rams - · pdf file•cenelecs standarder en 50126, en 50128 og en 50129 gir krav til...
TRANSCRIPT
RAMS Revideringen av RAMS-standardene EN 50126/8/9 Terje Sivertsen, Jernbaneverket Teknologi Ny «NEK 900 Elektriske jernbaneanlegg» NEK/NK9 fagseminar 22. mai 2014, Jernbaneverket
Revideringen av RAMS-standardene
• Bakgrunn og status • Eksisterende utgave • Kommende utgave • Noen sentrale aspekter
Bakgrunn og status
• CENELECs standarder EN 50126, EN 50128 og EN 50129 gir krav til prosesser for å spesifisere og demonstrere RAMS-krav til jernbaneanvendelser
• Erfaringene fra bruk av RAMS-standardene har synliggjort behovet for en revidering og omstrukturering
• CENELECs arbeidsgruppe SC9XA/WGA11 utarbeidet en ny utgave av EN 50128, utgitt i 2011
• CENELECs arbeidsgruppe TC9X/WG14 startet i 2008 opp arbeidet med å revidere hele settet av RAMS-standarder
Bakgrunn og status (forts.)
• Revideringen skal resultere i en ny utgave av EN 50126, bestående av følgende fire deler:
– EN 50126-1: Generic RAMS process – EN 50126-2: System Approach to Safety – EN 50126-4: Functional Safety –
Electrical/Electronic/Programmable Electronic systems – EN 50126-5: Functional Safety – Software
• WG14 ble avviklet ved utgangen av februar 2014, og arbeidet er for tiden under gjennomgang
• Hva som skjer videre med revideringen vil bli besluttet på TC9X-møtet i juni 2014
Krav til bruk av RAMS-standardene
Jernbaneinfrastrukturforskriften:
Infrastrukturforvalter skal benytte prosesstandarden EN 50126 (1999) ved bygging av ny jernbaneinfrastruktur og ved endring av programmerbare tekniske systemer samt ved utvikling og endring av STM-enheter. Ved andre endringer av jernbaneinfrastruktur skal infrastrukturforvalter vurdere om endringen er av en slik karakter at bruk av EN 50126 (1999) er hensiktsmessig. Vurderingen skal dokumenteres Infrastrukturforvalter skal benytte standardene EN 50128 (2003) og EN 50129 (1999) ved anskaffelse av nye signalanlegg og ved endring av elektroniske signalanlegg
RAMS-standardene
• CENELEC-standardene EN 50126, EN 50128 og EN 50129 er en jernbanespesifikk tilpasning av IEC 61508
• CENELEC-standardene og IEC 61508 bruker samme risikobaserte definisjon av sikkerhet og samme prosesser for fareidentifisering og risikoanalyse
• CENELEC behandler aktiviteter for RAM (dependability) og sikkerhet (safety) i samme rammeverk (RAMS management)
• Relevansen for signalanvendelser kan delvis forklares ut fra at IEC 61508 fokuserer på elektriske/elektroniske/programmerbare elektroniske kontrollsystemer
7
Totalt jernbanesystem
EN 50126
Signalanlegg
EN 50129
Programvare
EN 50128
Hva er EN 50126?
En jernbanespesifikk standard som definerer • RAMS, det vil si pålitelighet (Reliability),
tilgjengelighet (Availability), vedlikeholdbarhet (Maintainability) og sikkerhet (Safety), og interaksjonen mellom disse
• en prosess for RAMS-styring, basert på systemets livsløp og oppgaver innenfor denne
• en systematisk prosess for spesifisering av RAMS-krav og for å demonstrere at disse kravene er oppnådd
EN 50126, Railway applications – The specification and demonstration of Reliability, Availability, Maintainability and Safety (RAMS)
Hva er EN 50128?
En jernbanespesifikk standard som • spesifiserer prosedyrer og tekniske krav for
utviklingen av programmerbare elektroniske systemer for bruk i anvendelser relatert til kontroll og sikring av jernbane
• skal anvendes for programvare og for interaksjonen mellom programvaren og det systemet den er en del av
• hører naturlig sammen med EN 50126 og EN 50129
EN 50128, Railway applications – Communication, signalling and processing systems – Software for railway control and protection systems
Hva er EN 50129?
En jernbanespesifikk standard som • definerer krav til aksept og godkjenning av
sikkerhetsrelaterte elektroniske systemer innenfor signalområdet
• definerer krav til den sikkerhetsrelaterte maskinvaren og til det overordnede systemet
• krever at systemsikkerhet demonstreres gjennom et sikkerhetsbevis
• hører naturlig sammen med EN 50126, EN 50128, EN 50159-1 og EN 50159-2
EN 50129, Railway applications – Communications, signalling and processing systems – Safety related electronic systems for signalling
Sikkerhetsbevis
• Et sikkerhetsbevis for et system er et argument som, understøttet av bevisgrunnlag (evidens), demonstrerer at det er sikkert å ta systemet i bruk
• Et sikkerhetsbevis kan være – uavhengig av anvendelsen (generisk produkt) – begrenset til en gitt klasse applikasjoner (generisk
applikasjon) – begrenset til en gitt applikasjon (spesifikk applikasjon)
• Det som er viktig er ikke mengden av dokumentasjon men kvaliteten på sikkerhetsargumentasjonen og relevansen av bevisgrunnlaget
Neste utgave av EN 50126
1 Generic RAMS process
2 Systems Approach to Safety
3 -
4 Functional Safety – E/E/PE systems
5 Functional Safety – Software
Uavhengig av teknologivalg
Spesifikt for sikkerhets-relatert E/E/PE-teknologi
Fire deler:
Erstatter EN 50126:1999, EN 50128:2011 og EN 50129:2003
Hva dekker de ulike delene?
EN 50126-1: • RAMS-prosessen • Hovedsakelig basert på EN 50126:1999 EN 50126-2: • Utdyper systemtilnærmingen til sikkerhet • Gir metoder for å utlede sikkerhetskrav og deres
sikkerhetsintegritetskrav for systemet og for å fordele disse til delsystemene, herunder maskinvare og programvare
Hva dekker de ulike delene?
EN 50126-4: • Alle fasene i utvikling, drift og vedlikehold av
sikkerhetsrelaterte elektroniske systemer/delsystemer/maskinvare
• Baserer seg på RAMS-prosessen og metodene i del 1 og 2 for identifisering av eventuelle sikkerhetskrav
EN 50126-5: • Alle fasene i utvikling, drift og vedlikehold av
sikkerhetsrelatert programvare for elektroniske systemer/delsystemer/maskinvare
Anvendelsesområde
• RAMS-standardene har sin opprinnelse i utviklingen av standardiserte elektroniske sikringsanlegg i Storbritannia
• EN 50126 oppgir som sitt anvendelsesområde:
“all railway applications and at all levels of such an application, as appropriate, from complete railway routes to major systems within a railway route, and to individual and combined sub-systems and components within these major systems, including those containing software”
Anvendelsesområde (forts.)
• Revisjonen av RAMS-standardene skulle gi:
• Forsøk på å presisere standardens anvendelsesområde har ført til nye spørsmål, fordi det vil kunne være ønskelig å benytte standarden også på andre jernbanesystemer
• I revisjonen av standarden har man derfor foreløpig valgt å beholde beskrivelsen i eksisterende standard, uten ytterligere presisering
“a systematic and coherent approach to RAMS applicable to all the railway application fields Signalling, Rolling Stock and Fixed Installations (Electric traction power supply for Railways)”
Relasjonen til IEC 61508
EN 50126 erstatter IEC 61508 innenfor jernbaneområdet: • Det er ikke nødvendig å benytte deler av IEC
61508 ved siden av EN 50126 • Det er ikke akseptabelt å benytte IEC 61508 i
stedet for EN 50126 • Samsvar med EN 50126 innebærer ikke
nødvendigvis samsvar med IEC 61508
IEC 61508, Functional safety of electrical/electronic/programmable electronic safety related systems
Relasjonen til CLC/TS 50562:2011
• EN 50126 tillater at RAMS-prosessen “may be simplified by reusing existing applicable material”
• EN 50126 nevner som eksempel CLC/TS 50562:2011
• SC9XC har besluttet å overføre CLC/TS 50562:2011 til en EN-standard
• Hensikten er at EN 50562 skal “support the realisation of the EN 50126-Series within the context of electric traction systems”
CLC/TS 50562, Railway applications – Fixed installations – Process, measures and demonstration of safety for electric traction systems
Relasjonen til europeisk lovgivning
• EN 50126 benyttes som en teknisk standard i en sammenheng der også europeisk lovgivning i form av TSIene og CSM RA (Common Safety Methods for Risk Assessment) kommer til anvendelse
• Det er begrenset i hvilken grad EN 50126 kan tilpasses europeisk lovgivning, da en teknisk standard ikke kan inneholde politisk motiverte krav (skal kunne anvendes også utenfor europeisk lovgivning)
• EN 50126 benytter begrepet “acceptance” for bekreftelsen mellom ulike interessehavere, og reserverer bruken av begrepet “approval” til den juridiske bekreftelsen fra rette myndighet
Relasjonen til CSM RA
• EN 50126 skal støtte risikoakseptprinsippene i CSM RA
• Anvendelsene av risikoakseptprinsippene i CSM RA erstatter ikke bruken av EN 50126, men er kun midler for evaluering av resultatene av en risikovurdering
• CENELEC må endre terminologien i EN 50126:1999, som bruker betegnelsen risikoakseptprinsipper om metoder som mer presist er metoder for å utlede risikoakseptkriterier
Verifisering og validering
• De eksisterende RAMS-standardene benytter ikke de klassiske definisjonene av verifisering og validering som kompletterende aktiviteter gjennom livsløpet, men knytter i stedet verifiseringen på RAMS-fasene og valideringen hovedsakelig til enden av V-livsløpet
• I den reviderte standarden går man tilbake til den klassiske forståelsen av verifisering og validering, der verifiseringsresultatene betraktes som input til valideringen, som i større grad utføres underveis i livsløpet
Assessment
• EN 50126 bruker assessment om vurdering som aktivitetstype, og er ikke begrenset til safety assessment eller independent safety assessment
• Det er utenfor standardens mandat å kreve sertifisering av ISA
• For å unngå forveksling med det CSM RA omtaler som “safety assessment report” vil dette begrepet bli utelatt i EN 50126 og erstattes med en henvisning til at ISA skal dokumentere sine funn
• ISA skal ikke gjenta valideringen men sjekke at valideringen og de andre prosessene påkrevd i standarden er tilfredsstillende utført
Oppsummering
• «RAMS-standardene» EN 50126, EN 50128 og EN 50129 skal anvendes for å spesifisere og demonstrere RAMS-krav til jernbaneanvendelser
• Standardene revideres og er planlagt utgitt som EN 50126, med fire deler
• Viktige stikkord for revideringen er helhet og konsistens, systemtilnærming til sikkerhet, systemdesign for elektroniske systemer og programvare, relasjonen mellom RAMS-prosess, systemtilnærming og systemdesign, relasjonen til CSM RA, etc.
• Revideringen er forsinket, og beslutning om det videre arbeidet gjøres av TC9X i juni 2014
Vedlikeholds-vennlige anlegg
Christopher Schive, JBV Teknologi
Innhold
•Jernbanen som system •Valg av tekniske løsninger
Krav til infrastruktur stilles for Kapasitet
aksellast, hastighet, profil, antall tog
Sikkerhet Kravene stilles av noen utenfor oss
Kundene Tog-selskapene
Jernbane-verket
Samferdselsdepartementet Jernbane-verket
Etablere tilgjengelighetskrav for et prosjekt
Kravene utledes fra: Dimensjonerende togtrafikk • Fremtidig ruteplan (lokaltogfrekvens, fjerntogsfrekvens) • Fremtidig togsammensetning (persontog, godstog) Drift, vedlikehold og oppetid • Tid til driftsaktiviteter på banen • Tid til vedlikeholdsaktivitet er på banen • Krav til at banen er tilgjengelig for rutemessig fremføring av tog
Valg av tekniske løsninger
De tekniske løsninger må velges slik at RAMS-kravene oppfylles!
Jernbanen som system
Tilgjengelighet for en jernbane krever samtidig tilgjengelighet av en rekke systemer og komponenter sikringsanlegg kontaktledningsanlegg strømforsyning spor underbygning kommunikasjon (GSM-R) ytre forhold (vind, dyrepåkjørsler, snø, glatte skinner)
Feil som hindrer stilling av togvei
svikt i fjernstyring svikt i togdeteksjon (belagt når fritt) svikt i lyssignal (stans når kjør) svikt i sporveksel (får ikke kontroll i riktig
posisjon) svikt i forrigling (får ikke stilt selv om
betingelsene er til stede)
SKF-er TKF-er
Feil som hindrer fremføring
svikt i strømforsyning svikt i kontaktledning svikt i kommunikasjon (GSM-R) svikt i ATC-infrastruktur for mye vind, glatte skinner, snø, flom (klima)
Feil som stopper fremføring
svikt i underbygning telehiv, utrasing, ras ned på linjen
svikt i overbygning solslyng, skinnebrudd
hendelser dyrepåkjørsel
klima snø, glatte skinner
Forsinkelsesårsaker
Forsinkelser pga. sikringsanlegg
Hvordan oppnå tilgjengelighetskravet
valg av systemer og komponenter RAM-egenskaper design (dublering, dobbeltfilament)
vedlikehold tilstandskontroller, visitasjoner
beredskap snøberedskap, kort utrykningstid
prosedyrer hva gjør man når feil oppstår