WYKORZYSTANIE METODY BowTie ORAZ TECHNIKI GSN DO ANALIZ BEZPIECZE STWA RUCHU LOTNICZEGO

Transkrypt

1 P R A C E N A U K O W E P O L I T E C H N I K I W A R S Z A W S K I E J z. 103 Transport 2014 Mariusz Krzyanowski Polska Agencja eglugi Powietrznej (PAP) Agnieszka Wieczorek, Anna Chróciewicz Politechnika Warszawska, Wydzia Transportu WYKORZYSTANIE METODY BowTie ORAZ TECHNIKI GSN DO ANALIZ BEZPIECZESTWA RUCHU LOTNICZEGO Rkopis dostarczono: luty 2014 Streszczenie: W artykule zaprezentowano metod BowTie oraz technik Goal Structured Notation - GSN, jako przydatne narzdzia do wykorzystania w procesie przeprowadzania analiz bezpieczestwa. Pokazano moliwoci ich wykorzystania i zastosowania w praktyce oraz ograniczenia na przykadzie analizy zdarzenia wtargnicia na drog startow oraz argumentacji wprowadzenia procedur P-RNAV w TMA Warszawa. Sowa kluczowe: analiza bezpieczestwa ruchu lotniczego, metoda BowTie, technika GSN 1. WPROWADZENIE Potrzeba przeprowadzania analiz bezpieczestwa w organizacjach lotnictwa cywilnego, a w szczególnoci w organach zarzdzania ruchem lotniczym wynika wprost z wymaga globalnych Aneksu 19 ICAO oraz regulacji Komisji Europejskiej KE-1035/2011. Wymagania dotyczce osignicia bezpieczestwa, maj gwarantowa, e ocena i ograniczanie ryzyka s przeprowadzane na odpowiednim poziomie, w celu naleytego uwzgldnienia wszystkich aspektów zwizanych z zapewnianiem ATM [1]. W tym celu wykorzystywane s róne metody analiz ryzyka szeroko opisywane w literaturze. Jeden z przyjtych podziaów stosowanych metod to podzia na metody jakociowe i ilociowe. Niestety wedug tego podziau w niektórych przypadkach trudno jest jednoznacznie zakwalifikowa dan metod. Inny podzia metod analizy ryzyka to metody indukcyjne np. metoda analizy drzewa zdarze (ETA) oraz dedukcyjne np. metoda analizy drzewa niezdatnoci (FTA) [2]. Metoda ETA polega na zapisie relacji pomidzy przyczyn, a skutkiem, przy uyciu specjalnego jzyka symboli. Metoda drzewa zdarze moe by

2 126 Mariusz Krzyanowski, Agnieszka Wieczorek, Anna Chróciewicz stosowana do analizy bezpieczestwa systemów na etapie projektowania. Drzewo zdarze w pogldowy sposób wskazuje na sabe ogniwa systemu i okrela stopie speniania stawianych mu wymaga. Analiza FTA suy do analizy wypadków lub obliczania prawdopodobiestwa awarii urzdze lub instalacji. Polega na okrelaniu powiza logicznych midzy przyczynami, czyli zdarzeniami elementarnymi, a ich skutkami, dla zdefiniowania stanów odbiegajcych od zaoonej normy. Zdarzeniem elementarnym moe by, np: awaria urzdzenia, wadliwe zadziaanie elementu sterowania, nieprawidowe dziaanie operatora. Analiza drzewa bdów umoliwia równie identyfikacj i ocen skutecznoci rozwiza technicznych oraz proceduralnych wprowadzonych w celu zwikszenia niezawodnoci systemu. Pozwala zidentyfikowa i oszacowa skutki uszkodzenia sprztu, bdów obsugi, zdarze zewntrznych, wynikajcych ze rodowiska pracy, zasad eksploatacji, które przyczyniaj si do zaistnienia okrelonych niepodanych zdarze. Poczenie metod ETA i FTA wraz z elementami modelu oceny ryzyka Jamesa Reasona (model sera szwajcarskiego ) stanowio podstaw utworzenia metody BowTie [3]. Kolejnym krokiem w przeprowadzaniu analiz bezpieczestwa jest zebranie i przedstawienie argumentów bezpieczestwa w postaci przypadku bezpieczestwa (Safety Case), które w sposób przekonujcy, zrozumiay i poprawny zapewnia, e w danym zastosowaniu oraz rodowisku, system jest bezpieczny. Taka argumentacja moe by przedstawiona w sposób graficzny. Jedn z technik stosowan w tym przypadku moe by technika GSN (Goal Structured Notation). W niniejszym artykule przedstawiono praktyczne zastosowanie metody BowTie do analizy zdarzenia wypadnicia z drogi startowej oraz zastosowania techniki GSN do przedstawienia argumentacji dla wprowadzenia procedur P-RNAV w TMA Warszawa. 2. METODA BowTie Metoda BowTie powstaa na Uniwersytecie w Queensland w Australii. Nazwa pochodzi od ksztatu diagramu za pomoc, którego w odpowiedni sposób odwzorowane s zagroenia wraz z potencjalnymi przyczynami ich wystpienia oraz konsekwencje wraz z propozycjami rodków, które je mog ograniczy. Powstanie tej techniki byo odpowiedzi na potrzeb wprowadzenia sposobu do skutecznej kontroli ryzyka. Metoda BowTie dostarcza czyteln i zrozumia wizualizacj relacji pomidzy przyczynami zdarze oraz przygotowanymi rodkami, minimalizujcymi ich negatywne skutki. W najbardziej powszechnym uyciu ostatecznym celem jest zademonstrowanie kontroli zagroe zdarzenia, bezpieczestwa oraz rodowiska [4]. Podstawowe skadowe metody zostay przedstawione w Tablicy 1.

3 Wykorzystanie metody BowTie oraz techniki GSN do analiz bezpieczestwa ruchu lotniczego 127 Tablica 1 Podstawowe skadowe metody BowTie (opracowanie wasne na podstawie [3]) Nazwa Symbol Opis Identyfikacja zdarzenia Opisuje zdarzenie inicjujce, bdce przedmiotem analizy najwyszego poziomu Identyfikacja zagroenia Identyfikacja przyczyn Identyfikacja skutków Identyfikacja barier(rodków) redukcji przyczyn Identyfikacja barier(rodków) redukcji skutków Identyfikacja czynników eskalujcych Identyfikacja barier(rodków) kontrolowania czynników eskalujcych Okrela obszar analiz. Powinien zawiera nazw obszaru, jego rodki kontroli, skal do której odnosi si kontekst. Opisuje zagroenia, których aktywacja moe spowodowa zdarzenie inicjujce Okrelenie skutków, które mog wystpi po zaistnieniu zdarzenia Okrelenie barier redukcji ryzyka zastosowanych w celu zmniejszenia prawdopodobiestwa wystpienia zdarzenia inicjujcego Okrelenie dziaa podejmowanych w celu redukcji skutków zdarzenia Wskazanie okolicznoci zmniejszajcych skuteczno rodków redukcji ryzyka Okrelenie rodków kontroli tumicych warunki ograniczajce skuteczno pierwotnych barier 3. ZASTOSOWANIE METODY BowTie DO ANALIZY ZDARZENIA WYPADNICIA Z DROGI STARTOWEJ W oparciu o statystyki oraz raporty EUROCONTROL naley stwierdzi, e jednym z najczciej wystpujcym zdarzeniem, majcym wpyw na bezpieczestwo ruchu lotniczego jest wtargnicie na drog startow (Runway Incursion-RI) [5]. Jest to kade zdarzenie na lotnisku, obejmujce nieprawidow obecno statku powietrznego, pojazdu lub osoby na chronionym obszarze powierzchni przeznaczonej do ldowa oraz startów samolotów. Podczas analizy zidentyfikowano nastpujce gówne zagroenia, wpywajce na wystpienie RI (zdarzenie inicjujce), które zostay zebrane po lewej stronie diagramu BowTie. W kolejnym kroku zidentyfikowano potencjalne konsekwencje/skutki zdarzenia wtargnicie na drog startow, które wystpuj po prawej stronie diagramu. Graficzna reprezentacja gównych zagroe i konsekwencji (skutków) dla zdarzenie inicjujcego RI jest przedstawiona w postaci diagramu BowTie rys. 1.

4 128 Mariusz Krzyanowski, Agnieszka Wieczorek, Anna Chróciewicz Rys. 1. Diagram BowTie dla zdarzenia RI [opracowanie wasne]

5 Wykorzystanie metody BowTie oraz techniki GSN do analiz bezpieczestwa ruchu lotniczego 129 Tabelaryczne zestawienie zidentyfikowanych zagroe z podziaem na grupy przyczynowe przedstawiono w tablicy 2. Zestawienie zidentyfikowanych zagroe dla RI [opracowanie wasne] Pilot Suby ATC Kierowca lub pieszy Osoby nieoperacyjne Projektanci lotniska Samolot lub pojazd Zidentyfikowane zagroenia Niezdolno do zastosowania standardów lub procedur Niewaciwie zastosowane standardy lub procedury Nadmierne obcienie prac Niezdolno do zastosowania standardów lub procedur Niewaciwie zastosowane standardy lub procedury Nadmiernie obcione prac Niewaciwie zastosowane standardy lub procedury Nieuprawniony dostp (uwzgldnienie równie obecnoci zwierzt) Niewystarczajco/niewaciwie zaprojektowane elementy lotniska Mechaniczne uszkodzenie (np. hamulce czy hol) Niekorzystne warunki pogodowe Tablica 2 Nastpnie gówne zagroenia zostay zdekomponowane w celu okrelenia barier, które chroni przed wystpieniem zdarzenia. Przykadowe dekompozycje zagroe przedstawiono na rys Niezdolno do zastosowania standardów lub procedur przez suby ATC oraz na rys Niekorzystne warunki pogodowe, z wyszczególnieniem wybranych barier. Niezdolno do zastosowania standardów lub procedur przez ATC Uywanie niezawodnej cznoci dwukierunkowej Uywanie narzdzi wspierajcych podejmowanie decyzji Uywanie systemu podwietlania oznacze poziomych (Stop bar) Uywanie systemów dozorowania (np. A- SMGCS) Uywanie procedury w przypadku utraty cznoci radiowej Rys. 2. Schemat dekompozycji zagroenia Niezdolno do zastosowania standardów lub procedur przez suby ATC [opracowanie wasne] Rys. 3. Schemat dekompozycji zagroenia Niekorzystne warunki pogodowe [opracowanie wasne] W nastpnym kroku dokonano identyfikacji konsekwencji (skutków) wynikajcych z wystpienia zdarzenia RI, które zostay zebrane w tablicy 3. Naley równie podkreli, e kiedy kolizja ma miejsce poza pasem startowym, wtedy zazwyczaj statek powietrzny oraz inne pojazdy poruszaj si z nisz prdkoci ni w przypadku kolizji na pasie startowym, gdzie wystpuj wiksze prdkoci. Prowadzi to do

6 130 Mariusz Krzyanowski, Agnieszka Wieczorek, Anna Chróciewicz zwikszenia ryzyka powanego uszkodzenia samolotów oraz moe przyczyni si do dotkliwych obrae ciaa, a nawet do mierci pasaerów i zaogi. Zestawienie zidentyfikowanych konsekwencji dla RI [opracowanie wasne] Samoloty o wadze >5700 kg (dua liczba pasaerów) Samoloty o wadze <5700 kg (maa liczba pasaerów) Samoloty transportowe (bez pasaerów) System ATM Zidentyfikowane konsekwencje/skutki Kolizja midzy jednym lub wicej samolotów Kolizja midzy samolotem a pojazdem Kolizja midzy samolotem a pieszym Kolizja midzy jednym lub wicej samolotów Kolizja midzy samolotem a pojazdem Kolizja midzy samolotem a pieszym Kolizja midzy jednym lub wicej samolotów Kolizja midzy samolotem a pojazdem Kolizja midzy samolotem a pieszym Zredukowana wydajno systemu ATM ze wzgldu na zwikszenie obcienia prac pilota Zredukowana wydajno systemu ATM ze wzgldu na zwikszenie obcienia prac sub ATC Tablica 3 Przykadow ga diagramu BowTie dla konsekwencji wraz z barierami, które mog je ogranicza przedstawiono na rysunku 4. Rys. 4. Schemat dekompozycji przykadowej konsekwencji zdarzenia RI [opracowanie wasne] Po dokonaniu identyfikacji zarówno zagroe jak i barier je ograniczajcych oraz potencjalnych konsekwencji/skutków po wystpieniu zdarzenia RI i mitygacji w celu ich minimalizacji, wykonuje si caociowy schemat graficzny, aby dokona powiza odpowiednich zagroe i skutków. 4. TECHNIKA GRAFICZNEJ PREZENTACJ ARGUMENTACJI BEZPIECZESTWA - GSN Technika GSN jest graficznym zapisem argumentacji bezpieczestwa oraz narzdziem do analizy jej przebiegu. Poprzez okrelony z góry zbiór elementów, relacji oraz zasad umoliwia budow schematów, które w sposób jednoznacznie okrelony prezentuj poszczególne elementy dowolnego argumentu bezpieczestwa i co niejednokrotnie waniejsze, powizania istniejce midzy tymi elementami. Technika ta jest

7 Wykorzystanie metody BowTie oraz techniki GSN do analiz bezpieczestwa ruchu lotniczego 131 wykorzystywana w branach kluczowych dla bezpieczestwa, gdzie istotne jest przedstawienie dowodów bezpiecznego dziaania systemu. Jest to nie tylko przemys lotniczy, ale równie kolejowy czy obronny [6]. Cele, rozwizania, strategie, konteksty, zaoenia i uzasadnienia stanowi podstawowe elementy GSN. Dziki nim mona wyrane zaprezentowa poszczególne elementy kadego argumentu bezpieczestwa i co waniejsze okreli relacje, jakie istniej midzy tymi elementami. Gówne symbole zapisu znajduj si na rys. 5. Rys. 5. Symbole zapisu w technice GSN [opracowanie wasne w oparciu o [6] ] Elementy przedstawione powyej mona czy za pomoc strzaek w sieci definiujce struktur. Gównym celem kadej struktury jest pokazanie, jak kolejno byy dzielone argumenty(cele) na argumenty niszego poziomu, a do momentu osignicia punktu, w którym mona stwierdzi, e mog by wsparte poprzez odniesienie do dostpnych dowodów. 5. ZASTOSOWANIA TECHNIKI GSN DO PRZEDSTAWIENIA ARGUMENTACJI BEZPIECZESTWA DLA WPROWADZENIA PROCEDUR P-RNAV W TMA WARSZAWA Wprowadzenie B-RNAV dla lotów po trasach w przestrzeniach powietrznych pastw ECAC zwikszyo zapotrzebowanie na RNAV równie w przestrzeni terminalowej. W celu poprawy, tam gdzie to konieczne, dokadnoci operacji RNAV (np. SID/STAR) wprowadzono precyzyjn nawigacj P-RNAV. Precyzyjna nawigacja obszarowa w odniesieniu do podstawowej zapewnia prowadzenie statku powietrznego wzdu linii drogi z wiksz dokadnoci (dla B-RNAV wynosi +/-5NM, a dla P-RNAV +/-1NM).

8 132 Mariusz Krzyanowski, Agnieszka Wieczorek, Anna Chróciewicz Wprowadzenie operacyjne procedur precyzyjnej nawigacji obszarowej wymaga potwierdzenia, e dziaanie to bdzie bezpieczne wraz z przedstawieniem odpowiedniej argumentacji. W tym celu proponuje si zastosowanie techniki GSN. Argument wysokiego poziomu bezpieczestwa ARG0, zastosowane kryteria - CR1, uzasadnienie -J1, kontekst- C1 wraz z argumentami gównymi (ARG1,..,ARG4) przedstawiono na rysunku 6.. Cr1 Ryzykokolizjipowinnoby: a)niewikszenidla obecnychoperacjiwtma Warszawaoraz b)zmniejszonejelijestto racjonalniemoliwe ARG0 PRNAVwTMAWarszawa bdziebezpieczna J1 PRNAVprzyniesie organizacyjneirodowiskowe korzyciwtma C1 DotyczyTMAzwyjtkiem segmentukocowegoi nieudanegopodejciado ldowania ARG1 PRNAVwTMA Warszawazostaa okrelonajako bezpieczna ARG2 PRNAVwTMA Warszawabdzie wdraanazgodnieze specyfikacj ARG3 Przejciedosuby operacyjnejprnav wtmawarszawa bdziebezpieczne ARG4 BezpieczestwoP RNAVwTMAWarszawa wprzyszocibdzie nadalwykazywanew subieoperacyjnej Rys. 6. Schemat dekompozycji argumentu ARG0 technik GSN [opracowanie wasne w oparciu o [7] ] Twierdzenie najwyszego poziomu (ARG0) zostao zdekomponowane na cztery gówne argumenty bezpieczestwa, które odzwierciedlaj cztery etapy cyklu ycia koncepcji i wykorzystania operacyjnego procedur P-RNAV: 1 Specyfikacj (ARG1) 2 Implementacj (ARG2) 3 Przemian (ARG3) 4 Prac operacyjn (ARG4) Zgodnie z zasadami techniki GSN, w kolejnym kroku dokonano dekompozycji na argumenty niszego poziomu. Jako przykad poniej przedstawiono argumenty niszego poziomu dla ARG1.

9 Wykorzystanie metody BowTie oraz techniki GSN do analiz bezpieczestwa ruchu lotniczego 133 ARG1 PRNAVwTMAWarszawa zostaaokrelonajako bezpieczna ARG1.1 Podstawkonceptu jestwewntrzne bezpieczestwo ARG1.2 Projektsystemu jestkompletny ARG1.3 Projektsystemu funkcjonujepoprawniei spójniewewszystkich spodziewanych warunkach ARG1.4 Projektsystemujest odpornynazewntrzne nieprawidowoci ARG1.6 Tocozostao okrelonejest realistyczne ARG1.5 Wszelkieryzykozwizane zwewntrznawari systemuzostao wystarczajcozagodzone ARG1.8 Wykonywaniekopii dowodówjestmoliwe abypokazae bezporedniedowody swiarygodne ARG1.7 Wszelkiekwestiebezpieczestwa zostayrozwizanelubokrelono dziaaniawceluichrozwizania Rys. 7. Argumenty niszego poziomu dla ARG1 [opracowanie wasne w oparciu o [7] ] Nastpnie w celu przypisania dowodów dokonano rozpisania argumentów niszego poziomu na sub-argumenty. Jako przykad przedstawiono rozkad argumentu ARG1.5.

10 134 Mariusz Krzyanowski, Agnieszka Wieczorek, Anna Chróciewicz ARG1.5 Wszelkieryzykozwizanez wewntrznawarisystemu zostaowystarczajco zagodzone S1.5 Uzyskaniedowodówze nastpujceargumenty niszegopoziomus prawdziwe ARG1.5.1 Wszystkie racjonalnie przewidywalne zagroeniazostay zidentyfikowane ARG1.5.2 Dotkliwoskutków kadegozzagroe zostaaprawidowo oceniona,biorcpod uwagrozwizania zaagodzeniaich wystpowania,które mogbydostpne. ARG1.5.3 Celebezpieczestwa zostayustalonetak,e odpowiadajceimczne ryzykomiecisiw okrelonychkryteriach bezpieczestwaijest akceptowalne ARG1.5.4 Wszystkie racjonalnie przewidywalne przyczynykadego zagroeniazostay zidentyfikowane ARG1.5.6 Ocenaryzykadlakadego zagroeniazostaa przeprowadzona, pokazujc,eczne ryzykomiecisiw okrelonychkryteriach bezpieczestwajest akceptowalne. ARG1.5.5 Wszystkiezewntrznei wewntrznedziaania dotyczceograniczania ryzykazostayujtew wymaganiach bezpieczestwaalbow zaoeniach projektowych Rys. 8. Przykad rozkadu argumentu ARG1.5 [opracowanie wasne w oparciu o [7] ] Zebranie i rozpisanie wszystkich przedstawionych powyej argumentów gównych, wraz z dowodami ich spenienia w poszczególnych fazach cyklu ycia projektu P-RNAV dla TMA Warszawa, stanowi pene studium bezpieczestwa, na podstawie którego podejmowane s decyzje o jego uruchomieniu i wykorzystaniu operacyjnym.

11 Wykorzystanie metody BowTie oraz techniki GSN do analiz bezpieczestwa ruchu lotniczego PODSUMOWANIE W przedstawionym artykule zaprezentowano metod BowTie oraz technik GSN, jako przydatne narzdzia do wykorzystania w procesie przeprowadzania analiz bezpieczestwa. Na wybranych przykadach pokazano moliwoci ich wykorzystania i zastosowania w praktyce. Podstawowe korzyci metody BowTie to przede wszystkim mniejsza pracochonno w przygotowaniu schematu kontroli ryzyka, przejrzysto i atwo w prezentacji i zrozumieniu dla personelu na rónych poziomach w organizacji oraz w wielu przypadkach moliwo zmniejszenia niepotrzebnych barier w analizowanym systemie. Najwaniejsze ograniczenia tej metody to brak moliwoci obliczania ryzyka w oparciu o wartoci bezwzgldne oraz ograniczone zastosowanie dla identyfikacji zoonych powiza midzy kontrol ryzyka a wprowadzonymi zabezpieczeniami. Podstawow i najwiksz zalet techniki GSN jest graficzny, czyli czytelny sposób prezentacji argumentów potwierdzajcych suszno gównego stwierdzenia, co uatwia dyskusje midzy zainteresowanymi stronami oraz zmniejsza równie czas potrzebny do osignicia porozumienia w sprawie przyjcia podejcia do argumentacji. Umoliwia równie szybk zmian argumentacji w przypadku zmiany podejcia czy wprowadzenia nowego rozwizania w projekcie. Istotnym elementem techniki GSN jest konieczno bardzo dobrej znajomoci zagadnienia opisywanego za jej pomoc oraz zalenoci midzy opisywanymi argumentami. Brak tej wiedzy moe skutkowa bezporednim przejciem od gównej tezy do kocowego dowodu, bez odpowiedniej dekompozycji na argumenty skadowe, co powanie ogranicza warto argumentacji bezpieczestwa. Jako ograniczenie GSN mona uzna równie brak moliwoci liczbowej oceny argumentacji bezpieczestwa (analizy ilociowe) oraz brak moliwoci jej wykorzystania dla systemów bardzo zoonych. Bibliografia 1. Rozporzdzenie wykonawcze Komisji Europejskiej - KE 1035/2011 z dnia 17 padziernika 2011 r. ustanawiajce wspólne wymogi dotyczce zapewniania sub eglugi powietrznej oraz zmieniajce rozporzdzenia (WE) nr 482/2008 i (UE) nr 691/ Szymanek A., Bezpieczestwo i ryzyko w technice, Wyd. Politechniki Radomskiej, Radom Strona internetowa : 4. Strona internetowa 5. EUROCONTROL, Annual Safety Report Kelly T., Weaver R., The Goal Structuring Notation A Safety Argument Notation, Proceedings of the Dependable Systems and Networks 2004 Workshop on Assurance Cases, July EUROCONTROL, Safety Argument for Precision RNAV in Terminal Airspace, 2008 APPLICATION OF BowTie METHOD AND GSN IN AIR TRAFFIC SAFETY ANALYSIS Summary: BowTie method and Goal Structured Notation GSN have been presented in this paper as a useful tools for air traffic safety analysis. Runway incursion and P-RNAV procedure implementation in TMA Warszawa have been also presented as an examples of practical implementation of BowTie and GSN. Keywords: Air Traffic Safety Analysis, BowTie Method, Goal Structured Notation

12