關于根據(jù)第15X號法規(guī)對ALKS車輛類型型號認證的型號認證通知第……號附錄
車輛制造商聲明ALKS評估符合當?shù)亟煌ㄒ?guī)則的締約方地區(qū)：
*可以在線獲得適用聯(lián)合國15X號法規(guī)的締約方清單，地址：https://treaties.un.org/Pages/ViewDetails.aspx?src=http://www.hairay.cn/skin/defaultnew2020/image/nopic.gif 15[X]&chapter=11&clang=_en
認證標識協(xié)議
模型A
（請參閱本法規(guī)第4.4節(jié)）
根據(jù)上圖認證標識（貼在車輛上），有關ALKS車輛型號已根據(jù)聯(lián)合國第15X號法規(guī)在荷蘭（E4）認證（認證號：No.002439）。認證號表示：認證是根據(jù)聯(lián)合國第15X號法規(guī)原始版本中的要求授予的。
模型B
（請參閱本法規(guī)第4.5節(jié)）
根據(jù)上圖認證標識（貼在車輛上），有關車輛型號已根據(jù)聯(lián)合國第15X號法規(guī)和聯(lián)合國第31號法規(guī)1（UN Regulation No. 31）在荷蘭（E4）認證。認證號表示：在分別獲得認證當日，聯(lián)合國第15X號法規(guī)是其原始版本，聯(lián)合國第31號法規(guī)其中包括02系列修改。
1第二個法規(guī)編號僅作為示例給出。
適用于自動車道保持系統(tǒng)（ALKS）功能和運行安全方面的特殊要求
本附件旨在確保，制造商在設計和開發(fā)過程中，對自動化系統(tǒng)的功能和運行安全進行了合理全面的考慮，自動化系統(tǒng)具備ALKS法規(guī)規(guī)定的功能；將繼續(xù)在車型全生命周期內(nèi)（設計、開發(fā)、生產(chǎn)、現(xiàn)場操作、退役）進行這方面的考慮。
制造商必須將本附件包含的說明書，披露給型號認證機構(gòu)或代表其行事的技術服務部門（以下稱為型號認證部門），以便型號認證。
說明書應表明，自動車道保持系統(tǒng)符合本聯(lián)合國法規(guī)中規(guī)定的性能要求，并且系統(tǒng)設計和開發(fā)不會對駕駛員、乘客和其他道路使用者造成不合理的安全風險。
負責認證的型號認證部門，應通過有針對性的抽查和測試，來驗證說明書提供的論據(jù)是否足夠充足，并且說明書中所述的設計和流程是否實際上是由制造商實施的。
盡管根據(jù)提供的說明書、證據(jù)和流程審核/產(chǎn)品評估（符合本法規(guī)有關的型號認證部門的要求），評估后的自動車道保持系統(tǒng)的剩余風險水平，被認定為符合車型應用的基本標準，但根據(jù)本法規(guī)的要求，在自動車道保持系統(tǒng)使用壽命期間內(nèi)，整車安全仍由申請認證的制造商負責。
本附件有關定義如下：
2.1 “系統(tǒng)”是指提供自動駕駛功能的“高級電子控制”系統(tǒng)及其電子控制系統(tǒng)，也包括本自動車道保持功能法規(guī)范圍以外的、與其他系統(tǒng)互聯(lián)的傳輸鏈路。
2.2 “安全方案”是指系統(tǒng)中設計的措施，例如，在電子單元內(nèi)，可以使車輛在故障和非故障條件下運行，而不會對駕駛員、乘客和其他道路使用者造成不合理的安全風險。安全方案還包括車輛重要功能的部分運行甚至后備系統(tǒng)的備選方案。
2.3 “電子控制系統(tǒng)”是指通過電子數(shù)據(jù)處理，來配合生產(chǎn)規(guī)定的自動車道保持系統(tǒng)的單元組合。此類系統(tǒng)通常由軟件控制，由分立功能組件（例如，傳感器、電子控制單元和執(zhí)行器）組成，并通過傳輸鏈路進行連接，可以包括機械、電氣動或電液壓元件。
2.4 “高級電子控制”系統(tǒng)是指采用處理和/或感知設備來實現(xiàn)動態(tài)駕駛?cè)蝿盏南到y(tǒng)。
2.5 “單元”是指本附件規(guī)定的系統(tǒng)組件的最小劃分。出于識別、分析或替換的目的，這些組件的組合將被視為單個實體。
2.6“傳輸鏈路”是指用于分布式單元互連的設備，用于傳輸信號、運行數(shù)據(jù)或能源供應。該設備通常是電氣設備，但在某種程度上可以是機械、氣動或液壓設備。
2.7 “控制范圍”是指輸出變量，定義了系統(tǒng)可以執(zhí)行控制的范圍。
2.8 “功能運行的邊界”定義了系統(tǒng)能夠執(zhí)行動態(tài)駕駛?cè)蝿盏耐獠课锢順O限的邊界（即，包括接管請求和最低風險控制）。
2.9 自動車道保持系統(tǒng)的“運行設計域（ODD）”在本法規(guī)確定的范圍內(nèi)，定義了特定的運行條件（例如，環(huán)境、地理、時間、交通、基礎設施、速度范圍、天氣等條件），在這些條件下，自動車道保持系統(tǒng)可在無需駕駛員干預的情況下運行。
2.10 “自動駕駛功能”是指能夠執(zhí)行車輛動態(tài)駕駛?cè)蝿盏?ldquo;系統(tǒng)”的功能。
2.11 “控制策略”是指應對一組特定的環(huán)境和/或運行條件（例如，路面狀況、交通強度和其他道路使用者、不利的天氣條件等），確保“系統(tǒng)”功能穩(wěn)健安全運行的策略，可包括功能的自動停用或暫時的性能約束（例如，降低最大運行速度等）。
2.12 “功能安全”：在因電氣/電子系統(tǒng)故障行為引起危險（由于系統(tǒng)故障導致的安全危險）的情況下，不存在不合理的風險。
2.13 “故障”：可能導致元件（系統(tǒng)、組件、軟件）或項目（執(zhí)行車輛功能的系統(tǒng)或系統(tǒng)組合）失效的異常情況。
2.14 “失效”是指元件或項目預期行為的終止。
2.15 “運行安全”是指在預期功能的功能不足（例如，錯誤/漏檢）、運行干擾（例如，霧、雨、陰影、陽光、基礎設施等環(huán)境條件）帶來危險，或駕駛員、乘客和其他道路使用者造成合理可預見的濫用/錯誤（安全隱患——無系統(tǒng)故障）的情況下，不存在不合理的風險。
2.16 “不合理的風險”是指與熟練、謹慎手動駕駛相比，駕駛員、乘員和其他道路使用者總體水平上升的風險。
制造商應提供一個文件包，說明“系統(tǒng)”的基本設計，以及系統(tǒng)與其他車輛系統(tǒng)連接的方法或直接控制輸出變量的方式。應說明制造商提供的“系統(tǒng)”的功能，包括控制策略和安全方案。說明書應簡短，但應表明，設計和開發(fā)基于所涉及的所有系統(tǒng)領域的專業(yè)知識。對于定期技術檢測，說明書應說明如何檢查“系統(tǒng)”當前運行狀態(tài)。可通過使用標準化電子通訊接口（至少是標準接口（OBD端口）），讀取有關軟件版本和故障警告信號狀態(tài)的信息。型號認證部門應評估文件包，對“系統(tǒng)”進行以下說明：(a)其設計和開發(fā)，旨在能夠在聲明的運行設計域(ODD)和邊界范圍內(nèi)，使駕駛員、乘員和其他道路使用者避免不合理的風險；(b)符合本聯(lián)合國法規(guī)另行規(guī)定的性能要求；(c)是根據(jù)制造商聲明的開發(fā)過程/方法開發(fā)的，并且至少包括第3.4.4節(jié)中列出的步驟。(a)型號認證申請：在型號認證申請時，提交給型號認證部門的信息文件應包含附錄2中所列項目的簡要信息。這是認證的一部分。(b)認證的正式文件包，包含第3節(jié)中列出的資料（第3.4.4節(jié)除外），應提供給型號認證部門，進行產(chǎn)品評估/流程審核。型號認證部門應將此文件包用作本附件第4節(jié)中規(guī)定的驗證流程的基本參考。型號認證部門應確保該文件包的有效期至少為10年，從該車型完全停產(chǎn)的時間算起。(c)第3.4.4節(jié)所述的其他機密資料和分析數(shù)據(jù)（知識產(chǎn)權(quán)）應由制造商保留，但在產(chǎn)品評估/流程審核時，應公開以便檢測（例如，在制造商的工程設施現(xiàn)場）。制造商應確保，自該車型完全停產(chǎn)之日的10年內(nèi)，這些資料和分析數(shù)據(jù)一直有效。3.2 說明“系統(tǒng)”功能，包括控制策略應提供說明書簡單介紹“系統(tǒng)”所有功能，包括控制策略，以及在運行設計域(ODD)和自動車道保持系統(tǒng)設計運行邊界范圍內(nèi)，采用的執(zhí)行動態(tài)駕駛?cè)蝿盏姆椒?，包括對?zhí)行控制機制的聲明。制造商應說明系統(tǒng)與駕駛員、乘員和其他道路使用者以及人機界面（HMI）之間的交互。在生產(chǎn)車輛時集成硬件和軟件的任何已啟用或已禁用的自動駕駛功能，制造商應在將其應用于車輛之前，聲明符合本附件的要求。如果執(zhí)行了連續(xù)學習算法，制造商還應記錄數(shù)據(jù)處理。3.2.1 應提供所有輸入變量和感知變量的列表，定義這些變量的工作范圍，并說明每個變量是如何影響系統(tǒng)行為的。3.2.2 應提供“系統(tǒng)”控制的所有輸出變量的列表，并說明在不同情況下，是直接控制還是通過另一個車輛系統(tǒng)進行控制的。應定義每個此類變量所執(zhí)行控制的范圍（第2.7節(jié)）。3.2.3 在任何適用自動車道保持系統(tǒng)性能的情況下，應定義功能運行邊界的限值，包括ODD限值。3.2.4 當達到運行設計域(ODD)限度時，應說明駕駛員交互方案，包括系統(tǒng)向駕駛員提出接管請求的情況類型列表。3.2.5 應提供有關激活、超控或停用系統(tǒng)方法的信息，包括如何保護系統(tǒng)免受意外停用影響的策略。這還應包括系統(tǒng)如何檢測到有駕駛員接管駕駛控制的相關信息，以及所用參數(shù)的規(guī)格和書面證據(jù)，以識別駕駛員的注意力以及對轉(zhuǎn)向閾值的影響。應提供一個清單，整理“系統(tǒng)”所有單元，并提及實現(xiàn)上述控制功能所需的其他車輛系統(tǒng)。應提供組合這些單元的大綱示意圖，并清楚說明設備分布和互連。(c)通過遠程監(jiān)管中心進行遠程監(jiān)管和遠程監(jiān)控（如適用）(d)數(shù)據(jù)存儲系統(tǒng)（DSSAD）應概述“系統(tǒng)”每個單元的功能，并應說明將系統(tǒng)與其他單元或其他車輛系統(tǒng)鏈接的信號?？梢酝ㄟ^標記框圖或其他示意圖，或通示意圖解釋來說明。3.3.3 應通過電氣傳輸鏈路的電路圖、氣動或液壓傳輸設備的管道圖以及機械聯(lián)動裝置的示意簡圖，來說明“系統(tǒng)”內(nèi)部的互連。還應說明系統(tǒng)與其他系統(tǒng)之間的傳輸鏈路。3.3.4 傳輸鏈路與單元間傳輸?shù)男盘栔g應有明確的對應關系。在任何優(yōu)先級可能影響性能或安全性的情況下，都應說明多路復用數(shù)據(jù)路徑上信號的優(yōu)先級。每個單元應清晰可辨（例如，通過標記硬件、標記軟件內(nèi)容或軟件輸出），以提供相應的硬件和文件關聯(lián)。如果無需更改標記或組件即可更改軟件版本，則只能通過軟件輸出來標識軟件。如果功能組合在單個單元或?qū)嶋H上在單個計算機中，但為了通過方塊圖便于清楚說明功能，則應僅使用單個硬件標識標記。制造商應通過使用此標識，確認所提供的設備符合相應的文件要求。3.3.5.1 該標識定義了硬件版本和軟件版本，并且在軟件版本發(fā)生更改時（例如，就本法規(guī)而言，改變單元功能），還應更改該標識。制造商應提供有關安裝選項的信息，安裝選項將用于構(gòu)成感知系統(tǒng)的各個組件。一旦安裝在車輛中，這些選項應包括但不限于：部件在車輛中/車輛上的位置、部件周圍的材料、部件周圍材料的尺寸和幾何形狀以及部件周圍材料的表面光潔度。該信息還應包括對系統(tǒng)性能至關重要的安裝規(guī)范，例如，安裝角度公差。更改感知系統(tǒng)的各個組件或安裝選項，應通知型號認證部門，并接受進一步評估。3.4.1 制造商應提供聲明，確認“系統(tǒng)”不會給駕駛員、乘員和其他道路使用者帶來不合理的風險。3.4.2 對于“系統(tǒng)”中使用的軟件，應說明其整體架構(gòu)，并應確定其所使用的設計方法和工具（請參閱第3.5.1節(jié)）。在設計和開發(fā)過程中，制造商應提供證據(jù)，證明其確定系統(tǒng)邏輯實現(xiàn)的方式。3.4.3 制造商應向型號認證部門說明，“系統(tǒng)”中內(nèi)置的設計工具，以確保功能和運行安全。以下為“系統(tǒng)”中可能內(nèi)置的設計工具舉例：(a)使用部分系統(tǒng)回退到運行狀態(tài)。3.4.3.1 如果所選工具在某些故障條件下（例如，嚴重故障的情況下），選擇了部分性能運行模式，則應說明這些條件（例如，嚴重故障的類型），并應定義由此產(chǎn)生的有效性極限（例如，立即啟動最低風險控制），以及對駕駛員的警告策略。3.4.3.2 如果所選工具選擇第二種方式（備用）來實現(xiàn)動態(tài)駕駛?cè)蝿盏膱?zhí)行，則應說明轉(zhuǎn)換機制的原理、冗余的邏輯和級別以及任何內(nèi)置的備用檢查功能，并應定義備份有效性極限。3.4.3.3 如果所選工具選擇取消自動駕駛功能，則應按照本法規(guī)的相關規(guī)定進行取消。與該功能相關的所有相應輸出控制信號均應被禁止。3.4.4 應通過總體分析，說明該系統(tǒng)將如何減輕或避免對駕駛員、乘員和其他道路使用者帶來安全危險，以支持該說明書。所選分析方法應由制造商建立并維護，并應在型號認證時開放給型號認證部門進行檢測。該方法應基于適用于系統(tǒng)安全的危險/風險分析。(b)系統(tǒng)級別安全方法檢測包括自上而下的方法（從可能的危險到設計）和自下而上的方法（從設計到可能的危險）。安全方法可以基于失效模式與影響分析（FMEA）、故障樹分析（FTA）以及系統(tǒng)理論過程分析（STPA），或適用于系統(tǒng)功能和運行安全的任何類似的流程。(c)核實/驗證計劃和結(jié)果檢測，包括適用的驗收標準。這應包括適合于驗證的驗證測試，例如，硬件在環(huán)（HIL）測試、車輛道路運行測試以及實際最終用戶測試或任何其他適用于核實/驗證的測試?？梢酝ㄟ^分析不同測試的覆蓋率，并為各種指標設置最小覆蓋率閾值，來評估核實和驗證的結(jié)果。檢測應確保在（a）-（c）范圍內(nèi)，在適用的情況下，至少覆蓋以下各項中的其中一項：(i)與其他車輛系統(tǒng)交互（例如，制動、轉(zhuǎn)向等）相關的問題；(ii)自動車道保持系統(tǒng)的故障和系統(tǒng)的風險緩解措施；(iii)由于操作干擾（例如，對車輛環(huán)境了解不足或理解錯誤、對駕駛員、乘員或其他道路使用者的反應缺乏了解、控制不力、高難度場景等），在ODD范圍內(nèi)，系統(tǒng)可能給駕駛員、乘員和其他道路使用者帶來不合理的安全風險。(iv)邊界條件內(nèi)，確定相關場景以及用于選擇場景的管理方法和所選的驗證工具。(v)決策過程導致動態(tài)駕駛?cè)蝿請?zhí)行（例如，緊急操作），以便與其他道路使用者進行交互并符合交通規(guī)則。(vi)駕駛員合理的可預見的誤用（例如，駕駛員可用性識別系統(tǒng)、說明如何建立可用性標準等）、駕駛員的錯誤或誤解（例如，無意識的超控）以及系統(tǒng)的故意篡改。(vii)網(wǎng)絡攻擊對車輛安全的影響（可以根據(jù)聯(lián)合國第15Z號法規(guī)（網(wǎng)絡安全和網(wǎng)絡安全管理系統(tǒng)法規(guī)），通過分析來完成）。認證機構(gòu)的評估應包括對選定危害（或網(wǎng)絡威脅）的抽查，以證明支持安全方案的論證是可理解的、合乎邏輯的，并能在系統(tǒng)不同功能中得以實施。評估還應核實驗證計劃是否足夠成熟展示其安全性（例如，通過所選驗證工具，對所選測試場景進行合理覆蓋）、是否已經(jīng)完成。應證明車輛不會對駕駛員造成不合理的風險；以及不會對運行設計域（ODD）中的車輛乘員和其他道路使用者造成不合理的風險，即通過以下方式：(a)驗證結(jié)果支持的總體驗證目標（即驗證驗收標準），表明自動車道保持系統(tǒng)投入使用，相比手動駕駛車輛，總體上不會提高駕駛員、乘員和其他道路使用者的風險水平；以及(b)一種場景特定的方法，表明在每種安全相關的場景中，相比手動駕駛車輛，該系統(tǒng)總體上不會提高駕駛員、乘員和其他道路使用者的風險水平。型號認證部門應進行或要求進行第4節(jié)中規(guī)定的測試，以驗證安全方案。3.4.4.1 該說明書應逐項列出被監(jiān)測的參數(shù)，并應對本附件中第3.4.4節(jié)中定義的每種失效條件進行闡述，將警告信號發(fā)送給駕駛員/乘員/其他道路使用者和/或服務/技術檢測人員。3.4.4.2 該說明書還應說明，在“系統(tǒng)”性能受到環(huán)境條件影響時（例如，氣候、溫度，灰塵進入、進水、結(jié)冰等），實施的措施可確保“系統(tǒng)”不會對駕駛員、乘員和其他道路使用者造成不合理風險。3.5.1 對于“系統(tǒng)”中使用的軟件和硬件，在安全管理體系方面，制造商應向型號認可部門說明，在整個產(chǎn)品生命周期中（設計、開發(fā)、生產(chǎn)以及運行，包括遵守交通規(guī)則和退役），有效的過程、方法和工具是已經(jīng)到位、是最新的，并在組織內(nèi)部執(zhí)行以管理安全性和持續(xù)合規(guī)性。3.5.2 應建立設計和開發(fā)流程，包括安全管理體系、管理要求、要求實施、測試、故障跟蹤、補救和發(fā)布。3.5.3 制造商應在負責功能/運行安全、網(wǎng)絡安全以及與實現(xiàn)汽車安全相關的任何其他相關學科的制造商部門之間，建立并維持有效的溝通渠道。3.5.4 制造商應建立流程，監(jiān)測因啟用自動車道保持系統(tǒng)引起的與安全相關的事故/碰撞，管理注冊后潛在的安全相關間隙（閉環(huán)場景監(jiān)測）并更新車輛。這些流程應在發(fā)生嚴重事故時（例如，與其他道路使用者碰撞以及潛在的安全相關間隙），向型號認證部門報告。3.5.5 制造商應證明，進行定期、獨立的內(nèi)部流程審核，以確保根據(jù)第3.5.1節(jié)至第3.5.4節(jié)建立的流程實現(xiàn)統(tǒng)一實施。3.5.6 制造商應與供應商一道，將合理的安排（例如，合同安排、清晰的接口、質(zhì)量管理體系等）落實到位，以確保供應商安全管理體系符合第3.5.1節(jié)、第3.5.2節(jié)、第3.5.3節(jié)以及第3.5.5節(jié)的要求（車輛相關方面除外，例如，“運行”和“退役”）。4.1 第3節(jié)要求，“系統(tǒng)”的功能運行應在文件中說明，并按以下方式進行測試：型號認證部門應驗證非失效條件下的“系統(tǒng)”，在測試場上測試第3.2節(jié)中制造商所述的一系列選定功能，并檢查系統(tǒng)在實際駕駛條件下的整體行為，包括是否遵守交通規(guī)則。根據(jù)本附件，測試應側(cè)重于本法規(guī)《附件五》中已進行的測試。4.1.1.1 驗證結(jié)果應與在第3.2節(jié)中制造商提供的說明書（包括控制策略）相符，并應符合本法規(guī)的要求。4.1.2 驗證第3.4節(jié)中的安全方案。應通過對電氣單元或機械元件施加相應的輸出信號，以模擬單元內(nèi)部失效的影響，在任何獨立單元故障的影響下，檢查“系統(tǒng)”的反應。型號認證部門應至少對一個獨立單元進行檢查，但不得檢查“系統(tǒng)”對多個獨立單元同時失效時的反應。型號認證部門應驗證，這些測試是否包括可能影響車輛可控制性和用戶信息的方面（HMI方面，例如接管場景）。4.1.2.1 型號認證部門還應檢查一些本法規(guī)定義的、對目標和事件探測與響應（OEDR）以及系統(tǒng)決策和HMI功能特性描述至關重要的場景（例如，難以探測的目標，當系統(tǒng)到達ODD邊界時，交通干擾場景）。4.1.2.2 驗證結(jié)果應與危害分析的書面摘要相一致，并達到安全方案及其執(zhí)行被確認為是正確的并且符合本法規(guī)要求的總體效果。4.2 可以根據(jù)《1958年協(xié)定書》修訂版第3版中附錄8，使用仿真工具和數(shù)學模型來驗證安全方案，尤其是針對在測試場或?qū)嶋H駕駛條件下難以實現(xiàn)的場景。制造商應說明模擬工具的范圍，其在有關場景下的有效性，以及針對模擬工具鏈（結(jié)果與物理測試的關聯(lián)）進行的驗證。評估報告應通過可追溯的方式進行，例如，檢查的文件版本已編碼并列入技術部門記錄。在本附件的附錄1中，舉例說明了技術服務機構(gòu)提交給型號認證部門的評估表可能會有的格式。本附錄所列項目可概述為需要涵蓋的最小項目集。6. 發(fā)送給其他型號認證部門（《附錄2》）的通知包括：(a)ODD和高級功能架構(gòu)說明，著重于駕駛員、乘員和其他道路使用者可用的功能。(b)型號認證部門在驗證過程中的測試結(jié)果。本附件項下的評估只能由具有必要的技術和行政知識的專業(yè)審核員/評估員進行。特別是有資格擔任ISO 26262-2018（《道路車輛功能安全》）和ISO/PAS 21448（《道路車輛預期功能安全》）的審核員/評估員; 并應能夠根據(jù)聯(lián)合國第15Z號法規(guī)和ISO/SAE 21434，與網(wǎng)絡安全方面建立必要的聯(lián)系。這種資質(zhì)應通過適當?shù)馁Y格證明或其他等效的培訓記錄來證明。2.2 “系統(tǒng)”的所有控制功能以及操作方法：2.4 “系統(tǒng)”的所有控制功能以及操作方法：3.1 信號流和運行數(shù)據(jù)及其優(yōu)先級：.制造商______確認“系統(tǒng)”不會對駕駛員、乘員和其他道路使用者造成不合理的風險。3.3 軟件架構(gòu)概述以及使用的設計方法和工具：3.5 在個別危險或故障情況下“系統(tǒng)”的行為記錄分析：3.7 “系統(tǒng)”定期技術檢查規(guī)定：3.8 根據(jù)聯(lián)合國第[15X]號法規(guī)附件四的第4.1.1節(jié)，“系統(tǒng)”的驗證測試結(jié)果：3.9根據(jù)聯(lián)合國第[15X]號法規(guī)附件四的第4.1. 2節(jié)，安全概念的驗證測試結(jié)果：3.11 根據(jù)聯(lián)合國第[15X]號法規(guī)的最新修訂，該測試已經(jīng)執(zhí)行并上報結(jié)果。
廣告
廣告 
