1(7) Kopia till: Riskanalys Införande av GSM-R filter Referenser [1] (EG) nr 352/2009 Gemensam säkerhetsmetod för riskvärdering och riskbedömning [2] SS-EN 50126, Railway applications The specification and demonstration of Reliability, Availability, Maintainability and Safety (RAMS) [3] SUBSET-091Safety Requirements for the Technical Interoperability of ETCS in Levels 1 & 2, version 2.5.0 Metod 1. Insamlande och genomgång av bakgrundsdokumentation. 2. Sammanställning av frågeställningar (från CSM ref [1], brainstorm, etc). 3. Bestämmande av acceptanskriterier. 4. Möte för att identifiera riskkällor och analysera dessa. Syfte Syftet med riskanalysen är att säkerställa och lyfta risker inför installation av GSM-R filter. Funktionen installeras för att öka tillgängligheten för ERTMS-systemet, då det syftar till att filtrera ut störningar i GSM-R som kommer från det publika GSM-nätet. Ytterligare filter ska också installeras på Cabradion, för att möjliggöra störningsfri kommunikation mellan tågpersonal och trafikledning. Denna förändring ses som säkerhetshöjande. Analysen gäller både installation av filter för Cabradio och ETCS-modem. Dessa analyser har delats upp i två kapitel. Detta dokument har uppdaterats, efter det att den tekniska lösningen ändrats så att filtret inte längre är urkopplingsbart. Denna version (2015-04-29) återspeglar denna ändring. Ändringen ändrar inte slutsatserna i dokumentet men förenklar argumentationen, då risken för mänskliga misstag minskar.
2(7) Avgränsningar Acceptanskriterier hämtas från exempel ur EN50126, ref [2]. Mötet Datum: 2015-01-12 Närvarande: Lotta Lindqvist, Dan Enberg, Karin Bucht Linde, Jesper Näsström
3(7) Resursbeskrivning Namn Roll Meriter Ann-Charlotte Lindqvist Beställare >10 års erfarenhet av järnvägsbranschen Dan Enberg Teknisk expert ombordsystem >10 års erfarenhet av järnvägsbranschen Jesper Näsström Teknisk expert ombordsystem >20 års erfarenhet av järnvägsbranschen Karin Bucht-Linde Projektledare >10 års erfarenhet av utveckling av ETCS CSM-frågor,svar och åtgärd för filter i ETCS Konsekvens av bristande funktion? Grad av innovation? Ändringens komplexitet? Övervakning? Reverserbarhet? Ej säkerhetsrelaterat, om GSM-R filtret inte fungerar så kommer eventuella störningar från publika GSM-nät att inträffa. Detta leder enbart till tillgänglighetsnedsättningar, inga säkerhetsrisker. Funktionen syftar att ge en tillgänglighetsförbättring. Den bedöms som låg då den enbart bygger på en passiv komponent installerad på en antennkabel. Bedöms som enkel. Komponenten har endast två anslutningar. En för inkommande antennsignal och en för utgående antennsignal. Lätt för föraren att iaktta att funktionaliteten är tillfredsställande, och den bedöms som icke säkerhetsrelaterad. Om föraren märker att radioförbindelsen för ETCS är onormalt dålig, måste fordonet till verkstad. Bedöms som enkel att ta bort och återställa. Installationen kommer att beskrivas i befintlig Se detaljerad analys i kapitlet Analys av GSM- R filters säkerhetspåverkan nedan.
4(7) installationsmanual. Additionalitet? Bedöms inte som en riskfaktor. Se detaljerad analys i kapitlet Analys av GSM- R filters säkerhetspåverkan nedan.
5(7) CSM-frågor,svar och åtgärd för filter i Cabradio Konsekvens av bristande funktion? Grad av innovation? Ändringens komplexitet? Övervakning? Reverserbarhet? Additionalitet? Nedsatt möjlighet till kommunikation med trafikledning. Detta ger samma scenario som om ett filter inte hade installerats alls, och bedöms därför inte som negativt relativt nyinstallationen. Den bedöms som låg då den enbart bygger på en passiv komponent installerad på en antennkabel. Bedöms som enkel. Komponenten har endast två anslutningar. En för inkommande antennsignal och en för utgående antennsignal. Lätt för föraren att iaktta att funktionaliteten är tillfredsställande. Om föraren märker att radioförbindelsen med tågledningscentralen är onormalt dålig, måste fordonet till verkstad. Bedöms som enkel att ta bort och återställa. Installationen beskrivs i befintlig installationsmanual. Eftersom säkerheten bedöms som sämre utan installation av filter, behövs ingen ytterligare analys. Det är viktigt att möjligheten till kommunikation testas med aktivt filter före 2015-07-01.
6(7) Analys av GSM-R filters säkerhetspåverkan i ETCS Denna analys har gjorts av Dan Enberg och Jesper Näsström. Allmänt kan sägas att GSM-R filtren installeras med anledning av den förhöjda störnivån i luftgapet. I praktiken kommer alltså fordon med filter att klara denna miljö bättre än fordon utan filter. Detta gäller användningen av Cabradio. GSM-R filtret installeras i det befintliga ETCS-ombordsystemet. Det installeras mellan GSM-Rmobilradiomodulen och GSM-R-antennen, alltså på den befintliga antennkabeln. Enligt den tekniska beskrivningen (F 426.987.3 2012-10-01) baseras åtkomsten till GSM-Rnätet på MT2-FFFIS, alltså enligt UNISIG referenssystem för ombord. Detta referenssystem beskrivs i Subset 091, och där ingår GSM-R antennen i delsystemet EURORADIO. Kraven på Euroradio beskrivs i Subset 091, kapitel 5. Subset 091, kap 5.1, hanterar förvanskning av meddelanden. Enligt detta kapitel ska dataöverföringen via Euroradio skyddas av säkerhetskoder, eftersom överföringskanalen antas innehålla icke tillförlitliga komponenter (dessa definieras i Subset 081-2, kap 4.1.1.7). GSM-Rfiltret kan antas vara en sådan komponent eftersom det sitter mellan mobil och antenn. Eftersom filtret är passivt (och inte innehåller någon logik som kan förändra innehållet i överförd data) kan filtret inte bryta de säkerhetskoder som används. Subset 091, kap 5.2, är inte relevant för Euroradio, eftersom det bara beskriver balisöverföring. Subset 091, kap 5.3, hanterar borttagning av meddelanden. Detta skulle kunna inträffa med ett GSM-R-filter, men kan redan idag inträffa p.g.a. trasiga komponenter, dålig radiomottagning, etc. Funktioner för att hantera detta finns inbyggt i ERTMS, och införande av ett filter kan (om filtret inte fungerar) påverka tillgängligheten, inte säkerheten. Ett fungerande filter kommer däremot att förbättra tillgängligheten. Subset 091, kap 5.4, beskriver relationen till avsiktlig förvanskning av meddelanden, och är inte relevant för passiva komponenter.
7(7) Slutsatser Införandet av GSM-R filter anses ej utgöra en väsentlig förändring enligt definitionen nämnd i CSM-förordningen. Det anses heller inte medföra några förändringar i säkerhetsbevisningen för installerat tågövervakningssystem. Manualer och rutiner ska dock uppdateras utifrån den nya funktionaliteten. Därmed är riskerna mitigerade till en tolererbar nivå enligt TrV JFs bedömning.