Vejledning i signifikansvurdering Vurdering af sikkerheden ved fornyelse og opgradering af jernbanesystemer 13. januar 2012
3 Vejledning i signifikansvurdering Indhold Indhold 1 Indledning 5 1.1 Indledning 5 1.2 Indhold 5 2 Formål med signifikansvurderingen 7 2.1 Formål med signifikansvurderingen 7 3 Fremgangsmåde ved ændringer 9 3.1 Fremgangsmåde ved ændringer 9 4 Signifikansvurderingen 11 4.1 Signifikansvurderingen 11 4.2 Signifikansvurderingen - indhold 12 4.3 Vurdering af om ændringen er signifikant 16
5 Vejledning i signifikansvurdering Indledning 1 Indledning 1.1 Indledning Trafikstyrelsens vejledning i signifikansvurdering anvendes, når der foretages ændringer i jernbaneinfrastruktur og køretøjer på jernbaneområdet. Signifikansvurderingen skal foretages hver gang, der skal gennemføres en ændring i jernbanesystemet, som kan påvirke sikkerheden. Vurderingen betragtes som en indledende konsekvensanalyse. Resultatet af signifikansvurderingen afgør, hvilken metode, der skal benyttes til at håndtere ændringen. Når ændringen er sikkerhedsmæssigt signifikant, dvs. betydningsfuld, skal forordningen om risikovurdering (CSM RA) 1 anvendes. Ændringer der ikke er signifikante håndterer virksomheden selv ved brug af egne procedurer og risikovurderingsmetoder. 1.2 Indhold Omdrejningspunktet i vejledningen er vurderingen af, om en ændring i et teknisk system er signifikant. Vejledningen har sit fokus på tekniske systemer, men principperne kan ligeledes anvendes til ændringer i drift og organisation. Kravet om vurdering af om en ændring er signifikant, er fastsat i CSM RA 2 artikel 4, stk. 1 og 2, og fremgår også af bekendtgørelserne om ibrugtagning af infrastruktur og godkendelse af køretøjer jf. bekendtgørelserne på området 3. Kravet omfatter ikke veteranbaner og firmaspor. Indhold i vejledningen: Indledning Formål med signifikansvurderingen Fremgangsmåde ved ændringer Signifikansvurderingen Trafikstyrelsen vil i starten af 2012 offentliggøre et konkret eksempel på signifikansvurderinger for infrastrukturområdet. 1 Se Kommissionens forordning (EF) nr. 352/2009 om vedtagelse af en fælles sikkerhedsmetode med hensyn til risikoevaluering og -vurdering som anført i artikel 6, stk. 3, litra a). Se også vejledning i anvendelse af Kommissionens forordning udgivet af Det Europæiske Jernbaneagentur (ERA), Version 1.1 af 06/01/2009 og tilhørende eksempelsamling. 2 I CSM RA benævnes signifikansvurderingen som en ekspertvurdering. 3 Se bekendtgørelse nr. 1030 af 7. november 2011, om godkendelse af køretøjer på jernbaneområdet og bekendtgørelse nr. 1031 af 7. november 2011, om ibrugtagningstilladelse delsystemer i jernbaneinfrastrukturen.
7 Vejledning i signifikansvurdering Formål med signifikansvurderingen 2 Formål med signifikansvurderingen 2.1 Formål med signifikansvurderingen Signifikansvurderingen skal udføres i den indledende fase af et ændringsprojekt. Det er en metode til at vurdere, om der er sikkerhedsmæssige aspekter, af en sådan betydning, så det skal håndteres eller undersøges yderligere. Formålet med signifikansvurderingen er: at man ved indledningen af et ændringsprojekt afgør om en ændring er sikkerhedsmæssig signifikant. Signifikansvurderingen kan betragtes som en indledende konsekvensanalyse, der afgør om en ændring er signifikant men ikke hvor signifikant! Dette afklares først i en efterfølgende risikovurdering. Såfremt ændringen er signifikant, skal risikostyringsprocessen i CSM RA følges, og en assessor skal udpeges til at assessere risikovurderingsprocessen og resultatet af risikovurderingen.
9 Vejledning i signifikansvurdering Fremgangsmåde ved ændringer 3 Fremgangsmåde ved ændringer 3.1 Fremgangsmåde ved ændringer Når en virksomhed planlægger ændringer af den eksisterende infrastruktur eller køretøjer, skal virksomheden samtidig vurdere, om ændringen påvirker jernbanesikkerheden. 3.1.1 Ændringer ved vedligehold Udskiftning af dele af delsystemer som foretages i forbindelse med almindeligt planlagt vedligehold og fejlretning vurderes ikke at være en ændring i CSM RA s forstand. Derfor er det ikke er nødvendigt med en signifikansvurdering 4, under forudsætning af, at de komponenter som udskiftes og tages i anvendelse, har samme funktion og ydeevne, som dem der udskiftes. Ved større udskiftninger af eksempelvis spor mellem to stationer eller udskiftning af et sikringsanlæg, vil være at betragte som en fornyelse 5 med potentiel betydning for jernbanesikkerheden også selvom der er tale om et system, som har samme funktion og ydeevne. Omfanget af et vedligeholdelsesarbejde har altså betydning for, om det betragtes som en signifikant ændring. 3.1.2 Fornyelse og opgradering Tilsvarende gælder for de ændringer af systemer, hvor systemet opgraderes 6, dvs. hvor dele af systemet udskiftes eller udbygges, med det formål at sikre systemet en bedre ydeevne. Tommelfingerreglen er, at alt hvad der er nyt, kan karakteriseres som sikkerhedsmæssige ændringer af systemet: - Ny teknologi (hardware eller software) - Ny funktion (ændring i driften) - Ny organisation (ansvarsfordeling/regler/metoder) Hvis ændringen ikke påvirker jernbanesikkerheden, skal der ikke udføres en signifikansvurdering ændringen bliver automatisk betragtet som ikke-signifikant. 3.1.3 Konsekvensvurdering af ændringen Figur 1 viser, at man først vurderer, om jernbanesikkerheden påvirkes, og dernæst om ændringen er signifikant. 4 Almindeligt vedligehold anses som drift, hvor man ikke signifikansvurderer det enkelte stykke vedligeholdelsesarbejde, men derimod grundlaget for vedligeholdelsen, fx vedligeholdelsesforskrifterne. Dvs., at hvis en virksomhed fx ændrer i sine vedligeholdelsesforskrifter, skal virksomheden vurdere, om ændringen er signifikant, og i givet fald håndtere ændringen efter CSM RA. Signifikante ændringer i drift og organisation (med betydning for driften) skal følge CSM RA fra den 1. juli 2012. 5 Jf. Interoperabilitetsdirektivet 2008/57/EF, artikel 2 n. 6 Jf. Interoperabilitetsdirektivet 2008/57/EF, artikel 2 m.
10 Vejledning i signifikansvurdering Fremgangsmåde ved ændringer Figur 1. Konsekvensvurdering af ændringen Figur 1. Procesbeskrivelse ved ændringer, hvor den indledende konsekvensanalyse afgør om CSM RA tages i anvendelse. Der er elementer af jernbanesystemet, der ikke er relevante for jernbanesikkerheden. Fx funktioner til passagerinformation på stationer, støjskærme og dele af kørestrøms-anlægget 7 mv. Omvendt er enheder i fx sikringsanlæg og bremser til køretøjer, nogle af de sikkerhedskomponenter, som man skal foretage en signifikansvurdering af. Hvis ændringen har noget med jernbanesikkerhed at gøre, skal virksomheden udarbejde hhv. en foreløbig og en signifikansvurdering for at afgøre, om ændringen er signifikant eller ej. Der er tre mulige udfald af den indledende konsekvensanalyse: Ændringen er signifikant, og kræver at risikovurderingsprocessen i CSM RA efterleves Sikkerheden påvirkes, men ændringen er ikke signifikant. Risikostyringen via virksomhedens sikkerhedsledelsessystem skal sikre, at risikoen er kontrolleret og dokumenteret Sikkerheden påvirkes ikke, og ændringen er derfor ikke signifikant. Når en ændring ikke er signifikant, håndteres sikkerheden af virksomheden, uden at det er nødvendigt at følge CSM RA. Virksomheden laver typisk den endelige, implementerer ændringen og kontrollerer at systemet fungerer efter hensigten. Virksomheder skal sikre, at alle ændringer i det eksisterende jernbanesystem implementeres sikkert og at dette dokumenteres korrekt. Det betyder, at virksomheden skal etablere procedurer for, hvordan man håndterer ændringer, fx om gennemførsel af en signifikansvurdering, og implementering af en ændring i jernbanesystemet. Dokumentationen for ændringen (, signifikansvurdering mv.) opbevares af virksomheden, og vil være genstand for Trafikstyrelsens tilsyn hos virksomheden. 7 Man skal være opmærksom på, at andre myndigheder kan have interesse i disse emner fx Sikkerhedsstyrelsen i spørgsmål om kørestrøm, og Arbejdsskadestyrelsen i spørgsmål om arbejdsmiljø.
11 Vejledning i signifikansvurdering Signifikansvurderingen 4 Signifikansvurderingen 4.1 Signifikansvurderingen Signifikansvurderingen behøver ikke at være særligt dybdegående eller kompliceret. Da vurderingen alene har til formål at afgøre om ændringen er signifikant, vil man her finde frem til, om der er behov for en uddybende risikovurdering 8 i overensstemmelse med CSM RA. 4.1.1 Foreløbig Forud for signifikansvurderingen skal der udarbejdes en foreløbig. Uden en foreløbig, er det umuligt at vurdere ændringens signifikans. Formålet med en er: at beskrive det delsystem eller den komponent som ændres i jernbanesystemet, herunder forudsætningerne for ændringen. Systemdefinitionen skal indeholde alle nødvendige forudsætninger for at vurdere sikkerheden. 9 Til sammen leder den foreløbige og signifikansvurderingen frem til, hvad der er de væsentligste konsekvenser ved ændringen, og om disse imødekommes af eksisterende sikkerhedsforanstaltninger. 4.1.2 Eksperten Signifikansvurderingen udføres af en eller flere eksperter på baggrund af deres fagkompetence eller erfaring med det aktuelle delsystem samt kendskab til risikostyring 10. Valget af ekspert afgøres på baggrund af, hvilke fagområder der er i spil i ændringsprojektet. Hvis flere fag er involveret, er det relevant at inddrage flere fagpersoner. En ekspert skal bl.a. kunne vurdere, om den foreløbige er tilstrækkelig og entydig, som grundlag for en vurdering af ændringen. Virksomheden kan frit vælge, om eksperten skal være en intern person fra virksomheden eller en ekstern person. Vurderingen bør så vidt muligt være underbygget med data. Hvis data ikke kan opdrives, bør signifikansvurderingen som hovedregel kontrolleres af en anden fagekspert, som erklærer sig enig i bedømmelsen. Signifikansvurderingen er ifølge CSM RA ikke genstand for en assessors uafhængige vurdering. 8 Risikovurderingen er en iterativ proces som resulterer i en endelig, en udtømmende fareidentifikation og en risikoevaluering, med indføring af risikoreducerende tiltag som permanente sikkerhedskrav. 9 Se Vejledning i udformning af, Trafikstyrelsen 2011 10 Systematisk tilgang til styringsværktøjer (politikker og procedurer) og praktisering af analyse, evaluering og kontrol af risici.
12 Vejledning i signifikansvurdering Signifikansvurderingen 4.2 Signifikansvurderingen - indhold Signifikansvurderingen indeholder seks vurderingskriterier: - akkumulation - nyskabelser - ændringens kompleksitet - konsekvens - overvågning - reversibilitet Det er kun kriteriet konsekvens, der retter sig direkte mod den sikkerhedsmæssige betydning af ændringen. De øvrige kriterier retter sig mod aspekter, der har potentiel betydning for sikkerheden. Figur 2 nedenfor er et eksempel på, hvilken rækkefølge vurderingskriterierne hensigtsmæssigt kan bedømmes og håndteres. Figur 2. Forslag til fremgangsmåde, hvor kriterierne bedømmes i en rækkefølge som, som understøtter deres anvendelse. Såfremt man ikke kan afgøre, om ændringen er signifikant på baggrund af trin (1) og (2), skal man fortsætte til trin (3). Det er op til eksperten at foretage en vurdering af kriterierne på baggrund af den foreløbige. I praksis kan det jf. figur 2, være tilstrækkeligt at vurdere fire af kriterierne for at afgøre at ændringen er signifikant. Såfremt man ikke kan vurdere om ændringen er signifikant på baggrund af de første fire kriterier, må man tage de sidste kriterier med i sin overvejelse. Somme tider vil man umiddelbart kunne konstatere, at en ændring er signifikant, uden mange overvejelser, fx når der investeres i nye delsystemer i infrastrukturen eller nye køretøjer. I teksten indgår citater fra CSM RA i særskilte tekstbokse.
13 Vejledning i signifikansvurdering Signifikansvurderingen. Akkumulation: vurdering af ændringens signifikans under hensyn til alle nylige sikkerhedsrelaterede ændringer, som ikke blev anset for signifikante af det system, der er taget op til vurdering. Akkumulation kan med fordel vurderes først, da det fastsætter området som skal vurderes. Har der tidligere været ikke-signifikante ændringer i systemet, skal dette indgå i vurderingen af den nye ændring. Flere mindre ændringer kan samlet set resultere i en ikke ubetydelig risikoforøgelse. Fx kan hastighedsforøgelser på 5 km./t., som gennemføres i flere etaper, være en ubetydelig risikoforøgelse vurderet enkeltvis. Når alle etaper er gennemført kan hastighedsforøgelsen nå fx 25 km./t., hvilket man vil betragte som en signifikant ændring. Det er vanskeligt at afgøre, hvor langt tilbage i tiden man skal medtage mindre ændringer i vurderingen - men hovedreglen er, at man medtager alle ændringer siden systemet sidst fik en ibrugtagningstilladelse. Alternativt, hvis en tidligere ikke signifikant ændring er fuldt implementeret, og tiden har vist, at systemet fungerer tilfredsstillende, da kan man nulstille tiden. Det vil ikke længere være relevant at tage højde for den tidligere ændring. Hvis flere ændringer skal tages i betragtning, skal den foreløbige opdateres, sådan at alle ændringer er omfattet. Nyskabelser, der anvendes til at gennemføre ændringen: Dette gælder både for det, der er innovativt for jernbanesektoren, og det, som alene er nyt for den organisation, der gennemfører ændringen. Er ændringen i høj grad baseret på nye løsninger (teknologi, metoder, funktion), er der større sandsynlighed for at ændringen har utilsigtede og uønskede effekter. Det kunne fx være en helt ny type sporstopper som ikke tidligere er afprøvet. Det er altid en fordel at have erfaringer med en komponent eller delsystem, således at man kan forudse effekten af ændringen. Man skal derfor overveje, hvilke afvigelser der kan være i forhold til tidligere godkendte løsninger. Ændringens kompleksitet Ændringens kompleksitet vurderes ud fra, hvordan ændringen påvirker andre delsystemer og aktuelle grænseflader, som er identificeret i den foreløbige. Fx ved anvendelse af en akseltæller som er udbredt i Tyskland, men ikke tidligere afprøvet i dansk sammenhæng. Det kan derfor være uvist om akseltælleren vil have den tilsigtede effekt. Det er denne uvished, som er tegn på at ændringen er kompleks. En komponent som ikke tidligere er afprøvet i det konkrete delsystem, kan medføre fejl i andre delsystemer. Det kan også være, at det eksisterende system, har en uønsket effekt på det ændrede delsystem. Kompleksiteten øges ofte i takt med antallet af fysiske og tekniske grænseflader, sikkerhedsmæssige funktioner og/eller involverede interessenter.
14 Vejledning i signifikansvurdering Signifikansvurderingen Konsekvens af svigt: et sandsynligt, værst tænkeligt scenario i tilfælde af, svigt i det system, der er under betragtning, under hensyn til sikkerhedsbarrierer uden for systemet Konsekvens er et kriterium som har større vægt end de øvrige kriterier, da det har direkte betydning for sikkerheden. Såfremt en ændring kan have alvorlige, skadelige følger for personer, bidrager det til, at man betragter det som signifikant. Dog er det nødvendigt at afveje konsekvensernes omfang, i forhold til de øvrige kriterier. Det er vigtigt at forholde sig til de sikkerhedsbarrierer 11, der allerede eksisterer, i det system som ændringen skal indføres i. Hvis man fx forestiller sig et ændringsprojekt, der har til formål at gennemføre en hastighedsopgradering. Her er det oplagt, at forholde sig til ydeevnen på det eksisterende spor, sporstoppere, sporskifter mv. Såfremt de eksisterende sporforhold tillader en højere hastighed, da er en eventuel risiko allerede imødegået. Omvendt hvis en sporstopper ikke kan befares med en højere hastighed, da har man en mulig fare, som skal håndteres i en risikovurdering. Opgraderingen af denne sporstopper, vil være en sikkerhedsforanstaltning som indgår i risikovurderingen, og skal ikke betragtes som en eksisterende sikkerhedsbarriere. Konsekvens vil typisk variere, afhængig af hvilket system ændringen skal indføres i, herunder de gældende anvendelsesbetingelser. Fx bør man også overveje, om der allerede er fall back systemer/procedurer til at undgå ulykker. Ved en systematisk tilgang vil man gennemgå og vurdere alle typer af ulykker og personskader. Dvs. kan der forekomme ulykker i form af kollision, afsporing, ulykke i overkørsel, personpåkørsel, brand, farlig gods og anden ulykke med skadelige virkning - og hvilke konsekvenser kan der være, i form af personskade for passagerer, medarbejdere, brugere af overkørsler, uautoriserede personer på jernbanearealer og andre (fx. personer på perroner). Til estimering af risikoen kan man evt. anvende en simpel konsekvensmatrix. Her kan man markere, om der ved det værst tænkelige scenario vil være konsekvenser ved ændringen. Se figur 3. 11 Ved sikkerhedsbarrierer forstås fysiske og/eller ikke fysiske foranstaltninger, der har til formål, at reducere risiko (frekvens og konsekvens) af en ulykke.
15 Vejledning i signifikansvurdering Signifikansvurderingen Andre Uautoriserede personer på jernbanearealer Brugere af overkørsler Personale Passagerer Det er ikke hensigten, at man i signifikansvurderingen fastsætter den eksakte risiko (frekvensen af en ulykke og størrelsen på konsekvensen), da dette først skal ske i en evt. uddybende risikovurdering. I signifikansvurderingen kortlægger man udelukkende, om ændringen kan have skadelige følger. Overvågning: Manglende evne til at kontrolovervåge den gennemførte ændring i systemets samlede livscyklus og foretage hensigtsmæssige indgreb Virksomheden skal overveje, om det er praktisk muligt at indføre kontrolmålinger eller overvågning af ændringen, for at kontrollere at systemet virker efter hensigten. Bemærk at det ikke vil være tilstrækkeligt at installere et overvågningssystem der skal samtidig være procedurer, som kan advare personalet i tide til at gribe ind overfor eventuelle farer. Fx kan det ved ændringer i køretøjets traktionssystem være vanskeligt, at overvåge fejl og samtidig nå at gribe ind over for farer. Reversibilitet: Manglende evne til at vende tilbage til systemet, som det var før ændringen. I tilfælde af at der skulle opstå farlige fejl som følge af ændringen, skal man overveje mulighederne for at sætte ind overfor dette. Vurderingen af ændringens reversibilitet har til formål at vurdere mulighederne (eller manglen på samme) for at vende tilbage til det oprindelige system fra før gennemførslen af ændringen Eller i overført betydning, at kunne gribe ind overfor de farer, som kan opstå som følge af ændringen. Såfremt det ikke er praktisk muligt at genetablere det gamle system eller det gamle sikkerhedsniveau, er det en risiko, som bidrager til, at ændringen vurderes at være signifikant.
16 Vejledning i signifikansvurdering Signifikansvurderingen 4.3 Vurdering af om ændringen er signifikant Det er muligt at anvende en risikomatrix som støtte til at afgøre om ændringen er signifikant. Matrixen inddeles i tre områder som angiver en signifikant ændring, en ikke signifikant ændring, og der hvor det ikke umiddelbart er til at afgøre om ændringen er signifikant. Se figur 3. Nyskabelse og kompleksitet kan betragtes som den usikkerhed, der er forbundet med ændringen. Usikkerhed er den lodrette akse i risikomatrixen, hvor konsekvens er den vandrette akse. Hvis konsekvensen er relativt lille, evt. med sandsynlighed for lettere tilskadekomne, kan man konkludere, at risikoen ikke er signifikant det ligger grønne område i første kolonne. Ved katastrofale konsekvenser og stor usikkerhed, ligger risikoen i det røde område i risikomatrixen, og betragtes ændringen som signifikant. Såfremt der er sandsynlighed for alvorligt tilskadekomne eller evt. en dræbt, og der samtidig er usikkerhed forbundet med ændringen, kan man konkludere, at risikoen ligger i det gule område. Her er det ikke umiddelbart til at afgøre hvorvidt ændringen er signifikant eller ej. Risiko der ligger i det gule område kræver, at der er god mulighed for at overvåge resultatet af ændringen, og at ændringen evt. er reversibel. Man skal derfor tage de to supplerende kriterier i brug, for at afgøre om ændringen er signifikant.
Trafikstyrelsen Edvard Thomsens Vej 14 DK-2300 København S. info@trafikstyrelsen.dk www.trafikstyrelsen.dk Vejledning i signifikansvurdering