Vejledning i anvendelse af helhedsorienteret risikovurdering. Ved infrastrukturprojekter og tekniske regler for infrastruktur

Transkript

1 Vejledning i anvendelse af Ved infrastrukturprojekter og tekniske regler for infrastruktur

2

3 Vejledning i anvendelse af Indhold Indhold Indhold...3 Forord Vejledningens formål og opbygning Ekspertvurdering af tekniske ændringer Ændringens karakter Ekspertvurdering og kompetencer Signifikant ændring Vejledende skridt i Systemdefinitionen Grænseflader Risikoanalysen fareidentifikation og klassificering Risikoevaluering Helhedsbetragtning af sikkerhed Indførsel af barriere til risikoforøgelser Helhedsbetragtning ift. ændring af godkendte sikkerhedsregler Regler og sikkerhed Ramme for anvendelse af helhedsbetragtninger ved regelændringer Risikovurdering Eksempel på helhedsbetragtning ved regelændring Helhedsbetragtning ift. infrastruktur-projekter Ramme for anvendelse af helhedssyn ved infrastrukturprojekter Eksempel på helhedsbetragtning ved infrastrukturprojekter Risikovurdering...30 Bilag 1: Definitioner...33 Bilag 2: Systemdefinition...35 Bilag 3: Referencesystem...38

4 4 Vejledning i anvendelse af Forord Danmark foretager omfattende investeringer i jernbanen i dette årti. Jernbanen skal vokse, fordi den giver en hurtig og sikker transport og bidrager til et bedre klima. Udfordringen er, jf. strategi 1 om den fælleseuropæiske jernbane, at få mest mulig jernbane for de afsatte midler, samtidigt med at den høje sikkerhed i sin helhed - bevares. En sådan helhedsbetragtning betyder, at der kan lempes på et område/krav imod, at der strammes på et andet. Det kræver dog, at virksomhederne gennem dokumenterer, at alle væsentlige risici i sin helhed er identificeret og imødegået tilstrækkeligt. Denne vejledning gennemgår, hvordan helhedsbetragtninger og de forskellige smetoder kan bruges sammen. Vejledningen retter sig kun mod ændringer i infrastruktur og tekniske sikkerhedsregler for infrastruktur. Men principperne kan også bruges som inspiration ved ændringer mv. af køretøjer (rullende materiel), trafiksikkerhedsregler og andre sikkerhedsrelaterede forhold. Første skridt i anvendelsen af er, at grundprincipperne for er rygmarvs-viden hos de medarbejdere hos infrastrukturforvaltere, der udarbejder de infrastrukturprojekter eller tekniske sikkerhedsregler for infrastruktur, der ansøges om godkendelse af. Vejledningen skal ses om et bidrag hertil. Den gengiver bedste praksis - tilpasset de fælleseuropæiske regler for (CSM for 2 ). Vejledningen udgør således en uddybende forklaring til kravet om, som både findes i Bekendtgørelse nr. 504 af 12. maj 2010 om godkendelse af infrastruktur på jernbaneområdet, 4, stk. 1 punkt 2 og i Forordning nr. 352/2009 om fælles sikkerhedsmetode (CSM for ). Disse to retsakter skal altid følges ved ændringer i infrastrukturen også når infrastrukturforvalteren betragter sikkerheden. Vejledningen beskriver, hvordan en række risici kan håndteres. Der er dog fortsat risikoforhold, som Trafikstyrelsen vil indhente mere viden om, før der udarbejdes vejledninger herom. Det gælder bl.a. håndtering af risici på tværs af persongrupper (passagerer, overkørselstrafikanter osv.). Hvis der opstår behov for at håndtere sådanne risici, kan man tage kontakt til Trafikstyrelsen med henblik på at etablere et pilotprojekt. 1 Den fælleseuropæiske jernbane en strategi for høj sikkerhed og smidig gennemførelse i Danmark, februar 2009, Trafikstyrelsen. 2 Kan findes på

5 5 Vejledning i anvendelse af 1.Vejledningens formål og opbygning Vejledningen har til formål at vise, hvordan man via kan betragte sikkerheden i forhold til ændringer i infrastruktur og tekniske sikkerhedsregler for infrastruktur. Det vil sige, at sikkerhedsniveauet samlet set bliver bevaret ved der lempes på et område mod at der strammes på et andet. Grundprincipperne for en gennemgås i første del af vejledningen. Hvis virksomhederne gennemfører tekniske ændringer, der påvirker sikkerheden, skal risikostyringsprocessen følge de fælles europæiske sikkerhedsmetoder i Forordning 352/2009/EF om fælles sikkerhedsmetode 3 (CSM for ). Dog kun hvis ændringen er signifikant. Hvis ændringen ikke er signifikant, kan virksomhederne bruge egne metoder til at vurdere sikkerheden ved ændringen. CSM for omfatter ikke ændringer i tekniske sikkerhedsregler 4. Ved ændringer af tekniske sikkerhedsregler kan virksomhederne anvende egne metoder til. En omfattende vil ofte være relevant ved større, komplekse regelændringer eller hvis ansøger ønsker at betragte de sikkerhedsmæssige konsekvenser (se kapitel 5). Den anden del af vejledningen specificerer via eksempler, hvordan helhedsbetragtningen kan anvendes i forhold til regelændringer, dispensationer og jernbaneinfrastrukturprojekter. Nedenstående figur gennemgår vejledningens opbygning samt hvilke kapitler, der er relevante i forhold til konkrete problemstillinger i forbindelse med en. Kapitel 2, 3 og 6 omhandler tekniske ændringer i infrastrukturen. De tekniske regler behandles i kapitel 5, mens de øvrige kapitler alene tjener til inspiration. 3 Kan findes på 4 Ændringer i driftsregler, procedurer vil dog fra 2012 være omfattet af Forordningen.

6 6 Vejledning i anvendelse af Kapitel 2 1. Påvirker ændringen sikkerheden? Ja Nej 2. Er ændringen signifikant? Ja Nej Ekspertvurdering Vurderingen dokumenteres og egne metoder til benyttes Kapitel 3 Kapitel 4-6 Uden for denne vejledning 3. Er risikoen acceptabel? Nej Ja 4. Er risikoen acceptabel, hvis der indføres kompenserende tiltag inden for samme fare, ulykke, persongruppe og konsekvens? Nej 5. Er risikoen samlet set acceptabel på tværs af farer, ulykker, persongrupper og konsekvenser? Nej 6. Sikkerhedsniveauet kan ikke samlet set bevares Ja Ja Helhedsorienteret tilgang Risikovurdering ud fra CSM Ingen formelle procedure pt. Kan næppe afgøres af Trafikstyrelsen Vurdering dokumenteres og metoder fra CSM anvendes Der udføres pilotprojekt efter aftale med Trafikstyrelsen Må afgøres på politisk niveau Figur 1: Grafisk præsentation af vejledningens opbygning Trin 1 og 2 (kapitel 2) Når virksomhederne gennemfører ændringer, der kan påvirke sikkerheden, skal de gennemføre en. Risikovurderingen skal indeholde en beskrivelse og vurdering af de eventuelle risici, ændringen medfører - herunder art, alvor og omfang, samt årsagerne til risiciene. Hvis den indledende viser, at ændringen er signifikant, skal virksomhederne følge den risikostyringsproces, der er beskrevet i CSM for. Vurderingen af hvorvidt den ønskede ændring er signifikant, sker på baggrund af en ekspertvurdering efter kriterierne i CSM for 5. Aktuelt kræver alle tekniske ændringer godkendelse i Trafikstyrelsen. Førstkommende revision af bekendtgørelsen om godkendelse infrastruktur i 2011 vil fastsætte mere præcise nedre grænser for godkendelse. Det vil sige en 5 Der er arbejde i gang i Trafikstyrelsen og i Det europæiske jernbaneagentur (ERA) om nærmere definitioner på, hvad en signifikant ændring er.

7 7 Vejledning i anvendelse af beskrivelse af hvilke typer tekniske ændringer, der vil kunne udføres uden Trafikstyrelsens godkendelse. Med den kommende bekendtgørelse vil det være muligt for en virksomhed at benytte sin egen vurdering af en teknisk ændrings signifikans til at afgøre, om det er nødvendigt at ansøge Trafikstyrelsen om godkendelse, som beskrevet i figur 1 ovenfor. Selvom et forhold eksplicit måtte blive undtaget fra godkendelse, skal der under alle omstændigheder foreligge en ekspertvurdering af ændringens karakter, hvor vurderingen indgår som en integreret del af virksomhedens sikkerhedsledelsessystem. Trin 3 (kapitel 3) Tekniske ændringer kan godkendes af Trafikstyrelsen, hvis infrastrukturforvalteren via en kan sandsynliggøre, at risiciene ved ændringen er acceptable i forhold til at opretholde sikkerhedsniveauet. Det gøres enten via anerkendt praksis, referencesystem eller eksplicit. Bemærk, at selvom en virksomhed frit kan vælge mellem den valgte smetode, skal TSI-krav altid overholdes, hvor disse er relevante. Risikovurdering kan således ikke bruges til at slippe for TSI-krav. Trin 4 (kapitel 4-6) Sikkerhedsniveauet skal samlet set bevares. Det betyder, at hvis en lempelse på et område medfører, at visse risici ikke vurderes at være acceptable, skal der indføres kompenserende tiltag indenfor samme fare, ulykkestype, persongruppe (passagerer, medarbejdere, brugere af overkørsler mv.) eller konsekvens. Med andre ord inden for samme ulykkesscenarie. Se et eksempel herpå i eksempelboks 9, kapitel 4. Kapitel 4 fastsætter, hvad der præcist menes med en helhedsbetragtning. Kapitel 5 beskriver, hvordan en sådan helhedsbetragtning kan udføres ved regelændringer på infrastrukturområdet. Kapitel 6 beskriver, hvordan en helhedsbetragtning kan udføres ved infrastrukturprojekter og dispensationer. Trin 5 Vejledningen anviser ikke, hvordan risici og sikkerhedskrav, der retter sig mod en persongruppe (fx passagerer), kan lempes mod, at der sker en skærpelse af sikkerheden rettet mod andre persongrupper (fx brugere af overkørsler). Der har pt. kun været et enkelt pilotprojekt med en sådan helhedsbetragtning. Erfaringsgrundlaget er stadig for spinkelt til at angive generelle procedurer. I tilfælde hvor der i infrastrukturprojekter er øgede risici for en persongruppe (fx passagerer), der ikke meningsfuldt eller økonomisk forsvarligt kan nedbringes, men hvor der kan gøres noget for andre persongrupper (fx overkørselstrafikanter), kan infrastrukturforvalteren søge Trafikstyrelsen om, at ansøgning om godkendelse af ændringen behandles som et pilotprojekt. Trin 6 Trafikstyrelsen kan ikke forventes at godkende projekter, hvor sikkerhedsniveauet samlet set ikke bevares, eller hvor risikoniveauet ikke er acceptabelt for det samlede projekt. Godkendelse af sådanne projekter må evt. afgøres på politisk niveau.

8 8 Vejledning i anvendelse af 2.Ekspertvurdering af tekniske ændringer Hvis en infrastrukturforvalter gennemfører signifikante tekniske ændringer, der påvirker sikkerheden, skal en følge CSM for. Hvis den tekniske ændring ikke er signifikant, skal ændringen stadig risikovurderes. Der kan dog bruges andre metoder end de anviste i CSM for. I bekendtgørelse nr. 13 af 04/01/2007 stilles fx følgende krav om anvendelsen af i infrastruktur-forvalternes sikkerhedsledelsessystem: 11. Infrastrukturforvalteren skal gennemføre en for de aktiviteter der udføres. Risikovurderingen skal indeholde en beskrivelse og vurdering af eventuelle risici, herunder art, alvor og omfang, samt årsagerne til risiciene. 12. På baggrund af en skal der i overensstemmelse med jernbanesikkerhedspolitikken fastlægges kvalitative og kvantitative mål for fastholdelse og forbedring af sikkerheden samt handlingsplaner og fremgangsmåder for opfyldelse af disse mål. Stk. 2. Infrastrukturforvalteren skal sikre, at handlingsplanerne, jf. stk. 1, løbende bliver vedligeholdt Infrastrukturforvalteren skal udforme og vedligeholde procedurer og metoder for er og implementering af risikostyringsforanstaltninger, såfremt en ændring i driftsvilkårene eller nyt materiel indebærer nye risici i relation til infrastrukturen eller driften. Selvom forholdet eksplicit er undtaget fra godkendelse, skal der skriftligt foreligge en ekspertvurdering af ændringens karakter, hvor vurderingen indgår som en integreret del af virksomhedens sikkerhedsledelsessystem. 2.1 Ændringens karakter Hvorvidt den ønskede ændring påvirker sikkerheden signifikant, afgøres af en ekspertvurdering. Formålet hermed er, at man på baggrund heraf fastslår, om ændringen er 1. Sikkerhedsrelateret og, hvis det er tilfældet, 2. Signifikant. 2.2 Ekspertvurdering og kompetencer Ved en ekspertvurdering skal eksperten besidde faglige kompetencer, der er egnede og tilstrækkelige til den situation eller opgave, som den pågældende udfører. Hvorvidt en ekspert er kompetent, kan beskrives som en kombination af viden, færdigheder og praktisk erfaring, som en person skal have for at kunne udføre en bestemt opgave ordentligt. Det inkluderer ikke kun rutineopgaver, men også uventede situationer og ændringer. Vurderingen bør ligeledes udføres i samarbejde med en person, der har et grundigt kendskab til samt de metoder og værktøjer, der benyttes ved.

9 9 Vejledning i anvendelse af Det indebærer, at personen eller teamet, for at kunne udføre en given opgave tilstrækkelig kvalificeret, skal være kompetent både inden for: Det tekniske, driftsmæssige, vedligeholdelsesmæssige og organisatoriske område, som vurderes Den sproces, metoder og værktøjer, som anvendes. Kompetencerne hos de personer, der er med til at udarbejde en, bør dokumenteres i ansøgningsmaterialet. 2.3 Signifikant ændring Ved en ændring i det eksisterende jernbanesystem foretager infrastrukturforvalteren en indledende screening af ændringens betydning for sikkerheden. Screeningen skal sandsynliggøre og dokumentere, at ændringen er sikkerhedsmæssig acceptabel. Såfremt ændringen er signifikant, skal der gennemføres yderligere. Hvorvidt en ændring er signifikant, afgøres af en ekspert efter retningslinjerne i CSM-forordningen: 1. Konsekvens: Hvad er det sandsynlige, værst tænkeligt scenario i tilfælde af, at en ændring gennemføres eller udføres forkert i forhold til det system, der er under betragtning? 2. Nyskabelser, der anvendes til at gennemføre ændringen: Er ændringen i høj grad baseret på nye løsninger (teknologi, metoder, funktion)? Det gælder både for det, der er innovativt for jernbanesektoren og det, som alene er nyt for den organisation, der gennemfører ændringen. 3. Ændringens kompleksitet: Kompleksiteten øges i takt med antallet af: a. involverede fagområder b. stadier, som ændringen implementeres efter c. sikkerhedsmæssige funktioner d. sikkerhedsmæssige egenskaber/parametre e. tekniske grænseflader f. involverede interessenter (kompleks samarbejdssituation) g. kategorier af brugere 4. Overvågning: Manglende evne til at kontrolovervåge den gennemførte ændring i systemets samlede livscyklus og foretage hensigtsmæssige indgreb, før de giver udslag i sikkerhedsmæssige hændelser. 5. Reversibilitet: Manglende evne til at vende tilbage til det oprindelige, som det var før ændringen. 6. Akkumulation: En vurdering af ændringens signifikans under hensyn til alle sikkerheds-relaterede ændringer, som ikke blev anset for signifikante. Mange små ændringer kan resultere i en betydelig risikoforøgelse. En enkelt forøgelse af den maksimale strækningshastighed med 4 km/t kan være ubetydelig. Hvis den maksimale strækningshastighed imidlertid forsat øges trinvist med 4 km/t kan summen af disse forøgelser (vurderet enkeltvis som ubetydelige) blive en væsentlig ændring i forhold til de oprindelige sikkerhedskrav 6. 6 Forordning nr. 352/2009 om fælles sikkerhedsmetode artikel 4.

10 10 Vejledning i anvendelse af 3.Vejledende skridt i I dette kapitel gennemgås de elementer, der indgår i en samt eksempler herpå. Ifølge CSM for er det kun selve ændringen med sine grænseflader, der omfattes af en. Omfanget og brugen af afhænger imidlertid også af, hvilken form for ændring, man ønsker at udføre. Jo større risiko, der er forbundet med et anlæg, desto større krav er der til udførslen af en. Hertil kommer, at der ved indførslen af nye tekniske løsninger, oftest kræves en mere dybdegående analyse end ved modificeringer af eksisterende løsninger. Infrastrukturforvalterne og jernbanevirksomhederne bærer jf. Sikkerhedsdirektivet det fulde ansvar for sikkerheden på deres respektive del af jernbanesystemet. Når det er nødvendigt, skal de jf. CSM for artikel 1.2 samarbejde om at iværksætte risikostyringsforanstaltninger. Tilsvarende er det jf. Sikkerhedsdirektivet myndighedens ansvar at opstille nationale rammer for regulering af sikkerheden og føre tilsyn med virksomhedernes indsats på det sikkerhedsmæssige område. Endeligt er det jf. CSM for artikel 1.2 ansøgers ansvar at involvere og informere relevante interessenter. Det gælder også, hvor en helt eller delvist outsources. For en uddybet gennemgang af henvises til CSM for, dens vejledning og eksempelsamling. Førstenævnte kan findes under lovstof på Trafikstyrelsens hjemmeside, og de to sidstnævnte på ERA s hjemmeside Systemdefinitionen Første skridt i en er at udføre en nøjagtig, fyldestgørende og detaljeret systemdefinition. Indledningsvis specificerer definitionen systemets formål, funktioner, grænseflader samt alle iboende og allerede eksisterende sikkerhedsforanstaltninger. Under de forskellige gentagelser af sprocessen gennemgås og ajourføres definitionen. Endelig identificeres yderligere sikkerhedskrav i risikoanalysen. Systemdefinitionen har til formål at give alle deltagere i udarbejdelsen og vurderingen af analysen det samme veldefinerede billede af systemet, dets anvendelse og vekselvirkning med sine omgivelser - herunder grænseflader. Ofte er en svag eller mangelfuld systemdefinition årsag til, at godkendelsen af et projekt trækker ud. I sagsbehandlingen findes løse ender og underbelyste forhold, 7 Vejledning: Eksempelsamling:

11 11 Vejledning i anvendelse af som ansøger bedes uddybe. Det sker ofte på et sent tidspunkt i projektforløbet, hvilket kan give forsinkelser for ibrugtagning af systemet og dermed for jernbanedriften. Det er især vigtigt at få defineret, hvad der er med og hvad der er undladt i systemet. Dermed kan man sikre at væsentlige forhold, man måske har glemt, kommer med, og at uvæsentlige forhold skilles fra. I bilag 2 kan der ses et eksempel på en systemdefinition. 3.2 Grænseflader En vigtig detalje i er styring af grænseflader. Det gælder fx grænseflader mellem: De forskellige aktører, der er involveret i udvikling og drift af jernbanesystemet Delsystemer Ændringen og resten af systemet Interaktionen mellem det tekniske system og menneskelige operatører samt gældende regelgrundlag (fx TSI er) Sidstnævnte er især vigtigt, når man skal vurdere hvilke farer (se næste afsnit), der er forbundet med den menneskelige faktor (fx i grænsefladen mellem vedligeholdelses-medarbejder, infrastrukturen og resten af jernbanesystemet). Den menneskelige faktor gennemgås yderligere i afsnit Eksempelboks 1: Eksempel på grænseflade mellem aktører Infrastrukturforvalter og fabrikant: Fx kan fabrikantens delsystem være belagt med anvendelsesrestriktioner, som skal overholdes af infrastrukturforvalteren. 3.3 Risikoanalysen fareidentifikation og klassificering Næste skridt i en er udførslen af en risikoanalyse. Det vil sige en identifikation af de farer og tilhørende risici, der er ved ændringen. Fareidentifikation: En fareidentifikation betyder, at ansøgeren på systematisk vis identificerer alle de farer, der med rimelighed kan forudses for den vurderede ændring. En fare vil sige en situation, der kan føre til en ulykke. Systemdefinitionen er afgørende for, hvordan fareidentifikationen udføres. Det rette detaljeringsniveau og fremgangsmåde afhænger fx af årsagen og formålet med ændringen. Ofte nedsættes en gruppe af forskellige typer af brugere og andre med berøring til systemet, der står for fareidentifikationen. Når farerne er blevet identificeret, dokumenteres de i et såkaldt fareregister (hasardlog). Detaljeringsniveau for fareidentifikation: Det påkrævede detaljeringsniveau for fareidentifikation afhænger af den ændring, der vurderes. Det er ikke altid nødvendigt at udvide fareidentifikationen til et dybdegående detaljeniveau, hvor alle underliggende farer (eller årsager) til en overordnet fare identificeres. Fareidentifikationen kan begrænses til en identificering af en kernefare (på engelsk tophazard). Kernefaren er den fare (blandt flere), der i sidste ende udløser

12 12 Vejledning i anvendelse af ulykken. Med andre ord er det den sidste dominobrik, før konsekvenserne indtræffer. Det kan beskrives via et såkaldt butterfly-diagram: Årsagsanalyse konsekvensanalyse Figur 2: Et eksempel på et butterfly-diagram. Bemærk, at i dette diagram er årsager erstattet af farer. Som det ses af butterfly-diagrammet i figur 2, består kernefaren af mange underliggende farer (eller årsager). Deraf navnet kernefare. Kernefaren omfatter alle de bagvedliggende farer, der i samspil med forhold, og mangel på barrierer, kan frembringe en ulykke. Diagrammet afspejler desuden den kompleksitet, man ofte konfronteres med i er. Kernefarer er ikke det samme som selve ulykken. Forskellen er, at kernefaren er det sidste stadie i et hændelsesforløb, før en ulykke kan ske, hvorimod ulykken er selve resultatet af hændelsesforløbet (fx afsporing). Eksempelboks 2: Kernefare Skinnebrud er fx en kernefare. Årsagerne til skinnebrud (underliggende farer) er mange. Fx kan det skyldes materialefejl, fejl i tilstødende spor, manglende vedligeholdelse eller inspektion. Skinnebruddet er dog den direkte årsag til, at ulykken kan ske. Et skinnebrud kan ses som en bombe, der kan gå af hvert øjeblik, men ikke nødvendigvis gør det. Fareidentifikationen kan begrænses til et overordnet niveau, hvis risiciene kan accepteres ved brug af anerkendt praksis eller lignende referencesystem (se afsnit 3.4 herom). Kun hvis der er afvigelser fra den anerkendte praksis eller referencesystemet, er det nødvendigt at udvide fareidentifikationen til et dybere detaljeringsniveau. Ansøger kan altid beslutte, at det er nødvendigt med en mere detaljeret fareidentifikation. En grund hertil kan være, at en mere detaljeret identifikation sandsynligvis kan afdække mere omkostningseffektive, risikorelaterede foranstaltninger. Klassificering af farerne: Under selve fareidentifikationen skal de farer, som deltagerne identificerer, noteres, uden at der bliver gjort de store overvejelser omkring hvilken type fare, der er tale om, og hvor stor en risiko, der er knyttet til den. Når alle farer er identificeret, skal de vurderes af eksperter, for efterfølgende at undgå at spilde ressourcer på farer, som medfører ubetydelige risici. En risiko kan klassificeres som ubetydelig, hvis det kan sandsynliggøres, at risikoen er så lille, at det ikke er praktisk muligt/rimeligt at gennemføre en

13 13 Vejledning i anvendelse af sikkerhedsforanstaltning for at imødegå den. Omvendt betyder det også: Ingen risiko bør accepteres, hvis den er simpel at fjerne. Hvis eksperterne ved overordnede betragtninger kan vurdere, at den risiko, der knytter sig til faren, er ubetydelig, noteres denne i fareregistret og udelades i den videre. Eksperten skal dog sikre, at bidraget fra alle farer ikke tilsammen udgør en uacceptabel risiko. Man skal fx være opmærksom på, at når en fare opdeles i mindre underordnede farer, kan risikoen herved let klassificeret som ubetydelig, hvis de evalueres hver for sig, men som betydelig, hvis de evalueres under ét. Ved at udføre denne analyse (identificeret farer og frasorteret de ubetydelige af dem) fremkommer en liste over de farer, som man skal have kontrol med for at afgøre, om ændringen er acceptabel. 3.4 Risikoevaluering En eller flere af de følgende fremgangsmåder benyttes ved evalueringen af, hvorvidt risikoen for den tiltænkte ændring er acceptabel: a) Anvendelse af anerkendt praksis b) Sammenlignende analyse med tilsvarende dele af jernbanesystemet (referencesystem) c) Eksplicit risikoestimering (kvantitativ eller kvalitativ). Infrastrukturforvalteren har til enhver tid frihed til at vælge den fremgangsmåde, man er bekvem med. De har ligeledes ansvar for, at den benyttes korrekt. Hvis de forskellige fremgangsmåder kombineres, er det vigtigt at holde styr på grænsefladerne imellem dem, således at der ikke opstår huller. Virksomheden skal derfor holde styr på, om kombinationen af metoder imødegår de identificerede farer. Alle tre metoder gennemgås mere uddybende i CSM-forordningens eksempelsamling og vejledning. A) Anerkendt praksis Anerkendt praksis spænder over regler som danske myndighedsregler, godkendte virksomhedsregler, normer og bekendtgørelser til udenlandske regler såsom BOStrab. Man kan anvende anerkendt praksis som en fremgangsmåde til at acceptere de risici, som de identificerede farer udgør. Den anerkendte praksis er i stand til at imødegå faren i tilstrækkelig grad, hvis dens relevans kan verificeres, anvendes på ansøgerens infrastruktur og er dækkende for faren. I nogle tilfælde vil det være obligatorisk at følge anerkendt praksis, fx hvor en ændring er omfattet af TSI-krav eller nationale myndighedsregler. Dækker TSIkravene imidlertid ikke alle relevante grænseflader, skal de udækkede grænseflader håndteres ved anden anerkendt praksis, brug af referencesystem eller eksplicit risikoestimering (se ovenfor). Den anerkendte praksis skal jf. CSM for som minimum: - Være almindeligt anerkendt i jernbanesektoren. Er dette ikke tilfældet, skal den anerkendte praksis begrundes og assessor kunne acceptere den - Have relevans for, at de pågældende farer i det vurderede system holdes under kontrol

14 14 Vejledning i anvendelse af - Være offentlige tilgængelig for alle aktører, som ønsker at benytte den. Nedenfor vises eksempler på anerkendt praksis, der kan benyttes til formålet: Eksempelboks 3: Eksempler på anerkendte praksis, der kan bruges til at styre risici TSI er og obligatoriske europæiske standarder. De skal følges på TEN-nettet Nationale regler (bekendtgørelser, BJ er) Godkendte sikkerhedsregler i virksomhederne Relevante udenlandske regler og normer. Hvis man benytter anerkendt praksis fra forskellige regelsæt fx kombinerer TSIkrav og godkendte sikkerhedsregler - er det vigtigt at holde styr på grænsefladerne mellem dem. Det skal fx vurderes, om kombinationen imødegår de identificerede farer, eller om der opstår huller. Nedenfor ses et eksempel udarbejdet af CER på anvendelsen af anerkendte regler til at afgøre om en risiko er acceptabel 8 : Eksempelboks 4: Anvendelsen af anerkendte regler i et infrastrukturprojekt Emne: Der er en risiko for, at folk kommer til skade på en perron, hvis den ikke er bred nok. Den kan fx blive overbefolket. Imidlertid er det omkostningsfuldt at bygge bredere perroner. Tilgang: I første omgang er det vigtigt at estimere det maksimale antal mennesker, der bruger perronen. Både i en normal situation, unormale situationer - som fx ved forsinkelser og under evakuering. Eksperterne, der er ansvarlige for denne vurdering, trækker på erfaringer fra passagertællinger, andre perroner og evakueringer. Konklusion: Bredden på en perron er etableret på baggrund af lang erfaring fra jernbaner i drift. Denne erfaring er kodificeret i en standard/krav, der er godkendt af jernbanesektoren. Risikoen er acceptabel, hvis perronen imødekommer dette krav. Hvis den anerkendte praksis ikke er mulig eller hensigtsmæssig at anvende til at imødegå alle farer, skal der identificeres andre sikkerhedsforanstaltninger ved at bruge en af de to andre risikoacceptmetoder. En anerkendt regel vil ofte men behøver ikke nødvendigvis - være dansk eller udviklet i Danmark. Benyttes anerkendte regler/praksis fra beslægtede lande, skal der foretages en vurdering af, at disse regler dækker de samme risici og i øvrigt kan anvendes på samme betingelser på den danske jernbane. Fx at betingelserne svarer til danske trafikmængder, vægtbelastninger og hastigheder. Man skal her være yderst opmærksom på grænsefladerne i forhold til den benyttede anerkendte praksis. Hvis en anerkendt praksis fra udlandet afdækker de samme risici, som de tilsvarende danske regler, men på et andet niveau, skal forslagsstilleren gøre sig overvejelser om, hvorvidt der derved mistes sikkerhed af betydning. Det kan fx gøres ved at anvende risikoanalyser samt ulykkes- og hændelsesdata fra det/de beslægtede lande sammenholdt med danske data. 8 Eksemplet er taget fra CERs eksempelsamling på, hvordan at de tre principper i CSM kan benyttes. Det skal bruges til at vise beslutningsprocessen, når man anvender anerkendte regler. Det viser ikke hvilke krav man skal opfylde, når man bygger en perron.

15 15 Vejledning i anvendelse af B) Sammenligning med et eksisterende system Hvis anerkendt praksis ikke vurderes at være tilgængelig, anvendelig eller ønskværdig, kan et sammenligneligt eksisterende system (et såkaldt referencesystem) benyttes til vurdering og håndtering af risici. Det kan fx være i projekter med usammenhængende eller delvise regelgrundlag, eller hvor regelgrundlaget ikke længere vurderes at være tidssvarende ift. nyere erfaringer fra ind- og udland. For at det er relevant at lave denne sammenligning, skal det nye system og referencesystemet tilnærmelsesvis have: a. Samme funktion, b. Samme betjening, c. Identiske grænseflader mod andre systemer, d. Samme omgivelsesbetingelser (miljø). Kriteriet er, at sikkerheden mindst skal være lige så høj som i referencesystemet 9. Det er generelt målet at opretholde sikkerheden, men ikke nødvendigvis at øge den, hvis det vil være økonomisk bebyrdende for ansøgerne. Man kan dermed ved at sammenligne med systemet fastsætte om risikoen er acceptabel. Et referencesystem kan bruges på flere forskellige måder. For det første en mere kvalitativ tilgang hvor hele eller dele af systemets kravgrundlag genbruges. For det andet kan man udlede kvantitative sikkerhedskrav fra systemet. Der vises et eksempel på førstnævnte i eksempelboks 19 kapitel 6 og på sidstnævnte i bilag 3. Et referencesystem har den fordel, at det via den praktiske drift er bevist, at sikkerheden er acceptabel. Sammenstillet med den risikoanalyse, der er udført for referencesystemet, kan det vises, at de bagvedliggende regler i sig selv og i deres samspil repræsenterer en tilfredsstillende sikkerhed. Brug af referencesystem kræver en grundig systemdefinition. Det gælder både ift. det system, der skal ændres, og systemet der benyttes som reference. Referencesystemer kan findes andre steder i Danmark eller i andre lande, hvor sikkerhedsniveauet er tilsvarende det danske. Fx Tyskland, Sverige, Storbritannien, Frankrig, Holland og Norge. C) Eksplicit risikoestimering: Hvis farerne ikke er praktisk mulige at dække ind ved enten anerkendt praksis eller referencesystem, kan man med en eksplicit påvise, at risikoen ved ændringen er acceptabel. En eksplicit risikoestimering kan også være hensigtsmæssig som supplement, hvis bevisførelsen ved brug af de to øvrige metoder ikke er fuldstændig. En eksplicit er en proces, som benyttes til at kvantificere niveauet for de risici, der analyseres. Vurderingen består af følgende trin: Vurdering af frekvens (f) Konsekvensanalyse (k) 9 Dette princip er i fransk tradition benævnt GAME (Globalement Aussi Moin Equivalente): Samlet set mindst lige så godt/sikkert.

16 16 Vejledning i anvendelse af Deres indbyrdes samspil (f * k) Risikovurdering kan ske kvantitativt eller kvalitativt. Et fællestræk er, at konsekvenstyper og frekvens arrangeres i en matrice som i figur 3, hvor der opstilles acceptkriterier for de forskellige typer ulykker - ofte udformet med intervaller for ubetydelige, acceptable, uønskede og uacceptable risici. Frekvens Risikomatrice Mere end en gang pr år Uacceptabel Uacceptabel Uacceptabel Uacceptabel En gang pr 1-10 år Uønsket Uacceptabel Uacceptabel Uacceptabel En gang pr år Acceptabel Uønsket Uacceptabel Uacceptabel En gang pr år Ubetydelig Acceptabel Uønsket Uacceptabel Mindre end 1 gang pr 1000 år Ubetydelig Ubetydelig Acceptabel Uønsket Konsekvens Lille Marginal Kritisk (stor skade/dødsfald) Figur 3: Eksempel på en risikomatrice ud fra ALARP (ikke kalibreret) Hvis det vurderes, at risikoen er: Katastrofalt (flere dødsfald) Uacceptabel, skal den altid reduceres. Det gøres ved at indføre sikkerhedsforanstaltninger (også kaldt barrierer), der reducerer risikoen Uønsket, skal den reduceres, med mindre der foreligger tungtvejende praktiske eller økonomiske grunde til ikke at gøre det Acceptabel, skal den reduceres, hvis det er økonomisk forsvarligt Ubetydelig, er det ikke nødvendigt at reducere den yderligere. Det skal altid tjekkes, at bidraget fra alle farer ikke tilsammen udgør en uacceptabel risiko. Man skal fx være opmærksom på, at når en fare opdeles i mindre underordnede farer, kan risikoen herved let blive klassificeres som ubetydelig, fordi de evalueres hver for sig, mens den vil være betydelig ved en evaluering under ét. Nedenfor vises et eksempel i forhold til infrastrukturprojekter med brug af kvantitativ til at afgøre, om en risiko er acceptabel. Eksempelboks 5: Anvendelsen af kvantitativ analyse Risikovurderingen for Baneprojekt X baserer sig på en matrix, der angiver kritikaliteten af en given fare baseret på konsekvensen og frekvensen. Matrixens indhold bestemmes med baggrund i de valgte konsekvens- og frekvensklasser, således at acceptniveauet stemmer overens med det niveau, der var realiseret på jernbanen før gennemførelsen af projektet. Nedenfor er vist de anvendte konsekvensog frekvensklasser. Tabel: Frekvensklasser Konsekvensklasser Beskrivelse Lille betydning Mulige mindre personskader og/eller måske skader på infrastruktur, materiel og/eller omgivelser Marginal betydning Personskader og/eller skader på infrastruktur, materiel og/eller omgivelser. Kritisk Enkelte døde og/eller alvorlige skader på infrastruktur, materiel og/eller omgivelser. Katastrofal Mange døde og/eller omfattende skader på infrastruktur, materiel og/eller omgivelser.

17 17 Vejledning i anvendelse af Tabel: Frekvensklasser: Frekvensklasse > 30 pr. år Hyppigt 3-30 pr. år Ofte 0,3-3 pr. år Af og til 0,03-0,3 pr. år Sjældent 0,003-0,03 pr. år Ikke særligt sandsynligt 3*10-4 0,003 pr. år Usandsynligt 3* -5 3*10-4 pr. år Meget usandsynligt 3*10-6 3*10-5 pr. år Ekstremt usandsynligt < 3*10-6 Med udgangspunkt i henholdsvis konsekvens- og frekvensklasserne udarbejdes følgende risikomatrix: Frekvens Lille betydning Marginal betydning Kritisk Katastrofal Hyppigt Uacceptabel Uacceptabel Uacceptabel Uacceptabel Ofte Uacceptabel Uacceptabel Uacceptabel Uacceptabel Af og til Uønsket Uacceptabel Uacceptabel Uacceptabel Sjældent Uønsket Uønsket Uacceptabel Uacceptabel Ikke særligt Acceptabel Uønsket Uønsket Uacceptabel sandsynligt Usandsynligt Ubetydelig Acceptabel Uønsket Uønsket Meget Ubetydelig Ubetydelig Acceptabel Uønsket usandsynligt Y Ekstremt Ubetydelig Uden betydning Ubetydelig Z Acceptabel X usandsynligt Ubetydelig Ubetydelig Ubetydelig Ubetydelig Matrixen tager udgangspunkt i en samlet hyppighed af dødsfald blandt passagerer, togpersonale og vejtrafikanter, der krydser banen på 0,04 omkomne pr år for strækningen mellem A og B. Tallet dækker passagerer og banens personale. Der er ingen overkørsler i niveau på strækningen. Tallet er baseret på en trafik på 150 millioner passager km/år (totalsnittrafik 2001) og 1,5 millioner tog km/år (køreplan 2007). Endvidere anvendes en hyppighed af dødsfald blandt togpassagerer på 0, pr passager km og 0, pr tog km for togpersonale (baseret på oplysninger fra Statistikbanken for hele Danmark i perioden ). Risikoniveauet bestemmes for hver kombination af konsekvensklasse og frekvensklasse. Hermed afgøres om en fare er acceptabel eller ikke. Den samlede vurdering af risikoen ved en fare svarer til det alvorligste risikoniveau. Nedenfor er angivet tre eksempler til illustration af anvendelsen af risikomatrixen: 1. Kollision mellem tog og bro vurderes (forudsat ledeskinner eller lav hastighed) at være ekstremt usandsynligt, men med katastrofale konsekvenser. Risikoen er i kategorien acceptabel (X). 2. Vejrforhold forårsager nedsat bremseevne af tog, der kører til perron, således at det kører forbi signal, der viser stop. Forbikørslen fører til afsporing eller kollision med andet tog. Hændelsen vurderes at være meget usandsynlig, men med kritiske konsekvenser. Risikoen er i kategorien acceptabel (Y).

18 18 Vejledning i anvendelse af 3. Nedsat sigt fører til signalforbikørsel med efterfølgende afsporing eller kollision med andet tog. Hændelsen vurderes at være ekstremt usandsynlig, idet der er ATC på strækningen. Konsekvensen vurderes at være kritisk. Risikoen er i kategorien ubetydelig (Z). En kvalitativ, eksplicit anvender typisk en barriereanalyse. Alvorlige risici med potentielt katastrofale konsekvenser (mange dødsfald) imødegås typisk med fysiske barrierer (fx anlæg) eller tekniske barrierer (fx sikring). Mindre risici med mindre alvorlige konsekvenser (enkelte tilskadekomne og materielskade) kan typisk imødegås alene med organisatoriske eller kompetencemæssige barrierer for ulykker. I midterfeltet hvor der kan være risiko for enkeltstående dødsfald eller større materielskade kan forskellige barrierer anvendes. I kvalitative analyser kan der ofte ikke sættes et tal på risicienes størrelse. Det vil sige, præcist hvor ofte ulykken kan forventes at ske (frekvens) og konsekvensen heraf. Men det vil være muligt med baggrund i eksperters erfaring at angive de identificerede risicis indbyrdes hierarki, og hvordan de håndteres med en tilsvarende klassifikation af barrierer. Ved en kvantitativ, eksplicit opstilles et måltal for maksimalt accepterede dødsfald/kvæstede. Disse måltal kan igen underopdeles på persongrupper, risikostørrelser mv., hvorefter beregningen udføres. Trafikstyrelsen vil på kort sigt ikke opstille kvantitative risikoacceptkriterier. I stedet vil styrelsen lægge sig i kølvandet på det fælleseuropæiske udviklingsarbejde på området. Det er der flere grunde til: For det første tager langt de fleste projekter udgangspunkt i anerkendte regler eller referencesystemer, til tider med kvantitative beregninger som supplerende støtte til at lukke specifikke farer. For det andet er der store usikkerheder forbundet med at regne på risici med ekstrem lav hyppighed. Så længe der ikke kan beregnes på det samlede europæiske jernbanesystem, kan danske data som regel ikke understøtte valide beregninger på delsystemer. Der er sat et måltal for den samlede danske jernbanesikkerhed, som omfanget af dræbte/kvæstede ikke må overstige. Målet er på max 0,3 dræbte og alvorlige kvæstede pr. mio. tog-km 10. Tallet er baseret på det faktiske realiserede sikkerhedsniveau i 2004, hvor Sikkerhedsdirektivet trådte i kraft. Dette måltal bliver justeret, når datagrundlaget er blevet harmoniseret på EU-niveau. 10 Tallet er genstand for justering i takt med at beregningsgrundlaget raffineres og data bliver bedre.

19 19 Vejledning i anvendelse af 4. Helhedsbetragtning af sikkerhed Ændringer i jernbanesystemet og regelændringer kan normalt godkendes, hvis sikkerheden bevares. Dette er imidlertid ikke ensbetydende med, at sikkerhedsniveauet for infrastrukturprojekter, eller de regler, der indstilles til godkendelse (fx en banenorm) skal bevares for hvert enkelt forhold/krav i projektet/regelkomplekset. Niveauet anskues ud fra en helhedsbetragtning som resultatet af de samlede sikkerhedsbærende forhold, som delsystemet/regelkomplekset omfatter. Sådanne samlede betragtninger betyder, at: 1. Hvis der ved et infrastrukturprojekt eller i et regelkompleks (fx en banenorm) indføres nye barrierer/krav fx nye teknologiske løsninger - og det kan sandsynliggøres, at de reducerer risikoen ved eksisterende fare, da bør det overvejes om hidtidige barrierer helt eller delvist kan reduceres eller undlades. Eksempelboks 6: Indførsel af risikoreducerende tiltag Når man indfører et ny signalsystem på en strækning, kan det betyde, at man reducerer risiciene på strækningen fx ved at systemet er mere fejlsikret. Tidligere sikkerhedsforanstaltninger kan i den forbindelse blive overflødige. Ved indførslen af systemet kan der ligeledes opstå nye risici - fx ved at udstyret i det eksisterende rullende materiel ikke passer til det nye signalsystem. I en ses der på både risikoreduktioner og - forøgelser og det evalueres, hvorvidt sikkerhedsniveauet bevares. 2. Hvis en ændring medfører en væsentlig risikoforøgelse bør der indføres en barriere, der reducerer risikoen, så sikkerhedsniveauet bevares samlet set for det infrastruktur-projekt eller for de regler, der ansøges om godkendelse af. Eksempelboks 7: Eksempel på risikoreducerende tiltag Risikoreducerende tiltag kan være skærpelsen af krav, der fungerer som en barriere mod at en bestemt fare fører til en ulykke. Det kan fx være krav om øget måle-/eftersyn-/kontrolfrekvens. Eksempel: Ved en hastighedsopgradering øges risikoen for afsporing med efterfølgende kollision med vejbro til følge. Det skyldes, at konsekvensen af denne type ulykke forøges som funktion af hastighed. I UIC listes forskellige risikoreducerende tiltag, der kan minimere konsekvenser ved kollision med en genstand fx:

20 20 Vejledning i anvendelse af Ved vurdering af risikoforøgelser bør man operere i to dimensioner: Det absolutte niveau for risikoen Størrelsen på forøgelsen af risikoen. Hvis risikoniveauet absolut set er lavt, kan der ved ændringer lettere tillades risikoforøgelser. Hvis risikoniveauet for det absolutte niveau er højt, kan der normalt ikke accepteres forøgelser. Det er derudover nødvendigt at få overblik over hele systemets risikoniveau. Dette for at undgå, at der kun fokuseres på sikkerheden for en begrænset del af systemet, mens andre, og måske mere væsentlige risici, overses (suboptimering). 4.1 Indførsel af barriere til risikoforøgelser Når man vil identificere foranstaltninger til at holde styr på farer og kompensere for risikoforøgelser, er det en god idé at arbejde med barrierer. Sammenhængen mellem barrierer, farer og ulykker/konsekvenser kan operationaliseres via ulykkescenarier. Til at bygge ulykkesscenarier bruges et antal byggeklodser: Figur 4: Byggeklodser til et ulykkesscenario Barrierer (m.a.o. sikkerhedsforanstaltninger): Ved en barriere forstås en sikkerheds-foranstaltning eller et andet forhold, som kan hæmme eller standse et givent uheldsforløb. De mindsker enten den relative hyppighed af en fare, eller afbøder dens konsekvens med henblik på at opnå eller bibeholde et acceptabelt risikoniveau. Barrierer skal opfylde visse krav til funktion, dækningsgrad, pålidelighed og indbyrdes uafhængighed. Man kan indføre en barriere, der er i stand til at: Mindske risikoen ved at forebygge forekomsten af faren eller årsager hertil (forebyggende), eller hindre farer i at udvikle sig til ulykker eller reducere konsekvensen heraf Af hensyn til driften er forebyggelse af årsager generelt at fortrække.

21 21 Vejledning i anvendelse af Visse barriere kan ikke stå alene for at hæmme eller standse ulykkescenariets videre forløb. Fx er tilstedeværelsen af en funktionsdygtig alarm i sig selv ikke tilstrækkelig. Der skal være personale tilstede der ved, hvordan den aktiveres og/eller hvordan, der skal reageres. Det er kun ved svigt af samtlige barrierer, at der er mulighed for, at uheldet fører til den alvorligste konsekvens. Fare (hasard): En situation eller tilstand, der kan føre til en ulykke. Omtales til tider som en tikkende bombe. En fare har årsager, ofte flere årsager Den kan lede til en eller flere hændelser Hændelserne er bestemt af omstændighederne efter, at faren er indtruffet Hændelserne kan lede til ulykker (hændelser med skade) og deraf følgende konsekvenser (omfanget af skaden). En fare kan fx være skinnebrud 11, Skinnebrud har mange årsager som fx materialefejl, manglende vedligeholdelse, udmattelse af skinnemateriale etc. Skinnebrud kan lede til afsporing, hvis fejlen ikke opdages og afhjælpes Afsporingen kan føre til skade på infrastruktur, togvogne og passagerer, hvis togene vælter Hvis afsporingen fører til kollision med mødende tog kan adskillige passagerer dræbes. Konsekvens: Betegner de mulige udfald af en ulykke - fx tilskadekomne, døde, forurening, materiel havari osv. Ulykke (UL): Det som en fare kan lede til - fx afsporing med høj fart, fald på perron, forrude smadret, personpåkørsel, sammenstød. Byggeklodserne kan nu sættes sammen i et hændelsesforløb. Figur 5: Barrierer kan placeres på tre steder i et ulykkesscenario Nedenstående eksempel viser via et ulykkesscenarie et eksempel på, hvordan sikkerheds-niveauet - samlet set - bevares ved at bytte en forebyggende barriere (b1) ud med en konsekvensreducerende barriere (b2): 11 Ved skinnebrud forstås enhver skinne, som er gået i to eller flere stykker, eller enhver skinne, hvorfra der løsriver sig et stykke metal, der efterlader et hul på mere end 40 mm længde og mere end 10 mm dybde på kørefladen jf. Vejledning til indberetning og registrering af ulykker, forløbere til ulykker og sikkerhedsmæssige uregelmæssigheder, Trafikstyrelsen 2010.

22 22 Vejledning i anvendelse af Eksempelboks 8: Helhedssyn ved dispensation Dispensation hvor en forebyggende barriere byttes ud med en konsekvensreducerende: Risikoforøgelse: Afstandskravet fra centerlinje spor til mellemunderstøtning i banenorm BN benyttes ikke som barriere ved øget hastighed til at hindre kollision mellem afsporet tog og brounderstøtning (ulykke). Konsekvensreducerende barriere: Broens fundamenter og elevatorskaktfundamentet forstærket, så de sammen med perronen fungerer som en fenderkonstruktion. I forhold til figur 6 byttes B1, der forhindrer selve ulykken, ud med B2, der mindsker konsekvensen af ulykken. Figur 6: Barrierer kan placeres flere steder i et ulykkesscenario Endelig er det vigtigt at holde sig for øje, at en betragtning på sikkerhed ikke betyder: At en risikoforøgelse kan accepteres ud fra et løfte om, at man i fremtiden vil reducere andre risici. At en tidligere undladelse af opfyldelse af regler i sig selv kan begrunde en lempelse af reglen At man kan undlade at opfylde de gældende fælleseuropæiske krav om interoperabilitet (TSI er) på TEN-nettet.

23 23 Vejledning i anvendelse af 5. Helhedsbetragtning ift. ændring af godkendte sikkerhedsregler Dette kapitel omhandler de situationer, hvor infrastrukturforvalteren ved en ændring af egne sikkerhedsregler ønsker at betragte sikkerheden. Det vil sige, at sikkerheds-niveauet ved en regelændring samlet set bevares, ved at nogle krav lempes imod at andre strammes. Vejledningen retter sig ikke eksplicit mod godkendelse af tekniske sikkerhedsregler for rullende materiel eller virksomhedernes trafiksikkerhedsregler. Vejledningen vurderes dog at kunne bruges som inspiration ved ønske om at foretage en af ændringer i disse regeltyper. Trafikstyrelsen godkender efter Lov om jernbane ændringer i infrastrukturforvalternes tekniske sikkerhedsregler efter indstilling fra disse ( 21 j, stk. 1 i Lovbekendtgørelse nr af 11/11/2010). Ved ændringer forstås jf. lovens bemærkninger: 1. Tilføjelse af helt nye sikkerhedsregler 2. Ophævelse af eksisterende sikkerhedsregler 3. Ændringer af eksisterende sikkerhedsregler 4. Dispensationer fra eksisterende sikkerhedsregler. Dette kapitel gennemgår kun anvendelsen af helhedssynet ved regelændringer i punkt 3. Det gennemgås inden for hvilke rammer, man kan stramme og lempe samt giver et praktisk eksempel herpå. Derudover gennemgås hvilke dele af systematikken i, der kan benyttes ved sådanne ændringer Regler og sikkerhed Regler er en form for komprimeret viden. Der findes forskellige måder at udforme regler. En del regler specificerer funktionskrav. Det vil sige, hvad der skal opnås, men ikke hvordan. Andre regler fastsætter en specifik teknisk løsning, fx befæstelser skal være enten type a, b, c etc.. Regler for jernbanen hænger sammen i regelsæt. Det vil sige samlinger af regler. Det kan derfor være svært at vurdere en enkelt regel uden at se den i sin sammenhæng. Et regelsæt er ofte opdelt i fagområder og dertilhørende underområder. Fx retter visse regler sig til organisation (krav om kompetence), trafikale regler retter sig til drift af systemet og tekniske regler retter sig til rullende materiel og infrastruktur. De regler, som direkte retter sig mod sikkerhed, benævnes sikkerhedsregler. Det er ofte krav som fx maksimal hastighed, hvordan signaler skal forstås og vedligeholdsintervaller. Sikkerhed er en indbygget egenskab i systemet, og det kan derfor være svært at afgøre, hvilke regler som præcist er de sikkerhedsbærende Ramme for anvendelse af helhedsbetragtninger ved regelændringer Ved regelændringer, hvor man ønsker at lempe i et krav mod at stramme i et andet, vil normalt foregå inden for samme delsystem eller dele af delsystemet (fagområde/underområde) og i forhold til samme fare, ulykke og persongruppe.

24 24 Vejledning i anvendelse af Det skyldes, at det almengyldige aspekt er af afgørende betydning, når der ændres i regler, der ikke alene skal anvendes på en bestemt lokalitet eller strækning, men på hele eller store dele af ansøgerens infrastruktur. Eksempelboks 9: Begrænsning for anvendelsen af helhedssyn ift. regelændringer Der kan ikke i en regel lempes generelt på kravene til sporbeliggenhed under henvisning til at krav til sporafstand skærpes. Det skyldes, at der ikke på alle strækninger, hvor reglen benyttes, findes et andet spor i nærheden, hvortil afstanden kan øges. Denne vejledning behandler ikke spørgsmålet om, hvordan man kan lempe et sikkerhedskrav, der retter sig imod en persongruppe (fx passagerer) eller ulykkestype (afsporing) mod at skærpe et krav rettet mod andre persongrupper (fx brugere af overkørsler) eller ulykkestype (ulykker i jernbaneoverkørsler). Ønsket om at lempe/stramme sikkerhedskrav på tværs af persongrupper/ulykkestyper må efter aftale med Trafikstyrelsen behandles som pilotprojekter Risikovurdering I dette afsnit gennemgås hvilke elementer i en, der er relevante ved regelændringer. Især ved lempelse af nogle krav mod at der strammes i andre Grundig definition af de regler, der skal ændres Når man ønsker at ændre i nogle bestemte regler, er en grundig definition af ændringen og de regler, der skal ændres, relevant. Følgende temaer er relevante i en sådan definition: 1. Hvilke regler ønskes ophævet? Indført eller ændret? 2. Hvori består ændringen? Hvilke ændringer foretages? 3. Sporbarhed fra gamle regler til nye 4. Vedrører ansøgningen nogen bestemmelser, der flere gange er blevet dispenseret fra? 5. Er erfaringer, præcedens mv. fra dispensationssager relevante for den ansøgte regelændring? 6. Årsag og formål med ændringen. Eksempelboks 10: Hvad er årsagen til ændringen? Ansøgningen kan være initieret af: Reglen vurderes som forældet eller økonomisk belastende i forhold til andre ønskede løsninger (fx ny teknologi, erfaringer fra beslægtede lande) Havarikommissionens rekommandationer Påbud/afvigelser ved tilsyn Grænseflader Det er ligeledes relevant at se på grænseflader, når man ændrer i regler. Det kan være i forhold til andre regler. Fx: Er den ønskede ændring i modstrid med andre gældende regler (både myndigheds- og virksomhedsregler)? Grænseflader til TSI er og anden anerkendt praksis