EN 50159:2010
(Main)Railway applications - Communication, signalling and processing systems - Safety-related communication in transmission systems
Railway applications - Communication, signalling and processing systems - Safety-related communication in transmission systems
This European Standard is applicable to safety-related electronic systems using for digital communication purposes a transmission system which was not necessarily designed for safety-related applications and which is – under the control of the designer and fixed during the lifetime, or – partly unknown or not fixed, however unauthorised access can be excluded, or – not under the control of the designer, and also unauthorised access has to be considered. Both safety-related equipment and non safety-related equipment can be connected to the transmission system. This standard gives the basic requirements needed to achieve safety-related communication between safety-related equipment connected to the transmission system. This European Standard is applicable to the safety requirement specification of the safety-related equipment connected to the transmission system, in order to obtain the allocated safety integrity requirements. Safety requirements are generally implemented in the safety-related equipment, designed according to EN 50129. In certain cases these requirements may be implemented in other equipment of the transmission system, as long as there is control by safety measures to meet the allocated safety integrity requirements. The safety requirement specification is a precondition of the safety case of a safety-related electronic system for which the required evidence is defined in EN 50129. Evidence of safety management and quality management has to be taken from EN 50129. The communication-related requirements for evidence of functional and technical safety are the subject of this standard. This European Standard is not applicable to existing systems, which had already been accepted prior to the release of this standard. This European Standard does not specify – the transmission system, – equipment connected to the transmission system, – solutions (e.g. for interoperability), – which kind of data are safety-related and which are not. A safety-related equipment connected through an open transmission system can be subjected to many different IT security threats, against which an overall program has to be defined, encompassing management, technical and operational aspects. In this European Standard however, as far as IT security is concerned, only intentional attacks by means of messages to safety-related applications are considered. This European Standard does not cover general IT security issues and in particular it does not cover IT security issues concerning – ensuring confidentiality of safety-related information, – preventing overloading of the transmission system.
Bahnanwendungen - Telekommunikationstechnik, Signaltechnik und Datenverarbeitungssysteme - Sicherheitsrelevante Kommunikation in Übertragungssystemen
Applications ferroviaires - Systèmes de signalisation, de télécommunication et de traitement - Communication de sécurité sur des systèmes de transmission
Železniške naprave - Komunikacijski, signalni in procesni sistemi - Varnostna komunikacija v prenosnih sistemih
Ta evropski standard velja za varnostne elektronske sisteme, ki za potrebe digitalne komunikacije uporabljajo prenosni sistem, ki ni bil nujno načrtovan za varnostno uporabo in ki:
- je pod nadzorom načrtovalca in pritrjen med življenjsko dobo ali
- je delno neznan in ne pritrjen, čeprav je lahko nedovoljen dostop izključen,
- ni pod nadzorom načrtovalca in nedovoljen dostop se prav tako mora obravnavati.
Varnostna oprema kot tudi oprema, ki ni varnostna, je lahko povezana s prenosnim sistemom. Ta standard podaja osnovne zahteve, potrebne za dosego varnostne komunikacije med varnostno opremo, povezano s prenosnim sistemom. Ta evropski standard velja za specifikacijo varnostne zahteve varnostne opreme, povezane z prenosnim sistemom, za pridobitev dodeljenih celovitih varnostnih zahtev. Varnostne zahteve se na splošno izvajajo pri varnostni opremi, načrtovani v skladu z EN 50129. V določenih primerih se lahko te zahteve izvajajo pri drugi opremi sistema prenosa, dokler je prisoten nadzor v obliki varnostnih ukrepov, da se dosežejo dodeljene celovite varnostne zahteve. Specifikacija zahtev o varnosti je predpogoj za varnostni primer elektronskega varnostnega sistema, za katerega se zahteva dokazilo, določeno v EN 50129. Dokazilo upravljanja varnosti in upravljanja kakovosti je potrebno privzeti iz EN 50129. Zahteve, povezane s komunikacijo za dokazilo o delovni in tehnični varnosti, so predmet tega standarda. Ta evropski standard ne velja za obstoječe sisteme, ki so že bili sprejeti pred objavo tega standarda.
Ta evropski standard ne določa
- prenosnega sistema,
- opremo, povezano z prenosnim sistemom,
- rešitev (npr. medobratovalnost),
- kateri načini podatkov so varnostni in kateri niso.
Varnostna oprema, povezana skozi odprt prenosni sistem, je lahko izpostavljena veliko različnim IT varnostnim grožnjam, proti katerim je potrebno določiti celovit program, ki obsega upravljanje ter tehnične in delovne vidike. Vendar se v tem evropskem standardu, kar se tiče IT varnosti, štejejo samo namenski napadi z načinom pošiljanja sporočil varnostnim aplikacijam. Ta evropski standard ne zajema splošnih IT varnostnih vprašanj in zlasti ne zajema IT varnostna vprašanja v zvezi z:
- zagotovitvijo zaupnosti informacij, povezanih z varnostjo,
- preprečevanjem preobremenitve prenosnega sistema.
General Information
Relations
Standards Content (Sample)
SLOVENSKI STANDARD
01-november-2010
1DGRPHãþD
SIST EN 50159-1:2002
SIST EN 50159-2:2002
Železniške naprave - Komunikacijski, signalni in procesni sistemi - Varnostna
komunikacija v prenosnih sistemih
Railway applications - Communication, signalling and processing systems - Safety-
related communication in transmission systems
Bahnanwendungen - Telekommunikationstechnik, Signaltechnik und
Datenverarbeitungssysteme - Sicherheitsrelevante Kommunikation in
Übertragungssystemen
Applications ferroviaires - Systèmes de signalisation, de télécommunication et de
traitement - Communication de sécurité sur des systèmes de transmission
Ta slovenski standard je istoveten z: EN 50159:2010
ICS:
35.240.60 Uporabniške rešitve IT v IT applications in transport
transportu in trgovini and trade
45.020 Železniška tehnika na Railway engineering in
splošno general
2003-01.Slovenski inštitut za standardizacijo. Razmnoževanje celote ali delov tega standarda ni dovoljeno.
EUROPEAN STANDARD
EN 50159
NORME EUROPÉENNE
September 2010
EUROPÄISCHE NORM
ICS 35.240.60; 45.020 Supersedes EN 50159-1:2001, EN 50159-2:2001
English version
Railway applications -
Communication, signalling and processing systems -
Safety-related communication in transmission systems
Applications ferroviaires - Bahnanwendungen -
Systèmes de signalisation, Telekommunikationstechnik,
de télécommunication et de traitement - Signaltechnik und
Communication de sécurité sur Datenverarbeitungssysteme -
des systèmes de transmission Sicherheitsrelevante Kommunikation
in Übertragungssystemen
This European Standard was approved by CENELEC on 2010-09-01. CENELEC members are bound to
comply with the CEN/CENELEC Internal Regulations which stipulate the conditions for giving this European
Standard the status of a national standard without any alteration.
Up-to-date lists and bibliographical references concerning such national standards may be obtained on
application to the Central Secretariat or to any CENELEC member.
This European Standard exists in three official versions (English, French, German). A version in any other
language made by translation under the responsibility of a CENELEC member into its own language and
notified to the Central Secretariat has the same status as the official versions.
CENELEC members are the national electrotechnical committees of Austria, Belgium, Bulgaria, Croatia,
Cyprus, the Czech Republic, Denmark, Estonia, Finland, France, Germany, Greece, Hungary, Iceland,
Ireland, Italy, Latvia, Lithuania, Luxembourg, Malta, the Netherlands, Norway, Poland, Portugal, Romania,
Slovakia, Slovenia, Spain, Sweden, Switzerland and the United Kingdom.
CENELEC
European Committee for Electrotechnical Standardization
Comité Européen de Normalisation Electrotechnique
Europäisches Komitee für Elektrotechnische Normung
Management Centre: Avenue Marnix 17, B - 1000 Brussels
© 2010 CENELEC - All rights of exploitation in any form and by any means reserved worldwide for CENELEC members.
Ref. No. EN 50159:2010 E
Foreword
This European Standard was prepared by SC 9XA, Communication, signalling and processing systems, of
Technical Committee CENELEC TC 9X, Electrical and electronic applications for railways. It was
submitted to the formal vote and was approved by CENELEC as EN 50159 on 2010-09-01.
This document supersedes EN 50159-1:2001 and EN 50159-2:2001.
The contents of both standards have been merged; the informative Annex E gives a mapping between these
previous editions and the present document.
This European Standard is closely related to EN 50129:2003.
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. CEN and CENELEC shall not be held responsible for identifying any or all such patent rights.
The following dates were fixed:
– latest date by which the EN has to be implemented
at national level by publication of an identical
national standard or by endorsement (dop) 2011-09-01
– latest date by which the national standards conflicting
with the EN have to be withdrawn (dow) 2013-09-01
This draft European Standard has been prepared under a mandate given to CENELEC by the European
Commission and the European Free Trade Association and covers essential requirements of
EC Directives 96/48/EC (HSR), recast by EC Directives 2008/57/EC (RAIL). See Annex ZZ.
__________
– 3 – EN 50159:2010
Contents
Introduction . 5
1 Scope . 6
2 Normative references . 7
3 Terms, definitions and abbreviations . 7
3.1 Terms and definitions . 7
3.2 Abbreviations . 12
4 Reference architecture . 13
5 Threats to the transmission system . 16
6 Classification of transmission systems . 17
6.1 General . 17
6.2 General aspects of classification . 17
6.3 Criteria for the classification of transmission systems . 17
6.4 Relationship between transmission systems and the threats . 18
7 Requirements for defences . 18
7.1 Preface . 18
7.2 General requirements . 19
7.3 Specific defences . 20
7.4 Applicability of defences . 26
Annex A (informative) Threats on open transmission systems . 28
A.1 System view . 28
A.2 Derivation of the basic message errors . 29
A.3 Threats. 30
A.4 A possible approach for building a safety case . 31
A.5 Conclusions . 35
Annex B (informative) Categories of transmission systems . 37
B.1 Categories of transmission systems . 37
B.2 Relationship between the category of transmission systems and threats . 39
Annex C (informative) Guideline for defences . 40
C.1 Applications of time stamps . 40
C.2 Choice and use of safety codes and cryptographic techniques. 41
C.3 Safety code . 46
C.4 Length of safety code . 49
C.5 Communication between safety-related and non safety-related applications. 51
Annex D (informative) Guidelines for use of the standard. 53
D.1 Procedure . 53
D.2 Example . 54
Annex E (informative) Mapping from previous standards . 59
Annex ZZ (informative) Coverage of Essential Requirements of EC Directives . 62
Bibliography . 63
Figures
Figure 1 – Reference architecture for safety-related communication . 15
Figure 2 – Cyclic transmission of messages . 21
Figure 3 – Bi-directional transmission of messages . 22
Figure A.1 – Hazard tree . 29
Figure A.2 – Causes of threats . 32
Figure C.1 – Classification of the safety-related communication system . 42
Figure C.2 – Model of message representation within the transmission system (Type A0, A1) . 43
Figure C.3 – Use of a separate access protection layer . 44
Figure C.4 – Model of message representation within the transmission system (Type B0) . 45
Figure C.5 – Model of message representation within the transmission system (Type B1) . 46
Figure C.6 – Basic error model . 49
Figure C.7 – Communication between non safety-related and safety-related applications . 52
Figure D.1 – Fault tree for the hazard “accident” . 55
Figure D.2 – Fault tree for case 1 . 56
Figure D.3 – Fault tree for case 2 . 58
Tables
Table 1 – Threats/Defences matrix . 26
Table A.1 – Relationship between hazardous events and threats . 36
Table B.1 – Categories of transmission systems . 38
Table B.2 – Threat/Category relationship . 39
Table C.1 – Assessment of the safety encoding mechanisms . 48
Table E.1 – Mapping from EN 50159-1:2001 into EN 50159:201X . 60
Table E.2 – Mapping from EN 50159-2:2001 into EN 50159:201X . 61
– 5 – EN 50159:2010
Introduction
If a safety-related electronic system involves the transfer of information between different locations, the
transmission system then forms an integral part of the safety-related system and it shall be shown that the
end to end communication is safe in accordance with EN 50129.
The transmission system considered in this standard, which serves the transfer of information between
different locations, has in general no particular preconditions to satisfy. It is from the safety point of view
not trusted, or not fully trusted.
The standard is dedicated to the requirements to be taken into account for the communication of safety-
related information over such transmission systems.
Although the RAM aspects are not considered in this standard it is recommended to keep in mind that
they are a major aspect of the global safety.
The safety requirements depend on the characteristics of the transmission system. In order to reduce the
complexity of the approach to demonstrate the safety of the system, transmission systems have been
classified into three categories:
– Category 1 consists of systems which are under the control of the designer and fixed during their
lifetime;
– Category 2 consists of systems which are partly unknown or not fixed, however unauthorised access
can be excluded;
– Category 3 consists of systems which are not under the control of the designer, and where
unauthorised access has t
...
SLOVENSKI STANDARD
01-november-2010
Nadomešča:
SIST EN 50159-1:2002
SIST EN 50159-2:2002
Železniške naprave - Komunikacijski, signalni in procesni sistemi - Varnostna
komunikacija v prenosnih sistemih
Railway applications - Communication, signalling and processing systems - Safety-
related communication in transmission systems
Bahnanwendungen - Telekommunikationstechnik, Signaltechnik und
Datenverarbeitungssysteme - Sicherheitsrelevante Kommunikation in
Übertragungssystemen
Applications ferroviaires - Systèmes de signalisation, de télécommunication et de
traitement - Communication de sécurité sur des systèmes de transmission
Ta slovenski standard je istoveten z: EN 50159:2010
ICS:
35.240.60 Uporabniške rešitve IT v IT applications in transport
prometu
45.020 Železniška tehnika na Railway engineering in
splošno general
2003-01.Slovenski inštitut za standardizacijo. Razmnoževanje celote ali delov tega standarda ni dovoljeno.
NORME EUROPÉENNE
EN 50159
EUROPÄISCHE NORM
Septembre 2010
EUROPEAN STANDARD
ICS 35.240.60; 45.020 Remplace EN 50159-1:2001, EN 50159-2:2001
Version française
Applications ferroviaires -
Systèmes de signalisation, de télécommunication et de traitement -
Communication de sécurité sur des systèmes de transmission
Bahnanwendungen - Railway applications -
Telekommunikationstechnik, Communication, signalling
Signaltechnik und and processing systems -
Datenverarbeitungssysteme - Safety-related communication
Sicherheitsrelevante Kommunikation in transmission systems
in Übertragungssystemen
La présente Norme Européenne a été adoptée par le CENELEC le 2010-09-01. Les membres du CENELEC
sont tenus de se soumettre au Règlement Intérieur du CEN/CENELEC qui définit les conditions dans lesquelles
doit être attribué, sans modification, le statut de norme nationale à la Norme Européenne.
Les listes mises à jour et les références bibliographiques relatives à ces normes nationales peuvent être
obtenues auprès du Secrétariat Central ou auprès des membres du CENELEC.
La présente Norme Européenne existe en trois versions officielles (allemand, anglais, français). Une version
dans une autre langue faite par traduction sous la responsabilité d'un membre du CENELEC dans sa langue
nationale, et notifiée au Secrétariat Central, a le même statut que les versions officielles.
Les membres du CENELEC sont les comités électrotechniques nationaux des pays suivants: Allemagne,
Autriche, Belgique, Bulgarie, Chypre, Croatie, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie,
Irlande, Islande, Italie, Lettonie, Lituanie, Luxembourg, Malte, Norvège, Pays-Bas, Pologne, Portugal,
République Tchèque, Roumanie, Royaume-Uni, Slovaquie, Slovénie, Suède et Suisse.
CENELEC
Comité Européen de Normalisation Electrotechnique
Europäisches Komitee für Elektrotechnische Normung
European Committee for Electrotechnical Standardization
Management Centre: Avenue Marnix 17, B - 1000 Bruxelles
© 2010 CENELEC - Tous droits d'exploitation sous quelque forme et de quelque manière que ce soit réservés dans le monde entier aux
membres du CENELEC.
Ref. n° EN 50159:2010 F
Avant-propos
La présente Norme Européenne a été préparée par le SC 9XA, Systèmes de signalisation de
télécommunications et de traitement, du comité technique CENELEC TC 9X, Applications électriques et
électroniques dans le domaine ferroviaire. Elle a été soumise au vote formel et a été acceptée par le
CENELEC comme EN 50159 le 2010-09-01.
Ce document annule et remplace l'EN 50159-1:2001 et l'EN 50159-2:2001.
Le contenu de ces deux normes a été fusionné; l'Annexe E, informative, fournit un tableau de
correspondances entre ces précédentes éditions et le présent document.
La présente Norme Européenne est étroitement liée à l'EN 50129:2003.
Les dates suivantes ont été fixées:
– date limite à laquelle l'EN doit être mise en application
au niveau national par publication d'une norme
nationale identique ou par entérinement (dop) 2011-09-01
– date limite à laquelle les normes nationales
(dow) 2013-09-01
conflictuelles doivent être annulées
Le présent projet de Norme Européenne a été préparé dans le cadre d’un mandat confié au CENELEC par la
Commission Européenne et l’Association Européenne de Libre Echange et couvre les exigences essentielles
de la Directive 96/48/CE (HSR) reprise par la Directive 2008/57/CE (RAIL). Voir l’Annexe ZZ.
__________
– 3 – EN 50159:2010
Sommaire
Introduction . 5
1 Domaine d'application . 6
2 Références normatives. 7
3 Termes, définitions et abréviations . 7
3.1 Termes et définitions . 7
3.2 Abréviations . 12
4 Architecture de référence . 13
5 Menaces sur le système de transmission . 16
6 Classification des systèmes de transmission . 17
6.1 Généralités. 17
6.2 Aspects généraux de la classification . 17
6.3 Critères de classification des systèmes de transmission . 18
6.4 Relation entre les systèmes de transmission et les menaces . 18
7 Exigences relatives aux protections . 19
7.1 Préliminaire . 19
7.2 Exigences générales . 20
7.3 Défenses spécifiques . 21
7.4 Applicabilité des défenses . 27
Annexe A (informative) Menaces sur les systèmes de transmission ouverts . 28
A.1 Vue système . 28
A.2 Déduction des erreurs de message de base . 29
A.3 Menaces . 30
A.4 Une approche possible pour élaborer le dossier de sécurité . 31
A.5 Conclusions . 35
Annexe B (informative) Classes de systèmes de transmission . 37
B.1 Classes de systèmes de transmission . 37
B.2 Relation entre la classe du système de transmission et les menaces . 39
Annexe C (informative) Lignes directrices relatives aux défenses . 40
C.1 Applications de la datation . 40
C.2 Choix et utilisation des codes de sécurité et des techniques cryptographiques . 41
C.3 Code de sécurité . 46
C.4 Longueur du code de sécurité . 49
C.5 Communication entre applications de sécurité et applications non liées à la sécurité . 52
Annexe D (informative) Lignes directrices relatives à l'utilisation de la norme . 54
D.1 Procédure . 54
D.2 Exemple . 55
Annexe E (informative) Correspondance avec les normes précédentes . 59
Annexe ZZ (informative) Couvertures des Exigences Essentielles des Directives CE . 62
Bibliographie . 63
Figures
Figure 1 – Architecture de référence d'une communication de sécurité .15
Figure 2 – Transmission cyclique de messages .22
Figure 3 – Transmission bidirectionnelle de messages .22
Figure A.1 – Arbre des dangers .29
Figure A.2 – Causes de menaces .32
Figure C.1 – Classification des systèmes de communication de sécurité .42
Figure C.2 – Modèle de représentation de message dans un système de transmission (type A0, A1) .43
Figure C.3 – Utilisation d’une couche de protection d’accès séparée .44
Figure C.4 – Modèle de représentation de message dans un système de transmission (type B0) .45
Figure C.5 – Modèle de représentation de message dans un système de transmission (type B1) .46
Figure C.6 – Modèle d'erreur de base .49
Figure C.7 – Communication entre des applications non liées à la sécurité et des applications de sécurité .53
Figure D.1 – Arbre des défaillances pour le danger « accident » .56
Figure D.2 – Arbre des défaillances pour le cas 1 .57
Figure D.3 – Arbre des défaillances pour le cas 2 .58
Tableaux
Tableau 1 – Matrice menaces/défenses .27
Tableau A.1 – Relations entre événements dangereux et menaces .36
Tableau B.1 – Classes de systèmes de transmission .38
Tableau B.2 – Relation menace/classe .39
Tableau C.1 – Evaluation des mécanismes d'encodage de sécurité .48
Tableau E.1 – Correspondance entre la EN 50159-1:2001 et la EN 50159:201X .60
Tableau E.2 – Correspondance entre la EN 50159-2:2001 et la EN 50159:201X .61
– 5 – EN 50159:2010
Introduction
Si un système électronique de sécurité implique un transfert d'informations entre des emplacements
différents, le système de transmission fait alors partie intégrante du système de sécurité et il doit être
démontré que la communication de bout en bout est sûre, conformément à la EN 50129.
Le système de transmission traité dans la présente norme, destiné au transfert d'informations entre des
emplacements différents, n'a pas en général à satisfaire de conditions préliminaires particulières. Du point de
vue de la sécurité, il n'est pas, ou pas complètement, sécurisé.
La présente norme traite des exigences à prendre en compte pour la communication d'informations relatives
à la sécurité par l'intermédiaire de tels systèmes de transmission.
Bien que les aspects FMD ne soient pas considérés dans la présente norme, il est recommandé de garder à
l'esprit qu'ils sont un aspect majeur dans la sécurité globale.
Les exigences de sécurité dépendent des caractéristiques du système de transmission. Afin de simplifier la
démonstration de la sécurité du système, les systèmes de transmission ont été répartis en trois classes:
– la classe 1 comprend les systèmes qui sont sous le contrôle du concepteur et qui sont fixes pendant
leur durée de vie;
– la classe 2 comprend les systèmes qui sont partiellement inconnues ou non fixés, mais pour lesquels un
accès non autorisé peut être ex
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.