Ga pilot, V&V và quy trình chấp nhận CBI SIL4
Suốt các bài trước, chúng ta nói về chuẩn bị: chiến lược, tổ chức, dữ liệu, hồ sơ. Bài này nói về lúc mọi thứ được đem ra thử. Trong lộ trình làm chủ CBI SIL4, ga pilot là tâm điểm của năm thứ ba, nơi một ứng dụng lần đầu đi từ bản thiết kế đến vận hành thật, và lần đầu bị người ngoài đặt câu hỏi về từng mảnh bằng chứng.
Vai trò của ga pilot trong lộ trình
Ga pilot không chỉ là “ga đầu tiên lắp CBI”. Nó là một cuộc diễn tập có kiểm soát cho toàn bộ chuỗi an toàn: từ hazard analysis, dữ liệu ứng dụng, V&V, Safety Case, đánh giá độc lập, cho đến chấp nhận của cơ quan có thẩm quyền và vận hành. Nếu chuỗi này chưa từng chạy hết một vòng trên một ứng dụng nhỏ, thì đến khi triển khai trên quy mô lớn, mọi khe hở sẽ lộ ra cùng một lúc.
Vì vậy tiêu chí thành công của ga pilot không phải chỉ là “hệ thống chạy”. Tiêu chí quan trọng hơn là tổ chức đã đi hết vòng đời an toàn một lần và biết mình còn thiếu gì. Một ga pilot chạy tốt nhưng để lại hồ sơ rời rạc là một thành công kỹ thuật và một thất bại về năng lực.
Chọn ga pilot thế nào?
Một ga pilot tốt thường là ga đủ đại diện để học được điều có ích, và đủ nhỏ để sai sót không gây hậu quả lớn. Với kinh nghiệm chung của ngành, những tiêu chí sau nên được cân nhắc.
Về quy mô, nên chọn ga có số tuyến, ghi và tín hiệu vừa phải, đủ đa dạng để lộ ra các dạng liên khóa quan trọng (tuyến xung đột, bảo vệ sườn, đoạn dự phòng) nhưng không phức tạp đến mức che mất bài học. Về khai thác, ưu tiên ga có thể tạm điều chỉnh khai thác hoặc có phương án khai thác thay thế khi cutover, thay vì ga nằm ở nút then chốt không có đường tránh. Về hạ tầng, cần khảo sát trước hiện trạng thiết bị và cáp, vì ga có thiết bị hiện hữu quá cũ hoặc thiếu hồ sơ sẽ làm phần giao diện tốn nhiều công hơn chính CBI. Về tổ chức, ga cần thuận tiện cho đội ngũ và assessor tiếp cận thường xuyên, và có đội vận hành sẵn sàng phối hợp.
Có thể tóm lại: chọn ga để học nhiều nhất với rủi ro khai thác thấp nhất, không chọn ga để “trình diễn” tốt nhất.
Chiến lược V&V cho ứng dụng pilot
V&V không bắt đầu từ lúc lắp đặt. Nó bắt đầu từ kế hoạch kiểm chứng ngay khi có yêu cầu an toàn: mỗi yêu cầu cần biết trước sẽ được kiểm chứng bằng phương pháp nào (xem xét, phân tích, mô phỏng hay thử nghiệm) và bằng chứng nào sẽ được giữ lại.
Ở tầng ứng dụng, có ba lớp kiểm chứng nên được phân biệt rõ. Lớp thứ nhất là kiểm chứng dữ liệu: dữ liệu ứng dụng được kiểm tra đối chiếu với đặc tả và với sơ đồ ga, tốt nhất bằng một công cụ hoặc một người độc lập với bên đã tạo ra dữ liệu. Lớp thứ hai là kiểm chứng logic và hành vi trên môi trường mô phỏng: không chỉ các kịch bản bình thường (thiết lập tuyến, mở tín hiệu, giải phóng tuyến) mà cả kịch bản bất thường, như mất phát hiện vị trí ghi, thông tin chiếm dụng đường ray không nhất quán, hoặc lỗi truyền thông. Lớp thứ ba là kiểm chứng tích hợp với thiết bị thật, nơi các giả định của sản phẩm về thiết bị hiện trường được đối chiếu với thực tế.
Nguyên tắc bao trùm là mọi phép thử phải truy xuất được về một yêu cầu hay một mối nguy. Một phép thử không có gốc rễ như vậy vẫn hữu ích để bắt lỗi, nhưng giá trị làm bằng chứng an toàn rất thấp.
FAT, SAT và tích hợp hiện trường
Ba giai đoạn thử nghiệm thường nối nhau theo thứ tự từ môi trường được kiểm soát đến môi trường thật.
FAT (Factory Acceptance Test) diễn ra trước khi thiết bị đến hiện trường, thường ở phòng lab hoặc nhà máy, với hệ thống được cấu hình đầy đủ dữ liệu ứng dụng và thiết bị hiện trường được mô phỏng. Đây là nơi phát hiện phần lớn lỗi dữ liệu và lỗi logic với chi phí thấp nhất, vì sửa lỗi ở đây rẻ hơn rất nhiều so với sửa ngoài hiện trường.
Tích hợp và lắp đặt hiện trường là bước kết nối hệ thống với thiết bị thật: cáp, máy chuyển ghi, tín hiệu, hệ thống phát hiện chiếm dụng và nguồn cấp. Nhiều vấn đề chỉ xuất hiện ở đây, như đặc tính cách ly, nhiễu, hay thiết bị hiện hữu không hành xử đúng như hồ sơ mô tả.
SAT (Site Acceptance Test) kiểm tra hệ thống đã lắp đặt hoạt động đúng với ứng dụng cụ thể, trên hiện trường, trước khi đưa vào khai thác. SAT nên bao gồm cả việc kiểm tra từng tuyến, từng liên khóa và các phản ứng khi có lỗi, không chỉ chạy kịch bản bình thường.
Một nguyên tắc quan trọng xuyên suốt: lỗi phát hiện ở giai đoạn muộn không được “vá nhanh”. Nếu nguồn gốc lỗi là yêu cầu hay dữ liệu, ta phải quay lại đúng bước đó, sửa, và kiểm chứng lại theo quy trình quản lý thay đổi.
Cutover từ hệ thống cũ sang CBI mà vẫn bảo đảm an toàn khai thác
Chuyển từ liên khóa rơ-le sang CBI trên một ga đang khai thác là một trong những thao tác nhạy cảm nhất của chương trình. Rủi ro không chỉ nằm ở CBI mới, mà còn nằm ở giai đoạn chuyển tiếp, khi hai hệ thống có thể cùng tồn tại hoặc thay thế nhau trong thời gian ngắn.
Ở mức nguyên tắc, một kế hoạch cutover an toàn thường cần một số thứ. Trước hết là một kế hoạch được phê duyệt, mô tả từng bước, người chịu trách nhiệm, điều kiện để tiến hành và tiêu chí để dừng hoặc quay lại. Kế đến là một phương án khai thác trong thời gian chuyển đổi, chẳng hạn hạn chế tốc độ, giảm mật độ chạy tàu hoặc khai thác thủ công có biện pháp bảo vệ. Cần phân tích riêng các mối nguy phát sinh trong chính quá trình chuyển đổi, vì chúng khác với mối nguy của hệ thống khi đã vận hành ổn định. Và cần một kế hoạch quay lại hệ thống cũ nếu phát hiện vấn đề, được kiểm chứng trước chứ không chỉ viết ra.
Khi nào và bằng cách nào chuyển đổi là quyết định phải được thống nhất với bên khai thác và cơ quan có thẩm quyền. Bài này không thay thế các quy định áp dụng trong từng bối cảnh.
Đánh giá an toàn độc lập trong giai đoạn pilot
Ở mục tiêu SIL cao, độc lập trong đánh giá là một yêu cầu chứ không phải tùy chọn. Nhưng điều đáng nhấn mạnh với ga pilot là: đánh giá độc lập không nên chỉ xuất hiện ở cuối. Nếu assessor chỉ được xem hồ sơ khi mọi thứ đã xong, phát hiện của họ có thể buộc phải quay lại từ những bước đầu, với chi phí rất lớn.
Cách làm hợp lý hơn là để assessor tham gia theo vòng đời: xem xét kế hoạch an toàn và hazard log từ sớm, góp ý trên kế hoạch V&V trước khi thực hiện, và đánh giá Safety Case khi nó đang được xây, không phải khi đã đóng lại. Với một tổ chức mới bắt đầu, làm như vậy còn có tác dụng đào tạo: đội ngũ học được cách một assessor suy nghĩ ngay trong lúc còn kịp thay đổi.
Những câu hỏi assessor thường đặt ra rất cụ thể: yêu cầu này đến từ đâu, phép thử này chứng minh yêu cầu nào, thay đổi này đã được đánh giá ảnh hưởng an toàn chưa, và bằng chứng cho luận điểm này ở đâu.
Quy trình chấp nhận theo mô hình chung
Sau khi thử nghiệm và đánh giá độc lập, hệ thống còn phải được chấp nhận để đưa vào khai thác. Quy trình này khác nhau giữa các hệ thống pháp lý, nên ở đây chỉ mô tả mô hình chung.
Thông thường, bên triển khai nộp một bộ hồ sơ gồm Safety Case, các báo cáo V&V, báo cáo của tổ chức đánh giá độc lập và tài liệu chứng minh các điều kiện áp dụng đã được đáp ứng. Cơ quan có thẩm quyền về an toàn đường sắt thẩm định hồ sơ, có thể đặt câu hỏi hoặc yêu cầu bổ sung. Quyết định chấp nhận thường kèm điều kiện vận hành, chẳng hạn giới hạn về phạm vi sử dụng, yêu cầu theo dõi trong giai đoạn đầu hoặc yêu cầu báo cáo sự cố.
Với quốc gia chưa có tiền lệ về CBI, điểm rủi ro lớn nhất thường không nằm ở kỹ thuật mà ở khung chấp nhận: chưa rõ hồ sơ cần những gì, thẩm định theo tiêu chuẩn nào, thời gian bao lâu. Vì thế lời khuyên đã nêu ở các bài trước vẫn đúng: làm việc với cơ quan có thẩm quyền từ Năm thứ nhất, thống nhất khung chấp nhận trước khi thiết kế ứng dụng.
Chứng chỉ SIL4 chứng minh điều gì, và không chứng minh điều gì?
Đây là chỗ hay bị hiểu nhầm nhất. Một chứng nhận hoặc báo cáo đánh giá đến từ bên độc lập cho biết: trong một phạm vi xác định và theo một tiêu chuẩn và scheme xác định, bên đánh giá đã xem xét bằng chứng và kết luận nó đáp ứng các yêu cầu.
Điều đó không có nghĩa là mọi ứng dụng dùng sản phẩm đó đều tự động an toàn. Ứng dụng cụ thể vẫn phải có Safety Case riêng và phải tuân thủ các điều kiện áp dụng. Nó cũng không có nghĩa là an toàn được đảm bảo vĩnh viễn: mỗi thay đổi sau đó phải được đánh giá tác động. Và nó không có nghĩa là một cơ quan ở nơi khác sẽ tự động chấp nhận, vì điều này còn phụ thuộc vào khung pháp lý và tiêu chuẩn của nơi đó.
Nói gọn: chứng chỉ là một mảnh bằng chứng có phạm vi, rất quan trọng nhưng không phải kết luận cuối cùng về an toàn của một hệ thống đang vận hành.
Từ pilot sang nhân rộng
Khi ga pilot được chấp nhận và vận hành ổn định, câu hỏi tiếp theo là nhân rộng. Bước này thường bị coi là “làm lại thêm nhiều lần”, nhưng thực tế là một bài toán riêng.
Điều nên làm trước hết là rà soát bài học từ pilot một cách có hệ thống: những lỗi nào phát hiện muộn, những giả định nào sai, những quy trình nào vướng, những điểm nào của hồ sơ bị assessor hỏi nhiều nhất. Sau đó, cập nhật quy trình, mẫu dữ liệu, công cụ và mẫu Safety Case dựa trên bài học đó. Với các ga tiếp theo, việc tái sử dụng có thể rất hiệu quả nhờ những gì đã có ở tầng generic application (quy tắc thiết kế, mẫu dữ liệu, kiểm chứng đã làm), nhưng mỗi ga vẫn là một ứng dụng cụ thể với hazard analysis và Safety Case riêng.
Cuối cùng, đây là lúc nhìn lại các chỉ số năng lực trong bài hub và quyết định nên đầu tư thêm vào tầng nền tảng hay tiếp tục mở rộng ở tầng ứng dụng.
Những khó khăn thường gặp
Ga pilot thường gặp bốn nhóm khó khăn. Thứ nhất, thiết bị hiện hữu không khớp hồ sơ hoặc giả định của sản phẩm, nên phần giao diện tốn nhiều thời gian hơn dự kiến. Thứ hai, áp lực thời gian khi cutover trên tuyến đang khai thác, dễ dẫn đến rút ngắn kiểm chứng. Thứ ba, thời gian thẩm định dài hơn dự kiến khi khung chấp nhận chưa có tiền lệ. Thứ tư, hồ sơ không đồng bộ: dữ liệu, kết quả kiểm thử và Safety Case ở các phiên bản khác nhau, làm việc chứng minh trở nên khó hơn nhiều.
Cách giảm rủi ro có chung một tinh thần: khảo sát hiện trạng và làm việc với cơ quan có thẩm quyền từ sớm, không rút ngắn V&V để chạy theo tiến độ, đặt các mốc Safety Case và quản lý cấu hình ngang hàng với mốc kỹ thuật, và chấp nhận rằng một pilot tốt là pilot cho ra nhiều bài học chứ không phải pilot chạy trơn tru không có phát hiện nào.
Kết luận
Ga pilot là nơi lộ trình trở thành thực tế: dữ liệu được chứng minh, hồ sơ được bảo vệ, tổ chức đi hết một vòng đời an toàn. Cùng với chiến lược, năng lực tổ chức và tầng ứng dụng, đây là mảnh cuối của bức tranh về 3 năm đầu để một quốc gia mới bắt đầu làm chủ CBI SIL4 ở tầng ứng dụng, một mục tiêu có điều kiện nhưng thực tế nếu các mảnh trước được làm đúng.
