PALUBNÍ ČÁST SYSTÉMU ETCS - BEZPEČNÁ INSTALACE A INTEGRACE NA VOZIDLA Ing. Karel Beneš, Ph.D. Výzkumný ústav železniční, a.s. 1. PROČ INSTALOVAT ETCS NA VOZIDLA? Pro řadu zainteresovaných osob je otázka, proč instalovat systém ETCS na vozidla bezpředmětná a berou tuto potřebu jako jasně danou, logickou, jedinou možnou atd. Obvykle se takto bez pochyb vyjadřují osoby, které jsou zainteresované v rozvoji a implementaci traťové části systému ETCS. Zatímco osoby, které jsou nějakým způsobem zainteresované v provozování vozidel, v některých případech nejsou tak skálopevně přesvědčené, že ETCS je ta jediná správná cesta. Mj. se často argumentuje, z jejich pohledu, diskutabilními přínosy a nemalou cenou instalace. Výzkumný ústav železniční, a.s. (VUZ) se problematikou systému ETCS zabývá dlouhodobě v národním i evropském kontextu. A to v různých rolích, od technických konzultací, přes připomínky k návrhům rozličných technických i legislativních dokumentů až k pracím notifikované osoby či hodnotitele bezpečnosti. Na základě uvedených dlouhodobých zkušeností lze za VUZ konstatovat, že rovněž sdílíme stanovisko, že potřeba instalovat systém ETCS na vozidla je nevyhnutelná a správná. Prakticky potřeba instalace systému ETCS na vozidla vyplývá především z: [EDP] - prováděcí plán ERTMS specifikovaný v [EDP] stanovuje, že do roku 2023 by měl být systém ETCS instalován cca na 30 až 40 % tzv. koridorů hlavní sítě (core network corridors), [NIP] - národní implementační plán [NIP] v části věnované přechodové strategii od národního vlakového zabezpečovače (VZ) k systému ETCS stanovuje, že na tratích se souvislými úseky provozovaného systému ETCS v řádech stovek km bude nejdéle do pěti let od vybavení tratě vyžadován provoz všech vlaků výhradně pod dohledem ETCS (s funkční kompatibilní palubní částí ETCS), [TSI CCS] - pro nová vozidla (až na výjimky např. pro vozidla provozovaná vnitrostátně a výhradně mimo koridory dle [EDP]) vyžaduje [TSI CCS] instalaci systému ETCS, přibližování spuštění reálného provozu systému ETCS na tratích SŽDC, státní organizace (dále jen SŽDC), zjednodušení provozování vozidel používaných pro mezinárodní provoz v zahraničí na tratích vybavených systémem ETCS (interoperabilita), zvýšení bezpečnosti provozu zavedením systému ETCS. Uvedené důvody pro instalaci systému ETCS na vozidla jsou dostatečně pádné pro to, aby se touto problematikou odpovědné osoby velmi vážně zabývaly. A to přesto, že evropská i národní implementace systému ETCS je z různých důvodů pomalejší, složitější a kostrbatější, než by bylo třeba. Z pohledu VUZ je nyní situace taková, že již není na co čekat. 19
2. PODMÍNKY A FAKTORY INSTALACE ETCS NA VOZIDLA VUZ se aktuálně souvislostmi bezpečné instalace a integrace systému ETCS na vozidlech zabýval zejména ve vztahu k připravovanému vybavování velkého počtu vozidel velkých dopravců typu České dráhy, a.s., nebo ČD Cargo, a.s. Zároveň VUZ využil dřívějších zkušeností z instalací systému ETCS a z instalací národního VZ na vozidla. Výsledkem aktuálních aktivit VUZ je dále uvedený přehled nejpodstatnějších podmínek a faktorů, které se týkají bezpečné instalace a integrace systému ETCS na vozidla v podmínkách České republiky. 2.1 Výchozí předpoklady Z pohledu VUZ platí pro bezpečnou instalaci a integraci systému ETCS na vozidla následující předpoklady: V relativně krátkém čase bude vybaveno (má být vybaveno) poměrně velké množství již provozovaných vozidel. Vybavení velkého či většího počtu vozidel je podmíněno spolufinancováním z prostředků Evropské unie. Bez ohledu na formu spolufinancování, a to jako u všech spolufinancovaných projektů, znamená potřebu precizně plánovat související aktivity všech aktérů, aby projekty končily úspěšně a v čase, který je pro ně stanoven. Instalace na velký počet vozidel může kromě procesních a legislativních podmínek narážet i na praktické problémy typu dostatečné projekční, montážní a zkušební kapacity či uvolnění vozidel pro potřeby instalace. Proto je třeba, aby instalace probíhaly průběžně i s přihlédnutím k postupu prací na vybavování tratí systémem ETCS. Řešení bude umožňovat jízdu pod dohledem systému ETCS i národního VZ. Instalace se bude řešit na úrovni palubního subsystému Řízení a zabezpečení (ve smyslu [TSI CCS]). Použité prvky interoperability a komponenty národního VZ budou předem certifikované resp. schválené. Typicky se bude jednat o typové instalace (zástavby) na danou řadu vozidel. U některých řad vozidel se bude při instalaci řešit také součinnost s národními VZ sousedních zemí a případně se systémem automatického vedení vlaku (AVV). 2.2 Klíčové aktivity a témata instalace a integrace S ohledem na předpoklady uvedené v kap. 2.1 bude předmětem zástavby systému ETCS na vozidla pouze korektní instalace a integrace certifikovaných a schválených prvků interoperability a komponentů národního VZ (případně dalších národních VZ a systému AVV). Přičemž integraci lze vnímat ve dvou rovinách - vzájemná integrace jednotlivých prvků interoperability a komponentů národního VZ (tj. integrace na úrovni vlakového zabezpečovacího zařízení) a dále integrace s dalšími spolupracujícími součástmi či systémy na vozidle (např. s řídicím systémem vozidla). 2.2.1 Hodnocení bezpečnosti (ČSN EN 50129) Smyslem hodnocení bezpečnosti podle normy ČSN EN 50129 je získání dostatečné jistoty, že instalace a integrace systému ETCS na vozidlo je především bezpečná a také provozně použitelná (spolehlivá, dostupná, udržovatelná). Což platí i pro vazbu a součinnost s národním VZ (případně dalšími národními VZ a systémem AVV). Nepředpokládá se tedy, že bude prováděno jakékoliv hodnocení bezpečnosti na úrovni prvků interoperability či dalších komponentů. Hodnocení bezpečnosti se proto bude soustředit na korektní propojení jednotlivých součástí a jejich instalaci na vozidlo a vazbu na další vozidlové systémy. Těžiště prací tak bude spočívat v prověření naplnění podmínek bezpečné aplikace použitých 20
součástí. To jsou typické integrační aktivity vyžadující na jedné straně definici podmínek bezpečné aplikace, na druhé straně prokázání jejich naplnění. V rámci systému ETCS může být obvyklé, že použité prvky interoperability jsou od jednoho výrobce. Pak je jejich integrace z principu snazší než v případě více výrobců. Avšak ani pro prvky interoperability neplatí předpoklad jednoho výrobce ve všech případech. A téměř jistě nebude platit pro integraci systému ETCS s národním VZ případně se systémem AVV. Důsledkem je, že při dodání důkazů bezpečnosti se bude vyžadovat spolupráce více výrobců, přičemž praxe ukazuje, že to bývá často netriviální úkol. Protože se má systém ETCS instalovat na již provozovaná vozidla, předpokládá se, že související ověřovací provoz se může odehrát ve dvou fázích. První fáze bude následovat po instalaci všech komponentů na vozidlo (systém ETCS, vazba na národní VZ, případně systém AVV). Vozidlo pak může být v první fázi provozováno pod dohledem národního VZ, obvykle s vypnutým systémem ETCS. Tím se umožní rychlý návrat vozidla do provozu. Následující fáze ověřovacího provozu již bude probíhat se zapnutým systémem ETCS, bude se ověřovat činnost instalace jízdou pod dohledem systémem ETCS i v úrovni NTC včetně dynamických přechodů. Druhá fáze ověřovacího provozu bude kromě běžných hodnotitelských aktivit zaměřených na integraci (včetně testování) podmíněná dostatečným prověřením plnění požadavků [TSI CCS] na úrovni palubního subsystému (nemá smysl ověřovat systém ETCS, u něhož jsou pochybnosti o interoperabilitě) a provedením testů kompatibility ([TSI CCS], kap. 6.5). Úspěšné vyhodnocení ověřovacího provozu po druhé fázi je kromě ukončení procesu hodnocení bezpečnosti také podmínkou pro vydání certifikátu pro palubní subsystém ve smyslu [TSI CCS] bez omezení týkajících se bezpečnosti a spolehlivosti zařízení. 2.2.2 Posuzování palubního subsystému - [TSI CCS] Posuzování palubního subsystému je podobně jako v případě hodnocení bezpečnosti (viz kap. 2.2.1) zaměřené na korektní instalaci a integraci na vozidlo, avšak v tomto případě podle požadavků [TSI CCS]. Provedení posouzení je podmínkou pro zahájení druhé etapy ověřovacího provozu podle kap. 2.2.1. Určitou otázkou je, co bude výstupem notifikované osoby, která posouzení provede, před zahájením této etapy ověřovacího provozu. Nebude možné vydat certifikát bez omezení, protože ještě nebude dokončen ověřovací provoz, a tudíž nebude ověřena integrace instalace s traťovou částí systému ETCS a provozní spolehlivost instalace. Notifikovaná osoba tedy může v této fázi vydat certifikát s omezeními nebo dílčí stanovisko o ověření (ISV). Do určité míry bude výstup notifikované osoby ovlivněn dohodou mezi zainteresovanými účastníky procesu (včetně Drážního úřadu) a podmínkami pro přiznání dotace z Evropské unie. Certifikát bez omezení vyplývajících z nedokončeného ověřovacího provozu lze vydat po jeho úspěšném vyhodnocení. Přičemž v průběhu ověřovacího provozu se bude sledovat korektní chování instalace z pohledu požadavků [TSI CCS] i ČSN EN 50129. 2.2.3 Testy kompatibility- [TSI CCS], kap. 6.5 [TSI CCS], kap. 6.5 nespecifikuje testy kompatibility jako nedílnou součást procesu posuzování subsystémů podle [TSI CCS]. Přesto je však doporučuje, což se shoduje i se zkušenostmi a doporučeními sdružení NB-RAIL, resp. ERA. Naléhavost a potřeba provádění testů kompatibility se prokazuje při integraci certifikovaných traťových a palubních subsystémů Řízení a zabezpečení, protože praxe bohužel i u certifikovaných subsystémů ukazuje dílčí nekompatibility, které typicky ovlivňují jejich spolehlivost a dostupnost. Příčinou je především komplexnost systému ETCS (resp. ERTMS) a množství požadavků a parametrů ovlivňujících kompatibilitu. V českých podmínkách připravila SŽDC na jaře roku 2017 návrh pokynu provozovatele dráhy ve věci testů kompatibility palubních a traťových částí systému ERTMS/ETCS 21
úrovně 2, a to v souvislosti s instalací systému ETCS na trati Kolín - Břeclav - st. hranice Rakousko/Slovensko. Návrh pokynu byl připomínkován a je v procesu přípravy k vydání. Do diskuse k testům kompatibility byl a je zapojen i Drážní úřad. Ten zhruba v polovině roku 2017 připravil a projednává návrh opatření, kterým se stanoví pravidla pro provádění testů kompatibility na síti SŽDC. Testy kompatibility je tudíž třeba zahrnout do aktivit instalace a integrace systému ETCS na vozidlo. Provedení testů kompatibility bude typovou záležitostí a předpokládá se, že by se při bezproblémovém průběhu mělo jednat o záležitost jednotek dní (provedení plus vyhodnocení). 2.2.4 Posuzování bezpečnosti - [CSM-RA] S ohledem na platnou legislativu je třeba pro typové zástavby systému ETCS uplatnit také požadavky stanovené nařízením [CSM-RA]. V případě subsystému CCS je nutno vzít v úvahu práce provedené při hodnocení bezpečnosti ve smyslu normy ČSN EN 50129, aby se neopakovaly činnosti provedené dle [CSM-RA] a normy ČSN EN 50129. To platí především pro technické změny, které jsou typicky pokryté aktivitami dle normy ČSN EN 50129 (i tato norma běžně pracuje s hodnocením a posuzováním rizik). U subsystémů CCS proto aplikace nařízení [CSM-RA] má praktický význam zejména pro změny provozní a organizační, které přináší zavedení složitého systému typu ETCS do provozu. 3. ZÁVĚREČNÉ ÚVAHY A DOPORUČENÍ Kromě dosud uvedeného lze ve věci bezpečné instalace a integrace systému ETCS na vozidla doplnit: Vybavování vozidel systémem ETCS musí být průběžné a je třeba jej zahájit bez odkladů, aby potřebné práce proběhly kvalitně a včas s ohledem na instalaci traťových subsystémů ETCS. Plánování musí vzít v úvahu i ověřovací provoz typové zástavby. Aktivity je nutné řádně koordinovat - mezi provozovateli, výrobci i subjekty, které se budou zabývat činnostmi nutnými pro uvedení vozidla se systémem ETCS do provozu. Koordinace zahrnuje i řádné vyhodnocování ověřovacího provozu včetně případného nalezení příčin problémů - v palubních či traťových subsystémech ETCS. Při přípravě a vyjednávání podmínek pro přiznání dotací z prostředků Evropské unie je třeba zvážit jejich vhodnou definici, aby se minimalizovalo riziko budoucího nepřiznání či krácení dotací. Všechny činnosti jsou úzce vázané na konkrétní verze instalovaných zařízení (SW i HW) včetně relevantních podpůrných systémů vozidla (podle provedení instalace např. řídicí systém vozidla). Jakékoliv případné budoucí změny schválených verzí musí na všech úrovních uvádění vozidla do provozu podléhat systematickému změnovému řízení. Text se zabývá zejména instalací systému ETCS na již provozovaná vozidla. Přiměřeně jej lze aplikovat i pro nová vozidla. Zjednodušený přístup se bude týkat vozidel s již certifikovanými palubními subsystémy Řízení a zabezpečení. V takovém případě se pozornost bude soustředit na případné doplnění instalace o národní VZ nebo eventuálně systém AVV. 22
LITERATURA: [EDP] Prováděcí nařízení Komise (EU) 2017/6 ze dne 5. ledna 2017 o evropském prováděcím plánu evropského systému řízení železničního provozu [NIP] Národní implementační plán ERTMS, 2017 [TSI CCS] Nařízení Komise (EU) 2016/919 ze dne 27. května 2016 o technické specifikaci pro interoperabilitu týkající se subsystémů Řízení a zabezpečení železničního systému v Evropské unii [CSM-RA] Prováděcí nařízení Komise (EU) č. 402/2013 ze dne 30. dubna 2013 o společné bezpečnostní metodě pro hodnocení a posuzování rizik a o zrušení nařízení (ES) č. 352/2009 23