Jernbaneverket Postboks HAMAR. Att.: Saksbehandler: Mona Stryken, Vår ref.: 06/84-96 SF2-521 Deres ref.: Dato:

Transkript

1 Jernbaneverket Postboks HAMAR Att.: Wergelandsveien 3 NO-0167 Oslo Telefon: Telefaks: post@sjt.no Saksbehandler: Mona Stryken, Vår ref.: 06/84-96 SF2-521 Deres ref.: Dato: Orstad stasjon Ganddal godsterminal - avslag på søknad om tillatels til å ta i bruk signalanlegget I. Innledning Det vises til Jernbaneverkets brev av med søknad om tillatelse til å ta i bruk signalanlegget på Orstad stasjon Ganddal godsterminal. Søknaden gjelder tillatelse til å ta i bruk signalanlegg, inklusive Merkur sikringsanlegg, på Orstad stasjon Ganddal godsterminal. Ganddal godsterminal ble satt i drift 3. januar 2008 uten signalanlegg. Terminalen ble tatt i bruk som sidespor på linjen. Signalanlegg består grovt sett av sikringsanlegg, automatisk hastighetsovervåking (ATC), fjernstyring (CTC), samt ytre anlegg. Hovedhensikten med et sikringsanlegg er å skape sikre togveier for tog i bevegelse. Før et signal viser grønt lys, som indikerer at et tog kan fortsette å kjøre, må togveien foran toget kontrolleres for å sikre at sporet er fritt for andre tog, i tillegg må signalene i motsatt retning vise stopp. Sikringsanlegget må også kunne kontrollere at alle sporveksler i den aktuelle togveien er låst i rett posisjon. Sikringsanlegg er med andre ord av sikkerhetskritisk betydning for fremføring av tog. Den oversendte dokumentasjonen består av cirka 200 dokumenter fordelt på 3 safety cases; generisk produkt safety case, generisk applikasjon safety case og spesifikk applikasjon safety case. Tilsynet vil for ordens skyld gjøre oppmerksom på at vi i stor grad har benyttet de engelske betegnelsene fra Cenelec normene i dette brevet.

2 II. Krav Krav til infrastruktur fremgår av forskrift 19. desember 2005 nr om krav til jernbanevirksomhet på det nasjonale jernbanenettet (sikkerhetsforskriften) kapittel 12. Krav om at infrastruktur skal ha tillatelse fra Statens jernbanetilsyn før den blir tatt i bruk fremgår av Krav til innhold i søknad om tillatelse til å ta infrastruktur i bruk fremgår av Det følger av sikkerhetsforskriften 12-1 første ledd at infrastrukturen skal utformes slik at virksomheten drives sikkerhetsmessig forsvarlig. I kommentarene til sikkerhetsforskriften 12-1 første ledd heter det: Ved utformingen av infrastruktur skal krav om sikkerhetsmessig forsvarlig drift legges til grunn for strukturell, teknisk og funksjonell utforming av anleggene. Etter sikkerhetsforskriften 12-1 andre ledd skal infrastrukturen prosjekteres, bygges og testes i henhold til nasjonale og internasjonale standarder. Standarder, herunder avvik fra standarder, skal være akseptert av Statens jernbanetilsyn. I kommentarene til sikkerhetsforskriften 12-1 andre ledd heter det: Ved prosjektering og bygging av infrastruktur skal det velges standarder som opprettholder eller forbedrer sikkerheten og samtrafikkevnen for det aktuelle systemet. Videre heter det: Ved anskaffelse av signalanlegg skal normene NEK EN (Railway applications Communications, signalling and processing systems Software for railway control and protection systems) og NEK EN (Railway applications - Communications, signalling and processing systems Safety related electronic systems for signalling) benyttes. Andre relevante jernbanestandarder skal også i størst mulig grad benyttes. Etter sikkerhetsforskriften 12-1 tredje ledd heter det: Ved ny og vesentlig endret infrastruktur skal prosesstandarden EN (1999) følges. Etter sikkerhetsforskriften 12-6 skal signalanlegg være konstruert slik at de feiler til sikker tilstand. Anleggets sikkerhetsfunksjoner skal være automatiske og uavhengige av den som betjener anlegget. I tillegg til at dette fremkommer i forskriften, redegjorde Statens jernbanetilsyn for disse kravene overfor Jernbaneverket i brev av III. Saksbehandlingen Tilsynet har organisert saksbehandlingen av denne søknaden som et prosjekt. Prosjektet har hatt bistand av innleide eksperter med erfaring fra lignende prosjekter og med god kjennskap til Cenelec normene. Saksbehandlingen startet med dokumentgjennomgang av safety case for generisk produkt i august Tidlig i gjennomgangen av dokumentene viste det seg at det var nødvendig å innhente ytterligere informasjon. Det ble bestemt å gjøre dette i form av informasjonsmøter med ABB AS (ABB), som er leverandør av sikringsanlegget, samt med Jernbaneverket og assessor. Hovedårsaken til at det ble avholdt informasjonsmøter var Jernbaneverkets ønske om rask saksbehandling. Side 2 av 8

3 IV. Vurdering av søknaden i forhold til krav i forskrift og standarder 1. Software assessment EN Etter EN kapittel 3.1 er assessment: process of analysis to determine whether the Design Authority and the Validator have achieved a product that meets the specified requirements and to form a judgement as to whether the product is fit for its intended purpose. I henhold til EN kapittel skal det utpekes en uavhengig assessor for software, videre fremgår det av kapittel at på alle SIL-nivåer for software skal software assessor godkjennes av sikkerhetsmyndighet (i Norge Statens jernbanetilsyn) og være uavhengig av leverandøren, unntatt under forhold som er beskrevet i kapittel I kapittel fremgår det at software assessor kan være en del av leverandørens organisasjon eller kundens organisasjon, men dersom en slik løsning velges skal software assessor: godkjennes av sikkerhetsmyndighet være helt uavhengig fra prosjektet rapportere direkte til sikkerhetsmyndighet En software assessors oppgaver fremgår av EN kapittel 14, det vises spesielt til kapittel 14.3 hvor det fremgår at det skal foreligge en software assessment rapport. Tilsynet har gjennomgått dokumentene i søknaden og det fremgår av disse at ABB har brukt en intern software assessor jf. blant annet Sikkerhetsbevis (Safety Case), Ganddal godsterminal, Orstad stasjon Spesifikk Applikasjon 3AJK , figur 2-2 og Kompetansebevis for prosjektmedarbeidere ved Ganddal godsterminal, Orstad stasjon dokument 3AJK , figur 1-2. Software assessor har utarbeidet rapport Programvare assessment rapport, Orstad st dokumentnummer 3AJK Software assessor er ansatt i ABB og har deltatt i utvikling og verifikasjon av programvaren i PLS C (jf. 3AJK ). Software assessor er ikke godkjent av sikkerhetsmyndighet, har ikke vært uavhengig av prosjektet og han har ikke rapportert direkte til sikkerhetsmyndighet jf. EN kapittel Av 3AJK fremkommer det ikke at software assessor har erfaring med bruk av EN Det er derfor heller ikke godtgjort at vedkommende har nødvendig erfaring med denne type arbeid. Forholdene over ble drøftet i møte med ABB og Jernbaneverket 5. november Jernbaneverket opplyste da at ABBs software assessment (3AJK ) er en intern uavhengig vurdering av om prosjektet har fulgt sine egne rutiner, og at dette ikke må forveksles med assessors ansvar og oppgaver. På møtet informerte Jernbaneverket også om at Atkins som independent safety assessor jf. EN også hadde ansvar for software assessment i henhold til EN I møte mellom tilsynet, tilsynets innleide ekspertise og independent safety assessor Atkins den 6. november 2008 fremkom det at de ikke har foretatt safety assessment i henhold til EN (se nærmere under punkt 2). Dette er dokumentert i referat fra møtet. Tilsynets vurdering ABBs software assessment er en intern vurdering av at prosjektet har fulgt sine rutiner og dette software assessment oppfyller ikke kravene til et assessment jf. EN kapittel 3.1. Atkins Side 3 av 8

4 har heller ikke foretatt safety assessment av software. Derfor foreligger det ikke safety assessment av software i henhold til EN Manglende software assessment er kritisk og må være utført for at et sikringsanlegg skal kunne tillates tatt i bruk. 2. Independent safety assessor EN Etter sikkerhetsforskriften andre ledd heter det: Dersom det er benyttet assessor eller andre uavhengige parter, skal søknaden også vedlegges en oversikt over, rapporter fra og oppfølgingen av disse. Etter sikkerhetsforskriften tredje ledd heter det: Statens jernbanetilsyn kan kreve at det benyttes en assessor og at Statens jernbanetilsyn får ha direkte kontakt med vedkommende. Assessoren skal aksepteres av Statens jernbanetilsyn. Statens jernbanetilsyn kan også kreve at det benyttes uavhengige parter til andre typer aktiviteter, herunder verifiseringer og granskninger. I kommentarene til sikkerhetsforskriften tredje ledd heter det: En assessor er å anse som en type tredjepart. En assessors oppgave er å evaluere om de som har spesifisert og validert systemet har fått et produkt som tilfredsstiller de gitte krav, at produktet er tilstrekkelig gransket og testet, samt å bedømme om produktet oppfyller sin hensikt. En assessor skal ha en uavhengig posisjon i forhold til oppdragsgiver. Deres arbeid er derfor av særlig verdi for tilsynet ved vurdering av søknaden, og anses i enkelte tilfelle som nødvendig for at tilsynet skal ha tilstrekkelig grunnlag for å kunne vurdere en søknad om tillatelse. Av samme grunn skal tilsynet akseptere valg av assessor og kunne ha direkte kontakt med vedkommende. Tilsynets aksept av assessor innebærer ikke aksept av resultatet av assessors arbeid. Dette arbeidet skal dokumenteres i en assessorrapport som tilsynet vurderer på fritt grunnlag. Også andre typer tredjepartsvurderinger vil kunne være nødvendige. Det fremgår også av EN kapittel at assessment er: process of analysis to determine whether the design authority and the validator have achieved a product that meets the specified requirements and to form a judgement as to whether the product is fit for its intended purpose. Søknaden er vedlagt Assessor Rapport Generic Product Safety Case, Generic Application Safety Case, Merkur (Ganddal freight terminal) dokumentnummer utarbeidet av assessor fra Atkins. I denne rapporten kapittel konkluderer assessor med følgende utsagn: The assessor considers that the GP fulfils the requirements for an SIL 4 application. I møte mellom tilsynet, tilsynets innleide ekspertise, og assessor 6. november 2008 fremkom det at assessor for generisk produkt/generisk applikasjon ikke har utført de oppgaver som EN krever. Assessor sa selv i møtet at han ikke har vurdert tekniske detaljer ved produktet. Assessorrapporten viser at han har utført enkelte sporadiske aktiviteter knyttet til produktet. Assessor har ikke evaluert om de som har spesifisert og validert systemet har fått et produkt som tilfredsstiller de gitte krav, at produktet er tilstrekkelig gransket og testet, samt bedømt om produktet oppfyller sin hensikt. Assessor har begrenset sin oppgave til i hovedsak å assessere prosessene som har vært benyttet i utviklingen av produktet. Han har sjekket om dokumentene som kreves er produsert, om dokumentene er konsistente, han har sjekket referanser og Side 4 av 8

5 versjoner. I tillegg har han undersøkt om det finnes safety related application conditions og der dette finnes har han undersøkt om de blir overført til neste nivå i dokumentene. Det fremkom i møtet med assessor at han ikke har erfaring som assessor, dette er hans første oppdrag som assessor. Tilsynet har heller ikke akseptert vedkommende som assessor jf. sikkerhetsforskriften Tilsynets vurdering Basert på informasjonen som er fremlagt i assessor rapporten er det ikke klart at assessor har gått inn på produktrelaterte aspekter. Denne observasjonen ble bekreftet av assessor i møte 6. november. På bakgrunn av dette anser tilsynet at det gjennomførte assessment er ufullstendig. Statens jernbanetilsyn finner at det assessment som assessor har gjennomført er så utilstrekkelig at det ikke kan aksepteres. Manglende assessment av produkt er kritisk og må foreligge for at et signalanlegg skal kunne tillates tatt i bruk. 3. Teknisk sikkerhetsrapport 3AJK Det fremgår av EN kapittel 5.1 hvordan safety case skal struktureres. Kapittel 5.4 inneholder føringer for hva en teknisk sikkerhetsrapport skal inneholde, samt hvordan den skal struktureres. Teknisk sikkerhetsrapport Merkur generisk produkt 3AJK er utarbeidet av SINTEF på oppdrag fra ABB. Arbeidet med teknisk sikkerhetsrapport har foregått i perioden med oppdateringer i Dokumentet bruker sikringsanlegget NSB-94 som referanseanlegg. Dokumentet utgjør del 4 av sikkerhetsbeviset for Merkur og er strukturert som beskrevet i EN kapittel 5.4. Dette dokumentet er sentralt i dokumentasjonen til sikringsanlegget Merkur. Det inneholder kvalitative og kvantitative vurderinger av hvordan sikringsanlegget Merkur håndterer feilsituasjoner og i hvilken grad kravet til tolerable hazard rate (THR) blir oppfylt. Den kvantitative analysen er gjennomført etter PDS metoden, som er tilsvarende metodikk som ble benyttet for de kvantitative beregninger for NSB-94. Analysen dekker bare innvendig anlegg. PDS metoden er utviklet av SINTEF for applikasjoner i low demand mode, hvor sikkerhetsfunksjonen sjelden blir etterspurt, vanligvis inntil en gang i året. Av EN kapittel A.5.2 fremgår følgende: continuous control and command signalling systems are clearly the majority in modern railway signalling applications. Det er ikke kjent for tilsynet om PDS metoden er benyttet i jernbaneapplikasjoner tidligere, utover NSB-94. Det er derfor vanskelig å vite om metoden er egnet til dette bruket. Tilsynet har i møter mellom tilsynet, tilsynets innleide ekspertise, Jernbaneverket og ABB i uke 40 og uke 45 reist en rekke spørsmål vedrørende bruk av formler og parametere i 3AJK I møte 4.november 2008 var en representant for SINTEF tilstede. Han kjente ikke til om PDS metoden er brukt i SIL 4 jernbaneapplikasjoner tidligere. Tilsynet har bedt om å få oversendt en referanseliste for denne metoden, slik at vi kan se hvor den er benyttet. Denne er ennå ikke mottatt. En av faktorene som benyttes i analysen er C koon. Den er generisk og i følge representanten fra SINTEF stammer den ikke fra elektroniske systemer, men fra mekaniske systemer. Denne faktoren er ikke nevnt i Cenelec standardene. Side 5 av 8

6 Tilsynets vurdering Det meste av bevisføringen i sikkerhetsbevisene til sikringsanlegget Merkur henviser til dokument Teknisk sikkerhetsrapport Merkur generisk produkt 3AJK Dette er derfor et meget sentralt dokument i dokumentasjonen som skal vise at sikkerheten i sikringsanlegget Merkur er tilstrekkelig. Det er tilsynets vurdering at det er vesentlige usikkerhetsmomenter knyttet til gyldigheten av de beregninger som er utført i dette dokumentet. Det er vesentlige usikkerhetsmomenter knyttet til de beregninger som er utført i Teknisk sikkerhetsrapport Merkur generisk produkt 3AJK Tilsynet kan derfor ikke legge til grunn dette dokumentets konklusjoner. Dermed foreligger det ikke tilstrekkelig dokumentasjon på at sikkerheten er i varetatt i sikringsanlegget Merkur. 4. Programvareutvikling (Control builder) Krav til utvikling av software fremgår av EN Kapittel inneholder krav til software som er utviklet for andre formål enn den aktuelle applikasjonen: if previously developed software is to be used as part of the design then it shall be clearly identified and documented. Kapittel fastslår følgende Where the software consist of components of different software safety integrity levels then all of the software components shall be treated as belonging to the highest software safety integrity level unless there is evidence of independence between the higher software safety integrity level components and the lower software safety integrity level components. This evidence shall be recorded in the Software architecture specification. Dokumentet Vurdering av Control builder versjon 4.1 som utviklingsplattform for Merkur sikringsanlegg 3AJK er utarbeidet av SINTEF for ABB og er en evaluering av Control Builder som utviklingsplattform for software. Framgangsmåten for evalueringen har bestått i å gjennomgå dokumentasjon for Control Builder og kvalitetsplanen for programvare (3AJK ) og å undersøke hvilke av de relevante krav i EN og EN som er oppfylt, for dermed å identifisere hvilket SIL nivå som kan oppnås. I dokumentets kapittel 5 konkluderer SINTEF med følgende: Control Builder er en plattform som oppfyller de relevante kravene som CENELEC standardene EN og EN stiller for verktøy som skal brukes til produksjon av SIL 3 eller SIL 4 systemer videre sies det: systemer som er utviklet med Control Builder i henhold til Kvalitetsplan programvare kan forventes å oppfylle kravene for en jernbanerelatert SIL 3 eller SIL 4 anvendelse. Dokument 3AJK har i stor grad blitt referert til i sikkerhetsbeviset for Merkur for å bevise at programvaren er i overensstemmelse med kravene til SIL 4 gitt i EN I møtet 5. november 2008 var en representant fra SINTEF til stede for å svare på spørsmål om sin rapport 3AJK Det ble i løpet av møtet klart at konklusjonen i rapporten til SINTEF må endres siden det arbeidet som er utført inneholder avgrensninger som ikke fremkommer i dokumentet. Det er minst en forutsetning for at konklusjonen i rapporten skal være gyldig, og det er at brukeren må fremskaffe bevis for at systemprogramvaren er egnet for prosjektet. Det fremkom av møtet at ABB og Jernbaneverket ikke har vært klar over at det har vært knyttet forutsetninger til konklusjonen i SINTEF sitt dokument. I tillegg vurderer SINTEF bare en del av kravene fra standard EN 50128, for eksempel er ikke forhold vedrørende verifikasjon og validering dekket av rapporten. Rapporten baserer seg på offentlig informasjon, det vil si at detaljert informasjon om for eksempel kompilatoren ikke har vært tilgjengelig. Side 6 av 8

7 Tilsynets vurdering Dokumentet Vurdering av Control builder versjon 4.1 som utviklingsplattform for Merkur sikringsanlegg 3AJK står meget sentralt i dokumentasjonen til sikringsanlegget Merkur. en i dokumentet er ikke tilstrekkelig avgrenset, dette har ikke vært kjent for de involverte parter. Rapporten dekker ikke alle relevante krav i EN I tillegg har underlaget til analysen vært begrenset både med hensyn til pålitelig informasjon og detaljeringsgrad til informasjonen. Tilsynet finner det av den grunn vanskelig å ha tillitt til konklusjonen i analysen. Manglene i rapporten er kritiske i forhold til at det dette dokumentet er en av grunnpilarene i bevisførselen for sikringsanlegget Merkur, rapporten må være helt klar. Tilsynet finner ikke at konklusjonen i analysen er tilstrekkelig underbygget. 5. Rollefordeling og habilitet Krav til roller og uavhengighet i roller fremgår av EN kapittel samt figur 6. I følge dokument Kompetansebevis for prosjektmedarbeidere ved Ganddal godsterminal, Orstad stasjon dokument 3AJK , figur 1-1 har rollen som design/funksjonsansvarlig og rollen som testleder blitt ivaretatt av samme person helt frem til desember Videre fremkommer det av organisasjonskartet i dokument 3AJK figur 2-2 at rollen som kvalitetsleder og prosjektleder også er blitt ivaretatt av samme person. I møtene med ABB fremkom det at enkelte verifiserings- og valideringsaktiviteter har blitt utført på nytt etter at organiseringen ble endret. Det fremkommer ikke av dokumentasjonen hvilket omfang og hvilken relevans dette har hatt for prosjektet. Tilsynets vurdering Sikringsanlegget på Ganddal gjennomgikk FAT- tester høsten 2007 fordi det etter planen skulle settes i drift i januar Sikringsanlegget Merkur på Orstad stasjon Ganddal godterminal er utviklet før desember Det er derfor vanskelig å si hvilken betydning endring i organisasjonen har hatt for dette anlegget. I avgjørende deler av utviklingen har ikke nøkkelroller i prosjektet hatt den nødvendige uavhengighet. Dette er ikke i henhold til krav i EN Manglende uavhengighet i viktige roller svekker tilliten til prosessen man har gjennomført i utviklingen av produktet og dermed også produktets evne til å oppnå sin hensikt. Side 7 av 8

8 V. Tilsynets konklusjon baserer seg på gjennomgang av safety case for generisk produkt med refererte dokumenter. Det er helt fundamentalt at man kan dokumentere hvilket sikkerhetsnivå et sikringsanlegg tilfredsstiller. I søknaden er det ikke dokumentert hvilket sikkerhetsnivå sikringsanlegget Merkur tilfredsstiller. I tillegg er det vesentlige mangler ved grunnleggende dokumentasjon jf. punkt 1-5 ovenfor. Hvert av disse punktene er i seg selv grunnlag for avslag på søknaden og tilsynet finner på dette grunnlag at sikringsanlegget Merkur slik det nå er dokumentert ikke har forutsetninger for å få tillatelse til å bli tatt i bruk. Basert på de dokumenter som er fremlagt til nå er det ikke åpenbart for tilsynet at de avvik som er avdekket lar seg rette ved å oppdatere dokumentasjonen, det kan ikke utelukkes at det må utføres endringer i hardware og/eller software. Tilsynet har også funnet til dels vesentlige mangler ved den øvrige dokumentasjonen, men har ikke funnet grunn til å gå nærmere inn på dette her, fordi manglene ved den grunnleggende dokumentasjonen er avgjørende i saksbehandlingen. På denne bakgrunn har Statens jernbanetilsyn fattet følgende vedtak: Med hjemmel i forskrift 19. desember 2005 nr om krav til jernbanevirksomhet på det nasjonale jernbanenettet (sikkerhetsforskriften) 12-8 gis det ikke tillatelse til å ta i bruk signalanlegget på Orstad stasjon Ganddal godsterminal Dette er et enkeltvedtak etter forvaltningslovens 2 første ledd bokstav b og kan påklages etter reglene i forvaltningsloven 28 ff. Klagefrist er tre uker fra mottakelse av dette vedtaket. Skjema X-0073 B (Statens fellesblankett) med nærmere opplysninger om klagerett mv. følger vedlagt. Med hilsen Erik Ø. Johnsen Direktør Vedlegg: Skjema X-0073 B (Statens fellesblankett) Side 8 av 8