Analyse und Modellierung von Eisenbahnunfällen

Die Eisenbahn gilt als eines der sichersten Transportmittel. Trotzdem kommt es auch heute noch regelmässig zu Kollisionen zwischen Zügen und zu Kollisionen an Bahnübergängen mit dem Individualverkehr. Diese Unfälle gilt es auf ein Minimum zu reduzieren. Daher wird in der Arbeit einerseits zusammen mit dem Industriepartner ENOTRAC ein bestehendes physikalisches Modell zur Vorhersage des Schadensausmasses (Tote, Schwerverletzte und Verletzte im Zug) weiterentwickelt und validiert. Dieses Modell unterstützt das Erstellen von Risikoanalysen für die Zulassung von Fahrzeugen und Betriebsformen im Eisenbahnverkehr. Kommt es trotzdem zu Unfällen, müssen diese mit geeigneten Methoden untersucht werden. Nur so ist es möglich, den grösstmöglichen Lerneffekt daraus zu ziehen, um gleiche Unfälle zukünftig zu verhindern. Konkret wird die Unfalluntersuchungsmethode «CAST» hinsichtlich der Anwendbarkeit für Eisenbahnunfälle analysiert. Das bestehende Modell für Kollisionen an Bahnübergängen der Firma ENOTRAC wird anhand statistischer Auswertungen sowie der Anwendung von realen Referenzunfällen optimiert und validiert. Mit diesem validierten Modell ist es nun möglich, das Schadensausmass für Zugskollisionen mit Strassenfahrzeugen in den vorgegebenen Ausmasskategorien abzuschätzen. Zusätzlich wird das Modell auf Kollisionen zwischen zwei Zügen angewendet. Mit der Anpassung einiger Parameter kann das Modell für Fragestellungen im Bereich von Risikoanalysen genutzt werden. Ebenfalls wird in dieser Arbeit die systemorientierte Unfallanalysemethode «CAST» untersucht, ob diese sich besser eignet als herkömmliche Unfalluntersuchungsmethoden, Ursachen für Unfälle im Eisenbahnverkehr zu finden. Die Methode berücksichtigt das gesamte System, welches bei einem Unfall beteiligt war, um daraus zufällige oder systematische Fehler im System oder im Prozess zu offenbaren. Die Methode wurde anhand eines realen Unfalls getestet und mit den bestehenden Untersuchungsberichten verglichen. Dadurch konnten zusätzliche Unfallursachen identifiziert werden. Das weiterentwickelte ENOTRAC Modell eignet sich sehr gut für die Abschätzung des Schadensausmasses bei Kollisionen an Bahnübergängen. Für die Kollision zwischen zwei Zügen kann das physikalische Modell im aktuellen Entwicklungsstand allerdings nur einen groben Rahmen für das Schadensausmass vorgeben. Die Unfalluntersuchungsmethode «CAST» eignet sich für den Einsatz im Eisenbahnverkehr, weil sie die Möglichkeit bietet, auch nicht unmittelbar mit einem Unfall zusammenhängende Ursachen aufzuzeigen

Sicherheit von autonomem Fahren

Die vorliegende Arbeit zeigt Gefahren und Risiken des autonomen Busses "Trapizio" der Firma AMoTech GmbH auf, welcher in Neuhausen am Rheinfall in der Schweiz zum Einsatz kommt. Der Fokus der Arbeit liegt auf streckenspezifischen Aspekten, deren Analyse nach der Norm ISO-26262 zur funktionalen Sicherheit, welche in der Automobilindustrie etabliert ist. Die aus der Analyse hervorgegangenen Risiken wurden der Strecke zugeordnet und zur besseren Visualisierung wurden Karten angefertigt. Auf diesen Karten sollen die kritischen Punkte ersichtlich sein. Risiken, welche gemäss der Norm weitere Massnahmen erfordern, wurden genauer evaluiert und es wurden – soweit nötig – detailliertere Lösungsansätze erarbeitet. Auf der Basis dieser Methoden lassen sich wenige Risiken auf der Strecke identifizieren. Das Fahrzeug wurde ebenfalls etwas genauer betrachtet und eine grobe Visualisierung des Systems wurde angefertigt. Bei der Risikoanalyse wurde die Sensorik nicht betrachtet, weshalb die Resultate noch nicht vollständig repräsentativ sind. Zwischenzeitlich erhielt der autonome Shuttle bereits eine Bewilligung für den Betrieb auf einem Teil der Strecke. Diese Arbeit ist für die Zulassung auf der gesamten Strecke nützlich, da sie die systematische Analyse und Zuordnung der jeweiligen Risiken ermöglicht und damit die Grundlage zur Festlegung von Massnahmen zur Risikominderung darstellt. Das vorgestellte Vorgehen ist auch dafür geeignet, um ähnliche Projekte einer solchen Risikoanalyse zu unterziehen

Towards a modeling language for Systems-Theoretic Process Analysis (STPA) : Proposal for a domain specific language (DSL) for model driven Systems-Theoretic Process Analysis (STPA) based on UML

Dieser Artikel schlägt eine modellbasierte domänen-spezifische Sprache zur Modellierung von Sicherheitsanalyse nach der STAMP/STPA Methode vor. Im Dokument werden die einzelnen Modellierungskonstrukte detailliert beschrieben, sowie deren Zusammenhänge definiert.The article proposes a model-based domain-specific language for the STAMP/STPA safety analysis technique. The document describes the modeling artefacts and their relationships in detail

SAHRA - an integrated software tool for STPA

SAHRA (STPA based Hazard and Risk Analysis) as a software tool for STAMP/STPA improves the analysis workflow by not only supporting the complete STPA process but by also offering a unique way to capture Step 1 and 2 using the visual style of mind maps. SAHRA is seamlessly integrated into the widely used UML solution Sparx Systems Enterprise Architect (EA). This integration enables synergies between design of a system and its safety analysis and thus allows to use STPA in the paradigm of safety-guided design

Use of STPA as a diverse analysis method for optimization and design verification of digital instrumentation and control systems in nuclear power plants

Nuclear power plant operators increasingly face the task of replacing their instrumentation and control (I&C) systems with modern digital systems. This raises the question of safety as the characteristics of the new systems differ from those of the old ones, although they realize the exact same functionality. In the form of a research project and case study, the question about the safety of modern I&C systems was addressed using the risk analysis method Systems-Theoretic Process Analysis (STPA). STPA handles safety as an emergent system property and specifically investigates risks generated by functional interaction between system components. The method does not restrict safety only to component failures, and therefore it seems well suited to address the characteristics of today’s I&C systems adequately. The STPA method was adapted and amended. The verification on a case study showed that STPA is very appropriate for the analysis of digital I&C systems, especially as the method takes a more holistic viewpoint than others. It supports the handling of functional redundancies – a very common design pattern in I&C systems – and allows priorities to be set at any point of the analysis. Focus of this research project was put on the methodology and not on the completeness of the findings resulting from the case study

Safety driven design with UML and STPA

TalkSystem Theoretic Process Analysis (STPA) is increasingly being used in diverse industrial sectors for the analysis of existing complex technical systems. At the Safety Critical Systems Research Lab of IAMP, we successfully applied STPA in several projects having a focus on the safety assessment of already designed and implemented systems. In accordance with proposals coming from other groups, we also strongly believe that STPA could ideally be used in the design phases of the systems engineering process, hence supporting the paradigm of safety driven design. We certainly can state that every systems engineer has an intrinsic motivation to design safe and secure systems. With regard to the increasing complexity of today’s systems and the inadequateness of most of the established hazard analysis methods to cope with that in an efficient and timely way, it must not come as a surprise that the safety driven design paradigm remains on the wish list rather than to become reality. We realize that the primary goal to reach in order to achieve safety guided design is to empower system engineers to analyze safety issues directly from their perspective and within their mindset. Approaches merely focusing on embedding safety processes into development processes will have little chance of success if this goal is not reached. Allowing system engineers to handle safety in a “natural” manner will automatically bring safety engineering and system engineering closer together. Model driven design with UML and SysML is nowadays recognized as being the state of the art in technical systems engineering. As these tools are typically adopted from software system engineering it is primarily the software engineering community which proposes to use them for system safety – and security – matters, but not only. In this talk we show how model driven design with UML and SysML can be extended to safety driven design by incorporating STPA directly into the design process

Tool qualification considerations for tools supporting STPA

TalkWe evaluated tool qualification requirements for hazard and risk analysis software tools, particularly for tools supporting System-Theoretic Process Analysis (STPA) and compared the tool qualification approaches of safety standards IEC 61508, EN 50128, DO-178C/DO-330 and ISO 26262. For our software tool SAHRA, which integrates STPA in an existing engineering toolchain by providing an extension for the UML/SysML modeling tool Sparx Systems Enterprise Architect, we found that tool qualification according to the mentioned safety standards was not straightforward and required further analysis. Therefore we analyzed tool risks and found that tool risks depend on many factors like process risks, risks from tool errors, tool integration risks and operational scenarios how the tool is used in the development lifecycle. We selected four operational scenarios for tools supporting STPA to evaluate tool qualification requirements. Concluding that tool qualification is required, we used a multi-domain tool qualification development lifecycle guided by DO-330 for SAHRA

Sicherheitsgerichtete Entwicklung mit Hilfe von STPA und codeBeamer

Tal