9.3.2021

Diario Oficial de la Unión Europea

L 82/1

Solo los textos originales de la CEPE surten efectos jurídicos con arreglo al Derecho internacional público. La situación y la fecha de entrada en vigor del presente Reglamento deben consultarse en la última versión del documento de situación CEPE TRANS/WP.29/343, disponible en: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Reglamento n.o 153 de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de vehículos en lo que respecta a la integridad del sistema de alimentación de combustible y la seguridad del grupo motopropulsor eléctrico en caso de colisión trasera [2021/386]

Fecha de entrada en vigor: 22 de enero de 2021

Este documento es exclusivamente un instrumento de documentación. El texto auténtico y jurídicamente vinculante es el siguiente: ECE/TRANS/WP.29/2020/76.

ÍNDICE

REGLAMENTO

Ámbito de aplicación

Definiciones

Solicitud de homologación

Homologación

Requisitos

Ensayo

Modificación y extensión de la homologación de un tipo de vehículo

Conformidad de la producción

Sanciones por no conformidad de la producción

10.

Cese definitivo de la producción

11.

Nombre y dirección de los servicios técnicos encargados de realizar los ensayos de homologación y de las autoridades de homologación de tipo

ANEXOS

Comunicación

Ejemplos de disposición de las marcas de homologación

Procedimiento para el ensayo de impacto trasero

Condiciones y procedimientos de ensayo para evaluar el sistema de combustible de hidrógeno tras la colisión

Procedimientos de ensayo para los vehículos equipados con grupo motopropulsor eléctrico

1. ÁMBITO DE APLICACIÓN

El presente Reglamento se aplica a los vehículos de la categoría M1 (1) con una masa total autorizada no superior a 3 500 kg y a los vehículos de la categoría N1 en lo que respecta a la integridad del sistema de alimentación de combustible y a la seguridad del grupo motopropulsor eléctrico que funciona con alta tensión en caso de colisión trasera.

2. DEFINICIONES

A efectos del presente Reglamento, se entenderá por:

2.1.

«tipo de vehículo», una categoría de vehículos de motor que no difieren entre sí en aspectos esenciales como:

2.1.1.

la longitud y la anchura del vehículo, en la medida en que repercutan en los resultados del ensayo de impacto prescrito en el presente Reglamento;

2.1.2.

la estructura, las dimensiones, las líneas y los materiales de la parte del vehículo situada por detrás del plano transversal que pasa por el punto «R» del asiento más trasero;

2.1.3.

las líneas y las dimensiones interiores del habitáculo, en la medida en que repercutan en los resultados del ensayo de impacto prescrito en el presente Reglamento;

2.1.4.

el emplazamiento (delantero, trasero o central) y la orientación (transversal o longitudinal) del motor, en la medida en que tenga un efecto negativo sobre el resultado del ensayo de impacto prescrito en el presente Reglamento;

2.1.5.

la masa en vacío, en la medida en que tenga un efecto negativo sobre los resultados del ensayo de impacto prescrito en el presente Reglamento;

2.1.6.

la ubicación del SAEER, en la medida en que tenga un efecto negativo sobre el resultado del ensayo de impacto prescrito en el presente Reglamento;

2.1.7.

la estructura, la forma, las dimensiones y los materiales (metal/plástico) del depósito o depósitos;

2.1.8.

la posición del depósito o depósitos en el vehículo, en la medida en que tenga un efecto negativo sobre los requisitos del punto 5.2.1;

2.1.9.

las características y ubicación del sistema de alimentación de combustible (bomba, filtros, etc.);

2.2.

«habitáculo», el espacio destinado a acomodar a los ocupantes y delimitado por el techo, el suelo, los laterales, las puertas, el acristalamiento exterior, la mampara delantera y la mampara o puerta trasera, y por las barreras de protección eléctrica y las envolventes destinadas a proteger a los ocupantes del contacto directo con partes activas de alta tensión;

2.3.

«masa sin carga», la masa del vehículo en orden de marcha, sin carga ni ocupantes, pero lleno de combustible, líquido de refrigeración, lubricante, herramientas y rueda de repuesto (cuando forme parte del equipamiento de fábrica);

2.4.

«depósito», el o los depósitos destinados a contener el combustible líquido, según la definición del punto 2.6, o el hidrógeno gaseoso comprimido, usado principalmente para la propulsión del vehículo, excluidos sus accesorios (tubo de llenado si es un elemento separado, orificio de llenado, tapón, indicador, conexiones con el motor o para compensar el exceso de presión interior, etc.);

2.5.

«capacidad del depósito», la capacidad del depósito de combustible especificada por el fabricante;

2.6.

«combustible líquido», un combustible que se mantiene en estado líquido en condiciones normales de temperatura y presión;

2.7.

«de alta tensión», la clasificación de un componente o circuito eléctrico cuya tensión de trabajo es > 60 V y ≤ 1 500 V de corriente continua (DC) o > 30 V y ≤ 1 000 V de corriente alterna (AC), en tensión eficaz (rms);

2.8.

«sistema de almacenamiento de energía eléctrica recargable (SAEER)», el sistema de almacenamiento de energía recargable que proporciona energía eléctrica para la propulsión;

no se considerará SAEER una batería cuyo uso principal consista en suministrar energía para poner en marcha el motor, las luces u otros sistemas auxiliares del vehículo [en este contexto, «uso principal» significa que más del 50 % de la energía de la batería se usa para poner en marcha el motor, las luces u otros sistemas auxiliares del vehículo durante un ciclo de conducción adecuado, por ejemplo, WLTC para M1 y N1];

2.9.

«barrera de protección eléctrica», la parte que protege de todo contacto directo con las partes activas de alta tensión;

2.10.

«grupo motopropulsor eléctrico», el circuito eléctrico que incluye el motor o motores de tracción y que puede incluir también el SAEER, el sistema de conversión de la energía eléctrica, los convertidores electrónicos, el arnés de cableado y los conductores correspondientes, así como el sistema de acoplamiento para la carga del SAEER;

2.11.

«partes activas», las partes conductoras destinadas a estar bajo tensión eléctrica en condiciones normales de funcionamiento;

2.12.

«parte conductora expuesta», la parte conductora que puede tocarse en las condiciones del grado de protección IPXXB que normalmente está sin tensión, pero que puede estar bajo tensión eléctrica si se produce un fallo de aislamiento; se incluyen las partes bajo una cubierta que pueda retirarse sin necesidad de herramientas;

2.13.

«contacto directo», el contacto de personas con partes activas de alta tensión;

2.14.

«contacto indirecto», el contacto de personas con partes conductoras expuestas;

2.15.

«grado de protección IPXXB», la protección frente al contacto con partes activas de alta tensión ofrecida bien por una barrera de protección eléctrica, o bien por una envolvente, y que se somete a ensayo con el dedo de ensayo articulado (grado IPXXB) como se describe en el punto 4 del anexo 5;

2.16.

«tensión de trabajo», el valor máximo de la tensión eficaz (rms) de un circuito eléctrico, especificado por el fabricante, que puede darse entre cualesquiera partes conductoras en condiciones de circuito abierto o en condiciones normales de funcionamiento; si el circuito eléctrico está dividido por aislamiento galvánico, la tensión de trabajo se determina respectivamente para cada uno de los circuitos divididos;

2.17.

«sistema de acoplamiento para la carga del sistema de almacenamiento de energía eléctrica recargable (SAEER)», el circuito eléctrico empleado para cargar el SAEER desde una fuente externa de abastecimiento de energía eléctrica, incluido el elemento de entrada del vehículo;

2.18.

«chasis eléctrico», un conjunto de partes conductoras eléctricamente conectadas entre sí, cuya potencia eléctrica se toma como referencia;

2.19.

«circuito eléctrico», un montaje de partes activas de alta tensión conectadas, diseñado para estar bajo tensión eléctrica en el funcionamiento normal;

2.20.

«sistema de conversión de la energía eléctrica», un sistema (por ejemplo, una pila de combustible) que genera y aporta energía eléctrica para la propulsión eléctrica;

2.21.

«convertidor electrónico», un dispositivo capaz de controlar o convertir energía eléctrica para la propulsión eléctrica;

2.22.

«envolvente», la parte que encierra las unidades internas y protege contra todo contacto directo;

2.23.

«bus de alta tensión», el circuito eléctrico, incluido el sistema de acoplamiento para la carga del SAEER, que funciona con alta tensión; cuando los circuitos eléctricos estén conectados galvánicamente entre sí y cumplan la condición específica de tensión, solo los componentes o partes del circuito eléctrico que funcionen con alta tensión se clasificarán como bus de alta tensión.

2.24.

«aislante sólido», el revestimiento aislante de los arneses del cableado, destinado a cubrir las partes activas de alta tensión y a evitar el contacto directo con ellas;

2.25.

«desconector automático», un dispositivo que, al accionarse, separa conductivamente las fuentes de energía eléctrica del resto del circuito de alta tensión del grupo motopropulsor eléctrico;

2.26.

«batería de tracción de tipo abierto», un tipo de batería que necesita líquido y genera hidrógeno, que es liberado en la atmósfera.

2.27.

«electrolito acuoso», un electrolito basado en agua como disolvente para los compuestos (por ejemplo, ácidos, bases), que proporciona iones conductores tras su disociación;

2.28.

«fugas de electrolito», el escape de electrolito del SAEER en forma de líquido;

2.29.

«electrolito no acuoso», un electrolito no basado en agua como disolvente;

2.30.

«condiciones normales de funcionamiento», los modos y condiciones de funcionamiento que pueden encontrarse razonablemente durante el funcionamiento normal del vehículo, incluida la conducción a velocidades legales, el estacionamiento o el ralentí en el tráfico, así como la carga mediante cargadores que sean compatibles con los puertos de carga específicos instalados en el vehículo; no se incluyen las condiciones en las que el vehículo está dañado, ya sea por un accidente, desechos de la carretera o vandalismo, quemado o sumergido en agua, o en un estado en el que necesita o recibe servicio o mantenimiento;

2.31.

«condición específica de tensión», la condición de que la tensión máxima de un circuito eléctrico conectado galvánicamente entre una parte activa de DC y cualquier otra parte activa (DC o CA) sea ≤ 30 V CA (rms) y ≤ 60 V DC.

Nota:

Cuando una parte activa de DC de tal circuito eléctrico está conectada al chasis y se aplica la condición específica de tensión, la tensión máxima entre cualquier parte activa y el chasis eléctrico es ≤ 30 V CA (rms) y ≤ 60 V DC.

3. SOLICITUD DE HOMOLOGACIÓN

3.1.

La solicitud de homologación de un tipo de vehículo en lo que respecta a la integridad del sistema de alimentación de combustible y a la seguridad del grupo motopropulsor eléctrico que funcione con alta tensión en caso de colisión trasera deberá presentarla el fabricante del vehículo o su representante debidamente acreditado de conformidad con el procedimiento establecido en la ficha 3 del Acuerdo (E/ECE/TRANS/505/Rev.3).

3.2.

En el apéndice 1 del Anexo 1 figura un modelo de documento informativo.

4. HOMOLOGACIÓN

4.1.

Si el vehículo presentado para su homologación con arreglo al presente Reglamento satisface los requisitos de este, deberá concederse su homologación.

4.1.1.

El servicio técnico responsable conforme al punto 11 comprobará si se reúnen las condiciones requeridas.

4.1.2.

En caso de duda, al verificar la conformidad del vehículo con los requisitos del presente Reglamento se tendrá en cuenta todo dato o resultado de ensayos que suministre el fabricante y que pueda tomarse en consideración para validar el ensayo de homologación realizado por el servicio técnico.

4.2.

Se asignará un número de homologación a cada tipo homologado de conformidad con la ficha 4 del Acuerdo (E/ECE/TRANS/505/Rev.3).

4.3.

Se comunicará a las Partes Contratantes en el Acuerdo que apliquen el presente Reglamento la concesión, extensión, denegación o retirada de la homologación, así como el cese definitivo de la producción, de un tipo de vehículo conforme al presente Reglamento, por medio de un formulario cuyo modelo figura en el anexo 1 del presente Reglamento.

4.4.

En todo vehículo o componente que se ajuste al tipo homologado con arreglo al presente Reglamento se colocará en un lugar visible y de fácil acceso, que se especificará en el formulario de homologación, una marca internacional de homologación, conforme al modelo recogido en el anexo 2, compuesta por:

4.4.1.

la letra «E» dentro de un círculo, seguida del número distintivo del país que haya concedido la homologación (2);

4.4.2.

el número del presente Reglamento, seguido de la letra «R», un guion y el número de homologación a la derecha del círculo que se establece en el punto 4.4.1.

4.5.

Si el vehículo se ajusta a un tipo de vehículo homologado de acuerdo con otro u otros Reglamentos de las Naciones Unidas adjuntos al Acuerdo, en el país que haya concedido la homologación con arreglo al presente Reglamento no será necesario repetir el símbolo que se establece en el punto 4.4.1; en tal caso, los números y símbolos adicionales de todos los Reglamentos de las Naciones Unidas en virtud de los cuales se haya concedido la homologación en el país que lo haya hecho de conformidad con el presente Reglamento se colocarán en columnas verticales a la derecha del símbolo previsto en el punto 4.4.1.

4.6.

La marca de homologación deberá ser claramente legible e indeleble.

5. REQUISITOS

5.1.

Cuando el vehículo haya sido sometido al ensayo al que se refiere el punto 6, se cumplirán las disposiciones del punto 5.2.

Se considerará que un vehículo con todas las partes del sistema de alimentación de combustible instaladas delante del punto medio de la distancia entre ejes cumple lo dispuesto en el punto 5.2.1.

Se considerará que un vehículo con todas las partes del grupo motopropulsor eléctrico que funciona con alta tensión instaladas delante del punto medio de la distancia entre ejes cumple lo dispuesto en el punto 5.2.2.

5.2.

Tras el ensayo realizado con arreglo al procedimiento establecido en el anexo 3, el anexo 4 y el anexo 5 del presente Reglamento, se cumplirán las siguientes disposiciones relativas a la integridad del sistema de alimentación de combustible y a la seguridad del grupo motopropulsor eléctrico:

5.2.1.

En el caso de un vehículo propulsado con combustible líquido, deberá demostrarse que se cumplen los puntos 5.2.1.1 a 5.2.1.2.

En el caso de un vehículo de hidrógeno comprimido, deberá demostrarse que se cumplen los puntos 5.2.1.3 a 5.2.1.5.

5.2.1.1.

La colisión solo provocará pequeñas fugas de líquido del sistema de alimentación de combustible.

5.2.1.2.

Si se produjera una fuga continua de líquido del sistema de alimentación de combustible después de la colisión, el caudal de fuga no deberá superar los 30 g/min. Si el líquido del sistema de alimentación de combustible se mezcla con líquidos de otros circuitos y no pueden separarse ni distinguirse fácilmente unos de otros, se tendrán en cuenta todos ellos al evaluar la fuga continua.

5.2.1.3.

El índice de fuga de hidrógeno (VH2) determinado con arreglo al punto 4 del anexo 6, con respecto al hidrógeno, o al punto 5 del anexo 4, con respecto al helio, no deberá exceder de una media de 118 NL por minuto durante el intervalo de tiempo, Δt minutos, tras la colisión.

5.2.1.4.

La concentración de gas (hidrógeno o helio, según proceda) en volumen, en valores de aire, determinada para el habitáculo y el compartimento para equipajes de conformidad con el punto 6 del anexo 4, no deberá exceder del 4,0 % en el caso del hidrógeno ni del 3,0 % en el caso del helio, en ningún momento del período de medición de sesenta minutos tras la colisión. Se cumple este requisito si se confirma que la válvula de cierre de cada sistema de almacenamiento de hidrógeno se ha cerrado en los cinco segundos siguientes al primer contacto del vehículo con el elemento de impacto y que no se ha producido ninguna fuga en los sistemas de almacenamiento de hidrógeno.

5.2.1.5.

Los recipientes (de almacenamiento de hidrógeno) deberán permanecer sujetos al vehículo como mínimo por un punto de sujeción.

5.2.2.

En el caso de un vehículo equipado con un grupo motopropulsor eléctrico que funciona con alta tensión, el grupo motopropulsor eléctrico y los sistemas de alta tensión que estén conectados galvánicamente al bus de alta tensión del grupo motopropulsor eléctrico deberán cumplir los requisitos de los puntos 5.2.2.1 a 5.2.2.3:

5.2.2.1.

Protección contra choques eléctricos

Tras el impacto, los buses de alta tensión deberán cumplir por lo menos uno de los cuatro criterios especificados en los puntos 5.2.2.1.1 a 5.2.2.1.4.2.

Si el vehículo dispone de una función de desconexión automática o de uno o más dispositivos que dividen conductivamente el circuito del grupo motopropulsor eléctrico durante la conducción, una vez que se haya activado la función de desconexión, el circuito desconectado, o cada uno de los circuitos divididos, por separado, deberán cumplir por lo menos uno de los criterios que se exponen a continuación.

No obstante, el criterio del punto 5.2.2.1.4 no se tendrá en cuenta si más de un potencial de una parte del bus de alta tensión no está protegido en las condiciones del grado de protección IPXXB.

En caso de que el ensayo de colisión se realice cuando estén sin tensión una o varias partes del sistema de alta tensión, con excepción de cualquier sistema de acoplamiento para la carga del SAEER, que no está bajo tensión durante la conducción, la protección contra choques eléctricos se demostrará mediante el punto 5.2.2.1.3 o el punto 5.2.2.1.4 para las partes pertinentes.

5.2.2.1.1.

Ausencia de alta tensión

Las tensiones Ub, U1 y U2 de los buses de alta tensión deberán ser iguales o inferiores a 30 VAC o 60 VDC en los 60 s siguientes al impacto, medidas de conformidad con el punto 2 del anexo 5.

5.2.2.1.2.

Energía eléctrica baja

La energía total (TE) en los buses de alta tensión deberá ser inferior a 0,2 J cuando se mida conforme al procedimiento de ensayo especificado en el punto 3 del anexo 5 con la fórmula a). Alternativamente, la energía total (TE) podrá calcularse por medio de la tensión medida Ub del bus de alta tensión y de la capacidad de los condensadores X (Cx) indicada por el fabricante, conforme a la fórmula b) del punto 3 del anexo 5.

La energía almacenada en los condensadores Y (TEy1 y TEy2) también deberá ser inferior a 2,0 julios. Se calculará midiendo las tensiones U1 y U2 de los buses de alta tensión y el chasis eléctrico y la capacidad de los condensadores Y indicada por el fabricante, conforme a la fórmula c) del punto 3 del anexo 5.

5.2.2.1.3.

Protección física

Deberá emplearse el grado de protección IPXXB para proteger del contacto directo con partes activas de alta tensión.

La evaluación deberá llevarse a cabo conforme al punto 4 del anexo 5.

Además, para la protección contra choques eléctricos que puedan derivarse del contacto indirecto, la resistencia entre todas las partes conductoras expuestas de las barreras o envolventes de protección eléctrica y el chasis eléctrico será inferior a 0,1 Ω, y la resistencia entre dos partes conductoras simultáneamente accesibles de las barreras o envolventes de protección eléctrica que estén a menos de 2,5 m una de la otra deberá ser inferior a 0,2 Ω cuando exista un flujo de corriente de al menos 0,2 A. Esta resistencia podrá calcularse utilizando las resistencias medidas por separado de las partes pertinentes del camino eléctrico.

Este requisito se dará por satisfecho si la conexión galvánica se ha efectuado mediante soldadura. En caso de duda o de que la conexión se establezca por medios distintos de la soldadura, la medición se realizará mediante uno de los procedimientos de ensayo descritos en el punto 4 del anexo 5.

5.2.2.1.4.

Resistencia de aislamiento

Deberán cumplirse los criterios expuestos en los puntos 5.2.2.1.4.1 y 5.2.2.1.4.2.

La medición deberá llevarse a cabo conforme al punto 5 del anexo 5.

5.2.2.1.4.1.

Grupo motopropulsor eléctrico con buses de DC o AC separados

Si los buses de alta tensión de AC y de DC están aislados galvánicamente entre sí, la resistencia de aislamiento entre el bus de alta tensión y el chasis eléctrico (Ri, según se define en el punto 5 del anexo 5) deberá tener un valor mínimo de 100 Ω/V de la tensión de trabajo, en el caso de los buses de DC, y de 500 Ω/V de la tensión de trabajo, en el caso de los buses de AC.

5.2.2.1.4.2.

Grupo motopropulsor eléctrico con buses de DC y AC combinados

Si los buses de alta tensión de AC y de DC están conectados conductivamente, deberán cumplir uno de los requisitos siguientes:

a)	La resistencia de aislamiento entre el bus de alta tensión y el chasis eléctrico tendrá un valor mínimo de 500 Ω/V de tensión de trabajo.

b)	La resistencia de aislamiento entre el bus de alta tensión y el chasis eléctrico tendrá un valor mínimo de 100 Ω/V de la tensión de trabajo y el bus de AC se ajustará al criterio de protección física del punto 5.2.2.1.3.

c)	La resistencia de aislamiento entre el bus de alta tensión y el chasis eléctrico tendrá un valor mínimo de 100 Ω/V de la tensión de trabajo y el bus de AC se ajustará al criterio de ausencia de alta tensión del punto 5.2.2.1.1.

5.2.2.2.

Fugas de electrolito

5.2.2.2.1.

Caso de SAEER de electrolito acuoso.

Durante un período comprendido entre el impacto y 60 minutos después del impacto, no se producirá ninguna fuga de electrolito del SAEER en el habitáculo y no se producirá una fuga de más del 7 % en volumen, con una fuga máxima de 5,0 l, hacia el exterior del habitáculo. La cantidad de la fuga de electrolito puede medirse mediante las técnicas habituales de determinación de volúmenes de líquido después de su recogida. En el caso de los recipientes que contengan disolvente de Stoddard, líquido de refrigeración coloreado y electrolitos, los líquidos deberán poder separarse por gravedad específica, y a continuación medirse.

5.2.2.2.2.

Caso de SAEER de electrolito no acuoso.

Durante un período comprendido entre el impacto y 60 minutos después del impacto, no se producirá ninguna fuga de electrolito líquido del SAEER en el habitáculo o el maletero, ni fugas de electrolito líquido al exterior del vehículo. Este requisito se verificará mediante inspección visual sin desmontar ninguna parte del vehículo.

El fabricante deberá demostrar que se cumple el punto 6 del anexo 5.

5.2.2.3.

Retención del SAEER

El SAEER permanecerá sujeto al vehículo mediante al menos un anclaje, soporte o cualquier estructura que transfiera cargas del SAEER a la estructura del vehículo, y el SAEER situado fuera del habitáculo no deberá entrar en el habitáculo.

El fabricante deberá demostrar que se cumple el punto 7 del anexo 5.

6. ENSAYO

6.1.

Se comprobará que el vehículo cumple los requisitos del punto 5 mediante el método expuesto en el anexo 3, el anexo 4 y el anexo 5 del presente Reglamento.

7. MODIFICACIONES Y EXTENSIÓN DE LA HOMOLOGACIÓN DEL TIPO DE VEHÍCULO

7.1.

Deberá notificarse toda modificación del tipo de vehículo con arreglo al presente Reglamento a la autoridad de homologación de tipo que homologó el tipo de vehículo. A continuación, la autoridad de homologación de tipo podrá:

a)	decidir, en consulta con el fabricante, que debe concederse una nueva homologación de tipo, o bien

b)	aplicar el procedimiento del punto 7.1.1 (revisión) y, en su caso, el procedimiento del punto 7.1.2 (extensión).

7.1.1.

Revisión

Cuando los datos registrados en la ficha de características del apéndice 1 del anexo 1 hayan cambiado y la autoridad de homologación de tipo considere que las modificaciones realizadas no deberían tener consecuencias negativas apreciables y que, en cualquier caso, el vehículo sigue cumpliendo los requisitos, las modificaciones se considerarán una «revisión».

En tal caso, la autoridad de homologación de tipo expedirá las páginas revisadas de la ficha de características del apéndice 1 del anexo 1 según proceda, señalando claramente en cada página revisada el tipo de modificación que se haya realizado y la fecha en la que haya tenido lugar la nueva expedición. Se considerará cumplido este requisito mediante una copia consolidada y actualizada de la ficha de características del apéndice 1 del anexo 1 que vaya acompañada de una descripción detallada de la modificación.

7.1.2.

Extensión

La modificación se considerará «extensión» si, además del cambio de los datos registrados en la ficha de características:

a)	deben realizarse nuevas inspecciones o nuevos ensayos, o bien

b)	ha cambiado cualquier información de la ficha de características (a excepción de sus documentos adjuntos), o bien

c)	se pide la homologación conforme a una serie posterior de enmiendas después de su entrada en vigor.

7.2.

La confirmación o denegación de la homologación se comunicará a las Partes Contratantes del Acuerdo que apliquen el presente Reglamento mediante el procedimiento indicado en el punto 4.3, especificándose las modificaciones. Por otra parte, se modificará en consecuencia el índice de la ficha de características y de las actas de ensayo, que se adjunta a la ficha de características del anexo 1, para mostrar la fecha de la revisión o extensión más reciente.

7.3.

La autoridad de homologación de tipo que otorgue la extensión de la homologación asignará un número de serie a cada formulario de comunicación emitido en relación con dicha extensión.

8. CONFORMIDAD DE LA PRODUCCIÓN

Los procedimientos de conformidad de la producción se ajustarán a los establecidos en la ficha 1 del Acuerdo (E/ECE/324-E/ECE/TRANS/505/Rev.3), con los requisitos siguientes:

8.1.

Cada vehículo que lleve una marca de homologación con arreglo a lo prescrito en el presente Reglamento se ajustará al tipo homologado de vehículo cumpliendo los requisitos establecidos en el punto 5.

9. SANCIONES POR NO CONFORMIDAD DE LA PRODUCCIÓN

9.1.

La homologación concedida a un tipo de vehículo con arreglo al presente Reglamento podrá retirarse si no se cumplen los requisitos establecidos en el punto 8.1.

9.2.

Cuando una Parte Contratante del Acuerdo que aplique el presente Reglamento retire una homologación anteriormente concedida, deberá informar de ello inmediatamente a las demás Partes Contratantes que apliquen el presente Reglamento mediante un formulario de homologación que lleve al final, en letras grandes, la anotación firmada y fechada «HOMOLOGACIÓN RETIRADA».

10. CESE DEFINITIVO DE LA PRODUCCIÓN

Si el titular de una homologación cesa por completo de fabricar el tipo de vehículo homologado con arreglo al presente Reglamento, informará inmediatamente de ello a la autoridad de homologación de tipo que le concedió la homologación. En el momento en que reciba la comunicación pertinente, esa autoridad de homologación de tipo informará de ello a las demás Partes Contratantes que apliquen el presente Reglamento mediante un formulario de homologación que lleve al final, en letras grandes, la anotación firmada y fechada «CESE DE LA PRODUCCIÓN».

11. NOMBRE Y DIRECCIÓN DE LOS SERVICIOS TÉCNICOS ENCARGADOS DE REALIZAR LOS ENSAYOS DE HOMOLOGACIÓN Y DE LAS AUTORIDADES DE HOMOLOGACIÓN DE TIPO

Las Partes Contratantes del Acuerdo que aplican el presente Reglamento comunicarán a la Secretaría General de las Naciones Unidas los nombres y direcciones de los servicios técnicos responsables de realizar los ensayos de homologación y de las autoridades de homologación de tipo que concedan la homologación y a los cuales deben remitirse los formularios de certificación de la concesión, denegación, extensión o retirada de la homologación expedidos en otros países.

(1) Con arreglo a la definición que figura en la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev.6, apartado 2. –,

www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html.

(2) Los números distintivos de las Partes Contratantes del Acuerdo de 1958 figuran en el anexo 3 de la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev. 6, anexo 3, www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

ANEXO 1

Comunicación

(Formato máximo: A4 [210 × 297 mm])

(1)

Expedida por:

Nombre de la administración:

…

relativa a: (2)

la concesión de la homologación

la extensión de la homologación

la denegación de la homologación

la retirada de la homologación

el cese definitivo de la producción

de un tipo de vehículo por lo que respecta a la integridad del sistema de alimentación de combustible y a la seguridad del grupo motopropulsor eléctrico en caso de colisión trasera, con arreglo al Reglamento n.o 153 de las Naciones Unidas

N.o de homologación: …

N.o de extensión: …

Nombre comercial o marca del vehículo de motor …

Tipo de vehículo …

Nombre y dirección del fabricante …

…

En su caso, nombre y dirección del representante del fabricante …

…

Breve descripción del tipo de vehículo …

…

5.1.

Descripción del sistema de combustible instalado en el vehículo…

…

5.2.

Descripción del grupo motopropulsor eléctrico …

…

Localización del motor: delantero/trasero/central (2)

Tracción: delantera/trasera (2)

Masa del vehículo presentado a ensayo:

Eje delantero: …

Eje trasero: …

Total: …

Vehículo presentado para su homologación el día …

10.

Servicio técnico responsable de realizar los ensayos de homologación …

11.

Fecha del informe emitido por ese servicio …

12.

Número de informes emitidos por ese servicio …

13.

Homologación concedida/denegada/extendida/retirada (2)

14.

Ubicación de la marca de homologación en el vehículo …

15.

Localidad …

16.

Fecha …

17.

Firma …

18.

Los documentos siguientes, en los que figura el número de homologación arriba mencionado, irán en anexo a la presente comunicación: …

19.

Observaciones (por ejemplo, se ha aplicado un método de ensayo alternativo con arreglo al punto 3 del anexo 3) …

(fotografías, diagramas y dibujos que permitan identificar básicamente los tipos de vehículo, y sus posibles variantes, cubiertos por la homologación)

(1) Número distintivo del país que ha concedido/extendido/denegado/retirado una homologación (véanse las disposiciones del Reglamento relativas a la homologación).

(2) Táchese lo que no proceda.

Apéndice 1 del Anexo 1

Documento de información

GENERALIDADES

0.1.

Marca (nombre comercial del fabricante):

0.2.

Tipo:

0.2.1.

Denominaciones comerciales (en su caso):

0.3.

Medios de identificación del tipo, si están marcados en el vehículo (1):

0.3.1.

Ubicación de ese marcado:

0.4

Categoría de vehículo (2):

0.5.

Nombre comercial y dirección del fabricante:

0.8.

Nombres y direcciones de las plantas de montaje:

0.9.

Nombre y dirección del representante del fabricante (en su caso):

CARACTERÍSTICAS GENERALES DE CONSTRUCCIÓN DEL VEHÍCULO

1.1.

Fotografías o dibujos de un vehículo representativo

1.3.

Número de ejes y ruedas:

1.3.3.

Ejes motores (número, localización e interconexión):

1.6.

Ubicación y disposición del motor:

MASAS Y DIMENSIONES (en kg y en mm) (en su caso, hágase referencia al dibujo)

2.1.

Distancias entre ejes (a plena carga)

2.1.1.

Vehículos de dos ejes:

2.1.2.

Vehículos de tres o más ejes:

2.1.2.2.

Distancia total entre ejes:

2.4.

Gama de dimensiones (generales) del vehículo

2.4.1.

Del bastidor sin carrocería

2.4.1.1.

Longitud (mm):

2.4.1.2.

Anchura (mm):

2.4.2.

Del bastidor con carrocería

2.4.2.1.

Longitud (mm):

2.4.2.2.

Anchura (mm):

2.6.

Masa en orden de marcha (kg):

CONVERTIDOR DE ENERGÍA DE PROPULSIÓN

3.2.2.

Combustible

3.2.2.1.

Vehículos ligeros: gasóleo/gasolina/GLP/GN o biometano/etanol (E 85)/biodiésel/hidrógeno

3.2.3.

Depósitos de combustible

3.2.3.1.

Depósitos principales de combustible

3.2.3.1.1.

Número y capacidad de cada depósito:

3.2.3.1.1.1.

Material

3.2.3.1.2.

Dibujo y descripción técnica de los depósitos, con todas sus conexiones y líneas del sistema de aireación y ventilación, cierres, válvulas y elementos de sujeción

3.2.3.1.3.

Dibujo que indique claramente la posición de los depósitos en el vehículo

3.2.3.2.

Depósitos de combustible de reserva

3.2.3.2.1.

Número y capacidad de cada depósito:

3.2.3.2.1.1.

Material

3.2.3.2.2.

Dibujo y descripción técnica de los depósitos, con todas sus conexiones y líneas del sistema de aireación y ventilación, cierres, válvulas y elementos de sujeción

3.2.3.2.3.

Dibujo que indique claramente la posición de los depósitos en el vehículo

3.3.2.

SAEER

3.3.2.4.

Posición

3.4.

Combinaciones de convertidores de energía de propulsión

3.4.1.

Vehículo eléctrico híbrido: sí/no

3.4.2.

Categoría de vehículo eléctrico híbrido: se carga desde el exterior/no se carga desde el exterior

(1) Si los medios de identificación del tipo incluyen caracteres que no son pertinentes para describir el vehículo, es decir, los tipos cubiertos por el certificado de homologación, tales caracteres se representarán en la documentación con el símbolo: «?» (por ejemplo: ABC??123??).

(2) Con arreglo a la definición que figura en la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev.6, apartado 2, www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

ANEXO 2

Disposición de las marcas de homologación

MODELO A

(Véase el punto 4.4 del presente Reglamento)

a = 8 mm mín.

Esta marca de homologación colocada en un vehículo indica que el tipo de vehículo en cuestión ha sido homologado en los Países Bajos (E 4) por lo que respecta a la protección de sus ocupantes en caso de colisión trasera, con arreglo al Reglamento n.o 153 de las Naciones Unidas y con el número de homologación 001424. El número de homologación indica que esta se concedió de acuerdo con los requisitos del Reglamento de las Naciones Unidas n.o 153 en su forma original.

MODELO B

(Véase el punto 4.5 del presente Reglamento)

a = 8 mm mín.

Las dos primeras cifras de los números de homologación indican que, en las fechas en que se concedieron las homologaciones respectivas, el Reglamento de las Naciones Unidas n.o 153 estaba en su versión original y el Reglamento de las Naciones Unidas n.o 11 incorporaba la serie 03 de enmiendas.

ANEXO 3

Procedimiento para el ensayo de impacto trasero

Objetivo

1.1.

El objetivo del ensayo será simular las condiciones de impacto trasero con otro vehículo en movimiento.

Instalaciones, procedimientos e instrumentos de medición

2.1.

Lugar del ensayo

El área de ensayo deberá ser lo suficientemente grande como para albergar el sistema de propulsión del elemento de impacto y para permitir el desplazamiento posterior al impacto del vehículo impactado, así como la instalación del equipo de ensayo. La parte en la que tengan lugar la colisión y el desplazamiento del vehículo deberá ser horizontal, plana y regular, y representativa de una calzada normal, seca y no contaminada.

2.2.

Elemento de impacto

2.2.1.

Este elemento de impacto será de acero y de construcción rígida.

2.2.2.

La superficie de impacto deberá ser lisa, de 2 500 mm de ancho por 800 mm de alto como mínimo, y sus bordes deberán de ser redondeados con un radio de curvatura de entre 40 y 50 mm. Deberá estar cubierta con planchas de madera contrachapada de 20 ± 2 mm de espesor.

2.2.3.

En el momento del impacto deberán cumplirse los siguientes requisitos:

2.2.3.1.

la superficie de impacto será vertical y perpendicular al plano medial longitudinal del vehículo impactado;

2.2.3.2.

la dirección de movimiento del elemento de impacto deberá ser esencialmente horizontal y paralela al plano medial longitudinal del vehículo impactado;

2.2.3.3.

la desviación lateral máxima tolerada entre la línea medial vertical de la superficie del elemento de impacto y el plano medial longitudinal del vehículo impactado deberá ser de 300 mm; además, la superficie de impacto deberá cubrir toda la anchura del vehículo impactado;

2.2.3.4.

la distancia al suelo del borde inferior de la superficie de impacto será de 175 ± 25 mm.

2.3.

Propulsión del elemento de impacto

El elemento de impacto estará sujeto a un carro (barrera móvil).

2.4.

Disposiciones relativas a un ensayo de barrera móvil

2.4.1.

Si el elemento de impacto está sujeto a un carro (barrera móvil) por medio de un elemento de retención, este último deberá ser rígido e indeformable por la acción del impacto. En el momento del impacto, el carro deberá poder desplazarse libremente y dejar de estar sujeto a la acción del mecanismo de propulsión.

2.4.2.

La velocidad del impacto será de 50,0 ± 2,0 km/h.

2.4.3.

La masa agregada del carro y del elemento de impacto será de 1 100 ± 20 kg.

2.5.

Disposiciones generales sobre masa y velocidad del elemento de impacto

Si el ensayo se ha llevado a cabo a una velocidad de impacto superior a la prescrita en el punto 2.4.2 y el vehículo ha cumplido los requisitos prescritos, el ensayo se considerará satisfactorio.

2.6.

Estado del vehículo sometido a ensayo.

2.6.1.

El vehículo sometido a ensayo estará dotado de todos los componentes y equipo normales incluidos en su masa en vacío o estará en condiciones de cumplir este requisito en lo que concierne a los componentes y equipo de interés para el habitáculo y la distribución del peso en orden de marcha del vehículo en conjunto.

2.6.2.

El depósito de combustible líquido deberá llenarse como mínimo al 90 % de su capacidad ya sea con combustible o con un líquido no inflamable con una densidad y viscosidad semejantes a las del combustible usado normalmente. Todos los demás sistemas (depósitos del líquido de frenos, radiador, reactivos para reducción catalítica selectiva, etc.) podrán estar vacíos.

Los sistemas de almacenamiento de hidrógeno comprimido y los espacios cerrados de los vehículos de hidrógeno comprimido se prepararán de acuerdo con el punto 3 del anexo 4.

2.6.3

El freno de estacionamiento estará desactivado y la palanca de cambios en punto muerto.

2.6.4.

Si el fabricante lo solicita, podrán permitirse las siguientes excepciones:

2.6.4.1.

El servicio técnico encargado de realizar el ensayo puede aceptar la utilización del mismo vehículo sometido al ensayo prescrito por otros Reglamentos de las Naciones Unidas (incluidos los ensayos que puedan afectar a su estructura) en los ensayos prescritos por el presente Reglamento.

2.6.4.2.

El vehículo podrá ir lastrado con masas adicionales que no superen el 10 % de su masa sin carga fuertemente sujetas a la estructura de un modo que no afecten a la integridad del sistema de alimentación de combustible ni a la seguridad del grupo motopropulsor eléctrico durante el ensayo.

2.6.5.

Ajuste del grupo motopropulsor eléctrico

2.6.5.1.

El SAEER deberá estar en cualquier estado de carga que permita el funcionamiento normal del grupo motopropulsor, según lo recomendado por el fabricante.

2.6.5.2.

El grupo motopropulsor eléctrico se pondrá en tensión con o sin el funcionamiento de las fuentes de energía eléctrica originales (por ejemplo, el generador del motor, el SAEER o el sistema de conversión de la energía eléctrica). Sin embargo:

2.6.5.2.1.

Si así lo acuerdan el servicio técnico y el fabricante, se permitirá realizar el ensayo con todo el grupo motopropulsor eléctrico, o con partes de este, sin tensión, siempre que ello no influya negativamente en los resultados del ensayo. La protección contra choques eléctricos de las partes del grupo motopropulsor eléctrico que no estén bajo tensión se probará con la protección física o la resistencia de aislamiento, y con cualquier otra prueba pertinente.

2.6.5.2.2.

Si está instalado un desconector automático, a petición del fabricante podrá efectuarse el ensayo activando dicho desconector. En este caso, deberá demostrarse que el desconector automático habría funcionado durante el ensayo de impacto. Esto incluye la señal de activación automática y la separación galvánica teniendo en cuenta las condiciones observadas durante el ensayo.

2.7.

Instrumentos de medida

Los instrumentos utilizados para registrar la velocidad a que se hace referencia en el punto 2.4.2 deberán tener un margen de exactitud del 1 %.

Métodos de ensayo alternativos

A petición del fabricante, podrá utilizarse el siguiente método de ensayo como alternativa al método de ensayo prescrito en el punto 2.

3.1.

Se aceptará un ensayo de impacto trasero desplazado con una barrera móvil deformable como alternativa al procedimiento descrito en el punto 2 del presente anexo si se cumplen las condiciones establecidas en los puntos 3.1.1 a 3.1.3.

3.1.1.

Velocidad de impacto

La velocidad de impacto se situará entre los 78,5 km/h y los 80,1 km/h.

3.1.2.

Vehículo desplazado con respecto a la barrera

El solapamiento entre el vehículo y la barrera será del 70 %.

3.1.3.

Barrera móvil deformable (BMD)

La barrera móvil deformable deberá cumplir las siguientes especificaciones:

a)	El peso total de la BMD, incluida la cara de impacto, será de 1 361 ± 4,5 kg.

b)	La longitud total de la BMD, incluida la cara de impacto, será de 4 115 mm ± 25 mm.

c)	La longitud total de la BMD, no incluida la cara de impacto, será de 3 632 mm (incluido un bloque de montaje de un espesor de 50,8 mm).

d)	La anchura total del marco del carro será de 1 251 mm.

e)	El ancho de vía (de eje central a eje central de las ruedas delanteras o traseras) será de 1 880 mm.

f)	La distancia entre ejes del marco del carro será de 2 591 mm ± 25 mm.

Propiedades inerciales de la BMD (con dos cámaras y sus soportes, un panel de trampa de luz y con lastre reducido); el centro de gravedad (CG) se define como sigue:

X = (1 123 ± 25) mm detrás del eje delantero

Y = (7,6 ± 25) mm a la izquierda del eje longitudinal

Z = (450 ± 25) mm desde el suelo

Los momentos de inercia (tolerancia del 5 % a efectos de ensayo) son los siguientes:

cabeceo = 2 263 kg-m2

alabeo = 2 508 kg-m2

guiñada = 2 572 kg-m2

h)	Forma de la cara de impacto alveolar: anchura =1 676 mm ± 6 mm altura = 559 mm ± 6 mm distancia al suelo = 229 mm ± 3 mm profundidad a la altura del parachoques = 483 mm ± 6 mm profundidad en la cara de impacto superior = 381 mm ± 6 mm

i)	Las propiedades de deformación (resistencia al aplastamiento) de la cara de impacto alveolar serán de 310 kPa ± 17 kPa y 1 690 kPa ± 103 kPa para el parachoques.

Otros parámetros y ajustes pueden ser similares a las definiciones del punto 2 del presente Reglamento.

3.2.

Si se utiliza un método distinto del descrito en el punto 2 o en el punto 3.1, deberá demostrarse su equivalencia.

ANEXO 4

Condiciones y procedimientos de ensayo para evaluar la integridad del sistema de alimentación de combustible de hidrógeno tras la colisión

Objetivo

Determinación del cumplimiento de los requisitos del punto 5.2.1 del presente Reglamento.

Definiciones

A efectos del presente anexo, se entenderá por:

2.1.

«espacios cerrados», los volúmenes especiales en el interior del vehículo (o el contorno del vehículo a través de las aberturas) externos al sistema de hidrógeno (sistema de almacenamiento, sistema de pilas de combustible y sistema de gestión del flujo de combustible) y sus cubiertas (en su caso), en los que puede acumularse el hidrógeno (con el peligro que ello conlleva), tales como el habitáculo, el compartimento para equipajes y el espacio situado debajo del capó;

2.2.

«compartimento para equipajes», el espacio del vehículo destinado a alojar equipajes o mercancías, delimitado por el techo, el capó, el suelo y las paredes laterales y separado del habitáculo por la mampara delantera o la mampara trasera;

2.3.

«presión nominal de trabajo (NWP)», la presión manométrica que caracteriza el funcionamiento típico de un sistema; en los recipientes de hidrógeno gaseoso comprimido, la NWP es la presión estabilizada del gas comprimido en un recipiente o un sistema de almacenamiento totalmente llenos a una temperatura uniforme de 15 °C.

Preparación, instrumental y condiciones de ensayo

3.1.

Sistemas de almacenamiento de hidrógeno comprimido y conductos posteriores

3.1.1.

Antes de realizar el ensayo de colisión deben instalarse en el sistema de almacenamiento de hidrógeno los instrumentos para proceder a las mediciones necesarias de la presión y la temperatura si el vehículo estándar no posee ya instrumentos que ofrezcan la exactitud exigida.

3.1.2.

A continuación, si es necesario, se purga el sistema de almacenamiento de hidrógeno siguiendo las instrucciones del fabricante, a fin de eliminar las impurezas del recipiente antes de llenar el sistema de almacenamiento con hidrógeno o helio gaseosos comprimidos. Dado que la presión en el sistema de almacenamiento varía según la temperatura, la presión de llenado buscada dependerá de la temperatura. La presión buscada se determinará con la siguiente ecuación:

Ptarget = NWP × (273 + T0) / 288

donde NWP es la presión nominal de trabajo (MPa), T0 es la temperatura ambiente a la que se espera que se estabilice el sistema de almacenamiento y Ptarget es la presión de llenado buscada una vez estabilizada la temperatura.

3.1.3.

El recipiente se llena hasta un mínimo del 95 % de la presión de llenado buscada y se deja que se estabilice antes de realizar el ensayo de colisión.

3.1.4.

La válvula de cierre principal y las válvulas de bloqueo del hidrógeno gaseoso, situadas en los conductos posteriores del hidrógeno gaseoso, deben encontrarse en las condiciones normales de conducción inmediatamente antes del impacto.

3.2.

Espacios cerrados

3.2.1.

Se seleccionan sensores para medir, bien la acumulación de hidrógeno o helio gaseosos, bien la reducción de oxígeno (debida al desplazamiento de aire resultante de las fugas de hidrógeno o helio).

3.2.2.

Los sensores se calibran a partir de referencias identificables, para garantizar una exactitud de ± 5 % con respecto a los criterios buscados de volumen en el aire del 4 % en el caso del hidrógeno y del 3 % en el caso del helio, y una capacidad de medición a plena escala de al menos el 25 % por encima de los criterios buscados. El sensor deberá tener una capacidad de respuesta del 90 % ante una variación de plena escala de la concentración en un lapso de 10 s.

3.2.3.

Antes del impacto de colisión, los sensores se colocan en el habitáculo y en el compartimento para equipajes del vehículo de la manera siguiente:

a)	a una distancia máxima de 250 mm del techo interior por encima del asiento del conductor o cerca de la parte central superior del habitáculo;

b)	a una distancia máxima de 250 mm del suelo por delante del asiento trasero (o más trasero) del habitáculo; y

c)	a una distancia máxima de 100 mm de la parte superior de los compartimentos para equipajes situados en el interior del vehículo que no se ven afectados directamente por el impacto de colisión concreto que se va a efectuar.

3.2.4.

Los sensores están firmemente instalados en la estructura o en los asientos del vehículo y protegidos, de cara al ensayo de colisión previsto, de los fragmentos del vehículo, el gas del airbag y los posibles objetos proyectados. Las mediciones realizadas tras la colisión se registran con instrumentos situados en el interior del vehículo o por transmisión a distancia.

3.2.5.

El ensayo puede realizarse, bien en el exterior, en una zona protegida del viento y de los posibles efectos del sol, bien en el interior, en un espacio suficientemente amplio o ventilado para impedir que la acumulación de hidrógeno supere el 10 % de los criterios buscados en el habitáculo y el compartimento para equipajes.

Medición de fugas tras la colisión en un sistema de almacenamiento de hidrógeno comprimido llenado con hidrógeno comprimido

4.1.

La presión, P0 (MPa), y la temperatura, T0 (°C), del hidrógeno gaseoso se miden inmediatamente antes del impacto y, a continuación, en un intervalo de tiempo, Δt (min), tras el impacto.

4.1.1.

El intervalo de tiempo, Δt, empieza cuando el vehículo queda inmovilizado después del impacto y continúa durante al menos 60 min.

4.1.2.

El intervalo de tiempo, Δt, se incrementará, si es necesario, para ajustar la exactitud de la medición en el caso de un sistema de almacenamiento de gran volumen que funcione a una presión de hasta 70 MPa; en tal caso, Δt puede calcularse con la fórmula siguiente:

Δt = VCHSS × NWP / 1 000 × ((– 0,027 × NWP + 4) × Rs – 0,21) – 1,7 × Rs

donde Rs = Ps / NWP, Ps es el intervalo de presión del sensor de presión (MPa), NWP es la presión nominal de trabajo (MPa), VCHSS es el volumen del sistema de almacenamiento de hidrógeno comprimido (L) y Δt es el intervalo de tiempo (min).

4.1.3.

Si el valor calculado de Δt es inferior a 60 min, Δt se fija en 60 min.

4.2.

La masa inicial de hidrógeno en el sistema de almacenamiento puede calcularse como sigue:

P0′ = P0 × 288 / (273 + T0)

ρo′ = – 0,0027 × (P0′)2 + 0,75 × P0′ + 0,5789

M0 = ρ0′ × VCHSS

4.3.

En consecuencia, la masa final de hidrógeno en el sistema de almacenamiento, Mf, al término del intervalo de tiempo, Δt, puede calcularse como sigue:

Pf′ = Pf × 288 / (273 + Tf)

ρf′ = – 0,0027 × (Pf′)2 + 0,75 × Pf′ + 0,5789

Mf = ρf′ × VCHSS

donde Pf es la presión final medida (MPa) al término del intervalo de tiempo y Tf, la temperatura final medida (°C).

4.4.

Por lo tanto, el caudal medio de hidrógeno durante el intervalo de tiempo es:

VH2 = (Mf – M0) / Δt × 22,41 / 2,016 × (Ptarget /P0)

donde VH2 es el caudal volumétrico medio (NL/min) durante el intervalo de tiempo, y la expresión (Ptarget /P0) se utiliza para compensar las diferencias entre la presión inicial medida (P0) y la presión de llenado buscada (Ptarget).

Medición de fugas tras la colisión en un sistema de almacenamiento de hidrógeno comprimido llenado con helio comprimido

5.1.

La presión, P0 (MPa), y la temperatura, T0 (°C), del helio gaseoso se miden inmediatamente antes del impacto y, a continuación, en un intervalo de tiempo predeterminado tras el impacto.

5.1.1.

El intervalo de tiempo, Δt, empieza cuando el vehículo queda inmovilizado después del impacto y continúa durante al menos 60 min.

5.1.2.

Δt = VCHSS × NWP / 1 000 × ((– 0,028 × NWP + 5,5) × Rs – 0,3) – 2,6 × Rs

5.1.3.

Si el valor calculado de Δt es inferior a 60 min, Δt se fija en 60 min.

5.2.

La masa inicial de helio en el sistema de almacenamiento se calcula como sigue:

P0′ = P0 × 288 / (273 + T0)

ρ0′ = – 0,0043 × (P0′)2 + 1,53 × P0′ + 1,49

M0 = ρ0′ × VCHSS

5.3.

La masa final de helio en el sistema de almacenamiento al término del intervalo de tiempo, Δt, se calcula como sigue:

Pf′ = Pf × 288 / (273 + Tf)

ρf′ = – 0,0043 × (Pf′)2 + 1,53 × Pf′ + 1,49

Mf = ρf′ × VCHSS

donde Pf es la presión final medida (MPa) al término del intervalo de tiempo y Tf, la temperatura final medida (°C).

5.4.

Por lo tanto, el caudal medio de helio durante el intervalo de tiempo es:

VHe = (Mf – M0) / Δt × 22,41 / 4,003 × (Ptarget/ P0)

donde VHe es el caudal volumétrico medio (NL/min) durante el intervalo de tiempo, y la expresión (Ptarget/ P0) se utiliza para compensar las diferencias entre la presión inicial medida (P0) y la presión de llenado buscada (Ptarget).

5.5.

La conversión del caudal volumétrico medio de helio en caudal volumétrico medio de hidrógeno se calcula con la fórmula siguiente:

VH2 = VHe / 0,75

donde VH2 es el flujo volumétrico medio de hidrógeno correspondiente.

Medición de la concentración tras la colisión en espacios cerrados

6.1.

La recogida de datos tras la colisión en espacios cerrados comienza cuando el vehículo queda inmovilizado. Los datos procedentes de los sensores instalados conforme al punto 3.2 del presente anexo se recogen como mínimo cada 5 s durante 60 min después del ensayo. Podrá aplicarse a las mediciones un desfase de primer orden (constante de tiempo) de hasta un máximo de 5 s para hacer un «suavizado» y filtrar los efectos de los puntos de datos espurios.

ANEXO 5

Procedimientos de ensayo para los vehículos equipados con grupo motopropulsor eléctrico

En el presente anexo se describen los procedimientos de ensayo para demostrar el cumplimiento de los requisitos de seguridad eléctrica del punto 5.2.2 del presente Reglamento.

Configuración y equipo del ensayo

Si se emplea una función de desconexión de la alta tensión, las mediciones deberán hacerse a ambos lados del dispositivo que desempeñe dicha función. No obstante, si el desconector de alta tensión está integrado en el SAEER o en el sistema de conversión de la energía y el bus de alta tensión del SAEER o del sistema de conversión de la energía está protegido conforme al grado de protección IPXXB tras el ensayo de impacto, podrán hacerse las mediciones únicamente entre el dispositivo que desempeñe la función de desconexión y las cargas eléctricas.

El voltímetro utilizado en este ensayo deberá medir valores de DC y tener una resistencia interna de por lo menos 10 MΩ.

Podrán seguirse las siguientes instrucciones si se mide la tensión.

Tras el ensayo de impacto, determinar las tensiones de los buses de alta tensión (Ub, U1 y U2) (véase la figura 1).

La tensión deberá medirse no antes de diez segundos ni después de sesenta segundos tras el impacto.

Este procedimiento no es aplicable si el ensayo se realiza con el grupo motopropulsor eléctrico sin tensión.

Procedimiento de evaluación de la energía eléctrica baja

Antes del impacto se conectan en paralelo al condensador pertinente (véase la figura 2) un interruptor S1 y una resistencia de descarga conocida Re.

No antes de diez segundos ni después de sesenta segundos tras el impacto, deberá cerrarse el interruptor S1 mientras se miden y registran la tensión Ub y la corriente Ie. El producto de la tensión Ub y la corriente Ie se integrará en el período de tiempo que va desde el momento en que se cierra el interruptor S1 (tc) hasta el momento en que la tensión Ub cae por debajo del umbral de alta tensión de 60 V DC (th). La integración resultante equivale a la energía total (TE) en julios.

b)	Si Ub se mide en un momento situado entre diez segundos y sesenta segundos tras el impacto y la capacidad de los condensadores X (Cx) viene indicada por el fabricante, la energía total (TE) se calculará conforme a la fórmula siguiente: TE = 0,5 × Cx × Ub2

Si U1 y U2 (véase la figura 1) se miden en un momento situado entre diez segundos y sesenta segundos tras el impacto y las capacidades de los condensadores Y (Cy1 y Cy2) vienen indicadas por el fabricante, la energía total (TEy1 y TEy2) se calculará conforme a las fórmulas siguientes:

TEy1 = 0,5 × Cy1 × U12

TEy2 = 0,5 × Cy2 × U22

Este procedimiento no es aplicable si el ensayo se realiza con el grupo motopropulsor eléctrico sin tensión.

Figura 2 Ejemplo: medición de la energía del bus de alta tensión almacenada en los condensadores X

Protección física

Tras el ensayo de impacto del vehículo deberá abrirse, desmontarse o retirarse, sin ayuda de herramientas, toda parte que esté situada en torno a los componentes de alta tensión. Todas las piezas que queden alrededor de esos componentes se considerarán parte de la protección física.

Para evaluar la seguridad eléctrica, deberá introducirse el dedo de ensayo articulado descrito en la figura 3 en cualquier hueco o abertura de la protección física, con una fuerza de ensayo de 10 N ± 10 %. Si el dedo de ensayo articulado penetra parcial o íntegramente en la protección física, deberá colocarse en todas las posiciones que se especifican a continuación.

Partiendo de la posición erecta, las dos articulaciones del dedo de ensayo se girarán progresivamente en un ángulo de hasta 90° con respecto al eje de la sección adyacente del dedo y se colocarán en todas las posiciones posibles.

Las barreras internas de protección eléctrica se consideran parte de la envolvente.

Si procede, se conectará en serie una fuente de baja tensión (no inferior a 40 V ni superior a 50 V) con una lámpara adecuada entre el dedo de ensayo articulado y las partes activas de alta tensión, dentro de la barrera de protección eléctrica o envolvente.

Material: metal, salvo que se especifique otra cosa

Dimensiones lineales en milímetros

Tolerancias con respecto a las dimensiones sin una tolerancia específica:

a)	En los ángulos: + 0°0′0″ / – 0°0′10″

En las dimensiones lineales:

i)	≤ 25 mm: + 0/ – 0,05 mm

ii)	> 25 mm: ± 0,2 mm

Ambas articulaciones deberán poder moverse en el mismo plano y en la misma dirección en un ángulo de 90°, con una tolerancia de 0 a + 10°.

Se considerará que se cumplen los requisitos del punto 5.2.2.1.3 del presente Reglamento si no se consigue que el dedo de ensayo articulado descrito en la figura 3 toque partes activas de alta tensión.

Si es preciso, podrá utilizarse un espejo o un fibroscopio para verificar si el dedo de ensayo articulado toca los buses de alta tensión.

Si el cumplimiento de este requisito se verifica mediante un circuito de señales entre el dedo de ensayo articulado y las partes activas de alta tensión, la lámpara deberá permanecer apagada.

4.1.

Método de ensayo para medir la resistencia eléctrica:

Método de ensayo con comprobador de resistencia.

El comprobador de resistencia está conectado a los puntos de medición (normalmente, el chasis eléctrico y la envolvente electroconductora o barrera de protección eléctrica) y la resistencia se mide utilizando un comprobador de resistencia que cumpla la especificación siguiente:

i)	corriente de medición de al menos 0,2 A;

ii)	resolución igual o inferior a 0,01 Ω;

iii)	resistencia R inferior a 0,1 Ω.

Método de ensayo con alimentación de corriente continua, voltímetro y amperímetro.

La fuente de alimentación de DC, el voltímetro y el amperímetro están conectados a los puntos de medición (típicamente, chasis eléctrico y envolvente electroconductora o barrera de protección eléctrica).

La tensión de la fuente de alimentación de DC se ajusta de manera que el flujo de corriente sea de al menos 0,2 A.

Se miden la corriente «I» y la tensión «U».

Se calcula la resistencia «R» aplicando la fórmula siguiente:

R = U / I

resistencia R inferior a 0,1 Ω.

Nota:

Si se utilizan cables conductores para medir la tensión y la corriente, cada cable conductor deberá estar conectado de forma independiente a la barrera de protección eléctrica, la envolvente o el chasis eléctrico. El terminal puede ser común para la medición de tensión y la medición de corriente.

Abajo se muestra un ejemplo del método de ensayo con alimentación de DC, voltímetro y amperímetro.

Figura 4 Ejemplo de método de ensayo con alimentación de DC

Resistencia de aislamiento

5.1.

Generalidades

La resistencia de aislamiento de cada bus de alta tensión del vehículo se medirá o se determinará calculando los valores de medición de cada pieza o componente de un bus de alta tensión.

Todas las mediciones para calcular la tensión o tensiones y el aislamiento eléctrico se efectúan al menos 10 s después del impacto.

5.2.

Método de medición

La medición de la resistencia de aislamiento se realiza seleccionado un método de medición adecuado de entre los que figuran en los puntos 5.2.1 a 5.2.2 del presente anexo, dependiendo de la carga eléctrica de las partes activas o de la resistencia de aislamiento.

El rango del circuito eléctrico que deberá medirse se aclara por adelantado, utilizando diagramas de circuitos eléctricos. Si los buses de alta tensión están aislados conductivamente entre sí, se medirá la resistencia de aislamiento para cada circuito eléctrico.

Además, podrán realizarse las modificaciones necesarias para medir la resistencia de aislamiento, como quitar la tapa para alcanzar las partes activas, trazar líneas de medición y modificar el software.

En caso de que los valores medidos no sean estables por el funcionamiento del sistema de a bordo para la supervisión de la resistencia de aislamiento, podrán realizarse las modificaciones necesarias para realizar la medición deteniendo el funcionamiento del dispositivo en cuestión o quitándolo. Además, al retirar el dispositivo, se utilizará un conjunto de dibujos para demostrar que la resistencia de aislamiento entre las partes activas y el chasis eléctrico permanece inalterada.

Estas modificaciones no deberán influir en los resultados de los ensayos.

Se extremarán las precauciones para evitar cortocircuitos y choques eléctricos, ya que esta confirmación podría exigir operaciones directas del circuito de alta tensión.

5.2.1.

Método de medición utilizando tensión DC procedente de fuentes exteriores

5.2.1.1.

Instrumento de medición

Se utilizará un instrumento de ensayo de la resistencia de aislamiento capaz de aplicar una c.c. superior a la tensión de trabajo del bus de alta tensión.

5.2.1.2.

Método de medición

Se conectará un instrumento de ensayo de la resistencia de aislamiento entre las partes activas y el chasis eléctrico. A continuación, se medirá la resistencia de aislamiento aplicando un DC de, como mínimo, la mitad de la tensión de trabajo del bus de alta tensión.

Si el sistema tiene varios rangos de tensión (por ejemplo debido a un convertidor elevador) en un circuito conectado conductivamente y algunos de los componentes no pueden soportar la tensión de trabajo de todo el circuito, la resistencia de aislamiento entre dichos componentes y el chasis eléctrico pueden medirse por separado aplicando al menos la mitad de su propia tensión de trabajo con dichos componentes desconectados.

5.2.2.

Método de medición utilizando el SAEER del propio vehículo como fuente de DC

5.2.2.1.

Condiciones de ensayo de los vehículos

El bus de alta tensión está puesto bajo tensión por el SAEER o el sistema de conversión de energía del propio vehículo, y el nivel de tensión del SAEER o del sistema de conversión de energía durante el ensayo equivaldrá, como mínimo, a la tensión nominal de funcionamiento especificada por el fabricante del vehículo.

5.2.2.2.

Método de medición

5.2.2.2.1.

Primer paso

La tensión se mide tal como se muestra en la figura 1 y se registra la tensión del bus de alta tensión (Ub).

5.2.2.2.2.

Segundo paso

La tensión (U1) entre el polo negativo del bus de alta tensión y el chasis eléctrico se mide y se registra (véase la figura 1).

5.2.2.2.3.

Tercer paso

La tensión (U2) entre el polo positivo del bus de alta tensión y el chasis eléctrico se mide y se registra (véase la figura 1).

5.2.2.2.4.

Cuarto paso

Si U1 es mayor o igual que U2, se inserta una resistencia estándar conocida (R0) entre el polo negativo del bus de alta tensión y el chasis eléctrico. Con la R0 instalada, se mide la tensión (U1′) entre el polo negativo del bus de alta tensión y el chasis eléctrico (véase la figura 5).

Se calcula el aislamiento eléctrico (Ri) aplicando la fórmula siguiente:

Ri = R0*Ub*(1/U1′ – 1/U1)

Si U2 es mayor que U1, insertar una resistencia estándar conocida (R0) entre el polo positivo del bus de alta tensión y el chasis eléctrico. Con la R0 instalada, medir la tensión (U2′) entre el polo positivo del bus de alta tensión y el chasis eléctrico (véase la figura 6).

Se calcula el aislamiento eléctrico (Ri) aplicando la fórmula siguiente:

Ri = R0*Ub*(1/U2′ – 1/U2)

5.2.2.2.5.

Quinto paso

El valor del aislamiento eléctrico Ri (en Ω) dividido por la tensión de trabajo del bus de alta tensión (en V) da la resistencia de aislamiento (en Ω/V).

Nota:

La resistencia estándar conocida R0 (en Ω) debería corresponder al valor de la resistencia de aislamiento mínima requerida (Ω/V) multiplicada por la tensión de trabajo (V) del vehículo, más/menos el 20 %. No se requiere que la R0 equivalga exactamente a ese valor, ya que las ecuaciones son válidas para cualquier R0; sin embargo, cabe esperar que un valor de R0 dentro de este intervalo ofrezca una buena resolución para las mediciones de la tensión.

Fugas de electrolito

En caso necesario, puede aplicarse un revestimiento adecuado a la protección física (carcasa) para confirmar si hay fugas de electrolito del SAEER tras el ensayo de impacto.

Retención del SAEER

El cumplimiento se determinará por inspección visual.

9.3.2021

Diario Oficial de la Unión Europea

L 82/30

Solo los textos originales de la CEPE surten efectos jurídicos con arreglo al Derecho internacional público. La situación y la fecha de entrada en vigor del presente Reglamento deben verificarse en la última versión del documento de situación de la CEPE TRANS/WP.29/343, disponible en: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Reglamento n.o 155 de la Comisión Económica para Europa (CEPE) de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de los vehículos de motor en lo que respecta a la ciberseguridad y al sistema de gestión de esta [2021/387]

Fecha de entrada en vigor: 22 de enero de 2021

El presente documento tiene valor meramente informativo. Los textos auténticos y jurídicamente vinculantes son los siguientes:

—	ECE/TRANS/WP.29/2020/79

—	ECE/TRANS/WP.29/2020/94 y

—	ECE/TRANS/WP.29/2020/97

ÍNDICE

REGLAMENTO

Ámbito de aplicación

Definiciones

Solicitud de homologación

Marcados

Homologación

Certificado de conformidad del sistema de gestión de la ciberseguridad

Especificaciones

Modificación del tipo de vehículo y extensión de la homologación de tipo

Conformidad de la producción

10.

Sanciones por falta de conformidad de la producción

11.

Cese definitivo de la producción

12.

Nombres y direcciones de los servicios técnicos responsables de realizar los ensayos de homologación y de las autoridades de homologación de tipo

ANEXOS

Ficha técnica

Comunicación

Disposición de la marca de homologación

Modelo de certificado de conformidad del sistema de gestión de la ciberseguridad

Lista de amenazas y sus correspondientes medidas de mitigación

1. ÁMBITO DE APLICACIÓN

1.1.

El presente Reglamento es aplicable a los vehículos de las categorías M y N, en lo que respecta a la ciberseguridad.

El presente Reglamento es aplicable también a los vehículos de la categoría O si llevan instalada al menos una unidad de control electrónico.

1.2.

Asimismo, el presente Reglamento es aplicable a los vehículos de las Categorías L6 y L7 si están equipados con funciones de conducción automatizada desde el nivel 3 en adelante, tal y como se definen en el «Documento de referencia en el que se proponen las definiciones de la conducción automatizada en el marco del Grupo de Trabajo 29 (WP.29) y de los principios generales para la elaboración de un Reglamento de las Naciones Unidas sobre los vehículos automatizados» (ECE/TRANS/WP.29/1140).

1.3.

El presente Reglamento debe entenderse sin perjuicio de otros Reglamentos de las Naciones Unidas, de la legislación regional o nacional que rige el acceso de partes autorizadas al vehículo, sus datos, funciones y recursos, así como las condiciones de dicho acceso. Se entenderá también sin perjuicio de la aplicación de la legislación nacional y regional en materia de privacidad y protección de las personas físicas con respecto al tratamiento de sus datos personales.

1.4.

El presente Reglamento se entenderá sin perjuicio de otros Reglamentos de las Naciones Unidas y de la legislación nacional o regional por los que se rigen el desarrollo y la instalación o la integración de sistemas de sustitución de piezas y componentes, físicos y digitales, con respecto a la ciberseguridad.

2. DEFINICIONES

A los efectos del presente Reglamento, se entenderá por:

2.1.

«Tipo de vehículo»: los vehículos que no difieran entre sí en al menos los siguientes aspectos esenciales:

a)	la designación del tipo de vehículo dada por el fabricante;

b)	aspectos esenciales de la arquitectura eléctrica y electrónica y las interfaces externas con respecto a la ciberseguridad;

2.2.	«Ciberseguridad»: la condición en la cual los vehículos de carretera y sus funciones se encuentran protegidos de ciberamenazas a sus componentes eléctricos o electrónicos.

2.3.	«Sistema de gestión de la ciberseguridad»: un enfoque sistemático basado en el riesgo, por el que se definen los procesos organizativos, las responsabilidades y la gobernanza para abordar los riesgos asociados con las ciberamenazas a los vehículos y para protegerlos de ciberataques.

2.4.	«Sistema»: conjunto de componentes o subsistemas que ejecuta una función o funciones.

2.5.	«Fase de desarrollo»: periodo que precede a la homologación de tipo de un tipo de vehículo.

2.6.	«Fase de producción»: duración de la producción de un tipo de vehículo.

2.7.

«Fase de posproducción»: período que transcurre entre el momento en que un tipo de vehículo se deja de producir y el final de la vida útil de todos los vehículos de dicho tipo. Los vehículos que incorporan un tipo de vehículo específico seguirán funcionando durante esta fase, pero dejarán de producirse. La fase concluye cuando ya no hay vehículos de un tipo de vehículo concreto en funcionamiento.

2.8.	«Medida de mitigación»: una medida que contribuye a reducir los riesgos.

2.9.	«Riesgo»: la posibilidad de que una determinada amenaza se aproveche de las vulnerabilidades de un vehículo y, al hacerlo, ocasione daños a la organización o a una persona.

2.10.

«Evaluación de riesgos»: proceso general de detección, reconocimiento y descripción de los riesgos (identificación del riesgo) con vistas a comprender la naturaleza del riesgo y determinar su nivel (análisis del riesgo), y a comparar los resultados del análisis del riesgo con los criterios de riesgo para determinar si este y su magnitud son aceptables o tolerables (valoración de riesgos).

2.11.

«Gestión del riesgo»: actividades coordinadas para dirigir y controlar una organización con respecto al riesgo.

2.12.

«Amenaza»: la posible causa de un incidente no deseado que pueda ocasionar daños a un sistema, una organización o una persona.

2.13.

«Vulnerabilidad»: una debilidad de un elemento o de una medida de mitigación que pueda ser aprovechada por una o varias amenazas.

3. SOLICITUD DE HOMOLOGACIÓN

3.1.

La solicitud de homologación de un tipo de vehículo en lo que concierne a la ciberseguridad será presentada por el fabricante del vehículo o por su representante debidamente acreditado.

3.2.

Deberá ir acompañada de los documentos que se mencionan a continuación, por triplicado, así como de los elementos siguientes:

3.2.1.

una descripción del tipo de vehículo en lo que concierne a los aspectos especificados en el anexo 1 del presente Reglamento.

3.2.2.

En los casos en que dicha información resulte estar cubierta por derechos de propiedad industrial o esté constituida por conocimientos especializados del fabricante o sus proveedores, el fabricante o sus proveedores facilitarán información suficiente para que puedan realizarse correctamente los ensayos a que se refiere el presente Reglamento. Dicha información se tratará de forma confidencial.

3.2.3.

El certificado de conformidad para sistemas de gestión de la ciberseguridad con arreglo al punto 6 del presente Reglamento.

3.3.

La documentación deberá estar disponible en dos partes:

la documentación oficial para la homologación, que contendrá el material especificado en el anexo 1, se presentará a la autoridad de homologación o a su servicio técnico cuando se presente la solicitud de homologación de tipo. La autoridad de homologación o su servicio técnico utilizarán dicha información como la referencia básica para el proceso de homologación. La autoridad de homologación o su servicio técnico se asegurarán de que esta documentación esté disponible durante al menos diez años a partir del momento en el que se interrumpa definitivamente la producción del tipo de vehículo;

el material adicional pertinente para los requisitos del presente Reglamento, que podrá conservar el fabricante, pero que se presentará a inspección en el momento de la homologación de tipo. El fabricante garantizará que todo material presentado a inspección en el momento de la homologación de tipo esté disponible durante un período mínimo de diez años a partir del momento en el que se interrumpa definitivamente la producción del tipo de vehículo.

4. MARCADO

4.1.

Se colocará una marca de homologación internacional, de manera visible y en un lugar fácilmente accesible especificado en el formulario de homologación, en cada vehículo que se ajuste a un tipo de vehículo homologado con arreglo al presente Reglamento; la marca consistirá en:

4.1.1.

La letra mayúscula «E» dentro de un círculo seguida del número distintivo del país que ha concedido la homologación.

4.1.2.

El número del presente Reglamento, seguido de la letra «R», un guion y el número de homologación a la derecha del círculo descrito en el punto 4.1.1.

4.2.

Si el vehículo se ajusta a un tipo de vehículo homologado de acuerdo con uno o varios Reglamentos adjuntos al Acuerdo en el país que haya concedido la homologación con arreglo al presente Reglamento, no es necesario repetir el símbolo que se establece en el punto 4.1.1; en ese caso, el Reglamento, los números de homologación y los símbolos adicionales de todos los Reglamentos según los cuales se ha concedido la homologación en el país que la concedió de conformidad con el presente Reglamento se colocarán en columnas verticales a la derecha del símbolo exigido en el punto 4.1.1.

4.3.

La marca de homologación aparecerá claramente legible y será indeleble.

4.4.

La marca de homologación se situará en la placa informativa del vehículo colocada por el fabricante, o cerca de la misma.

4.5.

En el anexo 3 del presente Reglamento figuran algunos ejemplos de las marcas de homologación.

5. HOMOLOGACIÓN

5.1.

Las autoridades de homologación concederán, cuando proceda, la homologación de tipo en lo que concierne a la ciberseguridad únicamente a los tipos de vehículos que cumplan los requisitos previstos en el presente Reglamento.

5.1.1.

La autoridad de homologación o el servicio técnico verificarán mediante el control de los documentos que el fabricante del vehículo haya adoptado las medidas necesarias con respecto al tipo de vehículo a fin de:

a)	recopilar y verificar la información requerida en virtud del presente Reglamento a través de la cadena de suministro a fin de constatar que se detectan y gestionan los riesgos relacionados con los proveedores;

b)	documentar la evaluación de riesgos (realizada durante la fase de desarrollo o con carácter retrospectivo), los resultados de los ensayos y las medidas de mitigación aplicadas al tipo de vehículo, incluida la información relativa al diseño que respalde la evaluación de riesgos;

c)	aplicar las medidas de ciberseguridad adecuadas al diseño del tipo de vehículo;

d)	detectar los posibles ataques a la ciberseguridad y responder a ellos;

e)	registrar los datos para facilitar la detección de ciberataques y proporcionar capacidad forense en relación con los datos a fin de permitir el análisis de los intentos de ciberataques o de los ciberataques consumados.

5.1.2.

La autoridad de homologación o el servicio técnico verificará, mediante ensayos en un vehículo del tipo de vehículo que su fabricante haya aplicado, las medidas de ciberseguridad que ha documentado. Los ensayos los realizarán la autoridad de homologación o el servicio técnico, por sí mismos o en colaboración con el fabricante del vehículo mediante un muestreo. El muestreo se centrará, entre otros, en los riesgos que se consideraron altos durante la evaluación de riesgos.

5.1.3.

La autoridad de homologación o el servicio técnico denegarán la concesión de la homologación de tipo en lo que respecta a la ciberseguridad cuando el fabricante del vehículo no cumpla uno o varios de los requisitos a que se refiere el punto 7.3, en particular si:

a)	el fabricante del vehículo no ha realizado la evaluación exhaustiva de riesgos a que se refiere el punto 7.3.3, incluso en caso de que el fabricante no haya considerado todos los riesgos relacionados con las amenazas a que se refiere la parte A del anexo 5;

b)	el fabricante del vehículo no ha protegido el tipo de vehículo contra los riesgos detectados en la evaluación de riesgos del fabricante del vehículo o no ha aplicado las medidas de mitigación tal y como requiere el punto 7;

c)	el fabricante del vehículo no ha adoptado medidas adecuadas y proporcionadas para garantizar entornos específicos del tipo de vehículo (si se incluyen) para el almacenamiento y la ejecución del software, los servicios, las aplicaciones o los datos posventa;

d)	el fabricante del vehículo no ha realizado, antes de la homologación, ensayos adecuados y suficientes para verificar la eficacia de las medidas de seguridad aplicadas.

5.1.4.

La autoridad de homologación que realiza la evaluación también denegará la concesión de la homologación de tipo en lo que respecta a la ciberseguridad cuando dicha autoridad o el servicio técnico no hayan recibido información suficiente del fabricante del vehículo para evaluar la ciberseguridad del tipo de vehículo.

5.2.

La concesión, la extensión o la denegación de la homologación de un tipo de vehículo con arreglo al presente Reglamento se comunicará a las Partes contratantes en el Acuerdo de 1958 que apliquen el presente Reglamento por medio de un formulario que se ajuste al modelo que figura en su anexo 2.

5.3.

Las autoridades de homologación no concederán ninguna homologación de tipo sin verificar que el fabricante haya establecido disposiciones y procedimientos satisfactorios para gestionar correctamente los aspectos de ciberseguridad contemplados en el presente Reglamento.

5.3.1.

La autoridad de homologación y sus servicios técnicos se asegurarán de que, además de cumplir los criterios establecidos en el anexo 2 del Acuerdo de 1958, también cuentan con:

a)	personal competente con capacidades de ciberseguridad adecuadas y conocimientos específicos sobre evaluaciones de riesgos en el ámbito de la automoción (1);

b)	procedimientos para realizar la evaluación uniforme que se prevé en el presente Reglamento.

5.3.2.

Cada Parte contratante que aplique el presente Reglamento notificará e informará mediante su autoridad de homologación a otras autoridades de homologación de las Partes contratantes que apliquen el presente Reglamento de Naciones Unidas sobre el método y los criterios que la autoridad de notificación ha tomado como base para evaluar la idoneidad de las medidas adoptadas de acuerdo con el presente Reglamento, en particular con los puntos 5.1, 7.2 y 7.3.

Esta información se compartirá: a) únicamente antes de conceder por primera vez una homologación de conformidad con el presente Reglamento y b) cada vez que se actualicen el método o los criterios de evaluación.

El objeto de intercambiar esta información es recoger y analizar las mejores prácticas a fin de garantizar la aplicación convergente del presente Reglamento por parte de todas las autoridades de homologación que lo apliquen.

5.3.3.

La información a que se refiere el punto 5.3.2 se incorporará, en inglés, a la base de datos segura de Internet «DETA» (2), creada por la Comisión Económica para Europa de las Naciones Unidas, a su debido tiempo y a más tardar catorce días antes de que se conceda una homologación por primera vez con arreglo a los métodos y criterios de evaluación correspondientes. La información será suficiente para entender los niveles de rendimiento mínimos adoptados por la autoridad de homologación para cada requisito específico a que se refiere el punto 5.3.2, así como los procesos y las medidas que aplica para verificar que se cumplen dichos niveles (3).

5.3.4.

Las autoridades de homologación que reciben la información a que se refiere el punto 5.3.2 podrán formular observaciones a la autoridad de homologación notificante, incorporándolas a la base de datos DETA en los catorce días posteriores a la notificación.

5.3.5.

Si la autoridad de homologación otorgante no puede tener en cuenta las observaciones recibidas de acuerdo con el punto 5.3.4, las autoridades de homologación que hayan enviado las observaciones y la autoridad de homologación otorgante solicitarán aclaraciones adicionales de conformidad con el anexo 6 del Acuerdo de 1958. El correspondiente Grupo de trabajo auxiliar (4) del Foro Mundial para la Armonización de la Reglamentación sobre Vehículos (WP.29) para el presente Reglamento acordará una interpretación común de los métodos y los criterios de evaluación (5). Se aplicará dicha interpretación común y todas las autoridades de homologación expedirán en consecuencia homologaciones de tipo en virtud del presente Reglamento.

5.3.6.

Cada autoridad de homologación que conceda una homologación de tipo con arreglo al presente Reglamento notificará a otras autoridades de homologación la homologación concedida. La autoridad de homologación incorporará la homologación de tipo junto con la documentación complementaria, en lengua inglesa, a la base de datos DETA en un plazo de catorce días a partir de la fecha de concesión de la homologación (6).

5.3.7.

Las Partes contratantes podrán estudiar las homologaciones concedidas sobre la base de la información incorporada con arreglo al punto 5.3.6. En caso de que haya opiniones divergentes entre las Partes contratantes, estas se resolverán de acuerdo con el artículo 10 y el anexo 6 del Acuerdo de 1958. Las Partes contratantes también informarán al correspondiente Grupo de trabajo auxiliar del Foro Mundial para la Armonización de la Reglamentación sobre Vehículos (WP.29) sobre las interpretaciones divergentes en el sentido del anexo 6 del Acuerdo de 1958. El Grupo de trabajo pertinente asistirá en la conciliación de las opiniones divergentes y podrá consultar con el WP.29 sobre este punto si fuera necesario.

5.4.

A efectos del punto 7.2 del presente Reglamento, el fabricante velará por que se apliquen los aspectos de ciberseguridad contemplados en el presente Reglamento.

6. CERTIFICADO DE CONFORMIDAD DEL SISTEMA DE GESTIÓN DE LA CIBERSEGURIDAD

6.1.

Las Partes contratantes designarán una autoridad de homologación para que lleve a cabo la evaluación del fabricante y expida un certificado de conformidad del sistema de gestión de la ciberseguridad.

6.2.

La solicitud de un certificado de conformidad del sistema de gestión de la ciberseguridad será presentada por el fabricante del vehículo o por su representante debidamente acreditado.

6.3.

Dicha solicitud deberá ir acompañada de los documentos que se mencionan a continuación, por triplicado, así como de los elementos siguientes:

6.3.1.

documentos que describan el sistema de gestión de la ciberseguridad;

6.3.2.

una declaración firmada conforme al modelo definido en el apéndice 1 del anexo 1.

6.4.

En el contexto de la evaluación, el fabricante declarará haber utilizado el modelo definido en el apéndice 1 del anexo 1, y demostrará a satisfacción de la autoridad de homologación o de su servicio técnico que cuenta con los procesos necesarios para cumplir todos los requisitos del presente Reglamento en lo que respecta a la ciberseguridad.

6.5.

Cuando dicha evaluación se haya realizado de forma satisfactoria y se haya recibido una declaración firmada del fabricante conforme al modelo definido en el apéndice 1 del anexo 1, se otorgará al fabricante un certificado de conformidad del sistema de gestión de la ciberseguridad tal y como se describe en el anexo 4 del presente Reglamento.

6.6.

La autoridad de homologación o su servicio técnico utilizarán el modelo establecido en el anexo 4 del presente Reglamento para el certificado de conformidad del sistema de gestión de la ciberseguridad.

6.7.

El certificado de conformidad del sistema de gestión de la ciberseguridad tendrá una validez de un máximo de tres años a partir de la fecha de su expedición, a menos que sea retirado.

6.8.

La autoridad de homologación que haya concedido el certificado de conformidad del sistema de gestión de la ciberseguridad podrá verificar, en cualquier momento, que se siguen cumpliendo los requisitos para su concesión. La autoridad de homologación retirará dicho certificado si dejan de cumplirse los requisitos establecidos en el presente Reglamento.

6.9.

El fabricante informará a la autoridad de homologación o a su servicio técnico de cualquier modificación que afecte a la pertinencia del certificado de conformidad del sistema de gestión de la ciberseguridad. Tras consultar al fabricante, la autoridad de homologación o su servicio técnico decidirán si es necesario realizar nuevos controles.

6.10.

A su debido tiempo, permitiendo a la autoridad de homologación completar su evaluación antes del fin del período de validez del certificado de conformidad del sistema de gestión de la ciberseguridad, el fabricante solicitará uno nuevo o la extensión de un certificado existente. Tras una evaluación positiva, la autoridad de homologación expedirá un nuevo certificado de conformidad del sistema de gestión de la ciberseguridad o ampliará la validez del existente durante un periodo adicional de tres años. La autoridad de homologación verificará que el sistema de gestión de la ciberseguridad sigue cumpliendo los requisitos del presente Reglamento. La autoridad de homologación expedirá un nuevo certificado cuando ella o su servicio técnico hayan tenido conocimiento de cambios y dichos cambios se hayan reevaluado de forma positiva.

6.11.

El vencimiento o la retirada del certificado de conformidad del sistema de gestión de la ciberseguridad del fabricante se considerarán, en lo que respecta a los tipos de vehículos para los que es pertinente el sistema de gestión de la ciberseguridad, una modificación de la homologación a que se refiere el punto 8, que podrá incluir la retirada de la homologación si han dejado de cumplirse las condiciones para su concesión.

7. ESPECIFICACIONES

7.1.

Especificaciones generales

7.1.1.

Los requisitos del presente Reglamento no limitarán las disposiciones o los requisitos de otros Reglamentos de las Naciones Unidas.

7.2.

Requisitos relativos al sistema de gestión de la ciberseguridad

7.2.1.

Para la evaluación, la autoridad de homologación o su servicio técnico verificarán que el fabricante del vehículo cuenta con un sistema de gestión de la ciberseguridad, así como la conformidad de dicho sistema con el presente Reglamento.

7.2.2.

El sistema de gestión de la ciberseguridad cubrirá los siguientes aspectos:

7.2.2.1.

el fabricante del vehículo demostrará a una autoridad de homologación o servicio técnico que su sistema de gestión de la ciberseguridad se aplica a las siguientes fases:

a)	la fase de desarrollo;

b)	la fase de producción:

c)	la fase de posproducción.

7.2.2.2.

El fabricante del vehículo demostrará que los procesos utilizados en su sistema de gestión de la ciberseguridad garantizan una consideración adecuada de la seguridad, incluidos los riesgos y las medidas de mitigación enumerados en el anexo 5. Se considerarán:

a)	los procesos utilizados en la organización del fabricante para gestionar la ciberseguridad;

b)	los procesos utilizados para detectar los riesgos para los tipos de vehículos. Dentro de dichos procesos, se tendrán en cuenta las amenazas indicadas en la parte A del anexo 5 y otras amenazas pertinentes;

c)	los procesos utilizados para la evaluación, la clasificación y el tratamiento de los riesgos detectados;

d)	los procesos existentes para verificar que los riesgos detectados se gestionan adecuadamente;

e)	los procesos utilizados para comprobar la ciberseguridad de un tipo de vehículo;

f)	los procesos utilizados para garantizar que la evaluación de riesgos se mantiene actualizada;

los procesos utilizados para supervisar, detectar y responder a los ciberataques, las ciberamenazas y las vulnerabilidades que afectan a los tipos de vehículos, y los procesos utilizados para determinar si las medidas de ciberseguridad siguen siendo eficaces a la luz de nuevas las ciberamenazas y vulnerabilidades que se han detectado;

h)	los procesos utilizados para facilitar los datos pertinentes que respalden el análisis de los intentos de ciberataques o de los ciberataques consumados.

7.2.2.3.

El fabricante del vehículo demostrará que los procesos utilizados en su sistema de gestión de la ciberseguridad garantizarán que, sobre la base de la clasificación a que se refiere el punto 7.2.2.2, letras c) y g), las ciberamenazas y las vulnerabilidades que requieren por su parte se mitigan en un plazo razonable.

7.2.2.4.

El fabricante del vehículo demostrará que los procesos utilizados en el marco de su sistema de gestión de la ciberseguridad garantizarán que la supervisión a que se refiere el punto 7.2.2.2, letra g), sea continua. Esta condición:

a)	incluirá en la supervisión los vehículos después de la primera matriculación;

incluirá la capacidad para analizar y detectar ciberamenazas, vulnerabilidades y ciberataques a partir de los datos del vehículo y de los registros del vehículo. Esta capacidad respetará el punto 1.3 y los derechos de privacidad de los propietarios o los conductores del vehículo, en particular en lo referente al consentimiento.

7.2.2.5.

El fabricante del vehículo deberá mostrar la forma en que su sistema de gestión de la ciberseguridad gestionará las dependencias que puedan existir con proveedores contratados, proveedores de servicios o suborganizaciones del fabricante en lo que respecta a los requisitos del punto 7.2.2.2.

7.3.

Requisitos relativos a los tipos de vehículos

7.3.1.

El fabricante contará con un certificado de conformidad del sistema de gestión de la ciberseguridad válido pertinente para el tipo de vehículo sujeto a homologación.

No obstante, en el caso de homologaciones de tipo anteriores al 1 de julio de 2024, si el fabricante del vehículo puede demostrar que el tipo de vehículo no se pudo desarrollar de conformidad con el sistema de gestión de la ciberseguridad, deberá demostrar entonces que la ciberseguridad se tuvo en cuenta de forma adecuada durante la fase de desarrollo del tipo de vehículo en cuestión.

7.3.2.

El fabricante del vehículo determinará y gestionará los riesgos relacionados con el proveedor para el tipo de vehículo sujeto a homologación.

7.3.3.

El fabricante del vehículo determinará los elementos críticos del tipo de vehículo y realizará una evaluación de riesgos exhaustiva para dicho tipo y tratará o gestionará los riesgos detectados de forma adecuada. La evaluación de riesgos tendrá en cuenta los elementos individuales del tipo de vehículo y sus interacciones. La evaluación de riesgos tendrá en cuenta también las interacciones con cualquier otro sistema externo. Al evaluar los riesgos, el fabricante del vehículo tendrá en cuenta los riesgos relacionados con todas las amenazas a que se refiere la parte A del anexo 5, así como cualquier otro riesgo pertinente.

7.3.4.

El fabricante del vehículo protegerá el tipo de vehículo contra los riesgos detectados en la evaluación de riesgos que haya realizado. Se adoptarán medidas de mitigación proporcionadas para proteger el tipo de vehículo. Las medidas de mitigación aplicadas incluirán todas las medidas de este tipo a que se refieren las partes B y C del anexo 5 que sean pertinentes para los riesgos detectados. No obstante, si una medida de mitigación mencionada en la parte A o B del anexo 5 no es pertinente o suficiente para el riesgo detectado, el fabricante del vehículo se asegurará de que se aplique otra medida de mitigación adecuada.

En particular, en el caso de las homologaciones de tipo anteriores al 1 de julio de 2024, el fabricante del vehículo se asegurará de que se aplique otra medida de mitigación adecuada si una medida de mitigación mencionada en las partes B o C del anexo 5 no es técnicamente viable. El fabricante facilitará a la autoridad de homologación la correspondiente evaluación de la viabilidad técnica.

7.3.5.

El fabricante del vehículo adoptará medidas adecuadas y proporcionadas para garantizar entornos específicos seguros en el tipo de vehículo (si se incluyen) para el almacenaje y la ejecución del software, servicios, aplicaciones o datos postventa.

7.3.6.

El fabricante del vehículo llevará a cabo, antes de la homologación de tipo, ensayos adecuados y suficientes para verificar la eficacia de las medidas de seguridad aplicadas.

7.3.7.

El fabricante del vehículo aplicará medidas para el tipo de vehículo a fin de:

a)	detectar y prevenir ciberataques contra los vehículos del tipo de vehículo;

b)	respaldar la capacidad de supervisión del fabricante del vehículo en lo que respecta a la detección de amenazas, vulnerabilidades y ciberataques relacionados con el tipo de vehículo;

c)	proporcionar capacidad forense en relación con los datos a fin de permitir el análisis de los intentos de ciberataques o de los ciberataques consumados.

7.3.8.

Los módulos criptográficos utilizados a los efectos del presente Reglamento estarán en consonancia con normas consensuadas. Si los módulos criptográficos utilizados no están en consonancia con normas consensuadas, el fabricante del vehículo deberá justificar su uso.

7.4.

Disposiciones relativas a la notificación

7.4.1.

El fabricante del vehículo notificará al menos una vez al año, o con más frecuencia si fuera pertinente, a la autoridad de homologación o al servicio técnico el resultado de sus actividades de supervisión definidas en el punto 7.2.2.2, letra g), incluida la información pertinente sobre nuevos ciberataques. El fabricante del vehículo también notificará y confirmará a la autoridad de homologación o al servicio técnico que las medidas de mitigación en materia de ciberseguridad aplicadas a sus tipos de vehículos siguen siendo eficaces, así como las medidas adicionales adoptadas.

7.4.2.

La autoridad de homologación o el servicio técnico verificarán la información facilitada y, de ser necesario, exigirán al fabricante del vehículo que subsane cualquier ineficacia.

Si la notificación o la respuesta no son suficientes, la autoridad de homologación podrá decidir retirar el certificado de conformidad del sistema de gestión de la ciberseguridad de acuerdo con el punto 6.8.

8. MODIFICACIÓN DEL TIPO DE VEHÍCULO Y EXTENSIÓN DE LA HOMOLOGACIÓN DE TIPO

8.1.

Toda modificación del tipo de vehículo que afecte a su rendimiento técnico en lo que respecta a la ciberseguridad o de la documentación exigida por el presente Reglamento se notificará a la autoridad de homologación que homologó el tipo de vehículo. Esta podrá entonces:

8.1.1.

considerar que las modificaciones realizadas siguen cumpliendo los requisitos y la documentación de la homologación de tipo existente; o

8.1.2.

proceder a la evaluación complementaria que sea necesaria en virtud del punto 5 y requerir, cuando proceda, otro informe de ensayo del servicio técnico responsable de la realización de los ensayos.

8.1.3.

La confirmación, la extensión o la denegación de la homologación, especificando las alteraciones, se comunicará mediante un formulario de comunicación conforme al modelo que figura en el anexo 2 del presente Reglamento. La autoridad de homologación que expida la extensión de la homologación asignará un número de serie a dicha extensión e informará de ello a las demás Partes del Acuerdo de 1958 que apliquen el presente Reglamento por medio de un formulario de comunicación conforme al modelo que figura en el anexo 2 del presente Reglamento.

9. CONFORMIDAD DE LA PRODUCCIÓN

9.1.

Los procedimientos de conformidad de la producción se ajustarán a los establecidos en el anexo 1 del Acuerdo de 1958 (E/ECE//TRANS/505/Rev.3) y cumplirán los requisitos que se exponen a continuación:

9.1.1.

el titular de la homologación deberá garantizar que los resultados de los ensayos de conformidad de la producción se registran y que los documentos anejos están disponibles durante un período que se determinará de común acuerdo con la autoridad de homologación o su servicio técnico. Dicho período no será superior a diez años a partir del momento en que se produzca el cese definitivo de la producción;

9.1.2.

la autoridad de homologación que haya concedido la homologación de tipo podrá verificar en cualquier momento los métodos de control de la conformidad aplicados en cada unidad de producción. La frecuencia normal de esas verificaciones será de una vez cada tres años.

10. SANCIONES POR FALTA DE CONFORMIDAD DE LA PRODUCCIÓN

10.1.

La homologación concedida con respecto a un tipo de vehículo con arreglo al presente Reglamento podrá retirarse si no se cumplen los requisitos que figuran en él o si los vehículos de la muestra no cumplen los requisitos del presente Reglamento.

10.2.

Cuando una autoridad de homologación retire una homologación que haya concedido previamente, informará de ello de forma inmediata a las demás Partes contratantes que apliquen el presente Reglamento mediante un formulario de comunicación conforme al modelo que figura en el anexo 2 del presente Reglamento.

11. CESE DEFINITIVO DE LA PRODUCCIÓN

11.1.

Si el titular de una homologación cesa por completo de fabricar un tipo de vehículo homologado con arreglo al presente Reglamento, informará de ello a la autoridad que concedió la homologación. Tras recibir la correspondiente comunicación, dicha autoridad deberá informar de ello a las demás Partes contratantes del Acuerdo que apliquen el presente Reglamento mediante una copia del formulario de homologación al final de la cual figurará en grandes caracteres la indicación firmada y fechada «CESE DE LA PRODUCCIÓN».

12. NOMBRES Y DIRECCIONES DE LOS SERVICIOS TÉCNICOS RESPONSABLES DE REALIZAR LOS ENSAYOS DE HOMOLOGACIÓN Y DE LAS AUTORIDADES DE HOMOLOGACIÓN DE TIPO

12.1.

Las Partes contratantes del Acuerdo que apliquen el presente Reglamento deberán comunicar a la Secretaría de las Naciones Unidas el nombre y la dirección de los servicios técnicos encargados de realizar los ensayos de homologación y de las autoridades de homologación de tipo que concedan la homologación y a las cuales deban remitirse los formularios expedidos en otros países que certifiquen la concesión, extensión, denegación o retirada de la homologación.

(1) Por ejemplo, ISO 26262-2018, ISO/PAS 21448 e ISO/SAE 21434.

(2) https://www.unece.org/trans/main/wp29/datasharing.html

(3) Las orientaciones sobre la información detallada (p. ej., el método, los criterios y el nivel de rendimiento) que debe incorporarse, así como el formato, se facilitarán en el documento interpretativo que el Grupo de estudio sobre ciberseguridad y cuestiones de transmisión inalámbrica está elaborando para la séptima sesión del Grupo de trabajo sobre vehículos automatizados/autónomos y conectados (GRVA).

(4) El Grupo de trabajo sobre vehículos automatizados/autónomos y conectados (GRVA).

(5) Esta interpretación se reflejará en el documento interpretativo a que se refiere la nota a pie de página del punto 5.3.3.

(6) El GRVA elaborará más información sobre los requisitos mínimos de documentación durante su séptima sesión.

ANEXO 1

Ficha técnica

La información que figura a continuación deberá presentarse, en su caso, por triplicado e ir acompañada de un índice de contenidos. Los planos que vayan a entregarse se presentarán a la escala adecuada, suficientemente detallados y en formato A4 o doblados de forma que se ajusten a dicho formato. Si se presentan fotografías, deberán ser suficientemente detalladas.

Marca (nombre comercial del fabricante): …

Tipo y denominación(es) comercial(es) general(es): …

Medio de identificación del tipo, si está marcado en el vehículo: …

Ubicación de esa marca: …

Categoría(s) de vehículo: …

Nombre y dirección del fabricante o del representante del fabricante: …

Nombre y dirección de la(s) planta(s) de montaje: …

Fotografía(s) o plano(s) de un vehículo representativo: …

Ciberseguridad

9.1.

Características generales de fabricación del tipo de vehículo, entre ellas:

a)	los sistemas del vehículo que sean pertinentes para la ciberseguridad del tipo de vehículo;

b)	los componentes de dichos sistemas que sean pertinentes para la ciberseguridad;

c)	las interacciones de dichos sistemas con otros sistemas dentro del tipo de vehículo y las interfaces externas.

9.2.

Una representación esquemática del tipo de vehículo.

9.3.

El número del certificado de conformidad del sistema de gestión de la ciberseguridad: …

9.4.

Documentos, relativos al tipo de vehículo cuya homologación se solicita, en los que se describe el resultado de la evaluación de riesgos y los riesgos detectados: …

9.5.

Documentos, relativos al tipo de vehículo cuya homologación se solicita, en los que se describen las medidas de mitigación que se han aplicado en los sistemas enumerados o en el tipo de vehículo y la forma en que estas abordan los riesgos indicados: …

9.6.

Documentos, relativos al tipo de vehículo cuya homologación se solicita, en los que se describe la protección de los entornos específicos previstos para el software, servicios, aplicaciones o datos postventa: …

9.7.

Documentos, relativos al tipo de vehículo cuya homologación se solicita, en los que se describen los ensayos realizados para verificar la ciberseguridad del tipo de vehículo y sus sistemas, y el resultado de dichos ensayos: …

9.8.

Descripción de la consideración de la cadena de suministro con respecto a la ciberseguridad: …

Apéndice 1 del Anexo 1

Modelo de la declaración de conformidad del sistema de gestión de la ciberseguridad del fabricante

Declaración de conformidad del fabricante con los requisitos del sistema de gestión de la ciberseguridad

Nombre del fabricante: …

Dirección del fabricante: …

… (nombre del fabricante) atestigua que se han instalado y se mantendrán los procesos necesarios para cumplir con los requisitos del sistema de gestión de la ciberseguridad establecidos en el punto 7.2 del Reglamento n.o 155 de las Naciones Unidas.………

Hecho en: … (lugar)

Fecha: …

Nombre del firmante: …

Cargo del firmante: …

…

(Sello y firma del representante del fabricante)

ANEXO 2

Comunicación

[Formato máximo: A4 (210 × 297 mm)]

(1)

Expedida por:

Nombre de la administración:

…

relativa a (2)

La concesión de la homologación

La extensión de la homologación

La retirada de la homologación con efecto a partir del dd/mm/aaaa

La denegación de la homologación

Cese definitivo de la producción

de un tipo de vehículo con arreglo al Reglamento n.o 155 de las Naciones Unidas

N.o de homologación: …

N.o de extensión: …

Motivos de la extensión: …

Marca (nombre comercial del fabricante): …

Tipo y denominación(es) comercial(es) general(es) …

Medio de identificación del tipo, si está marcado en el vehículo: …

3.1.

Ubicación de esa marca: …

Categoría(s) de vehículo: …

Nombre y dirección del fabricante o del representante del fabricante: …

Nombre y dirección de la(s) planta(s) de montaje: …

Número del certificado de conformidad del sistema de gestión de la ciberseguridad: …

Servicio técnico encargado de realizar los ensayos: …

Fecha del informe de ensayo: …

10.

Número del informe de ensayo: …

11.

Observaciones: (en su caso). …

12.

Lugar: …

13.

Fecha: …

14.

Firma: …

15.

Se adjunta el índice del expediente de homologación en posesión de la autoridad de homologación, que puede obtenerse a petición del interesado:

(1) Táchese lo que no proceda.

(2) Número distintivo del país que ha concedido/extendido/denegado/retirado la homologación (véanse las disposiciones del Reglamento relativas a la homologación).:

ANEXO 3

Disposición de la marca de homologación

MODELO A

(Véase el punto 4.2 del presente Reglamento)

a = 8 mm mín.

Esta marca de homologación colocada en un vehículo indica que el tipo de vehículo de carretera en cuestión ha sido homologado en los Países Bajos (E4), con arreglo al Reglamento n.o 155 y con el número de homologación 001234. Los dos primeros dígitos del número de homologación indican que esta fue concedida de conformidad con los requisitos del presente Reglamento en su forma original (00).

ANEXO 4

Modelo de certificado de conformidad del sistema de gestión de la ciberseguridad

Certificado de conformidad del sistema de gestión de la ciberseguridad

con el Reglamento n.o 155 de las Naciones Unidas

Número del certificado [Número de referencia]

[……. Autoridad de homologación]

Certifica que

Fabricante: …

Dirección del fabricante: …

cumple con lo dispuesto en el punto 7.2 del Reglamento n.o 155

Los controles fueron realizados el día: …

por (nombre y dirección de la autoridad de homologación o el servicio técnico): …

Número del informe: …

El certificado será válido hasta el […………………………………………………fecha]

Hecho en […………………………………………………lugar]

el […………………………………………………fecha]

[…………………………………………………Firma]

Anexos: descripción del sistema de gestión de la ciberseguridad por el fabricante.

ANEXO 5

Lista de amenazas y sus correspondientes medidas de mitigación

Este anexo consta de tres partes. En la parte A se describe la línea de base de las amenazas, las vulnerabilidades y los métodos de ataque. En la parte B se describen las medidas de mitigación de las amenazas previstas para los tipos de vehículos. En la parte C se describen las medidas de mitigación de las amenazas previstas para aspectos ajenos al vehículo, por ejemplo, en back-ends de TI.

La parte A, la parte B y la parte C se tendrán en cuenta para las evaluaciones de riesgos y las medidas de mitigación que aplicarán los fabricantes de los vehículos.

En la parte A se han indexado las vulnerabilidades de alto nivel con sus correspondientes ejemplos. Se hace referencia a la misma indexación en los cuadros de las partes B y C para vincular cada ataque/vulnerabilidad con una lista de medidas de mitigación correspondientes.

En el análisis de las amenazas también se tendrán en cuenta los posibles efectos de los ataques. Esto puede ayudar a determinar la gravedad de un riesgo y a detectar riesgos adicionales. Los posibles efectos de un ataque pueden ser:

a)	afectación del funcionamiento seguro del vehículo;

b)	interrupción del funcionamiento de las funciones del vehículo;

c)	modificación del software y alteración del rendimiento;

d)	alteración del software pero sin efectos en el funcionamiento;

e)	violación de la integridad de los datos;

f)	violación de la confidencialidad de los datos;

g)	perdida de disponibilidad de los datos;

h)	otros, incluida la delincuencia.

Parte A. Vulnerabilidad o método de ataque relacionados con las amenazas

En el cuadro A1 se ofrecen descripciones generales de las amenazas y de la vulnerabilidad o el método de ataque relacionados con ellas

Cuadro A1

Lista de vulnerabilidades o métodos de ataque relacionados con las amenazas

Descripciones generales y específicas de vulnerabilidades/amenazas

Ejemplo de vulnerabilidad o método de ataque

4.3.1.

Amenazas relativas a los servidores back-end en relación con vehículos sobre el terreno

Servidores back-end utilizados como medio para atacar un vehículo o extraer datos

1.1

Abuso de privilegios por parte del personal (ataque interno)

1.2

Acceso no autorizado al servidor a través de Internet (posibilitado, por ejemplo, por backdoors, vulnerabilidades de un software del sistema sin parches, ataques SQL u otros medios)

1.3

Acceso físico no autorizado al servidor (por ejemplo, mediante memorias USB u otros medios de conexión al servidor)

Interrupción de los servicios del servidor back-end, lo que afecta al funcionamiento de un vehículo

2.1

El ataque al servidor back-end interrumpe su funcionamiento, por ejemplo evita que interactúe con los vehículos y les preste servicios de los que dependen

Los datos relacionados con el vehículo que se almacenan en los servidores back-end se pierden o se ven comprometidos («violación de la seguridad de los datos»)

3.1

Abuso de privilegios por parte del personal (ataque interno)

3.2

Pérdida de información en la nube. Pueden perderse datos sensibles debido a ataques o accidentes cuando el almacenamiento de los datos corre a cargo de terceros proveedores de servicios en la nube

3.3

Acceso no autorizado al servidor a través de Internet (posibilitado, por ejemplo, por backdoors, vulnerabilidades de un software del sistema sin parches, ataques SQL u otros medios)

3.4

Acceso físico no autorizado al servidor (por ejemplo, mediante memorias USB u otros medios de conexión al servidor)

3.5

Violación de la seguridad de los datos por un intercambio de datos no intencionado (p. ej., errores administrativos)

4.3.2.

Amenazas a vehículos por lo que respecta a sus canales de comunicación

Falsificación de los mensajes o datos recibidos por el vehículo

4.1

Falsificación de mensajes por suplantación de identidad (p. ej., 802.11p V2X durante la marcha en pelotón, mensajes GNSS, etc.)

4.2

Ataque Sybil (a fin de suplantar la identidad de otros vehículos como si hubiera muchos vehículos en la carretera)

Canales de comunicación utilizados para llevar a cabo una manipulación, eliminación u otras modificaciones no autorizadas del código o los datos almacenados por el vehículo

5.1

Los canales de comunicación permiten la introducción de un código, por ejemplo, se puede introducir un código binario de software manipulado en el flujo de comunicación

5.2

Los canales de comunicación permiten la manipulación de los datos o el código almacenados por el vehículo

5.3

Los canales de comunicación permiten sobreescribir los datos o el código almacenados por el vehículo

5.4

Los canales de comunicación permiten borrar los datos o el código almacenados por el vehículo

5.5

Los canales de comunicación permiten introducir datos o el código en el vehículo (escritura de datos/código)

Los canales de comunicación permiten aceptar mensajes poco fiables o que no son de confianza o son vulnerables a secuestro de sesión o ataques de repetición

6.1

Aceptación de información de una fuente poco fiable o que no es de confianza

6.2

Ataque de intermediario / secuestro de sesión

6.3

Ataque de repetición, por ejemplo un ataque contra una pasarela de comunicación permite al atacante devolver a una versión anterior el software de una unidad de control electrónico o el firmware de la pasarela

La información puede divulgarse fácilmente. Por ejemplo, mediante la interceptación de las comunicaciones o permitiendo el acceso no autorizado a archivos o carpetas confidenciales

7.1

Interceptación de la información / radiaciones interferentes / control de las comunicaciones

7.2

Obtención de acceso no autorizado a archivos o datos

Ataques de denegación de servicio a través de canales de comunicación para alterar las funciones del vehículo

8.1

Envío de una gran cantidad de datos inútiles al sistema de información del vehículo para que este no pueda prestar servicios de la forma habitual

8.2

Ataque de agujero negro para interrumpir la comunicación entre vehículos; el atacante puede bloquear los mensajes entre los vehículos

Un usuario sin privilegios puede obtener acceso privilegiado a los sistemas del vehículo

9.1

Un usuario sin privilegios puede obtener acceso privilegiado, por ejemplo acceso root

Los virus integrados en los medios de comunicación pueden infectar los sistemas del vehículo

10.1

Un virus integrado en los medios de comunicación infecta los sistemas del vehículo

Los mensajes recibidos por el vehículo (por ejemplo, mensajes X2V o mensajes de diagnóstico) o transmitidos en él contienen contenido malicioso

11.1

Mensajes internos (p. ej., CAN) maliciosos

11.2

Mensajes V2X maliciosos, p. ej., mensajes de infraestructura a vehículo o de vehículo a vehículo (p. ej., CAM, DENM)

11.3

Mensajes de diagnóstico maliciosos

11.4

Mensajes propietarios maliciosos (p. ej., los que normalmente se envían desde el fabricante de equipo original o el proveedor de componentes/sistemas/funciones)

4.3.3.

Amenazas a vehículos con respecto a sus procedimientos de actualización

Uso incorrecto o compromiso de los procedimientos de actualización

12.1

Compromiso de los procedimientos inalámbricos de actualización de software. Esto incluye la falsificación del programa de actualización del sistema o firmware

12.2

Compromiso de los procedimientos locales/físicos de actualización de software. Esto incluye la falsificación del programa de actualización del sistema o firmware

12.3

El software se manipula antes del proceso de actualización (y está, por tanto, corrompido), aunque el proceso de actualización esté intacto

12.4

Compromiso de las claves criptográficas del proveedor de software para permitir una actualización inválida

Es posible denegar actualizaciones legítimas

13.1

Ataque de denegación de servicio contra un servidor o red de actualización para impedir el lanzamiento de actualizaciones de software crítico o el desbloqueo de características específicas del cliente

4.3.4.

Amenazas a vehículos con respecto a acciones humanas involuntarias que facilitan un ciberataque

Actores legítimos pueden actuar de forma que se facilita involuntariamente un ciberataque

15.1

Se engaña a una víctima inocente (p. ej., un propietario, un operario o un ingeniero de mantenimiento) para que inicie una acción de tal manera que, de forma no intencionada, cargue software malicioso o permita un ataque

15.2

No se siguen los procedimientos de seguridad definidos

4.3.5.

Amenazas a vehículos con respecto a su conectividad externa y sus conexiones externas

La manipulación de la conectividad de las funciones del vehículo permite un ciberataque que puede incluir los sistemas telemáticos; los sistemas que permiten operaciones remotas; y los sistemas que utilizan comunicaciones inalámbricas de corto alcance

16.1

Manipulación de las funciones diseñadas para operar los sistemas a distancia, como una llave de control remoto, un inmovilizador y una estación de carga

16.2

Manipulación de los sistemas telemáticos del vehículo (p. ej., manipulación de la medición de la temperatura de mercancías delicadas, desbloqueo remoto de puertas de carga)

16.3

Interferencia con sensores o sistemas inalámbricos de corto alcance

Software alojado por terceros, p. ej., aplicaciones de entretenimiento utilizadas como medio para atacar los sistemas de vehículo

17.1

Aplicaciones corruptas o aplicaciones con una mala seguridad de software utilizadas como método para atacar los sistemas del vehículo

Dispositivos conectados a interfaces externas, p. ej., puertos USB, puerto OBD, utilizados como medio para atacar los sistemas del vehículo

18.1

Interfaces externas como puertos USB u otros puertos utilizadas como punto de ataque, por ejemplo, mediante la introducción de un código

18.2

Medios infectados con un virus conectados al vehículo

18.3

Uso del acceso al diagnóstico (p. ej., mochilas en el puerto ODB) para facilitar un ataque, p. ej., para manipular los parámetros del vehículo (de manera directa o indirecta)

4.3.6.

Amenazas a los datos o el código del vehículo

Extracción de los datos o el código del vehículo

19.1

Extracción de software propietario o protegido con derechos de autor de los sistemas del vehículo (piratería)

19.2

Acceso no autorizado a la información personal del propietario, como su identidad, información sobre cuentas de pago, información sobre sus contactos, información sobre la ubicación, identificación electrónica del vehículo, etc.

19.3

Extracción de claves criptográficas

Manipulación de los datos o el código del vehículo

20.1

Cambios ilícitos o no autorizados en la identificación electrónica del vehículo

20.2

Fraude de identidad. Por ejemplo, si un usuario desea mostrar otra identidad cuando se comunica con sistemas de peaje, un back-end del fabricante

20.3

Acción para eludir los sistemas de supervisión (p. ej., piratear/manipular/bloquear mensajes como los datos del dispositivo de seguimiento ODR-Tracker o el número de ejecuciones)

20.4

Manipulación de datos para falsificar los datos de conducción del vehículo (p. ej., kilometraje, velocidad de conducción, instrucciones de conducción, etc.)

20.5

Cambios no autorizados en los datos de diagnóstico del sistema

Borrado de datos o de código

21.1

Borrado o manipulación no autorizados de los registros de eventos del sistema

Introducción de software malicioso

22.2

Introducción de software malicioso o actividad de software malicioso

Introducción de software nuevo o sobreescritura de software ya existente

23.1

Fabricación de software del sistema de control o del sistema de información del vehículo

Alteración de sistemas u operaciones

24.1

Denegación del servicio, por ejemplo, esta acción puede desencadenarse en la red interna mediante la inundación de un bus CAN o la provocación de fallos en una unidad de control electrónico a través de una alta tasa de mensajes

Manipulación de los parámetros del vehículo

25.1

Acceso no autorizado para falsificar los parámetros de configuración de las funciones clave del vehículo, como los datos de freno, el umbral de despliegue de los airbags, etc.

25.2

Acceso no autorizado para falsificar los parámetros de carga, como la tensión de carga, la potencia de carga, la temperatura de la batería, etc.

4.3.7.

Posibles vulnerabilidades que podrían explotarse si no se protegen o se refuerzan de forma suficiente

Las tecnologías criptográficas pueden verse comprometidas o no se aplican lo suficiente

26.1

La combinación de claves de cifrado cortas y un período de validez largo permite al atacante descifrar las claves del sistema de cifrado

26.2

Uso insuficiente de algoritmos criptográficos para proteger sistemas sensibles

26.3

Uso de algoritmos criptográficos que ya están obsoletos o lo estarán pronto

Las piezas o los suministros podrían verse comprometidos y permitir el ataque de los vehículos

27.1

Hardware o software diseñados para permitir un ataque o que no cumplen los criterios de diseño para detener un ataque

El desarrollo de software o hardware permite vulnerabilidades

28.1

Errores de software. La presencia de errores de software puede ser la base de posibles vulnerabilidades aprovechables. Esto se aplica sobre todo si el software no se ha probado para verificar que no contiene un mal código conocido o errores conocidos y reducir el riesgo de que contenga un mal código desconocido o errores desconocidos

28.2

El uso de restos de la fase de desarrollo (p. ej., puertos de depuración, puertos JTAG, microprocesadores, certificados de desarrollo, contraseñas de desarrolladores, etc.) puede permitir el acceso a unidades de control electrónico o permitir a los atacantes obtener mayores privilegios

El diseño de la red introduce vulnerabilidades

29.1

Puertos de Internet que se dejan abiertos y dan acceso a sistemas de redes

29.2

Eludir la separación de redes para obtener el control Un ejemplo específico es el uso de puntos de acceso o pasarelas no protegidas (como pasarelas camión-remolque) para eludir las protecciones y obtener acceso a otros segmentos de la red con vistas a llevar a cabo actos malintencionados, como enviar mensajes de bus CAN arbitrarios

Puede producirse una transmisión de datos no deseada

31.1

Violación de la seguridad de los datos. Pueden filtrarse datos personales cuando el coche cambia de usuario (p. ej., cuando se vende o se usa como vehículo de alquiler con nuevos arrendatarios)

La manipulación física de los sistemas puede posibilitar un ataque

32.1

Manipulación del hardware electrónico, p. ej., la instalación de hardware electrónico no autorizado en un vehículo para posibilitar un ataque de intermediario

Sustitución de hardware electrónico autorizado (p. ej., sensores) por hardware electrónico no autorizado

Manipulación de la información recogida por un sensor (por ejemplo, utilizando un imán para manipular el sensor de efecto Hall conectado a la caja de cambios)

Parte B. Medidas de mitigación de las amenazas dirigidas a vehículos

Medidas de mitigación para los «canales de comunicación del vehículo»

Las medidas de mitigación de las amenazas relacionadas con los «canales de comunicación del vehículo» se enumeran en el cuadro B1

Cuadro B1

Medidas de mitigación de las amenazas relacionadas con los «canales de comunicación del vehículo»

Referencia al cuadro A1	Amenazas para los «canales de comunicación del vehículo»	Ref.	Medida de mitigación
4.1	Falsificación de mensajes (p. ej., 802.11p V2X durante la marcha en pelotón, mensajes GNSS, etc.) mediante la suplantación de identidad	M10	El vehículo verificará la autenticidad e integridad de los mensajes que recibe
4.2	Ataque Sybil (a fin de suplantar la identidad de otros vehículos como si hubiera muchos vehículos en la carretera)	M11	Se implantarán controles de seguridad para almacenar claves criptográficas (p. ej., uso de módulos de seguridad de hardware)
5.1	Los canales de comunicación permiten la introducción de un código en los datos o el código del vehículo, por ejemplo, se puede introducir un código binario de software en el flujo de comunicación	M10 M6	El vehículo verificará la autenticidad e integridad de los mensajes que recibe Los sistemas incorporarán seguridad desde el diseño para minimizar riesgos
5.2	Los canales de comunicación permiten la manipulación de los datos o el código almacenados por el vehículo	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos y el código del sistema
5.3	Los canales de comunicación permiten sobreescribir los datos o el código almacenados por el vehículo
5.4 21.1	Los canales de comunicación permiten borrar los datos o el código almacenados por el vehículo
5.5	Los canales de comunicación permiten introducir datos o un código en los sistemas del vehículo (escribir código de datos)
6.1	Aceptación de información de una fuente poco fiable o que no es de confianza	M10	El vehículo verificará la autenticidad e integridad de los mensajes que recibe
6.2	Ataque de intermediario / secuestro de sesión	M10	El vehículo verificará la autenticidad e integridad de los mensajes que recibe
6.3	Ataque de repetición, por ejemplo, un ataque contra una pasarela de comunicación permite al atacante devolver a una versión anterior el software de una unidad de control electrónico o el firmware de la pasarela	M10
7.1	Interceptación de la información / radiaciones interferentes / control de las comunicaciones	M12	Se protegerán los datos confidenciales transmitidos al vehículo o desde este
7.2	Obtención de acceso no autorizado a archivos o datos	M8	Mediante el diseño del sistema y el control de acceso, no debe ser posible que el personal no autorizado acceda a datos personales o a los datos críticos del sistema. El Proyecto de seguridad de aplicaciones web abiertas (OWASP) ofrece ejemplos de controles de seguridad
8.1	Envío de un gran número de datos inútiles al sistema de información del vehículo para que este no pueda prestar servicios de la forma habitual	M13	Se emplearán medidas para la detección y recuperación de un ataque de denegación de servicio
8.2	Ataque de agujero negro, interrupción de la comunicación entre vehículos mediante el bloqueo de la transmisión de mensajes a otros vehículos	M13	Se emplearán medidas para la detección y recuperación de un ataque de denegación de servicio
9.1	Un usuario sin privilegios puede obtener acceso privilegiado, por ejemplo, acceso root	M9	Se emplearán medidas para prevenir y detectar accesos no autorizados
10.1	Un virus integrado en los medios de comunicación infecta los sistemas del vehículo	M14	Deben considerarse medidas para proteger los sistemas frente a virus o software malicioso integrados
11.1	Mensajes internos maliciosos (p. ej., CAN)	M15	Deben considerarse medidas para detectar actividad o mensajes internos maliciosos
11.2	Mensajes V2X maliciosos, p. ej., mensajes de infraestructura a vehículo o de vehículo a vehículo (CAM, DENM)	M10	El vehículo verificará la autenticidad e integridad de los mensajes que recibe
11.3	Mensajes de diagnóstico maliciosos
11.4	Mensajes propietarios maliciosos (p. ej., los que normalmente se envían desde el fabricante de equipo original o el proveedor de componentes/sistemas/funciones)

Medidas de mitigación para el «proceso de actualización»

Las medidas de mitigación de las amenazas relacionadas con el «proceso de actualización» se enumeran en el cuadro B2

Cuadro B2

Medidas de mitigación de las amenazas relacionadas con el «proceso de actualización»

Referencia al cuadro A1	Amenazas para el «proceso de actualización»	Ref.	Medida de mitigación
12.1	Compromiso de los procedimientos inalámbricos de actualización de software. Esto incluye la falsificación del programa de actualización del sistema o firmware	M16	Se emplearán procedimientos seguros de actualización del software
12.2	Compromiso de los procedimientos locales/físicos de actualización de software. Esto incluye la falsificación del programa de actualización del sistema o firmware
12.3	El software se manipula antes del proceso de actualización (y está, por tanto, corrompido), aunque el proceso de actualización esté intacto
12.4	Compromiso de las claves criptográficas del proveedor de software para permitir una actualización inválida	M11	Se aplicarán controles de seguridad para almacenamiento de claves criptográficas
13.1	Ataque de denegación de servicio contra un servidor o red de actualización para impedir el lanzamiento de actualizaciones de software crítico o el desbloqueo de características específicas del cliente	M3	Se aplicarán controles de seguridad a los sistemas de back-end. Cuando los servidores back-end son esenciales para la prestación de los servicios, existen medidas de recuperación en caso de interrupción del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad

Medidas de mitigación para las «acciones humanas involuntarias que facilitan un ciberataque»

Las medidas de mitigación de las amenazas relacionadas con las «acciones humanas involuntarias que facilitan un ciberataque» se enumeran en el cuadro B3.

Cuadro B3

Medidas de mitigación de las amenazas relacionadas con las «acciones humanas involuntarias que facilitan un ciberataque»

Referencia al cuadro A1	Amenazas relacionadas con «acciones humanas involuntarias»	Ref.	Medida de mitigación
15.1	Se engaña a una víctima inocente (p. ej., un propietario, un operario o un ingeniero de mantenimiento) para que inicie una acción de tal manera que, de forma no intencionada, cargue software malicioso o permita un ataque	M18	Se aplicarán medidas para definir y controlar las funciones de usuario y los privilegios de acceso, sobre la base del principio del mínimo privilegio de acceso
15.2	No se siguen los procedimientos de seguridad definidos	M19	Las organizaciones garantizarán la definición y el cumplimiento de los procedimientos de seguridad, incluido el registro de actividades y el acceso relacionados con la gestión de las funciones de seguridad

Medidas de mitigación para «la conectividad externa y las conexiones externas»

Las medidas de mitigación de las amenazas relacionadas con «la conectividad externa y las conexiones externas» se enumeran en el cuadro B4

Cuadro B4

Medidas de mitigación de las amenazas relacionadas con «la conectividad externa y las conexiones externas»

Referencia al cuadro A1	Amenazas para «la conectividad externa y las conexiones externas»	Ref.	Medida de mitigación
16.1	Manipulación de las funciones diseñadas para operar los sistemas a distancia, como una llave de control remoto, un inmovilizador y una estación de carga	M20	Se aplicarán controles de seguridad a los sistemas que tienen acceso remoto
16.2	Manipulación de los sistemas telemáticos del vehículo (p. ej., manipulación de la medición de la temperatura de mercancías delicadas, desbloqueo remoto de puertas de carga)
16.3	Interferencia con sensores o sistemas inalámbricos de corto alcance
17.1	Aplicaciones corruptas, o aplicaciones con una mala seguridad de software utilizadas como método para atacar los sistemas del vehículo	M21	Se evaluará la seguridad del software, se autentificará y se protegerá su integridad. Se aplicarán controles de seguridad para minimizar el riesgo procedente del software de terceros que está destinado a ser alojado en el vehículo o es susceptible de ser alojado en el vehículo
18.1	Interfaces externas como puertos USB u otros puertos utilizadas como punto de ataque, por ejemplo, mediante la introducción de un código	M22	Se aplicarán controles de seguridad a las interfaces externas
18.2	Medios infectados con virus conectados al vehículo	M22
18.3	Uso del acceso al diagnóstico (p. ej., mochilas en el puerto ODB) para facilitar un ataque, p. ej., para manipular los parámetros del vehículo (de manera directa o indirecta)	M22	Se aplicarán controles de seguridad a las interfaces externas

Medidas de mitigación para los «objetivos potenciales de un ataque o motivaciones para un ataque»

Las medidas de mitigación de las amenazas relacionadas con los «objetivos potenciales de un ataque o motivaciones para un ataque» se enumeran en el cuadro B5.

Cuadro B5

Medidas de mitigación de las amenazas relacionadas con los «objetivos potenciales de un ataque o motivaciones para un ataque»

Referencia al cuadro A1	Amenazas relacionadas con «objetivos potenciales de un ataque o motivaciones para un ataque»	Ref.	Medida de mitigación
19.1	Extracción de software patentado o protegido con derechos de autor de los sistemas del vehículo (piratería)	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos o el código del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad
19.2	Acceso no autorizado a la información personal del propietario, como su identidad, información sobre cuentas de pago, información sobre sus contactos, información sobre la ubicación, identificación electrónica del vehículo, etc.	M8	Mediante el diseño del sistema y el control de acceso, no debe ser posible que el personal no autorizado acceda a datos personales o a los datos críticos del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad
19.3	Extracción de claves criptográficas	M11	Se implantarán controles de seguridad para el almacenaje de claves criptográficas, p. ej., uso de módulos de seguridad
20.1	Cambios ilícitos o no autorizados en la identificación electrónica del vehículo	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos o el código del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad
20.2	Fraude de identidad. Por ejemplo, si un usuario desea mostrar otra identidad cuando se comunica con sistemas de peaje o back-end del fabricante	M7
20.3	Acción para eludir los sistemas de supervisión (p. ej., piratear/manipular/bloquear mensajes como los datos del dispositivo de seguimiento ODR-Tracker o el número de ejecuciones)	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos o el código del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad. Los ataques de manipulación de datos en sensores o datos transmitidos podrían mitigarse correlacionando los datos de diferentes fuentes de información
20.4	Manipulación de datos para falsificar los datos de conducción del vehículo (p. ej., kilometraje, velocidad de conducción, instrucciones de conducción, etc.)
20.5	Cambios no autorizados en los datos de diagnóstico del sistema
21.1	Borrado o manipulación no autorizados de los registros de eventos del sistema	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos o el código del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad.
22.2	Introducción de software malicioso o actividad de software malicioso	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos o el código del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad.
23.1	Fabricación de software del sistema de control o del sistema de información del vehículo	M7
24.1	Denegación del servicio, por ejemplo, esta acción puede desencadenarse en la red interna mediante la inundación de un bus CAN o la provocación de fallos en una unidad de control electrónico a través de una alta tasa de mensajes	M13	Se emplearán medidas para la detección y recuperación de un ataque de denegación de servicio
25.1	Acceso no autorizado para falsificar los parámetros de configuración de las funciones clave del vehículo, como los datos de freno, el umbral de despliegue de los airbags, etc.	M7	Se aplicarán diseños y técnicas de control de acceso para proteger los datos o el código del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad
25.2	Acceso no autorizado para falsificar los parámetros de carga, como la tensión de carga, la potencia de carga, la temperatura de la batería, etc.	M7

Medidas de mitigación para las «posibles vulnerabilidades que podrían ser aprovechadas si no se protegen o se refuerzan de forma suficiente»

Las medidas de mitigación de las amenazas relacionadas con las «posibles vulnerabilidades que podrían ser aprovechadas si no se protegen o se refuerzan de forma suficiente» se enumeran en el cuadro B6.

Cuadro B6

Medidas de mitigación de las amenazas relacionadas con las «posibles vulnerabilidades que podrían ser aprovechadas si no se protegen o se refuerzan de forma suficiente»

Referencia al cuadro A1	Amenazas para las «posibles vulnerabilidades que podrían ser aprovechadas si no se protegen o se refuerzan de forma suficiente»	Ref.	Medida de mitigación
26.1	La combinación de claves de cifrado cortas y un período de validez largo permite al atacante descifrar las claves del sistema de cifrado	M23	Se seguirán las mejores prácticas de ciberseguridad en el desarrollo de software y hardware
26.2	Uso insuficiente de algoritmos criptográficos para proteger sistemas sensibles
26.3	Uso de algoritmos criptográficos obsoletos
27.1	Hardware o software diseñados para permitir un ataque o que no cumplen los criterios de diseño para detener un ataque	M23	Se seguirán las mejores prácticas de ciberseguridad en el desarrollo de software y hardware
28.1	La presencia de errores de software puede ser la base de posibles vulnerabilidades aprovechables. Esto se aplica sobre todo si el software no se ha probado para verificar que no contiene un mal código conocido o errores conocidos y reducir el riesgo de que contenga un mal código desconocido o errores desconocidos	M23	Se seguirán las mejores prácticas de ciberseguridad en el desarrollo de software y hardware. Ensayos de ciberseguridad con una cobertura adecuada
28.2	El uso de restos de la fase de desarrollo (p. ej., puertos de depuración, puertos JTAG, microprocesadores, certificados de desarrollo, contraseñas de desarrolladores, etc.) puede permitir a un atacante acceder a las unidades de control electrónico u obtener mayores privilegios
29.1	Puertos de Internet que se dejan abiertos y dan acceso a sistemas de redes
29.2	Eludir la separación de redes para obtener el control. Un ejemplo específico es el uso de puntos de acceso o pasarelas no protegidas (como pasarelas camión-remolque) para eludir las protecciones y obtener acceso a otros segmentos de la red con vistas a llevar a cabo actos malintencionados, como enviar mensajes de bus CAN arbitrarios	M23	Se seguirán las mejores prácticas de ciberseguridad en el desarrollo de software y hardware. Se seguirán las mejores prácticas de ciberseguridad para el diseño de sistemas y la integración de sistemas

Medidas de mitigación para la «pérdida de datos/violación de la seguridad de los datos del vehículo»

Las medidas de mitigación de las amenazas relacionadas con la «pérdida de datos / violación de la seguridad de los datos del vehículo» se enumeran en el cuadro B7.

Cuadro B7

Medidas de mitigación de las amenazas relacionadas con la «pérdida de datos / violación de la seguridad de los datos del vehículo»

Referencia al cuadro A1	Amenazas relacionadas con la «pérdida de datos / violación de la seguridad de los datos del vehículo»	Ref.	Medida de mitigación
31.1	Violación de la seguridad de los datos. Se puede violar la seguridad de los datos personales cuando el coche cambia de usuario (p. ej., cuando se vende o se usa como vehículo de alquiler con nuevos arrendatarios)	M24	Para el almacenamiento de datos personales se seguirán las mejores prácticas para la protección de la integridad y la confidencialidad de los datos.

Medidas de mitigación para la «manipulación física de los sistemas para permitir un ataque»

Las medidas de mitigación de las amenazas relacionadas con la «manipulación física de los sistemas para permitir un ataque» se enumeran en el cuadro B8.

Cuadro B8

Medidas de mitigación de las amenazas relacionadas con la «manipulación física de los sistemas para permitir un ataque»

Referencia al cuadro A1	Amenazas relacionadas con la «manipulación física de los sistemas para permitir un ataque»	Ref.	Medida de mitigación
32.1	La manipulación del hardware del fabricante de equipo original, p. ej., la instalación de hardware no autorizado en un vehículo para posibilitar un ataque de intermediario	M9	Se emplearán medidas para prevenir y detectar accesos no autorizados

Parte C. Medidas de mitigación de las amenazas externas al vehículo

Medidas de mitigación para los «servidores back-end»

Las medidas de mitigación de las amenazas relacionadas con los «servidores back-end » se enumeran el cuadro C1

Cuadro C1

Medidas de mitigación de las amenazas relacionadas con los «servidores back-end»

Referencia al cuadro A1	Amenazas para «servidores back-end»	Ref.	Medida de mitigación
1.1 y 3.1	Abuso de privilegios por parte del personal (ataque interno)	M1	Se aplican controles de seguridad a los sistemas de back-end para minimizar el riesgo de un ataque interno
1.2 y 3.3	Acceso no autorizado al servidor a través de Internet (posibilitado, por ejemplo, por backdoors, vulnerabilidades de un software del sistema sin parches, ataques SQL u otros medios)	M2	Se aplican controles de seguridad a los sistemas de back-end para minimizar accesos no autorizados. El proyecto OWASP ofrece ejemplos de controles de seguridad
1.3 y 3.4	Acceso físico no autorizado al servidor (por ejemplo, mediante memorias USB u otros medios de conexión al servidor)	M8	Mediante el diseño del sistema y el control de acceso, no debe ser posible que el personal no autorizado acceda a datos personales o a los datos críticos del sistema
2.1	El ataque al servidor back-end interrumpe su funcionamiento, por ejemplo evita que interactúe con los vehículos y les preste servicios de los que dependen	M3	Se aplican controles de seguridad a los sistemas de back-end. Cuando los servidores back-end son esenciales para la prestación de los servicios, existen medidas de recuperación en caso de interrupción del sistema. El proyecto OWASP ofrece ejemplos de controles de seguridad
3.2	Pérdida de información en la nube. Pueden perderse datos sensibles debido a ataques o accidentes cuando el almacenamiento de los datos corre a cargo de terceros proveedores de servicios en la nube	M4	Se aplican controles de seguridad para minimizar los riesgos asociados a la computación en la nube. En el proyecto OWASP y en las orientaciones sobre computación en la nube del Centro de Ciberseguridad Nacional (NCSC) pueden encontrarse ejemplos de controles de seguridad
3.5	Violación de la seguridad de los datos por un intercambio de datos no intencionado (p. ej., errores administrativos y almacenamiento de datos en servidores situados en garajes)	M5	Se aplican controles de seguridad a los sistemas de back-end para evitar violaciones de la seguridad de los datos. El proyecto OWASP ofrece ejemplos de controles de seguridad

Medidas de mitigación para las «acciones humanas involuntarias»

Las medidas de mitigación de las amenazas relacionadas con las «acciones humanas involuntarias» se enumeran en el cuadro C2.

Cuadro C2

Medidas de mitigación de las amenazas relacionadas con las «acciones humanas involuntarias»

Referencia al cuadro A1	Amenazas relacionadas con «acciones humanas involuntarias»	Ref.	Medida de mitigación
15.1	Se engaña a una víctima inocente (p. ej., un propietario, un operario o un ingeniero de mantenimiento) para que inicie una acción de tal manera que, de forma no intencionada, cargue software malicioso o permita un ataque	M18	Se aplicarán medidas para definir y controlar las funciones de usuario y los privilegios de acceso, sobre la base del principio del mínimo privilegio de acceso
15.2	No se siguen los procedimientos de seguridad definidos	M19	Las organizaciones garantizarán la definición y el cumplimiento de los procedimientos de seguridad, incluido el registro de actividades y el acceso relacionados con la gestión de las funciones de seguridad

Medidas de mitigación para la «pérdida física de datos»

Las medidas de mitigación de las amenazas relacionadas con la «pérdida física de datos» se enumeran en el cuadro C3.

Cuadro C3

Medidas de mitigación de las amenazas relacionadas con la «pérdida física de datos»

Referencia al cuadro A1	Amenazas para la «pérdida física de datos»	Ref.	Medida de mitigación
30.1	Daños causados por un tercero. Pueden perderse datos sensibles o verse comprometidos debido a daños físicos en caso de accidentes de tráfico o robos	M24	Para el almacenamiento de datos personales se seguirán las mejores prácticas para la protección de la integridad y la confidencialidad de los datos. En la norma ISO/SC27/WG5 se ofrecen ejemplos de controles de seguridad
30.2	Pérdida derivada de conflictos en la gestión de derechos digitales. Pueden borrarse datos de usuario por cuestiones relativas a la gestión de derechos digitales
30.3	La integridad de los datos sensibles se puede perder debido al desgaste de componentes informáticos, lo que puede provocar problemas en cascada (en caso de alteración de claves, por ejemplo)

9.3.2021

Diario Oficial de la Unión Europea

L 82/60

Solo los textos originales de la CEPE surten efectos jurídicos con arreglo al Derecho internacional público. La situación y la fecha de entrada en vigor del presente Reglamento deben verificarse en la última versión del documento de situación de la CEPE/ONU TRANS/WP.29/343, disponible en: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Reglamento n.o 156 de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de vehículos en lo que respecta a las actualizaciones de software y al sistema de gestión de actualizaciones de software [2021/388]

Fecha de entrada en vigor: 22 de enero de 2021

El presente documento tiene valor meramente informativo. El texto auténtico y jurídicamente vinculante es el siguiente: ECE/TRANS/WP.29/2020/80.

ÍNDICE

REGLAMENTO

Ámbito de aplicación

Definiciones

Solicitud de homologación

Marcados

Homologación

Certificado de conformidad del sistema de gestión de actualizaciones de software

Especificaciones generales

Modificación del tipo de vehículo y extensión de la homologación de tipo

Conformidad de la producción

10.

Sanciones por no conformidad de la producción

11.

Cese definitivo de la producción

12.

Nombres y direcciones de los servicios técnicos responsables de la realización de los ensayos de homologación y de las autoridades de homologación de tipo

ANEXOS

Ficha de características

Apéndice 1 - Modelo de declaración de conformidad del sistema de gestión de actualizaciones de software

Comunicación

Disposición de la marca de homologación

Modelo de certificado de conformidad del sistema de gestión de actualizaciones de software

1. ÁMBITO DE APLICACIÓN

1.1.

El presente Reglamento se aplica a los vehículos de las categorías (1) M, N, O, R, S y T que permiten actualizaciones de software.

2. DEFINICIONES

2.1.

«Tipo de vehículo»: los vehículos que no difieran entre sí en al menos los siguientes aspectos:

a)	la designación del tipo de vehículo dada por el fabricante;

b)	aspectos esenciales del diseño del tipo de vehículo por lo que respecta a los procesos de actualización de software.

2.2.

«Número de identificación de software RX (RXSWIN)»: identificador específico, definido por el fabricante del vehículo, que refleja la información relativa al software del sistema electrónico de control pertinente para la homologación de tipo que contribuye a las características del vehículo pertinentes para la homologación de tipo en virtud del Reglamento n.o X.

2.3.

«Actualización de software»: paquete utilizado para actualizar el software a una nueva versión que suponga una modificación de los parámetros de configuración.

2.4.

«Ejecución»: proceso de instalación y activación de una actualización que se ha descargado.

2.5.

«Sistema de gestión de actualizaciones de software»: un enfoque sistemático por el que se definen los procesos y procedimientos organizativos necesarios para cumplir los requisitos de suministro de actualizaciones de software con arreglo al presente Reglamento.

2.6.

«Usuario del vehículo»: una persona que maneja o conduce el vehículo, el propietario de un vehículo, un representante autorizado o un empleado de un gestor de una flota de vehículos, un representante autorizado o un empleado de un fabricante de vehículos, o un técnico autorizado.

2.7.

«Modo seguro»: modo de funcionamiento en caso de fallo de un elemento que no suponga un nivel de riesgo excesivo.

2.8.

«Software»: parte de un sistema electrónico de control consistente en datos digitales e instrucciones.

2.9.

«Actualización por aire (OTA, por sus siglas en inglés)»: cualquier método de transferencia de datos de forma inalámbrica en lugar de mediante un cable u otra conexión local.

2.10.

«Sistema»: conjunto de componentes o subsistemas que ejecutan una función o funciones.

2.11.

«Datos de validación de la integridad»: una representación de datos digitales con la que pueden establecerse comparaciones para detectar errores o cambios en los datos. Esto puede incluir sumas de verificación y resúmenes criptográficos.

3. SOLICITUD DE HOMOLOGACIÓN

3.1.

La solicitud de homologación de un tipo de vehículo en lo que concierne a sus procesos de actualización de software será presentada por el fabricante del vehículo o por su representante debidamente acreditado.

3.2.

Irá acompañada de los documentos que se mencionan a continuación, que se presentarán por triplicado, así como de los elementos siguientes:

3.3.

Una descripción del tipo de vehículo en lo relativo a los aspectos especificados en el anexo 1 del presente Reglamento.

3.4.

En los casos en que dicha información resulte estar cubierta por derechos de propiedad industrial o esté constituida por conocimientos especializados del fabricante o sus proveedores, el fabricante o sus proveedores facilitarán información suficiente para que puedan realizarse adecuadamente las comprobaciones a que se refiere el presente Reglamento. Dicha información se tratará de forma confidencial.

3.5.

El certificado de conformidad del sistema de gestión de actualizaciones de software con arreglo al punto 6 del presente Reglamento.

3.6.

Se facilitará al servicio técnico encargado de llevar a cabo los ensayos de homologación un vehículo representativo del tipo cuya homologación se solicite.

3.7.

La documentación deberá estar disponible en dos partes:

La documentación oficial para la homologación, que contendrá el material especificado en el anexo 1 se presentará a la autoridad de homologación o a su servicio técnico en el momento de la presentación de la solicitud de homologación de tipo. La autoridad de homologación o su servicio técnico utilizará dicha información como la referencia de base para el proceso de homologación. La autoridad de homologación o su servicio técnico se asegurará de que esta documentación esté disponible durante al menos diez años a partir del momento en el que se interrumpa definitivamente la producción del tipo de vehículo.

El fabricante podrá conservar el material adicional pertinente para los requisitos del presente Reglamento, pero lo presentará a inspección en el momento de la homologación de tipo. El fabricante garantizará que todo material presentado a inspección en el momento de la homologación de tipo esté disponible durante al menos diez años a partir del momento en el que se interrumpa definitivamente la producción del tipo de vehículo.

4. MARCADO

4.1.

4.1.1.

la letra mayúscula «E» dentro de un círculo seguida del número que identifica al país que ha concedido la homologación. (2)

4.1.2.

el número del presente Reglamento, seguido de la letra mayúscula «R», un guion y el número de homologación a la derecha del círculo descrito en el punto 4.1.1.

4.2.

Si el vehículo se ajusta a un tipo de vehículo homologado de acuerdo con otro u otros Reglamentos adjuntos al Acuerdo en el país que haya concedido la homologación con arreglo al presente Reglamento, no será necesario repetir el símbolo prescrito en el punto 4.1.1; en ese caso, el número del Reglamento y los números de homologación, así como los símbolos adicionales de todos los Reglamentos con arreglo a los cuales se haya concedido la homologación en el país que la haya concedido de conformidad con el presente Reglamento, se colocarán en columnas verticales a la derecha del símbolo prescrito en el punto 4.1.1.

4.3.

La marca de homologación será claramente legible e indeleble.

4.4.

La marca de homologación irá situada en la placa de datos del vehículo colocada por el fabricante o cerca de la misma.

4.5.

En el anexo 3 del presente Reglamento figuran algunos ejemplos de marcas de homologación.

5. HOMOLOGACIÓN

5.1.

Las autoridades de homologación concederán, cuando proceda, la homologación de tipo con respecto a los procedimientos y procesos de actualización de software únicamente a los tipos de vehículos que cumplan los requisitos del presente Reglamento.

5.1.1.

La autoridad de homologación o el servicio técnico verificará mediante ensayos en un vehículo del tipo de vehículo que el fabricante ha aplicado las medidas que ha documentado. Los ensayos los realizará la autoridad de homologación o el servicio técnico por sí mismo o en colaboración con el fabricante del vehículo mediante muestreo.

5.2.

La concesión, extensión o denegación de la homologación de un tipo de vehículo con arreglo al presente Reglamento se comunicará a las Partes del Acuerdo de 1958 que apliquen dicho Reglamento por medio de un formulario que se ajuste al modelo que figura en su anexo 2.

5.3.

Las autoridades de homologación no concederán ninguna homologación de tipo sin verificar que el fabricante haya establecido disposiciones y procedimientos satisfactorios para gestionar correctamente los aspectos relativos a los procesos de actualización de software cubiertos por el presente Reglamento.

6. CERTIFICADO DE LA CONFORMIDAD DEL SISTEMA DE GESTIÓN DE ACTUALIZACIONES DE SOFTWARE

6.1.

6.2.

La solicitud de un certificado de conformidad del sistema de gestión de actualizaciones de software será presentada por el fabricante del vehículo o por su representante debidamente acreditado.

6.3.

Irá acompañada de los documentos que se mencionan a continuación, que se presentarán por triplicado, así como de los elementos siguientes:

6.3.1.

documentos que describan el sistema de gestión de actualizaciones de software.

6.3.2.

una declaración firmada conforme al modelo definido en el apéndice 1 del anexo 1.

6.4.

En el contexto de la evaluación, el fabricante declarará haber utilizado el modelo definido en el apéndice 1 del anexo 1, y demostrará, a satisfacción de la autoridad de homologación o de su servicio técnico, que cuenta con los procesos necesarios para cumplir todos los requisitos de las actualizaciones de software del presente Reglamento.

6.5.

Cuando dicha evaluación se haya realizado de forma satisfactoria y a la recepción de una declaración firmada del fabricante conforme al modelo definido en el apéndice 1 del anexo 1, se otorgará al fabricante un certificado de conformidad del sistema de gestión de actualizaciones de software tal y como se describe en el anexo 4 del presente Reglamento (en adelante el certificado de conformidad del sistema de gestión de actualizaciones de software).

6.6.

El certificado de conformidad del sistema de gestión de actualizaciones de software tendrá una validez de un máximo de tres años a partir de la fecha de su expedición, a menos que sea retirado.

6.7.

La autoridad de homologación que haya concedido el certificado de conformidad del sistema de gestión de actualizaciones de software podrá en todo momento verificar que se siguen cumpliendo los requisitos de conformidad. El certificado de conformidad del sistema de gestión de actualizaciones de software podrá retirarse si dejan de cumplirse los requisitos establecidos en el presente Reglamento.

6.8.

El fabricante informará a la autoridad de homologación o a su servicio técnico de cualquier modificación que afecte a la pertinencia del certificado de conformidad del sistema de gestión de actualizaciones de software. Tras consultar al fabricante, la autoridad de homologación o su servicio técnico decidirá si es necesario realizar nuevas comprobaciones.

6.9.

Una vez concluido el periodo de validez del certificado de conformidad del sistema de gestión de actualizaciones de software, la autoridad de homologación, tras una evaluación positiva, expedirá un nuevo certificado de conformidad del sistema de gestión de actualizaciones de software o ampliará la validez del existente durante otros tres años. La autoridad de homologación expedirá un nuevo certificado cuando ella o su servicio técnico hayan tenido conocimiento de cambios y dichos cambios se hayan reevaluado de forma positiva.

6.10.

Las homologaciones de tipo ya existentes no perderán su validez si expira el certificado de conformidad del sistema de gestión de actualizaciones de software del fabricante.

7. ESPECIFICACIONES GENERALES

7.1.

Requisitos del sistema de gestión de actualizaciones de software del fabricante del vehículo

7.1.1.

Procesos que deben verificarse en la evaluación inicial

7.1.1.1.

Un proceso por el cual la información pertinente para el presente Reglamento se documente y conserve de forma segura en las instalaciones del fabricante del vehículo y pueda presentarse a una autoridad de homologación o a su servicio técnico previa solicitud;

7.1.1.2.

Un proceso por el cual la información relativa a todas las versiones de software iniciales y actualizadas, incluidos los datos de validación de la integridad, y los correspondientes componentes de hardware de un sistema homologado puedan identificarse de forma inequívoca;

7.1.1.3.

Un proceso por el cual, en el caso de un tipo de vehículo que tenga un identificador RXSWIN, la información relativa al RXSWIN del tipo de vehículo antes y después de una actualización sea accesible y pueda actualizarse. Esto incluirá la capacidad de actualizar la información relativa a las versiones de software y sus datos de validación de la integridad de todo el software pertinente para cada RXSWIN;

7.1.1.4.

Un proceso por el cual, en el caso de un tipo de vehículo que tenga un identificador RXSWIN, el fabricante del vehículo pueda verificar que la versión o versiones del software presentes en un componente de un sistema homologado se ajustan a las definidas por el correspondiente RXSWIN;

7.1.1.5.

Un proceso por el cual pueda determinarse toda interdependencia del sistema actualizado con otros sistemas;

7.1.1.6.

Un proceso por el cual el fabricante del vehículo pueda identificar los vehículos objetivo para una actualización de software;

7.1.1.7.

Un proceso para confirmar la compatibilidad de la actualización de software con la configuración del vehículo o vehículos objetivo antes de su lanzamiento; ello incluirá una evaluación de la última configuración conocida del software o hardware del vehículo o vehículos objetivo para determinar su compatibilidad con la actualización antes de su lanzamiento;

7.1.1.8.

Un proceso para evaluar, determinar y registrar si una actualización de software afectará a cualquier sistema homologado. Se tendrá en cuenta si la actualización alterará o tendrá incidencia en cualquiera de los parámetros utilizados para definir los sistemas a los que puede afectar la actualización o si podrá cambiar alguno de los parámetros utilizados para homologar dichos sistemas (tal y como se definen en la legislación pertinente);

7.1.1.9.

Un proceso para evaluar, determinar y registrar si una actualización de software añadirá, alterará o habilitará cualquier función que no estuviera presente o habilitada cuando el vehículo recibió la homologación de tipo o alterará o deshabilitará cualquier otro parámetro o función definidos en la legislación. La evaluación deberá tener en cuenta si:

a)	es necesario modificar la información introducida en el expediente de homologación;

b)	los resultados de los ensayos ya no cubren el vehículo tras la modificación;

c)	alguna modificación de las funciones del vehículo afectará a la homologación de tipo del vehículo.

7.1.1.10.

Un proceso para evaluar, determinar y registrar si una actualización de software afectará a cualquier otro sistema necesario para el funcionamiento seguro e ininterrumpido del vehículo o si la actualización añadirá o alterará funciones del vehículo con respecto al momento en el que se matriculó;

7.1.1.11.

Un proceso por el cual el usuario del vehículo pueda ser informado sobre las actualizaciones;

7.1.1.12.

Un proceso por el cual el fabricante del vehículo pueda poner a disposición de las autoridades responsables o de los servicios técnicos la información indicada en los puntos 7.1.2.3 y 7.1.2.4; Esto puede ser pertinente a los efectos de homologación de tipo, conformidad de la producción, vigilancia del mercado, recuperaciones de productos e inspección técnica periódica.

7.1.2.

El fabricante del vehículo registrará y almacenará la siguiente información correspondiente a cada actualización aplicada a un determinado tipo de vehículo:

7.1.2.1.

la documentación que describa los procesos utilizados por el fabricante del vehículo para las actualizaciones de software y cualquier norma pertinente utilizada para demostrar su conformidad;

7.1.2.2.

la documentación que describa la configuración de cualquier sistema homologado de tipo pertinente antes y después de una actualización, lo que incluirá la identificación única del hardware y el software del sistema homologado de tipo (también las versiones de software) y cualquier parámetro pertinente del vehículo o sistema;

7.1.2.3.

Para cada RXSWIN deberá existir un registro comprobable que describa todo el software pertinente para el RXSWIN del tipo de vehículo antes y después de una actualización. Esto incluirá la información de las versiones de software y sus datos de validación de la integridad de todo el software pertinente para cada RXSWIN.

7.1.2.4.

la documentación en la que se enumeren los vehículos objetivo para la actualización y la confirmación de la compatibilidad de la última configuración conocida de dichos vehículos con la actualización.

7.1.2.5.

la documentación correspondiente a todas las actualizaciones de software para dicho tipo de vehículo en la que se describa:

a)	el propósito de la actualización;

b)	los sistemas o funciones del vehículo a los que pueda afectar la actualización;

c)	cuáles de ellos cuentan con homologación de tipo (en su caso);

d)	en su caso, si la actualización de software afecta al cumplimiento de otros requisitos pertinentes para dichos sistemas que cuentan con homologación de tipo;

e)	si la actualización de software afecta a cualquier parámetro de homologación de un sistema;

f)	si se ha solicitado la homologación de la actualización a un organismo de homologación;

g)	de qué forma y bajo qué condiciones puede ejecutarse la actualización;

h)	la confirmación de que la actualización de software se realizará de forma segura;

i)	la confirmación de que la actualización de software ha sido sometida a procedimientos de verificación y validación y los ha superado.

7.1.3.

Seguridad. El fabricante del vehículo demostrará:

7.1.3.1.

que se ha puesto en marcha el proceso que utilizará para garantizar que las actualizaciones de software están protegidas a fin de evitar, en la medida de lo razonable, la manipulación antes de proceso de actualización;

7.1.3.2.

que los procesos de actualización utilizados están protegidos para evitar, en la medida de lo razonable, que se vean comprometidos, incluido el desarrollo del sistema de suministro de las actualizaciones;

7.1.3.3.

que los procesos utilizados para verificar y validar la funcionalidad del software y el código del software utilizado en el vehículo son adecuados.

7.1.4.

Requisitos adicionales para actualizaciones de software por aire

7.1.4.1.

El fabricante del vehículo mostrará los procesos y procedimientos que utilizará para evaluar que las actualizaciones por aire no afectan a la seguridad si se llevan a cabo durante la conducción.

7.1.4.2.

El fabricante del vehículo mostrará los procesos y procedimientos que utilizará para garantizar que, cuando una actualización por aire requiera una acción concreta, especializada o compleja, por ejemplo recalibrar un sensor posprogramación, a fin de completar el proceso de actualización, la actualización solo podrá efectuarse en presencia de una persona competente para llevar a cabo dicha acción o bajo su control.

7.2.

Requisitos para el tipo de vehículo

7.2.1.

Requisitos para las actualizaciones de software

7.2.1.1.

La autenticidad e integridad de las actualizaciones de software se protegerá para, en la medida de lo razonable, evitar que se vean comprometidas y prevenir actualizaciones no válidas.

7.2.1.2.

Cuando el tipo de vehículo utiliza un identificador RXSWIN:

7.2.1.2.1.

cada RXSWIN debe ser identificado de forma inequívoca. Cuando el software objeto de homologación de tipo sea modificado por el fabricante del vehículo, el RXSWIN se actualizará si la modificación da lugar a una ampliación de la homologación de tipo o a una homologación de tipo nueva.

7.2.1.2.2.

Cada RXSWIN será fácilmente legible de forma normalizada mediante el uso de una interfaz de comunicación electrónica, como mínimo mediante la interfaz estándar [puerto de diagnóstico a bordo (DAB)].

Si los identificadores RXSWIN no están presentes en el vehículo, el fabricante declarará a la autoridad de homologación la versión o versiones del software del vehículo o las unidades de control electrónico (ECU) relacionadas con las homologaciones de tipo pertinentes. Esta declaración se renovará cada vez que se actualice la versión o versiones del software declarado. En este caso, la versión o versiones del software serán fácilmente legibles de forma normalizada mediante el uso de una interfaz de comunicación electrónica, como mínimo mediante la interfaz estándar (puerto DAB).

7.2.1.2.3.

El fabricante del vehículo protegerá los códigos RSXWIN o la versión o versiones de software del vehículo contra toda modificación no autorizada. En el momento de la homologación de tipo, se facilitarán de forma confidencial los medios aplicados para proteger frente a una modificación no autorizada del identificador RXSWIN o la versión o versiones del software elegidas por el fabricante del vehículo.

7.2.2.

Requisitos adicionales para actualizaciones por aire

7.2.2.1.

El vehículo estará dotado de las siguientes funciones con respecto a las actualizaciones de software:

7.2.2.1.1.

el fabricante del vehículo se asegurará de que el vehículo pueda restaurar los sistemas a su versión anterior en caso de que una actualización falle o se interrumpa, o de que el vehículo pueda situarse en un estado seguro tras el fallo o la interrupción de una actualización.

7.2.2.1.2.

el fabricante del vehículo se asegurará de que las actualizaciones de software solo puedan ejecutarse cuando el vehículo tenga potencia suficiente para completar el proceso de actualización (incluida la necesidad de una posible restauración a la versión anterior o de que el vehículo sea puesto en estado seguro).

7.2.2.1.3.

Cuando la ejecución de una actualización pueda afectar a la seguridad del vehículo, el fabricante del vehículo mostrará la manera en la que la actualización se ejecutará de forma segura. Esto se logrará con medios técnicos que aseguren que el vehículo se encuentra en un estado en el que la actualización pueda ejecutarse de forma segura.

7.2.2.2.

El fabricante del vehículo demostrará que puede informarse al usuario del vehículo de una actualización antes de que esta se ejecute. La información facilitada contendrá lo siguiente:

a)	el propósito de la actualización, que puede incluir la criticidad de la actualización y si la actualización se debe a una recuperación del producto o es por motivos de seguridad o protección;

b)	cualquier cambio introducido por la actualización en las funciones del vehículo;

c)	el tiempo previsto para completar la ejecución de la actualización;

d)	cualquier función del vehículo que no vaya a estar disponible durante la ejecución de la actualización;

e)	cualquier instrucción que pueda ayudar al usuario del vehículo a ejecutar la actualización de forma segura;

en caso de grupos de actualizaciones con un contenido similar, una misma información puede incluir un grupo.

7.2.2.3.

En los casos en los que la ejecución de una actualización pueda no ser segura durante la conducción, el fabricante del vehículo demostrará de qué manera:

a)	garantizará que el vehículo no pueda conducirse durante la ejecución de la actualización;

b)	garantizará que el conductor no pueda utilizar ninguna función del vehículo que pudiera afectar a la seguridad del vehículo o a la ejecución satisfactoria de la actualización.

7.2.2.4.

Tras la ejecución de una actualización, el fabricante del vehículo demostrará de qué manera se informará al usuario del vehículo:

a)	del éxito (o fracaso) de la actualización;

b)	de los cambios aplicados y las correspondientes actualizaciones del manual de usuario (si procede).

7.2.2.5.

El vehículo deberá garantizar que se han cumplido las condiciones previas antes de que se ejecute la actualización del software.

8. MODIFICACIÓN DEL TIPO DE VEHÍCULO Y EXTENSIÓN DE LA HOMOLOGACIÓN DE TIPO

8.1.

Toda modificación del tipo de vehículo que afecte a su rendimiento técnico o a la documentación exigida por el presente Reglamento se notificará a la autoridad de homologación que concedió la homologación. A continuación, la autoridad de homologación podrá:

8.1.1.

considerar que las modificaciones realizadas siguen cumpliendo los requisitos y la documentación de la homologación de tipo anterior; o

8.1.2.

exigir una nueva acta de ensayo al servicio técnico responsable de la realización de los ensayos.

8.1.3.

La confirmación, extensión o denegación de la homologación, especificando las alteraciones, se comunicará mediante un formulario de comunicación conforme al modelo que figura en el anexo 2 del presente Reglamento. La autoridad de homologación que expida la extensión de la homologación asignará un número de serie a dicha extensión e informará de ello a las demás Partes del Acuerdo de 1958 que apliquen el presente Reglamento por medio de un formulario de comunicación conforme al modelo que figura en el anexo 2 del presente Reglamento.

9. CONFORMIDAD DE LA PRODUCCIÓN

9.1.

Los procedimientos de conformidad de la producción se ajustarán a los establecidos en el anexo 1 del Acuerdo de 1958 (E/ECE/TRANS/505/Rev.3) y cumplirán los requisitos que se exponen a continuación:

9.1.1.

el titular de la homologación deberá garantizar que los resultados de los ensayos de conformidad de la producción se registran y que los documentos anejos están disponibles durante un período de tiempo que se determinará de común acuerdo con la autoridad de homologación o el servicio técnico. Dicho período no será superior a diez años a partir del momento en que se produzca el cese definitivo de la producción;

9.1.2.

la autoridad de homologación que haya concedido la homologación de tipo podrá verificar en cualquier momento los métodos de control de la conformidad aplicados en cada centro de producción. La frecuencia normal de dichas verificaciones será de una vez cada tres años.

9.1.3.

la autoridad de homologación o su servicio técnico validará de forma periódica que los procesos utilizados y las decisiones adoptadas por el fabricante del vehículo son conformes, en particular en los casos en los que el fabricante del vehículo decida no notificar una actualización a la autoridad de homologación o a su servicio técnico. Esto puede llevarse a cabo mediante muestreo.

10. SANCIONES POR NO CONFORMIDAD DE LA PRODUCCIÓN

10.1.

10.2.

Cuando una autoridad de homologación retire una homologación que haya concedido previamente, informará de ello de forma inmediata a las demás Partes contratantes que apliquen el presente Reglamento mediante el envío de un formulario de comunicación conforme al modelo que figura en el anexo 2 del presente Reglamento.

11. CESE DEFINITIVO DE LA PRODUCCIÓN

11.1.

Si el titular de una homologación cesa por completo de fabricar un tipo de vehículo homologado con arreglo al presente Reglamento, informará de ello al organismo que concedió la homologación. Tras recibir la correspondiente comunicación, dicha autoridad deberá informar de ello a las demás Partes contratantes del Acuerdo que apliquen el presente Reglamento mediante una copia del formulario de homologación al final de la cual figurará en grandes caracteres la indicación firmada y fechada «CESE DE LA PRODUCCIÓN».

12. NOMBRES Y DIRECCIONES DE LOS SERVICIOS TÉCNICOS RESPONSABLES DE LA REALIZACIÓN DE LOS ENSAYOS DE HOMOLOGACIÓN Y DE LAS AUTORIDADES DE HOMOLOGACIÓN DE TIPO

12.1.

(1) Con arreglo a la definición que figura en la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev.6, apartado 2, www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

(2) Los números distintivos de las Partes contratantes del Acuerdo de 1958 se reproducen en el anexo 3 de la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev.6.

ANEXO 1

Ficha de características

La información que figura a continuación deberá presentarse, en su caso, por triplicado e ir acompañada de un índice de contenidos. Todos los dibujos se entregarán a la escala adecuada, tendrán un nivel de detalle suficiente y se presentarán en formato A4 o plegados de forma que se ajusten a ese formato. Si se presentan fotografías, deberán ser suficientemente detalladas.

Marca (nombre comercial del fabricante): …

Tipo y denominaciones comerciales generales: …

(El tipo se refiere al tipo que va a homologarse, la denominación comercial se refiere al producto en el que se utiliza el tipo homologado)

Medio de identificación del tipo de vehículo, si está marcado en él: …

Emplazamiento de dicho marcado: …

Categoría o categorías del vehículo: …

Nombre y dirección del fabricante o del representante del fabricante: …

Nombres y direcciones de las plantas de montaje: …

Fotografías o planos de un vehículo representativo: …

Actualizaciones de software

9.1.

Características generales de fabricación del tipo de vehículo: …

9.2.

Número del certificado de conformidad del sistema de gestión de actualizaciones de software: …

9.3.

Medidas de seguridad.

9.3.1.

Documentos relativos al tipo de vehículo que va a homologarse en los que se describe que el proceso de actualización se realizará de forma segura …

9.3.2.

Documentos relativos al tipo de vehículo que va a homologarse en los que se describe que los identificadores RXSWIN de un vehículo están protegidos contra la manipulación no autorizada. …

9.4.

Actualizaciones de software por aire

9.4.1.

Documentos relativos al tipo de vehículo que va a homologarse en los que se describe que el proceso de actualización se realizará de forma segura …

9.4.2.

De qué modo se podrá informar al usuario del vehículo sobre una actualización antes y después de su ejecución …

Apéndice 1 del Anexo 1

Modelo de declaración de la conformidad del sistema de gestión de actualizaciones de software

Declaración de conformidad del fabricante con los requisitos del sistema de gestión de actualizaciones de software

Nombre del fabricante: …

Dirección del fabricante: …

… … … … …(Nombre del fabricante) atestigua que se han instalado y se mantendrán los procesos necesarios para cumplir con los requisitos relativos al sistema de gestión de actualizaciones de software establecidos en el punto 7.1 del Reglamento n.o 156 de Naciones Unidas.

Hecho en: ………………………………………… (lugar)

Fecha: …

Nombre del firmante: …

Cargo del firmante: …

…………………………………………

(Sello y firma del representante del fabricante)

ANEXO 2

Comunicación

[formato máximo: A4 (210 × 297 mm)]

(1)

Expedida por:

Nombre de la administración:

…

relativa a (2):

la concesión de la homologación

la ampliación de la homologación

la retirada de la homologación con efecto a partir del dd.mm.aaaa

la denegación de la homologación

el cese definitivo de la producción

de un tipo de vehículo con arreglo al Reglamento n.o 156 de Naciones Unidas

N.o de homologación: …

N.o de extensión: …

Motivos de la extensión: …

Marca (nombre comercial del fabricante): …

Tipo y denominaciones comerciales generales: …

Medio de identificación del tipo de vehículo, si está marcado en él: …

3.1.

Emplazamiento de dicho marcado: …

Categoría o categorías del vehículo: …

Nombre y dirección del fabricante o del representante del fabricante: …

Nombres y direcciones de las plantas de producción: …

Número del certificado de conformidad del sistema de gestión de actualizaciones de software: …

Incluidas actualizaciones de software por aire (sí/no): …

Servicio técnico encargado de realizar los ensayos: …

10.

Fecha del acta de ensayo: …

11.

Número del acta de ensayo: …

12.

Observaciones: (en su caso). …

13.

Lugar: …

14.

Fecha: …

15.

Firma: …

16.

Se adjunta el índice del expediente de homologación depositado ante la autoridad de homologación, que podrá obtenerse previa petición.

(1) Número de identificación del país que ha concedido/extendido/denegado/retirado la homologación (véanse las disposiciones de homologación del Reglamento).

(2) Táchese lo que no proceda.

ANEXO 3

Disposición de la marca de homologación

MODELO A

(Véase el punto 4.2 del presente Reglamento)

a = 8 mm mín.

Esta marca de homologación colocada en un vehículo indica que el tipo de vehículo de carretera en cuestión ha sido homologado en los Países Bajos (E4), con arreglo al Reglamento n.o 156 y con el número de homologación 001234. Las dos primeras cifras del número de homologación indican que esta fue concedida de conformidad con los requisitos del presente Reglamento en su forma original (00).

ANEXO 4

Modelo de certificado de conformidad del sistema de gestión de actualizaciones de software

Certificado de conformidad del sistema de gestión de actualizaciones de software

con el Reglamento n.o 156 de Naciones Unidas

Número del certificado [número de referencia]

[……. Autoridad de homologación]

Certifica que

Fabricante: …

Dirección del fabricante: …

cumple con las disposiciones del Reglamento n.o 156

Las verificaciones fueron realizadas el día: …

por (nombre y dirección de la autoridad de homologación): …

Número del acta de ensayo: …

Este certificado es válido hasta: [……………………………………………Fecha]

Hecho en: [……………………………………………Lugar]

el: [……………………………………………Fecha]

[……………………………………………Firma]

9.3.2021

Diario Oficial de la Unión Europea

L 82/75

Solo los textos originales de la CEPE surten efectos jurídicos con arreglo al Derecho internacional público. La situación y la fecha de entrada en vigor del presente Reglamento deben verificarse en la última versión del documento de situación de la CEPE TRANS/WP.29/343, disponible en: http://www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29fdocstts.html

Reglamento n.o 157 de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de los vehículos de motor por lo que respecta al sistema automático de mantenimiento del carril [2021/389]

Fecha de entrada en vigor: 22 de enero de 2021

Este documento es exclusivamente un instrumento de documentación. El texto auténtico y jurídicamente vinculante es el siguiente: ECE/TRANS/WP.29/2020/81.

ÍNDICE

REGLAMENTO

Introducción

Ámbito de aplicación y objeto

Definiciones

Solicitud de homologación

Homologación

Seguridad del sistema y respuesta a prueba de fallos

Interfaz persona-máquina / información para el operador

Detección de objetos y eventos y respuesta

Sistema de almacenamiento de datos para conducción autónoma

Ciberseguridad y actualizaciones de software

10.

Modificación del tipo de vehículo y extensión de la homologación

11.

Conformidad de la producción

12.

Sanciones por falta de conformidad de la producción

13.

Cese definitivo de la producción

14.

Nombres y direcciones de los servicios técnicos responsables de realizar los ensayos de homologación y de las autoridades de homologación de tipo

ANEXOS

Comunicación

Disposiciones relativas a las marcas de homologación

(Reservado)

Requisitos especiales aplicables a los aspectos relativos a la seguridad de los sistemas electrónicos de control y auditoría

Especificaciones de ensayo del sistema automático de mantenimiento del carril

INTRODUCCIÓN

El Reglamento tiene por objeto establecer disposiciones uniformes relativas a la homologación de los vehículos de motor por lo que respecta al sistema automático de mantenimiento del carril.

El sistema automático de mantenimiento del carril controla el movimiento lateral y longitudinal del vehículo durante períodos prolongados sin una nueva orden del conductor. Es un sistema que, cuando está activado, conserva el control primario del vehículo.

El presente Reglamento es el primer paso normativo para un sistema de conducción autónoma (conforme a la definición recogida en ECE/TRANS/WP.29/1140) en el tráfico y, por tanto, establece disposiciones innovadoras dirigidas a resolver la complejidad relacionada con la evaluación de la seguridad del sistema. Contiene disposiciones administrativas adecuadas en materia de homologación de tipo, requisitos técnicos, disposiciones de auditoría y notificación, y disposiciones relativas a ensayos.

El sistema automático de mantenimiento del carril puede activarse en determinadas condiciones en carreteras en las que está prohibida la circulación de peatones y ciclistas y cuyo diseño incluye una separación física del tráfico en sentidos opuestos y evita que el tráfico se interponga en la trayectoria del vehículo. En un primer paso, el texto original del presente Reglamento limita la velocidad operativa a un máximo de 60 km/h y turismos (vehículos M1).

El presente Reglamento contiene requisitos generales relativos a la seguridad del sistema y la respuesta a prueba de fallos. Al activarse, el sistema automático de mantenimiento del carril realizará la tarea de conducción en lugar del conductor, es decir, gestionará todas las situaciones, fallos incluidos, sin poner en peligro la seguridad de los ocupantes del vehículo ni de otros usuarios de la vía. Sin embargo, siempre existe la posibilidad de que el conductor anule la acción del sistema en cualquier momento.

El Reglamento también establece requisitos que determinan cómo debe el sistema automático de mantenimiento del carril devolver la tarea de conducción al conductor de forma segura, incluida la capacidad del sistema de parar el vehículo en el caso de que el conductor no responda adecuadamente.

Por último, el Reglamento recoge los requisitos sobre la interfaz persona-máquina (IPM) para evitar errores de comprensión o usos indebidos por parte del conductor. Por ejemplo, el Reglamento establece que las pantallas de a bordo que utilice el conductor para cualquier actividad que no sea conducir mientras el sistema automático de mantenimiento del carril permanezca activado deberán quedar automáticamente suspendidas en cuanto el sistema emita una demanda de transición. Estas medidas se adoptan sin perjuicio de las normas de comportamiento del conductor relativas a la forma de uso de estos sistemas en las Partes Contratantes que son actualmente objeto de discusión en el Foro Mundial para la Seguridad Vial (WP.1) en el momento de redactarse el presente documento (véase, por ejemplo, el documento informal 4, revisión 1, del septuagésimo octavo período de sesiones del WP.1).

1. ÁMBITO DE APLICACIÓN Y OBJETO

1.1.

El presente Reglamento es aplicable a la homologación de tipo de los vehículos a motor de la categoría M1 (1) por lo que respecta a su sistema automático de mantenimiento del carril.

2. DEFINICIONES

A efectos del presente Reglamento, serán aplicables las definiciones siguientes:

2.1.

El «sistema automático de mantenimiento del carril» para circulación a baja velocidad es un sistema activado por el conductor que mantiene el vehículo dentro de su carril a una velocidad máxima de 60 km/h mientras controla los movimientos laterales y longitudinales del vehículo durante períodos prolongados sin necesidad de intervención del conductor.

En el presente Reglamento, se entiende que «el sistema» es el sistema automático de mantenimiento del carril.

2.1.1.

El «tipo de vehículo por lo que respecta al sistema automático de mantenimiento del carril» es una categoría de vehículos que no difieren en aspectos esenciales como:

a)	las características del vehículo que influyen significativamente en el funcionamiento del sistema automático de mantenimiento del carril;

b)	las características y el diseño del sistema automático de mantenimiento del carril.

2.2.

La «demanda de transición» es un procedimiento lógico e intuitivo para transferir la tarea de conducción dinámica del sistema (control automático) al conductor humano (control manual). Esta petición es enviada por el sistema al conductor humano.

2.3.

La «fase de transición» es la duración de la demanda de transición.

2.4.

Un «evento planificado» es una situación que se conoce de antemano, por ejemplo, en el momento de la activación, como un punto del recorrido (por ejemplo, la salida de una autopista), etc., y que requiere una demanda de transición.

2.5.

Un «evento no planificado» es una situación que no se conoce de antemano, pero se presupone que es muy probable que ocurra —por ejemplo, una carretera en obras, malas condiciones meteorológicas, la aproximación de un vehículo de emergencias, la ausencia de marcas de carriles, la caída de la carga de un camión (colisión)— y que requiere una demanda de transición.

2.6.

«Riesgo de colisión inminente» describe una situación o un evento que da lugar a la colisión del vehículo con otro usuario de la vía o un obstáculo que no se puede evitar mediante una demanda de frenado de menos de 5 m/s2.

2.7.

Una «maniobra de riesgo mínimo» es un procedimiento destinado a reducir al mínimo los riesgos en el tráfico, que es realizado automáticamente por el sistema tras una demanda de transición sin respuesta del conductor o en caso de fallo grave del sistema automático de mantenimiento del carril o del vehículo.

2.8.

Una «maniobra de emergencia» es una maniobra que realiza el sistema si se produce un evento que entraña un riesgo inminente de colisión del vehículo y tiene la finalidad de evitar o mitigar dicha colisión.

2.9.

Velocidad

2.9.1.

La «velocidad máxima especificada» es la velocidad máxima a la que el cliente ha declarado que el sistema puede funcionar de manera segura en condiciones óptimas.

2.9.2.

La «velocidad máxima en servicio» es la velocidad seleccionada por el sistema como máxima para funcionar en las actuales condiciones ambientales y de detección. Es la máxima velocidad del vehículo a la que el sistema puede permanecer activo y vendrá determinada por la capacidad del sistema de detección y por las condiciones ambientales.

2.9.3.

La «velocidad actual» o «velocidad» es la velocidad actualmente seleccionada por el sistema en función del tráfico.

2.10.

El «alcance de detección» del sistema de detección es la distancia a la que el sistema puede reconocer un objetivo de manera fiable —teniendo en cuenta el deterioro de los componentes del sistema de detección debido al paso del tiempo y al uso durante toda la vida útil del vehículo— y generar una señal de control.

2.11.

Fallos

2.11.1.

Un «fallo del sistema automático de mantenimiento del carril» es cualquier fallo aislado específico del funcionamiento de dicho sistema (por ejemplo, el fallo aislado de un sensor o la pérdida de datos necesarios para calcular la trayectoria de conducción del vehículo).

2.11.2.

El «modo de fallo» es el estado de funcionamiento del sistema en el que este funciona con un fallo del sistema automático de mantenimiento del carril.

2.11.3.

Un «fallo grave del sistema automático de mantenimiento del carril» es un fallo específico del funcionamiento de dicho sistema que afecta a la seguridad del funcionamiento del sistema cuando está en modo de fallo con una probabilidad muy baja de incidencia, como la que se considera en general para componentes esenciales, por ejemplo, una unidad de control electrónico. Los fallos de sensores aislados solo se tienen en cuenta cuando van acompañados de otro factor que afecta a la seguridad del funcionamiento del sistema.

2.11.4.

Un «fallo grave del vehículo» es cualquier fallo del vehículo (por ejemplo, eléctrico o mecánico) que afecta a la capacidad del sistema automático de mantenimiento del carril para realizar la tarea de conducción dinámica y que puede afectar también al funcionamiento manual del vehículo (por ejemplo, pérdida de alimentación eléctrica, fallo del sistema de frenado o pérdida repentina de presión en los neumáticos).

2.12.

La «autocomprobación» es una función integrada que busca fallos en el sistema y comprueba el alcance de detección del sistema de detección de manera continua.

2.13.

La «anulación del sistema» por el conductor es una situación en la que el conductor envía una señal a un control que tiene prioridad sobre el control longitudinal o lateral del sistema, mientras el sistema permanece activo.

2.14.

La «tarea de conducción dinámica» consiste en el control y la ejecución de todos los movimientos longitudinales y laterales del vehículo.

2.15.

El «sistema de almacenamiento de datos para la conducción autónoma» permite determinar las interacciones entre el sistema automático de mantenimiento del carril y el conductor humano.

2.16.

La «vida útil del sistema» es el período durante el cual el sistema automático de mantenimiento del carril permanece disponible como función del vehículo.

2.17.

Una «incidencia» es, en el contexto de las disposiciones sobre el sistema de almacenamiento de datos para la conducción autónoma a que se refiere el punto 8, una acción o instancia de un evento o incidente que debe almacenarse en el sistema de almacenamiento de datos.

2.18.

El «número de identificación de software R157 (R157 SWIN)» es un identificador específico, definido por el fabricante del vehículo, que refleja la información relativa al software del sistema electrónico de control pertinente para la homologación de tipo que contribuye a las características del vehículo pertinentes para la homologación de tipo en virtud del Reglamento n.o 157 de las Naciones Unidas.

2.19.

El «sistema de control electrónico» es una combinación de unidades diseñadas para producir conjuntamente la función automática de mantenimiento del carril declarada, por medio del tratamiento electrónico de los datos. Estos sistemas, controlados a menudo mediante software, se construyen a partir de componentes funcionales diferenciados, como sensores, unidades de control electrónico y actuadores, y se conectan mediante enlaces de transmisión. Pueden comprender elementos mecánicos, electroneumáticos o electrohidráulicos.

2.20.

El «software» es parte de un sistema de control electrónico consistente en datos digitales e instrucciones.

3. SOLICITUD DE HOMOLOGACIÓN

3.1.

La solicitud de homologación de un tipo de vehículo por lo que respecta al sistema automático de mantenimiento del carril deberá ser presentada por el fabricante del vehículo o su representante autorizado.

3.2.

Deberá ir acompañada de los documentos que se mencionan a continuación, por triplicado:

3.2.1.

Una descripción del tipo de vehículo por lo que se respecta a los equipos mencionados en el punto 2.1.1, junto con la documentación requerida en el anexo 4 que muestre el diseño básico del sistema automático de mantenimiento del carril y los medios por los que se conecta con otros sistemas del vehículo o mediante los cuales controla directamente las variables de salida. Deberán precisarse los números o símbolos identificativos del tipo de vehículo.

3.3.

Deberá presentarse al servicio técnico encargado de realizar los ensayos de homologación un vehículo representativo del tipo cuya homologación se solicite.

4. HOMOLOGACIÓN

4.1.

Si el tipo de vehículo presentado para homologación con arreglo al presente Reglamento cumple los requisitos de los puntos 5 a 9 siguientes, se concederá la homologación.

4.2.

Se asignará un número de homologación a cada tipo homologado; sus dos primeros dígitos (en la actualidad 00, que corresponden a la serie 00 de enmiendas, su versión original) indicarán la serie de enmiendas que incorpore las enmiendas técnicas importantes más recientes introducidas en el Reglamento en el momento en que se expidió la homologación. La misma Parte contratante no asignará el mismo número a otro tipo de vehículo.

4.3.

La concesión, la denegación o la retirada de la homologación con arreglo al presente Reglamento se comunicarán a las Partes del Acuerdo de 1958 que apliquen este Reglamento por medio de un formulario conforme con el modelo del anexo 1, junto con la documentación facilitada por el solicitante en un formato no superior a A4 (210 × 297 mm), o plegada en dicho formato, y a una escala adecuada, o bien en formato electrónico.

4.4.

Todo vehículo conforme con un tipo de vehículo homologado con arreglo al presente Reglamento deberá llevar, de manera claramente visible y en un lugar de fácil acceso especificado en el formulario de homologación, una marca de homologación internacional conforme con el modelo descrito en el anexo 2 y consistente en:

4.4.1.

Un círculo dentro del cual figura la letra «E» seguida del número distintivo del país que ha concedido la homologación (2).

4.4.2.

El número del presente Reglamento, seguido de la letra «R», un guion y el número de homologación a la derecha del círculo descrito en el punto 4.4.1.

4.5.

Si el vehículo se ajusta a un tipo de vehículo homologado de acuerdo con uno o varios Reglamentos adjuntos al Acuerdo en el país en el que se haya concedido la homologación con arreglo al presente Reglamento, no es necesario repetir el símbolo que se establece en el punto 4.4.1; en ese caso, los números del Reglamento y de la homologación, así como los símbolos adicionales, se colocarán en columnas verticales a la derecha del símbolo descrito en el punto 4.4.1.

4.6.

La marca de homologación aparecerá claramente legible y será indeleble.

4.7.

La marca de homologación se situará en la placa informativa del vehículo o cerca de ella.

5. SEGURIDAD DEL SISTEMA Y RESPUESTA A PRUEBA DE FALLOS

5.1.

Requisitos generales

El fabricante deberá demostrar, a satisfacción del servicio técnico, que se cumplen las disposiciones de este punto durante la inspección del enfoque de la seguridad como parte de la evaluación conforme al anexo 4 (en particular en relación con las condiciones no ensayadas en virtud del anexo 5) y con arreglo a los ensayos pertinentes establecidos en el anexo 5.

5.1.1.

El sistema activado realizará la tarea de conducción dinámica, gestionará todas las situaciones, fallos incluidos, y no entrañará riesgos excesivos para los ocupantes del vehículo ni para otros usuarios de la vía.

El sistema activado no provocará colisiones que sean razonablemente previsibles y evitables. Si una colisión puede evitarse de manera segura sin causar otra, deberá evitarse. Cuando el vehículo se vea involucrado en una colisión detectable, se detendrá.

5.1.2.

El sistema activado cumplirá las normas de tráfico relacionadas con la tarea de conducción dinámica en el país de circulación.

5.1.3.

El sistema activado controlará los sistemas requeridos para ayudar al conductor a retomar el control manual en cualquier momento (por ejemplo, desempañador, limpiaparabrisas y luces).

5.1.4.

Las demandas de transición no pondrán en peligro la seguridad de los ocupantes del vehículo ni de otros usuarios de la vía.

5.1.5.

Si el conductor no retoma el control de la tarea de conducción dinámica durante la fase de transición, el sistema realizará una maniobra de riesgo mínimo. Durante la maniobra de riesgo mínimo, el sistema minimizará los riesgos para la seguridad de los ocupantes del vehículo y de otros usuarios de la vía.

5.1.6.

El sistema realizará autocomprobaciones para detectar la incidencia de fallos y para confirmar el rendimiento del sistema en todo momento (por ejemplo, después de arrancar el vehículo, el sistema ha detectado al menos en una ocasión un objeto a la misma o mayor distancia que la declarada como alcance de detección con arreglo al punto 7.1).

5.1.7.

La eficacia del sistema no deberá verse mermada a causa de interferencias producidas por campos magnéticos o eléctricos. Esto quedará demostrado por el cumplimiento de lo dispuesto en el Reglamento n.o 10 de las Naciones Unidas, serie 05 de enmiendas o posterior.

5.1.8.

El fabricante adoptará medidas de protección contra usos indebidos por parte del conductor que sean razonablemente previsibles y contra manipulaciones indebidas del sistema.

5.1.9.

Cuando el sistema ya no pueda cumplir los requisitos del presente Reglamento, no será posible activarlo.

El fabricante deberá declarar e implantar un proceso para gestionar la seguridad y el cumplimiento continuado del sistema automático de mantenimiento del carril a lo largo de su vida útil.

5.2.

Tarea de conducción dinámica

5.2.1.

El sistema activado mantendrá el vehículo dentro del carril por el que circule y velará por que no se salga de las marcas del carril (borde exterior del neumático delantero hasta el borde exterior de la marca del carril). El sistema actuará para mantener el vehículo en una posición lateral estable dentro del carril de circulación a fin de evitar confundir a otros usuarios de la vía.

5.2.2.

El sistema activado detectará los vehículos que circulen en un carril adyacente como se define en el punto 7.1.2. y, si es necesario, ajustará la velocidad o la posición lateral del vehículo dentro de su carril según proceda.

5.2.3.

El sistema activado controlará la velocidad del vehículo.

5.2.3.1.

La velocidad máxima a la que está permitido el funcionamiento del sistema es de 60 km/h.

5.2.3.2.

El sistema activado adaptará la velocidad del vehículo a las condiciones infraestructurales y ambientales (por ejemplo, curvas estrechas o malas condiciones meteorológicas).

5.2.3.3.

El sistema activado detectará la distancia hasta el vehículo que le precede como se define en el punto 7.1.1 y adaptará la velocidad del vehículo a fin de evitar una colisión.

Mientras el vehículo equipado con sistema automático de mantenimiento del carril no esté detenido, el sistema adaptará la velocidad para ajustar la distancia con respecto al vehículo que le preceda en el mismo carril para que sea igual o mayor que la distancia mínima de seguridad.

En el caso de que temporalmente no se pueda respetar el intervalo mínimo de seguridad por causa de otros usuarios de la vía (por ejemplo, el vehículo se incorpora al carril, el vehículo precedente desacelera, etc.), el vehículo reajustará la distancia mínima de seguridad en la próxima oportunidad disponible sin frenar bruscamente, salvo que sea necesario realizar una maniobra de emergencia.

La distancia mínima de seguridad se calculará por medio de la siguiente fórmula:

dmin= vALKS* tfront

Donde:

dmin	=	distancia mínima de seguridad
vALKS	=	velocidad actual del vehículo equipado con sistema automático de mantenimiento del carril en m/s
tfront	=	intervalo mínimo de seguridad en segundos entre el vehículo equipado con sistema automático de mantenimiento del carril y un vehículo precedente conforme al cuadro siguiente:

Velocidad actual del vehículo equipado con sistema automático de mantenimiento del carril		Intervalo mínimo de seguridad	Distancia mínima de seguridad
(km/h)	(m/s)	(s)	(m)
7,2	2,0	1,0	2,0
10	2,78	1,1	3,1
20	5,56	1,2	6,7
30	8,33	1,3	10,8
40	11,11	1,4	15,6
50	13,89	1,5	20,8
60	16,67	1,6	26,7

Con valores de velocidad no mencionados en el cuadro, se aplicará una interpolación lineal.

Sin perjuicio del resultado de la fórmula anterior para velocidades actuales inferiores a 2 m/s, la distancia mínima de seguridad nunca será inferior a 2 m.

5.2.4.

El sistema activado podrá frenar el vehículo hasta que quede detenido por completo detrás de un vehículo estático, un usuario de la vía estático o un carril de circulación bloqueado para evitar una colisión. Esto deberá garantizarse hasta la velocidad máxima en servicio del sistema.

5.2.5.

El sistema activado detectará el riesgo de colisión, en particular con otro usuario de la vía por delante o al lado del vehículo, debido a la desaceleración del vehículo precedente, a la incorporación de un vehículo al carril o la aparición repentina de un obstáculo y ejecutará automáticamente las maniobras adecuadas para minimizar los riesgos para la seguridad de los ocupantes del vehículo y otros usuarios de la vía.

En condiciones no especificadas en el punto 5.2.4 o en el punto 5.2.5 o sus partes, esto deberá garantizarse al menos hasta el nivel en que un conductor humano competente y cuidadoso pudiera minimizar los riesgos. Así deberá demostrarse en la evaluación realizada en virtud del anexo 4 y siguiendo las orientaciones del apéndice 3 al anexo 4.

5.2.5.1.

El sistema activado evitará una colisión con el vehículo precedente cuando este desacelere a su máximo rendimiento de frenado siempre que no haya reducción de la distancia mínima de seguridad; el vehículo equipado con sistema automático de mantenimiento del carril ajustará su separación del vehículo precedente a la velocidad actual debido a una maniobra de incorporación al carril de este vehículo precedente.

5.2.5.2.

El sistema activado evitará la colisión con un vehículo que efectúe una maniobra de incorporación al carril,

a)	siempre que el vehículo en incorporación mantenga su velocidad longitudinal que sea inferior a la velocidad longitudinal del vehículo equipado con sistema automático de mantenimiento del carril, y

b)	siempre que el movimiento lateral del vehículo en incorporación haya sido visible durante un tiempo mínimo de 0,72 segundos antes de que se alcance el punto de referencia de TTCLaneIntrusion,

cuando la distancia entre la parte delantera del vehículo y la parte trasera del vehículo en incorporación se corresponda con el tiempo para la colisión calculado por medio de la siguiente ecuación:

Donde:

Vrel	=	velocidad relativa entre ambos vehículos, positiva cuando el vehículo es más rápido que el vehículo en trayectoria de incorporación al carril
TTCLaneIntrusion	=	el valor del tiempo para la colisión, cuando la parte externa del neumático de la rueda delantera del vehículo intruso más cercana a las marcas de carril traspase una línea que exceda 0,3 m del borde exterior de la marca de carril visible hacia la que el vehículo intruso se esté desplazando.

5.2.5.3.

El sistema activado evitará una colisión con un peatón que cruce por delante del vehículo por un paso de peatones sin barreras.

En un escenario con un paso de peatones sin barreras con un componente de velocidad lateral no superior a 5 km/h, cuando el punto de impacto previsto se desplace un máximo de 0,2 m en comparación con el plano central longitudinal del vehículo, el sistema automático de mantenimiento del carril activado evitará una colisión a la velocidad máxima en servicio del sistema.

5.2.5.4.

Se reconoce que es posible que el requisito establecido en el punto 5.2.5 no se cumpla por entero en condiciones distintas de las descritas anteriormente. No obstante, en estas otras condiciones, el sistema no deberá desactivar o cambiar la estrategia de control de forma injustificada. Esto se demostrará con arreglo al anexo 4 del presente Reglamento.

5.3.

Maniobra de emergencia

El fabricante demostrará el cumplimiento de lo dispuesto en este punto, a satisfacción del servicio técnico, durante la inspección del enfoque de la seguridad como parte de la evaluación conforme al anexo 4 y conforme a los ensayos pertinentes del anexo 5.

5.3.1.

Se realizará una maniobra de emergencia cuando exista riesgo de colisión inminente.

5.3.1.1.

Cualquier demanda de desaceleración longitudinal de más de 5,0 m/s2 del sistema se considerará una maniobra de emergencia.

5.3.2.

Esta maniobra ocasionará la desaceleración del vehículo a su máximo rendimiento de frenado si es necesario o bien podrá realizar una maniobra evasiva automática, cuando proceda.

Si algún fallo afecta al rendimiento de frenado o dirección del sistema, la maniobra se realizará en consideración del rendimiento restante.

Durante la maniobra evasiva, el vehículo equipado con sistema automático de mantenimiento del carril no traspasará la marca del carril (borde exterior del neumático delantero hasta el borde exterior de la marca del carril).

Después de la maniobra evasiva, el vehículo tratará de recuperar una posición estable.

5.3.3.

Una maniobra de emergencia no terminará hasta que el riesgo de colisión inminente haya desaparecido o el conductor desactive el sistema.

5.3.3.1.

Una vez terminada la maniobra de emergencia, el sistema seguirá funcionando.

5.3.3.2.

Si la maniobra de emergencia finaliza con el vehículo detenido, se generará la señal de activar las luces de emergencia. Si el vehículo vuelve a ponerse en movimiento automáticamente, la señal de desactivar las luces de emergencia se generará automáticamente.

5.3.4.

El vehículo aplicará una señal lógica indicativa del frenado de emergencia conforme a lo especificado en el Reglamento n.o 13-H de las Naciones Unidas.

5.4.

Demanda de transición y funcionamiento del sistema durante la fase de transición

5.4.1.

El sistema activado reconocerá todas las situaciones en las que sea necesario devolver el control al conductor.

Los tipos de situaciones en las que el vehículo generará una demanda de transición al conductor serán declarados por el fabricante del vehículo e incluidos en la documentación establecida en el anexo 4.

5.4.2.

La demanda de transición se iniciará de tal manera que quede tiempo suficiente para una transición segura a la conducción manual.

5.4.2.1.

En el caso de un evento planificado que impida que el sistema automático de mantenimiento del carril siga funcionando, se efectuará una demanda de transición con tiempo suficiente para garantizar que la maniobra de riesgo mínimo, en el caso de que el conductor no retome el control, pueda detener el vehículo antes de que se produzca el evento planificado.

5.4.2.2.

En el caso de un evento no planificado, se efectuará la demanda de transición en el momento de la detección.

5.4.2.3

En el caso de que un fallo afecte al funcionamiento del sistema, este iniciará una demanda de transición de forma inmediata en el momento de la detección.

5.4.3.

Durante la fase de transición, el sistema continuará funcionando. El sistema podrá reducir la velocidad del vehículo para garantizar la seguridad de su funcionamiento, pero no lo detendrá salvo que la situación lo requiera (por ejemplo, cuando haya algún vehículo u obstáculo en la trayectoria del vehículo) o cuando lo provoque un aviso háptico conforme al punto 6.4.1 iniciado a una velocidad inferior a 20 km/h.

5.4.3.1.

Una vez detenido, el vehículo podrá permanecer en este estado y generará la señal de activar las luces de emergencia en un intervalo de 5 s.

5.4.3.2.

Durante la fase de transición, la demanda de transición se propagará a más tardar al cabo de 4 s después de iniciarse.

5.4.4.

Una demanda de transición solo terminará una vez desactivado el sistema o iniciada una maniobra de riesgo mínimo.

5.4.4.1.

En el caso de que el conductor no responda a una demanda de transición desactivando el sistema (según lo descrito en el punto 6.2.4 o 6.2.5), se iniciará una maniobra de riesgo mínimo, al menos 10 s después de iniciarse la demanda de transición.

5.4.4.1.1.

Sin perjuicio de lo dispuesto en el punto 5.4.4.1, se podrá iniciar una maniobra de riesgo mínimo de forma inmediata en caso de fallo grave del sistema automático de mantenimiento del carril o del vehículo.

En el caso de un fallo grave del sistema automático de mantenimiento del carril o del vehículo, puede que este sistema ya no sea capaz de cumplir los requisitos del presente Reglamento, pero tratará de habilitar una transición segura a la recuperación del control por parte del conductor.

5.4.4.1.2.

El fabricante deberá declarar los tipos de fallos graves del vehículo o del sistema automático de mantenimiento del carril que harán que dicho sistema inicie una maniobra de riesgo mínimo de forma inmediata.

5.5.

Maniobra de riesgo mínimo

5.5.1.

Durante la maniobra de riesgo mínimo, el vehículo disminuirá su velocidad dentro del carril o bien, en el caso de que las marcas del carril no sean visibles, permanecerá en una trayectoria apropiada teniendo en cuenta el tráfico de alrededor y la infraestructura vial, con el fin de alcanzar una demanda de desaceleración no superior a 4,0 m/s2.

Son admisibles valores de demanda de desaceleración superiores durante intervalos muy cortos, por ejemplo, a modo de aviso háptico para estimular la atención del conductor, o en caso de fallo grave del sistema automático de mantenimiento del carril o del vehículo.

Además, la señal de activar las luces de emergencia se generará al iniciar la maniobra de riesgo mínimo.

5.5.2.

La maniobra de riesgo mínimo hará que el vehículo se detenga a menos que el sistema sea desactivado por el conductor durante la maniobra.

5.5.3.

Una maniobra de riesgo mínimo solo terminará cuando el sistema se desactive o cuando el sistema haya detenido el vehículo.

5.5.4.

El sistema se desactivará al final de la maniobra de riesgo mínimo.

Las luces de emergencia permanecerán activadas hasta que sean desactivadas manualmente y el vehículo no se pondrá en movimiento una vez detenido si no es por acción manual.

5.5.5.

Solo será posible reactivar el sistema al finalizar una maniobra de riesgo mínimo después de cada nuevo ciclo de encendido/marcha del motor.

6. INTERFAZ PERSONA-MÁQUINA/INFORMACIÓN PARA EL OPERADOR

6.1.

Sistema de reconocimiento de la disponibilidad del conductor

6.1.1.

El sistema incluirá un sistema de reconocimiento de la disponibilidad del conductor.

El sistema de reconocimiento de la disponibilidad del conductor detectará si el conductor está presente en la posición de conducción, si lleva el cinturón de seguridad abrochado y si está disponible para asumir la tarea de conducción.

6.1.2.

Presencia del conductor

Se iniciará una demanda de transición conforme al punto 5.4 si se cumple alguna de las siguientes condiciones:

a)	que se detecte que el conductor no está en su asiento durante un intervalo superior a un segundo; o bien

b)	que el cinturón de seguridad del conductor esté desabrochado.

En lugar de un aviso acústico de la demanda de transición podrá utilizarse el aviso de segundo nivel de recordatorio del cinturón de seguridad conforme al Reglamento n.o 16 de las Naciones Unidas.

6.1.3.

Disponibilidad del conductor

El sistema detectará si el conductor está disponible y en una posición de conducción adecuada para responder a una demanda de transición monitorizando al conductor.

El fabricante demostrará, a satisfacción del servicio técnico, la capacidad del vehículo de detectar que el conductor está disponible para hacerse cargo de la tarea de conducción.

6.1.3.1.

Criterios para considerar la disponibilidad del conductor

Se considerará que el conductor no está disponible salvo que al menos dos criterios de disponibilidad (por ejemplo, accionamiento del control del vehículo exclusivo del conductor, parpadeo, párpados cerrados, cabeza consciente o movimiento corporal) hayan determinado de forma individual que el conductor está disponible en los últimos treinta segundos.

En cualquier momento, el sistema puede considerar que el conductor no está disponible.

En cuanto se considere que el conductor no está disponible, o se puedan monitorizar menos de dos criterios de disponibilidad, el sistema emitirá de inmediato un aviso distintivo hasta que se detecten las acciones apropiadas del conductor o hasta que se inicie una demanda de transición. A más tardar, se iniciará una demanda de transición conforme al punto 5.4 si este aviso continúa durante quince segundos.

El fabricante aportará pruebas documentales que justifiquen el número y combinación de criterios de disponibilidad, en particular con respecto al intervalo de tiempo correspondiente. Sin embargo, el intervalo de tiempo requerido para cualquier criterio de disponibilidad no excederá de treinta segundos. Esto deberá ser demostrado por el fabricante y evaluado por el servicio técnico con arreglo al anexo 4.

6.1.4.

«Cualquier actividad que no sea conducir» a través de indicadores de a bordo disponibles tras la activación del sistema automático de mantenimiento del carril quedará suspendida automáticamente i) en el momento en que el sistema emita una demanda de transición o ii) en el momento en que el sistema se desactive, lo que ocurra primero.

6.2.

Activación, desactivación y acción del conductor

6.2.1.

El vehículo estará provisto de un medio específico para que el conductor active (modo activo) y desactive (modo apagado) el sistema. Cuando el sistema automático de mantenimiento del carril esté activado, el medio para desactivarlo permanecerá en todo momento visible para el conductor.

6.2.2.

Por defecto, el sistema estará en el modo apagado al iniciarse cada nuevo ciclo de encendido/marcha del motor.

Este requisito no se aplicará cuando se inicie automáticamente un nuevo ciclo de encendido/marcha del motor, por ejemplo, al accionar un sistema de parada y arranque.

6.2.3.

El sistema solo se activará por una acción deliberada del conductor y siempre que se cumplan todas las condiciones siguientes:

a)	que el conductor esté en su asiento y con su cinturón de seguridad abrochado conforme a los puntos 6.1.1 y 6.1.2;

b)	que el conductor esté disponible para tomar el control de la tarea de conducción dinámica conforme al punto 6.1.3;

c)	que no haya ningún fallo que afecte al funcionamiento seguro o a la funcionalidad del sistema automático de mantenimiento del carril;

d)	que el sistema de almacenamiento de datos para la conducción autónoma esté operativo;

e)	que las condiciones ambientales e infraestructurales permitan el funcionamiento;

f)	que la autocomprobación del sistema se confirme positiva; y

g)	que el vehículo circule por vías en las que esté prohibida la circulación de peatones y ciclistas y cuyo diseño incluya una separación física del tráfico en sentidos opuestos.

Si se deja de cumplir alguna de estas condiciones, el sistema iniciará inmediatamente una demanda de transición, salvo que el presente Reglamento establezca otra cosa.

6.2.4

El conductor podrá desactivar el sistema manualmente (modo apagado) accionando deliberadamente los mismos medios utilizados para activar el sistema, como se indica en el punto 6.2.1.

Los medios de desactivación incluirán protección contra la desactivación manual no intencionada, por ejemplo, la necesidad de efectuar una sola acción que sobrepase un umbral de tiempo determinado, o una doble pulsación, o dos acciones separadas pero simultáneas.

Además, se garantizará que el conductor mantenga el control lateral del vehículo en el momento de la desactivación, por ejemplo, mediante la colocación del medio de desactivación en el mando de dirección o la confirmación de que el conductor está sujetando el mando de dirección.

6.2.5.

Además del punto 6.2.4, el sistema no se desactivará por ninguna acción del conductor distinta de las descritas en los puntos 6.2.5.1 hasta 6.2.5.4.

6.2.5.1.

Desactivación por accionamiento de los controles de conducción

El sistema se desactivará cuando se cumpla al menos una de las condiciones siguientes:

a)	que el conductor anule el sistema mediante el accionamiento de la dirección mientras sujeta el mando de dirección y que esta anulación no se suprima, como se especifica en el punto 6.3; o bien

b)	que el conductor esté sujetando el mando de dirección y anule el sistema frenando o acelerando, como se especifica en el punto 6.3.1.

6.2.5.2.

Desactivación durante una demanda de transición en curso o durante una maniobra de riesgo mínimo en curso

En el caso de que haya una demanda de transición o una maniobra de riesgo mínimo en curso, el sistema solo se desactivará:

a)	con arreglo a lo establecido en el punto 6.2.5.1, o bien

b)	cuando se detecte que el conductor ha sujetado el mando de dirección en respuesta a la demanda de transición o maniobra de riesgo mínimo y siempre que el sistema confirme que el conductor está atento con arreglo a lo establecido en el punto 6.3.1.1.

6.2.5.3.

Desactivación durante una maniobra de emergencia en curso

En el caso de que haya una maniobra de emergencia en curso, se podrá retrasar la desactivación del sistema hasta que desaparezca el riesgo de colisión inminente.

6.2.5.4.

Desactivación en caso de fallo grave del vehículo o del sistema automático de mantenimiento del carril

En caso de fallo grave del vehículo o del sistema automático de mantenimiento del carril, este podrá emplear diferentes estrategias de desactivación.

El fabricante deberá declarar estas estrategias diferentes y el servicio técnico evaluará su eficacia para garantizar una transición segura del control del sistema al conductor humano con arreglo al anexo 4.

6.2.6.

Al desactivarse el sistema, no se producirá una transición automática a ninguna función que proporcione un movimiento longitudinal o lateral continuo del vehículo (por ejemplo, FDAA de categoría B1).

Tras la desactivación, la función correctora de la dirección (FCD) podrá estar activa con el fin de acostumbrar al conductor a ejecutar la tarea de control lateral reduciendo gradualmente la asistencia lateral.

Sin perjuicio de lo dispuesto en los dos párrafos anteriores, en caso de desactivación del sistema automático de mantenimiento del carril, no se desactivará ningún otro sistema de seguridad que proporcione asistencia longitudinal o lateral en situaciones de colisión inminente [por ejemplo, sistema avanzado de frenado de emergencia (AEBS), control electrónico de la estabilidad (CEE), sistema de asistencia en el frenado (BAS) o función de dirección de emergencia (FDE)].

6.2.7.

Toda desactivación se indicará al conductor con arreglo a lo establecido en el punto 6.4.2.3.

6.3.

Anulación del sistema

6.3.1.

El accionamiento del mando de dirección por parte del conductor anulará la función de control lateral del sistema cuando la acción realizada sobrepase un umbral razonable diseñado para evitar una anulación no intencionada.

Este umbral incluirá una fuerza y una duración especificadas y variará en función de parámetros que incluyen los criterios utilizados para comprobar la atención del conductor durante la acción del conductor conforme a lo establecido en el punto 6.3.1.1.

Estos umbrales y la justificación de cualquier variación deberán demostrarse a satisfacción del servicio técnico durante la evaluación conforme a lo dispuesto en el anexo 4.

6.3.1.1.

Atención del conductor

El sistema detectará si el conductor está atento. Se considera que el conductor está atento si se cumple al menos uno de los criterios siguientes:

a)	se confirma que el conductor está mirando principalmente a la carretera que tiene delante,

b)	se confirma que el conductor está mirando a los espejos retrovisores; o bien,

c)	se confirma que el conductor tiene la cabeza orientada principalmente hacia la tarea de conducción.

El fabricante deberá declarar las especificaciones que confirmen estos criterios u otros igualmente seguros, justificados con pruebas documentales. El servicio técnico procederá a su evaluación conforme a lo establecido en el anexo 4.

6.3.2.

La función de control longitudinal del sistema se anulará cuando el conductor accione el control de frenado de manera que se produzca una desaceleración mayor de la inducida por el sistema o se mantenga el vehículo detenido por la acción de cualquier sistema de frenado.

6.3.3.

La función de control longitudinal del sistema puede anularse cuando el conductor acciona el control del acelerador. Sin embargo, dicha acción no hará que el sistema deje de cumplir los requisitos del presente Reglamento.

6.3.4.

Cuando el conductor accione el control del acelerador o del freno, se iniciará de inmediato una demanda de transición conforme a lo establecido en el punto 5.4, cuando la acción sobrepase un umbral razonable diseñado para evitar accionamientos no intencionados.

6.3.5.

Sin perjuicio de lo dispuesto en los puntos 6.3.1 a 6.3.3, el sistema puede reducir o suprimir el efecto del accionamiento de cualquier control por el conductor en el caso de que el sistema detecte un riesgo de colisión inminente debido a esta acción del conductor.

6.3.6.

En caso de fallo grave del vehículo o del sistema automático de mantenimiento del carril, este podrá emplear diferentes estrategias para anular el sistema. El fabricante deberá declarar estas estrategias diferentes y el servicio técnico evaluará su eficacia para garantizar una transición segura del control del sistema al conductor humano.

6.3.7.

El fabricante demostrará el cumplimiento de lo dispuesto en el punto 6.3 y sus partes, a satisfacción del servicio técnico, durante la inspección del enfoque de la seguridad como parte de la evaluación conforme al anexo 4.

6.4.

Información para el conductor

6.4.1.

Se indicará la siguiente información al conductor:

a)	el estado del sistema, conforme a lo establecido en el punto 6.4.2;

b)	cualquier fallo que afecte al funcionamiento del sistema al menos por medio de una señal óptica salvo que el sistema esté desactivado (modo apagado);

la demanda de transición al menos por medio de una señal óptica y además una señal acústica o una señal de aviso háptica.

A más tardar cuatro segundos después de iniciarse la demanda de transición, esta:

i)	incluirá un aviso háptico constante o intermitente salvo que el vehículo esté detenido; y

ii)	se propagará y permanecerá así hasta que finalice;

d)	la maniobra de riesgo mínimo al menos por medio de una señal óptica y además una señal acústica o una señal de aviso háptica; y

e)	la maniobra de emergencia por medio de una señal óptica.

Las señales ópticas mencionadas serán de tamaño y contraste adecuados. Las señales acústicas mencionadas sonarán altas y claras.

6.4.2.

Estado del sistema

6.4.2.1.

Indicación de falta de disponibilidad del sistema

En el caso de que el sistema deniegue la activación del sistema tras la acción deliberada del conductor por falta de disponibilidad del sistema, esto se indicará al conductor al menos por medios visuales.

6.4.2.2.

Indicación visual de estado del sistema tras la activación

Tras la activación, se indicará visualmente el estado del sistema (modo activo) al conductor por medio de una señal óptica específica.

Esta señal óptica contendrá una indicación inequívoca que incluya:

a)	un mando de dirección o un vehículo, con la incorporación adicional de una «A» o «AUTO» o los símbolos normalizados conforme al Reglamento n.o 121 de las Naciones Unidas y, además,

una indicación fácilmente perceptible en el campo de visión periférico y situada cerca de la línea directa de visión del conductor al exterior delante del vehículo, por ejemplo, una indicación destacada en el cuadro de instrumentos o en el mando de dirección que cubra parte del perímetro de la corona exterior frente al conductor.

La señal óptica indicará que el sistema está activo hasta que este se desactive (modo apagado).

La señal óptica será fija mientras el sistema permanezca en funcionamiento normal y, al iniciarse una demanda de transición, al menos la indicación conforme a la letra b) modificará sus características, por ejemplo, pasará a ser intermitente o cambiará de color.

Cuando se utilice una señal intermitente, se utilizará una frecuencia baja para no alertar al conductor de manera injustificada.

Durante la fase de transición y la maniobra de riesgo mínimo, la indicación conforme a la letra a) podrá ser sustituida por la instrucción de asumir el control manual conforme al punto 6.4.3.

6.4.2.3.

Indicación visual de estado del sistema tras la desactivación

Tras la desactivación, cuando el estado del sistema pase de modo activo a modo apagado, esto se indicará al conductor al menos por medio de una señal de aviso óptica. Dicha señal óptica consistirá en no mostrar la señal óptica utilizada para indicar el modo activo o no mostrar la instrucción de asumir el control manual.

Además, se emitirá una señal de aviso acústica, salvo que el sistema se desactive a raíz de una demanda de transición que incluya una señal acústica.

6.4.3.

Fase de transición y maniobra de riesgo mínimo

Durante la fase de transición y la maniobra de riesgo mínimo, el sistema comunicará al conductor, de forma intuitiva e inequívoca, la instrucción de que asuma el control manual del vehículo. Dicha instrucción incluirá información gráfica que muestre las manos y el mando de dirección y podrá ir acompañada de texto explicativo adicional o símbolos de aviso, como se indica en el ejemplo siguiente.

6.4.3.2.

Al iniciarse la maniobra de riesgo mínimo, la señal emitida modificará sus características para resaltar la urgencia de que el conductor actúe, por ejemplo, con el parpadeo en rojo del mando de dirección y las manos en movimiento que se muestran en la información gráfica.

6.4.4.

En los casos en que se ofrecen ejemplos en los puntos anteriores, podrían utilizarse en su lugar señales ópticas diseñadas con una interfaz adecuada e igualmente perceptible. El fabricante deberá demostrarlo y justificarlo con pruebas documentales. El servicio técnico procederá a su evaluación conforme a lo establecido en el anexo 4.

6.4.5.

Priorización de los avisos del sistema automático de mantenimiento del carril

Los avisos de un sistema automático de mantenimiento del carril durante una fase de transición, una maniobra de riesgo mínimo o una maniobra de emergencia pueden tener prioridad sobre otros avisos del vehículo.

Durante el proceso de homologación de tipo, el fabricante deberá declarar al servicio técnico la priorización de diferentes avisos acústicos y ópticos durante el funcionamiento del sistema automático de mantenimiento del carril.

7. DETECCIÓN DE OBJETOS Y EVENTOS, Y RESPUESTA

7.1.

Requisitos de detección

El vehículo equipado con sistema automático de mantenimiento del carril estará provisto de un sistema de detección tal que pueda al menos determinar el entorno de conducción (por ejemplo, la geometría de la vía o las marcas de carril) y la dinámica del tráfico:

a)	en toda la anchura de su propio carril de circulación, toda la anchura de los carriles de circulación situados inmediatamente a su izquierda y a su derecha, hasta el límite del alcance de detección delantero;

b)	en toda la longitud del vehículo y hasta el límite del alcance de detección lateral.

Los requisitos de este punto son de aplicación sin perjuicio de otros requisitos del presente Reglamento, más concretamente el punto 5.1.1.

7.1.1.

Alcance de detección delantero

El fabricante deberá declarar el alcance de detección delantero medido desde el punto más avanzado del vehículo. Este valor declarado será como mínimo de cuarenta y seis metros.

El servicio técnico verificará que la distancia a la que el sistema de detección del vehículo detecte a un usuario de la vía durante el ensayo pertinente del anexo 5 sea igual o superior al valor declarado.

7.1.2.

Alcance de detección lateral

El fabricante deberá declarar el alcance de detección lateral. El alcance declarado será suficiente para abarcar toda la anchura del carril situado inmediatamente a la izquierda y del carril situado inmediatamente a la derecha del vehículo.

El servicio técnico verificará que el sistema de detección del vehículo detecte vehículos durante el ensayo pertinente del anexo 5. Este alcance será igual o superior al alcance declarado.

7.1.3.

El sistema automático de mantenimiento del carril aplicará estrategias de detección y compensación de circunstancias ambientales que reduzcan el alcance de detección, por ejemplo, impedir que se habilite el sistema, deshabilitar el sistema y devolver el control al conductor, o reducir la velocidad cuando haya muy poca visibilidad. Estas estrategias serán descritas por el fabricante y evaluadas conforme al anexo 4.

7.1.4.

El fabricante del vehículo aportará pruebas de que los efectos del desgaste y el envejecimiento no reducen el rendimiento del sistema de detección por debajo del valor mínimo requerido especificado en el punto 7.1 durante toda la vida útil del sistema/vehículo.

7.1.5.

Deberá demostrarse, a satisfacción del servicio técnico, que se cumplen las disposiciones del punto 7.1 y sus partes, y probarse con arreglo a los ensayos pertinentes del anexo 5.

7.1.6.

Una simple percepción de mal funcionamiento sin fallo no debe inducir un evento peligroso. El fabricante del vehículo deberá describir las estrategias de diseño aplicadas y demostrar su seguridad a satisfacción del servicio técnico con arreglo a lo establecido en el anexo 4.

8. SISTEMA DE ALMACENAMIENTO DE DATOS PARA CONDUCCIÓN AUTÓNOMA

8.1.

Cada vehículo equipado con sistema automático de mantenimiento del carril (el sistema) incorporará un sistema de almacenamiento de datos para la conducción autónoma que cumpla los requisitos que se especifican a continuación. El fabricante demostrará el cumplimiento de lo dispuesto en el apartado 8, a satisfacción del servicio técnico, durante la inspección del enfoque de la seguridad como parte de la evaluación conforme al anexo 4.

Este Reglamento se aplica sin perjuicio de la legislación nacional y regional que regula el acceso a los datos, la privacidad y la protección de datos.

8.2.

Incidencias registradas

8.2.1.

Cada vehículo equipado con un sistema de almacenamiento de datos para la conducción autónoma registrará al menos una entrada por cada una de las siguientes incidencias tras la activación del sistema:

a)	Activación del sistema.

Desactivación del sistema, a causa de:

i)	uso de medios específicos para que el conductor desactive el sistema;

ii)	anulación en el mando de dirección;

iii)	anulación por el control del acelerador mientras se sujeta el mando de dirección;

iv)	anulación por el control de frenado mientras se sujeta el mando de dirección.

Demanda de transición iniciada por el sistema, a causa de:

i)	evento planificado;

ii)	evento no planificado;

iii)	falta de disponibilidad del conductor (conforme al punto 6.1.3);

iv)	conductor ausente o con el cinturón de seguridad desabrochado (conforme al punto 6.1.2);

v)	fallo del sistema;

vi)	anulación del sistema por acción del freno;

vii)	anulación del sistema por acción del acelerador.

d)	Reducción o supresión de la acción del conductor.

e)	Inicio de la maniobra de emergencia.

f)	Final de la maniobra de emergencia.

g)	Acción desencadenante del registrador de datos de eventos.

h)	Involucración en una colisión detectada.

i)	Inicio de una maniobra de riesgo mínimo por el sistema.

j)	Fallo grave del sistema automático de mantenimiento del carril.

k)	Fallo grave del vehículo.

8.3.

Elementos de datos

8.3.1.

Por cada uno de los eventos enumerados en el punto 8.2, el sistema de almacenamiento de datos para la conducción autónoma registrará al menos los siguientes elementos de datos de manera que sean claramente identificables:

a)	El marcador de incidencia, conforme al punto 8.2.

b)	El motivo de la incidencia, según proceda, y conforme al punto 8.2.

c)	Fecha (resolución: aaaa-mm-dd).

Sello de tiempo:

i)	Resolución: hh/mm/ss huso horario, p. ej., 12:59:59 UTC.

ii)	Precisión: +/- 1,0 s.

8.3.2.

Por cada uno de los eventos enumerados en el punto 8.2, se podrá identificar con claridad el número R157SWIN del sistema automático de mantenimiento del carril, o las versiones de software pertinentes para el sistema, con indicación de que el software estaba presente en el momento de producirse el evento.

8.3.3.

Se admitirá un único sello de tiempo para varios elementos registrados simultáneamente en la resolución temporal de los elementos de datos específicos. Si se registra más de un elemento con el mismo sello de tiempo, la información de cada elemento indicará el orden cronológico.

8.4.

Disponibilidad de los datos

8.4.1.

Los datos del sistema de almacenamiento de datos para la conducción autónoma deberán estar disponibles con arreglo a los requisitos de la legislación nacional y regional (3).

8.4.2.

Una vez que se alcancen los límites de almacenamiento del sistema de almacenamiento de datos para la conducción autónoma, solo se sobrescribirán los datos existentes siguiendo el procedimiento «primero en entrar, primero en salir», con el principio de respetar los requisitos pertinentes de disponibilidad de los datos.

El fabricante del vehículo demostrará la capacidad de almacenamiento documentalmente.

8.4.3.

Los datos se podrán recuperar incluso después de un impacto del nivel de gravedad establecido por los Reglamentos n.o 94, n.o 95 o n.o 137 de las Naciones Unidas. Si la principal fuente de alimentación de a bordo no está disponible, todavía será posible recuperar todos los datos registrados en el sistema de almacenamiento de datos para la conducción autónoma, según lo establecido en la legislación nacional y regional.

8.4.4.

Los datos almacenados en el sistema de almacenamiento de datos para la conducción autónoma se podrán leer fácilmente por un método normalizado mediante el uso de una interfaz electrónica de comunicación, al menos a través de la interfaz estándar (puerto DAB).

8.4.5.

Se facilitarán las instrucciones del fabricante sobre el modo de acceder a los datos.

8.5.

Protección contra manipulaciones.

8.5.1.

Se garantizará una protección adecuada contra la manipulación indebida (por ejemplo, el borrado) de los datos almacenados.

8.6.

Disponibilidad del funcionamiento del sistema de almacenamiento de datos para la conducción autónoma

8.6.1.

El sistema de almacenamiento de datos para la conducción autónoma podrá comunicarse con el sistema para informar que el sistema de almacenamiento de datos para la conducción autónoma está operativo.

9. CIBERSEGURIDAD Y ACTUALIZACIONES DE SOFTWARE

9.1.

La eficacia del sistema no deberá verse mermada a causa de ciberataques, ciberamenazas y vulnerabilidades. La eficacia de las medidas de seguridad deberá demostrarse mediante el cumplimiento del Reglamento n.o 155 de las Naciones Unidas.

9.2.

Si el sistema permite actualizaciones de software, la eficacia de los procedimientos y procesos de actualización de software deberá demostrarse mediante el cumplimiento del Reglamento n.o 156 de las Naciones Unidas.

9.3.

Requisitos de identificación de software

9.3.1.

Para garantizar que se pueda identificar el software del sistema, el fabricante del vehículo podrá aplicar un número R157SWIN. Si no se aplica el número R157SWIN, se aplicará un sistema alternativo de identificación de software (es decir, la versión del software).

9.3.2.

Si el fabricante aplica un número R157WIN, se aplicará lo siguiente:

9.3.2.1.

El fabricante del vehículo estará en posesión de una homologación válida conforme al Reglamento n.o 156 de las Naciones Unidas (Reglamento de actualización de software).

9.3.2.2.

El fabricante del vehículo proporcionará la siguiente información en el formulario de comunicación de este Reglamento:

a)	El número R157SWIN.

b)	El procedimiento de lectura del número R157SWIN o de las versiones del software en el caso de que el número R157SWIN no se guarde en el vehículo.

9.3.2.3.

El fabricante del vehículo podrá incluir en el formulario de comunicación de este Reglamento una lista de los parámetros pertinentes que permitirán la identificación de aquellos vehículos que puedan actualizarse con el software representado por el número R157SWIN. La información facilitada será declarada por el fabricante del vehículo y no podrá ser verificada por una autoridad de homologación.

9.3.3.

El fabricante del vehículo podrá obtener una nueva homologación del vehículo con el fin de diferenciar las versiones de software que se pretendan usar en vehículos ya matriculados en el mercado de las versiones de software que se utilicen en vehículos nuevos. Esto puede cubrir situaciones en que se actualicen las normas de homologación de tipo o se realicen cambios de hardware en los vehículos de producción en serie. De acuerdo con la agencia responsable de los ensayos, se evitará la duplicación de ensayos en la medida de lo posible.

10. MODIFICACIÓN DEL TIPO DE VEHÍCULO Y EXTENSIÓN DE LA HOMOLOGACIÓN DE TIPO

10.1.

Toda modificación de un tipo de vehículo existente deberá notificarse a la autoridad de homologación de tipo que lo haya homologado.

Dicha autoridad deberá entonces:

a)	decidir, en consulta con el fabricante, que debe concederse una nueva homologación de tipo; o bien

b)	aplicar el procedimiento descrito en el punto 10.1.1 (Revisión) y, en su caso, el procedimiento descrito en el punto 10.1.2 (Extensión).

10.1.1.

Revisión

Cuando hayan cambiado los datos registrados en las fichas de características y la autoridad de homologación de tipo considere improbable que las modificaciones realizadas tengan consecuencias negativas apreciables y que, en cualquier caso, los mandos que se accionan con el pie siguen cumpliendo los requisitos correspondientes, la modificación será considerada una «revisión».

En estos casos, la autoridad de homologación de tipo deberá expedir las páginas revisadas de las fichas de características, según proceda, señalando claramente en cada página revisada qué tipo de cambio se ha producido y en qué fecha tuvo lugar la nueva expedición.

Se considerará cumplido este requisito mediante una copia consolidada y actualizada de las fichas de características que lleve adjunta una descripción detallada de los cambios.

10.1.2.

Extensión

La modificación se considerará una «extensión» si, además de la modificación de los datos registrados en las fichas de características:

a)	deben realizarse nuevas inspecciones o nuevos ensayos, o bien

b)	ha cambiado cualquier información de la ficha de características (a excepción de sus documentos adjuntos), o bien

c)	se pide la homologación conforme a una serie posterior de enmiendas después de su entrada en vigor.

10.2.

La confirmación o denegación de la homologación se comunicará a las Partes contratantes del Acuerdo que apliquen el presente Reglamento, especificando la modificación, mediante el procedimiento indicado en el punto 4.3. Por otra parte, se modificará en consecuencia el índice de la ficha de características y de las actas de ensayo, que se adjunta a la ficha de características del anexo 1, para mostrar la fecha de la revisión o extensión más reciente.

10.3.

La autoridad competente que expida la extensión de la homologación asignará un número de serie a cada formulario de comunicación cumplimentado para dicha extensión.

11. CONFORMIDAD DE LA PRODUCCIÓN

11.1.

Los procedimientos relativos a la conformidad de la producción deberán ajustarse a los expuestos en el anexo 1 del Acuerdo de 1958 (E/ECE/TRANS/505/Rev.3) y cumplir los requisitos siguientes:

11.2.

Todo vehículo homologado con arreglo al presente Reglamento estará fabricado de manera que sea conforme al tipo homologado mediante el cumplimiento de los requisitos del presente Reglamento.

11.3.

La autoridad de homologación de tipo que haya concedido la homologación podrá verificar en todo momento la conformidad de los métodos de control aplicables a cada unidad de producción. La frecuencia normal de dichas inspecciones será de una vez cada dos años.

12. SANCIONES POR FALTA DE CONFORMIDAD DE LA PRODUCCIÓN

12.1.

Podrá retirarse la homologación concedida con respecto a un tipo de vehículo con arreglo al presente Reglamento si no se cumplen los requisitos establecidos en el apartado 8.

12.2.

Cuando una Parte contratante retire una homologación que haya concedido previamente, informará de ello de forma inmediata a las demás Partes contratantes que apliquen el presente Reglamento mediante el envío de un formulario de comunicación conforme al modelo que figura en el anexo 1 del presente Reglamento.

13. CESE DEFINITIVO DE LA PRODUCCIÓN

13.1.

Cuando el titular de una homologación cese definitivamente la fabricación de un tipo de vehículo homologado con arreglo al presente Reglamento, informará de ello a la autoridad de homologación de tipo que haya concedido la homologación, la cual, a su vez, informará inmediatamente a las demás Partes Contratantes del Acuerdo que apliquen el presente Reglamento mediante un formulario de comunicación conforme con el modelo del anexo 1.

13.2.

No se considerará que se ha producido el cese definitivo de la producción si el fabricante del vehículo tiene intención de obtener homologaciones adicionales de actualizaciones de software para vehículos ya matriculados en el mercado.

14. NOMBRES Y DIRECCIONES DE LOS SERVICIOS TÉCNICOS RESPONSABLES DE LA REALIZACIÓN DE LOS ENSAYOS DE HOMOLOGACIÓN Y DE LAS AUTORIDADES DE HOMOLOGACIÓN DE TIPO

Las Partes contratantes del Acuerdo que apliquen el presente Reglamento comunicarán a la Secretaría de las Naciones Unidas (4) el nombre y la dirección de los servicios técnicos encargados de realizar los ensayos de homologación y de las autoridades de homologación de tipo que concedan la homologación y a las cuales deban remitirse los formularios que certifiquen la concesión, la extensión, la denegación o la retirada de la homologación.

(1) Con arreglo a la definición que figura en la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev.6, apartado 2 www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html

(2) Los números distintivos de las Partes Contratantes del Acuerdo de 1958 figuran en el anexo 3 de la Resolución consolidada sobre la construcción de vehículos (R.E.3), documento ECE/TRANS/WP.29/78/Rev. 6: www.unece.org/trans/main/wp29/wp29wgs/wp29gen/wp29resolutions.html.

(3) Nota: de acuerdo con un reciente estudio cuantitativo de una Parte contratante, el GRVA está considerando la posibilidad de que el texto establezca varias especificaciones de 2 500 sellos de tiempo que se correspondan con un período de seis meses de uso.

(4) A través de la plataforma en línea («/343 Application») facilitada por la CEPE y dedicada al intercambio de tal información: https://www.unece.org/trans/main/wp29/datasharing.html

ANEXO 1

Comunicación

(Formato máximo: A4 (210 × 297 mm)

(1)

expedida por

nombre de la administración:

…

relativa a (2):

la concesión de la homologación

la extensión de la homologación

la denegación de la homologación

la retirada de la homologación

el cese definitivo de la producción

de un tipo de vehículo por lo que respecta al sistema automático de mantenimiento del carril con arreglo al Reglamento n.o 157 de las Naciones Unidas

N.o de homologación …

Motivo de la extensión o revisión: …

Denominación comercial o marca del vehículo …

Tipo de vehículo …

Nombre y dirección del fabricante …

En su caso, nombre y dirección del representante del fabricante …

Características generales de fabricación del vehículo

5.1.

Fotografías o esquemas de un vehículo representativo …

Descripción o esquema del sistema automático de mantenimiento del carril, que incluya:

6.1.

Velocidad máxima especificada del sistema automático de mantenimiento del carril declarada por el fabricante …

6.2

Sistema de detección (incluidos sus componentes) …

6.3.

Instalación del sistema de detección del sistema automático de mantenimiento del carril …

6.4.

Identificación de software del sistema automático de mantenimiento del carril (en su caso) …

Descripción escrita o esquema de la interfaz persona-máquina del sistema automático de mantenimiento del carril, que incluya:

7.1.

Métodos para detectar la disponibilidad del conductor …

7.2.

Medios para activar, desactivar y anular el sistema …

7.3.

Métodos para determinar la atención del conductor …

7.4.

Cualquier limitación del sistema ocasionada por condiciones ambientales o de la vía…

Descripción escrita o esquema de la información facilitada al conductor, que incluya:

8.1.

Estado del sistema …

8.2.

Demanda de transición …

8.3.

Maniobra de riesgo mínimo …

8.4.

Maniobra de emergencia …

Sistema de almacenamiento de datos para conducción autónoma (sistema de almacenamiento de datos para la conducción autónoma)

9.1.

Rendimiento del sistema de almacenamiento de datos para la conducción autónoma verificado tras los ensayos realizados conforme al anexo 5: …sí/no

9.2.

Verificada la documentación del sistema de almacenamiento de datos para la conducción autónoma relativa a la posibilidad de recuperar los datos, la autocomprobación de integridad de los datos y la protección contra la manipulación de los datos almacenados: sí/no

10.

Ciberseguridad y actualizaciones de software

10.1.

…Número de homologación de tipo de ciberseguridad (en su caso)

10.2.

Número de homologación de tipo de la actualización de software (en su caso) …

11.

Requisitos especiales aplicables a los aspectos relativos a la seguridad de los sistemas electrónicos de control (anexo 4)

11.1.

Referencia documental del fabricante para el anexo 4 (incluido el número de versión) …

11.2.

Formulario del documento de información (apéndice 2 del anexo 4) …

12.

Servicio técnico responsable de realizar los ensayos de homologación…

12.1.

Fecha del informe de ensayo expedido por dicho servicio…

12.2.

Número (de referencia) del informe expedido por dicho servicio…

13.

Homologación concedida/extendida/denegada/retirada2

14.

Ubicación de la marca de homologación en el vehículo…

15.

Lugar…

16.

Fecha…

17.

Firma…

18.

Se adjunta a la presente comunicación una lista de los documentos que figuran en el expediente de homologación depositado en el servicio administrativo que ha expedido la homologación y que pueden obtenerse previa petición

Información adicional

19.

Número R157SWIN: …

19.1.

Información sobre el procedimiento de lectura del número R157SWIN o de las versiones del software en el caso de que el número R157SWIN no se guarde en el vehículo …

19.2.

En su caso, deberán enumerarse los parámetros pertinentes que permitan la identificación de aquellos vehículos que puedan actualizarse con el software representado por el número R157SWIN previsto en el punto 19.1 …

(1) Número distintivo del país que ha concedido/extendido/denegado/retirado la homologación (véanse las disposiciones del Reglamento n.o 157 de las Naciones Unidas relativas a la homologación).

(2) Táchese lo que no proceda.

Apéndice

Apéndice a la Comunicación de la homologación de tipo n.o… en relación con la homologación de un tipo de vehículo por lo que respecta al sistema automático de mantenimiento del carril en virtud del Reglamento n.o 157

Información adicional

Regiones de la Parte contratantes donde el fabricante del vehículo ha declarado que se había evaluado que el sistema automático de mantenimiento del carril cumple con la normativa de tráfico local:

País	Evaluado	Comentarios sobre cualquier restricción
E 1 Alemania	Sí/No
E 2 Francia
E 3 Italia
E 4 Países Bajos
E 5 Suecia
E 6 Bélgica
E 7 Hungría
E 8 Chequia
E 9 España
E 10 Serbia
E 11 Reino Unido
E 12 Austria
E 13 Luxemburgo
E 14 Suiza
E 16 Noruega
E 17 Finlandia
E 18 Dinamarca
E 19 Rumanía
E 20 Polonia
E 21 Portugal
E 22 Federación de Rusia
E 23 Grecia
E 24 Irlanda
E 25 Croacia
E 26 Eslovenia
E 27 Eslovaquia
E 28 Belarús
E 29 Estonia
E 30 Moldova
E 31 Bosnia y Herzegovina
E 32 Letonia
E 34 Bélgica
E 35 Kazajstán
E 36 Lituania
E 37 Turquía
E 39 Azerbaiyán
E 40 Macedonia del Norte
E 43 Japón
E 45 Australia
E 46 Ucrania
E 47 Sudáfrica
E 48 Nueva Zelanda
E 49 Chipre
E 50 Malta
E 51 República de Corea
E 52 Malasia
E 53 Tailandia
E 54 Albania E 55 Armenia
E 56 Montenegro
E 57 San Marino
E 58 Túnez
E 60 Georgia
E 62 Egipto
E 63 Nigeria
[E 64 Pakistán]
(*)

(*) La lista de Partes contratantes que aplican el Reglamento n.o 157 de las Naciones Unidas se puede consultar en internet: https://treaties.un.org/Pages/ViewDetails.aspx?src=TREATY&mtdsg_no=XI-B-16-15[X]&chapter=11&clang=_en

ANEXO 2

Disposiciones relativas a las marcas de homologación

MODELO A

(véase el punto 4.4 del presente Reglamento)

a = 8 mm mín.

Esta marca de homologación colocada en un vehículo indica que el tipo de vehículo en cuestión ha sido homologado, por lo que respecta al sistema automático de mantenimiento del carril, en los Países Bajos (E 4) con arreglo al Reglamento n.o 157 de las Naciones Unidas, con el número de homologación 002439. El número de homologación indica que esta se concedió con arreglo a los requisitos del Reglamento n.o 157 de las Naciones Unidas en su versión original.

MODELO B

(véase el punto 4.5 del presente Reglamento)

a = 8 mm mín.

Esta marca de homologación colocada en un vehículo indica que el tipo de vehículo ha sido homologado en los Países Bajos (E 4) con arreglo a los Reglamentos n.o 157 y n.o 31 (1). Los números de homologación indican que, cuando se concedieron las homologaciones respectivas, la versión existente del Reglamento n.o 157 de las Naciones Unidas era la original y el Reglamento n.o 31 de las Naciones Unidas incluía la serie 02 de enmiendas.

(1) El segundo número se ofrece únicamente a modo de ejemplo.

ANEXO 3

(Reservado)

ANEXO 4

Requisitos especiales aplicables a los aspectos relativos a la seguridad funcional y operativa de los sistemas automáticos de mantenimiento del carril

1. GENERALIDADES

El presente anexo tiene por objeto asegurar que el fabricante haya realizado un examen minucioso aceptable de la seguridad funcional y operativa del sistema automático que preste las funciones reguladas por el Reglamento relativo al sistema automático de mantenimiento del carril durante los procesos de diseño y desarrollo y que continúe haciéndolo durante todo el ciclo de vida del tipo de vehículo (diseño, desarrollo, producción, uso normal y retirada del servicio).

Comprende la documentación que debe entregar el fabricante a la autoridad de homologación de tipo o al servicio técnico que actúe en su representación (en adelante, la «autoridad de homologación de tipo»), para los efectos de la homologación de tipo.

Esta documentación demostrará que el sistema automático de mantenimiento del carril cumple los requisitos de rendimiento especificados en el presente Reglamento, que está diseñado y desarrollado para funcionar de manera que no entrañe riesgos excesivos para la seguridad del conductor, de los pasajeros y de otros usuarios de la vía.

La autoridad de homologación de tipo que conceda la homologación realizará controles aleatorios y ensayos dirigidos a verificar que la argumentación justificada por la documentación es suficientemente sólida y que el diseño y los procesos en ella descritos son efectivamente aplicados por el fabricante.

Aunque sobre la base de la documentación y las pruebas aportadas y las auditorías de procesos/evaluaciones de productos realizadas a satisfacción de la autoridad de homologación de tipo en relación con el presente Reglamento, el nivel residual de riesgo del sistema automático de mantenimiento del carril que se ha evaluado se considera aceptable para que el tipo de vehículo entre en servicio, la seguridad general del vehículo durante toda la vida útil del sistema automático de mantenimiento del carril de conformidad con los requisitos del presente Reglamento es responsabilidad del fabricante que solicita la homologación de tipo.

2. DEFINICIONES

A los efectos del presente anexo, se aplicarán las definiciones siguientes:

2.1.

El «sistema» es un sistema «electrónico de control de nivel superior» y sus «sistemas electrónicos de control» que ejecutan la función de conducción autónoma. Esto también incluye cualquier enlace de transmisión hacia o desde otros sistemas no incluidos en el ámbito de aplicación del presente Reglamento y que actúe sobre la función automática de mantenimiento del carril.

2.2.

El «concepto de seguridad» es una descripción de las medidas integradas en el sistema, por ejemplo, en las unidades electrónicas, para que el vehículo funcione sin riesgos excesivos para la seguridad del conductor, de los pasajeros y de otros usuarios de la vía en presencia o ausencia de defectos. La posibilidad de recurrir a un funcionamiento parcial o incluso a un sistema de reserva para mantener las funciones esenciales del vehículo formará parte del concepto de seguridad.

2.3.

2.4.

Los sistemas «electrónicos de control de nivel superior» son aquellos que emplean dispositivos de procesamiento o detección para ejecutar la tarea de conducción dinámica.

2.5.

Las «unidades» son las divisiones más pequeñas de los componentes del sistema que se considerarán en el presente anexo, ya que estas combinaciones de componentes se tratarán como entidades únicas a efectos de identificación, análisis o sustitución.

2.6.

«Enlaces de transmisión» son los medios utilizados para interconectar las unidades distribuidas, con el fin de transmitir señales, datos relativos al funcionamiento o un suministro de energía. Este equipo es, por lo general, eléctrico, pero puede ser en parte mecánico, neumático o hidráulico.

2.7.

El «ámbito de control» es una variable de salida que define el ámbito en el que el sistema puede ejercer su control.

2.8.

«Límites de funcionamiento efectivo» son los límites físicos externos dentro de los cuales el sistema puede ejecutar las tareas de conducción dinámica (es decir, incluidas las demandas de transición y las maniobras de riesgo mínimo).

2.9.

El «dominio del diseño operativo» del sistema automático de mantenimiento del carril define las condiciones específicas de funcionamiento (por ejemplo, ambientales, geográficas, hora del día, infraestructura, intervalo de velocidades, meteorología y otras condiciones) dentro de los límites establecidos por el presente Reglamento conforme a los cuales está el sistema automático de mantenimiento del carril diseñado para funcionar sin intervención del conductor.

2.10.

La «función de conducción autónoma» es una función del «sistema» que es capaz de ejecutar la tarea de conducción dinámica del vehículo.

2.11.

La «estrategia de control» es una estrategia para garantizar la solidez y seguridad del funcionamiento del «sistema» en respuesta a un conjunto específico de condiciones ambientales u operativas (como el estado de la superficie de la carretera, la intensidad del tráfico y otros usuarios de la vía, condiciones meteorológicas adversas, etcétera). Esto puede incluir la desactivación automática de una función o de restricciones temporales de rendimiento (por ejemplo, una reducción de la velocidad máxima en servicio, etc.).

2.12.

La «seguridad funcional» es la ausencia de riesgos excesivos ante la incidencia de peligros causados por un mal funcionamiento de los sistemas eléctricos y electrónicos (peligros para la seguridad derivados de defectos del sistema).

2.13.

Un «defecto» es una circunstancia anómala que puede provocar el fallo de un elemento (sistema, componente o software) o un equipo (sistema o combinación de sistemas que ejecutan una función de un vehículo).

2.14.

Un «fallo» es el cese de un comportamiento previsto de un elemento o de un equipo.

2.15.

La «seguridad operativa» es la ausencia de riesgos excesivos ante la incidencia de peligros derivados de insuficiencias funcionales de la funcionalidad prevista (por ejemplo, un falso positivo/negativo en la detección), perturbaciones del funcionamiento (por ejemplo, condiciones ambientales como niebla, lluvia, sombra, luz solar o infraestructura) o mediante la previsión razonable de usos indebidos o errores por parte del conductor, los pasajeros u otros usuarios de la vía (peligros para la seguridad, sin defectos del sistema).

2.16.

«Riesgo excesivo» es el nivel general de riesgo para el conductor, para los ocupantes del vehículo y para otros usuarios de la vía que aumenta en comparación con un vehículo manejado por un conductor competente y cuidadoso.

3. DOCUMENTACIÓN

3.1.

Requisitos

El fabricante deberá presentar documentación que muestre el diseño básico del «sistema» y los medios por los que se conecta con otros sistemas del vehículo o mediante los cuales controla directamente las variables de salida.

Deberán explicarse las funciones del «sistema», incluidas las estrategias de control, y el concepto de seguridad, según estén establecidos por el fabricante.

La documentación deberá ser breve, pero aportará pruebas de que en el diseño y el desarrollo se han aprovechado los conocimientos especializados de todos los ámbitos relacionados con el «sistema».

De cara a las inspecciones técnicas periódicas, la documentación deberá describir el modo de comprobar el estado de funcionamiento actual del «sistema».

La información sobre cómo se puede leer la versión o las versiones del software y el estado de la señal de aviso de fallo de forma normalizada mediante el uso de una interfaz de comunicación electrónica, como mínimo mediante la interfaz estándar (puerto DAB).

La autoridad de homologación de tipo deberá determinar si la documentación demuestra que el «sistema»:

a)	se ha diseñado y desarrollado para funcionar de manera que no entrañe riesgos excesivos para el conductor, para los pasajeros y para otros usuarios de la vía dentro del dominio del diseño operativo y los límites declarados;

b)	cumple los requisitos de rendimiento especificados en otras partes del presente Reglamento de las Naciones Unidas;

c)	se ha desarrollado conforme al proceso/método de desarrollo declarado por el fabricante y este incluye al menos los pasos indicados en el punto 3.4.4.

3.1.1.

La documentación deberá estar disponible en tres partes:

a)	Solicitud de homologación de tipo: El documento informativo que se presente a la autoridad de homologación de tipo en el momento de solicitar la homologación de tipo contendrá información breve sobre los equipos enumerados en el apéndice 2. Formará parte de la homologación.

La documentación oficial para la homologación, que incluirá el material enumerado en el presente apartado 3 (a excepción del mencionado en el punto 3.4.4), que se entregará a la autoridad de homologación de tipo para los fines de la evaluación del producto/auditoría del proceso. La autoridad de homologación de tipo utilizará esta documentación como referencia de base para el proceso de verificación establecido en el apartado 4 del presente anexo. La autoridad de homologación de tipo se asegurará de que esta documentación permanezca disponible durante un período determinado de al menos diez años a partir del cese definitivo de la producción del tipo de vehículo.

El material y los datos de análisis confidenciales adicionales (propiedad intelectual) del punto 3.4.4, que permanecerán en poder del fabricante, pero que se presentarán para su inspección (por ejemplo, de forma presencial en las instalaciones técnicas del fabricante) en el momento de la evaluación del producto/auditoría del proceso. El fabricante se asegurará de que este material y los datos de análisis permanezcan disponibles durante un período de diez años a partir del cese definitivo de la producción del tipo de vehículo.

3.2.

Descripción de las funciones del «sistema», incluidas las estrategias de control

Deberá facilitarse una descripción que ofrezca una explicación sencilla de todas las funciones del «sistema», incluidas las estrategias de control, y de los métodos empleados para ejecutar las tareas de conducción dinámica dentro del dominio del diseño operativo y los límites conforme a los cuales esté el sistema automático de mantenimiento del carril diseñado para funcionar, incluida una declaración de los mecanismos por los cuales se ejerza dicho control. El fabricante describirá las interacciones esperadas entre el sistema y el conductor, los ocupantes del vehículo y otros usuarios de la vía, así como la interfaz persona-máquina (IPM).

Deberán declararse todas las funciones de conducción autónoma habilitadas o deshabilitadas para las que el vehículo incorpore hardware y software en el momento de la producción, y estarán sujetas a los requisitos del presente anexo, antes de utilizarse en el vehículo. El fabricante también documentará el procesamiento de los datos en el caso de que se apliquen algoritmos de aprendizaje continuo.

3.2.1.

Deberá proporcionarse una lista de todas las variables de entrada y detectadas e indicarse su intervalo de funcionamiento, junto con una descripción de cómo afecta cada variable al comportamiento del sistema.

3.2.2.

Deberá facilitarse una lista de todas las variables de salida que estén controladas por el «sistema» y explicarse, en cada caso, si dicho control es directo o se ejerce a través de otro sistema del vehículo. Deberá definirse el ámbito de control (punto 2.7) ejercido sobre cada una de estas variables.

3.2.3.

Cuando sea pertinente desde el punto de vista del rendimiento del sistema automático de mantenimiento del carril, deberán indicarse los límites de funcionamiento efectivo, incluidos los límites del dominio del diseño operativo.

3.2.4.

Se explicará el concepto de interacción con el conductor cuando se alcancen los límites del dominio del diseño operativo, incluida la lista de tipos de situaciones en las que el sistema generará una demanda de transición al conductor.

3.2.5.

Deberá facilitarse información acerca de los medios de activación, anulación o desactivación del sistema, incluida la estrategia de protección del sistema contra su desactivación no intencionada. También se incluirá información sobre la forma en que el sistema detecta que el conductor está disponible para asumir el control de la conducción, junto con especificaciones y pruebas documentales del parámetro utilizado para determinar que el conductor está atento, así como la influencia sobre los umbrales de dirección.

3.3.

Configuración y esquema del sistema

3.3.1.

Inventario de componentes

Deberá facilitarse una lista en la que se enumeren todas las unidades del «sistema» y se indique qué otros sistemas del vehículo son necesarios para lograr la función de control de que se trate.

Deberá proporcionarse un esquema que muestre la combinación de estas unidades e ilustre claramente la distribución de los equipos y las interconexiones.

Dicho esquema deberá incluir:

a)	Percepción y detección de objetos, incluida la cartografía y el posicionamiento.

b)	Caracterización de la toma de decisiones.

c)	Supervisión remota y monitorización remota por un centro de supervisión remota (en su caso).

d)	Sistema de almacenamiento de datos para la conducción autónoma.

3.3.2.

Funciones de las unidades

Se indicará la función de cada unidad del «sistema» y se mostrarán las señales por las que se establezca su vinculación a otras unidades u otros sistemas del vehículo. Esta información podrá suministrarse mediante un diagrama de bloques con etiquetas u otro tipo de esquema, o mediante una descripción acompañada de un diagrama de este tipo.

3.3.3.

Las interconexiones dentro del «sistema» se mostrarán mediante un diagrama de circuitos para los enlaces de transmisión eléctricos, mediante un diagrama de conductos para el mecanismo de transmisión neumático o hidráulico, y mediante un diagrama simplificado para los enlaces mecánicos que muestre la ubicación de los mismos. Se mostrarán también los enlaces de transmisión hacia y desde otros sistemas.

3.3.4.

Existirá una correspondencia clara entre estos enlaces de transmisión y las señales transmitidas entre las unidades. Se establecerán prioridades de las señales en canales de datos multiplexados, siempre que la prioridad pueda constituir un elemento que afecte al rendimiento o a la seguridad.

3.3.5.

Identificación de las unidades

Cada unidad deberá estar identificada de manera clara e inequívoca (por ejemplo, mediante marcado en el caso del hardware y mediante marcado o una salida de software en el caso del software) para poder asociar el hardware a la documentación correspondiente. Cuando se pueda cambiar la versión de software sin necesidad de sustituir el marcado o el componente, el software deberá identificarse únicamente por medio de una salida de software.

Cuando varias funciones se combinen en una única unidad o, de hecho, en un único ordenador, pero en el correspondiente diagrama se muestren en múltiples bloques para mayor claridad y para facilitar su explicación, deberá utilizarse solamente una marca de identificación del hardware. Al utilizar esta identificación, el fabricante estará afirmando que el equipo suministrado es conforme con el documento correspondiente.

3.3.5.1.

La identificación define la versión de hardware y software y, en el caso de que esta última cambie de modo que altere la función de la unidad por lo que respecta al presente Reglamento, deberá cambiarse también la identificación.

3.3.6.

Instalación de componentes del sistema de detección

El fabricante facilitará información relativa a las opciones de instalación que se emplearán para los componentes individuales que comprenden el sistema de detección. Dichas opciones abarcarán, entre otras, la ubicación del componente en el vehículo, los materiales alrededor del componente, el dimensionamiento y la geometría de los materiales alrededor del componente, y el acabado superficial de los materiales alrededor del componente, una vez instalados en el vehículo. Esta información también incluirá especificaciones de instalación que sean críticas para el rendimiento del sistema, por ejemplo, las tolerancias del ángulo de instalación.

Todos los cambios introducidos en los distintos componentes del sistema de detección, o de las opciones de instalación, se notificarán a la autoridad de homologación de tipo y estarán sujetos a evaluación.

3.4.

Concepto de seguridad del fabricante

3.4.1.

El fabricante presentará una declaración en la que afirme que el «sistema» no entraña riesgos excesivos para el conductor, para los pasajeros y para otros usuarios de la vía.

3.4.2.

En cuanto al software empleado en el «sistema», se explicará su arquitectura básica y se indicarán los métodos y herramientas de diseño utilizados (véase el punto 3.5.1). El fabricante presentará pruebas de los medios utilizados para determinar la realización de la lógica del sistema durante el proceso de diseño y de desarrollo.

3.4.3.

El fabricante proporcionará a la autoridad de homologación de tipo una explicación de las disposiciones de diseño integradas en el «sistema» para garantizar su seguridad funcional y operativa. Tales disposiciones de diseño del «sistema» pueden ser, por ejemplo:

a)	recurrir al funcionamiento con un sistema parcial;

b)	redundancia con un sistema aparte;

c)	suprimir la función de conducción autónoma.

3.4.3.1.

Si la medida elegida selecciona un modo de funcionamiento de rendimiento parcial en determinadas condiciones de fallo (por ejemplo, en caso de fallos graves), deberán especificarse dichas condiciones (por ejemplo, el tipo de fallo grave) y definirse los límites de eficacia resultantes (por ejemplo, inicio inmediato de una maniobra de riesgo mínimo), así como la estrategia de aviso al conductor.

3.4.3.2.

Si la medida elegida selecciona un medio secundario (de reserva) para ejecutar la tarea de conducción dinámica, se explicarán los principios del mecanismo que permite cambiar a dicho medio, la lógica y el nivel de redundancia, así como todas las características de comprobación de reserva incorporadas, y deberán definirse los límites de la eficacia de reserva resultantes.

3.4.3.3.

Si la medida elegida selecciona la supresión de la función de conducción autónoma, ello se hará en cumplimiento de las disposiciones pertinentes del presente Reglamento. Deberán inhibirse todas las señales de control de salida asociadas a dicha función.

3.4.4.

La documentación deberá ir acompañada de un análisis que muestre, en términos generales, cómo se comportará el sistema para mitigar o evitar los peligros que puedan afectar a la seguridad del conductor, los pasajeros y otros usuarios de la vía.

El fabricante establecerá y mantendrá los enfoques analíticos elegidos y los pondrá a disposición de la autoridad de homologación de tipo para su inspección en el momento de la homologación de tipo.

La autoridad de homologación de tipo evaluará la aplicación de los enfoques analíticos, para lo cual realizará:

a)	una inspección del enfoque de la seguridad a nivel de concepto (vehículo); este enfoque se basará en un análisis de peligros/riesgos adecuado para la seguridad del sistema;

una inspección del enfoque de la seguridad a nivel de sistema, que incluirá un enfoque descendente (desde el posible peligro hasta el diseño) y un enfoque ascendente (desde el diseño hasta los posibles peligros); el enfoque de la seguridad se podrá basar en un análisis modal de fallos y efectos (AMFE), un análisis en forma de árbol de fallos y un análisis de proceso teórico del sistema o cualquier otro procedimiento similar que resulte adecuado para las consideraciones relativas a la seguridad funcional y operativa del sistema;

una inspección de los planes de validación/verificación y los resultados, que incluya criterios de aceptación adecuados. Dicha validación incluirá ensayos adecuados, por ejemplo, ensayos del sistema físico en la realimentación (Hardware in the Loop), ensayos de funcionamiento del vehículo en carretera, ensayos con usuarios reales, o cualquier otro medio apropiado para la validación/verificación. Los resultados de la validación y verificación podrán ser evaluados analizando la cobertura de los distintos ensayos y estableciendo umbrales mínimos de cobertura para varias métricas.

La inspección confirmará que al menos cada uno de los siguientes aspectos esté cubierto cuando proceda en virtud de las letras a) hasta c):

i)	problemas relacionados con interacciones con otros sistemas del vehículo (por ejemplo, los frenos o la dirección);

ii)	fallos del sistema automático de mantenimiento del carril y reacciones de mitigación de riesgos del sistema;

iii)

situaciones en el marco del dominio del diseño operativo en las que un sistema podría entrañar riesgos excesivos para la seguridad del conductor, los pasajeros y otros usuarios de la vía debido a perturbaciones del funcionamiento (por ejemplo, falta o error de comprensión del entorno del vehículo, error de interpretación de la reacción del conductor, de un pasajero o de otro usuario de la vía, control inadecuado, escenarios complejos);

iv)	determinación de los escenarios pertinentes dentro de las condiciones límite y método de gestión utilizado para seleccionar escenarios y herramienta de validación elegida;

v)	proceso decisorio que da lugar a la ejecución de las tareas de conducción dinámica (por ejemplo, maniobras de emergencia), para la interacción con otros usuarios de la vía y en cumplimiento de las normas de tráfico;

vi)

uso indebido razonablemente previsible por parte del conductor (por ejemplo, sistema de reconocimiento de la disponibilidad del conductor y una explicación de cómo se han establecido los criterios de disponibilidad), errores o malos entendidos por parte del conductor (por ejemplo, anulación no intencionada) y manipulación indebida del sistema de forma deliberada;

vii)	ciberataques que afecten a la seguridad del vehículo (puede hacerse mediante el análisis efectuado en virtud del Reglamento n.o 155 de las Naciones Unidas sobre la ciberseguridad y el sistema de gestión de la ciberseguridad).

La evaluación por parte de la autoridad de homologación consistirá en controles aleatorios de determinados peligros (o ciberamenazas) para establecer que la argumentación que justifica el concepto de seguridad es comprensible y lógica y se ha aplicado en las diferentes funciones de los sistemas. Dicha evaluación también verificará que los planes de validación son suficientemente sólidos para demostrar la seguridad (por ejemplo, una cobertura razonable de los ensayos realizados en los escenarios elegidos por la herramienta de validación elegida) y que se han llevado a cabo.

Demostrará que el vehículo no entraña riesgos excesivos para el conductor, los ocupantes del vehículo y otros usuarios de la vía en el dominio del diseño operativo, es decir, mediante:

un objetivo de validación general (es decir, criterios de aceptación de la validación) justificado por los resultados de la validación, que demuestre que la entrada en servicio del sistema automático de mantenimiento del carril no incrementará, con carácter general, el nivel de riesgo para el conductor, para los ocupantes del vehículo y para otros usuarios de la vía en comparación con la conducción manual del vehículo; y

un enfoque específico del escenario que demuestre que el sistema no incrementará, con carácter general, el nivel de riesgo para el conductor, para los pasajeros y para otros usuarios de la vía en comparación con la conducción manual del vehículo en cada uno de los escenarios pertinentes para la seguridad; y

la autoridad de homologación de tipo realizará o hará que se realicen los ensayos especificados en el apartado 4 para verificar el concepto de seguridad.

3.4.4.1.

Esta documentación enumerará los parámetros objeto de seguimiento e indicará, para cada condición de fallo del tipo definido en el punto 3.4.4 del presente anexo, la señal de aviso que deberá recibir el conductor/los ocupantes del vehículo/otros usuarios de la vía o el personal encargado del mantenimiento o de la inspección técnica.

3.4.4.2.

En esta documentación se describirán las medidas adoptadas para garantizar que el «sistema» no entrañe riesgos excesivos para el conductor, para los ocupantes del vehículo, y para otros usuarios de la vía si el rendimiento de dicho «sistema» resulta afectado por las condiciones ambientales, tales como la situación climática, la temperatura, la exposición al polvo, la exposición al agua o la acumulación de hielo.

3.5.

Sistema de gestión de la seguridad (auditoría de procesos)

3.5.1.

En relación con el hardware y el software empleados en el sistema, el fabricante demostrará, a satisfacción de la autoridad de homologación de tipo por lo que respecta al sistema de gestión de la seguridad, que existen procesos, metodologías y herramientas eficaces, actualizados y seguidos por la organización para gestionar la seguridad y el cumplimiento permanente durante todo el ciclo de vida del producto (diseño, desarrollo, producción, funcionamiento incluido el respeto a las normas de tráfico, y retirada del servicio).

3.5.2.

Se establecerá el proceso de diseño y desarrollo, incluido el sistema de gestión de la seguridad, gestión de los requisitos, aplicación de los requisitos, ensayos, seguimiento de fallos, reparación y autorización.

3.5.3.

El fabricante establecerá y mantendrá canales de comunicación eficaces entre los departamentos del fabricante responsables de la seguridad funcional/operativa, la ciberseguridad y cualquier otra disciplina pertinente relacionada con la seguridad del vehículo.

3.5.4.

El fabricante contará con procesos de control de incidentes pertinentes para la seguridad o choques/colisiones provocados por el sistema automático de mantenimiento del carril activado y un proceso de gestión de posibles deficiencias pertinentes para la seguridad posteriores a la matriculación (circuito cerrado de seguimiento sobre el terreno) y actualización de los vehículos. Notificarán los incidentes críticos (por ejemplo, colisión con otros usuarios de la vía y posibles deficiencias pertinentes para la seguridad) a las autoridades de homologación de tipo.

3.5.5.

El fabricante demostrará que se llevan a cabo auditorías internas de los procesos de forma periódica e independiente para garantizar que los procesos establecidos de conformidad con los puntos 3.5.1 hasta 3.5.4 se aplican de forma sistemática.

3.5.6.

Los fabricantes establecerán mecanismos adecuados con los proveedores (por ejemplo, disposiciones contractuales, interfaces claras o un sistema de gestión de la calidad) para asegurar que el sistema de gestión de la seguridad de los proveedores cumpla con los requisitos de los puntos 3.5.1 (a excepción de los aspectos relacionados con el vehículo como el «funcionamiento» y la «retirada del servicio»), 3.5.2, 3.5.3 y 3.5.5.

4. VERIFICACIÓN Y ENSAYOS

4.1.

El funcionamiento del «sistema», expuesto en los documentos exigidos en el punto 3, deberá someterse a ensayo como se expone a continuación.

4.1.1.

Verificación del funcionamiento del «sistema»

La autoridad de homologación de tipo verificará el «sistema» en condiciones de ausencia de fallos realizando ensayos en pista de una serie de funciones seleccionadas de entre las descritas por el fabricante en el punto 3.2, y comprobando el comportamiento general del sistema en condiciones reales de conducción, incluido el cumplimiento de las normas de tráfico.

Estos ensayos incluirán escenarios en los que el sistema es anulado por el conductor.

Los ensayos realizados con arreglo a lo dispuesto en el presente anexo tendrán en cuenta los ensayos ya realizados en el anexo 5 del presente Reglamento.

4.1.1.1.

Los resultados de la verificación se corresponderán con la descripción, incluidas las estrategias de control, facilitada por el fabricante en el punto 3.2 y cumplirán los requisitos del presente Reglamento.

4.1.2.

Verificación del concepto de seguridad del punto 3.4

Se comprobará la reacción del «sistema» bajo la influencia de un defecto en cualquiera de las unidades aplicando las señales de salida correspondientes a unidades eléctricas o elementos mecánicos, con el fin de simular los efectos de fallos ocurridos en el interior de la unidad. La autoridad de homologación de tipo llevará a cabo dicha comprobación respecto a, como mínimo, una unidad, pero no comprobará la reacción del «sistema» ante múltiples fallos simultáneos de distintas unidades.

La autoridad de homologación de tipo verificará que estos ensayos incluyan aspectos que puedan incidir en la controlabilidad del vehículo y la información del usuario (aspectos de la interfaz persona-máquina, por ejemplo, escenarios de transición).

4.1.2.1.

Las autoridades de homologación de tipo también comprobarán distintos escenarios que sean críticos para la detección de objetos y eventos, y respuesta y la caracterización del proceso decisorio y las funciones IPM del sistema (por ejemplo, objeto difícil de detectar, cuándo alcanza el sistema los límites del dominio del diseño operativo o escenarios de perturbación del tráfico) de acuerdo con lo definido en el Reglamento.

4.1.2.2.

Los resultados de la verificación deberán corresponderse con el resumen documentado del análisis de fallos, hasta un nivel de efecto global que confirme que el concepto de seguridad y la ejecución son adecuados y cumplen los requisitos del presente Reglamento.

4.2.

Podrán utilizarse herramientas de simulación y modelos matemáticos para la verificación del concepto de seguridad de conformidad con el Anexo 8 de la Revisión 3 del Acuerdo de 1958, en particular en relación con escenarios que sean difíciles en una pista de pruebas o en condiciones de conducción real. Los fabricantes demostrarán el ámbito de aplicación de la herramienta de simulación y su validez para el escenario de que se trate, así como la validación realizada para la cadena de la herramienta de simulación (correlación del resultado con los ensayos físicos).

5. NOTIFICACIÓN

La notificación de la evaluación se realizará de tal manera que permita su trazabilidad, por ejemplo, mediante la codificación y enumeración en los registros del servicio técnico de las versiones de los documentos inspeccionados.

El apéndice 1 del presente anexo recoge un ejemplo de modelo de formulario de evaluación remitido por el servicio técnico a la autoridad de homologación de tipo. Los equipos enumerados en este apéndice se presentan como el conjunto mínimo de equipos que es necesario abarcar.

6. COMUNICACIÓN A OTRAS AUTORIDADES DE HOMOLOGACIÓN DE TIPO (APÉNDICE 2) QUE INCLUYA:

a)	Descripción del dominio del diseño operativo y de la arquitectura funcional de alto nivel que detalle las funciones disponibles para el conductor, para los ocupantes del vehículo y para otros usuarios de la vía.

b)	Resultados de los ensayos durante el proceso de verificación por las autoridades de homologación de tipo.

7. COMPETENCIA DE LOS AUDITORES/EVALUADORES

Las evaluaciones realizadas conforme a lo dispuesto en el presente anexo serán realizadas únicamente por auditores/evaluadores que posean los conocimientos técnicos y administrativos necesarios para tal fin. En particular, serán competentes como auditores o evaluadores conforme a la norma ISO 26262-2018 (Seguridad funcional: vehículos de carretera) y la norma ISO/PAS 21448 (Seguridad de la funcionalidad prevista de los vehículos de carretera); y serán capaces de establecer la relación necesaria con los aspectos relativos a la ciberseguridad de conformidad con el Reglamento n.o 155 de las Naciones Unidas y la norma ISO/SAE 21434). Esta competencia deberá demostrarse mediante titulaciones adecuadas u otra acreditación de formación equivalente.

Apéndice 1

Modelo de formulario de evaluación del sistema automático de mantenimiento del carril

Informe de ensayo n.o: …

Identificación

1.1.

Marca: …

1.2.

Tipo de vehículo: …

1.3.

Medio de identificación del sistema en el vehículo: …

1.4.

Ubicación de esa marca: …

1.5.

Nombre y dirección del fabricante: …

1.6.

En su caso, nombre y dirección del representante del fabricante: …

1.7.

Documentación oficial del fabricante:

N.o de referencia de la documentación: …

Fecha de expedición original: …

Fecha de la última actualización: …

Descripción de los vehículos/sistemas de ensayo

2.1.

Descripción general: …

2.2.

Descripción de todas las funciones de control del «sistema» y los métodos de funcionamiento: …

2.3.

Descripción de los componentes y diagramas de las interconexiones dentro del «sistema»:

Concepto de seguridad del fabricante

3.1.

Descripción del flujo de señales y los datos relativos al funcionamiento y de sus prioridades: …

3.2.

Declaración del fabricante:

El/Los fabricante(s)…afirma(n) que el «sistema» no entraña riesgos excesivos para el conductor, para los ocupantes del vehículo y para otros usuarios de la vía.

3.3.

Arquitectura básica del software y métodos y herramientas de diseño utilizados: …

3.4.

Explicación del concepto de seguridad del «sistema»: …

3.5.

Análisis documentado del comportamiento del «sistema» en las distintas condiciones de peligro o fallo: …

3.6.

Descripción de las medidas existentes respecto a las condiciones ambientales: …

3.7.

Disposiciones relativas a la inspección técnica periódica del «sistema»: …

3.8.

Resultados del ensayo de verificación del «sistema», de acuerdo con el punto 4.1.1 del anexo 4 del Reglamento n.o 157 de las Naciones Unidas: …

3.9.

Resultados del ensayo de verificación del concepto de seguridad, de acuerdo con el punto 4.1.2 del anexo 4 del Reglamento n.o 157 de las Naciones Unidas: …

3.10.

Fecha del ensayo: …

3.11.

Este ensayo se ha llevado a cabo y sus resultados se han consignado de conformidad con del Reglamento n.o 157 de las Naciones Unidas, modificado en último lugar por la serie ... de enmiendas.

Servicio técnico que ha realizado el ensayo

Firmado: …Fecha: …

3.12.

Observaciones: …

Apéndice 2

Formulario del documento informativo de los sistemas automáticos de mantenimiento del carril que deberá ser facilitado por el fabricante para la homologación

1. DESCRIPCIÓN DEL SISTEMA AUTOMÁTICO DE MANTENIMIENTO DEL CARRIL

1.1.

Dominio del diseño operativo (velocidad, tipo de carretera, país, entorno, condiciones de la carretera, etcétera) / condiciones límite / condiciones principales para las maniobras de riesgo mínimo y las demandas de transición …

1.2.

Funcionamiento básico (por ejemplo, detección de objetos y eventos, y respuesta] …

1.3.

Los medios de activación, anulación o desactivación del sistema. …

2. DESCRIPCIÓN DE LAS FUNCIONES DEL «SISTEMA», INCLUIDAS LAS ESTRATEGIAS DE CONTROL

2.1.

Principales funciones de conducción autónoma (arquitectura funcional, percepción ambiental). …

2.1.1.

Vehículo-internas …

2.1.2.

Vehículo-externas (por ejemplo, servidor backend) …

3. LISTA DE PRINCIPALES COMPONENTES (UNIDADES) DEL «SISTEMA»

3.1.

Unidades de control …

3.2.

Sensores …

3.3.

Mapas/posicionamiento …

4. CONFIGURACIÓN Y ESQUEMA DEL SISTEMA

4.1.

Configuración esquemática del sistema, incluidos los sensores de percepción ambiental (por ejemplo, diagrama de bloques) …

4.2.

Lista y esquema de interconexiones (por ejemplo, diagrama de bloques) …

5. ESPECIFICACIONES

5.1.

Medios para comprobar el correcto estado de funcionamiento del sistema …

5.2.

Medios aplicados como protección contra la activación/operación e intervenciones no autorizadas en el sistema …

6. CONCEPTO DE SEGURIDAD

6.1.

Seguridad de funcionamiento – Declaración del fabricante del vehículo …

6.2.

Arquitectura básica de software (por ejemplo, diagrama de bloques) …

6.3.

Medios por los que se determina la realización de la lógica del sistema …

6.4.

Explicación general de las principales disposiciones de diseño integradas en el «sistema» a fin de generar seguridad de funcionamiento e interacción con otros usuarios de la vía en condiciones de fallo, con perturbaciones del funcionamiento y con la incidencia de condiciones planificadas o no que excederían el dominio del diseño operativo. …

6.5.

Descripción general de los principios más importantes de gestión de fallos, estrategia alternativa incluida la estrategia de mitigación de riesgos (maniobra de riesgo mínimo) …

6.6.

Interacción del conductor, los ocupantes del vehículo y otros usuarios de la vía incluidas las señales de aviso y las demandas de transición emitidas para el conductor. …

6.7.

Validación por el fabricante de los requisitos de rendimiento especificados en otras partes del Reglamento, incluido la detección de objetos y eventos, y respuesta, la IMP, el cumplimiento de las normas de tráfico y la conclusión de que el sistema está diseñado de tal manera que no entrañe riesgos excesivos para el conductor, los ocupantes del vehículo y otros usuarios de la vía. …

7. VERIFICACIÓN Y ENSAYO POR LAS AUTORIDADES

7.1.

Verificación del funcionamiento básico del «sistema» …

7.2.

Ejemplos para comprobar la reacción del sistema bajo la influencia de un fallo o una perturbación del funcionamiento, condiciones de emergencia y condiciones límite …

8. SISTEMA DE ALMACENAMIENTO DE DATOS

8.1.

Tipos de datos almacenados …

8.2.

Ubicación de almacenamiento …

8.3.

Incidencias y elementos de datos registrados, medios para garantizar la seguridad y protección de los datos …

8.4.

Medios de acceso a los datos …

9. CIBERSEGURIDAD (ES POSIBLE UNA REFERENCIA CRUZADA AL REGLAMENTO SOBRE CIBERSEGURIDAD)

9.1.

Descripción general del plan de gestión de la ciberseguridad y actualizaciones de software …

9.2.

Descripción general de los distintos riesgos y medidas aplicadas para mitigar dichos riesgos …

9.3.

Descripción general del procedimiento de actualización …

10. DISPOSICIONES DE INFORMACIÓN A LOS USUARIOS

10.1.

Modelo de la información facilitada a los usuarios (incluidas las tareas esperadas del conductor dentro del dominio del diseño operativo y al salir de dicho dominio) …

10.2.

Extracto de la parte pertinente del manual del propietario …

Apéndice 3

Guía de escenarios críticos de perturbación del tráfico para el sistema automático de mantenimiento del carril

1. GENERALIDADES

1.1

En este documento se aclara el proceso por el que se definen las condiciones en las que el sistema automático de mantenimiento del carril (sistema automático de mantenimiento del carril) evitará una colisión. Las condiciones en las que el sistema automático de mantenimiento del carril evitará una colisión se determinan por medio de un programa general de simulación con el consiguiente modelo de rendimiento del conductor humano atento y parámetros relacionados en los escenarios críticos de perturbación del tráfico.

2. ESCENARIOS CRÍTICOS DE TRÁFICO

2.1.

Los escenarios críticos de perturbación del tráfico son aquellos que presentan condiciones en las que puede que el sistema automático de mantenimiento del carril no sea capaz de evitar una colisión.

2.2.

Los tres siguientes son escenarios críticos de tráfico:

a)	Incorporación al carril: el «otro vehículo» entra de repente en el carril por delante del «vehículo ego»

b)	Salida del carril: el «otro vehículo» abandona de repente el carril del «vehículo ego»

c)	Desaceleración: el «otro vehículo» desacelera de repente delante del «vehículo ego»

2.3.

Cada uno de estos escenarios críticos de tráfico puede crearse utilizando los siguientes parámetros/elementos:

a)	Geometría de la vía

b)	Comportamiento/maniobras de otros vehículos

3. MODELO DE RENDIMIENTO DEL SISTEMA AUTOMÁTICO DE MANTENIMIENTO DEL CARRIL

3.1.

Los escenarios críticos de tráfico del sistema automático de mantenimiento del carril se dividen en escenarios eludibles e ineludibles. El umbral entre eludible e ineludible se basa en la actuación simulada de un conductor humano cualificado y atento. Cabe esperar que algunos de los escenarios que son «ineludibles» para las capacidades estándar humanas puedan ser de hecho eludibles para el sistema automático de mantenimiento del carril.

3.2.

En un escenario sistema automático de mantenimiento del carril de baja velocidad, se presupone que la capacidad de evitación del modelo de conductor es exclusivamente mediante el frenado. El modelo de conductor se divide en los tres segmentos siguientes: «percepción»; «decisión»; y «reacción». El diagrama siguiente es una representación visual de estos segmentos.

3.3.

Para determinar las condiciones en las que el sistema automático de mantenimiento del carril evitará una colisión, los factores del modelo de rendimiento correspondientes a estos tres segmentos que se indican en el cuadro siguiente deben utilizarse como modelo de rendimiento del sistema, teniendo en cuenta el comportamiento de un conductor humano atento con un sistema avanzado de asistencia a la conducción.

Cuadro 1

Factores del modelo de rendimiento para vehículos

		Factores
Punto de percepción del riesgo	Cambio de carril (entrada, salida)	Desviación del centro de un vehículo más de 0,375 m del centro del carril de circulación (obtenida de estudios de Japón)
	Desaceleración	Tasa de desaceleración del vehículo precedente y distancia de seguridad con el vehículo ego
Tiempo de evaluación del riesgo		0,4 segundos (de estudios de Japón)
Tiempo transcurrido desde que finaliza la percepción hasta que comienza la desaceleración		0,75 segundos (datos comunes en Japón)
Tiempo de sacudida hasta la desaceleración máxima (fricción con la carretera 1,0)		0,6 segundos hasta 0,774G (de experimentos realizados por la NHTSA y Japón)
Tiempo de sacudida hasta la desaceleración máxima (tras la colisión de alcance del vehículo ego con el vehículo en incorporación, fricción con la vía 1,0)		0,6 segundos hasta 0,85G (obtenido del Reglamento n.o 152 de las Naciones Unidas sobre el AEBS)

3.4.

Modelo de conductor para los tres escenarios del sistema automático de mantenimiento del carril:

3.4.1.

Para el escenario de incorporación al carril:

El vehículo recorrerá normalmente una distancia de deriva lateral dentro del carril de 0,375 m.

El límite percibido para la incorporación se alcanza cuando el vehículo sobrepasa la distancia de deriva lateral normal (posiblemente antes de cambiar efectivamente de carril).

La distancia a. es la distancia de percepción basada en el tiempo de percepción [a]. Define la distancia lateral necesaria para percibir que un vehículo está realizando una maniobra de incorporación. La distancia a. se obtiene con la fórmula siguiente:

a. = velocidad de movimiento lateral x tiempo de percepción del riesgo [a] (0,4 s)

El tiempo de percepción del riesgo comienza cuando el vehículo que va por delante sobrepasa el umbral de incorporación al carril.

La velocidad máxima de movimiento lateral es un dato del mundo real en Japón.

El tiempo de percepción del riesgo [a] es un dato de simulación de conducción en Japón.

El valor de 2 s* se ha especificado como el máximo tiempo para la colisión por debajo del cual se concluye que existe peligro de colisión en sentido longitudinal.

Nota:

el valor del tiempo para la colisión = 2,0 segundos se ha elegido de acuerdo con las directrices del Reglamento de las Naciones Unidas sobre señales de aviso.

3.4.2.

Para el escenario de salida del carril:

El vehículo recorrerá normalmente una distancia de deriva lateral dentro del carril de 0,375 m.

El límite percibido para la salida del carril se alcanza cuando el vehículo sobrepasa la distancia de deriva lateral normal (posiblemente antes de cambiar efectivamente de carril).

El tiempo de percepción del riesgo [a] es de 0,4 segundos y comienza cuando el vehículo que va por delante sobrepasa el umbral de salida del carril.

El tiempo de dos segundos se ha especificado como el máximo intervalo de tiempo de paso con respecto al cual se concluye que existe un peligro en sentido longitudinal.

Nota:

el valor del intervalo de tiempo de paso = 2,0 segundos se ha elegido conforme a las normas y directrices de otros países.

3.4.3.

Para el escenario de desaceleración:

El tiempo de percepción del riesgo [a] es de 0,4 segundos. El tiempo de percepción del riesgo [a] comienza cuando el vehículo precedente sobrepasa un umbral de desaceleración de 5 m/s2.

4. PARÁMETROS

4.1.

Los parámetros siguientes son esenciales para describir el patrón de los escenarios críticos de tráfico de la sección 2.1.

4.2.

Se podrían añadir otros parámetros en función del entorno de funcionamiento (por ejemplo, tasa de fricción de la vía, curvatura de la vía o condiciones de iluminación).

Cuadro 2

Parámetros adicionales

Condiciones de funcionamiento	Vía	Número de carriles = Número de carriles paralelos y adyacentes en el mismo sentido de circulación Ancho de carril = El ancho de cada carril Pendiente de la vía = La pendiente de la vía en la zona del ensayo Estado de la vía = El estado del firme (seco, húmedo, helado, nevado, nuevo, desgastado), incluido el coeficiente de fricción Marcas de carril = Tipo, color, anchura o visibilidad de las marcas del carril
Condiciones de funcionamiento	Condiciones ambientales	Condiciones de iluminación = La cantidad de luz y su dirección (es decir, día, noche, soleado o nuboso) Condiciones meteorológicas = Cantidad, tipo e intensidad del viento, la lluvia, la nieve, etcétera
Estado inicial	Velocidad inicial	Ve0 = Vehículo ego
		Vo0 = Vehículo precedente en el carril o en un carril adyacente
		Vf0 = Vehículo por delante del vehículo precedente en el carril
	Distancia inicial	dx0 = Distancia en sentido longitudinal entre el extremo delantero del vehículo ego y el extremo trasero del vehículo precedente en el carril del vehículo ego o en el carril adyacente
		dy0 = Distancia lateral interior entre el borde exterior del vehículo ego en paralelo al plano longitudinal mediano del vehículo dentro del carril y el borde exterior del vehículo precedente en paralelo al plano longitudinal mediano del vehículo en el carril adyacente.
		dy0_f = Distancia lateral interior entre el borde exterior del vehículo precedente en paralelo al plano longitudinal mediano del vehículo dentro del carril y el borde exterior del vehículo que va por delante del vehículo precedente en paralelo al plano longitudinal mediano del vehículo en el carril adyacente
		dx0_f = Distancia en sentido longitudinal entre el extremo delantero del vehículo precedente y el extremo trasero del vehículo que va por delante del vehículo precedente
		dfy = Anchura del vehículo que va por delante del vehículo precedente
		doy = Anchura del vehículo precedente
		dox = Longitud del vehículo precedente
Movimiento del vehículo	Movimiento lateral	Vy = Velocidad lateral del vehículo precedente
	Desaceleración	Gx_max = Desaceleración máxima del vehículo precedente en G
	Desaceleración	dG/dt = Tasa de desaceleración (sacudida) del vehículo precedente

4.3.

A continuación, se ofrecen representaciones visuales de los parámetros de los tres tipos de escenarios.

5. REFERENCIA

Las siguientes hojas de datos son ejemplos pictóricos de simulaciones que determinan las condiciones en las que el sistema automático de mantenimiento del carril evitará una colisión, teniendo en cuenta la combinación de todos los parámetros cuando se alcanza y cuando no se alcanza la velocidad máxima del vehículo permitida para el sistema automático de mantenimiento del carril.

5.1.

Incorporación al carril

(Imagen de las hojas de datos)

5.2.

Salida del carril

Es posible evitar la salida del carril de todos los vehículos en desaceleración (parada) que van por delante del vehículo precedente en las siguientes condiciones de marcha a un intervalo de tiempo de paso de 2,0 s.

(Imagen de las hojas de datos)

5.3.

Desaceleración

Es posible evitar una desaceleración repentina de -1,0G o menos en la situación de circulación por detrás del vehículo precedente a un intervalo de tiempo de paso de 2,0 s.

(Imagen de la hoja de datos)

(Imagen de las hojas de datos)

ANEXO 5

Especificaciones de ensayo del sistema automático de mantenimiento del carril

1. INTRODUCCIÓN

En el presente anexo se definen los ensayos destinados a verificar los requisitos técnicos del sistema automático de mantenimiento del carril.

Hasta el momento en que se acuerden disposiciones de ensayo específicas, el servicio técnico se asegurará de que el sistema automático de mantenimiento del carril se someta al menos a los ensayos descritos en el anexo 5. El servicio técnico seleccionará los parámetros específicos de cada ensayo y los registrará en el informe del ensayo de manera que permita la trazabilidad y repetibilidad de la configuración del ensayo.

Los criterios apto/no apto aplicables a los ensayos se derivan exclusivamente de los requisitos técnicos establecidos en los apartados 5 a 7. Estos requisitos están formulados de manera que no solo permiten derivar criterios apto/no apto para un conjunto determinado de parámetros de ensayo, sino para cualquier combinación de parámetros con los que el sistema esté diseñado para funcionar (por ejemplo, intervalo de velocidad operativa, intervalo de aceleración lateral operativa o intervalo de curvatura tal como se incluye en los límites del sistema).

Las especificaciones de ensayo recogidas en el presente documento tienen por objeto establecer un conjunto mínimo de ensayos; las autoridades del servicio técnico podrán realizar cualquier otro ensayo dentro de los límites del sistema y comparar los resultados obtenidos con los requisitos (resultado concreto esperado del ensayo).

2. DEFINICIONES

A los efectos del presente anexo, se aplicarán las definiciones siguientes:

2.1.

El «tiempo para la colisión» es el valor de tiempo que se obtiene dividiendo la distancia longitudinal (en el sentido de marcha del vehículo objeto de ensayo) existente entre el vehículo objeto de ensayo y el objetivo por la velocidad longitudinal relativa del vehículo objeto de ensayo y del objetivo en un instante cualquiera.

2.2.

La «separación lateral» es la distancia entre el plano longitudinal medianoa del vehículo y del objetivo respectivo en el sentido de circulación, medida en tierra, normalizada por la mitad de la anchura del vehículo con exclusión de dispositivos de visión indirecta y corregida sumando un 50 %.

2.3.

Un «objetivo en forma de peatón» es un objetivo blando que representa un peatón.

2.4.

Un «objetivo en forma de turismo» es un objetivo que representa un vehículo de categoría turismo.

2.5.

Un «objetivo en forma de vehículo de motor de dos ruedas» es una combinación de motocicleta y motociclista.

3. PRINCIPIOS GENERALES

3.1.

Condiciones de ensayo

3.1.1.

Los ensayos se realizarán en condiciones (por ejemplo, condiciones ambientales o de geometría de la vía) que permitan la activación del sistema automático de mantenimiento del carril.

3.1.2.

Si es necesario realizar modificaciones en el sistema para poder llevar a cabo el ensayo, por ejemplo, criterios de evaluación del tipo de carretera o información del tipo de carretera (datos cartográficos), se asegurará que dichas modificaciones no afecten a los resultados del ensayo. En principio se documentarán estas modificaciones en el informe del ensayo y se anexarán al mismo. La descripción y las pruebas de la influencia (en su caso) de estas modificaciones se documentarán en el informe de ensayo y se anexarán al mismo.

3.1.3.

La superficie de ensayo ofrecerá al menos la adherencia requerida por el escenario a fin de conseguir el resultado esperado del ensayo.

3.1.4.

Objetivos utilizados en el ensayo

3.1.4.1.

El objetivo utilizado en los ensayos de detección de vehículos será un vehículo estándar con un elevado volumen de producción en serie de la categoría M o N o, alternativamente, un «objetivo blando» que sea representativo de ese vehículo por lo que se refiere a sus características de identificación aplicables al sistema de sensores del sistema automático de mantenimiento del carril objeto de ensayo conforme a la norma ISO 19206-3:2018. El punto de referencia para la ubicación del vehículo será el punto más atrasado de la línea central del vehículo.

3.1.4.2.

El objetivo utilizado para los ensayos de vehículos de motor de dos ruedas será un dispositivo de ensayo conforme a la norma ISO CD 19206-5 o una motocicleta de tipo homologado con un elevado volumen de producción en serie de la categoría L3, con un motor de capacidad no superior a 600 cm3. El punto de referencia para la ubicación de la motocicleta será el punto más atrasado de la línea central de la motocicleta.

3.1.4.3.

En los ensayos de detección de peatones se utilizará un «objetivo blando articulado» representativo de los atributos humanos aplicables al sistema de sensores del sistema automático de mantenimiento del carril objeto de ensayo conforme a la norma ISO 19206-2:2018.

3.1.4.4.

Los datos que permitan identificar y reproducir específicamente los objetivos deberán registrarse en la documentación de homologación de tipo del vehículo.

3.2.

Variación de los parámetros de ensayo

El fabricante deberá declarar los límites del sistema al servicio técnico. El servicio técnico definirá diferentes combinaciones de parámetros de ensayo (por ejemplo, velocidad actual del vehículo equipado con sistema automático de mantenimiento del carril, tipo y separación lateral del objetivo, o curvatura del carril) a fin de abarcar escenarios en los que el sistema evitará una colisión y también aquellos en los que no quepa prever que se evite la colisión, en su caso.

Si se considera justificado, el servicio técnico podrá ensayar además cualquier otra combinación de parámetros.

Si no se puede evitar una colisión con algunos parámetros de ensayo, el fabricante demostrará, ya sea mediante documentación o bien, si es posible, mediante verificaciones o ensayos, que el sistema no cambia injustificadamente su estrategia de control.

4. ESCENARIOS DE ENSAYO PARA EVALUAR EL RENDIMIENTO DEL SISTEMA CON RESPECTO A LA TAREA DE CONDUCCIÓN DINÁMICA

4.1.

Mantenimiento del carril

4.1.1.

El ensayo demostrará que el sistema automático de mantenimiento del carril no abandona su carril y mantiene una posición estable dentro de su carril ego en todo el intervalo de velocidades y diferentes curvaturas dentro de los límites de su sistema.

4.1.2.

El ensayo deberá realizarse, como mínimo:

a)	con una duración mínima de cinco minutos;

b)	con un objetivo en forma de turismo así como un objetivo en forma de vehículo de motor de dos ruedas como vehículo precedente / otro vehículo;

c)	con un vehículo precedente virando en el carril; y

d)	con otro vehículo aproximándose lateralmente en el carril adyacente.

4.2.

Evitar una colisión con un usuario de la vía u objeto que bloquee el carril

4.2.1.

El ensayo demostrará que el sistema automático de mantenimiento del carril evita una colisión con un vehículo o usuario de la vía estático o un carril total o parcialmente bloqueado hasta la velocidad máxima especificada del sistema.

4.2.2.

Este ensayo deberá realizarse al menos:

a)	con un objetivo en forma de turismo estático;

b)	con un objetivo en forma de vehículo de motor de dos ruedas estático;

c)	con un objetivo en forma de peatón estático;

d)	con un objetivo en forma de peatón que cruce el carril a una velocidad de 5 km/h;

e)	con un objetivo representativo de un carril bloqueado;

f)	con un objetivo que invada parcialmente el carril;

g)	con múltiples obstáculos consecutivos que bloqueen el carril (por ejemplo, en el siguiente orden: vehículo ego-motocicleta-coche);

h)	en un tramo curvo de la carretera.

4.3.

Circulación siguiendo a un vehículo precedente

4.3.1.

El ensayo demostrará que el sistema automático de mantenimiento del carril es capaz de mantener y restablecer la distancia de seguridad necesaria con un vehículo precedente y que es capaz de evitar una colisión con dicho vehículo precedente cuando este desacelere al máximo.

4.3.2.

Este ensayo deberá realizarse al menos:

a)	en todo el intervalo de velocidades del sistema automático de mantenimiento del carril;

b)	con un objetivo en forma de turismo y un objetivo en forma de vehículo de motor de dos ruedas como vehículo precedente, siempre que se disponga de objetivos de vehículo de motor de dos ruedas estándar adecuados para realizar el ensayo con seguridad;

c)	con el vehículo precedente a velocidades constantes y variables (por ejemplo, siguiendo un perfil de velocidad realista de la base de datos de conducción existente);

d)	en tramos rectos y curvos de la vía;

e)	con el vehículo precedente en diferentes posiciones laterales en el carril;

f)	con el vehículo precedente a una desaceleración mínima de 6 m/s2 que implique una desaceleración desarrollada al máximo hasta que se detenga.

4.4.

Cambio de carril de otro vehículo que se incorpore al carril

4.4.1.

El ensayo demostrará que el sistema automático de mantenimiento del carril es capaz de evitar una colisión con un vehículo que se incorpore al carril del vehículo equipado con dicho sistema hasta una determinada criticidad de la maniobra de incorporación.

4.4.2.

La criticidad de la maniobra de incorporación al carril se determinará con arreglo al tiempo para la colisión, la distancia longitudinal entre el punto más atrasado del vehículo en incorporación y el punto más adelantado del vehículo sistema automático de mantenimiento del carril, la velocidad lateral del vehículo en incorporación y el movimiento longitudinal del vehículo en incorporación, según se establece en el punto 5.2.5 del presente Reglamento.

4.4.3.

El ensayo se realizará teniendo en cuenta al menos las siguientes condiciones:

a)	diferentes valores de tiempo para la colisión, distancia y velocidad relativa de la maniobra de incorporación, que abarquen tipos de escenarios de incorporación al carril en los que se pueda evitar una colisión y aquellos en los que no sea posible evitar la colisión;

b)	vehículos en incorporación que circulen a una velocidad longitudinal constante, acelerando y desacelerando;

c)	diferentes velocidades laterales y aceleraciones laterales del vehículo en incorporación;

d)	objetivos en forma de turismo y vehículo de motor de dos ruedas como vehículo en incorporación, siempre que se disponga de objetivos de vehículo de motor de dos ruedas estándar adecuados para realizar el ensayo con seguridad.

4.5.

Obstáculo estático tras el cambio de carril del vehículo precedente

4.5.1.

El ensayo demostrará que el sistema automático de mantenimiento del carril es capaz de evitar una colisión con un vehículo o usuario de la vía estático o un carril bloqueado que se haga visible después de que el vehículo precedente haya evitado una colisión por medio de una maniobra evasiva.

4.5.2.

El ensayo deberá realizarse, como mínimo:

a)	con un objetivo en forma de turismo estático centrado en el carril;

b)	con un objetivo en forma de vehículo de motor de dos ruedas centrado en el carril;

c)	con un objetivo en forma de peatón estático centrado en el carril;

d)	con un objetivo representativo de un carril bloqueado centrado en el carril;

e)	con múltiples obstáculos consecutivos que bloqueen el carril (por ejemplo, en el siguiente orden: vehículo ego-vehículo que cambia de carril-motocicleta-coche).

4.6.

Ensayo del campo de visión

4.6.1.

El ensayo demostrará que el sistema automático de mantenimiento del carril es capaz de detectar otro usuario de la vía dentro de la zona de detección delantera hasta el alcance de detección delantero declarado y un vehículo contiguo dentro del área de detección lateral al menos hasta la anchura completa del carril adyacente.

4.6.2.

El ensayo del alcance de detección delantero se realizará al menos:

a)	al aproximarse a un objetivo en forma de motocicleta posicionado en el borde exterior de cada carril adyacente;

b)	al aproximarse a un objetivo en forma de peatón estático posicionado en el borde exterior de cada carril adyacente;

c)	al aproximarse a un objetivo en forma de motocicleta estático posicionado dentro del carril ego;

d)	al aproximarse a un objetivo en forma de peatón estático posicionado dentro del carril ego.

4.6.3.

El ensayo del alcance de detección lateral se realizará al menos:

a)	con un objetivo en forma de motocicleta que se aproxime al vehículo equipado con sistema automático de mantenimiento del carril desde el carril adyacente izquierdo;

b)	con un objetivo en forma de motocicleta que se aproxime al vehículo equipado con sistema automático de mantenimiento del carril desde el carril adyacente derecho.

5. VERIFICACIÓN ADICIONAL

5.1.

(Reservado)

5.2.

El fabricante demostrará el cumplimiento de las siguientes disposiciones y el servicio técnico lo evaluará en el momento de la homologación de tipo:

Ensayo/comprobación

6.2.2.

Modo apagado después de un nuevo arranque/marcha del motor

6.2.3

El sistema solo podrá activarse si

a)	el conductor está en su asiento con el cinturón de seguridad abrochado;

b)	el conductor está disponible;

c)	no hay fallos;

d)	el sistema de almacenamiento de datos para la conducción autónoma está operativo;

e)	las condiciones se mantienen dentro de los límites del sistema.

6.2.1

6.2.4

6.2.5

6.2.6

Medios de desactivación

Medios específicos de activación y desactivación

Protección contra accionamientos no intencionados

Dirección

a)	sujetando el volante y freno/aceleración

b)	el conductor sujeta el volante en respuesta a la transición y la maniobra de riesgo mínimo

c)	tras la desactivación

6.3

Medios de anulación del sistema

a)	Mando de dirección

b)	Acción de frenado que sobrepasa el sistema

c)	Aceleración a velocidad dentro de los límites del sistema

6.1.3.1.

Criterios para considerar al conductor disponible

5.1.3

Sistemas de asistencia al conductor activos

6.3.1.1.

Atención del conductor

5.5

Comportamiento del sistema durante una maniobra de riesgo mínimo

a)	Toma de control del conductor

b)	Vehículo detenido (luces de emergencia)

c)	Reactivación deshabilitada si se ha detenido el vehículo

5.1.4

5.1.5

5.4

Demanda de transición y comportamiento/propagación

El conductor retoma el control

Sin respuesta del conductor (maniobra de riesgo mínimo)

a)	Transición planificada

b)	Transición no planificada

6.1.2

6.1.3

5.4.

Demanda de transición durante el funcionamiento

Se sobrepasan los parámetros del sistema

Fallo

a)	Colisión detectable

b)	Conductor no presente

5.3

Comportamiento del sistema para la maniobra de emergencia

a)	Se detiene el vehículo

b)	No se detiene el vehículo

7.1

7.1.1

7.1.2

Zonas de detección del sistema

Delantera

Laterales

7.1.3

Visibilidad

5.3.

Se pueden evaluar otros casos de ensayo si el servicio técnico lo considera justificado. Algunos de estos casos pueden ser:

a)	Bifurcación de carriles de autopista

b)	Vehículos que entran o salen de la autopista

c)	Carril ego parcialmente bloqueado, túnel

Semáforos

e)	Vehículos de emergencia

f)	Zonas de obras

g)	Marcas de carril desdibujadas/borradas/ocultas

h)	Personal de emergencia/mantenimiento dirigiendo el tráfico

i)	Cambio en las características de la vía (la calzada deja de estar dividida, se permite la circulación de peatones, rotonda o intersección)

j)	Se reanuda la circulación normal del tráfico (es decir, todos los vehículos circulan a más de 60 km/h)

5.4.

Ensayo en el mundo real

El servicio técnico realizará o será testigo de una evaluación del sistema en condiciones de ausencia de defectos y en presencia de tráfico (ensayo en el «mundo real»). La finalidad de este ensayo es ayudar al servicio técnico a averiguar cómo funciona el sistema en su entorno de servicio y complementar la evaluación de la documentación proporcionada conforme al anexo 4.

En conjunto, la evaluación del anexo 4 y el ensayo en el mundo real permitirán al servicio técnico detectar aspectos del funcionamiento del sistema que pueden requerir evaluación adicional, ya sea mediante ensayos o mediante una revisión adicional del anexo 4.

Durante la evaluación en el mundo real, el servicio técnico evaluará, como mínimo:

a)	que se impida la activación cuando el sistema esté fuera de sus límites/requisitos técnicos para el sistema automático de mantenimiento del carril;

b)	que no se incumplan las normas de tráfico;

c)	la respuesta a un evento planificado;

d)	la respuesta a un evento no planificado;

e)	que se detecte la presencia de otros usuarios de la vía en los intervalos de detección frontal y lateral;

f)	el comportamiento del vehículo en respuesta a otros usuarios de la vía (distancia de seguridad, escenario de incorporación al carril, escenario de salida del carril, etcétera).

g)	Anulación del sistema

El servicio técnico determinará la ubicación y selección del itinerario de ensayo, la hora del día y las condiciones ambientales.

Se registrará el trayecto de ensayo y se equipará el vehículo de ensayo con instrumentos que no perturben dicho ensayo. El servicio técnico podrá registrar o solicitar registros de cualquier canal de datos utilizado o generado por el sistema según se considere necesario para la evaluación posterior al ensayo.

Se recomienda que el ensayo en el mundo real se realice una vez que el sistema haya superado todos los demás ensayos descritos en el presente anexo y una vez finalizada la evaluación de riesgos por el servicio técnico.

		ISSN 1977-0685
Diario Oficial de la Unión Europea		L 82

Edición en lengua española	Legislación	64.° año 9 de marzo de 2021

Sumario		II Actos no legislativos	Página
		ACTOS ADOPTADOS POR ÓRGANOS CREADOS MEDIANTE ACUERDOS INTERNACIONALES
	*	Reglamento n.o 153 de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de vehículos en lo que respecta a la integridad del sistema de alimentación de combustible y la seguridad del grupo motopropulsor eléctrico en caso de colisión trasera [2021/386]	1
	*	Reglamento n.o 155 de la Comisión Económica para Europa (CEPE) de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de los vehículos de motor en lo que respecta a la ciberseguridad y al sistema de gestión de esta [2021/387]	30
	*	Reglamento n.o 156 de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de vehículos en lo que respecta a las actualizaciones de software y al sistema de gestión de actualizaciones de software [2021/388]	60
	*	Reglamento n.o 157 de las Naciones Unidas — Disposiciones uniformes relativas a la homologación de los vehículos de motor por lo que respecta al sistema automático de mantenimiento del carril [2021/389]	75