ZNACZENIE ANALIZY DRZEWA ZDARZE W WYBRANYCH ASPEKTACH IMPLEMENTACJI SYSTEMU GBAS

P R A C E N A U K O W E P O L I T E C H N I K I W A R S Z A W S K I E J z. 103 Transport 2014 Andrzej Fellner, Radosaw Fellner Politechnika lska, Wydzia Transportu ZNACZENIE ANALIZY DRZEWA ZDARZE W WYBRANYCH ASPEKTACH IMPLEMENTACJI SYSTEMU GBAS Rkopis dostarczono: stycze 2014 Streszczenie: Implementacj nowych technologii w ruchu lotniczym poprzedza proces certyfikacji oparty o kompleksow analiz bezpieczestwa. Wykorzystuje ona szereg metod, w tym m.in. analiz drzewa zdarze (ETA). Za jej pomoc dokonano oceny zagroe i ryzyka dla eksperymentalnych podej LPV opartych na sygnale GNSS w porcie lotniczym Katowice-Pyrzowice. Ich celem byo zidentyfikowanie moliwoci wdroenia systemu GBAS. Testy wykonano w ramach midzynarodowego projektu badawczego SHERPA (Support ad-hoc to Eastern Region with Preoperational Actions on GNSS). Sowa kluczowe: GBAS, Event Tree Analysis, bezpieczestwo ruchu lotniczego 1. WSTP Niezbdnym elementem implementacji kadej nowej technologii w ruchu lotniczym jest proces certyfikacji. Gwarantuje on, e dane urzdzenie, procedura czy system spenia najwysze standardy bezpieczestwa. Niestety dopiero przeprowadzone badania naukowe w ramach midzynarodowego projektu SHERPA (Support ad-hoc to Eastern Region with Pre-operational Actions on GNSS), pozwoliy zebra materia, w wyniku którego moliwe stao si opracowanie nowej metody oraz metodyki, jakie naley przyj podczas implementacji nowych procedur, technik i technologii zwizanych z podejciem do ldowania opartego na sygnaach systemów satelitarnych. Jest to szczególnie przydatne podczas realizacji unijnego projektu SESAR (Single European Sky ATM) [22]. W wyniku przeprowadzonych bada, zgodnie z wymaganiami przyjtymi przez Uni Europejsk, opracowane zostay dokumenty: National Scenario Report, EGNOS National Implementation Plan, EGNOS Poland Market Analysis [4] skadajce si m.in. z dwóch elementów: Safety Case i Business Case, konieczne zgodnie z prawem do wykonania podczas implementacji podej RNAV GNSS. Ze wzgldu na obszerno powyszych analiz, w prezentowanym materiale rozwaania zostay zawone tylko do Safety Case jako istotnego elementu podczas wdraania wyej

68 Andrzej Fellner, Radosaw Fellner wymienionych procedur dla dowolnego lotniska. Jest spraw oczywist, e bezpieczestwo moe by pojmowane jako: safety (bezpieczestwo ruchu lotniczego) i security (ochrona przed aktami bezprawnej ingerencji), std konieczne jest rozrónianie tych poj. W niniejszym artykule przedstawione zostay wyniki przeprowadzonych bada zawone do analizy ryzyka i przyjtych w jej ramach zaoe. Analiza ryzyka jest przy tym rozumiana jako cigy, powtarzalny proces zoony z gromadzenia danych ilociowych i jakociowych, oceny prawdopodobiestwa wystpienia zdarze lotniczych, jak równie ich skutków zgodnie z obowizujcymi metodologiami, regulacjami [19]. Warto podkreli, i dopuszczenie w lotnictwie technologii do powszechnego uytku, wie si z przygotowaniem uprzednio wspomnianego Studium Bezpieczestwa (Safety Case). Zawiera ono argumentacj, która ma na celu udowodnienie, i realizacja przyjtego przedsiwzicia (np. wdroenie procedury podejcia GNSS) czy rozwizania technologicznego, przy spenieniu okrelonych prawem wymaga, przyczyni si do podniesienia bezpieczestwa operacji. Z analiz i bada naukowych przeprowadzonych w ramach realizowanych projektów midzynarodowych: HEDGE (Helicopters Deploy GNSS in Europe), SHERPA, EGNOS APV (European Geostationary Navigation Overlay Service - Approaches with Vertical Guidance), wynika konieczno wykonywania Studium Bezpieczestwa dla kadych nowych procedur podejcia w polskich portach lotniczych, które do 2016 r. musz zosta wdroone na zasadniczych kierunkach podejcia LPV GNSS a nastpnie stopniowo przechodzi do stosowania systemu GBAS (Ground Based Augmentation System - Naziemny System Wspomagajcy GNSS) [21]. System GBAS zapewnia: dokadno, wiarygodno, dostpno, cigo informacji nawigacyjnej, które z kolei umoliwia wykonywanie precyzyjnych podej do ldowania w kadych warunkach pogodowych. Jest take odporny na zakócenia sygnau spowodowane przeszkodami terenowymi (dowiody tego przeprowadzone testy na szwajcarskim lotnisku Lugano-Agno), zatem powinien znale szerokie zastosowanie równie w terenach górzystych. GBAS przyczynia si m.in. do zwikszenia przepustowoci lotnisk poprzez zmniejszenie opónie, a take skrócenia czasu podróy czy obnienia wydatków linii lotniczych na paliwo. Moliwoci jego implementacji sprawdzano w ramach podej do ldowania z prowadzeniem pionowym (Localiser Performance with Vertical Guidance - LPV) w porcie lotniczym Katowice-Pyrzowice (EPKT) w ramach uprzednio wspomnianego midzynarodowego projektu badawczego SHERPA [20]. Wród szeregu koniecznych do przeprowadzenia metod analizy ryzyka dla nowych procedur, jedn z najczciej uywanych jest Analiza Drzewa Zdarze (Event Tree Analysis - ETA) [17]. Jest ona zalecana przez midzynarodowe organizacje lotnicze takie, jak: ICAO, EASA czy Eurocontrol [2,3,11]. Stosuje j take Polska Agencja eglugi Powietrznej [8]. ETA uatwia ona ocen bezpieczestwa systemów i procesów, wykrycie potencjalnych zagroe, a take relacji jakie wystpuj midzy dziaaniami czy zdarzeniami. Polega ona na formuowaniu logicznych zwizków za pomoc rozumowania opartego na indukcji, a wic wycigania ogólnych wniosków na podstawie przesanek oraz obserwacji czci (szczegóów) pewnej caoci. W przeciwiestwie do Analizy Drzewa Niezdatnoci/Bdów (Fault Tree Analysis - FTA), pole docieka jest szersze, gdy oprócz bdów i niepowodze, obejmuje take waciwe dziaanie i reagowanie [7].

Znaczenie analizy drzewa zdarze w wybranych aspektach implementacji systemu GBAS 69 2. ZAOENIA METODOLOGICZNE ETA zakada zdefiniowanie mogcego zapocztkowa scenariusz wypadku tzw. zdarzenia inicjujcego oraz okrelenie moliwie wszystkich jego logicznych, podanych i niepodanych, nastpstw (dotyczcych np. podzespoów, elementów systemu) czy dalszych konsekwencji, take przesunitych w czasie [9,10]. Mog to by rónego rodzaju uszkodzenia, awarie mechaniczne, ludzkie pomyki, ale równie i zaniechania dziaa personelu. Poprawnie przeprowadzon analiz koczy tzw. zdarzenie wierzchokowe, zwane take szczytowym, przyjmujce posta katastrofy, wypadku lub mierci. Metod przedstawia si w postaci graficznej uwzgldniajc wszelkie punkty rozgazie, bramki logiczne ( i, lub ), cieki rozwoju sytuacji. Omawiana metoda suy wic do jakociowej analizy bezpieczestwa poprzez ustalenie zdarze, zwizków midzy nimi. Moe take posuy do ilociowego oszacowania prawdopodobiestwa wystpienia okrelonego skutku dziki pomnoeniu przez siebie prawdopodobiestwa wszystkich zdarze skadajcych si na ciek w drzewie [1]. Wskazane jest, aby podczas definiowania zdarzenia inicjujcego wzi pod uwag waciwoci badanego systemu i zasady jego funkcjonowania (eksploatacji). W zwizku z tym analiza drzewa zdarze umoliwia: kompleksowe zestawienie cieki rozwoju sytuacji dziki ustaleniu zalenoci przyczynowo - skutkowych midzy moliwymi zdarzeniami, zhierarchizowanie i pogrupowanie cigu zdarze, obliczenie prawdopodobiestwa wystpowania danej sytuacji, wskazanie skutków dziaa i zaniecha, przyczyn bdów, docelowo: dobranie narzdzi i wprowadzenie regulacji majcych zwikszy bezpieczestwo, skuteczne zarzdzanie ryzykiem. 3. ETA DLA PODEJ PRECYZYJNYCH Prezentowana analiza ryzyka zostaa wykorzystana przy opracowaniu Studium Bezpieczestwa dla procedury podejcia precyzyjnego wykorzystujcej technologie satelitarne na lotnisku Katowice-Pyrzowice, w ramach realizowania projektów: HEDGE i SHERPA [20, 21]. Zasadne jest podkrelenie, e jej metodologia zostaa wanie opracowana w ramach wymienionych wyej projektów i obecnie, po zatwierdzeniu przez GSA (European GNSS Agency) i Eurocontrol jest zalecana do stosowania w pastwach UE [16]. Uprzednio dokonano jednak opisu rodowiska operacyjnego uwzgldniajcego Suby Ruchu Lotniczego (Air Traffic Services - ATS), lotnicze urzdzenia CNS (Communication, Navigation and Surveillance - czno, Nawigacja i Dozorowanie), infrastruktur lotniskow oraz procedury. Nastpnym krokiem bya analiza zagroe funkcjonalnych, bdca istotnym narzdziem w budowie Systemu Zarzdzania Bezpieczestwem (Safety Management System - SMS). Dla podejcia LPV

70 Andrzej Fellner, Radosaw Fellner scharakteryzowano pocztkowo nastpujce zagroenia: wybór i rozpoczcie niewaciwej procedury podejcia (H1), bd przechwycenia cieki kierunku podejcia kocowego (H2), lot poniej poziomu wyznaczonego w minimach (H3), bdny kierunek lotu przy próbie przechwycenia cieki kierunku podejcia kocowego (H4), bdna cieka podejcia kocowego (H5), brak moliwoci utrzymania kocowej cieki schodzenia (H6), zejcie poniej wysokoci decyzji bez nawizania kontaktu wzrokowego z terenem (H7), nieprawidowe wykonanie procedury MA (H8). Ze wzgldu na fakt, i niektóre wytypowane moliwe zagroenia znajduj si poza zakresem oceny bezpieczestwa lub s zwizane z innymi zagroeniami, w analizach uwzgldniono jedynie zagroenia: H3, H4, H6, H7, H8. Dalsz procedur analizy bezpieczestwa wykonano w nastpujcych etapach: 1. Zidentyfikowano konsekwencje zagroe i sklasyfikowano je ze wzgldu na stopie ich dotkliwoci zgodnie z wytycznymi zawartymi w ESARR 4 [2]; Lista konsekwencji zagroe ID Konsekwencje Stopie dotkliwoci C1 C2 Lot Kontrolowany w Kierunku Terenu (Controlled Flight Into Terrain - CFIT) Wypadek podczas ldowania (Landing Accident - LA) Katastrofalny (Severity 1) Katastrofalny (Severity 1) C3 Kolizja w powietrzu (Mid-air collision -MAC) Katastrofalny (Severity 1) C4 Nieudane podejcie (Missed Approach - MA) May (Severity 4) C5 Bezpieczne ldowanie (Safe Landing - SA) Bez efektu Tablica 1 2. Zidentyfikowano ograniczenia i bariery (systemy, dziaania, czynnoci lub procedury) prowadzce do eliminacji zagroenia lub zredukowania: czstotliwoci jego wystpowania, prawdopodobiestwa skutków zagroenia, dotkliwoci skutków zagroenia; 3. Dopiero po dokonaniu uprzednich kroków, uyto Analizy Drzewa Zdarze do kadego z zagroe. Poniej przedstawiono drzewo ETA dla braku moliwoci utrzymania kocowej cieki podejcia (H6) oraz schodzenia poniej wysokoci decyzji bez nawizania kontaktu wzrokowego z terenem (H7).

Znaczenie analizy drzewa zdarze w wybranych aspektach implementacji systemu GBAS 71 Rys. 1. Drzewo ETA dla zagroenia H6 Rys. 2. Drzewo ETA dla zagroenia H7 Wyniki analizy ETA dla poszczególnych zagroe, a zatem stopie prawdopodobiestwa ich nastpstw wyglday nastpujco: dla lotu poniej poziomu wyznaczonego w minimach skutkujcego CFIT - 0,125; dla bdnego kierunek lotu przy próbie przechwycenia cieki kierunku podejcia kocowego skutkujce wypadkiem podczas ldowania - 0,00025; dla braku moliwoci utrzymania kocowej cieki schodzenia skutkujcej CFIT 0,125;

72 Andrzej Fellner, Radosaw Fellner dla zejcia poniej wysokoci decyzji bez nawizania kontaktu wzrokowego z terenem skutkujcego CFIT lub wypadkiem podczas ldowania - po 0,125; dla nieprawidowego wykonania procedury MA skutkujcego kontrolowanym lotem w kierunku ziemi - 0,0025, a kolizj w powietrzu - 0,00025. 4. Powysze rezultaty zostay wykorzystane do dalszych oblicze, w tym okrelenia wymaga ilociowych dla celów bezpieczestwa i opracowania drzew ryzyk. W tym celu okrelono wymagane Poziomy Bezpieczestwa (Target Level of Safety - TLS) dla kadej kategorii wypadków; Wymagane Poziomy Bezpieczestwa dla LPV Typ wypadku Lot Kontrolowany w Kierunku Terenu (Controlled Flight Into Terrain - CFIT) Scenariusz TLS dla LPV 1 x 10-8 Wypadek podczas ldowania 1 x 10-10 Sytuacja kolizyjna w powietrzu 2 x 10-7 Tablica 2 5. Przyporzdkowano TLS dla kadego rodzaju wypadku do poszczególnych zagroe wykrytych dziki drzewom zdarze (punkt 3.) oraz wyznaczono TLS (na drodze oblicze) dla poszczególnych rozgazie; 6. Okrelono cele bezpieczestwa (Safety Objectives - SO) z wykorzystaniem poprzednich oblicze i przyjtych wartoci za pomoc wzoru: gdzie: SO HX - cel bezpieczestwa dla poszczególnych zagroe Q to prawdopodobiestwo zdarzenia wywoanego przez zagroenie (Hazard) X, które prowadzi do wypadku; C - kolejne rozgazienia w drzewie zdarze Tak wyliczone propozycje celów bezpieczestwa dla kadego z zagroe ujto w tabeli oraz wykorzystano do opracowania drzew ryzyk. Poniej przedstawiono drzewo dla kontrolowanego lotu ku ziemi podczas wykonywania procedury LPV.

Znaczenie analizy drzewa zdarze w wybranych aspektach implementacji systemu GBAS 73 Rys. 3. Drzewo ryzyka okrelenie celów bezpieczestwa CFIT Propozycje celów bezpieczestwa dla CFIT Tablica 3 Zagroenie Propozycja Celów Bezpieczestwa Udzia w TLS dla CFIT H3 1.6e-8 20% H4 Zagroenie nie prowadzi do CFIT H6 1.6e-8 20% H7 1.6e-8 20% H8 1.6e-8 20% Margines bezpieczestwa 2e-9 20% 4. PODSUMOWANIE Przeprowadzone badania dowiody, e Analiza Drzewa Zdarze umoliwia identyfikacj, ocen zagroe, a take ryzyk oraz ilociowego okrelenia celów bezpieczestwa w przypadku eksperymentalnych podej LPV opartych na sygnale GNSS w ramach unijnego projektu SHERPA. Byo to niezbdne podczas opracowywania Studium Bezpieczestwa dla wyej wymienionej procedury wedug metodologii zalecanej

74 Andrzej Fellner, Radosaw Fellner przez midzynarodowe organizacje lotnicze, a stanowicego etap przygotowawczy implementacji systemu GBAS w Polsce. ETA pozwolio na oszacowanie prawdopodobiestwa wystpienia zagroe takich, jak: lot poniej poziomu wyznaczonego w minimach, bdny kierunek lotu przy próbie przechwycenia cieki kierunku podejcia kocowego, brak moliwoci utrzymania kocowej cieki schodzenia, zejcie poniej wysokoci decyzji bez nawizania kontaktu wzrokowego z terenem, nieprawidowe wykonanie procedury MA. Umoliwio równoczenie udowodnienie, i wprowadzenie nowego typu podejcia przyczyni si do podniesienia bezpieczestwa operacji. O tym jak wane jest zachowanie maksymalnego poziomu bezpieczestwa w szczególnoci podczas podejcia do ldowania wiadcz midzynarodowe statystyki. Wynika z nich bowiem, e do wypadków lotniczych dochodzi najczciej podczas podchodzenia do ldowania, samego ldowania oraz startu i wznoszenia, cho stanowi niewiele ponad 1 proc. czasu lotu [18] (Tab. 4). Zestawienie procentowe wypadków lotniczych uwzgldniajce udzia faz lotu w caym czasie lotu Faza lotu Udzia fazy w czasie caego Udzia wypadków przypadajcych lotu (w proc.) na dan faz lotu (w proc.) Zaadowanie 0 11 Start 1 11 Wznoszenie 15 13 Przelot 57 9 Schodzenie do ldowania 11 4 Podchodzenie do ldowania 15 29 Ldowanie 1 23 Tablica 4 Konieczna jest zatem implementacja technologii satelitarnych, takich jak GBAS, które umoliwiaj wykonywanie precyzyjnych podej do ldowania w kadych warunkach pogodowych, co pozwala na zwikszenie przepustowoci lotnisk czy zmniejszenie opónie przy jednoczesnym zachowaniu maksymalnego poziomu bezpieczestwa. Bibliografia 1. Borysiewicz M.: Wykorzystanie probabilistycznych analiz bezpieczestwa (PSA) w tworzeniu wymogów bezpieczestwa dla elektrowni jdrowych. Warszawa 2010, s. 70, 72-73. 2. ESARR4: Risk Assessment and Mitigation in ATM. Eurocontrol, 2001, s. 11. 3. European Guidance Material on Integrity Demonstration in Support of Certification of ILS and MLS Systems. ICAO DOC 016/2004, s. 10. 4. Fellner A.: National Scenario Report. SHERPA-PANSA-NSR-D21EP, Issue 1/2013, SHERPA Grant Agreement number 287246. 5. Guidance for the preparation of D11XX (EGNOS National Market Analysis) based on the survey of candidate airports and aircraft operatorssherpa-essp-tn-001, 2012. 6. Guidance Material for the Implementation of RNP APCH Operations. ICAO 2012.

Znaczenie analizy drzewa zdarze w wybranych aspektach implementacji systemu GBAS 75 7. Guide to methods and tolls for safety analysis in air traffic management. Global Aviation Safety Network, June 2003, s. 49. 8. Krzyanowski M.: Pomiar i zarzdzanie bezpieczestwem ruchu lotniczego ujcie praktyczne. Prace naukowe Politechniki Warszawskiej. nr 92, Warszawa 2013, s. 110. 9. Liderman K.: Analiza ryzyka dla potrzeb bezpieczestwa teleinformatycznego. Biuletyn Instytutu Automatyki i Robotyki, nr 16, Wojskowa Akademia Techniczna im. Jarosawa Dbrowskiego, Warszawa 2010, s.10. 10. Magott J.: Moc opisowa drzew niezdatnoci zalenociami czasowymi. Problemy eksploatacji, nr 4, Wydawnictwo Naukowe Instytutu Technologii Eksploatacji - Pastwowego Instytutu Badawczego, Radom 2009, s. 33-40. 11. Methodology to Assess Future Risks, European Aviation Safety Plan. EASA, December 2012, s. 16. 12. Operational and Functional model of LPV approaches in the ECAC area OFM-LPV. 2007. 13. Performance-based Navigation (PBN) Manual. ICAO DOC 9613, 3rd edition, 2008. 14. Procedures for Air Navigation Services: Aircraft Operations. ICAO DOC 8168, Volume 2, 2007. 15. Project Management Plan. SHERPA-ESSP-PMP-D0100, 2012. 16. Safety Assessment Methodology. Safety Regulation Commission Document (SRC DOC 12), Eurocontrol, Version 2.1., 26 October 2009. 17. Skorupski J.: Metody analizy ryzyka w sterowaniu ruchem lotniczym, [w:] Gruszecki J., Wybrane zagadnienia sterowania obiektami latajcymi. Oficyna Wydawnicza Politechniki Rzeszowskiej, Rzeszów 2011, s. 137. 18. Statistical Summary of Commercial Jet Airplane Accidents Worldwide Operations 1959-2011. Boeing, July 2012, s. 20. 19. Stelmach A.: Wybrane aspekty zarzdzania bezpieczestwem w transporcie lotniczym. Journal of KONBiN, nr 2(5), Wydawnictwo Instytutu Technicznego Wojsk Lotniczych, Warszawa 2008, s. 265. 20. www.sherpa.essp-sas.eu 21. www.hedge.askhelios.com 22. www.eu/legislation_summaries/transport/air_transport/l24459_pl.htm THE IMPORTANCE OF EVENT TREE ANALYSIS IN SOME ASPECTS OF THE GBAS IMPLEMENTATION Summary: Implementation of new technologies in aviation are determined by certification process based on a comprehensive safety analysis. It uses a number of methods, including event tree analysis (ETA). Those method allow to assesses risks and threats for experimental LPV approaches based on GNSS signal at the Katowice-Pyrzowice airport. The goal was to identify the possibility of implementation of the GBAS. Tests were performed within the framework of the international research project SHERPA (Support ad-hoc to Eastern Region with Pre-operational Actions on GNSS). Keywords: GBAS, Event Tree Analysis, air traffic safety