Il Processo di Omologazione in ambito di segnalamento ferroviario a tecnologia innovativa

Transcript

1 Roma, 10 novembre 2008 Il Processo di Omologazione in ambito di segnalamento ferroviario a tecnologia innovativa Ing. Gabriele Ridolfi RFI Direzione Tecnica Mail: g.ridolfi@rfi.it

2 Processo Omologativo: recente quadro normativo di RFI Disposizione 52/2007 Disposizione 51/2007 PROCEDURA RFI TC PR IS A (26/09/2003) Disposizione 16/2003 Disposizione 29/2002 Disposizione 32/2002 2

3 Disposizione 29/02 Sviluppo e realizzazione di prodotti e sistemi tecnologici per il segnalamento ferroviario Lo sviluppo e la realizzazione di sistemi e prodotti tecnologici per il segnalamento ferroviario, di terra e di bordo, relativi all infrastruttura ferroviaria nazionale, sono effettuati nel rispetto della normativa CENELEC pertinente Attribuisce i ruoli di Autorità della Sicurezza e di Valutatore per lo sviluppo e la realizzazione di prodotti/sistemi Lo sviluppo è riferito alle Applicazioni Generiche ed ai Prodotti Generici, la realizzazione alle Applicazioni Specifiche 3

4 Applicazione e Prodotto Generico, Applicazione Specifica PRODOTTO GENERICO (PG): apparato costituito da Hardware e Software di base comprendente il Sistema Operativo, i Driver per la gestione dell Input /Output, i Protocolli (escluso l Application Layer) e che può essere riusato in differenti applicazioni. APPLICAZIONE GENERICA (AG): sistema con determinate funzionalità, che può essere riusato per una classe/tipo di applicazioni comuni, e che normalmente deriva dalla combinazione di PG ed eventualmente di altre AG; APPLICAZIONE SPECIFICA (AS): è una particolare installazione di un applicazione generica, ottenuta di norma configurando la relativa AG. 4

5 EN Applicazioni Ferroviarie: la specificazione e la dimostrazione di Affidabilità, Disponibilità, Manutenibilità e Sicurezza (RAMS) definisce RAMS in termini di affidabilità (MTBF), disponibilità (A), manutenibilità (MTTR) e sicurezza (THR) e le loro interazioni definisce un processo per la gestione del RAMS, basato sul ciclo di vita del sistema, e i compiti all interno di esso definisce un processo sistematico per definire i requisiti per RAMS e per dimostrare come questi requisiti sono raggiunti 5

6 EN Ciclo di vita - rappresentazione a V Concezione Definizione del sistema & d applicazione Dismissione Monitoraggio e reiterazione del ciclo Esercizio e Manutenzione Analisi del Rischio Requisiti del sistema Accettazione del sistema Allocazione dei requisiti del sistema Progetto e attuazione Validazione del sistema Costruzione Installazione 6

7 Analisi del Rischio Autorità Ferroviaria RISK ANALYSIS Requisiti di Sicurezza Perimetrazione del sistema Identificazione delle situazioni pericolose (Hazard) Valutazione delle conseguenze e del livello di rischio associato ad un Hazard (prima e dopo l individuazione di una mitigazione) Definizione delle mitigazioni (Requisiti di Sicurezza funzionale e di Integrità della sicurezza) Gestione dell Hazard Log Nuovi Hazard HAZARD ANALYSIS Impresa Fornitrice Allocazione delle funzioni ai prodotti Analisi delle cause di fallimento Dimostrazione qualitativa e quantitativa del conseguimento dei requisiti di sicurezza 7

8 Disposizione 32/02 e 52/07 Criteri per l effettuazione dell analisi del rischio L analisi del rischio deve contenere la tracciatura delle valutazioni eseguite per dimostrare che per ciascun hazard siano state definite le misure e le cautele suggerite dalla tecnica e dalla pratica (mitigazioni) atte ad evitare sinistri La minimizzazione del rischio deve consentire di ottenere un livello di rischio residuo trascurabile secondo la definizione della EN50126 Si ritiene accettabile un rischio minimizzato (anche tollerabile Disp. 52/07) attraverso l adozione di misure e cautele corrispondenti al massimo dello stato dell arte ossia il livello ultimo della tecnica e della pratica e previa autorizzazione dell autorità ferroviaria (Disp. 52/07) I sistemi ed i prodotti che prevedono un SIL 4 costituiscono il massimo dello stato dell arte (Disp. 52/07) 8

9 Quantificazione del rischio (Disp. 51/07) Frequency of occurrence of a hazardous event Risk Levels Frequent Probable Occasional NOT ACCEPTABLE Remote Tolerable Improbable Negligible Tolerable Tolerable Inverosibile Negligible Negligible Negligible Tolerable Insignificant Marginal Critical Catastrophic Severity Levels of Hazard Consequence 9

10 EN Applicazioni Ferroviarie: Sistemi di telecomunicazione, segnalamento ed elaborazione Sistemi elettronici di sicurezza per il segnalamento Copre le procedure per l approvazione della sicurezza Definisce il contenuto di un Safety Case 10

11 EN Istruttoria per la Sicurezza (SAFETY CASE) L evidenza che il sistema/sottosistema/ apparecchiatura soddisfi le condizioni di accettazione deve essere presentata nel Safety Case Evidenza della gestione della qualità Evidenza della gestione della sicurezza Evidenza della sicurezza funzionale e tecnica 11

12 EN Integrità della Sicurezza Specifica dei Requisiti di Sistema Requisiti non connessi alla Sicurezza Requisiti di Sicurezza Specifica dei Requisiti di Sicurezza Integrità rispetto ai malfunzionamenti sistematici Requisiti di Integrità Integrità rispetto ai malfunzionamenti casuali Requisiti Funzionali di Sicurezza 12

13 Livelli di Integrità della Sicurezza SIL È un indice convenzionale (definito su 5 livelli), che rappresenta la robustezza di un componente/sottosistema/sistema a fronte di malfunzionamenti e pertanto è un indice della confidenza con la quale un componente/sottosistema/sistema è in grado di svolgere correttamente una funzione o comunque di porsi in uno stato sicuro in caso di guasto. 13

14 EN Integrità della Sicurezza THR per ora e funzione SIL 10-9 THR< THR < THR< THR<

15 EN Sicurezza Funzionale e Tecnica 1. Composite fail-safety Ogni funzione safety-related è eseguita da almeno due elementi Ogni elemento è indipendente dagli altri per evitare le cause comuni di guasto Un guasto pericoloso in un elemento deve essere individuato e negato in un tempo sufficiente per evitare che un guasto simile avvenga nel secondo elemento 15

16 EN Sicurezza Funzionale e Tecnica 2. Reactive fail-safety La funzione di safety-related può essere svolta da un singolo elemento Il corretto funzionamento deve essere assicurato da un (sistema di) rapido rilevamento e negazione del guasto La funzione di controllo/prova/rilevamento deve essere considerata come una seconda unità che deve essere indipendente per evitare malfunzionamenti di modo comune 16

17 EN Sicurezza Funzionale e Tecnica 3. Inherent fail-safety La funzione safety-related può essere svolta da una singola unità Tutti i modi di guasto verosimili devono essere non pericolosi Tutti i modi di guasto non-verosimili devono essere giustificati usando la procedure definita nell Annesso C Questa tecnica può essere usata per funzioni all interno di sistemi a sicurezza composite e/o reactive per assicurare l indipendenza tra gli elementi o per forzare l arresto in caso di rilevamento di un guasto pericoloso 17

18 Esempio di sicurezza intrinseca 18

19 EN Applicazioni Ferroviarie: Sistemi di comunicazione, segnalamento ed elaborazione Software per sistemi ferroviari di comando e protezione Copre gli aspetti di sicurezza per lo sviluppo del software Definisce un software lifecycle e le prescrizioni per ciascuna fase Individua ruoli e responsabilità 19

20 EN Ciclo di vita del software Fase di Sviluppo del Sistema Fase di Specifica dei Requisiti Software Fase di Manutenzione del Software Fase di Valutazione del Software Fase di Validazione del Software Fase di Integrazione Software/Hardware Fase di Progettazione e Architettura Software Fase di progettazione dei Moduli Software Fase di Integrazione del Software Fase di Test dei Moduli Software Fase di codifica 20

21 EN Es. di Tabelle degli Articoli Progettazione e Implementazione del S/W (Table A.4) TECNICA / PROVVEDIMENTO Sw SIL 0 Sw SIL 1 Sw SIL 2 Sw SIL 3 Sw SIL 4 1. Metodi Formali (CCS, CSP, HOL,LOTOS, - R R HR HR OBJ, Logica Temporale...) (B.30) 2. Metodi Semi-FormaIi (D.7) R HR HR HR HR 3. Metodologia Strutturata (JSD, MASCOT, R HR HR HR HR SADT, SDL, Yourdon) (B.60) 4. Approccio Modulare (D.9) HR M M M M 5. Standards di Progettazione e Codifica (D.1) HR HR HR M M 6. Programmi Analizzabili (B.2) HR HR HR HR HR 7.Linguaggio di Programmazione R HR HR HR HR Fortemente Tipizzato (B.57) 8. Programmazione Strutturata R HR HR HR HR 9. Linguaggio di Programmazione (D.4) R HR HR HR HR 21

22 Disposizione 52/2007 Attivazione all esercizio per sistemi/prodotti in sicurezza Per i nuovi prodotti o sistemi elettronici in sicurezza l attivazione all esercizio sarà fornita a seguito del completamento del processo di omologazione CENELEC In alcuni casi è possibile che l autorizzazione all attivazione sia fornita durante il completamento del processo CENELEC: Nuovi prodotti/sistemi tecnologici che sviluppano funzioni addizionali a quelle preesistenti sulle specifiche tratte dell infrastruttura e che si dimostrino essenziali per mitigare determinate situazioni pericolose Nuovi prodotti/sistemi tecnologici che sviluppano funzioni già preesistenti essenziali per la sicurezza, di cui si ravvisi la necessità di utilizzazione nei tempi più brevi 22

23 Disposizione 52/2007 Attivazione all esercizio in anticipo rispetto al completamento del processo CENELEC Dovranno essere fornite in una istruttoria: le motivazioni, le giustificazioni e le indicazioni per raggiungere l omologazione CENELEC per passi incrementali l evidenza dell ultimazione di una fase di pre-qualifica che comprenda almeno: gli esiti dei test funzionali di laboratorio e in campo le prove di tipo (quelle previste o una selezione concordata delle più significative) La dimostrazione di non intrusività o di una intrusività accettabile Dimostrazione dell adeguatezza delle architetture HW e SW al SIL di riferimento 23

24 Applicazione della 52/2007 al sistema di protezione della marcia di bordo Ciclo di vita Testa di Serie NOME Concetto Accettazione Requisiti: Funzionali Modelli treno Architettura Ambiente Tracciabilità dei Requisiti verso Prodotti e interfacce Sviluppo Progettazione/ Realizzazione HW e SW Requisiti: Installazione Ergonomia Sopralluogo TdS Progettettazione Collaudo su produzione SSB TdS Valutazione di Sicurezza Valutazione Funzionale Validazione SW Validazione HW Approvazione Pre-NOME (Esercizio Scortato) Verifica Installazione Conformità Accettazione Verifiche di captazione e di interfaccia -treno Verifiche EMC Calibrazione Configurazione Realizzazione e collaudo pezzo N della serie Installazione pezzo N della serie NOI Ciclo di vita Pezzo N della serie Calibrazione Configurazione Verifica equivalenza del HW e SW Verifica Installazione Autorizzazione all uso del STB Verifiche funzionali statiche e dinamiche Verifiche di captazione e di interfaccia -treno Installazione SSB su TdS 24

25 Grazie per l attenzione