1.背景

2.范圍和定義

3.申請批準(zhǔn)

4.批準(zhǔn)

5.一般要求

6.DCAS功能的附加要求

7.DCAS運(yùn)行監(jiān)控

8.系統(tǒng)驗(yàn)證

9.系統(tǒng)信息數(shù)據(jù)

10.軟件識(shí)別要求

11.系統(tǒng)安全要求

12.物理測試要求

13.模擬仿真要求

3.5 安全管理體系（過程審核）

3.5.1 對于系統(tǒng)中使用的軟件和硬件，制造商應(yīng)向型式認(rèn)證機(jī)構(gòu)證明，在安全管理體系方面，有效的流程、方法和工具是最新的，且已經(jīng)到位，并在組織內(nèi)得到遵守，以管理整個(gè)產(chǎn)品生命周期（設(shè)計(jì)、開發(fā)、生產(chǎn)和運(yùn)營）的安全性和持續(xù)合規(guī)性。

3.5.2 安全管理體系應(yīng)包括以下關(guān)鍵組成部分：

（a）安全政策和目標(biāo)，建立具有明確安全政策、安全角色和責(zé)任以及組織安全目標(biāo)的安全實(shí)踐；

（b）安全風(fēng)險(xiǎn)管理，旨在以積極主動(dòng)的方式管理風(fēng)險(xiǎn)；

（c）監(jiān)控、分析和衡量整體安全績效的安全保障；

（d）安全宣傳，確保充分的信息、教育，提高員工的安全意識(shí)。

3.5.3 制造商應(yīng)建立設(shè)計(jì)和開發(fā)流程，包括設(shè)計(jì)安全、需求管理、需求實(shí)施、測試、故障跟蹤、補(bǔ)救和發(fā)布。

3.5.4 制造商應(yīng)在負(fù)責(zé)功能安全、操作安全、網(wǎng)絡(luò)安全和與實(shí)現(xiàn)車輛安全相關(guān)的任何其他相關(guān)學(xué)科的制造商部門之間建立和維護(hù)有效的溝通渠道。

3.5.5 制造商應(yīng)證明進(jìn)行了定期獨(dú)立的內(nèi)部過程審核，以確保按照上文3.5.1-3.5.4段建立的過程得到一致實(shí)施。

3.5.6 制造商應(yīng)與供應(yīng)商建立適當(dāng)?shù)陌才牛ɡ绾贤才?、明確的接口、質(zhì)量管理體系），以確保供應(yīng)商安全管理體系符合上述3.5.1（與車輛相關(guān)的方面，如“操縱”除外）、3.5.2、3.5.3、3.5.5的要求。

3.5.7 留檔應(yīng)概述系統(tǒng)信息策略，旨在鼓勵(lì)駕駛員在操作DCAS系統(tǒng)時(shí)查看系統(tǒng)操作信息（例如，當(dāng)系統(tǒng)切換到“開啟”模式時(shí)，在驅(qū)動(dòng)周期開始時(shí)定期通知駕駛員查看相關(guān)材料）。

4. 驗(yàn)證和測試

4.1 第3章節(jié)中要求的文件中規(guī)定的系統(tǒng)功能操作應(yīng)按以下方式進(jìn)行測試：

4.1.1 系統(tǒng)功能驗(yàn)證：

型式認(rèn)證機(jī)構(gòu)應(yīng)在非故障條件下通過測試制造商在上文第3.2段中聲明的若干選定功能來驗(yàn)證系統(tǒng)。

這些選定功能的性能驗(yàn)證應(yīng)按照制造商的測試程序進(jìn)行，除非本UN法規(guī)規(guī)定了測試程序。

如果DCAS系統(tǒng)受制于本UN法規(guī)范圍之外的系統(tǒng)的輸入信號，則應(yīng)使用相關(guān)UN法規(guī)的測試程序或通過產(chǎn)生相關(guān)輸入信號的其他方式（例如模擬）進(jìn)行測試。

對于復(fù)雜的電子系統(tǒng)，這些測試應(yīng)包括覆蓋聲明的功能的全部場景。

4.1.1.1 驗(yàn)證結(jié)果應(yīng)符合段落3.2中制造商提供的描述，包括控制策略。

4.1.2 驗(yàn)證第3.4段的安全概念

在任何單個(gè)單元的故障（模擬電氣故障或非電氣故障）影響下檢查系統(tǒng)的反應(yīng)。應(yīng)通過向電氣單元或機(jī)械元件施加相應(yīng)的輸出信號來檢查系統(tǒng)的反應(yīng)，以模擬單元內(nèi)部故障的影響。認(rèn)證機(jī)構(gòu)應(yīng)至少對一個(gè)單獨(dú)的單元進(jìn)行此檢查，但不應(yīng)檢查“系統(tǒng)”對單個(gè)單元的多個(gè)同時(shí)故障的反應(yīng)。

型式認(rèn)可機(jī)構(gòu)應(yīng)驗(yàn)證這些測試包括可能對車輛可控性和用戶信息/交互產(chǎn)生影響的方面（HMI方面）。

4.1.2.1 驗(yàn)證結(jié)果應(yīng)與記錄在案的故障分析文件相對應(yīng)，達(dá)到總體效果水平，從而確認(rèn)安全概念和執(zhí)行是充分的。

4.1.3 可控性驗(yàn)證［新增］

從可控性的角度來看，在無故障（第4.1.1.1段）和故障（第3.1.2.1 段）條件下的驗(yàn)證應(yīng)足夠。

4.1.1.3.1 關(guān)于第5.3.6.2段。根據(jù)本聯(lián)合國法規(guī)，確?？煽匦缘牟呗钥赡馨ǖ幌抻冢?

（a）限制系統(tǒng)的轉(zhuǎn)向輸出；

（b）調(diào)整車輛在行駛車道上的位置；

（c）確定道路類型和屬性；

（d）確定其他道路使用者的行為；

（e）使用駕駛員監(jiān)控。

4.1.3.2 關(guān)于第5.3.6.2段。根據(jù)本聯(lián)合國法規(guī)，在抑制脫手報(bào)警HOR的同時(shí)確?？煽匦缘牟呗钥赡馨ǖ幌抻冢?

（a）不立即終止輔助并繼續(xù)控制適當(dāng)?shù)能壽E，（例如當(dāng)未檢測到駕駛員正在控制轉(zhuǎn)向且暫時(shí)未檢測到車道標(biāo)記時(shí)）；

（b）根據(jù)車輛制造商的安全概念，盡可能限制或避免車輛突然運(yùn)動(dòng)（例如，避免突然失去轉(zhuǎn)向輔助）；

（c）調(diào)整車輛在行駛車道上的位置（例如，在轉(zhuǎn)彎時(shí)進(jìn)行偏移，保持中心位置或?yàn)槠渌煌ㄟM(jìn)行偏移）；

（d）確定道路類型和屬性（例如，僅限于寬車道或橫向自由空間較寬的車道）；

（e）限制設(shè)計(jì)速度范圍或橫向加速度范圍；

（f）增加除HOR和EOR之外的警告時(shí)間，以便駕駛員脫手后有足夠的反應(yīng)時(shí)間在進(jìn)行直接轉(zhuǎn)向控制。

4.2 可以使用仿真工具和數(shù)學(xué)模型來驗(yàn)證安全概念，特別是在測試場地或?qū)嶋H駕駛條件下搭建場景比較困難的情況。為此目的使用的方法應(yīng)符合本UN法規(guī)附件5（第13章節(jié)）的要求。制造商應(yīng)證明仿真工具的范圍、其對相關(guān)場景的有效性以及對仿真工具鏈進(jìn)行的驗(yàn)證（結(jié)果與物理測試的相關(guān)性）。

4.2.1 如果制造商進(jìn)行仿真測試，型式認(rèn)證機(jī)構(gòu)應(yīng)評估制造商提供的申報(bào)結(jié)果，特別是與安全指標(biāo)和系統(tǒng)邊界覆蓋范圍有關(guān)的結(jié)果。

4.3 型式認(rèn)證機(jī)構(gòu)應(yīng)檢查一些對系統(tǒng)HMI功能的表征至關(guān)重要的場景，并驗(yàn)證駕駛員脫離監(jiān)測和警告系統(tǒng)的有效性能。

4.4 型式認(rèn)證機(jī)構(gòu)還應(yīng)檢查法規(guī)中定義的對駕駛員控制系統(tǒng)邊界至關(guān)重要的一些場景（例如，當(dāng)系統(tǒng)到達(dá)其系統(tǒng)邊界時(shí)難以檢測到的物體、與其他道路使用者碰撞的風(fēng)險(xiǎn)、系統(tǒng)故障情況）。

5. 型式認(rèn)證機(jī)構(gòu)的報(bào)告

型式認(rèn)證機(jī)構(gòu)的評估報(bào)告應(yīng)以允許可追溯的方式執(zhí)行，例如檢查的文件版本應(yīng)編碼并列在評估記錄中。

電子系統(tǒng)和/或復(fù)雜電子系統(tǒng)的模型評估表

試驗(yàn)報(bào)告編號：

1. 識(shí)別

1.1 制造商

1.2 車輛類型

1.3 車輛上的系統(tǒng)識(shí)別方式

1.4 標(biāo)記位置

1.5 制造商名稱和地址

1.6 制造商代表的姓名和地址（如適用）

1.7 制造商的正式文件包

文件參考號：

原始簽發(fā)日期：

最新更新日期：

2. 測試車輛/系統(tǒng)說明

2.1 概述

2.2 系統(tǒng)所有控制功能的描述，包括控制策略（附件三第3.2段）

2.2.1 輸入和感知變量及其工作范圍列表，包括變量対系統(tǒng)行為的影響的描述（附件三第3.2.1.段）

2.2.2 輸出變量及其控制范圍列表（附件三第3.2.2段）

2.2.2.1 直接控制

2.2.2.2 通過另一個(gè)車輛系統(tǒng)控制

2.3 描述系統(tǒng)布局和示意圖（附件三第3.3段）

2.3.1 部件清單（附件三第3.3.1段）

2.3.2 裝置的功能（附件三第3.3.2段）

2.3.3 互連（附件三第3.3.3段）

2.3.4 信號流、運(yùn)行數(shù)據(jù)和代先級（附件三第3.3.4段）

2.3.5 單元（硬件和軟件）的標(biāo)識(shí)（附件三第3.3.5段）

3. 制造商的安全理念

3.1 制造商聲明（附件三第3.4.1段）

制造商XXXX確認(rèn)在非故障條件下，系統(tǒng)不會(huì)影響車輛的安全運(yùn)行。

3.2 軟件（概述架構(gòu)、軟件設(shè)計(jì)方法和使用的工具）（附件三第3.4.2段）

3.3 故障條件下系統(tǒng)內(nèi)置設(shè)計(jì)規(guī)定的說明（附件三第3.4.3段）

3.4 對單個(gè)故障條件下系統(tǒng)行為的記錄分析

3.4.1 監(jiān)測參數(shù)

3.4.2 產(chǎn)生的警告信號

3.5 針對環(huán)境條件采取的措施說明（附件三第3.4.4.2段）

3.6 系統(tǒng)定期技術(shù)檢查的規(guī)定（附件三第3.1段）

3.7 檢查系統(tǒng)運(yùn)行狀態(tài)的方法說明

4. 驗(yàn)證和測試

4.1 系統(tǒng)功能的驗(yàn)證（附件三第4.1.1段）

4.1.1 所選功能列表和所用測試程序說明

4.1.2 根據(jù)本附錄第4.1.1.1段驗(yàn)證的測試結(jié)果：是/否。

4.2 系統(tǒng)安全概念的驗(yàn)證（附件三第4.1.2段）

4.2.1 測試的單元及其功能

4.2.2 模擬故障

4.2.3 根據(jù)附件三第4.1.2段驗(yàn)證的測試結(jié)果：是/否。

4.3 測試日期

4.4 本實(shí)驗(yàn)已按照聯(lián)合國第172號法規(guī)（本聯(lián)合國法規(guī)的編號）進(jìn)行，并報(bào)告了結(jié)果。

進(jìn)行試驗(yàn)的型式認(rèn)證機(jī)：

簽名：日期：

4.5 評論