Sicherheits-Management in Deutschland Wie sicher ist sicher genug?

Sicherheits-Management in Deutschland Wie sicher ist sicher genug? (Sicht der Fahrzeugtechnik) Dr. Stefan Pöting 01/12/2008 TRANSPORT

Gliederung Top 0 Sicherheit Risiko - Risikobereitschaft Page 2 Top 1 Gesetzliche Anforderungen Page 4 Top 2 Normative Anforderungen Page 12 Top 3 Was heißt ( mindestens gleiche ) Sicherheit? Page 14 Top 4 Nachweis der Sicherheit in Deutschland Page 18 Top 5 Quo vadis Sicherheit in Deutschland und Europa? Page 26 Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 2

Wie kann Sicherheit hergestellt werden? Was ist Sicherheit? Sicherheit Risiko - Risikobereitschaft technische Systeme gibt es bereits sehr lange technische Risiken sind seit dem bekannt Risiken helfen eine weiteren Schritt zur Innovation zu machen Risiken sind beherrschbar und müssen beherrschbar gemacht werden Risiken technischer System hängen stark von Ihrem Umfeld ab Die Umgebungsrandbedingungen und die Risikobereitschaft der mit dem System in Verbindung stehenden bestimmen das Risiko des Systems mit. Technik ist nicht für alles allein verantwortlich. Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 3

Gesetzliche Anforderungen - AEG Allgemeines Eisenbahngesetz (AEG) 2 Allgemeine Anforderungen: (1) Bahnanlagen und Fahrzeuge müssen so beschaffen sein, dass sie den Anforderungen der Sicherheit und Ordnung genügen. Diese Anforderungen gelten als erfüllt, wenn die Bahnanlagen und Fahrzeuge den Vorschriften dieser Verordnung und, soweit diese keine ausdrücklichen Vorschriften enthält, anerkannten Regeln der Technik entsprechen. (2) Von den anerkannten Regeln der Technik darf abgewichen werden, wenn mindestens die gleiche Sicherheit wie bei Beachtung dieser Regeln nachgewiesen ist. Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 5

Gesetzliche Anforderungen EBO (1) Eisenbahn Bau- und Betriebsordnung (EBO) 4 Sicherheitspflichten, Zuständigkeiten des Eisenbahn-Bundesamtes (1) Die Eisenbahnen sind verpflichtet, ihren Betrieb sicher zu führen und die Eisenbahninfrastruktur, Fahrzeuge und Zubehör sicher zu bauen und in betriebssicherem Zustand zu halten.... 5 Eisenbahnaufsicht (1e) Dem Bund obliegt für regelspurige Eisenbahnen 1. die Genehmigung der Inbetriebnahme... im Sinne des Rechts der Europäischen Gemeinschaften im Zusammenhang mit dem konventionellen Eisenbahnsystem und dem transeuropäischen Hochgeschwindigkeitsbahnsystem; 2. die Erteilung von Sicherheitsbescheinigungen und Sicherheitsgenehmigungen; 5. die Eisenbahnaufsicht über das Herstellen und das Inverkehrbringen von Teilen von Teilsystemen, die Interoperabilitätskomponenten im Sinne des Rechts der Europäischen Gemeinschaften... 6. die Überwachung der von öffentlichen Eisenbahnen festgelegten Regeln, Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 6

Gesetzliche Anforderungen EBO (2) Eisenbahn Bau- und Betriebsordnung (EBO) 28 Ausrüstung und Anschriften 1) Triebfahrzeuge und andere führende Fahrzeuge müssen folgende Ausrüstung haben: 1. Einrichtungen zum Geben hörbarer Signale, 2. Bahnräumer, 3. Geschwindigkeitsanzeiger, 4. Zugbeeinflussung, durch die ein Zug selbsttätig zum Halten gebracht... 5. Zugbeeinflussung, durch die ein Zug selbsttätig zum Halten gebracht und außerdem geführt werden kann,... 6. Sicherheitsfahrschaltung, die bei Geschwindigkeiten von 20 km/h und mehr anspricht und bei Dienstunfähigkeit des Triebfahrzeugführers selbsttätig das Anhalten des Zuges... 7. Zugfunkeinrichtungen, wenn... 8. Funkenfänger und verschließbare Aschkasten, wenn feste Brennstoffe verfeuert werden. Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 7

Gesetzliche Anforderungen EBO (2) Eisenbahn Bau- und Betriebsordnung (EBO) 28 Ausrüstung und Anschriften 2) Einsteigetüren der Reisezugwagen müssen sicher wirkende Verschlusseinrichtungen erhalten.... müssen Verschlusseinrichtungen haben, bei denen durch Zuschlagen der Tür ein doppelter Verschluss selbsttätig herbeigeführt wird. Der doppelte Verschluss muss durch zwei getrennte Verschlussteile herbeigeführt werden oder durch einen Verschlussteil, der in zwei Stufen schließt. Bei neu zu bauenden Reisezugwagen... ausgenommen im Notfall - während der Fahrt von innen nicht geöffnet werden können;... 3) Öffnungen der Einsteigetüren müssen im Innern der Personenwagen mit Schutzeinrichtungen gegen das Einklemmen der Finger versehen sein. 4) Fernbetätigte oder automatisch schließende Türen müssen so beschaffen sein, dass bei ihrer Betätigung Personen nicht gefährdet werden.... Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 8

Gesetzliche Anforderungen TSI - Directiven Europäische Anforderungen Technische Spezifikation für Interoperabilität (TSI) The overall aim is to create an ability of the trans-european rail system to allow the safe and uninterrupted movement of trains, while at the same time accomplishing the required and specified levels of performance. This ability rests on all the regulatory, technical and operational conditions that must be met in order to satisfy the essential requirements. CEN European Committee for Standardisation CENELEC European Committee for Electro-technical Standardisation ETSI European Telecommunications Standards Institute Railway Safety Directive Railway safety is a new competence of the European Union, introduced by the Directive 2004/49/EC on safety on the Community's railways etc., a part of the so-called second railway package. The Directive establishes a framework for the regulation and management of safety on the railways of Europe. Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 9

Gesetzliche Anforderungen TEIV Verordnung über die Interoperabilität des transeuropäischen Eisenbahnsystems - TEIV Einleitung: Verordnung dient der Umsetzung der Richtlinie 2004/49/EG des... 1 Anwendungsbereich: 1)... und den auf diesen Infrastrukturen verkehrenden Fahrzeugen. 6 Inbetriebnahmegenehmigung von strukturellen Teilsystemen 1) Die erstmalige Inbetriebnahme eines strukturellen Teilsystems bedarf einer Genehmigung (Inbetriebnahmegenehmigung), soweit in den anwendbaren Technischen Spezifikationen nicht etwas anderes bestimmt ist. Dies gilt unbeschadet einer vorherigen Planfeststellung oder Plangenehmigung für das Vorhaben. 2) Die Inbetriebnahmegenehmigung kann beantragt werden von 1. Eisenbahnen gemäß 2 Abs. 1 des Allgemeinen Eisenbahngesetzes, 2. Haltern von Fahrzeugen oder 3. Herstellern. Der schriftliche Antrag und die zur Prüfung erforderlichen Unterlagen sind in deutscher Sprache vorzulegen. Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 10

Gesetzliche Anforderungen TEIV Verordnung über die Interoperabilität des transeuropäischen Eisenbahnsystems - TEIV 3 Erfüllung der grundlegenden Anforderungen Das transeuropäische Eisenbahnsystem, seine Teilsysteme und die Interoperabilitätskomponenten müssen die sie betreffenden grundlegenden Anforderungen erfüllen. 4 Technische Spezifikationen für die Interoperabilität Die Technischen Spezifikationen für die Interoperabilität (Technische Spezifikationen) sind nach Maßgabe der Anlage 2 anzuwenden.... 7 Vereinfachte Inbetriebnahmegenehmigung für Fahrzeuge einer zugelassenen Bauart 1) Die Bauartzulassung wird erteilt, wenn dem geprüften Musterfahrzeug eine Inbetriebnahmegenehmigung zu erteilen wäre. Die Bauartzulassung ist auf eine Geltungsdauer von höchstens fünf Jahren zu befristen. Die Bauartzulassung wird auf Antrag verlängert; Satz 1 gilt entsprechend. 8 Vereinfachte Inbetriebnahmegenehmigung für Fahrzeuge mit ausländischer Inbetriebnahmegenehmigung Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 11

Normative Anforderungen Stand der Technik EN DIN VDI VDE BSI ISO MIL Nachweis zu Einhaltung von Regeln und Festlegungen Nachweis von Einhaltung einschlägig anerkannter Normen und Standards Nachweis von Einhaltung bestehender Regelungen, die das System definieren und festlegen Einhaltung von Prozessen und Zielen EN 50126-1 EN 50128 EN 50129 Offene Frage: Wie ist gleiche Sicherheit in diesem Umfeld gleichberechtigt festzulegen und nachzuweisen? Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 13

Sicherheitsbegriff Sicherheit (allgemein) bezeichnet einen Zustand, der frei von unvertretbaren Risiken der Beeinträchtigung ist oder als gefahrenfrei angesehen wird. Mit dieser Definition ist Sicherheit sowohl auf ein einzelnes Individuum als auch auf andere Lebewesen, auf unbelebte reale Objekte oder Systeme wie auch auf abstrakte Gegenstände bezogen. Bei technischen Konstruktionen oder Objekten bezeichnet Sicherheit den Zustand der voraussichtlich störungsfreien und gefahrenfreien Funktion. Im technischen Bereich ist Sicherheit oft davon abhängig, wie sie definiert ist oder welcher Grad von Unsicherheit für die Nutzung der technischen Funktion akzeptiert wird. Die Norm IEC 61508 definiert Sicherheit als Freiheit von unvertretbaren Risiken und verwendet darüber hinaus den Begriff der funktionalen Sicherheit http://de.wikipedia.org/wiki/sicherheit#technische_und_zwischenmenschliche_sicherheiten Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 15

technische Sicherheit Produkthaftung bedeutende Aspekte funktionale Sicherheit unmittelbare Sicherheit safe-life-ansatz, aller äußeren Einflüsse berücksichtigt, sicher Bemessen und weiterer Kontrolle, ein Versagen ausgeschlossen fail-safe-ansatz, beschränktes Versagen, ermöglicht noch eine gefahrlose Außerbetriebnahme redundante Anordnung von Baugruppen, so dass bei einem Ausfall eines Teils dennoch die Gesamtfunktion weiterhin gewährleistet ist mittelbare Sicherheit bezeichnet Lösungen mit denen zusätzliche Schutzeinrichtungen eine mögliche Gefährdung abweisen hinweisende Sicherheit ist die schwächste und rechtlichgeringste Form von Sicherheitsmaßnahmen. Hier wird lediglich auf die Gefahren hingewiesen (Gefahrenhinweis) Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 16

Sicherheit sicherer Betrieb sichere Funktion Alles sicher? Alle System abgesichert Oder nicht? Sicherheit hat viele Aspekte Betrieb Wartung Herstellung Test Teilaspekte können die Gesamtsicherheit empfindlich stören Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 17

Sicherer Eisenbahnbetrieb in Deutschland und Europa geklärt sind: Gesetze Normen Regelwerke Prozesse ungeklärt ist: wie ist Sicherheit bemessen? wie wird Sicherheit technisch und juristisch abgesichert nachgewiesen? Das Sicherheitsniveau im Eisenbahnverkehr innerhalb der Europäischen Union (EU) ist generell sehr hoch, insbesondere im Vergleich zu dessen wichtigstem Konkurrenten - dem Straßenverkehr. Im jüngsten Weißbuch ist jedoch das Bestehen von Sicherheitslücken im Eisenbahnverkehr aufgezeigt worden. Jahr 2004 Deutschland auf hohem Sicherheitsniveau Durchschnitt in Europa Eisenbahnverkehr in Europa ist sicher. Tätigkeitsbericht der Europäischen Union http://europa.eu/scadplus/leg/de/lvb/l24201a.htm http://www.era.europa.eu/public/safety/documents/safety_performance/06-06-01era-report.pdf Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 19

Sachstandsbeurteilung objektiv / subjektiv???? Alle Randbedingen beschrieben alles kein Problem Umfeld ist klar Direktiven, Richtlinien, Gesetze, Normen, Standards, Regelwerke Prozesse sind klar Normen z.b. EN 50126 Bilaterale Abkommen - Cross Acceptance Arbeitgruppen national und international ERA, NSAs, UNIFE, VDB, VDV, Betreiber Offene Frage: Wie ist gleiche Sicherheit in diesem Umfeld gleichberechtigt festzulegen und nachzuweisen? Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 20

Was heißt mindestens gleiche Sicherheit? Einfaches Prinzip Schwerer Nachweis... ohne bestehende Referenz gleiche Sicherheit GAME (GAMAB) O D E R Neue Methoden (FTA, FMECA) alte Regeln für alte Architekturen Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 21

Nachweis der Sicherheit in Deutschland SIRF - TeSiP heute: Nachweise entsprechend EBA Checkliste für: Bremse Türen (Normen, Richtlinien + zus. Nachweis über Einhaltung von Schutzzielen) Zukünftig: Sicherheits-Richtlinie Fahrzeug Gesamtfunktionaler Ansatz (Technischer Sicherheitsplan Fahrzeug) Festlegung von Funktionen mit Nachweis der Einhaltung von etabliertem Regelwerk Anwendbarkeit des Regelwerks und Einhaltung der Randbedingung ist zu prüfen Funktionen ohne Bezug oder mit nicht anwendbarem Regelwerk müssen in einer funktionalen Sicherheitsbetrachtung die Einhaltung gleicher Sicherheit nachweisen. Gefährdungsbasierter Ansatz für allen Funktionen wurde durch Experten eine Risikobewertung der Funktionalitäten für den schlimmsten Fall vorgenommen Starke Gewichtung von Gefährdungen mit geringerem Unfallpotential (leichte Verletzungen, Einklemmungen...) Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 22

SIRF TeSiP Herausforderung Chancen Unabhängiger Sicherheitsgutachter bestätigt Sicherheitseinstufung Funktionale Gliederung nach DIN 25002-5 Gefährdungs- Identifikation Gefährdungs- Bewertung Systemdefinition Funktionsidentifikation Nachweis funktionaler Sicherheit Validation der funktionalen Sicherheitsstufe Aufteilung der Sicherheitsverantwortung Architektur- Aufteilung etablierte Nachweisverfahren Normen, Standards Vorliegende Methodik kann derzeitigen Stand der angewendeten Regeln der Technik insbesondere betriebserprobte, UIC-normierte Systemlösungen nicht korrekt beschreiben (UIC-Kabel zur Steuerung von Steuerwagenzügen) Zur Rechtfertigung der vorhandenen, zugelassenen und betriebserprobten technischen Systeme müssen die System- Betrachtungsgrenzen auf den gesamten Betrieb erweitert werden obwohl nur Fahrzeug betrachtet werden soll Vorliegende Methodik ist nicht Stand der Technik, Normen, Standards oder derzeit angewendet in Wissenschaft und Forschung Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 23

Quo vadis Sicherheit in Deutschland? derzeit in Deutschland aktive Arbeitsgruppen EBA mit VDB, VDV, DB Klärung von Sicherheitsnachweisführung einzelner Funktionen Formulierung von Sicherheitsansprüchen, bei bisher häufig diskutierten Funktionen Formulierung von Architekturprinzipien für Funktionen und Sicherheitsansprüchen Risikobewertung mit eigener Bewertung und Skalierung Nachweisführung mit vereinfachter Systematik VDV in Diskussion auch mit VDB in Vorbereitung der VDV-Schrift 161-2 konkrete Risikoeinstufung von ausgewählten Fahrzeugfunktionen durch die Betreiber als Vorschlag DB, VDB, EBA Prozess zur Bewertung von potentiellen Betriebsunreglmäßigkeiten Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 24

Quo vadis Sicherheit in Europa? Vereinheitlichung oder Diversifizierung in Europa? CST der ERA für 2009 angekündigt einzelne Mitgliedsstaaten legen derzeit nachzuweisende Gefährdungsraten für Teilfunktionen von Systemen fest: Deutschland EBA (seit langem bereits) in der Signaltechnik mit der MÜ 8004 heute bereit für signaltechnische Einrichtungen 10 9 THR zu akzeptieren, Altsystem / Architekturen werden als gleichwertig betrachte EBA Fahrzeugtechnik: lehnt die Annahme von Dokumenten mit THRs ab Großbritannien monetäre Bewertung von Menschenleben ALARP Schweden: NSA - JVS Festlegung einzelner, individueller Sicherheitsziele THRs für Funktionen z.b. für die Gefährdung durch eine Nichtverfügbarkeit der Notbremsfunktion = 10 8 THR Frankreich: NSA STRMGT legt technische Regelungen und Sicherheitsziele (THRs) in SAMs fest Wie sicher ist sicher genug? - Dr. Stefan Pöting - 01/12/2008 - P 26

www.alstom.com