Veiledning Søknad om tillatelse til å ta i bruk delsystemer som er en del av jernbaneinfrastrukturen. Utgivelsesdato:

Transkript

1 Veiledning Søknad om tillatelse til å ta i bruk delsystemer som er en del av jernbaneinfrastrukturen Utgivelsesdato:

2 1 Innledning Formålet med veiledningen Relevante forskrifter Jernbanesystemet Tillatelse til å ta i bruk strukturelle delsystemer Melding om endring i strukturelle delsystemer Tillatelse til å ta i bruk nytt eller endret strukturelt delsystem Kravgrunnlag Krav i samtrafikkforskriften og TSIer Nasjonale tekniske krav m.m Standarder Krav som stilles av andre myndigheter Krav i virksomhetsinterne bestemmelser Systemdefinisjon Risikovurdering Risikovurderinger i prosjektet Risikovurdering av sikker integrering i jernbanesystemet Vurdering av om felles sikkerhetsmetode for risikovurdering skal benyttes Gjennomføring av risikovurderingen Sikkerhetsplan Sikkerhetsbevis Sikkerhetsrapport Teknisk kontrollorgan Assessor Krav om assessor Aksept av assessor Assessors arbeid Kompetansekrav Uavhengighet Kommunikasjon Assessors arbeidsplan Assessorrapporten Unntak fra krav Unntak fra TSIer Unntak fra nasjonale tekniske krav Unntak fra virksomhetsinterne bestemmelser Side 2 av 23

3 1 Innledning 1.1 Formålet med veiledningen Denne veiledningen er ment som en hjelp til den som skal søke om tillatelse til å ta i bruk jernbaneinfrastruktur på det nasjonale jernbanenettet i henhold til samtrafikkforskriften. Jernbaneinfrastrukturen består av ulike delsystemer. Disse delsystemene deles i strukturelle delsystemer og funksjonelle delsystemer, se for øvrig kapittel 1.3. Veiledningen inneholder en redegjørelse for prosessen og dokumentasjonskravene ved søknad om tillatelse til å ta i bruk strukturelle delsystemer og melding om endring av strukturelle delsystemer. Veiledningen dekker ikke funksjonelle delsystemer. Dokumentasjonskravene til melding og søknad blir gjennomgått i kapitlene 2 til 9. Rollen til teknisk kontrollorgan og til assessor blir redegjort for i kapittel 10 og 11. Kapittel 12 inneholder en redegjørelse for unntak fra ulike typer regelverk. Veiledningen gjelder ikke søknad om tillatelse til å ta i bruk nytt kjøretøy og senere endringer av delsystemer som er en del av et kjøretøy Side 3 av 23

4 1.2 Relevante forskrifter Følgende forskrifter er relevante for søknad om tillatelse til å ta i bruk delsystemer som er en del av jernbaneinfrastruktur: forskrift 16. juni 2010 nr. 820 om samtrafikkevnen i jernbanesystemet (samtrafikkforskriften) gjeldende TSIer, en oppdatert oversikt over TSIer som er implementert i Norge finnes på tilsynets internettside ( forskrift 11. april 2011 nr. 389 om sikkerhetsstyring for jernbanevirksomheter på det nasjonale jernbanenettet (sikkerhetsstyringsforskriften) forskrift 11. april 2011 nr. 388 om nasjonale tekniske krav m.m. for jernbaneinfrastruktur på det nasjonale jernbanenettet (jernbaneinfrastrukturforskriften) forskrift 12. mars 2010 nr. 401 om gjennomføring av kommisjonsforordning (EF) nr. 352/2009 om innføring av felles sikkerhetsmetode for risikovurdering i henhold til artikkel 6 pkt. 3a i direktiv 2004/49/EF (forskrift om felles sikkerhetsmetode for risikovurderinger). forskrift 29. februar 2008 nr. 240 om togframføring på det nasjonale jernbanenettet (togframføringforskriften). Jernbaneloven Samtrafikkforskriften Jernbaneforskriften TSI TSI TSI Jernbaneinfra- Sikkerhets- styrings- Togfram- førings- struktur- forskriften forskriften forskriften Figur 1. Oversikt over jernbaneloven med relevante forskrifter Side 4 av 23

5 TSIer Nasjonale krav 1.3 Jernbanesystemet JERNBANESYSTEMET JERNBANE- INFRASTRUKTUR Spor Signalanlegg Energi KJØRETØY Lokomotiv Motorvogner Personvogner Godsvogner Arbeidsmaskiner DRIFT OG FORVALTNING AV JERNBANE- INFRASTRUKTUR OG KJØRETØY STRUKTURELLE DELSYSTEMER Infrastruktur Energi Styring, kontroll og signal Rullende materiell FUNKSJONELLE DELSYSTEMER: Trafikkstyring og drift Telematikkapplikasjoner Vedlikehold NASJONALE TEKNISKE TSIer (Tekniske spesifikasjoner for samtrafikkevne) KRAV Benytte når : det ikke finnes TSI som regulerer forholdet TSI-en ikke regulerer forholdet TSI-en har åpne punkter SAMTRAFIKK KOMPONENTER Skinner Sviller ERTMS/ETCS om bord ERTMS/GSM-R om bord med mer. NASJONALE KOMPONENTER Sikringsanlegg ATC Veisikringsanlegg med mer Omfattes ikke av kravet om tillatelse til å ta i bruk Figur 2. Jernbanesystemet Side 5 av 23

6 2 Tillatelse til å ta i bruk strukturelle delsystemer Dersom det innføres et nytt delsystem eller det gjøres endringer i eksisterende delsystemer, strukturelle eller funksjonelle, innebærer dette en endring i det norske jernbanesystemet. Dersom det skal innføres et nytt strukturelt delsystem i jernbanesystemet, er det alltid krav om tillatelse til å ta i bruk, jf. samtrafikkforskriften 13. Dersom det gjøres en endring i et eller flere strukturelle delsystemer, skal det sendes melding om dette til Statens jernbanetilsyn som vil vurdere om det er krav om tillatelse til å ta i bruk endringen, jf. samtrafikkforskriften 18. Det er ikke krav om melding om innføring av nytt strukturelt delsystem. Det kan likevel være en fordel å sende melding til tilsynet så tidlig som mulig for å informere om innføring av nye delsystemer bl.a. fordi tilsynet da kan gi veiledning underveis, slik at forutsigbarheten for søker blir bedre. Det er kun nye strukturelle delsystemer eller endring i strukturelle delsystemer som er omfattet av kravet til tillatelse til å ta i bruk. Innføring av nye funksjonelle delsystemer, eller endring i funksjonelle delsystemer er ikke omfattet av kravet om tillatelse. 2.1 Melding om endring i strukturelle delsystemer Dersom det gjøres en endring (fornyelse eller oppgradering) i et eller flere strukturelle delsystemer skal det sendes melding om dette til tilsynet, jf. samtrafikkforskriften 18. Når tilsynet mottar en melding om endring av et strukturelt delsystem skal tilsynet ta stilling til følgende, jf. samtrafikkforskriften 18: Om endringen er av en slik art og omfang at det kreves en ny tillatelse til å ta i bruk det strukturelle delsystemet I hvilket omfang de aktuelle TSIene skal gjelde for endringen av delsystemet Statens jernbanetilsyn skal også ta stilling til om det skal stilles krav til bruk av assessor. Se nærmere om assessor under kapittel 11. Følgende områder er omfattet av kravet til melding og eventuelt søknad: alle endringer som kan ha innvirkning på sikkerheten på det nasjonale jernbanenettet (sikkerhet for passasjerer, medarbeidere, materiell eller tredjepart) alle endringer som gjøres i henhold til krav i samtrafikkforskriften og TSIer alle midlertidige endringer i et større prosjekt som kan ha innvirkning på sikkerheten på det nasjonale jernbanenettet En utskifting av komponenter der egenskapene ikke endres i forhold til den gamle anses som vedlikehold, og det er derfor verken krav om melding eller søknad om tillatelse. Dersom det er usikkerhet i forhold til om det er en utskifting eller en endring, bør det sendes melding til tilsynet Side 6 av 23

7 En melding om endring av delsystem må inneholde følgende opplysninger og dokumentasjon: Kontaktperson Fremdriftsplaner Kravgrunnlaget, herunder standarder og TSIer Systemdefinisjon Sikkerhetsplan Risikovurderinger Vurdering av om felles sikkerhetsmetode for risikovurdering skal benyttes. En nærmere forklaring til de ulike punktene fremgår av kapitlene 3 til 9. Dersom en melding med vedlagt dokumentasjon viser at endringen er av begrenset omfang og kompleksitet, samt at søker har en god sikkerhetsstyring av endringsprosessen, kan tilsynet beslutte at søknad om tillatelse til å ta i bruk endringen ikke er nødvendig. Figur 3 illustrerer denne sammenhengen mellom kompleksitet, grad av sikkerhetsstyring og sannsynligheten for feil. For at tilsynet skal kunne vurdere endringens kompleksitet er det nødvendig at søker presenterer alle endringens sikkerhetsmessige funksjoner og egenskaper, samt endringens påvirkning på omgivelsene rundt. I tillegg vil tilsynet vurdere i hvor stor grad alle faser av endringen er styrt. Med styring menes både at selve endringen gjennomføres etter nedskrevne bestemmelser, prosedyrer og instruksjoner, og at endringen, når den settes i drift, skal drives etter nedskrevne bestemmelser, prosedyrer og instruksjoner. En endring kan være tilstrekkelig styrt gjennom bestemmelser, samt eksisterende prosedyrer og bestemmelser i virksomhetens sikkerhetsstyringssystem. Det vil likevel som regel være nødvendig at sikkerhetsstyringen fra planlegging frem til idriftssetting og utarbeidelse av de nødvendige driftsprosedyrer og bestemmelser dokumenteres i sikkerhetsplanen Side 7 av 23

8 Komplekst system Større sannsynlighet for feil Lav grad av sikkerhets- styring Mindre sannsynlighet for feil Høy grad av sikkerhetsstyring Enkelt system Figur 3. Vurdering av melding Dersom en endring kan innebære at det allmenne sikkerhetsnivået til vedkommende delsystem kan påvirkes negativt skal det alltid kreves tillatelse, jf. samtrafikkforskriften 18 annet ledd. 2.2 Tillatelse til å ta i bruk nytt eller endret strukturelt delsystem Statens jernbanetilsyn skal gi tillatelse til å ta i bruk alle nye delsystemer som innføres i det norske jernbanesystemet, samt endringer eller oppgraderinger av et visst omfang, jf. ovenfor. Tillatelse til å ta i bruk strukturelle delsystemer som er en del av jernbaneinfrastrukturen er det kun infrastrukturforvalter som kan søke om. For at en tillatelse til å ta i bruk et nytt eller endret strukturelt delsystem skal kunne utstedes må søkeren dokumentere at: det er stilt nødvendige og tilstrekkelige sikkerhetskrav til delsystemet, det er verifisert at delsystemet oppfyller de kravene som er stilt og det er verifisert at delsystemet kan integreres sikkert på det nasjonale jernbanenettet Side 8 av 23

9 I forbindelse med behandlingen av søknad om tillatelse til å ta i bruk skal tilsynet sjekke følgende, jf. samtrafikkforskriften 13: delsystemet oppfyller grunnleggende krav, herunder at kravene i TSIene er oppfylt eventuelle nasjonale krav er oppfylt teknisk forenelighet sikker integrering at delsystemet er i overensstemmelse med de relevante TSI-bestemmelsene vedrørende drift og vedlikehold Statens jernbanetilsyn fatter sine beslutninger på grunnlag av de opplysninger og den dokumentasjonen som ligger ved søknaden. En søknad om tillatelse til å ta i bruk et delsystem som er i henhold til TSI må inneholde følgende opplysninger og dokumentasjon: Oversikt over hvilke TSIer som er lagt til grunn EF-erklæring om samtrafikkomponentenes samsvar og bruksegnethet EF-verifiseringserklæring til delsystemene Kravgrunnlag Systemdefinisjon (eventuelt oppdatert) Sikkerhetsplan Sikkerhetsbevis Sikkerhetsrapport Beskrivelse av hvordan eventuelle nasjonale tekniske kravene er oppfylt der det er åpne punkter i TSI Virksomhetens behandling av unntak fra virksomhetsinterne bestemmelser Risikovurderinger (eventuelt oppdatert) Vurdering av om felles sikkerhetsmetode for risikovurderinger skal benyttes Risikovurdering av sikker integrering i jernbanesystemet Rapport fra assesserende enhet dersom felles sikkerhetsmetode for risikovurderinger er benyttet Assessorrapport Vedlikeholdsplan Dokumentasjon som er vedlagt en tildligere innsendt melding trenger ikke sendes på nytt med mindre det er gjort endringer i dokumentasjonen. En nærmere forklaring til de ulike punktene fremgår av kapitlene 3 til 9. En søknad om tillatelse til å ta i bruk et delsystem som ikke er i henhold til TSI må inneholde følgende opplysninger og dokumentasjon: Kravgrunnlag Systemdefinisjon Risikovurderinger Side 9 av 23

10 Sikkerhetsplan Sikkerhetsbevis Sikkerhetsrapport Virksomhetens behandling av unntak fra virksomhetsinterne bestemmelser Vurdering av om felles sikkerhetsmetode for risikovurderinger skal benyttes (søknad om tillatelse til å ta i bruk nytt delsystem) Risikovurdering av sikker integrering i jernbanesystemet Rapport fra assesserende enhet dersom felles sikkerhetsmetode for risikovurderinger er benyttet Assessorrapport Vedlikeholdsplan Dokumentasjon som er vedlagt en tidligere innsendt melding trenger ikke sendes på nytt med mindre det er gjort endringer i dokumentasjonen. En nærmere forklaring til de ulike punktene fremgår av kapitlene 3 til 9. 3 Kravgrunnlag Infrastrukturforvalter har til enhver tid ansvar for å holde sikkerhetsstyringssystemet oppdatert, slik at det fremgår hvilke krav de er underlagt. Dette innbærer at krav fra lover og forskrifter, samt interne bestemmelser skal fremgå av sikkerhetsstyringssystemet. Kravene skal benyttes når et nytt strukturelt delsystem skal integreres i jernbanesystemet eller ved endring av eksisterende delsystemer. Innledningsvis i et prosjekt må søker definere hva endringen egentlig omfatter. Formålet med denne bakgrunnsbeskrivelsen er å gi et innblikk i systemet som er tilstrekkelig til at alle etterfølgende RAMS (Reliability, Availability, Maintainability and Safety) aktiviteter kan utføres, jf. EN Beskrivelsen bør som et minimum inneholde: En beskrivelse av prosjektets omfang, herunder systemets anvendelse gjennom hele systemets livssyklus. En beskrivelse av prosjektets avgrensning innenfor det samlede jernbanesystem. Når søker har gjennomgått kravene fra de forskjellige kildene, forutsettes kravgrunnlaget avdekket, og krav til delsystemet og prosessen som kommer fra lover, forskrifter, standarder og virksomhetsinterne bestemmelser, samt nye funksjoner, skal være kjent. Når de tekniske og funksjonelle kravene er identifisert, skal kravene listes i systemdefinisjonen. Kravene skal kunne spores tilbake til deres opprinnelse. Krav til prosessen skal samles i en sikkerhetsplan, jf. kapittel Side 10 av 23

11 Lover Tekniske krav Forskrifter Systemdefinisjon Standarder Sikkerhetsrelaterte prosesskrav Sikkerhetsplan Interne bestemmelser Nye funksjonskrav Figur 4. Kravgrunnlaget 3.1 Krav i samtrafikkforskriften og TSIer For at det skal kunne gis tillatelse til å ta i bruk strukturelle delsystemer, må delsystemet tilfredsstille de grunnleggende kravene i samtrafikkforskriften, jf. samtrafikkforskriften 5. De grunnleggende kravene blir utdypet i tekniske spesifikasjoner for interoperabilitet (TSIer). Det må derfor identifiseres om det finnes TSIer som skal oppfylles. Det finnes to sett med TSIer, en for høyhastighetsjernbane og en for konvensjonell jernbane. Per i dag har Norge ingen høyhastighetsjernbaner, men dersom en strekning skal oppgraderes til ca. 200 km/t eller nye strekninger bygges til 250 km/t vil TSIene for høyhastighetsjernbane gjelde. Ved tvil om hvilke TSIer som gjelder i det enkelte prosjektet, bør det innledes en dialog med tilsynet om dette. TSIer gjelder ikke i Norge før de er implementert som norsk forskrift. Dette innebærer at vedtatte TSIer og som gjelder i EU, ikke alltid er gjeldende i Norge. En oppdatert oversikt over gjeldende TSIer finnes på tilsynets hjemmesider, Side 11 av 23

12 Samtrafikkforskriften gjelder i utgangspunktet for hele det nasjonale jernbanenettet, jf. samtrafikkforskriften 1. TSIene gjelder for hele det nasjonale jernbanenettet selv om TSIen selv angir TEN-nettet som virkeområde, jf. samtrafikkforskriften 7. En oversikt over det norske TEN-nettet fremgår av samtrafikkforskriften vedlegg I. For nye delsystemer som innføres, vil i utgangspunktet TSIer som er implementert gjennom norsk forskrift gjelde for delsystemet. For TSIer som har krav om nasjonale implementeringsplaner, vil hele eller deler av TSIen gjelde fra det tidspunktet implementeringsplanen bestemmer. Eksempler på TSIer som krever nasjonale implementeringsplaner er TSI-styring, kontroll og signal og TSI-drift og trafikkstyring. Dersom Norge har fått innvilget særtilfeller fra TSIen, vil disse fremgå av forskriften som implementerer TSIen. Ved fornyelse eller oppgradering av eksisterende delsystemer der det er behov for ny tillatelse, skal Statens jernbanetilsyn ta stilling til i hvilket omfang en TSI skal få anvendelse, jf. samtrafikkforskriften 18 annet ledd. I tillegg til krav i samtrafikkforskriften og TSIer, er det også krav i andre forskrifter som er relevante for behandlingen av søknad om tillatelse til å ta i bruk, jf. kapittel 4.2. Dersom det ikke er mulig å følge TSIen, eller det er uforholdsmessig dyrt, kan det søkes om unntak fra TSIer, jf. samtrafikkforskriften 8. For en nærmere redegjørelse for søknad om unntak fra TSIer, jf. kapittel Nasjonale tekniske krav m.m. De nasjonale tekniske kravene til delsystemer som inngår i jernbaneinfrastruktur fremgår av jernbaneinfrastrukturforskriften. De nasjonale tekniske kravene skal benyttes når: det ikke finnes TSI som regulerer forholdet TSIen ikke regulerer forholdet TSIen har åpne punkter Også togframføringsforskriften kan ha krav som er relevante for endringer i delsystemer, f.eks. signalplassering. Dersom det ikke er mulig å følge alle de nasjonale tekniske kravene eller krav i togframføringsforskriften, kan Statens jernbanetilsyn gi unntak. For en nærmere redegjørelse for unntak fra nasjonale tekniske krav, vises det til kapittel Standarder Det må foreligge en liste over standarder som planlegges brukt. En slik liste vil nødvendigvis måtte være et levende dokument frem til søknadstidspunktet. Det skal også beskrives hvordan man har valgt standardene og hvordan kompletterende standarder tenkes valgt. Selve teksten i standardene skal ikke oversendes med mindre tilsynet ber om det Side 12 av 23

13 Listen over anvendte standarder skal på søknadstidspunktet være komplett. Hvis det er gjort avvik fra de aksepterte standardene, skal disse avvikene dokumenteres sammen med virksomhetens behandling og vurdering av hvert enkelt avvik i henhold til virksomhetens interne rutiner. 3.4 Krav som stilles av andre myndigheter Det kan også være krav til jernbaneinfrastruktur som stilles av andre myndigheter. En tillatelse til å ta i bruk delsystemer som inngår i jernbaneinfrastruktur omfatter ikke forhold som reguleres av andre myndigheter. Dette gjelder blant annet for strømforsyningsanlegg (inkludert selve kontaktledningsanlegget) som hører inn under ansvarsområdet til Direktoratet for samfunnssikkerhet og beredskap (DSB), og frekvens og sendestyrke på radioutstyr som hører inn under ansvarsområdet til Post- og teletilsynet (PT). Det er søkers ansvar å sørge for at krav fra andre myndigheter tilfredsstilles, samt at nødvendige godkjenninger og tillatelser fra andre myndigheter foreligger før delsystemet tas i bruk. 3.5 Krav i virksomhetsinterne bestemmelser Et sikkerhetsstyringssystem skal inneholde alle krav som gjelder virksomheten slik at den drives innenfor akseptabel risiko, jf. sikkerhetsstyringsforskriften 3-1. Et sikkerhetsstyringssystem skal inneholde både krav til prosedyrer og tekniske krav. Prosedyrer er bestemmelser som beskriver hvordan personell i virksomheten skal utføre og dokumentere bestemte arbeidsoppgaver. Tekniske krav inneholder krav som utfyller forskriftskrav som virksomheten stiller til de tekniske systemene, samt beskrivelser av de tekniske systemenes utforming og hvordan de virker. Søker må i forbindelse med innføring av et nytt delsystem eller endring av eksisterende delsystemer identifisere alle de relevante virksomhetsinterne bestemmelsene som vil gjelde for prosjektet. Det bør i den forbindelse foretas en vurdering av følgende forhold: Om alle de virksomhetsinterne bestemmelsene kan overholdes. Om innføringen av nytt delsystem eller endringen i eksisterende delsystemer medfører at det oppstår nye risikoer slik at det er behov for å endre eller innføre nye virksomhetsinterne bestemmelser. Nye risikoer oppstår typisk når søker: innfører en ny sikkerhetsfunksjon eller endrer en eksisterende, realiserer en kjent sikkerhetsfunksjon med en annen teknologi enn tidligere, realiserer en kjent sikkerhetsfunksjon med andre komponenter enn tidligere, benytter kjent teknologi i nye sammenhenger, endrer omgivelsene til delsystemet. De virksomhetsinterne bestemmelsene som identifiseres som relevante bør tas med i systemdefinisjonen og sikkerhetsplanen. Dersom det er identifisert behov for endring i eller innføring av nye bestemmelser, eller det er behov for unntak fra virksomhetsinterne bestemmelser, bør dette avspeiles i aktiviteter i sikkerhetsplanen. Se nærmere om unntak fra virksomhetsinterne bestemmelser under kapittel Side 13 av 23

14 4 Systemdefinisjon Når de aktivitetene som er redegjort for i kapittel 3 er gjennomgått, skal kravgrunnlaget være avdekket. Krav til produktet og krav om nye funksjoner vil da være kjent. Krav som er identifisert i kravgrunnlaget bør listes i en systemdefinisjon. Kravene må kunne spores tilbake til sin opprinnelse. Systemdefinisjonen har som hovedformål å gi alle som deltar i utviklingen eller endringen av et system, det samme bildet av systemet, dets anvendelse og grensesnitt mot tilliggende systemer. Systemdefinisjonen skal også gi alle som senere deltar i prosessen det samme bildet av systemet, dets anvendelse og grensesnitt mot tilliggende systemer. Det bør legges særlig vekt på å beskrive sikkerhetsfunksjoner og sikkerhetskrav. Det er videre viktig å forklare spesielle systemfunksjoner, spesielle komponenter, fagtekniske termer, organisatorisk forhold og forkortelser slik at utenforstående kan lese og forstå systemdefinisjonen. Systemdefinisjonen skal tilpasses etter systemets karakter, slik at leseren har tilstrekkelig, men ikke overflødig, informasjon til rådighet. For et lite komplekst system vil systemdefinisjonen ofte være relativt kort, mens for et mer komplekst system vil systemdefinisjonen være mer omfattende. Systemdefinisjonen bør også inneholde en forklaring på hvorfor det nye systemet eller endringen innføres. 5 Risikovurdering 5.1 Risikovurderinger i prosjektet Det må gjennomføres risikovurderinger i planleggingsfasen. Risikovurderingene skal identifisere de farene som er knyttet til den planlagte endringen i jernbanesystemet. Videre skal risikovurderingene vise hvordan hver enkelt av disse farene er ivaretatt enten gjennom eksisterende eller nye krav. Risikovurderingene er et viktig moment når Statens jernbanetilsyn skal vurdere om det kreves søknad om tillatelse til å ta i bruk en endring i et delsystem eller ikke. Dersom kompleksiteten er lav og graden av sikkerhetsstyring er stor, kan tilsynet bestemme at det ikke er behov for å søke om tillatelse til å ta i bruk endringen, jf. kapittel 2.1. Risikovurderingene skal være dokumentert. Det stilles ikke krav til hvilken metode som skal benyttes, men det må velges en anerkjent metode, jf. kommentarene til sikkerhetsstyringsforskriften Risikovurdering av sikker integrering i jernbanesystemet Før et delsystem, eller endring av et delsystem, kan tas i bruk på det nasjonale jernbanenettet skal det foreligge en risikovurdering som viser at delsystemet kan integreres på en sikker måte i Side 14 av 23

15 jernbanesystemet, jf. samtrafikkforskriften 13. Risikovurderingen skal identifisere de farer som oppstår når jernbanesystemet endres, og dokumentere hvordan disse farene blir håndtert. Nødvendige tiltak skal dokumenteres. Det skal også dokumenteres hvilke metoder som er benyttet for risikovurdering, og bakgrunnen for at disse er valgt Vurdering av om felles sikkerhetsmetode for risikovurdering skal benyttes I forbindelse med valget av metode for risikovurdering nevnt over, skal det vurderes om endringen av jernbanesystemet er å betrakte som en vesentlig endring i henhold til forskrift om felles sikkerhetsmetode for risikovurdering. Hvorvidt en endring er vesentlig eller ikke er det søker selv som vurderer ved bruk av de 6 kriteriene som er listet i artikkel 4 i forordning om felles sikkerhetsmetode for risikovurderinger som forskriften viser til. Disse kriteriene er: a) Følger av svikt: Realistisk scenario basert på verst tenkelige tilfelle av svikt i systemet under vurdering, idet det tas hensyn til at det finnes sikkerhetstiltak utenfor systemet. b) Nyskaping benyttet ved gjennomføringen av endringen: Dette gjelder både hva som er nyskapende på jernbanesektoren, og hva som er nytt bare for organisasjonen som gjennomfører endringen. c) Endringens kompleksitet. d) Tilsyn: Manglende evne til å føre tilsyn med den gjennomførte endringen i hele systemets levetid og treffe egnede tiltak. e) Reversibilitet: Manglende evne til å gå tilbake til slik systemet var før endringen. f) Addisjonalitet: Vurdering av betydningen av endringen, idet det tas hensyn til alle nyere sikkerhetsrelaterte endringer av systemet under vurdering og som ikke ble bedømt som vesentlige. Det legges videre til grunn i forordningen at denne vurderingen utføres av fageksperter, og at den dokumenteres Gjennomføring av risikovurderingen Hvis det konkluderes med at endringen er vesentlig, skal metodikken i forskriften om felles sikkerhetsmetode for risikovurdering følges, herunder at det skal benyttes en assesserende enhet. Dette er ikke den samme funksjonen som en assessor i henhold til EN 50126, EN eller EN 50129, jf. kapittel 11. Den assesserende enheten skal vurdere om risikostyringsprosessen i forskriften er korrekt anvendt, herunder om resultatet av prosessen er troverdig. Assesserende enhet skal levere en rapport til søker. Rapporten oversendes tilsynet sammen med risikovurderingen. Hvis endringen ikke er å betrakte som vesentlig i henhold til kriteriene i felles sikkerhetsmetode for risikovurdering stilles det ikke krav til hvilken metode som skal benyttes. Det må allikevel velges en anerkjent metode, jf. kommentarene til sikkerhetsstyringsforskriften Side 15 av 23

16 6 Sikkerhetsplan Det er behov for å utarbeide et sikkerhetsplan for å styre endringen i jernbanesystemet. Formålet med å utarbeide en sikkerhetsplan er at den som skal innføre et nytt delsystem eller gjennomføre en endring tvinges til å utarbeide en strukturert prosess og identifisere i hvilke faser det er behov for å gjennomføre risikoreduserende aktiviteter. Når sikkerhetsplanen er utarbeidet, brukes den til å styre arbeidet, slik at utviklingen av produktet foregår på en strukturert og veldokumentert måte. En sikkerhetsplan er et levende dokument og skal oppdateres fortløpende. Oppdatering vil f.eks. være nødvendig hvis forutsetninger endres, beslutninger og valg tas, beslutninger endres, nye opplysninger eller ny kunnskap blir kjent, eller hvis omgivelsene, lover eller forskrifter endres. Sikkerhetsplanene skal typiske innhold følgende: 1. Sikkerhetsfilosofi og strategi, RAMS-policy 2. Sikkerhetsplanens omfang 3. Systemdefinisjon og grensesnitt 4. Rollebeskrivelser, ansvarsforhold, kompetanse og sammenheng mellom aktører 5. Beskrivelse av livsløp og sikkerhetsoppgaver i hver fase 6. Beskrivelse av risikovurdering, RAMS-krav, verifisering og validering, prosjektering og evalueringer gjennom livsløpet 7. Detaljer rundt RAMS-leveranser fra livsløpsfasene (rapporter etc.) 8. Prosess for fremskaffelse av sikkerhetsbevis 9. Prosess for sikkerhetsaksept av systemet 10. Prosess for sikkerhetsaksept av systemendringer 11. Prosess for å analysere drift- og vedlikeholdsytelse for å sikre at realisert sikkerhet er i henhold til krav 12. Prosess for vedlikehold av sikkerhetsdokumentasjon, inkludert Hazard Log og bruksbetingelser 13. Grensesnitt mot andre planer og programmer 14. Begrensninger og antagelser i planen 15. Systemer for styring av leverandører 16. Krav til periodiske sikkerhetsrevisjoner, sikkerhetsevalueringer og sikkerhetsgjennomganger gjennom livsløpet, inklusive uavhengighet for utførende personell 17. Aktivitetsliste med ansvarsallokering og tidsangivelser (RAMS-program) Innholdslisten for sikkerhetsplanen er hentet fra EN50126, kap De detaljerte kravene finnes i EN I Sikkerhetsplanen inngår en aktivitetsliste som tilsvarer det EN refererer til som RAMS-program (jf. punkt 17 over). 7 Sikkerhetsbevis Når prosesstandard EN er i bruk, herunder ved alle nyanlegg og vesentlige ombygginger skal søknaden vedlegges sikkerhetsbevis (safety case). Sikkerhetsbevis skal alltid vedlegges når det Side 16 av 23

17 søkes om tillatelse til å ta i bruk delsystemet styring, kontroll og signal, uansett grad av ombygging. I søknad om tillatelse til å ta i bruk delsystemet styring, kontroll og signal skal strukturen beskrevet i EN benyttes. Denne strukturen anbefales også benyttet for andre delsystemer. 8 Sikkerhetsrapport Sikkerhetsrapporten er toppdokumentet som skal vise at de sikkerhetsaktiviteter som ble beskrevet i sikkerhetsplanen er gjennomført med tilfredsstillende resultat. Den skal også dokumentere hvordan organiseringen av sikkerhetsarbeidet har vært gjennomført. Fareloggen (hazard log) skal vedlegges sikkerhetsrapporten, og det skal vises hvordan hvert enkelt element er behandlet, om det er lukket eller overført til sikkerhetsoppfølgingsplanen. Sikkerhetsrapporten skal også inneholde, eventuelt vedlegges, følgende: oversikt over verifikasjoner, liste over anvendte standarder med oversikt over avvik fra standarder og de sikkerhetsmessige vurderinger som ligger til grunn for søkers aksept av avvikene og sikkerhetsoppfølgingsplan. Oversikt over verifikasjoner skal omfatte samtlige prøver som er gjennomført for å verifisere at de sikkerhetsmessige kravene er ivaretatt. Videre skal den ha henvisninger til underliggende verifikasjonsrapporter samt vise koplingen mellom gjennomførte prøver og de sikkerhetskritiske forhold. Sikkerhetsoppfølgingsplanen skal vise hvilke forhold driftsorganisasjonen må ha fokus på etter at anleggene er overtatt av dem. Sammen med vedlikeholdsplanen skal dette danne grunnlaget for sikker drift og vedlikehold av alle delsystemene som inngår i jernbaneinfrastrukturen. 9 Teknisk kontrollorgan Hvorvidt et delsystem eller endringen i delsystemet er i henhold til krav i TSIen skal kontrolleres av et teknisk kontrollorgan, som er utpekt av en EØS-stat eller Sveits. Når et teknisk kontrollorgan blir utpekt skal det notifiseres til EU. Listen over tekniske kontrollorganer finnes på EUs hjemmesider: ( dbodies&char=e). Et teknisk kontrollorgan er en uavhengig tredjepart som kontrollerer at delsystemene og samtrafikkomponenter er i samsvar med kravene i TSIene. Teknisk kontrollorgan utsteder en EFverifiseringserklæring dersom delsystemet tilfredsstiller kravene i de relevante TSIene eller en EFerklæring om samtrafikkomponentens samsvar og bruksegnethet dersom samtrafikkomponentene tilfredsstiller kravene i de relevante TSIene. Fremgangsmåten for EF-verifiseringserklæring fremgår av samtrafikkforskriften vedlegg VI. Dersom det foreligger en EF-verifiseringserklæring, skal delsystemet anses å ha samtrafikkevne og å oppfylle de grunnleggende kravene Side 17 av 23

18 Et delsystem består av ulike samtrafikkomponenter. Statens jernbanetilsyn er ikke involvert i godkjenningsprosessen av disse komponentene. Samtrafikkomponentene kontrolleres utelukkende av teknisk kontrollorgan. Når samtrafikkomponentene har fått en EF-erklæring om samtrafikkomponentens samsvar og bruksegnethet, kan de inngå i interoperable delsystemer som forhåndsgodkjente komponenter. Hvis en endring er omfattet av en eller flere TSIer, bør teknisk kontrollorgan engasjeres så tidlig som mulig i prosessen og gjerne allerede i fase 2 i livssyklusmodellen i EN Bruk av teknisk kontrollorgan gjelder kun for innføring av nytt delsystem eller endring i eksisterende delsystemer som er en del av det transeuropeiske jernbanenettet (TEN-nettet). 10 Assessor En assessor er å anse som en type tredjepart Krav om assessor Statens jernbanetilsyn kan bestemme at det skal benyttes assessor ved innføring av et nytt delsystem eller endring i eksisterende delsystem, jf. jernbaneinfrastrukturforskriften 3-2 første ledd. Krav om bruk av assessor vil særlig være aktuelt når nye systemer/ny teknologi skal tas i bruk. Avgjørelsen om at assessor skal benyttes eller krav om at en uavhengig sikkerhetsvurdering skal fremlegges er en prosessledende avgjørelse og ikke et enkeltvedtak i henhold til forvaltningsloven. Krav om at assessor skal benyttes eller at uavhengig sikkerhetsvurdering skal fremlegges kan derfor ikke påklages. Konsekvensen av at assessor ikke benyttes eller en uavhengig sikkerhetsvurdering ikke blir fremlagt når tilsynet krever det, vil være at tillatelse til å ta i bruk ikke gis. Et slik avslag vil kunne påklages Aksept av assessor Når Statens jernbanetilsyn stiller krav om assessor, skal tilsynet akseptere valg av assessor, jf. jernbaneinfrastrukturforskriften 3-2 annet ledd. Søker bør søke om aksept av assessor separat tidlig i en tillatelsesprosess. En søknad om aksept av assessor skal vedlegges CV til assessor, dokumentasjon på uavhengighet og assessors utkast til arbeidsplan. Tilsynet aksepterer en person eller en gruppe personer som assessor, ikke en virksomhet eller et selskap. Dette innebærer at dersom en assessor byttes ut og erstattes av en annen, krever dette en ny søknad om aksept av assessor. Tilsynets aksept av assessor innebærer ikke aksept av resultatet av assessors arbeid. Dette arbeidet skal dokumenteres i en assessorrapport som tilsynet vurderer på fritt grunnlag. Selv om ikke tilsynet krever bruk av assessor, kan virksomheten likevel velge å benytte assessor. I slike tilfeller er det ikke krav om at assessor skal aksepteres av Statens jernbanetilsyn Side 18 av 23

19 10.3 Assessors arbeid En assessors oppgave er å evaluere om de som har spesifisert og validert systemet har fått et produkt som tilfredsstiller de gitte krav, at produktet er tilstrekkelig gransket og testet samt å bedømme om produktet oppfyller sin hensikt. Assessor skal ikke selv foreta verifisering og validering, men skal vurdere den verifisering og validering som allerede er foretatt i prosjektet. Assessor kan likevel til enhver tid selv foreta egne vurderinger, granskninger, foreta stikkprøvekontroll eller kreve at den eksisterende verifisering og valideringen blir supplert Kompetansekrav En assessor skal ha tilstrekkelig kompetanse innenfor det fagområdet som skal evalueres, slik at vedkommende kan foreta de nødvendige vurderinger av sikkerheten. Kompetansen må omfatte den relevante teknologien, fagfeltet, personlig egnethet og erfaring. Videre skal vedkommende kunne kommunisere resultatet av arbeidet på en klar og entydig måte. Tilsynet forutsetter at assessor også har god kjennskap til den relevante lovgivningen og relevante standarder. For et komplekst system, vil ofte ikke en enkelt person inneha tilstrekkelig kompetanse til å utføre hele evalueringen alene. I slike tilfeller kan det nedsettes et team av flere assessorer som til sammen har kompetanse på hele systemet. Dersom det benyttes et team med flere assessorer, bør èn assessor være ansvarlig for å samordne evalueringen, Det skal fremgå av f.eks. assessors arbeidsplan at vedkommendes kompetanse er dekkende i forhold til den evalueringen som skal utføres. Dersom det benyttes et team av assessorer skal den samlede kompetanse for teamet fremgå Uavhengighet Assessor må sikre at det ikke er noen forhold som kan innvirke på assessors evne til å gjennomføre en uavhengig og upartisk evaluering av sikkerheten. Dette innebærer bl.a. at assessor må ha en ledelsemessig uavhengig posisjon i forhold til oppdragsgiver. Assessor skal ikke ha deltatt i oppgaveløsingen i prosjektet vedkommende skal evaluere, og skal heller ikke bidra med løsninger eller valg i forbindelse med det prosjektet vedkommende skal evaluere. Dersom det benyttes et team av assessorer må uavhengigheten kunne vises for alle assessorer som er involvert. Assessor må sikre at uavhengigheten ikke svekkes av andre aktiviteter som pågår i assessors organisasjon Side 19 av 23

20 Assessors uavhengighet må dokumenteres gjennom f.eks. assessors arbeidsplan Kommunikasjon Statens jernbanetilsyn skal kunne ha direkte kontakt med assessor. All kommunikasjon mellom assessor, oppdragsgiver og tredjeparter vedrørende sikkerhet skal være entydig, objektiv, retttidig og dokumentert. Videre må det skilles klart mellom fakta og bevis og assessors egne oppfatninger og vurderinger Assessors arbeidsplan Assessor skal sikre at evalueringen er tilstrekkelig planlagt slik at assessor kan levere de nødvendige innspillene i rett tid slik at unødvendige forsinkelser unngås. Det vil også være naturlig at assessors arbeidsplan inneholder opplysninger om assessors kompetanse i forhold til evalueringen som skal utføres og assessors uavhengighet Assessorrapporten Assessorrapporten skal gi en vurdering av og en anbefaling om det er stilt tilstrekkelig og nødvendige krav til produktet og om disse kravene er oppfylt. Assessorrapporten er viktig for tilsynet ved vurdering av søknaden, og anses i enkelte tilfelle som helt nødvendig for at tilsynet skal ha tilstrekkelig grunnlag for å kunne vurdere en søknad om tillatelse til å ta i bruk. Assessorrapporten skal inneholde følgende, dersom det er relevant: Definere assessors oppgave. En beskrivelse av hvilke deler av produktet og produktets dokumentasjon som assessor har vurdert. Hvis det benyttes både teknisk kontrollorgan og assessor, skal grensesnittet mellom teknisk kontrollorgan og assessor beskrives. Hvis flere assessorer skal vurdere hver sin del av et større produkt, skal grensesnittet mellom dem avklares og beskrives. Dersom det er flere assessorer, må det foretas en vurdering av om det er behov for å utpeke en assessor som har ansvaret for at alle del-assessorrapportene dekker hele produktet. 11 Unntak fra krav 11.1 Unntak fra TSIer I enkelte tilfeller vil det være behov for unntak fra en eller flere TSIer, selv om disse i utgangspunktet gjelder for nye delsystemer eller endringer i eksisterende delsystem. Samtrafikkforskriften 8 gir en hjemmel for å kunne innvilge unntak i noen konkrete tilfeller Side 20 av 23