Hodnocení bezpečnosti železničních zabezpečovacích zařízení – 1. část

• Foto

ÚVOD
Železniční doprava se obecně vyznačuje poměrně vysokým standardem bezpečnosti. To lze přičítat mnohaletým zkušenostem, práci v oblasti technického vývoje, ale též zavedení mnoha technologických i administrativních opatření. Případným nehodám, které mohou z řady předvídatelných i méně předvídatelných příčin v železničním provozu nastat, napomáhají zabraňovat zabezpečovací zařízení. Jejich účelem je kromě zajištění bezpečné jízdy vlaků a posunujících dílů též zvýšení hospodárnosti využití dostupných prostředků železnice a omezení bezprostředního vlivu lidského činitele na bezpečnost provozu včetně odstranění namáhavé a nebezpečné práce železničních zaměstnanců. Tento článek se zabývá procesem hodnocení bezpečnosti drážních systémů, zejména železničních zabezpečovacích systémů. Z důvodu rozsahu problematiky bude článek publikován ve dvou částech. První část pojednává o dříve uplatňovaných přístupech k zajištění bezpečnosti železničních zabezpečovacích zařízení. V druhé části bude popsán princip schvalování dle evropských norem [1], [2], [3], kdy hlavním výstupem hodnotitele bezpečnosti (assesora) je „Zpráva o hodnocení bezpečnosti“. Příspěvek seznamuje čtenáře kromě obecných zásad procesu nezávislého hodnocení bezpečnosti drážních systémů také s příslušnými legislativními a normativními požadavky.

HISTORIE SCHVALOVÁNÍ ŽELEZNIČNÍCH ZABEZPEČOVACÍCH ZAŘÍZENÍ
Z charakteru železniční dopravy vyplývají vysoké požadavky na zajištění spolehlivého a především bezpečného provozu. Případné železniční nehody mají značně negativní následky pro lidskou společnost a znamenají též velké materiální škody. Z uvedených důvodů napomáhá zabezpečovací technika zajištění plynulého a bezpečného provozu. Dosažitelná úroveň bezpečnosti zabezpečovacího zařízení je ovlivněna všemi fázemi jeho životního cyklu, od návrhu a vývoje až po nasazení do provozu a provozní údržbu. Závažnost zabezpečovacího zařízení pro zajištění bezpečnosti provozu tedy vyžaduje stanovení a striktní dodržování přesných a jednoznačných pravidel pro návrh, vývoj, projektování, výrobu, montáž, obsluhu a udržování zařízení, která jsou vyjádřena v podobě provozní a technické dokumentace. Uvedená dokumentace v minulosti procházela, stejně jako vlastní zařízení, různými stupni vývoje a úprav, tudíž nelze spatřovat její jednotnost. V průběhu času vznikaly rozličné podklady

• normy státní,
• normy oborové,
• normy podnikové,
• předpisy ČSD, ČD, SŽDC,
• technické podmínky,
• vzorové listy,
• výrobní výkresy.

Důležitými podklady jsou směrnice, výnosy vydané ministerstvem dopravy, případně dalšími pověřenými správními složkami. Výzkum a vývoj železničních zabezpečovacích zařízení se v minulosti řídil převážně směrnicemi, které mnohdy zachycovaly těžce nabytou zkušenost vyplývající z analýzy nehodových událostí.

Se zvyšující se složitostí a rozsahem funkcí technického řešení zabezpečovacích zařízení se postupem času začaly projevovat také chyby způsobené tvůrcem technického řešení. Tyto tzv. „systematické chyby“ mohou vznikat již ve fázi návrhu, vývoje či projekce, v provozu se pak mohou projevit nehodou až při vzniku složité kombinace stavů, při které zařízení nemuselo být před spuštěním přezkoušeno. Kromě těchto systematických chyb musí být zabezpečovací zařízení odolné vůči uvažovaným vlastním poruchám, případně vnějším vlivům – tzv. náhodné poruchy. Při těchto chybách či vlivech nesmí takové zařízení umožnit vznik nebezpečné situace, která by mohla vést k nehodě.

Pro eliminaci rizik vyplývajících z případné skryté chyby zařízení se postupně zavedl institut nezávislých technických schvalovatelů (dnes hodnotitelů bezpečnosti). Hlavním předmětem jejich činnosti je nezávislé potvrzení, že instalované zabezpečovací zařízení vyhovuje známým bezpečnostním požadavkům a že návrh a vývoj zařízení byl prováděn dle definovaných procesů zajišťujících eliminaci systematických i náhodných poruch. Přístup a postup nezávislého schvalování se přirozeně vyvíjel společně s technologií a složitostí zabezpečovacích zařízení. Základní aspekty a přístupy schvalování typických zabezpečovacích zařízení jsou zachyceny v následující části.

Mechanická a elektromechanická zabezpečovací zařízení
Schvalování železničních zabezpečovacích zařízení se provádí již od jejich samotného vzniku. Počátky nezávislého hodnocení a posuzování bezpečnosti železničních zabezpečovacích systémů lze spatřovat při nasazování mechanických a elektromechanických zabezpečovacích zařízení na přelomu 19. a 20. století. V té době existovaly především tzv. vzorové listy, které popisovaly, jakým způsobem je nutno železniční zabezpečovací zařízení konstruovat, což je možné považovat za ekvivalent současných technických norem a předpisů. V případě konstrukce mechanických zabezpečovacích zařízení na počátcích vývoje zabezpečovací techniky praxe ukázala, že lze téměř bezezbytku odstranit včas nedostatky a vady zařízení zaviněné vlastnostmi lidského činitele (projektantů a konstruktérů) a také poruchami materiálu. Uvedená skutečnost vyplývá z charakteru pracovních činností, neboť výroba zařízení probíhala v prostředí uzpůsobeném danému účelu (specializované dílny apod.) a za dostatku času. Práci každého zaměstnance kontroloval nejméně jeden, obvykle však více kvalifikovaných zaměstnanců. Vedení podniků zabývajících se výrobou zabezpečovacího zařízení též sbírala zkušenosti z procesu projektování a výroby a následně důkladně proškolovala své zaměstnance. Tyto odborné podniky musely splňovat velmi vysokou kvalitu výroby v oblasti strojírenství, elektrotechniky a jemné mechaniky, což se pochopitelně promítlo do ceny zařízení, vytvořily si však tradici a jejich dobré jméno znamenalo záruku kvality jimi vyrobených zařízení. Na dobrém jménu podniku závisela i míra nasazování jeho výrobků do provozu. Takto vytvořené podmínky pro výrobu zabezpečovacích zařízení umožnily, aby se omyly zúčastněných pracovníků i vady materiálu mohly projevit dříve, než by ohrozily
bezpečnost provozu. Závody na výrobu zabezpečovacích zařízení byly obvykle velmi úzce specializovány a nebyly jim zadávány žádné jiné, byť velmi podobné, úkoly.

Projekt výstavby konkrétního zabezpečovacího zařízení probíhal v několika stupních. Nejprve byl vypracován projekt k posouzení technické účelnosti a hospodárnosti návrhu. Další stupně již představovaly výrobní (montážní) výkresy. Samostatnou kapitolou byla práce konstruktéra, který navrhoval konstrukční provedení jednotlivých součástí stroje. Tvorba výkresové dokumentace a její pečlivá kontrola kladla na projektanty velmi vysoké nároky, zejména časové. Ke konkrétnímu zařízení byla zpracována dokumentace, která byla před předáním návěstním dílnám zkontrolována jiným zkušeným pracovníkem (tedy bylo provedeno nezávislé posouzení). Příslušné zabezpečovací zařízení bylo následně v návěstních dílnách prověřeno detailní zkouškou funkce. Poté se zařízení v návěstních dílnách demontovalo a namontovalo se do příslušné železniční stanice, kde byly v rámci aktivace provedeny obdobné zkoušky za přítomnosti odpovědných pracovníků (úředníků), které jmenovalo vedení železnice. Schvalování návrhů zabezpečovacího zařízení bylo v období 30. let 20. století v kompetenci Odboru VI. Ministerstva železnic, Departmentu VI/6 Věci zabezpečení dopravy a zařízení návěštní. Postupem doby se začal nezávislým posuzováním zabezpečovacích zařízení zabývat Výzkumný ústav dopravní (VÚD), který byl v 70. letech rozdělen na Výzkumný ústav železniční v Praze (VÚŽ) a Výzkumný ústav dopravní v Žilině. Později se na schvalování podílelo také Projekčně konstrukční vývojové pracoviště.

Vlastní vyzkoušení a uvádění konkrétního zabezpečovacího zařízení do provozu bylo od 70. let 20. století upraveno Výnosem dlouhodobé platnosti [9]. V současné době se řídí předpisem [10] a jeho přílohami, které stanovují upřesňující požadavky pro jednotlivé druhy zabezpečovacího zařízení.

Reléová zabezpečovací zařízení
Počátkem 50. let 20. století se do provozu začaly nasazovat reléové systémy. Pro tyto systémy nebyly zpočátku definovány jednoznačné postupy pro jejich posuzování a hodnocení. Složitost a rozsah těchto systémů výrazně narůstaly, proto se brzy ukázalo, že samotná zkouška zařízení při jeho aktivaci není dostačující. Hlavním důvodem je skutečnost, že reléové zabezpečovací zařízení se skládá z velkého množství součástek na bázi relé, případně elementárních elektrotechnických prvků, později také polovodičových prvků, u kterých je nutné uvažovat rovněž poruchové stavy jednotlivých komponent. Proto byla počátkem 70. let minulého století ve VÚŽ zpracována interní směrnice, která podrobně definovala postup schvalování těchto technologií. Tato směrnice byla převedena na oborovou normu, která byla po roce 1989 výchozím dokumentem pro normu [12]. Norma [12] zavedla detailní postup, tzv. „Rozbor bezpečnosti funkce“, který sloužil k doložení toho, že navržený systém nezahrnuje předpokládaná bezpečnostní rizika.

ROZBOR BEZPEČNOSTI FUNKCE PODLE TNŽ 34 2606
Postup schvalování zabezpečovacího zařízení podle normy [12] je založen na následujících základních předpokladech:

• a) Jednonásobná porucha – v systému se předpokládá v jednom okamžiku vznik jen jedné poruchy, která musí být detekována a její projev musí uvést zabezpečovací zařízení do bezpečnějšího stavu. Případné vícenásobné poruchy se společnou příčinou (například zásah bleskem) kdy může dojít k vícenásobné poruše dílčího funkčního celku, musely být analyzovány s doložením, že se taková porucha projeví nefunkčností nebo znemožněním obsluhy daného zařízení. V odlišném případě by bylo nutné analyzovat kombinované poruchy.
• b) Zapojení obvodů na stálý proud – více povolující informace byla umožněna pouze prvkem – relé, které je aktivně napájeno s inherentní reakcí na poruchu (například odpad kotvy relé gravitací).
• c) Katalog poruch součástek – definování seznamu prvků a definování jejich uvažovaných poruch, které musely být v rámci „Rozboru bezpečnosti funkce“ uvažovány, tj. předpokládají se pouze poruchy z tohoto katalogu.

Na základě tohoto postupu musel výrobce předložit výsledek rozboru funkce nezávislému schvalovateli, kterým bylo pracoviště VÚŽ, od roku 1998 rovněž pracoviště Fakulty dopravní ČVUT v Praze. Technické schválení probíhalo na základě pověření Ministerstva dopravy k provádění prohlídky a zkoušky dle §47 Zákona o drahách [13]. Provádění „Technického schválení“ bylo ve smyslu výnosu [11].

Postup umožňoval doložit analýzou, že je systém schopen za definovaných podmínek vykonávat bezpečnou funkci. Mylně se však předpokládalo, že dodržením tohoto postupu podle výše uvedené normy je prokázána absolutní bezpečnost zařízení, tedy zařízení nemůže selhat. Některé případy nehodových událostí však toto tvrzení vyvracely, což potvrdil například v roce 1974 Ing. Karel Kulle ve své disertační práci zabývající se „Analýzou bezpečnosti a spolehlivosti železničních zabezpečovacích zařízení“. Na základě vyhodnocení nehod na železničních zabezpečovacích zařízeních počínaje rokem 1953 až 1974 bylo zjištěno, že jednou za cca 1 100 000 hodin došlo k fatálnímu selhání zabezpečovacího zařízení.

BEZPEČNOST ZABEZPEČOVACÍCH ZAŘÍZENÍ NA BÁZI MIKROPROCESORŮ
První elektronické zabezpečovací zařízení bylo uvedeno do provozu v roce 1978 v železničním uzlu Göteborg ve Švédsku. Postupem doby se počaly ve značné míře nasazovat systémy na bázi mikroprocesorů se softwarovým vybavením. Současně se změnou technologie musel být změněn přístup k dokládání a posuzování těchto systémů, neboť dosavadní přístup založený na „Rozboru bezpečnosti funkce“ nelze z důvodu odlišné technologie a koncepce takových systémů aplikovat. Nově se zavádí pravděpodobnostní přístup založený na modelech spolehlivosti, aplikaci procesů řízení jakosti a procesu řízení rizik. Zásadní změnou vyplývající z aplikace těchto přístupů je pro vývojáře skutečnost, že kromě popisu konečného návrhu řešení zařízení (jak bylo obvyklé u reléových systémů), je nutné dokladovat veškeré činnosti a postupy prováděné během vývoje a návrhu. Tento přístup je definován souborem základních norem [1], [2], [3], [4], [5] a souvisejícími normami. Proces hodnocení se již nyní díky tomuto přístupu nemůže zabývat pouze konkrétním výsledným technickým řešením daného zařízení, ale musí se zabývat rovněž posouzením všech procesů, které byly použity pro výsledné řešení. To klade nároky také na management výrobců, kteří musí implementovat požadavky do interních postupů návrhu a vývoje. Rovněž kvalifikace hodnotitelů bezpečnosti již musí mimo odbornou kvalifikaci v oboru také zahrnovat schopnost hodnotit systémy jakosti a procesy řízení návrhu a vývoje. Je však nutné konstatovat, že železniční zabezpečovací technika není v tomto přístupu ojedinělou oblastí, postupně ke stejnému procesu návrhu i hodnocení dospěly všechny průmyslové obory, u kterých je nutné dokládat úroveň bezpečnosti. Mimo jiné to dokládá skutečnost, že soubor norem pro drážní zařízení [1], [2], [3] vychází z normativů řady [6] pro Funkční bezpečnost elektrických /elektronických/ programovatelných systémů souvisejících s bezpečností, které jsou používány v dalších průmyslových oblastech. Konkrétními aspekty hodnocení bezpečnosti se bude zabývat druhý díl článku.

Recenzoval: prof. Ing. Zdeněk Votruba, CSc.

LITERATURA:
[1] ČSN EN 50126-1:2001. Drážní zařízení – Stanovení a prokázání bezporuchovosti, pohotovosti, udržovatelnosti a bezpečnosti (RAMS). Praha: Český normalizační institut, 2001.
[2] ČSN EN 50128:2003. Drážní zařízení – Sdělovací a zabezpečovací systémy a systémy zpracování dat – Software pro drážní řídicí a ochranné systémy. Praha: Český normalizační institut, 2003.
[3] ČSN EN 50129:2003. Drážní zařízení – Sdělovací a zabezpečovací systémy a systémy zpracování dat – Elektronické zabezpečovací systémy. Praha: Český normalizační institut, 2003.
[4] ČSN EN 50159-1. Drážní zařízení – Sdělovací a zabezpečovací systémy a systémy zpracování dat – Část 1: Komunikace v uzavřených přenosových zabezpečovacích systémech. Praha: Český normalizační institut, 2002.
[5] ČSN EN 50159-2. Drážní zařízení – Sdělovací a zabezpečovací systémy a systémy zpracování dat – Část 1: Komunikace v otevřených přenosových zabezpečovacích systémech. Praha: Český normalizační institut, 2002.
[6] ČSN EN 61508-1 ed. 2 (180301). Funkční bezpečnost elektrických/ elektronických/ programovatelných elektronických systémů souvisejících s bezpečností – Část 1: Všeobecné požadavky. Praha: Český normalizační institut, 2011.
[7] CHUDÁČEK, Václav a POUPĚ, Oldřich. Zabezpečovací technika v železniční dopravě I. díl. Praha: Nakladatelství dopravy spojů, 1970. [8] LESO, Martin: „Zpráva o hodnocení bezpečnosti“ In: Zabezpečovací a telekomunikační systémy na železnici. Hradec Králové: 5. konference Zabezpečovací a telekomunikační systémy na železnici, 2011.
[9] Směrnice FMD pro uvádění staveb drah a staveb na dráze do provozu. In: Evidence VDP. 1977, č.j. 7187/77-07.
[10] SŽDC (ČSD) T200. Předpis pro vyzkoušení a uvádění železničních zabezpečovacích zařízení do provozu. Praha: Nakladatelství dopravy a spojů, 1989.
[11] „Schvalování železničních zabezpečovacích systémů pro ČD“, zveřejněné ve Věstníku ČD č. 4. ze dne 28. 2. 1997.
[12] TNŽ 34 2606. Rozbory bezpečnosti obvodů železničních zabezpečovacích zařízení. Praha: Generální ředitelství Českých drah, 1992.
[13] Zákon č. 266/1994 Sb. o drahách ve znění pozdějších předpisů a změn. In: Sbírka zákonů ČR, 1994.

Assessment of Safety of the Railway Interlocking Plant – Part 1
The railway interlocking technology is one of the parts of the railway system which to a great extent contributes to ensuring safety and reliability of the railway operation. The level of using this equipment is very specific, mainly the requirements of continuous and safety operation. Construction of these systems has gone through a long development, its significant feature being enhancement and improvement of features, which at the same time causes these systems being particularly complicated. Moreover, the requirements for design, development and operation of the interlocking systems grow, because they have to provide both for correct functioning and proving the required level of security.

Autor

• Doc. Ing. Leso Martin Ph.D.