DB Netz AG Rainer Beck Zulassungsmanagement LST (I.NVT 312) Braunschweig, 13. /

Transkript

1 Vornorm zur Ableitung von Sicherheitsanforderungen an technische Funktionen der Eisenbahnsignaltechnik mit einer semi-quantitativen Methode 5. Workshop SiT - Safety in Transportation DB Netz AG Rainer Beck Zulassungsmanagement LST (I.NVT 312) Braunschweig, 13. /

2 Ausgangslage / Motivation In Kraft seit Mai 2011 DIN V VDE V Elektrische Bahn- Signalanlagen Semiquantitative Verfahren zur Risikoanalyse technischer Funktionen in der Eisenbahnsignaltechnik Enthält die Anforderungen, die semi-quantitative Methoden erfüllen müssen, damit hiermit Sicherheitsanforderungen verlässlich abgeleitet werden können Anforderung A4 (Anwenderhandbuch) DIN V VDE V Elektrische Bahn- Signalanlagen Ermittlung von Sicherheitsanforderungen an technische Funktionen in der Eisenbahnsignaltechnik Anwenderhandbuch für die Methode»Risk Score Matrix«2

3 Zuständigkeiten / Gremien DKE/UK Bahn- Signalanlagen Deutsche Kommission Elektrotechnik Elektronik Informationstechnik im DIN und VDE DKE/AK Software DKE/AK Nahverkehr DKE/AK Elektronische Systeme DKE/AK Semiquantitative Methoden zur Risikoanalyse technischer Funktionen in der Eisenbahnsignaltechnik DKE/AK Security Anforderungen an signaltechnische Einrichtungen DKE/AK Leittechnik 3

4 Anwendungsbereich Die Vornorm ist anwendbar auf sicherheitsrelevante elektrische, elektronische und programmierbare elektronische Systeme (E/E/PES) für elektrische Bahn-Signalanlagen bei Eisenbahnen im Geltungsbereich der VO (EG) Nr. 352/2009. In der Vornorm werden exemplarisch Sicherheitsanforderungen für generische Funktionen ermittelt. Hierbei wird von»anspruchsvollen Einsatzbereichen«ausgegangen. Die Übertragbarkeit dieser Sicherheitsanforderungen auf generische Systeme, Teilsysteme und Einrichtungen sowie auf spezifische Anwendungen ist gegeben, sofern projekt- / anwendungsbezogen nachgewiesen wird, dass die genannten Randbedingungen eingehalten sind. Wenn projekt- / anwendungsbezogen andere Randbedingungen bestehen, sind dementsprechend auch weniger strenge Sicherheitsanforderungen zulässig, sofern nachgewiesen wird, dass das erforderliche Sicherheitsniveau erreicht wird. 4

5 Aufbau der Vornorm Beschreibung der Methode RSM normativ Festlegung notwendiger Parameter Allgemein anwendbar informativ Systemdefinition für generische Funktionen Ableitung von Sicherheitsanforderungen Für»gängige«Funktionen jedoch keine abschließende Analyse Nachweis: Erfüllung der Anforderungen nach DIN V VDE V

6 RSM: Ablauf einer Bewertung Funktionsliste Bestimme System- Funktionen und Gefährdungen (analog Ebene 3 der EN ) Bestimme Unfallklassen mit RSM HR ohne Barrieren Bestimme die Barrieren Tabelle der Unfallklassen Tabellen für: Menschl. Handlungen Betriebsdichte Anforderungsrate Weitere Barrieren Funktionen und zugehörige Gefährdungen Bewertung der Barrieren mit RSM möglich? Nein Z. B. auch in Kombination mit ETA Gefährdung = gefährlicher Ausfall einer Funktion Ja Bestimme Sicherheitsanforderungen mit RSM Alternativ: Bestimme Sicherheitsanforderungen mit anderer Methode, z. B. FTA Sicherheitsanforderungen für Funktionen und Gefährdungen HR 6 HR: Gefährdungsrate (Hazard Rate)

7 RSM: Aufbau und Kalibrierung Sicherheitsanforderung 1/h keine 10-5 X Risk Score Matrix Weitere»Referenzpunkte«nach Revisionsvorschlag zur VO (EG) Nr. 352/ x x x x X»Referenzpunkt«nach RAC-TS A B C D E F G Unfallklasse X X Vorschlag bei anstehender Revision (noch) nicht berücksichtigt Klassenbreite 10 7 RAC-TS: Risikoakzeptanzkriterium für technische Systeme nach VO (EG) Nr. 352/2009

8 Unfallklassen (1) Unfallklasse Ereignisart A Aufprall auf Gleissperre Aufprall einer Rangierfahrt auf Gegenstand Unzeitige Zwangsbremsung»maßgebendes«Schadensausmaß Kein Personenschaden; geringer Sachschaden B Person stürzt beim Aussteigen Person oder Fahrzeug wird von Schrankenbaum getroffen Aufprall eines Reisezuges auf Gegenstand bei niedriger Geschwindigkeit Aufprall eines Güterzuges auf Gegenstand Entgleisung einer Rangierfahrt Zusammenstoß von Rangierfahrten Ein Leichtverletzter; mittlerer Sachschaden C Aufprall eines Reisezuges auf Gleisabschluss Aufprall eines Reisezuges auf Gegenstand bei mittlerer Geschwindigkeit Entgleisung eines Reisezuges bei niedriger Geschwindigkeit Mehrere Leichtverletzte 8

9 Unfallklassen (2) Unfallklasse Ereignisart D Zusammenstoß mit einem Reisezug bei niedriger Geschwindigkeit Entgleisung eines Güterzuges Zusammenstoß zwischen Güterzügen Aufprall eines Reisezuges auf Gegenstand bei hoher Geschwindigkeit E Entgleisung eines Reisezuges bei mittlerer Geschwindigkeit Zusammenprall mit nicht führendem Eisenbahnfahrzeug F Zusammenprall mit führendem Eisenbahnfahrzeug Personenunfall an höhengleichem Bahnsteigzugang Personenunfall in einer Arbeitsstelle Zusammenstoß mit einem Reisezug bei mittlerer Geschwindigkeit G Entgleisung eines Reisezugs bei hoher Geschwindigkeit Zusammenstoß mit einem Reisezug bei hoher Geschwindigkeit»maßgebendes«Schadensausmaß Ein Schwerverletzter oder viele Leichtverletzte; hoher Sachschaden Mehrere Schwerverletzte Ein Todesfall oder viele Schwerverletzte; beträchtlicher Sachschaden Mehrere Todesfälle 9

10 Bewertung menschlicher Handlungen Wirksamkeit Aufgabentyp Erläuterung 4 Fertigkeitsbasiert Intuitiv ausgeführte, gut trainierte Handlung. 2 Regelbasiert Für die Handlung ist eine Regel definiert, die angemessen trainiert und überwacht wird. 0 Wissensbasiert Keine Regeln und wenig Routine. Arbeitsbedingungen 1 Gute Bedingungen Die Aufgabe wird unter normalen bzw. guten Bedingungen in Bezug auf Sicht, Lärm, Temperatur, Einwirkung physikalischer Kräfte etc. durchgeführt. 0 Schlechte Bedingungen Die Aufgabe wird unter widrigen Bedingungen in Bezug auf mindestens einen der folgenden Faktoren durchgeführt: Beleuchtung Lärm, Einwirkung physikalischer Kräfte (z. B. Vibration), Temperatur. 1 Optimal Stressniveau 0 Überforderung Die Arbeitsbelastung ist sehr hoch. Das Stressniveau ist hoch, z. B. Arbeit unter hohem Zeitdruck. 0 Unterforderung Die Aufgaben sind wenig anspruchsvoll und überwiegend Routine. Einfache, konservative Einschätzung keine komplette Human Factors-Analyse! 10

11 Bewertung von der Betriebsdichte abhängiger Barrieren Wirksamkeit Betriebsdichte Erläuterung 3 Sehr gering Z. B. Güterverkehrsstrecken mit nur regionalem Güterverkehr 2 Unterdurchschnittlich Z. B. Regionalverkehrsstrecken 0 Durchschnittlich bis überdurchschnittlich Allgemein zu treffende Annahme, z. B. für Hochgeschwindigkeitsstrecken, Mischverkehrsstrecken und Strecken für S-Bahn-Verkehr. Um grundsätzlich»anspruchsvolle«einsatzbereiche zu berücksichtigen und einer möglichen Fehlanwendung dieser Tabelle durch pauschale Berücksichtigung der Barriere ohne nähere Begründung vorzubeugen, wird bei der Betriebsdichte keine zusätzliche Abstufung für den Netzdurchschnitt (mit der Punktzahl 1 für die Wirksamkeit) vorgenommen. 11

12 Bewertung der Anforderungsrate mit Ausfalloffenbarung Häufigkeit der Anforderung Sehr selten Selten Gelegentlich Öfter Barriere unwirksam, wenn Ausfalloffenbarung Anforderung Häufig bis dauernd Sehr selten Selten Gelegentlich Öfter Häufig bis dauernd Ausfalloffenbarung Berücksichtigt, dass eine Schutzfunktion ggf. nur auf Anforderung aktiv wird. Für die Wirksamkeit der Schutzfunktion ist hierbei wichtig, dass sich ein Ausfall der Funktion rechtzeitig offenbart. Durch die betriebliche Beanspruchung der Funktion oder durch Proof-Tests nach DIN EN

13 Häufigkeit von Anforderung / Ausfalloffenbarung Häufigkeit Definition Erläuterung Sehr selten Das Auftreten ist unwahrscheinlich, aber während der Lebensdauer möglich (z. B. Anforderung von Schutzfunktionen, die nur bei sehr seltenen Ereignissen wie Brand beansprucht werden). Nicht öfter als einmal in 30 Jahren. Angenommene Lebensdauer Selten Wird öfter während der Lebensdauer auftreten. Typischerweise nicht öfter als einmal in 3 Jahren. Gelegentlich Wird mehrmals pro Jahr auftreten (z. B. Anforderung von Schutzfunktionen, die typischerweise nur in der»rückfallebene«beansprucht werden). Ungefähr einmal in 3 Monaten. Öfter Wird regelmäßig auftreten (im Regelfall für Schutzfunktionen der Eisenbahnsignaltechnik nicht relevant). Ungefähr wöchentlich. Häufig bis dauernd Wird häufig auftreten (z. B. Schutzfunktionen, die ständig beansprucht werden wie Stellwerksfunktionen im Normalbetrieb). Einmal täglich oder öfter (auch ständig). 13

14 Bewertung weiterer Barrieren Wirksamkeit Risikoreduktion Erläuterung 6 Sehr hoch Risikoreduktion ca. 0,001 4 Hoch Risikoreduktion ca. 0,01 2 Mittel Risikoreduktion ca. 0,1 1 Gering Risikoreduktion ca. 0,5 0 Sehr gering / keine Risikoreduktion weniger als 0,5 Berücksichtigt, dass auch weitere externe Barrieren oder weitere technische Schutzfunktionen in die Bewertung einbezogen werden können, sofern hierfür eine quantitative Begründung gegeben wird. Z. B. mittels Abschätzung der Eintrittswahrscheinlichkeit oder in Kombination mit anderen Methoden (ETA, FTA) 14

15 Bewertung der Abhängigkeit von Barrieren Abhängigkeit zwischen Barrieren Reduktion der Punktzahl bei ursprünglicher Bewertung mit Punktzahl j Unabhängigkeit (I) Geringfügige Abhängigkeit (LD) Mittlere Abhängigkeit (MD) (j+1) (j+2) Hohe Abhängigkeit (HD) (j+3) Vollständige Abhängigkeit (CD) (j+4) Berücksichtigt, dass die Wirksamkeit einer Barriere durch Abhängigkeiten zu anderen Barrieren oder der Unfallklasse eingeschränkt wird. Z. B. bei Regionalstrecken durch geringere Geschwindigkeit: bessere Reaktionsmöglichkeit, aber bereits geringeres Schadensausmaß berücksichtigt 15

16 Gliederung der Bewertung einer Schutzfunktion (Muster) Schutzziel Randbedingungen Ausfallarten der Funktion Auswirkungen einschließlich ggf. auslösender Bedingungen Schutzobjekt Bewertung von Barrieren Darstellung der RSM Sicherheitsanforderung 16

17 Darstellung der RSM (Muster) Sicherheitsanforderung 1/h Risk Score Matrix keine 10-5 a1) Keine wirksame Barriere. 3 x x 10-7 a2) Entsprechend der Punktzahl für Barrieren gleiche Anzahl Zeilen nach oben. Punktzahl für Barrieren ist größer als Anzahl der Zeilen x x Bezeichnung des Gefährdungsszenarios. b) A B C D E F G Unfallklasse 17

18 Funktionsliste (Auszug) Schutzfunktion... Endlage beweglicher Fahrwegelemente überwachen Fahrstraße sichern (Verschluss beweglicher Fahrwegelemente) Gleisabschnitt auf Freisein überwachen Führungsgrößen bereitstellen Überwachungsgrößen bereitstellen Schutzeinrichtung Stell- und Überwachungssystem Schlüsselsperre Ausweichanschlussstelle Nahbedienungsstelle EOW Sicherungslogik Gleisfreimeldeanlage Zugsteuerungseinrichtung (Streckenausrüstung) Zugsicherungseinrichtung (Streckenausrüstung) Problem: geeignete Systemebene wählen! 18

19 Beispiel:»Überwachungsgrößen bereitstellen«(1) Schutzziel: Umsetzung der Informationen von der streckenseitigen Signaltechnik für die fahrzeugseitige Zugsicherungsausrüstung Übertragung von Informationen / Anweisungen an die fahrzeugseitige Zugsicherungsausrüstung Randbedingungen: die Anzeige von Überwachungsgrößen befreit den Triebfahrzeugführer nicht von der Beobachtung der Strecke und der Signale am Fahrweg Ausfallarten der Funktion: a) weniger restriktive Überwachungsgrößen an fahrzeugseitige Zugsicherungsausrüstung übertragen b) restriktivere Überwachungsgrößen an fahrzeugseitige Zugsicherungsausrüstung übertragen Auswirkungen einschließlich ggf. auslösender Bedingungen: a1) Entgleisung durch Überschreitung der für den Fahrtverlauf zulässigen Geschwindigkeit (= Unfallklasse G) a2) Zusammenstoß mit anderen Fahrzeugen durch Unterschreitung der Mindestabstände (= Unfallklasse G) 19

20 Beispiel:»Überwachungsgrößen bereitstellen«(2) Bei höheren zulässigen Geschwindigkeiten werden die betreffenden Strecken in der Regel mit Zugsteuerungssystemen ausgerüstet. Als konservative Annahme wird jedoch trotzdem davon ausgegangen, dass ein mit hoher Geschwindigkeit fahrender Reisezug betroffen ist. b) durch Widerspruch zwischen Signalisierung am Fahrweg und übertragenen Überwachungsgrößen: Person stürzt auf Grund unzeitiger Zwangsbremsung (= Unfallklasse A) Schutzobjekt: a) Reisende, Mitarbeiter, Fahrzeuge, Ladung b) Reisende, Mitarbeiter Bewertung von Barrieren: a1) Der Triebfahrzeugführer hat trotz vorhandener Zugsicherungsausrüstung die Signale am Fahrweg zu beachten. Dies kann als fertigkeitsbasierte Handlung ohne Stress (da das Beachten von Signalen an sich keine Stresssituation darstellt) und bei guten Bedingungen angesehen werden. Hieraus ergibt sich die Punktzahl 6. a2) Wie a1): Punktzahl 6 b) Der Triebfahrzeugführer kann fehlerhaft übertragene Überwachungsgrößen, die im Widerspruch zur Signalisierung am Fahrweg stehen, nicht erkennen. Insofern kann keine wirksame Barriere identifiziert werden. 20

21 Beispiel:»Überwachungsgrößen bereitstellen«(3) Darstellung der RSM: Sicherheitsanforderung 1/h Risk Score Matrix keine b) x x x x a1), a2) A B C D E F G Unfallklasse Sicherheitsanforderung: 10-6 /h (für Ausfallart»weniger restriktive Überwachungsgrößen an fahrzeugseitige Zugsicherungsausrüstung übertragen«) keine (für Ausfallart»restriktivere Überwachungsgrößen an fahrzeugseitige Zugsicherungsausrüstung übertragen«) 21

22 Anwendung für neue Funktionen Mit der Systematik der Methode lassen sich auch Funktionen der Eisenbahnsignaltechnik analysieren, die in der Vornorm nicht aufgeführt sind. Nachfolgend ein (nicht ganz) fiktives Beispiel hierzu! 22

23 Beispiel:»Kransicherung«(1) Erläuterung 23

24 Beispiel:»Kransicherung«(2)»Gefahrensituationen«Wird durch mechanischen Aufbau ausgeschlossen. 24

25 Beispiel:»Kransicherung«(3) Schutzziel: prüfen, dass sich keine Teile der Krananlage oder Teile von Ladungen im Lichtraum befinden gewährleisten, dass während der Zugfahrten die Kranbewegungen für das jeweilige Start- oder Zielgleis gesperrt sind. Randbedingungen: Ausfallarten der Funktion: a) Hindernis im Lichtraum wird nicht erkannt b) Kranbewegung nicht gesperrt oder Sperrung vorzeitig aufgehoben Auswirkungen einschließlich ggf. auslösender Bedingungen: a) Das Ereignis stellt einen Aufprall dar (= Unfallklasse B); als konservative Annahme wird jedoch Unfallklasse D (entsprechend eines Zusammenstoßes zwischen Güterzügen) angenommen, da die Auswirkungen beim anzunehmenden Aufprall auf Container oder Wechselauflieger vergleichbar mit einem Zusammenstoß sind b) Wie a) 25

26 Beispiel:»Kransicherung«(4) Schutzobjekt: a) und b) Mitarbeiter, Fahrzeuge, Ladung Bewertung von Barrieren: a) Der Triebfahrzeugführer kann ggf. auf Grund der niedrigen Geschwindigkeit ein im Lichtraum befindliches Hindernis erkennen. Andererseits wird er auf das Freisein des Fahrweges vertrauen und kann auf Grund der in Umschlaganlagen herrschenden Sichtverhältnisse auch nicht in jedem Fall rechtzeitig erkennen, ob sich ein Hindernis noch im Fahrweg oder ggf. bereits im benachbarten Bereich befindet. Als konservative Annahme wird daher hierfür keine Risikoreduktion angenommen. Der Kranführer darf Kranbewegungen in für Zugfahrten benötigten Gleisen nicht durchführen. Während er bei Senkbewegungen relativ einfach erkennen kann, welcher Bereich betroffen ist, gilt dies für Dreh- und Schwenkbewegungen nicht ohne Weiteres. Insofern muss hier konservativ von einer regelbasierten Handlung bei eher schlechten Bedingungen (Sichtverhältnisse) und unter Stress (Kranungen müssen auch bei Zugein- / - ausfahrten erfolgen, um die Umschlagkapazität zu gewährleisten) ausgegangen werden. Insofern ergibt sich die Punktzahl 2. b) Wie a). Als konservative Annahme wird hierbei davon ausgegangen, dass der betroffene Bereich noch nicht von einer Zugfahrt besetzt ist, da ansonsten der Kranführer die Fahrzeuge des einfahrenden Zuges erkennen und entsprechend reagieren kann. 26

27 Beispiel:»Kransicherung«(5) Darstellung der RSM: Sicherheitsanforderung 1/h Risk Score Matrix keine x x 10-7 a), b) x x A B C D E F G Unfallklasse Sicherheitsanforderung: 3 x 10-6 /h 27

28 Ausblick Weitere Schritte: Veröffentlichung Entwurf Stellungnahmen (Einspruchsfrist: 4 Monate) Beratung der Stellungnahmen (spätestens nach 3 Monaten) Veröffentlichung Vornorm 28

29 Vielen Dank für Ihre Aufmerksamkeit 29