Maciej WOROPAY, Piotr BOJAR, Andrzej WDZIĘCZNY Katedra Eksploatacji Maszyn Akademia Techniczno-Rolnicza w Bydgoszczy ul. Kaliskiego 7, email: andy@mail.atr.bydgoszcz.pl Zastosowa drzewa zdarzeń do analizy zagrożeń w systemie Człowiek-Obiekt Techniczny-Otocze 1. Wprowadze Jednym z najważjszych etapów działań na rzecz poprawy bezpieczeństwa systemu socjotechnicznego rozumianego jako system Człowiek-Obiekt Techniczny-Otocze jest analiza bezpieczeństwa tego systemu w procesie użytkowania. Z analizą bezpieczeństwa związane jest pojęcie ryzyka. Ryzyko w pracy zdefiniowano jako warunkową możliwość powstania straty w wyniku wystąpienia pojedynczego zdarzenia pożądanego. Przeprowadze analizy bezpieczeństwa daje podstawy do podjęcia racjonalnych decyzji i działań dotyczących poprawy bezpieczeństwa w rozważanym systemie C-OT-O i do wyboru optymalnych metod zmjszenia wartości ryzyka. Może być ona przeprowadzona za pomocą metod jakościowych lub metod ilościowych. Znacz lepiej opracowane i częściej stosowane do analizy bezpieczeństwa są metody jakościowe. Do metod tych należą m.in. metody: matrycowe, list kontrolnych, CO-JEŚLI, HAZOP (ang. Hazard And Operability Studies), FMEA (ang. Failure Mode And Effect Analysis) MORT (ang. Management Oversight Risk Tree) i inne [3, 7, 11, 12]. Metody ilościowe umożliwiają wykona racjonalnych analiz, porównań i działań zmierzających do poprawy bezpieczeństwa. Metody ilościowe to zwykle metody probabilistyczne. Stopień komplikacji tych metod zależy od stopnia szczegółowości odwzorowania w modelu przyjętego do analizy ryzyka złożonego systemu oraz od jego złożoności. Do metod ilościowych zalicza się metody: statystyczne, PRA (ang. Probabilistic Risk Assessment) oraz PSA (ang. Probabilistic Safety Assessment). Metody ilościowe są trudjsze w stosowaniu i wymagają znacz większej ilości informacji wejściowych [3, 7]. Osiągane cele poprzez realizację analiz bezpieczeństwa różnymi metodami są zbliżone. Różnice występują jedy w przyjętych procedurach, które wynikają z przekroczenia wartości cech obiektu technicznego poza dopuszczalne granice. Powstałe na wskutek tych przekroczeń uszkodzenia podsystemów (elementów) obiektu technicznego są w przypadku elementów krytycznych i istotnych głównym źródłem zagrożeń [3, 7, 12]. Bardzo wygodnym i zalecanym przez specjalistów narzędziem modelowania ryzyka jest metoda drzewa zdarzeń. Dalsza część pracy dotyczy wykorzystania tej metody do przeprowadzenia analizy bezpieczeństwa wybranego systemu socjotechnicznego.
2 Metoda drzew zdarzeń, zastosowana do jakościowej analizy zagrożenia umożliwia szczegółowe rozpatrze przyczyn wystąpienia pierwotnego zdarzenia pożądanego oraz scenariuszy przebiegu zdarzeń (np. wypadku, katastrofy) po ich wystąpieniu. Stosowana jest ona, gdy pojawiają się trudności związane z szacowam zagrożeń w przypadku zajścia pierwotnych zdarzeń pożądanych. W pracy wyróżnia się następujące typy zdarzeń pożądanych: pierwotne oraz wtórne. W artykule pierwotne zdarze pożądane określono jako uszkodze obiektu technicznego spowodowane bezpośrednio lub pośrednio przez uszkodze lub zdatność innego obiektu technicznego. Natomiast zdarze wtórne to ie, które jest następstwem wystąpienia zdarzenia pierwotnego. Przykładem iej sekwencji zdarzeń jest uszkodze (przebicie) opony pojazdu samochodowego, którego następstwem jest kolizja obiektu technicznego z przeszkodą. Wyniki jakościowej analizy bezpieczeństwa przy użyciu metody drzewa zdarzeń, pozwalają na [7]: - szczegółową analizę sekwencji zdarzeń, - rozpatrze scenariuszy przebiegu możliwych sekwencji zdarzeń po wystąpieniu pierwotnego zdarzenia inicjującego, oraz wskaza najbardziej bezpiecznych z nich, - uzyska informacji o najważjszych elementach (krytycznych), których uszkodze wywołuje zagroże systemu C-OT-O. - racjonalne oszacowa poziomu zagrożeń, wywołanych przez wystąpie pierwotnego zdarzenia pożądanego, - wyznacze możliwości minimalizowania zagrożeń np. przez przeciwdziała zajściu najbardziej bezpiecznych sekwencji zdarzeń, prowadzących do wypadku lub katastrofy. Najkorzystjszą metodą przedstawienia chronologicznego sekwencji zdarzeń, istotnych ze względu na funkcjonowa obiektu technicznego, występujących po wystąpieniu zdarzenia pożądanego, jest metoda diagramu logicznego drzewa zdarzeń. W opracowaniu poddano analizie katastrofę kolejową w systemie transportu kolejowego stosując do tego metodę drzew zdarzeń. Metoda drzew zdarzeń pozwala na bardziej szczegółowe, niż w wielu innych jakościowych metodach analizy ryzyka, rozpatrze możliwych przyczyn i skutków zajścia rozważanego zdarzenia pożądanego i w efekcie dokładne oszacowa wartości ryzyka związanego z tym zdarzem. Zdarze pierwotne w drzewie zdarzeń może być przyczyną wystąpienia sekwencji wtórnych zdarzeń pożądanych, z których każde, kolejne zwiększa zagroże systemu C- OT-O.
3 Na tej podstawie jako przykład analizy sekwencji zdarzeń, które wystąpiły po zajściu uszkodzenia pierwotnego wybrano do analizy bezpieczeństwa metodę drzewa zdarzeń. 2. Cel opracowania Celem opracowania jest ocena zagrożeń występujących w systemie Człowiek-Obiekt Techniczny-Otocze, na podstawie analizy i oceny bezpiecznych sekwencji zdarzeń. 3. Obiekt i przedmiot badań Obiektem badań są zdarzenia pożądane zachodzące w systemie Człowiek-Obiekt Techniczny-Otocze. Skutkiem wystąpie zdarzenia pożądanego są zagrożenia, natomiast przedmiotem badań są relacje zachodzące między zdarzeniami tworzącymi sekwencje zdarzeń. Jako ilustrację rozważań wybrano katastrofę kolejową będącą następstwem zajścia pierwotnego zdarzenia pożądanego (uszkodze elementu jezdnego). 4. Analiza ciągów zdarzeń dotyczących katastrofy zespołu trakcyjnego Zespół trakcyjny ICE składa się z dwóch członów napędnych i 12 14 członów doczepnych I i II klasy oraz wagonu restauracyjnego. Zarówno człony napędne jak i wagony doczepne wyposażone są w dwa wózki dwuosiowe. Wagony doczepne połączone są ze sobą sprzęgami samoczynnymi. Układ hamowania zespołu trakcyjnego stanowią: dynamiczny hamulec elektryczny tzw. odzyskowy, hamulec elektropneumatyczno tarczowy oraz szynowy hamulec magnetyczny. Ze względu na sposób uruchamiania, wyróżnić można następujące rodzaje hamulców: samoczynny, samoczynny oraz bezpieczeństwa. Pociąg zespołowy ICE 884 wyposażony jest hamulce tarczowe na wszystkich osiach. Sterowa hamowam następuje poprzez układ komputera pokładowego, który spełnia że funkcje kontroli i diagnostyki. Poszczególne wagony doczepne wyposażone są we własne systemy komputerowe, które są włączone za pomocą światłowodów w układ centralny zespołu trakcyjnego. W celu zapewnia wysokiego bezpieczeństwa pasażerów na liniach kolejowych z dużymi i powiększonymi prędkościami stosuje się następujące urządzenia torowe: - samoczynne blokady liniowe, - urządzenia przekazywania informacji z toru na pojazd, których zadam jest kontrola wartości istotnych cech funkcjonalnych zespołu trakcyjnego np. prędkości jazdy, drogi hamowania, oraz wspomaga działania maszynisty.
4 - urządzenia sygnalizacji przejazdowej dla przejazdów strzeżonych oraz z sygnalizacją samoczynną Zabezpieczenia linii kolejowej, tzw. elektroniczne systemy przesyłowe nadzorują każdy przejazd zespołu trakcyjnego szybkiego ruchu pasażerskiego. Do systemów tych zaliczyć można []: - PZB (indukcyjne zabezpiecze pociągów) punktowe samoczynne oddziaływa na zespół trakcyjny do prędkości 160 km/h, - LZB liniowe oddziaływa na zespół trakcyjny po przekroczeniu 160 km/h. System tych zabezpieczeń, to powiązany siecią przewodów elektronicznych zespół czujników (sensorów). Czujniki rozmieszczone są wzdłuż trasy przejazdu przy szynach i w zespołach trakcyjnych. Ich zadam jest kontrola liczby przejeżdżających kół oraz pomiar temperatury poszczególnych osi zespołu trakcyjnego. Czujniki służą do wykrywania zablokowanych osi wagonów doczepnych. Rozmieszczone są one w dużych odległościach między sobą. Niestety stosuje się systemu czujników wykrywających uszkodzenia opony ie jak np. pęknięcie obręczy koła. W jednostkach napędowych oraz wagonach doczepnych zespołu trakcyjnego ICE stosowane są typowe rozwiązania konstrukcyjne osi i kół. W celu zmjszenia drgań w wago restauracyjnym zastosowano koła z przekładką gumową i oponą (obręcz stalowa), co zilustrowano na rys 1. Rys. 1. Schemat budowy osi wózka jezdnego i koła z przekładką gumową i oponą. W czasie przejazdu zespołu trakcyjnego na odcinku Hanower-Hamburg nastąpiło pęknięcie opony lewego koła na trzeciej osi wagonu. W wyniku pęknięcia opona uległa zakleszczeniu w ramie wózka jezdnego. Następstwem tych zdarzeń było uszkodze przewodów systemów zabezpieczeń (PZB, LZB) przez fragment uszkodzonej opony, w wyniku czego zadziałały systemy zabezpieczeń oraz układy hamulcowe zespołu trakcyjnego ICE.
5 Wystąpie pierwotnego zdarzenia pożądanego (pęknięcie opony) zainicjowało sekwencje zdarzeń pożądanych, których skutkiem była katastrofa. Po przebyciu przez zespół trakcyjny określonego odcinka drogi od miejsca zajścia zdarzenia inicjującego, nastąpiło zakleszcze zdeformowanej opony w zwrotnicy. Skutkiem wystąpienia tego zdarzenia było rozerwa sprzęgu wagonów i ich wykoleje. Następstwem uderzenia piątego wagonu w podporę wiaduktu było zablokowa torów pod wiaduktem. Na skutek zablokowania torów kolejne wagony doczepne uderzały w wagony blokujące torowisko. Czwarty wagon zsunął się po nasypie. Trzy pierwsze wagony doczepne, po wykolejeniu, zatrzymały się wzdłuż torów. Przednia jednostka napędowa została wyhamowana po przebyciu kilku kilometrów od miejsca zajścia pierwotnego zdarzenia pożądanego. Przebieg zdarzeń po zajściu pierwotnego zdarzenia pożądanego przedstawiono na rys. 2.
6 Rys. 2. Schemat przedstawiający sytuacje przebiegu katastrofy 5. Modelowa oraz analiza drzewa zdarzeń
7 Zdarze inicjujące pierwotne Pęknięcie opony Niezadziała systemu diagnostycznego Niezadziała systemu hamulcowego Termicznego Kontroli Zakleszczenia Akustycznego Samoczynnego Niesamoczynnego Bezpieczeństwa Zaklesz- osi (kontrola ilości osi temp. osi) Maszynista Pasażer SH 1 =f(sd 1; SD 2; SD 3 ) SH 2 =f(sd 4 ) SD 1 SD 2 SD 3 SD 4 SD 5 SH 3 =f(sd 5 ) cze opony w zwrotnicy Zdarze inicjujące wtórne Wypadnięcie pociągu z szyn Spadnięcie pociągu z nasypu Uderze pociągu w wiadukt Wypadek 1 2 3 4 5 6 7 8 9 10 11 12 13 14 K W 3 S 1 K W 3 S 1 S K W 3 S 1 S K W 3 S 2 S K W 3 S 1 S K W 3 S 1 S Rys. 3. Drzewo zdarzeń katastrofy kolejowej. rzeczywista sekwencja zdarzeń możliwe sekwencje zdarzeń hipotetyczne sekwencje zdarzeń S sekwencja zdarzeń prowadząca do zatrzyma zespołu trakcyjnego, S1 sekwencja zdarzeń prowadząca do braku reakcji układów zabezpieczających zespół trakcyjny przed zagrożeniami, jakie stwarza zajście pierwotnego zdarzenia pożądanego,
8 W1 sekwencja zdarzeń prowadząca do zajścia wtórnego zdarzenia inicjującego tj. zakleszczenia opony w zwrotnicy, W2 sekwencja zdarzeń prowadząca do zajścia wtórnego zdarzenia inicjującego tj. wypadnięcia pociągu z szyn, W3 sekwencja zdarzeń prowadząca do zajścia wtórnego zdarzenia inicjującego tj. spadnięcia pociągu z nasypu, K sekwencja zdarzeń prowadząca do katastrofy tj. uderzenia pociągu w wiadukt. Na podstawie przeprowadzonych analiz systemów sterowania i kontroli podczas jazdy pociągu oraz systemów bezpieczeństwa zamodelowano drzewo zdarzeń tej katastrofy. Na podstawie diagramu logicznego przeprowadzono analizę logiczną zarówno hipotetycznych jak i rzeczywistych sekwencji zdarzeń. Dla porównania skutków katastrofy dokonano hipotetycznego porównania różnych sekwencji zdarzeń pożądanych, mogących wystąpić na skutek zajścia zdarzenia inicjującego. Na rysunku 3 przedstawiono drzewo zdarzeń przebiegu katastrofy kolejowej. Linią dwupunktową zaznaczono hipotetycz możliwe do zajścia zdarzenia, natomiast linią ciągłą dokładny przebieg zdarzeń. Linią kreskową zaznaczono sekwencje zdarzeń, które zostałyby wywołane przez określone działa maszynisty bądź pasażera. Jak widać z grafu drzewa zdarzeń dla trzech hipotetycznych przebiegów zdarzeń, czyli w razie zadziałania tylko jednego z trzech systemów hamulcowych SH 1, SH 2, SH 3, może dojść do zatrzymania zespołu trakcyjnego (S). Gdy którykolwiek system diagnostyczny przekaże informacje na temat zajścia uszkodzenia, np. pęknięcia opony, a żaden z trzech systemów hamulcowych zadziała, to a sekwencja zdarzeń prowadzi do zajścia wtórnego zdarzenia pożądanego. Zespół trakcyjny w przypadku zajścia iego ciągu zdarzeń uleg katastrofie. Należy jednak zwrócić uwagę na fakt zagrożenia ludzi (pasażerów, załogi) oraz otoczenia, jakie stwarza uszkodzony zespół trakcyjny poruszający się z dużą prędkością. Konsekwencją iej sekwencji zdarzeń jest katastrofa, lecz może ona wywołać ciąg zdarzeń prowadzący do katastrofy. Natomiast, jeśli ciąg zdarzeń pożądanych doprowadzi w czasie jazdy zespołu trakcyjnego do zadziałania żadnego z systemów hamulcowych, to w każdej iej sytuacji następuje najbardziej korzystna sekwencja zdarzeń, prowadząca do katastrofy (K uderze pociągu w wiadukt). Należy zaznaczyć, że w przypadku zajścia korzystjszych sekwencji zdarzeń dochodzi do zajścia zdarzenia inicjującego wtórnego (W3 spadnięcia pociągu z nasypu, W2 wypadnięcia pociągu z szyn, W1 zakleszczenia opony w zwrotnicy). Każde ze zdarzeń inicjujących wtórnych W1, W2, W3 może wywołać w następstwie zajścia dalszy ciąg korzystnych zdarzeń, którego następstwem może być utrata zdrowia i życia ludzi oraz zagroże otoczenia. 6. Wnioski
9 Metodę diagramu logicznego - drzewa zdarzeń wykorzystano do wykonania wstępnej - uproszczonej analizy bezpieczeństwa. Polega ona na identyfikacji zdarzeń pożądanych, których skutkiem są zagrożenia w systemie C-OT-O. W metodzie tej stosuje się rozumowa indukcyjne służące do przełożenia różnych zdarzeń inicjujących na możliwe rezultaty (skutki). Do precyzyjnego określenia wartości ryzyka należy wykorzystać inne metody umożliwiające szczegółową analizę zagrożeń. Analiza bezpieczeństwa z użyciem metody drzew zdarzeń umożliwia ustale najbardziej korzystnych przebiegów zdarzeń, zapoczątkowanych przez zajście pierwotnego zdarzenia pożądanego. Należy zwrócić szczególną uwagę na rozwiązania konstrukcyjne elementów jezdnych wagonów i jednostek napędowych oraz urządzeń kontrolujących i zabezpieczających przed skutkami uszkodzeń tych elementów. Konstrukcje kół nośnych, osi oraz wózków jezdnych wagonów są znacznym czynnikiem ryzyka zespołów trakcyjnych ICE drugiej generacji. Poważ stosowane do tej pory rozwiązania konstrukcyjne w zespołach trakcyjnych wysokich prędkości ICE zapewniały dostatecz wysokiego bezpieczeństwa czynnego i biernego w nowszych generacjach zastosowano rozwiązania zapewniające wyższe bezpieczeństwo, zarówno czynne jak i bierne. Dotyczy to zarówno jednostek napędowych jak i wagonów doczepnych. Ciągle transport kolejowy przedstawiany jest jako jeden z bardziej bezpiecznych. Stosowane obec zabezpieczenia uważa się za wystarczające i stosowa rozwiązań wykorzystywanych w transporcie lotniczym, uważa się w dalszym ciągu za potrzebną inwestycję. Konstruktorzy zespołów trakcyjnych powinni starać się rozwiązać problemy związane z bezpieczeństwem pasażerów np. poprzez zastosowa pasów bezpieczeństwa oraz zabezpieczeń bagażu. Literatura [1] 1995, Bezpieczeństwo oraz degradacja Maszyn, Pierwsze Konwersatorium, Wrocław- Szklarska Poręba. [2] Bizoń-Górecka J. 2001, Inżyria zawodności i ryzyka w zarządzaniu przedsiębiorstwem, Oficyna Wydawnicza Ośrodka Postępu Organizacyjnego, Bydgoszcz. [3] Dietrich M., 1999, Podstawy konstrukcji maszyn, Tom 1, WNT Warszawa. [4] Jamroż K., Grzegorzek A., 2002, Bezpieczeństwo ruchu w miastach i metody jego poprawy, Transport miejski nr 6/2002. [5] Jaźwiński J., Ważyńska-Fiolk K., 1993, Bezpieczeństwo systemów, PWN, Warszawa. [6] Markowski A., 2000, Ocena ryzyka w zarządzaniu bezpieczeństwem procesów chemicznych, Zagadnia Eksploatacji Maszyn, Zeszyt 2 (122). [7] PN-IEC 60300-3-9, 1999, Analiza ryzyka w systemach technicznych, Wydawnictwa Normalizacyjne, Warszawa.
10 [8] Radkowski S., 2003, Podstawy bezpiecznej techniki, Oficyna Wydawnicza Politechniki Warszawskiej, Warszawa. [9] Suchodolski S., 1995, Pojęcie i miary bezpieczeństwa w piśmiennictwie światowym, Zagadnia Eksploatacji Maszyn, Zeszyt 2 (102) Politechnika Warszawska, Wydział Mechaniczny Energetyki i Lotnictwa, Warszawa. [10] Szopa T., 2000, Problematyka bezpieczeństwa. Skrypt PW dla zaocznych studiów inżyrskich, Warszawa. [11] Szopa T., 1990, Metody jakościowych i ilościowych działań na rzecz bezpieczeństwa systemu człowiek-obiekt techniczny, Zagadnia Eksploatacji Maszyn, Zeszyt 4. [12] Szopa T., 2001, Podstawy analizy ryzyka zawodowego, Politechnika Warszawska.