Risikoanalyse mit Risk Score Matrix (RSM) und CSM-Design Targets (CSM-DT) 8. Workshop SiT - Safety in Transportation

Transkript

1 Risikoanalyse mit Risk Score Matrix (RSM) und CSM-Design Targets (CSM-DT) 8. Workshop SiT - Safety in Transportation DB Netz AG Rainer Beck Unabhängige Bewertungsstelle (I.NVS 2(B)) Braunschweig, 16. /

2 Ausgangslage CSM RAC-TS CSM-DT RA RSM 2

3 Risk Score Matrix: Allgemeine Darstellung Die Risk Score Matrix ist eine semi-quantitative Methode zur expliziten Risikoabschätzung, auf Basis der (beispielhaften) Risikomatrix in DIN EN 50126, mit Methodik zur Berücksichtigung von Barrieren. Klasse für Sicherheitsanforderung Risk Score Matrix Verschiebung der»akzeptanzlinie«entsprechend des Wertes für Barrieren A B C D E F G Klasse für Schadensausmaß

4 Anforderungen an den Aufbau einer RSM Anforderungen an semi-quantitative Verfahren nach DIN V VDE V : Mindestens 4 Kategorien für Sicherheitsanforderungen Granularität: übliche Abstufung Gleichmäßige Abstufung Sensitivität: kleine Änderungen in der Einstufung bedingen nur kleine Auswirkungen bezüglich der Anforderungen! Daraus ergibt sich auch: mindestens 4 Unfallklassen! Bei der Konstruktion der Klassen im Zweifel Abschätzungen zur sicheren Seite vornehmen Konservativität: deutliches Abweichen vom Mittelwert jedoch nicht Worst Case! Kalibrierung anhand eines Risikoakzeptanzkriteriums Weitere Anforderungen: Für Sicherheitsanforderungen Wertebereiche vermeiden Eindeutigkeit für Nachweisführung, keine zusätzlichen Festlegungen erforderlich Kompatibilität zum Wertebereich (SIL-Tabelle) nach DIN EN (künftig: DIN EN ) Keine widersprüchlichen Sicherheitsanforderungen, Wertebereich abgedeckt 4

5 Rückblick: Vorschlag der ERA Task Force zur Weiterentwicklung von RAC-TS aus RAC-TS: Risikoakzeptanzkriterium für technische Systeme nach VO (EG) Nr. 352/2009

6 RSM in der DIN VDE V und Kalibrierung auf Basis RAC-TS Sicherheitsanforderung 1/h keine 10-5 X Risk Score Matrix Weitere»Referenzpunkte«nach Vorschlag der ERA Task Force 3 x x 10-7 X x x »Referenzpunkt«nach RAC-TS A B C D E F G X X Unfallklasse Klassenbreite 10 6

7 Unfallklassen in DIN VDE V Unfallklasse»maßgebendes«Schadensausmaß A Kein Personenschaden B Ein Leichtverletzter C Mehrere Leichtverletzte D Ein Schwerverletzter oder viele Leichtverletzte oder erheblicher Sachschaden E Mehrere Schwerverletzte Erläuterungen im Zusammenhang mit Quantifizierung:»Ein«: 1 x < 3»Mehrere«: 3 x < 10»Viele«: x 10»Erheblicher Sachschaden«: »Beträchtlicher Sachschaden«: 2 Mio. F Ein Todesfall oder viele Schwerverletzte oder beträchtlicher Sachschaden G Mehrere Todesfälle 7

8 Aktueller Stand der CSM RA-VO»CSM-RA VO«Aus den Erwägungsgründen: (5) Die Agentur übermittelte der Kommission ihre Empfehlung für die Änderung der Durchführungsverordnung (EU) Nr. 402/2013, mit der der Teil des Auftrags der Kommission abgeschlossen werden soll, der sich mit der noch offenen Frage der harmonisierten Entwurfsziele befasst. Die Empfehlung der Agentur bildet die Grundlage der vorliegenden Verordnung. Im Weiteren wird in Anlehnung an den englischen Originalbegriff»CSM Design Targets«als Abkürzung CSM-DT verwendet. 8

9 Harmonisierte Entwurfsziele (1) Führen Funktionsausfälle eines technischen Systems zu Gefährdungen, gelten unbeschadet der Nummern und die folgenden harmonisierten Entwurfsziele für diese Ausfälle: a) Ist bei einem Ausfall davon auszugehen, dass dieser unmittelbar zu einem katastrophalen Unfall führt, muss das damit verbundene Risiko nicht weiter reduziert werden, wenn es nachweislich höchst unwahrscheinlich ist, dass es zu einem Ausfall der Funktion kommt. b) Ist bei einem Ausfall davon auszugehen, dass dieser unmittelbar zu einem kritischen Unfall führt, muss das damit verbundene Risiko nicht weiter reduziert werden, wenn es nachweislich unwahrscheinlich ist, dass es zu einem Ausfall der Funktion kommt. Die Einordnung in die Begriffsbestimmung Nummer 23 oder Nummer 35 ergibt sich aus der als am wahrscheinlichsten anzunehmenden nicht mehr tolerierbaren Folge eines Ausfalls. 9

10 Harmonisierte Entwurfsziele (2) Artikel 3 (Begriffsbestimmungen)... Darüber hinaus bezeichnet der Ausdruck »katastrophaler Unfall«einen Unfall, bei dem in der Regel eine große Zahl von Personen Schaden erleidet und mehrere Menschen zu Tode kommen; »Vorkehrung«eine technische, betriebliche oder organisatorische Risikokontrollmaßnahme außerhalb des zu bewertenden Systems, mit der entweder die Häufigkeit des Auftretens einer Gefährdung verringert oder die Schwere der möglichen Folgen dieser Gefährdung abgemildert werden; 35.»kritischer Unfall«einen Unfall, bei dem in der Regel eine sehr geringe Zahl von Personen Schaden erleidet und mindestens ein Mensch zu Tode kommt; 36.»höchst unwahrscheinlich«das Auftreten eines Ausfalls mit einer Ausfallrate von höchstens 10 9 je Betriebsstunde; 37.»unwahrscheinlich«das Auftreten eines Ausfalls mit einer Ausfallrate von höchstens 10 7 je Betriebsstunde. 10

11 Fragen und Interpretationsspielräume (1)»Unmittelbar«: Der entsprechende Ausfall muss direkt zu einem unerwünschten Ereignis (Unfall) führen. Dies ist jedoch bei der etlichen Funktionen innerhalb des Eisenbahnsystems nicht der Fall. Interpretation: CSM-DT müssen dann für Funktionen auf nächsthöherer Ebene angewendet werden. Problem: Richtige Berücksichtigung von Barrieren und Unterschied zu dem neu eingeführten Begriff der»vorkehrungen«? Gegenseitige Anerkennung möglicherweise nicht mehr möglich.»... zu Tode kommen: Im Fokus stehen nur Funktionsausfälle, die das Potenzial für Unfälle mit Todesfolge haben. Interpretation 1: CSM-DT ist nicht anwendbar, wenn alle potenziellen Unfälle typischerweise geringere Auswirkungen haben. Interpretation 2: Prospektive Unterscheidung zwischen Schwerverletzten und Todesfällen schwierig / nicht möglich, daher: Unfälle mit Schwerverletzten sind denjenigen mit Todesfällen gleichzusetzen (konservativere Auslegung) Problem: Tendenz zu Worst Case-Betrachtungen. 11

12 Fragen und Interpretationsspielräume (2)»in der Regel... Schaden erleidet«: Wenn viele Tote die Folge eines Unfalles sind, erleidet auch zwangsläufig eine große Zahl von Personen Schaden. Die deutsche Übersetzung gibt die Intention des Originaltextes»typically affecting a large number of people«nicht korrekt wieder. Interpretation: Hinter der Formulierung steht das Konzept der Abschätzung des Effektes eines potenziellen Schadens (»lokal«oder»global«). Dieses ist vergleichbar mit dem entsprechenden Kriterium aus der Luftfahrt. Es kann (in vielen Fällen) alternativ die Frage gestellt werden:»ist der gesamte Zug betroffen?«problem: Das Konzept ist nicht anwendbar, wenn die Analyse auf Basis statistischer Daten erfolgen soll. Es sind Expertenschätzungen erforderlich, die nachweislich eher zu Worst Case- Annahmen tendieren.»mehrere Menschen (zu Tode kommen)«abgrenzung zu»mindestens ein (Mensch)«ist interpretationsbedürftig, da der Originaltext»multiple«eher mit»viele«zu übersetzen wäre. Interpretation: Bei Verwendung statistischer Daten sind 1,# Todesfälle bereits»mehrere«. Problem: Tendenz zu Worst Case-Betrachtungen. 12

13 Fragen und Interpretationsspielräume (3)»Am wahrscheinlichsten anzunehmende nicht mehr tolerierbaren Folge eines Ausfalls«: Nicht mehr tolerierbare Folge eines Ausfalls ist i.d.r. ein Unfall mit Personen- oder Umweltschaden. Wahrscheinlichste (= häufigste) Folge eines Unfalls ist jedoch in den meistens Fällen nur Sachschaden. Interpretation 1: Somit ist i.d.r. weder Klasse a) noch Klasse b) anwendbar, da nur Schadensereignisse mit potenziellen Todesfällen relevant sind. Interpretation 2: Gemeint ist die glaubwürdigste schlimmste Folge eines Unfalls. Problem: Was ist richtig?»vorkehrung«impliziert im Gegensatz zum englischen Originaltext einen Unterschied zum ansonsten üblichen Begriff»Barriere«. Interpretation: Es dürfen nur Barrieren betrachtet werden, die im Einflussbereich des Vorschlagenden liegen. Dies ist vor Allem erforderlich, um eine gegenseitige Anerkennung zu erreichen, da viele Barrieren in den Mitgliedsstaaten unterschiedlich wirksam sind. Problem: Wie ist mit anderen Barrieren umzugehen, die typischerweise in Risikobewertungen berücksichtigt werden, z.b. Verhaltensregeln im Straßenverkehr, Selbstrettung,»Gesunder Menschenverstand«? Tendenz geht zu Worst Case-Einschätzungen. 13

14 Fragen und Interpretationsspielräume (4) Darstellung des Entscheidungsprozesses: 14

15 Fragen und Interpretationsspielräume (5) Zusammenfassung / Ausblick: Der Verordnungstext enthält eine große Anzahl interpretationsbedürftiger Begriffe. Die deutsche Übersetzung weicht in Nuancen vom englischen Originaltext ab und gibt dadurch die ursprüngliche Intention nicht immer wieder. Zur Unterstützung der Anwender ist ein Leitfaden sinnvoll / erforderlich. Dieser wurde entgegen ursprünglicher Absicht nicht zeitgleich mit dem Verordnungstext veröffentlicht. Im Entwurf des Leitfadens ist bereits die Tendenz zu Worst Case-Betrachtungen erkennbar. Worst Case-Betrachtungen sind vor dem Hintergrund, dass CSM-DT die strengsten Entwurfsziele darstellen sollen, ggf. gerechtfertigt. Es wird jedoch das Konzept des»credible Worst Case«, das erst mit der CSM RA-VO eingeführt wurde, aufgegeben. Außerdem gilt: Wenn Worst Case als erforderlich angesehen wird, sollte dies dem Anwender klar dargestellt werden! 15

16 CSM-DT als Kalibrierungsmöglichkeit für eine RSM? Im Fokus der CSM-DT stehen insbesondere: Gegenseitige Anerkennung CSM-DT als strengste Entwurfsziele Andere Sichtweise auf das zu erwartende Schadensausmaß Expertenschätzung des»möglichen Schadens«vor statistischer Grundlage Beschränkung auf Ausfälle / Unfälle mit potenzieller Todesfolge Daher nur 2 Klassen Andere Sichtweise auf Barrieren Definition der»vorkehrung«als»bewusst installierte«risikokontrollmaßnahme CSM-DT und damit verbundene Sichtweise als Kalibrierung für RSM nur bedingt geeignet! 16

17 RSM nach DIN V VDE V mit Abbildung der CSM-DT Sicherheitsanforderung 1/h Risk Score Matrix keine x CSM-DT Klasse b) 3 x x x 10-9 CSM-DT Klasse a) 10-9 A B C D E F G Unfallklasse Die»Überlappungsbereiche«zwischen den Klassen der CSM-DT und den Unfallklassen ergeben sich aus den Interpretationsspielräumen! 17

18 Ausblick: Weiterentwicklung der RSM aus DIN V VDE V (1) Vorschlag aus Projekt NeGSt: Sicherheitsanforderung 1/h Risk Score Matrix keine x x x x A B C D E F G Unfallklasse NeGSt: Neue Generation Signaltechnik 18

19 Ausblick: Weiterentwicklung der RSM aus DIN V VDE V (2) Abbildung der CSM-DT unter Auflösung der»überlappungsbereiche«: Sicherheitsanforderung 1/h Risk Score Matrix keine x x x x CSM-DT Klasse a) A B C D E F G X CSM-DT Klasse b) X Unfallklasse Weniger strenge Entwurfsziele: zulässig, wenn keine gegenseitige Anerkennung angestrebt wird. Interpretationsspielraum zwischen den Begriffen»ein«,»mehrere«und»viele«bei Anwendung statistischer Methoden. 19

20 Zusammenfassung und Ausblick RSM und CSM-DT haben unterschiedliche Anwendungsgebiete / Zielstellungen. Demzufolge sind die Anforderungen an semi-quantitative Methoden für die CSM-DT nicht übertragbar. Die Anwendbarkeit der CSM-DT leidet unter einer Vielzahl interpretationsbedürftiger Begriffe. Die Verständlichkeit leidet zusätzlich an der Ungenauigkeit der deutschen Übersetzung an einigen Stellen. Für Unterstützung des Anwenders und Erfüllung der Anforderungen an semi-quantitative Methoden gem. DIN V VDE V sind jedoch konkrete Vorgaben erforderlich. Die Methode RSM kann so gestaltet werden, dass die Kompatibilität zu den CSM-DT abbildbar ist. Eine entsprechender Vorschlag wurde vorgestellt. Dieser berücksichtigt auch weitere Anforderungen an die Konstruktion einer RSM, die in DIN VDE V nicht vollumfänglich erfüllt sind. 20

21 Ergebnis? CSM RAC-TS CSM-DT RA RSM 21

22 Vielen Dank für Ihre Aufmerksamkeit 22