4.13 V_Leitfaden_zur_Erklärung_der_Rückwirkungsfreiheit_2.0_mU.pdf

[Seite 1]

Systementwicklung integrierte Leit- und DB Netz AG Digitale Schiene Deutschland Bediensysteme (iLBS) und LBS Systementwicklung integrierte Leit- und Bediensysteme (iLBS) und LBS I.NDE 3 Caroline-Michaelis-Straße 5-11 10115 Berlin

Sicherheitsmanagement

Leitfaden zur Erklärung der Rückwirkungsfreiheit

Dokumentennummer: 21-I.NAI472-NTZ-000004

Stand: 21.09.2022 Version: 2.0

VERTRAULICH Alle Informationen, die in diesem Dokument enthalten sind oder offenbart werden, sind vertraulich und für die DB Netz AG urheberrechtlich geschützt. Mit Entgegennahme dieses Dokumentes verpflichtet sich der Empfänger, dieses Dokument und die darin enthaltenen Informationen vertraulich zu behandeln. Es ist nur mit Erlaubnis der Ersteller gestattet, das Dokument ganz oder teilweise zu reproduzieren oder anderen zugänglich zu machen.

Prüf- und Freigabezeichnung

Stand 21.09.2022, Version 2.0 1 / 12

[Seite 2]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

Herausgeber

DB-Dateiname: Leitfaden_zur_Erklärung_der_Rückwirkungsfreiheit_2.0.docx

Versionsspiegel

Mitwirkung

Stand 21.09.2022, Version 2.0 2 / 12

[Seite 3]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

Referenzen Die folgenden zwei Übersichten enthalten die verwendeten Dokumente. Eingangsdokumente ha- ben unmittelbare Auswirkung auf das vorliegende Dokument und werden mit der konkreten Version referenziert. Mitgeltende Dokumente gelten in der jeweils aktuellen Version. In der Referenzenliste werden sie ohne Version angegeben.

Eingangsdokumente

Mitgeltende Dokumente

Abkürzungsverzeichnis

Glossar

Stand 21.09.2022, Version 2.0 3 / 12

[Seite 4]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

Inhaltsverzeichnis

1 Einleitung 5 1.1 Geltungsbereich und Definition 5

1.2 Veranlassung 5

2 Inhalte der Erklärung zur Rückwirkungsfreiheit 6 2.1 Unabhängigkeit 6 2.2 iLBS spezifische Beispiele 7 2.3 Sonstige Nachweise 7

2.4 Integrationstest 8

3 Normative Grundlagen 9 3.1 DIN EN 50126-2 9 3.2 DIN EN 50129:2018 + AC:2019 9 3.3 DIN EN 50159:2010: 11

4 Struktur der Herstellererklärung 12

Abbildungsverzeichnis Abbildung 1: Bild B.3 10

Tabellenverzeichnis

Stand 21.09.2022, Version 2.0 4 / 12

[Seite 5]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

1 Einleitung

1.1 Geltungsbereich und Definition Der Leitfaden gilt für Produkte/Komponenten, die in oder im Umfeld von sicheren Systemen der DB Netz AG im Integritätsbereich I eingesetzt werden, aber selbst über keine Sicherheitsfunktionalität verfügen. Hierbei handelt es sich insbesondere um Komponenten oder Bestandteile von:

• Router • Switche • Managementkonsolen

• Datenbankserver • Zentrale Anwendungen und deren Systeme Die Rückwirkungsfreiheit einer Komponente/eines Produkts beschreibt die Eigenschaft dieser, keine Beeinflussung sicherheitsrelevanter Funktionen zu bewirken. Dies kann durch die physikali- sche und funktionale Unabhängigkeit der Funktionen erreicht werden. Hierzu dient dieses Doku- ment als Leitfaden zur Erklärung der Rückwirkungsfreiheit. Als Anlage 1 ist eine beispielhafte Gliederung der Herstellererklärung angefügt.

1.2 Veranlassung Von Herstellerfirmen wird im Zusammenhang mit der Entwicklung und Einführung von neuen oder geänderten Produkten, die selbst keine sicherheitsrelevanten Funktionen (safety) ausführen, aber in oder im Umfeld von sicheren Systemen eingesetzt werden, die Abgabe einer Erklärung zur Rück- wirkungsfreiheit auf die sicherheitsrelevanten Funktionen des gesamten Systems sowie ein Mitwir- ken bei den Integrationstests für ihr Produkt gefordert. Damit die erforderlichen Aussagen getroffen werden können und belastbar sind, werden mit diesem Dokument Hinweise zum Vorgehen zusam- mengestellt.

Umfang und Art der Erklärung:

• LH mit passendem Nachweis der Rückwirkungsfreiheit (z.B. Gutachten) → Konformität zum LH muss vom Hersteller bestätigt werden einschließlich Herstellerklärung zur Rückwir- kungsfreiheit, (Annahme: marktverfügbares Produkt: es erfolgt ggf. keine Pflichtenhefter- stellung des Herstellers)
• LH ohne passenden Nachweis der Rückwirkungsfreiheit → Herstellererklärung zur Rück- wirkungsfreiheit erforderlich, ggf. gesonderte Prüfung des Produkts durch Betreiber oder beauftragte Dritte

Hinweis: In diesem Dokument bedeutet Sicherheit immer safety.

Stand 21.09.2022, Version 2.0 5 / 12

[Seite 6]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

2 Inhalte der Erklärung zur Rückwirkungsfreiheit

2.1 Unabhängigkeit Für das Erklären der Unabhängigkeit sind die im System / Produkt umgesetzten Maßnahmen zum Erreichen dieser zu beschreiben. Zu den jeweiligen Klassen der Unabhängigkeit sind im Fol- gendem beispielhafte Maßnahmen aufgeführt.

1. Maßnahmen für das Erreichen der physikalischen internen Unabhängigkeit (Typ A) Bei Typ A handelt es sich um nicht beabsichtigte physikalisch gekoppelte interne Ein- flüsse, welche z.B. durch einen Fehler oder Umwelteinflüsse eine unerwünschte Rückwir- kung ermöglichen. Beispiel für Maßnahmen:

• Spannungsüberwachung im Mikrocontroller

• Einhaltung CE-Norm

• galvanische Trennung

• potentialfreie Kontakte

• Sende- und Empfangsleitung jeweils rückwirkungsfrei in Sicherheitsbauform entkop- pelt (z.B. mit Übertragerschaltungen, Optokopplern)

• Spannungsversorgung galvanisch entkoppelt

2. Maßnahmen für das Erreichen der funktionalen internen Unabhängigkeit (Typ B) Bei Typ B handelt es sich um nicht beabsichtigte funktionale interne Einflüsse über vor- handene Verbindungen. Beispiel für Maßnahmen:

• keine Möglichkeit zum Bilden gültiger sicherheitsrelevanter Telegramme (z.B. Tele- grammstruktur nicht implementiert, Bildungsvorschriften für Safetycode nicht imple- mentiert)

• keine Funktionen implementiert zum Aufbau sicherheitsrelevanter Verbindungen (z.B. Bedienkanal)

• Maßnahmen gegen Fehlfunktionen an Datenschnittstellen und Speicherbausteinen (Power-On-Selbsttest)

• Überwachung zulässige Prozesszeit

• Überwachung auf RAM-Fehler

• iLBS spezifisch Beispiele gemäß Abschnitt 2.2

3. Maßnahmen für das Erreichen der physikalischen externen Unabhängigkeit (Typ C) Bei Typ C handelt es sich um nicht beabsichtigte physikalisch gekoppelte äußere Ein- flüsse, welche z.B. durch einen Fehler oder Umwelteinflüsse eine unerwünschte Rückwir- kung ermöglichen. Beispiel für Maßnahmen:

• Konformität mit ETSI EN 300 386, ETSI EN 201 468, ITU-T Rec. K.20, K.21 und K.45, EN 50121-4

• Konformität mit DIN EN 50125-3 ()

• Konformität mit DIN EN 50121-1 (Elektromagnetische Verträglichkeit)

• Klimatest gemäß ETSI EN 300 019-1-3

• EMV-Prüfungen

Stand 21.09.2022, Version 2.0 6 / 12

[Seite 7]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

• EG-Konformitätsnachweis

• galvanische Entkopplung durch Optokoppler

• galvanische Entkopplung der Stromversorgung durch DC/DC-Wandler

• Unterbringung in einem geerdeten Metallschrank

• Feinregulierung der Betriebsspannung auf der Baugruppe selbst

• Unabhängigkeit der Einheiten seitens der Stromversorgung

• hinreichend große Leiterbahnabstände

• Einhaltung des „Leitfaden Umweltbedingungen LST“ [16-I-I.NPS 331-Ri-FB-2-007]

4. Maßnahmen für das Erreichen der funktionalen externen Unabhängigkeit (Typ D) Bei Typ D handelt es sich um nicht beabsichtigte funktionelle äußere Einflüsse, welche eine unerwünschte Rückwirkung ermöglichen.

Beispiel für Maßnahmen:

• zyklische Prüfung der Übertragungswege und der Teilnehmer

• Fehlerreaktion bei Übertragungsstörungen

• Fehlerzähler mit einstellbaren Schwellwerten

• Übertragungsfehler werden mit Blocksicherungsverfahren erkannt und die Blöcke wer- den verworfen

• unerwarteten Werten erfolgt eine Alarmierung (z.B. über das Netzmanagement-Sys- tem oder als Diagnosemeldung an ein Diagnosesystem)

Insofern der Hersteller eine der oben genannten beispielhaft genannten Maßnahmen in der Erklä- rung zur Rückwirkungsfreiheit aufführt, hält sich der Betreiber eine zusätzliche Prüfung dieser vor (z.B. in Form eines Gutachtens). Hierzu ist ggf. die Mitwirkung durch den Hersteller in Zusam- menarbeit mit einem Dritten (Prüfer) zu sichern.

2.2 iLBS spezifische Beispiele Für nicht sicherheitsrelevante Teilsysteme des iLBS kann der Hersteller dieser zur Erklärung der funktionalen Unabhängigkeit und damit Rückwirkungsfreiheit bestätigen, dass das System / Pro- dukt die geforderten Lastenheft und Pflichtenheftvorgaben einhält und dass die unten genannten sicherheitsrelevanten Verfahren NICHT realisiert sind. Die relevanten Verfahrenslastenhefte sind:

LH 415.9240 - Lastenheft Verfahren zur Anzeigesicherung - AnSi LH 415.9241 - Lastenheft Verfahren zur Eingabesicherung - EiSi LHZ 415.9241Z01 - Lastenheft Verfahren zur Eingabesicherung - EiSi, Zusatz 01: Prüfcode für EiSi-Prozedur LH 415.9096 - Lastenheft BRT-Verfahren

LH 415.9095 - Lastenheft BRK- und BK-Verfahren

2.3 Sonstige Nachweise Die Produktinformation des Herstellers muss mindestens Informationen enthalten über Funktiona- lität, Schnittstellen, HW- und/oder SW-Einschränkungen, Ausfallrate der Komponente, Umge- bungsbedingungen und Anwendungsbedingungen. Weiterhin ist eine Erklärung des Herstellers erforderlich, dass die Entwicklung des Produktes so- wie das Qualitätsmanagement in Übereinstimmung mit branchen-spezifischen Normen wie bspw. der ISO 9001 erfolgt. Bspw. kann hierzu auf die Herstellerqualifizierung durch die DB-AG verwie- sen werden.

Stand 21.09.2022, Version 2.0 7 / 12

[Seite 8]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

Ggf. ist hierzu auf Bedarf ein Nachweis vorzulegen.

2.4 Integrationstest Der Hersteller ist verpflichtet, bei vom Betreiber verantworteten Integrationstests seines Produkts mitzuwirken. Die Integrationstests sollen die vom Hersteller des Produkts getätigten Aussagen zur Rückwirkungsfreiheit, insbesondere mögliche Auswirkungen auf die Verfügbarkeit, ebenso wie Beeinträchtigungen der sicherheitsrelevanten Funktionen des Gesamtsystems sofern möglich bestätigen. Unabhängig davon sind vom Hersteller die von ihm umgesetzten Maßnahmen zur Un- abhängigkeit seines Produkts zu verifizieren.

Stand 21.09.2022, Version 2.0 8 / 12

[Seite 9]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

3 Normative Grundlagen

Im Folgenden sind die für die Erklärung der Rückwirkungsfreiheit als Grundlage relevanten Anfor- derungen aus den CENELEC Normen aufgeführt.

3.1 DIN EN 50126-2 10.2.11 Anforderungen an die Basisintegrität1 In der Lebenszyklusphase 8 „Integrationsphase“:

• muss die Rückwirkungsfreiheit (d. h. Abwesenheit von Rückwirkungen, was bedeutet, dass die Funktion andere sicherheitsbezogene Funktionen nicht beeinträchtigt) nach- gewiesen werden.

3.2 DIN EN 50129:2018 + AC:2019 B.3.2.1 Allgemeine Anforderungen

• In Systemen mit Betrachtungseinheiten, deren gemeinsame Fehlfunktion gefährlich werden könnte, ist die Unabhängigkeit zwischen den Betrachtungseinheiten eine zwingende Voraus- setzung für die Sicherheit im Hinblick auf einen einzelnen zufälligen Fehlzustand. ….
• Angemessene Regeln oder Richtlinien müssen erfüllt sein, um diese Unabhängigkeit sicher- zustellen. Die getroffenen Maßnahmen müssen während des gesamten Lebenszyklus des Systems wirksam sein. Zusätzlich muss der Systementwurf so ausgelegt sein, dass potenzi- ell gefährliche Auswirkungen als Folge des Verlustes der Unabhängigkeit, zum Beispiel auf- grund eines systematischen Entwurfsfehlers, minimiert werden.
• Beispielhaft werden in Bild B.3 verschiedene Arten von Einflüssen in einem System, das aus zwei betrieblichen Betrachtungseinheiten besteht, dargestellt. Für Systeme, die aus mehr als zwei Betrachtungseinheiten bestehen, kann dieses Bild erweitert werden.

1 Basisintegrität ist das niedrigste Integritätslevel und kann auch auf nicht sicherheitsrelevante Funktionen bezogen werden Stand 21.09.2022, Version 2.0 9 / 12

[Seite 10]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

Abbildung 1: Bild B.3

Entsprechend Bild B.3 können mehrere Arten von Einflüssen identifiziert werden. interne Einflüsse Typ A: physische interne Einflüsse Typ B: funktionale interne Einflüsse externe Einflüsse Typ C: physische externe Einflüsse Typ D: funktionale externe Einflüsse

Stand 21.09.2022, Version 2.0 10 / 12

[Seite 11]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

3.3 DIN EN 50159:2010: 7.2.2 Im Falle einer Kommunikation zwischen sicherheitsrelevanten und nicht sicherheitsrelevan- ten Anwendungen über dasselbe Übertragungssystem gelten folgende Anforderungen: – Für die Sicherheitsschutzmaßnahmen in den sicherheitsrelevanten Einrichtungen muss ge- zeigt werden, dass sie von den Schutzmaßnahmen der nicht sicherheitsrelevanten Funktio- nen funktional unabhängig sind. – Die sicherheitsrelevanten und nicht sicherheitsrelevanten Nachrichten müssen unterschiedli- che Strukturen aufweisen, indem ein Sicherheitscode bei den sicherheitsrelevanten Nachrich- ten angewendet wird. Dieser Sicherheitscode muss die Fähigkeit besitzen, das System ent- sprechend dem Sicherheits-Integritätslevel zu schützen (siehe 7.3.7), so dass eine nicht si- cherheitsrelevante Nachricht nicht zu einer sicherheitsrelevanten Nachricht verändert werden kann.

Stand 21.09.2022, Version 2.0 11 / 12

[Seite 12]

Sicherheitsmanagement DB Netz AG Leitfaden zur Erklärung der Rückwirkungsfreiheit I.NDE 3

4 Struktur der Herstellererklärung

Folgende beispielhafte Struktur sollte die Herstellererklärung aufweisen.

Herstellererklärung der Rückwirkungsfreiheit

1. Systemübersicht
2. Betrachtungsumfang
3. Unabhängigkeit der Betrachtungseinheiten (bezogen auf Kapitel 2.1) a. Maßnahmen für das Erreichen der physikalischen internen Unabhängigkeit (Typ A) b. Maßnahmen für das Erreichen der funktionalen internen Unabhängigkeit (Typ B) c. Maßnahmen für das Erreichen der physikalischen externen Unabhängigkeit (Typ C) d. Maßnahmen für das Erreichen der funktionalen externen Unabhängigkeit (Typ D)
4. Sonstige Erklärungen bzw. Nachweise (bezogen auf Kapitel 2.3) z.B.: Schnittellennachweise, ISO Zertifizierung oder Ähnliches, Nachweise zu durchge- führten Tests

Stand 21.09.2022, Version 2.0 12 / 12