADS

1. Aspetos gerais

1.1. A credibilidade pode ser apurada através da investigação e avaliação de cinco propriedades da modelização e simulação (M&S): a) capacidade — o que pode a M&S fazer e quais os riscos associados; b) exatidão — quão bem é que a M&S reproduz os dados alvo; c) correção — quão sólidos e robustos são os dados e os algoritmos de M&S; d) usabilidade — que formação e experiência são necessárias; e) aptidão ao uso — quão adequada é a M&S para avaliar o ODD e o ADS.

1.2. Ao mesmo tempo, o quadro de avaliação da credibilidade deve ser suficientemente geral para ser utilizado para diferentes tipos e aplicações de M&S. No entanto, o objetivo torna-se complicado devido às grandes diferenças entre as características dos ADS e à variedade de tipos e aplicações de M&S. Estas considerações exigem um quadro de avaliação da credibilidade (baseado nas informações de risco) pertinente e adequado para todas as aplicações de M&S.

1.3. O quadro de avaliação da credibilidade fornece uma descrição geral dos principais aspetos a tomar em consideração para avaliar a credibilidade de uma solução de M&S, juntamente com princípios relativos ao papel de avaliadores terceiros no processo de validação, no que diz respeito à credibilidade. No que se refere a este último ponto, a entidade homologadora deve investigar a documentação apresentada para comprovar a credibilidade na fase de avaliação, ao passo que os ensaios de validação reais ocorrem quando o fabricante tiver desenvolvido os sistemas de simulação integrados.

1.4. Em última análise, o resultado da avaliação da credibilidade atual deve definir o enquadramento no qual a ferramenta virtual pode ser utilizada para fundamentar a avaliação do ADS.

1.5. Os requisitos desta parte destinam-se, por conseguinte, a demonstrar a credibilidade de qualquer modelo de simulação ou cadeia de ferramentas virtual em termos de validação do ADS.

2. Definições

Para efeitos do presente anexo, entende-se por:

2.1. «abstração», o processo de seleção dos aspetos essenciais de um sistema fonte ou sistema de referência a representar num modelo ou simulação, ignorando aspetos não relevantes. Qualquer abstração de modelização implica o pressuposto de que não deve afetar significativamente as utilizações previstas da ferramenta de simulação.

2.2. «ensaio em circuito fechado», um ambiente virtual que toma em consideração as ações do elemento no circuito. Os objetos simulados respondem às ações do sistema (por exemplo, a interação do sistema com um modelo de trânsito).

2.3. «determinístico», um termo que descreve um sistema cuja evolução ao longo do tempo pode ser prevista com exatidão e no qual um determinado conjunto de estímulos produz sempre o mesmo resultado.

2.4. « driver-in-the-loop (DIL)», ensaio geralmente realizado num simulador de condução utilizado para testar a conceção da interação entre o homem e o sistema automatizado. O DIL inclui componentes que se destinam a ser operados pelo condutor e que lhe permitem comunicar com o ambiente virtual.

2.5. « Hardware-in-the-loop (HIL)», ensaio em que o hardware final de um subsistema específico de um veículo utiliza o software final com valores de entrada e saída ligados a um ambiente de simulação para realizar ensaios virtuais. Os ensaios HIL fornecem uma forma de reproduzir o funcionamento de sensores, acionadores e componentes mecânicos de modo a ligar todos os valores de entrada e saída das unidades de controlo eletrónico (UCE) submetidas a ensaio, muito antes da integração do sistema final.

2.6. «modelo», uma descrição ou representação de um sistema, entidade, fenómeno ou processo.

2.7. «calibração do modelo», o processo de ajustamento dos parâmetros numéricos ou de modelização do modelo para melhorar a sua correspondência com valores de referência.

2.8. «parâmetro do modelo», valores numéricos utilizados para fundamentar a caracterização de uma funcionalidade do sistema. Um parâmetro do modelo tem um valor que não pode ser observado diretamente no mundo real, mas que deve ser inferido a partir dos dados recolhidos no mundo real (na fase de calibração do modelo).

2.9. « model-in-the-loop (MIL)», uma abordagem que permite um desenvolvimento rápido de algoritmos sem o envolvimento de hardware específico. Este nível de desenvolvimento envolve geralmente estruturas de software de abstração de alto nível que funcionam em sistemas informáticos de uso geral.

2.10. «ensaio em circuito aberto», um ambiente virtual que não toma em consideração as ações do elemento no circuito (por exemplo, a interação do sistema com uma situação de trânsito gravada).

2.11. «probabilístico», um termo relativo a eventos não determinísticos, cujos resultados se descrevem utilizando uma medida de probabilidade.

2.12. «terreno de ensaio ou pista de ensaio», uma instalação física de ensaio fechada ao trânsito onde se pode investigar o desempenho de um ADS no veículo real. Podem ser introduzidos agentes de trânsito através da estimulação de sensores ou através de dispositivos fictícios colocados na via.

2.13. «estimulação de sensores», uma técnica através da qual são enviados sinais gerados artificialmente ao elemento submetido a ensaio, com o objetivo de o fazer desencadear os resultados necessários para verificação do mundo real, de formação, de manutenção ou de investigação e desenvolvimento.

2.14. «simulação», a imitação do funcionamento de um processo ou sistema em situações reais ao longo do tempo.

2.15. «modelo de simulação», um modelo cujas variáveis de entrada variam ao longo do tempo.

2.16. «cadeia de ferramentas de simulação», uma combinação de ferramentas de simulação utilizadas para fundamentar a validação de um ADS.

2.17. « software-in-the-loop (SIL)», ensaio em que a implementação do modelo desenvolvido se destina a ser avaliada em sistemas informáticos de uso geral. Esta etapa pode utilizar uma implementação completa de software muito próximo do final. Os ensaios SIL são utilizados para descrever uma metodologia de ensaio na qual o código executável, como por exemplo algoritmos (ou mesmo uma estratégia de controlador completa), é testado num ambiente de modelização que pode ajudar a comprovar ou testar o software .

2.18. «estocástico», um processo que envolve ou contém uma ou várias variáveis aleatórias. Está relacionado com o acaso ou a probabilidade.

2.19. «validação do modelo de simulação», o processo de determinação de até que ponto um modelo de simulação é uma representação exata do mundo real na perspetiva das utilizações previstas da ferramenta.

2.20. « vehicle-in-the-loop (VIL)», um ambiente híbrido que funde a utilização de um veículo de ensaio real no mundo real e um ambiente virtual. Este método pode refletir a dinâmica do veículo tal como o mundo real e pode ser executado recorrendo a um banco de ensaio de veículos ou a uma pista de ensaio.

2.21. «verificação do modelo de simulação», o processo que permite determinar até que ponto um modelo de simulação ou uma ferramenta de ensaio virtual cumpre os requisitos e especificações especificados nos seus modelos conceptuais, matemáticos ou outros.

2.22. «ensaio virtual», o processo de ensaio de um sistema que utiliza um ou mais modelos de simulação.

3. Componentes do quadro de avaliação da credibilidade e requisitos de documentação conexos

3.1. O quadro de avaliação da credibilidade introduz uma forma de avaliar e comunicar a credibilidade da M&S com base em critérios de garantia da qualidade, nos quais podem ser indicados os níveis de confiança nos resultados. Por outras palavras, a credibilidade é demonstrada através da avaliação dos seguintes fatores influenciadores da M&S, e que são considerados os principais contribuintes para as propriedades de M&S e, por conseguinte, para a sua credibilidade global: a) gestão da M&S; b) experiência e conhecimentos especializados da equipa; c) análise e descrição da M&S; d) origem dos dados/informações de entrada e e) verificação, validação e caracterização da incerteza. Cada um destes fatores indica o nível de qualidade alcançado pela M&S, e a comparação entre os níveis obtidos e os níveis exigidos deve determinar se a M&S é credível e adequada para ser utilizada para ensaios virtuais. Abaixo apresenta-se uma representação gráfica da relação entre as componentes do quadro de avaliação da credibilidade.

3.2. Modelos e gestão da simulação

3.2.1. O ciclo de vida da M&S é um processo dinâmico, com lançamento frequente de novas versões e que deve ser monitorizado e documentado. Devem ser definidas atividades de gestão para apoiar a M&S seguindo um estilo de gestão de produtos profissional. Devem ser fornecidas informações pertinentes sobre os seguintes aspetos:

3.2.2. O processo de gestão da M&S deve: a) Descrever as modificações introduzidas nas novas versões; b) Nomear o software (por exemplo, produto e versão de software específico) e a configuração do hardware (por exemplo, configuração XiL) correspondentes; c) Registar os processos de revisão interna que aceitaram as novas versões; d) Receber apoio durante todo o período de utilização do modelo virtual.

3.2.3. Gestão das versões

3.2.3.1. Todas as versões da cadeia de ferramentas de M&S utilizadas para produzir dados para efeitos de certificação devem ser armazenadas. Os modelos virtuais que constituem a cadeia de ferramentas de ensaio devem ser documentados em termos dos respetivos métodos de validação e valores-limite de aceitação, a fim de promover a credibilidade global da cadeia de ferramentas. O autor do programa deve implementar um método para, através dos dados gerados, identificar a versão correspondente de M&S.

3.2.3.2. Controlo da qualidade dos dados virtuais A exaustividade, exatidão e consistência dos dados devem ser asseguradas em todas as versões e durante todo o período de vida de uma cadeia de ferramentas de M&S para prestar apoio aos procedimentos de verificação e validação.

3.2.4. Experiência e conhecimentos especializados da equipa

3.2.4.1. Embora a experiência e os conhecimentos especializados já estejam abrangidos de forma sentido geral no seio da organização, é importante estabelecer a base para a confiança na experiência e nos conhecimentos especializados específicos para atividades de M&S.

3.2.4.2. A credibilidade da M&S depende não só da qualidade dos modelos de simulação, mas também da experiência e dos conhecimentos especializados do pessoal envolvido na validação e na utilização da M&S. Por exemplo, uma compreensão adequada das limitações e do domínio de validação evitará a eventual utilização abusiva da M&S ou a interpretação incorreta dos seus resultados.

3.2.4.3. Por conseguinte, é importante estabelecer a base para a confiança do fabricante na experiência e nos conhecimentos especializados das: a) equipas que irão validar a cadeia de ferramentas de simulação, e b) equipas que irão utilizar a simulação validada para realizar testes virtuais com o objetivo de validar o ADS.

3.2.4.4. Uma gestão adequada da experiência e dos conhecimentos especializados da equipa aumenta o nível de confiança na credibilidade da M&S e nos seus resultados, assegurando que os fatores humanos subjacentes ao M&S são tidos em conta e que qualquer possível risco da componente humana é controlado, como se espera que seja em qualquer sistema de gestão adequado.

3.2.4.5. Se a cadeia de ferramentas do fabricante incorporar ou depender de contributos de organizações ou produtos externos à sua equipa, o fabricante fornecerá uma explicação das medidas que tomou para fundamentar a sua confiança na qualidade e integridade desses produtos ou serviços.

3.2.4.6. A experiência e os conhecimentos especializados da equipa consistem em dois níveis:

3.2.4.6.1. Nível organizacional A credibilidade é demonstrada através da criação de processos e procedimentos para identificar e reter competências, conhecimentos e experiência para a realização de atividades de M&S. Os seguintes processos devem ser estabelecidos, mantidos e documentados: i) Processo de identificação e avaliação das competências e aptidões do indivíduo; ii) Processo de formação de pessoal competente para desempenhar funções relacionadas com a M&S.

3.2.4.6.2. Nível da equipa Uma vez concluída uma M&S, a sua credibilidade é ditada principalmente pelas competências e conhecimentos do indivíduo/equipa que irá validar a cadeia de ferramentas de M&S e utilizar a M&S para a validação do ADS. A credibilidade é demonstrada através da documentação que comprova que estas equipas receberam formação adequada para o desempenho das suas funções. Por conseguinte, o fabricante deve: i) fornecer a base para a confiança do fabricante na experiência e nos conhecimentos especializados do indivíduo/equipa que valida a cadeia de ferramentas de M&S; ii) fornecer a base para a confiança do fabricante na experiência e nos conhecimentos especializados do indivíduo/equipa que utiliza a simulação para realizar ensaios virtuais com o objetivo de validar o ADS. A demonstração, por parte do fabricante, da forma como este aplica os princípios da norma ISO 9001 ou uma boa prática ou norma equivalente para assegurar a competência da sua organização de M&S e dos indivíduos dessa organização constituirá a base para esta determinação. A entidade homologadora não pode substituir a sua apreciação sobre a experiência e os conhecimentos especializados da organização ou dos seus membros pela do fabricante.

3.2.5. Origem dos dados/informações de entrada

3.2.5.1. A origem dos dados/informações de entrada contém um registo de rastreabilidade dos dados do fabricante utilizados para validar o M&S.

3.2.5.2. Descrição dos dados utilizados para a M&S: a) O fabricante deve documentar os dados utilizados para validar o modelo e registar características de qualidade importantes; b) O fabricante deve fornecer documentação que demonstre que os dados utilizados para validar os modelos abrangem as funcionalidades pretendidas que a cadeia de ferramentas visa virtualizar; c) O fabricante deve documentar os procedimentos de calibração utilizados para ajustar os parâmetros dos modelos virtuais aos dados de entrada recolhidos.

3.2.5.3. Efeito da qualidade dos dados (por exemplo, cobertura dos dados, relação sinal/ruído e taxa de incerteza/enviesamento/amostragem dos sensores) sobre a incerteza dos parâmetros do modelo. A qualidade dos dados utilizados para desenvolver o modelo irá afetar a estimativa e a calibração dos parâmetros do modelo. A incerteza nos parâmetros do modelo será outro aspeto importante na análise final da incerteza.

3.2.6. Origem dos dados/informações de saída

3.2.6.1. A origem dos dados/informações de saída contém um registo das informações de saída utilizadas pela M&S para validar o ADS.

3.2.6.2. Descrição dos dados gerados pela M&S: a) O fabricante deve fornecer informações sobre todos os dados e cenários utilizados para a validação da cadeia de ferramentas de ensaio virtual. b) O fabricante deve documentar os dados exportados e registar características de qualidade importantes. c) A partir dos dados de saída de uma M&S, o fabricante deve ser capaz de identificar a configuração de simulação.

3.2.6.3. Efeito da qualidade dos dados na credibilidade da M&S a) Os dados de saída da M&S devem ser suficientemente abrangentes para assegurar uma correta realização do cálculo de validação. Os dados devem refletir suficientemente o ODD pertinente para a avaliação virtual do ADS. b) Os dados de saída devem ser compatíveis com uma verificação da consistência/prova real dos modelos virtuais, possivelmente através do emprego de informações redundantes.

3.2.6.4. Gestão de modelos estocásticos a) Os modelos estocásticos devem ser caracterizados em função da sua variância. b) Deve ser garantida a possibilidade de repetição determinística dos modelos estocásticos.

3.3. Análise e descrição da M&S

3.3.1. A análise e a descrição da M&S visam definir todo o M&S e identificar o espaço de parâmetros que pode ser avaliado através de ensaios virtuais. Define o âmbito e as limitações dos modelos e da cadeia de ferramentas, bem como as fontes de incerteza que podem afetar os seus resultados.

3.3.2. Descrição geral

3.3.2.1. O fabricante deve fornecer uma descrição de toda a cadeia de ferramentas, juntamente com a forma como os dados de simulação serão utilizados para fundamentar a estratégia de validação do ADS.

3.3.2.2. O fabricante deve fornecer uma descrição clara do objetivo do ensaio.

3.3.3. Pressupostos, limitações conhecidas e fontes de incerteza

3.3.3.1. O fabricante deve apresentar os motivos para os pressupostos de modelização que orientaram a conceção da cadeia de ferramentas de M&S.

3.3.3.2. O fabricante deve fornecer prova: i) da forma como os pressupostos definidos pelo fabricante desempenham um papel na definição das limitações da cadeia de ferramentas; ii) do nível de fidelidade exigido para os modelos de simulação.

3.3.3.3. O fabricante deve apresentar uma justificação de que a tolerância para a correlação entre a simulação e a realidade é aceitável para o objetivo de ensaio.

3.3.3.4. Por último, esta secção deve incluir in