Codifica: RFI TC.PATC SR IS 13 D21 A01 SPECIFICA DEI REQUISITI DI SISTEMA CMT

Transcript

1 PRELIMINARE Codifica: RFI TC.PATC SR IS 13 D21 A01 FOGLIO 1 di 80 SPECIFICA DEI REQUISITI DI SISTEMA CMT Volume Titolo VOLUME 1 SISTEMA (*) Verifica Tecnica: Biagio Costa Carlo Carganico Girolamo Garrisi Paolo Genovesi Raffaele Mele Rev. Data Descrizione Redazione Verifica Tecnica Autorizzazione A 18/04/00 PRIMA EMISSIONE Mauro Michelacci (*) Michele Mario Elia A01 14/12/01 Inser. Cap 8.2

2 2 di 80 INDICE 1 INTRODUZIONE DESCRIZIONE GENERALE DEL SISTEMA DI CONTROLLO MARCIA TRENO Utilizzazione Sistema Sottosistema di terra Sottosistema di bordo Applicabilità Sistema Sottosistema di terra Linee Sistemi di esercizio Sistema di distanziamento Impianti Sottosistema di bordo Sistema di supporto Sistema Sottosistema di terra Sottosistema di bordo Contesto FUNZIONI PROCEDURE E STRUMENTI DI SUPPORTO ALLA PROGETTAZIONE Generalità Metodologie per lo sviluppo ed il controllo della progettazione del SST Criteri per lo sviluppo di un ambiente "sicuro" Criteri per la valutazione ed approvazione di un processo sicuro Modifiche al progetto durante il suo svolgimento (per variazione dei dati in input o per rilevazione di errore) Gestione della configurazione dell applicazione specifica...16

3 3 di 80 8 RAMS RAM AFFIDABILITA, DISPONIBILITA, MANUTENIBILITA Riferimenti di progettazione Analisi previsionale di affidabilità Condizioni ambientali convenzionali di riferimento per il calcolo previsionale Valori operativi di funzionamento Modelli di calcolo Misura dell affidabilità sul campo Guasti attribuibili di natura non HW Manutenibilità Tipologie di manutenzione Preventiva Gestione delle scorte Misura degli indici di manutenibilità sul campo Dimostrazione della disponibilità S, SAFETY Descrizione generale del processo di analisi di sicurezza Responsabilità e competenze Documentazione legislativa e normativa applicabile Limiti di applicabilità dell analisi Flusso delle attività macroscopiche Attività collaterali Evidenze documentali Descrizione del processo a carico del Committente Responsabilità e Competenze del Committente Descrizione del flusso delle attività Definizione del sistema Individuazione degli hazard Analisi delle conseguenze (inclusa analisi delle concomitanze) Tipologie di rischio, stima della frequenza di pericolo e del SIL di Sistema con allocazione ai sottosistemi Prescrizione del SIL di Sistema Definizione delle frequenze di pericolo per il sistema SCMT e relativi sottosistemi Perimetrazione del sistema SCMT che i Fornitori devono considerare per il computo della FP Attività collaterali Evidenze documentali Descrizione del processo a carico dei Fornitori Responsabilità e competenze del Fornitore Descrizione del flusso delle attività Analisi delle cause Analisi delle cause concomitanti...42

4 4 di Mitigazione degli hazard e reporting Calcolo del HR ed allocazione del SIL di sottosistema Attività collaterali Evidenze documentali Processo di V&V Processo di Accettazione della Sicurezza di impiego (safety acceptance)...44 Tale processo verrà coordinato dal Committente, che si correlerà con i Fornitori per acquisire tutte le evidenze oggettive necessarie al conseguimento dell'accettazione di sicurezza di impiego del sistema SCMT a livello dei sottosistemi e delle relative apparecchiature, in conformità alle citate norme europee ed alle prescrizioni di accertamento (Assessment) del Committente stesso Processo di Omologazione e Certificazione Terminologie Utilizzate per il Processo di Omologazione e Certificazione Allegati per il processo di V&V: Schema del processo di omologazione e certificazione dei sottosistemi per le applicazioni generiche Schema del processo di omologazione e certificazione dei sottosistemi per le applicazioni specifiche Procedure per la verifica e la messa in servizio Generalità Verifiche Tecniche Verifiche funzionali e attivazione STRUMENTI PER LA CONFIGURAZIONE, MANUTENZIONE, VERIFICHE DEL SISTEMA SCMT Generalità Tools per SSB Tools per SST DIAGNOSTICA E MANUTENZIONE DOCUMENTAZIONE Sistema SCMT SST SSB Formazione del personale Premessa...51

5 5 di Attività di formazione INTERFACCIA SSB SST Caratteristiche prestazionali Interoperabilità del SSB con boe a 255 e 1023 bit Boe ASK Boe FSK (Eurobalise) Transizioni fra P.I. ASK e P.I. FSK Interoperabilità RSC e 9 codici ,3 Hz INTERFACCIA SST-ACS Caratteristiche funzionali Interfaccia SPERIMENTAZIONE DEL SISTEMA GENERALITA INTRODUZIONE Sperimentazione dei prodotti e delle interfacce costituenti l architettura Sperimentazione delle funzionalità del Sistema Scopo del documento Applicabilità ed evoluzione del documento Tracciabilità TEST DI SISTEMA Test funzionali Protezione rispetto ai segnali fissi Velocità di rilascio Indebito superamento di un segnale a via impedita ( SRF) Protezione dei segnali di prosecuzione itinerario ( SRF) Protezione di un ingresso su binario di ricevimento ingombro o corto Protezione di paraurti Linee con BACC e protezione parziale SCMT ( SRF) Protezione rispetto itinerari deviati di arrivo/partenza. ( 4.2.SRF) Protezione rispetto alla velocità massima della linea ( SRF) Protezione rispetto al grado di frenatura e pendenza della linea Protezione rispetto ai rallentamenti ( 4.4 SRF) Protezione rispetto alle riduzioni di velocità Gestione dell ingresso e della uscita nei confronti di una tratta attrezzata SCMT Protezione rispetto alla marcia su binario illegale Supero rosso autorizzato...57

6 6 di Controllo della corretta operatività del P.d.M. rispetto alla inserzione / disinserzione della RSC Controllo presenza PDM Dizionario delle informazioni che il SST trasmette al SSB Limitazione per peso assiale e per metro corrente ( 4.11 SRF) Registrazione eventi ( 13 SRF) Diagnostica Test prestazionali Antenna-boa ASK Comparazione dei volumi di contatto boe-antenne ASK Misura della lunghezza di contatto boa-antenna ASK Caratterizzazione del BER nel contatto ASK Caratterizzazione di burst di errori nel contatto ASK Caratterizzazione di bit slip/insertion durante il contatto ASK Accuratezza Errore di sistema nella misura dello spazio TEST DEL SST e dei relativi TOOLS Test prestazionali Boa Verifica dei sistemi di ancoraggio della boa Verifica precisione installazione boe Verifica dei tempi di installazione delle boe di rallentamento Encoder Ritardo a seguito di una variazione dei segnali sul modulo di ingresso digitale Rilevamento dei tempi di transizione sugli impianti encoder Ritardo a seguito di una variazione di informazione sul modulo di ingresso seriale da ACS Tool di programmazione encoder Prova di utilizzo da parte di addetto FS del tool Test di ergonomicità Ergonomicità della rappresentazione dei telegrammi nel tool di programmazione e verifica delle boe Ergonomicità della rappresentazione dei telegrammi nel tool di programmazione e verifica degli encoder Ergonomicità della soluzione di fissaggio boe di rallentamento Compatibilità rispetto interventi di manutenzione del binario/massicciata Test SS Diagnostico Gestioni dati diagnostica Test dei requisiti ambientali Test sulle condizioni climatiche Radiazione solare Test sulle condizioni biologiche Condizioni biologiche Test sulle sostanze chimicamente attive...63

7 7 di Sostanze chimiche Test sulle condizioni elettromagnetiche Caratteristiche dei disturbi prodotti dai relè in commutazione (sovratensioni) Test di interferenza elettromagnetica dovuta alle correnti di ritorno della trazione Conformità dell interfaccia C per boe ASK e FSK Verifica rispetto alle interferenze di commutazione lato alimentazione Test di suscettibilità nei confronti di linee primarie AT Test di suscettibilità nei confronti di catenaria a 25 KV ( in prossimità) Verifica condizioni critiche collegamento encoder/garitta Test RAM Test di manutenibilità Tempi di sostituzione di una LRU negli armadi encoder Tempi di programmazione di una boa Verifica del telegramma contenuto nella boa Messa a punto processo di rilevazione indici RAM Procedure, Documentazione e Formazione Messa a punto procedure MIS Documentazione Messa a punto percorso formativo TEST DEL SSB e dei relativi TOOLS Test prestazionali Accuratezza Verifica preliminare in laboratorio con dati registrati sul campo Accuratezza dell odometria nella misura dello spazio Verifica in laboratorio tolleranza di codice RSC, come previsto dalla Specifica dell airgap RSC Verifica rapporto segnale-disturbo RSC, come previsto dalla Specifica dell airgap RSC Test di accuratezza nella misura della velocità Tempi di risposta Ritardo tra ricezione di un PI disposto a v.i. e applicazione della frenatura di emergenza Ritardo tra ricezione di un AC e applicazione della frenatura di emergenza Ritardo di visualizzazione causato da una variazione di codice RSC Ritardo di attivazione di un tetto di velocità a seguito di una variazione di codice Tempo di start up del SSB Verifica captazione RSC Test sulle interfacce Interfacce elettriche Protocolli di comunicazione Test di ergonomicità Test ergonomici sull MMI...70

8 8 di Test sulla Diagnostica Tempi di risposta dell autodiagnostica Verifica comportamento sistema in caso di rottura del cavo di connessione al DIS Test RAM Test di manutenibilità Tempi di sostituzione delle LRU Messa a punto processo di rilevazione indici RAM Procedure, Documentazione e Formazione Messa a punto procedure MIS Documentazione Messa a punto percorso formativo PIANO DI OMOLOGAZIONE DEL SISTEMA SCMT (SPERIMENTAZIONE ED OMOLOGAZIONE IN CORSO) Scopo Descrizione del sistema Sottosistema di terra Sottosistema di bordo Applicabilità Sottosistema di terra Linee Sistemi di esercizio Sistema di distanziamento Impianti Sottosistema di bordo IL PROCESSO PER L OMOLOGAZIONE Sperimentazione Sviluppo e V&V prodotto generico Sviluppo e V&V applicazione generica e specifica Realizzazione delle applicazioni specifiche a regime SPERIMENTAZIONE PRODOTTO GENERICO APPLICAZIONE GENERICA E PRIMA APPLICAZIONE SPECIFICA REALIZZAZIONE A REGIME DELLE APPLICAZIONI SPECIFICHE SULLA RETE ITALIANA ALLEGATI AL VOLUME 1 ALLEGATI CAP.17 APPENDICE A: PRELIMINARY RISK ANALYSIS SCMT APPENDICE B: FUNZIONI SISTEMA SCMT (RIFERIMENTO CAPITOLO 6) APPENDICE C: SCENARI PHA SCMT

9 9 di 80 APPENDICE D: CRITERI DI VALUTAZIONE DELL'HR DELL'AIR - GAP APPENDICE E: ANALISI DEI FATTORI CHE INFLUENZANO GLI ASPETTI RAMS DEL SISTEMA CMT APPENDICE F: ALBERO RAMS APPENDICE G: ANALISI RAM PRELIMINARE

10 10 di 80 SEZIONE A GENERALITA P.M. Per i criteri per la gestione della documentazione vedi Allegato Appendice A 1 INTRODUZIONE P.M. 2 DESCRIZIONE GENERALE DEL SISTEMA DI CONTROLLO MARCIA TRENO P.M. SEZIONE B - SISTEMA 3 Utilizzazione 3.1 Sistema Il sistema trova utilizzazione sulla rete FS e sul parco rotabili ammesso a circolare sulla rete predetta. Le linee attrezzate con SCMT saranno indicate sugli elaborati di servizio e verranno dotate di particolari attrezzature di sicurezza che costituiranno il sottosistema di terra (SST) del sistema SCMT. I treni ammessi a circolare sulle linee in questione dovranno di norma essere attrezzati con particolari attrezzature di sicurezza, omologate dalla Divisione Infrastruttura, che costituiranno il sottosistema di bordo (SSB) del sistema SCMT. 3.2 Sottosistema di terra E costituito da punti informativi (PI) per le linee non attrezzate con RSC, da punti informativi (PI) e codici sulle linee attrezzate con i dispositivi per la ripetizione segnali in macchina. I PI forniscono informazioni digitali discontinue e sono interfacciati o meno agli impianti di segnalamento e trasmettono al SSB i dati denominati: - fissi - semifissi - variabili. I dati trasmessi dal SST consentono al SSB di: - determinare il profilo statico di velocità - calcolare il profilo dinamico di velocità, controllando la marcia del treno. Il sistema SCMT verrà applicato indifferentemente per la circolazione: - legale - illegale - a destra su linee banalizzate

11 11 di Sottosistema di bordo E costituito da apparecchiature di sicurezza che, prelevando i dati dal sottosistema di terra (PI e RSC), elaborano: - i profili statici di velocità - le curve dinamiche tenendo conto dei dati relativi alle caratteristiche del treno, introdotti ad origine di corsa. Il SSB, prelevando i dati di misura della velocità da sensori ubicati sugli assi dei rotabili, fornirà: - indicazioni, al macchinista, della velocità reale del treno per il tramite del tachimetro che verrà da questi comandato direttamente; - un controllo sull operato del macchinista stesso; - dati, al sistema di registrazione di bordo DIS, per le successive elaborazioni. 4 Applicabilità 4.1 Sistema Il sistema SCMT costituisce il completamento del collegamento fra gli impianti e le infrastrutture di terra ed i treni per assicurare la protezione della marcia del treno durante l esercizio ferroviario e trova applicazione per tutta la circolazione dei treni. 4.2 Sottosistema di terra Il SST viene applicato su tutte le linee e gli impianti delle reti FS Linee Sono costituite da linee a: - semplice binario - doppio binario: - banalizzate - semibanalizzate - direzionali - a più di due binari: come continuazione dei punti precedenti.

12 12 di Sistemi di esercizio Il sistema SCMT trova applicazione per i regimi di esercizio della circolazione: - Dirigente Unico DU - Dirigente Locale DL - Dirigente Centrale DC - Dirigente Centrale Operativo DCO Sistema di distanziamento Il sistema SCMT trova applicazione su tutti i sistemi di distanziamento FS: - Blocco contaassi - Blocco automatico - Banalizzato - Direzionale - Attrezzato per la ripetizione dei segnali in macchina - Blocco semi-automatico - Blocco telefonico Il sistema SCMT sarà applicabile solamente con segnalamento di tipo completo Impianti Stazioni dotate di apparati: - ACEI - ACS - ACE - ADM - ACELI Banalizzati, semibanalizzati, direzionali, ecc. 4.3 Sottosistema di bordo Il SCMT trova applicazione su tutti i rotabili: - Locomotori elettrici - Locomotori diesel - Automotrici elettriche - Automotrici diesel

13 13 di 80 - Elettrotreni - Carrozze semipilota 4.4 Sistema di supporto L esercizio con il sistema SCMT presuppone l esistenza di collegamenti radiotelefonici terrabordo Sistema Il collegamento terra-bordo potrà essere realizzato utilizzando: - la telefonia pubblica - la telefonia delle reti private FS Sottosistema di terra Il tracciato ferroviario sia all aperto che in galleria sarà dotato di idonea copertura del sistema radiomobile. Le gallerie saranno attrezzate con particolari dispositivi che consentiranno la radiopropagazione al loro interno Sottosistema di bordo I rotabili saranno dotati di apparecchiature radiotelefoniche del tipo palmare o fisso, che consentiranno i collegamenti radiomobili terra-bordo 5 Contesto P.M. 6 FUNZIONI Per le funzioni SCMT previste nel presente capitolo vedi allegato Appendice B 7 PROCEDURE E STRUMENTI DI SUPPORTO ALLA PROGETTAZIONE 7.1 Generalità Il processo di progettazione del SST di SCMT è schematicamente rappresentato nel

14 14 di 80 diagramma allegato, con particolare riferimento alla generazione e la verifica dei telegrammi. Vengono evidenziate di seguito le regole generali per lo sviluppo del processo di progettazione del sistema CMT. L applicazione di queste regole si prefigge i seguenti obiettivi: Ottenere l approvazione del processo di progettazione da parte dell autorità di sicurezza di FS Ottenere i report per la verifica e validazione della progettazione dell applicazione specifica, propedeutici alla successiva valutazione complessiva da parte di FS. Ridurre al minimo le attività ed i tempi di verifica a carico di FS Questi risultati possono essere raggiunti mediante lo sviluppo di strumenti informatici che siano di ausilio alla progettazione e consentano di tenere sotto controllo le varie fasi della stessa. Gli strumenti devono essere in grado di emettere le certificazioni di esito positivo delle verifiche effettuate o di fornire i mezzi e le informazioni tramite le quali le stesse possano essere emesse da un operatore. Per motivi economici e di garanzia del risultato finale, gli strumenti devono consentire di minimizzare gli interventi umani nella catena di progettazione e verifica. Questa esigenza è particolarmente importante nelle fasi del processo caratterizzate da attività noiose e ripetitive, dove le possibilità di errore umano sono maggiori. E opportuno quindi che le attività umane siano limitate, quanto più possibile, ad interventi di breve durata e di elevato contenuto concettuale, e che siano garantite da adeguate procedure. 7.2 Metodologie per lo sviluppo ed il controllo della progettazione del SST Criteri per lo sviluppo di un ambiente "sicuro" È opportuno osservare che gli strumenti software impiegati per lo sviluppo degli applicativi, le piattaforme hardware ed il sistema operativo adottati non presentano, in genere, caratteristiche di sicurezza intrinseca atte a garantire la correttezza dei dati prodotti. Chi garantisce la correttezza dei risultati è il processo progettazione nel suo insieme, che risulta quindi titolare della approvazione da parte della autorità di sicurezza di FS. Pertanto il processo si deve basare su appropriati metodi in grado di garantire, per ciascuna fase di progettazione o verifica, manuale od automatica, il livello di sicurezza desiderato. Qui di seguito vengono elencati i metodi più comunemente impiegati e riconosciuti da FS : Verifiche di tipo procedurale, ossia operazioni predefinite di progettazione e verifica eseguite manualmente da più operatori seguendo una procedura stabilita (sono per quanto possibile da evitare per motivi di affidabilità, costo, e tempi) Verifiche basate sull applicazione di tecniche di ridondanza. Un processo viene elaborato due volte impiegando due algoritmi che soddisfino le prescrizioni per la "software diversity" e vengono confrontati i dati prodotti. La loro concordanza deve essere garantita da un doppio confronto realizzato tramite strumenti informatici (che possono anche essere costituiti, in toto o in parte, da software commerciale) che soddisfino a loro volta le prescrizioni per la "software diversity". In mancanza di software ed hardware failsafe l'ultima firma che certifichi la concordanza di responso di uguaglianza fra i due

15 15 di 80 confrontatori deve essere posta da un operatore. E' invece da evitare il confronto diretto dei dati prodotti da parte di uno o più operatori perché lento costoso. Verifiche basate sull applicazione di tecniche di reverse engineering. I dati prodotti da uno strumento, vengono rielaborati da un altro strumento (che garantisca caratteristiche di "software diversity" rispetto al primo), per riottenere i dati in ingresso. I dati in input ed i dati rigenerati devono essere confrontati fra loro secondo le modalità descritte al punto precedente. Protezione dei dati prodotti da ciascuna fase del processo in modo da impedire, o quantomeno rilevare, la loro corruzione ad esempio utilizzando CD, non modificabili, anziché supporti magnetici per il trasporto di files, utilizzando formati in grado di rilevare automaticamente una eventuale corruzione (ad esempio files ZIP), Identificando univocamente i supporti trasportabili (CD) in modo da evitare i rischi di sostituzioni o scambi, ecc Criteri per la valutazione ed approvazione di un processo sicuro Gli strumenti di progettazione e di verifica, devono essere sviluppati analizzando il processo per individuarne i punti critici, e mettere a punto le azioni più efficaci, tecniche e/o procedurali, per garantirne un accettabile livello di sicurezza. Per ogni strumento devono essere prodotti i manuali d uso oltre ad adeguati strumenti e procedure di test per verificarne il corretto funzionamento. Ogni strumento, per essere approvato, deve soddisfare le seguenti verifiche: Accertamento della correttezza logica della funzione svolta nell'ambito del processo complessivo Accertamento della software diversity fra gli strumenti nel caso che vengano impiegate tecniche di ridondanza o di reverse engineering Accertamento dell esistenza dei mezzi e delle procedure di test per la verifica funzionale degli strumenti e dell esistenza, completezza e aggiornamento dei relativi manuali utente. Verifica del corretto funzionamento degli strumenti di progettazione attraverso l'impiego degli strumenti di verifica e delle relative procedure. Emissione dei rapporti di verifica. Efficacia dei meccanismi di protezione dei dati Verifica che l introduzione dei dati sia svolta in modo da minimizzare la possibilità di errori. Correttezza della procedura di installazione degli strumenti Accertamento dell esistenza, della completezza e dell aggiornamento dei manuali utente Accertamento dell'esistenza, completezza ed aggiornamento delle procedure di utilizzo Conformità degli strumenti e del processo alla norme CENELEC EN50126, EN50128, nonché tutte le pertinenti norme da esse richiamate, la corretta edizione da applicare è quella vigente al momento dell avvio dell attività.

16 16 di 80 Gli strumenti di generazione dei telegrammi devono produrre gli stessi in formato compatibile per gli strumenti di configurazione e verifica degli apparati (boe ed encoder); in particolare i fornitori di boe di entrambi i tipi previsti per SCMT (180 e 1023 bit) dovranno produrre strumenti in grado di generare telegrammi sia in formato a 180 che a 1023 bit. Laddove non sia possibile sviluppare parti di processo tramite strumenti informatici devono essere definiti approcci procedurali che garantiscano un analogo livello di garanzia di correttezza dei risultati prodotti. Questo risultato può essere ottenuto con la ridondanza della progettazione, o con cicli di progettazione e controllo, da parte di enti indipendenti ed applicando appropriati turni di lavoro. La procedura adottata e la corretta applicazione della stessa nella progettazione delle applicazioni specifiche devono essere adeguatamente documentate al fine di consentire la valutazione complessiva e la successiva approvazione da parte di FS. 7.3 Modifiche al progetto durante il suo svolgimento (per variazione dei dati in input o per rilevazione di errore) Particolare attenzione deve essere posta nella gestione delle modifiche che dovessero rivelarsi necessarie, nel corso del processo di progettazione delle applicazioni specifiche, a causa di rilevazione di errori o per richiesta di variante da parte del Committente. Queste operazioni devono essere gestite ed assistite da apposite procedure e strumenti in grado di evidenziare le modifiche effettuate e garantire che non siano stati corrotti i dati già verificati. Questo al fine di evitare la necessità di procedere ad una nuova verifica totale dei dati. 7.4 Gestione della configurazione dell applicazione specifica Il processo di progettazione deve prevedere l emissione di un rapporto cronologico di tutte le operazioni effettuate nell ambito della fase di configurazione, comprese le eventuali modifiche di cui al punto 7.3, che consenta di verificare in ogni momento lo stato di avanzamento del progetto e che ne consenta la approvazione finale.

17 17 di 80

18 18 di 80 8 RAMS L analisi dei fattori che influenzano gli aspetti RAMS del sistema SCMT sono dettagliati all interno degli allegati E e F. 8.1 RAM AFFIDABILITA, DISPONIBILITA, MANUTENIBILITA Scopo del presente capitolo è quello di indicare le normative a riferimento per la progettazione e produzione degli apparati costituenti il sistema e definire le condizioni di riferimento per l analisi RAM previsionale. Si indicano inoltre le modalità di dimostrazione degli indici calcolati ed i requisiti qualitativi di manutenibilità. La definizione di dettaglio dei confini dei sottosistemi (limiti di batteria) e i requisiti quantitativi RAM saranno di pertinenza dei capitoli relativi al Sottosistema di bordo e di terra Riferimenti di progettazione Per quanto riguarda il Sottosistema di bordo la scelta della componentistica, la progettazione e la realizzazione dovranno rispettare i requisiti espressi dalla normativa EN Anche i componenti del SST dovranno rispettare, quando applicabili, i requisiti presenti nella EN50155 ed in particolare quanto previsto dai capitoli 6 ( Components ) e 7 ( Construction ). I fornitori dovranno dare evidenza delle strategie messe in atto per far fronte alla mortalità infantile degli apparati. I fornitori dovranno rendere disponibili le tabelle di derating e di come queste sono applicate allo specifico progetto, nonché dare giustificazione che i componenti sono utilizzati in accordo ai loro limiti garantiti di funzionamento nelle condizioni di worst-case e che sono adeguatamente dimensionati Analisi previsionale di affidabilità I fornitori, tramite l analisi previsionale, devono dare evidenza che le proprie apparecchiature soddisfano i requisiti di affidabilità definiti nei capitoli RAM dei volumi 2 e 3 delle SRS relativi al SST e SSB, rispettando le condizioni di cui ai paragrafi successivi Condizioni ambientali convenzionali di riferimento per il calcolo previsionale Ai fini delle analisi RAM e dei calcoli di affidabilità, per i singoli sottosistemi, sono da considerarsi le seguenti condizioni: Sottosistema di terra Temperatura esterna all apparato (temperatura dell ambiente al cui interno si trova l armadio o la boa): Per apparati all aperto (armadio di linea e boe): 40 C

19 19 di 80 Per apparati in ambiente chiuso (armadio di stazione): 25 C Ground Benign (o ambiente equivalente) per le apparecchiature in ambienti chiusi di stazione; Ground Fixed (o ambiente equivalente) per le apparecchiature lungo linea. Sottosistema di bordo Temperatura esterna all apparato: 30 C Ground mobile (o ambiente equivalente) per tutte le apparecchiature del SSB. Dovranno essere dettagliati e giustificati i valori dei parametri usati per i calcoli della temperatura di giunzione Valori operativi di funzionamento Per il SST: si assume che la boa sia alimentata ogni 10 min dall antenna di un treno che viaggia a 50 km/h (i fornitori dovranno specificare la lunghezza di accoppiamento boa-antenna che utilizzano nel calcolo del duty-cycle della boa). si assume che tutti gli altri apparati del SST svolgano la propria missione continuativamente per 8760 ore/anno Per il SSB (inteso come le apparecchiature SCMT montate sul singolo locomotore) si assume che sia operativo per 16 ore al giorno per un totale di 5840 ore/anno. Si assume per tutti gli apparati una vita utile di 20 anni Modelli di calcolo Ai fini del calcolo previsionale di affidabilità, è lasciata a ciascun fornitore facoltà di scelta del data base di riferimento e del modello di calcolo da applicare. Ogni scelta però, in termini di valori di affidabilità dei componenti (data base dei costruttori, tasso di guasti dei componenti non in funzione) o di modello di calcolo (fattori correttivi, peso dei guasti di modo comune), che si discosti da quanto previsto dagli standard usati dovrà essere giustificata e dimostrata Misura dell affidabilità sul campo La misura sul campo dell affidabilità, per l applicazione delle eventuali penali, verrà effettuata come segue: Il periodo massimo di osservazione degli indici ed addebito dei guasti, nonché il numero e la tipologia di elementi soggetti a misura, sono stabiliti contrattualmente Utilizzo di una procedura FRACAS da svolgere in modo coordinato tra fornitori ed FS e da

20 20 di 80 descriversi nel Piano di gestione delle clausole RAM Definizione di un piano di campionamento a troncamento di tempo con sostituzione, secondo MIL-HDBK-781 A, con: β 30% per applicazione penali e per rifiuto apparati. I guasti addebitabili ai fini del calcolo della penale sono solo quelli direttamente attribuibili all HW degli apparati Guasti attribuibili di natura non HW I guasti di natura non HW, ma comunque da attribuirsi agli apparati, si distinguono nelle due seguenti categorie: guasti che provocano impatto sulla circolazione con recupero della condizione di normale funzionamento a seguito di un intervento manutentivo che non comporta una riparazione HW. guasti che NON provocano impatto sulla circolazione con recupero della condizione di normale funzionamento a seguito di un intervento manutentivo che non comporta una riparazione HW. I guasti, di natura non HW ma comunque attribuibili all apparato includono ad esempio (la lista non è da considerarsi esaustiva): errori di elaborazione; errata segnalazione di guasto (guasto di tipo NFF: no fault found); blocco della diagnostica on-line; guasti intermittenti; guasti dovuti ad errate indicazioni al personale di manutenzione da parte della diagnostica e dei manuali. Questi guasti sono attribuibili anche nel caso in cui l apparato può essere rimesso in funzione con un semplice re-set manuale (guasto di tipo RTOK: retest ok) o il guasto non può essere riprodotto in laboratorio (guasto di tipo CND: can not duplicate). Dovranno essere rispettati i seguenti requisiti: Per ciascun apparato i guasti non HW con impatto sulla circolazione non dovranno superare il 40% dei guasti di target HW addebitabili. Per ciascun apparato i guasti non HW senza impatto sulla circolazione non dovranno superare il 60% dei guasti di target HW addebitabili. Per il rilevamento dei guasti si adopererà la stessa procedura FRACAS utilizzata per l MTBF HW, mentre i criteri di attribuzione e la gestione dei periodi di rilevamento dovranno essere definiti dai fornitori ed approvati da FS, assieme a quelli per l MTBF HW. Il mancato rispetto anche di uno solo dei due requisiti sopra espressi comporterà modifiche all apparecchiature allo scopo di far rientrare il numero dei guasti all interno del target.

21 21 di 80 Se viene individuata la causa del malfunzionamento non HW, a seguito dell intervento correttivo, dovrà essere ricominciato il periodo di osservazione Manutenibilità All interno delle FS la manutenzione sarà organizzata da due strutture: una relativa al SST, distribuita sul territorio, l altra relativa al SSB, concentrata nelle officine del Materiale Rotabile. Il livello di localizzazione del guasto (LRU) sarà deciso da ciascun fornitore in funzione della propria architettura e della propria strategia di manutenzione, da sottoporre comunque all approvazione di FS, nel rispetto dei tempi medi specificati. I fornitori dovranno inoltre dare evidenza e giustificare le seguenti caratteristiche: percentuale di copertura dei guasti addebitabili con la sola diagnostica on-line (diagnostica disponibile in linea senza necessità di particolari strumenti); percentuale di copertura dei guasti con la diagnostica on-line più off-line (diagnostica disponibile con strumenti e tool particolari ed effettuata tramite trouble shooting anche complessa); percentuale di isolamento alla singola LRU; percentuale di falsi allarmi. La disposizione di ogni LRU ed i relativi collegamenti devono essere realizzati in modo tale da rendere agevole la rilevazione del guasto, e la sostituzione tenendo conto dell ingombro delle attrezzature eventualmente necessarie alle operazioni da compiere e degli spazi disponibili. Deve essere consentita la possibilità di testare e smontare ogni unità sostituibile (LRU) per avaria o sostituzione programmata, senza dover intervenire su altre unità non direttamente interessate alla specifica operazione. I fornitori, oltre a dare evidenza che sono in grado di rispettare i tempi medi di isolamento dei guasti e ripristino delle apparecchiature riportati nei capitoli RAM del volume 2 e 3 delle SRS, dovranno esprimere pure un valore indicativo, ma giustificato, dei tempi massimi di isolamento e ripristino per ciascuna LRU con una confidenza del 95% Tipologie di manutenzione Preventiva Le apparecchiature devono essere progettate in modo da minimizzare gli interventi di manutenzione preventiva. I fornitori devono indicare un piano di manutenibilità preventiva con la chiara indicazione degli interventi di manutenzione preventiva richiesti, la frequenza di tali interventi, i materiali di consumo necessari ed i tempi di intervento previsti. Le attività di manutenzione preventiva possono essere di tipo:

22 22 di 80 a) programmata, intervento di sostituzione, regolazione o simili da effettuarsi a frequenza prefissata indipendentemente dalle condizioni delle apparecchiature. b) con monitoraggio, sostituzione di elementi quando il loro stato può fare presupporre il manifestarsi del guasto in tempi brevi. Correttiva Il fornitore dovrà indicare un piano di manutenibilità correttiva con l indicazione delle operazioni di manutenzione correttiva da mettere in atto al manifestarsi di un guasto. Tale piano deve contenere almeno le seguenti informazioni: il tempo medio previsto per il ripristino della funzionalità on line attraverso la diagnostica, la sostituzione e i test della LRU identificata come guasta, il numero di persone necessario, gli skill richiesti, i tools speciali necessari Gestione delle scorte Nel Piano RAM, i fornitori dovranno descrivere la metodologia di calcolo ed indicare in quale documento questa sarà effettuata per determinare il numero di LRU necessario come scorta, in base all affidabilità delle singole LRU, al tempo medio di ripristino del magazzino, al numero di LRU installate a cui il magazzino deve fare fronte, per rispettare l indice di disponibilità con un rischio di magazzino vuoto non superiore al 2%. I fornitori dovranno indicare le procedure ed i requisiti di immagazzinamento dei propri prodotti. I fornitori dovranno indicare con quale periodicità e con quali test o procedimenti le LRU a magazzino debbono essere controllate per assicurarne la funzionalità in caso di utilizzo Misura degli indici di manutenibilità sul campo I tempi medi di isolamento e ripristino dei guasti (MTTR eff ) definiti nei capitoli RAM dei volumi 2 e 3 delle SRS relativi al SST e SSB saranno misurati sul campo. Per ottenere un numero di interventi significativo ai fini statistici potranno essere considerati gli interventi anche derivati da apparecchiature di lotti di forniture differenti. La dimostrazione sul campo non prevede l applicazione di penali. Le misure saranno condotte secondo le indicazioni del MIL HDBK 470 B 4.10 per quanto riguarda il calcolo: metodo n 9 con confidenza statistica del 95 % Dimostrazione della disponibilità Non si ritiene necessaria la dimostrazione della disponibilità operativa indicata nei capitoli RAM dei volumi 2 e 3 delle SRS.

23 23 di S, SAFETY Descrizione generale del processo di analisi di sicurezza Responsabilità e competenze I confini di responsabilità tra Committente e Fornitori sono individuati dal contenuto presente nella documentazione tecnica di specifica SRS del sistema SCMT: il volume 1 1 ed i relativi allegati sono responsabilità del Committente; i volumi 2 1 e 3 1 ed i relativi allegati sono responsabilità dei Fornitori. Tali responsabilità s'intendono applicabili per i suddetti soggetti in ogni fase del ciclo di vita contrattuale del sistema SCMT Documentazione legislativa e normativa applicabile La documentazione contrattuale applicabile è: DPR 224/88, Sicurezza e Responsabilità da Prodotto; DLGS 115/95, Sicurezza Generale dei Prodotti/applicazioni; DLGS 299/01 del 24/5/01; Direttiva 96/48/CE, Interoperabilità di Componenti e Sottosistemi per il Sistema Ferroviario Transeuropeo ad Alta Velocità; Decisione 93/465/CE, Procedura generale di accertamento della conformità e della rispondenza all impiego dei prodotti/applicazioni; Linea guida per l applicazione della normativa CENELEC di settore allo sviluppo e realizzazione di prodotti e sistemi elettronici in sicurezza per il segnalamento ferroviario (bozza del 17/5/01) EN50126 EN50128 EN50129 EN50155 EN EN Report R Nella versione finale che incorporerà i retrofit della sperimentazione.

24 24 di Limiti di applicabilità dell analisi Essendo il sistema SCMT un sistema ATP (Automatic Train Protection), gli elementi principali che lo compongono sono i seguenti: Elemento umano operativo e di manutenzione di bordo e di terra Sottosistema di terra Sottosistema di bordo Per quanto sopra la presente analisi dovrà essere perimetrata fino a considerare: tutte le funzionalità specifiche del sistema SCMT tutte le funzionalità di interfaccia del sistema SCMT con il mondo di bordo (interfaccia rotabile) e quello di terra (interfacce ACS, ACEI, IS, etc) tutte le funzionalità dell SCMT aventi interfaccia l elemento umano, operatore e manutentore, di bordo e di terra. Quanto sopra dovrà consentire di valutare tutti i riflessi per la sicurezza (hazard) che comporta l implementazione del sistema SCMT. Non saranno presi in considerazione tutti quegli eventi correlati al mondo di bordo e di terra al di fuori della citata perimetrazione poiché considerati già regolamentati dalle normative vigenti. Di seguito si riporta l albero dei guasti e degli errori che causano il verificarsi di un generico hazard o evento pericoloso limitatamente alle condizioni di esercizio. Il diagramma considera gerarchicamente i contributi dei guasti delle apparecchiature, l errore del personale di bordo, l errore del personale di terra (per es. nella gestione dei rallentamenti e delle riduzioni di velocità) e l imprecisione degli algoritmi di odometria e del modello di frenatura, tracciando i limiti di responsabilità di analisi da parte dei fornitori. Si sottolinea come i requisiti quantitativi e qualitativi di sicurezza rivolti al Fornitore non includano l'influenza dell'accuratezza del modello treno (odometria e frenatura) ma solamente le caratteristiche di corretta implementazione di tale modello nel sottosistema di bordo. Inoltre dal diagramma si possono evincere le due aree di Errore dei Dati di Input, le cui analisi sono di pertinenza del Fornitore e del Committente per le loro parti di competenza. Il Committente infatti dovrà analizzare le condizioni a monte dei Dati di Input che possono indurre errori sistematici al Sistema SCMT, mentre il Fornitore dovrà analizzare gli aspetti di degrado correlati all implementazione nel sistema SCMT di tali Dati di Input.

25 25 di 80 Si mettono, inoltre, sin d ora in rilievo alcuni aspetti, non tutti evidenziati dall albero dei guasti e degli errori, che necessitano di specifiche indagini da parte del Committente per valutarne il rispetto degli obiettivi di sicurezza: adeguamenti normativi sia per il personale di bordo sia per il personale di terra; analisi di coerenza e congruenza del modello treno; analisi della perdita dei PI vitali, nei diversi scenari applicabili al sistema SCMT, valutata secondo la possibilità di poter contare o meno sulla funzione di appuntamento vitale (in questo caso sarà richiesto il concorso dei Fornitori per quanto riguarda la valutazione della probabilità di guasto a terra o a bordo che comporti la perdita di una o più boe).

26 26 di 80 Nota: L analisi è competenza del Fornitore relativamente all introduzione ed alla gestione dati da parte delle apparecchiature; del Committente per quanto riguarda il reperimento dati Evento pericoloso Condizioni non coperte da SCMT (per es. durante la marcia con solo Vigilante, o con sola RSC, o a V < Vril, o con SCMT indisponibile a causa di un guasto sicuro ) Errore PdM Indicazione errata di velocità o di visualizzazione gemme RSC Errore Personale di terra (rallentamenti ) Malfunzionamenti pericolosi SCMT Imprecisione modello di frenatura dovute a: Dispersione dello spazio di arresto calcolato secondo il modello di UTMR Applicazione modello alle linee e rotabili (segnalamento +Tab. PGOS) Errore Dati treno di input per l odometro Imprecisione algoritmo di odometria Generico guasto (compreso l errore di pilotaggio del tachimetro e di visualizzazione gemme) Errore di visualizzazione gemme RSC Malfunzionament i pericolosi SST Guasti pericolosi Air-gap Malfunzionamenti pericolosi SSB Guasto che inficia il CV Errore di pilotaggio del tachimetro Guasti pericolosi del tachimetro Errore Dati input (compresa manutenzione) Guasti pericolosi apparecchiature Errore Dati input (compresa manutenzione) Guasti pericolosi apparecchiature ANALISI DI COMPETENZA DEL FORNITORE

27 27 di Flusso delle attività macroscopiche Conformemente con quanto previsto dalla EN si seguiranno i seguenti passi in modo da determinare esaustivamente il processo di sicurezza e le rispettive attività principali. A tale scopo di seguito viene richiamato il flusso delle attività principali oggetto della presente analisi: A. Risk Analysis A.1 Definizione del sistema A.2 Individuazione degli hazard A.3 Analisi delle conseguenze (inclusa analisi delle concomitanze) A.4 Tipologie di rischio, stima della Frequenza di Pericolo (HR) e del SIL di Sistema con allocazione ai sottosistemi B. Hazard Analysis B.1 Analisi delle cause B.2 Analisi delle cause concomitanti B.3 Mitigazione degli hazard e reporting B.4 Calcolo dell HR ed allocazione del SIL di sottosistema. La Risk Analysis è di responsabilità del Committente mentre le Hazard Analysis dei sottosistemi SSB e SST sono di responsabilità dei Fornitori Attività collaterali Dovranno essere sviluppate le analisi RAM e di qualità che consentano di poter identificare le criticità correlate alle prestazioni di sicurezza del sistema SCMT. Per lo sviluppo coerente della Risk Analysis da parte del Committente e dell Hazard Analysis da parte dei Fornitori, si dovranno utilizzare, ove di riflesso per la sicurezza, i dati (tasso di guasto, tempo di manutenzione correttiva) e le informazioni (attività di manutenzione, caratteristiche di affidabilità, ecc.) derivanti dalle analisi RAM per la valutazione delle cause degli hazard di sistema e di sottosistema. Per gli aspetti qualitativi dovranno essere utilizzate le analisi dei processi di fabbricazione, installazione, collaudo e messa in servizio, ai fini del riscontro delle eventuali criticità che possono aver riflesso sulle cause degli hazard. A tale scopo le attività citate dovranno essere conformi a quanto prescritto nelle relative sezioni delle SRS.

28 28 di Evidenze documentali I risultati delle analisi di cui al detto flusso delle attività dovranno costituire evidenza oggettiva documentale di ogni attività eseguita, ai fini del rispetto della conformità alle norme europee EN 50126, EN 50128, EN In particolare, le evidenze oggettive dovranno consentire di identificare, verificare e gestire la documentazione di pertinenza del Committente e del Fornitore per l obiettivo finale della Accettazione di sicurezza di impiego (safety acceptance) del sistema SCMT, in conformità con le citate normative europee.

29 29 di Descrizione del processo a carico del Committente Responsabilità e Competenze del Committente È responsabilità del Committente lo sviluppo della Risk Analysis in accordo a quanto stabilito nelle EN 50126, EN ed EN L analisi di rischio del Committente fissa i criteri di definizione e gestione delle strategie operative di controllo/mitigazione dei pericoli e quindi di rispetto della sicurezza. Tali strategie sono orientate a stabilire gli elementi sostanziali di rispetto dell integrità della sicurezza in termini di prestazioni tecniche, funzionali, qualitative e quantitative ed il loro accertamento durante l arco di tutto il ciclo di vita del sistema SCMT. Dal momento che l integrità della sicurezza deve essere prefissata anche in termini di prestazioni quantitative, sono stati stabiliti dal Committente dei criteri di accettabilità per le stesse, che consentono di soddisfare sia le esigenze di progettazione e realizzazione del sistema SCMT, che le prescrizioni richieste dalle direttive di legge e dalle normative europee. Tali criteri sono stati identificati dal Committente lungo il flusso di attività dell Analisi di Rischio. In base alle responsabilità citate ed al flusso delle attività indicate nel paragrafo che segue, il Committente provvederà tramite il Comitato Tecnico alle necessarie azioni di coordinamento interno e dei Fornitori, al fine di conseguire l obiettivo di omologazione e di accettazione della sicurezza di impiego del sistema SCMT Descrizione del flusso delle attività Le attività di Risk Analysis di pertinenza del Committente sono descritte di seguito Definizione del sistema I confini fisici del sistema e l ambiente nel quale il sistema deve funzionare sono descritti nel volume 1 delle SRS. A tale scopo sono stati individuati i seguenti elementi, considerati interni al sistema, ed oggetto dell analisi di sicurezza: 1. le funzioni principali del sistema (capitolo 6 SRS vol.1) la cui tracciabilità rispetto ai requisiti di sistema è riportata nella tabella 0 in allegato A; 2. le caratteristiche di base cioè le modellizzazioni atte a garantire le funzionalità in sicurezza del sistema (modello di frenatura del treno, algoritmo di odometria, tabelle B PGOS, ecc.); 3. le interfacce SST-SSB (air-gap/rsc e air-gap/antenna-boa); 4. le interfacce SST-terra (SST-ACEI, SST-ACS, ); 5. le interfacce SSB-treno (SSB-DIS, ); 6. l interfaccia SST-uomo (manutentore, gestione rallentamenti, ); 7. l interfaccia SSB-uomo (PdM, manutentore, ) Quanto suddetto è contenuto nelle colonne da 1 a 3 nella tabella 1 allegata al presente

30 30 di 80 documento Individuazione degli hazard Gli hazard saranno individuati partendo dalla definizione del sistema di cui al paragrafo precedente e categorizzando come segue le potenzialità di pericolo di incidentalità del rotabile: 1. Procurato incidente: hazard che può procurare direttamente un incidente in presenza di un solo errore/guasto "interno" al sistema SCMT; 2. Pericolato incidente dovuto a concause esterne: hazard che può procurare un incidente qualora sussista almeno una condizione "esterna" di incidentalità (ostacoli non rilevati, ridotta aderenza delle rotaie ecc.) concomitante con l occorrenza di un solo errore/guasto "interno" al sistema SCMT; 3. Pericolato incidente dovuto a concause interne con o senza concause esterne: hazard che può procurare un incidente se sono presenti almeno due tra errori/guasti "interni" al sistema SCMT e sono presenti o meno concause esterne. Per l individuazione degli elementi interni al sistema si veda il Poiché è compito primario del sistema SCMT quello di controllare la marcia del treno ai fini del rispetto dell integrità del mezzo, delle persone trasportate e dell ambiente (compresa l infrastruttura ferroviaria), è stato fatto riferimento soltanto alle incidentalità tipiche di esercizio causate dal rotabile e dalla linea, in modo da preservare attraverso le analisi di sicurezza ed i successivi rimedi le occorrenze di ferimenti (injury) e mortalità (fatality) delle persone. Il processo di individuazione degli hazard è riportato nelle colonne da 4 a 9 della tabella 1 allegata al presente documento. In particolare la colonna 6 della tabella 1 (Pericolato incidente dovuto a concause interne) sarà sviluppata nell analisi delle concomitanze interne di cui al e riportata nelle tabelle 2 di cui in allegato A. Per una più facile identificazione degli Hazard, a ciascuna funzione di sistema è stato associato uno scenario nel quale sono indicati gli stessi Hazard in relazione alle condizioni di marcia del treno, come riportato nell'allegato C degli scenari operativi. Ciascun hazard sarà codificato, tabellato (si vedano la tabella hazard list e la tabella di correlazione hazard-hazard log) e registrato (hazard log), al fine di poterne seguire l evoluzione del relativo processo di analisi e degli eventuali provvedimenti compensativi di controllo/mitigazione/eliminazione dell hazard intrapresi durante lo stesso processo Analisi delle conseguenze (inclusa analisi delle concomitanze) In base agli hazard individuati come dal paragrafo precedente, verranno analizzate le conseguenze sul sistema, persone ed ambiente, indotte dai degradi degli elementi considerati interni al sistema (vedere ): guasto/errore del SSB e dell interfaccia SSB-treno, SSB-PdM e SST-SSB; guasto/errore del SST e dell interfaccia SST-terra;