Udvalgte udfordringer og Nogle bud på løsninger Erfaringer med CSM af Joakim Böcher Baseret på indlæg holdt 16.11.2016 i IDA Rail
Hvem er han? Svagstrømsingeniør 1981 DSB Bane 1982 Principkontrol, Transmissionssystemer, Cenelec-metoder, Projektleder FST og FELB Banestyrelsen Teknik 1996 Sektionsleder / Normchef Sektionsleder / Signalchef DNV Railways 2000 Sektionsleder jernbane Kursus afholdelse i risikovurdering DSB og Banedanmark Diverse assessment opgaver (ISA), Diverse assistancer til Trafikstyrelsen TÜV SÜD Rail 2013 Diverse AsBo (Lead assessor og fag assessor) Kursus afholdelse i CSM-RA Diverse assistancer til Trafik-, Bygge og Boligstyrelsen (Fx Signalprogrammet) Hjemme Leger med modelbane, have og børnebørn!
Hvad vil han tale om? Tanker om CSM-RA Udvalgte udfordringer Kan man mon få AsBo som medspiller og ikke modspiller? Kan man evt. smidiggøre assessment processen? Hvad vil han ikke tale om? CSM-RA Om det er rimeligt at CSM er et krav i Europæisk og Dansk lovgivning Slide 3
Tanker og påstande om CSM-RA I det følgende opstilles nogle hypoteser og påstande, som måske kan forklare, hvorfor noget er svært Efterfølgende drages nogle slutninger, der evt. kan tillempe processen. F.eks.: Påstand CSM er upræcis Tid bruges på tolkning Min følgeslutning Konsulenter har nok at lave.. Men: Ligesom med ISO 9000 falder det sikkert til ro Slide 4
Påstand 1 1 ERA s CSM-RA arbejdsgruppe har anvendt gængse industri standarder og metoder for risikovurdering til at udforme CSM-RA CSM-RA er bedst egnet til komplekse systemer og det forudsættes at alle brugere er velbevandret i risikoanalyse! System HAZID QUALITATIVE ANALYSIS Judgement QUANTITATIVE ANALYSIS FTA ETA?????? ALARP Benefits Costs Decisions 1. 2. 3......... Criteria RISK ANALYSIS RISK ASSESSMENT RISK MANAGEMENT Slide 5
Min følgeslutning 1 Principielt er det eneste nye anvendelsen af anerkendt praksis og reference systemer som princip - resten er gængs risikoanalyse og risikostyring. Til gengæld: Når det så er et simpelt system og princippet kan bruges kan fareidentifikationen* afgrænses til: a) en verifikation af relevansen af den anerkendte praksis eller af referencesystemet b) en identifikation af afvigelserne fra den anerkendte praksis eller referencesystemet. Og hvad vil det så sige?... * CSM-RA Bilag 1 kapitel 2.2.6 Slide 6
Min følgeslutning 1- fortsat Udføres ikke Udføres Core Hazards Dvs Når systemer ikke er komplekse eller nye bør forslagsstiller have en simpel farelog vægte at lave fareklassifikationen koncentrere sin indsats om de væsentlige farer Og assessor reducere sin forventning til korrekt gennemført risikoanalyse, proces og dokumentation Vurderer klassifikationen og acceptere sædvanlig praksis Begrænse rapporteringen Optimering og forenkling er mulig Slide 7
Påstand 2 CSM s Analyseobjekt tager udgangspunkt i gængse beskrivelser af, hvordan systemdefinitioner er for procesindustrien Ofte vanskeligt at omsætte konteksten fra en procesindustri til en ændring i et jernbanesystem Systemdefinition procesindustri ~ CSM Systemdefinitionen a) en systemmålsætning, f.eks. det tilsigtede formål b) systemfunktioner og -elementer, når dette er relevant (herunder eksempelvis menneskelige, tekniske og operationelle elementer) c) systemafgrænsning, herunder vekselvirkninger med andre systemer d) fysiske (dvs. vekselvirkende systemer) og funktionelle (dvs. funktionelt input og output) grænseflader e) systemmiljøet (f.eks. energi- og varmestrømme, stød, vibrationer, elektromagnetisk interferens, operationel anvendelse) f) eksisterende sikkerhedsforanstaltninger og, efter en iterativ proces, definition af de sikkerhedskrav, der er identificeret i forbindelse med risikovurderingsprocessen g) antagelser med henblik på at afgrænse risikovurderingen Slide 8
Min følgeslutning 2 CSM-RA og dens guides er langt fra tilstrækkelige til at opbygge egnede systemdefinitioner efter. Der skal meget vejledning til (Trafik-, Bygge- og Boligstyrelsen er fx i gang med en omfattende opdatering af vejledningsmaterialet). Skabeloner bruges ofte ukritisk af projekter. I stedet bør systemdefinitioner iterativt vægte mere de elementer, der faktuelt kan lede til ulykker. En enighed om det, vil smidiggøre risikostyringen og assessment kan fokuseres om det essentielle Slide 9
Påstand 3 CSM-RA systemdefinitionen er tilegnet risikostyringen og ikke myndighedsgodkendelsen Systemdefinitionen skal tjene modsat rettede formål, som ikke nødvendigvis er sammenfaldne Fx Skal (burde) anvendes af: Projektledere Leverandører Systemeksperter Designere / projekteringsfolk (Rådgiver) Trafik-, Bygge- og Boligstyrelsen Entreprenører (Udførende) Hazid Risk workshop Beslutningstagere og interessenter AsBo ASR (Assessor Cenelec) Drifts ansvarlige Validatorer Men Slide 10
Der er et dilemma Systemdefinitionen Detaljeret Overordnet og Alment forståelig Slide 11
Det formelle dilemma ved en for overordnet beskrivelse Assessor skal vurdere om fareidentifikation er tilstrækkelig idet: Kap 5.1: assessor har adgang til det samlede evidensgrundlag for anvendelsesegnetheden af risikostyringsprocessen og resultaterne af den. Slide 12
Påstand 3 - fortsat CSM-RA systemdefinitionen er tilegnet risikostyringen og ikke myndighedsgodkendelsen Systemdefinitionen skal tjene modsat rettede formål, som ikke nødvendigvis er sammenfaldne Min følgeslutning Den CSM Systemdefinition, der skal anvendes til myndighedsgodkendelse er som regel ikke egnet som genstand for risikovurderingen. Systemdefinitioner bør lagdeles, så der er et overordnet beskrivende niveau og et niveau anvendt til risikovurderingen. Derved kan systemdefinitionen blive et fælles eje. Assessor kan hurtigt se og vurdere det samme som forslagsstillers organisation Optimering i høj grad mulig Systemdefinition Level 1 Systemdefinition Level 2 Projektledere TBST Beslutningstagere og interessenter (AsBo) Hazid Risk workshop Designere / projekteringsfolk (Rådgiver) Entreprenører (Udførende) AsBo ASR (Assessor Cenelec) Drifts ansvarlige Validatorer Leverandører Systemeksperter Slide 13
Påstand 4 Forslagsstiller antager at der spares penge ved at engagere AsBo så sent som muligt i processen og godkendelsen AsBo skal på kort tid tage stilling til et langt procesforløb og der bliver næsten altid kaos op mod datoer for IBT Involvering af AsBo Tid Aftale Grundlag Risikovurdering Design Risikostyring osv IBT Drift T1 Slide 14
Påstand 4 - fortsat Forslagsstiller antager at der spares penge ved at engagere AsBo så sent som muligt i processen og godkendelsen AsBo skal på kort tid tage stilling til et langt procesforløb og der bliver næsten altid kaos op mod datoer for IBT Involvering af AsBo Tid Aftale Grundlag Risikovurdering Design Risikostyring osv IBT Drift T1 Min følgeslutning Erfaringen viser, at der er langt flere omkostninger knyttet til panik i sidste øjeblik, frem for en løbende engagering, sparing og tilpasning af projektforløbet. ERA forudsætter at AsBo er indblandet løbende særligt for komplekse projekter Det er derfor meget underligt, hvorfor der ikke oftere arbejdes sammen om at nå mål, når AsBo og forslagsstiller har nøjagtig de samme mål? AsBo bør (mis)bruges løbende sådan at alt om risikostyring er afsluttet, og der er fælles fodslag om gennemførelsen af udførslerne og ibrugtagningerne. Optimering i høj grad mulig for at nå de fælles mål Slide 15
Påstand 5 Bevisføringsdelen i CSM er minimalt underbygget, fordi man antager at Safety Case regimet er vel implementeret i Europa Er man ikke vant til Safety Case bevisføring, bruges der meget ekstra tid til påvisningen af, at sikkerhedskrav er opfyldt EN 50126-129 Slide 16
Påstand 5 - fortsat Bevisføringsdelen i CSM er minimalt underbygget, fordi ERA antager at Safety Case regimet er vel implementeret i Europa Er man ikke vant til Safety Case bevisføring, bruges der meget unødig tid til påvisningen af, at sikkerhedskrav er opfyldt Min følgeslutning Andre lande har Safety Case regimet implementeret (også i lovgivningen), men er ikke vel integreret i Danmark. Derfor er påvisningen af, at sikkerhedskrav er opfyldt, ofte vanskeligt. Erfaringen viser, at der altid er diskussion om påvisningen sent i projektet, frem for en løbende egagering, sparing og aftale om påvisningsmetoderne. Derfor bør man gå tidligt i dialog om påvisningsmetoderne fx i sikkerhedsplanen Optimering i høj grad mulig Slide 17
Påstand 6 Forslagsstiller producerer dokumentation kun for at tilfredsstille AsBo og TBST! Der dokumenteres dobbelt så CSM-RA dokumentation lever i et parallelt samfund = Spild af tid og penge Trafikalt grundlag Driftsoplæg Normgrundlag Tegningsgrundlag Anlægsdokumentation Valideringsrapport Kvalitetsplaner Designoplæg Tilsynskontrol plan Udbudsspecifikation Etape / Stadieplaner Verifikations rapporter Oversigtsplaner Risikovurderingsdok. Risikostyringsdok. Sikkerhedsdokumentation Systemdefinition Sikkerhedsplan Farelog Projektorganisation Assessment rapport Sikkerhedskravsspecifikation Dok. Fra ibrugtagning Drejebøger Slide 18
Parallelsamfundet Trafikalt grundlag Driftsoplæg Normgrundlag Tegningsgrundlag Anlægsdokumentation Valideringsrapport Kvalitetsplaner Designoplæg Tilsynskontrol plan Udbudsspecifikation Etape / Stadieplaner Verifikations rapporter Oversigtsplaner Risikovurderingsdok. Risikostyringsdok. Sikkerhedsdokumentation Systemdefinition Sikkerhedsplan Farelog Projektorganisation Assessment rapport Sikkerhedskravsspecifikation Dok. Fra ibrugtagning Drejebøger Slide 19
Integration i samfundet Trafikalt grundlag Driftsoplæg Normgrundlag Tegningsgrundlag Anlægsdokumentation Valideringsrapport Kvalitetsplaner Designoplæg Tilsynskontrol plan Udbudsspecifikation Etape / Stadieplaner Verifikations rapporter Oversigtsplaner Risikovurderingsdok. Risikostyringsdok. Sikkerhedsdokumentation Systemdefinition Sikkerhedsplan Farelog Projektorganisation Assessment rapport Sikkerhedskravsspecifikation Dok. Fra ibrugtagning Drejebøger Slide 20
Påstand 6 Forslagsstiller producerer dokumentation kun for at tilfredsstille AsBo og TBST! Der dokumenteres dobbelt så CSM-RA dokumentation lever i et parallelt samfund = Spild af tid og penge Min følgeslutning Dokumentation skal ikke kun laves til AsBo og TBST men skal integreres og altid være en del af den projektdokumentation der aktivt anvendes Fordi Dokumentation kun til AsBo / TBST er spild af tid og penge. Risiko for at dokumentation er ude af fase og skal opdateres flere steder. Sikkerhedsplanen bør indeholde dokumentationsplanen (ligesom Cenelec foreskriver) Optimering i høj grad mulig Slide 21
Påstand 7 Forslagsstiller glemmer at formidle, hvad det er ved ændringen, der gør at den er signifikant Risikovurderingen er ikke dedikeret det der er væsentligt og assessor bruger unødvendig tid på generelle forhold.? Signifikant ændring = Ændring der går ud over det ens SLS med sikkerhed kan håndtere = Ændringsprojektet har brug for at hjælp til at håndtere risikostyringen* * Citat: Claus René Pedersson Slide 22
a) konsekvens af svigt b) nyskabelser c) ændringens kompleksitet d) overvågning e) reversibilitet f) akkumulation Systemdefinition bør vise det, der gør ændringen signifikant. (her nyskabelsen) ved fx Ny teknik Ny organisation (rådgiver, leverandør, entreprenør, sikkerhedspersonale osv.) Ny metode Ny grænseflade Ny benyttelse osv Slide 23
Påstand 7 Forslagsstiller glemmer at formidle, hvad det er ved ændringen, der gør at den er signifikant Risikovurderingen er ikke dedikeret det der er væsentligt og assessor bruger unødvendig tid på generelle forhold. Min følgeslutning Assessor kender ikke signifikansvurderingen, så der opnås stor fordel ved at videreformidle de egenskaber der gør ændringen signifikant. Fordi Når der er enighed om, hvad der er det essentielle kan assessor fokusere på Hvad er egentlig kritisk - kontra hvad er banalt? Hvad er nyt - kontra hvad er traditionelt og gennemprøvet? Slide 24
Påstand 8 Forslagsstiller vægter ikke at lave en god sikkerhedsplan, der imødegår dobbelt verifikation / assessment / kontrol AsBo / NoBo / DeBo / tilsyn / ISA mv. kommer måske til at lave dobbeltarbejde og det bliver unødvendigt dyrt HZ Log HZ Krav Bevis Design Udførsel Ibrugtagning Drift HZ TSI Design Verifikat ion IBT HZ BN TKP HZ EN ASR VAL NoBo DeBo Tilsyn AsBo ISA x xx TVE Det kan svare sig at gennemtænke hvordan dobbeltarbejde undgås As Built Verifikat ion Slide 25
Påstand 8 Forslagsstiller vægter ikke at lave en god sikkerhedsplan, der imødegår dobbelt verifikation / assessment / kontrol AsBo / NoBo / DeBo / tilsyn / ISA mv. kommer måske til at lave dobbeltarbejde og det bliver unødvendigt dyrt Min følgeslutning Erfaringen viser, at når forslagsstiller fx i sikkerhedsplaner, verifikationsplaner, farelog og AAPP styrer hvilken aktør, der står for hvad i påvisningsfasen, så kan dobbelt assessment/ verifikation undgås. Risikostyringen i farelog er essentiel sådan, at farer der kan lukkes med TSI / NTR også dokumenteres lukket henhold hertil. Når et NoBo alligevel er indblandet kan man overveje om ikke tilsyn mv. skal reduceres tilsvarende. Optimering i høj grad mulig Slide 26
Påstand 9 Forslagsstiller tør ikke udlevere for meget dokumentation da der er frygt for at AsBo bruger unødig tid eller der sker dobbelt verifikation AsBo bliver usikker på, om der reelt foregår en risikostyring og stiller mange flere spørgsmål end nødvendigt. Mulige årsager Farligt hvis AsBo ved for meget, så kan der også findes for mange fejl? Bange for at en ikke kompetent AsBo assesserer alt og bruger unødig tid på det? Har ikke styr på hvad der egentlig dokumenterer risikostyringen? Bange for at dobbelt assessment sker og bruger tid på at argumentere for hvorfor AsBo ikke skal se et dokument? Slide 27
Påstand 9 Forslagsstiller tør ikke udlevere for meget dokumentation da der er frygt for at AsBo bruger unødig tid eller der sker dobbelt assessment AsBo bliver usikker på, om der reelt foregår en risikostyring og stiller mange flere spørgsmål end nødvendigt. Min følgeslutning AsBo skal jo kun tage stilling til om der foregår en sund risikostyring (alias CSM-RA) AsBo bør sammen med forslagsstiller beslutte hvilke dokumenter der viser risikostyringen AsBo tager stikprøver i dokumentationen for at overbevise sig om at risikostyringen virker Kun inkompetence hos enten forslagsstiller eller AsBo leder til unødig vurderinger Påstand 8 om styring af dokumentation via sikkerhedsplan er en god vej frem. Optimering helt sikkert mulig Slide 28
Håber vi ses igen! Tak for opmærksomheden Slide 29