550 2024 Endringsartikkel 2363

1 Endringsinformasjon

EndringsID	2363
Forslagsdato	19.06.2019
Forslagsstiller	Stein Ovar Nielsen
Klassifisering	Kravendring
Bok	550 Signal, prosjektering
Kapittel	Flere
Avsnitt
Forslagstekst	Hei, Det er på tide at vi gjør noe med THR kravene i TRV. Vi må gjøre kravene mer presise og unngå å stille krav som ikke tillater sikker tilstand. Vi bør også samkjøre dette med andre dokumenter som definerer sikkerhetskritiske funksjoner. Vi bør også vurdere om noen av kravene ligger på et slikt nivå at vi må definere dette som TFFR krav. Som forklaring på hva jeg mener se følgende krav fra TRV: a) Et lyssignal skal ha sikkerhetskritisk funksjon, SKF4: Et lyssignal skal vise korrekt signalbilde og gi korrekt informasjon til forriglingsutrustningen om signalets status. Delfunksjoner: 1. Et lyssignal skal vise korrekt signalbilde ut fra gitte betingelser. 2. Et lyssignal skal gi korrekt informasjon til forriglingsutrustningen om signalets status. b) THR for sikkerhetskritisk funksjon, SKF4, skal være lik10-9 feil/time for hele lyssignalet. c) Et lyssignal skal være konstruert for å minimum ha kontroll på følgende farer: • Feilaktig informasjon om signalets status til forriglingsutrustningen. • Feilaktig mindre restriktivt signalbilde. Delfunksjonene tillater ikke feil til sikker tilstand. Punkt C tillater feil til sikker tilstand for signalbildet men ikke for signalets status. Hvorfor definerer vi to helt forskjellige funksjoner som en SKF?
Referansedokumenter

2 Systemdefinisjon

Krav til signalanlegg inneholder flere sikkerhetskritiske funksjoner. De sikkerhetskritiske funksjonene har strenge krav til THR, typisk 10^-9 per time.

Det er ikke nødvendig at disse strenge kravene gjelder for feil som går i sikker retning.

3 Vurdering av endringen

Alle SKFer er gjennomgått for å finne steder der de også omfatter feil som kun reduserer tilgjengeligheten.

3.1 Lyssignal

TRV:04829

Dagens krav:

c) Et lyssignal skal være konstruert for å minimum ha kontroll på følgende farer:

• Feilaktig informasjon om signalets status til forriglingsutrustningen.
• Feilaktig mindre restriktivt signalbilde.

Nytt forslag:

c) Et lyssignal skal være konstruert for å minimum ha kontroll på følgende farer:

• Feilaktig mer restriktiv informasjon om signalets status til forriglingsutrustningen.
• Feilaktig mindre restriktivt signalbilde.

Begrunnelse:

Dersom lyssignalet gir mindre restriktiv informasjon til forriglingsutrustningen er ikke dette sikkerhetskritisk. For eksempel dersom forriglingsutrustningen får beskjed om at det gis kjør-signal for en togvei mens det i virkeligheten gis stopp-beskjed til toget vil dette kun gå ut over tilgjengeligheten ved at andre tog- og skifteveier som er i konflikt med denne vil bli sperret.

3.2 Veisikringsanlegg

3.2.1 Nytt overordnet krav

Veisikringsanlegg er ikke omtalt i Sintef sin rapport om SKF. Disse SKFer er sannsynligvis utarbeidet i Bane NOR uten tilsvarende analyser. Det bør være en overordnet SKF6 som ivaretar veisikringsanlegg.

Forslag til nytt krav:

Et veisikringsanlegg skal ha sikkerhetskritisk funksjon SKF6:

Veisikringsanlegget skal sperre vei over planovergang i tilstrekkelig tid før tog kommer, og til tog har passert/har ankommet (til diskusjon. Det kan argumenteres med at et tog som passerer planovergangen er tilstrekkelig sperring) planovergangen.

Delfunksjoner gitt i SKF_VS1-3

TRV:06137

Dagens krav:

a) Veisikringsanleggets forriglingsutrustning skal ha sikkerhetskritiske funksjon SKF_VS1:

Veisikringsanleggets forriglingsutrustning skal sette korrekte utgangssignaler/sende korrekte data til styrte objekter, gitt korrekte innsignaler/data inn til forriglingsutrustningen.

Delfunksjoner:

• Veisikringsanleggets forriglingsutrustning skal ikke gi mindre restriktive beskjeder til lys og lydsignalene enn det som er tillatt ut fra forutsetningene.
• Veisikringsanleggets forriglingsutrustning skal ikke igangsette veibommenes drivmaskiner uten at betingelsene er oppfylt.

Nytt forslag:

a) Veisikringsanleggets forriglingsutrustning skal ha sikkerhetskritiske funksjon SKF_VS1:

Veisikringsanleggets forriglingsutrustning skal sette korrekte utgangssignaler/sende korrekte data til styrte objekter, gitt korrekte innsignaler/data inn til forriglingsutrustningen.

Delfunksjoner:

• Veisikringsanleggets forriglingsutrustning skal ikke gi mindre restriktive beskjeder til lys og lydsignalene enn det som er tillatt ut fra forutsetningene.
• Veisikringsanleggets forriglingsutrustning skal ikke igangsette veibommenes drivmaskiner for heving av veibom uten at betingelsene er oppfylt.
• Veisikringsanleggets forriglingsutrustning skal ikke sette utgangssignal som viser at planovergangen er sperret når dette ikke er tilfelle.

TRV:06139

Dagens krav:

c) Lyssignal mot vei og tog skal ha sikkerhetskritisk funksjon SKF_VS2:

Et lyssignal skal vise korrekt signalbilde mot vei og tog og gi korrekt informasjon til veisikringsanleggets forriglingsutrustningen om status på lyssignalet.

Delfunksjoner:

• Et lyssignal skal vise korrekt signalbilde mot tog og vei ut fra gitte betingelser.
• Et lyssignal skal gi korrekt informasjon til veisikringsanleggets forriglingsutrustning om status på signalet.

Nytt forslag:

c) Lyssignal mot vei og tog skal ha sikkerhetskritisk funksjon SKF_VS2:

Et lyssignal skal vise korrekt signalbilde mot vei og tog og gi korrekt informasjon til veisikringsanleggets forriglingsutrustningen om status på lyssignalet.

Delfunksjoner:

• Et lyssignal skal ikke vise mindre restriktivt vise korrekt signalbilde mot tog og vei enn det som er tillatt ut fra forutsetningenegitte betingelser.
• Et lyssignal skal ikke gi korrekt feilaktig mer restriktiv informasjon til veisikringsanleggets forriglingsutrustning om status på signalet.

TRV:06141

Dagens krav:

e) Systemet for deteksjon av rullende materiell ved innkobling og utløsning av veisikringsanlegget skal ha sikkerhetskritiske funksjon SKF_VS3:

Et system for togdeteksjon skal detektere et fritt sporavsnitt og gi korrekt informasjon om belagt eller fritt sporavsnitt til veisikringsanleggets forriglingsutrustningen.

Delfunksjoner:

• Et system for togdeteksjon skal sikkert detektere om et sporavsnitt er fritt for tog.
• Et system for togdeteksjon skal gi korrekt informasjon om sporavsnittet er belagt eller fritt til veisikringsanleggets forriglingsutrustning.

Nytt forslag:

e) Systemet for deteksjon av rullende materiell ved innkobling og utløsning av veisikringsanlegget skal ha sikkerhetskritiske funksjon SKF_VS3:

Et system for togdeteksjon skal detektere et fritt sporavsnitt og gi korrekt informasjon om belagt eller fritt sporavsnitt til veisikringsanleggets forriglingsutrustningen.

Delfunksjoner:

• Et system for togdeteksjon skal sikkert detektere om et sporavsnitt er fritt for tog.
• Et system for togdeteksjon skal gi korrekt informasjon om sporavsnittet er belagt eller fritt til veisikringsanleggets forriglingsutrustning.
• Et innkoblingsfelt for et veisikringsanlegg skal sikkert detektere at sporavsnittet blir belagt med tog på vei mot planovergangen.
• Et innkoblingsfelt for et veisikringsanlegg skal gi korrekt informasjon om at et innkoblingsfelt har blitt belagt med tog på vei mot planovergangen.
• Et utløsningsfelt for et veisikringsanlegg skal sikkert detektere at et tog har passert planovergangen.
• Et utløsningsfelt for et veisikringsanlegg skal ikke gi for tidlig informasjon til forriglingsutrustningen om at et tog har passert planovergangen.
• Et utløsningsfelt for et veisikringsanlegg skal ikke gi for sen informasjon til forriglingsutrustningen om at et tog har passert planovergangen.

Begrunnelse: Det er ikke tilstrekkelig at innkoblingsfeltet sikkert detekterer fritt felt. For utløsning kan det oppstå sikkerhetsfeil både hvis utløsningen blir registretrt for tidlig, og hvis den blir registrert for sent (etter at veisikringsanlegget har koblet inn for neste tog).

3.3 R - pålitelighet

Endringen tydeliggjør kravene, men endrer ikke systemenes pålitelighet

3.4 A - tilgjengelighet

Endringen tydeliggjør kravene, men endrer ikke systemets tilgjengelighet

3.5 M - vedlikeholdbarhet

Endringen tydeliggjør kravene, men endrer ikke systemets tilgjengelighet

3.6 S - sikkerhet

Endringen tydeliggjør kravene. Det påvirker ikke systemenes sikkerhet, men kan bidra positivt i analysearbeid.

3.7 L - levetid og kapasitet

Ingen endring

3.8 Ø - økonomi

Ingen merkbar endring

3.9 K - klima og miljø

Ingen endring

4 Innstilling fra fagansvarlig

Endringen tydeliggjør hva som er sikkerhetskritiske funksjoner og hvilke funksjoner som ikke nødvendigvis trenger like høye sikkerhetskrav. Endringen anbefales.

5 Behandling i godkjenningsrådet

5.1 Trafikk

ok--Erik Borgersen (diskusjon) 10. sep. 2024 kl. 07:16 (UTC)

5.2 Prosjekter

OK --Nerbre (diskusjon) 9. sep. 2024 kl. 11:00 (UTC) OK--Jse (diskusjon) 12. sep. 2024 kl. 06:47 (UTC) ok--Magheg (diskusjon) 12. sep. 2024 kl. 07:27 (UTC)

5.3 Infrastruktureier

Ok.--Td (diskusjon) 11. sep. 2024 kl. 12:42 (UTC)

5.4 Teknologi

ok --Christopher Schive (diskusjon) 12. sep. 2024 kl. 13:01 (UTC)

5.5 Konklusjon

Endringen gjennomføres

Hjelpetekst: Husk å endre kategori til \"Endringsartikler til godkjenning\" når forslaget er klart!