(EU) 2022/1426Prováděcí nařízení Komise (EU) 2022/1426 ze dne 5. srpna 2022, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2019/2144, pokud jde o jednotné postupy a technické specifikace pro schvalování typu automatizovaného systému řízení (ADS) plně automatizovaných vozidel (Text s významem pro EHP)

Publikováno: Úř. věst. L 221, 26.8.2022, s. 1-64 Druh předpisu: Prováděcí nařízení
Přijato: 5. srpna 2022 Autor předpisu: Evropská komise
Platnost od: 15. září 2022 Nabývá účinnosti: 15. září 2022
Platnost předpisu: Ano Pozbývá platnosti:
Původní znění předpisu

Text předpisu s celou hlavičkou je dostupný pouze pro registrované uživatele.



26.8.2022   

CS

Úřední věstník Evropské unie

L 221/1


PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) 2022/1426

ze dne 5. srpna 2022,

kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2019/2144, pokud jde o jednotné postupy a technické specifikace pro schvalování typu automatizovaného systému řízení (ADS) plně automatizovaných vozidel

(Text s významem pro EHP)

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2019/2144 ze dne 27. listopadu 2019 o požadavcích pro schvalování typu motorových vozidel a jejich přípojných vozidel a systémů, konstrukčních částí a samostatných technických celků určených pro tato vozidla z hlediska obecné bezpečnosti a ochrany cestujících ve vozidle a zranitelných účastníků silničního provozu, o změně nařízení Evropského parlamentu a Rady (EU) 2018/858 a o zrušení nařízení Evropského parlamentu a Rady (ES) č. 78/2009, (ES) č. 79/2009 a (ES) č. 661/2009 a nařízení Komise (ES) č. 631/2009, (EU) č. 406/2010, (EU) č. 672/2010, (EU) č. 1003/2010, (EU) č. 1005/2010, (EU) č. 1008/2010, (EU) č. 1009/2010, (EU) č. 19/2011, (EU) č. 109/2011, (EU) č. 458/2011, (EU) č. 65/2012, (EU) č. 130/2012, (EU) č. 347/2012, (EU) č. 351/2012, (EU) č. 1230/2012 a (EU) 2015/166 (1), a zejména na čl. 11 odst. 2 uvedeného nařízení,

vzhledem k těmto důvodům:

(1)

Je nezbytné přijmout prováděcí právní předpisy pro schvalování typu systému automatizovaného řízení plně automatizovaných vozidel, zejména systémů uvedených v čl. 11 odst. 1 písm. a), b), d) a f) nařízení (EU) 2019/2144. Systémy monitorování dostupnosti řidiče by se neměly vztahovat na plně automatizovaná vozidla v souladu s čl. 11 odst. 1 nařízení (EU) 2019/2144. Harmonizovaný formát pro výměnu dat, například při jízdě vozidel různých značek v konvoji, navíc stále podléhá normalizačním činnostem a v této fázi nebude do tohoto nařízení zahrnut. Toto nařízení by se nemělo vztahovat na schvalování automatizovaných systémů řízení automatizovaných vozidel vzhledem k záměru pokrýt je odkazem na předpis OSN č. 157 o automatizovaném udržování vozidla v jízdním pruhu (2) v příloze I nařízení (EU) 2019/2144, v němž jsou uvedeny předpisy OSN, které se v EU povinně uplatňují.

(2)

V případě schvalování typu vozidla u plně automatizovaných vozidel by mělo být schválení typu jejich automatizovaného systému řízení podle tohoto nařízení doplněno požadavky stanovenými v příloze II části I dodatku 1 nařízení Evropského parlamentu a Rady (EU) 2018/858 (3). V další fázi bude Komise dále pracovat na vývoji nezbytných požadavků pro EU schválení typu vozidla jako celku u plně automatizovaných vozidel vyráběných v neomezených sériích a tyto požadavky hodlá přijmout do července 2024.

(3)

Posouzení automatizovaného systému řízení plně automatizovaných vozidel, které je navrženo v tomto předpise, se do značné míry opírá o dopravní scénáře vztahující se na různé případy použití plně automatizovaných vozidel. Je proto nezbytné tyto jednotlivé případy použití vymezit. Přezkum těchto případů použití a jejich případná změna s cílem zahrnout další případy použití by se měly provádět pravidelně.

(4)

Informační dokument uvedený v čl. 24 odst. 1 písm. a) nařízení (EU) 2018/858, který má poskytnout výrobce pro účely schválení typu automatizovaného systému řízení plně automatizovaných vozidel, by měl vycházet ze vzoru stanoveného pro schválení typu vozidla v příloze II prováděcího nařízení Komise (EU) 2020/683 (4). Aby však byl zajištěn jednotný přístup, je nezbytné extrahovat položky informačního dokumentu, které jsou podstatné pro schválení typu automatizovaného systému řízení plně automatizovaného vozidla.

(5)

Vzhledem ke složitosti automatizovaných systémů řízení je nezbytné doplnit požadavky na výkonnost a zkoušky uvedené v tomto nařízení o dokumentaci výrobce prokazující, že automatizovaný systém řízení během své životnosti a v rámci příslušných scénářů nepředstavuje nepřiměřená bezpečnostní rizika pro cestující ve vozidle a ostatní účastníky silničního provozu. V tomto ohledu je nezbytné stanovit systém řízení bezpečnosti, který mají výrobci zavést, stanovit pro výrobce a orgány parametry, které mají být použity pro dopravní scénáře vztahující se na automatizovaný systém řízení, stanovit kritéria pro posouzení, zda bezpečnostní koncepce výrobce řeší příslušné dopravní scénáře, nebezpečí a rizika, a stanovit kritéria pro posouzení výsledků validace od výrobce, zejména výsledků validace z řetězců simulačních nástrojů. A konečně je třeba specifikovat příslušné údaje o provozu, o nichž musí výrobce podat zprávu schvalovacím orgánům.

(6)

Certifikát EU schválení typu a doplněk k němu uvedený v čl. 28 odst. 1 nařízení (EU) 2018/858, který se vydá pro systém automatizovaného řízení plně automatizovaných vozidel, by měl vycházet z příslušných vzorů stanovených v příloze III prováděcího nařízení Komise (EU) 2020/683. Pro zajištění jednotného přístupu je však nezbytné extrahovat položky certifikátu EU schválení typu a jeho doplňku, které jsou podstatné pro schválení typu automatizovaného systému řízení plně automatizovaných vozidel.

(7)

S výhradou ustanovení nařízení 2018/858 a jakýchkoli příslušných právních předpisů EU není tímto nařízením dotčeno právo členských států regulovat nasazení a provozní bezpečnost plně automatizovaných vozidel v provozu a provozní bezpečnost těchto vozidel ve službách místní dopravy. Členské státy nejsou povinny předem vymezit oblasti, trasy nebo parkovací zařízení podle tohoto nařízení. Motorová vozidla, na něž se vztahuje toto nařízení, mohou být provozována pouze v oblasti působnosti článku 1.

(8)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem Technického výboru – motorová vozidla,

PŘIJALA TOTO NAŘÍZENÍ:

Článek 1

Oblast působnosti

Toto nařízení se vztahuje na schvalování typu plně automatizovaných vozidel kategorie M a N, pokud jde o jejich automatizovaný systém řízení pro následující případy použití:

a)

plně automatizovaná vozidla, včetně vozidel s duálním režimem, navržená a konstruovaná pro přepravu cestujících nebo zboží v předem vymezené oblasti;

b)

režim „hub-to-hub“: plně automatizovaná vozidla včetně vozidel s duálním režimem navržená a konstruovaná pro přepravu cestujících nebo zboží po předem vymezené trase s pevným počátečním a koncovým bodem cesty/jízdy;

c)

„automatizované bezobslužné parkování“: vozidlo s duálním režimem s plně automatizovaným jízdním režimem pro parkovací aplikace v rámci předem definovaných parkovacích zařízení. Při provádění dynamické funkce řízení systém může, avšak nemusí využívat externí infrastrukturu (např. lokalizační značky, čidla vnímání atd.) parkovacího zařízení.

Výrobce může podle tohoto nařízení požádat o schválení jednotlivého automatizovaného systému řízení vozidel nebo o schválení typu tohoto systému vymezené v čl. 2 odst. 3 nařízení (EU) 2018/858 za předpokladu, že tato vozidla splňují požadavky tohoto nařízení.

Článek 2

Definice

Kromě definic uvedených v nařízení (EU) 2018/858 a nařízení (EU) 2019/2144 se pro účely tohoto nařízení použijí tyto definice:

1.

„automatizovaným systémem řízení“ (ADS) se rozumí hardware a software, které jsou společně schopny trvale provádět kompletní dynamickou funkci řízení v rámci konkrétní provozně-konstrukční domény;

2.

„vlastností systému ADS“ se rozumí aplikace hardwaru a softwaru systému ADS navržená ke konkrétnímu použití v rámci určité provozně-konstrukční domény;

3.

„funkcí systému ADS“ se rozumí aplikace hardwaru a softwaru systému ADS navržená k výkonu určité části dynamické funkce řízení;

4.

„dynamickou funkcí řízení“ se rozumí všechny provozní funkce v reálném čase a taktické funkce potřebné k provozu vozidla, s výjimkou strategických funkcí, jako je plánování jízd a výběr cílů a trasových bodů a zahrnující, bez omezení, následující dílčí úkoly:

a)

ovládání příčného pohybu vozidla řízením (provozní);

b)

ovládání podélného pohybu vozidla zrychlováním a zpomalováním (provozní);

c)

monitorování prostředí, v němž se vozidlo pohybuje, prostřednictvím detekce předmětů a událostí, jejich rozpoznávání a klasifikace a příprava odezvy (provozní a taktické);

d)

provedení odezvy na předmět a událost (provozní a taktické);

e)

plánování manévrů (taktické);

f)

zvýšení nápadnosti prostřednictvím osvětlení, zatroubení, signalizace, gestikulace atd. (taktické)

5.

„provozními funkcemi“ dynamické funkce řízení se rozumí funkce prováděné v průběhu časové konstanty v řádu milisekund, které zahrnují úkoly, jako jsou například vstupy do řízení pro udržení v jízdním pruhu nebo brzdění s cílem zabránit vznikajícímu nebezpečí;

6.

„taktickými funkcemi“ dynamické funkce řízení se rozumí funkce prováděné v průběhu časové konstanty v řádu sekund a zahrnující úkoly, jako je například volba jízdního pruhu, akceptace mezery a předjíždění;

7.

„vadou“ se rozumí neobvyklé podmínky, které mohou způsobit selhání. To se může týkat hardwaru nebo softwaru;

8.

„poruchou“ se rozumí situace, kdy se konstrukční část systému ADS nebo celý tento systém přestane chovat předpokládaným způsobem v důsledku projevení vady;

9.

„monitorováním v průběhu provozu“ se rozumí data shromážděná výrobcem a data z jiných zdrojů za účelem získání důkazů o výkonu systému ADS v oblasti bezpečnosti při provozu v terénu;

10.

„podáváním zpráv v průběhu provozu“ se rozumí data předaná výrobcem za účelem prokázání bezpečnosti fungování systému ADS při provozu v terénu;

11.

„dobou životnosti systému ADS“ se rozumí doba, po kterou je systém ADS k dispozici na vozidle;

12.

„životním cyklem systému ADS“ se rozumí doba sestávající z fází návrhu, vývoje, výroby, provozu v terénu, servisu a vyřazování z provozu;

13.

„chybným chováním“ se rozumí porucha nebo nezamýšlené chování systému ADS nebo jeho konstrukční části s ohledem na jeho konstrukční záměr;

14.

„manévrem s minimálním rizikem“ se rozumí manévr zaměřený na minimalizaci rizik v provozu zastavením vozidla v bezpečném stavu (tj. ve stavu minimálního rizika);

15.

„stavem minimálního rizika“ se rozumí stabilní stav zastaveného vozidla, který snižuje riziko nárazu;

16.

„provozně-konstrukční doménou“ se rozumí provozní podmínky, za nichž je daný systém ADS specificky navržen tak, aby fungoval, a které zahrnují mimo jiné omezení v oblasti okolního prostředí, geografické situace a denní doby, a/nebo požadovanou přítomnost či nepřítomnost určitých vlastností provozu nebo vozovky;

17.

„detekcí předmětů a událostí a odezvou“ (OEDR) se rozumí dílčí úkoly dynamické funkce řízení, které zahrnují monitorování prostředí, v němž se vozidlo pohybuje, a provedení vhodné odezvy. Součástí toho je detekce, rozpoznávání a klasifikace předmětů a událostí, příprava odezvy a její provedení podle potřeby.

18.

„scénářem“ se rozumí posloupnost nebo kombinace situací používaná k posouzení bezpečnostních požadavků na systém ADS.

19.

„nominálními dopravními scénáři“ se rozumí důvodně předvídatelné situace, s nimiž se systém ADS může při fungování v rámci své provozně-konstrukční domény setkat. Tyto scénáře představují nekritické interakce systému ADS s ostatními účastníky provozu a generují normální provoz systému ADS;

20.

„scénáři s kritickými komplikacemi“ se rozumí scénáře týkající se okrajových případů (např. neočekávané podmínky s výjimečně nízkou pravděpodobností výskytu) a provozních nedostatků, které nejsou omezeny pouze na dopravní podmínky, ale zahrnují rovněž podmínky vnějšího prostředí (např. silný déšť nebo nízké sluneční světlo oslňující kamery), lidský faktor, konektivitu a nesprávnou komunikaci vedoucí ke spuštění nouzového provozu systému ADS;

21.

„poruchovými scénáři“ se rozumí scénáře týkající se selhání systému ADS a/nebo konstrukčních částí vozidla, které mohou vést k běžnému nebo nouzovému provozu ADS v závislosti na tom, zda je zachována minimální úroveň bezpečnosti;

22.

„běžným provozem“ se rozumí provoz systému ADS v rámci stanovených provozních limitů a podmínek pro výkon navržené činnosti;

23.

„nouzovým provozem“ se rozumí provoz systému ADS způsobený výskytem událostí vyžadujících okamžitá opatření ke zmírnění nepříznivých důsledků pro lidské zdraví nebo škod na majetku;

24.

„palubní obsluhou“ se v případech, kdy to z hlediska koncepce bezpečnosti systému ADS připadá v úvahu, rozumí osoba nacházející se uvnitř plně automatizovaného vozidla, která může:

a)

aktivovat, opětovně iniciovat, deaktivovat ADS;

b)

zadat systému ADS požadavek na zahájení manévru s minimálním rizikem;

c)

potvrdit manévr navržený systémem ADS, když vozidlo stojí;

d)

po manévru s minimálním rizikem, zatímco plně automatizované vozidlo stojí, požádat systém ADS, aby bezpečně provedl nízkorychlostní manévr omezený na 6 km/h s dostupným účinkem pro přemístění plně automatizovaného vozidla na blízké upřednostňované místo;

e)

zvolit nebo upravit plánování trasy nebo zastávek pro uživatele nebo

f)

poskytnout pomoc cestujícím plně automatizovaného vozidla v řádně identifikovaných situacích.

Ve výše uvedených situacích nesmí palubní obsluha plně automatizované vozidlo řídit a systém ADS musí i nadále vykonávat dynamickou funkci řízení;

25.

„obsluhou dálkového zásahu“ se v případech, kdy to z hlediska koncepce bezpečnosti systému ADS připadá v úvahu, rozumí osoba (osoby) nacházející se mimo plně automatizované vozidlo, která (které) může (mohou), pokud je to bezpečné, na dálku plnit úkoly palubní obsluhy.

Obsluha dálkového zásahu nesmí plně automatizované vozidlo řídit a systém ADS musí i nadále vykonávat dynamickou funkci řízení;

26.

„možnostmi ovládání na dálku“ se rozumí možnosti navržené speciálně na podporu dálkového zásahu;

27.

„softwarovým identifikačním číslem pro účely předpisu R2022/1426 (R2022/1426SWIN)“ se rozumí specifický identifikátor definovaný výrobcem představující informace o softwaru systému ADS, který se řadí k vlastnostem vozidla pro účely schválení typu systému ADS;

28.

„nepřiměřeným rizikem“ se rozumí celková úroveň rizika pro cestující ve vozidle a ostatní účastníky silničního provozu, která je vyšší než u manuálně řízeného vozidla ve srovnatelných dopravních službách a situacích v rámci dané provozně-konstrukční domény;

29.

„funkční bezpečností“ se rozumí neexistence nepřiměřených rizik, hrozí-li nebezpečí v důsledku chybného chování;

30.

„provozní bezpečností“ se rozumí neexistence nepřiměřeného rizika, hrozí-li nebezpečí v důsledku funkčních nedostatků zamýšlené funkce (např. špatná/zmeškaná detekce), provozních komplikací (např. podmínek vytvářených prostředím, jako je mlha, déšť, stíny, sluneční světlo, nebo infrastrukturou) nebo důvodně předvídatelného nesprávného použití/chyby ze strany cestujících ve vozidle a ostatních účastníků silničního provozu (tj. bezpečnostní rizika – bez vad systému);

31.

„strategií řízení“ se rozumí strategie k zajištění spolehlivého a bezpečného provozu systému ADS v reakci na konkrétní soubor okolních a/nebo provozních podmínek (jako je stav povrchu vozovky, ostatní účastníci silničního provozu, nepříznivé povětrnostní podmínky, bezprostřední riziko srážky, selhání, dosažení mezí provozně-konstrukční domény atd.). To může zahrnovat dočasné omezení výkonu (např. snížení maximální provozní rychlosti atd.), manévry s minimálním rizikem, předcházení srážce nebo její zmírnění, dálkový zásah atd.;

32.

„dobou do srážky“ (TTC) se rozumí doba, která uplyne do srážky zúčastněných vozidel/objektů/subjektů, pokud by se nezměnila jejich rychlost a byla by vzata v úvahu jejich dráha.

U čistě podélných situací s konstantními rychlostmi, není-li v textu uvedeno jinak, se TTC vypočte vydělením podélné vzdálenosti (ve směru jízdy zkoušeného vozidla) mezi zkoušeným vozidlem a ostatními vozidly/objekty/subjekty podélnou relativní rychlostí zkoušeného vozidla a ostatních vozidel/objektů/subjektů.

U situací čistého přejíždění s konstantními rychlostmi, není-li v textu uvedeno jinak, se TTC vypočte vydělením podélné vzdálenosti mezi zkoušeným vozidlem a příčnou dráhou pohybu ostatních vozidel/objektů/subjektů podélnou rychlosti zkoušeného vozidla;

33.

„typem vozidla z hlediska systému ADS“ se rozumí plně automatizovaná vozidla, která se neliší v zásadních hlediscích, jako jsou:

a)

vlastnosti vozidla, které významným způsobem ovlivňují účinnost systému ADS;

b)

vlastnosti systému ADS a jeho konstrukce;

34.

„vozidly s duálním režimem“ se rozumí plně automatizovaná vozidla se sedadlem pro řidiče navržená a vyrobená tak, aby umožňovala:

a)

řízení řidičem v „manuálním jízdním režimu“ a

b)

řízení systémem ADS bez dozoru řidiče v „plně automatizovaném jízdním režimu“.

U vozidel s duálním režimem se může předání řízení mezi manuálním jízdním režimem a plně automatizovaným režimem, jakož i předání řízení mezi plně automatizovaným režimem a manuálním režimem uskutečnit, pouze když vozidlo stojí, nikoli když se pohybuje.

35.

„provozovatelem služeb přepravy“ se rozumí subjekt, který poskytuje služby přepravy pomocí jednoho nebo více plně automatizovaných vozidel.

Článek 3

Správní ustanovení a technické specifikace pro schvalování typu automatizovaného systému řízení plně automatizovaných vozidel

1.   Příslušné položky informačního dokumentu předloženého v souladu s čl. 24 odst. 1 písm. a) nařízení (EU) 2018/858 s žádostí o schválení typu automatizovaného systému řízení plně automatizovaných vozidel musí obsahovat informace týkající se uvedeného systému, které obsahuje příloha I.

2.   Schvalování typu automatizovaných systémů řízení plně automatizovaných vozidel podléhá technickým specifikacím stanoveným v příloze II. Tyto specifikace posuzují schvalovací orgány nebo jejich technické zkušebny v souladu s přílohou III.

3.   Certifikát EU schválení typu pro automatizované systémy řízení plně automatizovaných vozidel uvedený v čl. 28 odst. 1 nařízení (EU) 2018/858 se vypracuje v souladu s přílohou IV.

Článek 4

Vstup v platnost

Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.

V Bruselu dne 5. srpna 2022.

Za Komisi

předsedkyně

Ursula VON DER LEYEN


(1)  Úř. věst. L 325, 16.12.2019, s. 1.

(2)  Úř. věst. L 82, 9.3.2021, s. 75.

(3)  Nařízení Evropského parlamentu a Rady (EU) 2018/858 ze dne 30. května 2018 o schvalování motorových vozidel a jejich přípojných vozidel, jakož i systémů, konstrukčních částí a samostatných technických celků určených pro tato vozidla a o dozoru nad trhem s nimi, o změně nařízení (ES) č. 715/2007 a č. 595/2009 a o zrušení směrnice 2007/46/ES (Úř. věst. L 151, 14.6.2018, s. 1).

(4)  Prováděcí nařízení Komise (EU) 2020/683 ze dne 15. dubna 2020, kterým se provádí nařízení Evropského parlamentu a Rady (EU) 2018/858, pokud jde o správní požadavky na schvalování motorových vozidel a jejich přípojných vozidel, jakož i systémů, konstrukčních částí a samostatných technických celků určených pro tato vozidla, a na dozor nad trhem s nimi (Úř. věst. L 163, 26.5.2020, s. 1).


PŘÍLOHA I

Informační dokument pro EU schválení typu plně automatizovaných vozidel, pokud jde o jejich automatizované systémy řízení

VZOR

Informační dokument č. … pro EU schválení typu plně automatizovaného vozidla, pokud jde o automatizovaný systém řízení (ADS).

Následující informace se spolu se soupisem obsahu předkládají v trojím vyhotovení. Předkládají-li se výkresy nebo obrázky, musí být dodány ve vhodném měřítku a s dostatečnými podrobnostmi na archu formátu A4, nebo musí být na tento formát složeny. Předkládají-li se fotografie, musí být dostatečně podrobné.

0.

OBECNĚ

0.1

Značka (obchodní název výrobce):

0.2

Typ:

0.2.1

Obchodní označení (je-li/jsou-li k dispozici):

0.2.2

V případě vozidel s vícestupňovým schválením – informace o schválení typu vozidla základního/předchozího stupně, uveďte informace pro každý stupeň. (To lze provést pomocí tabulky)

Typ:

Varianta (varianty):

Verze:

Číslo certifikátu schválení typu včetně čísla rozšíření…

0.3

Způsob označení typu, je-li na vozidle/konstrukční části/samostatném technickém celku vyznačen:

0.3.1

Umístění tohoto označení:

0.4

Kategorie vozidla:

0.5

Název společnosti a adresa výrobce:

0.5.1

V případě vozidel s vícestupňovým schválením název společnosti a adresa výrobce vozidla základního/předchozího stupně (stupňů): …

0.6

Umístění a způsob připevnění povinných štítků a umístění identifikačního čísla vozidla: …

0.6.1

Na podvozku: …

0.6.2

Na karoserii: …

0.8

Název (názvy) a adresa (adresy) montážního závodu (závodů):

0.9

Název a adresa případného zástupce výrobce:

17.

AUTOMATIZOVANÝ SYSTÉM ŘÍZENÍ (ADS)

17.1

Obecný popis ADS

17.1.1

Provozně-konstrukční doména/mezní podmínky

17.1.2

Základní vlastnosti (např. detekce předmětů a událostí a odezva, plánování atd.)

17.2

Popis funkcí ADS

17.2.1

Hlavní funkce ADS (funkční architektura)

17.2.1.1

Vnitřní funkce vozidla

17.2.1.2

Vnější funkce vozidla (např. záložní zařízení, potřebná vnější infrastruktura, potřebná provozní opatření)

17.3

Přehled hlavních konstrukčních částí ADS

17.3.1

Řídicí jednotky

17.3.2

Čidla a montáž čidel ve vozidle

17.3.3

Akční členy

17.3.4

Mapy a určování polohy

17.3.5

Ostatní hardware

17.4

Uspořádání a schéma ADS

17.4.1

Schéma uspořádání systému (např. blokové schéma)

17.4.2

Seznam a schematický přehled propojení

17.5

Specifikace

17.5.1

Specifikace při běžném provozu

17.5.2

Specifikace při nouzovém provozu

17.5.3

Kritéria přijatelnosti

17.5.4

Prokázání souladu

17.6

Koncepce bezpečnosti

17.6.1

Prohlášení výrobce, že vozidlo nepředstavuje nepřiměřené riziko

17.6.2

Základní architektura softwaru (např. blokové schéma)

17.6.3

Prostředky, jimiž se určuje provedení logiky ADS

17.6.4

Obecné vysvětlení hlavních konstrukčních opatření zabudovaných do ADS za účelem zajištění bezpečného provozu při poruchách, provozních výpadcích a při výskytu okolností překračujících meze provozně-konstrukční domény

17.6.5

Obecný popis hlavních zásad řešení poruch, strategie fungování v nouzovém režimu včetně strategie zmírňování rizik (manévr s minimálním rizikem)

17.6.6

Podmínky pro vyvolání požadavku na palubní obsluhu nebo obsluhu dálkového zásahu

17.6.7

Koncepce interakce člověk-stroj s cestujícími ve vozidle, palubní obsluhou a obsluhou dálkového zásahu, včetně ochrany proti snadné neoprávněné aktivaci/použití a proti zásahům

17.7

Ověření a validace, pomocí nichž výrobce potvrdí, že jsou splněny požadavky na výkonnost, včetně detekce předmětů a událostí a odezvy (OEDR), rozhraní člověk-stroj (HMI), dodržování pravidel silničního provozu a závěru, že systém je navržen tak, aby nepředstavoval nepřiměřené riziko pro cestující ve vozidle a ostatní účastníky silničního provozu

17.7.1

Popis přijatého přístupu

17.7.2

Volba nominálních, kritických a poruchových scénářů

17.7.3

Popis použitých metod a nástrojů (software, laboratoř, jiné) a souhrn posouzení věrohodnosti

17.7.4

Popis výsledků

17.7.5

Nejistota výsledků

17.7.6

Interpretace výsledků

17.7.7

Prohlášení výrobce:

Výrobce (výrobci)potvrzuje (potvrzují), že systém ADS nepředstavuje nepřiměřené bezpečnostní riziko pro cestující ve vozidle a ostatní účastníky silničního provozu.

17.8

Datové prvky ADS

17.8.1

Druh ukládaných údajů

17.8.2

Umístění úložiště

17.8.3

Zaznamenané události a datové prvky

17.8.4

Prostředky k zajištění bezpečnosti a ochrany údajů

17.8.5

Prostředky pro přístup k údajům

17.9

Kybernetická bezpečnost a aktualizace softwaru

17.9.1

Číslo schválení typu z hlediska kybernetické bezpečnosti:

17.9.2

Číslo osvědčení o shodě pro systém řízení kybernetické bezpečnosti:

17.9.3

Číslo schválení typu softwarové aktualizace:

17.9.4

Číslo osvědčení o shodě pro systém řízení aktualizace softwaru

17.9.5

Softwarová identifikace ADS:

17.9.5.1

Vysvětlivky k číslu RxSWIN nebo verzi softwaru, není-li číslo RxSWIN na vozidle.

17.9.5.2

V příslušných případech se uvede seznam parametrů, podle nichž je možné identifikovat vozidla, která lze aktualizovat softwarem uvedeným pod číslem RxSWIN uvedeným v bodě 17.9.4.1.

17.10

Provozní příručka (přiloží se k informačnímu dokumentu)

17.10.1

Funkční popis ADS a očekávaná úloha vlastníka, provozovatele služeb přepravy, palubní obsluhy, obsluhy dálkového zásahu atd.

17.10.2

Technická opatření pro bezpečný provoz (např. popis nezbytné vnější infrastruktury, načasování, četnost a vzor operací údržby);

17.10.3

Provozní a environmentální omezení

17.10.4

Provozní opatření (např. pokud je zapotřebí palubní obsluhy nebo obsluhy dálkového zásahu)

17.10.5

Pokyny v případě poruch a požadavku ADS (bezpečnostní opatření ze strany cestujících ve vozidle, provozovatele služeb přepravy, palubní obsluhy, obsluhy dálkového zásahu a orgánů veřejné správy, která mají být přijata v případě poruchy provozu)

17.11

Prostředky umožňující pravidelné zkoušky technické způsobilosti

Seznam obrázků/tabulek

Zkratky

Příloha I – Simulační příručka

Příloha II – Provozní příručka

Vysvětlivka

Tento informační dokument obsahuje informace týkající se automatizovaného systému řízení a musí být vyplněn v souladu se šablonou stanovenou v příloze I prováděcího nařízení Komise (EU) 2020/683.


PŘÍLOHA II

Požadavky na výkonnost

1.   Dynamická funkce řízení podle nominálních dopravních scénářů

1.1

Systém ADS je schopen vykonávat celou dynamickou funkci řízení.

1.1.1

Schopnost systému ADS provádět celou dynamickou funkci řízení se určuje v kontextu provozně-konstrukční domény systému ADS.

1.1.2

V rámci dynamické funkce řízení je systém ADS schopen:

a)

fungovat při bezpečných rychlostech a dodržovat rychlostní omezení platná pro dané vozidlo;

b)

udržovat přiměřenou vzdálenost od ostatních účastníků silničního provozu řízením pohybu vozidla v podélném a příčném směru;

c)

přizpůsobit své chování okolním dopravním podmínkám (např. tím, že zabrání narušení plynulosti dopravy) vhodným způsobem zaměřeným na bezpečnost;

d)

přizpůsobit své chování bezpečnostním rizikům a přikládat nejvyšší prioritu ochraně lidského života);

1.1.3

Systém musí vykazovat předvídavé chování v interakci s ostatními účastníky silničního provozu, aby bylo zajištěno stabilní a nízkodynamické chování z hlediska podélného pohybu a chování minimalizující riziko v případě, že by mohl bezprostředně hrozit vznik kritických situací, např. u zranitelných účastníků silničního provozu (chodců, cyklistů atd.), na něž je či není volný výhled, nebo u jiných vozidel, která křižují před plně automatizovaným vozidlem nebo se před něj natěsno zařazují.

1.1.4

Požadavky na dynamickou funkci řízení musí být splněny v opačném směru, je-li v rámci provozně-konstrukční domény vyžadováno nebo deklarováno zařazení zpátečky.

1.2

Systém ADS musí detekovat předměty a události, které jsou podstatné pro dynamickou funkci řízení v rámci dané provozně-konstrukční domény.

Předměty a události mohou zahrnovat mimo jiné:

a)

motorová vozidla a ostatní účastníky silničního provozu, jako jsou motocykly, jízdní kola, koloběžky, lidé na invalidním vozíku, chodci a překážky (např. trosky, spadlý náklad);

b)

dopravní nehody;

c)

dopravní zácpy;

d)

silniční práce;

e)

pracovníky bezpečnosti silničního provozu a představitele donucovacích orgánů;

f)

pohotovostní vozidla;

g)

dopravní značky, dopravní značení;

h)

podmínky vnějšího prostředí (např. nižší rychlost v důsledku deště, sněhu).

1.3

Systém ADS musí dodržovat pravidla silničního provozu platná v zemi, v níž je provozován.

1.3.1

Systém ADS musí být schopen bezpečné interakce s ostatními účastníky silničního provozu v souladu s pravidly silničního provozu, například prostřednictvím:

a)

signalizace zamýšleného manévru (např. směrová svítilna);

b)

zvukového výstražného zařízení, vyžaduje-li to situace;

c)

bezpečné interakce s pracovníky bezpečnosti silničního provozu/představiteli donucovacích orgánů, pracovníky údržby silnic, pracovníky záchranné služby, pracovníky inspekce silniční dopravy atd.;

d)

u vozidel s duálním režimem musí být pro pracovníky bezpečnosti silničního provozu/představitele donucovacích orgánů rozpoznatelný stav systému ADS (manuální jízdní režim nebo plně automatizovaný jízdní režim).

1.3.2

Neexistují-li zvláštní pravidla silničního provozu, nesmějí vozidla se systémem ADS určená k přepravě stojících nebo nepřipoutaných cestujících ve vozidle překročit kombinované horizontální zrychlení 2,4 m/s2 (v absolutní hodnotě a vypočtené jako kombinace příčného a podélného zrychlení) a rychlost změny zrychlení 5 m/s3.

V závislosti na faktorech ovlivňujících riziko pro cestující a ostatní účastníky silničního provozu může být vhodné tyto limity překročit, například v případě nouzového provozu.

2.   Dynamická funkce řízení za scénáře s kritickými komplikacemi provozu (nouzový provoz).

2.1

Systém ADS musí být schopen provádět dynamickou funkci řízení pro všechny scénáře s kritickými komplikacemi provozu v dané provozně-konstrukční doméně, které lze rozumně předvídat.

2.1.1

Systém ADS musí být schopen detekovat riziko srážky s jinými účastníky silničního provozu nebo s náhle se objevivší překážkou (trosky, spadlý náklad) a musí být schopen automaticky přejít do vhodného nouzového provozu (brzdění, úhybné manévry) s cílem bránit srážkám, jež lze rozumně předvídat, a minimalizovat rizika pro bezpečnost cestujících ve vozidle a ostatních účastníků silničního provozu.

2.1.1.1

V případě nevyhnutelného alternativního rizika pro lidský život nesmí systém ADS provádět žádné vyhodnocování na základě osobních charakteristik lidí.

2.1.1.2

Ochrana jiných lidských životů mimo plně automatizované vozidlo nesmí být podřízena ochraně lidského života uvnitř plně automatizovaného vozidla.

2.1.2

Strategie pro prevenci/zmírnění srážky by měla zohledňovat zranitelnost zapojených účastníků silničního provozu.

2.1.3

Po vyhýbacím manévru se vozidlo musí snažit o obnovení stabilního pohybu, jakmile je to technicky možné.

2.1.4

Signál k aktivaci výstražných světel se vygeneruje automaticky v souladu s pravidly silničního provozu. Začne-li se plně automatizované vozidlo automaticky znovu pohybovat, musí se automaticky vygenerovat signál k deaktivaci výstražných světel.

2.1.5

V případě dopravní nehody s účastí plně automatizovaného vozidla se systém ADS zaměří na zastavení plně automatizovaného vozidla a na provedení manévru s minimálním rizikem s cílem dosáhnout stavu minimálního rizika. Obnovení normálního provozu systému ADS nesmí být umožněno, dokud nebude bezpečný provozní stav plně automatizovaného vozidla potvrzen samočinnou kontrolou systému ADS nebo/a palubní obsluhou (je-li relevantní) nebo obsluhou dálkového zásahu (je-li relevantní).

3.   Dynamická funkce řízení na hranicích provozně-konstrukční domény

3.1

Systém ADS musí rozpoznat podmínky své provozně-konstrukční domény a hranice této provozně-konstrukční domény.

3.1.1

Systém ADS musí být schopen určit, zda jsou splněny podmínky pro aktivaci ADS.

3.1.2

Systém ADS musí detekovat situaci, kdy není splněna nebo přestane být splněna jedna nebo více podmínek provozně-konstrukční domény, a reagovat na ni.

3.1.3

Systém ADS musí být schopen předvídat výstupy z provozně-konstrukční domény.

3.1.4

Podmínky a hranice provozně-konstrukční domény stanoví výrobce.

3.1.4.1

Podmínky provozně-konstrukční domény, které musí systém ADS rozpoznat, zahrnují:

a)

srážky (déšť, sníh);

b)

denní dobu;

c)

intenzitu světla včetně případů, kdy jsou používána světelná zařízení;

d)

mlhu, opar;

e)

dopravní značení a značení jízdních pruhů;

f)

kategorii silnice (např. počet jízdních pruhů, oddělené pruhy);

g)

zeměpisnou oblast (je-li relevantní).

3.1.5

Když systém ADS dosáhne hranic provozně-konstrukční domény, provede manévr s minimálním rizikem s cílem dosáhnout stavu minimálního rizika, a musí v tomto smyslu upozornit palubní obsluhu (je-li relevantní)/dálkovou obsluhu (je-li relevantní).

4.   Dynamická funkce řízení při poruchových scénářích

4.1

Systém ADS musí detekovat chybné chování ADS a/nebo vozidla a reagovat na ně.

4.1.1

Systém ADS musí samočinně diagnostikovat poruchy a selhání.

4.1.2

Systém ADS musí vyhodnotit svou schopnost provádět dynamickou funkci řízení v plném rozsahu.

4.1.2.1

Systém ADS musí bezpečně reagovat na poruchu/selhání systému ADS, která významně neohrožuje výkon systému ADS.

4.1.2.2

V případě poruchy systému ADS a/nebo jiného systému vozidla, který brání systému ADS v provádění dynamické funkce řízení, musí systém ADS provést manévr s minimálním rizikem s cílem dosáhnout stavu minimálního rizika.

4.1.2.3

Bezprostředně po detekci závažných poruch a výsledného stavu fungování o nich musí systém ADS vyrozumět cestující ve vozidle, palubní obsluhu (je-li dostupná) nebo obsluhu dálkového zásahu (je-li relevantní), jakož i ostatní účastníky silničního provozu v souladu s pravidly silničního provozu (např. aktivace výstražných světel).

4.1.2.4

Je-li chování vozidla při brzdění nebo řízení ovlivněno poruchami, provede se manévr s minimálním rizikem s ohledem na dostupný účinek.

5.   Manévr s minimálním rizikem a stav minimálního rizika

5.1

Během manévru s minimálním rizikem musí plně automatizované vozidlo vybavené systémem ADS zpomalit s cílem dosáhnout požadavku na zpomalení nepřesahujícího 4,0 m/s2 až do úplného zastavení na nejbezpečnějším možném místě s přihlédnutím k okolnímu provozu a silniční infrastruktuře. V případě vážné poruchy systému ADS nebo plně automatizovaného vozidla jsou povoleny vyšší hodnoty požadavku na zpomalení.

5.2

Systém ADS musí signalizovat svůj záměr uvést plně automatizované vozidlo do stavu minimálního rizika pro cestující plně automatizovaného vozidla i pro ostatní účastníky silničního provozu v souladu s pravidly silničního provozu (např. aktivací výstražných světel).

5.3

Plně automatizované vozidlo může opustit stav minimálního rizika pouze poté, co samočinné kontroly systému ADS a/nebo palubní obsluha (je-li relevantní) nebo obsluha dálkového zásahu (je-li relevantní) potvrdí, že příčina (příčiny) manévru s minimálním rizikem už pominula (pominuly).

6.   Interakce mezi člověkem a strojem

6.1

Cestujícím v plně automatizovaném vozidle musí být poskytnuty odpovídající informace, kdykoli je to nutné pro bezpečný provoz a s ohledem na bezpečnostní rizika.

6.2

Je-li součástí koncepce bezpečnosti systému ADS obsluha dálkového zásahu, musí plně automatizované vozidlo poskytnout cestujícím ve vozidle prostředky k přivolání obsluhy dálkového zásahu prostřednictvím audiovizuálního rozhraní v plně automatizovaném vozidle. Pro toto audiovizuální rozhraní se použijí jednoznačné značky (např. ISO 7010 E004).

6.3

Systém ADS musí cestujícím ve vozidle poskytnout prostředky k vyžádání manévru s minimálním rizikem s cílem zastavit plně automatizované vozidlo. V nouzových situacích platí, že:

a)

u vozidel vybavených automaticky ovládanými dveřmi se odemykání dveří provádí automaticky, je-li to bezpečné;

b)

cestujícím musí být poskytnuta možnost opustit vozidlo po zastavení (otevřením dveří nebo nouzovým východem).

6.4

Je-li součástí koncepce bezpečnosti systému ADS obsluha dálkového zásahu, musí mít plně automatizované vozidlo vizuální systémy (např. kamery v souladu s kapitolou 6 normy ISO16505:2019) v prostoru pro cestující uvnitř vozidla a v okolí vozidla, aby mohla obsluha dálkového zásahu vyhodnocovat situaci uvnitř i vně vozidla.

6.5

Pokud je součástí koncepce bezpečnosti systému ADS obsluha dálkového zásahu, musí mít tato obsluha možnost dálkově otevřít elektricky ovládané provozní dveře.

6.6

Systém ADS musí aktivovat příslušné systémy vozidla, je-li to nezbytné a možné (např. otevření dveří, aktivace stěračů v případě deště, systém vytápění atd.).

7.   Funkční a provozní bezpečnost

7.1

Výrobce musí prokázat, že při procesech navrhování a vývoje systému ADS byla věnována přijatelná míra pozornosti funkční a provozní bezpečnosti tohoto systému. Opatření zavedená výrobcem musí zajistit, že plně automatizované vozidlo nebude během své životnosti představovat nepřiměřená bezpečnostní rizika pro cestující ve vozidle a ostatní účastníky silničního provozu v porovnání se srovnatelnými dopravními službami a situacemi v rámci dané provozní domény.

7.1.1

Výrobce stanoví kritéria přijatelnosti, z nichž se odvodí cíle validace systému ADS pro hodnocení zbytkového rizika u provozně-konstrukční domény, s přihlédnutím k existujícím údajům o nehodách (1), údajům o výkonnosti způsobile a opatrně řízených vozidel s manuálním ovládáním, jsou-li takové údaje k dispozici, a nejnovějšímu technologickému vývoji.

7.2

Výrobce musí mít postupy k řízení bezpečnosti a zajištění trvalého souladu systému ADS po celou dobu životnosti (opotřebení součástí, zejména u čidel, nové dopravní scénáře atd.).

8.   Kybernetická bezpečnost a aktualizace softwaru

8.1

Systém ADS musí být chráněn před neoprávněným přístupem v souladu s předpisem OSN č. 155 (2).

8.2

Systém ADS musí podporovat aktualizace softwaru. Účinnost postupů aktualizace softwaru a procesů týkajících se ADS musí být prokázána souladem s předpisem OSN č. 156 (3).

8.2.1

Jak je uvedeno v předpise o aktualizacích softwaru a o systému řízení aktualizací softwaru, použije se pro účely zajištění identifikace softwaru systému číslo R2022/1426SWIN. Číslo R2022/1426SWIN může být uvedeno na vozidle, případně pokud číslo R2022/1426SWIN na vozidle není, musí výrobce oznámit schvalovacímu orgánu verzi (verze) softwaru vozidla nebo jednotlivé jednotky ECU, s níž příslušná schválení typu souvisejí.

8.2.2

Výrobce musí v informačním dokumentu poskytnout tyto informace:

a)

Číslo R2022/1426SWIN;

b)

Vysvětlivky k číslu R2022/1426SWIN nebo verzi (verzím) softwaru, není-li číslo R2022/1426SWIN na vozidle.

8.2.3

Výrobce může v informačním dokumentu uvést seznam příslušných parametrů, podle nichž je možné identifikovat vozidla, která lze aktualizovat softwarem uvedeným pod číslem R2022/1426SWIN. Poskytnuté informace uvádí výrobce a schvalovací orgán je neověřuje.

8.2.4

Výrobce může získat nové schválení typu vozidla, aby mohl softwarové verze pro vozidla, která jsou již na trhu registrována, odlišit od softwarových verzí v nových vozidlech. Může se jednat o situaci, kdy se aktualizují předpisy o schvalování typu nebo se mění hardware u vozidel v sériové výrobě. Po dohodě se schvalovacím orgánem je třeba se pokud možno vyhnout opakování zkoušek.

9.   Požadavky systému ADS na data a konkrétní datové prvky pro zapisovač údajů o události pro plně automatizovaná vozidla

9.1

Při každé aktivaci systému ADS musí tento systém zaznamenávat následující výskyty:

9.1.1

aktivace/opětovná inicializace systému ADS (je-li relevantní);

9.1.2

deaktivace systému ADS (je-li relevantní);

9.1.3

požadavek zaslaný systémem ADS obsluze dálkového zásahu (je-li relevantní);

9.1.4

požadavek/vstup zaslaný obsluhou dálkového zásahu (je-li relevantní);

9.1.5

zahájení nouzového provozu;

9.1.6

ukončení nouzového provozu;

9.1.7

zjištění nebezpečí srážky;

9.1.8

spuštění zapisovače údajů o události (EDR);

9.1.9

zahájení manévru s minimálním rizikem ze strany systému ADS;

9.1.10

stav minimálního rizika dosažený plně automatizovaným vozidlem;

9.1.11

porucha ADS (popis);

9.1.12

porucha vozidla;

9.1.13

zahájení postupu změny jízdního pruhu;

9.1.14

ukončení postupu změny jízdního pruhu;

9.1.15

přerušení postupu změny jízdního pruhu;

9.1.16

zahájení úmyslného vybočení z jízdního pruhu

9.1.17

ukončení úmyslného vybočení z jízdního pruhu.

9.2

Druhy výskytu se v případě bodů 9.1.13, 9.1.14, 9.1.16 a 9.1.17 musí ukládat pouze tehdy, pokud k nim dojde do 30 sekund před výskyty uvedenými v bodech 9.1.5, 9.1.7, 9.1.15 nebo 9.1.8.

9.3

Datové prvky ADS

9.3.1

Pro každý výskyt uvedený v bodě 9.1 se musí jasně identifikovatelným způsobem zaznamenat tyto datové prvky:

9.3.2

zaznamenaný druh výskytu;

9.3.3

případně důvod, proč k výskytu došlo;

9.3.4

datum (ve formátu: rrrr/mm/dd);

9.3.5

poloha (souřadnice GPS);

9.3.6

časové razítko:

a)

ve formátu: hh/mm/ss a časové pásmo, např. 12:59:59 UTC;

b)

přesnost: +/– 1,0 sekundy.

9.4

U každého zaznamenaného výskytu musí být možné jasně identifikovat RXSWIN nebo softwarové verze, které označují software, který byl v činnosti, když k události došlo.

9.5

Je-li v rámci časového rozlišení konkrétních datových prvků současně zaznamenáno více prvků, může být povoleno jednotné časové razítko. Je-li se stejným časovým razítkem zaznamenáno více prvků, musí být informace z jednotlivých prvků řazeny chronologicky.

9.6

Dostupnost údajů

9.6.1

Dostupnost údajů systému ADS se řídí požadavky unijních nebo vnitrostátních právních předpisů (4).

9.6.2

Jakmile kapacita pro uchovávání údajů dosáhne svého limitu, přepíší se stávající údaje výhradně postupem podle pravidla „first in, first out“, a to při dodržení příslušných požadavků na dostupnost údajů.

Kapacitu pro uchovávání údajů prokáže výrobce v dokumentaci.

9.6.3

U vozidel kategorie M1 a N1 musí být možné získat datové prvky i po nárazu, jehož závažnost dosáhla úrovně stanovené předpisy OSN č. 94 (5), 95 (6) nebo 137 (7).

9.6.4

U vozidel kategorií M2, M3, N2 a N3 musí být možné získat datové prvky uvedené v bodě 9.2 i po nárazu. K prokázání této schopnosti platí následující:

Buď:

a)

případné (případná) palubní zařízení pro ukládání dat se vystaví mechanickému rázu na úrovni závažnosti specifikované ve zkoušce konstrukční části podle přílohy 9C série změn 03 předpisu OSN č. 100 (8) a

b)

palubní zařízení pro ukládání dat musí být namontováno (namontována) v kabině vozidla/prostoru pro cestující nebo na místě s dostatečnou konstrukční integritou, aby bylo (byla) chráněno (chráněna) před fyzickým poškozením, které by znemožnilo obnovu dat. To je nutno doložit technické zkušebně společně s příslušnou dokumentací (např. výpočty nebo simulacemi);

nebo

c)

výrobce prokáže splnění požadavků bodu 9.6.3 (např. pro vozidla M2/N2 odvozená od vozidel M1/N1).

9.6.5

I když není k dispozici hlavní palubní zdroj napájení vozidla, musí být možné získat všechny zaznamenané údaje.

9.6.6

Uložené údaje musí být snadno čitelné standardizovaným způsobem prostřednictvím elektronického komunikačního rozhraní, přinejmenším prostřednictvím standardního rozhraní (port OBD).

9.7

Konkrétní datové prvky pro zapisovač údajů o události pro plně automatizovaná vozidla

9.7.1

U vozidel vybavených zapisovači údajů o události v souladu s článkem 6 nařízení (EU) 2019/2144 musí být možné prostřednictvím standardního rozhraní (port OBD) získat datové prvky systému ADS uvedené v bodech 9.3.1 a 9.3.2 zaznamenané nejméně posledních 30 sekund před posledním nastavením druhu výskytu „spuštění zapisovače údajů o události (EDR)“ společně s datovými prvky uvedenými v příloze 4 předpisu OSN č. 160 (9) (údaje ze zapisovače EDR).

9.7.2

Pokud nedošlo k žádné události uvedené v bodě 9.1 během posledních 30 sekund před posledním nastavením druhu výskytu „spuštění zapisovače údajů o události (EDR)“ musí být možné společně s údaji ze zapisovače EDR získat i datový prvek odpovídající minimálně posledním výskytům v rámci stejného výkonového cyklu uvedeného v bodech 9.1.1 a 9.1.2.

9.7.3

Datové prvky získané v souladu s bodem 9.7.1 nebo 9.7.2 nesmí obsahovat datum a časové razítko ani žádné jiné informace umožňující identifikaci vozidla, jeho uživatele nebo vlastníka. Časové razítko musí být místo toho nahrazeno informacemi představujícími časový rozdíl mezi druhem výskytu „spuštění zapisovače údajů o události (EDR)“ a druhem výskytu příslušného datového prvku ADS.

9.8

Výrobce musí poskytnout pokyny pro přístup k údajům.

9.9.

Ochrana proti manipulaci

9.9.1

Musí být zajištěna odpovídající ochrana proti manipulaci (např. vymazání údajů) s uloženými údaji, jako je např. konstrukční opatření proti neoprávněným úpravám.

10.   Manuální jízdní režim

10.1

Pokud systém ADS umožňuje manuální řízení za účelem údržby nebo převzetí řízení po provedení manévru s minimálním rizikem v plně automatizovaném vozidle, musí být rychlost vozidla omezena na 6 km/h a vozidlo musí být vybaveno prostředky, které osobě, jež ho řídí, umožní bezpečně provádět řízení v souladu s koncepcí bezpečnosti výrobce. S výjimkou případu poruchy musí systém ADS pokračovat v detekci překážek (např. vozidla, chodci) v manévrovacím prostoru a podporovat řidiče při okamžitém zastavení vozidla s cílem zabránit srážce.

10.2

Je-li manuální řízení omezeno na 6 km/h, není nutné, aby v plně automatizovaném vozidle zůstal řidič. Toto ovládání lze provádět pomocí dálkového ovládání umístěného v blízkosti vozidla za předpokladu, že vozidlo zůstane v přímém zorném poli řidiče. Maximální vzdálenost, na kterou je možné ovládat vozidlo dálkovým ovládáním, nesmí překročit 10 metrů.

10.3

Pokud má být vozidlo v manuálním režimu řízeno při rychlosti vyšší než 6 km/h, považuje se za vozidlo s duálním režimem.

11.   Provozní příručka

11.1

Výrobce musí vypracovat provozní příručku. Účelem provozní příručky je zajistit bezpečný provoz plně automatizovaného vozidla prostřednictvím podrobných pokynů pro vlastníka, cestující ve vozidle, provozovatele služeb přepravy, palubní obsluhu, obsluhu dálkového zásahu a všechny příslušné vnitrostátní orgány.

Provozní příručka se musí vztahovat na plně automatizované vozidlo i v případě, že toto vozidlo umožňuje manuální řízení za účelem údržby nebo převzetí řízení po provedení manévru s minimálním rizikem.

11.2

Provozní příručka musí obsahovat funkční popis ADS.

11.3

Provozní příručka musí obsahovat technická opatření (např. kontroly a práce na údržbě vozidla a infrastruktury mimo něj, požadavky na dopravu a fyzickou infrastrukturu, jako jsou lokalizační značky a čidla vnímání), provozní omezení (např. omezení rychlosti, vyhrazený jízdní pruh, fyzické oddělení od protijedoucích vozidel), podmínky prostředí (např. absence sněhu) a provozní opatření (např. zda je nutný zásah palubní obsluhy nebo obsluhy dálkového zásahu) nezbytná k zajištění bezpečnosti během provozu plně automatizovaného vozidla.

11.4

Provozní příručka musí popisovat pokyny pro cestující ve vozidle, provozovatele služeb přepravy, palubní obsluhu (je-li relevantní) a obsluhu dálkového zásahu (je-li relevantní) a orgány veřejné správy pro případ poruch a požadavku ADS.

11.5

Provozní příručka musí stanovit pravidla pro zajištění řádného provádění údržby, celkových zkoušek a dalších kontrol.

11.6

Provozní příručka musí být předložena schvalovacímu orgánu společně se žádostí o schválení typu a přikládá se k certifikátu schválení typu.

11.7

Provozní příručka musí být zpřístupněna vlastníkovi a případně provozovateli služeb přepravy, palubní obsluze (je-li relevantní), obsluze dálkového zásahu (je-li relevantní) a veškerým příslušným vnitrostátním orgánům.

12.   Ustanovení o pravidelných technických prohlídkách

12.1

Pro účely pravidelných technických prohlídek vozidel musí být možné ověřit tyto vlastnosti systému ADS:

a)

jeho správný provozní stav, vizuálním pozorováním stavu varovného signálu poruchy po aktivaci hlavního spínače ovládání vozidla a případnou kontrolou žárovky. Pokud se varovný signál poruchy zobrazuje na společné ploše (plocha, na které mohou být zobrazeny nejméně dvě informační funkce/symboly, nikoli však současně), je před kontrolou stavu varovného signálu poruchy nutné zkontrolovat, jestli společná plocha funguje;

b)

jeho správnou funkci a integritu softwaru prostřednictvím elektronického rozhraní vozidla, jako je rozhraní stanovené v části I bodě 14 přílohy III směrnice Evropského parlamentu a Rady 2014/45/EU (10), pokud to umožňují technické vlastnosti vozidla a jsou zpřístupněna nezbytná data. Výrobci zajistí, aby byly k dispozici technické informace pro použití elektronického rozhraní vozidla v souladu s článkem 6 prováděcího nařízení Komise (EU) 2019/621 (11).


(1)  Například na základě aktuálních údajů o nehodách autobusů, autokarů, nákladních automobilů a osobních automobilů v EU u srovnatelných dopravních služeb a situací by mohla být pro uvedení systémů ADS na trh zohledněna orientační souhrnná kritéria přijatelnosti 10-7 smrtelných nehod za hodinu provozu. Výrobce může použít jiné metriky a metody, prokáže-li, že v porovnání se srovnatelnými dopravními službami a situacemi v provozní oblasti vedou k neexistenci nepřiměřeného bezpečnostního rizika.

(2)  Úř. věst. L 82, 9.3.2021, s. 30.

(3)  Úř. věst. L 82, 9.3.2021, s. 60.

(4)  Doporučuje se úložná kapacita 2 500 časových razítek odpovídající období používání v délce šesti měsíců.

(5)  Úř. věst. L 392, 5.11.2021, s. 1.

(6)  Úř. věst. L 392, 5.11.2021, s. 62.

(7)  Úř. věst. L 392, 5.11.2021, s. 130.

(8)  Úř. věst. L 449, 15.12.2021, s. 1.

(9)  Úř. věst. L 265, 26.7.2021, s. 3.

(10)  Směrnice Evropského parlamentu a Rady 2014/45/EU ze dne 3. dubna 2014 o pravidelných technických prohlídkách motorových vozidel a jejich přípojných vozidel a o zrušení směrnice 2009/40/ES (Úř. věst. L 127, 29.4.2014, s. 51).

(11)  Prováděcí nařízení Komise (EU) 2019/621 ze dne 17. dubna 2019 o technických informacích nezbytných pro technické prohlídky kontrolovaných položek, o používání doporučených metod technických prohlídek a o stanovení podrobných pravidel týkajících se formátu údajů a postupů pro přístup k příslušným technickým informacím (Úř. věst. L 108, 23.4.2019, s. 5).


PŘÍLOHA III

POSOUZENÍ SOULADU

Celkové posouzení souladu systému ADS je stanoveno na základě:

Část 1: Dopravní scénáře, které je třeba zohlednit

Část 2: Posouzení koncepce bezpečnosti systému ADS a audit systému řízení bezpečnosti výrobce

Část 3: Zkoušky nejdůležitějších dopravních scénářů

Část 4: Zásady, které se použijí pro účely posouzení věrohodnosti, jestliže je k validaci systému ADS použit soubor nástrojů pro simulaci

Část 5: Systém zavedený výrobcem k zajištění podávání zpráv v průběhu provozu

Jakýkoli požadavek uvedený v příloze II může být zkontrolován na základě zkoušek provedených schvalovacím orgánem (nebo jeho technickou zkušebnou).

ČÁST 1

DOPRAVNÍ SCÉNÁŘE, KTERÉ JE TŘEBA ZOHLEDNIT

1.

Minimální sada dopravních scénářů

1.1

Použijí se scénáře a parametry uvedené v bodě 1, pokud se tyto scénáře vztahují na provozně-konstrukční doménu systému ADS.

Pokud se výrobce odchýlí od parametrů navržených v bodě 1, musí být měření výkonu v oblasti bezpečnosti a inherentní předpoklady použité výrobcem zdokumentovány v souboru dokumentace. Zvolené měření výkonu v oblasti bezpečnosti a inherentní předpoklady musí prokázat, že plně automatizované vozidlo nepodléhá nepřiměřeným bezpečnostním rizikům. Platnost těchto měření výkonu v oblasti bezpečnosti a inherentních předpokladů musí být podložena údaji z monitorování v průběhu provozu.

1.2

Parametry, které mají být použity pro scénáře změny jízdního pruhu plně automatizovaným vozidlem.

1.2.1

Scénáře a parametry týkající se změny jízdního pruhu se použijí podle specifikace v předpisu OSN č. 157 (1).

1.3

Parametry, které mají být použity pro scénář odbočování a křižování plně automatizovaného vozidla.

1.3.1

Pokud neexistují konkrétnější pravidla silničního provozu, zohlední se následující požadavky, pokud jde o interakci s ostatními účastníky silničního provozu zapojenými do pohybu při odbočování a křižování (viz obrázek 1) za suchého a řádného stavu vozovky.

1.3.2

V případě zařazení do přednostního provozu při odbočování, při němž dochází ke křižování s opačným směrem provozu, i při takovém zařazení, při němž k tomuto křižování nedochází, by přednostní provoz v cílovém pruhu neměl být nucen zpomalit. Je však třeba zajistit, aby hodnota TTC blížícího se přednostního provozu na cílové silnici (případ a) na obrázku 1) nikdy neklesla pod prahovou hodnotuTTC dyn definovanou následovně:

Formula

kde:

 

v e se rovná rychlosti plně automatizovaného vozidla;

 

v a se rovná rychlosti blížícího se přednostního provozu;

 

β se rovná 3 m/s2, což je maximální přípustné zpomalení blížícího se přednostního provozu;

 

ρ se rovná 1,5 s, což je reakční doba blížícího se přednostního provozu.

1.3.3

V případě odbočovacího manévru, který křižuje opačný směr dopravy při zohlednění protijedoucího provozu, by přednostní provoz v cílovém pruhu neměl být nucen zpomalit. Je-li to však odůvodněno hustotou provozu, musí být kromě vzdálenosti od blížícího se přednostního provozu na cílové silnici zajištěno, že hodnota TTC přednostního křižujícího provozu k fiktivnímu bodu srážky (průsečík jízdních drah, případ b) na obrázku 1) nikdy neklesne pod prahovou hodnotu TTC int definovanou následovně:

Formula

kde:

 

v c se rovná rychlosti přednostního konfliktního provozu;

 

β se rovná 3 m/s2, což je maximální přípustné zpomalení křižujícího přednostního provozu;

 

ρ se rovná 1,5 s, což je reakční doba křižujícího přednostního provozu.

Totéž platí pro křižování s přednostním provozem (případ c) na obrázku 1): Hodnota TTC přednostního provozu do imaginárního bodu srážky (průsečík jízdních drah) nesmí nikdy klesnout pod prahovou hodnotu TTC int definovanou v tomto bodě.

Image 1

Obrázek 1: Vizualizace vzdáleností při odbočování a křižování.

Případ a): vzdálenost od blížícího se přednostního provozu v cílovém jízdním pruhu, kterou je třeba dodržet při odbočování a zařazení do přednostního provozu.

Případ b): vzdálenost od přednostního provozu v protisměru, kterou je třeba dodržet při odbočování křížením provozu v protisměru.

Případ c): vzdálenost od přednostního křižujícího provozu, kterou je potřeba při křižování dodržet.

1.4

Parametry, které mají být použity pro scénáře nouzového manévru plně automatizovaného vozidla (dynamická funkce řízení ve scénářích s kritickými komplikacemi).

1.4.1

Systém ADS musí zabránit srážce s vozidlem jedoucím vpředu, které před ním zpomaluje maximálním brzdným účinkem, pokud se před něj natěsno nezařadilo jiné vozidlo.

1.4.2

Srážkám s vozidly, chodci a cyklisty jedoucími ve stejném směru a zařazujícími se natěsno, jakož i s chodci, kteří mohou začít přecházet silnici, je třeba zabránit alespoň v rámci podmínek stanovených následující rovnicí.

Formula

kde:

Formula
se rovná době do srážky v okamžiku zařazení vozidla nebo cyklisty natěsno do jízdního pruhu plně automatizovaného vozidla o více než 30 cm;

v rel se rovná relativní rychlosti v metrech za sekundu [m/s] mezi plně automatizovaným vozidlem a vozidlem zařazujícím se natěsno (pokud je ADS rychlejší než vozidlo zařazující se natěsno, je tato hodnota kladná);

β se rovná maximálnímu zpomalení plně automatizovaného vozidla a předpokládá se, že se rovná:

 

2,4 m/s2, pokud přepravuje stojící nebo nepřipoutané cestující ve vozidle a ve scénáři vozidla dochází k zařazení natěsno;

 

6 m/s2, pokud přepravuje stojící nebo nepřipoutané cestující ve vozidle u jiných scénářů s chodci nebo cyklisty;

 

6 m/s2 u ostatních plně automatizovaných vozidel;

 

ρ se rovná době, kterou plně automatizované vozidlo potřebuje k zahájení tísňového brzdění a u níž se předpokládá, že je rovna 0,1 s;

 

τ se rovná době potřebné k dosažení maximálního zpomalení β a u níž se předpokládá, že je rovna

 

0,12 s u plně automatizovaných vozidel přepravujících stojící nebo nepřipoutané cestující ve vozidle;

 

0,3 s u ostatních plně automatizovaných vozidel.

Dodržení této rovnice se vyžaduje jen pro účastníky silničního provozu zařazující se natěsno, a jen tehdy, pokud byli vjíždějící účastníci silničního provozu viditelní nejméně 0,72 sekundy před zařazením natěsno:

To má za následek požadované zabránění srážce, když jiný účastník silničního provozu při vjíždění do jízdního pruhu zkoušeného vozidla překročí následující hodnoty TTC (zobrazenými například pro rychlosti v krocích po 10 km/h). Tyto požadavky musí být splněny nezávisle na podmínkách vnějšího prostředí.

v rel [km/h]

Formula

[s] pro vozidla se stojícími nebo nepřipoutanými cestujícími ve vozidle

Formula

[s] pro ostatní vozidla

10

0,74

0,48

20

1,32

0,71

30

1,9

0,94

40

2,47

1,18

50

3,05

1,41

60

3,63

1,64

Dojde-li ke změně jízdního pruhu s nižší hodnotou TTC do jízdního pruhu plně automatizovaného vozidla, nelze již předpokládat, že nedojde k zabránění srážce. Ke změně strategie ovládání systému ADS mezi zabráněním srážce a jejím zmírněním může dojít pouze tehdy, pokud je výrobce schopen prokázat, že to zvyšuje bezpečnost cestujících ve vozidle a ostatních účastníků silničního provozu (např. upřednostněním brzdění před alternativním manévrem).

1.4.3

Systém ADS musí zabránit srážce s přecházejícím chodcem nebo s cyklistou před vozidlem.

1.4.3.1

Jízdní podmínky ve městech a na venkově

1.4.3.1.1

Systém ADS musí zabránit srážce až do rychlosti 60 km/h, pokud příčná složka rychlosti chodce přecházejícího před vozidlem, na něhož je volný výhled, činí nejvýše 5 km/h, nebo pokud příčná složka rychlosti cyklisty přejíždějícího před vozidlem, na něhož je volný výhled, činí nejvýše 15 km/h. To je nutno zajistit nezávisle na konkrétním manévru, který systém ADS provádí.

1.4.3.1.2

V případě, že se chodec nebo cyklista pohybuje vyšší rychlostí, než jsou výše uvedené hodnoty, a systém ADS již nemůže zabránit srážce, může se strategie řízení systému ADS změnit od zabránění srážce k jejímu zmírnění pouze tehdy, může-li výrobce prokázat, že to zvyšuje bezpečnost cestujících ve vozidle a ostatních účastníků silničního provozu (např. upřednostněním brzdění před alternativním manévrem).

1.4.3.1.3

Systém ADS musí zmírnit srážku s chodcem přecházejícím před vozidlem, na něhož není volný výhled, nebo cyklistou přejíždějícím před vozidlem, na něhož není volný výhled, snížením rychlosti při nárazu nejméně o 20 km/h. To je nutno zajistit nezávisle na konkrétním manévru, který systém ADS provádí.

1.4.3.1.4

Pro účely prokázání splnění předchozích požadavků týkajících se přecházení chodců a přejíždění cyklistů před vozidlem lze jako vodítko použít scénáře zkoušek a posouzení vypracované v rámci organizace European New Car Assessment Programme (Euro NCAP).

1.4.3.2

Jízdní podmínky na dálnici

1.4.3.2.1

Na přecházení chodců se použijí příslušné scénáře stanovené v předpisu OSN č. 157.

1.4.3.2.2

V případě, že hodnoty parametrů chodce při přecházení překročí meze stanovené v předpisu OSN č. 157 a systém ADS již nemůže zabránit srážce, může se strategie řízení systému ADS změnit mezi předcházením srážce a zmírněním srážky pouze tehdy, pokud výrobce může prokázat, že to zvyšuje bezpečnost cestujících ve vozidle a ostatních účastníků silničního provozu (např. upřednostněním brzdění před alternativním manévrem).

1.5

Vjezd na dálnici

Plně automatizované vozidlo musí být schopno bezpečně vjet na dálnici tak, že přizpůsobí svou rychlost provozu a aktivuje příslušnou směrovou svítilnu v souladu s pravidly silničního provozu.

Bezprostředně pro provedení manévru pro změnu jízdního pruhu se směrová svítilna deaktivuje. Je nutno uplatnit parametry použité ve scénáři změny jízdního pruhu.

1.6

Sjezd z dálnice

Plně automatizované vozidlo musí být schopno předvídat cílený výjezd z dálnice přejetím do sousedního jízdního pruhu a do výjezdového pruhu a před zahájením manévru pro změnu jízdního pruhu do výjezdového pruhu nesmí zbytečně zpomalit.

Plně automatizované vozidlo musí použít směrovou svítilnu v souladu s pravidly silničního provozu a bez zbytečného odkladu provést manévr pro změnu jízdního pruhu do výjezdového pruhu.

Směrová svítilna se deaktivuje bezprostředně po dokončení manévru pro změnu jízdního pruhu v souladu s pravidly silničního provozu platnými v zemi, v níž je systém provozován.

1.7

Průjezd mýtnou stanicí

Plně automatizované vozidlo musí být v závislosti na provozně-konstrukční doméně schopno zvolit správnou průjezdnou bránu a přizpůsobit svou rychlost povoleným limitům v rámci dané mýtné oblasti při zohlednění provozu.

1.8

Provoz na jiných typech silnic než na dálnicích

V závislosti na provozně-konstrukční doméně se použije relevantní scénář uvedený v bodech 1.2 až 1.4 výše.

1.9

Parametry užívané pro automatizovaný systém parkování

1.9.1

V závislosti na provozně-konstrukční doméně se použijí relevantní scénáře uvedené v bodech 1.3 až 1.5 výše. Parametry, které mají být použity pro tyto scénáře, může být nutné upravit tak, aby zohledňovaly omezenou rychlost jízdy a celkově nedostatečnou viditelnost, která může nastat v parkovacím zařízení. Zvláštní pozornost je třeba věnovat zabránění srážce s chodci, zejména s dětmi a kočárky.

2.

Scénáře, na které se nevztahuje bod 1

2.1

Je nutno vytvořit scénáře, které nejsou uvedeny v bodě 1, s cílem pokrýt kritické situace, jež lze rozumně předvídat, včetně poruch a dopravních rizik v rámci dané provozně-konstrukční domény.

2.2

Pokud možnosti systému ADS závisejí na možnostech řízení na dálku, musí scénáře zahrnovat poruchy a dopravní rizika vyplývající z příslušných možností řízení na dálku.

2.3

Metoda vytváření scénářů, které nejsou uvedeny v oddíle 1, se řídí zásadami stanovenými v dodatku 1 k části 1 této přílohy.

2.4

Metoda, kterou použije výrobce pro vytvoření scénářů, které nejsou uvedeny v bodě 1, musí být zdokumentována v souboru dokumentace, který musí být předložen pro účely posouzení systému ADS.

Dodatek 1

Zásady, které je třeba dodržovat při odvozování scénářů, které se vztahují na provozně-konstrukční doménu systému ADS

Image 2

1.   Vytváření a klasifikace scénářů

Z kvalitativního hlediska lze scénáře klasifikovat jako nominální/kritické/selhání, a odpovídají normálnímu nebo nouzovému provozu. Pro každou z těchto kategorií lze při vytváření odpovídajících dopravních scénářů uplatnit přístup založený na datech a přístup založený na znalostech. Přístup založený na znalostech využívá odborných znalostí k systematické identifikaci nebezpečných událostí a vytváření scénářů. Přístup založený na datech využívá dostupná data k identifikaci a klasifikaci scénářů, které nastanou. Scénáře musí být odvozeny z provozně-konstrukční domény plně automatizovaného vozidla.

2.   Nominální scénáře

Soubor analytických rámců může výrobci pomoci odvodit další nominální scénáře s cílem zajistit pokrytí konkrétního použití. Tyto rámce jsou rozděleny následujícím způsobem:

2.1   Analýza ODD

Provozně-konstrukční doména se skládá z prvků okolí (např. fyzická infrastruktura), z podmínek vnějšího prostředí, dynamických prvků (např. provoz, zranitelní účastníci silničního provozu) a provozních omezení konkrétního uplatnění systému ADS. Cílem této analýzy je identifikovat charakteristiky provozně-konstrukční domény, přidělit vlastnosti a definovat interakce mezi jednotlivými objekty. Je v ní zkoumán vliv provozně-konstrukční domény na schopnosti systému ADS v oblasti chování. Příklad této analýzy je uveden v tabulce 1.

Tabulka 1

Dynamické prvky a jejich vlastnosti

Předměty

Události/interakce

Vozidla (např. osobní automobily, lehké nákladní automobily, těžké nákladní automobily, autobusy, motocykly)

Vozidlo jedoucí vpředu zpomaluje (čelně)

Vozidlo jedoucí vpředu zastavilo (čelně)

Vozidlo jedoucí vpředu zrychluje (čelně)

Změna jízdního pruhu (čelně/bočně)

Zařazení natěsno (sousední pruh)

Odbočování (čelně)

Vjetí protijedoucího vozidla do protisměru (čelně/bočně)

Vjetí vozidla v sousedním pruhu do protisměru (čelně/bočně)

Vjezd na komunikaci (čelně/bočně)

Vyjetí z jízdního pruhu (čelně)

Chodci

Přecházející silnici – na přechodu (čelně)

Přecházející silnici – mimo přechod (čelně)

Pohybující se po chodníku/krajnici

Cyklisté

Jedoucí v jízdním pruhu (čelně)

Jedoucí v sousedním jízdním pruhu (čelně/bočně)

Jedoucí ve vyhrazeném pruhu (čelně/bočně)

Jedoucí po chodníku/krajnici

Přejíždějící silnici – na přechodu (čelně/bočně)

Přejíždějící silnici – mimo přechod (čelně/bočně)

Zvířata

Statická v jízdním pruhu (čelně)

Pohybující se směrem dovnitř jízdního pruhu/ven z jízdního pruhu (čelně/bočně)

Statická/pohybující se v sousedním jízdním pruhu (čelně)

Statická/pohybující se na krajnici

Trosky

Statické v jízdním pruhu (čelně)

Jiné dynamické předměty (např. nákupní vozíky)

Statické v jízdním pruhu (čelně/bočně)

Pohybující se směrem dovnitř jízdního pruhu/ven z jízdního pruhu (čelně/bočně)

Dopravní značky

Stůj, dej přednost v jízdě, nejvyšší povolená rychlost, přechod pro chodce, železnice, přejezd, pozor děti

Světelné signály

Křižovatka, železniční přejezd, pozor děti

Signály vozidla

Znamení o změně směru jízdy (směrový ukazatel)

2.2   Analýza detekce předmětů a událostí a odezvy: Identifikace schopností v oblasti chování

Po provedení identifikace předmětů a příslušných vlastností je možné zmapovat vhodnou odezvu systému ADS. Odezva systému ADS je modelována na základě platných funkčních požadavků a uplatněním požadavků tohoto nařízení na výkon a pravidel silničního provozu platných v zemi, v níž je systém provozován.

Výsledkem analýzy detekce předmětů a událostí a odezvy je rovněž soubor schopností, které lze zmapovat ve vztahu ke schopnostem v oblasti chování vztahujících se k dané provozně-konstrukční doméně s cílem zajistit dodržování příslušných regulačních a právních požadavků. Tabulka 2 uvádí kvalitativní příklad události a odpovídající reakce.

Kombinace předmětů, událostí a jejich potenciální interakce jako funkce provozně-konstrukční domény tvoří soubor nominálních scénářů, které se vztahují na analyzovaný systém ADS. Pro určení nominálních scénářů může být přínosem rozšířená kombinace deskriptorů scénářů zahrnujících v rámci provozně-konstrukční domény např. náležitosti infrastruktury, vlastnosti objektů a událostí, nebezpečí s vlivem na schopnost reagovat (např. počasí, viditelnost). Identifikace nominálních scénářů není omezena pouze na dopravní podmínky, ale zahrnuje také podmínky vnějšího prostředí, lidský faktor, konektivitu a nesprávnou komunikaci. Vzhledem k tomu, že parametry (předpoklady) událostí nebyly dosud vymezeny, je třeba posuzovat nominální scénáře odvozené z aplikace uvedené analýzy v rovině funkční a logické abstrakce.

Tabulka 2

Schopnosti v oblasti chování pro dané události

Událost

Odezva

Vozidlo jedoucí vpředu zpomaluje

Následovat vozidlo, zpomalit, zastavit

Vozidlo jedoucí vpředu zastavilo

Zpomalit, zastavit

Vozidlo jedoucí vpředu zrychluje

Zrychlit, následovat vozidlo

Vozidlo jedoucí vpředu odbočuje

Zpomalit, zastavit

Jiné vozidlo mění jízdní pruh

Dát přednost v jízdě, zpomalit, následovat vozidlo

Jiné vozidlo se zařazuje natěsno

Dát přednost v jízdě, zpomalit, zastavit, následovat vozidlo

Vozidlo vjíždí na komunikaci

Následovat vozidlo, zpomalit, zastavit

Protijedoucí vozidlo vjíždí do protisměru

Zpomalit, zastavit, posunout se v rámci jízdního pruhu, posunout se mimo jízdní pruh

Vozidlo v sousedním pruhu vjíždí do protisměru

Dát přednost v jízdě, zpomalit, zastavit

Vozidlo jedoucí vpředu vyjíždí z jízdního pruhu

Zrychlit, zpomalit, zastavit

Chodec přecházející silnici – na přechodu

Dát přednost v jízdě, zpomalit, zastavit

Chodec přecházející silnici – mimo přechod

Dát přednost v jízdě, zpomalit, zastavit

Cyklisté jedoucí v jízdním pruhu

Dát přednost v jízdě, následovat

Cyklisté jedoucí ve vyhrazeném pruhu

Posunout se v rámci jízdního pruhu

Cyklisté přejíždějící silnici – na přechodu

Dát přednost v jízdě, zpomalit, zastavit

Cyklisté přejíždějící silnici – mimo přechod

Dát přednost v jízdě, zpomalit, zastavit

3.   Scénáře s kritickými komplikacemi

Scénáře s kritickými komplikacemi lze odvodit buď na základě posouzení předpokladů okrajových případů u nominálních scénářů provozu (založených na datech), nebo použitím standardizovaných metod (založených na znalostech) pro hodnocení provozních nedostatků (viz příklad metod v části 2 bodě 3.5.5). Při identifikaci scénářů s kritickými komplikacemi může pomoci i propracovanější kombinace deskriptorů scénáře s okrajovými hodnotami, které v rámci provozně-konstrukční domény zahrnují např. atributy infrastruktury, vlastnosti objektů a událostí, nebezpečí s vlivem na schopnost reagovat (např. počasí, snížená viditelnost, interakce s jinými účastníky silničního provozu, než je spouštěcí objekt nebo událost). Identifikace scénářů s kritickými komplikacemi není omezena jen na dopravní podmínky, ale zahrnuje také podmínky vnějšího prostředí, lidský faktor, konektivitu a nesprávnou komunikaci. Scénáře s kritickými komplikacemi odpovídají nouzovému provozu systému ADS.

4.   Poruchové scénáře

Cílem těchto scénářů je posoudit, jak systém ADS reaguje na poruchu. Literatura uvádí různé metody (viz příklad metod v bodě 3.5.5 části 2).

Výrobce je povinen při vývoji systému ADS zavést příslušné strategie pro každou zjištěnou poruchu chování a z ní vyplývající účinky (tj. odolnost proti poruchám).

Cílem uplatňování poruchových scénářů je posoudit schopnost systému ADS splňovat požadavky na situace zásadně důležité pro bezpečnost, například včetně toho, že „ADS řídí provozní situace zásadně důležité pro bezpečnost“ a „ADS bezpečně řídí poruchové režimy“ a příslušné dílčí požadavky.

5.   Předpoklady: Logické až konkrétní scénáře

Pro zajištění připravenosti scénářů uvedených v předchozích bodech k posouzení prostřednictvím simulace nebo fyzických zkoušek může být nezbytné, aby výrobce koherentně nastavil jejich parametry na základě předpokladů.

Výrobce musí poskytnout důkazy na podporu těchto předpokladů, jako jsou například kampaně sběru údajů provedené během fáze vývoje, skutečná nehodovost a realistická hodnocení stylu jízdy.

Parametry používané k charakterizaci scénářů s kritickými komplikacemi by měly v deskriptorech scénářů pracovat s rozumně předvídatelnými hodnotami, neměly by se však omezovat na hodnoty, které jsou již zachyceny v dokumentovaných databázích.

ČÁST 2

POSOUZENÍ KONCEPCE BEZPEČNOSTI SYSTÉMU ADS A AUDIT SYSTÉMU ŘÍZENÍ BEZPEČNOSTI VÝROBCE

1.   Obecně

1.1

Schvalovací orgán, který uděluje schválení typu, nebo technická zkušebna jednající jeho jménem ověří prostřednictvím cílených kontrol a zkoušek, zejména těch, které jsou uvedeny v bodě 4 této přílohy, že argumentace týkající se bezpečnosti uvedená v dokumentaci splňuje požadavky přílohy II a že výrobce skutečně uplatňuje koncepci a postupy popsané v dokumentaci.

1.2

Ačkoli na základě předané dokumentace, důkazů předložených pro účely auditu systému řízení bezpečnosti a posouzení koncepce bezpečnosti systému ADS provedených ke spokojenosti schvalovacího orgánu v souladu s tímto předpisem je zbytková úroveň bezpečnostního rizika systému ADS s uděleným schválením typu považována za přijatelnou, aby typ vozidla mohl být uveden do provozu, za celkovou bezpečnost systému ADS během životnosti tohoto systému v souladu s požadavky tohoto předpisu stále odpovídá výrobce žádající o schválení typu.

2.   Definice

Pro účely této přílohy se použijí tyto definice:

2.1

„koncepcí bezpečnosti“ se rozumí popis opatření navržených do systému ADS tak, aby plně automatizované vozidlo v rámci scénářů a událostí, které se vztahují na danou provozně-konstrukční doménu, při provozu nepředstavovalo nepřiměřené bezpečnostní riziko pro cestující ve vozidle a ostatní účastníky silničního provozu jak při poruše (funkční bezpečnost), tak za normálního stavu (provozní bezpečnost). Součástí koncepce bezpečnosti musí být možnost přechodu k částečnému fungování nebo dokonce záložnímu systému zajišťujícímu nezbytné funkce systému ADS;

2.2

„jednotkami“ se rozumí nejmenší části jednotlivých konstrukčních částí systému, jimiž se tato příloha zabývá, protože tyto kombinace konstrukčních částí budou pro účely identifikace, analýzy či výměny považovány za samostatné objekty;

2.3

„přenosovými spoji“ se rozumí prostředky využívané k propojení různě rozmístěných jednotek za účelem přenosu signálů, provozních dat či přívodu energie. Obecně se jedná o elektrická zařízení, avšak některé jejich části mohou být mechanické, pneumatické či hydraulické;

2.4

„rozsahem ovládání“ se rozumí výstupní veličina a definuje se rozsah, v rámci něhož systém pravděpodobně uplatní funkce ovládání;

2.5

„hranicí funkčního provozu“ se rozumí hranice vnějších fyzických možností, v rámci nichž je systém ADS schopen provádět dynamickou funkci řízení.

3.   Dokumentace systému ADS

3.1   Požadavky

Výrobce musí předložit soubor dokumentace, který dává přehled o základní koncepci systému ADS a o prostředcích, pomocí kterých je tento systém propojen s ostatními systémy vozidla nebo kterými přímo ovládá výstupní proměnné, jakož i hardware/software mimo vozidlo a možnost řízení na dálku.

Musí být vysvětlena/vysvětleny funkce systému ADS včetně strategií řízení a koncepce bezpečnosti, jak jsou stanoveny výrobcem.

Dokumentace musí být stručná, avšak musí dokládat, že v rámci návrhu a vývoje bylo využito odborných znalostí ze všech oblastí systému ADS, jež jsou zahrnuty.

Pro účely pravidelných technických prohlídek musí dokumentace popisovat, jakým způsobem lze zkontrolovat aktuální stav fungování systému ADS a funkčnost a integritu softwaru.

Schvalovací orgán musí vyhodnotit tento soubor dokumentace, který musí prokázat, že systém ADS:

a)

je navržen a vyvinut tak, aby v rámci deklarované provozně-konstrukční domény a mezí nepředstavoval nepřiměřené riziko pro cestující ve vozidle a ostatní účastníky silničního provozu;

b)

splňuje požadavky na výkonnost uvedené v příloze II tohoto předpisu;

c)

byl vyvinut v souladu s vývojovým procesem/metodou podle prohlášení výrobce.

3.1.1

Dokumentace se musí skládat ze tří částí:

a)

žádosti o schválení typu: informační dokument předkládaný schvalovacímu orgánu při podání žádosti o schválení typu musí obsahovat stručné informace o položkách uvedených v příloze I. Stane se součástí schválení typu;

b)

formálního souboru dokumentace pro schválení typu obsahujícího podklady uvedené v tomto oddíle 3 (s výjimkou podkladů uvedených v bodě 3.5.5), jenž musí být předložen schvalovacímu orgánu za účelem posouzení schválení typu systému ADS. Tento soubor dokumentace slouží schvalovacímu orgánu jako základ pro proces ověřování stanovený v bodě 4 této přílohy. Schvalovací orgán zajistí, aby byl tento soubor dokumentace k dispozici nejméně po dobu 10 let od okamžiku definitivního ukončení výroby typu vozidla;

c)

dalších důvěrných údajů a analytických údajů (duševní vlastnictví) podle bodu 3.5.5, které uchovává výrobce, ale při posouzení schvalování typu systému ADS je předloží ke kontrole (např. v prostorách technického úseku výrobce). Výrobce musí zajistit, aby tyto podklady a údaje analýzy zůstaly dostupné po dobu 10 let od doby, kdy byla výroba typu vozidla definitivně ukončena.

3.2   Obecný popis systému ADS

3.2.1

Musí být poskytnut popis s jednoduchým vysvětlením provozních charakteristik a vlastností systému ADS.

3.2.2

Popis obsahuje:

3.2.2.1

provozně-konstrukční doménu, jako je například maximální provozní rychlost, typ silnice (např. vyhrazený jízdní pruh), země/oblasti provozu, stav vozovky a požadované podmínky vnějšího prostředí (např. absence sněhu) atd.)/mezní podmínky;

3.2.2.2

základní vlastnosti (např. detekce předmětů a událostí a odezva, infrastruktura mimo vozidlo potřebná během provozu);

3.2.2.3

interakci s ostatními účastníky silničního provozu;

3.2.2.4

hlavní podmínky pro manévry s minimálním rizikem;

3.2.2.5

koncepci interakce s cestujícími ve vozidle, s palubní obsluhou (je-li relevantní) a s obsluhou dálkového zásahu (je-li relevantní);

3.2.2.6

prostředky, jimiž je systém ADS aktivován nebo deaktivován palubní obsluhou (je-li relevantní) nebo obsluhou dálkového zásahu (je-li relevantní), cestujícími ve vozidle (je-li relevantní) nebo jinými účastníky silničního provozu (je-li relevantní);

3.2.2.7

provozní opatření (např. pokud je zapotřebí palubní obsluhy nebo obsluhy dálkového zásahu), která je nutno splnit, aby byla zajištěna bezpečnost během provozu plně automatizovaného vozidla.

3.2.2.8

záložní, vnější infrastrukturu potřebnou k zajištění bezpečnosti při provozu plně automatizovaného vozidla.

3.3   Popis funkcí ADS:

Musí být poskytnut popis s vysvětlením všech funkcí včetně ovládacích strategií umožňujících spolehlivé a bezpečné fungování systému ADS a metod používaných k provádění dynamické funkce řízení v rámci provozně-konstrukční domény a mezí, v rámci nichž má systém automatizovaného řízení fungovat, včetně uvedení popisu způsobů, jimiž je to zajištěno.

Všechny aktivované nebo deaktivované funkce automatizovaného řízení, pro něž je ve vozidle v době výroby hardware a software, musí být uvedeny a před použitím ve vozidle splnit požadavky této přílohy a přílohy II tohoto nařízení. Jsou-li zavedeny algoritmy pro soustavné učení, zdokumentuje výrobce rovněž zpracování údajů.

3.3.1

Musí být předložen seznam všech vstupních a snímaných proměnných s definicemi jejich pracovního rozsahu a popisem toho, jak každá proměnná ovlivňuje chování systému ADS.

3.3.2

Musí být předložen seznam všech výstupních proměnných, jež jsou ovládány systémem ADS, a pro každý případ musí být vysvětleno, zda jsou řízeny přímo, nebo prostřednictvím jiného systému vozidla. Musí být definován rozsah, v němž bude systém ADS pravděpodobně vykonávat kontrolu nad každou takovou proměnnou.

3.3.3

Musí být uvedeny meze definující hranice funkčního provozu včetně mezí provozně-konstrukční domény, jestliže jsou pro účinky systému ADS relevantní.

3.3.4

Musí být vysvětlena koncepce interakce člověk-stroj (HMI) s cestujícími ve vozidle/palubní obsluhou/obsluhou dálkového zásahu (existuje-li) při přiblížení mezím provozně-konstrukční domény a následném dosažení těchto mezí. Toto vysvětlení musí obsahovat seznam druhů situací, v nichž systém ADS vyšle požadavek na podporu palubní obsluhy/obsluhy dálkového zásahu (je-li relevantní), způsob, jakým je tento požadavek proveden, postup řešení neúspěšného požadavku a manévr s minimálním rizikem. Musí obsahovat rovněž popis signálů a informací poskytnutých palubní obsluze/obsluze dálkového zásahu, cestujícím ve vozidle a ostatním účastníkům silničního provozu ohledně každého z výše uvedených aspektů.

3.4   Uspořádání a schéma ADS

3.4.1

Seznam konstrukčních částí

Musí být předložen seznam zahrnující všechny jednotky systému ADS, kde budou uvedeny i ostatní systémy vozidla, jakož i hardware/software mimo vozidlo a možnost řízení na dálku, jichž je zapotřebí k zajištění stanoveného výkonu systému ADS, který má být schválen podle jeho provozně-konstrukční domény.

Musí být předložen základní přehled, jenž tyto jednotky schematicky znázorní v jejich vzájemném spojení, přičemž z něj musí jasně vyplývat rozmístění jednotlivých zařízení i jejich vzájemná propojení.

Součástí tohoto základního přehledu je:

a)

vnímání a detekce objektů/událostí, včetně mapování a určování polohy;

b)

charakteristika rozhodování;

c)

datové prvky systému ADS;

d)

propojení a rozhraní s jinými systémy vozidla, hardwarem/softwarem mimo vozidlo a možnostmi řízení na dálku.

3.4.2

Funkce jednotek

Musí být uvedena funkce každé jednotky systému ADS a uvedeny signály, které je spojují s jinými jednotkami nebo s jinými systémy vozidla. To musí zahrnovat systémy mimo vozidlo podporující systém ADS a další systémy vozidla. Tento přehled lze předložit v podobě označeného blokového nebo jiného schématu či formou popisu doplněného takovým schématem.

3.4.3

Jednotlivá propojení v rámci systému ADS se znázorní pomocí schématu obvodu v případě elektrických přenosových spojů, schématu potrubí v případě pneumatických či hydraulických přenosových zařízení a pomocí zjednodušeného schematického přehledu u mechanických spojů. Rovněž musí být znázorněny přenosové spoje do jiných systémů a z nich.

3.4.4

Mezi přenosovými spoji a signály přenášenými mezi jednotlivými jednotkami musí existovat jasný soulad. Priority signálů na multiplexovaných datových cestách musí být uvedeny všude, kde může priorita představovat problém ovlivňující výkonnost či bezpečnost.

3.4.5

Identifikace jednotek

3.4.5.1

Každá jednotka musí být jasně a jednoznačně identifikovatelná (např. pomocí označení pro hardware a pomocí označení nebo softwarového výstupu pro softwarový obsah), aby jí bylo možné přiřadit odpovídající hardware a dokumentaci. Pokud lze verzi softwaru změnit, aniž by bylo nutné vyměnit označení nebo konstrukční část, musí být softwarová identifikace provedena pouze softwarovým výstupem.

3.4.5.2

V případech, kdy jsou funkce kombinovány v rámci jediné jednotky nebo v rámci jediného počítače, avšak z důvodu srozumitelnosti a názornosti znázorněny ve více blocích v blokovém schématu, použije se pouze jediné identifikační označení hardwaru. Výrobce použitím tohoto označení potvrzuje, že dodané zařízení je v souladu s odpovídajícím dokumentem.

3.4.5.3

Označení vymezuje verzi hardwaru a softwaru, přičemž v případě změny verze softwaru jako např. za účelem změny funkce jednotky, pokud jde o toto nařízení, se změní i toto označení.

3.4.6

Montáž konstrukčních částí snímacího systému

Výrobce poskytne informace o variantách montáže jednotlivých konstrukčních částí tvořících snímací systém. Tyto varianty zahrnují mimo jiné umístění konstrukční části ve vozidle nebo na něm, materiál (materiály) obklopující konstrukční část, dimenzování a geometrii materiálu obklopujícího konstrukční část a povrchovou úpravu materiálů, které budou konstrukční část po namontování do vozidla obklopovat. Mezi informacemi nesmí chybět montážní specifikace, které mají zásadní význam pro účinnost systému ADS, např. tolerance montážního úhlu.

Změny jednotlivých konstrukčních částí snímacího systému nebo montážní varianty se oznámí schvalovacímu orgánu a podléhají dalšímu posouzení.

3.5   Koncepce bezpečnosti výrobce a validace koncepce bezpečnosti výrobce

3.5.1

Výrobce poskytne prohlášení, v němž potvrdí, že systém ADS nepředstavuje pro cestující ve vozidle a ostatní účastníky silničního provozu nepřiměřené riziko.

3.5.2

Pokud jde o software použitý v rámci systému ADS, musí být vysvětlena jeho základní architektura a musí být uvedeny metody a nástroje použité při jeho návrhu (viz bod 3.5.1). Výrobce musí předložit doklady o prostředcích, jejichž pomocí při navrhování a vývoji stanovil provedení logiky systému ADS.

3.5.3

Výrobce musí schvalovacímu orgánu poskytnout vysvětlení konstrukčních opatření integrovaných do systému ADS k zajištění funkční a provozní bezpečnosti. Příklady případných konstrukčních opatření v systému ADS:

a)

omezení na provoz za použití pouze určité části systému;

b)

redundance s jiným samostatným systémem;

c)

rozmanitost systémů plnících stejnou funkci;

d)

odstranění nebo omezení funkce (funkcí) automatizovaného řízení.

3.5.3.1

Pokud se zvoleným opatřením nastaví provozní režim částečného výkonu za určitých poruchových podmínek (např. v případě závažných poruch), musí být tyto podmínky uvedeny (např. druh poruchy) a musí být definovány z nich vyplývající meze účinnosti (např. okamžité zahájení manévru s minimálním rizikem) a výstražná strategie pro obsluhu/dálkovou obsluhu, cestující a ostatní účastníky silničního provozu (tam, kde je to relevantní).

3.5.3.2

Pokud se zvoleným konstrukčním opatřením nastaví druhotné (záložní) nebo rozdílné prostředky k zajištění požadované výkonnosti ovlivněné danou poruchou, musí být vysvětleny zásady mechanismu přepínání, logika a úroveň rezervy a veškeré integrované prvky kontroly, a musí být definována výsledná omezení účinnosti.

3.5.3.3

Pokud zvolené konstrukční opatření znamená odstranění funkce (funkcí) automatizovaného řízení, musí být provedeno v souladu s příslušnými ustanoveními tohoto předpisu. Všechny odpovídající výstupní ovládací signály spojené s touto funkcí musí být zablokovány.

3.5.4

Výrobce musí rovněž poskytnout schvalovacímu orgánu vysvětlení opatření v oblasti provozní bezpečnosti, která mají být zavedena pro bezpečný provoz systému ADS, jako je například palubní obsluha nebo obsluha dálkového zásahu, podpůrná infrastruktura mimo vozidlo, požadavky na dopravní a fyzickou infrastrukturu, opatření v oblasti údržby atd.

3.5.5

Dokumentace musí být podložena analýzou, která ukazuje, jak se bude systém ADS chovat, aby zmírnil rizika, která mohou mít vliv na bezpečnost cestujících ve vozidle a ostatních účastníků silničního provozu, nebo se těmto rizikům vyhnul.

3.5.5.1

Zvolený analytický přístup (přístupy) musí být zaveden a udržován výrobcem a při schvalování typu i následně musí být zpřístupněn schvalovacímu orgánu ke kontrole.

3.5.5.2

Schvalovací orgán musí posoudit uplatnění analytického přístupu (přístupů):

a)

kontrola bezpečnostního přístupu na úrovni projekce.

Tento přístup musí být založen na analýze nebezpečí/posouzení rizik vhodné(m) z hlediska aspektů bezpečnosti systému;

b)

kontrola bezpečnostního přístupu na úrovni systému ADS, včetně přístupu shora dolů (od možného nebezpečí po návrh) a zdola nahoru (od návrhu po možná nebezpečí). Bezpečnostní přístup může být založen na analýze způsobu selhání a jejich následků (FMEA), analýze pomocí stromové struktury příčin (FTA), systémově-teoretické analýze procesů (STPA) nebo na jiném podobném postupu, který je vhodný z hlediska funkční a provozní bezpečnosti systému;

c)

kontrola plánů validace/ověřování a jejich výsledků, včetně vhodných kritérií přijatelnosti. To zahrnuje zkoušky vhodné pro validaci, například pomocí zkoušek hardwaru ve smyčce (HIL), provozní zkoušky vozidla na silnici, zkoušky se skutečnými konečnými uživateli nebo jakékoli jiné zkoušky vhodné pro validaci/ověření. Výsledky validace a ověřování lze posoudit analýzou oblastí, jichž se jednotlivé zkoušky týkaly, a stanovením minimálních prahových hodnot pro různá měření.

3.5.5.3

Analytický přístup podle bodu 3.5.5.2 musí potvrdit, že je zahrnuta alespoň každá z těchto položek:

i)

otázky související s interakcemi s jinými systémy vozidla (např. brzdový systém a řízení);

ii)

poruchy automatizovaného systému řízení vozidla a reakce systému za účelem zmírnění rizika;

iii)

situace, které připouští provozně-konstrukční doména, při nichž systém ADS může v důsledku provozních poruch vytvářet nepřiměřená bezpečnostní rizika pro cestující ve vozidle a ostatní účastníky silničního provozu (např. nedostatečné nebo špatné porozumění prostředí, v němž se vozidlo nachází, nedostatečné pochopení reakce obsluhy/dálkové obsluhy, cestujících ve vozidle nebo jiných účastníků silničního provozu, nedostatečná kontrola, komplikovaná situace);

iv)

stanovení příslušných scénářů v rámci mezních podmínek a řídicí metoda, jež byla použita k volbě scénářů a validačního nástroje;

v)

rozhodovací proces v souvislosti s výkonem dynamické funkce řízení (např. nouzové manévry), interakcemi s ostatními účastníky silničního provozu a zajištěním souladu s vnitrostátními pravidly silničního provozu;

vi)

nesprávné použití ze strany cestujících ve vozidle/ostatních účastníků silničního provozu, jež lze rozumně předvídat, chyby nebo nedorozumění ze strany obsluhy/dálkové obsluhy/cestujících/jiných účastníků silničního provozu (např. neúmyslné potlačení) a úmyslná manipulace se systémem ADS;

vii)

hrozby v oblasti kybernetické bezpečnosti s vlivem na bezpečnost systému ADS (lze pokrýt analýzou provedenou podle předpisu OSN č. 155 o kybernetické bezpečnosti a systému řízení kybernetické bezpečnosti);

viii)

problémy v oblasti provozní bezpečnosti: problémy v oblasti podpůrné vnější infrastruktury, problém s obsluhou dálkového zásahu, ztráta konektivity, nedostatečná údržba atd.

3.5.5.4

Posouzení schvalovacím orgánem sestává z namátkových kontrol, aby bylo možné konstatovat, že argumentace, na níž je založena koncepce bezpečnosti, je pochopitelná a logická a uplatňuje se v jednotlivých funkcích systému ADS. Posouzení rovněž ověří, zda jsou plány validace dostatečně spolehlivé k prokázání bezpečnosti (např. přiměřený rozsah otestování zvolených scénářů pomocí vybraného validačního nástroje) a zda byly řádně provedeny.

3.5.5.4.1

Musí se prokázat, že provoz plně automatizovaného vozidla v rámci jeho provozně-konstrukční domény nepředstavuje pro cestující ve vozidle a ostatní účastníky silničního provozu nepřiměřené riziko, tj. prostřednictvím:

a)

celkového validačního cíle (tj. celkových kritérií přijatelnosti validace) podloženého výsledky validace, který prokazuje, že uvedení systému ADS do provozu obecně pro cestující ve vozidle a ostatní účastníky silničního provozu nezvýší míru rizika ve srovnání s manuálně řízenými vozidly; a

b)

konkrétní strategie pro každý scénář (tj. kritérií přijatelnosti validace na základě scénáře) ukazující, že v porovnání s manuálně řízenými vozidly systém ADS obecně nezvýší míru rizika pro cestující ve vozidle a ostatní účastníky silničního provozu, a to v každém ze scénářů, které jsou důležité z hlediska bezpečnosti.

3.5.5.5

Schvalovací orgán provede k ověření koncepce bezpečnosti zkoušky podle bodu 4 této přílohy nebo si vyžádá, aby byly provedeny.

3.5.5.6

Tato dokumentace musí obsahovat podrobný seznam sledovaných parametrů a pro každý poruchový stav druhu vymezeného v bodě 3.5.4 této přílohy musí stanovit výstražný signál určený obsluze/dálkové obsluze/cestujícím ve vozidle/ostatním účastníkům silničního provozu a/nebo servisním pracovníkům nebo pracovníkům provádějícím technickou prohlídku.

3.5.5.7

Tato dokumentace musí rovněž popsat zavedená opatření, která zajišťují, že systém ADS nepředstavuje nepřiměřené riziko pro cestující ve vozidle a ostatní účastníky silničního provozu, jsou-li vlastnosti systému ADS ovlivněny podmínkami vnějšího prostředí, např. klimatem, teplotou, vniknutím prachu, vniknutím vody, nánosem ledu, nepříznivým počasím.

4.   Ověření a zkoušky

Schvalovací orgán s přihlédnutím k výsledkům analýzy souboru dokumentace výrobce požádá technickou zkušebnu, aby provedla zkoušky za účelem kontroly konkrétních bodů vyplývajících z daného posouzení, případně na jejich provedení dohlédla.

4.1

Funkční provoz systému ADS, jak je stanoven v dokumentech požadovaných v bodě 3, se zkouší takto:

4.1.1

Ověření funkce systému ADS

Schvalovací orgán ověří systém ADS za bezporuchových podmínek tak, že na zkušební dráze otestuje dle vlastního uvážení některé z funkcí popsaných výrobcem, a zkontroluje celkové chování systému ADS za skutečných jízdních podmínek včetně dodržování pravidel silničního provozu.

Při těchto zkouškách nesmí chybět scénář, při němž je funkce systému ADS potlačena obsluhou dálkového zásahu (je-li relevantní).

Tyto zkoušky mohou být založeny na zkušebních scénářích uvedených v části 3 této přílohy a/nebo na dalších scénářích, na které se část 3 nevztahuje.

4.1.1.1

Výsledky zkoušek musí odpovídat popisu, včetně ovládacích strategií, který výrobce uvedl v bodě 3.2, a musí splňovat požadavky tohoto předpisu na výkonnost.

4.1.2

Ověření koncepce bezpečnosti systému ADS

Reakce systému ADS pod vlivem vady v jakékoli samostatné jednotce se musí zkontrolovat použitím odpovídajících výstupních signálů do elektrických jednotek nebo mechanických prvků za účelem simulace účinků vnitřních poruch v rámci dané jednotky.

Schvalovací orgán musí ověřit, že tyto zkoušky zahrnují prvky, které mohou ovlivňovat řiditelnost vozidla a informace pro uživatele (prvky týkající se rozhraní člověk-stroj, např. interakce s obsluhou/vzdálenou obsluhou).

4.1.2.1

Schvalovací orgány rovněž zkontrolují řadu scénářů, které jsou kritické pro detekci předmětů a událostí a odezvu na ně a pro charakterizaci rozhodovacích funkcí a funkcí HMI systému ADS (např. obtížně zjistitelný předmět, dosažení mezí provozně-konstrukční domény systému ADS, scénáře s komplikovaným provozem, problém v oblasti konektivity, problém s vnějšími systémy, problémy s možnostmi řízení na dálku, např. neexistence obsluhy dálkového zásahu), jak jsou definovány v tomto předpisu.

4.1.2.2

Výsledky ověření se musí shodovat s doloženým shrnutím analýzy nebezpečí na úrovni celkového účinku tak, aby byly koncepce bezpečnosti a její realizace potvrzeny jako přiměřené a v souladu s požadavky tohoto předpisu.

4.2

K ověření koncepce bezpečnosti lze použít simulační nástroj a matematické modely v souladu s přílohou VIII nařízení (EU) 2018/858, zejména u scénářů, které nelze snadno provést na zkušební dráze nebo v podmínkách skutečného provozu. Výrobce prokáže rozsah simulačního nástroje, jeho vhodnost pro dotčený scénář, jakož i validaci provedenou pro řetězec simulačních nástrojů (korelace výsledku s fyzickými zkouškami). K prokázání platnosti souboru simulačních nástrojů se použijí zásady části 4 této přílohy. Simulace nesmí nahrazovat fyzické zkoušky uvedené v části 3 této přílohy.

4.3

Výrobce musí mít platné osvědčení o shodě pro systém řízení bezpečnosti (SMS) odpovídající typu vozidla, který se schvaluje.

5.   Systém řízení bezpečnosti (SMS)

5.1

Pokud jde o systém ADS, musí výrobce schvalovacímu orgánu prokázat, že pokud jde o systém řízení bezpečnosti (SMS), jsou zavedeny, aktualizovány a v rámci organizace dodržovány účinné postupy, metodiky, odborná příprava a nástroje k řízení bezpečnosti a zajištění souladu během celého životního cyklu systému ADS.

5.2

Musí být zaveden a zdokumentován proces navrhování a vývoje včetně systému řízení bezpečnosti, řízení a provádění požadavků, zkoušení, sledování poruch, nápravy a uvedení do provozu.

5.3

Výrobce zajistí účinné komunikační kanály mezi svými odděleními, jež odpovídají za funkční/provozní bezpečnost, kybernetickou bezpečnost a další příslušné oblasti přispívající k zajištění bezpečnosti vozidel.

5.4

Výrobce musí mít postupy zaměřené na sběr údajů o vozidle a údajů z jiných zdrojů pro účely monitorování a analýzy bezpečnostních incidentů/nehod způsobených činností automatizovaného systému řízení. Výrobce musí hlásit schvalovacím orgánům, orgánům pro dozor nad trhem a Komisi příslušné výskyty v souladu s částí 5 této přílohy.

5.4.1

Výrobce musí provozovateli přepravních služeb umožnit, aby schvalovacím orgánům, orgánům dozoru nad trhem nebo jiným orgánům určeným členskými státy mohl poskytnout údaje o vozidle v souladu s bodem 5.4, jakož i údaje systému ADS a specifické datové prvky pro zapisovač údajů o události shromážděné v souladu s oddílem 9 přílohy II.

5.5

Výrobce musí mít postupy pro řešení případných bezpečnostních nedostatků po registraci a pro aktualizaci vozidel, je-li to nezbytné.

5.6

Výrobce musí prokázat, že se provádějí pravidelné nezávislé interní audity procesů (např. každé 2 roky), aby bylo zajištěno důsledné uplatňování postupů zavedených v souladu s body 5.1 až 5.5.

5.7

Výrobci přijmou vhodná opatření (např. smluvní ujednání, jasná rozhraní, systém řízení kvality) ve vztahu ke svým dodavatelům s cílem zajistit, aby systém řízení bezpečnosti u dodavatelů splňoval požadavky bodu 5.1 (kromě prvků týkajících se vozidel, jako jsou „provoz“ a „vyřazení z provozu“), 5.2, 5.3 a 5.6.

5.8

Osvědčení o shodě pro systém řízení bezpečnosti

5.8.1

Žádost o osvědčení o shodě pro systém řízení bezpečnosti předkládá výrobce nebo jeho řádně pověřený zástupce schvalovacímu orgánu.

5.8.2

K žádosti musí být přiloženy následující dokumenty ve trojím vyhotovení a tyto náležitosti:

a)

dokumenty popisující systém řízení bezpečnosti;

b)

podepsané prohlášení o splnění požadavků na systém řízení bezpečnosti včetně všech požadavků na řízení bezpečnosti podle tohoto předpisu podle vzoru popsaného v dodatku 3 k této příloze.

5.8.3

Po úspěšném dokončení auditu systému řízení bezpečnosti a po obdržení podepsaného prohlášení od výrobce podle vzoru definovaného v dodatku 3 se výrobci udělí osvědčení nazvané „Osvědčení o shodě pro systém řízení bezpečnosti“, jak je popsáno v dodatku 4 (dále jen „Osvědčení o shodě pro SMS“).

5.8.4

Osvědčení o shodě pro SMS zůstává v platnosti po dobu nejvýše tří let ode dne vydání osvědčení, není-li odňato.

5.8.5

Schvalovací orgán může kdykoli ověřit, zda jsou požadavky na osvědčení o shodě pro SMS i nadále plněny. Schvalovací orgán osvědčení o shodě pro SMS odejme v případě, že jsou zjištěny závažné neshody v oblasti souladu s požadavky stanovenými v tomto nařízení a nejsou okamžitě řešeny.

5.8.6

Výrobce informuje schvalovací orgán nebo jeho technickou zkušebnu o každé změně, která ovlivní význam osvědčení o shodě pro SMS. Po konzultaci s výrobcem schvalovací orgán nebo jeho technická zkušebna rozhodne, zda jsou zapotřebí nové kontroly.

5.8.7

Výrobce včas požádá o nové osvědčení o shodě pro SMS nebo o rozšíření stávajícího osvědčení. Schvalovací orgán vydá na základě kladného auditu nové osvědčení o shodě pro SMS nebo prodlouží jeho platnost o další tři roky. Schvalovací orgán ověří, že SMS nadále splňuje požadavky tohoto nařízení. V případě, že byly schvalovacímu orgánu nebo jeho technické zkušebně oznámeny změny a tyto změny byly kladně přehodnoceny, vydá schvalovací orgán nové osvědčení.

5.8.8.

Vypršení platnosti nebo odejmutí osvědčení výrobce o shodě pro SMS se považuje, vzhledem k typům vozidla, pro které byl dotyčný SMS relevantní, za změnu schválení, jejíž součástí může být odejmutí schválení, pokud již podmínky pro udělení schválení nejsou nadále splněny.

6.   Ustanovení o podávání zpráv

6.1

Podávání zpráv o posouzení bezpečnosti koncepce bezpečnosti systému ADS, jakož i audit systému řízení bezpečnosti výrobce musí být prováděny tak, aby umožňovaly zpětnou zjistitelnost, např. verze kontrolovaných dokumentů jsou kódovány a uvedeny v záznamech technické zkušebny.

6.2

Příklad uspořádání způsobu posouzení koncepce bezpečnosti systému ADS technickou zkušebnou určeného pro schvalovací orgán je uveden v dodatku 1 k této části. Položky uvedené v tomto dodatku jsou uvedeny jako minimální soubor položek, které je třeba obsáhnout.

6.3

Udělující schvalovací orgán vydá výsledky posouzení bezpečnosti, které mají být přiloženy k certifikátu schválení typu, na základě dokumentace poskytnuté výrobcem, zprávy o posouzení koncepce bezpečnosti systému ADS technickou zkušebnou a výsledků ověřovacích a zkušebních kampaní provedených v souladu s částí 3 této přílohy. Příklad možného uspořádání výsledků posouzení bezpečnosti je uveden v dodatku 4.

7.   Způsobilost auditorů/hodnotitelů

7.1

Posouzení koncepce bezpečnosti systému ADS a audit systému řízení bezpečnosti podle této části provádějí pouze hodnotitelé/auditoři s technickými a administrativními znalostmi nezbytnými pro tyto účely. Zejména musí být způsobilí jako auditoři/hodnotitelé pro účely normy ISO 26262-2018 (Funkční bezpečnost – silniční vozidla) a ISO/PAS 21448 (Bezpečnost zamýšlené funkce silničních vozidel); a musí být schopni provést nezbytné provázání s aspekty kybernetické bezpečnosti v souladu s předpisem OSN č. 155 a normou ISO/SAE 21434). Způsobilost se prokazuje vhodnou kvalifikací nebo jinými rovnocennými záznamy o odborné přípravě.

Dodatek 1

Vzor zprávy o posouzení koncepce bezpečnosti systému ADS

Zpráva o posouzení bezpečnosti č.:

1.   

Identifikace

1.1   

Značka vozidla

1.2   

Typ vozidla

1.3   

Způsob označení typu vozidla, je-li na vozidle vyznačen

1.4   

Umístění tohoto označení

1.5   

Název a adresa výrobce

1.6   

Případně název a adresa zástupce výrobce

1.7   

Formální soubor dokumentace výrobce

Referenční číslo dokumentace

Datum původního vydání

Datum poslední aktualizace

2.   

Metoda hodnocení

2.1   

Popis postupů a metodik posouzení

2.2   

Kritéria přijatelnosti

3.   

Výsledky přezkumu souboru dokumentace

3.1   

Přezkum popisu systému ADS

3.2   

Přezkum koncepce bezpečnosti výrobce a bezpečnostní analýzy výrobce

3.3   

Přezkum ověření a validace provedených výrobcem, zejména co se týče jednotlivých zkoušek, a stanovení minimálních prahových hodnot pro různá měření

3.4   

Přezkum použitých metod a nástrojů (software, laboratoř, jiné) a posouzení věrohodnosti

3.5   

Přezkum požadavků na údaje systému ADS a konkrétních datových prvků pro zapisovač údajů o události pro plně automatizovaná vozidla

3.6   

Kontroly osvědčení o kybernetické bezpečnosti a aktualizaci softwaru se vztahují na systém ADS

3.7   

Přezkum informací uvedených v provozní příručce

3.8   

Přezkum ustanovení o pravidelných technických prohlídkách systému ADS

3.9   

Přezkum dodatečných informací, které nejsou obsaženy v informačním dokumentu

4.   

Ověření funkcí systému ADS za bezporuchových podmínek (uvedených v bodě 4.1.1 přílohy III části 2 prováděcího nařízení Komise (EU) 2022/1426 ze dne 5. srpna 2022, kterým se stanoví prováděcí pravidla k nařízení Evropského parlamentu a Rady (EU) 2019/2144, pokud jde o jednotné postupy a technické specifikace pro schvalování typu automatizovaného systému řízení (ADS) plně automatizovaných vozidel (2)

4.1   

Zdůvodnění výběru zkušebních scénářů

4.2   

Vybrané zkušební scénáře

4.3   

Zkušební protokoly

4.3.1   

Zkouška č. (doplňte podle počtu provedených zkoušek)

4.3.1.1   

Cíle zkoušky

4.3.1.2   

Zkušební podmínky

4.3.1.3   

Měřené veličiny a měřicí přístroje

4.3.1.4   

Kritéria přijatelnosti

4.3.1.5   

Výsledky zkoušek

4.3.1.6   

Porovnání s dokumentací dodanou výrobcem

5.   

Ověření koncepce bezpečnosti systému ADS v rámci poruchy (uvedené v bodě 4.1.2 přílohy III části 2 prováděcího nařízení (EU) 2022/1426

5.1   

Zdůvodnění výběru zkušebních scénářů

5.2   

Vybrané zkušební scénáře

5.3   

Zkušební protokoly

5.3.1   

Zkouška č. (doplňte podle počtu provedených zkoušek)

5.3.1.1   

Cíle zkoušky

5.3.1.2   

Zkušební podmínky

5.3.1.3   

Měřené veličiny a měřicí přístroje

5.3.1.4   

Kritéria přijatelnosti

5.3.1.5   

Výsledky zkoušek

5.3.1.6   

Porovnání s dokumentací dodanou výrobcem

6.   

Osvědčení o systému řízení bezpečnosti (musí být připojeno k tomuto zkušebnímu protokolu)

7.   

Datum posouzení

8.   

Konečné rozhodnutí o výsledku posouzení bezpečnosti

9.   

Toto posouzení bylo provedeno a výsledky oznámeny v souladu s prováděcím nařízením (EU) 2022/1426

Technická zkušebna provádějící posouzení

Podpis: …

Datum: …

10.   

Poznámky:

Dodatek 2

Vzor výsledků posouzení systému ADS, které se přikládají k certifikátu schválení typu

1.   

Identifikace:

1.1   

Značka vozidla:

1.2   

Typ vozidla:

1.3   

Způsob označení typu vozidla, je-li na vozidle vyznačen:

1.4   

Umístění tohoto označení:

1.5   

Název a adresa výrobce:

1.6   

Případně název a adresa zástupce výrobce:

1.7   

Formální soubor dokumentace výrobce:

Referenční číslo dokumentace:

Datum původního vydání:

Datum poslední aktualizace:

2.   

Metoda hodnocení

2.1   

Popis postupů a metodik posouzení

2.2   

Kritéria přijatelnosti

3.   

Ověření funkcí systému ADS za bezporuchových podmínek (uvedených v bodě 4.1.1 přílohy III části 2 nařízení (EU) 2022/1426)

3.1   

Zdůvodnění výběru zkušebních scénářů

3.2   

Vybrané zkušební scénáře

4.   

Ověření koncepce bezpečnosti systému ADS v rámci jednotlivé poruchy (uvedené v bodě 4.1.2 přílohy III části 2 nařízení (EU) 2022/1426)

4.1   

Zdůvodnění výběru zkušebních scénářů

4.2   

Vybrané zkušební scénáře

5.   

Výsledky posouzení

5.1   

Výsledky přezkumu informačního dokumentu

5.2   

Výsledky ověření funkcí ADS za bezporuchových podmínek

5.3   

Výsledky ověření koncepce bezpečnosti ADS v rámci jednotlivé poruchy

5.4   

Výsledky posouzení systému řízení bezpečnosti

5.5   

Výsledky ověření ustanovení o pravidelných technických prohlídkách

6.   

Konečné rozhodnutí o výsledku posouzení bezpečnosti

Dodatek 3

Vzor prohlášení výrobce o shodě pro SMS

Prohlášení výrobce o splnění požadavků na systém řízení bezpečnosti

Název výrobce:

Adresa výrobce:

… (název výrobce) potvrzuje, že jsou zavedeny postupy nezbytné ke splnění požadavků na systém řízení bezpečnosti stanovených v prováděcím nařízení (EU) 2022/1426 a že tyto postupy budou nadále dodržovány.

Vystaveno v: … (místo)

Datum:

Jméno podepisující osoby:

Funkce podepisující osoby:

(razítko a podpis zástupce výrobce)

Dodatek 4

Vzor osvědčení o shodě pro SMS

Osvědčení o shodě pro systém řízení bezpečnosti

v souladu s nařízením (EU) 2022/1426

Číslo osvědčení [referenční číslo]

[… schvalovací orgán]

potvrzuje, že

Výrobce: …

Adresa výrobce:

vyhovuje ustanovením prováděcího nařízení (EU) 2022/1426

Ověření proběhlo dne:

(název a adresa schvalovacího orgánu nebo technické zkušebny):

Číslo protokolu: …

Osvědčení je platné do [….datum]

V […místo]

Dne […datum]

[…podpis]

Přílohy: popis systému řízení bezpečnosti výrobce.

ČÁST 3

ZKOUŠKY

1.   Obecná ustanovení

Kritéria vyhovění a nevyhovění pro účely posouzení bezpečnosti systému ADS vycházejí z požadavků stanovených v příloze II a ze scénáře popsaného v části 1 této přílohy. Požadavky jsou definovány tak, aby bylo možné kritéria vyhovění/nevyhovění odvodit nejen pro daný soubor zkušebních parametrů, ale i pro veškeré kombinace parametrů souvisejících s bezpečností, které mohou nastat za provozních podmínek, na něž se vztahuje schválení typu a daný provozní rozsah (např. rozsah rychlostí, rozsah podélného a bočního zrychlení, poloměry zakřivení, jas a počet jízdních pruhů). U podmínek, které nejsou zkoušeny, ale mohou se vyskytnout v rámci definované provozně-konstrukční domény daného systému, musí výrobce v rámci posouzení popsaného v části 2 ke spokojenosti schvalovacího orgánu prokázat, že vozidlo je bezpečně ovládáno.

Tyto zkoušky musí potvrdit minimální požadavky na výkonnost popsané v příloze II a funkčnost systému ADS a koncepci bezpečnosti výrobce popsanou v části 2 této přílohy. Výsledky zkoušek musí být zdokumentovány a zaznamenány v souladu s bodem 6 části 2 této přílohy.

Tyto zkoušky musí rovněž potvrdit, že systém ADS je v souladu s pravidly silničního provozu, přizpůsobuje svůj provoz podmínkám vnějšího prostředí, nebrání plynulosti provozu (např. blokování jízdního pruhu kvůli příliš velkému počtu manévrů s minimálním rizikem), nevykazuje nepředvídatelné chování a v příslušných situacích vykazuje přiměřené chování, pokud jde o spolupráci a předjímání (tj. pohyb v hustém provozu nebo v blízkosti zranitelných účastníků silničního provozu).

2.   Zkušební místo

Zkušební místo se musí vyznačovat vlastnostmi (například: hodnota tření), které odpovídají uvedené provozně-konstrukční doméně systému ADS. Je-li to nezbytné k uplatnění zvláštních podmínek provozně-konstrukční domény systému ADS, provedou se fyzické zkoušky v rámci skutečné (silniční) provozně-konstrukční domény nebo ve zkušebním zařízení, jež podmínky této domény reprodukuje a které stanoví výrobce a schvalovací orgán. Systém ADS se zkouší na silnici v souladu s platnými právními předpisy členských států a za předpokladu, že zkoušky lze provádět bezpečně a bez rizika pro ostatní účastníky silničního provozu.

3.   Podmínky vnějšího prostředí

Zkoušky se provádějí za různých podmínek vnějšího prostředí v mezích hodnoty stanovené provozně-konstrukční domény pro systém ADS. Pro podmínky vnějšího prostředí, které nebyly zkoušeny a které mohou v rámci stanovené provozně-konstrukční domény nastat, musí výrobce v rámci posouzení prokázat ke spokojenosti schvalovacího orgánu, že vozidlo je bezpečně ovladatelné.

Pro účely zkoušení požadavků na selhání funkcí, samočinného zkoušení systému ADS a zahájení a provedení manévru s minimálním rizikem může být provedeno umělé vyvolání chyb a vozidlo může být uměle uvedeno do situací, kdy dosáhne limitů definovaného provozního rozsahu (např. podmínky vnějšího prostředí).

4.   Úpravy systému pro účely zkoušky

Je-li k provedení zkoušek nutné systém ADS upravit, např. kritéria posouzení typu silnice nebo informace o typu silnice (mapové údaje), musí být zajištěno, aby tyto úpravy neovlivnily výsledky zkoušek. V zásadě je třeba tyto úpravy zdokumentovat a připojit ke zkušebnímu protokolu. Popis těchto úprav a důkazy o jejich vlivu (existuje-li) musí být zdokumentovány a připojeny ke zkušebnímu protokolu.

5.   Stav vozidla

5.1

Zkušební hmotnost

Zkoušené vozidlo se zkouší s veškerým přípustným zatížením vozidla. Po zahájení zkoušky se nesmí provádět žádná změna zatížení. Výrobce musí prostřednictvím použité dokumentace prokázat, že systém ADS funguje při každém zatížení.

5.2

Zkoušené vozidlo se zkouší s takovým tlakem v pneumatikách, jaký doporučuje výrobce.

5.3

Musí být ověřeno, že je stav systému v souladu se zamýšleným zkušebním účelem (např. v bezchybném stavu nebo se specifickými závadami, které mají být zkoušeny).

6.   Zkušební nástroje

Kromě skutečných vozidel lze k provádění zkoušek použít nejmodernější zkušební nástroje, které nahradí skutečná vozidla a ostatní účastníky silničního provozu (např. měkké cíle, mobilní platformy atd.). Náhradní zkušební nástroje musí splňovat vlastnosti podstatné pro posuzování senzorické účinnosti, skutečná vozidla a ostatní účastníky silničního provozu. Zkoušky se nesmějí provádět způsobem, který by ohrozil zúčastněné pracovníky, a musí předcházet významnému poškození zkoušeného vozidla, jsou-li k dispozici jiné prostředky validace.

7.   Variace zkušebních parametrů

Výrobce schvalovacímu orgánu oznámí, jaké jsou meze systému. Schvalovací orgán musí definovat různé kombinace zkušebních parametrů pro účely zkoušky systému ADS (např. rychlost vozidla, typ a posun cíle, zakřivení jízdního pruhu atd.). Vybrané zkušební případy musí poskytovat dostatečné pokrytí zkoušek pro všechny scénáře, zkušební parametry a vlivy vnějšího prostředí. Musí být prokázána přiměřená odolnost systémů vnímání ADS vůči chybě vstupních údajů/údajů snímaných čidly a nepříznivým podmínkám vnějšího prostředí.

Schvalovací orgán zvolí zkušební parametry pro každou zkoušku a zaznamená je do zkušebního protokolu tak, aby bylo možné zkušební sestavu zpětně vysledovat a opakovat.

8.   Scénáře zkoušek k posouzení výkonnosti systému ADS na zkušební dráze (body 8.1, 8.2, 8.5, 8.6, 8.7, 8.8, 8.9) a na silnici (8.3, 8.4, 8.10).

Za minimální soubor zkoušek je třeba považovat scénáře obsažené v následujících bodech. Na žádost schvalovacího orgánu lze provést další scénáře, které jsou součástí dané provozně-konstrukční domény. Pokud scénář popsaný v bodě 8 této přílohy nespadá do provozně-konstrukční domény daného vozidla, nebere se v úvahu.

V závislosti na provozně-konstrukční doméně se vybírají zkušební scénáře v rámci zkoušky pro schválení typu. Zkušební scénáře se vybírají v souladu s částí 1 této přílohy. Zkoušky pro schválení typu se mohou provádět na základě simulací, manévrů na zkušební dráze a jízdních zkoušek v reálném silničním provozu. Nesmí však být založeny pouze na počítačových simulacích a při schvalování typu musí schvalovací orgán provést minimálně následující zkoušky za účelem posouzení chování systému ADS, nebo na jejich provedení dohlížet.

8.1   Udržování vozidla v jízdním pruhu

Zkouška musí prokázat, že plně automatizované vozidlo neopouští jízdní pruh a udržuje stabilní pohyb uvnitř svého jízdního pruhu v rámci celé škály rychlostí a různých poloměrů zakřivení, které nepřekračují meze systému.

8.1.1

Zkouška musí být založena na provozně-konstrukční doméně systému ADS a musí splňovat následující minimální požadavky:

a)

nesmí trvat méně než 5 minut;

b)

cíle musí představovat osobní automobil a jednostopé motorové vozidlo jako další vozidlo;

c)

vozidlo jedoucí vpředu musí vybočovat z jízdního pruhu a

d)

další vozidlo musí jet na stejné úrovni v sousedním jízdním pruhu.

8.2   Manévr pro změnu jízdního pruhu

Zkoušky musí prokázat, že plně automatizované vozidlo nepředstavuje nepřiměřené riziko pro bezpečnost cestujících ve vozidle a ostatních účastníků silničního provozu v průběhu změny jízdního pruhu, a že systém ADS je schopen posoudit kritičnost situace před zahájením manévru pro změnu jízdního pruhu v celém rozsahu provozní rychlosti. Tyto zkoušky se vyžadují pouze tehdy, je-li plně automatizované vozidlo schopno provést změnu jízdního pruhu buď během manévru s minimálním rizikem, nebo během běžného provozu.

8.2.1

Provedou se tyto zkoušky:

a)

s plně automatizovaným vozidlem provádějícím změnu jízdního pruhu do sousedního (cílového) jízdního pruhu;

b)

zařazení na konci jízdního pruhu;

c)

zařazení do obsazeného pruhu.

8.2.2

Minimální požadavky na provedení zkoušek:

a)

s různými vozidly, včetně jednostopého motorového vozidla blížícího se zezadu;

b)

ve scénáři, kdy je možné provést manévr pro změnu jízdního pruhu v běžném provozu;

c)

ve scénáři, kdy manévr při změně jízdního pruhu v běžném provozu není možný kvůli vozidlu blížícímu se zezadu;

d)

pokud v sousedním jízdním pruhu jede za vozidlem stejně rychlé vozidlo, které brání změně jízdního pruhu;

e)

pokud v sousedním jízdním pruhu jede vedle vozidla vozidlo, které brání změně jízdního pruhu;

f)

ve scénáři, kdy je manévr pro změnu jízdního pruhu v průběhu manévru s minimálním rizikem možný a je proveden;

g)

ve scénáři, kdy plně automatizované vozidlo reaguje na jiné vozidlo, které začne přejíždět do stejného prostoru v cílovém pruhu, aby zabránilo potenciálnímu riziku srážky.

8.3   Reakce na různé geometrie vozovky

Tyto zkoušky zajistí, aby plně automatizované vozidlo detekovalo změny celé škály geometrie vozovky, ke kterým může dojít v rámci zamýšlené provozně-konstrukční domény v celém jejím rozsahu rychlostí, a přizpůsobilo se jim.

8.3.1

Požadavky na provedení zkoušky minimálně pro níže uvedené scénáře na základě provozně-konstrukční domény systému ADS:

a)

křižovatky ve tvaru T (3směrné křižovatky) se semafory i bez nich, s různou úpravou přednosti v jízdě;

b)

křižovatky (4 nebo vícesměrné křižovatky) se semafory a bez nich, s různou úpravou přednosti v jízdě;

c)

kruhové objezdy.

8.3.2

Minimální požadavky na provedení zkoušky:

a)

bez vozidla jedoucího vpředu;

b)

cíle musí představovat osobní automobil a jednostopé motorové vozidlo jako vozidlo jedoucí vpředu/další vozidlo;

c)

s blížícími se nebo míjejícími vozidly a bez nich.

8.4   Reakce na vnitrostátní pravidla silničního provozu a silniční infrastrukturu

Tyto zkoušky zajistí, aby plně automatizované vozidlo splňovalo vnitrostátní pravidla silničního provozu a aby se přizpůsobilo různým trvalým a dočasným změnám silniční infrastruktury (např. pracím na silnici) v celém rozsahu rychlostí.

8.4.1

Minimální požadavky na provedení této zkoušky obsahují seznam níže uvedených scénářů, které se vztahují na danou provozně-konstrukční doménu systému ADS:

a)

různé značky omezení rychlosti, aby systém ADS musel změnit rychlost podle uvedených hodnot;

b)

signální světla a/nebo zastavení podle pokynů pracovníka bezpečnosti silničního provozu/představitele donucovacích orgánů v případě rovné jízdy a odbočování vlevo a vpravo;

c)

přechody pro chodce a cyklisty v situaci, kdy se chodci/cyklisté přibližují/nepřibližují a vyskytují/nevyskytují se na silnici;

d)

dočasné změny: např. práce na silnici označené dopravními značkami, kužely a jinou signalizací, omezení přístupu;

e)

vjezdy na dálnice, sjezdy z nich a mýtné stanice.

8.4.2

Minimální požadavky na provedení zkoušky:

a)

bez vozidla jedoucího vpředu;

b)

cíle musí představovat osobní automobil a jednostopé motorové vozidlo jako vozidlo jedoucí vpředu/další vozidlo.

8.5   Zabránění srážkám: Zabránění srážce s účastníky silničního provozu nebo předměty blokujícími jízdní pruh

Zkouška musí prokázat, že plně automatizované vozidlo dokáže i při maximální specifikované rychlosti systému ADS zabránit srážce se stojícím vozidlem, s účastníkem silničního provozu nebo s předmětem zcela nebo částečně blokujícím jízdní pruh.

8.5.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

s cílem v podobě stojícího osobního automobilu;

b)

s cílem v podobě stojícího jednostopého motorového vozidla;

c)

s cílem v podobě stojícího chodce;

d)

s cílem v podobě chodce přecházejícího jízdní pruh rychlostí 5 km/h, a to i za přítomnosti jiných předmětů relevantních v rámci dané provozně-konstrukční domény (např. míče, nákupní tašky atd.);

e)

s cílem v podobě chodce, který se pohybuje rychlostí do 5 km/h v jízdním pruhu systému ADS a částečně jej zabírá a pohybuje se ve stejném nebo v opačném směru jízdy plně automatizovaného vozidla;

f)

s cílem v podobě chodce vybočujícího ve stejném pruhu jako plně automatizované vozidlo;

g)

s cílem v podobě cyklisty křižujícího jízdní pruh rychlostí 15 km/h;

h)

s cílem v podobě cyklisty jedoucího stejným směrem rychlostí 15 km/h;

i)

s plně automatizovaným vozidlem, jež odbočuje vpravo a kříží dráhu cyklistovi, který se pohybuje stejným směrem rychlostí 15 km/h;

j)

s cílem představujícím zablokovaný jízdní pruh;

k)

s cílem, který částečně zasahuje do jízdního pruhu;

l)

s jedním nebo více různými typy nepřekonatelných předmětů, které jsou relevantní v rámci dané provozně-konstrukční domény (např. popelnice, spadlé jízdní kolo nebo koloběžka, spadlá dopravní značka, ležící nebo pohybující se míč atd.);

m)

s několika po sobě následujícími překážkami blokujícími jízdní pruh relevantní v rámci dané provozně-konstrukční domény (např. v tomto pořadí: zkoušené vozidlo – motocykl – automobil);

n)

na točitém úseku silnice.

8.6   Vyhnout se nouzovému brzdění před překonatelným předmětem v jízdním pruhu. „Překonatelným předmětem“ se rozumí předmět, na který lze najet, aniž by to znamenalo nepřiměřené riziko pro cestující ve vozidle nebo ostatní účastníky silničního provozu.

Zkouška musí prokázat, že plně automatizované vozidlo nezahajuje tísňové brzdění při požadavku na zpomalení větším než 5 m/s2 z důvodu překonatelného předmětu v jízdním pruhu relevantním pro danou provozně-konstrukční doménu (např. poklop šachty nebo malá větev) až do maximální specifikované rychlosti systému ADS.

8.6.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

bez vozidla jedoucího vpředu;

b)

cíle musí představovat osobní automobil a jednostopé motorové vozidlo jako vozidlo jedoucí vpředu/další vozidlo.

8.7   Jízda za vozidlem jedoucím vpředu

Zkouška musí prokázat, že plně automatizované vozidlo dokáže udržovat a obnovit stabilní pohyb a bezpečnou vzdálenost od vozidla jedoucího vpředu a zabránit střetu, pokud před ním toto vozidlo brzdí až do maximálního zpomalení.

8.7.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

obsáhnout celý rozsah rychlostí plně automatizovaného vozidla;

b)

jako cíl použít osobní automobil, jednostopé motorové vozidlo i jízdní kolo jakožto vozidla jedoucí vpředu, pokud jsou k dispozici normalizovaná jednostopá motorová vozidla vhodná k bezpečnému provedení zkoušky;

c)

zkoušet při konstantní a proměnlivé rychlosti vozidel jedoucích vpředu (realistický rychlostní profil);

d)

zkoušet na rovných i točitých úsecích silnice;

e)

zkoušet při různých příčných polohách vozidla jedoucího vpředu v jízdním pruhu;

f)

zkoušet při průměrném zpomalení vozidla jedoucího vpředu ve výši alespoň 6 m/s2 až do zastavení.

8.8   Vjetí jiného vozidla do jízdního pruhu (zařazení natěsno)

Zkouška musí prokázat, že plně automatizované vozidlo dokáže zabránit srážce s vozidlem nebo s jiným účastníkem silničního provozu, který se do jízdního pruhu plně automatizovaného vozidla zařazuje tak natěsno, že se do určité míry jedná o kritický manévr.

8.8.1

Kritičnost zařazení natěsno se určí podle ustanovení uvádějících část 1 této přílohy a v závislosti na vzdálenosti mezi nejzadnějším bodem vozidla zařazujícího se natěsno a nejpřednějším bodem plně automatizovaného vozidla.

8.8.2

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

různé hodnoty TTC, hodnoty vzdálenosti a relativní rychlosti vjetí do jízdního pruhu natěsno, přičemž je třeba realizovat jak scénáře, při nichž lze při takovém vjetí do jízdního pruhu natěsno srážce zabránit, tak scénáře, kdy srážce zabránit nelze;

b)

s vozidly, která při vjetí do jízdního pruhu natěsno jedou konstantní podélnou rychlostí, zrychlují a zpomalují;

c)

při různé příčné rychlosti a příčných zrychleních vozidla, které se natěsno zařazuje do jízdního pruhu;

d)

jako cíl použít osobní automobil, jednostopé motorové vozidlo i jízdní kolo jakožto vozidla, která se natěsno zařazují do jízdního pruhu, pokud jsou k dispozici normalizovaná jednostopá motorová vozidla vhodná k bezpečnému provedení zkoušky.

8.9   Statická překážka poté, co vozidlo jedoucí vpředu změnilo jízdní pruh (vyjetí z jízdního pruhu)

Zkouška musí prokázat, že plně automatizované vozidlo dokáže zabránit srážce se stojícím vozidlem, účastníkem silničního provozu nebo překážkou blokující jízdní pruh, které se objevily poté, co vozidlo jedoucí vpředu zabránilo srážce úhybným manévrem. Zkouška musí být založena na požadavcích stanovených v příloze II a na parametrech scénáře v části 1 této přílohy. U podmínek, které nebyly zkoušeny a které se mohou vyskytnout ve stanoveném provozním rozsahu vozidla, musí výrobce v rámci posouzení popsaného v části 2 přílohy III ke spokojenosti příslušných orgánů prokázat, že vozidlo je bezpečně ovládáno.

8.9.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

s cílem v podobě osobního automobilu stojícího uprostřed jízdního pruhu;

b)

s cílem v podobě jednostopého motorového vozidla stojícího uprostřed jízdního pruhu;

c)

s cílem v podobě chodce stojícího uprostřed jízdního pruhu;

d)

s cílem představujícím překážku blokující jízdní pruh;

e)

s několika po sobě následujícími překážkami blokujícími jízdní pruh (např. v tomto pořadí: zkoušené vozidlo – vozidlo měnící jízdní pruh – motocykl – automobil).

8.10   Parkování

Zkouška musí prokázat, že systém ADS dokáže zaparkovat na různých parkovacích místech a na různě řešených parkovištích za rozličných podmínek a že během parkovacího manévru nepoškozuje okolní předměty, účastníky silničního provozu ani sebe.

8.10.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

s parkovacími místy rovnoběžnými i kolmými k vozovce;

b)

na rovných i šikmých površích;

c)

pokud se na okolních parkovacích místech vyskytují jiná vozidla včetně jednostopých motorových vozidel a jízdních kol;

d)

parkování na parkovacích místech s různými geometrickými rozměry;

e)

při různých úhlech sklonu vozovky;

f)

pokud se během parkovacího manévru na parkovací místo natěsno zařazuje jiné vozidlo.

8.11   Navigace v parkovacím zařízení

Zkouška musí prokázat, že systém ADS je schopen zvládnout nízkou rychlost jízdy a celkovou nedostatečnou viditelnost, která může na parkovišti panovat.

8.11.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

s cílem v podobě chodce přecházejícího jízdní dráhu plně automatizovaného vozidla rychlostí 5 km/h, na něhož zpočátku není volný výhled;

b)

s vozidlem vyjíždějícím z parkovacího místa před plně automatizovaným vozidlem;

c)

se statickou překážkou v cestě plně automatizovaného vozidla;

d)

s různými jízdními drahami, kde infrastruktura brání ve volném výhledu;

e)

nachází-li se na podlaze za rampou drobná překážka, kterou zakrývají jiné předměty v jízdní dráze plně automatizovaného vozidla.

8.12   Specifické scénáře pro dálnice

8.12.1

Vjezd na dálnici

Zkouška musí prokázat, že systém ADS je schopen bezpečně vjet na dálnici.

8.12.1.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

s různými vozidly, včetně jednostopého motorového vozidla blížícího se zezadu;

b)

s vozidly blížícími se zezadu různou rychlostí;

c)

s kolonou vozidel jedoucích na stejné úrovni v sousedním jízdním pruhu.

8.12.2

Sjezd z dálnice

Zkouška musí prokázat, že systém ADS je schopen bezpečně sjet z dálnice.

8.12.2.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

bez vozidla jedoucího vpředu;

b)

cíle musí představovat osobní automobil a jednostopé motorové vozidlo jako vozidlo jedoucí vpředu/další vozidlo;

c)

s jiným vozidlem (vozidly) nebo překážkou (překážkami) blokujícími sjezd z dálnice.

8.12.3

Mýtná stanice

Zkouška musí prokázat, že systém ADS je schopen vybrat správnou průjezdnou bránu a přizpůsobit svou rychlost rychlosti povolené v dané mýtné oblasti.

8.12.3.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

s vozidlem jedoucím vpředu a bez něj;

b)

s jinými vozidly blokujícími průjezdní bránu (brány);

c)

se zavřenými a otevřenými průjezdními branami;

d)

s různými povolenými rychlostmi v dané mýtné oblasti.

8.13   Přechod mezi manuálním jízdním režimem a plně automatizovaným režimem u vozidel s duálním režimem.

Zkouška musí prokázat, že systém ADS převezme dynamickou funkci řízení bezpečně a jen tehdy, pokud vozidlo stojí.

8.13.1

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

za přítomnosti lidského řidiče ve vozidle a bez ní;

b)

při otevřených a zavřených dveřích vozidla;

c)

s překážkami okolo vozidla a bez nich;

d)

uvnitř a vně vyhrazené parkovací oblasti, je-li to relevantní.

8.13.2

Minimální požadavky na provedení této zkoušky obsahují níže uvedené scénáře v případě, že se vztahují na danou provozně-konstrukční doménu:

a)

v situaci, kdy je převzetí řízení možné a je provedeno;

b)

v situaci, kdy není možné provést převzetí řízení.

ČAST 4

ZÁSADY POSOUZENÍ VĚROHODNOSTI PRO ÚČELY VYUŽITÍ SOUBORU NÁSTROJŮ PRO SIMULACI PŘI VALIDACI SYSTÉMU ADS

1.   Obecně

1.1

Věrohodnosti lze dosáhnout zkoumáním a posouzením pěti vlastností v oblasti modelování a simulace:

a)

schopnost – čeho lze modelováním a simulací dosáhnout a jaká rizika jsou s tím spojena;

b)

přesnost – jak kvalitně modelování a simulace reprodukují cílové údaje;

c)

správnost – jak spolehlivá a robustní jsou data a algoritmy modelování a simulace;

d)

použitelnost – jaká odborná příprava a zkušenosti jsou potřebné;

e)

vhodnost pro daný účel – jak vhodné je modelování a simulace pro danou provozně-konstrukční doménu a posouzení systému ADS.

1.2.

Rámec pro posouzení věrohodnosti musí být zároveň dostatečně obecný, aby mohl být použit pro různé typy a uplatnění modelování a simulace. Tento cíl však komplikují velké rozdíly mezi vlastnostmi systému ADS a rozmanitostí typů a uplatnění modelování a simulace. Tyto úvahy vyžadují rámec pro posouzení věrohodnosti (založený na rizicích/informovaný), který je relevantní a vhodný pro veškerá uplatnění v oblasti modelování a simulací.

1.3

Rámec pro posouzení věrohodnosti poskytuje obecný popis hlavních aspektů zvažovaných při posuzování věrohodnosti řešení v oblasti modelování a simulace společně se zásadami týkajícími se úlohy třetích stran jako posuzovatelů v procesu validace s ohledem na věrohodnost. Pokud jde o posledně zmiňovaný bod, schvalovací orgán prošetří předloženou dokumentaci podporující věrohodnost ve fázi posuzování, přičemž skutečné validační zkoušky se uskuteční, jakmile výrobce vyvine dané integrované simulační systémy.

1.4.

Výsledek aktuálního posouzení věrohodnosti nakonec určí, v jakém rozsahu lze daný nástroj pro simulaci použít na podporu posouzení systému ADS.

1.5.

Požadavky této části jsou proto určeny k prokázání věrohodnosti jakéhokoli simulačního modelu nebo souboru nástrojů pro simulaci k využití při validaci systému ADS.

2.   Definice

Pro účely této přílohy se použijí tyto definice:

2.1

„abstrakcí“ se rozumí proces výběru podstatných aspektů zdrojového systému nebo referenčního systému, které mají být reprezentovány v modelu nebo simulaci, přičemž se neberou v úvahu nerelevantní aspekty. Při každé abstrakci při modelování se vychází z předpokladu, že významně neovlivní zamýšlené použití simulačního nástroje;

2.2

„zkoušením v uzavřené smyčce“ se rozumí virtuální prostředí, které zohledňuje jednání daného prvku v rámci okruhu. Simulované předměty reagují na jednání daného systému (např. interakce systému s dopravním modelem);

2.3

„deterministickým“ se rozumí termín popisující systém, jehož vývoj v průběhu času lze přesně předpovědět a daný soubor vstupních podnětů bude mít vždy za výsledek stejný výstup;

2.4

simulace „řidič ve smyčce“ (DIL) se obvykle provádí v simulátoru řízení vozidel, který se používá k testování návrhu interakce člověk-automatizace. Simulace DIL obsahuje komponenty umožňující řidiči ovládat virtuální prostředí a komunikovat s ním;

2.5

„hardware ve smyčce (HIL)“ obsahuje konečnou verzi hardwaru subsystému konkrétního vozidla, na kterém je spuštěna konečná verze softwaru se vstupem a výstupem připojeným k simulačnímu prostředí za účelem provedení zkoušení se simulací. Zkouška HIL umožňuje replikaci čidel, akčních členů a mechanických konstrukčních částí způsobem, který propojuje všechny zkoušené vstupní/výstupní elektronické řídicí jednotky (ECU) dlouho před integrací konečného systému;

2.6

„modelem“ se rozumí popis nebo znázornění systému, entity, jevu nebo procesu;

2.7

„kalibrací modelu“ se rozumí proces úpravy číselných nebo modelových parametrů v modelu za účelem zlepšení shody s referenčními veličinami;

2.8

„modelovým parametrem“ se rozumí číselné hodnoty používané k podpoře charakterizace určité funkce systému. Modelový parametr má hodnotu, kterou nelze vypozorovat přímo ve skutečném světě, ale je nutno ji odvodit z údajů shromážděných ve skutečném světě (ve fázi kalibrace modelu);

2.9

„modelem ve smyčce (MIL)“ se rozumí přístup, který umožňuje rychlý vývoj algoritmů bez zapojení specializovaného hardwaru. Tato úroveň vývoje obvykle zahrnuje softwarové rámce na vysoké úrovni abstrakce spuštěné na univerzálních výpočetních systémech;

2.10

„zkoušením v otevřené smyčce“ se rozumí virtuální prostředí, které nezohledňuje jednání prvku ve smyčce (např. systém v interakci se zaznamenanou dopravní situací);

2.11

„pravděpodobnostní“ je termín týkající se nedeterministických událostí, jejichž výsledky jsou popsány na základě míry pravděpodobnosti;

2.12

„zkušebním místem nebo zkušební dráhou“ se rozumí fyzické zkušební zařízení uzavřené pro provoz, kde lze zkoumat výkon systému ADS na skutečném vozidle. Lze zavádět dopravní faktory prostřednictvím stimulace čidel nebo prostřednictvím maket zařízení umístěných na trati;

2.13

„stimulací čidel“ se rozumí technika, při níž jsou zkoušenému prvku poskytovány uměle generované signály s cílem aktivovat ho a dosáhnout výsledku nezbytného pro ověření v reálném světě, odbornou přípravu, údržbu nebo pro výzkum a vývoj;

2.14

„simulací“ se rozumí nápodoba fungování reálného procesu nebo systému v průběhu času;

2.15

„simulačním modelem“ se rozumí model, jehož vstupní proměnné se v průběhu času mění;

2.16

„souborem simulačních nástrojů“ se rozumí kombinace simulačních nástrojů, které se používají k podpoře validace systému ADS;

2.17

„softwarem ve smyčce (SIL)“ se rozumí místo hodnocení implementace vytvořeného modelu na univerzálních výpočetních systémech. Tento krok může použít kompletní implementaci softwaru, která se velmi blíží implementaci konečné. Zkoušky SIL se používají k popisu testovací metodiky, při níž je testován spustitelný kód, jako jsou například algoritmy (nebo dokonce celá strategie ovládání), v modelovacím prostředí, které může pomoci při prověřování nebo zkouškách daného softwaru;

2.18

„stochastickým“ se rozumí proces zahrnující nebo obsahující náhodnou veličinu nebo veličiny. Vztahuje se k náhodě nebo pravděpodobnosti;

2.19

„validací simulačního modelu“ se rozumí proces určování toho, do jaké míry je simulační model přesným znázorněním reálného světa z hlediska zamýšleného použití daného nástroje;

2.20

„vozidlem ve smyčce (VIL)“ se rozumí fúzní prostředí skutečného testovacího vozidla v reálném světě a ve virtuálním prostředí. Může odrážet dynamiku vozidla na stejné úrovni jako reálná situace, a lze jej provést na zkušebním stavu vozidla nebo na zkušební dráze;

2.21

„ověřením simulačního modelu“ se rozumí proces určení toho, do jaké míry je simulační model nebo nástroj pro zkoušení se simulací v souladu s vlastními požadavky a specifikacemi podrobně popsanými v jeho koncepčních modelech, matematických modelech nebo jiných konstruktech;

2.22

„zkoušením se simulací“ se rozumí proces zkoušení systému pomocí jednoho nebo více simulačních modelů.

3.   Součásti rámce posuzování věrohodnosti a související požadavky na dokumentaci

3.1

Rámec posuzování věrohodnosti zavádí způsob hodnocení a vykazování věrohodnosti modelování a simulace na základě kritérií zajištění kvality, přičemž lze uvést úroveň důvěry ve výsledky. Jinými slovy to znamená, že se věrohodnost určuje na základě vyhodnocení následujících faktorů ovlivňujících modelování a simulaci, které jsou považovány za hlavní faktory podílející se na vlastnostech v oblasti modelování a simulace, a tedy i na celkové věrohodnosti modelování a simulace: a) řízení modelování a simulace; b) zkušenosti a odborné znalosti týmu; c) analýza a popis modelování a simulace; d) rodokmen dat/vstupů a e) ověření, validace, charakterizace nejistoty. Každý z těchto faktorů indikuje úroveň kvality dosaženou na základě modelování a simulace a porovnání dosažených úrovní s úrovněmi požadovanými určuje, zda jsou modelování a simulace věrohodné a vhodné k použití pro účely zkoušení se simulací. Níže je uvedeno grafické znázornění vztahu mezi jednotlivými složkami rámce posuzování věrohodnosti.

Image 3

3.2

Řízení modelů a simulace.

3.2.1

Životní cyklus modelování a simulace je dynamický proces produkující mnoho verzí, který je nutno monitorovat a dokumentovat. Musí být zavedeny činnosti v oblasti řízení na podporu modelování a simulace z hlediska řízení výsledků práce. Je nutno poskytnout relevantní informace o následujících aspektech.

3.2.2

Proces řízení modelování a simulace musí:

a)

popisovat změny v rámci jednotlivých verzí;

b)

určit odpovídající softwarové (např. konkrétní softwarový produkt a verzi) a hardwarové uspořádání (např. konfigurace XiL);

c)

zaznamenávat procesy interního přezkumu, na jejichž základě byly nové verze přijaty;

d)

být podporovány po celou dobu využívání daného virtuálního modelu.

3.2.3

Řízení verzí

3.2.3.1

Všechny verze souboru nástrojů modelování a simulace použité k uvolnění údajů pro účely certifikace musí být ukládány. Virtuální modely představující soubor zkušebních nástrojů musí být zdokumentovány z hlediska odpovídajících validačních metod a prahových hodnot přijatelnosti s cílem podpořit celkovou věrohodnost daného souboru nástrojů. Vývojář musí zavést závaznou metodu vysledování vytvořených údajů k příslušné verzi modelování a simulace.

3.2.3.2

Kontrola kvality virtuálních údajů. Je nutno zajistit úplnost, přesnost a konzistentnost údajů u všech verzí a po celou dobu životnosti souboru nástrojů modelování a simulace na podporu postupů ověřování a validace.

3.2.4

Zkušenosti a odborné znalosti týmu.

3.2.4.1

Ačkoli zkušenosti a odborné znalosti jsou již v obecném smyslu pokryty v rámci organizace, je důležité vytvořit základ pro důvěru v konkrétní zkušenosti a odborné znalosti pro účely aktivit v oblasti modelování a simulace.

3.2.4.2

Věrohodnost modelování a simulace závisí nejen na kvalitě simulačních modelů, ale také na zkušenostech a odborných znalostech pracovníků podílejících se na validaci a využívání modelování a simulace. Správné pochopení omezení a validační domény například zabrání možnému zneužití modelování a simulace nebo nesprávné interpretaci jejich výsledků.

3.2.4.3

Proto je důležité vytvořit základ pro důvěru výrobce ve zkušenosti a odborné znalosti:

a)

týmů, které provádějí validaci souboru simulačních nástrojů; a

b)

týmů, které budou validovanou simulaci využívat k provádění zkoušení se simulací za účelem validace systému ADS.

3.2.4.4

Řádné řízení zkušeností a odborných znalostí týmu zvyšuje úroveň důvěry ve věrohodnost modelování a simulace a jejich výsledků tím, že zajišťuje, že budou zohledněny lidské faktory ovlivňující modelování a simulaci a že bude řízeno jakékoli potenciální riziko lidského faktoru, jak se to předpokládá v každém vhodném systému řízení.

3.2.4.5

Pokud řetězec nástrojů výrobce zahrnuje vstupy organizací nebo výrobků mimo vlastní tým výrobce nebo se na ně spoléhá, poskytne výrobce vysvětlení opatření, která přijal na podporu své důvěry v kvalitu a integritu těchto vstupů.

3.2.4.6

Zkušenosti a odborné znalosti týmu se skládají ze dvou úrovní.

3.2.4.6.1

Organizační úroveň

Věrohodnost se stanoví na základě nastavení procesů a postupů pro identifikaci a udržení dovedností, znalostí a zkušeností pro provádění činností v oblasti modelování a simulace. Je nutno zavést, udržovat a dokumentovat tyto postupy:

i)

postup identifikace a hodnocení způsobilosti a dovedností daného jednotlivce;

ii)

postup odborné přípravy způsobilého personálu, který bude plnit povinnosti v souvislosti s modelováním a simulací.

3.2.4.6.2

Úroveň týmu

Po dokončení modelování a simulace je jejich věrohodnost určována především dovednostmi a znalostmi jednotlivce/týmu, který bude validovat soubor nástrojů pro modelování a simulaci a používat modelování a simulaci k validaci systému ADS. Věrohodnost se stanoví doložením toho, že dané týmy absolvovaly odpovídající odbornou přípravu umožňující plnění jejich povinností.

Výrobce je následně povinen:

i)

poskytnout základ pro důvěru výrobce ve zkušenosti a odborné znalosti jednotlivce/týmu, který validuje soubor nástrojů pro modelování a simulaci;

ii)

poskytnout základ pro důvěru výrobce ve zkušenosti a odborné znalosti jednotlivce/týmu, který používá simulaci k provedení zkoušení se simulací za účelem validace systému ADS.

Základem pro toto určení bude to, že výrobce prokáže, jak uplatňuje zásady normy ISO 9001 nebo podobného osvědčeného postupu nebo normy při zajišťování způsobilosti své organizace modelování a simulace a jednotlivců v rámci této organizace. Schvalovací orgán nesmí nahradit svůj úsudek o zkušenostech a odborných znalostech organizace nebo jejích členů úsudkem výrobce.

3.2.5

Rodokmen dat/vstupů

3.2.5.1

Rodokmen dat/vstupů obsahuje záznam o zpětné zjistitelnosti z údajů výrobce použitých při validaci modelování a simulace.

3.2.5.2

Popis údajů použitých k modelování a simulaci:

a)

výrobce musí zdokumentovat údaje použité při validaci modelu a zaznamenat významné vlastnosti v oblasti kvality;

b)

výrobce musí poskytnout dokumentaci prokazující, že údaje použité k validaci modelů zahrnují zamýšlené funkce, které má daný soubor nástrojů virtualizovat;

c)

výrobce musí zdokumentovat kalibrační postupy používané pro přizpůsobení parametrů virtuálních modelů shromážděným vstupním údajům.

3.2.5.3

Vliv kvality dat (např. pokrytí dat, odstup signálu od šumu a nejistota/zkreslení/vzorkovací frekvence čidel) na nejistotu modelových parametrů.

Kvalita dat použitých při vývoji modelu ovlivní odhad a kalibraci modelových parametrů. Dalším důležitým aspektem konečné analýzy nejistoty bude nejistota parametrů modelu.

3.2.6

Rodokmen dat/výstupů

3.2.6.1

Rodokmen dat/výstupů obsahuje záznam výstupů modelování a simulace použitých pro validaci systému ADS.

3.2.6.2

Popis dat generovaných na základě modelování a simulace:

a)

výrobce musí poskytnout informace o veškerých datech a scénářích použitých k validaci souboru nástrojů pro zkoušení se simulací;

b)

výrobce musí zdokumentovat exportovaná data a zaznamenat významné kvalitativní vlastnosti;

c)

výrobce musí vysledovat výstup modelování a simulace k odpovídajícímu nastavení simulace.

3.2.6.3

Vliv kvality dat na věrohodnost modelování a simulace

a)

výstupní data modelování a simulace musí být dostatečně rozsáhlá, aby zajišťovala správné provedení validačního výpočtu. Tato data musí dostatečně odrážet provozně-konstrukční doménu týkající se virtuálního posouzení systému ADS;

b)

výstupní data musí umožňovat kontrolu konzistentnosti/způsobilosti virtuálních modelů prostřednictvím případného využití nadbytečných informací.

3.2.6.4

Správa stochastických modelů

a)

stochastické modely musí být charakterizovány podle svého rozptylu;

b)

u stochastických modelů musí být zajištěna možnost deterministického opětovného provedení.

3.3

Analýza a popis modelování a simulace

3.3.1

Cílem analýzy a popisu modelování a simulace je definovat celé modelování a simulaci a identifikovat parametrický prostor, který lze posoudit pomocí zkoušení se simulací. Definuje rozsah a omezení modelů a souboru nástrojů a zdroje nejistoty, které mohou ovlivnit jeho výsledky.

3.3.2

Obecný popis

3.3.2.1

Výrobce musí poskytnout popis kompletního souboru nástrojů společně s informací, jak budou data ze simulace využita na podporu validační strategie systému ADS

3.3.2.2

Výrobce musí poskytnout jasný popis cíle zkoušky.

3.3.3

Předpoklady, známá omezení a zdroje nejistoty

3.3.3.1

Výrobce musí zdůvodnit předpoklady modelování, které vedly k návrhu souboru nástrojů pro modelování a simulaci

3.3.3.2

Výrobce musí poskytnout důkazy týkající se:

i)

způsobu, jímž předpoklady definované výrobcem hrají roli při stanovování omezení souboru nástrojů;

ii)

požadované úrovně věrnosti pro simulační modely.

3.3.3.3

Výrobce musí zdůvodnit, že tolerance korelace mezi simulovanou a reálnou situací je z hlediska cíle zkoušky přijatelná.

3.3.3.4

A konečně tento oddíl obsahuje informace o zdrojích nejistoty v daném modelu. To bude představovat důležitý vstup pro konečnou analýzu nejistoty, která bude definovat, jak mohou být výstupy modelu ovlivněny různými zdroji nejistoty použitého modelu.

3.3.4

Rozsah (způsoby využívání modelování a simulace při validaci systému ADS)

3.3.4.1

Věrohodnost virtuálního nástroje musí být posílena jasně definovaným rozsahem využití vyvinutých modelů.

3.3.4.2

Vyspělé modelování a simulace musí umožňovat virtualizaci fyzikálních jevů s takovou přesností, která odpovídá úrovni věrnosti požadované pro certifikaci. Modelování a simulace tak bude fungovat jako „virtuální zkušební místo“ pro zkoušky systému ADS.

3.3.4.3

Pro validaci simulačních modelů jsou nezbytné specifické scénáře a měření. Výběr scénářů používaných pro validaci musí být dostatečný k tomu, aby daný soubor nástrojů fungoval stejným způsobem i ve scénářích mimo rozsah působnosti validace.

3.3.4.4

Výrobce musí poskytnout seznam scénářů validace společně s omezeními příslušných parametrů.

3.3.4.5

Klíčový vstup pro odvození požadavků, rozsahu a účinků, které je při modelování a simulaci nutno zohlednit, aby podpořily validaci ADS, představuje provozně-konstrukční doména.

3.3.4.6

Parametry generované pro uvedené scénáře určí vnější a vnitřní data pro soubor nástrojů a simulační modely.

3.3.5

Posouzení kritičnosti

3.3.5.1

Simulační modely a simulační nástroje používané v celkovém souboru nástrojů se zkoumají z hlediska toho, do jaké míry odpovídají za bezpečnostní chybu konečného výrobku. Navrhovaný přístup k analýze kritičnosti je odvozen od normy ISO 26262, která ukládá požadavky, které musí splňovat některé nástroje používané v procesu vývoje.

3.3.5.2

Aby bylo možné odvodit míru kritičnosti simulovaných dat, musí posouzení kritičnosti zohlednit následující parametry:

a)

důsledky pro bezpečnost osob, např. třídy závažnosti podle normy ISO 26262;

b)

do jaké míry simulované výsledky ovlivňují systém ADS.

3.3.5.3

Z hlediska posouzení kritičnosti existují tři možné způsoby posouzení:

a)

modely nebo nástroje, které jsou jednoznačnými kandidáty na sledování posouzení věrohodnosti v plném rozsahu;

b)

modely nebo nástroje, které mohou a nemusí být kandidáty na sledování posouzení věrohodnosti v plném rozsahu podle uvážení hodnotitele;

c)

modely nebo nástroje, u nichž se sledování posouzení věrohodnosti nevyžaduje.

3.4

Ověření

3.4.1

Ověření modelování a simulace zahrnuje analýzu konceptuálních/matematických modelů tvořících soubor nástrojů pro modelování a simulaci. Ověření přispívá k důvěryhodnosti modelování a simulace tím, že poskytuje ujištění, že modelování a simulace nebude vykazovat nerealistické chování pro soubor vstupů, které nelze podrobit zkoušce. Tento postup je založen na přístupu skládajícím se z více kroků, který zahrnuje ověření kódu, ověření výpočtu a analýzu citlivosti.

3.4.2

Ověření kódu

3.4.2.1

Ověření kódu zahrnuje zkoušky prokazující, že virtuální modely neovlivňují žádné numerické/logické chyby.

3.4.2.2

Výrobce musí zdokumentovat provedení správných technik ověřování kódu, např. statického/dynamického ověření kódu, konvergenční analýzy a případného porovnání s přesnými řešeními.

3.4.2.3

Výrobce musí poskytnout dokumentaci prokazující, že průzkum v oblasti vstupních parametrů byl dostatečně rozsáhlý, aby bylo možné identifikovat kombinaci parametrů, u níž modelování a simulace vykazuje nestabilní nebo nerealistické chování. K prokázání požadovaného zkoumání chování modelů lze využít měření pokrytí kombinací parametrů.

3.4.2.4

Kdykoli to data umožňují, musí výrobce přijmout postupy kontroly způsobilosti/konzistentnosti.

3.4.3

Ověření výpočtu

3.4.3.1

Ověření výpočtu se zabývá odhadem numerických chyb ovlivňujících modelování a simulace.

3.4.3.2

Výrobce musí zdokumentovat odhady numerických chyb (např. chyba diskretizace, chyba zaokrouhlení, konvergence opakujících se postupů).

3.4.3.3

Numerické chyby musí být dostatečně ohraničeny, aby neovlivnily validaci.

3.4.4

Analýza citlivosti

3.4.4.1

Cílem analýzy citlivosti je kvantifikovat, jak jsou výstupní hodnoty modelu ovlivněny změnami vstupních hodnot modelu, a tím identifikovat parametry, které mají největší dopad na výsledky simulačního modelu. Studie citlivosti také pomáhá určit, do jaké míry simulační model splňuje validační prahové hodnoty, je-li vystaven malým odchylkám parametrů. Má tedy zásadní význam pro podporu věrohodnosti výsledků simulace.

3.4.4.2

Výrobce musí poskytnout podpůrnou dokumentaci prokazující, že byly identifikovány nejkritičtější parametry ovlivňující výstup simulace pomocí technik analýzy citlivosti, například uplatněním perturbace parametrů modelu.

3.4.4.3

Výrobce musí prokázat, že při identifikaci a kalibraci nejkritičtějších parametrů byly přijaty spolehlivé kalibrační postupy s cílem zvýšit věrohodnost vyvinutého souboru nástrojů.

3.4.4.4

A konečně výsledky analýzy citlivosti pomohou rovněž definovat vstupy a parametry, u nichž charakterizace nejistoty vyžaduje zvláštní pozornost, aby bylo možné správně definovat nejistotu výsledků simulace.

3.4.5

Validace

3.4.5.1

Kvantitativní postup určování toho, nakolik je model nebo simulace přesnou reprezentací reálného světa z pohledu zamýšleného použití modelování a simulace, vyžaduje výběr a definování několika prvků.

3.4.5.2

Měřené hodnoty výkonnosti (měření)

3.4.5.2.1

Měřené hodnoty výkonnosti představují měření používané pro porovnání simulačního modelu s reálnou situací. Měřené hodnoty výkonnosti jsou definovány v průběhu analýzy modelování a simulace.

3.4.5.2.2

Měření pro účely validace může zahrnovat:

i)

analýzu diskrétních hodnot, např. rychlost detekce, intenzitu spalování;

ii)

časový vývoj, např. polohy, rychlosti, zrychlení;

iii)

analýzu založenou na sledu úkonů, např. výpočty vzdálenosti/rychlosti, výpočet TTC, zahájení brzdění.

3.4.5.3

Měření vhodnosti modelu

3.4.5.3.1

Používají se analytické rámce pro porovnání měření v reálném světě a v rámci simulace. Zpravidla se jedná o klíčové ukazatele výkonnosti (KPI), které znázorňují statistickou srovnatelnost mezi dvěma soubory údajů.

3.4.5.3.2

Validace musí prokázat, že jsou tyto klíčové ukazatele výkonnosti splněny.

3.4.5.4

Metodika validace

3.4.5.4.1

Výrobce musí definovat logické scénáře používané k validaci souboru nástrojů pro zkoušení se simulací. Ty musí být schopny v maximálně možné míře pokrýt provozně-konstrukční doménu zkoušení se simulací pro účely validace systému ADS.

3.4.5.4.2

Přesná metodika závisí na struktuře a účelu daného souboru nástrojů. Validace se může skládat z jednoho nebo více z těchto prvků:

i)

validace modelů subsystému, např. model okolního prostředí (silniční síť, povětrnostní podmínky, interakce s účastníky silničního provozu), modely čidel (radiodetekce a zaměřování (RADAR), světelná detekce a vyměřování (LiDAR), kamera), model vozidla (řízení, brzdění, hnací ústrojí);

ii)

validace systému vozidla (dynamický model vozidla společně s modelem okolního prostředí);

iii)

validace systému čidel (model čidel společně s modelem okolního prostředí);

iv)

validace integrovaného systému (model čidel + model okolního prostředí s vlivy modelu vozidla).

3.4.5.5

Požadavky na přesnost

3.4.5.5.1

V průběhu analýzy modelování a simulace je definován požadavek na korelační práh. Validace musí prokázat, že jsou splněny klíčové ukazatele výkonnosti uvedené v bodě 3.4.5.3.1 této části.

3.4.5.6

Rozsah validace (část souboru nástrojů, která má být validována)

3.4.5.6.1

Soubor nástrojů se skládá z více nástrojů a každý nástroj bude používat řadu modelů. Rozsah validace zahrnuje všechny nástroje a příslušné modely, které podléhají validaci.

3.4.5.7

Výsledky interní validace

3.4.5.7.1

Dokumentace musí poskytovat nejen důkazy o validaci simulačního modelu, ale musí být použita rovněž pro získání dostatečných informací o procesech a produktech, které zajišťují celkovou věrohodnost použitého souboru nástrojů.

3.4.5.7.2

Lze použít dokumentaci/výsledky z předchozích posouzení věrohodnosti.

3.4.5.8

Výsledky nezávislé validace

3.4.5.8.1

Schvalovací orgán posoudí dokumentaci poskytnutou výrobcem a může provést fyzické zkoušky úplného integrovaného nástroje.

3.4.5.9

Charakterizace nejistoty

3.4.5.9.1

Tento oddíl se zabývá charakterizací očekávané variability výsledků souboru nástrojů pro zkoušení se simulací. Posouzení se skládá ze dvou fází. V první fázi se informace shromážděné v průběhu analýzy a popisu modelování a simulace a v oddílech o rodokmenu dat/vstupů použijí k charakterizaci nejistoty vstupních dat, modelových parametrů a struktury modelování. Poté se na základě rozšíření všech nejistot prostřednictvím souboru nástrojů pro zkoušení se simulací kvantifikuje nejistota výsledků modelu. V závislosti na nejistotě výsledků modelu bude nezbytné, aby výrobce při používání zkoušení se simulací pro účely validace systému ADS stanovil odpovídající míru bezpečnosti.

3.4.5.9.2

Charakterizace nejistoty vstupních údajů

Výrobce musí prokázat, že provedl náležitý odhad vstupů kritického modelu pomocí spolehlivých technik, jako je vícenásobné opakování pro účely posouzení množství.

3.4.5.9.3

Charakterizace nejistoty parametrů modelu (po kalibraci)

Výrobce musí prokázat, že parametry kritického modelu, které nelze odhadnout identicky, jsou charakterizovány pomocí distribučních intervalů a/nebo intervalů spolehlivosti.

3.4.5.9.4

Charakterizace nejistoty v oblasti struktury modelování a simulace

Výrobce musí prokázat, že u předpokladů modelování byla poskytnuta kvantitativní charakterizace vzniklé nejistoty (např. porovnání výstupů různých přístupů k modelování, kdykoli je to možné).

3.4.5.9.5

Charakterizace aleatorické vs. epistemické nejistoty:

Výrobce se musí zaměřit na rozlišení mezi aleatorickou složkou nejistoty (kterou lze pouze odhadnout, ale nelze ji snížit) a epistemickou nejistotou vyplývající z nedostatku znalostí v průběhu virtualizace procesu (kterou naproti tomu snížit lze).

4.   Struktura dokumentace

4.1

Tento oddíl stanoví, jak budou výše uvedené informace shromažďovány a uspořádány v dokumentaci, kterou výrobce poskytne příslušnému orgánu.

4.2

Výrobce vytvoří dokument („simulační příručku“) strukturovaný v souladu s uvedenou osnovou, s cílem poskytnout důkazy týkající se prezentovaných témat.

4.3

Dokumentace musí být dodána společně s příslušnou verzí modelování a simulace a souvisejícími vytvořenými daty.

4.4

Výrobce musí poskytnout jednoznačné odkazy, které umožní vysledovat dokumentaci zpět k příslušnému modelování a simulaci/datům.

4.5

Dokumentace musí být uchovávána po celou dobu životního cyklu využívání daného modelování a simulace. Schvalovací orgán může provést audit výrobce posouzením jeho dokumentace a/nebo provedením fyzických zkoušek.

ČÁST 5

PODÁVÁNÍ ZPRÁV V PRŮBĚHU PROVOZU

1.   Definice

Pro účely této přílohy se použijí tyto definice:

1.1

„výskytem“ se rozumí situace související s bezpečností, která se týká vozidla vybaveného automatizovaným systémem řízení;

1.2

„nekritickým výskytem“ se rozumí výskyt zahrnující přerušení provozu, poruchu, vadu nebo jinou okolnost, která ovlivnila nebo mohla ovlivnit bezpečnost systému ADS a která nevedla k nehodě nebo k závažnému incidentu. Tato kategorie zahrnuje například menší incidenty, zhoršení bezpečnosti, které nebrání normálnímu provozu, nouzové/složité manévry pro zabránění srážce a obecněji všechny výskyty týkající se výkonu systému ADS v oblasti bezpečnosti na silnici (jako je například interakce s dálkovou obsluhou atd.);

1.3

„kritickým výskytem“ se rozumí každý výskyt, při němž je systém ADS v činnosti v době srážky a v jehož důsledku:

a)

nejméně jedna osoba utrpí zranění vyžadující lékařskou pomoc v důsledku toho, že se nacházela ve vozidle nebo byla účastníkem dané události;

b)

dojde k fyzickému poškození plně automatizovaného vozidla, jiných vozidel nebo stojících předmětů, které překročí určitou prahovou hodnotu, případně dojde k aktivaci airbagu jakéhokoli vozidla, které se stalo účastníkem dané události.

2.   Oznámení a podávání zpráv výrobce

2.1

O kritických bezpečnostních výskytech vyrozumí výrobce bezodkladně schvalovací orgány, orgány dozoru nad trhem a Komisi.

2.2

Výrobce musí do jednoho měsíce podat schvalovacím orgánům, orgánům pro dozor nad trhem a Komisi zprávu o veškerých krátkodobých výskytech popsaných v dodatku 1, u nichž je nezbytné, aby výrobce zjednal nápravu.

2.3

Výrobce musí každoročně podat schvalovacímu orgánu, který udělil schválení, zprávu o výskytech uvedených v dodatku 1. Tato zpráva musí obsahovat důkazy o výkonu systému ADS při výskytech v terénu, které jsou důležité z hlediska bezpečnosti. Musí zejména prokázat, že:

a)

nejsou zjištěny žádné nesrovnalosti v porovnání s výkonem systému ADS v oblasti bezpečnosti posuzovaným před uvedením na trh;

b)

systém ADS splňuje požadavky na výkon stanovené tímto nařízením;

c)

všechny nově zjištěné významné problémy s výkonem systému ADS v oblasti bezpečnosti byly odpovídajícím způsobem řešeny a jak.

Schvalovací orgán, který schválení uděluje, musí tyto informace sdílet se schvalovacími orgány, s orgány pro dozor nad trhem a s Komisí.

2.4

Schvalovací orgány, orgány pro dozor nad trhem a Komise si mohou od výrobce vyžádat podpůrné údaje, které slouží k rozpracování poskytnutých informací do podávání zpráv a oznámení za provozu. Tyto údaje se vyměňují prostřednictvím dohodnutého souboru pro výměnu údajů. Schvalovací orgány, orgány pro dozor nad trhem a Komise přijmou veškerá nezbytná opatření k zabezpečení těchto údajů.

2.5

Veškeré předběžné zpracování údajů by mělo být oznámeno schvalovacímu orgánu, který uděluje schválení typu, ve zprávě o údajích za provozu.

Dodatek 1

Seznam výskytů pro účely podávání zpráv za provozu

Výskyty jsou rozděleny do čtyř kategorií podle svého významu pro dynamickou funkci řízení, pro interakci s uživateli plně automatizovaných vozidel a pro technické podmínky systému ADS. U každého výskytu je v následující tabulce označen jeho význam pro krátkodobé a/nebo pravidelné podávání zpráv.

Předpokládá se, že pravidelné podávání zpráv o výskytech bude mít formu souhrnných údajů (za hodinu provozu nebo ujetý km) pro typ vozidla se systémem ADS a v souvislosti s fungováním systému ADS (tj. je-li systém ADS aktivován).

VÝSKYT

KRÁTKODOBÉ PRIORITY PODÁVÁNÍ ZPRÁV

(1 měsíc

PRAVIDELNÉ PODÁVÁNÍ ZPRÁV

(1 rok)

1.

Výskyty související s výkonem dynamické funkce řízení systému ADS, například

1.a.

kritické bezpečnostní výskyty, které jsou známy výrobci

X

X

1.b.

výskyty související s fungováním systému ADS mimo jeho provozně-konstrukční doménu

X

X

1.c.

výskyty vztahující se k neschopnosti systému ADS dosáhnout v případě potřeby stavu minimálního rizika

X

X

1.d.

výskyty související s komunikací (pokud je pro koncepci bezpečnosti systému ADS relevantní konektivita)

 

X

1.e.

výskyty související s kybernetickou bezpečností

 

X

1.f

interakce s dálkovou obsluhou (je-li relevantní) v souvislosti se závažnými selháními systému ADS nebo vozidla

 

X

2.

Výskyty související s interakcí systému ADS s uživateli plně automatizovaných vozidel, jako jsou například:

2.a

výskyty související s uživatelem (např. uživatelské chyby, zneužití, prevence zneužití)

 

X

3.

Výskyty související s technickými podmínkami systému ADS včetně údržby a oprav:

3.a.

výskyty související se selháním systému ADS, které vyústí v požadavek na zásah obsluhy nebo obsluhy dálkového zásahu

 

X

3.b.

problémy v oblasti údržby a oprav

 

X

3.c.

výskyty související s neoprávněnými úpravami (tj. nedovolenou manipulací)

 

X

4.

Výskyty související s identifikací nových scénářů důležitých z hlediska bezpečnosti

X

(pokud se jedná o úpravy provedené výrobcem s cílem řešit nově zjištěný a významný bezpečnostní problém systému ADS zahrnující nepřiměřené riziko včetně popisu všech původně neočekávaných scénářů)

X


(1)  ECE/TRANS/WP.29/2022/59/Rev.1.

(2)  Viz strana 1 v tomto čísle Úředního věstníku.


PŘÍLOHA IV

CERTIFIKÁT EU SCHVÁLENÍ TYPU (SYSTÉM VOZIDLA)

Sdělení o udělení/rozšíření/odmítnutí/odejmutí (1) schválení typu pro typ plně automatizovaného vozidla z hlediska jeho automatizovaného systému řízení (ADS) v souladu s požadavky stanovenými v prováděcím nařízení (EU) 2022/1426, naposledy pozměněném prováděcím nařízením (EU) …/…

Číslo certifikátu EU schválení typu:

Důvod rozšíření/odmítnutí/odejmutí (1):

ODDÍL I

0.1

Značka (obchodní název výrobce):

0.2

Typ:

0.2.1

Obchodní označení (je-li/jsou-li k dispozici):

0.3

Způsob označení typu, je-li na vozidle vyznačen:

0.3.1

Umístění tohoto označení:

0.4

Kategorie vozidla:

0.5

Název a adresa výrobce:

0.8

Název (názvy) a adresa (adresy) montážního závodu (závodů):

0.9

Název a adresa případného zástupce výrobce:

ODDÍL II

1.

Další informace (v příslušných případech): viz doplněk.

2.

Zkušebna odpovědná za provádění zkoušek:

3.

Datum zkušebního protokolu:

4.

Číslo zkušebního protokolu:

5.

Poznámky (jsou-li nějaké): viz doplněk.

6.

Místo:

7.

Datum:

8.

Podpis:

Doplněk

k certifikátu EU schválení typu č.

1.   

Popis a/nebo výkres ADS včetně těchto údajů:

1.1.   

provozně konstrukční doména, meze systému a stanovená maximální rychlost ADS udávaná výrobcem:

1.2.   

popis hlavních funkcí systému ADS:

1.2.1   

vnitřní funkce vozidla:

1.2.2   

vnější funkce vozidla (např. záložní zařízení, potřebná vnější infrastruktura, potřebná provozní opatření):

1.3   

snímací systém (včetně konstrukčních částí):

1.4.   

montáž snímacího systému ADS:

1.5.   

softwarová identifikace ADS:

2.   

Písemný popis a/nebo výkres rozhraní člověk-stroj systému ADS včetně těchto údajů:

2.1   

dálková obsluha a dálkový zásah na systému ADS:

2.2   

způsoby aktivace a deaktivace systému ADS:

2.3.   

monitorování uvnitř vozidla:

2.4.   

veškerá omezení systému v důsledku podmínek prostředí nebo na silnici:

3.   

Písemný popis a/nebo schéma informací poskytovaných cestujícím ve vozidle a ostatním účastníkům silničního provozu:

3.1.   

stav systému:

3.2.   

požadavek na palubní obsluhu/obsluhu dálkového zásahu:

3.3.   

manévr s minimálním rizikem:

3.4.   

nouzový manévr:

4.   

Datové prvky ADS

4.1.   

datové prvky systému ADS ověřeny v návaznosti na zkoušky provedené podle části 3 přílohy III:

4.2.   

dokumentace týkající se vyhledávání údajů, samočinné kontroly integrity údajů a ochrany před manipulací s uloženými údaji ověřena: ano/ne

5.   

Kybernetická bezpečnost a aktualizace softwaru

5.1.   

číslo schválení typu z hlediska kybernetické bezpečnosti:

5.2.   

číslo schválení typu softwarové aktualizace:

6.   

Posouzení hledisek funkční a provozní bezpečnosti automatizovaného systému řízení

6.1   

odkaz na dokument výrobce pro účely posouzení (včetně čísla verze):

6.2   

Informační dokument

7.   

Technická zkušebna odpovědná za provádění schvalovacích zkoušek

7.1   

datum zkušebního protokolu vydaného touto zkušebnou:

7.2   

číslo protokolu vydaného uvedenou zkušebnou (odkaz):

8.   

Přílohy

Dodatek 1:

informační dokument pro automatizované systémy řízení (viz příloha I prováděcího nařízení (EU) 2022/1426).

Dodatek 2:

Členské státy a konkrétní oblasti, v nichž byl podle prohlášení výrobce systém ADS posouzen jako vyhovující tamějším pravidlům provozu.

Seznam dokumentů obsažených ve spisu ke schválení typu a předaných správnímu orgánu, který vydal schválení. Dokumenty lze obdržet na vyžádání.

Dodatek 3:

Zpráva o posouzení bezpečnosti systému ADS/výsledky zkoušky od schvalovacího orgánu, který uděluje schválení.

Dodatek č. 4:

Osvědčení o shodě pro systém řízení kybernetické bezpečnosti


(1)  Nehodící se škrtněte.


© Evropská unie, https://eur-lex.europa.eu/ , 1998-2022
Zavřít
MENU