Barrierer for jernbane-virksomheter

1 Bakgrunn

Bruk av barrierer er en utfordring for mange jernbanevirksomheter, og mange har de samme utfordringene:

• mangelfull forståelse av barrierebegrepet
• varierende grad av implementering av krav om barrierer
• mangelfull systematikk og manglende eller mangelfull synliggjøring av barrierer

2 Hensikt

Hensikten med denne veilederen er å bidra til å bedre forståelse av barrierebegrepet og bruken av barrierer.

Vi håper at veilederen vil gjøre det lettere for virksomhetene å implementere kravet til bruk av barrierer i sin virksomhet systematisk og tydelig.

Veilederen er ikke uttømmende eller bindende. Virksomhetene har et selvstendig ansvar for å kjenne og etterleve jernbanelovgivningen.

3 Omfang

Veilederen omhandler prinsipper for etablering, formidling og bruk av barrierer, viser eksempler og gir praktisk veiledning til verktøy og metodikk.

Veilederen fokuserer på barrierer som reduserer sannsynligheten for at en hendelse inntreffer, og den fokuserer på den daglige driften.

Veilederen kan brukes både av jernbanevirksomheter som har lisens og sikkerhetssertifikat for å operere på det nasjonale jernbanenettet og av jernbanevirksomheter som har tillatelse til å operere utenfor det nasjonale jernbanenettet (sporvei, tunnelbane, forstadsbane mm).

Museumsbaneforskriften og sidesporforskriften omtaler ikke spesifikt bruken av barrierer. Det er imidlertid krav om at virksomheten skal ha etablert tilstrekkelige tiltak for å forhindre at ulykker inntreffer. Dersom en ulykke likevel inntreffer, skal det være planlagt hvilke tiltak som skal iverksettes for å begrense omfanget av hendelsen.

Denne veilederen baserer seg i helhet på gjeldende regelverk og på anerkjent teori om barrierer. Den innebærer ikke skjerping av eksisterende regelverkskrav.

4 Sentrale regelverkskrav

Kravet til bruk av barrierer er forskriftsfestet for jernbanevirksomheter som er underlagt sikkerhetsforskriften (jernbanevirksomheter på det nasjonale jernbanenettet) og kravforskriften (sporvei, tunnelbane, forstadsbane m.m).

Kravene til bruk av barrierer de samme:

• Virksomheten skal planlegges, organiseres og utføres med henblikk på at en enkeltfeil ikke skal føre til en jernbaneulykke, tap av menneskeliv eller alvorlig personskade.
• Jernbanevirksomheten skal ha barrierer som reduserer sannsynligheten for at feil, fare- og ulykkessituasjoner utvikler seg.
• Det skal være kjent i virksomheten hvilke barrierer som er etablert og hvilke funksjoner de skal ivareta.
• Der det er nødvendig med flere barrierer, skal det være tilstrekkelig uavhengighet mellom barrierene.
• Barrierene skal være identifisert og dokumentert.

5 Hva er en barriere?

5.1 Definisjoner på barrierebegreper

Mennesker gjør feil og tekniske komponenter svikter. Dette kan vi forebygge, men vi klarer aldri å unngå det helt. For å forebygge jernbaneulykker, tap av menneskeliv eller alvorlig personskade, må vi forsøke å hindre at feil handling og teknisk svikt fører til ulykker, og her kommer barrierene inn i bildet.

Definisjonen på en barriere er:

Teknisk, operasjonell, organisatorisk eller andre planlagte og iverksatte tiltak som har til hensikt å bryte en identifisert uønsket hendelseskjede.

Eller med andre ord:

Tiltak som hver for seg eller i samspill skal hindre eller bryte spesifiserte uønskede hendelsesforløp.

En barriere kan altså være en fysisk ting eller en teknisk innretning, et menneske som skal utføre en spesifikk handling eller organisatoriske forhold som for eksempel en beskrevet arbeidsprosess.

Barrierer er alltid rettet mot et bestemt hendelsesforløp. Et eksempel på et slikt hendelsesforløp kan være at «hensatt materiell kommer utilsiktet i bevegelse ut på trafikkert spor og kolliderer med rutegående materiell». Her ønsker vi å ha kontroll med hensatt materiell. Dersom vi har effektiv kontroll med hensatt materiell, kan vi unngå at materiell kommer utilsiktet i bevegelse og ut på trafikkert spor, og dermed bryte hendelsesforløpet.

 

Figur 1. Barrierer bryter spesifiserte, uønskede hendelsesforløp.

Det kan ofte være nyttig å tenke på en barriere som en funksjon og ikke som en ting» (dvs. en fysisk gjenstand). Hvis vi tenker på «kontroll med hensatt materiell» som en funksjon, forstår vi at dette er en oppgave som kan utføres på flere måter.

Hvis vi vil understreke at vi tenker på en barriere som en funksjon, snakker vi om barrierefunksjoner.

For å vite om barrierefunksjonen er ivaretatt, må vi vite hvem eller hva som utfører eller ivaretar barrierefunksjonen. Menneskene, utstyret eller systemene som utfører eller ivaretar barrierefunksjoner kalles barriereelementer.

Barrierefunksjon	Barriereelementer
Kontroll med hensatt materiell	Sporsperre
	Parkeringsbrems
	Bremsesko
	Håndbrems
	Avledende sporveksel
	Ansvarlig for skifting
	Tillatelse
	Arbeidsprosedyre for hensetting av materiell

Tabell 1. Eksempel på barrierefunksjoner og barriereelementer.

5.2 Barrierer – en del av sikkerhetsstyringen

5.2.1 Koordinerte aktiviteter

Barrierer er en del av virksomhetens sikkerhetsstyring og kontinuerlige forbedring. Gjennom sikkerhetsstyring i virksomheten koordineres aktiviteter for å etablere og opprettholde barrierer slik at de til enhver tid opprettholder sin funksjon. Aktiviteter eller styringselementer knyttet til barrierer finner vi igjen i alle deler av kvalitetssirkelen:

 

Figur 2. Aktiviteter/styringselementer i hele kvalitetssirkelen.

Planlegge:

Kartlegge/identifisere:

• Identifiser fare- og ulykkessituasjoner
• Etabler barrierefunksjoner og barriereelementer
• Etabler risikobildet

Utføre:

Etablere/formidle/vedlikeholde:

• rutiner/praksis der barrierer er ute av funksjon
• farelogger
• S-merking av barrierer
• prosedyrer og sjekklister

Kontrollere:

• årsaksanalyser
• revisjoner/inspeksjoner
• overvåkning: effekt av tiltak
• evaluering av gjennomførte risikovurderinger

Korrigere:

Kontinuerlig forbedre:

• tekniske-organisatoriske-operasjonelle barriereforbedringer

For eksempel vil det i en risikoanalyse kunne identifiseres funksjoner i et teknisk system som gir uakseptabel risiko dersom de feiler. Barrierene er tiltakene som besluttes gjennomført for å ha kontroll selv om funksjonene feiler. For at dette skal gi mening, må barrierene følges opp også i forbindelse med operativ drift.

For å være sikker på at dette blir gjort, må barrierene som knyttes til funksjonen være formidlet til de som skal utføre kontroll og vedlikehold av det tekniske systemet. Formidling og synliggjøring kan for eksempel gjøres ved bruk av S-merking.

Videre følges den operative driften opp gjennom for eksempel årsaksanalyser og revisjoner eller inspeksjoner, og nødvendig forbedring utføres.

Vi kan også illustrere arbeid med barrierer som en prosess:

Identifisere barrierer:

• Risikovurdering og kartlegging av behov for barrierefunksjoner og barriereelementer.

Etablere barrierer:

• Etablere barrierefunksjoner og barriereelementer.
• Lage prosedyrer for håndtering og vedlikehold av barrierer.
• Definere ansvar og myndighet.

Formidle og merke:

• opplæring av relevant personell
• fysisk merking av barrierer (for eksempel S-merking)
• formidle endringer

Vedlikeholde:

• Sørge for at barriere opprettholder sin funksjon eller at tiltak settes inn når de er ute av drift.
• Vedlikehold av barriereelementer.

Kontrollere, korrigere og forbedre:

• revisjoner/inspeksjoner
• overvåkning: effekt av tiltak
• evaluering av gjennomførte risikovurderinger
• tekniske-organisert-operasjonelle barriereforbedringer.

5.2.2 Riktig valg av styringselementer

Styringselementene er alle de tingene virksomheten gjør for å ha kontroll på barrierene. Det er viktig å være klar over at det kan være stor forskjell på hvilke styringselementer en virksomhet trenger. En liten og oversiktlig virksomhet vil ha et annet behov for styringselementer/aktiviteter enn en stor og komplisert virksomhet.

5.2.3 Hvor mange barrierer må vi ha?

Det er veldig lett å ende opp med for mange barrierer fordi man «deler opp» en identifisert barriere i flere deler. Hvis et gjerde er identifisert å være et barriereelement som skal hindre barn i en barnehage i å løpe ut på veien, kan man S-merke det. Det gir liten mening å S-merke alle spiker og plankebord som gjerdet består av. Her er det viktig at virksomheten gjør en vurdering av behov ut i fra virksomhetens aktiviteter.

5.2.4 Ytelseskrav til barriereelementer

Det er viktig at kravene til barriereelementene spesifiseres slik at det kommer tydelig fram hva det er de skal ivareta.

Barriereelement	Ytelseskrav
Sporsperre	Skal kunne stanse materiell som utilsiktet kommer i bevegelse: Den skal dimensjoneres til å stanse persontog, enkeltsett, med hastighet opp til 40km/h

Tabell 2. Eksempel på ytelseskrav til barriereelement.

Vi må identifisere og etablere ytelseskrav til barriereelementene vi mener er nødvendige for å kunne realisere en barrierefunksjon. Noen barrierefunksjoner vil ha en overvekt av tekniske barriereelementer. For andre systemer vil det være en overvekt av operasjonelle elementer. Det er ikke alltid lett å vite om det er den ene eller andre merkelappen som passer til de ulike barriereelementene, og det er heller ikke det viktigste. Det er hva barriereelementet skal gjøre (ytelseskravet) som er viktig for at vi skal vite om barrierefunksjonen er realisert, men generelt bør tekniske barrierer i størst mulig grad velges fremfor menneskelige barrierer fordi de normalt har større pålitelighet. I tillegg bør barrierer som reduserer sannsynligheten velges fremfor barrierer som reduserer konsekvensene.

5.2.5 Barrierene må være kjent

De skal være kjent i virksomheten at barrierene er etablert og hvilke funksjoner de skal ivareta. Det betyr at barrierene skal være kjent for alle som har behov for å ha kunnskap om dem i forbindelse med det arbeidet de utfører.

Relevant personell skal vite hvilke barrierer som er etablert og hva som er forutsetningene for at de skal fungere. Dette kan for eksempel gjøres ved at vedlikeholdsdokumentasjon og arbeidsordre inneholder informasjon om hvilke oppgaver som er knyttet til barrierer mot enkeltfeil, og som derfor krever spesiell oppmerksomhet.

Det skal også være kjent hvilke barrierer som eventuelt er ute av funksjon eller er svekket. Det skal settes i verk nødvendige tiltak for å rette opp eller kompensere for manglende eller svekkede barrierer.

I tillegg er læring i hele virksomheten en vesentlig del av sikkerhetsstyring og bruk av barrierer. Det er viktig at erfaring om barrierer som ikke virker slik de var tiltenkt, eller forbedringer i barrierer, gjøres kjent i hele virksomheten. Virksomheter som har aktivitet på flere steder, må være spesielt oppmerksom på dette.

5.2.6 Uavhengige barrierer

Krav til uavhengige barrierer skal øke systemets robusthet mot feil. Fordi verken mennesker eller tekniske systemer er feilfrie, kan det være situasjoner der én enkelt barriere ikke gir tilstrekkelig sikkerhet. Risikoen kan da reduseres ytterligere ved å etablere flere barrierer.

Eksempel:

• Ved å utstyre en sykkel med to bremser, reduserer vi sannsynligheten for å skades på grunn av bremsesvikt.

Dersom en feil alene kan føre til en ulykke, må virksomheten, dersom det er mulig, etablere minst én ekstra barriere mot at dette skjer. Dette kan for eksempel gjøres ved at det iverksettes ekstra overvåkning, dobbeltsjekking eller redundante systemer. Et eksempel på redundante systemer er datasystemer der to eller flere datamaskiner jobber parallelt med samme oppgaver og speiler hverandre, slik at dersom en av dem skulle gå ned så kan den andre ta over.

Eksempel på redundant system:

• Ved noen av de tidlige romferdene løste tre datamaskiner de samme oppgavene. For å beskytte seg mot programfeil var programmene deres skrevet av tre uavhengige personer. Dersom én av maskinene skulle komme fram til et feil resultat, brukte man resultatet som de to andre var enige om.

Noen ganger er det hensiktsmessig å vurdere uavhengighet mellom barriereelementer. Andre ganger kan det være mer hensiktsmessig å vurdere uavhengighet mellom barrierefunksjoner.

 

Figur 4. Eksempel på uavhengighet mellom ulike barrierefunksjoner. (Trykk på bildet for en større versjon.)

Barrierer som er etablert for å hindre at enkeltfeil utvikler seg til en større ulykke må følges opp og vedlikeholdes med tilsvarende stor prioritet. Vi forventer at virksomhetene legger spesiell vekt på å unngå storulykker.

5.2.7 Systematisk oppfølging av barrierer

Barrierer skal følges opp systematisk. Først når en barriere blir fulgt opp på en troverdig måte, gir det mening å «godskrive» effekten av barrieren i beslutninger om å akseptere risiko. Her ligger det også en forpliktelse til å gjennomføre kompenserende tiltak dersom en barriere må fjernes eller deaktiveres for eksempel for å utføre vedlikeholdsarbeid.

6 Eksempler på verktøy og metodikk

6.1 Planlegge

Nødvendige barrierer identifiseres gjennom risikovurderinger. Hvilken metode for risikovurdering som bør benyttes, vil avhenge av hvilket system det er som skal analyseres.

Feiltreanalyser og hendelsestreanalyser er anerkjent og logisk analysemetodikk som er godt egnet til å identifisere og vurdere barrierer. I en feiltreanalyse tar man utgangspunkt i den uønskede hendelsen (som like gjerne kan være svikt i en barrierefunksjon), og årsaker til den uønskede hendelsen modelleres i feiltreet.

En stor fordel med feiltrær og hendelsestrær er at de er visuelle og intuitive. Metoden er godt egnet for å finne årsakssammenhenger, konsekvenser og nødvendige barrierer. Systematisk bruk av risikoanalyser og årsaksanalyser gir et godt grunnlag for å identifisere eksisterende barrierer, manglende barrierer og til å vurdere hvor robuste barrierene er.

I arbeidet med å identifisere barrierer kan det være nyttig å stille seg noen spørsmål

Forslag til kontrollspørsmål for å identifisere barrierer:

• Kan våre aktiviteter føre til en jernbaneulykke, tap av menneskeliv eller alvorlig skade?
• Kjenner vi til hvilke barrierer som er tilstede i eksisterende systemer?
  Kan en enkelt feil alene føre til en ulykke?
• Hvis det gjøres en feil, hva kan skje da? Er det noe annet som blir farlig?
• Har vi valgt tekniske barrierer framfor menneskelige barrierer der det er mulig?
• Har vi valgt sannsynlighetsreduserende barrierer framfor konsekvensreduserende barrierer der det er mulig?
• Har vi sikret at de barrierene vi planlegger er uavhengige av hverandre? Vil de andre barrierene virke selv om én feiler? (Hvis bommen blir stående oppe, vil det fortsatt lyse rødt mot vei og signal stopp til fører?)
• Hvilke mulige skader og/eller ulemper har vi identifisert, og på hvilken måte har vi sikret at identifiserte barrierer begrenser disse?
• Har vi beskrevet hva barrierene skal gjøre?
• Hvilke forutsetninger eller begrensninger har vi lagt til grunn for barrierene?
• Er barrierene identifisert på et hensiktsmessig nivå?

God bruk av barrierer forutsetter en spesifikk beskrivelse og forståelse av hvilken fare vi kan bli eksponert for og hvordan vi vil forhindre eller håndtere dem. Formålstjenlige risikoanalyser til rett tid er en forutsetning for å lykkes med bruk av barrierer. Resultatene og beslutningsstøtten som produseres gjennom analysene bidrar til å sikre robuste løsninger.

6.2 Utføre

I forbindelse med daglig drift skal risiko håndteres. Her må virksomhetene operere i samsvar med grunnlaget fra planleggingen av arbeidet. I tillegg må alle endringer vurderes og følges opp. Dette kan gjøres på mange måter.

Noen eksempler på styringselementer som kan brukes her er:

• prosedyrer
• rutiner/praksis dersom barrierer er ute av funksjon
• farelogger
• S-merking av barrierer
• etablering av kompenserende tiltak
• vedlikeholdsprogrammer
• arbeidsinstrukser
• sjekklister

I tillegg kan det være aktuelt å etablere barrierer som strakstiltak i forbindelse med avvik.

Eksempel på strakstiltak:

• Midlertidig nedsettelse av hastighet ved redusert sikt til usikret planovergang på grunn av vegetasjon.

Også i driftsfasen er det lurt å stille seg selv noen kontrollspørsmål:

• Utfører vi jobben slik vi planla den?
• Etterlever vi tiltaksplaner/farelogger/virksomhetsplaner/beredskapsplaner?
• Har vi synliggjort alle sikkerhetskritiske elementer/funksjoner?
• Hvordan har vi gjort relevant personell kjent med ulike barrierefunksjoner og barriereelementer som er iverksatt/planlagt iverksatt?
• Har vi synliggjort hvilke arbeidsoppgaver som er relatert til barrierer mot enkeltfeil i arbeidsprosedyrer og/eller vedlikeholds dokumentasjon?
• Har vi S-merket tekniske barrierer?
• På hvilken måte har vi sikret at tiltakene (barrierene) effektueres?
• Har det skjedd endringer i forutsetningene for at barrierene skal virke slik de var tenkt?

6.3 Kontrollere og korrigere

En gjennomgående årsaksfaktor ved uønskede hendelser er svikt i én eller flere barrierer. For å finne ut hvorfor det gikk galt og hvilke barrierer som sviktet, kan det være en fordel å benytte seg av feiltreanalyser og STEP-analyser (Sequence Time Event Plotting). Disse metodene egner seg godt for å studere årsakene til at barrierer svikter.

Når vi benytter feiltrær og hendelsestrær, tar vi utgangspunkt i hendelsen og jobber oss «bakover» til vi kommer til et punkt hvor det ikke lenger er hensiktsmessig å detaljere videre. Denne grensen finner vi ofte naturlig i løpet av analysen, men den kan også bestemmes på forhånd, før vi starter prosessen.

Verifikasjonsaktiviteter og indikatorer må sikre at vi kjenner til hvilke barrierer som ikke virker, eller som er svekket før vi går i gang med en jobb. Kompenserende tiltak som iverksettes må reelt redusere risikoen for de barrierefunksjonene og områdene som blir berørt av at barrierer mangler eller er svekket.

God kommunikasjon og samarbeid mellom ulike fagdisipliner er avgjørende for å lykkes. Det er viktig at læring foregår i hele organisasjonen. I tillegg må overgangen fra prosjekt til operasjon og drift vies stor oppmerksomhet.

7 Eksempler fra revisjoner og hendelser

Vi i Statens jernbanetilsyn finner flere eksempler på mangelfulle barrierer eller manglende bruk av barrierer i forbindelse med revisjoner og innrapporterte uønskede hendelser. Hovedtendensen er at det ikke er tenkt systematisk omkring bruk av barrierer, og at det er manglende eller mangelfull synliggjøring av barrierer i den enkelte virksomheten. Eksemplene under er hentet fra virksomheter som opererer på og utenfor nasjonalt nett.

7.1 Eksempel 1, Enkeltfeilprinsippet (revisjon):

Avvik:

Virksomheten mangler beskrivelser av enkeltfeilprinsippet, og sikkerhetsstyringsforskriftens krav til barrierer er ikke svart ut.

Revisjonsbevis:

Virksomheten kunne ikke redegjøre for hvordan enkeltfeilprinsippet og sikkerhetsstyringsforskriftens krav til barrierer er svart ut. Virksomhetens sikkerhetsstyringssystem mangler beskrivelser av dette.

Merknad:

For kjørende personell er det utarbeidet en A-feilliste, og i vedlikeholdet anvendes et system med S-merking for å synliggjøre sikkerhetspriorterte oppgaver, men prinsippene som ligger til grunn er ikke tydeliggjort.

Virksomheten viser blant annet til UIC-normer som barrierer i sine risikovurderinger.

7.2 Eksempel 2, Rullende materiell (revisjon):

Avvik:

Det er ikke kjent i virksomheten hvilken funksjon etablerte barrierer som gjelder rullende materiell skal ivareta.

Revisjonsbevis:

1. Det er ikke kjent blant intervjuet personell med oppgaver knyttet til vedlikehold, hvilken funksjon etablerte barrierer skal ivareta.
2. Det ble opplyst at barrierer er synliggjort i vedlikeholdet gjennom S-merking i vedlikeholdsdokumentasjon for lokomotiver. Det kunne ikke redegjøres for hvilken funksjon barrierene skal ivareta utover at S-merkede punkter har sikkerhetsmessig betydning, at de skal gis særskilt oppmerksomhet og at lokomotiver ikke kan tas ut fra vedlikehold med utestående S-punkter. Hva særskilt oppmerksomhet innebærer kunne ikke virksomheten redegjøre for. For vogner ble det opplyst at feilklasse 5 skal tilsvare S-merking.

7.3 Eksempel 3, Manglende barrierer (revisjon):

Avvik:

Virksomheten har manglende beskrivelser av etablerte barrierer på operativt nivå.

Revisjonsbevis:

Det er ikke etablert bestemmelser om barrierer som er anvendelige i operativt arbeid.

Merknad:

Forskriftens bestemmelser om barrierer innebærer at virksomheten har oversikt over fysiske eller operasjonelle tiltak som er etablert for å forhindre eller begrense hendelser som innebærer uakseptabel risiko. Forskriften understreker særlig betydningen av identifisering av barrierer mot enkeltfeil som kan føre til tap av menneskeliv. Hensikten med bestemmelsen er blant annet at personell som utfører kontroll eller vedlikehold av infrastruktur skal vite om de konkrete elementene de vedlikeholder eller kontrollerer er så betydningsfulle at en eventuell svikt kan føre til en ulykke. Operativt personell må derfor være gjort kjent med barrierer som er etablert på deres arbeidsområde og hensikten med disse. Dette kan gjøres for eksempel gjennom særskilt markering i vedlikeholdsdokumentasjon kombinert med opplæringsaktiviteter e.l. Føringer og systematikk vedrørende barrierer må være beskrevet hos virksomheten.

7.4 Eksempel 4, Sammenstøt (alvorlig jernbanehendelse):

Saksbeskrivelse:

Sammenstøt mellom materiell i drift og et persontog inne på stasjon. Persontoget stod i spor 1 da en åpen vogn med containere trillet fra Lokstallen og ned i spor 1. Det ble ingen personskader og kun mindre materielle skader. Denne hendelsen har vist at det er nødvendig å verifisere at barrierer mot løpsk materiell er på plass.

Barrieresvikt:

Ingen funksjonelle eller fysiske barrierer på plass som kunne forhindre at løpsk materiell fra lokstallområdet kom inn i togspor så lenge sporveksel ikke manuelt hadde blitt lagt over.

Parkeringsbrems virket ikke.

Sporsperre for avgrensing av hensettingsområde var ikke etablert.

Ingen automatisk pulsing av sporveksler som kunne forhindre at løpsk materiell fra lokstallområdet kunne rulle gjennom stasjonen og ut på trafikkert spor, avhengig av hvordan sporveksler lå, eller hvis det ikke sto togmateriell i stasjonssporene. I dette tilfellet stod det materiell i spor 1, noe som hindret vogna med containere i å komme ut på trafikkert spor.

Barrierer som var foreslått i risikovurderinger var ikke gjennomført. Endringer var utsatt i påvente av en større utbygning på stasjonen.

7.5 Eksempel 5, Snøoverbygg i brann (jernbaneulykke):

Saksbeskrivelse:

Persontog kjørte inn i snøoverbygg som stod i brann. Føreren av toget foretok nødbrems, og det ble iverksatt evakuering av passasjerene umiddelbart. Det ble ingen personskader som følge av hendelsen, men hele toget samt store deler av infrastrukturen på stedet ble ødelagt av brannen.

Mangelfulle barrierer og barrieresvikt:

• Det var svakheter i prosedyrer for varme arbeider vedrørende krav til risikovurderinger og etterkontroll.
• Brannfare i snøoverbygg var ikke fanget opp i beredskapsplaner og annen styrende dokumentasjon.

7.6 Eksempel 6, Flankekollisjon (alvorlig jernbanehendelse):

Saksbeskrivelse:

Flankekollisjon mellom godstog og persontog i sporveksel på stasjon. Godstoget startet å kjøre fra spor 2 på signalbildet som gjaldt for persontoget som stod i spor 1. Feilen ble oppdaget før toget passerte eget utkjørsignal som viste «stopp», og nødbrems ble aktivert. Det var likevel for kort bremsevei til at toget klarte å stoppe før dette hadde kommet ut i middel for spor 1. I spor 1 var persontoget ferdig med passasjerutvekslingen og startet fra plattformen, samtidig som godstoget startet fra spor 2. Føreren av persontoget ble oppmerksom på at godstoget hadde startet fra spor 2, men da dette ble oppdaget var bremseveien litt for kort til at persontoget klarte å stoppe. Ingen personer ble skadet, og det oppstod kun små materielle skader.

Mangelfulle barrierer:

• Fører i godstog trodde utkjørhovedsignal for spor 1 gjaldt for spor 2. Toget ble derfor satt i bevegelse og passerte utkjørhovedsignal i «stopp».
• ATC, sammen med stasjonsutforming, signalplassering og tilgjengelig bremsevei fungerte ikke som fullstendig barriere og stoppet ikke toget før dette var kommet ut i middel for annen togvei. Systemet som barriere mot enkeltfeil fungerte ikke.

7.7 Eksempel 7, Skinnebrudd (alvorlig jernbanehendelse):

Saksbeskrivelse:

Flere meldinger fra tog om kraftig slag mellom hjul og skinne inne i tunnel. En fører som hadde rapportert forholdet, stoppet og undersøkte sporet. Han fant da et skinnebrudd hvor en del av skinnehodet hadde falt ut. Undersøkelse etter hendelsen konkluderte med at langvarig vanndrypp mot skinnen og togpasseringer gjennom dryppvannssonen hadde ført til en korrosjon/erosjonsprosess som hadde gitt et materialtap på toppen av skinnehodet over et kortere parti. Ved togpasseringer gav dette store dynamiske impulslaster mellom hjul og skinne, noe som førte til initiering og videre utvikling av sprekker fra skinnens kjøreflate. Det kloridholdige miljøet i dryppsonen kan ha bidratt til å akselerere så vel korrosjon/erosjonsprosessen som sprekkveksten.

Mangelfulle barrierer:

På hendelsestidspunktet var de etablerte kontrollrutinene ikke tilstrekkelige til å fange opp og håndtere utviklingen før et større materialutfall og skinnebrudd var et faktum. Man hadde et system med visuelle kontroller uten tilstrekkelig støtte i faglige veiledninger, samt en indikasjon fra en ultralydkontroll som ikke ble fulgt opp tidsnok til å stoppe utviklingen. Med andre ord: Man hadde ikke tilstrekkelige barrierer mot at en enkeltfeil kunne føre til en avsporing.

Virksom barriere:

System for melding av feil observert fra tog fungerte, slik at feilutvikling ble oppdaget og håndtert før det inntraff en avsporing.

8 Barrierer som har brutt spesifiserte uønskede hendelsesforløp

Vi mottar svært mange rapporter om hendelser som inntreffer hos de enkelte jernbanevirksomhetene. Her finner vi også flere eksempler på virksomme barrierer:

8.1 Eksempel 1: Passhendelse uten virksom ATC

Saksbeskrivelse:

Et tog passerte utkjørhovedsignal i stopp. På grunn av feil med togets ATC, ble det ikke stanset. Rødlysalarmen gikk imidlertid hos togleder, som da ringte lokfører og ba om at toget umiddelbart måtte returnere til spor 2 på den aktuelle stasjonen. Togleder ringte deretter opp lokfører i et tømmertog som var på vei mot toget og ba det stanse umiddelbart.

Virksomme barrierer:

Rødlysalarm hos togleder og virksom togradio er eksempler på tekniske barriereelementer som hindret at toget uten virksom ATC havnet ut i trafikkert spor.

8.2 Eksempel 2: Tog sporer av i avsporingsveksel

Saksbeskrivelse:

Et godstog passerte et dvergsignal som viste kjøring forbudt fordi lokfører misforsto signalene på stasjonen. Da lokfører oppdaget at han hadde passert dvergsignalet tilsatte han nødbrems, men toget lot seg ikke stanse tidsnok. Toget havnet ut i avledende sporveksel og sporet av i endebutt.

Virksomme barrierer:

Avledende sporveksel er eksempel på et teknisk barriereelement som hindret godstoget i å havne ut i trafikkert spor.

8.3 Eksempel 3: Værberedskap

Saksbeskrivelse:

Vi ser stadig oftere at infrastrukturforvalter iverksetter tiltak på banestrekninger som følge av meldinger om store nedbørsmengder, snøsmelting og flomvarsler.

Virksomme barrierer:

Innføring av trinnvis værberedskap er et eksempel på en operasjonell barriere som hindrer at rullende materiell kjører inn i ras. Det er også en barriere som hindrer at materiell sporer av på grunn av utglidninger.

8.4 Eksempel 4: Vedlikehold av materiell

Saksbeskrivelse:

En jernbanevirksomhet rapporterte om gjentatte hendelser med hjulslag og materialutfall fra hjul.

Virksomme barrierer:

Virksomheten endret sitt kontrollregime for hjulsett. Spesifikke kontroller av hjulsett er eksempel på en operasjonell barrierefunksjon som skal hindre at materiell sporer av på grunn av feil på hjulgang.

9 Vanlige tilsynsspørsmål om barrierestyring:

Følgende er typiske spørsmål som virksomheten må forvente at tilsynet søker svar på i dokumentgjennomgang av styringssystemet eller i tilsynsintervjuer:

1. Hvordan er de overordnede prinsipper for barrierestyring i virksomheten beskrevet?
2. Hvilket nivå på hendelsespotensial er det etablert barrierer mot?
3. Hvordan svares forholdet enkeltfeil–barrierer ut?
4. Hvordan beskrives kvaliteten på barrierene? (tekniske barrierer, menneskelige barrierer, uavhengige barrierer, konsekvensreduserende barrierer)
5. Hvordan identifiseres barrierer (for eksempel på gammelt materiell der det ikke finnes risikoanalyser)
6. Hvordan synliggjøres barrierer i virksomheten? (For eksempel S-merking i vedlikehold, korrektivt vedlikehold, A-feilliste i drift, farelogger, risikoanalyser)
7. Hvordan gjøres kunnskap om barrierer kjent i virksomheten?

10 Henvendelser

Vi ønsker å sikre at aktørene er kjent med gjeldende regelverk. Derfor har vi søkelys på veiledning. Kontakt oss gjerne hvis dere ønsker utdypende informasjon. Vi oppfordrer dessuten til å komme med tips om andre emner som dere mener bør være tema for veiledning.

Henvendelser rettes til:
post@sjt.no

eller til:
Statens jernbanetilsyn, Postboks 7113 St. Olavs plass, 0130 Oslo

11 Referansedokumenter

1. Sikkerhetsforskriften
2. Kravforskriften
3. Sidesporforskriften
4. Museumsbaneforskriften
5. «Risikoanalyse» av Terje Aven, Willy Røed, Herman S. Wiencke (ISBN 978-82-15-01185-1)
6. «Ulykkesforebyggende arbeid» av Hovden, Ingstad, Mostue, Rosness, Rundmo, Tinnmannsvik (ISBN 82-584-0158-0)
7. SINTEF-rapport «Feiltoleranse, barrierer og sårbarhet» av Rosness m.fl.(ISBN 82-14-02714-4)
8. «Prinsipper for barrierestyring i petroleumsvirksomheten» (PTIL, 2011)
9. «Ti tommeltotter og null ulykker?» Om feiltoleranse og barrierer av Rossness m.fl
10. «Barrierestyring» av Geir Erik Frafjord, Petroleumstilsynet (ESRA årsmøteseminar 07.06.12)
11. «Kombinert bruk av barrieremodell og STEP-analyser ved ulykkesanalyse i vegtrafikken» av Per Hokstad, Dagfinn Moe, Kristian Sakshaug, Ranveig Kviseth Tinmannsvik (ISBN 978-82-14-04148-4)

12 Vedlegg

Eksempelet illustrerer hvordan et feiltre kan konstrueres:

 

Eksempel på konstruksjon av feiltre.