9.3.2021

Den Europæiske Unions Tidende

L 82/1

Kun de originale FN/ECE-tekster har retlig virkning i henhold til folkeretten. Dette regulativs nuværende status og ikrafttrædelsesdato bør kontrolleres i den seneste version af FN/ECE's statusdokument TRANS/WP.29/343/, der findes på adressen: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

FN-regulativ nr. 153 — Ensartede forskrifter for godkendelse af motorkøretøjer for så vidt angår brændstofsystemets integritet og elektriske fremdriftssystemers sikkerhed i tilfælde af kollision bagfra [2021/386]

Ikrafttrædelsesdato: 22. januar 2021

Dette dokument er udelukkende et dokumentationsredskab. Den autentiske og juridisk bindende tekst er: ECE/TRANS/WP.29/2020/76/.

INDHOLDSFORTEGNELSE

REGULATIV

Anvendelsesområde

Definitioner

Ansøgning om godkendelse

Godkendelse

Krav

Prøvning

Ændring af en køretøjstype og udvidelse af godkendelsen

Produktionens overensstemmelse

Sanktioner i tilfælde af produktionens manglende overensstemmelse

10.

Endeligt ophør af produktionen

11.

Navne og adresser på de tekniske tjenester, der er ansvarlige for udførelse af godkendelsesprøvningerne, og på de typegodkendende myndigheder

BILAG

Meddelelse

Eksempler på udformning af godkendelsesmærker

Fremgangsmåde ved kollisionsprøvning bagfra

Prøvningsbetingelser og -procedurer for vurdering af brintbrændstofsystemet efter kollision

Prøvningsprocedurer for køretøjer udstyret med elektrisk fremdriftssystem

1. ANVENDELSESOMRÅDE

Dette regulativ finder anvendelse på køretøjer i klasse M1 (1) med en tilladt totalmasse på højst 3 500 kg og på køretøjer i klasse N1 for så vidt angår brændstofsystemets integritet og sikkerheden ved elektriske fremdriftssystemer, der kører på højspænding, i tilfælde af kollision bagfra.

2. DEFINITIONER

I dette regulativ forstås ved:

2.1.

»køretøjstype«: en klasse af motorkøretøjer, der ikke frembyder væsentlige forskelle med hensyn til:

2.1.1.

køretøjets længde og bredde, for så vidt de har negativ indvirkning på resultaterne af den i dette regulativ foreskrevne kollisionsprøvning

2.1.2.

konstruktion, dimensioner, form og materialer for den del af køretøjet, der ligger bag tværplanet og går gennem »R«-punktet for det bageste sæde

2.1.3.

kabinens form og indvendige mål, for så vidt de har negativ indvirkning på resultaterne af den i dette regulativ foreskrevne kollisionsprøvning

2.1.4.

motorens placering (front-, hæk- eller centermotor) og orientering (tværstillet eller langstillet) for så vidt dette har negativ indvirkning på resultaterne af den i dette regulativ foreskrevne kollisionsprøvningsprocedure

2.1.5.

køretøjets masse i ulastet tilstand, for så vidt den har negativ indvirkning på resultaterne af den i dette regulativ foreskrevne kollisionsprøvning

2.1.6.

placeringen af det genopladelige energilagringssystem (REESS), for så vidt det har negativ indvirkning på resultatet af den i dette regulativ foreskrevne kollisionsprøvning

2.1.7.

brændstofbeholderens (-beholdernes) konstruktion, form, dimensioner og materialer (metal/plast)

2.1.8.

brændstofbeholderens (-beholdernes) placering i køretøjet, for så vidt denne har negativ indflydelse på kravene i punkt 5.2.1.

2.1.9.

specifikationer for og placeringen af brændstoftilførselssystemet (pumpe, filtre mv.)

2.2.

»kabine«: det rum, hvor fører og passagerer opholder sig, afgrænset af taget, gulvet, sidevæggene, dørene, udvendige ruder, den forreste og bageste skillevæg eller bagklap samt af de elektriske beskyttelsesbarrierer og indkapslinger til beskyttelse af fører og passagerer mod direkte kontakt med strømførende højspændingsdele

2.3.

»masse i ulastet stand«: masse af køretøjet i køreklar stand, uden personer eller last, men med brændstof, kølevæske, smøremiddel, værktøjssæt og reservehjul (såfremt sådanne leveres som standardudstyr af køretøjsfabrikanten)

2.4.

»brændstofbeholder«: de(n) beholder(e), som er beregnet til at rumme det flydende brændstof, jf. definitionen i punkt 2.6, eller komprimeret brintgas, der først og fremmest tjener til fremdrift af køretøjet; til brændstofbeholderen medregnes ikke tilbehør (f.eks. påfyldningsrør, hvis dette er en særskilt del, påfyldningsåbning, dæksel, måler og ledninger til motoren eller til udligning af overtryk, mv.)

2.5.

»brændstofbeholderens volumen«: beholderens rumindhold som specificeret af fabrikanten

2.6.

»flydende brændstof«: brændstof, der er væskeformigt under normale temperatur- og trykforhold

2.7.

»højspænding«: klassifikation af en elektrisk komponent eller et kredsløb, hvis arbejdsspænding er > 60 V og ≤ 1 500 V jævnstrøm (DC) eller > 30 V og ≤ 1 000 V vekselstrøm (AC), RMS (kvadratisk middelværdi)

2.8.

»genopladeligt energilagringssystem (REESS)«: det genopladelige energilagringssystem, der leverer elektrisk energi til fremdrift

Et batteri, hvis primære anvendelse er at levere strøm til start af motoren og/eller belysning og/eller andre af køretøjets hjælpesystemer, betragtes ikke som et REESS. (Primær anvendelse betyder i denne sammenhæng, at over 50 % af batteriets energi anvendes til start af motoren og/eller belysning og/eller andre af køretøjets hjælpesystemer gennem en passende kørecyklus, f.eks. WLTC for M1 og N1)

2.9.

»elektrisk beskyttelsesbarriere«: den del, der giver beskyttelse mod direkte kontakt med strømførende højspændingsdele

2.10.

»elektrisk fremdriftssystem«: det elektriske kredsløb, som omfatter elektrisk(e) drivmotor(er), og som også kan omfatte REESS-systemet, det elektriske energiomdannelsessystem, elektroniske omdannere, tilhørende ledninger og stik og tilkoblingssystemet til opladning af REESS-systemet

2.11.

»strømførende dele«: ledende del(e), der under normale driftsforhold er beregnet til at føre elektrisk energi

2.12.

»blotlagt ledende del«: den ledende del, som kan berøres, jf. bestemmelserne om beskyttelsesgraden IPXXB, og normalt ikke fører energi, men som i tilfælde af svigtende isolering kan afgive elektrisk spænding. Dette omfatter dele under et dække, der kan fjernes uden brug af værktøj

2.13.

»direkte kontakt«: personers kontakt med strømførende højspændingsdele

2.14.

»indirekte kontakt«: personers kontakt med blotlagte ledende dele

2.15.

»beskyttelsesgraden IPXXB«: beskyttelse mod kontakt med strømførende højspændingsdele i form af enten en elektrisk beskyttelsesbarriere eller en indkapsling, og som er prøvet med en prøvefinger med led (beskyttelsesgraden IPXXB) som beskrevet i punkt 4 i bilag 5

2.16.

»arbejdsspænding«: den højeste kvadratiske middelværdi (RMS) af en spænding i et elektrisk kredsløb angivet af fabrikanten, som kan forekomme mellem alle ledende dele ved åbne kredsløbsforhold eller ved normale driftsforhold. Hvis det elektriske kredsløb er opdelt ved galvanisk isolering, defineres arbejdsspændingen for hvert af de opdelte kredsløb.

2.17.

»tilkoblingssystem til opladning af det genopladelige energilagringssystem (REESS)«: det elektriske kredsløb, der anvendes til opladning af REESS-systemet fra en ekstern elektrisk strømforsyning, herunder tilkoblingen på køretøjet

2.18.

»stel«: et sæt ledende dele, som er elektrisk forbundne, hvis elektriske potentiale anvendes som reference

2.19.

»elektrisk kredsløb«: et aggregat af forbundne strømførende højspændingsdele, som er beregnet til at føre elektrisk energi under normale driftsforhold

2.20.

»elektrisk energiomdannelsessystem«: et system (f.eks. brændselsceller), der producerer og leverer elektrisk energi til elektrisk fremdrift

2.21.

»elektronisk omdanner«: en anordning, der muliggør styring og/eller konvertering af strøm til elektrisk fremdrift

2.22.

»indkapsling«: den del, der omslutter de interne enheder og yder beskyttelse mod enhver direkte kontakt

2.23.

»højspændingsbus«: det elektriske kredsløb, herunder tilkoblingssystemet til opladning af REESS-systemet, som drives af højspænding. Hvis elektriske kredsløb er galvanisk forbundet med hinanden og opfylder den specifikke spændingstilstand, klassificeres kun de komponenter eller dele af det elektriske kredsløb, der drives af højspænding, som en højspændingsbus

2.24.

»massiv isolering«: den isolerende beklædning på ledninger, der skal dække strømførende højspændingsdele og forhindre enhver direkte kontakt

2.25.

»automatisk frakobling«: en anordning, der, når den udløses, elektrisk adskiller den elektriske energi fra resten af højspændingskredsløbet i det elektriske fremdriftssystem

2.26.

»traktionsbatteri af åben type«: en væskekrævende batteritype, der genererer brintgas, som frigives til atmosfæren

2.27.

»vandig elektrolyt«: er en elektrolyt baseret på vandopløsningsmiddel til forbindelserne (f.eks. syrer og baser), som leverer ledende ioner efter dissociation

2.28.

»elektrolytudslip«: udslip af elektrolytter fra REESS i væskeform

2.29.

»ikkevandig elektrolyt«: en elektrolyt, som ikke er baseret på vand som opløsningsmiddel

2.30.

»normale driftsforhold«: omfatter driftstilstande og driftsforhold, som med rimelighed kan forventes under normal drift af køretøjet, herunder kørsel ved forskriftsmæssig hastighed, parkering eller tomgang i trafikken, samt opladning ved hjælp af ladestandere, der er kompatible med de specifikke ladeterminaler, der er monteret på køretøjet. Det omfatter ikke forhold, hvor køretøjet er beskadiget enten som følge af et sammenstød, vejaffald eller hærværk, udsat for brand eller nedsænkning i vand eller er i en stand, hvor service og/eller vedligeholdelse er nødvendig eller igangværende

2.31.

»specifik spændingstilstand«: den betingelse, at den maksimale spænding i et galvanisk forbundet elektrisk kredsløb mellem en strømførende jævnstrømsdel og enhver anden strømførende del (DC eller AC) er ≤ 30 V AC (rms) og ≤ 60 V DC.

Bemærk:

Når en strømførende jævnstrømsdel af et sådant elektrisk kredsløb er forbundet til chassiset, og den specifikke spændingstilstand finder anvendelse, er den maksimale spænding mellem enhver strømførende del og stel ≤ 30 V AC (rms) og ≤ 60 V DC.

3. ANSØGNING OM GODKENDELSE

3.1.

Ansøgning om godkendelse af en køretøjstype for så vidt angår brændstofsystemets integritet og for så vidt angår sikkerheden ved elektriske fremdriftssystemer, der kører på højspænding, i tilfælde af kollision bagfra, indgives af køretøjsfabrikanten eller dennes behørigt bemyndigede repræsentant i overensstemmelse med proceduren i bilag 3 til overenskomsten (E/ECE/TRANS/505/Rev.3).

3.2.

En model af oplysningsskemaet er vist i bilag 1, tillæg 1.

4. GODKENDELSE

4.1.

Hvis det køretøj, der ansøges om godkendelse af i henhold til dette regulativ, opfylder forskrifterne i regulativet, meddeles der godkendelse for den pågældende køretøjstype.

4.1.1.

Den tekniske tjeneste, der er udpeget i overensstemmelse med punkt 11 nedenfor, kontrollerer, at de påkrævede betingelser er opfyldt.

4.1.2.

I tvivlstilfælde skal der ved efterprøvning af køretøjets overensstemmelse med forskrifterne i dette regulativ tages hensyn til alle oplysninger og prøvningsresultater, som forelægges af fabrikanten, og som kan tages i betragtning ved vurdering af den godkendelsesprøvning, som er foretaget af den tekniske tjeneste.

4.2.

Hver type, der er godkendt i henhold til overenskomstens fortegnelse 4 (E/ECE/TRANS/505/Rev.3), tildeles et godkendelsesnummer.

4.3.

Meddelelse om godkendelse, udvidelse, nægtelse eller inddragelse af en godkendelse, eller endeligt ophør af produktionen af en køretøjstype i henhold til dette regulativ, skal gives de kontraherende parter, der anvender dette regulativ, ved hjælp af en formular svarende til modellen i bilag 1 til dette regulativ.

4.4.

Enhver køretøjstype, som er i overensstemmelse med en type, som er godkendt efter dette regulativ, skal på et let synligt og let tilgængeligt sted, der er angivet i godkendelsesattesten, være påført et internationalt godkendelsesmærke svarende til modellen i bilag 2 og bestå af følgende:

4.4.1.

en cirkel, som omslutter bogstavet »E« efterfulgt af kendingsnummeret på den stat, som har meddelt godkendelse (2)

4.4.2.

nummeret på dette regulativ efterfulgt af bogstavet »R«, en bindestreg og godkendelsesnummeret til højre for cirklen, der er beskrevet i punkt 4.4.1.

4.5.

Er køretøjet i overensstemmelse med en køretøjstype, som i henhold til et eller flere andre af de til overenskomsten vedføjede FN-regulativer er godkendt i samme stat, som har meddelt godkendelse efter dette regulativ, behøver det i punkt 4.4.1 ovenfor foreskrevne symbol ikke gentages. I så tilfælde skal yderligere godkendelsesnumre og symboler for alle de FN-regulativer, som godkendelsen er udstedt efter i det land, hvor godkendelsen er meddelt i henhold til dette regulativ, placeres i lodrette kolonner til højre for det symbol, der er beskrevet i punkt 4.4.1.

4.6.

Godkendelsesmærket skal være let læseligt og må ikke kunne slettes.

5. KRAV

5.1.

Når køretøjet har gennemgået den i punkt 6 nedenfor omhandlede prøvning, skal bestemmelserne i punkt 5.2 være opfyldt.

Et køretøj med alle brændstofsystemets dele monteret foran hjulakslernes midtpunkt anses for at opfylde bestemmelserne i punkt 5.2.1.

Et køretøj med alle dele af det elektriske fremdriftssystem, som kører på højspænding, monteret foran hjulakslernes midtpunkt, anses for at opfylde bestemmelserne i punkt 5.2.2.

5.2.

Efter prøvningen, som udføres i overensstemmelse med proceduren i bilag 3, bilag 4 og bilag 5 til dette regulativ skal følgende bestemmelser for så vidt angår brændstofsystemets integritet og det elektriske fremdriftssystems sikkerhed være opfyldt:

5.2.1.

For køretøjer, der drives af flydende brændstof, skal det påvises, at punkt 5.2.1.1 til 5.2.1.2 er overholdt.

Hvis der er tale om komprimeret brintdrevne køretøjer, skal det påvises, at punkt 5.2.1.3 til 5.2.1.5 er overholdt.

5.2.1.1.

Der må ved kollision ikke forekomme mere end en anelse udsivning af væske fra brændstoftilførselsinstallationen.

5.2.1.2.

Såfremt der efter kollisionen er en kontinuerlig udsivning af væske fra brændstoftilførselssystemet, må udsivningen ikke overstige 30 g/min; sker der blanding af væsken fra brændstoftilførselsanordningen med væske fra de øvrige systemer, og er det ikke på en nem måde muligt at skille og identificere de forskellige væsker, skal al opsamlet væske medregnes ved bedømmelsen af den fortsatte udsivning.

5.2.1.3.

Brintlækagen (VH2), bestemt i overensstemmelse med enten punkt 4 i bilag 4 for hydrogen eller punkt 5 i bilag 4 for helium, må ikke overstige et gennemsnit på 118 NL pr. minut for tidsintervallet Δt minutter efter kollisionen.

5.2.1.4.

Rumfangskoncentrationen af gas (hhv. hydrogen eller helium) målt i luft beregnet for passagerkabine og bagagerum i overensstemmelse med punkt 6 i bilag 4, må ikke overstige 4,0 % for brint eller 3,0 % for helium på noget tidspunkt under hele måleperioden på 60 minutter efter kollisionen, Kravet er opfyldt, hvis det bekræftes, at hvert brintlagringssystems stopventil er blevet lukket inden for fem sekunder efter køretøjets første kontakt med slaglegemet, og det ikke lækker fra brintlagringssystemet(-erne).

5.2.1.5.

Lagringsbeholderen(-erne) (for brint) skal fortsat være fastgjort til køretøjet i mindst ét fastgørelsespunkt.

5.2.2.

Hvis der er tale om køretøjer udstyret med et elektrisk fremdriftssystem, der kører på højspænding, skal det elektriske fremdriftssystem og højspændingssystemerne, som er galvanisk forbundet til højspændingsbussen i det elektriske fremdriftssystem, opfylde kravene i punkt 5.2.2.1 til 5.2.2.3:

5.2.2.1.

Beskyttelse mod elektrisk stød

Efter kollision skal højspændingsbusserne mindst opfylde et af de fire kriterier, der er anført i punkt 5.2.2.1.1 til 5.2.2.1.4.2 nedenfor.

Hvis køretøjet har en automatisk frakobling eller anordning(er), som konduktivt opdeler det elektriske fremdriftssystem under kørslen, gælder mindst et af nedenstående kriterier for det afbrudte kredsløb eller hvert enkelt afbrudt kredsløb, efter at afbryderfunktionen er aktiveret.

Dog gælder kriterierne i punkt 5.2.2.1.4 nedenfor ikke, hvis mere end ét potentiale af en del af højspændingsbussen ikke er beskyttet i henhold til betingelserne for beskyttelsesgraden IPXXB.

Hvis kollisionsprøvningen udføres på den betingelse, at en eller flere dele af højspændingssystemet ikke er strømførende og med den undtagelse, at et eventuelt tilkoblingssystem til opladning af REESS ikke er strømførende under kørslen, skal beskyttelsen mod elektrisk stød dokumenteres ved enten punkt 5.2.2.1.3 eller punkt 5.2.2.1.4 for de(n) relevante del(e).

5.2.2.1.1.

Ingen højspænding

Højspændingsbussernes spænding Ub, U1 og U2 skal inden for 60 s efter kollisionen være lig med eller mindre end 30 VAC eller 60 VDC, når den måles som angivet i punkt 2 i bilag 5.

5.2.2.1.2.

Lav elektrisk energi

Den samlede energi (TE) ved højspændingsbusserne skal være mindre end 0,2 joule, når den måles som angivet i prøvningsproceduren i punkt 3 i bilag 5 med formlen (a). Alternativt kan den samlede energi (TE) beregnes ved hjælp af højspændingsbussens målte spænding Ub og kapacitansen af X-kondensatorerne (Cx) som angivet af fabrikanten i henhold til formel (b) i punkt 3 i bilag 5.

Den energi, som lagres i Y-kondensatorerne (TEy1, TEy2), skal også være mindre end 0,2 joule. Dette beregnes ved måling af spændingerne U1 og U2 for højspændingsbusserne og stel og kapacitansen af Y-kondensatorerne som angivet af fabrikanten i henhold til formel (c) i punkt 3, bilag 5.

5.2.2.1.3.

Fysisk beskyttelse

Ved beskyttelse mod direkte kontakt med strømførende højspændingsdele skal der ydes beskyttelsesgrad IPXXB.

Vurderingen skal udføres i overensstemmelse med punkt 4 i bilag 5.

For at beskytte mod elektrisk stød, som kan opstå ved indirekte kontakt, skal modstanden mellem alle blotlagte ledende dele med elektriske beskyttelsesbarrierer/indkapslinger og stel desuden være lavere end 0,1 Ω, og modstanden mellem to blotlagte ledende dele, der kan nås samtidig, og som har elektriske beskyttelsesbarrierer/indkapslinger, placeret med en afstand på under 2,5 m, skal være lavere end 0,2 Ω ved strømstyrker på mindst 0,2 A. Denne modstand kan beregnes ved hjælp af de individuelt målte modstande af de relevante elektrisk ledende dele.

Dette krav er opfyldt, hvis den galvaniske forbindelse er sikret ved svejsning. I tvivlstilfælde, eller hvis forbindelsen etableres på anden måde end ved svejsning, foretages målingen gennem en af de prøvningsprocedurer, der er beskrevet i punkt 4 i bilag 5.

5.2.2.1.4.

Isolationsmodstand

Kriterierne i punkt 5.2.2.1.4.1 og 5.2.2.1.4.2 nedenfor skal være opfyldt.

Målingerne skal udføres i overensstemmelse med punkt 5 i bilag 5.

5.2.2.1.4.1.

Elektrisk fremdriftssystem bestående af separate DC- eller AC-busser

Hvis AC-højspændingsbusserne og DC-højspændingsbusserne er galvanisk isolerede fra hinanden, skal isolationsmodstanden mellem højspændingsbusserne og stel (Ri, som defineret i punkt 5 i bilag 5) have en mindsteværdi på 100 Ω/V af arbejdsspændingen for DC-busser og en mindsteværdi på 500 Ω/V af arbejdsspændingen for AC-busser.

5.2.2.1.4.2.

Elektrisk fremdriftssystem bestående af kombinerede jævnstrøms- og vekselstrømsbusser

Hvis AC-højspændingsbusserne og DC-højspændingsbusserne er elektrisk forbundne, skal de opfylde et af følgende krav:

a)	Isolationsmodstanden mellem højspændingsbussen og stelforbindelsen skal have en mindsteværdi på 500 Ω/V af arbejdsspændingen.

b)	Isolationsmodstanden mellem højspændingsbussen og stelforbindelsen skal have en mindsteværdi på 100 Ω/V af arbejdsspændingen, mens AC-bussen opfylder den fysiske beskyttelse, jf. punkt 5.2.2.1.3.

c)	Isolationsmodstanden mellem højspændingsbussen og stelforbindelsen skal have en mindsteværdi på 100 Ω/V af arbejdsspændingen, mens AC-bussen opfylder betingelsen om fraværet af højspænding, jf. punkt 5.2.2.1.1.

5.2.2.2.

Elektrolytudslip

5.2.2.2.1.

Hvis der er tale om REESS med vandig elektrolyt.

I perioden fra kollisionens indtræden til 60 minutter efter kollisionen må der ikke være elektrolytudslip fra REESS ind i passagerkabinen, og uden for passagerkabinen må udslippet højst udgøre 7 volumenprocent af REESS-elektrolytten og højst 5,0 l. Den udsivede elektrolytmængde kan måles ved hjælp af de sædvanlige teknikker til bestemmelse af væskevolumener efter opsamlingen. For beholdere, der indeholder stoddard, farvet kølemiddel og elektrolyt, skal væskerne kunne adskilles ved densitetsmåling.

5.2.2.2.2.

Hvis der er tale om REESS med ikke-vandig elektrolyt.

I perioden fra kollisionens indtræden til 60 minutter efter kollisionen må der ikke være flydende elektrolytudslip fra REESS ind i passagerkabinen eller bagagerummet og ingen flydende elektrolytudslip til ydersiden af køretøjet. Dette krav kontrolleres ved visuel inspektion uden afmontering af køretøjsdele.

Fabrikanten skal godtgøre, at der er overensstemmelse med punkt 6 i bilag 5.

5.2.2.3.

REESS-fastholdelse

REESS skal forblive fastgjort til køretøjet med mindst én komponentforankring, et beslag eller anden struktur, der overfører belastninger fra REESS til køretøjkonstruktionen, og et REESS, der er placeret uden for passagerkabinen, må ikke komme ind i passagerkabinen.

Fabrikanten skal godtgøre, at der er overensstemmelse med punkt 7 i bilag 5.

6. PRØVNING

6.1.

Køretøjets overensstemmelse med kravene i punkt 5 ovenfor kontrolleres efter metoden i bilag 3, bilag 4 og bilag 5 til dette regulativ.

7. ÆNDRING AF KØRETØJSTYPEN OG UDVIDELSE AF GODKENDELSEN

7.1.

Enhver ændring af køretøjstypen for så vidt angår dette regulativ skal meddeles til den typegodkendende myndighed, som har godkendt køretøjstypen. Den typegodkendende myndighed kan da enten:

a)	efter høring af fabrikanten beslutte, at der skal meddeles en ny typegodkendelse eller

b)	anvende proceduren i punkt 7.1.1 (revision) og, hvis relevant, proceduren i punkt 7.1.2 (udvidelse).

7.1.1.

Revision

Når oplysningerne i oplysningsskemaet i bilag 1, tillæg 1, er ændret, og den typegodkendende myndighed vurderer, at de foretagne ændringer næppe vil have mærkbar negativ virkning, og at køretøjet under alle omstændigheder stadig opfylder kravene, skal ændringen betegnes som en »revision«.

I sådanne tilfælde udsteder den typegodkendende myndighed de nødvendige rettelsesblade til oplysningsskemaerne i bilag 1, tillæg 1, idet hvert enkelt rettelsesblad mærkes tydeligt med ændringens art og datoen for den nye udstedelse. En samlet, ajourført version af oplysningsskemaerne i bilag 1, tillæg 1, ledsaget af en nøjagtig beskrivelse af ændringens art anses for at opfylde dette krav.

7.1.2.

Udvidelse

Ændringen betegnes som en »udvidelse«, hvis der ud over ændringen af de oplysninger, der er registreret i en informationsmappe,

a)	kræves yderligere inspektioner eller prøvninger eller

b)	er foretaget ændringer i meddelelsesformularen (bortset fra bilagene) eller

c)	anmodes om godkendelse af en senere ændringsserie efter dens ikrafttræden.

7.2.

Meddelelse om godkendelse, udvidelse eller nægtelse skal gives de kontraherende parter, der anvender dette regulativ, efter proceduren i punkt 4.3 ovenfor. Desuden skal det til meddelelsesformularen i bilag 1 vedlagte indeks over oplysningsskemaer og prøvningsrapporter ændres i overensstemmelse hermed, således at datoen for den seneste ændring eller udvidelse fremgår.

7.3.

Den typegodkendende myndighed, som udsteder udvidelse af godkendelse, tildeler et serienummer til hver meddelelsesformular, der udfærdiges ved en sådan udvidelse.

8. PRODUKTIONENS OVERENSSTEMMELSE

Procedurerne til sikring af produktionens overensstemmelse skal svare til de i overenskomstens skema 1 (E/ECE/TRANS/505/Rev.3) anviste, og følgende krav skal være opfyldt:

8.1.

Ethvert køretøj, som bærer et godkendelsesmærke som foreskrevet i dette regulativ, skal være i overensstemmelse med den godkendte køretøjstype og opfylde kravene i punkt 5 ovenfor.

9. Sanktioner i tilfælde af produktionens manglende overensstemmelse

9.1.

Godkendelser meddelt for en køretøjstype efter dette regulativ kan inddrages, hvis kravene i punkt 8.1 ovenfor ikke er opfyldt.

9.2.

Hvis en kontraherende part i overenskomsten, der anvender dette regulativ, inddrager en godkendelse, som den tidligere har meddelt, skal den straks underrette de øvrige parter i overenskomsten, der anvender dette regulativ, herom ved hjælp af en kopi af godkendelsesformularen, som i slutningen med store typer er forsynet med den underskrevne og daterede påskrift »GODKENDELSEN INDDRAGET«.

10. ENDELIGT OPHØR AF PRODUKTIONEN

Hvis indehaveren af godkendelsen fuldstændigt ophører med at producere en køretøjstype, som er godkendt i henhold til dette regulativ, underrettes den typegodkendende myndighed, som har meddelt godkendelsen, herom. Ved modtagelse af den relevante meddelelse skal den pågældende typegodkendende myndighed meddele dette til de andre kontraherende parter i overenskomsten, der anvender dette regulativ, ved hjælp af en kopi af godkendelsesformularen, som i slutningen med store typer er forsynet med den underskrevne og daterede påskrift »PRODUKTION OPHØRT«.

11. NAVNE OG ADRESSER PÅ TEKNISKE TJENESTER, SOM ER ANSVARLIGE FOR UDFØRELSE AF GODKENDELSESPRØVNING, OG PÅ DE TYPEGODKENDENDE MYNDIGHEDER

De kontraherende parter i overenskomsten, som anvender dette regulativ, meddeler De Forenede Nationers sekretariat navne og adresser på de tekniske tjenester, som er ansvarlige for udførelse af godkendelsesprøvning, og på de typegodkendende myndigheder, som meddeler godkendelse, og til hvem formularer med attestering af godkendelse, udvidelse, nægtelse eller inddragelse af godkendelser, som er udstedt i andre stater, skal fremsendes.

(1) Som defineret i den konsoliderede resolution om køretøjers konstruktion (R.E.3), dokument ECE/TRANS/WP.29/78/Rev.6, punkt 2. —

www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html.

(2) Kendingsnumrene for de kontraherende parter i overenskomsten af 1958 er angivet i bilag 3 til den konsoliderede resolution om køretøjers konstruktion (R.E.3), dokument ECE/TRANS/WP.29/78/Rev. 6, bilag 3 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html.

BILAG 1

Meddelelse

(Største format: A4 (210 × 297 mm))

(1)

Udstedt af:

Myndighedens navn:

…

Vedrørende (2)

Meddelelse af godkendelse

Udvidelse af godkendelse

Nægtelse af godkendelse

Inddragelse af godkendelse

Endeligt ophør af produktionen

af en køretøjstype for så vidt angår brændstofsystemets integritet og det elektriske fremdriftssystems sikkerhed i tilfælde af kollision bagfra, jf. FN-regulativ nr. 153

Godkendelse nr : …

Udvidelse nr.: …

Motorkøretøjets fabriks- eller handelsbetegnelse …

Køretøjstype …

Fabrikantens navn og adresse …

…

Navn og adresse på fabrikantens eventuelle repræsentant …

…

Kort beskrivelse af køretøjstypen …

…

5.1.

Beskrivelse af det brændstofsystem, der er monteret i køretøjet …

…

5.2.

Beskrivelse af det elektriske fremdriftssystem …

…

Motorens placering: front/hæk/center (2)

Træk: Forhjuls-/baghjulstræk (2)

Masse af det køretøj, som er indleveret til prøvning:

På foraksel: …

På bagaksel: …

Samlet: …

Køretøjet indleveret til godkendelse den …

10.

Teknisk tjeneste, som er ansvarlig for udførelse af godkendelsesprøvning …

11.

Dato på rapport udstedt af den pågældende tekniske tjeneste …

12.

Nummer på rapport udstedt af denne tjeneste …

13.

Godkendelse meddelt/nægtet/udvidet/inddraget (2)

14.

Godkendelsesmærkets placering på køretøjet …

15.

Sted …

16.

Dato …

17.

Underskrift …

18.

Følgende dokumenter, der er forsynet med ovennævnte godkendelsesnummer, er vedlagt som bilag: …

19.

Bemærkninger (f.eks. alternativ prøvningsmetode i henhold til bilag 3, punkt 3) …

(Fotografier og/eller diagrammer og tegninger, der muliggør den basale identifikation af køretøjstypen/køretøjstyperne og eventuelle varianter heraf, som er omfattet af godkendelsen).

(1) Kendingsnummer for det land, hvor godkendelsen er meddelt/udvidet/nægtet/inddraget (se godkendelsesforskrifter i regulativet).

(2) Det ikke gældende overstreges.

Tillæg 1 til Bilag 1

Oplysningsskema

GENERELT

0.1.

Fabrikat (fabrikantens handelsbetegnelse):

0.2.

Type:

0.2.1.

Eventuel(le) handelsbetegnelse(r):

0.3.

Typeidentifikationsmærke, hvis markeret på køretøjet (1):

0.3.1.

Mærkets anbringelsessted:

0.4

Køretøjsklasse (2):

0.5.

Fabrikantens virksomhedsnavn og adresse:

0.8.

Navne og adresser på samlefabrikker:

0.9.

Navn og adresse på fabrikantens eventuelle repræsentant:

KØRETØJETS ALMINDELIGE SPECIFIKATIONER

1.1.

Fotografier og/eller tegninger af et repræsentativt køretøj:

1.3.

Antal aksler og hjul:

1.3.3.

Drivaksler (antal, placering, indbyrdes forbindelse):

1.6.

Motorens placering og arrangement:

MASSER OG DIMENSIONER (kg og mm) (der henvises eventuelt til tegning)

2.1.

Akselafstand(e) (ved fuld last)

2.1.1.

Køretøjer med to aksler:

2.1.2.

Køretøjer med tre eller flere aksler

2.1.2.2.

Samlet akselafstand:

2.4.

Køretøjets hoveddimensioner (udvendige mål):

2.4.1.

For chassis uden karrosseri

2.4.1.1.

Længde (mm):

2.4.1.2.

Bredde (mm):

2.4.2.

For chassis med karrosseri

2.4.2.1.

Længde (mm):

2.4.2.2.

Bredde (mm)

2.6.

Masse i køreklar stand (kg)

FREMDRIFTSENERGIOMDANNER

3.2.2.

Brændstof

3.2.2.1.

Lette køretøjer: Diesel/benzin/LPG/NG eller biomethan/ethanol (E 85)/biodiesel/brint

3.2.3.

Brændstofbeholder(e)

3.2.3.1.

Hovedbrændstofbeholder(e)

3.2.3.1.1.

Antal brændstofbeholdere og hver enkelt beholders kapacitet:

3.2.3.1.1.1.

Materiale

3.2.3.1.2.

Tegning og teknisk beskrivelse af reservebrændstofbeholder(e) med alle tilslutninger og rør til udluftning, låse, ventiler, fastgørelsesanordninger

3.2.3.1.3.

Tegning, der tydeligt viser reservebrændstofbeholderens (-brændstofbeholdernes) placering i køretøjet:

3.2.3.2.

Reservebeholder(e) til brændstof

3.2.3.2.1.

Antal brændstofbeholdere og hver enkelt beholders kapacitet:

3.2.3.2.1.1.

Materiale

3.2.3.2.2.

Tegning og teknisk beskrivelse af reservebrændstofbeholder(e) med alle tilslutninger og rør til udluftning, låse, ventiler, fastgørelsesanordninger

3.2.3.2.3.

Tegning, der tydeligt viser reservebrændstofbeholderens (-brændstofbeholdernes) placering i køretøjet:

3.3.2.

REESS

3.3.2.4.

Placering

3.4.

Kombinationer af fremdriftsenergiomdannere

3.4.1.

Hybridt elkøretøj: ja/nej

3.4.2.

Kategori af hybridt elkøretøj: ekstern opladning/ikke ekstern opladning:

(1) Hvis typeidentifikationsmærkningen indeholder tegn, der ikke er relevante for beskrivelsen af den køretøjstype, der er omfattet af denne typegodkendelsesattest, repræsenteres sådanne tegn i dokumentationen ved symbolet »?« (f.eks. ABC??123??).

(2) Som defineret i den konsoliderede resolution om køretøjers konstruktion (R.E.3), dokument ECE/TRANS/WP.29/78/Rev.6, punkt 2. –www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

BILAG 2

Udformning af godkendelsesmærker

MODEL A

(Se punkt 4.4 i dette regulativ)

a = 8 mm min.

Ovenstående godkendelsesmærke påført et køretøj viser, at køretøjstypen, hvad angår beskyttelsen af fører og passagerer i tilfælde af kollision bagfra, er godkendt i Nederlandene (E 4) i henhold til regulativ nr. 153 med godkendelsesnummeret 001424. Godkendelsesnummeret angiver, at godkendelsen er udstedt i henhold til kravene i FN-regulativ nr. 153 i den oprindelige udgave.

MODEL B

(Se punkt 4.5 i dette regulativ)

a = 8 mm min.

De to første cifre i godkendelsesnummeret angiver, at FN-regulativ nr. 153 på godkendelsesdatoen forelå i den oprindelige udgave, og at FN-regulativ nr. 11 indeholdt ændringsserie 03.

BILAG 3

Fremgangsmåde ved kollisionsprøvning bagfra

Formål

1.1.

Formålet med denne prøvning er at simulere forholdene ved kollision bagfra forårsaget af et andet køretøj i bevægelse.

Opstilling, fremgangsmåde og måleapparatur

2.1.

Prøvningsareal

Prøvningsområdet skal være tilstrækkelig stort til at rumme anslagslegemets fremdriftssystem og tillade forskydning af køretøjet efter anslaget samt montering af prøvningsudstyret. Det område, hvor køretøjets kollision og forskydning foregår, skal være vandret, fladt og jævn og skal være repræsentativt for en normal, tør, ikke-kontamineret vejbelægning.

2.2.

Slaglegeme

2.2.1.

Slaglegemet skal være udført i stål og af stiv konstruktion.

2.2.2.

Anslagsfladens overflade skal være flad, mindst 2 500 mm i bredden og 800 mm i højden, og kanterne skal være afrundede med en krumningsradius på mellem 40 og 50 mm. Den skal være beklædt med et lag krydsfiner med en tykkelse på 20 mm ± 2 mm.

2.2.3.

I anslagsøjeblikket skal følgende krav være opfyldt:

2.2.3.1.

Anslagsfladen skal være lodret og vinkelret på det ramte køretøjs midterplan i længderetningen.

2.2.3.2.

Slaglegemets bevægelsesretning skal være tilnærmelsesvis vandret og parallel med det ramte køretøjets midterplan i længderetningen.

2.2.3.3.

Den lodrette midterlinje af anslagsfladen og det ramte køretøjs midterplan i længderetningen må højst afvige 300 mm i sideretningen fra hinanden. Endvidere skal anslagsfladen strække sig over hele det ramte køretøjs bredde.

2.2.3.4.

Frihøjden af underkanten af den slagfladen skal være 175 ± 25 mm.

2.3.

Fremdrivning af slaglegemet

Slaglegemet skal være fastgjort til en vogn (bevægelig barriere).

2.4.

Bestemmelser for prøvning af bevægelig barriere

2.4.1.

Er slaglegemet fastgjort til vognen (bevægelig barriere) med en fastgøringsdel, skal denne være stiv og ude af stand til at blive deformeret ved anslaget; i anslagsøjeblikket skal vognen kunne bevæge sig frit og skal ikke længere være påvirket af fremdriftsanordningen.

2.4.2.

Slagets/kollisionens hastighed skal være 50,0 km/h ± 2,0 km/h.

2.4.3.

Den samlede masse af vogn og slaglegeme skal være 1 100 ± 20 kg.

2.5.

Generelle bestemmelser om slaglegemets masse og hastighed

Hvis prøvningen er udført med en anslagshastighed, der er højere end foreskrevet i punkt 2.4.2, og køretøjet har opfyldt de foreskrevne krav, anses prøvningen for tilfredsstillende.

2.6.

Køretøjets tilstand under prøvningen

2.6.1.

Under prøvningen skal køretøjet enten være monteret med alle sine sædvanlige komponenter og udstyrsdele, som medregnes i dets masse i ulastet stand, eller være i en sådan tilstand, at dette krav er opfyldt for komponenter og udstyr, som har betydning for passagerkabinen og køretøjets vægt som helhed i køreklar stand.

2.6.2.

Beholderen til flydende brændstof skal være fyldt op til mindst 90 procent af sin kapacitet, enten med brændstof eller med en ikke brændbar væske med omtrent samme densitet og viskositet som det normalt benyttede brændstof. Alle andre systemer (bremsevæskebeholdere, køler, selektive katalytiske reduktionsreagenser osv.) kan være tomme.

Det (de) komprimerede brintlagringssystem(er) og lukkede rum i køretøjer, der drives af komprimeret brintbrændstof, skal klargøres i overensstemmelse med punkt 3 i bilag 4.

2.6.3

Parkeringsbremsen udløses, og transmission/gearvælger sættes i frigear.

2.6.4.

På fabrikantens begæring gives der tilladelse til følgende afvigelser:

2.6.4.1.

Den tekniske tjeneste, som ansvarlig for udførelse af prøvningen, kan tillade, at samme køretøj, som benyttes til prøvning som foreskrevet i andre FN-regulativer (herunder prøvninger, som kan påvirke køretøjets opbygning), tillige benyttes til de efter dette regulativ foreskrevne prøvninger

2.6.4.2.

Køretøjet må gøres tungere i et omfang, som ikke overstiger 10 % af dets masse i ulastet stand, med yderligere masse stift fastgjort til konstruktionen på en sådan måde, at det ikke påvirker brændstofsystemets integritet og det elektrisk fremdriftssystems sikkerhed under prøvningen.

2.6.5.

Justering af det elektriske fremdriftssystem

2.6.5.1.

REESS skal være i en opladningstilstand, som muliggør normal drift af fremdriftssystemet i overensstemmelse med fabrikantens anbefalinger.

2.6.5.2.

Det elektriske fremdriftssystem skal strømfødes med eller uden anvendelse af de oprindelige elektriske energikilder (f.eks. motor/generator, REESS eller elektrisk energiomdannelsessystem), idet følgende dog overholdes:

2.6.5.2.1.

Ved aftale mellem den tekniske tjeneste og fabrikanten skal det være tilladt at udføre prøvningen uden strømfødning af hele det elektriske fremdriftssystem eller dele af dette, for så vidt dette ikke indvirker negativt på prøvningsresultatet. For dele af det elektriske fremdriftssystem, som ikke strømfødes, skal beskyttelsen mod elektrisk stød bevises enten ved fysisk beskyttelse eller isolationsmodstand og yderligere relevant dokumentation.

2.6.5.2.2.

Hvis der findes en automatisk frakobling, skal der på fabrikantens anmodning gives tilladelse til at udføre prøvningen, hvor den automatiske afbryder udløses. I dette tilfælde skal det påvises, at den automatiske frakobling ville have fungeret under kollisionsprøvningen. Dette omfatter det automatiske aktiveringssignal samt den galvaniske separation, afhængigt af forholdene under kollisionen.

2.7.

Måleapparatur

Det i punkt 2.4.2 ovenfor omhandlede apparatur til hastighedsregistrering skal have en nøjagtighed på 1 %.

Alternative prøvningsmetoder

På fabrikantens anmodning kan følgende prøvningsmetode anvendes som alternativ til den prøvningsmetode, der er beskrevet i punkt 2 ovenfor.

3.1.

En forskudt kollisionsprøvning bagfra med en bevægelig deformerbar barriere accepteres som alternativ til den procedure, der er beskrevet i punkt 2 i dette bilag, hvis betingelserne i punkt 3.1.1 til 3.1.3 er opfyldt.

3.1.1.

Kollisionshastighed

Kollisionshastigheden skal være mellem 78,5 km/h og 80,1 km/h.

3.1.2.

Forskydning køretøj-barriere

Overlapningen mellem køretøjet og barrieren skal være 70 %.

3.1.3.

Bevægelig deformerbar barriere (MDB)

Den bevægelige, deformerbare barriere skal opfylde følgende specifikationer:

a)	den samlede vægt af MDB med anslagsflade skal være 1 361 ± 4,5 kg

b)	den samlede længde af MDB med anslagsflade skal være 4 115 mm ± 25 mm

c)	den samlede længde af MDB ekskl. anslagsflade skal være 3 632 mm (inklusive 50,8 mm tyk monteringsblok)

d)	rammevognens samlede bredde skal være 1 251 mm

e)	sporvidden (midterakse til midterlinje for forhjul eller baghjul) skal være 1 880 mm

f)	Akselafstanden for rammekøretøjer skal være 2 591 mm ± 25 mm

MDB'ens inertiegenskaber (med to kameraer og kameraophæng, lysudelukker og reduceret ballast) tyngdepunktet (CG) er som følger:

X = (1 123 ± 25) mm bag forakslen

Y = (7,6 ± 25) mm til venstre for midterlinjen i længderetningen

Z = (450 ± 25) mm fra jorden

Inertimomenter (med tolerance på 5 % til prøvningsformål) er som følger:

Duvning = 2 263 kg-m2

Rulning = 508 kg-m2

Giring = 2 572 kg-m2

h)	Facon på honeycombblokkens anslagsflade Bredde = 1 676 mm ± 6 mm Højde = 559 mm ± 6 mm Frihøjde = 229 mm ± 3 mm Dybde ved kofangerhøjde = 483 mm ± 6 mm Dybde ved øverste anslagsflade = 381 mm ± 6 mm

i)	Kraft-indbøjningsegenskaber (sammentrykningsstyrke) for honeycomb-anslagsfladen skal være 310 kPa ± 17 kPa og 1 690 kPa ± 103 kPa for kofangeren.

Andre parametre og indstillinger kan svare til definitionerne i punkt 2 i dette regulativ.

3.2.

Hvis der anvendes andre metoder end den i punkt 2 eller 3.1 ovenfor omhandlede, skal det godtgøres, at de pågældende metoder er ækvivalente hermed.

BILAG 4

Prøvningsbetingelser og -procedurer for vurdering af brintbrændstofsystemets integritet efter kollision

Formål

Påvisning af overensstemmelse med forskrifterne i punkt 5.2.1 i dette regulativ.

Definitioner

I dette bilag forstås ved:

2.1.

»lukkede områder«: de særlige voluminer i køretøjet (eller køretøjets omrids på tværs af åbninger), der befinder sig uden for brintsystemet (lagringssystem, brændselscellesystem og brændstoftilførselsstyringssystem) og huse hertil (i givet fald), hvor der kan akkumuleres brint (og derved opstå en fare), f.eks. i passagerkabinen, bagagerummet og området under motorhjelmen

2.2.

»bagagerum«: området i køretøjet beregnet til opbevaring af bagage og/eller varer, der er afgrænset af taget, motorhjelmen, bunden, sidevæggene og adskilt fra passagerkabinen af skilleplader for eller bag

2.3.

»nominelt arbejdstryk (NWP)«: det tryk, der er typisk under et systems drift. For beholdere til komprimeret brintgas er det nominelle arbejdstryk driftstrykket for komprimeret gas ved en ensartet temperatur på 15 °C for en fuld beholder eller et fuldt lagringssystem.

Forberedelse, instrumentering og prøvebetingelser

3.1.

Lagringssystemer til komprimeret brint og frastrømningsrør

3.1.1.

Inden udførelse af kollisionsprøvningen monteres instrumenterne i brintlagringssystemet til gennemførelse af de krævede tryk- og temperaturmålinger, medmindre standardkøretøjet allerede er forsynet med instrumenter med den krævede nøjagtighed.

3.1.2.

Brintlagringssystemet renses derefter om nødvendigt i henhold til fabrikantens anvisninger for at fjerne urenheder i beholderen, inden lagringssystemet fyldes med komprimeret brint- eller heliumgas. Da trykket i lagringssystemet varierer alt efter temperaturen, afhænger måltrykket ved påfyldning af temperaturen. Måltrykket bestemmes ved hjælp af følgende ligning:

Ptarget = NWP × (273 + To) / 288

hvor NWP er det nominelle arbejdstryk (MPa), To er den omgivende temperatur, hvor lagringssystemet forventes at opnå ligevægt, og Ptarget er måltrykket ved påfyldning efter temperaturligevægt.

3.1.3.

Beholderen fyldes til mindst 95 procent af måltrykket ved påfyldning og kan opnå ligevægt (stabilisere), inden kollisionsprøvningen udføres.

3.1.4.

Hovedstopventilen og stopventilerne for brintgas, som er placeret i de nedstrøms brintgasrør, befinder sig i normal køretilstand — umiddelbart før kollisionen.

3.2.

Lukkede områder

3.2.1.

Følerne udvælges til at måle enten opbygning af brint- eller heliumgas eller reduktion af ilt (som følge af luftflytning ved lækkende brint/helium).

3.2.2.

Følerne kalibreres til sporbare referenceniveauer med henblik på at sikre en nøjagtighed på ± 5 procent ved målkriterierne på 4 procent for brint eller 3 procent for helium (volumen) i luften og en fuld målekapacitet på mindst 25 procent over målkriterierne. Føleren skal kunne reagere med 90 procent på en koncentrationsrelateret fuldskalaændring inden for 10 sekunder.

3.2.3.

Inden sammenstødet placeres følerne i køretøjets passagerkabine og bagagerum som følger:

a)	i en afstand inden for 250 mm fra hovedforingen over førersædet eller i nærheden af passagerkabinens øverste midtpunkt

b)	i en afstand inden for 250 mm fra gulvet foran bag- (eller det bageste) sædet i passagerkabinen samt

c)	i en afstand inden for 100 mm fra bagagerummets overside inden i køretøjet, som ikke direkte er berørt af det specifikke sammenstød.

3.2.4.

Følerne er forsvarligt fastgjort til køretøjskonstruktionen eller -sæderne og er beskyttet i forbindelse med den planlagte kollisionsprøvning mod affald, airbagudstødningsgas og projektiler. Målingerne efter sammenstødet registreres af apparaturer placeret i køretøjet eller ved fjerntransmission.

3.2.5.

Prøvningen kan foretages enten udendørs i et område, der er beskyttet mod vind og mulige solpåvirkninger, eller indendørs i et rum, der er stort nok eller ventileret til at forhindre opbygning af brint til mere end 10 % af målkriterierne i passagerkabinen og bagagerummet.

Tæthedsprøvning efter sammenstød for et lagringssystem til komprimeret brint fyldt med komprimeret brint

4.1.

Brintgastrykket, P0 (MPa), og temperaturen, T0 (°C), måles umiddelbart før kollisionen og derefter i intervaller, Δt (min), efter kollisionen.

4.1.1.

Intervallet, Δt, starter, når køretøjet holder stille efter kollisionen og løber i mindst 60 minutter.

4.1.2.

Intervallet, Δt, øges om nødvendigt for at sikre en målenøjagtighed for et lagringssystem med en stor volumen ved op til 70 MPa. I dette tilfælde kan Δt beregnes ved hjælp af følgende formel:

Δt = VCHSS × NWP/1 000 × ((– 0,027 × NWP + 4) × Rs – 0,21) – 1,7 × Rs

hvor Rs = Ps/NWP, Ps er trykintervallet for trykføleren (MPa), NWP er det nominelle arbejdstryk (MPa), VCHSS er volumen i lagringssystemet til komprimeret brint (L), og Δt er intervallet (min.).

4.1.3.

Hvis den beregnede værdi af Δt er mindre end 60 minutter, sættes Δt til 60 minutter.

4.2.

Den oprindelige brintmasse i lagringssystemet kan beregnes som følger:

Po' = Po × 288/(273 + T0)

ρo' = – 0,0027 × (P0')2 + 0,75 × P0' + 0,5789

Mo = ρo' × VCHSS

4.3.

På samme måde kan den endelige brintmasse i lagringssystemet, Mf, ved udløb af intervallet, Δt, beregnes som følger:

Pf' = Pf × 288/(273 + Tf)

ρf' = – 0,0027 × (Pf')2 + 0,75 × Pf' + 0,5789

Mf = ρf' × VCHSS

hvor Pf er det målte sluttryk (MPa) ved intervallets udløb, og Tf er den målte sluttemperatur (°C).

4.4.

Den gennemsnitlige brintstrømningshastighed i intervallet er derfor:

VH2 = (Mf-Mo)/Δt × 22,41/2,016 × (Ptarget/Po)

hvor VH2 er den gennemsnitlige volumetriske strømningshastighed (NL/min.) i intervallet, og (Ptarget/Po) bruges til at kompensere for forskellene mellem det målte starttryk (Po) og måltrykket ved påfyldning (Ptarget).

Tæthedsprøvning efter sammenstød for et lagringssystem til komprimeret brint fyldt med komprimeret helium

5.1.

Heliumgastrykket, P0 (MPa), og temperaturen, T0 (°C), måles umiddelbart før kollisionen og derefter i fastlagte intervaller efter kollisionen.

5.1.1.

Intervallet, Δt, starter, når køretøjet holder stille efter kollisionen og løber i mindst 60 minutter.

5.1.2.

Δt = VCHSS × NWP/1 000 × ((– 0,028 × NWP +5,5) × Rs – 0,3) – 2,6 × Rs

hvor Rs = Ps/NWP, Ps er trykintervallet for trykføleren (MPa), NWP er det nominelle arbejdstryk (MPa), VCHSS er volumen i lagringssystemet til komprimeret brint (L), og Δt er intervallet (min.).

5.1.3.

Hvis værdien af Δt er mindre end 60 minutter, sættes Δt til 60 minutter.

5.2.

Den oprindelige heliummasse i lagringssystemet beregnes som følger:

Po' = Po × 288/(273 + T0)

ρo' = – 0,0043 x (P0')2 + 1,53 x P0' + 1,49

Mo = ρo' × VCHSS

5.3.

Den endelige heliummasse i lagringssystemet ved udløb af intervallet, Δt, beregnes som følger:

Pf' = Pf × 288/(273 + Tf)

ρf' = – 0,0043 × (Pf')2 + 1,53 × Pf' + 1,49

Mf = ρf' × VCHSS

hvor Pf er det målte sluttryk (MPa) ved intervallets udløb, og Tf er den målte sluttemperatur (°C).

5.4.

Den gennemsnitlige heliumstrømningshastighed i intervallet er derfor:

VHe = (Mf-Mo)/Δt × 22,41/4,003 × (Ptarget/Po)

hvor VHe er den gennemsnitlige volumetriske strømningshastighed (NL/min.) i intervallet, og (Ptarget/Po) bruges til at kompensere for forskellene mellem det målte starttryk (Po) og måltrykket ved påfyldning (Ptarget).

5.5.

Omregningen af den gennemsnitlige volumetriske heliumstrømning til den gennemsnitlige brintstrømning foretages ved hjælp af følgende formel:

VH2 = VHe /0,75

hvor H2 er den gennemsnitlige volumetriske brintstrømning.

Koncentrationsmåling for lukkede områder efter sammenstød

6.1.

Indsamlingen af data efter sammenstødet i lukkede områder påbegyndes, når køretøjet holder stille. Data fra følerne installeret i overensstemmelse med punkt 3.2 i dette bilag indsamles mindst hvert femte sekund og fortsættes i 60 minutter efter prøvningen. En førsteordensforsinkelse (tidskonstant) op til højst fem sekunder kan anvendes på målingerne for at sikre en »udjævning« og filtrering af virkningerne af falske datapunkter.

BILAG 5

Prøvningsprocedurer for køretøjer udstyret med elektrisk fremdriftssystem

I dette bilag beskrives prøvningsprocedurerne til påvisning af overensstemmelse med kravene til elektrisk sikkerhed i punkt 5.2.2 i dette regulativ.

Prøvningsopsætning og -udstyr

Hvis der anvendes en højspændingsafbryder, skal der foretages målinger fra begge sider af anordningen, der udfører afbryderfunktionen.Hvis højspændingsafbryderen er integreret i REESS-systemet eller energiomdannelsessystemet, og højspændingsbussen heri er beskyttet i henhold til beskyttelsesgrad IPXXB efter kollisionsprøvningen, må der kun foretages målinger mellem den anordning, der udfører afbryderfunktionen, og de elektriske belastninger.

Det til denne prøvning anvendte voltmeter skal måle jævnstrømsværdier og have en intern modstand på mindst 10 ΜΩ.

Følgende instrukser kan følges ved spændingsmåling.

Efter kollisionsprøvningen bestemmes højspændingsbussens spænding (Ub, U1, U2) (se figur 1 nedenfor).

Spændingsmålingen foretages tidligst 10 sekunder og højst 60 sekunder efter kollisionen.

Denne procedure finder ikke anvendelse, hvis prøvningen foretages under forhold, hvor det elektriske fremdriftssystem ikke strømfødes.

Vurderingsprocedure for lav elektrisk energi

Forud for kollisionen forbindes en kontakt S1 og en kendt udladningsmodstand Re parallelt til den relevante kondensator (jf. figur 2).

Tidligst 10 sekunder og senest 60 sekunder efter kollisionen slukkes kontakten S1, mens spændingen Ub og strømmen Ie måles og registreres. Produktet af spændingen Ub og strømmen Ie integreres for den periode, der starter det øjeblik, hvor kontakten S1 slukkes (tc), og ophører, når spændingen Ub falder til under højspændingstærsklen på 60 V DC (th). Den deraf følgende integration er lig med den samlede energi (TE) i joule.

b)	Når Ub måles et sted mellem 10 sekunder og 60 sekunder efter kollisionen, og X-kondensatorernes kapacitans (Cx) er angivet af fabrikanten, beregnes den samlede energi (TE) efter følgende formel: TE = 0,5 × Cx × Ub2

c)	Når U1 og U2 (se figur 1 ovenfor) måles et sted mellem 10 sekunder og 60 sekunder efter kollisionen, og Y-kondensatorernes kapacitans (Cy1, Cy2) er angivet af fabrikanten, beregnes den samlede energi (TEy1, TEy2) efter følgende formler: TEy1 = 0,5 × Cy1 × U12 TEy2 = 0,5 × Cy2 × U22

Denne procedure finder ikke anvendelse, hvis prøvningen foretages under forhold, hvor det elektriske fremdriftssystem ikke strømfødes.

Figur 2 Eksempel på måling af højspændingbusenergi oplagret i X-kondensatorer

Fysisk beskyttelse

Efter kollisionsprøvning af køretøjet skal alle dele, der omgiver højspændingskomponenter, åbnes, adskilles eller fjernes uden brug af værktøj. Alle resterende omgivende dele betragtes som en del af den fysiske beskyttelse.

Prøvefingeren med led, der er beskrevet i figur 3, indsættes i enhver form for huller eller åbninger i den fysiske beskyttelse med en prøvekraft på 10 N ± 10 % med henblik på vurdering af den elektriske sikkerhed. Hvis fingeren med led helt eller delvist kan trænge ind i den fysiske beskyttelse, placeres den i samtlige nedenfor angivne positioner.

Med udgangspunkt i en lige position roteres begge prøvefingerens led lidt efter lidt i en vinkel på op til 90° i forhold til aksen for fingerens tilstødende del og placeres i enhver mulig position.

Indre elektriske beskyttelsesbarrierer betragtes som en del af indkapslingen.

Eventuelt forbindes en strømforsyning med lavspænding (ikke under 40 V og ikke over 50 V) serielt med en passende lampe mellem prøvefingeren med led og strømførende højspændingsdele inden i den elektriske beskyttelsesbarriere eller -indkapsling.

Materiale: metal, medmindre andet er angivet

Lineære mål i mm

Tolerancer for mål uden specifikke tolerancer:

a)	For vinkler: +0°0′0″/-0°0′10″;

For lineære mål:

i)	≤25 mm: + 0/– 0,05 mm;

ii)	>25 mm: ± 0,2 mm

Begge led skal muliggøre en bevægelse i samme plan og retning gennem en vinkel på 90° med en tolerance på 0 til + 10°.

Kravene i punkt 5.2.2.1.3 i dette regulativ er opfyldt, hvis prøvefingeren med led, der er beskrevet i figur 3, ikke er i stand til at komme i kontakt med strømførende højspændingsdele.

Om nødvendigt kan der anvendes et spejl eller et fiberskop for at kontrollere, om prøvefingeren med led berører højspændingsbusserne.

Hvis dette krav kontrolleres ved hjælp af et signalkredsløb mellem prøvefingeren med led og de strømførende højspændingsdele, må lampen ikke lyse.

4.1.

Prøvningsmetode til måling af elektrisk modstand:

Prøvningsmetode ved hjælp af modstandsmåler

Modstandsmåleren forbindes med målepunkterne (typisk stellet og den elektroledende indkapsling/elektriske beskyttelsesbarriere), og modstanden måles ved hjælp af en modstandsmåler, der opfylder følgende specifikationer:

i)	Modstandsmåler Målestrøm mindst 0,2 A

ii)	Opløsning: 0,01Ω eller derunder

iii)	Modstanden R skal være mindre end 0,1 Ω.

Prøvningsmetode med jævnstrømforsyning, voltmeter og amperemeter.

Jævnstrømforsyningen, voltmeteret og amperemeteret tilsluttes målepunkterne (typisk, stellet og den elektroledende indkapsling/elektriske beskyttelsesbarriere).

Spændingen i jævnstrømsforsyningen indstilles således, at strømstyrken bliver mindst 0,2 A.

Strømstyrken »I« og spændingen »U« måles.

Referenceværdien »R« beregnes efter følgende formel:

R = U/I

Modstanden R skal være mindre end 0,1 Ω.

Bemærk:

Hvis der anvendes strømførende ledninger til måling af spænding og strømstyrke, skal hver ledning forbindes uafhængigt til den elektriske beskyttelsesbarriere/indkapslingen/stellet. Terminalen kan være den samme ved spændingsmåling og strømmåling.

Nedenfor ses et eksempel på prøvningsmetode med jævnstrømforsyning, voltmeter og amperemeter.

Figur 4 Eksempel på prøvningsmetode med jævnstrømforsyning

Isolationsmodstand

5.1.

Generelt

Isolationsmodstanden for hver højspændingsbus i køretøjet måles eller bestemmes ved beregning af måleværdierne for hver del eller komponentenhed i en højspændingsbus.

Alle målinger til beregning af spænding og elektrisk isolering foretages efter mindst 10 s efter kollisionen.

5.2.

Målemetode

Måling af isolationsmodstanden foretages ved at vælge en hensigtsmæssig målemetode i fortegnelsen i punkt 5.2.1-5.2.2 i dette bilag, afhængigt af de strømførende deles elektriske ladning eller isolationsmodstand.

Området for det elektriske kredsløb, som skal måles, skal på forhånd være klarlagt ved hjælp af diagrammer over elektriske kredsløb. Hvis højspændingsbusserne er konduktivt isolerede fra hinanden, skal isolationsmodstanden måles til hvert enkelt elektriske kredsløb.

Desuden kan der foretages ændringer, som er nødvendige for at kunne måle isolationsmodstanden, herunder fjernelse af dæksler for adgang til de strømførende dele, optegning af målelinjer og softwareændringer.

I tilfælde, hvor de målte værdier ikke er stabile, fordi et on board-overvågningssystem for isolationsmodstand er i drift, kan der foretages de ændringer, der er nødvendige for at foretage målingen, f.eks. fjernelse af anordningen eller afbrydelse af dens drift. Når anordningen fjernes, vil der desuden blive anvendt et sæt tegninger til at bevise, at isolationsmodstanden mellem de strømførende dele og stellet forbliver uændret.

Disse ændringer må ikke påvirke prøvningsresultaterne.

Der skal udvises stor forsigtighed for at undgå kortslutning, elektrisk stød osv., idet det under denne kontrol kan være nødvendigt med direkte drift af højspændingskredsløbet.

5.2.1.

Målemetode ved hjælp af jævnstrømsspænding fra kilder uden for køretøjet

5.2.1.1.

Måleinstrument

Der anvendes et instrument til isolationsmodstandsprøvning, som kan afgive en jævnstrømsspænding, der er højere end højspændingsbussens arbejdsspænding.

5.2.1.2.

Målemetode

Et instrument til isolationsmodstandsprøvning forbindes mellem de strømførende dele og stellet. Isolationsmodstanden ved efterfølgende at tilslutte en jævnstrømsspænding på mindst halvdelen af højspændingsbussens arbejdsspænding.

Hvis systemet har flere spændingsområder (f.eks. pga. en boost converter) i et elektrisk forbundet kredsløb, og nogle af komponenterne ikke kan modstå arbejdsspændingen i hele kredsløbet, kan isolationsmodstanden mellem sådanne komponenter og stel måles separat ved at anvende mindst halvdelen af deres egen arbejdsspænding med disse komponenter afbrudt.

5.2.2.

Målemetode ved anvendelse af køretøjets eget REESS som jævnstrømskilde

5.2.2.1.

Forhold vedrørende prøvekøretøjet

Højspændingsbussen strømfødes af køretøjets eget REESS og/eller energikonverteringssystem, og spændingsniveauet herfra skal under hele prøvningen mindst svare til den nominelle driftsspænding i overensstemmelse med køretøjsfabrikantens angivelser.

5.2.2.2.

Målemetode

5.2.2.2.1.

Første trin:

Spændingen måles som vist i figur 1, og højspændingsbussens spænding (Ub) registreres.

5.2.2.2.2.

Andet trin:

Spændingen (U1) mellem højspændingsbussens minusside og stel måles og registreres (se figur 1).

5.2.2.2.3.

Tredje trin:

Spændingen (U2) mellem højspændingsbussens plusside og stellet måles og registreres (se figur 1).

5.2.2.2.4.

Fjerde trin:

Hvis U1 er større end eller lig med U2, indsættes en kendt standardmodstand (R0) mellem højspændingsbussens minusside og stellet. Med R0 anbragt måles spændingen (U1′) mellem højspændingsbussens minusside og stellet (se figur 5).

Den elektriske isolation (Ri) beregnes efter følgende formel:

Ri = R0*Ub*(1/U1' – 1/U1)

Hvis U2 er større end U1, indsættes en kendt standardmodstand (R0) mellem højspændingsbussens positivside og stellet. Med R0 anbragt måles spændingen (U2′) mellem højspændingsbussens positivside og stellet (se figur 6).

Den elektriske isolation (Ri) beregnes efter følgende formel:

Ri = R0*Ub*(1/U2' – 1/U2)

5.2.2.2.5.

Femte trin:

Den elektriske isolationsværdi Ri (i Ω) divideret med højspændingsbussens arbejdsspænding (i V) giver isolationsmodstanden (i Ω/V).

Bemærk:

Den kendte standardmodstand R0 (i Ω) bør være værdien af den krævede mindste isolationsmodstand (i Ω/V) multipliceret med køretøjets arbejdsspænding (V) plus/minus 20 %. R0 behøver ikke præcist at være denne værdi, idet ligningerne gælder for enhver Ro. En R0 inden for dette område vil dog normalt sikre en god opløsning for spændingsmålingen.

Elektrolytudslip

Hvis det er nødvendigt, kan den fysiske beskyttelse påføres en passende belægning for at bekræfte et eventuelt elektrolytudslip fra REESS efter kollisionsprøvningen.

REESS-fastholdelse

Opfyldelse af kravet afgøres ved visuel kontrol.

9.3.2021

Den Europæiske Unions Tidende

L 82/30

Kun de originale FN/ECE-tekster har retlig virkning i henhold til folkeretten. Dette regulativs nuværende status og ikrafttrædelsesdato bør kontrolleres i den seneste version af FN/ECE's statusdokument TRANS/WP.29/343, der findes på adressen: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

FN-regulativ nr. 155 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår cybersikkerhed og systemer til forvaltning af cybersikkerhed [2021/387]

Ikrafttrædelsesdato: 22. januar 2021

Dette dokument tjener udelukkende som dokumentationsredskab. De autentiske og juridisk bindende tekster er:

—	ECE/TRANS/WP.29/2020/79

—	ECE/TRANS/WP.29/2020/94 og

—	ECE/TRANS/WP.29/2020/97

INDHOLDSFORTEGNELSE

REGULATIV

Anvendelsesområde

Definitioner

Ansøgning om godkendelse

Mærkning

Godkendelse

Overensstemmelsescertifikat for systemet til forvaltning af cybersikkerhed

Specifikationer

Ændring af køretøjstypen og udvidelse af typegodkendelsen

Produktionens overensstemmelse

10.

Sanktioner i tilfælde af produktionens manglende overensstemmelse

11.

Endeligt ophør af produktionen

12.

Navne og adresser på tekniske tjenester, som er ansvarlige for udførelse af godkendelsesprøvning, og på de typegodkendende myndigheder

BILAG

Oplysningsskema

Meddelelse

Godkendelsesmærkets udformning

Model for CSMS-overensstemmelsescertifikatet

Liste over trusler og tilknyttede modforanstaltninger

1. ANVENDELSESOMRÅDE

1.1.

Dette regulativ finder anvendelse på køretøjer i klasse M og N for så vidt angår cybersikkerhed.

Regulativet finder også anvendelse på køretøjer i klasse O, hvis de er udstyret med mindst én elektronisk kontrolenhed.

1.2.

Regulativet finder desuden anvendelse på køretøjer i klasse L6 og L7, hvis de er udstyret med automatiserede kørefunktioner fra niveau 3 og op, som defineret i »referencedokumentet med definitioner af automatiseret kørsel i WP.29 og de generelle principper for udvikling af et FN-regulativ om selvkørende biler« (ECE/TRANS/WP.29/1140).

1.3.

Dette regulativ berører ikke andre FN-regulativer, regionale bestemmelser eller national lovgivning om adgang for autoriserede tredjeparter til køretøjet, dets data, funktioner og ressourcer samt betingelserne for en sådan adgang. Det berører heller ikke anvendelsen af national og regional lovgivning om privatlivets fred og beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger.

1.4.

Dette regulativ berører ikke andre FN-regulativer, regionale bestemmelser eller national lovgivning om udvikling og installation/systemintegration af reservedele og fysiske og digitale komponenter i forbindelse med cybersikkerhed.

2. DEFINITIONER

I dette regulativ forstås ved:

2.1.

»køretøjstype«: køretøjer, der som minimum ikke udviser forskelle på følgende væsentlige punkter:

a)	fabrikantens betegnelse for køretøjstypen

b)	væsentlige aspekter af den elektriske/elektroniske arkitektur og eksterne grænseflader for så vidt angår cybersikkerhed

2.2.	»cybersikkerhed«: den tilstand, i hvilken køretøjer benyttet til vejkørsel og deres funktioner er beskyttet mod cybertrusler mod elektriske eller elektroniske komponenter

2.3.	»system til forvaltning af cybersikkerhed (CSMS)«: en systematisk, risikobaseret tilgang, der definerer organisatoriske processer, ansvarsområder og forvaltning med henblik på at håndtere risici i forbindelse med cybertrusler mod køretøjer og beskytte dem mod cyberangreb

2.4.	»system«: et sæt af komponenter og/eller delsystemer, der implementerer en eller flere funktioner

2.5.	»udviklingsfasen«: perioden inden typegodkendelsen af køretøjstypen

2.6.	»produktionsfasen«: den tid, det tager at producere en køretøjstype

2.7.

»efterproduktionsfasen«: perioden, der ligger mellem det tidspunkt, hvor en køretøjstype ikke længere produceres, indtil alle køretøjer i køretøjstypen er udrangeret. Køretøjer med en specifik køretøjstype vil være i drift i denne fase, men vil ikke længere blive fremstillet. Fasen ophører, når der ikke længere er nogen operationelle køretøjer i den specifikke køretøjstype

2.8.	»modforanstaltning«: en risikoreducerende foranstaltning

2.9.	»risiko«: det potentiale, en given trussel har til at udnytte sårbarheder i et køretøj og derved skade organisationen eller en enkeltperson

2.10.

»risikovurdering«: den overordnede proces med at konstatere, anerkende og beskrive risici (risikoidentifikation), forstå risikoens art og bestemme risikoniveauet (risikoanalyse), og sammenligne resultaterne af risikoanalysen med risikokriterier for at afgøre, om risikoen og/eller dens omfang er acceptabel eller tålelig (risikoevaluering)

2.11.

»risikostyring«; koordinerede aktiviteter til at lede og kontrollere en organisation med hensyn til risiko

2.12.

»trussel«: en potentiel årsag til en uønsket hændelse, der kan føre til skade på et system, en organisation eller en enkeltperson

2.13.

»sårbarhed«: en svaghed i et aktiv eller en modforanstaltning, som kan udnyttes af en eller flere trusler.

3. ANSØGNING OM GODKENDELSE

3.1.

Ansøgning om godkendelse af en køretøjstype for så vidt angår cybersikkerhed indgives af køretøjsfabrikanten eller dennes bemyndigede repræsentant.

3.2.

Ansøgningen skal bilægges nedennævnte dokumenter i tre eksemplarer og følgende oplysninger:

3.2.1.

En beskrivelse af køretøjstypen for så vidt angår punkterne specificeret i bilag 1 til dette regulativ.

3.2.2.

Hvis det påvises, at oplysninger er omfattet af intellektuelle ejendomsrettigheder eller er en del af fabrikantens eller dennes leverandørers specifikke knowhow, stiller fabrikanten eller dennes leverandører tilstrækkelige oplysninger til rådighed med henblik på at gøre det muligt at udføre kontrollerne i dette regulativ på behørig vis. Sådanne oplysninger behandles fortroligt.

3.2.3.

Overensstemmelsescertifikatet for systemet til forvaltning af cybersikkerhed i henhold til punkt 6 i dette regulativ.

3.3.

Dokumentationen skal foreligge i to dele:

Den formelle dokumentationspakke, der kræves med henblik pa godkendelse, vedlagt materialet nævnt i bilag 1, skal leveres til den godkendende myndighed eller den tekniske tjeneste på tidspunktet for indgivelse af ansøgningen om typegodkendelse. Denne dokumentationspakke skal af den godkendende myndighed eller den tekniske tjeneste anvendes som referenceramme for godkendelsesprocessen. Den godkendende myndighed eller den tekniske tjeneste skal sørge for, at denne dokumentationspakke er tilgængelig i mindst 10 år, regnet fra tidspunktet for det endelige ophør af produktionen af køretøjstypen.

Yderligere materiale, der er relevant for kravene i dette regulativ, kan opbevares af fabrikanten, men skal stilles til rådighed for gennemgang på godkendelsestidspunktet. Fabrikanten skal sørge for, at alle oplysninger, der er til rådighed for inspektion på tidspunktet for typegodkendelsen, fortsat er tilgængelige i mindst 10 år regnet fra tidspunktet for det endelige ophør af produktionen af køretøjstypen.

4. MÆRKNING

4.1.

Ethvert køretøj, som er i overensstemmelse med en type, som er godkendt efter dette regulativ, skal på et let synligt og let tilgængeligt sted, der er angivet i godkendelsesattesten, være påført et internationalt godkendelsesmærke bestående af følgende:

4.1.1.

en cirkel, som omslutter bogstavet »E« efterfulgt af kendingsnummeret på den stat, som har meddelt godkendelse

4.1.2.

nummeret på dette regulativ efterfulgt af bogstavet »R«, en bindestreg og godkendelsesnummeret til højre for den cirkel, der er foreskrevet i punkt 4.1.1 ovenfor.

4.2.

Er køretøjet i overensstemmelse med en køretøjstype, som i henhold til et eller flere andre af de til overenskomsten vedføjede regulativer er godkendt i samme stat, som har meddelt godkendelse efter dette regulativ, behøver det i punkt 4.1.1 ovenfor foreskrevne symbol ikke gentages. I så tilfælde skal numrene på regulativet og godkendelserne samt de ekstra symboler for alle regulativer, i henhold til hvilke der er meddelt godkendelse i det land, hvor godkendelsen er meddelt i henhold til dette regulativ, placeres i lodrette kolonner til højre for det symbol, der er beskrevet i punkt 4.1.1.

4.3.

Godkendelsesmærket skal være let læseligt og må ikke kunne slettes.

4.4.

Godkendelsesmærket skal anbringes på eller tæt ved den mærkeplade, fabrikanten har anbragt på køretøjet.

4.5.

Bilag 3 til dette regulativ indeholder eksempler på godkendelsesmærkets udformning.

5. GODKENDELSE

5.1.

De godkendende myndigheder meddeler kun typegodkendelse for så vidt angår cybersikkerhed for køretøjstyper, som opfylder kravene i dette regulativ.

5.1.1.

Den godkendende myndighed eller den tekniske tjeneste skal ved hjælp af dokumentkontrol efterprøve, at køretøjsfabrikanten har truffet de foranstaltninger for køretøjstypen, der er nødvendige for:

a)	gennem forsyningskæden at indhente og kontrollere de oplysninger, der kræves i henhold til dette regulativ, så det kan påvises, at leverandør-relaterede risici identificeres og håndteres

b)	at dokumentere risikovurderinger (udført under udviklingsfasen eller med tilbagevirkende kraft), prøvningsresultater og modforanstaltninger anvendt på køretøjstypen, herunder konstruktionsoplysninger til støtte for risikovurderingen

c)	at implementere passende cybersikkerhedsforanstaltninger i konstruktionen af køretøjstypen

d)	at detektere og håndtere mulige cybersikkerhedsangreb

e)	at logge data til støtte for detektering af cyberangreb og sikre en it-kriminalteknisk kapacitet, der gør det muligt at analysere forsøg på cyberangreb eller gennemførte cyberangreb.

5.1.2.

Den godkendende myndighed eller den tekniske tjeneste skal ved prøvning af et køretøj af den relevante køretøjstype kontrollere, at køretøjsfabrikanten har implementeret de cybersikkerhedsforanstaltninger, som er dokumenteret. Prøvninger skal udføres af den godkendende myndighed eller den tekniske tjeneste selv eller i samarbejde med køretøjsfabrikanten ved prøveudtagning. Prøveudtagningen skal være fokuseret på, men ikke begrænset til, risici, der vurderes som værende høje i forbindelse med risikovurderingen.

5.1.3.

Den godkendende myndighed eller den tekniske tjeneste skal nægte at meddele typegodkendelse for så vidt angår cybersikkerhed, hvis køretøjsfabrikanten ikke har opfyldt et eller flere af kravene under punkt 7.3, navnlig hvis:

a)	køretøjsfabrikanten ikke har foretaget den i punkt 7.3.3 nævnte udtømmende risikovurdering, herunder i tilfælde, hvor fabrikanten ikke har taget hensyn til alle de risici forbundet med truslerne nævnt i del A i bilag 5.

b)	køretøjsfabrikanten ikke har beskyttet køretøjstypen mod de risici, der er identificeret i fabrikantens risikovurdering, eller der ikke er gennemført forholdsmæssige modforanstaltninger som krævet under punkt 7

c)	køretøjsfabrikanten ikke har indført passende og forholdsmæssige foranstaltninger til at sikre dedikerede miljøer i køretøjstypen (hvis sådanne findes) til lagring og brug af software, tjenester, applikationer eller data på eftermarkedet

d)	køretøjsfabrikanten ikke forud for godkendelsen har foretaget passende og tilstrækkelig prøvning for at kontrollere, at de anvendte sikkerhedsforanstaltninger er effektive.

5.1.4.

Den godkendende myndighed, der foretager vurderingen, skal også nægte at meddele typegodkendelse med hensyn til cybersikkerhed, hvis den godkendende myndighed eller den tekniske tjeneste ikke har modtaget tilstrækkelige oplysninger fra køretøjsfabrikanten til at vurdere køretøjstypen med hensyn til cybersikkerhed.

5.2.

Meddelelse om godkendelse, udvidelse eller nægtelse af godkendelse af en køretøjstype i henhold til dette regulativ skal gives de kontraherende parter i 1958-overenskomsten, der anvender dette regulativ, ved hjælp af en meddelelse, der er i overensstemmelse med modellen i bilag 2 til dette regulativ.

5.3.

De godkendende myndigheder må ikke meddele typegodkendelse uden at kontrollere, at fabrikanten har indført tilfredsstillende ordninger og procedurer til korrekt forvaltning af de cybersikkerhedsaspekter, der er omfattet af dette regulativ.

5.3.1.

Den godkendende myndighed og den tekniske tjenester skal ud over de kriterier, der er fastsat i skema 2 til 1958-overenskomsten, sikre, at de:

a)	råder over kompetent personale med passende viden inden for cybersikkerhed og særlig viden om risikovurderinger af køretøjer (1)

b)	har gennemført procedurer for den ensartede evaluering i henhold til dette regulativ.

5.3.2.

Alle de kontraherende parter, der anvender dette regulativ, skal gennem deres godkendende myndighed underrette og informere andre godkendende myndigheder hos andre kontraherende parter, der anvender dette FN-regulativ, om de metoder og kriterier, der lægges til grund af den underrettende myndighed med henblik på at vurdere hensigtsmæssigheden af de foranstaltninger, der er truffet i overensstemmelse med dette regulativ, særlig punkt 5.1, 7.2 og 7.3.

Oplysningerne skal udveksles a) lige inden, der meddeles typegodkendelse for første gang i henhold til dette regulativ, og b) hver gang, metoden eller kriterierne for vurdering ajourføres.

Oplysningerne er beregnet til at blive udvekslet med henblik på indhentning og analyse af bedste praksis og med henblik på at sikre en ensartet anvendelse af dette regulativ af alle de godkendende myndigheder, der anvender dette regulativ.

5.3.3.

Oplysningerne i punkt 5.3.2 skal uploades på engelsk til den sikre internetdatabase »DETA« (2) oprettet af De Forenede Nationers Økonomiske Kommission for Europa i god tid og senest 14 dage før en godkendelse meddeles for første gang i henhold til de relevante vurderingsmetoder og -kriterier. Der skal være tilstrækkeligt med oplysninger til at forstå, hvilke mindstekrav til ydeevne, den godkendende myndighed har vedtaget for hvert af de specifikke krav i punkt 5.3.2 samt de processer og foranstaltninger, myndigheden anvender til at efterprøve, at disse mindstekrav til ydeevne er overholdt (3).

5.3.4.

De godkendende myndigheder, som modtager oplysningerne nævnt i punkt 5.3.2 kan indgive bemærkninger til den underrettende godkendende myndighed ved at uploade dem til DETA senest 14 dage efter dagen for meddelelse af godkendelse.

5.3.5.

Såfremt det ikke er muligt for den godkendende myndighed, der meddeler godkendelse, at tage hensyn til de bemærkninger, der er modtaget i henhold til punkt 5.3.4, skal den godkendende myndighed, der har indgivet bemærkningerne, og den godkendende myndighed, der meddeler godkendelse, indhente yderligere oplysninger i overensstemmelse med skema 6 til 1958-aftalen. Den relevante arbejdsgruppe (4) under Verdensforummet for Harmonisering af Køretøjsforskrifter (WP.29) for dette regulativ fastsætter en fælles fortolkning af vurderingsmetoder og –kriterier (5). Den fælles fortolkning gennemføres, og alle godkendende myndigheder udsteder typegodkendelser i henhold til dette regulativ i overensstemmelse med denne fortolkning.

5.3.6.

En godkendende myndighed, der meddeler en typegodkendelse i henhold til dette regulativ, skal underrette de andre godkendende myndigheder om den godkendelse, der er meddelt. Typegodkendelsen og den supplerende dokumentation uploades af den typegodkendende myndighed på engelsk til DETA senest 14 dage efter datoen for godkendelsen (6).

5.3.7.

De kontraherende parter kan undersøge de godkendelser, der er meddelt på grundlag af de oplysninger, der er uploadet i henhold til punkt 5.3.6. I tilfælde af divergerende holdninger blandt de kontraherende parter, løses dette i overensstemmelse med artikel 10 og skema 6 til 1958-overenskomsten. De kontraherende parter underretter også den relevante arbejdsgruppe i Verdensforummet for Harmonisering af Køretøjsforskrifter (WP.29) om de divergerende fortolkninger i henhold til skema 6 til 1958-overenskomsten. Den relevante arbejdsgruppe bidrager til at finde en løsning hvad angår de forskellige holdninger og kan om nødvendigt rådføre sig med WP.29.

5.4.

For så vidt angår punkt 7.2 i dette regulativ skal fabrikanten sikre, at de cybersikkerhedsaspekter, der er omfattet af dette regulativ, gennemføres.

6. OVERENSSTEMMELSESCERTIFIKAT FOR SYSTEMET TIL FORVALTNING AF CYBERSIKKERHED

6.1.

De kontraherende parter udpeger en godkendende myndighed, der skal foretage vurderingen af fabrikanten og udstede et overensstemmelsescertifikat for systemet til forvaltning af cybersikkerhed.

6.2.

Ansøgning om et overensstemmelsescertifikat for systemet til forvaltning af cybersikkerhed indgives af køretøjsfabrikanten eller dennes behørigt befuldmægtigede repræsentant.

6.3.

Ansøgningen skal bilægges nedennævnte dokumenter i tre eksemplarer og følgende oplysninger:

6.3.1.

Dokumenter, der beskriver systemet til forvaltning af cybersikkerhed

6.3.2.

En underskrevet erklæring efter den model, der er defineret i tillæg 1 til bilag 1.

6.4.

I forbindelse med vurderingen skal fabrikanten ved hjælp af modellen som defineret i tillæg 1 til bilag 1 erklære og over for den godkendende myndighed og den tekniske tjeneste på tilfredsstillende vis påvise, at fabrikanten råder over de nødvendige processer for at opfylde alle kravene til cybersikkerhed i henhold til dette regulativ.

6.5.

Når denne vurdering er tilfredsstillende gennemført og når der foreligger en underskrevet erklæring fra fabrikanten i overensstemmelse med modellen i tillæg 1 til bilag 1, udstedes der til fabrikanten et certifikat kaldet overensstemmelsescertifikat for systemet til forvaltning af cybersikkerhed som beskrevet i bilag 4 til dette regulativ (i det følgende benævnt CSMS-overensstemmelsescertifikatet).

6.6.

Den godkendende myndighed eller den tekniske tjeneste anvender den model for CSMS-overensstemmelsescertifikatet, der er fastsat i bilag 4 til dette regulativ.

6.7.

CSMS-overensstemmelsescertifikatet forbliver gyldig i højst tre år fra datoen for certifikatets udstedelse, med mindre det bliver tilbagekaldt.

6.8.

Den godkendende myndighed, der har udstedt CSMS-overensstemmelsescertifikatet, kan til enhver tid kontrollere, at kravene til det fortsat er opfyldt. Den godkendende myndighed tilbagekalder CSMS-overensstemmelsescertifikatet, hvis kravene i dette regulativ ikke længere er opfyldt.

6.9.

Fabrikanten skal underrette den godkendende myndighed eller den tekniske tjeneste om eventuelle ændringer, der påvirker relevansen af CSMS-overensstemmelsescertifikatet. I samråd med fabrikanten afgør den godkendende myndighed eller den tekniske tjeneste, om nye kontroller er nødvendige.

6.10.

For at gøre det muligt for den godkendende myndighed at afslutte sin vurdering inden udløbet af gyldighedsperioden for CSMS-overensstemmelsescertifikatet, skal denne i god tid ansøge om et nyt certifikat eller en forlængelse af det eksisterende CSMS-overensstemmelsescertifikat. Med forbehold for en positiv vurdering udsteder den godkendende myndighed et nyt CSMS-overensstemmelsescertifikat eller forlænger dets gyldighed med yderligere tre år. Den godkendende myndighed kontrollerer, at systemet til forvaltning af cybersikkerhed fortsat opfylder kravene i dette regulativ. Den godkendende myndighed udsteder et nyt certifikat i tilfælde, hvor den godkendende myndighed eller den tekniske er blevet underrettet om ændringer, og den nye vurdering af disse ændringer er positiv.

6.11.

Udløb eller tilbagekaldelse af fabrikantens CSMS-overensstemmelsescertifikat betragtes som en ændring af godkendelsen, jf. punkt 8, for så vidt angår de køretøjstyper, som forvaltningssystemet var relevant for, hvilket kan medføre en tilbagekaldelse af godkendelsen, hvis betingelserne for at opnå godkendelse ikke længere er opfyldt.

7. SPECIFIKATIONER

7.1.

Generelle specifikationer

7.1.1.

Kravene i dette regulativ begrænser ikke bestemmelser eller krav i andre FN-regulativer.

7.2.

Krav til systemet til forvaltning af cybersikkerhed

7.2.1.

Under vurderingen skal den godkendende myndighed eller den tekniske tjeneste kontrollere, at køretøjsfabrikanten har etableret et system til forvaltning af cybersikkerhed samt, at systemet er i overensstemmelse med dette regulativ.

7.2.2.

Systemet til forvaltning af cybersikkerhed skal dække følgende aspekter:

7.2.2.1.

Køretøjsfabrikanterne skal over for den godkendende myndighed eller den tekniske tjeneste godtgøre, at deres system til forvaltning af cybersikkerhed finder anvendelse på følgende faser:

a)	udviklingsfasen

b)	produktionsfasen

c)	efterproduktionsfasen.

7.2.2.2.

Køretøjsfabrikanten skal godtgøre, at de processer, der anvendes af systemet til forvaltning af cybersikkerhed, sikrer, at der tages tilstrækkeligt hensyn til sikkerheden, herunder de risici og modforanstaltninger, der er anført i bilag 5. Dette skal omfatte:

a)	de processer, der anvendes i fabrikantens organisation til forvaltning af cybersikkerhed

b)	de processer, der anvendes til at identificere risici for køretøjstyper. Under disse processer skal truslerne i del A, bilag 5, og andre relevante trusler tages i betragtning

c)	de processer, der anvendes til vurdering, kategorisering og håndtering af de identificerede risici

d)	de processer, der er indført for at kontrollere, at de identificerede risici forvaltes hensigtsmæssigt

e)	de processer, der anvendes til at afprøve cybersikkerheden af en køretøjstype

f)	de processer, der anvendes for at sikre, at risikovurderingen altid er ajourført

de processer, der anvendes til at overvåge, opdage og håndtere cyberangreb og cybertrusler mod og sårbarheder i køretøjstyper, og de processer, der anvendes til at vurdere, om de gennemførte cybersikkerhedsforanstaltninger fortsat er effektive i lyset af nye cybertrusler og sårbarheder, der er blevet identificeret

h)	de processer, der anvendes til at tilvejebringe relevante data til støtte for analyse af forsøg på cyberangreb eller gennemførte cyberangreb.

7.2.2.3.

På grundlag af kategoriseringen i punkt 7.2.2.2 c) og 7.2.2.2 g) skal køretøjsfabrikanten påvise, at de processer, der anvendes i systemet til forvaltning af cybersikkerhed sikrer, at cybertrusler og -sårbarheder, som kræver en reaktion fra køretøjsfabrikanten, afbødes inden for en rimelig tidsramme.

7.2.2.4.

Køretøjsfabrikanten skal påvise, at de processer, der anvendes i systemet til forvaltning af cybersikkerhed sikrer, at overvågningen nævnt i punkt 7.2.2.2 g) er kontinuerlig. Dette skal omfatte:

a)	overvågning af køretøjer efter første registrering

b)	kapacitet til at analysere og opdage cybertrusler, sårbarheder og cyberangreb ud fra køretøjsdata og logbøger. Denne kapacitet skal overholde bestemmelserne i punkt 1.3 og bilejeres og -brugeres ret til privatlivets fred, især hvad angår samtykke.

7.2.2.5.

Hvad angår kravene i punkt 7.2.2.2 skal køretøjsfabrikanten kunne vise, hvordan systemet til forvaltning af cybersikkerhed vil håndtere eventuelle indbyrdes afhængigheder mellem leverandører, tjenesteydere og/eller fabrikantens underorganisationer.

7.3.

Krav til køretøjstyper

7.3.1.

Fabrikanten skal være i besiddelse af et gyldigt overensstemmelsescertifikat for systemet til forvaltning af cybersikkerhed, som er relevant for den køretøjstype, der skal godkendes.

Hvis køretøjsfabrikanten kan påvise, at køretøjstypen ikke kunne udvikles i overensstemmelse med systemet til forvaltning af cybersikkerhed, skal køretøjsfabrikanten imidlertid, for typegodkendelse inden den 1. juli 2024, godtgøre, at der blev taget tilstrækkeligt hensyn til cybersikkerheden under udviklingsfasen af den pågældende køretøjstype.

7.3.2.

Køretøjsfabrikanten skal identificere og forvalte risici forbundet med leverandører for den køretøjstype, der skal godkendes.

7.3.3.

Køretøjsfabrikanten skal identificere de kritiske elementer for køretøjstypen og foretage en udtømmende risikovurdering af køretøjstypen og håndtere/forvalte de identificerede risici på passende vis. Risikovurderingen skal tage hensyn til de enkelte elementer af køretøjstypen og vekselvirkninger mellem disse. Risikovurderingen skal endvidere tage hensyn til vekselvirkninger med eventuelle eksterne systemer. I vurderingen af risici skal køretøjsfabrikanten tage hensyn til de risici, der er forbundet med alle de trusler, som nævnes i del A, bilag 5, samt alle andre relevante risici.

7.3.4.

Køretøjsfabrikanten skal beskytte køretøjstypen mod de risici, der identificeres i fabrikantens risikovurdering. Der skal gennemføres forholdsmæssige modforanstaltninger med henblik på at beskytte køretøjstypen. De gennemførte modforanstaltninger skal omfatte alle de modforanstaltninger i del B og C i bilag 5, som er relevante for de identificerede risici. Hvis en modforanstaltning nævnt i del B eller C i bilag 5 ikke er relevant eller ikke er tilstrækkelig for den identificerede risiko, skal køretøjsfabrikanten imidlertid sikre, at der gennemføres en anden passende modforanstaltning.

Særligt skal køretøjsfabrikanten, for typegodkendelse inden den 1. juli 2024, sikre, at en anden passende modforanstaltning gennemføres, såfremt det ikke er teknisk muligt at gennemføre en modforanstaltning som omhandlet i del B eller C i bilag 5. Fabrikanten skal stille den respektive vurdering af den tekniske gennemførlighed til rådighed for den godkendende myndighed.

7.3.5.

Køretøjsfabrikanten skal indføre passende og forholdsmæssige foranstaltninger til at sikre særlige miljøer i køretøjstypen (hvis sådanne findes) til lagring og brug af software, tjenester, applikationer eller data på eftermarkedet

7.3.6.

Køretøjsfabrikanten skal forud for godkendelsen foretage passende og tilstrækkelig prøvning for at kontrollere, at de anvendte sikkerhedsforanstaltninger er effektive.

7.3.7.

Køretøjsfabrikanten skal gennemføre foranstaltninger for køretøjstypen med henblik på at:

a)	opdage og forebygge cyberangreb mod køretøjer af den pågældende køretøjstype

b)	støtte køretøjsfabrikantens overvågningskapacitet hvad angår opdagelse af trusler, sårbarheder og cyberangreb, der er relevante for køretøjstypen

c)	tilvejebringe it-kriminalteknisk kapacitet, der muliggør analyser af forsøg på cyberangreb eller gennemførte cyberangreb.

7.3.8.

Kryptografiske moduler, der anvendes i forbindelse med dette regulativ, skal være i overensstemmelse med standarder fastlagt i konsensus. Hvis de anvendte kryptografiske moduler ikke er i overensstemmelse med standarderne fastlagt i konsensus, skal køretøjsfabrikanten begrunde anvendelsen.

7.4.

Bestemmelser om rapportering

7.4.1.

Køretøjsfabrikanten aflægger mindst en gang om året, eller oftere, om nødvendigt, rapport til den godkendende myndighed eller den tekniske tjeneste om resultatet af deres overvågningsaktiviteter som defineret i punkt 7.2.2.2 g); rapporteringen skal omfatte relevante oplysninger om nye cyberangreb. Køretøjsfabrikanterne skal også rapportere og bekræfte over for den godkendende myndighed eller den tekniske tjeneste, at de gennemførte modforanstaltninger mod cyberangreb for deres køretøjstyper fortsat er effektive, samt om der er truffet eventuelle yderligere foranstaltninger.

7.4.2.

Den godkendende myndighed eller den tekniske tjeneste skal kontrollere de leverede oplysninger og om nødvendigt kræve, at køretøjsfabrikanten afhjælper al påvist ineffektivitet.

Hvis rapporteringen eller afhjælpningen ikke er tilstrækkelig, kan den godkendende myndighed beslutte at tilbagekalde CSMS-overensstemmelsescertifikatet, jf. punkt 6.8.

8. ÆNDRING AF KØRETØJSTYPEN OG UDVIDELSE AF TYPEGODKENDELSEN

8.1.

Enhver ændring af køretøjstypen, som påvirker dens tekniske ydeevne med hensyn til cybersikkerheden og/eller den dokumentation, der er påkrævet i henhold til dette regulativ, skal meddeles den godkendende myndighed, der har godkendt køretøjstypen. Den godkendende myndighed kan da enten:

8.1.1.

vurdere, at de foretagne ændringer stadig overholder kravene til og dokumentation af den eksisterende typegodkendelse eller

8.1.2.

foretage den nødvendige supplerende vurdering i henhold til punkt 5 og, hvis det er relevant, kræve en yderligere prøvningsrapport fra den tekniske tjeneste, der er ansvarlig for udførelsen af prøvninger.

8.1.3.

Bekræftelse, udvidelse eller nægtelse af godkendelse, med angivelse af ændringerne, meddeles ved hjælp af en meddelelsesformular, der er i overensstemmelse med modellen i bilag 2 til dette regulativ. Den godkendende myndighed, som udsteder udvidelse af en godkendelse, tildeler udvidelsen et serienummer og underretter de andre parter i 1958-overenskomsten, der anvender dette regulativ, ved hjælp af en meddelelsesformular, der er i overensstemmelse med modellen i bilag 2 til dette regulativ.

9. PRODUKTIONENS OVERENSSTEMMELSE

9.1.

Procedurerne til sikring af produktionens overensstemmelse skal opfylde forskrifterne i 1958-overenskomstens skema 1 (E/ECE/TRANS/505/Rev.3), idet følgende forskrifter finder anvendelse:

9.1.1.

indehaveren af godkendelsen skal sikre, at resultaterne af prøvningerne af produktionens overensstemmelse registreres, og at de vedlagte dokumenter er tilgængelige i en periode, der fastsættes efter aftale med den godkendende myndighed eller den tekniske tjeneste. Denne periode må ikke overstige 10 år, regnet fra tidspunktet for produktionens endelige ophør.

9.1.2.

den godkendende myndighed, som har meddelt typegodkendelsen, kan til enhver tid kontrollere de metoder til overensstemmelseskontrol, der anvendes på de enkelte produktionsanlæg. Der foretages normalt en inspektion hvert tredje år.

10. SANKTIONER I TILFÆLDE AF PRODUKTIONENS MANGLENDE OVERENSSTEMMELSE

10.1.

Den godkendelse, der meddeles for en køretøjstype i henhold til dette regulativ, kan inddrages, hvis forskrifterne i dette regulativ ikke overholdes, eller hvis prøvekøretøjerne ikke overholder forskrifterne i dette regulativ.

10.2.

Hvis den godkendende myndighed inddrager en godkendelse, som den tidligere har meddelt, skal den straks underrette de øvrige kontraherende parter, der anvender dette regulativ, herom ved hjælp af en meddelelsesformular, der er i overensstemmelse med modellen i bilag 2 til dette regulativ.

11. ENDELIGT OPHØR AF PRODUKTIONEN

11.1.

Hvis indehaveren af godkendelsen endeligt ophører med at fremstille en køretøjstype, som er godkendt i henhold til dette regulativ, underretter indehaveren den myndighed, som har meddelt godkendelsen, herom. Ved modtagelse af den relevante meddelelse skal den pågældende myndighed meddele dette til de andre kontraherende parter i overenskomsten, der anvender dette regulativ, ved hjælp af en kopi af godkendelsesformularen, som i slutningen med store typer er forsynet med den underskrevne og daterede påskrift »PRODUKTION OPHØRT«.

12. NAVNE OG ADRESSER PÅ TEKNISKE TJENESTER, SOM ER ANSVARLIGE FOR UDFØRELSE AF GODKENDELSESPRØVNING, OG PÅ DE TYPEGODKENDENDE MYNDIGHEDER

12.1.

De kontraherende parter i overenskomsten, som anvender dette regulativ, meddeler De Forenede Nationers sekretariat navnene og adresserne på de tekniske tjenester, som udfører typegodkendelsesprøvninger, og på de typegodkendende myndigheder, som meddeler typegodkendelser, og hvortil meddelelser om typegodkendelse eller udvidelse, nægtelse eller inddragelse af typegodkendelse, der er udstedt i andre lande, skal sendes.

(1) F.eks. ISO 26262-2018, ISO/PAS 21448, ISO/SAE 21434.

(2) https://www.unece.org/trans/main/wp29/datasharing.html.

(3) Vejledning for de detaljerede oplysninger (f.eks. metode, kriterier, ydeevne) skal uploades, og formatet skal angives i det fortolkningsdokument, der er under udarbejdelse af taskforcen om indberetning af cybersikkerhed og transmission i forbindelse med det syvende møde i arbejdsgruppen for automatiserede/selvkørende og opkoblede køretøjer (GRVA).

(4) Arbejdsgruppen for automatiserede/selvkørende og opkoblede køretøjer.

(5) Fortolkningen skal afspejles i det fortolkningsdokument, der henvises til i fodnoten til punkt 5.3.3.

(6) Yderligere oplysninger om mindstekravene til dokumentationspakken udvikles på det syvende møde i GRVA.

BILAG 1

Oplysningsskema

Følgende oplysninger skal i de relevante tilfælde indsendes i tre eksemplarer og omfatte en indholdsfortegnelse. Eventuelle tegninger skal forelægges i en passende målestok på A4-ark eller foldet til dette format. Eventuelle fotografier skal være tilstrækkeligt detaljerede.

Fabrikat (fabrikantens handelsbetegnelse): …

Type og almindelig(e) handelsbetegnelse(r): …

Typeidentifikationsmærke, hvis markeret på køretøjet: …

Mærkets anbringelsessted: …

Køretøjskategori(er): …

Navn og adresse på fabrikantens repræsentant: …

Navne og adresser på samlefabrikker: …

Fotografier og/eller tegninger af et repræsentativt køretøj: …

Cybersikkerhed

9.1.

Almindelige specifikationer for køretøjstypen, herunder:

a)	køretøjssystemer, som er relevante for køretøjstypens cybersikkerhed

b)	komponenterne i de systemer, der er relevante for cybersikkerheden

c)	vekselvirkninger mellem disse systemer og andre systemer inden for køretøjstypen og eksterne grænseflader.

9.2.

Skematisk fremstilling af køretøjstypen

9.3.

Nummer på CSMS-overensstemmelsescertifikatet …

9.4.

Dokumenter for den køretøjstype, der skal godkendes, som indeholder en beskrivelse af resultatet af risikovurderingen og de identificerede risici …

9.5.

Dokumenter for den køretøjstype, der skal godkendes, som indeholder en beskrivelse af de modforanstaltninger, der er gennemført for de anførte systemer eller for køretøjstypen, og hvordan de håndterer de angivne risici …

9.6.

Dokumenter for den køretøjstype, der skal godkendes, som indeholder en beskrivelse af beskyttelse af særlige miljøer til lagring og brug af software, tjenester, applikationer eller data på eftermarkedet …

9.7.

Dokumenter for den køretøjstype, der skal godkendes, som indeholder en beskrivelse af, hvilke prøvninger der er foretaget for at kontrollere cybersikkerheden af køretøjstypen og dens systemer samt resultatet af disse prøvninger …

9.8.

Beskrivelse af gennemgangen af forsyningskæden med hensyn til cybersikkerhed …

Tillæg 1 til Bilag 1

Model for fabrikantens erklæring om overensstemmelse for systemet til forvaltning af cybersikkerhed

Fabrikantens erklæring om overensstemmelse med kravene til systemet til forvaltning af cybersikkerhed

Fabrikantens navn: …

Fabrikantens adresse: …

… (Fabrikantens navn) erklærer, at de nødvendige processer til opfyldelse af kravene til systemet til forvaltning af cybersikkerhed fastsat i punkt 7.2 i FN-regulativ 155 er blevet installeret og vil blive vedligeholdt.………

Udfærdiget i: … (sted)

Dato: …

Underskriverens navn: …

Underskriverens funktion: …

…

(Fabrikantens repræsentant, stempel og underskrift)

BILAG 2

Meddelelse

(Største format: A4 (210 × 297 mm))

(1)

Udstedt af:

Myndighedens navn:

…

Vedrørende (2)

Meddelelse af godkendelse

Udvidelse af godkendelse

Inddragelse af godkendelse med virkning fra dd.mm.åååå

Nægtelse af godkendelse

Endeligt ophør af produktionen

for en køretøjstype i henhold til FN-regulativ nr. 155

Godkendelse nr.: …

Udvidelse nr.: …

Begrundelse for udvidelse: …

Fabrikat (fabrikantens handelsbetegnelse): …

Type og almindelig(e) handelsbetegnelse(r): …

Typeidentifikationsmærke, hvis markeret på køretøjet: …

3.1.

Mærkets anbringelsessted: …

Køretøjskategori(er): …

Navn og adresse på fabrikanten/fabrikantens repræsentant: …

Navn(e) og adresse(r) på produktionsanlæg …

Nummer på CSMS-overensstemmelsescertifikatet …

Teknisk tjeneste, som er ansvarlig for udførelse af prøvningen: …

Dato på rapport udstedt af denne tjeneste: …

10.

Nummer på rapport udstedt af denne tjeneste: …

11.

Bemærkninger: (eventuelt). …

12.

Sted: …

13.

Dato: …

14.

Underskrift …

15.

Indholdsfortegnelsen til den informationspakke, der er indgivet til den godkendende myndighed, og som kan fås ved henvendelse dertil, er vedlagt:

(1) Kendingsnummer for det land, hvor godkendelsen er meddelt/udvidet/nægtet/inddraget (se godkendelsesforskrifter i regulativet).

(2) Det ikke gældende overstreges.:

BILAG 3

Godkendelsesmærkets udformning

MODEL A

(Se punkt 4.2 i dette regulativ)

a = 8 mm min.

Ovenstående godkendelsesmærke, som er påført et køretøj, viser, at den pågældende køretøjstype er godkendt i Nederlandene (E 4) i henhold til regulativ nr. 155 under godkendelsesnummer 001234. De første to cifre i godkendelsesnummeret angiver, at godkendelsen blev meddelt i overensstemmelse med kravene i regulativet i dets oprindelige (00) udgave.

BILAG 4

Model for CSMS-overensstemmelsescertifikatet

Overensstemmelsescertifikat for systemet til forvaltning af cybersikkerhed

i henhold til FN-regulativ nr. 155

Certifikatnummer [referencenummer]

[……. Godkendende myndighed]

bekræfter hermed, at

Fabrikant: …

Fabrikantens adresse: …

overholder bestemmelserne i punkt 7.2 i regulativ nr. 155

Kontrol er udført den: …

af (navn og adresse på den godkendende myndighed eller tekniske tjeneste): …

Rapportens nummer: …

Certifikatet er gyldig til den […………………………………………………dato]

Udstedt i [………………………………………………… sted]

Den [………………………………………………… dato]

[………………………………………………… underskrift]

Bilag: Fabrikantens beskrivelse af systemet til forvaltning af cybersikkerhed.

BILAG 5

Liste over trusler og tilknyttede modforanstaltninger

Dette bilag består af tre dele. Del A i dette bilag beskriver referencescenarier for trusler, sårbarheder og angrebsmetoder. Del B i dette bilag beskriver modforanstaltninger mod trusler, der er rettet mod køretøjstyper. Del C beskriver modforanstaltninger med trusler, der er rettet mod områder uden for køretøjer, dvs. mod backend-IT.

Del A, del B og del C skal tages i betragtning i forbindelse med risikovurderingen og de modforanstaltninger, der skal gennemføres af køretøjsfabrikanterne.

Beskrivelsen af sårbarheden på højt niveau og de tilsvarende eksempler er indekseret i del A. Den samme indeksering er angivet i tabellerne i del B og C for at kæde hvert enkelt angreb eller hver enkelt sårbarhed sammen med en liste over tilsvarende modforanstaltninger.

Trusselsanalysen skal også tage højde for mulige konsekvenser af angrebet. Disse konsekvenser kan være med til at fastslå, hvor alvorlig en risiko er, samt identificere yderligere risici. Mulige angreb kan have følgende konsekvenser:

a)	sikker drift af køretøjet påvirkes

b)	køretøjsfunktioner ophører med at fungere

c)	software modificeres, ydeevnen ændres

d)	software ændres, men der er ingen driftspåvirkninger

e)	brud på dataintegritet

f)	brud på datafortrolighed

g)	tab af datatilgængelighed

h)	andet, herunder kriminalitet.

Del A. Sårbarhed eller angrebsmetode i tilknytning til trusler

Beskrivelser på højt niveau af trusler og tilknyttede sårbarheder eller angrebsmetoder er anført i tabel A1.

Tabel A1

Liste over sårbarheder eller angrebsmetoder i forbindelse med trusler

Beskrivelse af sårbarhed/trussel på højt niveau og underniveau

Eksempel på sårbarhed eller angrebsmetode

4.3.1.

Trusler fra backend-servere mod køretøjer i drift

Backend-servere anvendes som et middel til at angribe et køretøj eller udtrække data fra det

1.1

Misbrug af privilegier blandt ansatte (insiderangreb)

1.2

Uautoriseret internetadgang til serveren (f.eks. via bagdøre, sikkerhedshuller i systemsoftware, SQL-angreb eller andre midler)

1.3

Uautoriseret fysisk adgang til serveren (f.eks. vha. USB-nøgler eller andre medier, der er forbundet med serveren)

Tjenester fra backend-serveren bliver afbrudt og påvirker driften af et køretøj

2.1

Angreb på backend-serveren stopper driften af serveren, f.eks. kan angrebet forhindre serveren i at interagere med køretøjer og levere de nødvendige tjenester

Data vedrørende køretøjet på backend-servere går tabt eller kompromitteres (»databrud«)

3.1

Misbrug af privilegier blandt ansatte (insiderangreb)

3.2

Tab af oplysninger i skyen. Følsomme data kan gå tabt på grund af angreb eller ulykker, når data lagres af tredjepartsudbydere af cloudtjenester

3.3

Uautoriseret internetadgang til serveren (f.eks. via bagdøre, sikkerhedshuller i systemsoftware, SQL-angreb eller andre midler)

3.4

Uautoriseret fysisk adgang til serveren (f.eks. vha. USB-nøgler eller andre medier, der er forbundet med serveren)

3.5

Informationsbrud via utilsigtet udveksling af data (f.eks. administratorfejl)

4.3.2.

Trusler mod køretøjer via deres kommunikationskanaler

Spoofing af meddelelser eller data modtaget af køretøjet

4.1

Spoofing af meddelelser ved anvendelse af falsk identitet ( f.eks. 802.11p V2X under platooning, GNSS-meddelelser mm.)

4.2

Sybil-angreb (med henblik på at spoofe andre køretøjer og få det til at se ud som om, der er mange køretøjer på vejen)

Kommunikationskanaler anvendes til uautoriseret manipulation, sletning eller andre ændringer af kode/data i køretøjet

5.1

Kommunikationskanaler gør det muligt at indsætte koder, f.eks. kan manipulerede binære softwarefiler indsættes i kommunikationsstrømmen

5.2

Kommunikationskanaler gør det muligt at manipulere med data/kode i køretøjet

5.3

Kommunikationskanaler gør det muligt at overskrive data/kode i køretøjet

5.4

Kommunikationskanaler gør det muligt at slette data/kode i køretøjet

5.5

Kommunikationskanaler gør det muligt at introducere data/kode i køretøjet (skrive datakode)

Kommunikationskanaler accepterer usikre/upålidelige beskeder eller er sårbare over for session hijacking/replay-angreb

6.1

Accept af oplysninger fra en upålidelig eller usikker kilde

6.2

Man in the middle-angreb/session hijacking

6.3

Replay-angreb, f.eks. et angreb mod en kommunikationsgateway, gør det muligt for angriberen at nedklassificere software fra gatewayens ECU eller firmware

Oplysninger kan nemt videregives, f.eks. gennem aflytning af kommunikation eller uautoriseret adgang til følsomme filer eller mapper

7.1

Opsnapning af oplysninger/forstyrrende stråling/overvågning af kommunikation

7.2

Opnåelse af uautoriseret adgang til filer eller data

Denial of service-angreb via kommunikationskanaler med henblik på at forstyrre køretøjets drift

8.1

Afsendelse af en stor mængde unyttige data til køretøjets informationssystem, så det ikke er i stand til at levere tjenester på normal vis

8.2

Black hole-angreb, angriberen er i stand til at blokere for meddelelser mellem køretøjerne for at forstyrre kommunikationen mellem køretøjer

En ikkeprivilegeret bruger kan få privilegeret adgang til køretøjssystemerne

9.1

En ikkeprivilegeret bruger kan få privilegeret adgang, f.eks. root-adgang

Virus skjult i kommunikationsmedier kan inficere køretøjssystemerne

10.1

Virus skjult i kommunikationsmedier inficerer køretøjssystemerne

Meddelelser, der modtages af køretøjet (f.eks. X2V eller diagnosemeddelelser), eller som overføres i selve køretøjet, indeholder skadeligt indhold

11.1

Skadelige interne meddelelser (f.eks. CAN)

11.2

Skadelige V2X-meddelelser , f.eks. meddelelser fra infrastrukturen til køretøjet eller køretøjer imellem (f.eks. CAM, DENM)

11.3

Skadelige diagnosemeddelelser

11.4

Skadelige fortrolige meddelelser (f.eks. meddelelser, der normalt sendes fra OEM eller komponent-/system-/funktions-leverandører)

4.3.3.

Trusler mod køretøjer i forbindelse med opdateringsprocedurer

Misbrug eller kompromittering af opdateringsprocedurer

12.1

Kompromittering af trådløse softwareopdateringsprocesser. Dette omfatter forfalskning af programmet til systemopdatering eller firmware

12.2

Kompromittering af lokale/fysiske softwareopdateringsprocesser. Dette omfatter forfalskning af programmet til systemopdatering eller firmware

12.3

Softwaren manipuleres før opdateringsprocessen (og er derfor beskadiget), men opdateringsprocessen er intakt.

12.4

Kompromittering af softwareudbyderens kryptografiske nøgler med henblik på at gøre det muligt at foretage en ugyldig opdatering

Det er muligt at nægte gyldige opdateringer

13.1

Denial of Service-angreb mod opdateringsserveren eller netværket for at forhindre udrulningen af kritiske softwareopdateringer og/eller frigivelsen af kundespecifikke funktioner

4.3.4.

Trusler mod køretøjer via utilsigtede menneskelige aktiviteter, der fremmer et cyberangreb

Legitime aktører kan foretage handlinger, der uforvarende kan lette et cyberangreb

15.1

Uskyldigt offer (f.eks. ejer, bruger eller vedligeholdelsesingeniør), der bliver narret til at foretage en handling og utilsigtet uploade malware eller muliggøre et angreb

15.2

De definerede sikkerhedsprocedurer bliver ikke fulgt

4.3.5.

Trusler mod køretøjer via ekstern konnektivitet og eksterne forbindelser

Manipulation af køretøjsfunktionernes konnektivitet gør det muligt at gennemføre et cyberangreb. Dette kan omfatte telematik, systemer, der muliggør fjerndrift og systemer, der anvender trådløs kommunikation med kort rækkevidde

16.1

Manipulation af funktioner, der er designet til at fjernbetjene systemer , som f.eks. bilnøgler med fjernbetjening, startspærre og ladestationer

16.2

Manipulation af køretøjstelematik (f.eks. manipulation af temperaturmåling af følsomme varer, fjernåbning af døre til lastrum)

16.3

Interferens med trådløse systemer med kort rækkevidde eller sensorer

Hostet software fra tredjepartsleverandører, f.eks. underholdningsapplikationer, anvendes som et middel til at angribe køretøjssystemer

17.1

Beskadigede applikationer, eller applikationer med lav softwaresikkerhed, anvendes som et middel til at angribe køretøjssystemer

Udstyr forbundet med eksterne grænseflader, f.eks. USB-porte, OBD-port, anvendt som et middel til at angribe køretøjssystemer

18.1

Eksterne grænseflader såsom USB-porte eller andre porte anvendes som et angrebspunkt, f.eks. gennem indsættelse af koder

18.2

Medier, der er inficeret med et virus, forbindes til et køretøjssystem

18.3

Adgang via diagnosticering (f.eks. dongles i OBD-porte) anvendes til at fremme et angreb, dvs. manipulere køretøjsparametre (direkte eller indirekte)

4.3.6.

Trusler mod køretøjsdata/kode

Udtrækning af køretøjets data/kode

19.1

Udtrækning af copyright eller ophavsretligt beskyttet software fra køretøjssystemer (plagiering)

19.2

Uautoriseret adgang til ejerens personoplysninger, f.eks. personidentitet, oplysninger om betalingskonti, adressebog, geografisk placering, køretøjets elektroniske ID osv.

19.3

Udtrækning af krypteringsnøgler

Manipulation af køretøjets data/kode

20.1

Ulovlig/uautoriseret ændring af køretøjets elektroniske ID

20.2

Identitetsbedrageri, f.eks. når en bruger ønsker at vise en anden identitet ved kommunikation med vejafgiftssystemer, backend-servere hos fabrikanten

20.3

Handlinger, der foretages for at omgå overvågningssystemer (f.eks. hacking/manipulation/blokering af meddelelser såsom ODR Tracker data, eller antal kørsler)

20.4

Datamanipulation med henblik på at forfalske kørselsdata (f.eks. kilometerstand, hastighed, vejvisning mm.)

20.5

Uautoriserede ændringer af systemdiagnosedata

Sletning af data/kode

21.1

Uautoriseret sletning/manipulation af systemhændelseslog

Introduktion af malware

22.2

Introduktion af skadelig software eller ondsindet softwareaktivitet

Introduktion af ny software eller overskrivning af eksisterende software

23.1

Forfalskning af software til køretøjskontrolsystemer eller informationssystemer

Forstyrrelse af systemer eller operationer

24.1

Denial of Service, der f.eks. kan udløses på det interne netværk ved at oversvømme en CAN-bus eller ved at fremprovokere fejl på en ECU via et højt antal beskeder

Manipulation af køretøjsparametre

25.1

Uautoriseret adgang med henblik på forfalskning af konfigurationsparametre for nøglefunktioner i køretøjet, som f.eks. bremsedata, grænseværdi for udløsning af airbag osv.

25.2

Uautoriseret adgang med henblik på forfalskning af ladeparametre, som f.eks. ladespænding, ladeeffekt, batteritemperatur osv.

4.3.7.

Potentielle sårbarheder, der kan udnyttes, hvis de ikke er tilstrækkeligt beskyttede eller hærdede

Kryptografiske teknologier kan kompromitteres eller anvendes i utilstrækkelig grad

26.1

En kombination af kortvarige krypteringsnøgler og en lang gyldighedsperiode gør det muligt for angriberen at bryde krypteringen

26.2

Utilstrækkelig brug af kryptografiske algoritmer til beskyttelse af følsomme systemer

26.3

Anvendelse af allerede eller snart forældede krypteringsalgoritmer

Dele eller leveringer kan kompromitteres for at gøre det muligt at angribe køretøjet

27.1

Hardware eller software, som er designet til at muliggøre et angreb eller som ikke opfylder konstruktionskriterierne for at standse et angreb

Software eller hardwareudvikling skaber sårbarheder

28.1

Softwarefejl. Tilstedeværelsen af softwarefejl kan være et grundlag for en potentiel udnyttelse af sårbarheder. Dette gælder især, hvis softwaren ikke er blevet testet for at kontrollere, at den ikke er behæftet med kendt dårlig kode/fejl, således at risikoen for tilstedeværelsen af sådanne reduceres

28.2

Brug af elementer fra udviklingsfasen (f.eks. fejlfindingsporte, JTAG-porte, mikroprocessorer, udviklingscertifikater, udviklingspasswords osv.) kan give adgang til ECU'er eller give angribere mulighed for at få større privilegier

Netværksudforming skaber sårbarheder

29.1

Overflødige åbne internetporte som giver adgang til netværkssystemer

29.2

Omgåelse af netværksadskillelse med henblik på at opnå kontrol. Et specifikt eksempel herpå er brugen af ubeskyttede gateways eller adgangspunkter (f.eks. gateways mellem lastbil og påhængskøretøj) for at omgå beskyttelse og få adgang til andre netværkssegmenter med henblik på at udføre ondsindede handlinger, som f.eks. afsendelse af vilkårlige CAN-bus-beskeder

Utilsigtet overførsel af data kan forekomme

31.1

Informationsbrud. Personlige data kan lækkes ved ejer- eller brugerskift (dvs. bilen sælges eller bruges som udlejningsbil med nye lejere)

Fysisk manipulation af systemer kan muliggøre angreb

32.1

Manipulation af elektronisk hardware, dvs. uautoriseret elektronisk hardware tilføjet til køretøj for at muliggøre »man-in-the-middle«-angreb

Udskiftning af autoriseret elektronisk hardware (f.eks. sensorer) med uautoriseret elektronisk hardware

Manipulation af oplysninger indsamlet af en sensor (f.eks. anvendelse af en magnet til at forstyrre Hall-effekt-føleren, der er forbundet med gearkassen)

Del B. Modforanstaltninger til modvirkning af trusler mod køretøjer

Modforanstaltninger vedrørende »køretøjets kommunikationskanaler«

Modforanstaltninger mod trusler, som vedrører »køretøjets kommunikationskanaler« er opført i tabel B1.

Tabel B1

Modforanstaltninger mod trusler, som vedrører »køretøjets kommunikationskanaler«

Tabel A1 reference	Trusler mod »køretøjets kommunikationskanaler«	Ref	Modforanstaltning
4.1	Spoofing af meddelelser ( f.eks. 802.11p V2X under platooning, GNSS-meddelelser mm.) ved anvendelse af falsk identitet	M10	Køretøjet skal kontrollere autenticiteten og integriteten af de modtagne beskeder
4.2	Sybil-angreb (med henblik på at spoofe andre køretøjer og få det til at se ud som om, der er mange køretøjer på vejen)	M11	Der skal udføres sikkerhedskontrol i forbindelse med lagring af krypteringsnøgler (dvs. anvendelse af hardwaresikkerhedsmoduler)
5.1	Kommunikationskanaler gør det muligt at indsætte koder i køretøjets data/kode, f.eks. kan manipulerede binære softwarefiler indsættes i kommunikationsstrømmen	M10 M6	Køretøjet skal kontrollere autenticiteten og integriteten af de modtagne beskeder Systemer skal implementere »security by design« for at minimere risici
5.2	Kommunikationskanaler gør det muligt at manipulere med data/kode i køretøjet	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode
5.3	Kommunikationskanaler gør det muligt at overskrive data/kode i køretøjet
5.4 21.1	Kommunikationskanaler gør det muligt at slette data/kode i køretøjet
5.5	Kommunikationskanaler gør det muligt at introducere data/kode i køretøjssystemerne (skrive datakode)
6.1	Accept af oplysninger fra en upålidelig eller usikker kilde	M10	Køretøjet skal kontrollere autenticiteten og integriteten af de modtagne beskeder
6.2	Man in the middle-angreb/session hijacking	M10	Køretøjet skal kontrollere autenticiteten og integriteten af de modtagne beskeder
6.3	Replay-angreb, f.eks. et angreb mod en kommunikationsgateway, gør det muligt for angriberen at nedklassificere software fra gatewayens ECU eller firmware	M10
7.1	Opsnapning af oplysninger/forstyrrende stråling/overvågning af kommunikation	M12	Fortrolige data, der sendes til eller fra køretøjet, skal beskyttes
7.2	Opnåelse af uautoriseret adgang til filer eller data	M8	Gennem systemdesign og adgangskontrol bør det være umuligt for uautoriseret personale at få adgang til personlige eller systemkritiske data Eksempler på sikkerhedskontrol kan findes i OWASP
8.1	Afsendelse af en stor mængde unyttige data til køretøjets informationssystem, så det ikke er i stand til at levere tjenester på normal vis	M13	Der skal anvendes foranstaltninger, der gør det muligt at opdage og rette op på et Denial of Service-angreb
8.2	Black hole-angreb, afbrydelse af kommunikationen mellem køretøjer ved at blokere overførslen af beskeder til andre køretøjer	M13	Der skal anvendes foranstaltninger, der gør det muligt at opdage og rette op på et Denial of Service-angreb
9.1	En ikkeprivilegeret bruger kan få privilegeret adgang, f.eks. root-adgang	M9	Der skal anvendes foranstaltninger til forebyggelse og opdagelse af uautoriseret adgang
10.1	Virus skjult i kommunikationsmedier inficerer køretøjssystemerne	M14	Foranstaltninger til beskyttelse af systemer mod indlejrede vira/malware bør overvejes
11.1	Skadelige interne meddelelser (f.eks. CAN)	M15	Foranstaltninger til afsløring af skadelige interne meddelelser bør overvejes
11.2	Skadelige V2X-meddelelser , f.eks. meddelelser fra infrastrukturen til køretøjet eller køretøjer imellem (f.eks. CAM, DENM)	M10	Køretøjet skal kontrollere autenticiteten og integriteten af de modtagne beskeder
11.3	Skadelige diagnosemeddelelser
11.4	Skadelige fortrolige meddelelser (f.eks. meddelelser, der normalt sendes fra OEM eller komponent-/system-/funktions-leverandører)

Modforanstaltninger vedrørende »opdateringsprocessen«

Modforanstaltninger mod trusler, som vedrører »opdateringsprocessen« er opført i tabel B2.

Tabel B2

Modforanstaltninger mod trusler, som vedrører »opdateringsprocessen«

Tabel A1 reference	Trusler mod »opdateringsprocessen«	Ref	Modforanstaltning
12.1	Kompromittering af trådløse softwareopdateringsprocesser. Dette omfatter forfalskning af programmet til systemopdatering eller firmware	M16	Der skal anvendes sikre softwareopdateringsprocesser
12.2	Kompromittering af lokale/fysiske softwareopdateringsprocesser. Dette omfatter forfalskning af programmet til systemopdatering eller firmware
12.3	Softwaren manipuleres før opdateringsprocessen (og er derfor beskadiget), men opdateringsprocessen er intakt.
12.4	Kompromittering af softwareudbyderens kryptografiske nøgler med henblik på at gøre det muligt at foretage en ugyldig opdatering	M11	Der skal udføres sikkerhedskontrol i forbindelse med lagring af krypteringsnøgler
13.1	Denial of Service-angreb mod opdateringsserveren eller netværket for at forhindre udrulningen af kritiske softwareopdateringer og/eller frigivelsen af kundespecifikke funktioner	M3	Der skal udføres sikkerhedskontrol på backend-systemer. I tilfælde, hvor backend-servere er af afgørende betydning for leveringen af tjenester, eksisterer der backup-procedurer i tilfælde af systemnedbrud. Eksempler på sikkerhedskontrol kan findes i OWASP

Modforanstaltninger vedrørende »utilsigtede menneskelige handlinger, der fremmer et cyberangreb«

Modforanstaltninger mod trusler, som vedrører »utilsigtede menneskelige handlinger, der fremmer et cyberangreb« er opført i tabel B3.

Tabel B3

Modforanstaltninger mod trusler, som vedrører »utilsigtede menneskelige handlinger, der fremmer et cyberangreb«

Tabel A1 reference	Trusler vedrørende »utilsigtede menneskelige handlinger«	Ref	Modforanstaltning
15.1	Et uskyldigt offer (f.eks. ejer, bruger eller vedligeholdelsesingeniør) bliver narret til at foretage en handling og utilsigtet uploade malware eller muliggøre et angreb	M18	Der skal gennemføres foranstaltninger, der definerer og kontrollerer brugerroller og adgangsrettigheder, baseret på princippet om mindst mulig adgang
15.2	De definerede sikkerhedsprocedurer bliver ikke fulgt	M19	Organisationerne skal sørge for, at der er defineret sikkerhedsprocedurer, og at disse bliver fulgt, herunder registrering af handlinger og adgang forbundet med forvaltning af sikkerhedsfunktioner

Modforanstaltninger vedrørende »ekstern konnektivitet og eksterne forbindelser«

Modforanstaltninger mod trusler, der vedrører »ekstern konnektivitet og eksterne forbindelser« er opført i tabel B4.

Tabel B4

Modforanstaltninger mod trusler, der vedrører »ekstern konnektivitet og eksterne forbindelser«

Tabel A1 reference	Trusler vedrørende »ekstern konnektivitet og eksterne forbindelser«	Ref	Modforanstaltning
16.1	Manipulation af funktioner, der er designet til at fjernbetjene køretøjssystemer, som f.eks. bilnøgler med fjernbetjening, startspærre og ladestationer	M20	Der skal udføres sikkerhedskontrol for systemer med fjernadgang
16.2	Manipulation af køretøjstelematik (f.eks. manipulation af temperaturmåling af følsomme varer, fjernåbning af døre til lastrum)
16.3	Interferens med trådløse systemer med kort rækkevidde eller sensorer
17.1	Beskadigede applikationer, eller applikationer med lav softwaresikkerhed, anvendes som et middel til at angribe køretøjssystemer	M21	Software skal være sikkerhedsvurderet, bekræftet og integritetsbeskyttet. Der skal udføres sikkerhedskontrol for at minimere risikoen ved software fra tredjemand, som er beregnet til eller forventes at blive hostet i køretøjet
18.1	Eksterne grænseflader såsom USB-porte eller andre porte anvendes som et angrebspunkt, f.eks. gennem indsættelse af koder	M22	Der skal udføres sikkerhedskontrol for eksterne grænseflader
18.2	Medier inficeret med virus, der forbindes med et køretøjssystem	M22
18.3	Adgang via diagnosticering (f.eks. dongles i OBD-porte) anvendes til at fremme et angreb, dvs. manipulere køretøjsparametre (direkte eller indirekte)	M22	Der skal udføres sikkerhedskontrol for eksterne grænseflader

Modforanstaltninger vedrørende »potentielle mål for eller motiver til et angreb«

Modforanstaltninger mod trusler, der vedrører »potentielle mål for eller motiver til et angreb« er opført i tabel B5.

Tabel B5

Modforanstaltninger mod trusler, der vedrører »potentielle mål for eller motiver til et angreb«

Tabel A1 reference	Trusler vedrørende »potentielle mål for eller motiver til et angreb«	Ref	Modforanstaltning
19.1	Udtrækning af copyright eller ophavsretligt beskyttet software fra køretøjssystemer (plagiering/stjålet software)	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode. Eksempler på sikkerhedskontrol kan findes i OWASP
19.2	Uautoriseret adgang til ejerens personoplysninger, f.eks. personidentitet, oplysninger om betalingskonti, adressebog, geografisk placering, køretøjets elektroniske ID osv.	M8	Gennem systemdesign og adgangskontrol bør det være umuligt for uautoriseret personale at få adgang til personlige eller systemkritiske data Eksempler på sikkerhedskontrol kan findes i OWASP
19.3	Udtrækning af krypteringsnøgler	M11	Der skal udføres sikkerhedskontrol i forbindelse med lagring af krypteringsnøgler, dvs. anvendelse af sikkerhedsmoduler
20.1	Ulovlig/uautoriseret ændring af køretøjets elektroniske ID	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode. Eksempler på sikkerhedskontrol kan findes i OWASP
20.2	Identitetsbedrageri, f.eks. når en bruger ønsker at vise en anden identitet ved kommunikation med vejafgiftssystemer, backend-servere hos fabrikanten	M7
20.3	Handlinger, der foretages for at omgå overvågningssystemer (f.eks. hacking/manipulation/blokering af meddelelser såsom ODR Tracker data, eller antal kørsler)	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode. Eksempler på sikkerhedskontrol kan findes i OWASP. Datamanipulationsangreb på sensorer eller overførte data kan afbødes ved at forbinde data fra forskellige informationskilder
20.4	Datamanipulation med henblik på at forfalske kørselsdata (f.eks. kilometerstand, hastighed, vejvisning mm.)
20.5	Uautoriserede ændringer af systemdiagnosedata
21.1	Uautoriseret sletning/manipulation af systemhændelseslog	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode. Eksempler på sikkerhedskontrol kan findes i OWASP.
22.2	Introduktion af skadelig software eller ondsindet softwareaktivitet	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode. Eksempler på sikkerhedskontrol kan findes i OWASP.
23.1	Forfalskning af software til køretøjskontrolsystemer eller informationssystemer	M7
24.1	Denial of Service, der f.eks. kan udløses på det interne netværk ved at oversvømme en CAN-bus eller ved at fremprovokere fejl på en ECU via et højt antal beskeder	M13	Der skal anvendes foranstaltninger, der gør det muligt at opdage og rette op på et Denial of Service-angreb
25.1	Uautoriseret adgang med henblik på forfalskning af konfigurationsparametre for nøglefunktioner i køretøjet, som f.eks. bremsedata, grænseværdi for udløsning af airbag osv.	M7	Teknikker til og udformning af adgangskontrol skal anvendes til beskyttelse af systemdata/-kode. Eksempler på sikkerhedskontrol kan findes i OWASP
25.2	Uautoriseret adgang med henblik på forfalskning af ladeparametre, som f.eks. ladespænding, ladeeffekt, batteritemperatur osv.	M7

Modforanstaltning vedrørende »potentielle sårbarheder, som kan udnyttes, hvis de ikke er tilstrækkeligt beskyttede eller forstærkede«

Modforanstaltninger mod trusler, der vedrører »potentielle sårbarheder, som kan udnyttes, hvis de ikke er tilstrækkeligt beskyttede eller hærdede« er anført i tabel B6.

Tabel B6

Modforanstaltninger mod trusler, der vedrører »potentielle sårbarheder, som kan udnyttes, hvis de ikke er tilstrækkeligt beskyttede eller hærdede«

Tabel A1 reference	Trusler vedrørende »potentielle sårbarheder, som kan udnyttes, hvis de ikke er tilstrækkeligt beskyttede eller hærdede«	Ref	Modforanstaltning
26.1	En kombination af kortvarige krypteringsnøgler og en lang gyldighedsperiode gør det muligt for angriberen at bryde krypteringen	M23	Bedste praksis for cybersikkerhed for udvikling af software og hardware skal følges
26.2	Utilstrækkelig brug af kryptografiske algoritmer til beskyttelse af følsomme systemer
26.3	Anvendelse af forældede kryptografiske algoritmer
27.1	Hardware eller software, der er designet til at muliggøre et angreb eller ikke opfylder konstruktionskriterierne for at standse et angreb	M23	Bedste praksis for cybersikkerhed for udvikling af software og hardware skal følges
28.1	Tilstedeværelsen af softwarefejl kan være et grundlag for en potentiel udnyttelse af sårbarheder. Dette gælder især, hvis softwaren ikke er blevet testet for at kontrollere, at den ikke er behæftet med kendt dårlig kode/fejl, således at risikoen for tilstedeværelsen af sådanne reduceres	M23	Bedste praksis for cybersikkerhed for udvikling af software og hardware skal følges. Prøvning af cybersikkerhed med passende dækning
28.2	Brug af elementer fra udviklingsfasen (f.eks. fejlfindingsporte, JTAG-porte, mikroprocessorer, udviklingscertifikater, udviklingspasswords osv.) kan give en angriber adgang til ECU'er eller større privilegier
29.1	Overflødige åbne internetporte som giver adgang til netværkssystemer
29.2	Omgåelse af netværksadskillelse med henblik på at opnå kontrol. Et specifikt eksempel herpå er brugen af ubeskyttede gateways eller adgangspunkter (f.eks. gateways mellem lastbil og påhængskøretøj) for at omgå beskyttelse og få adgang til andre netværkssegmenter med henblik på at udføre ondsindede handlinger, som f.eks. afsendelse af vilkårlige CAN-bus-beskeder	M23	Bedste praksis for cybersikkerhed for udvikling af software og hardware skal følges. Bedste praksis for systemudformning og systemintegration skal følges

Modforanstaltninger vedrørende »datatab/databrud fra køretøjer«

Modforanstaltninger mod trusler, der vedrører »datatab/databrud fra køretøjer« er opført i tabel B7.

Tabel B7

Modforanstaltninger mod trusler, der vedrører »datatab/databrud fra køretøjer«

Tabel A1 reference	Trusler vedrørende »datatab/databrud fra køretøjer«	Ref	Modforanstaltning
31.1	Informationsbrud. Personlige data kan lækkes ved ejer- eller brugerskift (dvs. bilen sælges eller bruges som udlejningsbil med nye lejere)	M24	Bedste praksis for beskyttelse af dataintegritet og fortrolighed skal følges i forbindelse med lagring af personoplysninger.

Modforanstaltninger vedrørende »fysisk manipulation af systemer for at muliggøre angreb«

Modforanstaltninger mod trusler, der vedrører »fysisk manipulation af systemer for at muliggøre angreb« er opført i tabel B8.

Tabel B8

Modforanstaltninger mod trusler, der vedrører »fysisk manipulation af systemer for at muliggøre angreb«

Tabel A1 reference	Trusler vedrørende »fysisk manipulation af systemer for at muliggøre angreb«	Ref	Modforanstaltning
32.1	Manipulation af OEM-hardware, dvs. uautoriseret hardware, der tilføjes til køretøjet for at muliggøre »man-in-the-middle«-angreb	M9	Der skal anvendes foranstaltninger til forebyggelse og opdagelse af uautoriseret adgang

Del C. Modforanstaltninger vedrørende trusler uden for køretøjet

Modforanstaltninger vedrørende »backend-servere«

Modforanstaltninger mod trusler, der vedrører »backend-servere« er opført i tabel C1.

Tabel C1

Modforanstaltninger mod trusler, der vedrører »backend-servere«

Tabel A1 reference	Trusler vedrørende »backend-servere«	Ref	Modforanstaltning
1.1 & 3.1	Misbrug af privilegier blandt ansatte (insiderangreb)	M1	Der skal udføres sikkerhedskontrol på backend-systemer for at forhindre insiderangreb
1.2 & 3.3	Uautoriseret internetadgang til serveren (f.eks. via bagdøre, sikkerhedshuller i systemsoftware, SQL-angreb eller andre midler)	M2	Der skal udføres sikkerhedskontrol på backend-systemer for at forhindre uautoriseret adgang. Eksempler på sikkerhedskontrol kan findes i OWASP
1.3 & 3.4	Uautoriseret fysisk adgang til serveren (f.eks. vha. USB-nøgler eller andre medier, der er forbundet med serveren)	M8	Gennem systemdesign og adgangskontrol bør det være umuligt for uautoriseret personale at få adgang til personlige eller systemkritiske data
2.1	Angreb på backend-serveren stopper driften af serveren, f.eks. kan angrebet forhindre serveren i at interagere med køretøjer og levere de nødvendige tjenester	M3	Der skal udføres sikkerhedskontrol på backend-systemer. I tilfælde, hvor backend-servere er af afgørende betydning for leveringen af tjenester, eksisterer der backup-procedurer i tilfælde af systemnedbrud. Eksempler på sikkerhedskontrol kan findes i OWASP
3.2	Tab af oplysninger i skyen. Følsomme data kan gå tabt på grund af angreb eller ulykker, når data lagres af tredjepartsudbydere af cloudtjenester	M4	Der skal anvendes sikkerhedskontroller for at minimere risici i forbindelse med cloudcomputing. Eksempler på sikkerhedskontrol kan findes i OWASP og NCSC's retningslinjer for cloudcomputing
3.5	Informationsbrud via utilsigtet udveksling af data (f.eks. administratorfejl, lagring af data på servere i garager)	M5	Der skal udføres sikkerhedskontrol på backend-systemer for at forhindre databrud. Eksempler på sikkerhedskontrol kan findes i OWASP

Modforanstaltninger vedrørende »utilsigtede menneskelige handlinger«

Modforanstaltninger mod trusler, der vedrører »utilsigtede menneskelige handlinger« er opført i tabel C2.

Tabel C2

Modforanstaltninger mod trusler, der vedrører »utilsigtede menneskelige handlinger«

Tabel A1 reference	Trusler vedrørende »utilsigtede menneskelige handlinger«	Ref	Modforanstaltning
15.1	Et uskyldigt offer (f.eks. ejer, bruger eller vedligeholdelsesingeniør) bliver narret til at foretage en handling og utilsigtet uploade malware eller muliggøre et angreb	M18	Der skal gennemføres foranstaltninger, der definerer og kontrollerer brugerroller og adgangsrettigheder, baseret på princippet om mindst mulig adgang
15.2	De definerede sikkerhedsprocedurer bliver ikke fulgt	M19	Organisationerne skal sørge for, at der er defineret sikkerhedsprocedurer, og at disse bliver fulgt, herunder registrering af handlinger og adgang forbundet med forvaltning af sikkerhedsfunktioner

Modforanstaltninger vedrørende »fysisk tab af data«

Modforanstaltninger mod trusler, der vedrører »fysisk tab af data« er opført i tabel C3.

Tabel C3

Modforanstaltninger mod trusler, der vedrører »fysisk tab af data«

Tabel A1 reference	Trusler vedrørende »fysisk tab af data«	Ref	Modforanstaltning
30.1	Skade forvoldt af tredjemand. Følsomme data kan gå tabt eller blive kompromitteret grund af fysiske skader i tilfælde af færdselsuheld eller tyveri	M24	Bedste praksis for beskyttelse af dataintegritet og fortrolighed skal følges i forbindelse med lagring af personoplysninger. Eksempler på sikkerhedskontrol kan findes i ISO/SC27/WG5
30.2	Tab i forbindelse med DRM-konflikter (forvaltning af digitale rettigheder). Brugerdata kan blive slettet på grund af DRM-fejl
30.3	(Integriteten af) følsomme data kan gå tabt på grund af slidte it-komponenter, hvilket kan forårsage potentielle følgevirkninger (f.eks. i forbindelse med ændring af nøgle)

9.3.2021

Den Europæiske Unions Tidende

L 82/60

Kun de originale FN/ECE-tekster har retlig virkning i henhold til folkeretten. Dette regulativs nuværende status og ikrafttrædelsesdato bør kontrolleres i den seneste version af FN/ECE's statusdokument TRANS/WP.29/343, der findes på adressen: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

FN-regulativ nr. 156 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår softwareopdateringer og systemer til forvaltning heraf [2021/388]

Ikrafttrædelsesdato: 22. januar 2021

Dette dokument tjener udelukkende som dokumentationsredskab. Den autentiske og juridisk bindende tekst er: ECE/TRANS/WP.29/2020/80.

INDHOLDSFORTEGNELSE

REGULATIV

Anvendelsesområde

Definitioner

Ansøgning om godkendelse

Mærkning

Godkendelse

Overensstemmelsesattest for systemer til forvaltning af softwareopdateringer

Generelle specifikationer

Ændring af køretøjstype og udvidelse af typegodkendelse

Produktionens overensstemmelse

10.

Sanktioner i tilfælde af produktionens manglende overensstemmelse

11.

Endeligt ophør af produktionen

12.

Navne og adresser på tekniske tjenester, som er ansvarlige for udførelse af godkendelsesprøvning, og på de typegodkendende myndigheder

BILAG

Oplysningsskema

Tillæg 1— Model for overensstemmelsesattest for systemer til forvaltning af softwareopdateringer

Meddelelse

Godkendelsesmærkets udformning

Model for overensstemmelsesattest for systemer til forvaltning af softwareopdateringer

1. ANVENDELSESOMRÅDE

1.1.

Dette regulativ finder anvendelse på køretøjer i klasse (1) M, N, O, R, S og T med mulighed for softwareopdateringer

2. DEFINITIONER

2.1.

»Køretøjstype«: køretøjer, der, som minimum, ikke udviser forskelle på følgende punkter:

a)	fabrikantens betegnelse for køretøjstypen

b)	væsentlige aspekter ved køretøjstypens konstruktion med hensyn til softwareopdatering.

2.2.

»RX-softwareidentifikationsnummer (RXSWIN)«: en særlig identifikator, der er defineret af køretøjsfabrikanten, og som repræsenterer oplysninger om den typegodkendelsesrelevante software for det elektroniske styresystem, der bidrager til køretøjets typegodkendelsesrelevante egenskaber, jf. regulativ nr. X.

2.3.

»Softwareopdatering«: en pakke, der anvendes til at opgradere software til en ny version, herunder en ændring af konfigurationsparametrene.

2.4.

»Udførelse«: processen med at installere og aktivere en downloadet opdatering.

2.5.

»System til forvaltning af softwareopdateringer (SUMS)«: en systematisk fremgangsmåde, der definerer de organisatoriske processer og procedurer for opfyldelse af kravene til levering af softwareopdateringer i henhold til dette regulativ.

2.6.

»Køretøjsbruger«: en person, der betjener eller fører køretøjet, en køretøjsejer, en bemyndiget repræsentant eller ansat hos en vognparksadministrator, en bemyndiget repræsentant eller ansat hos køretøjsfabrikanten eller en autoriseret tekniker.

2.7.

»Sikker tilstand«: en driftstilstand anvendt i tilfælde af svigt i et element, som ikke indebærer et urimeligt risikoniveau.

2.8.

»Software«: betyder den del af et elektronisk styringssystem, som består af digitale data og instrukser.

2.9.

»Trådløs opdatering (OTA)«: enhver metode til trådløs transmission af data i stedet for at bruge et kabel eller en anden lokal forbindelse.

2.10.

»System«: en række komponenter og/eller undersystemer, som implementerer en eller flere funktioner.

2.11.

»Integritetsvalideringsdata«: en gengivelse af digitale data, som kan bruges til at foretage sammenligninger med henblik på at opdage fejl eller ændringer i dataene. Dette kan omfatte kontrolsummer og hashværdier.

3. ANSØGNING OM GODKENDELSE

3.1.

Ansøgningen om typegodkendelse af et køretøj for så vidt angår softwareopdateringsprocessen indgives af køretøjets fabrikant eller dennes behørigt bemyndigede repræsentant.

3.2.

Ansøgningen bilægges nedennævnte dokumenter i tre eksemplarer og følgende emner:

3.3.

en beskrivelse af køretøjstypen, hvad angår de punkter, der er angivet i bilag 1 til regulativet

3.4.

hvis det påvises, at oplysninger er omfattet af intellektuelle ejendomsrettigheder eller udgør fabrikantens eller dennes leverandørers specifikke knowhow, stiller fabrikanten eller dennes leverandører tilstrækkelige oplysninger til rådighed, som sikrer, at den i regulativet foreskrevne kontrol kan foretages på behørig vis. Sådanne oplysninger behandles fortroligt.

3.5.

Overensstemmelsesattest for systemer til forvaltning af softwareopdateringer, jf. punkt 6 i dette regulativ

3.6.

Et køretøj, repræsentativt for den køretøjstype, som skal godkendes, skal fremstilles for den tekniske tjeneste, der er ansvarlig for udførelse af godkendelsesprøvningen.

3.7.

Dokumentationen skal foreligge i to dele:

Den formelle dokumentationspakke med det materiale, der er nævnt i bilag 1, som skal leveres til den godkendende myndighed eller dennes tekniske tjeneste på tidspunktet for indsendelsen af typegodkendelsesansøgningen. Den godkendende myndighed eller dennes tekniske tjeneste anvender denne dokumentationspakke som grundlæggende reference for godkendelsesprocessen. Den godkendende myndighed eller dennes tekniske tjeneste skal sikre, at denne dokumentationspakke er til rådighed i mindst 10 år regnet fra tidspunktet for endeligt ophør af produktionen.

Yderligere materiale af relevans for kravene i dette regulativ kan opbevares af fabrikanten, men stilles til rådighed for gennemgang på godkendelsestidspunktet. Fabrikanten skal sikre, at alle materialer, der stilles til rådighed for inspektion på tidspunktet for typegodkendelsen, fortsat er tilgængelige i mindst 10 år regnet fra tidspunktet for endeligt ophør af produktionen.

4. MÆRKNING

4.1.

4.1.1.

en cirkel, som omslutter bogstavet »E« efterfulgt af kendingsnummeret på den stat, som har meddelt godkendelse (2)

4.1.2.

nummeret på dette regulativ efterfulgt af bogstavet »R«, en bindestreg og godkendelsesnummeret til højre for den cirkel, der er foreskrevet i punkt 4.1.1 ovenfor.

4.2.

4.3.

Godkendelsesmærket skal være let læseligt og må ikke kunne fjernes.

4.4.

Godkendelsesmærket skal anbringes på eller tæt ved den fabrikationsplade, fabrikanten har anbragt på køretøjet.

4.5.

Bilag 3 til dette regulativ indeholder eksempler på godkendelsesmærkets udformning.

5. GODKENDELSE

5.1.

De godkendende myndigheder må kun meddele typegodkendelse for så vidt angår softwareopdateringsprocedurer og -processer for de køretøjstyper, der opfylder kravene i dette regulativ.

5.1.1.

Den godkendende myndighed eller den tekniske tjeneste skal gennem prøvning af et køretøj af køretøjstypen kontrollere, at køretøjsfabrikanten har gennemført de dokumenterede foranstaltninger. Prøvning udføres af den godkendende myndighed eller den tekniske tjeneste selv eller i samarbejde med køretøjsfabrikanten ved prøveudtagning.

5.2.

En meddelelse om godkendelse eller om udvidelse eller nægtelse af godkendelse af en køretøjstype i henhold til dette regulativ fremsendes til de parter i 1958-overenskomsten, der anvender dette regulativ, ved hjælp af en formular svarende til modellen i bilag 2 til dette regulativ.

5.3.

De godkendende myndigheder må ikke meddele typegodkendelse uden at sikre, at fabrikanten har indført tilfredsstillende ordninger og procedurer til korrekt forvaltning af de softwareopdateringer, der er omfattet af dette regulativ.

6. OVERENSSTEMMELSESATTEST FOR SYSTEMER TIL FORVALTNING AF SOFTWAREOPDATERINGER

6.1.

De kontraherende parter udpeger en godkendende myndighed til at foretage en vurdering af fabrikanten og udstede en overensstemmelsesattest for systemet til styring af softwareopdateringer.

6.2.

Køretøjsfabrikanten eller dennes behørigt bemyndigede repræsentant indgiver ansøgning om overensstemmelsesattest for systemer til forvaltning af softwareopdateringer.

6.3.

Ansøgningen bilægges nedennævnte dokumenter i tre eksemplarer og følgende oplysninger:

6.3.1.

Dokumenter, der beskriver systemet til forvaltning af softwareopdateringer.

6.3.2.

En underskrevet erklæring efter modellen som defineret i tillæg 1 til bilag 1.

6.4.

I forbindelse med vurderingen skal fabrikanterne ved hjælp af modellen som defineret i tillæg 1 til bilag 1 erklære og godtgøre over for den godkendende myndighed eller dennes tekniske tjeneste, at de har de nødvendige processer til at opfylde alle krav til softwareopdateringer i henhold til dette regulativ.

6.5.

Når denne vurdering er tilfredsstillende gennemført og efter modtagelse af en underskrevet erklæring fra fabrikanten i overensstemmelse med modellen i tillæg 1 til bilag 1, udstedes en attest kaldet overensstemmelsesattest for systemer til forvaltning af softwareopdateringer, jf. bilag 4 til dette regulativ, til fabrikanten (i det følgende benævnt »SUMS-overensstemmelsesattest«).

6.6.

SUMS-overensstemmelsesattesten forbliver gyldig i højst tre år regnet fra udstedelsesdatoen, medmindre attesten inddrages.

6.7.

Den godkendende myndighed, som har udstedt SUMS-overensstemmelsesattesten, kan til enhver tid kontrollere, at systemet til stadighed opfylder kravene. SUMS-overensstemmelsesattesten kan inddrages, hvis kravene i dette regulativ ikke længere er opfyldt.

6.8.

Fabrikanten skal underrette den godkendende myndighed eller dennes tekniske tjeneste om eventuelle ændringer, der vil påvirke relevansen af SUMS-overensstemmelsesattesten. Efter samråd med fabrikanten afgør den godkendende myndighed eller dennes tekniske tjeneste, om der er behov for ny kontrol.

6.9.

Ved udløbet af gyldighedsperioden for SUMS-overensstemmelsesattesten udsteder den godkendende myndighed efter en positiv vurdering en ny overensstemmelsesattest for systemet til forvaltning af softwareopdateringer eller forlænger dennes gyldighed i en periode på yderligere tre år. Den godkendende myndighed udsteder en ny attest, hvis den godkendende myndighed eller dennes tekniske tjeneste er blevet gjort opmærksom på ændringer, og såfremt ændringerne er blevet revurderet med positivt resultat.

6.10.

Eksisterende køretøjstypegodkendelser mister ikke deres gyldighed som følge af udløbet af fabrikantens SUMS-overensstemmelsesattest.

7. GENERELLE SPECIFIKATIONER

7.1.

Krav til fabrikantens system til forvaltning af softwareopdateringer

7.1.1.

Processer, som skal kontrolleres ved indledende vurdering:

7.1.1.1.

en proces, hvorved oplysninger, der er relevante for dette regulativ, dokumenteres og opbevares sikkert hos køretøjets fabrikant og kan stilles til rådighed for en godkendende myndighed eller dennes tekniske tjeneste efter anmodning

7.1.1.2.

en proces, hvorved oplysninger om alle oprindelige og ajourførte softwareversioner, herunder integritetsvalideringsdata og relevante hardwarekomponenter i et typegodkendt system kan identificeres entydigt

7.1.1.3.

en proces, hvorved der for en køretøjstype, som har et RXSWIN, er adgang til og mulighed for ajourføring af oplysninger om køretøjstypens RXSWIN før og efter opdatering. Dette omfatter evnen til at ajourføre oplysninger om softwareversioner og deres integritetsvalideringsdata vedrørende al relevant software for hvert RXSWIN

7.1.1.4.

en proces, hvorved køretøjsfabrikanten for en køretøjstype, som har et RXSWIN, kan kontrollere, at de(n) softwareversion(er), der er til stede i en komponent i et typegodkendt system, er i overensstemmelse med dem, der er defineret af det relevante RXSWIN

7.1.1.5.

en proces, hvorved det opdaterede systems eventuelle indbyrdes afhængighed af andre systemer kan identificeres

7.1.1.6.

en proces, hvorved køretøjsfabrikanten er i stand til at identificere målkøretøjer med henblik på en softwareopdatering

7.1.1.7.

en proces til at bekræfte, at en softwareopdatering er kompatibel med målkøretøjets/-køretøjernes konfiguration, inden den frigives. Dette skal omfatte en vurdering af målkøretøjets/-køretøjernes sidst kendte software-/hardwarekonfiguration, for at sikre, at denne er kompatibel med opdateringen, før denne frigives

7.1.1.8.

en proces til at vurdere, identificere og registrere, om en softwareopdatering vil påvirke eventuelle typegodkendte systemer. I den forbindelse skal det undersøges, om opdateringen vil indvirke på eller ændre nogle af de parametre, der anvendes til at definere de systemer, som opdateringen vedrører, eller om den kan ændre nogle af de parametre, der anvendes ved typegodkendelse af disse systemer (som defineret i den relevante lovgivning)

7.1.1.9.

en proces til at vurdere, identificere og registrere, om en softwareopdatering vil tilføje, ændre eller aktivere funktioner, der ikke var til stede eller aktiveret, da køretøjet blev typegodkendt, eller ændre eller deaktivere eventuelle andre parametre eller funktioner, der er defineret i lovgivningen. Vurderingen skal omfatte en undersøgelse af, hvorvidt:

a)	angivelser i informationspakken vil skulle ændres

b)	prøvningsresultaterne ikke længere omfatter køretøjet efter ændringerne

c)	eventuelle ændringer af køretøjets funktioner vil påvirke køretøjets typegodkendelse

7.1.1.10.

en proces til at vurdere, identificere og registrere, om en softwareopdatering vil påvirke et andet system, der er nødvendigt for sikker og kontinuerlig drift af køretøjet, eller om opdateringen vil tilføje eller ændre køretøjets funktioner i forhold til det tidspunkt. det blev registreret

7.1.1.11.

en proces, hvorved brugeren af køretøjet kan blive informeret om opdateringer

7.1.1.12.

en proces, hvorved køretøjsfabrikanten skal være i stand til at stille oplysningerne i punkt 7.1.2.3 og 7.1.2.4 til rådighed for de ansvarlige myndigheder eller de tekniske tjenester. Dette kan ske med henblik på typegodkendelse, produktionens overensstemmelse, markedsovervågning, tilbagekaldelser og periodisk teknisk inspektion (PTI).

7.1.2.

Køretøjsfabrikanten skal registrere og lagre følgende oplysninger for hver opdatering, der er anvendt på en given køretøjstype:

7.1.2.1.

dokumentation, der beskriver de processer, køretøjsfabrikanten anvender til softwareopdatering, og alle relevante standarder, der anvendes til at påvise, at disse overholder kravene

7.1.2.2.

dokumentation, der beskriver konfigurationen af relevante typegodkendte systemer før og efter en opdatering. Denne skal omfatte en entydig identifikation af det typegodkendte systems hardware og software (herunder softwareversioner) og relevante køretøjs- eller systemparametre

7.1.2.3.

for hvert RXSWIN skal der være et auditerbart register, der beskriver al den software, der er relevant for køretøjstypens RXSWIN før og efter en opdatering. Dette omfatter oplysninger om softwareversioner og deres integritetsvalideringsdata vedrørende al relevant software for hvert RXSWIN

7.1.2.4.

dokumentation med en fortegnelse over målkøretøjer, hvis systemer skal opdateres og bekræftelse af kompatibiliteten af den sidst kendte konfiguration af disse køretøjer med opdateringen

7.1.2.5.

dokumentation for alle softwareopdateringer til den pågældende køretøjstype, som beskriver:

a)	formålet med opdateringen

b)	hvilke systemer eller køretøjsfunktioner, opdateringen kan indvirke på

c)	hvilke af disse, der er godkendt (om nogen)

d)	hvis det er relevant, om softwareopdateringen påvirker opfyldelsen af nogle af de relevante krav til det typegodkendte system

e)	hvorvidt softwareopdateringen påvirker et af parametrene for systemtypegodkendelse

f)	om der blev ansøgt om godkendelse af opdateringen hos et godkendelsesorgan

g)	hvordan opdateringen kan udføres og på hvilke betingelser

h)	bekræftelse af, at softwareopdateringen vil blive udført på sikker vis

i)	bekræftelse af, at softwareopdateringen har været underkastet og bestået verifikations- og valideringsprocedurerne.

7.1.3.

Sikkerhed - køretøjsfabrikanten skal påvise:

7.1.3.1.

den proces, køretøjsfabrikanten vil anvende for at sikre, at softwareopdateringer vil være således beskyttet, at manipulation i rimelighed grad forhindres, før opdateringsprocessen initieres

7.1.3.2.

de anvendte opdateringsprocesser er beskyttet, således at de i rimelig grad er beskyttet mod kompromittering, herunder udvikling af systemet til levering af opdateringer

7.1.3.3.

de processer, der anvendes til at bekræfte og validere, at softwarefunktionaliteten og den i køretøjet anvendte softwarekode er hensigtsmæssige.

7.1.4.

Yderligere krav til trådløs softwareopdatering

7.1.4.1.

Køretøjsfabrikanterne skal påvise, at de processer og procedurer, de vil bruge til at vurdere, at de trådløse opdateringer ikke vil indvirke på sikkerheden, hvis de udføres under kørslen.

7.1.4.2.

Køretøjsfabrikanterne skal dokumentere de processer og procedurer, de vil anvende for at sikre, at når en trådløs opdatering stiller krav om et særligt kvalificeret eller komplekst indgreb, f.eks. re-kalibrering af en sensor efter programmering for at fuldende opdateringsprocessen, kan denne kun fortsætte, når en person, der er uddannet hertil, er til stede eller har kontrol over processen.

7.2.

Krav til køretøjstype

7.2.1.

Krav til softwareopdateringer

7.2.1.1.

Softwareopdateringernes ægthed og integritet skal beskyttes, således, at kompromittering heraf og ugyldige opdateringer i rimelig grad forhindres.

7.2.1.2.

Hvis en køretøjstype anvender RXSWIN:

7.2.1.2.1.

Hver RXSWIN skal være entydigt identificerbar. Når typegodkendelsesrelevant software ændres af køretøjsfabrikanten, skal RXSWIN opdateres, hvis det fører til en udvidelse af typegodkendelsen eller en ny typegodkendelse.

7.2.1.2.2.

Hver RXSWIN skal være let aflæselig på en standardiseret måde ved hjælp af en elektronisk kommunikationsgrænseflade, som minimum ved hjælp af standardgrænsefladen (OBD-port).

Hvis der ikke opbevares RXSWIN i køretøjet, skal fabrikanten over for den godkendende myndighed oplyse køretøjets eller de enkelte elektroniske styreenheders softwareversion samt forbindelsen til de relevante typegodkendelser. Disse oplysninger skal ajourføres, hver gang den/de oplyste softwareversion(r) opdateres. I den forbindelse skal softwareversionerne være let aflæselige på en standardiseret måde ved hjælp af en elektronisk kommunikationsgrænseflade, som minimum ved hjælp af standardgrænsefladen (OBD-port).

7.2.1.2.3.

Køretøjsfabrikanten skal beskytte RXSWIN og/eller softwareversioner i et køretøj mod uautoriserede ændringer. I forbindelse med typegodkendelse skal de midler, som anvendes til at beskytte mod uautoriseret ændring af de RXSWIN og/eller softwareversioner, som køretøjsfabrikanten har valgt, afgives fortroligt.

7.2.2.

Yderligere krav for trådløse opdateringer

7.2.2.1.

Køretøjet skal have følgende funktionalitet med hensyn til softwareopdateringer:

7.2.2.1.1.

Køretøjsfabrikanten skal sikre, at køretøjet er i stand til at rulle systemerne tilbage til den tidligere version i tilfælde af en mislykket eller afbrudt opdatering, eller at køretøjet kan anbringes i en sikker tilstand efter en mislykket eller afbrudt opdatering.

7.2.2.1.2.

Køretøjsfabrikanten skal sikre, at softwareopdateringer kun kan udføres, når køretøjet har tilstrækkeligt med strøm til at gennemføre opdateringsprocessen (herunder den strøm, der er nødvendigt for at rulle tilbage til den tidligere version eller til at bringe køretøjet i sikker tilstand).

7.2.2.1.3.

Hvis udførelsen af en opdatering kan påvirke køretøjets sikkerhed, skal køretøjsfabrikanten påvise, hvordan opdateringen udføres sikkert. Dette skal opnås ved hjælp af tekniske midler, som sikrer, at køretøjet befinder sig i en tilstand, hvor opdateringen kan udføres sikkert.

7.2.2.2.

Køretøjsfabrikanten skal påvise, at køretøjets bruger kan informeres om en opdatering, inden den udføres. De oplysninger, der stilles til rådighed, skal indeholde:

a)	formålet med opdateringen. Dette kan omfatte, hvorvidt opdateringen er kritisk, og om opdateringen sker med henblik på tilbagekaldelse og/eller af sikkerhedshensyn

b)	eventuelle ændringer, som opdateringen medfører for køretøjets funktioner

c)	det forventede tidsforløb for en fuldstændig udførelse af opdateringen

d)	eventuelle køretøjsfunktioner, som muligvis ikke er tilgængelige under opdateringen

e)	eventuelle instruktioner, der kan hjælpe køretøjets bruger med at udføre opdateringen på sikker vis.

Hvis der er tale om grupper af opdateringer med et lignende indhold, kan en oplysning dække en sådan gruppe.

7.2.2.3.

I tilfælde, hvor en udførelse af opdatering under kørslen muligvis ikke er sikker, skal køretøjsfabrikanterne påvise, hvordan de vil:

a)	sikre, at køretøjet ikke kan køres under opdateringen

b)	sikre, at føreren ikke kan anvende køretøjsfunktionaliteter, som kan påvirke køretøjets sikkerhed eller en sikker udførelse af opdateringen.

7.2.2.4.

Når opdateringen er udført, skal køretøjsfabrikanten påvise, hvordan følgende vil blive gennemført:

a)	køretøjsbrugeren kan informeres om, hvorvidt opdateringen lykkedes (eller mislykkedes)

b)	køretøjbrugeren kan informeres om de gennemførte ændringer og eventuelle hermed forbundne ajourføringer af brugervejledningen (hvis relevant).

7.2.2.5.

Køretøjet skal sikre, at forudsætningerne er opfyldt, inden softwareopdateringen udføres.

8. ÆNDRING AF KØRETØJSTYPE OG UDVIDELSE AF TYPEGODKENDELSE

8.1.

Enhver ændring af køretøjstypen, som påvirker typens tekniske ydeevne og/eller den dokumentation, der kræves i henhold til dette regulativ, skal meddeles den godkendende myndighed, der har meddelt godkendelsen. Den godkendende myndighed kan da enten:

8.1.1.

vurdere, at de foretagne ændringer stadig opfylder kravene til og dokumentationen for den tidligere typegodkendelse eller

8.1.2.

kræve en supplerende prøvningsrapport fra den tekniske tjeneste, der er ansvarlig for prøvningens udførelse.

8.1.3.

Godkendelse eller udvidelse eller nægtelse af godkendelse med angivelse af ændringerne meddeles ved hjælp af en meddelelsesformular svarende til modellen i bilag 2 til dette regulativ. Den godkendende myndighed, som udsteder udvidelse af en godkendelse, tildeler udvidelsen et serienummer og underretter de andre parter i 1958-overenskomsten, der anvender dette regulativ, herom ved hjælp af en meddelelsesformular svarende til modellen i bilag 2 til dette regulativ.

9. PRODUKTIONENS OVERENSSTEMMELSE

9.1.

Procedurerne til sikring af produktionens overensstemmelse skal opfylde forskrifterne i 1958-overenskomstens tillæg 1 (E/ECE/TRANS/505/Rev.3), idet følgende krav finder anvendelse:

9.1.1.

Indehaveren af godkendelsen skal sikre, at resultaterne af prøvningerne af produktionens overensstemmelse registreres, og at de vedlagte dokumenter er tilgængelige i en periode, der fastsættes efter aftale med den godkendende myndighed eller den tekniske tjeneste. Denne periode må ikke overstige 10 år, regnet fra tidspunktet for produktionens endelige ophør.

9.1.2.

Den godkendende myndighed, som har meddelt typegodkendelsen, kan til enhver tid kontrollere de metoder til overensstemmelseskontrol, der anvendes på de enkelte produktionsanlæg. Der foretages normalt en inspektion hvert tredje år.

9.1.3.

Den godkendende myndighed eller dennes tekniske tjeneste skal regelmæssigt validere, at de processer, der anvendes, og de afgørelser, der træffes af køretøjets fabrikant, overholder kravene, navnlig i tilfælde, hvor køretøjsfabrikanten har valgt ikke at underrette den godkendende myndighed eller dennes tekniske tjeneste om en opdatering. En sådan validering kan foretages på stikprøvebasis.

10. SANKTIONER I TILFÆLDE AF PRODUKTIONENS MANGLENDE OVERENSSTEMMELSE

10.1.

Godkendelser, som er meddelt for en type køretøj i henhold til dette regulativ, kan inddrages, hvis kravene i dette regulativ ikke er opfyldt, eller hvis prøvekøretøjerne ikke overholder kravene i dette regulativ.

10.2.

Hvis en godkendende myndighed inddrager en godkendelse, som den tidligere har meddelt, skal den straks underrette de øvrige kontraherende parter, der anvender dette regulativ, herom ved hjælp af en meddelelsesformular svarende til modellen i bilag 2 til dette regulativ.

11. ENDELIGT OPHØR AF PRODUKTIONEN

11.1.

Hvis indehaveren af godkendelsen endeligt ophører med at fremstille en køretøjstype, som er godkendt i henhold til dette regulativ, underretter han den myndighed, som har meddelt godkendelsen, herom. Ved modtagelse af den relevante meddelelse skal den pågældende myndighed meddele dette til de andre kontraherende parter i overenskomsten, der anvender dette regulativ, ved hjælp af en kopi af godkendelsesformularen, som i slutningen med store typer er forsynet med den underskrevne og daterede påskrift »PRODUKTION OPHØRT«.

12. NAVNE OG ADRESSER PÅ TEKNISKE TJENESTER, SOM ER ANSVARLIGE FOR UDFØRELSE AF GODKENDELSESPRØVNING, OG PÅ DE TYPEGODKENDENDE MYNDIGHEDER

12.1.

(1) Som defineret i den konsoliderede resolution om køretøjers konstruktion (R.E.3.), dokument ECE/TRANS/WP.29/78/Rev.6, para. 2 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

(2) Kendingsnumrene for de kontraherende parter i 1958-overenskomsten er angivet i bilag 3 til den konsoliderede resolution om køretøjers konstruktion (R.E.3), dokument ECE/TRANS/WP.29/78/Rev.6.

BILAG 1

Oplysningsskema

Fabrikat (fabrikantens handelsbetegnelse): …

Type og almindelig(e) handelsbetegnelse(r): …

(Type er den type, der skal godkendes, handelsbetegnelse henviser til det produkt, hvori den godkendte type anvendes)

Typeidentifikationsmærker, såfremt anført på køretøjet: …

Mærkets anbringelsessted: …

Køretøjets klasse: …

Navn og adresse på fabrikanten/fabrikantens repræsentant: …

Navne og adresser på samlefabrikker: …

Fotografier og/eller tegninger af et repræsentativt køretøj: …

Softwareopdateringer

9.1.

Almindelige konstruktionsmæssige specifikationer for køretøjstypen: …

9.2.

SUMS-overensstemmelsesattestens nummer: …

9.3.

Sikkerhedsforanstaltninger.

9.3.1.

Dokumenter vedrørende den køretøjstype, der søges godkendt, med beskrivelse af, hvordan opdateringsprocessen foretages sikkert …

9.3.2.

Dokumenter for den køretøjstype, der søges godkendt, med beskrivelse af, hvordan RXSWIN på et køretøj er beskyttet mod uautoriseret manipulation …

9.4.

Trådløse softwareopdateringer

9.4.1.

Dokumenter vedrørende den køretøjstype, der søges godkendt, med beskrivelse af, hvordan opdateringsprocessen foretages sikkert …

9.4.2.

Hvordan en køretøjsbruger informeres om en opdatering før og efter dens udførelse. …

Tillæg 1 til Bilag 1

Model for overensstemmelseserklæring for systemer til forvaltning af softwareopdateringer

Fabrikantens erklæring om overholdelse af kravene til systemer til forvaltning af softwareopdateringer

Fabrikantens navn: …

Fabrikantens adresse: …

… … … … …(fabrikantens navn) attesterer, at de nødvendige processer til opfyldelse af kravene til systemer til forvaltning af softwareopdateringer, jf. punkt 7.1 i FN-regulativ nr. 156, er installeret og vil blive vedligeholdt.

Udfærdiget i: ………………………………………… (sted)

Dato: …

Underskriverens navn: …

Underskriverens funktion: …

…………………………………………

(Fabrikantens repræsentant, stempel og underskrift)

BILAG 2

Meddelelse

(Største format: A4 (210 × 297 mm))

(1)

Udstedt af:

Myndighedens navn

…

Vedrørende (2):

Meddelelse af godkendelse

Udvidelse af godkendelse

Inddragelse af godkendelse med virkning fra dd.mm.åååå

Nægtelse af godkendelse

Endeligt ophør af produktionen

for en køretøjstype i henhold til FN-regulativ nr. 156

Godkendelse nr.: …

Udvidelse nr.: …

Begrundelse for udvidelse: …

Fabrikat (fabrikantens handelsbetegnelse): …

Type og almindelig(e) handelsbetegnelse(r): …

Typeidentifikationsmærker, såfremt anført på køretøjet: …

3.1.

Mærkets anbringelsessted: …

Køretøjets klasse: …

Navn og adresse på fabrikanten/fabrikantens repræsentant: …

Navn(e) og adresse(r) på fremstillingsfabrik(ker): …

SUMS-overensstemmelsesattestens nummer: …

Trådløse softwareopdateringer inkluderet (ja/nej): …

Tekniske tjeneste, som er ansvarlig for udførelse af prøvningen: …

10.

Prøvningsrapportens dato: …

11.

Prøvningsrapportens nummer: …

12.

Bemærkninger: (evt.). …

13.

Sted: …

14.

Dato: …

15.

Underskrift: …

16.

Indholdsfortegnelsen til den informationspakke, der er indgivet til den godkendende myndighed, og som kan fås ved henvendelse dertil, er vedlagt.

(1) Kendingsnummer for det land, der har meddelt/udvidet/nægtet/inddraget typegodkendelsen (se bestemmelser om mærket (fodnote) i regulativet).

(2) Det ikke gældende overstreges.

BILAG 3

Godkendelsesmærkets udformning

MODEL A

(Se punkt 4.2 i dette regulativ)

a = 8 mm min.

Ovenstående godkendelsesmærke, som er påført et køretøj, viser, at den pågældende køretøjstype er godkendt i Nederlandene (E 4) i henhold til regulativ nr. 156 under godkendelsesnummer 001234. De første to cifre i godkendelsesnummeret angiver, at godkendelsen blev meddelt i overensstemmelse med kravene i regulativet i dets oprindelige udgave (00).

BILAG 4

Model for overensstemmelsesattest for systemer til forvaltning af softwareopdateringer

Overensstemmelsesattest for systemer til forvaltning af softwareopdateringer

i overensstemmelse med FN-regulativ nr. 156

Attestnummer (referencenummer)

(……. godkendende myndighed)

attesterer hermed, at

Fabrikant: …

Fabrikantens adresse: …

er i overensstemmelse med bestemmelserne i regulativ nr. 156

Kontrol foretaget den: …

af (den godkendende myndigheds navn og adresse): …

Rapportens nummer: …

Attesten er gyldig indtil den: (……………………………………………… dato)

Udfærdiget i: (……………………………………………… sted)

Den: (……………………………………………… dato)

(……………………………………………… underskrift)

9.3.2021

Den Europæiske Unions Tidende

L 82/75

Kun de originale FN/ECE-tekster har retlig virkning i henhold til folkeretten. Dette regulativs nuværende status og ikrafttrædelsesdato bør kontrolleres i den seneste version af FN/ECE's statusdokument TRANS/WP.29/343, der findes på adressen: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

FN-regulativ nr. 157 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår systemer til automatisk vognbaneassistance [2021/389]

Ikrafttrædelsesdato: 22. januar 2021

Dette dokument tjener udelukkende som dokumentationsredskab. Den autentiske og juridisk bindende tekst er: ECE/TRANS/WP.29/2020/81/

INDHOLDSFORTEGNELSE

REGULATIV

Indledning

Anvendelsesområde og formål

Definitioner

Ansøgning om godkendelse

Godkendelse

Systemsikkerhed og fejlsikringsreaktion

Menneske-maskine-grænseflade/førerinformation

Detektering af genstande og hændelser samt reaktion

Datalagringssystem til automatiseret kørsel

Cybersikkerhed og softwareopdateringer

10.

Ændring af køretøjstypen og udvidelse af godkendelsen

11.

Produktionens overensstemmelse

12.

Sanktioner i tilfælde af produktionens manglende overensstemmelse

13.

Endeligt ophør af produktionen

14.

Navne og adresser på tekniske tjenester, som er ansvarlige for udførelse af godkendelsesprøvning, og på de typegodkendende myndigheder

BILAG

Meddelelse

Udformning af godkendelsesmærker

(Reserveret)

Særlige krav, der finder anvendelse på sikkerhedsaspekter ved elektroniske kontrolsystemer og audit

Prøvningsforskrifter for ALKS

INDLEDNING

Hensigten med regulativet er at etablere ensartede forskrifter for godkendelse af køretøjer for så vidt angår systemer til automatisk vognbaneassistance (ALKS)

ALKS styrer køretøjets bevægelse sideværts og i længderetningen i længere perioder uden yderligere input fra føreren. ALKS er et system, som, når det aktiveres, har den primære kontrol over køretøjet.

Dette regulativ er det første reguleringsmæssige skridt for et system, der er automatiseret til kørsel i trafikken (som defineret i ECE/TRANS/WP.29/1140) i trafikken, og det indeholder derfor helt nye bestemmelser, der skal adressere kompleksiteten i forbindelse med evalueringen af systemsikkerheden. Det indeholder administrative bestemmelser om typegodkendelse, tekniske krav, audit- og indberetningsbestemmelser samt prøvningsforskrifter.

ALKS kan aktiveres under visse forhold på veje, hvor fodgængere og cyklister ikke må færdes, og som er udformet med en fysisk opdeling, der adskiller trafikken i modsatte retninger og forhindrer trafikken i at skære køretøjets bane. I det første trin begrænser den oprindelige tekst i dette regulativ driftshastigheden til højst 60 km/h, og kun personbiler (køretøjer i klasse M1) er omfattet.

Dette regulativ indeholder generelle krav vedrørende systemsikkerhed og fejlsikringsreaktion. Når ALKS aktiveres, skal det udføre kørselsopgaven i stedet for føreren, dvs. håndtere alle situationer, herunder svigt, og må ikke bringe køretøjets passagerers eller andre trafikanters sikkerhed i fare. Føreren har dog altid mulighed for at tilsidesætte systemet.

Regulativet fastsætter også krav til, hvordan kørselsopgaven skal overdrages sikkert fra ALKS til føreren, herunder systemets evne til at bringe køretøjet til standsning, hvis føreren ikke reagerer hensigtsmæssigt.

Endelig indeholder forordningen krav til menneske-maskine-grænseflade (HMI) for at forhindre misforståelser eller fejlanvendelse fra førerens side. F.eks. kræver regulativet, at indbyggede skærme, der anvendes af føreren til andre formål end kørsel, mens ALKS er aktiveret, automatisk skal sættes ud af funktion, så snart systemet udsender et overtagelseskrav. Disse foranstaltninger berører ikke føreradfærdsreglerne om, hvordan disse systemer anvendes i de stater, som er kontraherende parter, og som i skrivende stund drøftes i Global Forum for Road Traffic Safety (WP.1) (jf. f.eks. Informal Document 4, Revision 1, fra den 78. samling i WP.1).

1. ANVENDELSESOMRÅDE OG FORMÅL

1.1.

Dette regulativ finder anvendelse på godkendelse af køretøjer i klasse M1 (1) for så vidt angår deres system til automatisk vognbaneassistance.

2. DEFINITIONER

I dette regulativ forstås ved:

2.1.

»system til automatisk vognbaneassistance (ALKS)« til anvendelse ved lav hastighed: system, der aktiveres af føreren, og som holder køretøjet inden for sin vognbane ved en kørehastighed på 60 km/h eller derunder ved at styre køretøjets bevægelser sideværts og i længderetningen i længere perioder, uden at der er behov for yderligere input fra føreren.

I dette regulativ benævnes ALKS også »systemet«.

2.1.1.

»køretøjstype for så vidt angår køretøjets system til automatisk vognbaneassistance«: en klasse køretøjer, som ikke adskiller sig fra hinanden på væsentlige punkter som:

a)	de af køretøjets egenskaber, der har væsentlig betydning for ALKS

b)	ALKS-systemkarakteristika og -konstruktion.

2.2.

»overtagelseskrav«: en logisk og intuitiv procedure for omstilling af den dynamiske kørselsopgave (DDT) fra systemet (automatisk styring) til den menneskelige fører (manuel styring). Anmodning herom afgives af systemet til den menneskelige fører

2.3.

»omstillingsfase«: varigheden af overtagelseskravet

2.4.

»planlagt hændelse«: en situation, som er kendt på forhånd, f.eks. på aktiveringstidspunktet, såsom et rejsepunkt (eksempelvis motorvejsfrakørsel), og som kræver et overtagelseskrav

2.5.

»ikkeplanlagt hændelse«: en situation, som ikke kendes på forhånd, men hvis indtræden antages at være meget sandsynlig, f.eks. vejarbejde, ugunstige vejrforhold, udrykningskøretøjer i nærheden, manglende vognbaneafmærkning, last, der er faldet af en lastvogn (kollision), og som nødvendiggør et overtagelseskrav

2.6.

»overhængende kollisionsrisiko« beskriver en situation eller en hændelse, der fører til et sammenstød mellem køretøjet og en anden trafikant eller en hindring, som ikke kan undgås ved et bremsekrav på under 5 m/s2

2.7.

»minimal risikomanøvre (MRM)«: en procedure, der har til formål at minimere risici i trafikken, og som automatisk foretages af systemet efter et overtagelseskrav uden førerens reaktion eller i tilfælde af alvorlige ALKS-svigt eller køretøjssvigt

2.8.

»nødmanøvre (EM)«: en manøvre, som udføres af systemet i tilfælde af en hændelse, hvor der er overhængende kollisionsrisiko for køretøjet, og som har til formål at undgå eller afbøde en kollision.

2.9.

Hastighed

2.9.1.

»den angivne maksimale hastighed«: den af fabrikanten oplyste hastighed, til og med hvilken systemet fungerer optimalt

2.9.2.

»den maksimale driftshastighed«: den af systemet valgte hastighed, til og med hvilken systemet fungerer under de aktuelle omgivende og forhold og sensorbetingelser. Det er den maksimale køretøjshastighed, ved hvilken systemet kan være aktivt, bestemt ud fra sensorsystemets ydeevne og de omgivende forhold

2.9.3.

»aktuel hastighed« eller »hastighed«: den aktuelle hastighed, som valgt af systemet på grundlag af trafikken

2.10.

sensorsystemets »detektionsområde«: den afstand, hvor systemet pålideligt kan genkende et mål, under hensyntagen til forringelsen af sensorsystemets komponenter som følge af tid og brug gennem hele køretøjets levetid, og generere et kontrolsignal

2.11.

Svigt

2.11.1.

»ALKS-svigt«: enhver enkeltfejl, der er specifik for driften af ALKS (f.eks. svigt i enkelt sensor, tab af nødvendige beregningsdata for køretøjets vognbane)

2.11.2.

»fejltilstand«: den driftsstatus, hvor systemet fungerer med et ALKS-svigt

2.11.3.

»alvorligt ALKS-svigt«: et svigt, der er specifikt for ALKS-funktionen, og som påvirker systemets sikre drift, når det er i fejltilstand med meget lav sandsynlighed for forekomst, hvilket generelt er tilfældet for væsentlige komponenter som f.eks. en elektronisk styreenhed. Enkeltsensorfejl betragtes kun som sådanne, når de ledsages af en anden påvirkning, der har betydning for systemets sikre drift

2.11.4.

»alvorligt køretøjssvigt«: ethvert svigt i køretøjet (f.eks. elektrisk eller mekanisk), som påvirker ALKS-systemets evne til at foretage DDT, og som også vil påvirke den manuelle drift af køretøjet (f.eks. strømtab, svigt i bremsesystemet, pludseligt dæktryksfald)

2.12.

»selvtest«: en integreret funktion, som løbende holder øje med ethvert systemsvigt og sensorsystemets detektionsområde

2.13.

»systemtilsidesættelse« foretaget af føreren: en situation, hvor føreren leverer input til en betjeningsanordning, som har forrang frem for systemets langsgående eller laterale kontrol, mens systemet stadig er aktivt

2.14.

»dynamisk kørselsopgave (DDT)«: kontrol og udførelse af alle køretøjets langsgående og tværgående bevægelser

2.15.

»datalagringssystem til automatiseret kørsel (DSSAD)«: muliggør fastsættelse af interaktioner mellem ALKS og den menneskelige fører

2.16.

»systemets levetid«: den periode, hvor ALKS-systemet er tilgængeligt som en funktion på køretøjet

2.17.

»forekomster«: i forbindelse med DSSAD-bestemmelserne i punkt 8, en handling eller et tilfælde af en begivenhed eller hændelse, som kræver lagring i datalagringssystemet

2.18.

»R157 Software-identifikationsnummer (R157SWIN)«: en dedikeret identifikator, der er defineret af køretøjsfabrikanten, og som repræsenterer oplysninger om den typegodkendelsesrelevante software i det elektroniske kontrolsystem, der bidrager til de relevante egenskaber ved køretøjets typegodkendelse i henhold til FN-regulativ nr. 157

2.19.

»elektronisk kontrolsystem«: en kombination af enheder, der er udformet til at bidrage til frembringelse af den pågældende automatiske vognbaneassistancefunktion ved hjælp af elektronisk databehandling. Sådanne systemer, som typisk styres af software, er fremstillet af funktionelle enkeltkomponenter som sensorer, elektroniske kontrolenheder og bremsecylindere og er forbundet via transmissionsforbindelser. De kan omfatte mekaniske, elektropneumatiske eller elektrohydrauliske elementer

2.20.

»software«: en del af det elektroniske kontrolsystem, som består af digitale data og instruktioner.

3. ANSØGNING OM GODKENDELSE

3.1.

Ansøgningen om godkendelse af en køretøjstype med hensyn til ALKS indgives af køretøjsfabrikanten eller dennes bemyndigede repræsentant.

3.2.

Hver ansøgning om godkendelse skal være ledsaget af nedenstående dokumenter i tre eksemplarer:

3.2.1.

En beskrivelse af køretøjstypen med hensyn til de i punkt 2.1.1 nævnte punkter, ledsaget af en dokumentationspakke, jf. bilag 4, der giver adgang til det ALKS-enhedens grundlæggende design og de midler, hvormed det forbindes til andre køretøjssystemer, eller som direkte kontrollerer output-variablerne. De numre og/eller symboler, der identificerer køretøjstypen, skal angives.

3.3.

Et køretøj, som er repræsentativt for den køretøjstype, som søges godkendt, skal indleveres til den tekniske tjeneste, som forestår godkendelsesprøvningen.

4. GODKENDELSE

4.1.

Hvis det køretøj, hvortil der søges om godkendelse i henhold til dette regulativ, opfylder forskrifterne i punkt 5 til 9 nedenfor, udstedes der godkendelse for den pågældende køretøjstype.

4.2.

Hver godkendt type tildeles et godkendelsesnummer. De første to cifre (i øjeblikket 00, svarende til ændringsserie 00, dvs. den oprindelige udgave) angiver den ændringsserie, som omfatter de seneste vigtige tekniske ændringer af regulativet på godkendelsens udstedelsestidspunkt. Den samme kontraherende part må ikke tildele det samme nummer til en anden køretøjstype.

4.3.

Meddelelsen om godkendelse, nægtelse af godkendelse eller inddragelse af godkendelse efter dette regulativ fremsendes til de kontraherende parter i overenskomsten, der anvender dette regulativ, i form af en formular, der er i overensstemmelse med modellen i bilag 1 til dette regulativ samt dokumentation, indsendt af ansøgeren, i et format på højst A4 (210 × 297 mm) eller foldet til dette format og i passende skala eller i elektronisk format.

4.4.

4.4.1.

en cirkel, som omslutter bogstavet »E« efterfulgt af kendingsnummeret på den stat, som har meddelt godkendelse (2)

4.4.2.

nummeret på dette regulativ efterfulgt af bogstavet »R«, en bindestreg og godkendelsesnummeret til højre for den cirkel, der er foreskrevet i punkt 4.4.1 ovenfor.

4.5.

Er køretøjet i overensstemmelse med en køretøjstype, som i henhold til et eller flere andre af de til overenskomsten vedføjede regulativer er godkendt i samme stat, som har meddelt godkendelse efter dette regulativ, behøver det i punkt 4.4.1 ovenfor foreskrevne symbol ikke gentages. I så fald skal regulativet og godkendelsesnumrene samt de ekstra symboler placeres i lodrette kolonner til højre for det symbol, der er beskrevet i punkt 4.4.1.

4.6.

Godkendelsesmærket skal være letlæseligt og må ikke kunne slettes.

4.7.

Godkendelsesmærket skal anbringes tæt ved eller på køretøjets fabrikationsplade.

5. SYSTEMSIKKERHED OG FEJLSIKRINGSREAKTION

5.1.

Generelle krav

Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i dette punkt er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4 (navnlig under forhold, der ikke er prøvet i henhold til bilag 5) og i overensstemmelse med de relevante prøvninger i bilag 5.

5.1.1.

Det aktiverede system skal udføre DDT, tage højde for alle situationer, herunder svigt, og skal være fri for urimelige risici for personer i køretøjet og andre trafikanter.

Det aktiverede system må ikke forårsage kollisioner, som med rimelighed kan forudses og kan forebygges. Hvis en kollision kan undgås på sikker vis uden at forårsage en anden, skal den undgås. Når køretøjet er involveret i en detekterbar kollision, skal køretøjet bringes til stilstand.

5.1.2.

Det aktiverede system skal overholde færdselsreglerne vedrørende DDT i det land, hvor det anvendes.

5.1.3.

Det aktiverede system skal kontrollere de systemer, der er nødvendige for at hjælpe føreren med til enhver tid at genoptage den manuelle styring (f.eks. afdugning, vinduesviskere og lys).

5.1.4.

Et overtagelseskrav må ikke kompromittere sikkerheden for personer i køretøjet eller for andre trafikanter.

5.1.5.

Hvis føreren ikke kan overtage styringen fra DDT i omstillingsfasen, skal systemet foretage en minimal risikomanøvre. Under en minimal risikomanøvre skal systemet minimere sikkerhedsrisiciene for personer i køretøjet og for andre trafikanter.

5.1.6.

Systemet skal foretage selvtest for at detektere forekomster af svigt og bekræfte systemets ydeevne til enhver tid (f.eks. har systemet efter køretøjets start mindst én gang detekteret en genstand i en afstand lig med eller højere end den afstand, der definerer detektionsområdet i henhold til punkt 7.1).

5.1.7.

Systemets effektivitet må ikke kunne forringes af magnetiske eller elektriske felter. Denne betingelse anses for opfyldt, hvis FN-regulativ nr. 10, ændringsserie 05 eller senere ændringsserier, er overholdt.

5.1.8.

Fabrikanten skal træffe foranstaltninger til beskyttelse mod tilfælde af fejlanvendelse, som med rimelighed kan forventes af føreren, samt mod manipulation af systemet.

5.1.9.

Når systemet ikke længere kan opfylde kravene i dette regulativ, må systemet ikke kunne aktiveres.

Fabrikanten skal bekendtgøre og gennemføre en proces til håndtering af sikkerheden og ALKS-enhedens fortsatte opfyldelse af kravene i hele levetiden.

5.2.

Dynamisk kørselsopgave

5.2.1.

Det aktiverede system skal holde køretøjet inden for vognbanen og sikre, at køretøjet ikke krydser nogen vognbaneafmærkning (fordækkets yderkant til vognbaneafmærkningens yderkant). Systemet skal sigte mod at holde køretøjet i en stabil lateral position inden for vognbanen for at undgå at forvirre andre trafikanter.

5.2.2.

Det aktiverede system skal detektere et køretøj, der kører ved siden af, jf. definitionen i punkt 7.1.2, og om nødvendigt justere køretøjets hastighed og/eller sideværts position inden for vognbanen, alt efter hvad der er relevant.

5.2.3.

Det aktiverede skal kontrollere køretøjets hastighed.

5.2.3.1.

Systemet må kun fungere op til maksimalt 60 km/h.

5.2.3.2.

Det aktiverede system skal tilpasse køretøjets hastighed til infrastrukturelle og omgivende forhold (f.eks. smal kurveradius og ugunstige vejrforhold).

5.2.3.3.

Det aktiverede system skal detektere afstanden til det nærmeste forankørende køretøj, som defineret i punkt 7.1.1, og tilpasse køretøjets hastighed for at undgå kollision.

Når ALKS-køretøjet ikke holder stille, skal systemet tilpasse hastigheden for at justere afstanden til et forankørende køretøj i samme vognbane, således at den er lig med eller større end minimumsfølgeafstanden.

Hvis minimumstidsintervallet midlertidigt ikke kan overholdes på grund af andre trafikanter (f.eks. et køretøj, der trækker ind foran, deceleration af det forankørende køretøj osv.), skal køretøjet ved næste lejlighed genjustere minimumsfølgeafstanden uden hård opbremsning, medmindre en nødmanøvre er påkrævet.

Minimumsfølgeafstanden beregnes ved hjælp af formlen:

dmin = vALKS* tfront

hvor:

dmin	=	minimumsfølgeafstanden
vALKS	=	ACSF-køretøjets aktuelle hastighed i m/s
tfront	=	minimumstidsintervallet i sekunder mellem ALKS-køretøjet og et forankørende køretøj, jf. nedenstående tabel:

ALKS-køretøjets aktuelle hastighed		Mindste tidsinterval	Minimumsfølgeafstand
(km/h)	(m/s)	(s)	(m)
7,2	2,0	1,0	2,0
10	2,78	1,1	3,1
20	5,56	1,2	6,7
30	8,33	1,3	10,8
40	11,11	1,4	15,6
50	13,89	1,5	20,8
60	16,67	1,6	26,7

For hastighedsværdier, der ikke er anført i tabellen, anvendes lineær interpolation.

Uanset resultatet af ovenstående formel for aktuelle hastigheder under 2 m/s må minimumsfølgeafstanden aldrig være under 2 m.

5.2.4.

Det aktiverede system skal kunne bringe køretøjet til en fuldstændig standsning bag et stationært køretøj, en stationær trafikant eller en spærret vognbane for at undgå en kollision. Dette skal sikres op til systemets maksimale driftshastighed.

5.2.5.

Det aktiverede system skal detektere risikoen for kollision, navnlig med en anden trafikant foran eller ved siden af køretøjet, som følge af et decelererende forankørende køretøj, et køretøj, der trækker ind foran, eller en pludseligt opdukkende hindring og skal automatisk udføre passende manøvrer for at minimere sikkerhedsrisiciene for personer i køretøjet og andre trafikanter.

For forhold, der ikke er specificeret i punkt 5.2.4 og 5.2.5 eller underpunkterne heri, skal dette mindst sikres på et niveau, hvor en kompetent og omhyggelig menneskelig fører ville kunne minimere risiciene. Dette skal påvises i den vurdering, der udføres i henhold til bilag 4, og ved hjælp af vejledningen i tillæg 3 til bilag 4.

5.2.5.1.

Når systemet er aktiveret, skal det undgå en kollision med det forankørende køretøj, som decelererer med op til dets fulde bremsevirkning, forudsat at den minimumsfølgeafstand, hvorved ALKS-køretøjet tilpasser sig til det forankørende køretøjs aktuelle hastighed, ikke er overskredet som følge af en manøvre, hvor dette forankørende køretøj trækker ind foran.

5.2.5.2.

Det aktiverede system skal undgå kollision med et køretøj, der trækker ind foran

a)	forudsat, at køretøjet, der trækker ind foran, fastholder sin hastighed i længderetningen, som er lavere end ALKS-køretøjets hastighed i længderetningen, og

b)	forudsat, at den sideværts bevægelse af det køretøj, der trækker ind foran, har været synlig i mindst 0,72 sekunder, før referencepunktet for TTCLaneIntrusion er nået

når afstanden mellem køretøjets forende og bagenden af det køretøj, der trækker ind foran, svarer til en TTC beregnet ved følgende ligning:

hvor:

Vrel	=	relativ hastighed mellem begge køretøjer, positiv for køretøjet, der er hurtigere end det køretøj, der trækker ind foran
TTCLaneIntrusion	=	TTC-værdien, når ydersiden af dækket på det indtrængende køretøjs forhjul, nærmest vognbaneafmærkningen, skærer en linje 0,3 m uden for den synlige vognbaneafmærknings udvendige kant, som det indtrængende køretøj har retning imod

5.2.5.3.

Det aktiverede system skal sikre, at en kollision med en uhindret krydsende fodgænger foran køretøjet undgås.

I et scenario, hvor en fodgænger, der krydser vejen med en sideværts hastighedskomponent på højst 5 km/h, og hvor det forventede anslagspunkt forskydes med højst 0,2 m i forhold til køretøjets midterplan i længderetningen, skal det aktiverede ALKS undgå en kollision op til systemets maksimale driftshastighed.

5.2.5.4.

Det anerkendes, at kravet i punkt 5.2.5 ikke kan opfyldes fuldt ud under andre forhold end de ovenfor anførte. Systemet må dog ikke deaktivere eller ændre kontrolstrategien på urimelig vis under disse andre forhold. Dette skal påvises som foreskrevet i bilag 4 til dette regulativ.

5.3.

Nødmanøvre

Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i dette punkt er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4 og i overensstemmelse med de relevante prøvninger i bilag 5.

5.3.1.

Der skal foretages en nødmanøvre, hvis der er en overhængende kollisionsrisiko.

5.3.1.1.

Ethvert langsgående decelerationskrav til systemet på mere end 5,0 m/s2 anses for at være en nødmanøvre.

5.3.2.

Denne manøvre skal om nødvendigt decelerere køretøjet med op til dets fulde bremsevirkning og/eller foretage en automatisk undvigemanøvre, hvis det er relevant.

Hvis systemets bremse- eller styreevne påvirkes af svigt, skal manøvren udføres under hensyntagen til den resterende bremsevirkning.

Under undvigemanøvren må ALKS-køretøjet ikke overskride vognbaneafmærkningen (fordækkets yderkant i forhold til vognbaneafmærkningens yderkant).

Efter undvigemanøvren skal køretøjet sigte mod at retablere en stabil position.

5.3.3.

En nødmanøvre må ikke bringes til ophør, medmindre der ikke længere er overhængende kollisionsrisiko, eller føreren har deaktiveret systemet.

5.3.3.1.

Når en nødmanøvre er bragt til ophør, skal systemet fortsat være i drift.

5.3.3.2.

Hvis nødmanøvren resulterer i, at køretøjet holder stille, skal der genereres et signal til aktivering af havariblink. Hvis køretøjet automatisk igangsætter igen, skal signalet til deaktivering af havariblink genereres automatisk.

5.3.4.

Køretøjet skal afgive et logisk signal, som angiver nødbremsning, jf. FN-regulativ nr.13-H.

5.4.

Overtagelseskrav og systemdrift i omstillingsfasen

5.4.1.

Det aktiverede system skal genkende alle situationer, hvor det skal omstille kontrollen tilbage til føreren.

De typer situationer, hvor køretøjet vil frembringe et overtagelseskrav til føreren, skal angives af køretøjsfabrikanten og indgå i den i bilag 4 foreskrevne den dokumentationspakke.

5.4.2.

Initiering af overtagelseskravet skal foregå på en sådan måde, at der er tilstrækkelig tid til sikker omstilling til manuel kørsel.

5.4.2.1.

I tilfælde af en planlagt hændelse, der vil forhindre ALKS i at fortsætte driften, skal der afgives et overtagelseskrav tidsnok til, at den minimale risikomanøvre vil kunne bringe køretøjet til standsning, inden den planlagte hændelse indtræffer, såfremt føreren ikke genoptager kontrollen.

5.4.2.2.

Hvis der er tale om en ikkeplanlagt hændelse, skal der angives et overtagelseskrav, når hændelsen detekteres.

5.4.2.3

I tilfælde af svigt, der påvirker systemets drift, skal systemet straks initiere et overtagelseskrav efter detektering.

5.4.3.

I omstillingsfasen skal systemet fortsat være i drift. Systemet kan nedsætte køretøjets hastighed for at sikre, at det fungerer sikkert, men må ikke bringe det til standsning, medmindre situationen kræver det (f.eks. på grund af køretøjer eller hindringer, der spærrer køretøjets bane), eller når det skyldes en haptisk advarsel, jf. punkt 6.4.1, der aktiveres ved hastigheder under 20 km/h.

5.4.3.1.

Når køretøjet er bragt til standsning, kan det forblive i denne tilstand, og det skal generere signalet til aktivering af havariblink inden for 5 sekunder.

5.4.3.2.

I omstillingsfasen skal overtagelseskravet eskaleres senest 4 sekunder efter overtagelseskravets aktivering.

5.4.4.

Et overtagelseskrav må først afsluttes, når systemet er deaktiveret, eller der er iværksat en minimal risikomanøvre.

5.4.4.1.

Hvis føreren ikke reagerer på et overtagelseskrav ved at deaktivere systemet (som beskrevet i punkt 6.2.4 eller i 6.2.5), påbegyndes en minimal risikomanøvre tidligst 10 sekunder efter overtagelseskravets aktivering.

5.4.4.1.1.

Uanset punkt 5.4.4.1 kan der straks iværksættes en minimal risikomanøvre i tilfælde af alvorlige ALKS- eller køretøjssvigt.

I tilfælde af alvorlige ALKS- eller køretøjssvigt kan ALKS måske ikke længere opfylde kravene i dette regulativ, men det skal sigte mod at muliggøre en sikker omstilling af kontrollen til føreren.

5.4.4.1.2.

Fabrikanten skal erklære, hvilke typer alvorlige køretøjssvigt og alvorlige ALKS-svigt der vil få ALKS til straks at initiere en MRM.

5.5.

Minimal risikomanøvre (MRM)

5.5.1.

Under den minimale risikomanøvre skal køretøjet bremses inden for vognbanen eller, hvis vognbaneafmærkningerne ikke er synlige, opretholde en passende bane under hensyntagen til omgivende trafik og vejinfrastruktur med henblik på at opnå et decelerationskrav på højst 4,0 m/s2.

Højere værdier for decelerationskrav tillades, hvis varigheden heraf er meget kort, f.eks. i tilfælde af haptisk advarsel til stimulering af førerens opmærksomhed eller i tilfælde af alvorlige ALKS- eller alvorlige køretøjssvigt.

Desuden skal signalet til aktivering af havariblink genereres ved indledningen af den minimale risikomanøvre.

5.5.2.

Den minimale risikomanøvre skal bringe køretøjet til standsning, medmindre systemet deaktiveres af føreren under manøvren.

5.5.3.

En minimal risikomanøvre må først bringes til ophør, når systemet er deaktiveret, eller når systemet har bragt køretøjet til standsning.

5.5.4.

Systemet skal deaktiveres ved afslutningen af en eventuel minimal risikomanøvre.

Havariblink skal forblive aktiveret, medmindre de deaktiveres manuelt, og køretøjet må ikke bevæge sig væk efter standsning uden manuelt input.

5.5.5.

Genaktivering af systemet efter afslutning af en eventuel minimal risikomanøvre må først være mulig efter hver ny motorstart/kørecyklus.

6. MENNESKE-MASKINE-GRÆNSEFLADE/FØRERINFORMATION

6.1.

System til registrering af førerens tilgængelighed

Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i dette punkt er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4 og i overensstemmelse med de relevante prøvninger i bilag 5.

6.1.1.

Systemet skal omfatte et system til registrering af førerens tilgængelighed

Systemet til registrering af førerens tilgængelighed skal detektere, om føreren befinder sig i kørestilling, om førerens sikkerhedssele er spændt, og om føreren er tilgængelig til at overtage kørselsopgaven.

6.1.2

Førerens tilstedeværelse

Der skal initieres et overtagelseskrav, jf. punkt 5.4, hvis en af følgende betingelser er opfyldt:

a)	når det konstateres, at føreren ikke befinder sig i sædet i mere end et sekund, eller

b)	når førerens sikkerhedssele ikke er spændt.

Niveau 2-advarslen for sikkerhedsselealarm som defineret i UN-R16 kan anvendes i stedet for en akustisk advarsel om overtagelseskravet.

6.1.3.

Førerens tilgængelighed

Systemet skal ved at overvåge føreren detektere, om føreren er tilgængelig og befinder sig i en passende kørestilling til at reagere på et overtagelseskrav.

Fabrikanten skal over for den tekniske tjeneste godtgøre, at køretøjet er i stand til at detektere, at føreren er tilgængelig til at overtage kørselsopgaven.

6.1.3.1.

Kriterier for vurdering af førerens tilgængelighed

Føreren anses for ikke at være tilgængelig, medmindre mindst to tilgængelighedskriterier (f.eks. input til fuldstændig førerkontrol, øjenblinkning, øjenlukning, bevidst hoved- eller kropsbevægelse) individuelt har fastslået, at føreren er tilgængelig inden for de seneste 30 sekunder.

Systemet kan til enhver tid anse føreren for utilgængelig.

Så snart føreren anses for utilgængelig, eller der konstateres færre end to tilgængelighedskriterier, skal systemet straks afgive en tydelig advarsel, indtil der detekteres passende handlinger fra førerens side, eller indtil et overtagelseskrav påbegyndes. Et overtagelseskrav skal senest initieres, som angivet i punkt 5.4, hvis denne advarsel fortsætter i 15 sekunder.

Fabrikanten skal fremlægge dokumentation for antallet og kombinationen af tilgængelighedskriterier, navnlig med hensyn til det tidsinterval, der opstår som følge heraf. Det tidsinterval, der kræves for et givet tilgængelighedskriterium, må dog ikke overstige 30 sekunder. Dette skal påvises af fabrikanten og vurderes af den tekniske tjeneste i henhold til bilag 4.

6.1.4.

»Andre aktiviteter end kørsel«, som vises på skærme i køretøjet, og som er til rådighed efter aktivering af ALKS, suspenderes automatisk i) så snart systemet udsteder et overtagelseskrav, eller ii) så snart systemet deaktiveres, alt efter hvad der indtræffer først.

6.2.

Aktivering, deaktivering og førerinput

Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i dette punkt er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4 og i overensstemmelse med de relevante prøvninger i bilag 5.

6.2.1.

Køretøjet skal være udstyret med et særligt middel, så føreren kan aktivere (standbytilstand) og deaktivere (slukket tilstand) systemet. Når ALKS aktiveres, skal midlerne til deaktivering af ALKS være permanent synlige for føreren.

6.2.2.

Systemets standardindstilling skal være slukket tilstand ved starten af hver ny start-/kørselscyklus for motoren.

Dette krav gælder ikke, når en ny motorstart/-kørselscyklus udføres automatisk, f.eks. betjening af et stop/start-system.

6.2.3.

Systemet må kun aktiveres efter en bevidst handling fra førerens side, og hvis alle følgende betingelser er opfyldt:

a)	føreren befinder sig i førersædet, og førerens sikkerhedssele er spændt i overensstemmelse med punkt 6.1.1 og 6.1.2

b)	føreren kan overtage kontrollen med DDT i overensstemmelse med punkt 6.1.3

c)	der forekommer ingen svigt, der påvirker den sikre drift eller funktionaliteten af ALKS

d)	DSSAD er i drift

e)	de omgivende og infrastrukturelle forhold muliggør driften

f)	der er positiv bekræftelse ved systemets selvtest og

g)	køretøjet befinder sig på veje med forbud mod fodgængere og cyklister, og som konstruktionsmæssigt er udstyret med en fysisk opdeling, der adskiller de to trafikretninger fra hinanden.

Hvis en af ovennævnte betingelser ikke længere er opfyldt, skal systemet straks initiere et overtagelseskrav, medmindre andet er angivet i dette regulativ.

6.2.4

Det skal være muligt at deaktivere systemet manuelt (slukket tilstand) ved en bevidst handling fra førerens side ved hjælp af samme midler som til at aktivere systemet, jf. punkt 6.2.1.

Midlerne til deaktivering skal yde beskyttelse mod utilsigtet manuel deaktivering, f.eks. ved at kræve et enkelt input, der overskrider en bestemt tidsværdi, dobbelttryk eller to separate, men samtidige input.

Desuden skal det sikres, at føreren har sidemæssig kontrol med køretøjet på deaktiveringstidspunktet, f.eks. ved at anbringe deaktiveringsmidlerne på styreanordningen eller ved at bekræfte, at føreren holder styreanordningen.

6.2.5.

I tilgift til punkt 6.2.4 må systemet ikke deaktiveres af andre førerinput end dem, der er beskrevet nedenfor i punkt 6.2.5.1 til 6.2.5.4.

6.2.5.1.

Deaktivering ved input til betjeningsanordninger

Systemet skal deaktiveres, når mindst en af følgende betingelser er opfyldt:

a)	føreren tilsidesætter systemet gennem styring, idet styreanordningen fastholdes, og denne tilsidesættelse undertrykkes ikke som foreskrevet i punkt 6.3 eller

b)	føreren holder styreanordningen og tilsidesætter systemet ved bremsning eller acceleration som foreskrevet i punkt 6.3.1 nedenfor.

6.2.5.2.

Deaktivering under et igangværende overtagelseskrav eller en igangværende minimal risikomanøvre

Hvis et overtagelseskrav eller en minimal risikomanøvre er i gang, deaktiveres systemet kun:

a)	som defineret i punkt 6.2.5.1 eller

b)	efter detektering af, at føreren har taget fat i styreanordningen som reaktion på overtagelseskravet eller den minimale risikomanøvre, og forudsat at systemet bekræfter, at føreren er opmærksom som defineret i punkt 6.3.1.1.

6.2.5.3.

Deaktivering under en igangværende nødmanøvre

I tilfælde af en igangværende nødmanøvre kan deaktiveringen af systemet forsinkes, indtil den overhængende kollisionsrisiko er forsvundet.

6.2.5.4.

Deaktivering i tilfælde af alvorligt køretøjssvigt eller et alvorligt ALKS-svigt

I tilfælde af et alvorligt køretøjssvigt eller et alvorligt ALKS-svigt kan ALKS anvende forskellige deaktiveringsstrategier.

Disse forskellige strategier skal angives af fabrikanten, og deres effektivitet skal vurderes af den tekniske tjeneste med henblik på at sikre en sikker omstilling af kontrollen fra systemet til den menneskelige fører, jf. med bilag 4.

6.2.6.

Ved deaktivering af systemet må der ikke ske en automatisk omstilling til nogen funktion, som medfører kontinuerlig langsgående og/eller sideværts bevægelse af køretøjet (f.eks. ACSF i kategori B1-funktion).

Efter deaktivering kan den korrigerende styrefunktion (CSF) være aktiv med det formål at vænne føreren til at udføre den sideværts styreopgave gennem gradvis reduktion af den sideværts støtte.

Uanset begge ovenstående punkter må ethvert andet sikkerhedssystem, der yder støtte i længderetningen eller sideværts i umiddelbare kollisionssituationer (f.eks. avanceret nødbremsesystem (AEBS), elektronisk stabilitetskontrol (ESC), bremseassistentsystem (BAS) eller nødstyringsfunktion (ESF)) ikke deaktiveres i tilfælde af deaktivering af ALKS.

6.2.7.

Enhver deaktivering skal angives over for køretøjets fører, jf. definitionen i punkt 6.4.2.3.

6.3.

Systemtilsidesættelse

6.3.1.

Førerens input til styreanordningen skal tilsidesætte systemets sideværts kontrolfunktion, når inputtet overskrider en rimelig tærskelværdi, som er beregnet for at forhindre utilsigtet tilsidesætning.

Denne tærskelværdi skal omfatte en bestemt kraft og varighed og skal variere afhængigt af en række parametre, herunder kriterier, der anvendes til at kontrollere førerens opmærksomhed under førerens input som defineret i punkt 6.3.1.1.

Disse tærskler og rationalet for enhver variation skal påvises over for den tekniske tjeneste i forbindelse med vurderingen, jf. bilag 4.

6.3.1.1.

Førerens opmærksomhed

Systemet skal detektere, om føreren er opmærksom. Føreren anses for at være opmærksom, når mindst et af følgende kriterier er opfyldt:

a)	førerens blik bekræftes primært at være rettet mod vejen foran

b)	førerens blik bekræftes at være rettet mod førerspejlet eller

c)	førerens hovedbevægelse bekræftes primært at være rettet mod kørselsopgaven.

Specifikationerne for, hvornår disse kriterier eller lige så sikre kriterier er bekræftet, skal angives af fabrikanten og dokumenteres. Dette skal vurderes af den tekniske tjeneste i overensstemmelse med bilag 4.

6.3.2.

Et førerinput til bremsebetjeningen, der resulterer i en højere deceleration end den af systemet påførte eller fastholdelse af køretøjet i stilstand ved hjælp af et hvilket som helst bremsesystem, skal tilsidesætte systemets kontrolfunktion i længderetningen.

6.3.3.

Et førerinput til speederen må gerne tilsidesætte systemets kontrolfunktion i længderetningen. Et sådant input må dog ikke medføre, at systemet ikke længere opfylder kravene i dette regulativ.

6.3.4.

Ethvert input fra føreren til speederen eller bremsen skal straks udløse et overtagelseskrav som specificeret i punkt 5.4, når inputtet overstiger en rimelig tærskel, der er beregnet med henblik på at forhindre utilsigtet input.

6.3.5.

Uanset bestemmelserne i punkt 6.3.1 til 6.3.3 kan virkningen af førerinputtet til enhver betjeningskontrol reduceres eller undertrykkes af systemet, såfremt systemet har detekteret en overhængende kollisionsrisiko som følge af førerinputtet.

6.3.6.

I tilfælde af et alvorligt køretøjssvigt eller et alvorligt ALKS-svigt kan ALKS anvende forskellige systemtilsidesættelsesstrategier. Disse forskellige strategier skal angives af fabrikanten, og deres effektivitet skal vurderes af den tekniske tjeneste med henblik på at sikre en sikker omstilling af kontrollen fra systemet til den menneskelige fører.

6.3.7.

Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i punkt 6.3 og underpunkterne er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4.

6.4.

Førerinformation

6.4.1.

Følgende oplysninger skal angives over for føreren:

a)	systemstatus som defineret i punkt 6.4.2

b)	ethvert svigt, der påvirker systemets drift som minimum angivet med et optisk signal, medmindre systemet er deaktiveret (slukket tilstand)

Overtagelseskrav som minimum angivet med et optisk og derudover et akustisk og/eller haptisk advarselssignal.

Senest 4 sekunder efter indledningen af overtagelseskravet, skal overtagelseskravet

i)	indeholde en konstant eller periodisk haptisk advarsel, medmindre køretøjet holder stille og

ii)	eskaleres og vedblive at være eskaleret, indtil overtagelseskravet ophører

d)	minimal risikomanøvre som minimum, angivet med et optisk og derudover et akustisk og/eller haptisk advarselssignal, og

e)	nødmanøvre angivet med et optisk signal.

Ovennævnte optiske signaler skal være passende i størrelse og kontrast. Ovennævnte akustiske signaler skal være høje og klare.

6.4.2.

Systemstatus

6.4.2.1.

Angivelse ved utilgængeligt system

Såfremt systemet afviser aktivering efter førerens bevidste handling, fordi systemet ikke er tilgængeligt, skal dette som minimum angives visuelt for føreren.

6.4.2.2.

Visning af systemstatus ved aktivering

Efter aktivering skal systemstatus (aktiv tilstand) vises med et særligt optisk signal til føreren.

Det optiske signal skal indeholde en utvetydig angivelse, herunder:

a)	en styreanordning eller et køretøj med et ekstra »A« eller »AUTO« eller de standardiserede symboler i overensstemmelse med FN-regulativ nr. 121 og derudover

b)	en let forståelig indikation i det perifere synsfelt, som befinder sig i nærheden af førerens direkte synsretning mod de ydre omgivelser foran køretøjet, f.eks. tydelig angivelse i kombiinstrumentet eller på styreanordningen, som dækker den del af rattets ydre perimeter, der vender mod føreren.

Det optiske signal skal angive det aktive systems tilstand, indtil systemet deaktiveres (slukket tilstand).

Det optiske signal skal være konstant, mens systemet er i almindelig drift, og når et overtagelseskrav påbegyndes, skal indikationen i henhold til litra b) som minimum ændre karakteristika, f.eks. til et intermitterende signal eller en anden farve.

Når der anvendes et intermitterende signal, skal der anvendes en lav frekvens for ikke at advare føreren uhensigtsmæssigt.

Under omstillingsfasen og den minimale risikomanøvre kan angivelsen i henhold til litra a) erstattes af instruksen om at overtage manuel styring i overensstemmelse med punkt 6.4.3.

6.4.2.3.

Visning af systemstatus ved deaktivering

Ved deaktivering, når systemtilstanden skifter fra aktiv til slukket tilstand, skal dette tilkendegives over for føreren som minimum ved et optisk advarselssignal. Dette optiske signal skal opnås ved at undlade at vise det optiske signal, der anvendes til at angive den aktive tilstand, eller ved at undlade at vise instruktionen om at overtage manuel styring.

Desuden skal der afgives et akustisk advarselssignal, medmindre systemet deaktiveres som følge af et overtagelseskrav, der indeholdt et akustisk signal.

6.4.3.

Omstillingsfase og minimal risikomanøvre

Under omstillingsfasen og den minimale risikomanøvre, skal systemet instruere føreren på en intuitiv og utvetydig måde i at overtage den manuelle styring af køretøjet. Instruktionen skal bestå af en billedgengivelse af hænder og styreanordningen og kan ledsages af yderligere forklarende tekst eller advarselssymboler som vist i eksemplet nedenfor.

6.4.3.2.

Når den minimale risikomanøvre indledes, skal det givne signal ændre karakteristika for at understrege behovet for presserende handling fra førerens side, f.eks. ved en styreanordning, der blinker rødt, og hænder, der bevæger sig på billedgengivelsen.

6.4.4.

I stedet for eksemplerne med optiske signaler ovenfor, kan der anvendes et andet brugerfladedesign for de optiske signaler, forudsat at dette er tilstrækkeligt og lige så forståeligt. Dette skal påvises af fabrikanten og dokumenteres. Dette skal vurderes af den tekniske tjeneste i overensstemmelse med bilag 4.

6.4.5.

Prioritering af ALKS-advarsler

Advarslerne fra ALKS under en omstillingsfase, en minimal risikomanøvre eller en nødmanøvre kan prioriteres frem for andre advarsler i køretøjet.

Fabrikanten skal i forbindelse med typegodkendelsen oplyse den tekniske tjeneste om prioriteringen af forskellige akustiske og optiske advarsler under ALKS-drift.

7. DETEKTERING AF GENSTANDE OG HÆNDELSER SAMT REAKTION (OEDR)

7.1.

Sensorkrav

Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i dette punkt er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4 og i overensstemmelse med de relevante prøvninger i bilag 5.

ALKS-køretøjet skal være udstyret med et sensorsystem, der som minimum kan bestemme kørselsomgivelserne (f.eks. vejgeometrien foran, vognbaneafmærkning) og trafikdynamikken:

a)	langs hele bredden af dets eget vognbane, den fulde bredde af vognbanerne umiddelbart til højre og venstre for køretøjet frem til grænsen for dets detektionsområde fremad.

b)	langs køretøjets fulde længde og op til grænsen for det sideværts detektionsområde.

Kravene i dette stykke berører ikke andre krav i dette regulativ, navnlig punkt 5.1.1.

7.1.1.

Detektionsområde fremad

Fabrikanten skal oplyse detektionsområdet fremad målt fra køretøjets forreste punkt. Den oplyste værdi skal være mindst 46 m.

Den tekniske tjeneste skal verificere, at den afstand, hvormed køretøjets sensorsystem detekterer en trafikant under den relevante prøvning i bilag 5, er lig med eller større end den oplyste værdi.

7.1.2.

Sideværts detektionsområde

Fabrikanten skal oplyse det sideværts detektionsområde. Det oplyste område skal være tilstrækkeligt til at dække den fulde bredde af vognbanerne umiddelbart til venstre og til højre for køretøjet.

Den tekniske tjeneste skal verificere, at køretøjets sensorsystem detekterer køretøjer under den relevante prøvning i bilag 5. Dette område skal være lig med eller større end det oplyste område.

7.1.3.

ALKS skal anvende strategier til at detektere og kompensere for omgivende forhold, der reducerer detektionsområdet, f.eks. forhindre, at systemet aktiveres, deaktivere systemet og føre kontrollen tilbage til føreren, samt nedsætte hastigheden, når sigtbarheden er for lav. Disse strategier skal beskrives af fabrikanten og vurderes i henhold til bilag 4.

7.1.4.

Køretøjsfabrikanten skal fremlægge dokumentation for, at virkningerne af slid og ældning ikke reducerer sensorsystemets ydeevne til under den krævede minimumsværdi, der er angivet i punkt 7.1, i hele systemets/køretøjets levetid.

7.1.5.

Opfyldelse af bestemmelserne i punkt 7.1 og dettes underpunkter skal dokumenteres over for den tekniske tjeneste og prøves i henhold til de relevante prøvninger i bilag 5.

7.1.6.

En enkelt perceptionsfejl uden svigt bør ikke medføre en farlig hændelse. De konstruktionsstrategier, der er anvendt, skal beskrives af køretøjsfabrikanten, og sikkerheden heraf skal dokumenteres til den tekniske tjenestes tilfredshed i overensstemmelse med bilag 4.

8. DATALAGRINGSSYSTEM TIL AUTOMATISERET KØRSEL

8.1.

Hvert køretøj udstyret med ALKS (systemet) skal være udstyret med et DSSAD, der opfylder nedenstående krav. Fabrikanten skal over for den tekniske tjeneste godtgøre, at bestemmelserne i punkt 8 er opfyldt i forbindelse med inspektion af sikkerhedstilgangen som led i vurderingen i bilag 4.

Dette regulativ berører ikke nationale og regionale love om adgang til data, privatlivets fred og databeskyttelse.

8.2.

Registrerede forekomster

8.2.1.

Hvert køretøj udstyret med et DSSAD skal som minimum registrere en forekomst for hver af følgende hændelser efter aktivering af systemet:

a)	aktivering af systemet

deaktivering af systemet pga.:

i)	førerens anvendelse af særlige midler til deaktivering af systemet

ii)	tilsidesættelse gennem styreanordningen

iii)	tilsidesættelse gennem speederbetjeningen mens styreanordningen fastholdes

iv)	tilsidesættelse gennem bremsebetjeningen mens styreanordningen fastholdes

overtagelseskrav fra systemet pga.:

i)	planlagt hændelse

ii)	ikkeplanlagt hændelse

iii)	førerens utilgængelighed (jf. punkt 6.1.3)

iv)	føreren ikke til stede eller ikke fastspændt (jf. punkt 6.1.2)

v)	systemsvigt:

vi)	tilsidesættelse af systemet gennem input til bremser

vii)	tilsidesættelse af systemet gennem input til speeder

d)	reduktion eller undertrykkelse af førerinput

e)	påbegyndelse af nødmanøvre

f)	afslutning af nødmanøvre

g)	udløsning af hændelsesdatalogger (EDR)

h)	involvering i en detekteret kollision

i)	minimal risikomanøvre udløst af systemet

j)	alvorligt ALKS-svigt

k)	alvorligt køretøjssvigt

8.3.

Dataelementer

8.3.1.

For hver hændelse, der er anført i punkt 8.2, skal DSSAD som minimum registrere følgende dataelementer på en klart identificerbar måde:

a)	hændelsesflaget, jf. fortegnelsen i punkt 8.2

b)	årsag til hændelsen, alt efter hvad der er relevant, jf. fortegnelsen i punkt 8.2

c)	dato (detaljegrad: åååå/mm/dd)

tidsstempel:

i)	detaljegrad: tt/mm/ss tidszone, f.eks. 12:59:59 UTC

ii)	nøjagtighed: +/– 1,0 s.

8.3.2.

For hver begivenhed, der er anført i punkt 8.2, skal R 157SWIN for ALKS eller de softwareversioner, der er relevante for ALKS, med angivelse af den software, der var til stede på hændelsestidspunktet, være klart identificerbare.

8.3.3.

Et enkelt tidsstempel kan tillades for flere elementer, der registreres samtidigt inden for tidsopløsningen for de specifikke dataelementer. Hvis mere end ét element registreres med samme tidsstempel, skal oplysningerne fra de enkelte elementer angive den kronologiske rækkefølge.

8.4.

Datatilgængelighed

8.4.1.

DSSAD-data skal være tilgængelige i overensstemmelse med nationale og regionale lovkrav (3).

8.4.2.

Når DSSAD's lagringsgrænse er nået, må eksisterende data kun overskrives efter en »først ind, først ud-procedure« efter princippet om overholdelse af de relevante krav til datatilgængelighed.

Køretøjsfabrikanten skal fremlægge dokumentation for lagerkapaciteten.

8.4.3.

Dataene skal kunne hentes selv efter en alvorlighedsgrad, der er fastsat i FN-regulativ nr. 94, 95 eller 137. Hvis køretøjets hovedstrømforsyning ikke er tilgængelig, skal det stadig være muligt at hente alle data, der er registreret i DSSAD, som krævet i national og regional lovgivning.

8.4.4.

Data, der lagres i DSSAD, skal være let læselige på en standardiseret måde ved hjælp af en elektronisk kommunikationsgrænseflade, i det mindste gennem standardgrænsefladen (OBD-port).

8.4.5.

Fabrikanten skal levere instruktion i, hvordan dataene tilgås.

8.5.

Beskyttelse mod manipulation.

8.5.1.

Det skal sikres, at der er tilstrækkelig beskyttelse mod manipulation af lagrede data (såsom sletning af data), f.eks. ved designmæssigt at sikre dataene herimod.

8.6.

Tilgængelighed af DSSAD-drift

8.6.1.

DSSAD skal kunne kommunikere med systemet for at informere om, at DSSAD er operationelt.

9. CYBERSIKKERHED OG SOFTWAREOPDATERINGER

9.1.

Systemets effektivitet må ikke påvirkes negativt af cyberangreb, cybertrusler og sårbarheder. Sikkerhedsforanstaltningernes effektivitet skal påvises gennem overholdelse af FN-regulativ nr. 155.

9.2.

Hvis systemet tillader softwareopdateringer, skal effektiviteten af softwareopdateringsprocedurer og -processer påvises gennem overensstemmelse med FN-regulativ nr. 156.

9.3.

Krav til softwareidentifikation

9.3.1.

For at sikre, at systemsoftwaren kan identificeres, kan køretøjsfabrikanten implementere en R157SWIN. Hvis R157SWIN ikke implementeres, skal der anvendes et alternativt softwareidentifikationssystem (dvs. softwareversion).

9.3.2.

Såfremt fabrikanten implementerer en R157SWIN, gælder følgende:

9.3.2.1.

Køretøjsfabrikanten skal være i besiddelse af en gyldig godkendelse i henhold til FN-regulativ nr. 156 (regulativet om softwareopdatering).

9.3.2.2.

Køretøjsfabrikanten skal afgive følgende oplysninger i meddelelsesformularen for dette regulativ:

a)	den pågældende R157SWIN

b)	aflæsningsvejledning for R157SWIN eller softwareversion(er), hvis R157SWIN ikke opbevares i køretøjet.

9.3.2.3.

Køretøjsfabrikanten kan i meddelelsesformularen for dette regulativ angive en liste over de relevante parametre, der gør det muligt at identificere de køretøjer, der kan opdateres med den software, som R157SWIN repræsenterer. Disse oplysninger skal angives af køretøjsfabrikanten og må ikke verificeres af en godkendende myndighed.

9.3.3.

Køretøjsfabrikanten kan opnå en ny køretøjsgodkendelse med henblik på at differentiere softwareversioner, der er beregnet til anvendelse i køretøjer, der allerede er registreret på markedet, fra de softwareversioner, der anvendes i nye køretøjer. Dette kan omfatte de situationer, hvor typegodkendelsesregulativerne er ajourført, eller hvor der foretages hardwareændringer i serieproducerede køretøjer. Efter aftale med prøvningsorganet skal gentagelse af prøvninger undgås, hvor det er muligt.

10. ÆNDRING AF KØRETØJSTYPEN OG UDVIDELSE AF TYPEGODKENDELSEN

10.1.

Enhver ændring af en eksisterende køretøjstype skal meddeles den typegodkendende myndighed, som godkendte køretøjstypen.

Denne myndighed skal da enten:

a)	efter høring af fabrikanten beslutte, at der skal meddeles en ny typegodkendelse, eller

b)	anvende proceduren i punkt 10.1.1 (revision) og, hvis relevant, proceduren i punkt 10.1.2 (udvidelse).

10.1.1.

Revision

Når oplysningerne i informationsdokumenterne er ændret, og den typegodkendende myndighed mener, at de foretagne ændringer næppe vil have mærkbare ugunstige virkninger, og at betjeningspedalerne under alle omstændigheder stadig opfylder kravene, betegnes ændringen som en »revision«.

I sådanne tilfælde udsteder den typegodkendende myndighed de reviderede rettelsesblade til oplysningsskemaerne, idet hvert enkelt rettelsesblad mærkes tydeligt med ændringens art og datoen for den nye udstedelse.

En samlet, ajourført version af oplysningsskemaerne ledsaget af en nøjagtig beskrivelse af ændringens art anses for at opfylde dette krav.

10.1.2.

Udvidelse

Ændringen betegnes som en »udvidelse«, hvis der ud over ændringen af de oplysninger, der er registreret i oplysningsskemaerne.

a)	kræves yderligere inspektioner eller prøvninger eller

b)	er foretaget ændringer i meddelelsesformularen (bortset fra bilagene) eller

c)	anmodes om godkendelse af en senere ændringsserie efter dens ikrafttræden.

10.2.

Godkendelse eller nægtelse af godkendelse skal sammen med detaljer om ændringerne meddeles i henhold til fremgangsmåden beskrevet i afsnit 4.3 til de kontraherende parter i overenskomsten, der anvender dette regulativ. Desuden skal det til meddelelsesformularen i bilag 1 vedlagte indeks over oplysningsskemaer og prøvningsrapporter ændres i overensstemmelse hermed, således at datoen for den seneste ændring eller udvidelse fremgår.

10.3.

Den kompetente myndighed, som udsteder udvidelse af godkendelse, tildeler et fortløbende nummer til hver meddelelsesformular, som udfærdiges vedrørende en sådan udvidelse.

11. PRODUKTIONENS OVERENSSTEMMELSE

11.1.

Procedurerne vedrørende produktionens overensstemmelse skal opfylde bestemmelserne i 1958-overenskomstens skema 1 (E/ECE/TRANS/505/Rev.3), idet følgende forskrifter finder anvendelse:

11.2.

Et køretøj, der er godkendt i henhold til dette regulativ, skal være således fremstillet, at det svarer til den godkendte type, idet det skal opfylde de krav, der er fastlagt i dette regulativ.

11.3.

Den typegodkendende myndighed, der har meddelt godkendelse, kan til hver en tid efterprøve de metoder, der anvendes til kontrol af overensstemmelsen i de enkelte produktionsanlæg. Der foretages normalt en inspektion hvert andet år.

12. SANKTIONER I TILFÆLDE AF PRODUKTIONENS MANGLENDE OVERENSSTEMMELSE

12.1.

En godkendelse, som er meddelt for en køretøjstype i henhold til dette regulativ, kan inddrages, hvis kravene i punkt 8 ovenfor ikke er opfyldt.

12.2.

Hvis en af de kontraherende parter inddrager en godkendelse, som den tidligere har meddelt, skal den straks underrette de øvrige kontraherende parter, der anvender dette regulativ, herom ved hjælp af en meddelelsesformular, der er i overensstemmelse med modellen i bilag 1 til dette regulativ.

13. ENDELIGT OPHØR AF PRODUKTIONEN

13.1.

Hvis indehaveren af godkendelsen endeligt indstiller produktionen af en køretøjstype som er godkendt i henhold til dette regulativ, underrettes den myndighed, som har meddelt godkendelsen, herom. Denne underretter straks de øvrige kontraherende parter i overenskomsten, der anvender dette regulativ, ved hjælp af en meddelelsesformular, der er i overensstemmelse med modellen i bilag 1 til dette regulativ.

13.2.

Produktionen anses ikke for endeligt ophørt, hvis køretøjsfabrikanten har til hensigt at opnå yderligere godkendelse af softwareopdateringer for køretøjer, der allerede er registreret på markedet.

14. NAVNE OG ADRESSER PÅ TEKNISKE TJENESTER, SOM ER ANSVARLIGE FOR UDFØRELSE AF GODKENDELSESPRØVNING, OG PÅ DE TYPEGODKENDENDE MYNDIGHEDER

De kontraherende parter i overenskomsten, der anvender dette regulativ, meddeler FN's sekretariat (4) navn og adresse på de tekniske tjenester, som er ansvarlige for udførelse af godkendelsesprøvningerne, og på de typegodkendende myndigheder, som meddeler godkendelse, og hvortil meddelelser om godkendelse, udvidelse, nægtelse eller inddragelse af godkendelse skal fremsendes.

(2) Kendingsnumrene for de kontraherende parter i 1958-overenskomsten er angivet i bilag 3 til den konsoliderede resolution om køretøjers konstruktion (R.E.3), dokument ECE/TRANS/WP.29/78/Rev. 6 — www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

(3) Bemærk: På grundlag af en nylig kvantitativ undersøgelse foretaget af en kontraherende part vurderer GRVA, at teksten vil kunne omfatte adskillige tidsstempelspecifikationer for 2 500 tidsstempler, svarende til en periode på 6 måneders brug.

(4) Via onlineplatformen (»/343 Application«), der stilles til rådighed af FN/ECE og dedikeret til udveksling af sådanne oplysninger: https://www.unece.org/trans/main/wp29/datasharing.html

BILAG 1

Meddelelse

(Største format: A4 (210 × 297 mm))

(1)

Udstedt af:

Myndighedens navn

…

Vedrørende (2):

Meddelelse af godkendelse

Udvidelse af godkendelse

Nægtelse af godkendelse

Inddragelse af godkendelse

Endeligt ophør af produktionen

for en køretøjstype, med hensyn til systemet til automatisk vognbaneassistance i henhold til FN-regulativ nr. 157

Godkendelse nr.: …

Begrundelse for udvidelse eller revision: …

Køretøjets fabriks- eller handelsbetegnelse …

Køretøjstype …

Fabrikantens navn og adresse …

Navn og adresse på fabrikantens eventuelle repræsentant …

Køretøjets almindelige specifikationer

5.1.

Fotografier og/eller tegninger af et repræsentativt køretøj: …

Beskrivelse og/eller tegning af ALKS, herunder:

6.1.

Den angivne maksimale hastighed for ALKS som oplyst af fabrikanten: …

6.2.

Sensorsystem (inkl. komponenter): …

6.3.

Montering af ALKS-sensorsystem: …

6.4.

ALKS-softwareidentifikation (hvis relevant): …

Skriftlig beskrivelse og/eller tegning af ALKS menneske-maskine-grænseflade, herunder:

7.1.

Metoder til detektering af førerens tilgængelighed …

7.2.

Midler til aktivering, deaktivering og tilsidesættelse af systemet …

7.3.

Metoder til bestemmelse af førerens opmærksomhed …

7.4.

Eventuelle systembegrænsninger på grund af omgivende forhold eller vejforhold …

Skriftlig beskrivelse og/eller tegning af de oplysninger, der gives til føreren, herunder:

8.1.

Systemstatus: …

8.2.

Overtagelseskrav: …

8.3.

Minimal risikomanøvre: …

8.4.

Nødmanøvre: …

Datalagringssystem til automatiseret kørsel (DSSAD):

9.1.

DSSAD-ydelse efterprøvet efter prøvningerne udført i overensstemmelse med bilag 5: … ja/nej

9.2.

DSSAD-dokumentation vedrørende datahentningsevne, selvtest af dataintegritet og beskyttelse mod manipulation af lagrede data verificeret: ja/nej

10.

Cybersikkerhed og softwareopdateringer

10.1.

Typegodkendelsesnummer for cybersikkerhed (hvis relevant): …

10.2.

Typegodkendelsesnummer for softwareopdatering (hvis relevant): …

11.

Særlige krav, der finder anvendelse på sikkerhedsaspekter ved elektroniske kontrolsystemer (bilag 4)

11.1.

Fabrikantens dokumentreference for bilag 4 (inkl. versionsnummer): …

11.2.

Formular for oplysningsskema (tillæg 2 i bilag 4) …

12.

Teknisk tjeneste, som er ansvarlig for udførelse af godkendelsesprøvning …

12.1.

Dato på rapport udstedt af den pågældende tekniske tjeneste …

12.2.

(Reference)nummer på rapport udstedt af denne tjeneste …

13.

Godkendelse meddelt/udvidet/nægtet/inddraget (2)

14.

Godkendelsesmærkets placering på køretøjet …

15.

Sted …

16.

Dato …

17.

Underskrift …

18.

Denne meddelelse er vedlagt en liste over dokumenterne i godkendelsessagen, som er indgivet til den myndighed, der har givet godkendelsen, og kan udleveres på anmodning.

Yderligere oplysninger

19.

R157SWIN: …

19.1.

Oplysninger om aflæsning af R157SWIN eller softwareversion(er), hvis R157SWIN ikke opbevares i køretøjet: …

19.2.

Angiv i givet fald de relevante parametre, der gør det muligt at identificere de køretøjer, der kan opdateres med den software, som repræsenteres af R157SWIN under punkt 19.1: …

(1) Kendingsnummer for det land, hvor godkendelsen er meddelt/udvidet/nægtet/inddraget (se godkendelsesforskrifter i FN-regulativ nr. 157).

(2) Det ikke gældende overstreges.

Tillæg

Addendum til typegodkendelsesmeddelelse nr. ... vedrørende typegodkendelse af en køretøjstype for så vidt angår ALKS i henhold til regulativ nr. 157

Yderligere oplysninger

Kontraherende parters områder, hvor køretøjsfabrikanten har erklæret, at ALKS er blevet vurderet til at overholde de lokale færdselsregler:

Land	Vurderet	Bemærkninger til eventuelle begrænsninger
E 1 Tyskland	ja/nej
E 2 Frankrig
E 3 Italien
E 4 Nederlandene
E 5 Sverige
E 6 Belgien
E 7 Ungarn
E 8 Tjekkiet
E 9 Spanien
E 10 Serbien
E 11 Det Forenede Kongerige
E 12 Østrig
E 13 Luxembourg
E 14 Schweiz
E 16 Norge
E 17 Finland
E 18 Danmark
E 19 Rumænien
E 20 Polen
E 21 Portugal
E 22 Den Russiske Føderation
E 23 Grækenland
E 24 Irland
E 25 Kroatien
E 26 Slovenien
E 27 Slovakiet
E 28 Hviderusland
E 29 Estland
E 30 Republikken Moldova
E 31 Bosnien-Hercegovina
E 32 Letland
E 34 Bulgarien
E 35 Kasakhstan
E 36 Litauen
E 37 Tyrkiet
E 39 Aserbajdsjan
E 40 Nordmakedonien
E 43 Japan
E 45 Australien
E 46 Ukraine
E 47 Sydafrika
E 48 New Zealand
E 49 Cypern
E 50 Malta
E 51 Republikken Korea
E 52 Malaysia
E 53 Thailand
E 54 Albanien E 55 Armenien
E 56 Montenegro
E 57 San Marino
E 58 Tunesien
E 60 Georgien
E 62 Egypten
E 63 Nigeria
[E 64 Pakistan]
(*)

(*) Listen over kontraherende parter, der anvender FN-regulativ nr. 157, er tilgængelig online: https://treaties.un.org/Pages/ViewDetails.aspx?src=TREATY&mtdsg_no=XI-B-16-15[X]&chapter=11&clang=_en

BILAG 2

Udformning af godkendelsesmærker

MODEL A

(Se punkt 4.4 i dette regulativ)

a = 8 mm min

Det ovennævnte godkendelsesmærke, der er påmonteret et køretøj, angiver, at den pågældende køretøjstype for så vidt angår ALKS er godkendt i Nederlandene (E 4) i henhold til FN-regulativ nr. 157 med godkendelsesnummer 002439. Godkendelsesnummeret angiver, at godkendelsen er meddelt i henhold til kravene i FN-regulativ nr. 157 i dettes oprindelige form.

MODEL B

(Se punkt 4.5 i dette regulativ)

a = 8 mm min

Det ovenstående godkendelsesmærke, som er påført et køretøj, viser, at køretøjstypen er godkendt i Nederlandene (E 4) i henhold til regulativ nr. 157 og 31 (1). Godkendelsesnumrene angiver, at regulativ nr. 157 på godkendelsestidspunkterne forelå i den oprindelige version, og at FN-regulativ nr. 31 omfattede ændringsserie 02.

(1) Det andet tal er kun et eksempel.

BILAG 3

(Reserveret)

BILAG 4

Særlige krav, der skal anvendes på de funktionelle og driftsmæssige sikkerhedsaspekter ved systemer til automatisk vognbaneassistance (ALKS)

1. GENERELT

Formålet med dette bilag er at sikre, at den funktionelle og operationelle sikkerhed for det automatiserede system, som leverer de funktioner, der er reguleret af ALKS-regulativet, har været genstand for et acceptabelt, grundigt skøn af fabrikanten under konstruktions- og udviklingsprocesserne, og at et sådant skøn vil fortsætte i hele køretøjstypens livscyklus (design, udvikling, produktion, feltdrift, udfasning).

Det omfatter den dokumentation, som fabrikanten skal fremlægge for den typegodkendende myndighed eller den tekniske tjeneste, der handler på dennes vegne (i det følgende benævnt »typegodkendende myndighed«), med henblik på typegodkendelse.

Denne dokumentation skal påvise, at et system til automatisk vognbaneassistance opfylder ydeevnekravene i dette FN-regulativ, at det er konstrueret og udviklet til at fungere på en sådan måde, at det ikke indebærer urimelige sikkerhedsrisici for føreren, passagererne og andre trafikanter.

Den typegodkendende myndighed, der meddeler godkendelse, skal ved målrettet stikprøvekontrol og prøvninger kontrollere, at argumenterne i dokumentationsmaterialet er tilstrækkelig stærke, og at fabrikanten rent faktisk anvender de konstruktioner og processer, der er beskrevet i dokumentationen.

Selv om det på grundlag af den fremlagte dokumentation og de procesauditter/produktvurderinger, der er foretaget til den typegodkendende myndigheds tilfredshed vedrørende dette regulativ, skønnes, at det resterende risikoniveau af det vurderede system til automatisk vognbaneassistance er acceptabelt for ibrugtagning af køretøjstypen, er det fortsat den fabrikant, der anmoder om typegodkendelse, der er ansvarlig for den samlede køretøjssikkerhed i hele levetiden af systemet til automatisk vognbaneassistance, jf. kravene i dette regulativ.

2. DEFINITIONER

I dette bilag forestås ved:

2.1.

»systemet«: et »elektronisk kontrolsystem på højere niveau« og dets elektroniske styresystem(er), der leverer den automatiserede kørselsfunktion. Dette omfatter også transmissionsforbindelser til eller fra andre systemer, der ikke er omfattet af dette regulativ, og som virker på den automatiske vognbaneassistancefunktion

2.2.

»sikkerhedskoncept«: en beskrivelse af de foranstaltninger, der er indbygget i systemet, f.eks. i de elektroniske enheder, således at køretøjet fungerer på en sådan måde, at føreren, passagerer og andre trafikanter ikke udsættes for urimelige sikkerhedsrisici ved fejltilstand og normaltilstand. Muligheden for »fall-back« til delvis drift eller et back-up-system, der sikrer køretøjets vigtigste funktioner, skal indgå i sikkerhedskonceptet

2.3.

2.4.

»elektroniske kontrolsystemer på højere niveau«: systemer, der anvender databehandlings- og/eller sensorudstyr til at udføre den dynamiske kørselsopgave

2.5.

»enhed«: den mindste underinddeling af systemkomponenter, som er omfattet af dette bilag, idet disse kombinationer af komponenter behandles som separate enheder med henblik på identifikation, analyse eller udskiftning

2.6.

»transmissionsforbindelser«: midler, som anvendes til at forbinde forskellige enheder med hinanden, med henblik på udsendelse af signaler, driftsdata eller forsyning med energi. Dette udstyr er normalt elektrisk, men kan til dels være mekanisk, pneumatisk eller hydraulisk

2.7.

»kontrolområde«: en output-variabel, som definerer det område, inden for hvilket systemet kan forventes at udøve kontrol

2.8.

»grænser for funktionel drift«: definerer grænserne for de ydre fysiske grænser, inden for hvilke systemet er i stand til at udføre dynamiske kørselsopgaver (herunder overtagelseskrav og minimale risikomanøvrer)

2.9.

»operationelt designdomæne (ODD)« for systemet til automatisk vognbaneassistance: definerer de specifikke driftsforhold (f.eks. miljømæssige, geografiske, tidspunkter på dagen, trafik, infrastruktur, hastighedsområde, vejrforhold og andre forhold) inden for de grænser, der er fastsat i dette regulativ, under hvilke systemet til automatisk vognbaneassistance er konstrueret til at fungere uden indgriben fra føreren

2.10.

»automatiseret kørselsfunktion«: en funktion i »systemet«, som kan ændre køretøjets dynamiske kørselsopgaver

2.11.

»kontrolstrategi«: en strategi, der skal sikre en robust og sikker drift af »systemets« funktion(er) som reaktion på et bestemt sæt af omgivelses- og/eller driftsforhold (f.eks. vejbelægningens tilstand, trafiktæthed og andre trafikanter, ugunstige vejrforhold osv.). Dette kan omfatte automatisk deaktivering af en funktion eller midlertidige funktionsbegrænsninger (f.eks. nedsættelse af den maksimale driftshastighed osv.)

2.12.

»funktionel sikkerhed«: fravær af urimelige risici i forbindelse med farer, der skyldes elektriske/elektroniske systemers fejlfunktion (sikkerhedsrisici som følge af systemfejl)

2.13.

»fejl«: unormal tilstand, der kan medføre, at et element (system, komponent, software) eller en enhed (system eller kombination af systemer, der gennemfører en funktion på et køretøj), svigter

2.14.

»svigt«: ophør af en et elements eller en enheds tilsigtede funktion

2.15.

»driftssikkerhed«: fravær af urimelig risiko i forbindelse med farer, der skyldes funktionelle mangler ved den tilsigtede funktionalitet (f.eks. falsk/manglende detektion), driftsforstyrrelser (f.eks. miljøforhold som tåge, regn, skygger, sollys, infrastruktur) eller opstår som følge af med rimelighed forudseelig misbrug/fejl foretaget af føreren, passagerer og andre trafikanter (sikkerhedsrisici — uden systemfejl)

2.16.

»urimelig risiko«: det samlede risikoniveau for føreren, køretøjspassagererne og andre trafikanter, som øges sammenlignet med et kompetent og omhyggeligt ført manuelt køretøj.

3. DOKUMENTATION

3.1.

Krav

Fabrikanten skal levere en dokumentationspakke, der giver adgang til »systemets« grundlæggende design og de midler, hvormed det forbindes til andre køretøjssystemer, eller som direkte kontrollerer output-variablerne.

»Systemets« funktion(er), herunder kontrolstrategierne, og det af fabrikanten fastsatte sikkerhedskoncept skal forklares.

Dokumentationen skal være kortfattet, men skal godtgøre, at der er anvendt ekspertise fra alle relevante systemområder i design- og udviklingsprocessen.

I forbindelse med periodiske tekniske syn skal dokumentationen indeholde en beskrivelse af, hvordan »systemets« aktuelle driftsstatus kan efterprøves.

Oplysninger om, hvordan softwareversionerne og status for fejladvarselssignal kan læses på en standardiseret måde ved hjælp af en elektronisk kommunikationsgrænseflade, i det mindste gennem standardgrænsefladen (OBD-port), skal tilvejebringes.

Den typegodkendende myndighed skal vurdere dokumentationspakken for at godtgøre, at »systemet«:

a)	er konstrueret og udviklet til at fungere på en sådan måde, at det er frit for urimelige risici for føreren, passagererne og andre trafikanter inden for det angivne ODD og grænser

b)	overholder de ydeevnekrav, der er angivet andetsteds i dette FN-regulativ

c)	er udviklet i henhold til den udviklingsproces/metode, som fabrikanten har angivet, og at dette som minimum omfatter de trin, der er anført i punkt 3.4.4.

3.1.1.

Dokumentationen skal foreligge i tre dele:

a)	Ansøgning om typegodkendelse: Det oplysningsskema, der indgives til den typegodkendende myndighed på tidspunktet for typegodkendelsesansøgningen, skal indeholde kortfattede oplysninger om de punkter, der er anført i tillæg 2. Det vil indgå i som en del af godkendelsen.

Den formelle dokumentationspakke, der kræves med henblik på godkendelse, med det materiale, der er anført i dette punkt 3 (med undtagelse af punkt 3.4.4), som leveres til den typegodkendende myndighed med henblik på gennemførelse af produktvurderingen/procesauditten. Denne dokumentationspakke skal anvendes af den typegodkendende myndighed som referencegrundlag for den verifikationsproces, der er angivet i punkt 4 i dette bilag. Den typegodkendende myndighed skal sikre, at denne dokumentationspakke forbliver tilgængelig i en periode på 10 år at regne fra tidspunktet for det endelige produktionsophør af køretøjstypen.

Yderligere fortroligt materiale og analysedata (intellektuel ejendomsret) i punkt 3.4.4, som skal opbevares af fabrikanten, men gøres tilgængeligt for inspektion (f.eks. on-site på fabrikantens tekniske faciliteter) på tidspunktet for produktvurderingen/procesauditten. Fabrikanten skal sikre, at dette materiale og disse analysedata forbliver tilgængelige i en periode på 10 år, der regnes fra tidspunktet for det endelige produktionsophør af køretøjstypen.

3.2.

Beskrivelse af »systemets« funktioner, herunder kontrolstrategier.

Der skal fremlægges en beskrivelse, som giver en enkel forklaring på alle funktioner, herunder »systemets« kontrolstrategier og de metoder, der anvendes for at udføre de dynamiske kørselsopgaver inden for ODD, og de grænser, inden for hvilke systemet til automatisk vognbaneassistance er beregnet til at fungere, herunder en erklæring om den eller de mekanismer, hvormed kontrollen udøves. Fabrikanten skal beskrive de forventede interaktioner mellem systemet og føreren, køretøjspassagerer og andre trafikanter samt menneske-maskine-grænseflade (HMI).

Alle aktiverede eller deaktiverede automatiserede kørselsfunktioner, for hvilke hardware og software er til stede i køretøjet på produktionstidspunktet, skal angives og er underlagt kravene i dette bilag, inden de tages i brug i køretøjet. Fabrikanten skal også dokumentere databehandlingen ved eventuelle algoritmer til kontinuerlig læring.

3.2.1.

Der skal fremlægges en liste over alle indlæste og målte variabler med definition af arbejdsområdet for disse samt en beskrivelse af, hvordan hver variabel påvirker systemets funktion.

3.2.2.

Der leveres en fortegnelse over alle outputvariabler, som styres af »systemet«, og det forklares i hvert enkelt tilfælde, hvorvidt der er tale om direkte kontrol eller kontrol via et andet køretøjssystem. Det kontrolområde (punkt 2.7), der udøves på hver af disse variabler, skal defineres.

3.2.3.

Øvre og nedre grænseværdier for funktionel drift, herunder ODD-grænser, angives, hvis det er relevant for ydeevnen af systemet til automatisk vognbaneassistance.

3.2.4.

Interaktionskonceptet med føreren, når ODD-grænserne er nået, skal forklares, herunder listen over de typer situationer, hvor systemet vil generere et overtagelseskrav til føreren.

3.2.5.

Der skal gives oplysninger om midlerne til at aktivere, tilsidesætte eller deaktivere systemet, herunder strategien for, hvordan systemet er beskyttet mod utilsigtet deaktivering. Dette skal også omfatte oplysninger om, hvordan systemet opdager, at føreren er tilgængelig til at overtage kørselskontrollen, sammen med specifikation af og dokumenteret bevis for den parameter, der er anvendt til identificering af førerens opmærksomhed samt indflydelsen på styringstærsklerne.

3.3.

Systemkonfiguration og -diagram

3.3.1.

Fortegnelse over komponenter.

Der leveres en liste med alle enhederne i »systemet« og med angivelse af andre køretøjssystemer, som er nødvendige for at opnå den pågældende kontrolfunktion.

Desuden leveres et diagram, som viser kombinationen af disse enheder og indeholder en nærmere angivelse af komponenternes fordeling og forbindelser med hinanden.

Dette diagram skal omfatte:

a)	perception og detektering af genstande, herunder kortlægning og placering

b)	beslutningstagningskarakteristik

c)	fjernsupervision og fjernovervågning foretaget af et fjernovervågningscenter (hvis relevant)

d)	datalagringssystemet (DSSAD).

3.3.2.

Enhedernes funktioner

Der gives en kort beskrivelse af de enkelte enheders funktion i »systemet«, og de signaler, som forbinder systemet med andre enheder eller med andre køretøjssystemer, angives. Disse oplysninger kan afgives som et blokdiagram eller andet diagram, eller som en beskrivelse suppleret af et sådant diagram.

3.3.3.

De indbyrdes forbindelser i »systemet« illustreres med et kredsløbsdiagram for elektriske transmissionsforbindelser, med et rørdiagram for pneumatisk eller hydraulisk transmissionsudstyr og med et forenklet diagram for mekaniske forbindelser. Transmissionsforbindelserne både til og fra andre systemer skal også illustreres.

3.3.4.

Der skal være en klar overensstemmelse mellem transmissionsforbindelserne og de signaler, der sendes mellem enhederne. Prioriteringer for signaler i multiplexdatastier skal angives, såfremt disse kan påvirke ydelse eller sikkerhed.

3.3.5.

Identifikation af enheder

Hver enhed skal klart og utvetydigt kunne identificeres (f.eks. kan hardware mærkes, og software kan mærkes eller forsynes med softwaresignal) for at sikre sammenhængen mellem hardware og dokumentation. Hvis softwareversionen kan ændres, uden at det er nødvendigt at udskifte mærkningen eller komponenten, skal softwareidentifikationen kun ske ved hjælp af softwareoutput.

Hvis flere funktioner er kombineret i en enkelt enhed eller i en enkelt computer, men af overskuelighedshensyn er angivet som flere blokke i blokdiagrammet, anvendes kun en enkelt identifikationsmærkning af det pågældende hardware. Ved anvendelse af denne identifikation skal fabrikanten bekræfte, at det leverede udstyr er i overensstemmelse med det hertil svarende dokument.

3.3.5.1.

Identifikationen angiver den pågældende hardware- og softwareversion, og såfremt der kommer en ny version, som ændrer den i henhold til nærværende regulativ angivne funktion, skal identifikationen også ændres.

3.3.6.

Montering af sensorsystemets komponenter

Fabrikanten skal give oplysninger om de monteringsmuligheder, der vil blive anvendt for de enkelte komponenter, der indgår i sensorsystemet. Disse valgmuligheder skal omfatte, men er ikke begrænset til, komponentens placering i/på køretøjet, materiale(r) omkring komponenten, dimensionering og geometri af det materiale, der omgiver komponenten, samt overfladebehandling af de materialer, der omgiver komponenten, når den er monteret i køretøjet. Oplysningerne skal også omfatte monteringsspecifikationer, der er kritiske for systemets ydeevne, f.eks. tolerancer for monteringsvinkel.

Ændringer af sensorsystemets enkelte komponenter eller monteringsmulighederne skal meddeles den typegodkendende myndighed og underkastes yderligere vurdering.

3.4.

Fabrikantens sikkerhedskoncept

3.4.1.

Fabrikanten skal fremlægge en erklæring, hvori det bekræftes, at »systemet« er fri for urimelige risici for fører, passagerer og andre trafikanter.

3.4.2.

Med hensyn til software, der anvendes i »systemet«, skal konfigurationen forklares, og de anvendte metoder og redskaber i forbindelse med konceptet skal defineres (jf. 3.5.1). Fabrikanten skal dokumentere, hvordan han bestemte systemets logik i udformnings- og udviklingsprocessen.

3.4.3.

Fabrikanten skal tilsende den typegodkendende myndighed en forklaring af de konstruktionsmæssige foranstaltninger, der er indbygget i »systemet« for at opretholde funktions- og driftssikkerhed. Mulige konstruktionsmæssige foranstaltninger i »systemet« kan være:

a)	fall-back til drift med anvendelse af delvist system

b)	redundans med et separat system

c)	fjernelse af de(n) automatiserede kørselsfunktion(er).

3.4.3.1.

Hvis den valgte foranstaltning vælger en driftsmåde med delvis ydeevne ved visse fejltilstande (f.eks. i tilfælde af alvorlige svigt), skal disse betingelser angives (f.eks. type alvorligt svigt) og de deraf følgende effektivitetsbegrænsninger defineres (f.eks. initiering af en minimal risikomanøvre), ligesom advarselsstrategien over for føreren skal angives.

3.4.3.2.

Hvis den valgte foranstaltning aktiverer et andet middel (back-up) til opfyldelse af den dynamiske kørselsopgaves funktionalitet, skal principperne bag omskiftningsmekanismen, logikken og redundansniveauet og eventuelle indbyggede back-up-kontrolfunktioner forklares, og de deraf følgende begrænsninger for back-up-effektiviteten specificeres.

3.4.3.3.

Hvis den valgte foranstaltning vælger at fjerne den automatiserede kørselsfunktion, skal dette ske i overensstemmelse med de relevante bestemmelser i dette regulativ. Alle de tilhørende udgangskontrolsignaler, der er forbundet med denne funktion, skal forhindres.

3.4.4.

Dokumentationen skal understøttes af en analyse, der overordnet viser, hvordan systemet vil skulle afbøde eller undgå farer, der kan have betydning for førerens, passagerernes og andre trafikanters sikkerhed.

Den eller de valgte analysetilgange følges og forvaltes af fabrikanten og stilles til rådighed i forbindelse med den typegodkendende myndigheds inspektion på typegodkendelsestidspunktet.

Den typegodkendende myndighed skal foretage en vurdering af anvendelsen af analysetilgangen(-ene):

a)	inspektion af sikkerhedstilgangen på konceptniveauet (køretøj) Denne tilgang skal baseres på en fare-/risikoanalyse, der er passende for systemsikkerheden

inspektion af sikkerhedstilgangen på systemniveau, herunder en top-down- (fra mulig fare til konstruktion) og bottom-up-tilgang (fra konstruktion til mulige farer). Sikkerhedstilgangen kan være baseret på en analyse af en fejltilstand og virkningen heraf (FMEA), en fejltræsanalyse (FTA) og en systemteoretisk procesanalyse (STPA) eller en lignende proces, der er relevant i forhold til systemfunktionaliteten og driftssikkerheden

inspektion af validerings/verifikationsplanerne og resultaterne heraf, herunder passende acceptkriterier. Dette omfatter valideringsprøvning, der er relevant for validering, f.eks. prøvning af »hardware in the Loop« (HIL), driftsprøvning af køretøjer på vej, prøvning med faktiske slutbrugere eller andre prøvninger, der er relevante for validering/verifikation. Resultaterne af validering og verifikation kan vurderes ved at analysere dækningen af de forskellige prøvninger og fastsætte minimumstærskler for dækningen af forskellige parametre.

Inspektionen skal bekræfte, at mindst hvert af følgende punkter er dækket, hvor det er relevant under litra a)-c):

i)	forhold vedrørende interaktioner med andre køretøjssystemer (f.eks. bremsning, styretøj)

ii)	svigt i systemet til automatisk vognbaneassistance og systemets risikoreducerende reaktioner

iii)

situationer i ODD, hvor et system kan skabe urimelige sikkerhedsrisici for føreren, passagererne og andre trafikanter på grund af driftsforstyrrelser (f.eks. manglende eller forkert forståelse af køretøjets omgivelser, manglende forståelse af førerens, passagerers eller andre trafikanters reaktion, utilstrækkelig kontrol, udfordrende scenarier)

iv)	identifikation af de relevante scenarier inden for de grænsebetingelser og den forvaltningsmetode, der er anvendt til at udvælge scenarier, samt det valgte valideringsværktøj

v)	beslutningsproces, der har betydning for ydeevnen af de dynamiske kørselsopgaver (f.eks. nødmanøvrer), interaktion med andre trafikanter og overholdelse af færdselsreglerne

vi)

fejlanvendelse fra førerens side, der med rimelighed kan forudses (f.eks. systemet til registrering af førerens tilgængelighed og en forklaring på, hvordan tilgængelighedskriterierne blev fastlagt), fejltagelser eller misforståelser fra førerens side (f.eks. utilsigtet tilsidesættelse) og forsætlig manipulation af systemet

vii)	cyberangreb, der har indvirkning på køretøjets sikkerhed (kan udføres ved hjælp af en analyse, der foretages i henhold til FN-regulativ nr. 155 om cybersikkerhed og systemer til forvaltning af cybersikkerhed).

Den godkendende myndigheds vurdering skal bestå af stikprøvekontrol af udvalgte farer (eller cybertrusler) for at fastslå, at argumentationen til støtte for sikkerhedskonceptet er forståelig og logisk og implementeret i systemernes forskellige funktioner. Vurderingen skal også omfatte kontrol af, at valideringsplanerne er robuste nok til at påvise sikkerhed (f.eks. rimelig dækning af valgte scenarieprøvninger ved hjælp af det valgte valideringsværktøj) og er blevet gennemført.

Den skal påvise, at køretøjet ikke indebærer urimelige risici for fører, passagerer og andre trafikanter på det operationelle designdomæne, dvs. gennem:

et overordnet valideringsmål (dvs. acceptkriterier for validering) understøttet af valideringsresultater, der viser, at ibrugtagningen af systemet til automatisk vognbaneassistance overordnet set ikke vil øge risikoniveauet for fører, passagerer og andre trafikanter sammenlignet med manuelt styrede køretøjer, og

b)	en scenariespecifik tilgang, der viser, at systemet overordnet set ikke vil øge risikoniveauet for fører, passagerer og andre trafikanter sammenlignet med manuelt styrede køretøjer for hvert af de sikkerhedsrelevante scenarier, og

den typegodkendende myndighed skal udføre eller kræve, at der udføres prøver som angivet i punkt 4 for at efterprøve sikkerhedskonceptet.

3.4.4.1.

I dokumentationen skal de overvågede parametre være opstillet i punktform, og for hvert af de i dette bilags punkt 3.4.4 specificerede fejltilstandstyper angives de advarselssignaler, der skal afgives til føreren/passagerer/andre trafikanter og/eller til service- og inspektionspersonalet.

3.4.4.2.

I dokumentationen skal der være en beskrivelse af de foranstaltninger, der er truffet for at sikre, at »systemet« er fri for urimelige risici for fører, passagerer og andre trafikanter, når »systemets« ydeevne er påvirket af miljøforhold som f.eks. klima, temperatur, støvindtrængning, vandindtrængning, isslag.

3.5.

Sikkerhedsstyringssystem (procesaudit)

3.5.1.

For så vidt angår software og hardware, der anvendes i »systemet«, skal fabrikanten over for den typegodkendende myndighed igennem et sikkerhedsstyringssystem påvise, at der forefindes effektive processer, metoder og værktøjer, at disse er ajourførte og følges i organisationen med henblik på at styre sikkerheden og den fortsatte overholdelse i hele produktets livscyklus (design, udvikling, produktion, drift, herunder overholdelse af færdselsregler, og udfasning).

3.5.2.

Der skal etableres en design- og udviklingsproces, herunder et sikkerhedsstyringssystem, forvaltning af krav, gennemførelse af krav, prøvning, sporing af svigt, afhjælpning og frigivelse.

3.5.3.

Fabrikanten skal etablere og opretholde effektive kommunikationskanaler mellem fabrikantafdelinger med ansvar for funktionel/driftsmæssig sikkerhed, cybersikkerhed og andre relevante discipliner i forbindelse med opnåelse af køretøjssikkerhed.

3.5.4.

Fabrikanten skal råde over procedurer til overvågning af sikkerhedsrelaterede hændelser/ulykker/kollisioner forårsaget af systemet til automatisk vognbaneassistance og en proces til håndtering af potentielle sikkerhedsrelevante mangler efter registrering (overvågning i marken via lukket kredsløb) og for opdatering af køretøjerne. Fabrikanten skal indberette kritiske hændelser (f.eks. kollision med andre trafikanter og potentielle sikkerhedsrelevante mangler) til de typegodkendende myndigheder.

3.5.5.

Fabrikanten skal påvise, at der gennemføres periodiske uafhængige interne procesauditter for at sikre, at de processer, der er etableret i overensstemmelse med punkt 3.5.1-3.5.4, gennemføres konsekvent.

3.5.6.

Fabrikanter skal indføre passende ordninger (f.eks. kontraktmæssige ordninger, klare grænseflader, kvalitetssikringssystemer) med leverandørerne for at sikre, at leverandørens sikkerhedsstyringssystem opfylder kravene i punkt 3.5.1 (bortset fra køretøjsrelaterede aspekter som »drift« og »dekommissionering«), 3.5.2, 3.5.3 og 3.5.5.

4. VERIFIKATION OG PRØVNING

4.1.

»Systemets« funktionelle drift, jf. de i punkt 3 foreskrevne dokumenter, prøves som følger:

4.1.1.

Verifikation af »systemets« funktioner

Den typegodkendende myndighed skal kontrollere »systemet« ved normaltilstand ved på en bane at prøve en række funktioner udvalgt blandt dem, der er beskrevet af fabrikanten i punkt 3.2 ovenfor, og ved at efterprøve systemets generelle funktionalitet under faktiske kørselsforhold, herunder overholdelse af færdselsreglerne.

Disse prøvninger skal omfatte scenarier, hvor systemet tilsidesættes af føreren.

Prøvninger i henhold til dette bilag skal tage højde for prøvninger, der allerede er udført i henhold til bilag 5 til dette regulativ.

4.1.1.1.

Verifikationsresultaterne skal svare til den beskrivelse, herunder kontrolstrategierne, som fabrikanten har fremlagt i punkt 3.2, og skal opfylde kravene i dette regulativ.

4.1.2.

Verifikation af sikkerhedskonceptet i punkt 3.4

»Systemets« reaktion skal kontrolleres ved fejltilstand i en vilkårlig enhed ved at anvende de respektive outputsignaler til elektriske enheder eller mekaniske elementer for at simulere virkningen af indre svigt i enheden. Den typegodkendende myndighed skal foretage denne kontrol for mindst en enkelt enhed, men må ikke kontrollere reaktionen af »systemet« på flere samtidige svigt i de enkelte enheder.

Den typegodkendende myndighed skal verificere, at disse prøvninger omfatter aspekter, som kan have indflydelse på køretøjets styrbarhed og brugerinformation (HMI-aspekter, f.eks. omstillingsscenarier).

4.1.2.1.

Den typegodkendende myndighed skal også kontrollere en række scenarier, der er kritiske for detektering af genstande og reaktion herpå (OEDR) og karakteriseringen af systemets beslutningstagende funktioner og HMI-funktioner (f.eks. en genstand, der er vanskelig at detektere, når systemet når ODD-grænserne, trafikforstyrrelsesscenarier) som defineret i regulativet.

4.1.2.2.

Resultaterne af verifikationen skal have en sådan grad af overensstemmelse med den dokumenterede sammenfatning af fareanalysen, at det overordnet kan bekræftes, at sikkerhedskonceptet og dets gennemførelse er tilstrækkelig og i overensstemmelse med kravene i dette regulativ.

4.2.

Simuleringsværktøj og matematiske modeller til verifikation af sikkerhedskonceptet kan anvendes i overensstemmelse med skema 8 til revision 3 til overenskomsten af 1958, navnlig for scenarier, der er vanskeligt realiserbare på prøvebane eller under faktiske kørselsforhold. Fabrikanterne skal påvise simuleringsværktøjets anvendelsesområde, dets gyldighed for det pågældende scenarie samt den validering, der er foretaget for simuleringsværktøjskæden (sammenhæng mellem resultatet og fysiske prøvninger).

5. RAPPORTERING

Indberetning af vurderingen skal udføres på en sådan måde, at det muliggør sporbarhed, f.eks. kan versioner af dokumenter, der inspiceres, være kodet og opført i den tekniske tjenestes register.

Et eksempel på et muligt layout til den tekniske tjenestes verifikationsblanket til den typegodkendende myndighed er angivet i tillæg 1 til dette bilag. De opførte punkter i dette tillæg er beskrevet som et minimumssæt af punkter, der skal dækkes.

6. MEDDELELSE TIL ANDRE TYPEGODKENDENDE MYNDIGHEDER (TILLÆG 2), DER INDEHOLDER:

a)	beskrivelse af ODD og den funktionelle arkitektur på højt niveau med fokus på de funktioner, der er til rådighed for fører, passagerer og andre trafikanter.

b)	prøvningsresultater under de typegodkendende myndigheders verifikationsproces.

7. REVISORERS/ASSESSORERS KOMPETENCE

Vurderingerne i henhold til dette bilag må kun foretages af revisorer/assessorer, som har den tekniske og administrative viden, der er nødvendig til sådanne formål. De skal navnlig være kompetente som revisor/assessor efter ISO 26262-2018 (Funktionel sikkerhed — Vejkøretøjer) og ISO/PAS 21448 (Safety of the Intended Functionality of road vehicles). De skal være i stand til at skabe den nødvendige forbindelse til cybersikkerhedsaspekter i overensstemmelse med FN-regulativ nr. 155 og ISO/SAE 21434. Denne kompetence bør dokumenteres gennem passende kvalifikationer eller andre tilsvarende uddannelsesbeviser.

Tillæg 1

Model for vurderingsformular om systemer til automatisk vognbaneassistance

Prøvningsrapport nr.: …

Identifikation

1.1.

Fabrikat: …

1.2.

Køretøjstype: …

1.3.

Middel til systemidentifikation på køretøjet: …

1.4.

Mærkets anbringelsessted: …

1.5.

Fabrikantens navn og adresse: …

1.6.

Navn og adresse på fabrikantens eventuelle repræsentant: …

1.7.

Fabrikantens formelle dokumentationspakke:

Dokumentreference nr.: …

Dato for første udstedelse: …

Dato for seneste opdatering: …

Prøvekøretøj(er)/systembeskrivelse(r)

2.1.

Generel beskrivelse: …

2.2.

Beskrivelse af alle kontrolfunktionerne i »systemet« og driftsmetoder:…

2.3.

Beskrivelse af komponenter og diagrammer af sammenkoblingerne inden for »systemet«:

Fabrikantens sikkerhedskoncept

3.1.

Beskrivelse af signalflow og driftsdata og deres prioriteringer: …

3.2.

Fabrikantens erklæring:

Fabrikanten…bekræfter, at »systemet« er fri for urimelige risici for fører, passagerer og andre trafikanter.

3.3.

Skitseringsarkitektur af software samt de anvendte metoder og værktøjer: …

3.4.

Forklaring af »systemets« sikkerhedskoncept: …

3.5.

Dokumenterede analyser af »systemets« adfærd under individuelle fare- eller fejltilstande: …

3.6.

Beskrivelse af de anvendte foranstaltninger med henblik på miljøforhold: …

3.7.

Forskrifter vedrørende periodisk inspektion af »systemet«: …

3.8.

Resultater af »systemets« verifikationstest, jf. punkt 4.1.1 i bilag 4 til FN's regulativ nr. 157: …

3.9.

Resultater af sikkerhedskonceptverifikationstest, jf. punkt 4.1.2 i bilag 4 til FN-regulativ nr. 157: …

3.10.

Dato for prøvning: …

3.11.

Denne prøvning er udført, og resultaterne af den er rapporteret i henhold til … til FN-regulativ nr. 157 senest ændret ved ændringsserie ... .

Teknisk tjeneste, som udfører prøvningen

Underskrift: . … Dato: …

3.12.

Bemærkninger: …

Tillæg 2

Formular for oplysningsskema om systemer til automatisk vognbaneassistance, som fabrikanten skal indsende med henblik på godkendelse

1. BESKRIVELSE AF SYSTEM TIL AUTOMATISK VOGNBANEASSISTANCE

1.1.

Operationelt designdomæne (hastighed, vejtype, land, miljø, vejforhold osv.)/grænsebetingelser/vigtigste betingelser for minimale risikomanøvrer og overtagelseskrav …

1.2.

Grundlæggende ydelse (f.eks. detektering af genstande og hændelser samt reaktion herpå (OEDR) ...) …

1.3.

Midler til aktivering, tilsidesættelse eller deaktivering af systemet …

2. BESKRIVELSE AF »SYSTEMETS« FUNKTIONER, HERUNDER KONTROLSTRATEGIER

2.1.

Vigtigste automatiserede kørselsfunktioner (funktionel arkitektur, perception af omgivelser). …

2.1.1.

Køretøj — intern …

2.1.2.

Køretøj — ekstern (f.eks. backend)…

3. OVERSIGT OVER DE VIGTIGSTE KOMPONENTER (ENHEDER) I »SYSTEMET«

3.1.

Styreenheder …

3.2.

Sensorer …

3.3.

Kort/positionering …

4. SYSTEMKONFIGURATION OG -DIAGRAM

4.1.

Diagram over systemets konfiguration inklusive sensorer til perception af omgivelser (f.eks. blokdiagram) …

4.2.

Fortegnelse og diagram over sammenkoblinger (f.eks. blokdiagram)…

5. SPECIFIKATIONER

5.1.

Midler til kontrol af korrekt systemdriftsstatus …

5.2.

Midler anvendt til at beskytte mod simpel uautoriseret aktivering/drift og indgreb i systemet …

6. SIKKERHEDSKONCEPT

6.1.

Sikker drift — Erklæring fra køretøjsfabrikanten …

6.2.

Skitsering af softwarearkitektur (f.eks. blokdiagram) …

6.3.

Midler til bestemmelse af systemlogikkens realisering …

6.4.

Generel redegørelse for de vigtigste konstruktionsmæssige foranstaltninger, der er indbygget i »systemet« for at tilvejebringe sikker drift og interaktion med andre trafikanter under fejlforhold, driftsforstyrrelser og planlagte/uforudsete forhold, der ville overskride ODD …

6.5.

Generel beskrivelse af hovedprincipper for håndtering af svigt, fall-back-strategi, herunder risikoreduktionsstrategi (minimal risikomanøvre) …

6.6.

Interaktion med fører, passagerer og andre trafikanter, herunder advarselssignaler og overtagelseskrav, der skal gives til føreren …

6.7.

Fabrikantens validering af de ydeevnekrav, der er angivet andetsteds i regulativet, herunder OEDR, menneske-maskine-grænseflade, overholdelse af færdselsreglerne og konklusionen om, at systemet er konstrueret på en sådan måde, at det er frit for urimelige risici for føreren, køretøjspassagererne og andre trafikanter …

7. VERIFIKATION OG PRØVNING FORETAGET AF MYNDIGHEDER

7.1.

Verifikation af »systemets« funktioner …

7.2.

Eksempler på kontrol af systemreaktionen under påvirkning af et svigt eller en driftsforstyrrelse, nødforhold og grænseforhold …

8. DATALAGRINGSSYSTEM

8.1.

Typen af lagrede data …

8.2.

Lagringsplacering …

8.3.

Midler til sikring og beskyttelse af registrerede forekomster og dataelementer …

8.4.

Midler til dataadgang …

9. CYBERSIKKERHED (KRYDSHENVISNING TIL CYBERSIKKERHEDSREGULATIVET)

9.1.

Generel beskrivelse ordningen for styring af cybersikkerhed og softwareopdateringer …

9.2.

Generel beskrivelse af de forskellige risici og foranstaltninger, der er truffet for at afbøde disse risici …

9.3.

Generel beskrivelse af opdateringsproceduren …

10. OPLYSNINGER TIL BRUGERNE

10.1.

Model for de oplysninger, der gives til brugerne (herunder forventede føreraktiviteter inden for ODD og uden for ODD). …

10.2.

Uddrag af de relevante dele af brugermanualen …

Tillæg 3

Vejledning om scenarier med ALKS-kritiske trafikforstyrrelser

1. GENERELT

1.1

I dette tillæg præciseres afledningsprocessen, der definerer de omstændigheder, under hvilke systemet til automatisk vognbaneassistance skal undgå en kollision. De omstændigheder, under hvilke ALKS skal undgå en kollision, bestemmes ved hjælp af et generelt simuleringsprogram, der følger en ydeevnemodel baseret på en opmærksom menneskelig fører og dermed forbundne parametre vedrørende scenarier med kritiske trafikforstyrrelser.

2. KRITISKE TRAFIKSCENARIER

2.1.

Kritiske scenarier med trafikforstyrrelser er scenarier, der indebærer omstændigheder, under hvilke ALKS muligvis ikke er i stand til at undgå en kollision.

2.2.

De følgende tre er kritiske trafikscenarier

a)	trække ind: det »andet køretøj« trækker pludseligt ind foran »prøvekøretøjet«

b)	trække ud: det »andet køretøj« forlader pludselig »prøvekøretøjets« bane

c)	deceleration: det »andet køretøj« tager pludselig farten af foran »prøvekøretøjet«

2.3.

Hvert af disse kritiske trafikscenarier kan opstilles ved hjælp af følgende parametre/elementer:

a)	vejgeometri

b)	andre køretøjers ageren/manøvrer

3. ALKS-YDEEVNEMODEL

3.1.

ALKS-kritiske trafikscenarier inddeles i undgåelige og uundgåelige scenarier. Tærsklen for undgåelig/uundgåelig baseres på en simulering af en dygtig og opmærksom menneskelig fører. Det forventes, at nogle af de scenarier, der er uundgåelige efter menneskelige standarder, faktisk kan undgås af ALKS-systemet.

3.2.

I et ALKS-scenario ved lav hastighed antages førermodellens undvigeevne udelukkende at bestå i bremsning. Førermodellen er opdelt i følgende tre segmenter: »opfattelse«, »beslutning« og »reaktion«. Følgende diagram er en visuel fremstilling af disse segmenter:

3.3.

For at bestemme de omstændigheder, hvorunder systemet til automatisk vognbaneassistance (ALKS) skal undgå en kollision, bør ydeevnemodellens faktorer for disse tre segmenter i nedenstående tabel anvendes som ydeevnemodel for ALKS i forbindelse med opmærksomme menneskelige føreres adfærd ved anvendelse af avancerede førerstøttesystemer (ADAS).

Tabel 1

Ydeevnefaktorer for køretøjer

		Faktorer
Risikoopfattelsespunkt	Vognbaneskift (indtrækning, udtrækning)	Afvigelse af et køretøjs centrum på over 0,375 m fra vognbanens midtpunkt (udledt af forskning i Japan)
	Deceleration	Decelerationsforhold for det forankørende køretøj og prøvekøretøjets følgeafstand
Risikovurderingstid		0,4 sekunder (fra forskning i Japan)
Tidsforløb fra opfattelsen er afsluttet, til deceleration påbegyndes		0,75 sekunder (fælles data, Japan)
Tidsforløb fra ryk til fuld deceleration (vejfriktion 1,0)		0,6 sekunder til 0,774G (fra forsøg af NHTSA og Japan)
Tidsforløb fra ryk til fuld deceleration (efter det indtrækkende køretøj har trukket helt ind foran prøvekøretøjet, vejfriktion 1,0)		0,6 sekunder til 0,85G (afledt af FN-regulativ nr. 152 om AEBS)

3.4.

Førermodel for de tre ALKS-scenarier:

3.4.1.

For scenario med indtrækning:

Den sideværts afstand, som køretøjet normalt vil forskydes med inden for banen, er 0,375 m.

Den opfattede grænse for indtrækning opstår, når køretøjet overskrider den normale sideværts forskydningsafstand (eventuelt før den faktiske vognbaneændring).

Afstanden a. er opfattelsesafstanden baseret på opfattelsestiden [a]. Den angiver den sideværts afstand, der er nødvendig for at opfatte, at et køretøj udfører en indtrækningsmanøvre. a. findes via følgende formel:

a. = sideværts bevægelseshastighed x risikoopfattelsestid [a] (0,4 s)

Risikoopfattelsestiden begynder, når det forreste køretøj overskrider grænseværdien for indtrækning.

Den maksimale hastighed for den sideværts bevægelseshastighed er udledt af faktiske data i Japan.

Risikoopfattelsestid [a] stammer fra simulatordata i Japan.

2 s* er specificeret som den maksimale tid til kollision (TTC), under hvilken det blev konkluderet, at der er fare for kollision i længderetningen.

Bemærk:

TTC = 2,0 sekunder er valgt på grundlag af FN-regulativets retningslinjer for advarselssignaler.

3.4.2.

For scenario med udtrækning:

Den sideværts afstand, som køretøjet normalt vil forskydes med inden for banen, er 0,375 m.

Den opfattede grænse for udtrækning opstår, når køretøjet overskrider den normale sideværts forskydningsafstand (eventuelt før den faktiske vognbaneændring).

Risikoopfattelsestiden [a] er 0,4 sekunder og begynder, når det forreste køretøj overskrider grænseværdien for udtrækning.

Tiden på 2 sekunder angives som det maksimale tidsinterval foran køretøjet (Time Head Way — THW), for hvilket det blev konkluderet, at der er kollisionsfare i længderetningen.

Bemærk:

THW = 2,0 sekunder er valgt i henhold til andre landes regler og retningslinjer.

3.4.3.

For decelerationsscenariet:

Risikoopfattelsestiden [a] er 0,4 sekunder. Risikoopfattelsestiden [a] begynder, når det forreste køretøj overskrider en decelerationstærskel på 5 m/s2.

4. PARAMETRE

4.1.

Nedenstående parametre er væsentlige ved beskrivelsen af kritiske trafikscenarier i punkt 2.1.

4.2.

Der kan tilføjes yderligere parametre afhængigt af driftsmiljøet (f.eks. vejens friktionsgrad, kurver, lysforhold).

Tabel 2

Øvrige parametre

Driftsforhold	Vejbane	Antal vognbaner = antallet af parallelle og tilstødende vognbaner i samme kørselsretning Vognbanebredde = bredden af hver vognbane Vejbanens hældning = vejbanens hældning i prøveområdet Vejbanetilstand = vejbanens tilstand (tør, våd, is, sne, ny, slidt), herunder friktionskoefficient Vognbaneafmærkning = vognbaneafmærkningens type, farve, bredde, synlighed
Driftsforhold	Omgivende forhold	Belysningsforhold = lysmængde og -retning (dvs., dag, nat, solskin, skyet) Vejrforhold = mængde, type og intensitet af vind, regn, sne osv.
Forhold ved start	Hastighed ved start	Ve0 = prøvekøretøj
		Vo0 = forankørende køretøj i vognbanen eller i tilstødende vognbane
		Vf0 = køretøj foran det forankørende køretøj i vognbanen
	Afstand ved start	dx0 = afstand i længderetningen mellem prøvekøretøjets forende og bagenden af det forankørende køretøj i prøvekøretøjets vognbane eller i tilstødende vognbane
		dy0 = Indvendig sideværts afstand mellem en linje langs prøvekøretøjets udvendige kant parallelt med køretøjets midterplan i længderetningen inden for vognbanerne og linjen langs det forankørende køretøjs udvendige kant parallelt med køretøjets midterplan i længderetningen i de tilstødende baner.
		dy0_f = Indvendig sideværts afstand mellem en linje langs det forankørende køretøjs udvendige kant parallelt med køretøjets midterplan i længderetningen inden for vognbanerne og linjen langs den udvendige kant af køretøjet foran det forankørende køretøj parallelt med køretøjets midterplan i længderetningen i de tilstødende linjer.
		dx0_f = afstand i længderetningen mellem det forankørende køretøjs forende og bagenden på køretøjet foran dette
		dfy = bredde på køretøjet foran det forankørende køretøj
		doy = det forankørende køretøjs bredde
		dox = det forankørende køretøjs længde
Køretøjets bevægelse	Sideværts bevægelse	Vy = det forankørende køretøjs sideværts hastighed
	Deceleration	Gx_max = maksimal deceleration af det forankørende køretøj i G
	Deceleration	dG/dt = det forankørende køretøjs decelerationshastighed (ryk)

4.3.

Det følgende er visuelle repræsentationer af parametrene for de tre typer scenarier

5. REFERENCE

De følgende datablade er illustrative eksempler på simuleringer, der bestemmer, under hvilke betingelser ALKS skal undgå en kollision, idet der tages højde for kombinationen af hvert parameter, ved og under den maksimalt tilladte ALKS-køretøjshastighed.

5.1.

Indtrækning

(Billede af datablade)

5.2.

Udtrækning

Det er muligt at undgå alle decelererende køretøjer (standsning) foran det forankørende udtrækkende køretøj ved følgende kørselsbetingelser ved THW 2,0 s.

(Billede af datablade)

5.3.

Deceleration

Det er muligt at undgå en pludselig deceleration på – 1,0 G eller derunder i den efterfølgende kørselssituation ved THW 2,0 sek.

(Billede af datablad)

(Billede af datablade)

BILAG 5

Prøvningsforskrifter for ALKS

1. INDLEDNING

I dette bilag defineres prøvninger med henblik på kontrol af de tekniske krav til ALKS.

Indtil der er aftalt specifikke prøvningsforskrifter, skal den tekniske tjeneste sikre, at ALKS som minimum underkastes de prøvninger, der er beskrevet i bilag 5. De specifikke prøvningsparametre for hver prøvning udvælges af den tekniske tjeneste og registreres i prøvningsrapporten på en sådan måde, at prøveopstillingen er sporbar og repeterbar.

Accept- og forkastelseskriterier for prøvningerne udledes udelukkende af de tekniske krav i regulativets punkt 5 til 7. Disse krav er formuleret på en sådan måde, at de gør det muligt at udlede accept/forkastelseskriterier ikke blot for et givet sæt prøvningsparametre, men for enhver kombination af parametre, som systemet er konstrueret til at fungere i (f.eks. driftshastighedsområde, sideværts driftsaccelerationsområde, kurveinterval, jf. systemgrænserne).

Prøvningsspecifikationerne i dette dokument er tænkt som et minimumssæt af prøvninger, og de tekniske myndigheder kan udføre enhver anden prøvning inden for systemgrænserne og derefter sammenligne de målte resultater med kravene (konkret: forventet prøvningsresultat).

2. DEFINITIONER

I dette bilag forstås ved:

2.1.

»tid til kollision (TTC — time to collision)«: den tidsværdi, der fremkommer ved at dele afstanden i længderetningen (i prøvekøretøjets bevægelsesretning) mellem prøvekøretøjet og målet med prøvekøretøjets og målets relative hastighed i længderetningen i et givent øjeblik

2.2.

»forskydning«: afstanden i kørselsretningen mellem køretøjets midterplan i længderetningen og det respektive måls midterplan i længderetningen, målt på jorden, normaliseret med halvdelen af køretøjets bredde, eksklusive anordninger til indirekte udsyn og korrigeret med 50 % opad.

2.3.

»fodgængermål«: et blødt mål, der repræsenterer en fodgænger

2.4.

»personbilsmål«: et mål, som repræsenterer en personbil

2.5.

»mål for motoriseret tohjulet køretøj (PTW)«: en kombination bestående af motorcykel og motorcyklist.

3. GENERELLE PRINCIPPER

3.1.

Prøvningsbetingelser

3.1.1.

Prøvningerne skal udføres under (omgivende, vejgeometriske osv.) forhold, der gør det muligt at aktivere ALKS.

3.1.2.

Hvis det er nødvendigt at foretage systemændringer med henblik på prøvning, f.eks. kriterier for vurdering af vejtyper eller vejtypeoplysninger (kortdata), skal det sikres, at disse ændringer ikke påvirker prøvningsresultaterne. Disse ændringer skal i princippet dokumenteres og vedlægges prøvningsrapporten. Beskrivelsen af og (eventuelle) tegn på disse ændringers påvirkning skal dokumenteres og vedlægges prøvningsrapporten.

3.1.3.

Vejoverfladen til prøvningen skal som minimum give den friktion, der kræves i scenariet for at opnå det forventede prøvningsresultat.

3.1.4.

Prøvemål

3.1.4.1.

Det mål, der anvendes ved prøvninger til detektering af køretøjer, skal være et køretøj i klasse M eller N fra en normal masseproduceret køretøjsserie eller alternativt et »blødt mål«, der er repræsentativt for et sådant køretøj med hensyn til de detektionskarakteristika, der anvendes af det ALKS-sensorsystem, der skal prøves i overensstemmelse med ISO 19206-3:2018. Referencepunktet for køretøjets placering skal være det bageste punkt på køretøjets midterlinje.

3.1.4.2.

Det mål, der anvendes til prøvning af motoriserede tohjulede køretøjer, skal være en prøvningsanordning i henhold til ISO CD 19206-5 eller en typegodkendt motorcykel af en masseproduceret serie i klasse L3 med en slagvolumen på højst 600 cm3. Referencepunktet for motorcyklens placering skal være det bageste punkt på motorcyklens midterlinje.

3.1.4.3.

Det mål, der anvendes til prøvninger vedrørende detektion af fodgængere, skal være et »leddelt blødt mål« og være repræsentativt for de menneskelige specifikationer, der anvendes i AEBS-sensorsystemet ved prøvninger foretaget i overensstemmelse med ISO 19206-2:2018.

3.1.4.4.

Oplysninger, der muliggør specifik identifikation og reproduktion af målet/målene, skal angives i køretøjets typegodkendelsesdokumentation.

3.2.

Variation af prøvningsparametre

Fabrikanten skal meddele systemgrænserne til den tekniske tjeneste. Den tekniske tjeneste skal definere forskellige kombinationer af prøvningsparametre (f.eks. aktuel hastighed for ALKS-køretøjet, type og målforskydning, vognbanens kurver) med henblik på at dække scenarier, hvor en kollision skal undgås af systemet samt situationer, hvor en kollision ikke forventes at blive undgået, såfremt dette er relevant.

Hvis det anses for berettiget, kan den tekniske tjeneste desuden prøve enhver anden kombination af parametre.

Hvis en kollision ikke kan undgås ved visse prøvningsparametre, skal fabrikanten enten ved hjælp af dokumentation eller om muligt ved verifikation/prøvning påvise, at systemet ikke i urimelig grad skifter kontrolstrategi.

4. PRØVNINGSSCENARIER TIL VURDERING AF SYSTEMETS YDEEVNE MED HENSYN TIL DEN DYNAMISKE KØRSELSOPGAVE

4.1.

Vognbanefastholdelse

4.1.1.

Prøvningen skal vise, at ALKS ikke forlader sin vognbane og fastholder en stabil position inden for dens egen bane over hele hastighedsområdet og forskellige kurver inden for systemets grænser.

4.1.2.

Prøvningen udføres som minimum:

a)	med en prøvningsvarighed på mindst 5 minutter

b)	med et personbilsmål og et motorcykelmål som det forankørende køretøj/andet køretøj

c)	med et forankørende køretøj, der bevæger sig sideværts i vognbanen og

d)	med et andet køretøj, der kører tæt ved siden af i den tilstødende vognbane.

4.2.

Undgåelse af kollision med en trafikant eller en genstand, der blokerer vognbanen

4.2.1.

Prøvningen skal vise, at ALKS undgår kollision i tilfælde af et stationært køretøj, en trafikant eller en helt eller delvis spærret vognbane op til systemets angivne maksimale hastighed.

4.2.2.

Prøvningen udføres som minimum:

a)	med et stationært personbilsmål

b)	med et stationært motorcykelmål

c)	med et stationært fodgængermål

d)	med en fodgænger, som krydser vognbanen med en hastighed på 5 km/h

e)	med et mål, der repræsenterer en spærret vognbane

f)	med et mål, der er delvist inden for vognbanen

g)	med flere på hinanden følgende hindringer, der blokerer vognbanen (f.eks. i følgende rækkefølge: prøvekøretøj — motorcykel — bil)

h)	på en kurvet vejstrækning.

4.3.

Følgning af forankørende køretøj

4.3.1.

Prøvningen skal vise, at ALKS er i stand til at opretholde og genoprette den krævede sikkerhedsafstand til et forankørende køretøj og er i stand til at undgå en kollision med et forankørende køretøj, der decelererer med op til dets maksimale deceleration.

4.3.2.

Prøvningen udføres som minimum:

a)	ved hele hastighedsområdet for ALKS

b)	for et personbilsmål samt et PTW-mål som forankørende køretøj, såfremt der foreligger standardiserede PTW-mål, som er egnede til sikker udførelse af prøvningen

c)	ved konstante og varierende hastigheder af det forankørende køretøj (f.eks. ud fra en realistisk hastighedsprofil fra en eksisterende kørselsdatabase)

d)	ved lige og kurvede vejafsnit

e)	ved det forankørende køretøjs forskellige sideværts positioner i vognbanen

f)	ved en deceleration af det forankørende køretøj på mindst 6 m/s2 af gennemsnitlig fuldt opnået deceleration indtil standsning.

4.4.

Andet køretøjs vognbaneskift ind i vognbanen

4.4.1.

Prøvningen skal vise, at ALKS er i stand til at undgå en kollision med et køretøj, der trækker ind i ALKS-køretøjets bane, indtil en vis grænse for indtrækningsmanøvrens kritiske karakter.

4.4.2.

Indtrækningsmanøvrens kritikalitet bestemmes i henhold til TTC, afstanden i længderetningen mellem det indtrækkende køretøjs bageste punkt og ALKS-køretøjets forreste punkt, det indtrækkende køretøjs sideværts hastighed og det indtrækkende køretøjs bevægelse i længderetningen som defineret i punkt 5.2.5 i dette regulativ.

4.4.3.

Prøvningen foretages under hensyntagen til følgende betingelser (som minimum):

a)	for forskellige TTC: afstandsværdier og relative hastighedsværdier for indtrækningsmanøvren, der omfatter typer af indtrækningsscenarier, hvor en kollision kan undgås, og typer, hvor en kollision ikke kan undgås

b)	for indtrækkende køretøjer, der kører med konstant hastighed i længderetningen: accelererende og decelererende

c)	for forskellige sideværts hastigheder: det indtrækkende køretøjs sideværts accelerationer

d)	for såvel personbils- som PTW-mål som indtrækkende køretøj, såfremt der foreligger standardiserede PTW-mål, som er egnede til sikker udførelse af prøvningen.

4.5.

Stationær forhindring efter det forankørende køretøjs vognbaneskift

4.5.1.

Prøvningen skal vise, at ALKS er i stand til at undgå en kollision med et stationært køretøj, en trafikant eller med en spærret vognbane, som bliver synlig, efter at et køretøj foran har undgået en kollision ved en undvigemanøvre.

4.5.2.

Prøvningen udføres som minimum:

a)	med et stationært personbilsmål midt i vognbanen

b)	med et PTW-mål midt i vognbanen

c)	med et stationært fodgængermål midt i vognbanen

d)	med et mål, der repræsenterer en spærret vognbane midt i vognbanen

e)	med flere på hinanden følgende hindringer, der blokerer vognbanen (f.eks. i følgende rækkefølge: prøvekøretøj — køretøj der foretager vognbaneskift — motorcykel — bil).

4.6.

Prøvning af synsfelt

4.6.1.

Prøvningen skal vise, at ALKS er i stand til at detektere en anden trafikant inden for det fremadrettede detektionsområde op til det oplyste fremadrettede detektionsområde og et køretøj ved siden af inden for det sideværts detektionsområde op til som minimum den tilstødende vognbanes fulde bredde.

4.6.2.

Prøvningen af det fremadrettede detektionsområde udføres som minimum:

a)	når køretøjet nærmer sig et motorcykelmål, der er placeret ved yderkanten af hver tilstødende vognbane

b)	når køretøjet nærmer sig et stationært fodgængermål, der er placeret ved yderkanten af hver vognbane

c)	når køretøjet nærmer sig et stationært motorcykelmål, der befinder sig inden for prøvekøretøjets vognbane

d)	når køretøjet nærmer sig et stationært fodgængermål, der befinder sig inden for prøvekøretøjets vognbane.

4.6.3.

Prøvningen af det sideværts detektionsområde udføres som minimum:

a)	med et motorcykelmål, der nærmer sig ALKS-køretøjet fra den venstre tilstødende vognbane

b)	med et motorcykelmål, der nærmer sig ALKS-køretøjet fra den højre tilstødende vognbane.

5. YDERLIGERE VERIFIKATION

5.1.

(Reserveret)

5.2.

Overensstemmelse med følgende bestemmelser skal dokumenteres af fabrikanten og vurderes af den tekniske tjeneste på tidspunktet for typegodkendelsen:

Prøvning/kontrol

6.2.2.

Slukket tilstand efter ny motorstart/-kørsel

6.2.3

Systemet kan kun aktiveres, hvis

a)	føreren befinder sig i førersædet, og selen er spændt

b)	føreren er tilgængelig

c)	der ikke er nogen svigt

d)	DSSAD er i drift

e)	forholdene er inden for systemets grænser.

6.2.1

6.2.4

6.2.5

6.2.6

Midler til deaktivering

Særlige midler til aktivering og deaktivering

Beskyttelse mod utilsigtet handling

Styring

a)	holde på rattet og bremse/accelerere

b)	føreren holder rattet som reaktion på omstilling og MRM

c)	efter deaktivering

6.3

midler til at tilsidesætte systemet

a)	styreanordning

b)	bremsning med større kraft end systemets

c)	acceleration til hastighed inden for systemets grænser

6.1.3.1.

Kriterier for vurdering af førerens tilgængelighed

5.1.3

Aktive førerstøttesystemer

6.3.1.1.

Førerens opmærksomhed

5.5

Systemadfærd under minimal risikomanøvre

a)	fører overtager

b)	standsning (havariblink)

c)	reaktivering frakoblet, hvis standsning er nået.

5.1.4

5.1.5

5.4

Overtagelseskrav & adfærd/eskalering

Føreren genoptager kontrollen

Uden førerrespons (MRM)

a)	planlagt omstilling

b)	uplanlagt omstilling

6.1.2

6.1.3

5.4.

Overtagelseskrav under driften

Overstigning af systemparametrene

Svigt

a)	detekterbar kollision

b)	fører ikke til stede

5.3

Systemadfærd til nødmanøvrer

a)	resulterende i standsning

b)	ikke resulterende i standsning.

7.1

7.1.1

7.1.2

Systemdetektionsområder

Foran

Sider

7.1.3

Synlighed

5.3.

Yderligere prøvningstilfælde kan vurderes, hvis den tekniske tjeneste finder det berettiget. Nogle af tilfældene kan omfatte:

a)	y-deling af vognbaner på motorvej

b)	køretøjer, der kører ind på eller forlader motorvejen

c)	prøvekøretøjets bane delvis spærret, tunnel

d)	trafiksignaler

e)	udrykningskøretøjer

f)	vejarbejdszoner

g)	falmet/udvisket/skjult vognbaneafmærkning

h)	udrykningspersonale/vejpersonale dirigerer trafikken

i)	ændringer i vejkarakteristika (ikke længere opdelt, fodgængere tilladt, rundkørsel, kryds)

j)	normal trafikstrøm er genoptaget (dvs. at alle køretøjer kører > 60 km/t).

5.4.

Prøvning under faktiske forhold

Den tekniske tjeneste skal udføre eller overvære en vurdering af systemet i fejlfri tilstand med trafik (prøvning ved »faktiske forhold«). Formålet med denne prøvning er at bistå den tekniske tjeneste med at forstå systemets funktionalitet i driftsmiljøet og at supplere vurderingen af den dokumentation, der er fremlagt i henhold til bilag 4.

Tilsammen skal vurderingen af bilag 4 og prøvningen under faktiske forhold sætte den tekniske tjeneste i stand til at identificere elementer i systemets ydeevne, der muligvis kræver yderligere vurdering, enten ved prøvning eller yderligere gennemgang af bilag 4.

Under den faktiske vurdering skal den tekniske tjeneste som minimum vurdere:

a)	forebyggelse af aktivering, når systemet ligger uden for dets tekniske grænser/ALKS-krav

b)	ingen overtrædelse af færdselsreglerne

c)	reaktion på planlagt hændelse

d)	reaktion på ikke-planlagt hændelse

e)	detektering af tilstedeværelsen af andre trafikanter inden for det frontale og sideværts detektionsområde

f)	køretøjsreaktion ved andre trafikanter (følgeafstand, indtrækningsscenario, udtrækningsscenario osv.).

g)	systemtilsidesættelse.

Den tekniske tjeneste fastlægger udvælgelse af prøvningsruten, dennes placering, tidspunkt på dagen og omgivende forhold.

Prøvekørslen registreres, og prøvningskøretøjet instrumenteres med ikke forstyrrende udstyr. Den tekniske tjeneste kan logge eller anmode om logfiler over alle de datakanaler, der anvendes eller genereres af systemet, hvis det skønnes nødvendigt for evalueringen efter prøvningen.

Det anbefales, at prøvningen under faktiske forhold foretages, når systemet har bestået alle de øvrige prøvninger, der er beskrevet i dette bilag, og når den tekniske tjeneste har foretaget en risikovurdering.

		ISSN 1977-0634
Den Europæiske Unions Tidende		L 82

Dansk udgave	Retsforskrifter	64. årgang 9. marts 2021

Indhold		II Ikke-lovgivningsmæssige retsakter	Side
		RETSAKTER VEDTAGET AF ORGANER OPRETTET VED INTERNATIONALE AFTALER
	*	FN-regulativ nr. 153 — Ensartede forskrifter for godkendelse af motorkøretøjer for så vidt angår brændstofsystemets integritet og elektriske fremdriftssystemers sikkerhed i tilfælde af kollision bagfra [2021/386]	1
	*	FN-regulativ nr. 155 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår cybersikkerhed og systemer til forvaltning af cybersikkerhed [2021/387]	30
	*	FN-regulativ nr. 156 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår softwareopdateringer og systemer til forvaltning heraf [2021/388]	60
	*	FN-regulativ nr. 157 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår systemer til automatisk vognbaneassistance [2021/389]	75