Regolamento (UE) 2022/1426

Regolamento di esecuzione (UE) 2022/1426 della Commissione

Il regolamento attua il regolamento (UE) 2019/2144 per l’omologazione del sistema di guida automatizzata dei veicoli completamente automatizzati. L’intervento normativo risponde all’esigenza di disporre di una disciplina tecnica uniforme per la valutazione di sicurezza degli ADS, con particolare attenzione a scenari di traffico, gestione delle avarie, interazione con gli utenti della strada e controllo continuo della sicurezza nel ciclo di vita.

Ambito di applicazione

Il regolamento si applica all’omologazione del sistema di guida automatizzata dei veicoli completamente automatizzati delle categorie M e N, nei casi d’uso di area predefinita, collegamento "hub-to-hub" e parcheggio automatizzato di ritiro e riconsegna in parcheggi predefiniti. È prevista anche l’omologazione individuale, ove compatibile con il regolamento (UE) 2018/858.

Restano fuori dall’ambito applicativo:

• i sistemi di guida automatizzata dei veicoli automatizzati disciplinati dal regolamento UNECE n. 157 richiamato dal regolamento (UE) 2019/2144;
• i sistemi di monitoraggio della disponibilità del conducente che non si applicano ai veicoli completamente automatizzati.

Il regolamento non incide sul potere degli Stati membri di disciplinare circolazione e sicurezza di funzionamento nel traffico e nei servizi di trasporto locale. Gli Stati membri non sono tenuti a predefinire aree, itinerari o parcheggi.

Definizioni rilevanti

L’articolo 2 contiene un ampio apparato definitorio, indispensabile per leggere correttamente i requisiti tecnici. Tra le nozioni centrali vi sono:

• sistema di guida automatizzata (ADS);
• attività di guida dinamica, distinta in funzioni operative e tattiche;
• ambito di impiego previsto (ODD);
• scenari nominali, critici e di avaria;
• manovra di minimizzazione del rischio e condizione di rischio minimo;
• operatore di bordo e operatore per interventi da remoto;
• veicoli dual mode;
• rischio irragionevole, sicurezza funzionale e sicurezza operativa.

Le definizioni sono costruite per delimitare la responsabilità del costruttore nella progettazione del sistema e per definire la soglia di sicurezza richiesta: il sistema non deve presentare rischi irragionevoli rispetto a servizi di trasporto e situazioni comparabili.

Documentazione e struttura dell’omologazione

L’articolo 3 disciplina la documentazione amministrativa e tecnica da presentare. La domanda deve essere corredata da una scheda informativa conforme all’allegato I, da una valutazione tecnica conforme all’allegato III e dal certificato di omologazione UE secondo l’allegato IV.

La documentazione copre, tra l’altro:

• descrizione generale del sistema;
• ambito di impiego previsto e limiti operativi;
• componenti e architettura hardware/software;
• principio di sicurezza;
• verifiche e convalide del costruttore;
• elementi di dato e registrazione eventi;
• cibersicurezza e aggiornamenti software;
• manuale d’uso;
• controlli tecnici periodici.

Requisiti prestazionali del sistema ADS

L’allegato II è il cuore sostanziale del regolamento. Il sistema deve eseguire l’intera attività di guida dinamica all’interno dell’ambito di impiego previsto, mantenendo sicurezza e conformità al codice della strada del paese di utilizzo. Deve inoltre:

• rilevare e gestire oggetti ed eventi rilevanti;
• interagire in modo prudente con gli altri utenti della strada;
• adattare il comportamento al traffico circostante;
• dare priorità assoluta alla tutela della vita umana.

Il regolamento impone una capacità anticipatoria nelle interazioni con gli altri utenti della strada, soprattutto in presenza di utenti vulnerabili, veicoli che cambiano corsia, si inseriscono nella corsia o attraversano la traiettoria del veicolo automatizzato.

In assenza di un codice della strada specifico, per i veicoli che trasportano occupanti in piedi o senza sistemi di trattenuta il sistema non deve superare:

• accelerazione orizzontale combinata di 2,4 m/s2;
• tasso di variazione dell’accelerazione di 5 m/s3.

Durante la manovra di minimizzazione del rischio la richiesta di decelerazione non deve superare, in via generale, 4,0 m/s2 fino all’arresto nel luogo più sicuro possibile; sono ammessi valori superiori in caso di avaria grave.

Gestione di scenari critici, limiti dell’ODD e avarie

Il sistema deve riconoscere i limiti del proprio ambito di impiego previsto, rilevare quando le condizioni di attivazione non sono più soddisfatte e reagire in anticipo all’uscita dall’ODD. Al raggiungimento dei limiti operativi deve attivare una manovra di minimizzazione del rischio e avvisare l’operatore competente, se presente.

In caso di avarie, il sistema deve:

• eseguire autodiagnosi;
• valutare la propria capacità residua;
• rispondere in modo sicuro ai malfunzionamenti non gravi;
• attuare una manovra di minimizzazione del rischio quando l’avaria impedisce la prosecuzione sicura della guida;
• segnalare immediatamente avarie gravi e stato operativo risultante agli occupanti, all’operatore di bordo o da remoto e agli altri utenti della strada, secondo il codice della strada.

Se la funzionalità di frenata o sterzata è compromessa, la manovra di minimizzazione del rischio deve tener conto della capacità residua disponibile.

Interazione uomo-macchina e ruoli operativi

Il regolamento dedica rilievo all’interazione con occupanti e operatori esterni. Il costruttore deve fornire informazioni adeguate per il funzionamento sicuro e per i rischi di sicurezza. Se previsto il ricorso a un operatore da remoto, il veicolo deve consentire la chiamata tramite interfaccia audiovisiva e deve offrire i mezzi per richiedere la manovra di minimizzazione del rischio.

In caso di emergenza, per i veicoli con porte automatiche lo sblocco deve avvenire automaticamente quando possibile in sicurezza; inoltre deve essere possibile l’uscita dei passeggeri dal veicolo fermo.

Se l’operatore da remoto rientra nel principio di sicurezza, il veicolo deve anche disporre di sistemi di visione dell’abitacolo e dell’ambiente esterno, nonché consentire l’apertura da remoto della porta di accesso elettrica.

Sicurezza funzionale e operativa, principio di sicurezza e sistema di gestione

Il costruttore deve dimostrare, con documentazione e analisi strutturate, che il sistema è progettato e sviluppato in modo da non comportare rischi irragionevoli lungo l’intero ciclo di vita. Il concetto di sicurezza deve considerare sia i guasti e i malfunzionamenti sia le perturbazioni operative e gli usi impropri ragionevolmente prevedibili.

Sono espressamente ammessi diversi approcci di sicurezza, tra cui:

• funzionamento basato su prestazioni parziali in determinate condizioni di guasto;
• ridondanza con un sistema separato;
• diversità di sistemi per la stessa funzione;
• neutralizzazione o limitazione della funzione automatizzata.

Il costruttore deve inoltre mantenere processi per la sicurezza continua del sistema durante la durata di vita, compresi usura dei componenti, nuovi scenari di traffico e aggiornamenti necessari dopo l’immatricolazione.

Cibersicurezza e aggiornamenti software

Il regolamento richiama i regolamenti UNECE n. 155 e n. 156. Il sistema deve essere protetto contro l’accesso non autorizzato e deve consentire aggiornamenti software sicuri e controllati. Per l’identificazione del software è previsto l’uso dell’R2022/1426SWIN, oppure, se tale identificatore non è presente nel veicolo, la dichiarazione delle versioni software pertinenti.

La scheda informativa deve indicare:

• l’R2022/1426SWIN;
• il modo in cui l’identificatore o la versione software possono essere letti.

Il costruttore può richiedere una nuova omologazione per distinguere versioni software destinate a veicoli già immatricolati da quelle per veicoli nuovi, riducendo ove possibile la duplicazione delle prove.

Dati, registratore di eventi e protezione della memoria

L’allegato II stabilisce un articolato regime di registrazione degli eventi quando il sistema è attivo. Tra gli eventi da registrare vi sono, tra gli altri:

• attivazione, disattivazione e reinizializzazione del sistema;
• richieste inviate o ricevute dall’operatore da remoto;
• inizio e fine del funzionamento di emergenza;
• collisioni rilevate;
• manovre di minimizzazione del rischio;
• raggiungimento della condizione di rischio minimo;
• avarie del sistema o del veicolo;
• inizio, fine e interruzione di procedure di cambio corsia;
• inizio e fine dell’attraversamento intenzionale della corsia.

Per ciascun evento devono essere registrati data, posizione GPS, marcatura temporale, motivo dell’evento, flag dell’evento e identificazione del software presente. Sono previste regole sulla sovrascrittura dei dati, sulla leggibilità standardizzata tramite OBD, sulla protezione dalla manipolazione e sulla recuperabilità dopo impatto per determinate categorie di veicoli.

Per i veicoli dotati di registratore di dati di evento ai sensi del regolamento (UE) 2019/2144, deve essere possibile recuperare anche gli elementi di dati ADS registrati nei 30 secondi precedenti l’evento che attiva il registratore, con limitazioni specifiche sulla presenza di dati identificativi.

Manuale d’uso e controlli tecnici periodici

Il manuale d’uso è obbligatorio e deve essere presentato con la domanda di omologazione e allegato al certificato. Deve essere messo a disposizione del proprietario, degli operatori e delle autorità competenti. Il documento deve descrivere:

• funzionamento del sistema;
• misure tecniche e manutentive;
• infrastruttura esterna eventualmente necessaria;
• limitazioni operative e ambientali;
• istruzioni in caso di avarie e richieste del sistema;
• regole per manutenzione, prove ed esami ulteriori.

Per i controlli tecnici periodici devono poter essere verificati:

• lo stato operativo del sistema tramite osservazione del segnale di avviso avaria;
• la funzionalità e l’integrità software tramite interfaccia elettronica del veicolo, se tecnicamente possibile e se i dati sono disponibili.

Valutazione di conformità, prove e uso di simulazioni

L’allegato III definisce il metodo di valutazione complessiva: il costruttore deve presentare una documentazione idonea, l’autorità di omologazione deve esaminarla e condurre o richiedere prove mirate. La verifica comprende:

• il funzionamento in assenza di avarie;
• il principio di sicurezza in presenza di avaria singola;
• il sistema di gestione della sicurezza del costruttore;
• le prove specifiche sugli scenari di traffico più pertinenti;
• la valutazione della credibilità delle catene di strumenti virtuali;
• il sistema di segnalazioni in servizio.

È ammesso l’uso di simulazioni e modelli matematici, conformemente all’allegato VIII del regolamento (UE) 2018/858, soprattutto per scenari difficili da provare su strada o su tracciato. Tuttavia la simulazione non può sostituire le prove fisiche minime richieste.

Scenari di prova e parametri essenziali

L’allegato III, parte 3, elenca un insieme minimo di scenari di prova, tra cui:

• mantenimento della corsia;
• cambio corsia;
• risposta a geometrie stradali diverse;
• risposta al codice della strada e alle infrastrutture;
• prevenzione delle collisioni con utenti della strada o oggetti che ostruiscono la corsia;
• evitamento di frenate di emergenza ingiustificate davanti a oggetti transitabili;
• marcia al seguito di altri veicoli;
• immissione in corsia da parte di altri veicoli;
• ostacolo fermo dopo il cambio di corsia del veicolo che precede;
• parcheggio e spostamenti all’interno di un parcheggio;
• scenari specifici autostradali, inclusi ingresso, uscita e caselli;
• passaggio dalla modalità manuale a quella completamente automatizzata per i veicoli dual mode.

Le prove devono essere coerenti con l’ambito di impiego previsto e con le caratteristiche del sistema, e devono verificare comportamento cooperativo, anticipatorio e non imprevedibile.

Credibilità delle simulazioni

La parte 4 dell’allegato III introduce un vero e proprio framework di credibilità della modellizzazione e simulazione, valutando capacità, accuratezza, correttezza, fruibilità e idoneità all’impiego. Il costruttore deve documentare:

• gestione delle versioni del modello;
• competenza del gruppo che lo sviluppa e lo usa;
• genealogia dei dati di input e output;
• analisi, descrizione, verifica, convalida e incertezza del modello.

L’autorità di omologazione può esaminare la documentazione e, se necessario, effettuare prove fisiche del sistema integrato. La simulazione è dunque uno strumento di supporto alla convalida, non un sostituto delle prove fisiche richieste.

Segnalazioni in servizio e vigilanza post-omologazione

L’allegato V disciplina il monitoraggio post-vendita e le segnalazioni in servizio. Il costruttore deve notificare senza indugio gli eventi critici alle autorità competenti e alla Commissione; deve inoltre segnalare entro un mese gli eventi a breve termine e presentare una relazione annuale sugli eventi pertinenti.

Le segnalazioni servono a verificare che:

• non emergano incongruenze rispetto alle prestazioni di sicurezza valutate prima dell’immissione sul mercato;
• il sistema continui a rispettare i requisiti prestazionali;
• le eventuali nuove criticità siano affrontate in modo adeguato.

Le autorità possono richiedere i dati giustificativi e il costruttore deve trasmetterli mediante file di scambio concordato, adottando misure di sicurezza adeguate.

Certificati e allegati finali

Il regolamento contiene modelli armonizzati di scheda informativa, relazione di valutazione, certificato di conformità del sistema di gestione della sicurezza e certificato di omologazione UE del tipo di veicolo. Questi modelli garantiscono uniformità amministrativa e tracciabilità tecnica tra autorità di omologazione, servizi tecnici e costruttori.

Per i professionisti, il testo è rilevante perché coordina omologazione, documentazione tecnica, cybersicurezza, aggiornamenti software, responsabilità organizzative e vigilanza successiva alla commercializzazione, con impatti diretti su costruttori, fornitori, operatori di trasporto e autorità nazionali.