Règlement (UE) 2022/1426 (version consolidée)

ANNEXE I

Fiche de renseignements pour la réception UE par type de véhicules entièrement automatisés en ce qui concerne leur système de conduite automatisée

MODÈLE

Fiche de renseignements no … relative à la réception UE par type d’un véhicule entièrement automatisé en ce qui concerne son système de conduite automatisée (ADS).

Les informations suivantes doivent être fournies en triple exemplaire et accompagnées d’une liste des éléments inclus. Les dessins éventuels doivent être fournis à une échelle appropriée et avec suffisamment de détails, en format A4 ou sur un dépliant de ce format. Les photographies, s’il y en a, doivent être suffisamment détaillées.

0.

GÉNÉRALITÉS

0.1.

Marque (raison sociale du constructeur):

0.2.

Type:

0.2.1.

Dénomination(s) commerciale(s) (le cas échéant):

0.2.2.

Dans le cas des véhicules réceptionnés en plusieurs étapes, renseignements relatifs à la réception par type du véhicule de base/du véhicule de l’étape antérieure; énumérer les renseignements correspondant à chaque étape. (Cela peut se faire sous la forme d’une matrice) Type: Variante(s): Version(s): Numéro de la fiche de réception par type, y compris le numéro d’extension: …

0.3.

Moyens d’identification du type, s’il est indiqué sur le véhicule/le composant/l’entité technique distincte:

0.3.1.

Emplacement de cette marque d’identification:

0.4.

Catégorie de véhicule:

0.5.

Raison sociale et adresse du constructeur:

0.5.1.

Dans le cas des véhicules réceptionnés en plusieurs étapes, raison sociale et adresse du constructeur du véhicule de base/du véhicule au(x) stade(s) antérieur(s): …

0.6.

Emplacement et méthode de fixation des plaques réglementaires et emplacement du numéro d’identification du véhicule: …

0.6.1.

Sur le châssis: …

0.6.2.

Sur la carrosserie: …

0.8.

Nom(s) et adresse(s) du ou des atelier(s) de montage:

0.9.

Nom et adresse du mandataire du constructeur (le cas échéant):

17.

SYSTÈME DE CONDUITE AUTOMATISÉE (ADS)

17.1.

Description générale de l’ADS

17.1.1.

Domaine de conception opérationnelle/Conditions limites

17.1.2.

Performance de base [par exemple, détection d’objet et d’événement et réaction, prévision, etc.]

17.2.

Description des fonctions de l’ADS

17.2.1.

Principales fonctions de l’ADS (architecture fonctionnelle):

17.2.1.1.

Fonctions à bord du véhicule

17.2.1.2.

Fonctions à l’extérieur du véhicule (par exemple, arrière-plan, infrastructure nécessaire hors véhicule, mesures opérationnelles nécessaires)

17.3.

Aperçu des principaux composants de l’ADS

17.3.1.

Unités de contrôle

17.3.2.

Capteurs et installation des capteurs sur le véhicule

17.3.3.

Actionneurs

17.3.4.

Cartes et positionnement

17.3.5.

Autres composants matériels

17.4.

Disposition et schémas de l’ADS

17.4.1.

Disposition schématique du système (par exemple: schéma de principe)

17.4.2.

Liste et aperçu schématique des interconnexions

17.5.

Spécifications

17.5.1.

Spécifications en mode de fonctionnement normal

17.5.2.

Spécifications de fonctionnement en mode d’urgence

17.5.3.

Critères d’acceptation

17.5.4.

Démonstration de la conformité

17.6.

Concept de sécurité

17.6.1.

Déclaration du constructeur que le véhicule est exempt de risques déraisonnables

17.6.2.

Description de l’architecture des éléments logiciels (par exemple, schéma de principe)

17.6.3.

Moyens par lesquels est déterminée la réalisation de la logique du système ADS

17.6.4.

Description générale des principales dispositions de conception intégrées dans le système ADS en vue d’assurer la sûreté du fonctionnement dans des conditions de défectuosité, de perturbations opérationnelles et de survenue de conditions excédant les limites de l’ODD

17.6.5.

Description générale des grands principes sur lesquels s’appuie la réaction aux défaillances, ainsi que de la stratégie de repli y compris la stratégie d’atténuation des risques (manœuvre de risque minimal)

17.6.6.

Conditions pour déclencher une demande à l’opérateur à bord ou à l’opérateur d’intervention à distance

17.6.7.

Concept d’interaction homme/machine avec occupants du véhicule, opérateur à bord et opérateur d’intervention à distance, y compris la protection contre une simple activation/opération non autorisée et interventions

17.7.

Vérification et validation par le constructeur des prescriptions fonctionnelles, y compris l’OEDR, l’HMI, le respect des règles de circulation et la conclusion selon laquelle système est conçu de manière à ne pas présenter de risques déraisonnables pour les occupants du véhicule et les autres usagers de la route

17.7.1.

Description de l’approche adoptée

17.7.2.

Sélection de scénarios nominaux, critiques et de défaillance

17.7.3.

Description des méthodes et outils utilisés (logiciel, laboratoire, autres) et synthèse de l’évaluation de crédibilité

17.7.4.

Description des résultats

17.7.5.

Incertitude des résultats

17.7.6.

Interprétation des résultats

17.7.7.

Déclaration du constructeur: Le(s) constructeur(s) …certifie(nt) que le système ADS est exempt de risques déraisonnables pour la sécurité des occupants du véhicule et des autres usagers de la route.

17.8.

Éléments de données ADS

17.8.1.

Type de données mémorisées

17.8.2.

Emplacement de stockage

17.8.3.

Occurrences et éléments de données enregistrés

17.8.4.

Moyens employés pour assurer la sécurité et la protection des données

17.8.5.

Moyens d’accès aux données

17.9.

Cybersécurité et mise à jour des éléments logiciels

17.9.1.

Numéro de réception par type de la cybersécurité

17.9.2.

Numéro du certificat de conformité pour le système de gestion de la cybersécurité

17.9.3.

Numéro de réception par type de la mise à jour des éléments logiciels:

17.9.4.

Numéro du certificat de conformité pour le système de gestion de la mise à jour des éléments logiciels

17.9.5.

Identification du logiciel du système ADS

17.9.5.1.

Informations sur la manière de lire le code RxSWIN ou version(s) du logiciel si le code RxSWIN ne se trouve pas sur le véhicule

17.9.5.2.

Le cas échéant, liste des paramètres pertinents qui permettront l’identification des véhicules concernés qui peuvent être actualisés au moyen du logiciel représenté par le code RxSWIN visé au point 17.9.4.1

17.10.

Manuel d’utilisation (à joindre à la fiche de renseignements)

17.10.1.

Description fonctionnelle du système ADS et rôle attendu du propriétaire, de l’opérateur de service de transport, de l’opérateur à bord, de l’opérateur d’intervention à distance, etc.

17.10.2.

Mesures techniques pour un fonctionnement sûr (par exemple, description de l’infrastructure nécessaire hors véhicule, moment, fréquence et modèle des opérations de maintenance)

17.10.3.

Restrictions opérationnelles et environnementales

17.10.4.

Mesures opérationnelles (par exemple, si un opérateur à bord ou un opérateur d’intervention à distance est nécessaire)

17.10.5.

Instructions en cas de défaillance et demande du système ADS (mesures de sécurité par les occupants du véhicule, l’opérateur de service de transport, l’opérateur d’intervention à distance et les autorités publiques en cas de défaillance)

17.11.

Moyens de permettre une inspection technique périodique Liste des illustrations/tableaux Acronymes Annexe I — Manuel de simulation Annexe II — Manuel d’utilisation Note explicative La fiche de renseignements comprend les informations pertinentes pour le système de conduite automatisée et doit être complétée conformément au modèle figurant à l’annexe I du règlement d’exécution (UE) 2020/683.

ANNEXE II

Prescriptions de performances

1. DDT dans des scénarios de trafic nominaux

1.1.

Le système ADS doit être capable d’accomplir l’ensemble de la DDT.

1.1.1.

La capacité du système ADS d’accomplir l’ensemble de la DDT est déterminée dans le contexte de l’ODD du système ADS.

1.1.2.

Dans le cadre de la DDT, le système ADS doit pouvoir: a) fonctionner à des vitesses sûres et respecter les limitations de vitesse applicables au véhicule; b) maintenir des distances appropriées avec les autres usagers de la route en contrôlant le déplacement longitudinal et latéral du véhicule; c) adapter son comportement aux conditions de trafic environnantes (par exemple, en évitant de perturber le flux du trafic) d’une manière appropriée privilégiant la sécurité; d) adapter son comportement en fonction des risques pour la sécurité et en accordant la plus haute priorité à la protection de la vie humaine.

1.1.3.

Le système doit démontrer un comportement anticipatif en interaction avec les autres usagers de la route afin de garantir un comportement longitudinal, stable, de faible dynamique et un comportement minimisant le risque lorsque des situations critiques pourraient devenir imminentes, par exemple, avec des usagers vulnérables de la route (piétons, cyclistes, etc.) dissimulés et non dissimulés ou avec d’autres véhicules traversant ou coupant la route devant le véhicule entièrement automatisé.

1.1.4.

Les prescriptions relatives à la DDT doivent être respectées en marche arrière, si la marche arrière est requise par ou déclarée dans l’ODD.

1.2.

Le système ADS doit détecter et réagir de manière appropriée aux objets et événements pertinents pour la DDT dans de cadre de l’ODD. Ces objets et événements pourraient inclure, sans s’y limiter: a) des véhicules à moteur et autres usagers de la route tels que des motocycles, des bicyclettes, des scooters, des utilisateurs de fauteuil roulant, des piétons et des obstacles (par exemple, des débris, des chargements tombés); b) des accidents de la route; c) des embouteillages; d) des travaux routiers; e) des agents de sécurité ou de police; f) des véhicules d’urgence; g) des panneaux de circulation, des marquages au sol; h) des conditions environnementales (par exemple, vitesse plus lente à cause de la pluie, neige).

1.3.

Le système ADS doit respecter les règles de circulation du pays d’utilisation.

1.3.1.

Le système ADS doit interagir de façon sûre avec les autres usagers de la route, conformément aux règles de circulation, notamment: a) en signalant les intentions de manœuvre (par exemple, en utilisant les clignotants); b) en utilisant le dispositif d’avertissement sonore lorsque cela est approprié; c) en interagissant de façon sûre avec les agents de la sécurité routière/agents de police, le personnel d’entretien des routes, le personnel des services d’urgence, les inspecteurs de la voirie, etc.; d) pour les véhicules bimodes, le statut du système ADS (mode conduite manuelle ou mode conduite entièrement automatisée) doit être reconnaissable par les agents de la sécurité routière/les agents de police.

1.3.2.

En l’absence de règles de circulation spécifiques, les véhicules équipés d’un système ADS destinés à transporter des occupants debout ou non attachés ne doivent pas dépasser une accélération horizontale combinée de 2,4 m/s2 (en valeur absolue et calculée comme étant la combinaison de l’accélération latérale et longitudinale), et un à-coup de 5 m/s3. En fonction des facteurs influençant le risque pour les occupants et les autres usagers de la route, il pourrait être approprié de dépasser ces limites, notamment lors d’actions urgentes.

2. DDT dans des scénarios de trafic critiques (action urgente)

2.1.

Le système ADS doit pouvoir accomplir la DDT pour tous les scénarios de trafic critiques raisonnablement prévisibles dans l’ODD.

2.1.1.

Le système ADS doit pouvoir détecter le risque de collision avec d’autres usagers de la route, ou un obstacle apparaissant soudainement (débris, chargement tombé) et il doit pouvoir accomplir automatiquement l’action urgente appropriée (freiner, contourner) afin d’éviter des collisions raisonnablement prévisibles et de minimiser les risques pour la sécurité des occupants du véhicule et des autres usagers de la route.

2.1.1.1.

Dans le cas d’un autre risque inévitable pour la vie humaine, le système ADS ne doit pas effectuer de pondération sur la base de caractéristiques personnelles de personnes humaines.

2.1.1.2.

La protection de la vie humaine à l’extérieur du véhicule entièrement automatisé ne doit pas être subordonnée à la protection de la vie humaine à l’intérieur du véhicule entièrement automatisé.

2.1.2.

La vulnérabilité des usagers de la route impliqués devrait être prise en compte par la stratégie d’évitement/atténuation.

2.1.3.

Après la manœuvre d’évitement, le véhicule doit viser à reprendre un déplacement stable aussitôt que cela est techniquement possible.

2.1.4.

Le signal d’activation des feux de détresse doit être émis automatiquement conformément aux règles de circulation. Si le véhicule entièrement automatisé repart automatiquement, le signal de désactivation des feux de détresse doit être émis automatiquement.

2.1.5.

Dans le cas d’un accident de circulation impliquant le véhicule entièrement automatisé, le système ADS doit viser à arrêter le véhicule entièrement automatisé et à effectuer une manœuvre de risque minimal pour atteindre l’état de risque minimal. La reprise du fonctionnement normal du système ADS ne doit pas être possible avant que l’état de fonctionnement sûr du véhicule entièrement automatisé ait été confirmé par les autocontrôles du système ADS et/ou l’opérateur à bord (le cas échéant) ou l’opérateur d’intervention à distance (le cas échéant).

3. DDT aux limites de l’ODD

3.1.

Le système ADS doit reconnaître les conditions de son ODD et les limites de l’ODD.

3.1.1.

Le système ADS doit pouvoir déterminer si les conditions d’activation du système ADS sont réunies.

3.1.2.

Le système ADS doit détecter et réagir lorsqu’une ou plusieurs conditions de l’ODD ne sont pas ou plus remplies.

3.1.3.

Le système ADS doit pouvoir anticiper les sorties de l’ODD.

3.1.4.

Les conditions et les limites de l’ODD sont établies par le constructeur.

3.1.4.1.

Les conditions de l’ODD que le système ADS doit pouvoir reconnaître comprennent: a) les précipitations (pluie, neige); b) le moment de la journée; c) l’intensité de la lumière, y compris lorsque des dispositifs d’éclairage sont utilisés; d) la brume, le brouillard; e) les marquages de voie et les marquages au sol; f) la catégorie de route (par exemple, nombre de voies de circulation, voies séparées); g) la zone géographique (le cas échéant).

3.1.5.

Lorsque le système ADS atteint les limites de l’ODD, il effectue une MRM pour atteindre une MRC et en avertit l’opérateur à bord (le cas échéant)/l’opérateur à distance (le cas échéant).

4. DDT dans des scénarios de défaillance

4.1.

Le système ADS détecte et réagit au comportement défectueux du système ADS ou/et du véhicule.

4.1.1.

Le système ADS effectue un autodiagnostic des défauts et défaillances.

4.1.2.

Le système ADS évalue sa capacité d’accomplir l’ensemble de la DDT.

4.1.2.1.

Le système ADS réagit de façon sûre à un défaut/une défaillance dans le système ADS qui ne compromet pas de manière significative la performance du système ADS.

4.1.2.2.

Le système ADS exécute une MRM pour atteindre une MRC dans le cas d’une défaillance du système ADS et/ou d’un autre système du véhicule qui empêche le système ADS d’accomplir la DDT.

4.1.2.3.

Dès qu’il les détecte, le système ADS signale les défaillances majeures et le statut opérationnel qui en résulte aux occupants du véhicule, à l’opérateur à bord (le cas échéant) ou à l’opérateur d’intervention à distance (le cas échéant), ainsi qu’aux autres usagers de la route conformément aux règles de circulation (par exemple, activation des feux de détresse).

4.1.2.4.

Si des défaillances affectent l’efficacité du freinage ou de la direction du véhicule, la MRM est exécutée compte tenu de l’efficacité résiduelle.

5. Manœuvre de risque minimal (MRM) et condition de risque minimal (MRC)

5.1.

Au cours de la MRM, le véhicule entièrement automatisé équipé d’un système ADS ralentit de manière à atteindre une demande de décélération n’excédant pas 4,0 m/s2, jusqu’à l’arrêt complet à un endroit le plus sûr possible en tenant compte du trafic environnant et de l’infrastructure routière. Des valeurs de demande de décélération plus élevées sont permises en cas de défaillance grave du système ADS ou du véhicule entièrement automatisé.

5.2.

Le système ADS signale son intention de placer le véhicule entièrement automatisé dans une MRC aux occupants du véhicule entièrement automatisé ainsi qu’aux autres usagers de la route conformément aux règles de circulation (par exemple, en activant les feux de détresse).

5.3.

Le véhicule entièrement automatisé ne quitte la MRC qu’après confirmation par les autocontrôles du système ADS ou/et par l’opérateur à bord (le cas échéant) ou l’opérateur d’intervention à distance (le cas échéant) que la ou les causes de la MRM ne sont plus présentes.

6. Interaction homme-machine

6.1.

Des informations adéquates doivent être données aux occupants du véhicule entièrement automatisé chaque fois que cela est nécessaire au fonctionnement en toute sécurité et au sujet des risques pour la sécurité.

6.2.

Si un opérateur d’intervention à distance fait partie du concept de sécurité du système ADS, le véhicule entièrement automatisé doit fournir aux occupants du véhicule les moyens d’appeler un opérateur d’intervention à distance via une interface audiovisuelle à bord du véhicule entièrement automatisé. Des signes non ambigus doivent être utilisés pour l’interface audiovisuelle (par exemple, ISO 7010 E004).

6.3.

Le système ADS doit fournir aux occupants du véhicule le moyen de demander une manœuvre de risque minimal pour arrêter le véhicule entièrement automatisé. En cas d’urgence: a) pour les véhicules équipés de portes à ouverture automatique, le déverrouillage des portes s’effectue automatiquement dès que cela peut se faire en toute sécurité; b) un moyen doit être donné aux passagers pour sortir d’un véhicule à l’arrêt (ouverture des portes ou via une sortie d’urgence).

6.4.

Si un opérateur d’intervention à distance fait partie du concept de sécurité de l’ADS, le véhicule entièrement automatisé doit fournir des moyens de vision (par exemple, des caméras conformément au chapitre 6 de ISO16505:2019) de l’espace occupants à l’intérieur du véhicule et des alentours du véhicule afin de permettre à l’opérateur d’intervention à distance d’évaluer la situation à l’intérieur et à l’extérieur du véhicule.

6.5.

Si un opérateur d’intervention à distance fait partie du concept de sécurité du système ADS, il doit être possible, pour l’opérateur d’intervention à distance, d’ouvrir à distance la porte de service à commande électrique.

6.6.

Le système ADS doit activer les systèmes pertinents du véhicule lorsque cela est nécessaire et applicable (par exemple, ouvrir les portes, actionner les essuie-glace en cas de pluie, allumer le chauffage, etc.).

7. Sûreté fonctionnelle et opérationnelle

7.1.

Le constructeur doit démontrer qu’un degré acceptable de prise en considération a été accordé à la sûreté fonctionnelle et opérationnelle pour le système ADS lors de ses processus de conception et de développement. Les mesures mises en place par le constructeur doivent garantir que le véhicule entièrement automatisé est exempt de risques déraisonnables pour la sécurité des occupants du véhicule et les autres usagers de la route tout au long de la durée de vie du véhicule par rapport à des services et situations de transport comparables dans les limites du domaine d’utilisation.

7.1.1.

Le constructeur doit définir les critères d’acceptation à partir desquels les cibles de validation du système ADS sont dérivées afin d’évaluer le risque résiduel pour l’ODD en prenant en compte, si disponibles, des données d’accident existantes (1), des données sur les performances de véhicules conduits manuellement de façon compétente et prudente et de l’état de l’art technologique.

7.2.

Le constructeur doit avoir mis en place des processus de gestion de la sécurité et de la conformité permanente du système ADS tout au long de sa durée de vie (usure et endommagement de composants, en particulier les capteurs, nouveaux scénarios de trafic, etc.).

8. Cybersécurité et mises à jour des éléments logiciels

8.1.

Le système ADS doit être protégé d’un accès illicite conformément au règlement ONU no 155 (2).

8.2.

Le système ADS doit être compatible avec les mises à jour des éléments logiciels. L’efficacité des procédures et processus de mise à jour des éléments logiciels concernant le système ADS doit être démontrée par le respect des prescriptions du règlement ONU no 156 (3).

8.2.1.

Comme spécifié dans le règlement sur la mise à jour des éléments logiciels et le système de gestion de la mise à jour des éléments logiciels, pour faire en sorte que les logiciels du système puissent être identifiés, un code R 2022/1426SWIN doit être utilisé. Le code R 2022/1426SWIN peut être conservé à bord du véhicule ou, si le code R 2022/1426SWIN n’est pas conservé à bord du véhicule, le constructeur doit déclarer à l’autorité compétente en matière de réception par type la ou les versions du ou des logiciels du véhicule ou des unités ECU individuelles en liaison avec les réceptions par type concernées.

8.2.2.

Le constructeur doit fournir les informations suivantes dans la fiche de renseignements: a) le code R 2022/1426SWIN; b) la manière de lire le code R 2022/1426SWIN ou la ou les versions dans le cas où le code R 2022/1426SWIN n’est pas conservé à bord du véhicule.

8.2.3.

Le constructeur peut inclure dans la fiche de renseignements une liste des paramètres pertinents qui permettront l’identification des véhicules qui peuvent être mis à jour avec le logiciel représenté par le code R 2022/1426SWIN. Les informations fournies doivent être déclarées par le constructeur et ne peuvent pas être vérifiées par une autorité compétente en matière de réception par type.

8.2.4.

Le constructeur peut obtenir une nouvelle réception par type de véhicule afin de différencier des versions d’un logiciel destinées à être utilisées sur des véhicules déjà immatriculés sur le marché de versions qui sont utilisées sur les nouveaux véhicules. Ceci peut couvrir les situations dans lesquelles des règlements relatifs à la réception par type sont actualisés ou des changements de matériel sont effectués sur des véhicules de la production en série. En accord avec l’autorité compétente en matière de réception par type, la répétition d’essais est à éviter autant que possible.

9. Prescriptions relatives aux données des systèmes ADS et éléments de données spécifiques pour les enregistreurs de données d’événement destinés aux véhicules entièrement automatisés

9.1.

Le système ADS doit enregistrer les occurrences suivantes chaque fois que le système ADS est activé:

9.1.1.

Activation/réinitialisation du système ADS (si applicable)

9.1.2.

Désactivation du système ADS (si applicable)

9.1.3.

Demande envoyée par le système ADS à l’opérateur d’intervention à distance (si applicable)

9.1.4.

Demande/Commande envoyée par l’opérateur d’intervention à distance (si applicable)

9.1.5.

Début d’action urgente

9.1.6.

Fin d’action urgente

9.1.7.

Impliqué dans une collision détectée

9.1.8.

Commande de déclenchement de l’enregistreur de données d’événement (EDR)

9.1.9.

Engagement d’une manœuvre de risque minimal par le système ADS

9.1.10.

Condition de risque minimal atteinte par le véhicule entièrement automatisé

9.1.11.

Défaillance du système ADS (Description)

9.1.12.

Défaillance du véhicule

9.1.13.

Engagement de la procédure de changement de voie

9.1.14.

Fin de la procédure de changement de voie

9.1.15.

Interruption de la procédure de changement de voie

9.1.16.

Engagement de la traversée volontaire de voie

9.1.17.

Fin de la traversée volontaire de voie

9.2.

Les drapeaux d’occurrences pour les points 9.1.13, 9.1.14, 9.1.16 et 9.1.17 ne doivent être mémorisés que s’ils apparaissent dans les 30 secondes précédant les occurrences des points 9.1.5, 9.1.7, 9.1.15 ou 9.1.8:

9.3.

Éléments de données du système ADS

9.3.1.

Pour chaque occurrence énumérée au point 9.1, les éléments de données suivants doivent être enregistrés d’une manière clairement identifiable:

9.3.2.

Drapeau d’occurrence enregistrée

9.3.3.

Raison de l’occurrence, le cas échéant,

9.3.4.

Date (résolution: yyyy/mm/dd);

9.3.5.

Position (coordonnées GPS)

9.3.6.

Horodatage: a) résolution: hh/mm/ss timezone (par exemple, 12:59:59 UTC); b) justesse: +/– 1,0 seconde.

9.4.

Pour chaque occurrence enregistrée, le code RXSWIN, ou les versions du logiciel, indiquant le logiciel qui était présent lorsque l’événement s’est produit, doit être clairement identifiable.

9.5.

Un seul horodatage peut être autorisé pour des éléments multiples enregistrés simultanément dans la résolution de l’horodatage des éléments de données spécifiques. Si plus d’un élément est enregistré avec le même horodatage, l’information des éléments individuels doit indiquer l’ordre chronologique.

9.6

Disponibilité des données

9.6.1.

Les éléments de données du système ADS doivent être disponibles sous réserve de prescriptions spécifiées dans la législation européenne ou nationale (4).

9.6.2.

Une fois que la capacité de stockage atteint sa limite, les données existantes ne sont écrasées qu’à la suite d’une procédure premier arrivé, premier sorti et dans le respect des prescriptions pertinentes relatives à la disponibilité des données. Des éléments de preuve documentés concernant la capacité de stockage doivent être fournis par le constructeur.

9.6.3.

Pour les véhicules des catégories M1 et N1 , les éléments de données doivent pouvoir être récupérés même après un impact d’un niveau de sévérité fixé par les règlements ONU nos 94 (5), 95 (6) ou 137 (7).

9.6.4.

Pour les véhicules des catégories M2, M3, N2 et N3, les éléments de données énumérés au point 9.2 doivent pouvoir être récupérés, même après un impact. Pour démontrer cette capacité, les dispositions suivantes s’appliquent: soit: a) un choc mécanique est appliqué au(x) dispositif(s) de stockage de données à bord, le cas échéant, à un niveau de sévérité spécifié dans l’essai du composant à l’annexe 9C du règlement ONU no 100, série 03 d’amendements (8), et b) le ou les dispositifs de stockage de données à bord sont montés dans la cabine/le compartiment passagers du véhicule ou à un endroit où l’intégrité structurelle est suffisante pour les protéger de dommages physiques susceptibles d’empêcher la récupération des données. Cela doit être démontré au service technique avec la documentation appropriée (par exemple, des calculs ou des simulations); soit: c) le constructeur démontre que les prescriptions du point 9.6.3 sont respectées (par exemple, pour des véhicules M2/N2 dérivés de véhicules M1/N1).

9.6.5.

Si la source d’alimentation principale à bord du véhicule n’est pas disponible, il doit néanmoins être possible de récupérer toutes les données enregistrées.

9.6.6.

Les données stockées doivent être aisément lisibles d’une manière normalisée en utilisant une interface de communication électronique, au moins via l’interface normalisée (port OBD).

9.7.

Éléments de données spécifiques pour les enregistreurs de données d’événement destinés aux véhicules entièrement automatisés

9.7.1.

Pour les véhicules équipés d’un enregistreur de données d’événement conformément à l’article 6 du règlement (UE) 2019/2144, il doit être possible de récupérer, via l’interface normalisée (port OBD), les éléments de données du système ADS visés aux points 9.3.1 et 9.3.2 enregistrés pendant au moins les 30 dernières secondes avant le dernier réglage du drapeau d’occurrence «Event Data Recorder (EDR) trigger input» (commande d’enclenchement de l’EDR), ainsi que les éléments de données spécifiés à l’annexe 4 (données EDR) du règlement ONU no 160 (9).

9.7.2.

En l’absence de toute occurrence visée au point 9.1 dans les 30 secondes précédant le dernier réglage du drapeau d’occurrence «Event Data Recorder (EDR) trigger input» (commande d’enclenchement de l’EDR), il doit être possible de récupérer, parallèlement aux données EDR, au moins les éléments de données correspondant aux dernières occurrences faisant partie du même cycle d’alimentation électrique visés aux points 9.1.1 et 9.1.2.

9.7.3.

Les éléments de données récupérés conformément au point 9.7.1 ou 9.7.2 ne doivent pas inclure la date et l’horodatage, ni aucune autre information permettant d’identifier le véhicule, son utilisateur ou son propriétaire. L’horodatage doit être remplacé plutôt par des informations représentant l’intervalle de temps entre le drapeau d’occurrence «Event Data Recorder (EDR) trigger input» (commande d’enclenchement de l’EDR) et le drapeau d’occurrence de l’élément de données ADS respectif.

9.8.

Le constructeur doit fournir des instructions sur la manière d’accéder aux données.

9.9.

Protection contre les manipulations

9.9.1.

Une protection adéquate contre la manipulation (par exemple, l’effacement de données) des données mémorisées doit être garantie, par exemple en utilisant une conception anti-effraction.

10. Mode de conduite manuelle

10.1.

Si le système ADS permet la conduite manuelle du véhicule entièrement automatisé pour les besoins de la maintenance ou de la reprise en main à la suite d’une manœuvre de risque minimal, le véhicule doit être limité à 6 km/h et être équipé de moyens qui permettent à la personne conduisant le véhicule d’accomplir la tâche de conduite en toute sécurité, conformément au concept de sécurité du constructeur. Excepté en cas de défaillance, le système ADS doit continuer de détecter les obstacles (par exemple, des véhicules, un piéton) dans la zone de manœuvre et assister le conducteur en arrêtant immédiatement le véhicule afin d’éviter une collision.

10.2.

Si la conduite manuelle est limitée à 6 km/h, il n’est pas nécessaire que le conducteur reste à bord du véhicule entièrement automatisé. La commande peut être exécutée via une télécommande située à proximité du véhicule, à condition que le véhicule reste dans la ligne de vue directe du conducteur. La distance maximale sur laquelle la télécommande est possible ne doit pas dépasser 10 mètres.

10.3.

Si, en conduite manuelle, le véhicule peut être conduit à des vitesses supérieures à 6 km/h, il est considéré comme un véhicule bimodes.

11. Manuel d’utilisation

11.1.

Le constructeur doit rédiger un manuel d’utilisation. L’objet du manuel d’utilisation est de garantir l’utilisation en toute sécurité du véhicule entièrement automatisé au moyen d’instructions détaillées s’adressant au propriétaire, aux occupants du véhicule, à l’opérateur du service de transport, à l’opérateur à bord, à l’opérateur d’intervention à distance et aux autorités nationales concernées. Lorsque le véhicule entièrement automatisé inclut la possibilité d’une conduite manuelle pour les besoins de la maintenance ou de la reprise en main à la suite d’une manœuvre de risque minimal, cela doit également être couvert par le manuel d’utilisation.

11.2.

Le manuel d’utilisation doit inclure la description fonctionnelle du système ADS.

11.3.

Le manuel d’utilisation doit inclure les mesures techniques (par exemple, les contrôles et les travaux d’entretien du véhicule et de l’infrastructure extérieure au véhicule, les exigences relatives au transport et à l’infrastructure physique, notamment les marqueurs de localisation et les capteurs de perception), les restrictions d’utilisation (par exemple, limite de vitesse, site propre, séparation physique du trafic en sens inverse), les conditions environnementales (par exemple, absence de neige) et les mesures opérationnelles (par exemple, présence d’un opérateur à bord ou d’un opérateur d’intervention à distance) nécessaires pour garantir la sécurité pendant l’utilisation du véhicule entièrement automatisé.

11.4.

Le manuel d’utilisation doit décrire les instructions destinées aux occupants du véhicule, à l’opérateur du service de transport, à l’opérateur à bord (le cas échéant) et à l’opérateur d’intervention à distance (le cas échéant), ainsi qu’aux autorités publiques, en cas de défaillances et de demande de la part du système ADS.

11.5.

Le manuel d’utilisation doit énoncer des règles pour la bonne exécution des opérations de maintenance, des essais d’ensemble et des examens ultérieurs.

11.6.

Le manuel d’utilisation doit être remis à l’autorité compétente en matière de réception par type en même temps que la demande de réception par type et il doit être joint à la fiche de réception par type.

11.7.

Le manuel d’utilisation doit être remis au propriétaire et, le cas échéant à l’opérateur du service de transport, à l’opérateur à bord (le cas échéant), à l’opérateur d’intervention à distance (le cas échéant) et aux autorités nationales concernées.

12. Prescriptions relatives au contrôle technique périodique

12.1.

Aux fins du contrôle technique périodique des véhicules, il doit être possible de vérifier les caractéristiques suivantes du système ADS:

a)

son état opérationnel correct, par observation visuelle de l’état du signal d’avertissement de défaillance après activation du commutateur principal du véhicule et contrôle des ampoules. Si le signal d’avertissement de défaillance est affiché dans un espace commun (la zone où deux fonctions d’information/symboles ou plus peuvent être affichés, mais pas simultanément), il faut d’abord s’assurer que l’espace commun fonctionne correctement avant de vérifier l’état du signal d’avertissement de défaillance;

b)

son fonctionnement correct et l’intégrité du logiciel par l’utilisation d’une interface électronique avec le véhicule, telle que celle décrite au point I.(14) de l’annexe III de la directive 2014/45/UE du Parlement européen et du Conseil (10), lorsque les caractéristiques techniques du véhicule le permettent et les données nécessaires sont disponibles. Les constructeurs veillent à fournir les informations techniques nécessaires à l’utilisation de l’interface électronique avec le véhicule conformément à l’article 6 du règlement d’exécution (UE) 2019/621 de la Commission (11).

---

(1) Par exemple, sur la base des données d’accident actuelles concernant les bus, les cars et les voitures dans l’Union, un critère d’acceptation agrégé indicatif de 107 décès par heure de fonctionnement pourrait être envisagé pour l’introduction sur le marché de systèmes ADS dans des services et situations de transport comparables. Le constructeur peut utiliser d’autres paramètres et méthodes à condition de pouvoir démontrer que ceux-ci conduisent à une absence de risque déraisonnable pour la sécurité par rapport à des services et situations de transport comparables dans les limites du domaine opérationnel.

(2) JO L 82 du 9.3.2021, p. 30.

(3) JO L 82 du 9.3.2021, p. 60.

(4) Une capacité de stockage de 2 500 horodatages pour correspondre à une période de 6 mois d’utilisation est recommandée.

(5) JO L 392 du 5.11.2021, p. 1.

(6) JO L 392 du 5.11.2021, p. 62.

(7) JO L 392 du 5.11.2021, p. 130.

(8) JO L 449 du 15.12.2021, p. 1.

(9) JO L 265 du 26.7.2021, p. 3.

(10) Directive 2014/45/UE du Parlement européen et du Conseil du 3 avril 2014 relative au contrôle technique périodique des véhicules à moteur et de leurs remorques, et abrogeant la directive 2009/40/CE (JO L 127 du 29.4.2014, p. 51).

(11) Règlement d’exécution (UE) 2019/621 de la Commission du 17 avril 2019 relatif aux informations techniques nécessaires au contrôle technique des points à contrôler et à la mise en œuvre des méthodes de contrôle recommandées, et portant établissement de règles détaillées concernant le format des données et les procédures d’accès aux informations techniques pertinentes (JO L 108 du 23.4.2019, p. 5).

ANNEXE III

Évaluation de la conformité

L’évaluation de la conformité globale du système ADS s’appuie sur:

—	Partie 1: les scénarios de trafic à prendre en considération

—	Partie 2: l’évaluation du concept de sécurité du système ADS et l’audit du système de gestion de la sécurité mis en place par le constructeur

—	Partie 3: les essais pour les scénarios de trafic les plus pertinents

—	Partie 4: les principes à utiliser pour l’évaluation de la crédibilité du recours à une chaîne d’outils virtuelle pour valider le système ADS

—	Partie 5: le système mis en place par le constructeur pour assurer la communication en service

Toute exigence de l’annexe II peut être contrôlée au moyen d’essais réalisés par l’autorité compétente en matière de réception par type (ou son service technique).

PARTIE 1

Scénarios de trafic à considérer

1.

Ensemble minimum de scénarios de trafic

1.1.

Les scénarios et paramètres énumérés au point 1 doivent être utilisés, lorsque ces scénarios sont pertinents pour l’ODD du système ADS. Si le constructeur dévie des paramètres proposés au point 1, les mesures de la performance en matière de sécurité et les hypothèses inhérentes utilisées par le constructeur doivent être documentées dans le dossier d’information. Les mesures de la performance en matière de sécurité et les hypothèses inhérentes choisies doivent démontrer que le véhicule entièrement automatisé est exempt de risques déraisonnables pour la sécurité. La validité de ces mesures de la performance en matière de sécurité et hypothèses inhérentes doit être étayée par des données de surveillance en service.

1.2.

Paramètres à utiliser pour les scénarios de changement de voie par les véhicules entièrement automatisés

1.2.1.

Les scénarios et paramètres, en ce qui concerne le changement de voie, doivent être appliqués comme spécifié dans le règlement ONU no 157 (1).

1.3.

Paramètres à utiliser pour le scénario de changement de direction et de croisement par les véhicules entièrement automatisés

1.3.1.

En l’absence de règles de circulation plus spécifiques, les prescriptions suivantes doivent être prises en compte en ce qui concerne l’interaction avec d’autres usagers de la route impliqués dans le mouvement lors du changement et du croisement (voir figure 1) dans des conditions de revêtement routier sec et propre.

1.3.2.

Dans le cas où le véhicule doit s’insérer dans une voie de circulation prioritaire lors d’un changement de direction avec et sans croisement de la voie de circulation en sens inverse, le trafic prioritaire sur la voie cible ne devrait pas avoir à décélérer. Toutefois, il convient de faire en sorte que le TTC du trafic prioritaire approchant sur la voie cible (cas a) de la figure 1) ne descende jamais en dessous du seuil TTC dyn définit comme: avec: v e égal à la vitesse du véhicule entièrement automatisé; v a égal à la vitesse du trafic prioritaire approchant; β égal à 3 m/s2 c’est-à-dire la décélération maximale admissible pour le trafic prioritaire approchant; ρ égal à 1,5 s c’est-à-dire le temps de réaction du trafic prioritaire approchant.

1.3.3.

Dans le cas d’une manœuvre de changement de direction croisant la voie de circulation en sens opposé, le trafic prioritaire venant en sens opposé sur la voie cible ne devrait pas avoir à décélérer. Toutefois, si la densité du trafic le justifie, il convient de faire en sorte que — en plus de la distance du trafic prioritaire approchant sur la voie cible — le TTC du trafic croisant prioritaire au point de collision fictif (point d’intersection des trajectoires, cas b) de la figure 1) ne descende jamais en dessous du seuil TTC int défini comme: avec: v c égal à la vitesse du trafic croisant prioritaire; β égal à 3 m/s2 c’est-à-dire la décélération maximale admissible pour le trafic croisant prioritaire; ρ égal à 1,5 s c’est-à-dire le temps de réaction du trafic croisant prioritaire. Il en va de même pour le croisement avec le trafic prioritaire (cas c) de la figure 1): Le TTC du trafic prioritaire au point de collision imaginaire (point d’intersection des trajectoires) ne doit jamais tomber en dessous du seuil TTC int défini dans le présent point. Figure 1: Visualisation des distances lors des changements de direction et croisements Cas a) Distance du trafic prioritaire approchant sur la voie cible à observer lors de la manœuvre d’engagement dans la circulation prioritaire. Cas b) Distance du trafic prioritaire venant en sens inverse à observer lorsque le véhicule tourne en croisant le trafic circulant dans la direction opposée. Cas c): distance du trafic croisant prioritaire à respecter lors d’un croisement.

1.4.

Paramètres à utiliser pour les scénarios de manœuvre d’urgence par le véhicule entièrement automatisé (DDT dans les scénarios critiques)

1.4.1.

Le système ADS doit éviter une collision avec un véhicule le précédant qui décélère jusqu’à sa pleine capacité de freinage pour autant qu’un autre véhicule ne lui fasse pas une queue de poisson.

1.4.2.

Les collisions avec des véhicules, piétons et cyclistes qui font une queue de poisson tout en se déplaçant dans le même sens, ainsi qu’avec des piétons qui peuvent s’engager pour traverser, doivent être évitées au moins dans les conditions déterminées par l’équation suivante. avec: étant le temps avant collision au moment de la queue de poisson du véhicule ou cycliste de plus de 30 cm dans la voie du véhicule entièrement automatisé. v rel étant la vitesse relative en mètres par seconde [m/s] entre le véhicule entièrement automatisé et le véhicule faisant la queue de poisson (positive si le système ADS est plus rapide que le véhicule faisant la queue de poisson). β étant la décélération maximale du véhicule entièrement automatisé, supposée égale à: 2,4 m/s2 s’il transporte des occupants debout ou non attachés et que l’on se trouve dans le scénario d’un véhicule faisant une queue de poisson; 6 m/s2 s’il transporte des occupants debout ou non attachés et que l’on se trouve dans d’autres scénarios impliquant des piétons ou des cyclistes; 6 m/s2 pour les autres véhicules entièrement automatisés. ρ étant le temps nécessaire pour que le véhicule entièrement automatisé amorce un freinage d’urgence, supposé être égal à 0,1 s. τ étant le temps nécessaire pour atteindre la décélération maximale β, supposée être égal à: 0,12 s pour les véhicules entièrement automatisés transportant des occupants debout ou non attachés; 0,3 s pour les autres véhicules entièrement automatisés. La conformité à cette équation est requise uniquement pour les usagers de la route faisant une queue de poisson et uniquement si ceux-ci étaient visibles au moins 0,72 seconde avant qu’ils ne fassent la queue de poisson: Cela se traduit par un évitement de collision requis lorsqu’un autre usager de la route s’engage sur la voie au-dessus des valeurs TTC suivantes (par exemple, présentées pour des incréments de vitesse de 10 km/h). Ces prescriptions doivent être satisfaites indépendamment des conditions environnementales. v rel [km/h] [s] pour les véhicules transportant des occupants debout ou non attachés [s] pour les autres véhicules 10 0,74 0,48 20 1,32 0,71 30 1,9 0,94 40 2,47 1,18 50 3,05 1,41 60 3,63 1,64 Si un changement de voie avec un TTC plus bas est effectué sur la voie d’un véhicule entièrement automatisé, il ne peut plus être supposé qu’il n’y aura pas d’évitement de collision. La stratégie de commande du système ADS peut changer entre l’évitement de collision et l’atténuation de collision uniquement si le constructeur peut démontrer que cela accroît la sécurité des occupants du véhicule et des autres usagers de la route (par exemple, en privilégiant un freinage plutôt qu’une autre manœuvre).

1.4.3.

Le système ADS doit éviter une collision avec un piéton ou un cycliste traversant la route devant le véhicule.

1.4.3.1.

Conditions de conduite urbaine et hors agglomérations

1.4.3.1.1.

Le système ADS doit éviter une collision, jusqu’à une vitesse de 60 km/h, avec un piéton non caché traversant devant le véhicule avec une composante de vitesse de déplacement latéral n’excédant pas 5 km/h ou un cycliste non caché traversant avec une composante de vitesse de déplacement latéral n’excédant pas 15 km/h. Cela doit être garanti indépendamment de la manœuvre spécifique que le système ADS effectue.

1.4.3.1.2.

Dans le cas où le piéton ou le cycliste se déplace à une vitesse supérieure aux valeurs susmentionnées et où le système ADS ne peut plus éviter la collision, la stratégie de commande du système ADS peut changer entre évitement de collision et atténuation de collision uniquement si le constructeur peut démontrer que cela accroît la sécurité des occupants du véhicule et des autres usagers de la route (par exemple, en privilégiant le freinage par rapport à une autre manœuvre).

1.4.3.1.3.

Le système ADS doit atténuer une collision avec un piéton ou un cycliste caché traversant devant le véhicule en réduisant sa vitesse à l’impact d’au moins 20 km/h. Cela doit être garanti indépendamment de la manœuvre spécifique que le système ADS effectue.

1.4.3.1.4.

Afin de démontrer le respect des prescriptions précédentes relatives à la traversée de piétons et de cyclistes devant le véhicule, les scénarios d’essai et d’évaluation élaborés par le programme Euro NCAP (programme européen d’évaluation des nouveaux modèles de voitures) peuvent servir de guides.

1.4.3.2.

Conditions de conduite sur autoroute

1.4.3.2.1.

Les scénarios pertinents, en ce qui concerne la traversée de piétons, doivent être appliqués comme spécifié dans le règlement ONU no 157.

1.4.3.2.2.

Dans le cas où le piéton traverse avec des valeurs des paramètres dépassant les limites spécifiées dans le règlement ONU no 157 et où le système ADS ne peut plus éviter la collision, la stratégie de commande du système ADS peut changer entre évitement de collision et atténuation de collision uniquement si le constructeur peut démontrer que cela accroît la sécurité des occupants du véhicule et des autres usagers de la route (par exemple, en privilégiant le freinage par rapport à une autre manœuvre).

1.5.

Accès à l’autoroute Le véhicule entièrement automatisé doit être capable de monter en toute sécurité sur l’autoroute en adaptant la vitesse au flux du trafic, et activer l’indicateur de direction approprié conformément aux règles de circulation. L’indicateur de direction doit être désactivé une fois que le véhicule a accompli la manœuvre de changement de voie (LCM). Les paramètres utilisés dans le scénario de changement de voie doivent être appliqués.

1.6.

Sortie de l’autoroute Le véhicule entièrement automatisé doit être capable d’anticiper la sortie d’autoroute visée en roulant sur la voie adjacente à la voie de sortie et ne doit pas décélérer sans nécessité avant d’entamer la LCM vers la sortie. Le véhicule entièrement automatisé doit activer l’indicateur de direction conformément aux règles de circulation et accomplir la LCM vers la sortie sans retard indu. L’indicateur de direction doit être désactivé une fois que la LCM a été accomplie, conformément aux règles de circulation dans le pays d’utilisation.

1.7.

Passage d’un péage En fonction de l’ODD, le véhicule entièrement automatisé doit être capable de sélectionner le bon portique de passage et adapter sa vitesse dans les limites permises dans la zone du péage tout en tenant compte du flux du trafic.

1.8.

Utilisation sur d’autres types de route que les autoroutes En fonction de l’ODD, le scénario pertinent défini aux points 1.2 à 1.4 ci-dessus doit être appliqué.

1.9.

Paramètres à utiliser pour le service voiturier automatisé

1.9.1.

En fonction de l’ODD, les scénarios pertinents définis aux points 1.3 à 1.5 ci-dessus doivent être appliqués. Les paramètres à utiliser pour ces scénarios peuvent devoir être adaptés pour tenir compte de la vitesse de conduite limitée et de l’absence générale de visibilité qui peut prévaloir au site de stationnement. Il convient de veiller surtout à éviter une collision avec des piétons et en particulier avec des enfants et des landaus.

2.

Scénarios non couverts par le point 1.

2.1.

Les scénarios qui ne figurent pas au point 1 doivent être générés pour couvrir les situations critiques raisonnablement prévisibles, y compris les défaillances et les dangers du trafic à l’intérieur du domaine de conception opérationnelle.

2.2.

Lorsque les capacités du système ADS dépendent de capacités à distance, les scénarios doivent inclure les défaillances et les dangers du trafic provenant des capacités à distance correspondantes.

2.3.

La méthode pour générer des scénarios qui ne sont pas énumérés dans la section 1 doit suivre les principes exposés dans l’appendice 1 de la partie 1 de la présente annexe.

2.4.

La méthode utilisée par le constructeur pour générer des scénarios qui ne figurent pas au point 1 doit être documentée dans le dossier d’informations à fournir pour l’évaluation du système ADS. Appendice 1 Principes à suivre pour dériver des scénarios pertinents pour l’ODD du système ADS 1. Génération et classification des scénarios Dans une perspective qualitative, les scénarios peuvent être classés comme Nominal/Critique/Défaillance et correspondre à un fonctionnement en mode normal ou urgent. Pour chacune de ces catégories, une approche basée sur les données et une approche basée sur le savoir peuvent être utilisées pour générer des scénarios de trafic correspondants. Une approche basée sur le savoir utilise l’expertise pour identifier des événements dangereux systématiquement et créer des scénarios. Une approche basée sur des données utilise les données disponibles pour identifier et classer les scénarios qui se produisent. Les scénarios doivent être dérivés de l’ODD du véhicule entièrement automatisé. 2. Scénarios nominaux Une série de cadres analytiques peut aider le constructeur à dériver des scénarios nominaux supplémentaires de façon à garantir la couverture pour l’application spécifique. Ces cadres analytiques sont subdivisés en: 2.1. Analyse de l’ODD Un ODD consiste en éléments scéniques (par exemple, l’infrastructure physique), conditions environnementales, éléments dynamiques (par exemple, le trafic, les usagers vulnérables de la route) et contraintes opérationnelles pour l’application ADS spécifique. Le but de cette analyse est d’identifier les caractéristiques de l’ODD, d’affecter des propriétés et de définir des interactions entre les objets. Ici, l’effet de l’ODD sur les compétences comportementales du système ADS est exploré. Un exemple de l’analyse est fourni dans le tableau 1. Tableau 1 Éléments dynamiques et leurs propriétés Objets Événements/Interactions Véhicules (par exemple, voitures, camions légers, camions lourds, bus, motocycles) Décélération du véhicule de tête (frontal) Arrêt du véhicule de tête (frontal) Accélération du véhicule de tête (frontal) Changement de voie (frontal/latéral) Queue de poisson (adjacent) Changement de direction (frontal) Empiétement d’un véhicule venant en sens opposé (frontal/latéral) Empiétement d’un véhicule adjacent (frontal/latéral) Accès à une voie de circulation (frontal/latéral) Déboîtement (frontal) Piétons Traversée de route — sur un passage protégé (frontal) Traversée de route — en dehors d’un passage protégé (frontal) Marche sur un trottoir/accotement Cyclistes Roulant dans la voie (frontal) Roulant dans une voie adjacente (frontal/latéral) Roulant dans une voie dédiée (frontal/latéral) Roulant sur un trottoir/accotement Traversant la route — sur un passage protégé (frontal/latéral) Traversant la route — en dehors d’un passage protégé (frontal/latéral) Animaux Statique dans la voie (frontal) S’engageant dans/hors de la voie (frontal/latéral) Statiques/en mouvement dans une voie adjacente (frontal) Statiques/en mouvement sur l’accotement Débris Statiques dans la voie (frontal) Autres objets dynamiques (par exemple, caddies de supermarché) Statiques dans la voie (frontal/latéral) En mouvement dans/hors de la voie (frontal/latéral) Panneaux de circulation Stop, céder le passage, limite de vitesse, passage pour piétons, chemin de fer, croisement, zone d’école Feux de signalisation Intersection, passage à niveau, zone d’école Feux de véhicules Clignotants (indicateur de direction) 2.2. Analyse de l’OEDR: Identification des compétences comportementales Une fois que les objets et les propriétés pertinentes ont été identifiés, il est possible de faire correspondre la réaction appropriée du système ADS. La réaction du système ADS est modelée sur les prescriptions fonctionnelles applicables et en appliquant les prescriptions de performance du présent règlement et les règles de circulation du pays d’utilisation. Le résultat de l’analyse de l’OEDR est également un ensemble de compétences qui peuvent être rattachées aux compétences comportementales applicables à l’ODD, afin de garantir la conformité aux prescriptions réglementaires et juridiques pertinentes. Le tableau 2 fournit un exemple qualitatif de correspondance événement – réaction. La combinaison d’objets, d’événements et de leur interaction potentielle, en fonction de l’ODD, constitue l’ensemble de scénarios nominaux pertinents pour le système ADS analysé. L’identification de scénarios nominaux peut bénéficier d’une combinaison améliorée de descripteurs de scénarios couvrant, dans le cadre de l’ODD, par exemple, des attributs de l’infrastructure, des objets et des caractéristiques d’événements, des risques affectant les réactions (par exemple, conditions météorologiques, visibilité). L’identification de scénarios nominaux ne se limite pas aux conditions du trafic, mais couvre également les conditions environnementales, les facteurs humains, la connectivité et les mauvaises communications. Comme les paramètres (hypothèses) pour les événements restent à définir, les scénarios nominaux dérivés de l’application de l’analyse doivent être considérés dans leur couche d’abstraction fonctionnelle et logique. Tableau 2 Compétences comportementales pour des événements donnés Événement Réaction Décélération du véhicule de tête Suivre le véhicule, décélérer, s’arrêter Arrêt du véhicule de tête Décélérer, s’arrêter Accélération du véhicule de tête Accélérer, suivre le véhicule Changement de direction du véhicule de tête Décélérer, s’arrêter Changement de voie d’un autre véhicule Céder le passage, décélérer, suivre le véhicule Queue de poisson d’un autre véhicule Céder le passage, décélérer, s’arrêter, suivre le véhicule Entrée de véhicule dans la voie de circulation Suivre le véhicule, décélérer, s’arrêter Empiétement de véhicule venant en sens opposé Décélérer, s’arrêter, se déporter à l’intérieur de la voie, se déporter en dehors de la voie Empiétement de véhicule adjacent Céder le passage, décélérer, s’arrêter Déboîtement du véhicule de tête Accélérer, décélérer, s’arrêter Piéton traversant la route — sur un passage protégé Céder le passage, décélérer, s’arrêter Piéton traversant la route — en dehors d’un passage protégé Céder le passage, décélérer, s’arrêter Cyclistes roulant dans la voie Céder le passage, suivre Cyclistes roulant dans une voie dédiée Se déporter à l’intérieur de la voie Cyclistes traversant la route — sur un passage protégé Céder le passage, décélérer, s’arrêter Cyclistes traversant la route — en dehors d’un passage protégé Céder le passage, décélérer, s’arrêter 3. Scénarios critiques Des scénarios critiques peuvent être dérivés, soit en envisageant des hypothèses extrêmes sur des scénarios de trafic nominaux (basés sur des données), soit en appliquant des méthodes normalisées (basées sur le savoir) pour l’évaluation des insuffisances opérationnelles (voir exemples de méthodes au point 3.5.5 de la partie 2). L’identification de scénarios critiques peut bénéficier d’une combinaison améliorée de descripteurs de scénario et de valeurs limites couvrant, dans le cadre de l’ODD, par exemple des attributs de l’infrastructure, des objets et des caractéristiques d’événements, des risques affectant les réactions (par exemple, conditions météorologiques, masques de visibilité, interactions avec d’autres usagers de la route que l’objet ou l’événement déclenché). L’identification de scénarios critiques ne se limite pas aux conditions du trafic, mais couvre également les conditions environnementales, les facteurs humains, la connectivité et les mauvaises communications. Les scénarios critiques correspondent au fonctionnement en mode d’urgence du système ADS. 4. Scénarios de défaillance Ces scénarios visent à évaluer comment le système ADS réagit à une défaillance. Différentes méthodes sont proposées dans la littérature (voir exemple de méthodes au point 3.5.5 de la partie 2). Pour chacune des défaillances comportementales, et de leurs conséquences, identifiées, le constructeur doit mettre en place des stratégies appropriées lors du développement du système ADS (c’est-à-dire des mises en sécurité). Pour l’application des scénarios de défaillance, l’objectif est d’évaluer la capacité du système ADS de satisfaire aux prescriptions dans les cas de situations critiques pour la sécurité, y compris, notamment, «le système ADS doit gérer les situations de conduite critiques pour la sécurité» et «le système ADS doit gérer en toute sécurité les modes de défaillance» ainsi que leurs sous-prescriptions respectives. 5. Hypothèses: des scénarios logiques aux scénarios concrets Pour faire en sorte que les scénarios identifiés aux points précédents soient prêts à être évalués par simulation ou essai physique, le constructeur peut avoir besoin de les paramétrer de façon cohérente en appliquant des hypothèses. Le constructeur doit apporter des éléments de preuve étayant les hypothèses faites tels que des campagnes de collecte de données menées au cours de la phase de développement, l’accidentologie dans la réalité et des évaluations réalistes du comportement de conduite. Les paramètres utilisés pour caractériser des scénarios critiques devraient couvrir les valeurs raisonnablement prévisibles dans les descripteurs de scénario, mais ne devraient pas être limités à des valeurs déjà observées dans des bases de données documentées.

PARTIE 2

ÉVALUATION DU CONCEPT DE SÉCURITÉ DU SYSTÈME ADS ET AUDIT DU SYSTÈME DE GESTION DE LA SÉCURITÉ DU CONSTRUCTEUR

1. Généralités

1.1.

L’autorité compétente en matière de réception par type qui délivre la réception par type ou le service technique agissant en son nom doit vérifier, par des points de contrôle et essais ciblés, en particulier comme spécifié au point 4 de la présente annexe, que l’argumentation relative à la sécurité fournie par la documentation est conforme aux prescriptions de l’annexe II et que la conception et les processus décrits dans la documentation sont effectivement appliqués par le constructeur.

1.2.

Bien que, sur la base de la documentation fournie, des éléments de preuve fournis pour l’audit du système de gestion de la sécurité et de l’évaluation du concept de sécurité du système ADS, menés à la satisfaction de l’autorité compétente en matière de réception par type conformément au présent règlement, le niveau résiduel de risque pour la sécurité du système ADS réceptionné soit jugé acceptable pour l’entrée en service du type de véhicule, la sécurité globale du système ADS, tout au long de sa durée de vie, conformément aux prescriptions du présent règlement, reste la responsabilité du constructeur demandant la réception par type.

2. Définitions

Aux fins de la présente annexe, on entend par:

2.1.

«concept de sécurité»: une description des mesures prévues dans le système ADS pour faire en sorte que le véhicule entièrement automatisé fonctionne, pour les scénarios et événements pertinents pour l’ODD, d’une manière qui est exempte de risques déraisonnables pour la sécurité des occupants du véhicule et des autres usagers de la route dans des conditions avec (sûreté fonctionnelle) et sans (sûreté opérationnelle) défaillance. La possibilité de revenir à un fonctionnement partiel ou même à un système de secours pour les fonctions vitales du système ADS fait partie du concept de sécurité;

2.2.

«unités»: les plus petites divisions des composants du système considérées dans la présente annexe; il s’agit de combinaisons d’éléments qui seront traitées comme des entités uniques à des fins d’identification, d’analyse ou de remplacement;

2.3.

«liaisons de transmission»: les moyens utilisés pour assurer l’interconnexion des unités réparties, aux fins de la transmission des signaux, du traitement des données ou de l’alimentation en énergie. Ces matériels sont en général électriques mais peuvent en partie être mécaniques, pneumatiques ou hydrauliques;

2.4.

«plage de contrôle»: la plage de valeurs d’une variable de sortie sur laquelle le système est susceptible d’exercer un contrôle;

2.5.

«limite du fonctionnement efficace»: les limites physiques externes dans lesquelles le système ADS est capable d’effectuer les tâches de conduite dynamique.

3. Documentation concernant le système ADS

3.1. Prescriptions

Le constructeur doit fournir un dossier d’information montrant la conception de base du système ADS et indiquant les moyens par lesquels il est relié aux autres systèmes du véhicule ou par lesquels il exerce un contrôle direct sur les variables de sortie, y compris les éléments matériels/logiciels non présents à bord et les capacités de commande à distance.

Les fonctions du système ADS, y compris les stratégies de commande et le concept de sécurité, telles que définies par le constructeur, doivent être expliquées.

La documentation doit être concise, tout en démontrant que la conception et la mise au point ont bénéficié des connaissances spécialisées qui existent dans tous les domaines en jeu du système ADS.

En ce qui concerne les inspections techniques périodiques, le dossier doit décrire la manière dont l’état fonctionnel du système ADS à un moment donné ainsi que la fonctionnalité et l’intégrité des éléments logiciels peuvent être vérifiées.

L’autorité compétente en matière de réception par type doit évaluer le dossier d’information pour vérifier si le système ADS:

a)	a été conçu et élaboré pour fonctionner de manière à être exempt de risques déraisonnables pour les occupants du véhicule est les autres usagers de la route à l’intérieur de l’ODD et des limites déclarés;

b)	satisfait aux prescriptions de performance de l’annexe II du présent règlement;

c)	a été mis au point conformément au processus ou à la méthode qu’a déclaré(e) le constructeur.

3.1.1.

Le dossier d’information comporte trois parties: a) Demande de réception par type: la fiche de renseignements qui est soumise à l’autorité compétente en matière de réception par type au moment de la demande de réception par type doit comprendre des informations succinctes sur les points énumérés à l’annexe I. Elle fera partie intégrante de la réception par type. b) Le dossier d’information officiel pour la réception par type, contenant les informations énumérées dans la présente section 3 (à l’exception de celles du point 3.5.5), qui doit être remis à l’autorité compétente en matière de réception par type pour les besoins de la réception par type du système ADS. Ce dossier d’information doit être utilisé par l’autorité compétente en matière de réception par type comme référence de base pour le processus de vérification visé au point 4 de la présente annexe. L’autorité compétente en matière de réception par type doit veiller à ce que ce dossier d’information reste disponible pendant une période d’au moins 10 ans à compter du moment où la production du type de véhicule est définitivement arrêtée. c) Les données confidentielles supplémentaires et les données d’analyse (propriété intellectuelle) mentionnées au point 3.5.5 qui doivent être conservées par le constructeur, mais être ouvertes à l’inspection (par exemple, sur place dans les installations techniques du constructeur) au moment de la réception par type du système ADS. Le constructeur doit veiller à ce que ces données matérielles et analytiques restent disponibles pendant une période de 10 ans à compter du moment où la production du type de véhicule est définitivement arrêtée.

3.2. Description générale du système ADS

3.2.1.

Une description donnant une explication simple des caractéristiques opérationnelles du système ADS et de ses caractéristiques doit être fournie.

3.2.2.

Cette description doit inclure:

3.2.2.1

le domaine de conception opérationnelle, notamment la vitesse maximale, le type de route (par exemple, voie dédiée) le ou les pays/zones d’utilisation, les conditions de voirie et les conditions environnementales requises (par exemple, pas de neige), etc. Conditions limites;

3.2.2.2.

performance de base (par exemple, détection d’objet et d’événement et réaction, infrastructure hors véhicule nécessaire pendant l’utilisation);

3.2.2.3.

interaction avec d’autres usagers de la route;

3.2.2.4.

conditions principales pour les manœuvres de risque minimal;

3.2.2.5.

concept d’interaction avec les occupants du véhicule, l’opérateur à bord (le cas échéant) et l’opérateur d’intervention à distance (le cas échéant);

3.2.2.6.

les moyens d’activer et de désactiver le système ADS par l’opérateur à bord (le cas échéant) ou l’opérateur d’intervention à distance (le cas échéant) ou les occupants du véhicule (le cas échéant) ou d’autres usagers de la route (le cas échéant);

3.2.2.7.

mesures opérationnelles (par exemple, nécessité d’un opérateur à bord ou d’un opérateur d’intervention à distance) pour satisfaire aux conditions de sécurité pendant le fonctionnement du véhicule entièrement automatisé;

3.2.2.8.

infrastructure à l’arrière, non présente à bord, nécessaire pour garantir la sécurité pendant le fonctionnement du véhicule entièrement automatisé.

3.3. Description des fonctions du système ADS

Il doit être fourni une description de toutes les fonctions, y compris les stratégies de contrôle permettant de garantir le fonctionnement robuste et sûr du système ADS et les méthodes utilisées pour accomplir les tâches de conduite dynamique à l’intérieur de l’ODD, et les limites dans lesquelles le système de conduite automatisée est conçu pour fonctionner, y compris une description de la façon dont cela est garanti.

Toute fonction de conduite automatisée activée ou désactivée dont les éléments matériels et logiciels sont présents dans le véhicule au moment de la production doit être déclarée et soumise aux prescriptions de la présente annexe, ainsi que de l’annexe II, du présent règlement avant son utilisation dans le véhicule. Le constructeur doit également documenter le traitement des données dans le cas où des algorithmes d’apprentissage continu sont mis en œuvre.

3.3.1.

Une liste de toutes les variables saisies et détectées doit être fournie et la plage de fonctionnement de ces variables doit être définie, avec une description de la manière dont chaque variable affecte le comportement du système ADS.

3.3.2.

Une liste de toutes les variables de sortie qui sont contrôlées par le système ADS doit être fournie et, pour chacune d’elles, une explication permettant de savoir si le contrôle est direct ou s’il est effectué par un autre système du véhicule doit être fournie. La plage dans laquelle le système ADS est susceptible d’exercer un contrôle sur chacune de ces variables doit être définie.

3.3.3.

Les limites du fonctionnement efficace, y compris les limites de l’ODD, doivent être indiquées, lorsque cela est pertinent pour la performance du système ADS.

3.3.4.

Le concept de l’interaction homme-machine (HMI) avec les occupants du véhicule/l’opérateur à bord/l’opérateur d’intervention à distance (le cas échéant) lorsque les limites de l’ODD sont approchées puis atteintes doit être expliqué. L’explication doit inclure la liste des types de situations dans lesquelles le système ADS générera une demande d’aide à l’opérateur à bord/l’opérateur d’intervention à distance (le cas échéant), la manière dont la demande est formulée, la procédure qui gère une demande n’ayant pas abouti et la manœuvre de risque minimal. Les signaux et les informations donnés à l’opérateur à bord/à l’opérateur d’intervention à distance, aux occupants du véhicule et aux autres usagers de la route dans chacun des aspects ci-dessus doivent également être décrits.

3.4. Disposition schématique de l’ADS

3.4.1.

Inventaire des composants Il convient de fournir une liste reprenant toutes les unités du système ADS et mentionnant les autres systèmes du véhicule ainsi que les éléments matériels/logiciels non présents à bord et les capacités de commande à distance qui sont nécessaires pour atteindre la performance spécifiée du système ADS à réceptionner en fonction de son ODD. Un schéma montrant la combinaison de ces unités doit être fourni, accompagné de précisions sur la répartition des organes de l’équipement et les interconnexions entre eux. Ce schéma doit comprendre: a) la perception et la détection d’objets/d’événements, y compris la cartographie et la localisation; b) la caractérisation de la prise de décision; c) les éléments de données du système ADS; d) les liens et l’interface avec d’autres systèmes du véhicule, éléments matériels/logiciels non présents à bord et capacités à distance.

3.4.2.

Fonctions des unités La fonction de chaque unité du système ADS doit être décrite et les signaux reliant chaque unité à d’autres unités ou à d’autres systèmes du véhicule doivent être indiqués. Ces informations doivent inclure les systèmes non présents à bord supportant le système ADS et les autres systèmes du véhicule. Elles peuvent être fournies au moyen d’un schéma fonctionnel légendé ou d’une description accompagnée d’un tel schéma.

3.4.3.

Les interconnexions au sein du système ADS doivent être indiquées au moyen d’un schéma de circuit pour les liaisons de transmission électriques, d’un schéma de distribution de la timonerie pneumatique ou hydraulique et d’un schéma simplifié pour les liaisons mécaniques. Les liaisons de transmission avec d’autres systèmes doivent également être indiquées.

3.4.4.

Une correspondance claire doit être établie entre ces liaisons de transmission et les signaux transmis entre les unités. L’ordre de priorité entre signaux sur les liaisons de données multiplexées doit être indiqué toutes les fois que cet ordre peut avoir une incidence sur le fonctionnement ou la sécurité.

3.4.5.

Identification des unités

3.4.5.1.

Chaque unité doit être identifiable de manière claire et non ambiguë (par exemple, par un marquage pour le matériel et par un marquage ou une sortie logicielle pour le contenu logiciel) afin de permettre la correspondance entre le matériel et les documents. Lorsque la version d’un logiciel peut être modifiée sans qu’il soit nécessaire de remplacer le marquage ou le composant, l’identification du logiciel doit se faire uniquement au moyen d’un signal informatique.

3.4.5.2.

Lorsque des fonctions sont combinées au sein d’une même unité, voire d’un même ordinateur, mais sont indiquées dans plusieurs blocs au sein d’un schéma fonctionnel pour plus de clarté et de commodité, on ne doit utiliser qu’une seule marque d’identification du matériel. Le constructeur doit, en utilisant cette marque d’identification, confirmer que le matériel fourni est conforme au document correspondant.

3.4.5.3.

L’identification définit les versions des éléments matériels et logiciels et, lorsque ces derniers changent de telle manière que cela modifie la fonction de l’unité en ce qui concerne le présent règlement, cette identification doit également être modifiée.

3.4.6.

Installation des composants du système de capteurs Le constructeur doit fournir des informations concernant les options d’installation qui seront utilisées pour les différents composants du système de détection. Ces options comprennent, sans s’y limiter, l’emplacement du composant dans ou sur le véhicule, le ou les matériaux à proximité du composant une fois celui-ci installé sur le véhicule, le dimensionnement et la géométrie de ces matériaux ainsi que leur finition de surface. Ces informations doivent également comprendre les spécifications d’installation qui sont essentielles pour l’efficacité du système ADS, par exemple, les tolérances concernant l’angle d’installation. Les modifications apportées aux différents composants du système de capteurs ou aux options d’installation doivent être notifiées à l’autorité compétente en matière de réception par type et faire l’objet d’une évaluation complémentaire.

3.5. Concept de sécurité du constructeur et validation du concept de sécurité par le constructeur

3.5.1.

Le constructeur doit fournir une déclaration certifiant que le système ADS est exempt de risques déraisonnables pour les occupants du véhicule et les autres usagers de la route.

3.5.2.

En ce qui concerne les éléments logiciels utilisés dans le système ADS, l’architecture générale doit être expliquée et les méthodes et outils de conception utilisés doivent être identifiés (voir 3.5.1). Le constructeur doit démontrer, preuves à l’appui, comment a été déterminée la réalisation de la logique du système ADS, durant la conception et la mise au point.

3.5.3.

Le constructeur doit fournir à l’autorité compétente en matière de réception par type une explication des dispositions de conception intégrées dans le système ADS afin de garantir la sûreté fonctionnelle et opérationnelle. Les dispositions de conception possibles dans le système ADS sont par exemple: a) le passage à un fonctionnement en mode partiel; b) la redondance avec un système distinct; c) la diversité des systèmes accomplissant la même fonction; d) le retrait ou la limitation de la ou des fonctions de conduite automatisée.

3.5.3.1.

Si la disposition choisie sélectionne un mode de fonctionnement avec efficacité partielle dans certaines conditions de défaillance (par exemple, en cas de défaillances graves), ces conditions doivent être indiquées (par exemple, le type de défaillance), et les limitations de l’efficacité qui en découlent être définies (par exemple, déclenchement immédiat d’une manœuvre de risque minimal) de même que la stratégie d’avertissement de l’opérateur, de l’opérateur à distance, des occupants et des autres usagers de la route (le cas échéant).

3.5.3.2.

Si la stratégie choisie consiste à transférer la commande à un système secondaire (de secours) ou autre pour réaliser la performance affectée par le défaut, les principes du mécanisme de changement, la logique et le niveau de redondance, et les moyens de contrôle éventuellement intégrés doivent être décrits et les limites correspondantes à l’efficacité de ce système doivent être définies.

3.5.3.3.

Si la conception retenue prévoit la suppression de la fonction de conduite automatisée, cette suppression doit être effectuée conformément aux dispositions pertinentes du présent règlement. Tous les signaux de commande de sortie correspondants associés à cette fonction doivent être bloqués.

3.5.4.

Le constructeur doit également fournir à l’autorité compétente en matière de réception par type une explication des mesures de sécurité opérationnelle à mettre en place pour garantir l’utilisation en toute sécurité du système ADS, notamment la présence d’un opérateur à bord ou d’un opérateur d’intervention à distance, l’infrastructure d’appui hors véhicule, les exigences relatives au transport et à l’infrastructure physique, les opérations de maintenance, etc.

3.5.5.

La documentation doit être étayée par une analyse montrant la manière dont le système ADS se comportera pour atténuer ou éviter les dangers qui peuvent avoir une incidence sur la sécurité des occupants du véhicule et des autres usagers de la route.

3.5.5.1.

La ou les méthodes analytiques choisies doivent être établies et gérées par le constructeur et soumises à l’inspection de l’autorité compétente en matière de réception par type au moment de la réception par type et par la suite.

3.5.5.2.

L’autorité compétente en matière de réception par type doit procéder à une évaluation de l’application de la ou des approches analytiques: a) inspection de l’approche de la sécurité au niveau du concept. Cette approche doit être fondée sur une analyse des dangers et des risques appropriée pour la sûreté du système; b) inspection de l’approche en matière de sécurité au niveau du système ADS, y compris une approche de haut en bas (du danger possible à la conception) et une approche de bas en haut (de la conception aux dangers possibles). L’approche en matière de sécurité peut être fondée sur une analyse des modes de défaillance et de leurs effets (FMEA), une analyse de l’arbre des défaillances (FTA) et une analyse du processus théorique du système ou tout autre processus similaire approprié à la sûreté fonctionnelle et opérationnelle du système; c) inspection des plans et résultats de validation et de vérification, y compris des critères d’acceptation appropriés. Cela comprend des essais appropriés pour la validation, par exemple, des essais de type «matériel incorporé dans la boucle» (HIL), des essais d’utilisation sur route, des essais avec des utilisateurs finaux réels ou tout autre type d’essai approprié pour la validation et la vérification. Les résultats de la validation et de la vérification peuvent être évalués en analysant le domaine abordé par les différents essais et en fixant des seuils de couverture minimum pour différentes mesures.

3.5.5.3.

L’approche analytique visée au point 3.5.5.2 doit confirmer qu’au moins chacun des points suivants est couvert: i) aspects relatifs aux interactions avec d’autres systèmes du véhicule (par exemple, le freinage ou la direction); ii) défaillances du système de conduite automatisée et réactions du système visant à atténuer les risques; iii) situations à l’intérieur de l’ODD dans lesquelles le système ADS peut créer des risques déraisonnables pour la sécurité des occupants du véhicule et des autres usagers de la route en raison de perturbations opérationnelles (par exemple, compréhension insuffisante ou erronée de l’environnement du véhicule, incompréhension de la réaction de l’opérateur à bord/de l’opérateur d’intervention à distance, des occupants du véhicule ou des autres usagers de la route, contrôle inadéquat, scénarios difficiles); iv) identification des scénarios pertinents dans le cadre des conditions limites, méthode de gestion utilisée pour sélectionner les scénarios et outil de validation choisi; v) processus de prise de décision en vue de l’exécution des tâches de conduite dynamique (par exemple, manœuvres d’urgence), de la gestion des interactions avec les autres usagers de la route et du respect des règles nationales de circulation; vi) mauvaise utilisation raisonnablement prévisible par les occupants du véhicule/d’autres usagers de la route, erreurs ou incompréhension de l’opérateur/de l’opérateur à distance/des occupants/d’autres usagers de la route (par exemple, neutralisation involontaire) et altération intentionnelle du système ADS; vii) cyberattaques ayant une incidence sur la sûreté du système ADS (à couvrir par l’analyse effectuée conformément au règlement ONU no 155 sur la cybersécurité et le système de gestion de la cybersécurité); viii) aspects relatifs à la sûreté opérationnelle: problèmes en rapport avec l’infrastructure d’appui hors véhicule, problèmes en rapport avec l’opérateur d’intervention à distance, perte de connectivité, défaut de maintenance, etc.

3.5.5.4.

L’évaluation par l’autorité compétente en matière de réception par type consiste en des contrôles ponctuels afin d’établir que l’argumentation à l’appui du concept de sécurité est compréhensible et logique et mise en œuvre dans les différentes fonctions du système ADS. L’évaluation doit également vérifier que les plans de validation sont suffisamment solides pour démontrer la sûreté (par exemple, portée raisonnable des essais des scénarios sélectionnés par l’outil de validation choisi) et qu’ils ont été correctement réalisés.

3.5.5.4.1.

Cela doit démontrer que l’utilisation du véhicule entièrement automatisé ne présente pas de risques déraisonnables pour les occupants du véhicule et les autres usagers de la route dans le domaine de conception opérationnelle, au moyen: a) d’un objectif de validation global (c’est-à-dire des critères d’acceptation de la validation) étayé par des résultats de validation, démontrant que la mise en service du système ADS n’augmentera pas globalement le niveau de risque pour les occupants du véhicule et les autres usagers de la route par rapport aux véhicules à conduite manuelle; et b) d’une approche spécifique au scénario (c’est-à-dire critères d’acceptation de la validation sur la base du scénario) montrant que le système ADS n’augmentera globalement pas le niveau de risque pour les occupants du véhicule et les autres usagers de la route par rapport aux véhicules conduits manuellement pour chacun des scénarios pertinents pour la sécurité.

3.5.5.5.

Pour vérifier le concept de sécurité, l’autorité compétente en matière de réception par type doit effectuer les essais spécifiés au point 4 de la présente annexe.

3.5.5.6.

Le dossier d’information doit détailler les paramètres contrôlés et indiquer, pour chaque condition de défaillance du type défini au point 3.5.4 de la présente annexe, le signal d’avertissement à donner à l’opérateur/à l’opérateur à distance, aux occupants du véhicule/aux autres usagers de la route et/ou au personnel de service/d’inspection technique.

3.5.5.7.

Le dossier d’information doit également décrire les mesures mises en place pour garantir que le système ADS ne présente pas de risques déraisonnables pour les occupants du véhicule et les autres usagers de la route lorsque l’efficacité du système ADS est affectée par les conditions environnementales, par exemple, le climat, la température, la pénétration de poussière, la pénétration d’eau, la formation de glace ou les intempéries.

4. Vérification et essais

En tenant compte des résultats de l’analyse du dossier d’information du constructeur, l’autorité compétente en matière de réception par type demande que les essais soient réalisés par ou en présence du service technique afin de contrôler des points spécifiques relevés lors de l’évaluation.

4.1.

Le fonctionnement du système ADS, tel qu’il est exposé dans les documents requis au point 3, doit faire l’objet d’essais, comme indiqué ci-après:

4.1.1.

Vérification de la fonction du système ADS L’autorité compétente en matière de réception par type doit vérifier le système ADS dans des conditions de non-défaillance en soumettant à des essais sur piste un certain nombre de fonctions sélectionnées, à l’appréciation de l’autorité compétente en matière de réception par type, parmi celles décrites par le constructeur, et en vérifiant le comportement global du système ADS dans des conditions de conduite réelles, y compris le respect des règles de circulation. Ces essais doivent comprendre des scénarios dans lesquels l’opérateur d’intervention à distance (le cas échéant) neutralise le système ADS. Ces essais peuvent s’appuyer sur les scénarios d’essai énumérés dans la partie 3 de la présente annexe et/ou sur des scénarios supplémentaires non couverts par la partie 3.

4.1.1.1.

Les résultats d’essai doivent correspondre à la description, y compris les stratégies de contrôle, fournie par le constructeur au point 3.2 et doivent être conformes aux prescriptions du présent règlement.

4.1.2.

Vérification du concept de sécurité du système ADS La réaction du système ADS doit être vérifiée sous l’influence d’un défaut dans une unité individuelle en appliquant les signaux de sortie correspondants aux unités électriques ou aux éléments mécaniques afin de simuler les effets d’une défaillance interne à l’intérieur de l’unité. L’autorité compétente en matière de réception par type doit vérifier que ces essais comprennent des aspects qui peuvent avoir un impact sur la capacité de contrôler le véhicule et d’informer les utilisateurs (aspects HMI, notamment l’interaction avec l’opérateur/l’opérateur à distance).

4.1.2.1.

Les autorités compétentes en matière de réception par type doivent également vérifier un certain nombre de scénarios qui sont critiques pour la détection d’objets et événements et la réaction (OEDR) et pour la caractérisation des fonctions de prise de décision et d’interface homme-machine (HMI) du système ADS (par exemple, objet difficile à détecter, lorsque le système ADS atteint les limites de l’ODD, scénarios de perturbation du trafic), problème de connectivité, problème avec des systèmes non présents à bord, problèmes de capacités à distance, par exemple, l’absence de l’opérateur d’intervention à distance) tels que définis dans le présent règlement.

4.1.2.2.

Les résultats de la vérification doivent correspondre au résumé documenté de l’analyse des dangers, à un niveau d’effet global tel que soient confirmées l’adéquation du concept de sécurité et la conformité de sa mise en œuvre aux prescriptions du présent règlement.

4.2.

Des outils de simulation et des modèles mathématiques peuvent être utilisés pour vérifier le concept de sécurité conformément à l’annexe VIII du règlement (UE) 2018/858, en particulier pour les scénarios difficiles à réaliser sur une piste d’essai ou dans des conditions de conduite réelles. Le constructeur doit démontrer la portée de l’outil de simulation, sa validité pour le scénario concerné ainsi que la validation effectuée pour la chaîne d’outils de simulation (corrélation des résultats avec les essais physiques). Pour démontrer la validité de la chaîne d’outils de simulation, les principes de la partie 4 de la présente annexe s’appliquent. La simulation ne doit pas se substituer aux essais physiques de la partie 3 de la présente annexe.

4.3.

Le constructeur doit disposer d’un certificat de conformité valide pour le système de gestion de la sécurité (SMS) approprié pour le type de véhicule à réceptionner.

5. Système de gestion de la sécurité (SMS)

5.1.

S’agissant du système ADS, le constructeur doit démontrer à l’autorité compétente en matière de réception par type, en ce qui concerne le système de gestion de la sécurité (SMS), que des processus, méthodologies, formations et outils efficaces sont en place, à jour et suivis au sein de l’organisation en vue de gérer la sécurité et la conformité de manière continue tout au long du cycle de vie du système ADS.

5.2.

Le processus de conception et d’élaboration doit être établi et documenté, y compris le système de gestion de la sécurité, la gestion et la mise en œuvre des prescriptions, les essais, le suivi des défaillances, les mesures correctives et la mise en service.

5.3.

Le constructeur doit mettre en place et entretenir des canaux de communication efficaces entre ses services chargés de la sûreté fonctionnelle et opérationnelle, de la cybersécurité et de tout autre domaine pertinent contribuant à la sûreté des véhicules.

5.4.

Le constructeur doit avoir établi des processus pour collecter les données du véhicule, et les données d’autres sources afin de surveiller et d’analyser des incidents/accidents pertinents pour la sécurité qui sont causés par le système de conduite automatisée engagé. Le constructeur doit communiquer aux autorités compétentes en matière de réception par type, aux autorités de surveillance du marché et à la Commission les occurrences pertinentes conformément à la partie 5 de la présente annexe.

5.4.1.

Le constructeur doit permettre à l’opérateur de service de transport de fournir aux autorités compétentes en matière de réception par type, aux autorités de surveillance du marché ou à d’autres autorités désignées par les États membres les données présentes à bord des véhicules conformément au point 5.4 ci-dessus ainsi que les données du système ADS et les éléments de données spécifiques pour l’enregistreur de données d’événement collectées conformément à la section 9 de l’annexe II.

5.5.

Le constructeur doit avoir établi des processus pour gérer des lacunes potentielles en matière de sûreté après l’immatriculation et mettre à jour les véhicules si nécessaire.

5.6.

Le constructeur doit démontrer que des audits périodiques indépendants des processus internes sont effectués pour garantir que les processus établis conformément aux points 5.1 à 5.5 sont mis en œuvre de manière cohérente.

5.7.

Les constructeurs doivent mettre en place des dispositions appropriées (par exemple, des dispositions contractuelles, des interfaces claires, un système de gestion de la qualité) avec leurs fournisseurs pour garantir que le système de gestion de la sécurité des fournisseurs soit conforme aux prescriptions des points 5.1 (à l’exception des aspects liés aux véhicules tels que l’«exploitation» et la «mise hors service»), 5.2, 5.3 et 5.6.

5.8.

Certificat de conformité pour le système de gestion de la sécurité

5.8.1.

Une demande de certificat de conformité du système de gestion de la cybersécurité doit être soumise à l’autorité compétente en matière de réception par type par le constructeur du véhicule ou par son représentant dûment accrédité.

5.8.2.

Elle doit être accompagnée des pièces mentionnées ci-après, en triple exemplaire, et des informations suivantes: a) documents décrivant le système de gestion de la sécurité; b) déclaration signée de conformité du SMS à toutes les prescriptions pour la gestion de la sécurité conformément au présent règlement, en utilisant le modèle défini à l’appendice 3 de la présente annexe.

5.8.3.

Lorsque cet audit du SMS s’est déroulé de manière satisfaisante et après réception d’une déclaration signée du constructeur conformément au modèle défini à l’appendice 3, un certificat de conformité pour le SMS, tel que décrit à l’appendice 4 (ci-après désigné le «certificat de conformité pour le SMS») est délivré au constructeur.

5.8.4.

Le certificat de conformité pour le SMS reste valide pendant un maximum de trois ans à partir de la date de délivrance du certificat, à moins qu’il ne soit retiré.

5.8.5.

À tout moment, l’autorité compétente en matière de réception par type peut vérifier que les prescriptions relatives au certificat de conformité pour le SMS continuent d’être respectées. L’autorité compétente en matière de réception par type retire le certificat de conformité pour le SMS si des défauts graves de conformité aux prescriptions énoncées dans le présent règlement sont découverts et ne sont pas immédiatement corrigés.

5.8.6.

Le constructeur doit informer l’autorité compétente en matière de réception par type ou son service technique de toute modification ayant une incidence sur la validité du certificat de conformité pour le SMS. Après avoir consulté le constructeur, l’autorité compétente en matière de réception par type ou son service technique doit déterminer s’il convient de procéder à de nouvelles vérifications.

5.8.7.

Le constructeur doit demander en temps utile le renouvellement ou la prolongation du certificat de conformité existant pour le SMS. Sous réserve d’un audit favorable, l’autorité compétente en matière de réception par type doit délivrer un nouveau certificat de conformité pour le SMS ou prolonger la validité du certificat existant pour une nouvelle période de trois ans. L’autorité compétente en matière de réception par type doit vérifier que le SMS est toujours conforme aux prescriptions du présent règlement. L’autorité compétente en matière de réception par type doit délivrer un nouveau certificat lorsque des modifications ont été portées à son attention ou à celle de son service technique et que ces modifications ont fait l’objet d’une réévaluation positive.

5.8.8.

L’expiration ou le retrait du certificat de conformité pour le SMS délivré au constructeur doit être considéré, eu égard aux types de véhicules pour lesquels le SMS concerné était pertinent, comme une modification de la réception, ce qui peut impliquer le retrait de la réception si les conditions d’octroi ne sont plus remplies.

6. Dispositions relatives à la communication de l’information

6.1.

Les rapports d’évaluation de la sûreté du concept de sécurité du système ADS ainsi que de l’audit du système de gestion de la sécurité du constructeur doivent être établis d’une manière qui permet la traçabilité, par exemple les versions des documents inspectés sont codées et répertoriées dans les registres du service technique.

6.2.

Un exemple de présentation pour le rapport sur l’évaluation du concept de sécurité du système ADS du service technique à l’autorité compétente en matière de réception par type est fourni à l’appendice 1 de la présente partie. Les éléments énumérés dans cet appendice sont à considérer comme l’ensemble minimal des points à traiter.

6.3.

L’autorité compétente en matière de réception par type doit communiquer les résultats de l’évaluation de la sécurité à joindre à la fiche de réception par type sur la base de la documentation fournie par le constructeur, du rapport de l’évaluation du concept de sécurité du système ADS établi par le service technique et des résultats de la vérification et des campagnes d’essais effectuées conformément à la partie 3 de la présente annexe. Un exemple de présentation possible pour les résultats de l’évaluation de la sécurité figure à l’appendice 4.

7. Compétence des vérificateurs et évaluateurs

7.1.

L’évaluation du concept de sécurité du système ADS et l’audit du système de gestion de la sécurité visés dans la présente partie ne doivent être menés que par des évaluateurs/auditeurs possédant les connaissances techniques et administratives nécessaires à ces fins. Ils doivent notamment être compétents en tant qu’auditeurs/évaluateurs pour les normes ISO 26262-2018 (Véhicules routiers — Sécurité fonctionnelle) et ISO/PAS 21448 (Véhicules routiers — Sécurité de la fonction attendue); et être en mesure d’établir le lien nécessaire avec les aspects de la cybersécurité conformément au règlement ONU no 155 et à la norme ISO/SAE 21434). Cette compétence doit être démontrée par des qualifications appropriées ou des attestations de formations équivalentes. Appendice 1 Modèle pour le rapport d’évaluation du concept de sécurité du système ADS Rapports d’évaluation de la sécurité no 1. Identification 1.1. Marque du véhicule 1.2. Type de véhicule 1.3. Moyens d’identification du type s’il est indiqué sur le véhicule 1.4. Emplacement de cette marque d’identification 1.5. Nom et adresse du constructeur 1.6. Le cas échéant, nom et adresse du représentant du constructeur 1.7. Dossier d’information officiel du constructeur Numéro de référence du dossier: Date de première délivrance: Date de la dernière mise à jour: 2. Méthode d’évaluation 2.1. Description des processus et méthodologies d’évaluation 2.2. Critères d’acceptabilité 3. Résultats de l’examen du dossier d’information 3.1. Examen de la description du système ADS 3.2. Examen du concept de sécurité du constructeur et de l’analyse de la sécurité du constructeur 3.3. Examen de la vérification et de la validation effectuée par le constructeur, en particulier couverture des différents essais et fixation de seuils de couverture minimum pour différents paramètres 3.4. Examen des méthodes et outils utilisés (logiciel, laboratoire, autres) et de l’évaluation de la crédibilité 3.5. Examen des données requises concernant le système ADS et éléments de données spécifiques pour l’enregistreur de données d’événement des véhicules entièrement automatisés 3.6. Contrôles des certificats relatifs à la cybersécurité et à la mise à jour des éléments logiciels couvrant le système ADS 3.7. Examen des informations fournies dans le manuel d’utilisation 3.8. Examen des dispositions relatives au contrôle technique périodique du système ADS 3.9. Examen d’informations supplémentaires non incluses dans la fiche de renseignements 4. Vérification des fonctions du système ADS hors conditions de défaillance (visées au point 4.1.1 de l’annexe III, partie 2, du règlement d’exécution (UE) 2022/1426 de la Commission du 5 août 2022 établissant des règles relatives à l’application du règlement (UE) 2019/2144 du Parlement européen et du Conseil en ce qui concerne les procédures uniformes et les spécifications techniques pour la réception par type des systèmes de conduite automatisée (ADS) des véhicules entièrement automatisés (2) 4.1. Justification de la sélection de scénarios d’essai 4.2. Scénarios d’essai sélectionnés 4.3. Rapports d’essai 4.3.1. Essai no (ajouter tous les essais effectués) 4.3.1.1. Objectifs de l’essai 4.3.1.2. Conditions d’essai 4.3.1.3. Quantités mesurées et dispositifs de mesure 4.3.1.4. Critères d’acceptabilité 4.3.1.5. Résultats d’essai 4.3.1.6. Comparaison avec la documentation fournie par le constructeur 5. Vérification du concept de sécurité du système ADS dans le cas d’une défaillance [visée au point 4.1.2 de l’annexe III, partie 2, du règlement d’exécution (UE) 2022/1426] 5.1. Justification de la sélection de scénarios d’essai 5.2. Scénarios d’essai sélectionnés 5.3. Rapports d’essai 5.3.1. Essai no (ajouter tous les essais effectués) 5.3.1.1. Objectifs de l’essai 5.3.1.2. Conditions d’essai 5.3.1.3. Quantités mesurées et dispositifs de mesure 5.3.1.4 Critères d’acceptabilité 5.3.1.5. Résultats d’essai 5.3.1.6. Comparaison avec la documentation fournie par le constructeur 6. Certificat du système de gestion de la sécurité (à joindre au présent rapport d’essai) 7. Date de l’évaluation 8. Décision finale sur le résultat de l’évaluation de la sécurité 9. La présente évaluation a été menée et les résultats communiqués conformément au règlement d’exécution (UE) 2022/1426 Service technique chargé de l’évaluation Signature: ... Date: ... 10. Observations: Appendice 2 Modèle des résultats de l’évaluation du système ADS à joindre à la fiche de réception par type 1. Identification 1.1. Marque du véhicule 1.2. Type de véhicule 1.3. Moyens d’identification du type s’il est indiqué sur le véhicule 1.4. Emplacement de cette marque d’identification 1.5. Nom et adresse du constructeur 1.6. Le cas échéant, nom et adresse du représentant du constructeur 1.7. Dossier d’information officiel du constructeur Numéro de référence du dossier: Date de première délivrance: Date de la dernière mise à jour: 2. Méthode d’évaluation 2.1. Descriptions des processus et méthodologies d’évaluation 2.2. Critères d’acceptabilité 3. Vérification des fonctions du système ADS hors conditions de défaillance (visées au point 4.1.1 de l’annexe III, partie 2, du règlement d’exécution (UE) 2022/1426 3.1. Justification de la sélection de scénarios d’essai 3.2. Scénarios d’essai sélectionnés 4. Vérification du concept de sécurité du système ADS dans le cas d’une unique défaillance (visée au point 4.1.2 de l’annexe III, partie 2, du règlement d’exécution (UE) 2022/1426 4.1. Justification de la sélection de scénarios d’essai 4.2. Scénarios d’essai sélectionnés 5. Résultat de l’évaluation 5.1. Résultats de l’examen de la fiche de renseignements 5.2. Résultats de la vérification des fonctions du système ADS hors conditions de défaillance 5.3. Résultats de la vérification du concept de sécurité du système ADS dans le cas d’une unique défaillance 5.4. Résultats de l’évaluation du système de contrôle de la sécurité 5.5. Résultats de la vérification des dispositions relatives au contrôle technique périodique 6. Décision finale sur le résultat de l’évaluation de la sécurité Appendice 3 Modèle de déclaration du constructeur concernant la conformité du système de gestion de la sécurité (SMS) Déclaration du constructeur concernant la conformité aux prescriptions pour le système de gestion de la sécurité Nom du constructeur: Adresse du constructeur: … (nom du constructeur) atteste que les processus nécessaires pour satisfaire aux prescriptions relatives au système de gestion de la sécurité énoncées dans le règlement d’exécution (UE) 2022/1426 sont en place et qu’ils seront maintenus. Fait à: … (lieu) Date: Nom du signataire: Fonction du signataire: (Cachet et signature du représentant du constructeur) Appendice 4 Modèle de certificat de conformité pour le SMS Certificat de conformité pour le système de gestion de la sécurité au règlement d’exécution (UE) 2022/1426 Numéro de certificat [numéro de référence] [… Autorité compétente en matière de réception par type] certifie que Constructeur: … Adresse du constructeur satisfait aux prescriptions du règlement d’exécution (UE) 2022/1426 Il a été procédé à des vérifications sur: par (nom et adresse de l’autorité compétente en matière de réception par type ou du service technique): Numéro du rapport: ... Le présent certificat est valide jusqu’au [...Date] Fait à [...Lieu] Le [...Date] [...Signature] Pièces jointes: description du système de gestion de la sécurité par le constructeur.

PARTIE 3

ESSAIS

1. Dispositions générales

Les critères de succès et d’échec pour l’évaluation de la sécurité du système ADS doivent s’appuyer sur les prescriptions énoncées dans l’annexe II et sur le scénario décrit dans la partie 1 de la présente annexe. Les prescriptions sont définies de telle manière que les critères de succès et d’échec puissent être dérivés non seulement pour un ensemble spécifique de paramètres d’essai mais également pour toutes les combinaisons de paramètres pertinentes pour la sécurité qui peuvent se rencontrer dans les conditions d’exploitation couvertes par la réception par type et la plage d’exploitation spécifiée (par exemple, plage de vitesses, plage d’accélération longitudinale et transversale, rayon de courbure, clarté, nombre de voies). Pour les conditions non testées mais pouvant se rencontrer au sein de l’ODD défini du système, le constructeur doit démontrer, dans le cadre de l’évaluation décrite dans la partie 2 et à la satisfaction de l’autorité compétente en matière de réception par type, que le véhicule est contrôlé en toute sécurité.

Les essais doivent confirmer les prescriptions de performance minimale décrites à l’annexe II ainsi que la fonctionnalité du système ADS et le concept de sécurité du constructeur décrits dans la partie 2 de la présente annexe. Les résultats d’essai doivent être documentés et communiqués conformément au point 6 de la partie 2 de la présente annexe.

Ces essais doivent également confirmer que le système ADS se conforme aux règles du trafic, adapte ses opérations aux conditions environnementales, évite de perturber le flux du trafic (par exemple, en bloquant la voie en raison de trop nombreuses MRM), ne présente pas de comportement imprévisible mais, au contraire, un comportement coopératif et anticipatif raisonnable dans des situations pertinentes (par exemple, insertion dans une circulation dense ou à proximité d’usagers vulnérables de la route).

2. Site d’essai

Le site d’essai doit présenter les caractéristiques (par exemple, valeur de friction) qui correspondent à l’ODD spécifié du système ADS. Si nécessaire pour appliquer les conditions spécifiques de l’ODD du système ADS, des essais physiques seront effectués dans les limites de l’ODD réel (sur route) ou sur un site d’essai quelconque qui reproduit les conditions de l’ODD et qui est choisi par le constructeur en concertation avec l’autorité compétente en matière de réception par type. Le système ADS doit être testé sur route, conformément à la législation applicable des États membres et à condition que les essais puissent être menés en toute sécurité et sans aucun risque pour les autres usagers de la route.

3. Conditions environnementales

Les essais doivent être menés dans différentes conditions environnementales, dans les limites de l’ODD défini pour le système ADS. Pour les conditions non testées mais pouvant se rencontrer au sein de l’ODD défini, le constructeur doit démontrer, dans le cadre de l’évaluation et à la satisfaction de l’autorité compétente en matière de réception par type, que le véhicule est contrôlé en toute sécurité.

Pour tester les prescriptions relatives à la défaillance de fonctions, à l’autocontrôle du système ADS et à l’enclenchement et à l’accomplissement d’une manœuvre de risque minimal, des erreurs peuvent être induites artificiellement et le véhicule peut être artificiellement placé dans des situations où il atteint les limites de la plage d’exploitation définie (par exemple, conditions environnementales).

4. Modifications du système pour les besoins des essais

Si des modifications du système ADS sont nécessaires pour permettre les essais, par exemple des critères d’évaluation du type de route ou des informations sur le type de route (données cartographiques), il convient de s’assurer que ces modifications n’ont pas d’effet sur les résultats des essais. Ces modifications doivent en principe être consignées par écrit et annexées au rapport d’essai. La description de ces modifications et les preuves de leur influence (le cas échéant) doivent être consignées par écrit et annexées au rapport d’essai.

5. Conditions relatives au véhicule

5.1.

Masse d’essai Le véhicule soumis à l’essai doit l’être avec une charge permise. Aucune modification ne doit être apportée à la charge après que l’essai a commencé. Le constructeur doit démontrer, documentation à l’appui, que le système ADS fonctionne dans toutes les conditions de charge.

5.2.

Le véhicule concerné doit être soumis à l’essai avec la pression des pneumatiques recommandée par le constructeur.

5.3.

Il convient de vérifier que l’état du système est conforme à l’objet de l’essai (par exemple, un état exempt de défaut ou avec les défauts spécifiques faisant l’objet de l’essai).

6. Outils d’essai

En plus de véhicules réels, des outils d’essai à la pointe du progrès peuvent être utilisés pour mener les essais, en remplacement des véhicules réels et des autres usagers de la route (par exemple, cibles non rigides, plates-formes mobiles, etc.). Les outils d’essai de remplacement doivent être conformes aux caractéristiques pertinentes pour l’évaluation de la performance sensorielle, des véhicules réels et des autres intervenants dans le trafic. Les essais ne doivent pas être menés d’une manière qui mettrait en danger le personnel concerné et les dommages importants aux véhicules soumis à l’essai doivent être évités lorsque d’autres moyens de validation sont disponibles.

7. Variation des paramètres d’essai

Le constructeur doit déclarer les limites du système à l’autorité compétente en matière de réception par type. L’autorité compétente en matière de réception par type doit définir différentes combinaisons de paramètres d’essai (par exemple, vitesse actuelle du véhicule, type et déport de la cible, courbure de la voie, etc.) afin de tester le système ADS. Les cas d’essai sélectionnés doivent apporter une couverture d’essai suffisante pour tous les scénarios, paramètres d’essai et influences environnementales. La robustesse adéquate des systèmes de perception en cas de fonctionnement défectueux des commandes/capteurs du système ADS et de conditions environnementales défavorables doit être démontrée.

Les paramètres d’essai sélectionnés par l’autorité compétente en matière de réception par type doivent être enregistrés dans un rapport d’essai d’une manière qui permet la traçabilité et la répétabilité du dispositif d’essai.

8. Scénarios d’essai pour évaluer la performance du système ADS sur une piste d’essai (points 8.1, 8.2, 8.5, 8.6, 8.7, 8.8, 8.9) et sur route (points 8.3, 8.4, 8.10)

Les scénarios inclus dans les points suivants sont à considérer comme un ensemble minimal d’essais. À la demande de l’autorité compétente en matière de réception par type, des scénarios supplémentaires qui font partie de l’ODD peuvent être exécutés. Si un scénario décrit au point 8 de la présente annexe ne fait pas partie de l’ODD du véhicule, il ne doit pas être pris en considération.

En fonction de l’ODD, des scénarios d’essai doivent être sélectionnés comme faisant partie de l’essai de réception par type. Les scénarios d’essai doivent être sélectionnés conformément à la partie 1 de la présente annexe. L’essai de réception par type peut être mené sur la base de simulations, de manœuvres sur la piste d’essai et d’essais de conduite dans le trafic réel. Toutefois, il peut ne pas s’appuyer uniquement sur des simulations informatiques et, au moment de la réception par type, l’autorité compétente en matière de réception doit procéder ou assister au moins aux essais suivants pour évaluer le comportement du système ADS.

8.1. Maintien dans la voie

Cet essai doit démontrer que le véhicule entièrement automatisé ne quitte pas sa voie et maintient un déplacement stable à l’intérieur de sa voie sur toute la plage de vitesses et différentes courbures dans les limites de son système.

8.1.1.

L’essai doit être basé sur l’ODD du système ADS et être exécuté au moins: a) avec une durée d’essai minimale de 5 minutes; b) avec une voiture particulière cible ainsi qu’avec un deux-roues à moteur (PTW) cible comme autre véhicule; c) avec un véhicule de tête faisant un écart dans la voie; d) avec un autre véhicule circulant à proximité dans la voie adjacente.

8.2. Manœuvre de changement de voie (LCM)

Les essais doivent démontrer que le véhicule entièrement automatisé ne présente pas de risque déraisonnable pour la sécurité des occupants du véhicule et des autres usagers de la route lors d’une procédure de changement de voie et que le système ADS est capable d’évaluer le caractère critique de la situation avant d’engager la manœuvre de changement de voie (LCM) dans l’ensemble de la plage de vitesses d’utilisation. Ces essais sont requis uniquement si le véhicule entièrement automatisé est capable d’effectuer des changements de voie soit lors d’une manœuvre de risque minimal, soit en mode de fonctionnement normal.

8.2.1.

Les essais suivants doivent être exécutés: a) avec le véhicule entièrement automatisé effectuant un changement de voie vers la voie adjacente (voie cible); b) insertion en bout de voie; c) insertion dans une voie occupée.

8.2.2.

Les essais doivent être exécutés au moins: a) avec différents véhicules, y compris un deux-roues motorisé (PTW) approchant de l’arrière; b) dans un scénario où il est possible d’exécuter une manœuvre de changement de voie en mode normal; c) dans un scénario où une manœuvre de changement de voie en mode normal n’est pas possible en raison de l’approche d’un véhicule à l’arrière; d) avec un véhicule se déplaçant à la même vitesse derrière, sur la voie adjacente, empêchant un changement de voie; e) avec un véhicule circulant sur la voie adjacente empêchant un changement de voie; f) dans un scénario où une LCM au cours d’une manœuvre de risque minimal est possible et exécutée; g) dans un scénario où le véhicule entièrement automatisé réagit à la présence d’un autre véhicule qui s’engage dans le même espace sur la voie cible, pour éviter un risque potentiel de collision.

8.3. Réaction à différentes géométries de la route

Ces essais doivent garantir que le véhicule entièrement automatisé détecte et s’adapte à une variation de différentes géométries de la route qui peuvent se rencontrer dans l’ODD de destination sur l’ensemble de sa plage de vitesses.

8.3.1.

L’essai doit être exécuté avec au moins la liste ci-dessous de scénarios fondés sur l’ODD du système ADS: a) jonctions en T (intersections de 3 voies) avec et sans feux de circulation, avec différents droits de priorité; b) carrefour (intersections de 4 voies ou plus) avec et sans feux de circulation, avec différents droits de priorité; c) ronds-points.

8.3.2.

Chaque essai doit être exécuté au moins: a) sans véhicule de tête; b) avec une voiture particulière cible ainsi qu’avec un PTW cible en tant que véhicule de tête/autre véhicule; c) avec et sans véhicules approchant ou passants.

8.4. Réaction aux règles de circulation nationales et à l’infrastructure routière

Ces essais doivent garantir que le véhicule entièrement automatisé satisfait aux règles de circulation nationales et qu’il s’adapte à différents changements permanents et temporaires de l’infrastructure routière (par exemple, chantiers) sur toute la plage de vitesses.

8.4.1.

Les essais doivent être exécutés au moins avec la liste de scénarios ci-dessous qui sont pertinents pour l’ODD du système ADS: a) différents panneaux de limitation de vitesse, de sorte que le système ADS doit adapter sa vitesse conformément aux valeurs indiquées; b) feux de signalisation et/ou arrêt sur injonction d’un agent de la sécurité routière/policier dans des situations de progression en ligne droite, virage à gauche et virage à droite; c) traversées de piétons et de cyclistes avec et sans piétons/cyclistes approchant sur la route; d) modifications temporaires: par exemple, travaux routiers indiqués par des panneaux de signalisation, cônes et autres, restrictions d’accès; e) entrées et sorties d’autoroute et portiques de péage.

8.4.2.

Chaque essai doit être exécuté au moins: a) sans véhicule de tête; b) avec une voiture particulière cible ainsi qu’avec un PTW cible en tant que véhicule de tête/autre véhicule.

8.5. Évitement de collision: Évitement d’une collision avec un usager de la route ou un objet bloquant la voie

L’essai doit démontrer que le véhicule entièrement automatisé évite une collision avec un véhicule ou un usager de la route à l’arrêt ou avec un obstacle bloquant totalement ou partiellement la voie jusqu’à la vitesse maximale indiquée du système ADS.

8.5.1.

Cet essai doit être exécuté au moins avec les scénarios suivants, s’ils sont pertinents dans l’ODD: a) avec une voiture particulière cible à l’arrêt; b) avec un PTW cible à l’arrêt; c) avec un piéton cible à l’arrêt; d) avec un piéton cible traversant la voie à une vitesse de 5 km/h, ainsi qu’en présence d’autres objets pertinents dans l’ODD (par exemple, un ballon, un sac de courses, etc.); e) avec un piéton cible se déplaçant à une vitesse maximale de 5 km/h à l’intérieur de, et occupant partiellement, la voie du système ADS et progressant dans le même sens ou dans le sens inverse du véhicule entièrement automatisé; f) avec un piéton cible faisant un écart dans la même voie que le véhicule entièrement automatisé; g) avec un cycliste cible traversant la voie à une vitesse de 15 km/h; h) avec un cycliste cible circulant dans le même sens à une vitesse de 15 km/h; i) avec le véhicule entièrement automatisé tournant à droite et traversant la trajectoire du cycliste circulant dans le même sens à une vitesse de 15 km/h: j) avec une cible représentant une voie bloquée; k) avec une cible obstruant partiellement la voie; l) avec un ou plusieurs types différents d’objets infranchissables pertinents dans l’ODD (par exemple, une poubelle, une bicyclette ou un scooter couché, un panneau de signalisation renversé, un ballon stationnaire ou en mouvement, etc.); m) avec de multiples obstacles consécutifs bloquant la voie pertinents dans l’ODD (par exemple, dans l’ordre suivant: véhicule soumis à l’essai, motocycle, voiture); n) sur un tronçon de route en virage.

8.6. Éviter le freinage d’urgence devant un objet franchissable dans la voie. Un «objet franchissable» est un objet sur lequel il est possible de passer sans causer de risque déraisonnable pour les occupants du véhicule ou les autres usagers de la route.

L’essai doit démontrer que le véhicule entièrement automatisé n’amorce pas un freinage d’urgence avec une demande de décélération supérieure à 5 m/s2 en raison de la présence dans la voie d’un objet franchissable pertinent pour l’ODD (par exemple, une plaque d’égout ou une petite branche) jusqu’à la vitesse maximale spécifiée du système ADS.

8.6.1.

Cet essai doit être exécuté au moins avec les scénarios suivants, s’ils sont pertinents dans l’ODD: a) sans véhicule de tête; b) avec une voiture particulière cible ainsi qu’avec un PTW cible en tant que véhicule de tête/autre véhicule.

8.7. Suivre un véhicule de tête

L’essai doit démontrer que le véhicule entièrement automatisé est capable de maintenir et de rétablir une progression stable et une distance de sécurité par rapport à un véhicule le précédant et qu’il est capable d’éviter une collision avec un véhicule de tête qui décélère jusqu’à sa décélération maximale.

8.7.1.

Cet essai doit être exécuté au moins avec les scénarios suivants, s’ils sont pertinents dans l’ODD: a) sur toute la plage de vitesses du véhicule entièrement automatisé; b) avec une voiture particulière cible, un PTW cible et une bicyclette cible en tant que véhicule de tête, à condition que des PTW cibles normalisés appropriés pour effectuer l’essai en toute sécurité soient disponibles; c) pour des vélocités constantes et variables du véhicule de tête (profil de vitesse réaliste); d) sur des tronçons de route en ligne droite et en virage; e) pour différentes positions latérales du véhicule de tête dans la voie; f) avec une décélération du véhicule de tête d’au moins 6 m/s2 (décélération moyenne pleinement exercée) jusqu’à l’arrêt.

8.8. Changement de voie d’un autre véhicule entrant dans la voie (queue de poisson)

L’essai doit démontrer que le véhicule entièrement automatisé est capable d’éviter une collision avec un véhicule ou autre usager de la route faisant une queue de poisson dans la voie du véhicule entièrement automatisé jusqu’à une certaine criticité de la manœuvre de queue de poisson.

8.8.1.

La criticité de la manœuvre de queue de poisson doit être déterminée conformément aux Documents similaires Règlement (consolidé)02019R1020-20260812 Règlement (UE) 2019/1020 (version consolidée) 12/08/2026 Règlement (consolidé)02015R0640-20260809 Règlement (UE) 2015/640 (version consolidée) 09/08/2026 Règlement (consolidé)02012R0748-20260807 Règlement (UE) 2012/748 (version consolidée) 07/08/2026 Règlement (consolidé)02013R0168-20260802 Règlement (UE) 2013/168 (version consolidée) 02/08/2026 ← Retour au droit européenVoir aussi sur EUR-Lex →