Modern regulations of safety assurance for maglev transportation

Full Text

Введение

Современные методы управления безопасностью транспортных систем основаны на принципах упреждающего реагирования на появление опасных событий. Эти принципы включают в себя:

• применение методов прогнозирования (методов априорного оценивания) при оценке безопасности и обосновании мер по обеспечению безопасности – принцип «нового подхода»;
• оценка безопасности с учетом риска от действия случайных и систематических отказов;
• управление безопасностью в комплексе с управлением надежностью, готовностью, ремонтопригодностью, материально-техническим обеспечением и стоимостью жизненного цикла.

Необходимость применения «нового подхода» к обеспечению безопасности

Необходимость применения «нового подхода» к обеспечению безопасности применительно к железнодорожному транспорта, включая высокоскоростные железные дороги, формально была установлена Директивой Европейского Парламента и Совета Европы от 29.04.2004 г. № 2004/49/EC («Railway Safety Directive»). Директива предписывает использовать [1, 2]:

• анализ и управление риском на всех этапах жизненного цикла технических систем, участвующих в формировании перевозочной услуги, причем на ранних этапах жизненного цикла производятся прогнозные оценки рисков, которые сопоставляются с критериальными (допустимыми) значениями риска [3];
• единые цели в области безопасности, единые показатели достижения целей и единые методы оценки показателей на всем пространстве Европейского союза;
• единые подходы к сертификации безопасности и гармонизированные контрольно-разрешительные органы;
• единую типовую систему менеджмента безопасности, основанную на принципах международного стандарта ISO 9001 [4].

Для развертывания деятельности по выполнению требований Директивы Европейским Комитетом по стандартизации CENELEC были разработаны и в настоящее время применяются следующие рамочные стандарты:

• EN 50126 Railway applications – The specification and demonstration of Reliability, Availability, Maintainability and Safety (RAMS) (Железнодорожные приложения – Обоснование и подтверждение выполнения требований по надежности, готовности, ремонтопригодности и безопасности);
• EN 50128 Railway applications – Communication, signalling and processing systems – Software for railway control and protection systems (Железнодорожные приложения – Системы связи, сигнализации и обработки данных – Программное обеспечение для систем железнодорожного управления и блокировки);
• EN 50129 Railway applications – Communication, signalling and processing systems – Safety related electronic systems for signaling (Железнодорожные приложения – Системы связи, сигнализации и обработки данных – Безопасные электронные системы сигнализации);
• EN 50159:2010 Railway applications – Communication, signalling and processing systems – Safety-related communication in transmission systems (Железнодорожные приложения – Системы связи, сигнализации и обработки данных – Безопасная передача данных в системах связи).

Это ключевые стандарты управления безопасностью совместно с надежностью, готовностью и ремонтопригодностью на железнодорожном транспорте. Успешное их применение в течение продолжительного времени разными странами привело к тому, что они получили статус стандартов Международной электротехнической комиссии (IEC): стандарты EN 50126, EN 50128, EN 50129 и EN 50159 идентифицируются, соответственно, как IEC 62278 [5], IEC 62279 [6], IEC 62425 [7] и IEC 62280 [8].

Дополнительно к указанным стандартом были также разработаны и используются следующие руководства по применению:

• CLC/TR 50126-2 Railway applications – The specification and demonstration of Reliability, Availability, Maintainability and Safety (RAMS). Part 2: Guide to the application of EN 50126-1 for safety (Железнодорожные приложения – Обоснование и подтверждение выполнения требований по надежности, готовности, ремонтопригодности и безопасности. Часть 2: Руководство по применению EN 50126-1 для обоснования требований по безопасности);
• CLC/TR 50126-3 Railway applications – The specification and demonstration of Reliability, Availability, Maintainability and Safety (RAMS). Part 3: Guide to the application of EN 50126-1 for rolling stock RAM (Железнодорожные приложения – Обоснование и подтверждение выполнения требований по надежности, готовности, ремонтопригодности и безопасности. Часть 3: Руководство по применению EN 50126-1 для обоснования требований к подвижному составу);
• CLC/TR 50506-1 Railway applications – Communication, signalling and processing systems – Application Guide for EN 50129. Part 1: Cross-acceptance (Железнодорожные приложения – Системы связи, сигнализации и обработки данных – Руководство по применению EN Часть 1: Перекрестная приемка);
• CLC/TR 50506-2 Railway applications – Communication, signalling and processing systems – Application guide for EN 50129. Part 2: Safety assurance (Железнодорожные приложения – Системы связи, сигнализации и обработки данных. – Руководство по применению EN Часть 2: Обеспечение безопасности);
• CLC/TR 50451 Railway applications – Systematic allocation of safety integrity requirements (Железнодорожные приложения – Систематизированное распределение требований по полноте безопасности).

Кроме рамочных стандартов на соответствующих этапах жизненного цикла транспортных систем используются также прикладные стандарты, которыми определяются показатели безопасности (а также надежности, готовности, ремонтопригодности и стоимости) и методы оценки этих показателей.

Модель жизненного цикла транспортной системы

В стандарте EN 50126 действия по управлению безопасностью (а также надежностью, готовностью и ремонтопригодностью) регламентируются в соответствии с типовой моделью жизненного цикла (рис. 1).

 

Рис. 1. Типовая модель жизненного цикла[1]

 

Показанные в модели этапы жизненного цикла объединены в три группы: этапы идентификации угроз и оценки связанного с ними риска, этапы реализации системы сначала в проекте, затем – в виде аппаратно-программного комплекса, и этапы применения системы в соответствии с назначением и снятия с эксплуатации. Этими группами идентифицируется ответственность за безопасность системы: за первые 4 этапа несет ответственность заказчик, за создание системы отвечают подрядчики (проектировщики и изготовители), за эксплуатацию и обслуживание снова несет ответственность заказчик.

Критериальные значения риска

Любое прогнозирование безопасности необходимо сопоставлять с некоторым пороговым уровнем (критерием) риска, который характеризует достаточность мероприятий по его снижению.

Одним из наиболее конструктивных подходов к формированию критерия допустимости риска является сопоставление его с уровнем минимальной эндогенной смертности в социуме, т.е. смертности человека в силу действия внутренних (естественных) причин (рис. 2).

 

Рис. 2. Использование минимальной эндогенной смертности в качестве основы для формирования критерия допустимости риска

 

Иначе говоря, вероятность гибели человека в течение года от действия транспортной системы должна быть на порядок меньше вероятности гибели человека в самом жизнеспособном возрасте в силу естественных причин. При этом имеются в виду люди, непосредственно участвующие в формировании и использовании перевозочной услуги, а также другие люди в зоне действия транспортной системы.

Такой подход, применяемый в Германии, называется принципом MEM (Minimum Endogenous Mortality – минимальная эндогенная смертность). Кроме него применяются принципы ALARP в Великобритании и GAME (или GAMAB) во Франции, также рассмотренные в стандарте EN 50126.

Функциональная модель магнитолевитационного транспорта

Критериальное значение риска, определенное в соответствии с принципом MEM (или ALARP, или GAME) для всей транспортной системы необходимо декомпозировать на внутренние подсистемы и компоненты, для чего должна использоваться функциональная модель магнитолевитационного транспорта. Она включает в себя несколько уровней иерархии и позволяет свести значение риска, допустимого для транспортной системы в целом, к допустимому риску, связанному с опасными отказами подсистем и компонентов системы (рис. 3).

 

Рис. 3. Фрагмент функциональной модели магнитолевитационного транспорта

 

Допустимый риск, связанный с компонентами системы, определяется на основе анализа угроз, действие которых возможно при функционировании компонента. Например, угроза столкновения поездов может реализоваться, как следствие следующих непосредственных ее причин:

• ошибка при определении местоположения поезда;
• ошибка управления скоростью поезда;
• ошибка задания маршрута следования поезда;
• утрата или неполнота способности к торможению;
• потеря полносоставности.

В свою очередь, каждая из этих причин может быть результатом некоторой цепочки причинно-следственных связей, в начале которой находится первичная причина – отказ техники или ошибка человека.

Очень важно учитывать принципиальную разницу между отказом техники и ошибкой человека. Она заключается в том, что для технического устройства сначала имеет место случайный отказ (событие), а затем неисправность (состояние). Ошибка человека, наоборот, представляет собой неисправность (состояние), и при обращении к объекту, в котором допущена ошибка (фрагменту компьютерной программы, устройству с ошибочной инструкцией по обслуживанию) происходит отказ – событие. Эта разница принципиально важна потому, что требует различных подходов для управления безопасностью. Отказы технических средств минимизируются на основе применения теории надежности, ошибки человека минимизируются на основе применения систем менеджмента. Возможность разнообразных сочетаний отказов техники и ошибок человека в современных транспортных системах привела к необходимости применения единой методологии управления этими сущностями – методологии управления гарантоспособностью систем.

Понятие «гарантоспособности»

«Гарантоспособность» («dependability») – это свойство эргатической (т.е. человеко-машинной) системы, позволяющее обоснованно полагаться на выполнение задач, для которых она предназначена [9]. Этим определением обозначается очень плодотворная концепция, развитие которой в российском аэрокосмосе привело к созданию языка программирования «Дракон», позволяющего разрабатывать программы, практически не имеющие ошибок.

Однако, понятие «гарантоспособность» отсутствует в системе понятий отечественной нормативной базы качества и безопасности транспортных систем. Оно заменяется то надежностью, то общей надежностью, то функциональной надежностью. Это повлекло за собой необходимость иначе обозначить понятие, которое называлось надежностью раньше. В этом качестве стали применяться термины «безотказность» и «долговечность», которые часто действуют параллельно с термином «надежность» в прежнем его понимании. В итоге работа проектировщиков серьезно затрудняется, что приводит к увеличению риска проектных (систематических) ошибок.

При этом в России действуют стандарты с традиционным представлением о надежности – например, ГОСТ Р 54257-2010 «Надежность строительных конструкций и оснований. Основные положения и требования», в котором в учтены основные нормы следующих стандартов:

• EN 1990-2002 Basis of structural design (Основы проектирования конструкций);
• ISO 2394-1998 General principles of reliability for structures (Общие принципы надежности конструкций).

Очевидно, что у разработчиков одного и того же проекта не должно быть различного понимания надежности.

Международный опыт стандартизации в области гарантоспособности

Вместе с тем, управление гарантоспособностью давно является объектом детальной международной стандартизации. Этому посвящена серия из 16-ти стандартов IEC с общим названием IEC 60300 Dependability management (Менеджмент гарантоспособности):

1. IEC 60300-1 (2003-06) Dependability management – Part 1: Dependability management systems (Менеджмент гарантоспособности – Часть 1: Системы менеджмента гарантоспособности);
2. IEC 60300-2 (2004-03) Dependability management – Part 2: Guidelines for dependability management (Менеджмент гарантоспособности – Часть 2: Руководство по менеджменту гарантоспособности);
3. IEC 60300-3-1 (2003-01) Dependability management – Part 3-1: Application guide – Analysis techniques for dependability – Guide on methodology (Менеджмент гарантоспособности – Часть 3-1: Руководство по применению – Методы анализа гарантоспособности – Методологическое руководство);
4. IEC 60300-3-2 (2004-11) Dependability management – Part 3-2: Application guide – Collection of dependability data from the field (Менеджмент гарантоспособности – Часть 3-2: Руководство по применению – Сбор прикладных данных по гарантоспособности);
5. IEC 60300-3-3 (2005-08) Dependability management – Part 3-3: Application guide – Life cycle costing (Менеджмент гарантоспособности – Часть 3-3: Руководство по применению – Оценивание стоимости жизненного цикла);
6. IEC 60300-3-4 (1996-08) Dependability management – Part 3-4: Application guide – Guide to the specification of dependability requirements (Менеджмент гарантоспособности – Часть 3-4: Руководство по подготовке требований гарантоспособности);
7. IEC 60300-3-5 (2001-03) Dependability management – Part 3-5: Application guide – Reliability test conditions and statistical test principles (Менеджмент гарантоспособности – Часть 3-5: Руководство по применению – Условия тестирования надежности и принципы статистического тестирования);
8. IEC 60300-3-7 (1999-05) Dependability management – Part 3-7: Application guide – Reliability stress screening of electronic hardware (Менеджмент гарантоспособности – Часть 3-7: Руководство по применению – Обеспечение надежности электронного оборудования в условиях перегрузок);
9. IEC 60300-3-9 (1995-12) Dependability management – Part 3-9: Application guide – Risk analysis of technological systems (Менеджмент гарантоспособности – Часть 3-9: Руководство по применению – Анализ риска технологических систем);
10. IEC 60300-3-10 (2001-01) Dependability management – Part 3-10: Application guide – Maintainability (Менеджмент гарантоспособности – Часть 3-10: Руководство по применению – Ремонтопригодность);
11. IEC 60300-3-11 (1999-03) Dependability management – Part 3-11: Application guide – Reliability centered maintenance (Менеджмент гарантоспособности – Часть 3-11: Руководство по применению – Обеспечение надежности на основе технического обслуживания);
12. IEC 60300-3-12 (2001-12) Dependability management – Part 3-12: Application guide – Integrated logistic support (Менеджмент гарантоспособности – Часть 3-12: Руководство по применению – Комплексное материально-техническое обеспечение);
13. IEC 60300-3-13 Dependability management – Part 3-13: Application guide – Project risk management (Менеджмент гарантоспособности – Часть 3-13: Руководство по применению – Менеджмент проектного риска);
14. IEC 60300-3-14 (2004-07) Dependability management – Part 3-14: Application guide – Maintenance and maintenance support (Менеджмент гарантоспособности – Часть 3-14: Руководство по применению – Техническое обслуживание и его обеспечение);
15. IEC 60300-3-15 (2009-02) Dependability management – Part 3-15: Guidance to engineering of system dependability (Менеджмент гарантоспособности – Часть 3-15: Руководство по проектированию гарантоспособности систем);
16. IEC 60300-3-16 (2008-10). Dependability management – Part 3-16: Application guide – Guideline for the specification of maintenance support services (Менеджмент гарантоспособности – Часть 3-16: Руководство по применению – Руководство по подготовке требований по техническому обслуживанию).

Уже только из перечня приведенных документов видно, что современная международная нормативная база комплексно рассматривает различные аспекты гарантоспособности: от анализа риска, связанного с применением технических систем, до затрат на создание и применение этих систем как совокупности стоимостных элементов (стандарт IEC 603000-3-3).

Проблемы нормативного обеспечения безопасности магнитолевитационного транспорта в России

Из всей серии документов IEC 60300 в России используется только один стандарт – IEC 60300-3-1 (2003-01), но в двух вариантах:

1. ГОСТ Р 51901.5-2005 «Менеджмент риска. Руководство по применению методов анализа надежности» (модифицирован по отношению к IEC 60300-3-1, действует);
2. ГОСТ Р 27.301-2011 «Надежность в технике. Управление надежностью. Техника анализа безотказности. Основные положения» (разработан с учетом положений IEC 60300-3-1, действует).

Возникает вопрос: почему один из 16-ти стандартов переведен два раза, причем оба раза понятие «гарантоспособность» исключено из названия и текста документов, а остальные 15 – ни разу? Наверное, это связано с тем, что, во-первых, Федеральный закон «О техническом регулировании» не предусматривает обязательных требований по безопасности к перевозочной услуге, и, во-вторых, технические регламенты, требующие проведения анализа риска при использовании транспортных систем, не предлагают при этом ни единых целей в области безопасности перевозочной услуги, ни единых показателей достижения целей, ни единых методов оценки показателей.

Тем самым формируются условия для игнорирования богатейшего международного опыта создания и применения нормативной базы комплексного управления безопасностью транспортных систем, которая сегодня включает (но не исчерпывается) следующие документы: EN 50126, EN 50128, EN 50129, IEC 60300, IEC 61160, IEC 60706, IEC 61508, IEC 60812, IEC 60863, IEC 61025, IEC 61078, IEC 61165, IEC 61709, IEC 60605, IEC 61014, IEC 61070, IEC 61123, IEC 60319, MIL STD 471a, MIL STD 2173, IEC 60571, MIL STD 785B, MIL STD 756, MIL STD 1629, IEC 60812, IEC 61882 и другие.

В этой связи представляется необходимой разработка отдельного технического регламента о безопасности транспорта на магнитном подвесе, в котором, на основе требований по безопасности к перевозочной услуге и функциональной модели магнитолевитационного транспорта, были бы определены требования по безопасности к его отдельным подсистемам и компонентам.

Предложения по формированию нормативной базы отечественного магнитолевитационного транспорта

В соответствии с Федеральным законом «О техническом регулировании», национальная нормативная база безопасности России является трехуровневой [10]. На первом (высшем) уровне располагаются технические регламенты (ТР), устанавливающие обязательные для исполнения требования по безопасности к продукции и связанным с ней процессам. На втором уровне находятся межгосударственные (ГОСТ) и национальные (ГОСТ Р) стандарты и своды правил (СП), исполняемые на добровольной основе для подтверждения соответствия требованиям технических регламентов. На третьем корпоративном уровне располагаются стандарты организаций (СТО) и технические условия (ТУ), а также специальные технические условия (СТУ), необходимость в разработке которых возникает тогда, когда требования, содержащиеся в них, превышают требования, установленные документами второго уровня, либо когда требования к соответствующей продукции и связанным с ней процессам не определены в документах первого и второго уровней.

С помощью технических регламентов устанавливаются минимально необходимые требования по безопасности, качественно определяющие необходимый уровень безопасности. Количественные показатели, используемые при подтверждении соответствия продукции и связанных с ней процессов этим требованиям, должны содержаться в стандартах и сводах правил, гармонизированных с соответствующим техническим регламентом. Принимаемые на добровольной основе стандарты и своды правил необходимы для того, чтобы правильно понять и выполнить обязательные требования соответствующих технических регламентов – они должны являться доказательной базой соблюдения технических регламентов.

При этом, в действующей системе технического регулирования из-под действия обязательных требований оказываются выведены такие виды деятельности, как выполнение работ и оказание услуг. Таким образом, на продукцию и связанные с ней процессы распространяются как обязательные, так и добровольно исполняемые требования, а на выполнение работ и оказание услуг, в том числе, перевозочных услуг – только добровольные требования.

Специальные технические условия (СТУ)

Применительно к таким системам, как магнитолевитационный транспорт, для которых отсутствует технический регламент о безопасности, системой технического регулирования, действующей в России, предусматривается разработка специальных технических условий (СТУ). При разработке СТУ можно выполнить априорное обоснование безопасности магнитолевитационного транспорта на основе анализа угроз и связанного с ними риска, которое затем будет подтверждено или скорректировано испытаниями и опытной эксплуатацией.

На основе СТУ затем необходимо будет разработать технический регламент о безопасности транспорта на магнитном подвесе.

Разработке СТУ должна предшествовать работа по формированию функциональной модели магнитолевитационного транспорта, о которой также говорилось выше. На основе этой модели в регламенте должны появиться требования по безопасности в увязке с требованиями по гарантоспособности и стоимости к отдельным подсистемам и компонентам магнитолевитационной транспортной системы как результат декомпозиции требований по безопасности к перевозочной услуге.

Примерный состав функциональной модели магнитолевитационного транспорта может быть следующим:

• функции инфраструктуры (путь, электроснабжение, автоматика и телемеханика, электросвязь, искусственные сооружения, раздельные пункты, примыкания и пересечения, полоса отвода и здания);
• функции подвижного состава;
• функции внутрисистемных и межсистемных интерфейсов;
• функции организации и управления движением;
• функции технической эксплуатации инфраструктуры и подвижного состава;
• функции обеспечения безопасности движения;
• функции обеспечения транспортной безопасности;
• функции обеспечения охраны труда, промышленной безопасности и охраны окружающей природной среды.

Вместе с разработкой СТУ необходимо сформировать перечень поддерживающих будущий технический регламент межгосударственных и национальных стандартов и сводов правил, содержащий как рамочные стандарты по управлению безопасностью, гарантоспособностью и стоимостью магнитолевитационного транспорта, так и документы с требованиями к подсистемам и компонентам в соответствии с функциональной моделью. Такой перечень должен появиться в результате:

• определения действующих стандартов и сводов правил, применение которых для магнитолевитационного транспорта возможно без их актуализации;
• определения действующих стандартов и сводов правил, которые могут быть применены для магнитолевитационного транспорта после их актуализации или переработки;
• определения стандартов и сводов правил, которые необходимо разработать.

Заключение

Разработка и актуализация стандартов и сводов правил должна производиться с учетом возможности гармонизации международных нормативных документов, содержащих наилучшую практику по обеспечению безопасности, гарантоспособности и эффективности транспортных систем.

Более подробно предложения по формированию нормативной базы отечественного магнитолевитационного транспорта могут быть изложены в соответствующей концепции.

Примечание: 

¹ в соответствии с проектом prEN 50126-1:2012 Railway applications – The specification and demonstration of reliability, availability, maintainability and safety (RAMS) – Part 1: Generic RAMS process (Железнодорожные приложения – Определение и подтверждение выполнения требований по надежности, готовности, ремонтопригодности и безопасности – Часть 1: Типовой процесс RAMS)

About the authors

Vladimir V. Shmatchenko

Petersburg State Transport University

Author for correspondence.
Email: railwayradio@gmail.com

candidate of technical sciences (PhD in engineering), associated professor

Russian Federation

Pavel A. Plekhanov

Petersburg State Transport University

Email: pavelplekhanov@gmail.com

candidate of technical sciences (PhD in engineering), associated professor

Russian Federation

References

Supplementary files