PRILOGA II

Zahteve glede delovanja

1. Dinamična vožnja v okviru nominalnih scenarijev v prometu

1.1

Sistem ADS mora biti sposobni izvesti celotno dinamično vožnjo.

1.1.1

Sposobnost sistema ADS za izvedbo celotne dinamične vožnje se določi v okviru območja operativne zasnove sistema ADS.

1.1.2

V okviru dinamične vožnje morajo sistemi ADS:

(a)	delovati pri varnih hitrostih in upoštevati omejitve hitrosti, ki veljajo za vozilo;

(b)	z nadziranjem vzdolžnega in prečnega gibanja vozila vzdrževati ustrezne razdalje od drugih udeležencev v prometu;

(c)	prilagoditi svoje obnašanje okoliškim prometnim razmeram (npr. s preprečevanjem motenja pretoka prometa) na ustrezen v varnost usmerjen način;

(d)	prilagoditi svoje obnašanje v skladu z varnostnimi tveganji in nameniti največjo pozornost varstvu človeškega življenja;

1.1.3

Sistem prikaže predvidljivo obnašanje v interakciji z drugimi udeleženci v prometu, da se zagotovi stabilno, nizkodinamično, vzdolžno obnašanje in obnašanje s čim manjšim tveganjem, ko bi lahko kritične razmere postale neizbežne, npr. z udeleženci v prometu (pešci, kolesarji itd.), ki so ali niso vidni, ali drugimi vozili, ki prečkajo ali sekajo pot pred popolnoma avtomatiziranim vozilom.

1.1.4

Zahteve v zvezi z dinamično vožnjo morajo biti izpolnjene v vzvratni smeri, če se vzvratna prestava zahteva ali je navedena v območju operativne zasnove.

1.2

Sistem ADS zazna in se ustrezno odzove na predmete in dogodke, ki so pomembni za dinamično vožnjo v območju operativne zasnove.

Predmeti in dogodki lahko med drugim vključujejo:

(a)	motorna vozila in druge udeležence v prometu, kot so motorna kolesa, kolesa, skiroji, uporabniki invalidskih vozičkov, pešci in ovire (npr. razbitine, izgubljeni tovor);

(b)	prometne nesreče;

(c)	prometne zastoje;

(d)	cestna dela;

(e)	uradnike za varnost v cestnem prometu in organe kazenskega pregona;

(f)	intervencijska vozila;

(g)	prometne znake, označbe na cestah;

(h)	okoljske pogoje (npr. nižja hitrost zaradi dežja, snega).

1.3

Sistem ADS mora biti v skladu s prometnimi predpisi države obratovanja.

1.3.1

Sistem ADS varno sodeluje z drugimi udeleženci v prometu v skladu s prometnimi predpisi, na primer:

(a)	s signalizacijo namena manevra (npr. smerna svetilka);

(b)	z uporabo zvočne opozorilne naprave, kadar je potrebno;

(c)	z varnim sodelovanjem z uradniki za varnost v cestnem prometu/organi kazenskega pregona, cestnimi delavci, osebjem službe za nujno pomoč, cestnimi inšpektorji itd.;

(d)	pri vozilih z dvema načinoma delovanja mora biti status sistema ADS (ročni način vožnje ali popolnoma avtomatizirani način vožnje) prepoznaven za uradnike za varnost v cestnem prometu/organe kazenskega pregona.

1.3.2

Če ni posebnih prometnih predpisov, vozila s sistemom ADS, namenjena za prevoz stoječih potnikov ali potnikov, ki niso pripeti z varnostnimi pasovi, ne presegajo kombiniranega vodoravnega pospeška 2,4 m/s2 (v absolutni vrednosti in izračunano kot kombinacija prečnega in vzdolžnega pospeška) in hitrosti spremembe pospeška 5 m/s3.

Glede na dejavnike, ki vplivajo na tveganje za potnike in druge udeležence v prometu, bi bilo morda primerno preseči take omejitve, kot je delovanje v sili.

2. Dinamična vožnja v ključnih scenarijih v prometu (delovanje v sili)

2.1

Sistem ADS mora biti sposoben izvesti dinamično vožnjo za vse razumno predvidljive ključne scenarije v prometu v območju operativne zasnove.

2.1.1

Sistem ADS mora biti sposoben zaznati tveganje trka z drugimi udeleženci v prometu ali nenadne ovire (razbitine, izgubljeni tovor) in samodejno izvesti ustrezno delovanje v sili (zaviranje, krmiljenje za preprečitev trka), da se prepreči trke, ki jih je mogoče razumno predvideti, in zmanjša tveganje za varnost potnikov v vozilu in drugih udeležencev v prometu.

2.1.1.1

V primeru neizogibnega alternativnega tveganja za človeško življenje sistem ADS ne predvideva tehtanja na podlagi osebnih značilnosti ljudi.

2.1.1.2

Zaščita drugih človeških življenj zunaj popolnoma avtomatiziranega vozila ni podrejena zaščiti človeških življenj znotraj popolnoma avtomatiziranega vozila.

2.1.2

Pri strategiji preprečitve/ublažitve bi se morala upoštevati ranljivost udeležencev v prometu.

2.1.3

Po manevru za izogib trku je cilj vozila nadaljevati stabilno gibanje, takoj ko je to tehnično mogoče.

2.1.4

Signal za aktiviranje varnostnih utripalk se ustvari samodejno v skladu s prometnimi predpisi. Če popolnoma avtomatizirano vozilo samodejno spet spelje, se samodejno vklopi signal za izklop varnostnih utripalk.

2.1.5

V primeru prometne nesreče, v kateri je udeleženo popolnoma avtomatizirano vozilo, je cilj sistema ADS ustaviti popolnoma avtomatizirano vozilo in izvesti manever za zmanjšanje tveganja, da se doseže stanje najmanjšega tveganja. Sistem ADS ne bo mogel nadaljevati običajnega delovanja, dokler ni z lastnimi pregledi sistema ADS ali/in upravljavca v vozilu (če je ustrezno) ali upravljavca za posredovanje na daljavo (če je ustrezno) potrjeno varno stanje delovanja popolnoma avtomatiziranih vozil.

3. Dinamična vožnja na mejah območja operativne zasnove

3.1

Sistem ADS upošteva svoje pogoje območja operativne zasnove in meje območja operativne zasnove.

3.1.1

Sistem ADS je sposoben ugotoviti, ali so pogoji za aktiviranje sistema ADS izpolnjeni.

3.1.2

Sistem ADS zazna in se odzove, kadar en ali več pogojev območja operativne zasnove ni izpolnjenih ali ni več izpolnjenih.

3.1.3

Sistem ADS mora biti sposoben predvideti izhode iz območja operativne zasnove.

3.1.4

Pogoje in meje območja operativne zasnove določi proizvajalec.

3.1.4.1

Pogoji območja operativne zasnove, ki jih mora sistem ADS prepoznati, vključujejo:

(a)	padavine (dež, sneg);

(b)	čas dneva;

(c)	jakost svetlobe, vključno z uporabo svetlobnih naprav;

(d)	meglo, meglico;

(e)	označbe na cestah in označbe voznega pasu;

(f)	kategorijo ceste (npr. število voznih pasov, ločenih pasov);

(g)	geografsko območje (če je ustrezno).

3.1.5

Ko sistem ADS doseže meje območja operativne zasnove, izvede manever za zmanjšanje tveganja, da doseže razmere najmanjšega tveganja, in ustrezno opozori upravljavca v vozilu (če obstaja) / upravljavca na daljavo (če obstaja).

4. Scenariji odpovedi dinamične vožnje

4.1

Sistem ADS zazna nepravilno delovanje sistema ADS ali/in vozila ter se odzove nanj.

4.1.1

Sistem ADS mora sam diagnosticirati napake in okvare.

4.1.2

Sistem ADS oceni svojo sposobnost izpolnjevanja celotne dinamične vožnje.

4.1.2.1

Sistem ADS se mora varno odzvati na napako/okvaro v sistemu ADS, ki ne ogroža delovanja sistema ADS.

4.1.2.2

V primeru okvare sistema ADS in/ali drugega sistema vozila, ki sistemu ADS preprečuje izvedbo dinamične vožnje, sistem ADS izvede manever za zmanjšanje tveganja, da doseže razmere najmanjšega tveganja.

4.1.2.3

Sistem ADS takoj po zaznavi signalizira večje okvare in posledično stanje delovanja osebam v vozilu, upravljavcu v vozilu (če obstaja) ali upravljavcu za posredovanje na daljavo (če je ustrezno), pa tudi drugim udeležencem v prometu v skladu s prometnimi predpisi (npr. vklop varnostnih utripalk).

4.1.2.4

Če okvare vplivajo na zavorno ali krmilno zmogljivost vozila, se manever za zmanjšanje tveganja izvede z upoštevanjem preostale zmogljivosti.

5. Manever za zmanjšanje tveganja in razmere najmanjšega tveganja

5.1

Med zaviranjem za zmanjšanje tveganja se popolnoma avtomatizirano vozilo s sistemom ADS upočasni, da se doseže zahteva po pojemku, ki ni večji od 4,0 m/s2, do popolne ustavitve na najvarnejšem mestu ob upoštevanju okoliške prometne in cestne infrastrukture. V primeru hude okvare sistema ADS ali popolnoma avtomatiziranega vozila so dovoljene višje vrednosti zahteve po pojemku.

5.2

Sistem ADS osebam v popolnoma avtomatiziranem vozilu in drugim udeležencem v prometu v skladu s prometnimi predpisi (npr. z vklopom varnostnih utripalk) sporoči, da namerava popolnoma avtomatizirano vozilo preklopiti v stanje razmer najmanjšega tveganja.

5.3

Popolnoma avtomatizirano vozilo preklopi iz stanja razmer najmanjšega tveganja šele, ko z lastnimi pregledi sistema ADS ali/in pregledi s strani upravljavca v vozilu (če je ustrezno) ali upravljavca za posredovanje na daljavo (če je ustrezno) potrdi, da vzroki za manever za zmanjšanje tveganja niso več prisotni.

6. Interakcija človek-stroj

6.1

Potniki v popolnoma avtomatiziranem vozilu so ustrezno obveščeni, kadar koli je to potrebno za varno delovanje in kar zadeva tveganja za varnost.

6.2

Če je upravljavec za posredovanje na daljavo del varnostnega koncepta sistema ADS, mora popolnoma avtomatizirano vozilo potnikom v vozilu omogočiti, da prek avdiovizualnega vmesnika v popolnoma avtomatiziranem vozilu pokličejo upravljavca za posredovanje na daljavo. Za avdiovizualni vmesnik se uporabljajo nedvoumni znaki (npr. ISO 7010 E004).

6.3

Sistem ADS potnikom v vozilu zagotovi sredstva, s katerimi lahko zahtevajo manever za zmanjšanje tveganja, da zaustavijo popolnoma avtomatizirano vozilo. V nujnih primerih:

(a)	se za vozila, opremljena s samodejno upravljanimi vrati, odklepanje vrat izvede samodejno, če je to varno;

(b)	morajo potniki imeti možnost, da zapustijo vozilo v mirovanju (z odpiranjem vrat ali prek zasilnega izhoda).

6.4

Če je upravljavec za posredovanje na daljavo del varnostnega koncepta sistema ADS, popolnoma avtomatizirano vozilo zagotovi sistem za gledanje (npr. kamere v skladu s poglavjem 6 standarda ISO 16505:2019) prostora za potnike v vozilu in okolice vozila, da lahko upravljavec za posredovanje na daljavo oceni razmere v vozilu in zunaj njega.

6.5

Če je upravljavec za posredovanje na daljavo del varnostnega koncepta sistema ADS, mora biti upravljavcu za posredovanje na daljavo omogočeno, da na daljavo odpre delovna vrata na mehanski pogon.

6.6

Kadar je to potrebno in ustrezno, ADS aktivira ustrezne sisteme vozila (npr. odpiranje vrat, aktiviranje brisalcev v primeru dežja, ogrevalni sistem itd.).

7. Funkcionalna in operativna varnost

7.1

Proizvajalec dokaže, da je bila med projektiranjem in razvojnimi procesi sistema ADS upoštevana sprejemljiva stopnja funkcionalne in operativne varnosti tega sistema. Ukrepi, ki jih je uvedel proizvajalec, zagotavljajo, da je popolnoma avtomatizirano vozilo brez pretiranih varnostnih tveganj za potnike v vozilu in druge udeležence v prometu v življenjski dobi vozila v primerjavi s primerljivimi prevoznimi storitvami in razmerami znotraj operativnega območja.

7.1.1

Proizvajalec določi merila sprejemljivosti, na podlagi katerih se izpeljejo cilji validacije sistema ADS, da se oceni preostalo tveganje za območje operativne zasnove ob upoštevanju morebitnih obstoječih podatkov o nesrečah (1), podatkov o zmogljivostih vozil, ki se spretno in skrbno ročno upravljajo, ter najsodobnejše tehnologije.

7.2

Proizvajalec ima vzpostavljene postopke za upravljanje varnosti in stalne skladnosti sistema ADS skozi celotno življenjsko dobo (obraba sestavnih delov, zlasti za tipala, novi scenariji v prometu itd.).

8. Kibernetska varnost in posodobitve programske opreme

8.1

Sistem ADS je zaščiten pred nepooblaščenim dostopom v skladu s Pravilnikom ZN št. 155 (2).

8.2

Sistem ADS podpira posodobitve programske opreme. Učinkovitost postopkov in procesov posodabljanja programske opreme v zvezi s sistemom ADS se dokaže s skladnostjo s Pravilnikom ZN št. 156 (3).

8.2.1

Kot je določeno v Pravilniku o posodobitvi programske opreme in sistema za upravljanje posodobitev programske opreme, je za zagotovitev prepoznavanja programske opreme sistema mogoče uporabiti R2022/1426SWIN. R2022/1426SWIN se lahko hrani na vozilu, ali pa, če R2022/1426SWIN ni na vozilu, proizvajalec homologacijskemu organu navede različice programske opreme vozila ali posamezne elektronske krmilne enote s povezavo na ustrezne homologacije.

8.2.2

Proizvajalec na opisnem listu navede naslednje informacije:

(a)	R2022/1426SWIN;

(b)	kako brati R2022/1426SWIN ali različice programske opreme, če R2022/1426SWIN ni na vozilu.

8.2.3

Proizvajalec lahko na opisnem listu navede seznam ustreznih parametrov, ki bodo omogočili identifikacijo vozil, ki jih je mogoče posodobiti s programsko opremo, ki jo predstavlja R2022/1426SWIN. Zagotovljene informacije navede proizvajalec, homologacijski organ pa jih ne sme preveriti.

8.2.4

Proizvajalec lahko pridobi novo homologacijo vozila zaradi razlikovanja med različicami programske opreme, namenjenimi za uporabo na vozilih, ki so že registrirana na trgu, in različicami programske opreme, ki se uporabljajo na novih vozilih. To lahko zajema primere, ko se posodobijo predpisi o homologaciji ali spremeni strojna oprema vozil iz serijske proizvodnje. Kjer je to mogoče, je treba v dogovoru s homologacijskim organom preprečiti podvajanje preizkusov.

9. Zahteve glede podatkov sistema ADS in posebni podatkovni elementi za zapisovalnik podatkov o dogodku za popolnoma avtomatizirana vozila

9.1

Sistem ADS evidentira naslednje pojave ob vsakem aktiviranju sistema ADS:

9.1.1

Aktiviranje/ponovni zagon sistema ADS (če je ustrezno)

9.1.2

Deaktiviranje sistema ADS (če je ustrezno)

9.1.3

Zahteva, ki jo sistem ADS pošlje upravljavcu za posredovanje na daljavo (če je ustrezno)

9.1.4

Zahteva/vnos, ki ga pošlje upravljavec za posredovanje na daljavo (če je ustrezno)

9.1.5

Začetek delovanja v sili

9.1.6

Konec delovanja v sili

9.1.7

Vključenost v zaznan trk

9.1.8

Dejanje, zaradi katerega se aktivira zapisovalnik podatkov o dogodku

9.1.9

Manever za zmanjšanje tveganja, ki ga začne sistem ADS

9.1.10

Razmere najmanjšega tveganja, ki jih doseže popolnoma avtomatizirano vozilo

9.1.11

Okvara sistema ADS (opis)

9.1.12

Okvara vozila

9.1.13

Začetek postopka zamenjave voznega pasu

9.1.14

Konec postopka zamenjave voznega pasu

9.1.15

Prekinitev postopka zamenjave voznega pasu

9.1.16

Začetek namernega prečkanja voznega pasu

9.1.17

Konec namernega prečkanja voznega pasu

9.2

Oznake pojavov iz točk 9.1.13, 9.1.14, 9.1.16 in 9.1.17 se morajo shraniti samo, če se zgodijo do 30 sekund pred pojavi iz točk 9.1.5, 9.1.7, 9.1.15 ali 9.1.8.

9.3

Podatkovni elementi sistema ADS

9.3.1

Za vsak pojav iz točke 9.1 se na jasno določljiv način evidentirajo naslednji podatkovni elementi:

9.3.2

Oznaka evidentiranega pojava

9.3.3

Razlog za pojav, kot je primerno

9.3.4

Datum (ločljivost: llll.mm.dd)

9.3.5

Položaj (koordinate GPS)

9.3.6

Časovni žig:

(a)	ločljivost: hh.mm.ss in časovni pas, npr. 12.59.59 UTC;

(b)	točnost: +/– 1,0 sekunde.

9.4

Za vsak evidentirani pojav je jasno določljiv RXSWIN ali različice programske opreme, pri čemer se navede programska oprema, prisotna v času nastanka dogodka.

9.5

En časovni žig je lahko dovoljen za več elementov, evidentiranih hkrati v časovni ločljivosti določenih podatkovnih elementov. Če je z istim časovnim žigom zabeležen več kot en element, je iz informacij iz posameznih elementov razviden kronološki vrstni red.

9.6

Razpoložljivost podatkov

9.6.1

Podatkovni elementi sistema ADS so na voljo v skladu z zahtevami, določenimi v zakonodaji Unije ali nacionalni zakonodaji (4).

9.6.2

Ko zmogljivost shranjevanja doseže svojo mejo, se obstoječi podatki prepišejo le s postopkom „prvi noter, prvi ven“ v skladu z načelom upoštevanja ustreznih zahtev glede razpoložljivosti podatkov.

Proizvajalec zagotovi dokumentirane dokaze o zmogljivosti shranjevanja.

9.6.3

Za vozila kategorij M1 in N1 so podatkovni elementi dostopni tudi po trčenju s stopnjo resnosti, določeno v Pravilniku ZN št. 94 (5), 95 (6) ali 137 (7).

9.6.4

Za vozila kategorij M2, M3, N2 in N3 so podatkovni elementi iz točke 9.2 dostopni tudi po trčenju. Za dokazovanje te zmožnosti velja naslednje:

Bodisi:

(a)	na morebitne naprave za shranjevanje podatkov, ki so v vozilu, se uporabi mehanski udarec pri stopnji resnosti, kot je določeno v preizkusu sestavnega dela v Prilogi 9C k spremembam 03 Pravilnika ZN št. 100 (8), in

(b)

naprave za shranjevanje podatkov v vozilu se namestijo v kabino/prostor za potnike v vozilu ali na mesto z zadostno trdnostjo konstrukcije, da se zaščitijo pred fizičnimi poškodbami, ki bi preprečile pridobivanje podatkov. To se dokaže tehnični službi skupaj z ustrezno dokumentacijo (npr. izračuni ali simulacije);

bodisi

(c)	proizvajalec dokaže, da izpolnjuje zahteve iz točke 9.6.3 (npr. za vozila kategorije M2/N2, ki izhajajo iz kategorije M1/N1).

9.6.5

Če glavni vir napajanja v vozilu ni na voljo, je še vedno mogoče pridobiti vse evidentirane podatke.

9.6.6

Shranjeni podatki so enostavno berljivi na standardiziran način z uporabo elektronskega komunikacijskega vmesnika, vsaj prek standardnega vmesnika (vrata OBD).

9.7

Posebni podatkovni elementi za zapisovalnik podatkov o dogodku za popolnoma avtomatizirana vozila

9.7.1

Za vozila, opremljena z zapisovalniki podatkov o dogodku v skladu s členom 6 Uredbe (EU) 2019/2144, je mogoče prek standardnega vmesnika (vrata OBD) pridobiti podatkovne elemente sistema ADS iz točk 9.3.1 in 9.3.2, ki so bili zabeleženi vsaj zadnjih 30 sekund pred zadnjo nastavitvijo oznake pojava „dejanje, zaradi katerega se aktivira zapisovalnik podatkov o dogodku“, skupaj s podatkovnimi elementi iz Pravilnika ZN št. 160 (9), Priloga 4 (podatki zapisovalnika podatkov o dogodku (v nadaljnjem besedilu: podatki EDR)).

9.7.2

Če se v zadnjih 30 sekundah pred zadnjo nastavitvijo oznake pojava „dejanje, zaradi katerega se aktivira zapisovalnik podatkov o dogodku“ ne pojavi noben pojav iz točke 9.1, je poleg podatkov EDR mogoče pridobiti vsaj podatkovni element, ki ustreza zadnjemu pojavu v istem ciklu vklopa/izklopa iz točk 9.1.1 in 9.1.2.

9.7.3

Podatkovni elementi, pridobljeni v skladu s točko 9.7.1 ali 9.7.2, ne vključujejo datuma in časovnega žiga ali drugih informacij, ki omogočajo identifikacijo vozila, njegovega uporabnika ali lastnika. Namesto tega se časovni žig nadomesti z informacijami, ki predstavljajo časovno razliko med oznako pojava „dejanje, zaradi katerega se aktivira zapisovalnik podatkov o dogodku“ in oznako pojava zadevnega podatkovnega elementa sistema ADS.

9.8

Proizvajalec zagotovi navodila, kako dostopati do podatkov

9.9

Zaščita pred manipulacijo

9.9.1

Zagotovi se, da je vzpostavljena zadostna zaščita pred manipulacijo (npr. izbrisom podatkov) s shranjenimi podatki, kot je zasnova za zaščito pred poseganjem.

10. Ročni način vožnje

10.1

Če sistem ADS omogoča ročno vožnjo za namene vzdrževanja ali prevzem po manevru za zmanjšanje tveganja v popolnoma avtomatiziranem vozilu, je hitrost vozila omejena na 6 km/h in je vozilo opremljeno s sredstvi, ki osebi, ki upravlja vozilo, omogočajo varno vožnjo v skladu z varnostnim konceptom proizvajalca. Sistem ADS, razen v primeru okvare, še naprej zaznava ovire (npr. vozila, pešci) v območju manevriranja in vozniku pomaga pri takojšnjem zaustavljanju vozila, da se prepreči trk.

10.2

Če je ročna vožnja omejena na 6 km/h, ni nujno, da voznik ostane v popolnoma avtomatiziranem vozilu. Krmiljenje se lahko izvaja prek daljinskega upravljalnika, ki je v bližini vozila, če vozila ostanejo v neposrednem vidnem polju voznika. Največja razdalja, na kateri je mogoče izvajati daljinsko upravljanje, ne presega 10 metrov.

10.3

Če je pri ročni vožnji vozilo predvideno za vožnjo pri hitrostih, višjih od 6 km/h, se šteje za vozilo z dvema načinoma delovanja.

11. Priročnik za uporabo

11.1

Proizvajalec pripravi priročnik za uporabo. Namen priročnika za uporabo je s podrobnimi navodili zagotoviti varno delovanje popolnoma avtomatiziranega vozila lastniku, potnikom v vozilu, ponudniku prevoznih storitev, upravljavcu v vozilu, upravljavcu na daljavo in vsem ustreznim nacionalnim organom.

Če popolnoma avtomatizirano vozilo vključuje možnost ročne vožnje za namene vzdrževanja ali prevzem po manevru za zmanjšanje tveganja, mora biti ta možnost zajeta tudi v priročniku za uporabo.

11.2

Priročnik za uporabo vključuje funkcionalni opis sistema ADS.

11.3

Priročnik za uporabo vključuje tehnične ukrepe (npr. preglede in vzdrževalna dela v zvezi z infrastrukturo v vozilu in zunaj njega, zahteve v zvezi s prometno in fizično infrastrukturo, kot so označevalniki za lokalizacijo, tipala), operativne omejitve (npr. omejitev hitrosti, namenski vozni pas, fizična ločnica za promet, ki se premika v nasprotni smeri), okoljske pogoje (npr. razmere brez snega) in operativne ukrepe (npr. potreben je upravljavec v vozilu ali upravljavec za posredovanje na daljavo), potrebne za zagotovitev varnosti med delovanjem popolnoma avtomatiziranega vozila.

11.4

Priročnik za uporabo opisuje navodila za potnike v vozilu, ponudnika prevoznih storitev, upravljavca v vozilu (če je ustrezno) in upravljavca za posredovanje na daljavo (če je ustrezno) ter javne organe v primeru okvare in zahteve sistema ADS.

11.5

V priročniku za uporabo so določena pravila za zagotavljanje pravilnega izvajanja vzdrževanja, splošnih preizkusov in nadaljnjih pregledov.

11.6

Priročnik za uporabo se predloži homologacijskemu organu skupaj z vlogo za homologacijo in se priloži certifikatu o homologaciji.

11.7

Priročnik za uporabo je na voljo lastniku, in, če je to ustrezno, ponudniku prevoznih storitev, upravljavcu v vozilu (če je ustrezno), upravljavcu za posredovanje na daljavo (če je ustrezno) in vsem ustreznim nacionalnim organom.

12. Določbe za redne tehnične preglede

12.1

Za namene rednih tehničnih pregledov je mogoče preveriti naslednje lastnosti sistema ADS:

(a)

njegovo pravilno stanje delovanja z opazovanjem stanja opozorilnega signala za okvaro po vklopu glavnega nadzornega stikala vozila in vsakem preizkusu indikatorja. Če je opozorilni signal za okvaro prikazan v skupnem prostoru (območju, kjer sta lahko prikazani dve ali več informacijskih funkcij/simbolov, vendar ne hkrati), je treba pred preverjanjem stanja opozorilnega signala za okvaro najprej preveriti delovanje skupnega prostora;

(b)

njegovo pravilno funkcionalnost in celovitost programske opreme z uporabo elektronskega vmesnika vozila, kot je tisti iz točke I.(14) Priloge III k Direktivi 2014/45/EU Evropskega parlamenta in Sveta (10), kadar to dovoljujejo tehnične značilnosti vozila in so na voljo potrebni podatki. Proizvajalci v skladu s členom 6 Izvedbene uredbe Komisije (EU) 2019/621 (11) dajo na voljo tehnične podatke za uporabo elektronskega vmesnika vozila.

(1) Na primer na podlagi sedanjih podatkov o nesrečah na avtobusih, tovornjakih in avtomobilih v EU bi se lahko za uvajanje sistema ADS na trg za primerljive prevozne storitve in razmere upoštevala okvirna skupna merila sprejemljivosti 10–7 smrtnih žrtev na uro delovanja. Proizvajalec lahko uporabi druge metrike in metode, če lahko dokaže, da s tem odpravi pretirana varnostna tveganja v primerjavi s primerljivimi prometnimi storitvami in razmerami znotraj operativnega območja.

(2) UL L 82, 9.3.2021, str. 30.

(3) UL L 82, 9.3.2021, str. 60.

(4) Priporoča se zmogljivost shranjevanja 2 500 časovnih žigov, ki ustreza 6-mesečnemu obdobju uporabe.

(5) UL L 392, 5.11.2021, str. 1.

(6) UL L 392, 5.11.2021, str. 62.

(7) UL L 392, 5.11.2021, str. 130.

(8) UL L 449, 15.12.2021, str. 1.

(9) UL L 265, 26.7.2021, str. 3.

(10) Direktiva 2014/45/EU Evropskega parlamenta in Sveta z dne 3. aprila 2014 o rednih tehničnih pregledih motornih vozil in njihovih priklopnih vozil ter razveljavitvi Direktive 2009/40/ES (UL L 127, 29.4.2014, str. 51).

(11) Izvedbena uredba Komisije (EU) 2019/621 z dne 17. aprila 2019 o tehničnih podatkih, potrebnih za izvajanje tehničnih pregledov postavk, ki se pregledujejo, o uporabi priporočenih metod pregledov ter določitvi podrobnih pravil o obliki podatkov in postopkih za dostop do ustreznih tehničnih podatkov (UL L 108, 23.4.2019, str. 5).

PRILOGA III

Ocenjevanje skladnosti

Splošna ocena skladnosti sistema ADS temelji na:

—	Del 1: Scenariji v prometu, ki jih je treba upoštevati

—	Del 2: Ocena varnostnega koncepta sistema ADS in presoja proizvajalčevega sistema upravljanja varnosti

—	Del 3: Preizkusi za najpomembnejše scenarije v prometu

—	Del 4: Načela, ki se uporabljajo za oceno verodostojnosti za uporabo verige virtualnih orodij pri validaciji sistema ADS

—	Del 5: Sistem, ki ga proizvajalec vzpostavi za zagotovitev poročanja med obratovanjem

Vsaka zahteva iz Priloge II se lahko preveri s preizkusi, ki jih opravi homologacijski organ (ali njegova tehnična služba).

DEL 1

SCENARIJI V PROMETU, KI JIH JE TREBA UPOŠTEVATI

Minimalni sklop prometnih scenarijev

1.1

Scenariji in parametri iz točke 1 se uporabijo, kadar so ti scenariji pomembni za območje operativne zasnove sistema ADS.

Če proizvajalec odstopa od parametrov, predlaganih v točki 1, se metrike varnosti in s tem povezane predpostavke, ki jih uporablja proizvajalec, dokumentirajo v dokumentaciji. Izbrane metrike varnosti in s tem povezane predpostavke dokazujejo, da popolnoma avtomatizirano vozilo deluje brez pretiranih varnostnih tveganj. Veljavnost takih metrik varnosti in s tem povezanih predpostavk se podpre s podatki iz spremljanja med obratovanjem.

1.2

Parametri, ki jih popolnoma avtomatizirano vozilo uporablja za scenarije zamenjave voznega pasu.

1.2.1

Scenariji in parametri v zvezi z zamenjavo voznega pasu se uporabljajo, kot je določeno v Pravilniku ZN št. 157 (1).

1.3

Parametri, ki jih popolnoma avtomatizirano vozilo uporablja za scenarij zavijanja in prečenja.

1.3.1

Če ni podrobnejših prometnih predpisov, se upoštevajo naslednje zahteve v zvezi z interakcijo z drugimi udeleženci v prometu, ki sodelujejo pri gibanju ob zavijanju in prečenju (glej sliko 1) v suhih in ustreznih pogojih na cestišču.

1.3.2

Pri združevanju s prednostnim prometom med zavijanjem s prečenjem in brez prečenja nasprotne prometne smeri prednostni promet na ciljnem voznem pasu ne sme biti primoran upočasniti. Vendar je treba zagotoviti, da čas do trka prednostnega prometa, ki se približuje na ciljni cesti (primer (a) na sliki 1), nikoli ne pade pod prag,TTC dyn opredeljen kot:

Pri čemer je:

v e hitrost popolnoma avtomatiziranega vozila;

v a hitrost prednostnega prometa, ki se približuje;

β enako 3 m/s2, kar je največji dopustni pojemek za prednostni promet, ki se približuje;

ρ enako 1,5 s, kar je reakcijski čas prednostnega prometa, ki se približuje.

1.3.3

Pri manevru zavijanja, ki preči promet, ki prihaja iz nasprotne smeri, pri obravnavi prometa, ki prihaja iz nasprotne smeri, prednostni promet na ciljnem voznem pasu ne sme biti primoran upočasniti. Vendar je treba, če je to utemeljeno z gostoto prometa, zagotoviti – poleg oddaljenosti od prednostnega prometa na ciljni cesti, ki se približuje –, da čas do trka prednostnega prometa, ki preči smer gibanja, do fiktivne točke trka (točka križanja poti, primer (b) na sliki 1), nikoli ne pade pod prag,TTC int opredeljen kot:

Pri čemer je:

v c hitrost prednostnega konfliktnega prometa;

β enako 3 m/s2, kar je največji dopustni pojemek za prednostni promet, ki preči smer gibanja;

ρ enako 1,5 s, kar je reakcijski čas prednostnega prometa, ki preči smer gibanja.

Enako velja za prečenje s prednostnim prometom (primer (c) na sliki 1): Čas do trka prednostnega prometa do namišljene točke trka (točka križanja poti) nikoli ne pade pod prag TTC int , opredeljen v tej točki.

Slika 1: Vizualizacija razdalj med zavijanjem in prečenjem.

Primer (a): Razdalja do prednostnega prometa, ki se približuje na ciljnem voznem pasu, ki jo je treba upoštevati med zavijanjem in združevanjem s prednostnim prometom.

Primer (b): Razdalja do prednostnega prometa, ki prihaja iz nasprotne strani, ki jo je treba upoštevati pri zavijanju prečno prek nasprotne prometne smeri.

Primer (c): razdalja do prednostnega prometa, ki preči smer gibanja, ki jo je treba upoštevati pri prečenju.

1.4

Parametri, ki jih popolnoma avtomatizirano vozilo uporablja za scenarije manevriranja v sili (dinamična vožnja v ključnih scenarijih).

1.4.1

Sistem ADS mora preprečiti trk z vodilnim vozilom, ki upočasni do svoje polne zavorne zmogljivosti, če se drugo vozilo ni vrinilo.

1.4.2

Trki z vozili, pešci in kolesarji, ki vozijo v isto smer in sekajo smer gibanja, ter s pešci, ki lahko začnejo prečkati cesto, se morajo preprečiti vsaj v pogojih, določenih v naslednji enačbi.

Pri čemer je:

čas do trka v trenutku, ko se vozilo ali kolesar vrine za več kot 30 cm na voznem pasu popolnoma avtomatiziranega vozila;

v rel relativna hitrost v metrih na sekundo [m/s] med popolnoma avtomatiziranim vozilom in vozilom, ki se vriva (pozitivna, če je sistem ADS hitrejši od vozila, ki se vriva);

β največji pojemek popolnoma avtomatiziranega vozila, za katerega se domneva, da je enak:

2,4 m/s2, če prevaža stoječe ali nepripete potnike v vozilu in obstaja scenarij vozila, ki se vriva;

6 m/s2, če prevaža stoječe ali nepripete potnike v vozilu za druge scenarije s pešci ali kolesarji;

6 m/s2 za druga popolnoma avtomatizirana vozila;

ρ čas, ki ga popolnoma avtomatizirano vozilo potrebuje za začetek zaviranja v sili in za katerega se domneva, da je enak 0,1 s;

τ čas do največjega pojemka β, za katerega se domneva, da je enak:

0,12 s za popolnoma avtomatizirana vozila, ki prevažajo stoječe ali nepripete potnike v vozilu;

0,3 s za druga popolnoma avtomatizirana vozila.

Skladnost s to enačbo se zahteva le za udeležence v cestnem prometu, ki se vrivajo, in le, če so bili udeleženci v cestnem prometu, ki se vrivajo, vidni vsaj 0,72 sekunde pred vrivanjem:

Zaradi tega je potrebno preprečiti trk, ko drugi udeleženec v cestnem prometu vstopi v ego vozni pas nad naslednjimi vrednostmi časa do trka (npr. za hitrosti v korakih po 10 km/h). Te zahteve so izpolnjene neodvisno od okoljskih pogojev.

v rel [km/h]	[s] za vozila s stoječimi potniki ali potniki, ki niso pripeti z varnostnimi pasovi	[s] za druga vozila
10	0,74	0,48
20	1,32	0,71
30	1,9	0,94
40	2,47	1,18
50	3,05	1,41
60	3,63	1,64

Če se zamenjava voznega pasu s krajšim časom do trka izvede na vozni pas, kjer vozi popolnoma avtomatizirano vozilo, ni več mogoče domnevati, da ne bo mogoče preprečiti trka. Strategija upravljanja sistema ADS se lahko spremeni med preprečitvijo ali ublažitvijo trka, če lahko proizvajalec dokaže, da se s tem poveča varnost potnikov v vozilu in drugih udeležencev v prometu (npr. z dajanjem prednosti zaviranju pred alternativnim manevrom).

1.4.3

Sistem ADS mora preprečiti trk s pešcem ali kolesarjem, ki prečka cesto pred vozilom.

1.4.3.1

Vozne razmere v mestu in na podeželju

1.4.3.1.1

Sistem ADS mora pri hitrosti do 60 km/h preprečiti trk s pešcem, ki je viden in prečka cesto pred vozilom s prečno hitrostno komponento največ 5 km/h, ali kolesarjem, ki je viden in prečka cesto pred vozilom s prečno hitrostno komponento največ 15 km/h. To se zagotovi neodvisno od posebnega manevra, ki ga izvaja sistem ADS.

1.4.3.1.2

Če pešec ali kolesar nadaljuje s hitrostjo, ki je višja od zgoraj navedenih vrednosti, in sistem ADS ne more več preprečiti trka, se lahko strategija upravljanja sistema ADS med preprečitvijo ali ublažitvijo trka spremeni le, če lahko proizvajalec dokaže, da se s tem poveča varnost potnikov v vozilu in drugih udeležencev v prometu (npr. z dajanjem prednosti zaviranju pred alternativnim manevrom).

1.4.3.1.3

Sistem ADS mora ublažiti trk s pešcem ali kolesarjem, ki ni viden in cesto prečka pred vozilom, tako da zmanjša hitrost vozila pri trku za najmanj 20 km/h. To se zagotovi neodvisno od posebnega manevra, ki ga izvaja sistem ADS.

1.4.3.1.4

Za dokazovanje izpolnjevanja prejšnjih zahtev v zvezi s pešci in kolesarji, ki cesto prečkajo pred vozilom, se lahko kot smernice upoštevajo preizkusni scenariji in scenariji ocenjevanja, razviti v okviru Evropskega programa za ocenjevanje novih avtomobilov (Euro NCAP).

1.4.3.2

Vozne razmere na avtocesti

1.4.3.2.1

Ustrezni scenariji v zvezi s pešci, ki prečkajo cesto, se uporabljajo, kot je določeno v Pravilniku ZN št. 157.

1.4.3.2.2

Če pešec cesto prečka z vrednostmi parametrov zunaj meja, določenih v Pravilniku ZN št. 157, in sistem ADS ne more več preprečiti trka, se lahko strategija upravljanja sistema ADS med preprečitvijo ali ublažitvijo trka spremeni le, če lahko proizvajalec dokaže, da se s tem poveča varnost potnikov v vozilu in drugih udeležencev v prometu (npr. z dajanjem prednosti zaviranju pred alternativnim manevrom).

1.5

Uvoz na avtocesto

Popolnoma avtomatizirano vozilo mora biti sposobno varno zapeljati na avtocesto, tako da prilagodi hitrost prometnemu toku in aktivira ustrezne smerne svetilke v skladu s prometnimi predpisi.

Smerna svetilka se deaktivira, ko vozilo opravi manever zamenjave voznega pasu. Uporabijo se parametri, uporabljeni v scenariju zamenjave voznega pasu.

1.6

Izvoz z avtoceste

Popolnoma avtomatizirano vozilo mora biti sposobno predvideti ciljni izvoz z avtoceste, tako da vozi po voznem pasu, ki je sosedni izhodnemu pasu, in ne sme po nepotrebnem zavirati, preden se začne manever zamenjave voznega pasu na izvozni pas.

Popolnoma avtomatizirano vozilo uporabi smerno svetilko v skladu s prometnimi predpisi in brez nepotrebnega odlašanja izvede manever zamenjave voznega pasu na izvozni pas.

Smerna svetilka se deaktivira, ko se manever zamenjave voznega pasu konča v skladu s prometnimi predpisi v državi obratovanja.

1.7

Vožnja skozi cestninsko postajo

Popolnoma avtomatizirano vozilo mora biti sposobno izbrati ustrezen prehod in prilagoditi svojo hitrost dovoljenim omejitvam znotraj območja cestninjenja, ob upoštevanju prometnega toka.

1.8

Delovanje na drugih vrstah cest, ki niso avtoceste

Glede na območje operativne zasnove se uporabi ustrezni scenarij, opredeljen v točkah 1.2 do 1.4.

1.9

Parametri, ki se uporabljajo za avtomatizirano storitev parkiranja

1.9.1

Glede na območje operativne zasnove se uporabijo ustrezni scenariji, opredeljeni v točkah 1.3 do 1.5. Parametre, ki se uporabljajo za te scenarije, bo morda treba prilagoditi, da se upoštevata omejena hitrost vožnje in splošno pomanjkanje vidljivosti, ki se lahko pojavi na parkirišču. Posebna pozornost se nameni preprečevanju trka s pešci in zlasti z otroki in otroškimi vozički.

Scenariji, ki niso zajeti v točki 1

2.1

Scenariji, ki niso navedeni v točki 1, se pripravijo tako, da zajemajo razumno predvidljive kritične razmere, vključno z okvarami in prometnimi nevarnostmi v območju operativne zasnove.

2.2

Kadar so zmogljivosti sistema ADS odvisne od zmogljivosti na daljavo, scenariji vključujejo okvare in prometne nevarnosti, ki izhajajo iz ustreznih zmogljivosti na daljavo.

2.3

Metoda za ustvarjanje scenarijev, ki niso navedeni v točki 1, upošteva načela iz Dodatka 1 k delu 1 te priloge.

2.4

Metoda, ki jo proizvajalec uporablja za ustvarjanje scenarijev, ki niso navedeni v točki 1, se dokumentira v dokumentaciji, ki jo je treba predložiti za oceno sistema ADS.

Dodatek 1

Načela, ki jih je treba upoštevati za izpeljavo scenarijev, pomembnih za območje operativne zasnove sistema ADS

1. Ustvarjanje in razvrščanje scenarijev

S kvalitativnega vidika se lahko scenariji razvrstijo v nominalne in ključne scenarije ter scenarije okvare in ustrezajo običajnemu delovanju ali delovanju v sili. Za vsako od teh kategorij se lahko za ustvarjanje ustreznih scenarijev v prometu uporabita pristop, ki temelji na podatkih, in pristop, ki temelji na znanju. Pristop, ki temelji na znanju, uporablja strokovno znanje za sistematično prepoznavanje nevarnih dogodkov in ustvarjanje scenarijev. Pristop, ki temelji na podatkih, uporablja razpoložljive podatke za prepoznavanje in razvrščanje pojavljajočih se scenarijev. Scenariji se izpeljejo iz območja operativne zasnove popolnoma avtomatiziranega vozila.

2. Nominalni scenariji

Niz analitičnih okvirov lahko proizvajalcu pomaga izpeljati dodatne nominalne scenarije, da se zagotovi pokritost za določeno uporabo. Ti okviri so razdeljeni na:

2.1 Analiza območja operativne zasnove

Območje operativne zasnove je sestavljeno iz scenskih elementov (npr. fizična infrastruktura), okoljskih pogojev, dinamičnih elementov (npr. promet, ranljivi udeleženci v cestnem prometu) in operativnih omejitev v zvezi s posebno uporabo sistema ADS. Namen te analize je ugotoviti značilnosti območja operativne zasnove, razporediti lastnosti in opredeliti interakcije med predmeti. Pri tem se preuči učinek območja operativne zasnove na sposobnost obnašanja ADS. Primer analize je prikazan v preglednici 1.

Preglednica 1

Dinamični elementi in njihove lastnosti

Predmeti	Dogodki/interakcije
Vozila (npr. avtomobili, lahka tovorna vozila, težka tovorna vozila, avtobusi, motorna kolesa)	Vodilno vozilo, ki zmanjšuje hitrost (spredaj) Zaustavljeno vodilno vozilo (spredaj) Vodilno vozilo, ki pospešuje (spredaj) Zamenjava voznega pasu (spredaj/bočno) Vrivanje (s sosednjega pasu) Zavijanje (spredaj) Vozilo, ki se premika v nasprotni smeri in delno zapelje s svojega voznega pasu (spredaj/bočno) Sosednje vozilo, ki se premika v isti smeri in delno zapelje s svojega voznega pasu (spredaj/bočno) Vstop na vozišče (spredaj/bočno) Zapuščanje voznega pasu (spredaj)
Pešci	Prečkanje ceste – na prehodu (spredaj) Prečkanje ceste – zunaj prehoda (spredaj) Hoja po pločniku/ob robu
Kolesarji	Vožnja po voznem pasu (spredaj) Vožnja na sosednjem voznem pasu (spredaj/bočno) Vožnja na namenskem voznem pasu (spredaj/bočno) Vožnja po pločniku/ob robu Prečkanje ceste – na prehodu (spredaj/bočno) Prečkanje ceste – zunaj prehoda (spredaj/bočno)
Živali	Statično na voznem pasu (spredaj) Premikanje na vozni pas/z voznega pasu (spredaj/bočno) Statično/premikanje po sosednjem voznem pasu (spredaj) Statično/premikanje ob robu
Razbitine	Statično na voznem pasu (spredaj)
Drugi dinamični predmeti (npr. nakupovalni vozički)	Statično na voznem pasu (spredaj/bočno) Premikanje na vozni pas/z voznega pasu (spredaj/bočno)
Prometni znaki	Stop, prednostna cesta, omejitev hitrosti, prehod za pešce, železnica, prehod, okolica šole
Prometna signalizacija	Križišče, železniški prehod, okolica šole
Signali vozil	Signalne naprave za zavijanje (smerne svetilke)

2.2 Analiza zaznavanja predmetov in dogodkov ter odziva nanje (v nadaljevanju: analiza OEDR): Identifikacija sposobnosti obnašanja

Ko so predmet in ustrezne lastnosti opredeljeni, je mogoče evidentirati ustrezen odziv sistema ADS. Odziv sistema ADS je oblikovan na podlagi veljavnih funkcionalnih zahtev in z uporabo zahtev glede delovanja iz te uredbe ter prometnih predpisov države obratovanja.

Izid analize OEDR je tudi sklop sposobnosti, ki jih je mogoče preslikati na sposobnosti obnašanja, ki se uporabljajo za območje operativne zasnove, da se zagotovi skladnost z ustreznimi regulativnimi in pravnimi zahtevami. V preglednici 2 je prikazan kvalitativni primer ujemajočega se dogodka – odziva.

Kombinacija predmetov, dogodkov in njihove potencialne interakcije kot funkcija znotraj območja operativne zasnove sestavlja sklop nominalnih scenarijev, ki se nanašajo na analizirane sisteme ADS. Za določitev nominalnih scenarijev se lahko uporabi okrepljena kombinacija deskriptorjev scenarijev, ki v okviru območja operativne zasnove zajemajo na primer značilnosti infrastrukture, značilnosti predmetov in dogodkov, nevarnosti, ki vplivajo na odziv (npr. vreme, vidljivost). Določitev nominalnih scenarijev ni omejena na prometne razmere, ampak zajema tudi okoljske pogoje, človeške dejavnike, povezljivost in napačno komunikacijo. Ker parametri (predpostavke) za dogodke še niso opredeljeni, je treba nominalne scenarije, ki izhajajo iz uporabe analize, upoštevati pri njihovem funkcionalnem in logičnem sloju abstrakcije.

Preglednica 2

Sposobnosti obnašanja za dane dogodke

Dogodek	Odziv
Vodilno vozilo, ki zmanjšuje hitrost	Sledenje vozilu, pojemanje, zaustavitev
Zaustavljeno vodilno vozilo	Pojemanje, zaustavitev
Vodilno vozilo, ki pospešuje	Pospeševanje, sledenje vozilu
Vodilno vozilo, ki zavija	Pojemanje, zaustavitev
Drugo vozilo, ki menja vozni pas	Prepuščanje prednosti, pojemanje, sledenje vozilu
Drugo vozilo, ki se vriva	Prepuščanje prednosti, pojemanje, zaustavitev, sledenje vozilu
Vozilo, ki se vključuje na cestišče	Sledenje vozilu, pojemanje, zaustavitev
Vozilo, ki se premika v nasprotni smeri in delno zapelje s svojega voznega pasu	Pojemanje, zaustavitev, premik znotraj voznega pasu, premik zunaj voznega pasu
Sosednje vozilo, ki se premika v isti smeri in delno zapelje s svojega voznega pasu	Prepuščanje prednosti, pojemanje, zaustavitev
Vodilno vozilo zapušča vozni pas	Pospeševanje, pojemanje, zaustavitev
Pešec prečka cesto – na prehodu	Prepuščanje prednosti, pojemanje, zaustavitev
Pešec prečka cesto – zunaj prehoda	Prepuščanje prednosti, pojemanje, zaustavitev
Kolesarji, ki se vozijo po voznem pasu	Prepuščanje prednosti, sledenje
Kolesarji, ki se vozijo po namenskem voznem pasu	Premik znotraj voznega pasu
Kolesarji prečkajo cesto – na prehodu	Prepuščanje prednosti, pojemanje, zaustavitev
Kolesarji prečkajo cesto – zunaj prehoda	Prepuščanje prednosti, pojemanje, zaustavitev

3. Kritični scenariji

Kritične scenarije je mogoče izpeljati bodisi z upoštevanjem mejnih predpostavk o nominalnih scenarijih v prometu (ki temeljijo na podatkih) bodisi z uporabo standardiziranih metod (ki temeljijo na znanju) za oceno operativne nezadostnosti (glej primer metod v točki 3.5.5 dela 2). Za določitev kritičnih scenarijev se lahko izkoristi okrepljena kombinacija deskriptorjev scenarijev in mejnih vrednosti, ki v okviru območja operativne zasnove zajemajo na primer značilnosti infrastrukture, značilnosti predmetov in dogodkov, nevarnosti, ki vplivajo na odziv (npr. vreme, ovire za vidljivost, interakcije z udeleženci v prometu, ki niso sprožilni predmet ali dogodek). Določitev kritičnih scenarijev ni omejena na prometne razmere, ampak zajema tudi okoljske pogoje, človeške dejavnike, povezljivost in napačno komunikacijo. Kritični scenariji ustrezajo delovanju sistema ADS v sili.

4. Scenariji okvar

Namen teh scenarijev je oceniti, kako se sistem ADS odziva na okvaro. V literaturi so na voljo različne metode (glej primer metod v točki 3.5.5 dela 2).

Proizvajalec za vsako od ugotovljenih okvar v obnašanju in vsakega od ugotovljenih posledičnih učinkov pri razvoju sistema ADS vzpostavi ustrezne strategije (tj. zasilni način).

Pri uporabi scenarijev okvar je cilj oceniti sposobnost sistema ADS, da izpolnjuje zahteve za kritične situacije v zvezi z varnostjo, vključno na primer „sistem ADS upravlja kritične situacije vožnje v zvezi z varnostjo“ in „sistem ADS varno upravlja stanja okvare“ ter njihove ustrezne podzahteve.

5. Predpostavke: od logičnih do konkretnih scenarijev

Za zagotovitev, da so scenariji, opredeljeni v prejšnjih točkah, pripravljeni na oceno s simulacijo ali fizičnim preizkušanjem, jih bo proizvajalec morda moral usklajeno parametrirati z uporabo predpostavk.

Proizvajalec predloži dokazila, ki podpirajo predpostavke, kot so kampanje zbiranja podatkov, izvedene v razvojni fazi, preučevanje in analiziranje vzrokov in posledic nesreč v resničnem svetu in ocene realističnega obnašanja voznikov med vožnjo.

Parametri, ki se uporabljajo za karakterizacijo kritičnih scenarijev, ne bi smeli zajemati vrednosti in deskriptorjev scenarijev, ki jih je mogoče razumno predvideti, vendar ne bi smeli biti omejeni na vrednosti, že ugotovljene v dokumentiranih podatkovnih zbirkah.

DEL 2

OCENA VARNOSTNEGA KONCEPTA SISTEMA ADS IN PRESOJA PROIZVAJALČEVEGA SISTEMA UPRAVLJANJA VARNOSTI

1. Splošno

1.1

Homologacijski organ, ki podeli homologacijo, ali tehnična služba, ki deluje v njegovem imenu, s ciljno usmerjenimi pregledi na kraju samem in preizkusi preveri, zlasti kot je določeno v točki 4 te priloge, ali varnostna argumentacija iz dokumentacije izpolnjuje zahteve iz Priloge II, ter ali proizvajalec dejansko izvaja zasnovo in postopke, opisane v dokumentaciji.

1.2

Čeprav se na podlagi predložene dokumentacije, dokazov, predloženih za presojo sistema upravljanja varnosti, in ocene varnostnega koncepta sistema ADS, ki so v zvezi s to uredbo po mnenju homologacijskega organa zadovoljivi, za preostalo stopnjo tveganja homologiranega sistema ADS šteje, da je sprejemljiva za začetek uporabe tipa vozila, je za splošno varnost sistema ADS v življenjski dobi sistema ADS v skladu z zahtevami te uredbe še naprej odgovoren proizvajalec, ki zahteva homologacijo.

2. Opredelitev pojmov

Za namene te priloge velja naslednje:

2.1

„varnostni koncept“ pomeni opis ukrepov, ki so konstrukcijsko vgrajeni v sistem ADS, zato da popolnoma avtomatizirano vozilo v stanju z napako (funkcionalna varnost) in brezhibnem stanju (operativna varnost) deluje za scenarije in dogodke, pomembne za območje operativne zasnove, brez pretiranih varnostnih tveganj za potnike v vozilu in druge udeležence v prometu. Možnost vrnitve v delno delovanje ali celo v rezervni sistem za ključne funkcije sistema ADS je del varnostnega koncepta;

2.2

„enote“ pomenijo najmanjši deli sestavnih delov sistema, ki bodo obravnavani v tej prilogi, saj se bodo te kombinacije sestavnih delov za potrebe identifikacije, analize ali nadomestitve štele kot ena sama enota;

2.3

„povezave za prenos“ pomenijo sredstva, ki se uporabljajo za medsebojno povezovanje porazdeljenih enot za prenos signalov in operativnih podatkov ali oskrbo z energijo. Ta oprema je praviloma električna, deloma pa je lahko tudi mehanska, pnevmatska ali hidravlična;

2.4

„območje nadzora“ pomeni izhodno spremenljivko in opredeljuje območje, v katerem bo sistem verjetno izvajal nadzor;

2.5

„meja funkcionalnega delovanja“ pomeni meje zunanjih fizičnih meja, znotraj katerih lahko sistem ADS izvaja dinamično vožnjo.

3. Dokumentacija o sistemu ADS

3.1 Zahteve

Proizvajalec predloži dokumentacijo, ki omogoča dostop do osnovne zasnove sistema ADS ter sredstev, s katerimi je ta povezan z drugimi sistemi vozila ali s katerimi neposredno upravlja izhodne spremenljivke ter zunanjo strojno/programsko opremo in zmogljivosti na daljavo.

Pojasnijo se funkcije sistema ADS, vključno s strategijami upravljanja, in varnostni koncept, kot jih je določil proizvajalec.

Dokumentacija je kratka, vendar dokazuje, da zasnova in razvoj temeljita na strokovnem znanju z vseh zadevnih področij sistema ADS.

Kar zadeva redne tehnične preglede, je v dokumentaciji opisano, kako se lahko preveri trenutno stanje delovanja sistema ADS ter funkcionalnost in celovitost programske opreme .

Homologacijski organ oceni dokumentacijo in v zvezi s sistemom ADS dokaže, da:

(a)	je zasnovan in razvit za delovanje na tak način, da deluje brez pretiranih tveganj za potnike v vozilu in druge udeležence v prometu v okviru navedenega območja operativne zasnove in mej;

(b)	izpolnjuje zahteve glede delovanja iz Priloge II k tej uredbi;

(c)	je bil razvit v skladu s postopkom/metodo razvoja, ki jo navede proizvajalec.

3.1.1

Dokumentacija se predloži v treh delih:

(a)	vloga za podelitev homologacije: opisni list, ki se homologacijskemu organu predloži v času predložitve vloge za podelitev homologacije, vsebuje kratke informacije o elementih iz Priloge I. Ta opisni list postane del homologacije;

(b)

uradna dokumentacija za homologacijo, ki vsebuje gradivo iz tega odstavka 3 (razen gradiva iz točke 3.5.5) in ki se predloži homologacijskemu organu za namene izvajanja homologacije sistema ADS. Homologacijski organ uporabi to dokumentacijo kot temeljno referenco za postopek preverjanja iz točke 4 te priloge. Homologacijski organ zagotovi, da je ta dokumentacija na voljo vsaj deset let po dokončnem prenehanju proizvodnje tipa vozila;

(c)

dodatno zaupno gradivo in podatki o analizah (intelektualna lastnina) iz točke 3.5.5, ki jih obdrži proizvajalec, vendar morajo biti ob homologaciji sistema ADS dani na voljo za pregled (npr. na kraju samem v objektih proizvajalca za tehnično projektiranje). Proizvajalec zagotovi, da so to gradivo in podatki o analizah na voljo deset let po dokončnem prenehanju proizvodnje tipa vozila.

3.2 Splošni opis sistema ADS

3.2.1

Predloži se opis, ki vsebuje preprosto razlago operativnih značilnosti in funkcij sistema ADS.

3.2.2

Opis vključuje:

3.2.2.1

območje operativne zasnove, kot so najvišja hitrost obratovanja, vrsta ceste (npr. namenski vozni pas), države/območja obratovanja, zahtevane razmere na cesti in okoljske pogoje (npr. razmere brez snega) itd./mejne pogoje;

3.2.2.2

osnovno zmogljivost (npr. zaznavanje predmetov in dogodkov ter odziv nanje, infrastruktura zunaj vozila, potrebna med obratovanjem);

3.2.2.3

interakcijo z drugimi udeleženci v prometu;

3.2.2.4

glavne pogoje za manevre za zmanjšanje tveganja;

3.2.2.5

koncept interakcije s potniki v vozilu, upravljavcem v vozilu (če je ustrezno) in upravljavcem za posredovanje na daljavo (če je ustrezno);

3.2.2.6

sredstva za aktiviranje ali deaktiviranje sistema ADS s strani upravljavca v vozilu (če je ustrezno) ali upravljavca za posredovanje na daljavo (če je ustrezno), potnikov v vozilu (če je ustrezno) ali drugih udeležencev v cestnem prometu (če je ustrezno);

3.2.2.7

operativne ukrepe (npr. upravljavec v vozilu ali upravljavec za posredovanje na daljavo), da se zagotovi varnost med delovanjem popolnoma avtomatiziranega vozila.

3.2.2.8

zaledje, potrebno zunanjo infrastrukturo, potrebno za zagotovitev varnostni med delovanjem popolnoma avtomatiziranega vozila.

3.3 Opis funkcij sistema ADS

Predloži se opis, v katerem so pojasnjene vse funkcije, vključno s strategijami upravljanja, da se zagotovi zanesljivo in varno delovanje sistema ADS, in metode, uporabljene za izvajanje dinamične vožnje v okviru območja operativne zasnove in meja, pod katerimi je sistem za avtomatizirano vožnjo zasnovan za delovanje, vključno z opisom, kako je to zagotovljeno.

Vse omogočene ali onemogočene funkcije za avtomatizirano vožnjo, za katere sta strojna in programska oprema prisotni v vozilu v času proizvodnje, se navedejo, zanje pa veljajo zahteve iz te priloge in Priloge II k tej uredbi, in sicer pred njihovo uporabo v vozilu. Če se uporabljajo algoritmi za nenehno učenje, proizvajalec dokumentira tudi obdelavo podatkov.

3.3.1

Predloži se seznam vseh vhodnih in zaznanih spremenljivk ter določi njihovo delovno območje, skupaj z opisom, kako vsaka spremenljivka vpliva na obnašanje sistema ADS.

3.3.2

Predloži se seznam vseh izhodnih spremenljivk, ki jih upravlja sistem ADS, in v vsakem primeru se pojasni, ali je upravljanje neposredno ali pa poteka prek drugega sistema vozila. Opredeli se območje, v katerem bo sistem ADS verjetno upravljal vsako tako spremenljivko.

3.3.3

Navedejo se meje, ki določajo meje funkcionalnega delovanja, vključno z mejami območja operativne zasnove, kadar je to potrebno za delovanje sistema ADS.

3.3.4

Pojasniti je treba koncept interakcije človek-stroj (HMI) s potniki v vozilu/upravljavcem v vozilu/upravljavcem za posredovanje na daljavo (če obstaja), ko gre za približanje mejam območja operativne zasnove in ko so te nato dosežene. Pojasnilo vključuje seznam vrst situacij, v katerih bo sistem ADS predložil zahtevo za podporo upravljavcu v vozilu/upravljavcu za posredovanje na daljavo (če je ustrezno), način izvajanja zahteve, postopek, ki obravnava neuspešno zahtevo, in manever za zmanjšanje tveganja. Opisati je treba tudi signale in informacije, ki se posredujejo upravljavcu v vozilu/upravljavcu za posredovanje na daljavo, potnikom v vozilu in drugim udeležencem v prometu v vsakem od zgoraj navedenih vidikov.

3.4 Načrt in shematski prikazi sistema ADS

3.4.1

Popis sestavnih delov

Predloži se seznam, na katerem so razčlenjene vse enote sistema ADS in navedeni tudi ostali sistemi vozila, ter zunanja strojna/programska oprema in zmogljivosti na daljavo, ki so potrebne za doseganje navedene zmogljivosti sistema ADS, ki bodo odobrene v skladu z njegovim območjem operativne zasnove.

Predloži se okvirna shema, ki prikazuje te enote v kombinaciji, pri čemer se pojasnijo porazdelitev opreme in medsebojne povezave.

Ta okvirna shema vključuje:

(a)	dojemanje in zaznavanje predmetov/dogodkov, vključno s kartiranjem in določanjem položaja;

(b)	karakterizacijo značilnosti odločanja;

(c)	podatkovne elemente sistema ADS;

(d)	povezave in vmesnik z drugimi sistemi vozila, zunanjo strojno/programsko opremo in zmogljivostmi na daljavo.

3.4.2

Funkcije enot

Opiše se funkcija vsake enote sistema ADS in prikažejo signali, ki jo povezujejo z drugimi enotami ali drugimi sistemi vozila. Vključuje sisteme zunaj vozila, ki podpirajo sistem ADS in druge sisteme vozil. To se lahko zagotovi z označenim blokovnim diagramom, drugim shematskim prikazom ali opisom, ki mu je tak diagram priložen.

3.4.3

Medsebojne povezave znotraj sistema ADS se prikažejo s shemo vezja za povezave za prenos električne energije, shemo cevne napeljave za opremo za pnevmatski ali hidravlični prenos in poenostavljenim načrtom v obliki sheme mehanskih povezav. Prikažejo se tudi povezave za prenos do drugih sistemov in iz njih.

3.4.4

Obstaja jasna povezava med povezavami za prenos in signali, ki se prenašajo med enotami. Prednostne naloge signalov na multiplih podatkovnih poteh se navedejo, kadar koli je lahko prednostna naloga težava, ki vpliva na delovanje ali varnost.

3.4.5

Identifikacija enot

3.4.5.1

Vsaka enota je jasno in nedvoumno prepoznavna (npr. z oznako za strojno opremo in oznako ali programskim izhodom za vsebino programa), da zagotavlja ustrezno povezavo med strojno opremo in dokumentacijo. Kadar je mogoče različico programske opreme spremeniti, ne da bi bilo treba zamenjati oznako ali sestavni del, se identifikacija programske opreme izvede le prek programskega izhoda.

3.4.5.2

Kadar so funkcije združene v eni sami enoti ali celo v enem samem računalniku, vendar so zaradi jasnosti in lažje obrazložitve prikazane v več blokih v blokovnem diagramu, se uporabi ena sama identifikacijska oznaka strojne opreme. Proizvajalec s to identifikacijo potrdi, da je predložena oprema skladna z ustreznim dokumentom.

3.4.5.3

Identifikacija opredeljuje različico strojne in programske opreme, kadar pa se slednja spremeni tako, da spremeni funkcijo enote, kar zadeva to uredbo, se spremeni tudi ta identifikacija.

3.4.6

Namestitev sestavnih delov sistema zaznavanja

Proizvajalec zagotovi informacije o možnostih namestitve za posamezne sestavne dele, ki sestavljajo sistem zaznavanja. Te možnosti med drugim vključujejo lokacijo sestavnega dela v/na vozilu, materiale, ki obdajajo sestavni del, dimenzije in geometrijo materiala, ki obdaja sestavni del, ter površinsko obdelavo materialov, ki obdajajo sestavni del, potem ko je ta vgrajen v vozilo. Informacije vključujejo tudi specifikacije namestitve, ki so ključne za delovanje sistema ADS, na primer odstopanja pri kotu namestitve.

Spremembe posameznih sestavnih delov sistema zaznavanja ali možnosti namestitve se sporočijo homologacijskemu organu in nadalje ocenijo.

3.5 Varnostni koncept proizvajalca in validacija varnostnega koncepta s strani proizvajalca

3.5.1

Proizvajalec predloži izjavo, ki potrjuje, da sistem ADS deluje brez pretiranih tveganj za potnike v vozilu in druge udeležence v prometu.

3.5.2

Kar zadeva programsko opremo, uporabljeno v sistemu ADS, se pojasni okvirna arhitektura ter opredelijo uporabljene metode in orodja zasnove (glej točko 3.5.1). Proizvajalec predloži dokaze o sredstvu, s katerim je med postopkom zasnove in razvoja določil realizacijo logike sistema ADS.

3.5.3

Proizvajalec homologacijskemu organu predloži pojasnilo konstrukcijsko določenih ukrepov, vgrajenih v sistem ADS, da se zagotovita funkcionalna in operativna varnost. Možni konstrukcijsko določeni ukrepi v sistemu ADS so na primer:

(a)	vrnitev v delovanje s pomočjo delnega sistema;

(b)	redundanca z ločenim sistemom;

(c)	raznolikost sistemov, ki opravljajo isto funkcijo;

(d)	odprava ali omejitev funkcij za avtomatizirano vožnjo.

3.5.3.1

Če se pri izbranem ukrepu v nekaterih stanjih z okvaro izbere način delovanja z delno zmogljivostjo (npr. v primeru hudih okvar), je treba ta stanja navesti (npr. vrste okvar) ter določiti posledične meje učinkovitosti (npr. takojšnji začetek manevra za zmanjšanje tveganja) in strategijo opozarjanja za upravljavca/upravljavca na daljavo, potnikov in drugih udeležencev v prometu (kadar je to ustrezno).

3.5.3.2

Če se pri izbranem ukrepu o zasnovi izbere drugo (rezervno) ali drugačno sredstvo za izvedbo delovanja, je treba pojasniti načela preklopnega mehanizma, logiko in raven redundance ter morebitne vgrajene funkcije preverjanja ter določiti posledične meje učinkovitosti.

3.5.3.3

Če se pri izbranem ukrepu o zasnovi izbere odprava funkcij za avtomatizirano vožnjo, se to izvede v skladu z ustreznimi določbami te uredbe. Preprečiti je treba vse ustrezne izhodne signale upravljanja, povezane s to funkcijo.

3.5.4

Proizvajalec homologacijskemu organu predloži tudi pojasnilo o operativnih varnostnih ukrepih, ki jih je treba sprejeti za varno delovanje sistema ADS, kot so upravljavec v vozilu ali upravljavec za posredovanje na daljavo, podporna infrastruktura zunaj vozila, zahteve v zvezi s prometno in fizično infrastrukturo, ukrepi za vzdrževanje itd.

3.5.5

Dokumentacija je podprta z analizo, iz katere je razvidno, kako se bo sistem ADS obnašal, da bi ublažil ali preprečil nevarnosti, ki lahko vplivajo na varnost potnikov v vozilu in drugih udeležencev v prometu.

3.5.5.1

Izbrane analitične pristope določi in izvaja proizvajalec ter jih ob homologaciji in pozneje da na voljo homologacijskemu organu za pregled.

3.5.5.2

Homologacijski organ izvede oceno uporabe analitičnih pristopov:

(a)	pregled varnostnega pristopa na ravni koncepta. Ta pristop temelji na analizi nevarnosti/oceni tveganj, ki je ustrezna za zagotovitev varnosti sistema;

(b)

pregled varnostnega pristopa na ravni sistema ADS, vključno s pristopom od zgoraj navzdol (od možne nevarnosti do zasnove) in pristopom od spodaj navzgor (od zasnove do možnih nevarnosti). Ta pristop lahko temelji na analizi vrste okvar in njihovih učinkov (Failure Mode and Effect Analysis – FMEA), analizi drevesa napak (Fault Tree Analysis – FTA), sistemsko-teoretični analizi postopkov (System-Theoretic Process Analysis – STPA) ali katerem koli podobnem postopku, ki je ustrezen za zagotovitev funkcionalne in operativne varnosti sistema;

(c)

pregled validacijskih/preveritvenih načrtov in rezultatov, vključno s primernimi merili sprejemljivosti. To vključuje preizkušanje, primerno za validacijo, na primer preizkušanje z metodo strojne opreme v zanki (Hardware in the Loop – HIL), operativno preizkušanje vozila na cesti, preizkušanje z dejanskimi končnimi uporabniki ali katero koli drugo preizkušanje, ustrezno za validacijo/preverjanje. Rezultati validacije in preverjanja se lahko ocenijo z analizo pokritosti različnih preizkusov in določitvijo minimalnih pragov za pokritost za različne metrike.

3.5.5.3

Z analitičnim pristopom iz točke 3.5.5.2 se potrdi, da je zajet vsaj vsak od naslednjih elementov:

(i)	težave, povezane z interakcijami z drugimi sistemi vozila (npr. zaviranje, krmiljenje);

(ii)	okvare sistema za avtomatizirano vožnjo in odzivi za zmanjšanje sistemskega tveganja;

(iii)

primeri v okviru območja operativne zasnove, kadar lahko ADS zaradi operativnih motenj ustvari pretirana varnostna tveganja za potnike v vozilu in druge udeležence v prometu (npr. pomanjkanje ali napačno razumevanje okolja vozila, nerazumevanje reakcije upravljavca/upravljavca na daljavo, potnikov v vozilu ali drugih udeležencev v prometu, neustrezen nadzor, zahtevni scenariji);

(iv)	opredelitev ustreznih scenarijev v okviru mejnih pogojev, metode upravljanja, uporabljene za izbiro scenarijev, in izbrano validacijsko orodje;

(v)	postopek odločanja, ki vodi k izvajanju dinamične vožnje (npr. hitrega zaviranja v sili), za interakcijo z drugimi udeleženci v prometu in v skladu z nacionalnimi prometnimi predpisi;

(vi)

zloraba s strani potnikov v vozilu/drugih udeležencev v cestnem prometu, ki jo je mogoče razumno predvideti, napake ali napačno razumevanje s strani upravljavca/upravljavca na daljavo/potnikov v vozilu/drugih udeležencev v cestnem prometu (npr. nenamerna razveljavitev delovanja) in namerno poseganje v sistem ADS;

(vii)

kibernetske grožnje na varnost sistema ADS (zajete v analizi, izvedeni v skladu s Pravilnikom ZN št. 155 o kibernetski varnosti in sistemu za upravljanje kibernetske varnosti);

(viii)

vprašanja v zvezi z operativno varnostjo: težave s podporno infrastrukturo zunaj vozila, težava z upravljavcem za posredovanje na daljavo, izguba povezljivosti, pomanjkanje vzdrževanja itd.

3.5.5.4

Ocena, ki jo izvede homologacijski organ, zajema preglede na kraju samem, da se ugotovi, da je argumentacija, ki podpira varnostni koncept, razumljiva in logična ter se izvaja v različnih funkcijah sistema ADS. Z oceno se preveri tudi, ali so validacijski načrti dovolj zanesljivi, da dokazujejo varnost (npr. razumna pokritost preizkušanja izbranih scenarijev z izbranim validacijskim orodjem) in ali so bili ustrezno končani.

3.5.5.4.1

Dokaže se, da popolnoma avtomatizirano vozilo deluje brez pretiranih tveganj za potnike v vozilu in druge udeležence v prometu v območju operativne zasnove, tj. prek:

(a)

splošnega cilja validacije (tj. splošnih meril sprejemljivosti validacije), podprtega z rezultati validacije, ki dokazuje, da se stopnja tveganja za potnike v vozilu in druge udeležence v prometu zaradi začetka uporabe sistema ADS na splošno ne bo zvišala v primerjavi z ročno upravljanimi vozili, ter

(b)	pristopa, specifičnega za scenarij (tj. merila sprejemljivosti validacije, ki temeljijo na scenariju), ki za vsak scenarij v zvezi z varnostjo kaže, da se stopnja tveganja za potnike in druge udeležence v prometu zaradi sistema ADS na splošno ne bo zvišala v primerjavi z ročno upravljanimi vozili.

3.5.5.5

Homologacijski organ za preverjanje varnostnega koncepta izvede ali zahteva izvedbo preizkusov, kot so opredeljeni v točki 4 te priloge.

3.5.5.6

V tej dokumentaciji so razčlenjeni parametri, ki se spremljajo, za vsako stanje z vrsto okvare iz točke 3.5.4 te priloge pa je določen opozorilni signal, s katerim so opozorjeni upravljavec/upravljavec na daljavo/potniki v vozilu/drugi udeleženci v prometu in/ali servisno osebje/osebje, ki izvaja tehnične preglede.

3.5.5.7

V tej dokumentaciji so opisani tudi ukrepi, vzpostavljeni za zagotovitev, da sistem ADS deluje brez pretiranih tveganj za potnike v vozilu in druge udeležence v prometu, kadar na delovanje sistema ADS vplivajo okoljski pogoji, na primer podnebne razmere, temperatura, vdor prahu ali vode, nabiranje ledu, slabo vreme.

4. Preverjanje in preizkusi

Homologacijski organ ob upoštevanju rezultatov analize proizvajalčeve dokumentacije zahteva, da tehnična služba izvede preizkuse ali je pri njih prisotna, da preveri posebne točke, ki izhajajo iz ocene.

4.1

Funkcionalno delovanje sistema ADS, kot je določeno v dokumentih, zahtevanih v točki 3, se preizkusi na naslednji način:

4.1.1

Preverjanje funkcije sistema ADS

Homologacijski organ preveri sistem ADS v brezhibnem stanju, tako da na stezi preizkusi več izbranih funkcij, ki so po mnenju homologacijskega organa potrebne, med tistimi, ki jih opiše proizvajalec, in preveri splošno obnašanje sistema ADS v dejanskih voznih razmerah, tudi ob upoštevanju prometnih predpisov.

Ti preizkusi vključujejo primere, ko upravljavec za posredovanje na daljavo (če je ustrezno) razveljavi delovanje sistema ADS.

Ti preizkusi lahko temeljijo na preizkusnih scenarijih iz dela 3 te priloge in/ali dodatnih scenarijih, ki niso zajeti v delu 3.

4.1.1.1

Rezultati preizkusa se ujemajo z opisom, vključno s strategijami upravljanja, ki jih je proizvajalec zagotovil v točki 3.2, in izpolnjujejo zahteve glede delovanja iz te uredbe.

4.1.2

Preverjanje varnostnega koncepta sistema ADS

Odziv sistema ADS se preveri pod vplivom okvare v kateri koli posamezni enoti, tako da se ustrezni izhodni signali uporabijo na električnih enotah ali mehanskih elementih z namenom simuliranja učinkov internih napak v enoti.

Homologacijski organ preveri, ali ti preizkusi vključujejo vidike, ki lahko vplivajo na možnost upravljanja vozila in informacije za uporabnika (vidike vmesnika človek-stroj, npr. interakcija z upravljavcem/upravljavcem na daljavo).

4.1.2.1

Homologacijski organi preverijo tudi več scenarijev, ki so ključni za zaznavanje predmetov in dogodkov ter odziv nanje (OEDR) ter karakterizacijo funkcij odločanja in vmesnika človek-stroj sistema (npr. predmet, ki ga je težko zaznati, ko sistem ADS doseže meje območja operativne zasnove, scenariji motenj v prometu, težave s povezljivostjo, težava s sistemi zunaj vozila, težave z zmogljivostmi na daljavo, npr. odsotnost upravljavca za posredovanje na daljavo), kot so opredeljeni v tej uredbi.

4.1.2.2

Rezultati preverjanja se ujemajo z dokumentiranim povzetkom analize nevarnosti do take stopnje skupnega učinka, da sta varnostni koncept in izvedba potrjena kot ustrezna ter skladna z zahtevami iz te uredbe.

4.2

Simulacijsko orodje in matematični modeli za preverjanje varnostnega koncepta se lahko uporabljajo v skladu s Prilogo VIII k Uredbi (EU) 2018/858, zlasti za primere, ki jih je težko preveriti na preizkusni stezi ali v dejanskih voznih razmerah. Proizvajalci dokažejo obseg simulacijskega orodja, njegovo veljavnost za zadevni primer ter validacijo, izvedeno za verigo orodij simulacije (korelacija rezultata s fizičnimi preizkusi). Da se dokaže veljavnost verige orodij simulacije, se uporabljajo načela iz dela 4 te priloge. Simulacija ne nadomesti fizičnih preizkusov iz dela 3 te priloge.

4.3

Proizvajalec ima veljavno potrdilo o skladnosti za sistem upravljanja varnosti, pomemben za tip vozila v postopku homologacije.

5. Sistem upravljanja varnosti

5.1

Kar zadeva sistem ADS, proizvajalec glede sistema upravljanja varnosti homologacijskemu organu dokaže, da so vzpostavljeni učinkoviti postopki, metodologije, usposabljanja in orodja, ki so posodobljeni ter se v organizaciji uporabljajo za upravljanje varnosti in stalno skladnost v celotnem življenjskem ciklu sistema ADS.

5.2

Vzpostavi in dokumentira se postopek zasnove in razvoja, ki vključuje sistem upravljanja varnosti, upravljanje zahtev, izvajanje zahtev, preizkušanje, sledenje napakam, odpravo in izdajo.

5.3

Proizvajalec zagotovi učinkovite komunikacijske kanale med oddelki proizvajalca, pristojnimi za funkcionalno/operativno varnost, kibernetsko varnost in vsa druga ustrezna področja, povezana z doseganjem varnosti vozila.

5.4

Proizvajalec ima vzpostavljene postopke, namenjene zbiranju podatkov o vozilu in podatkov iz drugih virov za spremljanje in analizo izrednih dogodkov/nesreč, pomembnih za varnost, ki jih povzroči vključen sistem za avtomatizirano vožnjo. Proizvajalec poroča homologacijskim organom, organom za nadzor trga in Komisiji o ustreznih pojavih v skladu z delom 5 te priloge.

5.4.1

Proizvajalec mora ponudniku prevoznih storitev omogočiti, da homologacijskim organom, organom za nadzor trga ali drugim organom, ki jih imenujejo države članice, predloži podatke o vozilu v skladu z odstavkov 5.4 ter podatke sistema ADS in posebne podatkovne elemente za zapisovalnik podatkov o dogodku, ki se zbirajo v skladu s Prilogo II, oddelek 9.

5.5

Proizvajalec ima vzpostavljene postopke za upravljanje morebitnih vrzeli, pomembnih za varnost, po registraciji in za posodabljanje vozil, če je to potrebno.

5.6

Proizvajalec dokaže, da se redno izvajajo neodvisne notranje presoje postopkov (npr. vsaki dve leti) za zagotovitev doslednega izvajanja postopkov, vzpostavljenih v skladu s točkami 5.1 do 5.5.

5.7

Proizvajalci z dobavitelji vzpostavijo ustrezne dogovore (npr. pogodbene dogovore, jasne povezave, sistem upravljanja kakovosti) za zagotovitev, da sistem upravljanja varnosti dobavitelja izpolnjuje zahteve iz točk 5.1 (razen za vidike, povezane z vozili, kot sta „obratovanje“ in „razgradnja“), 5.2, 5.3 in 5.6.

5.8

Potrdilo o skladnosti za sistem upravljanja varnosti

5.8.1

Vlogo za potrdilo o skladnosti za sistem upravljanja varnosti homologacijskemu organu predloži proizvajalec ali njegov ustrezno pooblaščeni zastopnik.

5.8.2

Vlogi se v treh izvodih priložijo dokumenti, navedeni v nadaljevanju, in naslednji podatki:

(a)	dokumenti, ki opisujejo sistem upravljanja varnosti;

(b)	podpisana izjava o skladnosti sistema upravljanja varnosti z vsemi zahtevami za upravljanje varnosti v skladu s to uredbo z uporabo vzorca, kot je opredeljen v Dodatku 3 k tej prilogi.

5.8.3

Ko je ta presoja sistema upravljanja varnosti zadovoljivo opravljena in po prejemu podpisane izjave proizvajalca v skladu z vzorcem, kakor je opredeljen v Dodatku 3, se proizvajalcu podeli potrdilo, imenovano potrdilo o skladnosti za sistem upravljanja varnosti, kakor je opisano v Dodatku 4 (v nadaljnjem besedilu: potrdilo o skladnosti za sistem upravljanja varnosti).

5.8.4

Potrdilo o skladnosti za sistem upravljanja varnosti je veljavno največ tri leta od datuma izdaje, razen če je preklicano.

5.8.5

Homologacijski organ lahko kadar koli preveri, ali so zahteve za potrdilo o skladnosti za sistem upravljanja varnosti še vedno izpolnjene. Homologacijski organ prekliče potrdilo o skladnosti za sistem upravljanja varnosti, če se odkrijejo večje neskladnosti v zvezi z izpolnjevanjem zahtev iz te uredbe in se ne obravnavajo takoj.

5.8.6

Proizvajalec obvesti homologacijski organ ali njegovo tehnično službo o vsaki spremembi, ki bo vplivala na ustreznost potrdila o skladnosti za sistem upravljanja varnosti. Homologacijski organ ali njegova tehnična služba po posvetovanju s proizvajalcem odloči, ali so potrebna nova preverjanja.

5.8.7

Proizvajalec pravočasno zaprosi za novo potrdilo o skladnosti za sistem upravljanja varnosti ali podaljšanje obstoječega potrdila. Homologacijski organ na podlagi pozitivne presoje izda novo potrdilo o skladnosti za sistem upravljanja varnosti ali podaljša njegovo veljavnost za nadaljnja tri leta. Preveri, ali sistem upravljanja varnosti še naprej izpolnjuje zahteve iz te uredbe. Izda novo potrdilo, če so bile njemu ali njegovi tehnični službi sporočene spremembe in če so bile te spremembe pozitivno ponovno ocenjene.

5.8.8

Kar zadeva tipe vozil, za katere je bil pomemben zadevni sistem upravljanja varnosti, se iztek veljavnosti ali preklic potrdila o skladnosti za sistem upravljanja kibernetske varnosti šteje za spremembo homologacije, ki lahko vključuje preklic homologacije, če pogoji za podelitev homologacije niso več izpolnjeni.

6. Določba o poročanju

6.1

Poročanje o oceni varnosti varnostnega koncepta sistema ADS in presoja proizvajalčevega sistema upravljanja varnosti se izvedeta na način, ki omogoča sledljivost; različice pregledanih dokumentov imajo na primer oznake in so navedene v evidencah tehnične službe.

6.2

Primer načrta poročila o oceni varnostnega koncepta sistema ADS, ki ga tehnična služba predloži homologacijskemu organu, je naveden v Dodatku 1 k temu delu. Našteti elementi v tem dodatku so navedeni kot najmanjši sklop elementov, ki jih je treba zajeti.

6.3

Homologacijski organ, ki podeli homologacijo, izda rezultate ocene varnosti, ki jih je treba priložiti certifikatu o homologaciji na podlagi dokumentacije, ki jo predloži proizvajalec, poročila tehnične službe o oceni varnostnega koncepta sistema ADS ter rezultatov kampanj preverjanja in preizkušanja, izvedenih v skladu z delom 3 te priloge. Primer možnega načrta za rezultate ocene varnosti je naveden v Dodatku 4.

7. Usposobljenost presojevalcev/ocenjevalcev

7.1

Oceno varnostnega koncepta sistema ADS in presojo sistema upravljanja varnosti v okviru tega dela lahko izvajajo le ocenjevalci/presojevalci z ustreznim tehničnim in upravnim znanjem. Zlasti so usposobljeni kot presojevalci/ocenjevalci za standarda ISO 26262-2018 (Funkcionalna varnost – cestna vozila) in ISO/PAS 21448 (Varnost predvidene funkcionalnosti cestnih vozil) ter so sposobni vzpostaviti potrebno povezavo z vidiki kibernetske varnosti v skladu s Pravilnikom ZN št. 155 in standardom ISO/SAE 21434. Ta usposobljenost je izkazana z ustreznimi kvalifikacijami ali drugimi enakovrednimi evidencami o usposabljanju.

Dodatek 1

Vzorec poročila o oceni varnostnega koncepta sistema ADS

Poročilo o oceni varnosti št.:

Identifikacija:

1.1

Znamka vozila:

1.2

Tip vozila:

1.3

Podatki za identifikacijo tipa vozila, če je oznaka na vozilu:

1.4

Mesto navedene oznake:

1.5

Naziv in naslov proizvajalca:

1.6

Če je ustrezno, naziv in naslov zastopnika proizvajalca:

1.7

Uradna dokumentacija proizvajalca:

Referenčna številka dokumentacije:

Datum prvotne izdaje:

Datum zadnje posodobitve:

Metoda ocenjevanja

2.1

Opis postopkov in metodologij ocenjevanja

2.2

Merila za sprejemljivost

Rezultati pregleda dokumentacije

3.1

Pregled opisa sistema ADS

3.2

Pregled proizvajalčevega varnostnega koncepta in proizvajalčeve analize varnosti

3.3

Revizijo preverjanja in validacije lahko opravi proizvajalec, zlasti pokritost različnih preizkusov in določitvijo minimalnih pragov za pokritost za različne metrike.

3.4

Pregled metod in orodij (programska oprema, laboratorij, drugo) ter ocena verodostojnosti

3.5

Pregled zahtev glede podatkov sistema ADS in posebni podatkovni elementi za zapisovalnik podatkov o dogodku za popolnoma avtomatizirana vozila

3.6

Preverjanja potrdil o kibernetski varnosti in posodobitvah programske opreme zajemajo sistem ADS

3.7

Pregled informacij, navedenih v priročniku za uporabo

3.8

Pregled določb za redne tehnične preglede sistema ADS

3.9

Pregled dodatnih informacij, ki niso vključene v opisni list

Preverjanje funkcij sistema ADS v brezhibnem stanju (iz točke 4.1.1 Priloge III, del 2, k Izvedbeni uredbi Komisije (EU) 2022/1426 z dne 5. avgusta 2022 o določitvi pravil za uporabo Uredbe (EU) 2019/2144 Evropskega parlamenta in Sveta glede enotnih postopkov in tehničnih specifikacij za homologacijo sistema za avtomatizirano vožnjo (ADS) popolnoma avtomatiziranih vozil (2)

4.1

Utemeljitev izbire preizkusnih scenarijev

4.2

Izbrani preizkusni scenariji

4.3

Poročila o preizkusih

4.3.1

Št. preizkusa (dodati toliko številk, kot je opravljenih preizkusov)

4.3.1.1

Cilji preizkusa

4.3.1.2

Preizkusni pogoji

4.3.1.3

Izmerjene količine in merilne naprave

4.3.1.4

Merila za sprejemljivost

4.3.1.5

Rezultati preizkusa

4.3.1.6

Primerjava s priloženo dokumentacijo proizvajalca

Preverjanje varnostnega koncepta sistema ADS pri posamezni okvari (iz točke 4.1.2 Priloge III, del 2, k Izvedbeni uredbi (EU) 2022/1426

5.1

Utemeljitev izbire preizkusnih scenarijev

5.2

Izbrani preizkusni scenariji

5.3

Poročila o preizkusih

5.3.1

Št. preizkusa (dodati toliko številk, kot je opravljenih preizkusov)

5.3.1.1

Cilji preizkusa

5.3.1.2

Preizkusni pogoji

5.3.1.3

Izmerjene količine in merilne naprave

5.3.1.4

Merila za sprejemljivost

5.3.1.5

Rezultati preizkusa

5.3.1.6

Primerjava s priloženo dokumentacijo proizvajalca

Certifikat sistema upravljanja varnosti (se priloži temu poročilu o preizkusu)

Datum ocenjevanja

Končna presoja o izidu ocene varnosti

Ta ocena je bila opravljena in rezultati so bili sporočeni v skladu z Izvedbeno uredbo (EU) 2022/1426

Tehnična služba, ki izvaja oceno

Podpis: …

Datum: …

10.

Pripombe:

Dodatek 2

Vzorec rezultatov ocene sistema ADS, ki jih je treba priložiti certifikatu o homologaciji

Identifikacija:

1.1

Znamka vozila

1.2

Tip vozila

1.3

Podatki za identifikacijo tipa vozila, če je oznaka na vozilu:

1.4

Mesto navedene oznake:

1.5

Naziv in naslov proizvajalca:

1.6

Če je ustrezno, naziv in naslov zastopnika proizvajalca:

1.7

Uradna dokumentacija proizvajalca:

Referenčna številka dokumentacije:

Datum prvotne izdaje:

Datum zadnje posodobitve:

Metoda ocenjevanja

2.1

Opis postopkov in metodologij ocenjevanja

2.2

Merila za sprejemljivost

Preverjanje funkcij sistema ADS v brezhibnem stanju (iz točke 4.1.1 Priloge III, del 2, k Izvedbeni uredbi (EU) 2022/1426

3.1

Utemeljitev izbire preizkusnih scenarijev

3.2

Izbrani preizkusni scenariji

Preverjanje varnostnega koncepta sistema ADS pri posamezni okvari (iz točke 4.1.2 Priloge III, del 2, k Izvedbeni uredbi (EU) 2022/1426

4.1

Utemeljitev izbire preizkusnih scenarijev

4.2

Izbrani preizkusni scenariji

Rezultati ocenjevanja

5.1

Rezultati pregleda opisnega lista

5.2

Rezultati preverjanja funkcij sistema ADS v brezhibnem stanju

5.3

Rezultati preverjanja varnostnega koncepta sistema ADS pri posamezni okvari

5.4

Rezultati ocenjevanja sistema upravljanja varnosti

5.5

Rezultati preverjanja določb za redne tehnične preglede

Končna presoja o izidu ocene varnosti

Dodatek 3

Vzorec izjave proizvajalca o skladnosti za sistem upravljanja varnosti

Izjava proizvajalca o skladnosti z zahtevami glede sistema upravljanja varnosti

Ime proizvajalca:

Naslov proizvajalca:

… (ime proizvajalca) potrjujem, da so potrebni postopki za skladnost z zahtevami glede sistema upravljanja varnosti iz Izvedbene uredbe (EU) 2022/1426 vzpostavljeni in bodo vzdrževani.

V/na: … (kraj)

Datum:

Ime podpisnika:

Funkcija podpisnika:

(Žig in podpis zastopnika proizvajalca)

Dodatek 4

Vzorec potrdila o skladnosti za sistem upravljanja varnosti

Potrdilo o skladnosti za sistem upravljanja varnosti

Z Izvedbeno uredbo (EU) 2022/1426

Številka potrdila [referenčna številka]

[… Homologacijski organ]

potrjuje, da

proizvajalec: …

naslov proizvajalca:

izpolnjuje določbe Izvedben uredbe (EU) 2022/1426

Preverjanje je dne:

opravil (naziv in naslov homologacijskega organa ali tehnične službe):

Številka poročila: …

To potrdilo velja do […datum]

V/na […kraj]

Dne […datum]

[…podpis]

Priloge: opis sistema upravljanja varnosti, ki ga predloži proizvajalec.

DEL 3

PREIZKUSI

1. Splošne določbe

Merila ustreznosti in neustreznosti za ocenjevanje varnosti sistema ADS temeljijo na zahtevah iz Priloge II in scenariju, opisanem v delu 1 te priloge. Zahteve so opredeljene tako, da se lahko merila ustreznosti in neustreznosti izpeljejo ne le za določen nabor parametrov preizkusa, temveč tudi za vse kombinacije parametrov, ki zadevajo varnost in ki se lahko pojavijo v operativnih pogojih, ki jih zajema homologacija, in opredeljenem območju delovanja (npr. območje hitrosti, območje vzdolžnega in prečnega pospeška, polmeri ukrivljenosti, svetlost, število voznih pasov). Proizvajalec za pogoje, ki niso preizkušeni, vendar se lahko pojavijo v opredeljenem območju operativne zasnove sistema, kot del ocene, opisane v delu 2, homologacijskemu organu zadovoljivo dokaže, da je vozilo varno upravljano.

Ti preizkusi potrjujejo minimalne zahteve glede delovanja, opisane v Prilogi II, ter funkcionalnost sistema ADS in varnostnega koncepta proizvajalca, kot je opisano v delu 2 te priloge. Rezultati preizkusov se dokumentirajo in poročajo v skladu s točko 6 dela 2 te priloge.

Ti preizkusi potrjujejo tudi, da je sistem ADS v skladu s prometnimi predpisi, da svoje delovanje prilagaja okoljskim pogojem, da preprečuje motnje pretoka prometa (npr. blokiranje voznega pasu zaradi prevelikega števila manevrov za zmanjšanje tveganja), da ne kaže nepredvidljivega obnašanja in da v zadevnih razmerah (tj. združevanje v gostem prometu ali v bližini ranljivih udeležencev v prometu) izkazuje razumno kooperativno in predvidljivo obnašanje.

2. Preizkusni poligon

Preizkusni poligon ima značilnosti (npr. vrednost trenja), ki ustrezajo opredeljenemu območju operativne zasnove sistema ADS. Če je to potrebno za uporabo posebnih pogojev območja operativne zasnove ADS, se bodo znotraj dejanskega območja operativne zasnove (na cesti) ali na kateri koli preskusni napravi, ki replicira pogoje območja operativne zasnove, opravili fizični preizkusi, ki jih bosta določila proizvajalec in homologacijski organ. Sistem ADS se preizkusi na cesti v skladu z veljavno zakonodajo države članice in če se zagotovi, da se preizkusi lahko opravijo varno in brez kakršnega koli tveganja za druge udeležence v prometu.

3. Okoljski pogoji

Preizkusi se izvajajo v različnih okoljskih pogojih v mejah opredeljenega območja operativne zasnove za sistem ADS. Proizvajalec za okoljske pogoje, ki niso preizkušeni in se lahko pojavijo v opredeljenem območju operativne zasnove, kot del ocene homologacijskemu organu zadovoljivo dokaže, da je vozilo varno upravljano.

Za preizkušanje zahtev za okvaro funkcij, samopreizkušanje sistema ADS ter začetek in izvajanje manevra za zmanjšanje tveganja se lahko napake povzročijo namišljeno in vozilo se lahko namišljeno postavi v situacije, ko doseže meje opredeljenega območja delovanja (npr. okoljski pogoji).

4. Sistemske spremembe za namene preizkušanja

Če so potrebne spremembe sistema ADS, da se omogoči preizkušanje, npr. merila za oceno vrste ceste ali informacije o vrsti ceste (podatki zemljevida), je treba zagotoviti, da te spremembe ne vplivajo na rezultate preizkusov. Te spremembe se načeloma dokumentirajo in priložijo poročilu o preizkusu. Opis in dokazi o (morebitnem) vplivu teh sprememb se dokumentirajo in priložijo poročilu o preizkusu.

5. Stanja vozila

5.1

Preizkuševalna masa

Zadevno vozilo se preizkusi s katero koli dovoljeno obremenitvijo vozila. Obremenitev se po začetku preizkusnega postopka ne sme več spremeniti. Proizvajalec z dokumentacijo dokaže, da sistem ADS deluje v vseh stanjih obremenitve.

5.2

Zadevno vozilo se preizkusi pri tlaku v pnevmatikah, ki ga priporoči proizvajalec.

5.3

Preveri se, ali je stanje sistema v skladu s predvidenim namenom preizkušanja (npr. v brezhibnem stanju ali s posebnimi napakami, ki jih je treba preizkusiti).

6. Orodja za preizkušanje

Poleg dejanskih vozil se lahko za izvajanje preizkusov uporabljajo najsodobnejša orodja za preizkušanje, ki nadomeščajo dejanska vozila in druge udeležence v prometu (npr. mehke cilje, premične ploščadi itd.). Nadomestna orodja za preizkušanje ustrezajo značilnostim, ki so pomembne za oceno senzoričnega delovanja, dejanska vozila in druge udeležence v prometu. Preizkusi se ne izvajajo na način, ki bi ogrozil udeleženo osebje, pri čemer je treba preprečiti znatno škodo preizkušanega vozila, kadar so na voljo druga sredstva za validacijo.

7. Sprememba parametrov preizkusa

Proizvajalec homologacijskemu organu sporoči meje sistema. Homologacijski organ opredeli različne kombinacije parametrov preizkusa (npr. trenutna hitrost vozila, tip in odmik od cilja, ukrivljenost voznega pasu itd.) za preizkušanje sistema ADS. Izbrani primeri preizkusov zagotavljajo zadostno pokritost preizkusa za vse scenarije, parametre preizkusa in vplive okolja. Dokazati je treba ustrezno zanesljivost sistemov zaznavanja za sistem ADS glede nepravilnosti v delovanju vhodnih podatkov/podatkov tipal in škodljivih okoljskih pogojev.

Homologacijski organ izbere parametre preizkusa in jih zabeleži v poročilu o preizkusu na način, ki omogoča sledljivost in ponovljivost priprave preizkusa.

8. Preizkusni scenariji za oceno delovanja sistema ADS na preizkusnem poligonu (točke 8.1, 8.2, 8.5, 8.6, 8.7, 8.8, 8.9) in na cesti (8.3, 8.4, 8.10)

Scenariji iz naslednjih točk se štejejo za minimalni sklop preizkusov. Na zahtevo homologacijskega organa se lahko izvedejo dodatni scenariji, ki so del območja operativne zasnove. Če scenarij, opisan v točki 8 te priloge, ne spada v območje operativne zasnove vozila, se ne upošteva.

Preizkusni scenariji se izberejo v okviru homologacijskega preizkusa, odvisno od območja operativne zasnove. Preizkusni scenariji se izvedejo v skladu z delom 1 te priloge. Homologacijsko preizkušanje se lahko izvaja na podlagi simulacij, manevrov na preizkusnem poligonu in preizkusov vožnje v dejanskem cestnem prometu. Vendar ne sme temeljiti samo na računalniških simulacijah in v času homologacije, zato homologacijski organ izvede vsaj naslednje preizkuse za oceno obnašanja sistema ADS ali je pri njih prisoten.

8.1 Ohranjanje voznega pasu

S preizkusom se dokaže, da popolnoma avtomatizirano vozilo ne zapusti svojega voznega pasu in ohranja stabilno vožnjo znotraj svojega voznega pasu v območju hitrosti in različnih ukrivljenostih v okviru meja sistema.

8.1.1

Preizkus temelji na območju operativne zasnove sistema ADS in se izvede vsaj z:

(a)	najkrajšim trajanjem preizkusa vsaj 5 minut;

(b)	ciljnim osebnim avtomobilom in ciljnim dvokolesnikom na motorni pogon kot drugim vozilom;

(c)	vodilnim vozilom, ki zavija na voznem pasu, ter

(d)	drugim vozilom, ki vozi v neposredni bližini na sosednjem voznem pasu.

8.2 Manever zamenjave voznega pasu

S preizkusi se dokaže, da popolnoma avtomatizirano vozilo med postopkom zamenjave voznega pasu ne povzroča pretiranega tveganja za varnost potnikov v vozilu in drugih udeležencev v prometu ter da lahko sistem ADS oceni kritičnost položaja pred začetkom manevra zamenjave voznega pasu v celotnem operativnem območju hitrosti. Ti preizkusi so potrebni le, če je popolnoma avtomatizirano vozilo zmožno izvajati zamenjave voznega pasu med manevrom za zmanjšanje tveganja ali med običajnim delovanjem.

8.2.1

Izvedejo se naslednji preizkusi:

(a)	s popolnoma avtomatiziranim vozilom, ki izvaja zamenjavo voznega pasu na sosednji (ciljni) vozni pas;

(b)	združevanje na koncu voznega pasu;

(c)	združevanje v zaseden vozni pas.

8.2.2

Preizkusi se izvedejo vsaj:

(a)	z različnimi vozili, vključno z dvokolesnikom na motorni pogon, ki se približuje od zadaj;

(b)	v scenariju, ko je mogoče izvesti manever zamenjave voznega pasu med običajnim delovanjem;

(c)	v scenariju, ko manever zamenjave voznega pasu med običajnim delovanjem ni mogoč zaradi vozila, ki se približuje od zadaj;

(d)	z enako hitrim vozilom, ki sledi na sosednjem voznem pasu, kar preprečuje zamenjavo voznega pasu;

(e)	z vozilom, ki vozi vzporedno na sosednjem voznem pasu, kar preprečuje zamenjavo voznega pasu;

(f)	v scenariju, ko je manever zamenjave voznega pasu med zaviranjem za zmanjšanje tveganja mogoč in izveden;

(g)	v scenariju, ko se popolnoma avtomatizirano vozilo odzove na drugo vozilo, ki začne izvajati zamenjavo voznega pasu v isti prostor znotraj ciljnega voznega pasu, da se prepreči tveganje morebitnega trka.

8.3 Odziv na različne geometrije ceste

S temi preizkusi se zagotovi, da popolnoma avtomatizirano vozilo zaznava in se prilagaja različnim geometrijam ceste, ki se lahko pojavijo znotraj predvidenega območja operativne zasnove v celotnem območju hitrosti.

8.3.1

Preizkus se izvede z vsaj spodnjim seznamom scenarijev, ki temeljijo na območju operativne zasnove sistema ADS:

(a)	križišča v obliki črke T (trismerna križišča) s semaforji in brez njih, z različnimi pravicami poti;

(b)	križišča (s štirimi ali več smermi) s semaforji in brez njih, z različnimi pravicami poti;

(c)

krožišča;

8.3.2

Vsak preizkus se izvede vsaj:

(a)	brez vodilnega vozila;

(b)	s ciljnim osebnim avtomobilom in ciljnim dvokolesnikom na motorni pogon kot vodilnim/drugim vozilom;

(c)	z vozili, ki se približujejo ali vozijo mimo, in brez njih.

8.4 Odziv na nacionalne prometne predpise in cestno infrastrukturo

S temi preizkusi se zagotovi, da je popolnoma avtomatizirano vozilo v skladu z nacionalnimi prometnimi predpisi ter da se prilagaja različnim trajnim in začasnim spremembam cestne infrastrukture (npr. cestna gradbišča) v celotnem območju hitrosti.

8.4.1

Preizkusi se izvedejo z vsaj spodnjim seznamom scenarijev, ki so pomembni za območje operativne zasnove sistema ADS:

(a)	različni znaki za omejitev hitrosti, tako da mora sistem ADS spremeniti svojo hitrost glede na navedene vrednosti;

(b)	signalne luči in/ali zaustavitev, ki jih naroči uradnik za varnost v cestnem prometu/organ kazenskega pregona v primerih vožnje naravnost, zavijanja levo in desno;

(c)	prehodi za pešce in kolesarje s pešci/kolesarji, ki se približujejo/vozijo po cesti, in brez njih;

(d)	začasne spremembe: npr. postopki vzdrževanja cest, ki jih označujejo prometni znaki, stožci in druga signalizacija, omejitve dostopa;

(e)	uvoz na avtocesto in izvoz z nje ter cestninske postaje.

8.4.2

Vsak preizkus se izvede vsaj:

(a)	brez vodilnega vozila;

(b)	s ciljnim osebnim avtomobilom in ciljnim dvokolesnikom na motorni pogon kot vodilnim/drugim vozilom.

8.5 Preprečevanje trka: preprečevanje trka z udeleženci v prometu ali predmeti, ki blokirajo vozni pas.

S preizkusom se dokaže, da popolnoma avtomatizirano vozilo prepreči trk z mirujočim vozilom, udeležencem v prometu ali popolnoma ali delno blokiranim pasom do najvišje predpisane hitrosti sistema ADS.

8.5.1

Ta preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno v območju operativne zasnove:

(a)	z mirujočim ciljnim osebnim avtomobilom;

(b)	z mirujočim ciljnim dvokolesnikom na motorni pogon;

(c)	z mirujočim ciljnim pešcem;

(d)	s ciljnim pešcem, ki prečka vozni pas s hitrostjo 5 km/h, tudi v prisotnosti drugih predmetov, pomembnih v območju operativne zasnove (npr. žoga, nakupovalna vrečka itd.);

(e)	s ciljnim pešcem, ki se premika s hitrostjo do 5 km/h znotraj voznega pasu sistema ADS in ga delno zaseda ter sledi isti ali nasprotni smeri popolnoma avtomatiziranega vozila;

(f)	s ciljnim pešcem, ki zavija na istem voznem pasu popolnoma avtomatiziranega vozila;

(g)	s ciljnim kolesarjem, ki prečka vozni pas s hitrostjo 15 km/h;

(h)	s ciljnim kolesarjem, ki vozi v isto smer s hitrostjo 15 km/h;

(i)	s popolnoma avtomatiziranim vozilom, ki zavija desno in prečka pot kolesarju, ki vozi v isto smer s hitrostjo 15 km/h;

(j)	s ciljem, ki predstavlja blokiran vozni pas;

(k)	s ciljem, ki je delno na voznem pasu;

(l)	z eno ali več različnimi vrstami predmetov, ki jih ni mogoče zaobiti, pomembnih v območju operativne zasnove (npr. koš za smeti, prevrnjeno kolo ali skuter, prevrnjen prometni znak, mirujoča ali premikajoča se žoga itd.);

(m)	z več zaporednimi ovirami, ki blokirajo vozni pas, pomemben v območju operativne zasnove (npr. v naslednjem vrstnem redu: ego vozilo – motorno kolo – avtomobil);

(n)	na ukrivljenem odseku ceste.

8.6 Izogibajte se zaviranju v sili pred predmetom na voznem pasu, ki ga je mogoče zaobiti. „Predmet, ki ga je mogoče zaobiti“ je tak predmet, ki ga je mogoče premakniti, ne da bi povzročil pretirano tveganje potnikom v vozilu ali drugim udeležencem v prometu.

S preizkusom se dokaže, da popolnoma avtomatizirano vozilo ne sproži zaviranja v sili z zahtevo po pojemku, večjo od 5 m/s2, zaradi predmeta na voznem pasu, ki ga je mogoče zaobiti in je pomemben za območje operativne zasnove (npr. pokrov jaška ali manjša veja), do najvišje opredeljene hitrosti sistema ADS.

8.6.1

Ta preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno v območju operativne zasnove:

(a)	brez vodilnega vozila;

(b)	s ciljnim osebnim avtomobilom in ciljnim dvokolesnikom na motorni pogon kot vodilnim/drugim vozilom.

8.7 Sledenje vodilnemu vozilu

S preizkusom se dokaže, da je popolnoma avtomatizirano vozilo sposobno vzdrževati in ponovno vzpostaviti stabilno gibanje in varnostno razdaljo do vozila spredaj ter preprečiti trk z vodilnim vozilom, ki zmanjša hitrost do največjega pojemka.

8.7.1

Ta preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno v območju operativne zasnove:

(a)	v celotnem območju hitrosti popolnoma avtomatiziranega vozila;

(b)	z uporabo ciljnega osebnega avtomobila, ciljnega dvokolesnika na motorni pogon in ciljnega kolesa kot vodilnega vozila, če so na voljo standardizirani ciljni dvokolesniki na motorni pogon, primerni za varno izvedbo preizkusa;

(c)	za konstantne in spremenljive hitrosti vodilnega vozila (realistični profil hitrosti);

(d)	za ravne in ukrivljene odseke ceste;

(e)	za različne prečne položaje vodilnega vozila na voznem pasu;

(f)	s povprečnim pojemkom vodilnega vozila vsaj 6 m/s2 in popolnim zmanjševanjem hitrosti do mirovanja.

8.8 Drugo vozilo zamenja vozni pas (vrivanje)

S preizkusom se dokaže, da je popolnoma avtomatizirano vozilo sposobno preprečiti trk z vozilom ali drugim udeležencem v cestnem prometu, ki se vrine na vozni pas popolnoma avtomatiziranega vozila do določene kritičnosti manevra vrivanja.

8.8.1

Kritičnost manevra vrivanja se določi v skladu z določbami, uvedenimi v delu 1 te priloge, in glede na razdaljo med skrajno zadnjo točko vozila, ki se vriva, in skrajno sprednjo točko popolnoma avtomatiziranega vozila.

8.8.2

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	pri različnih časih do trka se upoštevajo razdalja in vrednosti relativne hitrosti manevra vrivanja, ki zajemajo vrste scenarijev vrivanja, pri katerih je mogoče trk preprečiti, in tiste, pri katerih trka ni mogoče preprečiti;

(b)	pri vozilih, ki se vrivajo in se premikajo s konstantno vzdolžno hitrostjo, se upoštevajo pospeševanja in zmanjšanja hitrosti;

(c)	pri različnih prečnih hitrostih se upoštevajo prečni pospeški vozila, ki se vriva;

(d)	pri ciljnemu osebnem avtomobilu, dvokolesniku na motorni pogon in kolesu kot vozilu, ki se vriva, se upoštevajo standardizirani ciljni dvokolesniki na motorni pogon, primerni za varno izvedbo preizkusa, če so na voljo.

8.9 Mirujoča ovira po zamenjavi voznega pasu vozila (vrivanje)

S preizkusom se dokaže, da je popolnoma avtomatizirano vozilo sposobno preprečiti trk z mirujočim vozilom, udeležencem v prometu ali blokiranim voznim pasom, ki postane viden, ko se vozilo, ki vozi pred zadevnim vozilom, prepreči trk z manevrom izogibanja. Preizkus temelji na zahtevah iz Priloge II in parametrih scenarija iz dela 1 te priloge. Proizvajalec za pogoje, ki niso preizkušeni in se lahko pojavijo v opredeljenem območju delovanja vozila, kot del ocene, opisane v Prilogi III, del 2, pristojnim organom zadovoljivo dokaže, da je vozilo varno upravljano.

8.9.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	z mirujočim ciljnim osebnim vozilom na sredini voznega pasu;

(b)	s ciljnim dvokolesnikom na motorni pogon na sredini voznega pasu;

(c)	z mirujočim ciljnim pešcem na sredini voznega pasu;

(d)	s ciljem, ki predstavlja na sredini blokiran vozni pas;

(e)	z več zaporednimi ovirami, ki blokirajo vozni pas (npr. v naslednjem vrstnem redu: ego vozilo – vozilo, ki je zamenjalo vozni pas – motorno kolo – avtomobil).

8.10 Parkiranje

S preizkusom se dokaže, da je sistem ADS sposoben parkirati na različnih parkirnih mestih in razporeditvah parkirnih mest pod različnimi pogoji in da med manevrom parkiranja ne povzroča škode okoliškim predmetom, udeležencem v prometu in samemu sebi.

8.10.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	s parkirnimi mesti, ki so vzporedna in pravokotna na cesto;

(b)	na ravnih in nagnjenih površinah;

(c)	z drugimi vozili na okoliških parkirnih mestih, vključno z dvokolesniki na motorni pogon in kolesi;

(d)	s parkiranjem na parkirnih mestih z različnimi geometrijskimi dimenzijami;

(e)	na različnih naklonih cest;

(f)	z drugim vozilom, ki se med manevrom parkiranja vriva na parkirno mesto.

8.11 Navigacija na parkirišču

S preizkusom se dokaže, da je sistem ADS sposoben obvladovati nizko hitrost vožnje in splošno pomanjkanje vidljivosti, do katerega lahko pride pri parkiranju.

8.11.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	s ciljnim pešcem, ki prvotno ni viden in prečka pot popolnoma avtomatiziranemu vozilu s hitrostjo 5 km/h;

(b)	z vozilom, ki se izpelje s parkirnega mesta pred popolnoma avtomatizirano vozilo;

(c)	z mirujočo oviro na poti popolnoma avtomatiziranega vozila;

(d)	z različnimi potmi, kjer infrastruktura ovira vidno polje;

(e)	z majhno oviro na tleh po klančini, ki jo ovirajo drugi predmeti na poti popolnoma avtomatiziranega vozila.

8.12 Posebni scenariji za avtoceste

8.12.1

Uvoz na avtocesto

S preizkusom se dokaže, da je sistem ADS sposoben varno zapeljati na avtocesto.

8.12.1.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	z različnimi vozili, vključno z dvokolesnikom na motorni pogon, ki se približuje od zadaj;

(b)	z vozili, ki se približujejo z različno hitrostjo od zadaj;

(c)	s kolono vozil, ki vozi v neposredni bližini na sosednjem voznem pasu.

8.12.2

Izvoz z avtoceste

S preizkusom se dokaže, da je sistem ADS sposoben varno zapustiti avtocesto.

8.12.2.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	brez vodilnega vozila;

(b)	s ciljnim osebnim avtomobilom in ciljnim dvokolesnikom na motorni pogon kot vodilnim/drugim vozilom;

(c)	z drugimi vozili ali ovirami, ki blokirajo izvoz z avtoceste.

8.12.3

Cestninska postaja

S preizkusom se dokaže, da je sistem ADS sposoben izbrati ustrezna prehodna vrata in prilagoditi svojo hitrost dovoljeni hitrosti znotraj območja cestninjenja.

8.12.3.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

(a)	z vodilnim vozilom ali brez njega;

(b)	z drugimi vozili, ki blokirajo prehodna vrata;

(c)	z zaprtimi in odprtimi prehodnimi vrati;

(d)	z različnimi dovoljenimi hitrostmi na območju cestninjenja.

8.13 Pri vozilih z dvema načinoma delovanja prehod med ročnim načinom vožnje in popolnoma avtomatiziranim načinom vožnje.

S preizkusom se dokaže, da sistem ADS prevzame dinamično vožnjo na varen način in le, ko je vozilo v mirovanju.

8.13.1

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

a)	s človeškim voznikom ali brez njega v vozilu;

b)	z odprtimi in zaprtimi vrati vozila;

c)	z ovirami in brez ovir okrog vozila;

d)	znotraj in zunaj določenega parkirnega območja, če je ustrezno.

8.13.2

Preizkus se izvede vsaj z naslednjimi scenariji, kadar je to ustrezno za območje operativne zasnove:

a)	v razmerah, ko je prehod mogoč in izveden;

b)	v razmerah, ko prehoda ni mogoče izvesti.

DEL 4

Načela za OCENO VERODOSTOJNOSTI ZA UPORABO VERIGE VIRTUALNIH ORODIJ PRI VALIDACIJI SISTEMA ADS

1. Splošno

1.1

Verodostojnost je mogoče doseči z raziskovanjem in ocenjevanjem petih lastnosti modeliranja in simulacije:

(a)	zmožnost – kaj lahko storita modeliranje in simulacija ter kakšna tveganja so povezana z njima;

(b)	točnost – kako dobro modeliranje in simulacija reproducirata ciljne podatke;

(c)	pravilnost – kako zanesljivi in robustni so podatki in algoritmi modeliranja in simulacije;

(d)	uporabnost – katero usposabljanje je potrebno in katere izkušnje se zahtevajo;

(e)	primernost za namen – kako primerna sta modeliranje in simulacija za oceno območja operativne zasnove in sistema ADS.

1.2

Hkrati je okvir za oceno verodostojnosti dovolj splošen, da se lahko uporablja za različne vrste modeliranja in simulacije ter uporabe. Vendar je cilj zapleten zaradi velikih razlik med funkcijami sistema ADS in različnimi vrstami modeliranja in simulacije ter uporabe. Ti premisleki zahtevajo (na tveganju temelječ/informiran) okvir za oceno verodostojnosti, ki je ustrezen in primeren za vse uporabe modeliranja in simulacije.

1.3

Okvir za oceno verodostojnosti vsebuje splošen opis glavnih vidikov, ki se upoštevajo pri ocenjevanju verodostojnosti rešitve modeliranja in simulacije, skupaj z načeli o vlogi ocenjevalcev tretjih strani v postopku validacije verodostojnosti. V zvezi s to točko homologacijski organ preuči predloženo dokumentacijo, ki validira verodostojnost v fazi ocenjevanja, medtem ko se dejanski validacijski preizkusi izvedejo, ko proizvajalec razvije integrirane simulacijske sisteme.

1.4

Na koncu rezultat trenutne ocene verodostojnosti opredeli okvir, v katerem se virtualno orodje lahko uporabi za podporo ocene sistema ADS.

1.5

Zahteve iz tega dela so zato namenjene dokazovanju verodostojnosti katerega koli simulacijskega modela ali verige virtualnih orodij za njegovo uporabo pri validaciji sistema ADS.

2. Opredelitev pojmov

V tej prilogi:

2.1

„abstrakcija“ pomeni postopek izbire bistvenih vidikov izvornega sistema ali referenčnega sistema, ki bodo predstavljeni v vzorcu ali simulaciji, pri čemer se zanemarijo nebistveni vidiki. Vsaka abstrakcija vzorčenja s seboj nosi predpostavko, da ne vpliva bistveno na predvideno uporabo simulacijskega orodja;

2.2

„preizkušanje v zaprti zanki“ pomeni virtualno okolje, ki upošteva ukrepe elementa v zanki. Simulirani predmeti se odzivajo na dejanja sistema (npr. sistem v interakciji s prometnim modelom);

2.3

„deterministični“ pomeni izraz, ki opisuje sistem, katerega razvoj se lahko sčasoma natančno predvidi, določen sklop vhodnih dražljajev pa bo vedno imel enak rezultat;

2.4

„voznik v zanki (driver-in-the-loop (DIL))“ se običajno izvaja v simulatorju vožnje, ki se uporablja za preizkušanje zasnove interakcije med človekom in avtomatiko. Voznik v zanki vsebuje komponente za voznikovo delovanje in komunikacijo z virtualnim okoljem;

2.5

„strojna oprema v zanki (hardware-in-the-loop (HIL))“ pomeni končno strojno opremo določenega podsistema vozila, ki izvaja končno programsko opremo z vhodom in izhodom, povezanima s simulacijskim okoljem, za izvajanje virtualnega preizkušanja. Preizkušanje s strojno opremo v zanki zagotavlja način repliciranja tipal, sprožil in mehanskih sestavnih delov na način, ki povezuje vse vhode/izhode elektronskih krmilnih enot, ki se preizkušajo, veliko pred integracijo končnega sistema;

2.6

„vzorec“ je opis ali prikaz sistema, subjekta, pojava ali postopka;

2.7

„kalibracija vzorca“ je postopek prilagajanja numeričnih parametrov ali parametrov vzorčenja v vzorcu, da se izboljša dogovor z referentom;

2.8

„parameter vzorca“ so numerične vrednosti, ki se uporabljajo za podporo opredelitvi funkcionalnosti sistema. Parameter vzorca ima vrednost, ki je ni mogoče zaznati neposredno v resničnem svetu, vendar jo je treba izpeljati iz podatkov, zbranih v resničnem svetu (v fazi kalibracije vzorca);

2.9

„vzorec v zanki (model-in-the-loop (MIL))“ je pristop, ki omogoča hiter algoritemski razvoj brez vključitve namenske strojne opreme. Ta raven razvoja običajno vključuje ogrodja programske opreme z visoko stopnjo abstrakcije, ki delujejo v računalniških sistemih za splošno rabo;

2.10

„preizkušanje v odprti zanki“ pomeni virtualno okolje, ki ne upošteva ukrepov elementa v zanki (npr. sistem v interakciji z evidentiranimi prometnimi razmerami);

2.11

„verjetnostni“ je izraz, ki se nanaša na nedeterministične dogodke, katerih izidi so opisani z mero verjetnosti;

2.12

„dokazovalni ali preizkusni poligon“ pomeni prostor za fizično preizkušanje, zaprt za promet, v katerem je mogoče preučiti delovanje sistema ADS na dejanskem vozilu. Prometna sredstva se lahko vnesejo prek stimulacije tipal ali lažnih naprav, nameščenih na poligonu;

2.13

„stimulacija tipala“ je tehnika, s katero se elementu, ki se preizkuša, zagotovijo umetno ustvarjeni signali, da se ta sproži in tako proizvede rezultat, potreben za preverjanje resničnega sveta, usposabljanje, vzdrževanje ali za raziskave in razvoj;

2.14

„simulacija“ je posnemanje delovanja procesa ali sistema v resničnem svetu v daljšem časovnem obdobju;

2.15

„simulacijski model“ je model, katerega vhodne spremenljivke se sčasoma spreminjajo;

2.16

„veriga orodij simulacije“ je kombinacija simulacijskih orodij, ki se uporabljajo za podporo validaciji sistema ADS;

2.17

„programska oprema v zanki (software-in-the-loop (SIL))“ pomeni, da bo izvajanje razvitega vzorca ocenjeno na računalniških sistemih za splošno rabo. Ta korak lahko uporablja popolno izvajanje programske opreme zelo blizu končni. Preizkušanje programske opreme v zanki se uporablja za opis metodologije preizkušanja, kjer se izvršljiva koda, kot so algoritmi (ali celo celotna strategija krmiljenja), preizkuša v modelirnem okolju, ki lahko pomaga dokazati ali preizkusiti programsko opremo;

2.18

„stohastični“ pomeni postopek, ki vključuje ali vsebuje naključno spremenljivko ali spremenljivke. Nanaša se na možnost ali verjetnost;

2.19

„validacija simulacijskega modela“ je postopek določanja stopnje, do katere je simulacijski model točen prikaz resničnega sveta z vidika predvidene uporabe orodja;

2.20

„vozilo v zanki (vehicle-in-the-loop (VIL))“ je združeno okolje dejanskega preizkusnega vozila v resničnem svetu in virtualnem okolju. Izraža lahko dinamiko vozila na enaki ravni kot v resničnem svetu in se lahko upravlja na preizkuševalni napravi vozila ali preizkusnem poligonu;

2.21

„preverjanje simulacijskega modela“ je postopek določanja obsega, do katerega je simulacijski model ali orodje za virtualno preizkušanje skladno z njegovimi zahtevami in specifikacijami, kot je podrobno opisano v njegovih konceptualnih vzorcih, matematičnih modelih ali drugih konstruktih;

2.22

„virtualno preizkušanje“ je postopek preizkušanja sistema z enim ali več simulacijskimi modeli.

3. Sestavni deli okvira za oceno verodostojnosti in s tem povezane zahteve glede dokumentacije

3.1

Okvir za oceno verodostojnosti uvaja način za oceno in poročanje o verodostojnosti modeliranja in simulacije na podlagi meril za zagotavljanje kakovosti, kjer je mogoče navesti ravni zaupanja v rezultate. Z drugimi besedami, verodostojnost se ugotavlja z ovrednotenjem naslednjih dejavnikov, ki vplivajo na modeliranje in simulacijo in za katere se šteje, da največ prispevajo k lastnostim modeliranja in simulacije ter s tem k splošni verodostojnosti modeliranja in simulacije: (a) upravljanje modeliranja in simulacije; (b) izkušnje in strokovno znanje skupine; (c) analiza in opis modeliranja in simulacije; (d) poreklo podatkov/vhodnih podatkov ter (e) preverjanje, validacija in karakterizacija negotovosti. Vsak od teh dejavnikov kaže raven kakovosti, doseženo z modeliranjem in simulacijo, primerjava med pridobljenimi ravnmi in zahtevanimi ravnmi pa določi, ali sta modeliranje in simulacija verodostojna in primerna za uporabo za virtualno preizkušanje. Grafični prikaz razmerja med sestavnimi deli okvira za oceno verodostojnosti je prikazan spodaj.

3.2

Upravljanje vzorcev in simulacij

3.2.1

Življenjski cikel modeliranja in simulacije je dinamičen proces s pogostimi izdajami, ki se spremljajo in dokumentirajo. Dejavnosti upravljanja se vzpostavijo v podporo modeliranju in simulaciji na način produktnega vodenja. Navedejo se ustrezne informacije o naslednjih vidikih.

3.2.2

Postopek upravljanja modeliranja in simulacije:

(a)	opisuje spremembe v izdajah;

(b)	določa ustrezno programsko opremo (npr. določen programski izdelek in različico) in strojno opremo (npr. konfiguracijo XiL);

(c)	evidentira notranje revizijske procese, ki so sprejeli nove izdaje;

(d)	je podprt v celotnem trajanju uporabe virtualnega vzorca.

3.2.3

Upravljanje izdaj.

3.2.3.1

Shrani se vsaka različica verige orodij modeliranja in simulacije, ki se uporablja za izdajo podatkov za namene certificiranja. Virtualni vzorci, ki sestavljajo verigo orodij preizkušanja, se dokumentirajo v smislu ustreznih metod validacije in pragov sprejema, da se podpre splošna verodostojnost verige orodij. Razvijalec uveljavi metodo za sledenje ustvarjenih podatkov do ustrezne različice modeliranja in simulacije.

3.2.3.2

Preverjanje kakovosti virtualnih podatkov. Popolnost, točnost in doslednost podatkov se zagotavlja pri vseh izdajah in v vsej življenjski dobi verige orodij modeliranja in simulacije, da se podprejo postopki preverjanja in validacije.

3.2.4

Izkušnje in strokovno znanje skupine.

3.2.4.1

Čeprav so izkušnje in strokovno znanje v organizaciji že zajeti v splošnem smislu, je pomembno vzpostaviti osnovo za zaupanje v posebne izkušnje in strokovno znanje za dejavnosti modeliranja in simulacije.

3.2.4.2

Verodostojnost modeliranja in simulacije ni odvisna le od kakovosti simulacijskih modelov, ampak tudi od izkušenj in strokovnega znanja osebja, ki sodeluje pri validaciji in uporabi modeliranja in simulacije. Pravilno razumevanje področja omejitev in validacije bo na primer preprečilo morebitno zlorabo modeliranja in simulacije ali napačno razlago njunih rezultatov.

3.2.4.3

Zato je pomembno, da se določi podlaga za proizvajalčevo zaupanje v izkušnje in strokovno znanje:

(a)	skupin, ki bodo validirale verigo orodij simulacije, in

(b)	skupin, ki bodo uporabljale validirano simulacijo za izvedbo virtualnega preizkušanja z namenom validiranja sistema ADS.

3.2.4.4

Pravilno upravljanje izkušenj in strokovnega znanja skupine povečuje raven zaupanja v verodostojnost modeliranja in simulacije ter njunih rezultatov, pri čemer se zagotavlja, da se upoštevajo človeški dejavniki, ki vplivajo na modeliranje in simulacijo, in da se nadzoruje morebitno tveganje zaradi človeške komponente, kot se pričakuje v katerem koli ustreznem sistemu upravljanja.

3.2.4.5

Če proizvajalčeva veriga orodij vključuje vložke organizacij ali izdelkov zunaj proizvajalčeve ekipe ali temelji na njih, proizvajalec predloži obrazložitev ukrepov, ki jih je sprejel v podporo zaupanju v kakovost in celovitost teh vložkov.

3.2.4.6

Izkušnje in strokovno znanje skupine so sestavljeni iz dveh ravni.

3.2.4.6.1

Organizacijska raven

Verodostojnost se ugotavlja z vzpostavitvijo procesov in postopkov za prepoznavanje in ohranjanje veščin, znanja in izkušenj pri izvajanju dejavnosti modeliranja in simulacije. Vzpostavijo, vzdržujejo in dokumentirajo se naslednji postopki:

(i)	postopek za prepoznavanje in vrednotenje posameznikove usposobljenosti in veščin;

(ii)	postopek usposabljanja pristojnega osebja za opravljanje nalog, povezanih z modeliranjem in simulacijo.

3.2.4.6.2

Raven skupine

Ko sta modeliranje in simulacija dokončana, njuno verodostojnost narekujejo predvsem veščine in znanje posameznika/skupine, ki bo validirala verigo orodij modeliranja in simulacije ter uporabila modeliranje in simulacijo za validacijo sistema ADS. Verodostojnost se ugotavlja z dokumentiranjem, da so bile te skupine ustrezno usposobljene za izpolnjevanje svojih nalog.

Proizvajalec nato:

(i)	zagotovi podlago za proizvajalčevo zaupanje v izkušnje in strokovno znanje posameznika/skupine, ki validira verigo orodij modeliranja in simulacije;

(ii)	zagotovi podlago za proizvajalčevo zaupanje v izkušnje in strokovno znanje posameznika/skupine, ki uporablja simulacijo za izvajanje virtualnega preizkušanja za validacijo sistema ADS.

Proizvajalčeva predstavitev, kako uporablja načela standarda ISO 9001 ali podobno dobro prakso ali standard, da zagotovi usposobljenost svoje organizacije za modeliranje in simulacijo ter posameznikov v tej organizaciji, bo podlaga za to opredelitev. Homologacijski organ svoje presoje o izkušnjah in strokovnem znanju organizacije ali njenih članov ne more nadomestiti s presojo proizvajalca.

3.2.5

Poreklo podatkov/vhodnih podatkov

3.2.5.1

Poreklo podatkov/vhodnih podatkov vsebuje evidenco sledljivosti iz podatkov proizvajalca, uporabljenih pri validaciji modeliranja in simulacije.

3.2.5.2

Opis podatkov, uporabljenih za modeliranje in simulacijo:

(a)	proizvajalec dokumentira podatke, uporabljene za validacijo vzorca, in zabeleži pomembne značilnosti kakovosti;

(b)	proizvajalec predloži dokumentacijo, iz katere je razvidno, da podatki, uporabljeni za validacijo vzorcev, zajemajo predvidene funkcionalnosti, ki naj bi jih veriga orodij virtualizirala;

(c)	proizvajalec dokumentira postopke kalibracije, ki se uporabljajo za vgradnjo parametrov virtualnih vzorcev v zbrane vhodne podatke.

3.2.5.3

Vpliv kakovosti podatkov (npr. pokritost podatkov, razmerje med signalom in hrupom ter negotovost/pristranskost/hitrost vzorčenja tipal) na negotovost parametrov vzorca.

Kakovost podatkov, uporabljenih za razvoj vzorca, bo vplivala na oceno in kalibracijo parametrov vzorca. Negotovost v parametrih vzorca bo še en pomemben vidik končne analize negotovosti.

3.2.6

Poreklo podatkov/izhodnih podatkov

3.2.6.1

Poreklo podatkov/izhodnih podatkov vsebuje evidenco izhodnih podatkov modeliranja in simulacije, uporabljenih za validacijo sistema ADS.

3.2.6.2

Opis podatkov, pridobljenih z modeliranjem in simulacijo:

(a)	Proizvajalec zagotovi informacije o vseh podatkih in scenarijih, ki se uporabljajo za validacijo verige orodij za virtualno preizkušanje;

(b)	proizvajalec dokumentira izvožene podatke in zabeleži pomembne značilnosti kakovosti;

(c)	proizvajalec sledi rezultatu modeliranja in simulacije do ustrezne nastavitve simulacije.

3.2.6.3

Vpliv kakovosti podatkov na verodostojnost modeliranja in simulacije:

(a)	izhodni podatki modeliranja in simulacije so dovolj široki, da se zagotovi pravilno izvajanje izračuna validacije. Podatki morajo dovolj dobro izražati območje operativne zasnove, pomembno za virtualno oceno sistema ADS;

(b)	izhodni podatki omogočajo preverjanje skladnosti/razumnosti virtualnih vzorcev z morebitnim izkoriščanjem odvečnih informacij.

3.2.6.4

Upravljanje stohastičnih modelov:

(a)	stohastični modeli se opredelijo glede na njihovo odstopanje;

(b)	stohastični modeli se zagotovijo z možnostjo deterministične ponovne izvedbe.

3.3

Analiza in opis modeliranja in simulacije

3.3.1

Namen analize in opisa modeliranja in simulacije je opredeliti celotno modeliranje in simulacijo ter prostor parametrov, ki ga je mogoče oceniti z virtualnim preizkušanjem. Določa obseg in omejitve modelov in verige orodij ter vire negotovosti, ki lahko vplivajo na njihove rezultate.

3.3.2

Splošni opis

3.3.2.1

Proizvajalec predloži opis celotne verige orodij skupaj z opisom, kako se bodo podatki simulacije uporabljali za podporo strategije validacije sistema ADS.

3.3.2.2

Proizvajalec zagotovi jasen opis cilja preizkusa.

3.3.3

Predpostavke, znane omejitve in viri negotovosti

3.3.3.1

Proizvajalec mora spodbujati predpostavke modeliranja, ki so usmerjale zasnovo verige orodij modeliranja in simulacije.

3.3.3.2

Proizvajalec predloži dokazila o:

(i)	tem, kakšno vlogo imajo proizvajalčeve predpostavke pri opredelitvi omejitev verige orodij;

(ii)	ravni zanesljivosti, ki se zahteva za simulacijske modele.

3.3.3.3

Proizvajalec zagotovi utemeljitev, da je toleranca za korelacijo simulacija-resničnost sprejemljiva za cilj preizkusa.

3.3.3.4

Nazadnje, ta oddelek vključuje informacije o virih negotovosti v modelu. To bo pomemben prispevek h končni analizi negotovosti, s katero se bo opredelilo, kako lahko različni viri negotovosti uporabljenega modela vplivajo na rezultate modela.

3.3.4

Področje uporabe (kako se modeliranje in simulacija uporabljata pri validaciji sistema ADS)

3.3.4.1

Verodostojnost virtualnega orodja se uveljavi z jasno opredeljenim obsegom uporabe razvitih modelov.

3.3.4.2

Zrela modeliranje in simulacija omogočata virtualizacijo fizičnih pojavov do stopnje točnosti, ki ustreza ravni zanesljivosti, zahtevani za certificiranje. Tako bosta modeliranje in simulacija delovala kot „virtualna dokazna podlaga“ za preizkušanje sistema ADS.

3.3.4.3

Simulacijski modeli potrebujejo namenske scenarije in metrike za validacijo. Izbira scenarija, ki se uporabi za validacijo, zadostuje za to, da se bo veriga orodij izvajala na enak način v scenarijih zunaj obsega validacije.

3.3.4.4

Proizvajalec zagotovi seznam scenarijev validacije skupaj z omejitvami ustreznih parametrov.

3.3.4.5

Analiza območja operativne zasnove je ključen vhodni podatek za izpeljavo zahtev, obsega in učinkov, ki jih morata modeliranje in simulacija upoštevati, da bi podprla validacijo sistema ADS.

3.3.4.6

Parametri, ustvarjeni za scenarije, bodo opredelili zunanje in notranje podatke za verigo orodij in simulacijske modele.

3.3.5

Ocena kritičnosti

3.3.5.1

Simulacijski modeli in simulacijska orodja, ki se uporabljajo v celotni verigi orodij, se preučijo glede na njihovo odgovornost v primeru varnostne napake v končnem izdelku. Predlagani pristop za analizo kritičnosti izhaja iz standarda ISO 26262, ki zahteva usposobljenost za nekatera orodja, uporabljena v procesu razvoja.

3.3.5.2

Da se ugotovi, kako kritični so simulirani podatki, se pri oceni kritičnosti upoštevata naslednja parametra:

(a)	posledice za varnost ljudi, npr. stopnje resnosti v standardu ISO 26262;

(b)	stopnja, do katere simulirani rezultati vplivajo na sistem ADS.

3.3.5.3

Z vidika ocene kritičnosti obstajajo trije možni primeri za oceno:

(a)	modeli ali orodja, ki so jasni kandidati za popolno oceno verodostojnosti;

(b)	modeli ali orodja, ki so lahko ali pa niso kandidati za popolno oceno verodostojnosti po presoji ocenjevalca;

(c)	modeli ali orodja, pri katerih ni treba opraviti ocene verodostojnosti.

3.4

Preverjanje

3.4.1

Preverjanje modeliranja in simulacije vključuje analizo pravilnega izvajanja konceptualnih/matematičnih modelov, ki sestavljajo verigo orodij modeliranja in simulacije. Preverjanje prispeva k verodostojnosti modeliranja in simulacije, saj zagotavlja, da modeliranje in simulacija ne bosta kazala nerealističnega obnašanja za sklop vnosov, ki jih ni mogoče preizkusiti. Postopek temelji na večstopenjskem pristopu, vključno s preverjanjem kode, preverjanjem izračuna in analizo občutljivosti.

3.4.2

Preverjanje kode

3.4.2.1

Preverjanje kode vključuje preizkuse, ki dokazujejo, da številčne/logične napake ne vplivajo na virtualne modele.

3.4.2.2

Proizvajalec dokumentira izvajanje ustreznih tehnik preverjanja kode, npr. statično/dinamično preverjanje kode, konvergenčna analiza in primerjava z natančnimi rešitvami, če je ustrezno.

3.4.2.3

Proizvajalec predloži dokumentacijo, iz katere je razvidno, da je bilo raziskovanje na področju vhodnih parametrov dovolj široko, da je bilo mogoče ugotoviti kombinacijo parametrov, za katere modeliranje in simulacija kažeta nestabilno ali nerealistično obnašanje. Metrike pokritosti kombinacij parametrov se lahko uporabijo za prikaz zahtevanega raziskovanja obnašanja modelov.

3.4.2.4

Proizvajalec sprejme postopke preverjanja razumnosti/skladnosti, ko podatki to dopuščajo.

3.4.3

Preverjanje izračuna

3.4.3.1

Preverjanje izračuna obravnava oceno številčnih napak, ki vplivajo na modeliranje in simulacijo.

3.4.3.2

Proizvajalec dokumentira ocene številčnih napak (npr. napaka diskretizacije, napaka zaokroževanja, konvergenca iterativnih postopkov).

3.4.3.3

Številčne napake morajo biti dovolj omejene, da ne vplivajo na validacijo.

3.4.4

Analiza občutljivosti

3.4.4.1

Namen analize občutljivosti je opredeliti, kako spremembe vhodnih vrednosti modela vplivajo na izhodne vrednosti modela, in tako opredeliti parametre, ki imajo največji vpliv na rezultate simulacijskega modela. Študija občutljivosti prav tako pomaga določiti, v kolikšni meri simulacijski model izpolnjuje pragove validacije, ko nanj vplivajo manjše spremembe parametrov. Zato je bistveno, da se podpre verodostojnost rezultatov simulacije.

3.4.4.2

Proizvajalec predloži dodatno dokumentacijo, ki dokazuje, da so bili najbolj kritični parametri, ki vplivajo na rezultat simulacije, opredeljeni s tehnikami analize občutljivosti, kot je uporaba motenj parametrov modela.

3.4.4.3

Proizvajalec dokaže, da so bili pri opredeljevanju in kalibraciji najbolj kritičnih parametrov sprejeti zanesljivi kalibracijski postopki, da se poveča verodostojnost razvite verige orodij.

3.4.4.4

Na koncu bodo rezultati analize občutljivosti tudi pomagali opredeliti vhodne podatke in parametre, katerih karakterizacija negotovosti zahteva posebno pozornost, da se ustrezno opredeli negotovost rezultatov simulacije.

3.4.5

Validacija

3.4.5.1

Kvantitativni postopek določanja stopnje, do katere je model ali simulacija točen prikaz resničnega sveta z vidika predvidenih uporab modeliranja in simulacije, zahteva izbiro in opredelitev več elementov.

3.4.5.2

Meritve zmogljivosti (metrike)

3.4.5.2.1

Meritve zmogljivosti so metrike, ki se uporabljajo za primerjavo simulacijskega modela z resničnim svetom. Meritve zmogljivosti so opredeljene med analizo modeliranja in simulacije.

3.4.5.2.2

Metrike za validacijo lahko vključujejo:

(i)	diskretno analizo vrednosti, npr. hitrost zaznavanja, hitrost aktiviranja;

(ii)	razvoj skozi čas, npr. položaji, hitrosti, pospešek;

(iii)

tok analize, ki temelji na dejanjih, npr. izračuni razdalje/hitrosti, izračun časa do trka, začetek zaviranja.

3.4.5.3

Merjenje prileganja podatkov

3.4.5.3.1

Analitični okviri se uporabljajo za primerjavo metrik v resničnem svetu in v simulaciji. Na splošno so to ključni kazalniki uspešnosti, ki kažejo statistično primerljivost med dvema sklopoma podatkov.

3.4.5.3.2

Validacija mora pokazati, da so ti ključni kazalniki uspešnosti doseženi.

3.4.5.4

Metodologija validacije

3.4.5.4.1

Proizvajalec določi logične scenarije, ki se uporabljajo za validacijo verige orodij za virtualno preizkušanje. Čim bolj morajo biti sposobni zajeti območje operativne zasnove virtualnega preizkušanja za validacijo sistema ADS.

3.4.5.4.2

Natančna metodologija je odvisna od strukture in namena verige orodij. Validacija je lahko sestavljena iz enega ali več naslednjih dejavnikov:

(i)

validacija modelov podsistemov, npr. okoljski model (cestno omrežje, vremenske razmere, interakcija med udeleženci v cestnem prometu), modeli tipal (zaznavanje in določanje oddaljenosti z radijskimi valovi (RADAR), zaznavanje in določanje oddaljenosti s svetlobnimi žarki (LiDAR), kamera), model vozila (krmiljenje, zaviranje, pogonski sklop);

(ii)	validacija sistema vozila (model dinamike vozila skupaj z okoljskim modelom);

(iii)

validacija sistema tipal (model tipal skupaj z okoljskim modelom);

(iv)	validacija integriranega sistema (model tipal in okoljski model z vplivi iz modela vozila).

3.4.5.5

Zahteva glede točnosti

3.4.5.5.1

Zahteva po korelacijskem pragu je opredeljena med analizo modeliranja in simulacije. Validacija mora pokazati, da so ključni kazalniki uspešnosti, opredeljeni v točki 3.4.5.3.1 tega dela, doseženi.

3.4.5.6

Obseg validacije (del verige orodja, ki ga je treba validirati)

3.4.5.6.1

Veriga orodij je sestavljena iz več orodij in pri vsakem orodju se bo uporabilo več modelov. Obseg validacije vključuje vsa orodja in ustrezne modele, ki so predmet validacije.

3.4.5.7

Rezultati notranje validacije

3.4.5.7.1

Dokumentacija ne zagotavlja le dokazov o validaciji simulacijskega modela, temveč se uporablja tudi za pridobitev zadostnih informacij o postopkih in izdelkih, ki zagotavljajo splošno verodostojnost uporabljene verige orodij.

3.4.5.7.2

Dokumentacija/rezultati se lahko prenesejo iz prejšnjih ocen verodostojnosti.

3.4.5.8

Neodvisna validacija rezultatov

3.4.5.8.1

Homologacijski organ oceni dokumentacijo, ki jo predloži proizvajalec, in lahko izvede fizične preizkuse celotnega integriranega orodja.

3.4.5.9

Karakterizacija negotovosti

3.4.5.9.1

Ta oddelek obravnava karakterizacijo pričakovane spremenljivosti rezultatov verige virtualnih orodij. Ocena je sestavljena iz dveh faz. V prvi fazi se informacije, zbrane v analizi in opisu modeliranja in simulacije, ter oddelki o poreklu podatkov/vhodnih podatkov uporabijo za karakterizacijo negotovosti vhodnih podatkov, parametrov modela in strukture modeliranja. Nato se s širjenjem vseh negotovosti prek verige virtualnih orodij količinsko opredeli negotovost rezultatov modela. Glede na negotovost rezultatov modela bo moral proizvajalec uvesti ustrezne varnostne meje pri uporabi virtualnega preizkušanja za validacijo sistema ADS.

3.4.5.9.2

Karakterizacija negotovosti vhodnih podatkov

Proizvajalec dokaže, da je ustrezno ocenil vhodne podatke kritičnega modela z zanesljivimi tehnikami, kot so večkratne ponovitve za oceno količine.

3.4.5.9.3

Karakterizacija negotovosti parametrov modela (po kalibraciji)

Proizvajalec dokaže, da so parametri kritičnega modela, ki jih ni mogoče enako oceniti, opredeljeni z razdelitvijo in/ali intervali zaupanja.

3.4.5.9.4

Karakterizacija negotovosti v strukturi modeliranja in simulacije

Proizvajalec predloži dokaze, da so predpostavke modeliranja količinsko opredeljene glede na nastalo negotovost (npr. primerjava rezultatov različnih pristopov modeliranja, kadar je to mogoče).

3.4.5.9.5

Karakterizacija aleatorne in epistemične negotovosti

Proizvajalec si prizadeva razlikovati med aleatorno komponento negotovosti (ki jo je mogoče le oceniti, ne pa tudi zmanjšati) in epistemično negotovostjo, ki izhaja iz pomanjkanja znanja pri virtualizaciji postopka (ki se lahko namesto tega zmanjša).

4. Struktura dokumentacije

4.1

Ta oddelek določa, kako bodo zgoraj navedene informacije zbrane in organizirane v dokumentaciji, ki jo proizvajalec predloži ustreznemu organu.

4.2

Proizvajalec predloži dokument (v nadaljnjem besedilu: priročnik za simulacijo), strukturiran v skladu s tem osnutkom, ki zagotavlja dokaze za predstavljene teme.

4.3

Dokumentacija se predloži skupaj z ustrezno objavo modeliranja in simulacije in s tem povezanih pridobljenih podatkov.

4.4

Proizvajalec zagotovi jasne sklice, ki omogočajo sledenje dokumentaciji nazaj do ustreznega modeliranja in simulacije/podatkov.

4.5

Dokumentacija se hrani skozi celoten življenjski cikel uporabe modeliranja in simulacije. Homologacijski organ lahko izvede presojo proizvajalca tako, da oceni njegovo dokumentacijo in/ali izvede fizične preizkuse.

DEL 5

POROČANJE MED OBRATOVANJEM

1. Opredelitev pojmov

V tej prilogi:

1.1

se „pojav“ nanaša na razmere, povezane z varnostjo, ki vključujejo vozilo, opremljeno s sistemom za avtomatizirano vožnjo;

1.2

„nekritični pojav“ pomeni dogodek, ki vključuje prekinitev obratovanja, napako, okvaro ali drugo okoliščino, ki je ali bi lahko vplivala na varnost sistema ADS in ni povzročila nesreče ali resnega incidenta. Ta kategorija vključuje na primer manjše incidente, poslabšanje varnosti, ki ne preprečuje običajnega delovanja, nujne/kompleksne manevre za preprečevanje trka in na splošno vse dogodke, ki so pomembni za varnost delovanja sistema ADS na cesti (kot je interakcija z oddaljenim operaterjem itd.);

1.3

„kritični pojav“ pomeni vsak pojav, v katerem se sistem ADS aktivira v času trka in zaradi katerega:

(a)	najmanj ena oseba utrpi poškodbo, ki zahteva zdravniško pomoč zaradi vožnje v vozilu ali vpletenosti v dogodek;

(b)	popolnoma avtomatizirano vozilo, druga vozila ali nepremični predmeti utrpijo fizično škodo, ki presega določeno mejno vrednost, ali pa se v vozilu, vpletenem v dogodek, aktivira zračna blazina.

2. Obvestila in poročanje proizvajalca

2.1

Proizvajalec o kritičnih varnostnih pojavih takoj obvesti homologacijske organe, organe za nadzor trga in Komisijo.

2.2

Proizvajalec v enem mesecu poroča homologacijskim organom, organom za nadzor trga in Komisiji o vseh kratkoročnih pojavih, opisanih v Dodatku 1, ki jih mora proizvajalec odpraviti.

2.3

Proizvajalec vsako leto poroča homologacijskemu organu, ki je podelil homologacijo za pojave iz Dodatka 1. Poročilo vsebuje dokaze o zmogljivosti sistema ADS glede varnostnih pojavov na terenu. Zlasti dokaže, da:

(a)	v primerjavi z varnostjo delovanja sistema ADS, ocenjeno pred uvedbo na trg, ni ugotovljenih nobenih neskladnosti;

(b)	sistem ADS spoštuje zahteve glede delovanja, določene s to uredbo;

(c)	so bile novoodkrite pomembne težave v zvezi z varnostjo delovanja sistema ADS ustrezno obravnavane in način, kako so bile obravnavane.

Homologacijski organ, ki podeli homologacijo, te informacije posreduje homologacijskim organom, organom za nadzor trga in Komisiji.

2.4

Homologacijski organi, organi za nadzor trga in Komisija lahko od proizvajalca zahtevajo dodatne podatke, ki se uporabljajo za pripravo informacij, predloženih pri poročanju in v obvestilih med obratovanjem. Ti podatki se izmenjajo z dogovorjeno datoteko za izmenjavo podatkov. Homologacijski organi, organi za nadzor trga in Komisija bodo sprejeli potrebne ukrepe za zaščito takih podatkov.

2.5

Vsako predhodno obdelavo podatkov je treba sporočiti homologacijskemu organu, ki podeli homologacijo, v poročilu s podatki, pridobljenimi med obratovanjem.

Dodatek 1

Seznam pojavov za poročanje med obratovanjem

Dogodki so bili razdeljeni v štiri kategorije, in sicer na podlagi njihovega pomena za dinamično vožnjo, interakcijo z uporabniki popolnoma avtomatiziranega vozila in tehnične pogoje sistema ADS. Za vsak pojav je bil njegov pomen za kratkoročno in/ali redno poročanje označen v spodnji preglednici.

Pričakuje se, da bo redno poročanje o pojavih predloženo v obliki zbirnih podatkov (na uro delovanja ali prevoženih km) za tip vozila s sistemom ADS in v zvezi z delovanjem sistema ADS (tj. ob aktiviranju sistema ADS).

POJAV

KRATKOROČNO POROČANJE

(1 mesec)

REDNO POROČANJE

(1 leto)

1.	Pojavi, povezani z zmogljivostjo sistema ADS pri dinamični vožnji, kot so:

1.a	Kritični varnostni pojavi, ki so znani proizvajalcu

1.b	Pojavi, povezani z delovanjem sistema ADS zunaj njegovega območja operativne zasnove

1.c	Pojavi, povezani z nezmožnostjo sistema ADS, da doseže minimalni pogoj tveganja, kadar je to potrebno

1.d	Pojavi, povezani s komunikacijo (kadar je povezljivost pomembna za varnostni koncept sistema ADS)

1.e	Pojavi, povezani s kibernetsko varnostjo

1.f	Interakcija z oddaljenim upravljavcem (če je ustrezno) v zvezi z večjimi okvarami sistema ADS ali vozila

2.	Pojavi, povezani z interakcijo sistema ADS z uporabniki popolnoma avtomatiziranega vozila, kot so:

2.a	Pojavi, povezani z uporabnikom (npr. napake uporabnika, zloraba, preprečevanje zlorabe)

3.	Pojavi, povezani s tehničnimi pogoji sistema ADS, vključno z vzdrževanjem in popravili:

3.a	Pojavi, povezani z okvaro sistema ADS, ki upravljavcu ali upravljavcu za posredovanje na daljavo pošlje zahtevo za posredovanje

3.b	Težave z vzdrževanjem in popravili

3.c	Pojavi, povezani z nepooblaščenimi spremembami (tj. nedovoljenim poseganjem)

4.	Pojavi, povezani z opredelitvijo novih scenarijev, pomembnih za varnost

(če je spremembe izvedel proizvajalec za obravnavo novougotovljene in pomembne težave v zvezi z varnostjo sistema ADS, ki vključuje pretirano tveganje, vključno z opisom vseh predhodnih nepričakovanih scenarijev)

(1) ECE/TRANS/WP.29/2022/59/Rev.1.

(2) Glej stran 1 tega Uradnega lista.