Sicherheitsanforderungen an ETCS-Betrieb und Technik Erfahrungen mit der betrieblichen Gefährdungsanalyse von ETCS

Transkript

1 Sicherheitsanforderungen an ETCS-Betrieb und Technik Erfahrungen mit der betrieblichen Gefährdungsanalyse von ETCS DB Systemtechnik Dr. Lars Hauke Hansen TTZ 123 Braunschweig,

2 Gliederung 1. Motivation: Theorie und Praxis? 2. Kurze Einführung zu ETCS 3. Die funktionale Risikoanalyse der DB 4. Die betriebliche Gefährdungsanalyse 5. Quantifizierung menschlicher Handlungen 6. Projekterfahrungen und Zusammenfassung 2

3 1. Motivation: a) Theorie... Zusammenwirken von Risikoanalyse und Gefährdungsanalyse Anforderungen abgeleitet auf Basis der EBO EN macht globale Vorgaben zu RA und GA Überlappender Bereich der Zuständigkeiten => Wer macht was? Anforderungen nach Unisig Subset 091 3

4 ... und Praxis Rückblick auf RA / GA zum ETCS Pilotsystem auf Berlin-Halle/Leipzig: Schwierigkeiten bei der unmittelbaren Zuordnung der aus RA und GA abgeleiteten Gefährdungen aufgrund unterschiedlicher Herangehensweisen und Systemdefinitionen (technisch / funktional): Betreiber Inhaltliche Gruppierung 13 relevante Gefährdungen H H H H H H H H Hersteller? 22 Gefährdungen H H H H H H => Wie lassen sich derartige Probleme vermeiden?? H Hazard/Gefährdung 4

5 Motivation: b) Nationale und europäische Vorgaben: Übereinstimmung oder Widerspruch? Deutsches Recht: Eisenbahn-Bau- und Betriebsordnung (EBO): 2 Allgemeine Anforderungen (2) Von den anerkannten Regeln der Technik darf abgewichen werden, wenn mindestens die gleiche Sicherheit wie bei Beachtung dieser Regeln nachgewiesen ist. EU-Recht: ENTSCHEIDUNG DER KOMMISSION vom 7. November 2006 über die technische Spezifikation für die Interoperabilität des Teilsystems Zugsteuerung, Zugsicherung und Signalgebung des transeuropäischen Hochgeschwindigkeitsbahnsystems (2006/860/EG) Aus der Liste der verbindlichen Spezifikationen: Unisig (ALSTOM * ANSALDO * BOMBARDIER * INVENSYS * SIEMENS * THALES) => Passen die daraus ableitbaren Anforderungen zusammen? 5

6 2. Einführung zu ETCS Ersatz der Vielzahl europäischer Zugsicherungssysteme durch ein harmonisiertes, standardisiertes System: ETCS Nationale Systeme ASFA/Indusi/SELCAB ATB AWS BACC/RSDD Crocodile Crocodile/KVB/TVM Crocodile/TBL 1/2/3 Ebicab Indusi/LZB INTEGRA/ZUB121 ZUB 123 6

7 ETCS = European Train Control System ETCS überwacht die Bewegung von Eisenbahnfahrzeugen bzw. Zügen auf der Grundlage sicherer Streckeninformationen und der Zugeigenschaften hinsichtlich der Einhaltung der örtlich zugelassenen Geschwindigkeit der Einhaltung der zulässigen Geschwindigkeit des Zuges der Einhaltung des für den Zug freigegebenen Fahrwegs der Bewegungsrichtung der Eignung des Zuges für alle Teile seines Fahrweges und der Einhaltung evtl. vorgegebener betrieblicher Verfahren (z.b. Fahren auf Sicht ) Ziele bei der Einführung von ETCS: Kostenreduzierung bei Investitionen, Instandhaltung und Betrieb Ersatz der nationalen Zugsicherungssysteme in Europa Interoperabilität der Netze für den europäischen Eisenbahnverkehr (Korridore auszurüsten bis 2015!) 7

8 Wie funktioniert ETCS? ETCS Level 1 ERTMS/ ETCS-Level 1 Stellwerk v=f(s) ETCS LEU GFM EuroBalise (z.b. Streckenparameter) EuroBalise (Signalbegriff) Gleisfreimeldeabschnittsbegrenzung 8

9 Wie funktioniert ETCS? ETCS Level 2 ERTMS/ ETCS-Level 2 v=f(s) RBC ETCS GFM EuroBalise (Ortung) Stellwerk Gleisfreimeldeabschnittsbegrenzung EuroBalise (Ortung) 9

10 3. Risikoanalyse ETCS Class 1 der DB 10

11 Systemdefinition (I): Beteiligte Komponenten und deren Bediener Eine abgestimmte Systemdefinition für europäische RA, nationale RA und GA (Quelle: Sicherheitsbetrachtung DB AG) Umgebung des ETCS Betriebsverfahrens 1, Signale 3, Bahnbereich 8, Fahrzeitenheft VmZ 9, Geschwindigkeitsheft, La-Verzeichnis 11, Zugfertigsteller 15, Bereitstellung netz- + streckenspezifischer Projektierungsdaten + nationale Werte 43 4, Tf (Zugführer + Maschinenbediener) , Tf (ETCS Bediener + Beobachter) 6. Fahrtrichtungs - schalter A 3 6 6A 8 2, Fdl Stellwerk 12, BWG+AH 8A 13, ETCS Subsystem Fahrzeug 5, Bremse A 39A 11A 7A 4A , PZB 17, Dispositive Geschwindigkeitsvorgaben 20, ETCS Subsystem Übertragung GSM-R/Festnetz , Schiene Weg 21, Bereitstellung fahrzeugund netzspezifischer statischerzugdaten 26, La Planen , RBC Bediener 54A , ETCS Subsystem Strecke 40A 40 24A 24 25, Stellwerk 28, ETCS Sperren veranlassen 51 ETCS Betriebsverfahren ETCS Technik 11

12 Systemdefinition (II): Funktional, d.h. was sind die Aufgaben von ETCS im Verlauf einer Zugfahrt? Ref. Funktionaler Schritt Relevanz Phase 1: Fahrt planen Phase 2: Fahrt vorbereiten Funktionsfähigkeit der Bremsen der Fahrzeuge feststellen Bildung des Fahrzeugverbandes dokumentieren Phase 4: Voraussetzungen für Fahrt herstellen i i ETCS ist indirekt an dieser Funktion beteiligt 4.2 Ordnungsstellung der Fahrwegelemente prüfen i 4.3»Verschluss«der Fahrwegelemente vor Zulassung der Fahrt herstellen i 4.4»Verschluss«der Fahrwegelemente während der Durchführung der Fahrt i Schutz gegen Folgefahrten Phase 5: Fahrt zulassen Übermittlung von Aufträgen zur Zulassung der Fahrt Phase 6: Fahrt durchführen i d ETCS ist direkt an dieser Funktion beteiligt zulässige Geschwindigkeit in Abhängigkeit von der Trassierung beachten d zulässige Geschwindigkeit beim Befahren von Weichen beachten zulässige Geschwindigkeit auf Brücken beachten zulässige Geschwindigkeit auf Dämmen beachten d d d (auszugsweise, vgl. auch Signal + Draht (95) 6/2003)) 12

13 Gefährdungsidentifikation 49 identifizierte funktionale (!) Gefährdungen ergeben sich aus den vorab identifizierten ETCS-Funktionen: 1 Unerlaubtes Zurücksetzen 2 Fahrt unzulässig zugelassen 3 Zulassung der Fahrt im Gefahrfall nicht zurückgenommen... 6 Zulässige Geschwindigkeit auf Grund der Streckeneigenschaften wird nicht eingehalten Schließen der Luftklappen nicht sichergestellt 39 Vorbeifahrt am Haltbegriff (ohne anschließenden Halt) 40 Nicht rechtzeitiger Halt am Haltbegriff 41 Anfahrt am Haltbegriff Druckluftbremse beim Abstellen nicht angelegt => Die Sicherheitsanforderungen je Gefährdung sind unterschiedlich 13

14 Risikoakzeptanzkriterium und Ableitung von THRs (I) Deutsches Recht: Eisenbahn-Bau- und Betriebsordnung (EBO): 2 Allgemeine Anforderungen (2) Von den anerkannten Regeln der Technik darf abgewichen werden, wenn mindestens die gleiche Sicherheit wie bei Beachtung dieser Regeln nachgewiesen ist. EU-Recht: ENTSCHEIDUNG DER KOMMISSION vom 7. November 2006 über die technische Spezifikation für die Interoperabilität des Teilsystems Zugsteuerung, Zugsicherung und Signalgebung des transeuropäischen Hochgeschwindigkeitsbahnsystems (2006/860/EG) Aus der Liste der verbindlichen Spezifikationen: Unisig (ALSTOM * ANSALDO * BOMBARDIER * INVENSYS * SIEMENS * THALES) 14

15 Risikoakzeptanzkriterium und Ableitung von THRs (II) Auf Basis der EBO: Unterscheide zwei Fälle: I. Funktion wird bereits heute signaltechnisch sicher ausgeführt (z.b. Vorbeifahrt am Halt verhindern ) II. Funktion wird heute ausschließlich durch Menschen ausgeführt und / oder nicht sicher ausgeführt / angezeigt (z.b. Aufforderung zur Oberstrom-Begrenzung anzeigen. Diese Funktion ist heute ausschließlich über das Regelwerk realisiert.) Ermittlung des Risikoakzeptanzkriteriums: I. Signaltechnisch sichere Funktion => ermittle tolerierbares Risiko durch Auswertung der DB Unfallstatistik zum heutigen Stand der Sicherheit II. Nicht sicherheitsrelevante Funktion => Abschätzung zur heutigen Versagenswahrscheinlichkeit (z.b. menschliche Handlung mit 1E-3) + Sicherheitszuschlag 15

16 Risikoakzeptanzkriterium und Ableitung von THRs (III) Die Gefährdungen vom Typ I. haben zur Folge: Zug fährt zu schnell oder zu weit und werden zu einem Core Hazard weiter zusammengefasst (die Benennung wurde zur Vereinheitlichung der Nomenklatur von Unisig (= Verband der europäischen Signaltechnik-Hersteller) übernommen) Für diesen Core Hazard mit einem bestimmten tolerierbaren Gefährdungsbudget wird in der RA unter Berücksichtigung von Reduktionsfaktoren und des Schadens bei einem Unfall eine tolerierbare Gefährdungsrate (THR) abgeleitet: mögliche Reduktionsfaktoren Referenz Systemgefährdung Tolerierbares Risiko mögliche Folge mit Schaden THR (1) (2) (3) (4) (5) (6) (7) z.b. Entgleisung Core- Hazard Exceedance of the safe speed / distance as advised to ETCS Wert 1 Wert 2 Wert 3 THR 16

17 Risikoakzeptanzkriterium und Ableitung von THRs (IV) Risikoakzeptanzwert abgeleitet nach EBO: Zum Vergleich: Unisig Subset 091: Safety Requirements for the Technical Interoperability of ETCS in Levels 1 & 2 => Passen diese Anforderungen zusammen?? 17

18 Risikoakzeptanzkriterium und Ableitung von THRs (V) Alle übrigen in der RA identifizierten Gefährdungen (zugehörig zum Typ II.), welche sich nicht zu dem Core Hazard zusammenfassen lassen, werden mit den zugehörigen Anforderungen einzeln aufgeführt: Lfd. Nr. Referenz Systemgefährdung Anforderung [5.2] Keine oder fehlerhafte Übermittlung von Informationen über zu benutzenden Fahrweg 1,00E-04 [ ] Aufforderung zum Senken des Stromabnehmers an erforderlicher Stelle nicht angezeigt 1,00E-04 [ ] Aufforderung zur Oberstrom-Begrenzung nicht angezeigt 1,00E-04 usw. Sicherheitsanforderung! Die Anforderung an die Zuverlässigkeit der zu Grunde liegenden Funktion ist weitaus höher und wird gesondert definiert. In Subset 091 fehlen entsprechenden Gefährdungen => Hier gelten die nationale Anforderungen (unproblematisch, da Display-Anforderung) 18

19 4. Die betriebliche Gefährdungsanalyse Risikoanalyse ETCS Class 1 Betriebliche Gefährdungsanalyse Gefährdungsanalyse des Herstellers 19

20 Anforderungen an die betriebliche Gefährdungsanalyse Was ist zu beachten: Durchgehende Beschreibung von der Ableitung der Sicherheitsanforderungen aus einem Risikoakzeptanzkriterium bis zu Anforderungen an Betrieb und Technik Unmittelbarer Anschluss an das Lastenheft, insbesondere Ableitung von Sicherheitsanforderungen zu jeder Lastenheftforderung Im Rahmen einer Fehlerbaumanalyse: Fehlerbäume sollten einfach nachvollziehbar sein (wenn möglich) Getrennten Einkauf von ETCS Komponenten durch die Bahn ermöglichen (z.b. Display, Odometrie, Balisen, Streckenzentrale, ) Nicht nur Anforderungen an die Vermeidung zufälliger Fehler sondern gleichzeitig Ableitung von Anforderungen an die Vermeidung systematischer Fehler Einbettung in den europäischen Prozess (DB Risikoanalyse und Index 47 weitestgehend identisch, Beschreibung der betrieblichen Abläufe analog zum Vorgehen der Operational Rules Group, Herunterbrechen der Sicherheitsanforderungen möglichst bis auf Niveau des Subset 091) 20

21 Vorgehensweise zur betrieblichen Gefährdungsanalyse (BGA) Die Einbettung von ETCS in die Bahnumwelt wird durch die im Lastenheft (Serie) aufgeführten betrieblichen Abläufe vollständig beschrieben (Beispiele auf den folgenden Seiten) Das Lastenheft (Serie) gewährleistet Vollständigkeit und Qualität, da in diesem die Arbeiten und Erkenntnisse aus einem systematischen Abgleich mit dem Regelwerk der DB, dem Lastenheft für die Pilotanwendung, den erkannten Fehlern und Problemen beim Pilotbetrieb und zahlreichen europäischen Dokumenten (SRS, weitere Unisig-Subsets, Arbeiten der Operational Rules Group) zusammengefasst sind. Die betriebliche Ursachenanalyse knüpft unmittelbar an das Lastenheft (Serie) an: Über eine FMEA zu allen betrieblichen Abläufen können die Ursachen aller Systemgefährdungen gefunden werden. Zu jedem Ablauf wird eine Fehlerbaumanalyse durchgeführt Abweichend von der reinen Lehre dient die Quantifizierung der Fehlerbäume der Anforderungserzeugung und Nachweisführung in Einem => Die Schritte im Einzelnen folgen auf den nächsten Seiten 21

22 Zusammenspiel von RA und BGA Risikoanalyse Speed & Distance-Gefährdungen (Pendant zu UNISIG Core Hazard)... Gef. 28 Gef. 29 Gef. 30 Gef. 49 OR Betriebliche Gefährdungsanalyse FTA betrieblicher Ablauf 1 FTA betrieblicher Ablauf 2... FTA betrieblicher Ablauf X FTA FTA FTA... FTA Ausfälle/Fehler der 1-X betrieblichen Abläufe, deren Konsequenz Speed & Distance-Gefährdungen sind Ausfälle/Fehler der 1-X betrieblichen Abläufe, deren Konsequenz keine Speed & Distance-Gefährdungen sind 22

23 Darstellung der betrieblichen Abläufe mittels UML - 1. Beispiel: Beginn einer Fahrt (Auszug) In diesem Beispiel ist die Interaktion zwischen Triebfahrzeugführer (Tf), ETCS- Fahrzeugeinrichtung und ETCS- Funkzentrale (RBC) dargestellt 23

24 Darstellung der betrieblichen Abläufe mittels UML - 2. Beispiel: Überwachung der Geschwindigkeit (Auszug) Das Activity Diagramm zu Ablauf 010 Überwachung der zulässigen Geschwindigkeit: Einfache Nachvollziehbarkeit des Ablaufes. 24

25 Anknüpfung der betrieblichen Gefährdungsanalyse an das Lastenheft über die Beschreibung der betrieblichen Abläufe (z.b. Überwachung der Geschwindigkeit (Auszug)) FMEA Sch ritt Aktion Ausgangssituation Konsequ. Anzeige (Tfz) Ausfall / Fehler Referenz auf Fehlerbaum Wei ter 2.2 Tfz nähert sich Geschwindigkeitsbeschränkung (1) Zulässige Streckengeschwindigkeit zu hoch projektiert (2) RBC-Bediener gibt Lfst nicht oder falsch ein (1) + (2) CH (1) B_PD_StreckenV (2) (RBC_Bediener_Lfst_ falsch ODER RBC_ Bediener_Lfst_nicht_ eingegeben) UND RBC- Verfahren-Lfst-Eingabe Reduzierung der Geschwindigkeit (1) Tf(ext) bremst weiterhin nicht (2) Tf(ext) fährt zu schnell und überschreitet Bremsvorankündigungsk urve (1) + (2) CH (1) OBU_ANZEIGE, TF(int)_MISACHT_ANZ_B REMSVORANK (2) TF(ext)_FAEHRT_ZU_SC HNELL End e 3.2 Bremsvoran kündigungs kurve überschritten Bremsvorankündigungskurve ist überschritten Unerlaubt ausbleibende oder gefährlich fehlerhafte Anzeige, die das Überschreiten der Bremsvorankündigungskurve anzeigt CH OBU_ANZEIGE CH ist der Verweis auf den Core Hazard der Risikoanalyse 25

26 Fehlerbaumanalyse Top-Ereignis Alle Abläufe, bei welchen Fehler / Ausfälle zum Core Hazard führen können, werden hier betrachtet ETCS Core Hazard (Speed & Distance) ETCS-CORE-HAZARD Die sich hier ergebende Rate ω muss schließlich kleiner oder gleich der THR zum Core Hazard aus der RA sein Abläufe 001 bis 015 Abläufe 016 bis 30 Abläufe 31 bis 45 Abläufe 46 bis 60 Abläufe 61 bis 79 GATE169 GATE170 GATE251 GATE252 GATE Beginn einer Fahrt in L STM Ende einer Fahrt Manueller Levelwechsel Wendezugbetrieb STÄRKEN Schwächen Stillstandsüberwachung Rückrollüberwachung Überwachung der zul Geschwindigkeit BEGINN_IN_LSTM ENDE EINER FAHRT MANLEVELWECHSEL WENDEZUGBETRIEB STÄRKEN SCHWÄCHEN 008-STILLSTANDSÜBERW RÜCKROLLÜBERW ÜBERWACHUNG_ZUL_GESCHW s. nächste Folie 26

27 Fehlerbaumanalyse (z.b. Überwachung der Geschwindigkeit (Auszug)) Überwachung der zul Geschwindigkeit ÜBERWACHUNG_ZUL_GESCHW Unterscheidung von Zieloder Überwachungsgeschwindigkeit (Target Speed) Überschreitung der zul. Geschwindigkeit GATE391 (Ceiling Speed) Überschreitung der zul. Geschwindigkeit GATE394 Fehler gemeinsamer Ursache (Target Speed) (Target Speed) Überschreitung der zul. Geschwindigkeit (Ceiling Speed) Überschreitung der zul. Geschwindigkeit Fehler gemeinsamer Ursache (Ceiling Speed) GATE392 GATE364 GATE365 GATE395 s. übernächste Folie Fehler in der Odometrie Zulässige Streckengeschwindigkeit zu hoch projektiert ETCS-Technik Odometrie: Anforderung abgeleitet auf Basis von Unisig (Verband der europ. Signaltechnikhersteller) Mitberücksichtigung qualitativer Anforderungen an Projektierungsdaten => umfangreiche Auflistung zur Vermeidung systematischer Fehler GATE393 Odometrie OBU_ODO r=1e-010 EVENT36 zulässige Streckengeschwindigkeit zu hoch projektiert B_PD_STRECKENV r=0 GATE_ETCS_TECHNIK s. weiter unten 27

28 Aufgabenteilung bei der Quantifizierung zwischen Hersteller und Betreiber Die Bahn Analysiert den Betrieb mit ETCS Quantifiziert Bedienhandlungen Der Hersteller Analysiert seine Technik Hat Freiheiten bei der Realisierung unter Wahrung des Gesamtsicherheitszieles und Beachtung des von der Bahn vorgegebenen Betriebes Prüft die DB Analyse Überlappende Bereiche Die Bahn Der Hersteller Macht z.t. detaillierte Vorgaben zur Technik (z.b. Bremskurven) Bewertet und stimmt diese weiter ab Prüft und bewertet diese (z.b. hinsichtlich Betriebstauglichkeit, Kosten,...) Setzt diese um Entwirft Plausibilitätsprüfungen zur Absicherung von Bedienverfahren (z.b. Langsamfahrstellen) Macht Projektierungsvorgaben (z.b. Balisenorte) 28

29 Anforderungen an ETCS Betrieb + Technik (z.b. Überwachung der Geschwindigkeit (Auszug)) Ausgangpunkt: DB gibt menschliche Fehlerrate vor => ETCS muss damit eine tolerierbare Gesamtversagensrate unterschreiten Tf(ext) fährt zu schnell Überschreitung der Sollgeschwindigkeitskurve GATE375 Tf(ext) bremst weiterhin nicht (Ceiling Speed) Überschreitung der zul. Geschwindigkeit GATE365 Überschreiten der Warngeschwindigkeitskurve GATE378 Überschreiten der Zwangsbremseinsatzkurve GATE384 ETCS-Fzg. reduziert Traktionsleistung nicht Etliche Barrieren sind zu überwinden, bevor es zur Gefährdung kommt EVENT31 GATE379 GATE399 Menschliche Fehlerwahrscheinlichkeit 1E-3 Warnton bleibt aus ETCS-Fzg. schaltet Warnton zu früh aus Tf missachtet Warnton ETCS-Fzg. reduziert Traktionsleistung nicht auf Null ETCS-Fzg. gibt Traktion zu früh frei Anforderung an Warntonausgabe GATE380 GATE406 TF(INT)_MISSACHT_WARNTON Q=0.001 w=0 GATE387 GATE400 Ausfall / Fehler Warnton der OBU Ausfall / Fehler Warnton der OBU Bremsansteuerung Fahrzeuggerät - Onboardunit Fahrzeuggerät - Onboardunit Anforderung an ETCS- Technik (Aufteilung auf Basis von Unisig) OBU_WARNTON r= OBU_WARNTON r= OBU_TIU r=1e-010 OBU r=1e-010 OBU r=1e

30 Anforderung an ETCS Komponenten (Gate ETCS-Technik) ETCS-Technik GATE_ETCS_TECHNIK An manchen (Fehl-) Funktionen ist ein komplexeres Wechselspiel der ETCS- Technik beteiligt: z.b. fehlerhafte Position liegt im RBC vor. Mögliche Ursachen können in der Fahrzeug-Odometrie, dem ETCS- Fahrzeuggerät, der GSM-R-Übertragung oder dem RBC selber liegen. => Ende der Detaillierungstiefe des Bahnbetreibers. Angesetzt wird das Gate ETCS-Technik. Die Verantwortung zur korrekten Modellierung liegt beim Hersteller. ETCS Fahrzeug Technik GATE_ETCS_TECHNIK_TFZ Level 1 Streckentechnik GATE503 Strecke mit Level 1 ausgerüstet STRECKE_LEVEL1 ETCS Strecken - Einrichtung GATE79 Level 1 vorhanden LEVEL 1 Q=0 w=0 s. nächste Folie Level 2 Streckentechnik GATE504 Strecke mit Level 2 ausgerüstet STRECKE_LEVEL2 Level 2 vorhanden LEVEL 2 Q=1 w=0 Diese Anforderungen stammen unmittelbar aus Unisig Subset 091 Euroloop (Level 1) LO-H4 r=1e-011 Balisenlesefehler (falsches Telegramm als richtig) EUB-H4 r=1e-011 Fehlerhaftes Telegramm aus LEU (Level 1) LEU-H4 r=6.7e-011 sicherheitsrelevante BalisenGRUPPE nicht erkannt EUB-H1 r=1e-010 GSM-R verfälscht Nachricht (TR-EUR-H4) Ü_GSM-R r=1e-011 RBC-Fehler RBC r=5e

31 Anforderung an ETCS Komponenten (Gate ETCS- Fahrzeug-Technik) Der in Unisig Subset 091 angegebene fahrzeugseitige tolerierbare Wert beträgt insgesamt 6,7E-10/h. ETCS Fahrzeug Technik GATE_ETCS_TECHNIK_TFZ Die DB schlägt eine Gleichverteilung auf die fahrzeugseitigen Komponenten vor Der Hersteller hat Freiheiten bei der Realisierung unter Wahrung des Gesamtsicherheitszieles und Beachtung des von der Bahn vorgegebenen Betriebes Fahrzeuggerät - Onboardunit OBU r=1e-010 Bremsansteuerung OBU_TIU r=1e-010 Odometrie OBU_ODO r=1e-010 external STMkeine LZB / PZB Überwachung aktiviert OBU_STM r=1e

32 5. Quantifizierung menschlicher Handlungen 1a. 1b. 1a. 1b. 0,001 0,1 0,001 0,1 Unfall Unfall Unfall Unfall ja nein 0 ja nein 0 streckenseitige Signale kein Unfall streckenseitige Signale kein Unfall vorhanden vorhanden 0,1 0, Tf fährt trotz fehlender Führungsgrößen Tf sucht nach Ursache der fehlenden Führungsgrößen nein ja 1. Beispiel: Der Tf schaltet ETCS versehentlich ab im NL-Modus (zum Nachschieben von Güterzügen an Steigungsstrecken) Anteile 1,00E-03 0,999 1,00E-03 0,999 Tf erkennt Eingabefehler Tf erkennt Fehler aufgrund fehlender Führungsgrößen 1,00E-04 1,00E ,00E-03 Tf quittiert NL fehlerhaft 1,00E-07 1,00E-03 Tf vergisst nach Beenden des Nachschiebens NL zurückzunehmen 1,00E ,00E-03 2,10E-03 Tf wählt versehentlich NL beim Aufrüsten an 1,00E-10 Güterzug befährt Nachschiebabschnitt 2,10E Blatt 3 Rate / h 0,2 Rate / h 20 Rate / h Blatt 2 Aufrüsten bzw. Rate für Zugfahrt Zug hält während Zugfahrt an 0 6,2E-11 Rate / h 4,0E-11 Rate / h 19. 1,02E-10 auszugsweise rate per hour Tf wählt versehentlich NL an oder vergisst nach dem Nachschieben NL zurückzunehmen 32

33 Einbindung der Bewertungen in den Gesamtfehlerbaum Nichtführendes Fahrzeug Die Gefährdungsrate des Ablaufs 019 Nichtführendes Fahrzeug fließt in die Ermittlung der Gefährdungsrate des ETCS-Core Hazards ein NICHTFÜHREND ETCS-Fzg w echselt in falsche Betriebsart Tf wählt NL f ehlerhaf t an und ETCS- Verf ahrensicherung verhindert dies nicht TF(int) vergisst nach Nachschieben NL zurückzunehmen Wert aus vorausgegangener Bewertung GATE182 GATE409 TF(INT)_VERGISST_NL_ZURÜCKZUNEHM Q=0 w=2.1e-010 ETCS-Fzg w echselt in falsche Betriebsart GATE_MODE Tf(int) wählt NL fehlerhaft an TF(INT)_WÄHLT_NL_FEHLERHAFT ETCS-Fzg verhindert fehlerhafte Anwahl von NL nicht OBU_VERHINDERT_NL_NICHT Abschätzung zur menschlichen Fehlerrate und sich daraus ergebende Anforderung an die Verfahrenssicherung Q=0 w= Q=5e-007 w=0 33

34 Quantifizierung menschlicher Handlungen 2. Beispiel: Zugdaten-Eingabe Datum Zuglänge Brh / BRH BRA Bedeutung Einhalten der zulässigen Ausgangsgeschwindigkeiten Va nach einem aufsteigenden Geschwindigkeitswechsel auch für den Zugschluss Bremsvermögen / Bremskurven bei Bremsart VMZ Einhalten der zulässigen Höchstgeschwindigkeit des Zugverbandes 34

35 Handlungen bei der Zugdateneingabe Eingabe am Display vor Beginn einer Zugfahrt 1. Ansatz zur Quantifizierung: Zugdateneingabe ist ein Übertragungsvorgang von bis zu 10 Zeichen von einem Dokument in ein technisches System. => Fehlerwahrscheinlichkeit = 1E-03??? Eingestellte Zugdaten BRA BRH ZL VMZ LZB ECTS Gespeicherter E TCS - Level ZDE LZB/PZB St atus: Keine V erbindung zur ETCS- Streckenzentrale vorhanden Zug-/ Tf-Nr. Level wahl Start Prüfen DSK- K Do, Zug Zugbeeinflussungssysteme G a

36 Auswirkungen bei Fehleingabe Die Zugdateneingabe schlägt durch auf die Top-Gefährdung!! Beginn einer Fahrt in L STM Eine einfache Abschätzung nach obigem Ansatz (1E-3 Fehlerwahrscheinlichkeit) liefert bei 1000 Zugfahrten/Tag alle 4 Tage ein Unfall?? ETCS-Fzg wechselt in falsche Betriebsart GATE_MODE fehlerhaftes Lesen / Validieren nationaler Werte GATE548 Wechsel in f alschen Lev el GATE BEGINN_IN_LSTM f ehlerhaf te Zugdaten GATE553 Tf(int) quittiert Levelwechsel nicht UND ETCS-Fzg überwacht nicht GATE559 PZB meldet sich nicht / zu spät aktiv UND ETCS-Fzg überwacht nicht GATE560 Weit entfernt von erlebter LZB- Realität! Der Bahnbetrieb enthält eine Vielzahl von Reduktionsfaktoren. ZDE Güterzug ZDE lokbespannter Reisezug ZDE Triebzug ETCS-Fzg v erf älscht Zugdaten Starttaste wird zu früh / fehlerhaft freigegeben => Deshalb ist eine differenzierte Betrachtung erforderlich, welche das komplexe Zusammenspiel von Mensch, Technik und Verfahren analysiert. ETCS-Fzg in Güterzug- lok eingebaut GÜTERZUG GATE554 Tf(int) gibt Zugdaten fehlerhaft ein (Güterzug) TF(INT)_ZDE_GZ GATE555 GATE556 GATE557 Fahrzeuggerät - Onboardunit OBU GATE558 Fahrzeuggerät - Onboardunit OBU Q=1 w=0 Q=0 w=0 r=1e-010 r=1e

37 Prinzipielle Vorgehensweise (Beispiel Zuglängeneingabe bei Güterzügen) Va: 60 km/h m =2200 kg/m Eing Reale Zuglänge lr [m] Zugl [m] le lr ,1E-15 9,1E-15 4,0E-10 1,4E-14 1,6E-14 0,0E ,0E+00 0,0E+00 1,6E-15 4,2E-15 6,4E-15 0,0E ,0E+00 0,0E+00 0,0E+00 0,0E+00 0,0E+00 0,0E ,0E+00 0,0E+00 0,0E+00 0,0E+00 0,0E+00 0,0E ,0E+00 0,0E+00 0,0E+00 0,0E+00 0,0E+00 0,0E+00 Tab x.yq 0,0E+00 0,0E+00 0,0E+00 0,E+00 0,E+00 0,0E ,5E-07 3,5E-07 3,5E-07 5,2E-12 3,5E ,5E-07 3,5E-07 3,5E-07 5,2E-12 5,2E ,5E-07 3,5E-07 5,2E-12 5,2E ,5E-07 3,5E-07 5,2E-12 5,2E-12 0,E+00 0,E+00 0,0E+00 Va: 60 km/h va: 16,7 m/s m : Gesamte Fehlerwahrscheinlichkeit je Zugtyp ( Lastklasse ) und zulässiger Geschwindigkeit 60 3,5E-07 5,2E-12 Reale 5,2E ,5E-07 5,2E-12 Zuglänge Eing 5,2E-12 lr [m] Überschreitung der Va in % 80 Zugl 5,2E-12 5,2E-12 Va: 60 km/h va: 16,7 m/s m : [m] 5,2E ,2E Eing Reale Zuglänge lr [m] Überschreitung der Via in % Zugl ,5E-07 [m] ,5E le lr ,0 0,0 0,0 0,0 0,0 0,0 0,0 0,1 0,1 0,1 0,1 0, ,0 0,0 0,0 10,0 00,0 00,0 0,0 0,0 0,0 0,0 0,0 0,0 20 1,00 0,67 0,33 0,05 0,05 0,05 0, ,0 0,0 0,0 00,0 00,0 00,0 0,0 0,0 0,0 0,0 0,0 0,0 "1" : Zulässige Va wird um mehr 50 0,0 als 0,0 30% überschritten 30 1,00 1,00 0,78 0,56 0,33 0,11 0,05 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 40 1,00 1,00 1,00 0,83 0,67 0,50 0, ,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 0,0 50 1,00 1,00 1,00 1,00 0,87 0,73 0,60 = Tippfehlerwahrscheinlichkeit Geschwindigkeitsüberschreitung um 20% Kritikalität dieser Geschw-überschreitung Aufmerksamkeit des Tf Auf eine differenzierte Darstellung der Einzelschritte wird hier verzichtet. Im Ergebnis wird eine sorgfältig begründete, äußerst geringe Fehlerwahrscheinlichkeit / -rate für diese Art der Zugdateneingabe berechnet, welche die Erfahrungen des Bahnbetriebes realistisch wiedergibt! 37

38 6. Projekterfahrungen und Zusammenfassung (I) Erfahrungen aus dem ETCS Pilotprojekt: Eine Anpassung der Gefährdungsanalyse der Hersteller an die funktionale Risikoanalyse der DB ist möglich aber aufwändig. Eine betriebliche Gefährdungsanalyse durch den Betreiber verspricht einen hohen Kosten-Nutzen- Faktor (+ 10% der Lastenheftkosten) Die betriebliche Gefährdungsanalyse war auf dem Prüfstand in den Projekten Paris-Ostfrankreich-Süddeutschland (POS) Nürnberg-Ingolstadt-München (NIM) ICE 3 M für Belgien... und hat ihre Praxistauglichkeit bewiesen. 38

39 Projekterfahrungen und Zusammenfassung (II) Die betriebliche Gefährdungsanalyse ermöglicht unter Berücksichtigung des Betriebes die Ableitung von Sicherheitszielen an die ETCS Komponenten mit unmittelbarem Anschluss an die Risikoanalyse der DB, führt zu Anforderungen an die ETCS-Technik, die vereinbar sind mit den europäischen Sicherheitsanforderungen aus Unisig Subset 091, bietet eine Analyse der funktionalen Anforderungen aus dem Lastenheft und die Ableitung von Sicherheitsanforderungen zu jeder Lastenheftanforderung, leitet Sicherheitsanforderungen nicht nur bezüglich der Vermeidung zufälliger Fehler sondern auch hinsichtlich systematischer Fehler durch die entsprechende SIL-Zuordnung ab und unterstützt den getrennten Einkauf strecken- und fahrzeugseitiger Komponenten. 39

40 Vielen Dank für Ihre Aufmerksamkeit 40