Filosofie, principes, functies en systemen voor de ... - irse.nl

INSTITUTION OF RAILWAY SIGNAL ENGINEERSProfessional DevelopmentFilosofie, principes, functies en systemenvoor de Nederlandse spoorwegbeveiligingVoor experts, management en andere betrokkenenin de branche van spoorwegbeveiligingAugustus 2012© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 1

(foto copyright: ProRail)ColofonIRSE Dutch SectionWerkgroep Professional DevelopmentReacties: maarten.vanderwerffprorail.nl.Uitgave: augustus 2012.Copyright © 2012 IRSE NL. Alle rechten voorbehouden. Niets uit deze uitgave mag worden verveelvoudigd, opgeslagen in eengeautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch,door fotokopieën, opnamen of op enige andere manier, zonder voorafgaande schriftelijke toestemming van de uitgever.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 2

InhoudPagina 4Pagina 7Pagina 15Pagina 25Pagina 29Pagina 31VoorwoordDe Nederlandse beveiligingsfilosofieDe Nederlandse beveiligingsprincipesDe Nederlandse beveiligingsfunctiesDe Nederlandse beveiligingssystemenNawoord© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 3

VOORWOORDAanleidingSpoorwegbeveiligingssystemen hebben tot doel risico's voor het railverkeer uit tesluiten. Die risico's volgen uit de kenmerken van railverkeer: een geleidverkeerssysteem met voertuigen met hoge massa, zich voortbewegend met stalenwielen op stalen spoorstaven. De voertuigen kunnen niet zelf hun weg kiezen en dusconflicten niet uit de weg gaan. Fouten in het geleidingssysteem zouden kunnenleiden tot ontsporingen. Remwegen zijn in het algemeen langer dan de afstand die debestuurder van het voertuig kan overzien, zodat het zogenaamde rijden op zicht isuitgesloten. De belangrijkste risico’s zijn ontsporen van treinen en het botsingen metandere treinen, kruisend verkeer en werkenden in het spoor.Filosofie, principes, functies en systemen voor spoorwegbeveiligingDe werkgroep Professional Development van de IRSE Dutch Section heeft tot doel dekennisontwikkeling van medewerkers in de beveiligingsbranche in Nederland tebevorderen. Een groep vakgenoten heeft tot doel de basiskenmerken vanspoorwegbeveiliging te ontsluiten en te borgen. De teksten zijn opgesteld doorexperts, samen met experts in ontwikkeling. Door discussie met elkaar en in eigenwerkomgeving en het lezen en analyseren van oude en meer recente documenten.Het resultaat noemen we de filosofie van beveiligen van het railverkeer in Nederland,d.w.z. de theorie van hetelimineren of beperken vanrisico's van potentieel gevaarFilosofiein de life cycle vanMenselijke factorspoorwegbeveiliging. HieropToelichtingenkan worden teruggevallen alsbasis voor het werk in hetPrincipesvakgebied.Van deze filosofie worden debeveiligingsprincipes afgeleid.ProcessenDat zijn de uitgewerktegrondslagen voor beveiligen,FunctiesSystemendie in de tijd gezien aanverandering onderhevigkunnen zijn.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 4

De principes passen zich aan bij de veranderende omgeving, evenals de functies ende systemen. De beveiligingsfilosofie is tijdloos, de beveiligingsprincipes kunnen in detijd gezien naar behoefte worden aangepast. Het model op de vorige pagina toonthet verband tussen filosofie en de bijbehorende principes, functies, systemen, demenselijke factor en de processen bij het uitvoeren van het railvervoer.DoelgroepenDit document is bruikbaar voor specialisten in het vakgebied om met inzicht enoverzicht risico's te verminderen. Maar het document is ook voor managers enandere betrokkenen in de branche om inzicht te geven waar het werk in debeveiliging op gestoeld is.Beveiligen ingewikkeld?Soms wordt de vraag gesteld: “waarom is het zo ingewikkeld?”. Hierboven isbeschreven dat risico's moeten worden voorkomen. Dat wil zeggen, om treinverkeerveilig, maar ook efficiënt af te wikkelen, moeten we garanties kunnen geven entegelijk geen onnodige belemmeringen veroorzaken. Hetspoorwegbeveiligingssysteem staat daarbij centraal. Rekening houdend met hetproces van het rijden van treinen, inclusief de raakvlakken met de omgeving. Maarook met techniek waarvan we willen dat falen geen onveilige gevolgen heeft. En deregels daarbij voor bedenkers, makers, gebruikers en uitvoerenden. De combinatievan al die factoren samen, en de hoge kwaliteitseisen die we aan het resultaat stellen,veroorzaken de mate van complexiteit die wordt ervaren.Dit document had in 1839, toen de eerste trein in ons land reed, niet opgesteldkunnen worden. In een veranderende omgeving leerden we, en leren we nog steeds,fouten te voorkomen. Een document als dit is daarom nooit volledig, maar vraagt eenbijdrage van alle gebruikers op weg naar een volgende, betere versie. Uw reacties zijnwelkom!-o-o-o-o-© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 5

Risico = kans x effect(Bron: Wild Pixels, Bruno Raymond, Flickr)© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 6

1 DE NEDERLANDSE BEVEILIGINGSFILOSOFIEToelichtingenFilosofieProcessen met risico’s zijn: trein- enrangeerbewegingen, werkzaamheden,calamiteiten, doorsnijden (overwegen,bruggen, tunnels). Producten zijn spoorstaaf,wissel, brug, etc.. De omgeving bestaat uithet vervoerssysteem, hetcapaciteitsmanagementsysteem, hetverkeersleidingsysteem, de infrastructuur ende externe invloeden.Het gestelde is bij hoofdspoorwegen (ook deHogeSnelheidsLijn), opstelterreinen ofeenvoudiger exploitatievormen (o.a.LightRail) niet precies hetzelfde; elk van diegevallen kent daardoor een specifieke(invulling van de) beveiligingsfilosofie .Het treindienstproces is dermate complexgeworden dat niet zonder vorm vanspoorwegbeveiliging kan worden volstaan.Daarom zijn middelen ingevoerd om demens te ondersteunen en de veiligheid ophet gewenste niveau te brengen. Detechnische middelen die hierbij wordeningezet vormen tezamen hetspoorwegbeveiligingssysteem; hieronderwordt verstaan het geheel van technischemiddelen en reglementaire bepalingen tervoorkoming van ongevallen bij het rijdenvan treinen. Tenslotte is de werking van debeveiliging van de treinenloop medegebaseerd op het voorkomen van in hetverleden plaatsgevonden ongevallen.Het railverkeerssysteem heeft zijn eigenkarakteristieke risico’s. Deze wordenveroorzaakt door enerzijds mensen, anderzijdsdoor de eigenschappen van de producten envan de processen binnen datrailverkeerssysteem, en hun interactie, zowelonderling als met de omgeving.Bij het bepalen van de aard en omvang van dierisico's, en de maatregelen ter beperking van degevolgen daarvan, is het van belangsystematische risicoanalysemethodes tehanteren. De gehanteerde grondbeginselenfungeren daarbij als uitgangspunt. De veiligheidvan het railverkeer is op deze benaderinggebaseerd.Veiligheid is de gespecificeerde afwezigheid vangedefinieerde risico’s. Veiligheid wordt hiergedefinieerd als de mate van afwezigheid vangespecificeerde oorzaken van een gevaarlijkesituatie en/of de mate van aanwezigheid vanbeschermende maatregelen tegen dezepotentiële oorzaken.Beveiliging van het railverkeer wordt hiergedefinieerd als het geheel van maatregelen,methoden, middelen en procedures die derisico's die samenhangen met het railverkeermoeten beperken. Het betreft veiligheidsrisico'svoor reizigers, goederen, ander erbij betrokkenverkeer, personeel en omwonenden.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 7

Het beveiligingssysteem is bedoeld alsmiddel om de veiligheidsrisico’s vanmenselijk ingrijpen in het treinproces totaanvaardbaar niveau terug te dringen. Doorde toename van het treinverkeer incombinatie met technologischeontwikkelingen wordt aan de techniek eensteeds belangrijker rol toegekend. Detreinbestuurder en treindienstleider blijvenverantwoordelijk, maar door de technischemogelijkheden wordt een zwaarder beroepgedaan op het personeel dat de techniekspecificeert, ontwikkelt, ontwerpt,installeert, verifieert, valideert, in werkingstelt, repareert, reviseert, beheert en instand houdt. Dit betekent dat dit personeelmet procesbeschrijvingen en middelen(bijvoorbeeld tooling) wordt ondersteund.Echter, die techniek kan zelf ook falen, hetrisico daarvan vraagt om aanvullendemaatregelen. Verder is terugkeer naar denormale (ongestoorde en veilige) toestandniet mogelijk zonder menselijk ingrijpen inhet railverkeerssysteem. Dit vergt specifiekemaatregelen, immers de kans op menselijkfalen is vele malen groter dan de kans opfalen van de techniek (risico = kans x effect)Door toepassing van de beveiligingsfilosofie kanvoor railgebonden verkeer worden bepaalddoor welke middelen en methoden veiligheidwordt bereikt.De mate van veiligheid wordt bepaald door demate waarin de risico’s worden beheerst door:• Het wegnemen van oorzaken;• De kans op optreden te verlagen;• De gevolgen te beperken.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 8

Voor de uitoefening van hun taak in hetvervoersproces moeten treinbestuurderszich houden aan de voorschriftenbetreffende de opdrachten entoestemmingen. Verder moet detreindienstleider de beveiligingsinstallatiebedienen volgens de voorschriften. Vooreen goede communicatie tussenbetrokkenen en voor een juiste interpretatieleidt dit tot eisen aan systemen enprocessen.Het realistische niveau van veiligheid wordtook aangeduid met ALARP (As Low AsReasonably Practicle).Wet- en regelgeving stellen kaders voor de tebereiken niveaus van veiligheid. De wet- enregelgeving m.b.t. de spoorwegveiligheidbestaat uit Europese, nationale enbedrijfsvoorschriften. Door het volgen van(inter-) nationale processtandaards enkwaliteitssystemen wordt de kwaliteit vanbedrijfsprocessen geborgd en continuverbeterd.Het realistisch haalbare niveau van veiligheidwordt bepaald op basis van zorgvuldigebedrijfseconomische afwegingen. In dezeafwegingen spelen de volgende aspecten eenrol, die met elkaar op gespannen voet staan:• Capaciteit: het benutten van de aanwezigerailinfrastructuur;• Veiligheid: het beheersen van alleveiligheidsrisico’s;• Kwaliteit: het faciliteren van de processenvan spoorwegondernemingen;• Kosten: een acceptabelkostenniveau voor capaciteit, veiligheid enkwaliteit.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 9

De werking van een railverkeerssysteemwordt onderscheiden in afwisselendeperioden waarin de functievervulling van datsysteem correct, dan wel incorrect verloopt.De overgang van de ene toestand in deandere treedt in het algemeen op door een(ver-)storing in de procesgang, resp.omgekeerd door herstel ervan. Hetrailverkeerssysteem wordt dan beperkt ofniet operationeel resp. weer operationeel,het beveiligingssysteem raakt bij een defectgestoord resp. na herstel weer ongestoord.Bij gestoorde installatie en bijwerkzaamheden gelden andere regels danbij de ongestoorde situatie.Ieder toegevoegd systeem(-deel) is op zicheen bron van verstoring en is zodoendeoorzaak van lagere beschikbaarheid. Regel isdaarom wat niet bijdraagt aan de veiligheidniet in de beveiliging opgenomen moetworden, mede om de kosten te beperken.De eisen voor het efficiënt en effectiefafwikkelen van het treinverkeer zijn inNederland relatief hoog. Dit wordtveroorzaakt door het drukkere treinverkeerbij gelijkblijvende beschikbare ruimte.Veiligheid bestaat uit de aspecten techniek,organisatie en menselijk gedrag.Karakteristiek voor de opbouw van hetrailverkeerssysteem is, dat er twee veiligetoestanden zijn: de normale, gewenste (d.w.z.beheerste, gecontroleerde) operationeletoestand en de toestand waarbij hettreinverkeer tot stilstand is gebracht.Door in de technische middelen, die samen hetbeveiligingssysteem vormen, essentiëlefunctionaliteit op te nemen kan een hoogniveau van veiligheid worden bereikt. Onderessentiële functionaliteit wordt verstaan deveiligheidskritische functionaliteit en defunctionaliteit die minimaal nodig is voor hetefficiënt en effectief afwikkelen van hettreinverkeer.Iedere toevoeging van functionaliteit kan effecthebben op veiligheid en beschikbaarheid.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 10

De treinbestuurder heeft zelf te weinigmogelijkheden gevaarlijke situaties tevoorkomen. In tegenstelling tot lucht-,scheepvaart- en wegverkeer heeft detreinbestuurder niet de mogelijkheid omeen gevaarlijke situatie te ontgaan, hij kanslechts door remmen proberen tijdig voorhet gevaarpunt tot stilstand te komen.Hierbij speelt ook nog de relatief langeremweg (wegens de geringewrijvingscoëfficiënt tussen stalen wiel enrail). Ook kan de treinbestuurder de veiligeberijdbaarheid van sporen, wissels, bruggenen overwegen bij hogere snelheden niet zelfbeoordelen; immers van “op zicht rijden”kan met zo’n snelheid niet meer gesprokenworden. Het beoordelen van de route die zalvolgen is dan niet goed mogelijk; ook kan hijhet gedrag van andere verkeersdeelnemersniet tijdig inschatten.Een toestand wordt als veilig beschouwd als derisico’s uit de volgende onveilige situaties involdoende mate worden voorkomen:A. Botsingen (frontaal, achterop, flank) tussentreinen onderling;B. Botsingen tussen trein- en kruisendverkeer;C. Botsingen tussen een trein en een object;D. Ontsporing door een onderbreking in hetdoorgaand spoor (niet aansluitendewisseltong of brug);E. Ontsporing door overschrijding van dedoor de infrastructuur toegelatenmaximum snelheid (beperkte snelheid inbogen);F. Ontsporen en botsen als gevolg vanwerkzaamheden;G. Ontsporen door spoorstaafbreuk;H. Ontsporen door onjuiste spoorligging of –constructies;I. Botsing door falen van systemenJ. Ontsporing met als oorzaak defectmaterieel.In de beveiliging van een HogeSnelheidsLijn,Betuweroute of Lightrail kunnen bij dat typespoorwegen specifieke maatregelen zijngenomen.Er zijn risico’s die niet met systemen voorspoorwegbeveiliging worden tegengegaan,sommige worden beheerst in andere delen vanhet railverkeerssysteem (inclusiefreglementering). Meer of minder risico’s alsgevolg van het type vervoer of door deomgeving kunnen leiden tot meer of mindermaatregelen.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 11

Door zowel de spoorwegen als de industrie zijnmethoden ontwikkeld waarmee debeveiligingsinstallaties hun veilig functionerenwaarborgen gedurende de hele levenscyclus.Deze methoden borgen dat de kans opongevallen als gevolg van technischeonvolkomenheden door uitval of storingacceptabel is.Door kwantificering van de vereiste vrijwaringvan risico's en de keuze van daarmeegerelateerde maatregelen in techniek enprocessen ontstaan verschillen in de gradatievan veiligheid.De risicoanalyse van het railverkeerssysteemmoet worden getoetst met een evaluatiewaarmee een verdere verhoging van deveiligheid kan worden bereikt.Door de resultaten van een evaluatie van hetrailverkeerproces terug te koppelen naar debeherende instanties wordt geborgd dat hetgewenste niveau van veiligheid wordtgehandhaafd. Monitoring en registratie in welkevorm dan ook dragen bij aan die evaluatie.Rapportages als onderdeel van eenveiligheidszorgsysteem vormen het fundamentvoor handhaven of verbeteren van deveiligheid. Ze beschrijven de ongewensteincidenten op drie gebieden:• het beveiligingssysteem en zijn faalwijzen,• de bedienaars en hun handelen en• de situatie die daarvan het resultaat is(organisatorische, situationele ofsystematische fouten).© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 12

Van systemen die in bedrijf zijn moet navermeend onveilig falen onderzoekplaatsvinden, dit ter bepaling of er sprake is vanzeldzaam uniek falen, een foutief ontwerp,onverwacht gewijzigde omstandigheden, danwel het begin van een verstoring, waarvan deinvloed zich mogelijk zelfs nog verspreidt.-o-o-o-o-© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 13

“…Het risico op ontsporen door onjuiste spoorligging of –constructies wordt in Nederland buiten het hettreinbeveiliginssysteem beheerst…(beveiligingsprincipe)”Spoorspatting (foto copyright: ProRail)© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 14

2 DE NEDERLANDSE BEVEILIGINGSPRINCIPES2.1 Relatie beveiligingsprincipes met de treinbeveiligingsfilosofieIn de beveiligingsfilosofie is beschreven dat het railverkeer beveiligd wordt tegenspoorgerelateerde risico’s op basis van een continue beoordeling van dezerisico’s, de risico-evaluatie. De voornaamste principes waarmee de risico’sworden beheerst worden de beveiligingsprincipes genoemd.Risico’s, oorzaken, beveiligen, beveiligingsprincipes, functionaliteit en systemenhangen met elkaar samen. De figuur op de volgende bladzijde geeft dezesamenhang weer. Toepassen van beveiligingsprincipes voor treinbeveiligingheeft tot doel de kans van een risico te verlagen of de gevolgen van een risico tebeperken. De beveiligingsprincipes gelden als uitgangspunt voor de functies inhet beveiligingssysteem. Naast de beveiligingsprincipes gelden ook devoorwaarden voor veilig gebruik en voorwaarden voor veilige toepassing, degebruiksvoorwaarden respectievelijk de toepassingsvoorwaarden. In de verdereuitwerking richting systemen kunnen vanwege gekozen ontwerpoplossingen,toegepaste techniek en toegepaste producten eveneens gebruiks- entoepassingsvoorwaarden worden gesteld.Doel van het railverkeer is veilig en efficiënt vervoeren van mensen en goederenvia railgebonden vervoer. De voornaamste processen hierbij zijn:- Rijden met treinen;- Rangeren met rangeerdelen (binnen een gebied);- Werken aan of in de nabijheid van de infrastructuur (binnen eenwerkgebied).Om een veilige afwikkeling van het railverkeer mogelijk te maken dienen devolgende garanties te worden geboden:IIIIIIIVVeilige routes, rangeerroutes of rangeergebieden;Veilig materieel;Veilige uitvoering van werkzaamheden;Veilige kruising met wegverkeer.De mate van veiligheid van bovenstaande garanties is de mate van afwezigheidvan onderstaande risico’s.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 15

FilosofieRisico’s▪ Botsen▪ Ontsporen▪ Etc.Oorzaken▪ Mensen▪ Producten▪ Processen▪ Omgeving▪ ExterneinvloedenBeveiligen▪ Oorzaak wegnemen▪ Kans verlagen▪ GevolgenbeperkenFiguur: Beheersen van risico’sRisico-evaluatieBeveiligingsprincipes▪ Kans verlagen▪ Gevolgen beperken▪ Gebruiksvoorwaarden▪ ToepassingsvoorwaardenFuncties▪ Middelen▪ Methoden▪ Gebruiksvoorwaarden▪ ToepassingsvoorwaardenSystemen▪ Architectuur▪ Producten▪ Installaties▪ Gebruiksvoorwaarden▪ Toepassingsvoorwaarden© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 16

De voornaamste 1 onderkende risico’s zijn (tussen haakjes is de relatie met de tebieden garanties gegeven):A Botsen tussen treinen onderling; (I)B Botsen tussen trein en kruisend verkeer; (I, IV)C Botsen tussen trein en een object (I, III)D Ontsporen door onderbreking in doorgaand (I, III)spoor (wisseltong, open brug, enz.)E Ontsporen door overschrijding van de(I, III)maximum snelheidF Ontsporen en botsen als gevolg van(I, III)werkzaamhedenG Ontsporen door spoorstaafbreuk (I)H Ontsporen door onjuiste spoorligging of – (I, III)constructiesI Botsen of ontsporen door falen van systemen; (I, II, III, IV)J Ontsporen met als oorzaak defect materieel (II)Of het risico in het treinbeveiligingssysteem moet worden beheerst is afhankelijkvan factoren, zoals:- De kans van optreden van het risico;- De mate waarin de kans afhankelijk is van menselijk falen;- De ernst of effect van het risico;- De economische haalbaarheid.De risico’s A t/m F worden in Nederland over het algemeen door maatregelen inhet treinbeveiligingssysteem beheerst. De risico’s G t/m J worden in Nederlandover het algemeen door maatregelen buiten het treinbeveiligingssysteembeheerst, zoals toelating, onderhoud en inspectie.Naast maatregelen om een veilige afwikkeling van het spoor mogelijk te makenzijn in het treinbeveiligingssysteem ook maatregelen genomen, die ten doelhebben:- een zo efficiënt mogelijk gebruik van de railinfrastructuur mogelijk te maken;- de goede doorstroming van kruisend verkeer 2 na te streven.1 De lijst van risico’s en oorzaken is nooit volledig. Deze kan ook afhankelijk zijn van de geografie. Bijgewijzigde omstandigheden ontstaan nieuwe risico’s en nieuwe oorzaken of vervallen risico’s en/ofoorzaken. Een continue risico-evaluatie is noodzakelijk. Ontsporen door b.v. harde wind op deMoerdijkbrug van de HSL is een introductie van een nieuwe oorzaak bij het bestaande risico ontsporen.De gewijzigde omstandigheid is de snelheid.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 17

Het treinbeveiligingssysteem functioneert alleen dan goed als ook aan devolgende voorwaarden is voldaan:- Alle specificaties van materieel, beveiliging, energievoorziening enspoorinfrastructuur (spoorbreedte, PVR) zijn op elkaar afgestemd (baan –treinintegratie);- Materieel, energievoorziening en infrastructuur blijven voldoen aan despecificatie;- Er wordt blijvend voldaan aan de gebruiksvoorwaarden 3 .2.2 BeveiligingsprincipesBeveiligingsprincipe 1:Principe:Exclusief toewijzenRisico’s A, B en F kunnen worden beheerst door uit tesluiten dat meerdere gebruikers zich gelijktijdig opdezelfde plek kunnen bevinden.Slechts één gebruiker 4) krijgt toestemming (=autorisatie)zich naar een gedefinieerd gedeelte 5) van de spoorwegte begeven of zich daar te bevinden..Voorbeelden in relatie tot de risico’s:1A: Een trein krijgt toestemming tot het berijden vansporen, wissels en kruisingen;1B: Het wegverkeer krijgt toestemming het spoor tekruisen (overweg);1F: Een werkploeg krijgt toestemming een werkgebied tebetreden.2 Te veel hinder voor kruisend verkeer veroorzaakt daarnaast het indirecte risico op ten onrechtepasseren van overwegen.3 Gebruik kan in de tijd gezien veranderen en de risico’s beïnvloeden hetgeen aanvullende maatregelennoodzakelijk maakt.4 Naast treinen en rangeerdelen zijn er gebruikers als kruisend verkeer (wegverkeer, scheepvaart),werkploegen, enz.5 Gedefinieerd gedeelte wordt bepaald door de genoemde processen: een route, een begrensd(rangeer- of werk)gebied, het kruisingsvlak tussen spoorweg en (water)weg, enz.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 18

Beveiligingsprincipe 2:Principe:GebruiksgarantieRisico’s A, B, C, D en F kunnen worden beheerst doorin de autorisatie aan de gebruiker een aantal garantieste bieden dat het gedefinieerde gebied geschikt isvoor het beoogde gebruik.Een autorisatie geeft de gebruiker volgende garanties:• het toegewezen gedeelte is vrij van ofvrijgegeven door andere gebruikers (zie 1);• het toegewezen gedeelte is geschikt(onbelemmerd) voor het beoogde gebruik;• beweegbare elementen liggen in de voor hetgebruik benodigde positie;• het gebied blijft exclusief aan hem toegewezentotdat zeker gesteld is dat hij het gebied nietmeer gebruikt.Voorbeelden in relatie tot de risico’s:2A/2C/2D:De route is veilig berijdbaar (veilige route).2B: Het spoor kan veilig gekruist worden (veilige kruising).2F: Het werkgebied is afgeschermd van treinverkeer(veilig werkgebied).© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 19

Beveiligingsprincipe 3:Principe:GebruiksvoorwaardenRisico’s A, C, E en F kunnen beheerst worden door bijde autorisatie randvoorwaarden voor veilig gebruik testellen. Deze zijn afhankelijk van het beoogde gebruik.In de autorisatie worden de relevante voorwaardenvoor veilig gebruik gesteld zoals tijd, ruimte, grenzen,richting, snelheid en bezet spoor.Voorbeelden in relatie tot de risico’s:3A/3C:Autorisatie definieert het einde van de route.3E: Autorisatie definieert de maximum toegestanesnelheid.3F: Grenzen van het werkgebied moeten gedefinieerdzijn.Beveiligingsprincipe 4:Principe:Bewaken garantiesDe voorwaarden voor de gebruiksgarantie kunnennadat de autorisatie reeds gegeven is niet meer valideblijken te zijn. Dit risico dient beheerst te worden doorde gebruiker te waarschuwen als niet meer voldaanwordt aan de voorwaarden.Als niet meer aan de voorwaarden voor autorisatie isvoldaan (o.a. door storing wissel, melding bezet spoor)dient de gebruiker gewaarschuwd te worden.Voorbeelden in relatie tot de risico’s:4A/4C/4D:Treinverkeer wordt gewaarschuwd door intrekken ofbeperken van de autorisatie.4B: Wegverkeer wordt gewaarschuwd.4F: Werkploeg wordt gewaarschuwd.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 20

2.3 GebruiksvoorwaardenBij de beveiligingsprincipes 1 en 2 geldt als voorwaarde dat een gebruiker zichniet zonder toestemming op de spoorweg bevindt. Bij beveiligingsprincipe 3geldt dat aan de voorwaarden voor veilig gebruik moeten worden voldaan.Gebruiksvoorwaarde 1:VoorwaardeGeen toegang zonder toestemmingDe gebruiker betreedt de spoorweg niet zondertoestemming.Voorbeelden in relatie tot de risico’s:1A: Trein gaat niet rijden niet zonder toestemming.1B: Wegverkeer houdt zich aan de verkeersregels metbetrekking tot overwegen.1F: Werkploeg betreedt de spoorweg niet zondertoestemming.Gebruiksvoorwaarde 2:VoorwaardeGeen toegang buiten de grenzenDe gebruiker verlaat het aan hem toegewezen gebiedniet zonder toestemming.Voorbeelden in relatie tot de risico’s:2A: Trein/rangeerdeel blijft binnen zijn rijweg.2F: Werkploeg blijft binnen het werkgebied.Gebruiksvoorwaarde 3:VoorwaardeOpvolgen gebruiksvoorwaardenDe gebruiker voldoet aan de randvoorwaarden voorveilig gebruik.Voorbeeld in relatie tot de risico’s:3A: Treinen houden zich aan de maximum toegestanesnelheid.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 21

2.4 ToepassingsvoorwaardenBij de gebruiksvoorwaarden 1, 2 en 3 hoort de voorwaarde dat de gebruikergeïnformeerd is over de inhoud van de toestemming en dat hij ook in staat wordtgesteld de toestemming correct op te volgen.Toepassingsvoorwaarde 1:Voorwaarde:Duidelijke informatieDe gebruiker dient geïnformeerd te worden overde omvang en inhoud van de autorisatie (o.a.mogelijk bezetspoor).Voorbeeld in relatie tot de risico’s:1A: De grenzen van een autorisatie moeten duidelijkte herkennen zijn door de gebruiker.Toepassingsvoorwaarde 2:Voorwaarde:Adequate (tijdige) informatieDe gebruiker moet in staat worden gesteld aan derandvoorwaarden voor veilig gebruik te kunnenvoldoen.Voorbeeld in relatie tot de risico’s:2A: Een opdracht tot afremmen moet tijdig gegevenworden zodat de treinbestuurder ook in staatwordt gesteld de gewenste snelheid tijdig tebereiken.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 22

2.5 AandachtspuntenAandachtspunten, die van invloed zijn op een doelmatige inrichting van debeveiliging (niet direct beveiligingsprincipes):Bij overwegen:• Voorrangsituatie is geregeld;• De goede doorstroming van wegverkeer moet worden nagestreefd;• De overwegbeveiliging is afgestemd op de drukte van het wegverkeer en dedrukte van het treinverkeer.Bij bruggen:• Voorrangsituatie is geregeld;• De goede doorstroming van scheepvaart moet nagestreefd worden;Bij omgeving en sabotage:• Het veiligheidsniveau van de beveiligingsinstallatie mag niet wordenaangetast door de omgeving en de beveiligingsinstallatie mag geennegatieve effecten hebben op de omgeving;• Van oorsprong zijn in de beveiliging geen maatregelen getroffen waarmeede effecten van sabotage worden uitgesloten.-o-o-o-o-© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 23

“Het gebruik kan in de tijd gezien veranderen en de risico’s beïnvloeden, hetgeenaanvullende maatregelen noodzakelijk maakt” (Gebruiksvoorwaarde beveiligingsprincipe).‘Train Protection’ in 1825 gerealiseerd door een bewaker met vlag (foto copyright: Alstom)“Slechts één gebruiker krijgt toestemming (=autorisatie) zich naar eengedefinieerd gedeelte van de spoorweg te begeven of zich daar te bevinden(beveiligingsprincipe 1)”De moderne vorm van ‘Train Protection’ op de HSL Zuid, op de foto de uiterlijkekenmerken van de ERTMS-baanbeveiliging (foto copyright: Infraspeed)© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 24

3 DE NEDERLANDSE BEVEILIGINGSFUNCTIES3.1 Functies om het doel te bereikenMet een functie wordt beschreven wat van een technisch systeem wordt verwacht.Functies beschrijven de doelmatigheid van een systeem: ze zijn in overeenstemmingmet doelstellingen, verwachtingen en definities, zodanig dat het systeem degewenste output levert. De productiviteit van een systeem dat de functie vervultwordt bepaald door een combinatie van capaciteit, doorvoersnelheid, responsietijden beschikbaarheid.Om het railverkeer te kunnen beheersen worden door een combinatie vantechnische voorzieningen voor beheersing en beveiliging de volgende functiesuitgevoerd:• Vrijgeven rijwegen• Vrijgeven rangeergebied• Ter beschikking stellen werkgebied• Vrijgeven handbediende elementen• Bedienen aanstuurbare elementen• Sturen aanstuurbare elementen• Informeren over de verkeerstoestand• Waarschuwen voor naderend treinverkeer• Registreren systeemgebruik en -gedrag• Beheren systeem• Functionele eisen aan interfaces (extern, intern)© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 25

Overeenkomstig het gestelde in de filosofie, wordt bij het functioneel specificerenvan de beveiliging alleen dat wat bijdraagt aan de veiligheid in de beveiligingopgenomen. De belangrijkste functies van een beveiligingssysteem zijn:• Conflictvrije routes door uitsluiten en vergrendelen (interlocking);• Het geven van toestemming om te rijden en opdracht om te stoppen(autorisatie);• Het waarschuwen van wegverkeer voor een naderende trein (overwegen);• Het in de trein bewaken dat de machinist zich houdt aan de gegeventoestemmingen of opdrachten (treinbeïnvloeding);• Het creëren van een veilige werkplek voor baanwerkers (werkplekbeveiliging);• Weten waar de treinen zich bevinden (treindetectie);• Het controleren en sturen van de juiste stand van beweegbare elementen in hetspoor (sturing en signalering buitenelementen).Voor het gebruik in verschillende processen is een verdere detaillering van dezefuncties noodzakelijk; dit leidt uiteindelijk tot een niet-limitatieve lijst van ca. 100(deel-)functies.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 26

3.2 Eisen aan functiesBij het uitvoeren van functies moeten de hiervoor beschreven risico’s vermedenworden. Die risico’s, en dus ook de functies, verschillen afhankelijk vanomstandigheden, omgeving, exploitatievorm etc. Aangetoond moet worden dat:• de risico’s in de beveiliging op afdoende manier gemitigeerd worden en• in het ontwerp geen nieuwe risico’s geïntroduceerd worden.Om van een veilig systeem te kunnen spreken moeten de functies voldoen aanveiligheidseisen. Ook andere eisen (bijvoorbeeld voor beschikbaarheid) hebbeninvloed (soms indirect) op de veiligheid. Bij implementatie van de functies moet danook worden voldaan aan in totaal enkele duizenden eisen (o.a. de zgn. functionalrequirements voor interlocking en system requirements voor ERTMS). Deze eisen zijnin overeenstemming met de Europese standaardeisen, die voortkomen uit deinternationale standaardisatieprojecten.© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 27

© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 28

4 DE NEDERLANDSE BEVEILIGINGSSYSTEMENDe combinatie van functionaliteit, performance en kosten die nodig is bepaalt detechnische invulling van de beveiligingsfilosofie in de systemen die worden toegepast.Ofwel: welke risico’s moeten worden beheerst, welke functies zijn daarvoor nodig. Endus: tot welke systemen (=functievervullers) leidt dat?Iedere vereiste functie moet toegewezen worden aan een subsysteem in dearchitectuur. De systeemarchitectuur bestaat uit:• Een beschrijving van de subsystemen (statisch, componenten en hunsamenhang);• Het concept van uitvoering (dynamisch, interactie tussen de componenten);• Het interface-ontwerp.De volgende subsystemen komen in de architectuur van het Nederlandsesysteemlandschap voor (zie de figuur op de vorige bladzijde):SysteemDoelInterlocking Borgen conflictvrije routes door uitsluitingen envergrendelingenRadio Block Centre (RBC)Informatieuitwisseling met de interlocking via GSM-R overde positie en richting van de treinTreindetectieVaststellen afwezigheid spoorbezettingSeinen (autorisatie, snelheid) Geven van toestemming om te rijden en opdracht om testoppenTreinbeïnvloeding (ATB, ERTMS) Geven van informatie om te zorgen dat de machinist zichhoudt aan de gegeven toestemmingen of opdrachtenOverwegen (open, dicht)Waarschuwen van wegverkeer voor een naderende treinWaarschuwingssystemen,Creëren van een veilige werkplek voor baanwerkerswerkplekbeveiligingWissels (links, rechts) Controleren en sturen van de juiste stand vanBruggen (open, dicht)beweegbare elementen in het spoorTunneltechnische installaties, Beperken van specifieke risico’s, die gebonden zijn aanhotbox-detectie, andere bepaalde infra, bepaald materieel of bepaalde processen.additionele systemen© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 29

Foto’s copyright ProRail© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 30

5 NAWOORDFilosofie, principes, functies. Dat zijn nog al abstracte begrippen. Bij systemen kaniedereen zich al wat meer voorstellen. De opstellers hebben gepoogd die begrippenen hun verband toe te lichten in dit boekje. Daar waren flink wat discussies voornodig. En bij de “laatste versie” kwamen door discussie toch nog verbeteringen naarvoren die hebben geleid tot de “allerlaatste versie”. En ook die zal weer tot discussiesleiden, enzovoorts…..En dat is precies de bedoeling. Want de wereld staat niet stil. Op de vorige bladzijdestaan twee foto’s. Een zwart-wit foto van héééél lang geleden (Arnhem). Veel sporennaast elkaar, dat komt vandaag de dag ook nog voor. Maar het verkeer wordtdrukker, er ontstaan complexere situaties, er komen meer sporen op dezelfde ruimtewaardoor we nu een seinportaal in een boog willen plaatsen (foto Eindhoven): naarwelk sein moet ik kijken? En dat is maar één onderdeel van een beveiligingsprincipe(“de grenzen van de autorisatie moeten duidelijk te herkennen zijn,Toepassingsvoorwaarde 1”) in het beveiligen van het spoorwegverkeer.Met deze uitgave geven we steun aan het oplossen van vraagstukken. En we lokkenook graag de vervolgdiscussie uit: kunnen we met alle systemen, seinen, regels, etc.voldoende veiligheid aan de gebruikers blijven bieden, rekening houdend met watieder van ons adviseert, specificeert, ontwikkelt, fabriceert, ontwerpt, installeert,reviewt, verifieert, valideert, assest, in werking stelt, gebruikt, repareert, reviseert,beheert, onderhoudt en managet?-o-o-o-o-© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 31

© IRSE NL – Professional Development – augustus 2012De Nederlandse beveiligingsfilosofie, -principes, -functies en -systemen 32