In Zollikofen BE kollidierten am 2. Juni 2022 zwei in Vielfachtraktion zusammengekuppelte und als Lokzug der BLS Cargo AG verkehrende Lokomotiven mit ca. 70 km/h mit dem Zugschluss eines abfahrbereiten Güterzuges, der aus Sonderfahrzeugen für Gleisbauarbeiten bestand.
Schnell wurde bekannt, dass der Lokzug mit ausgeschalteter Zugbeeinflussungseinrichtung verkehrte. Dies würde erklären, warum Halt- und Warnung zeigende Signale mit hoher Geschwindigkeit ohne Reaktion des Lokführers überfahren werden konnten. Der Lokführer hatte sich zum Glück nur leicht verletzt.
Zugbeeinflussung
Bisher konnte die Zugsicherung "Signum-Integra" (Funktion: Warnung und Halt), die Zugbeeinflussung ZUB (Funktion: Punktuelle Überwachung Bremskurve/Geschwindigkeit) und das ETCS (Funktion: Punktuelle Überwachung Geschwindigkeit/Signale im Level 1 und Vollüberwachung im Level 2) jeweils separat abgetrennt werden.
Seit der Ausserbetriebnahme der "Signum-Integra" Einrichtung und der Übernahme der Warnung/Halt-Funktion durch das Eurobalise Transmission Module ETM, wird mit dem Ausschalten der ZUB auch die Funktion Warnung/Halt der Zugsicherung ausser Betrieb genommen. Die Fahrt wird somit durch keine Sicherheitseinrichtung überwacht und der Lokführer wird nicht auf Halt/Warnung zeigende Signale aufmerksam gemacht.
Über Jahrzehnte schreiben die Fahrdienstvorschriften FDV bei Ausschalten des "Signum-Integra" vor, bei der ersten Gelegenheit einen zusätzlichen Lokführer oder einen Führergehilfen in den Führerstand anzufordern. Solange kein zusätzlicher Lokführer oder Führergehilfe im Führerstand anwesend ist, darf mit einer defekten Zugsicherung maximal 80 km/h gefahren werden. Das Fahrzeug darf dann höchstens noch 12 Stunden mit einer defekten Zugsicherung verkehren
Aktuelle Regelung in den Betriebsvorschriften
2014 wurde in den «Betriebsvorschriften Verkehr» eine neue Vorschrift eingeführt, welche besagt, dass "die Verantwortung dafür, dass ein Fahrzeug mit ausgefallener Zugsicherung oder Sicherheitssteuerung nicht länger als total 12 Stunden zugführend eingesetzt wird, liegt bei den entsprechenden Leitstellen der Bahnen".
Diese Vorschrift wird deshalb so interpretiert, dass die reine Fahrzeit eines defekten Fahrzeuges an einer Zugspitze auf 12 Stunden addiert werden kann, bevor Massnahmen zu treffen sind.
Dass die entsprechenden Leitstellen dafür verantwortlich sind, einen zweiten Lokführer zu stellen, wie in den FDV vorgesehen, ist nicht explizit vorgeschrieben. In der Praxis wurde auch selten ein zweiter Lokführer gestellt und defekte Fahrzeuge wurden teils über mehrere Tage noch eingesetzt; es wurde ja ein kumulierter Wert bis 12h angewendet.
Zunehmende Gefahren
Da die Zuverlässigkeit des ZUB / ETM nicht diejenige des Signum-Integra erreichte, musste vermehrt ohne Zugbeeinflussung gefahren werden. Die Ursache lag vielfach in der Zuverlässigkeit elektronischer Bauteile, welche bei Signum-Integra nicht in dem Umfang notwendig waren. Moderne ETCS-only Fahrzeuge sind dementsprechend noch störungsanfälliger, nach Ausschalten der ETCS-Komponente sind meistens gar keine Sicherheitssysteme mehr aktiv. Gegenseitige Redundanzen wie früher bei ZUB und Integra fehlen vollständig.
Diese Umstände erhöhen, zusammen mit dem immer dichteren Verkehr, das Risiko für Unregelmässigkeiten im Bahnbetrieb. Zumal bei ETCS-only Fahrzeugen nicht einmal Halt zeigende Signale mehr einen Zug bremsen, wie der Fall Zollikofen zeigt.
Risiko seit langem bekannt
Nach dem Unfall in Zürich Oerlikon vom 24. Oktober 2003 mit einem Toten und 45 Verletzten Personen wurde zuerst eine Störung des ZUB auf der Lok vermutet. Knapp 72 Stunden später verordnete der damalige Leiter SBB Personenverkehr, Paul Blumenthal, dass alle Fahrzeuge mit ausgeschaltetem ZUB spätestens nach 4 Stunden aus dem Verkehr zu nehmen sind. „Steht kein Begleiter zur Verfügung, ist die Weiterfahrt verboten (Zugsausfall)!“
Anlässlich einer Fachdiskussion zwischen dem Leiter Sicherheit der SBB und den Sozialpartnern nach dem Unfall von Rafz vom 20. Februar 2015 machte der VSLF schriftlich auf die Gefahren bei Fahrten mit ausgeschalteten Zugbeeinflussungseinrichtungen aufmerksam: "Bemerkungen zu den Sicherheitseinrichtungen, Eingabe VSLF: Mit ausgeschaltetem ZUB ist auch das ETM (Rucksack) ausser Betrieb und bei Signalen mit Euro-Balisen spricht weder Warnung noch Zugsicherung mit Halt an. Der Zug wir durch gar nichts überwacht. Mit dem forcierten Einbau von Euro-Balisen steigt das Risiko massiv. Aktuell sind kumulierte Fahren bis 12 Stunden möglich, was somit während mehreren Tagen erlaubt ist.
Die Länge der Fahrten nach dem Ausschalten von ZUB (und folglich ETM) ist neu auf Fahrten an den nächsten Unterhaltsstandort zu beschränken. Im Interesse der Sicherheit."
Die Schweizerische Sicherheitsuntersuchungsstelle SUST veröffentlichte einen summarischen Bericht zu einem Vorfall vom 29. November 2017, bei welchem eine Lok mit defektem ZUB mehrmals nacheinander die Instandhaltungsanlage verliess. Ein Lokführer, welcher sich erst weigerte diese Lok zu übernehmen, wurde mit der Aussage der Lokleitung unter Druck gesetzt: "dass keine andere Lok zur Verfügung stehe und er die Lok mit gestörter Zugbeeinflussung dennoch übernehmen müsse, da die bei einer Störung an der Zugbeeinflussung geltende Frist von maximal 12 Stunden noch nicht abgelaufen sei. Ansonsten würde der Zug ausfallen" Im Verlauf seines Dienstes überfuhr er zwei Halt zeigende Signale, zum Glück ohne unmittelbar Gefährdungen.
Diese geschilderten Punkte zeigen auf, dass:
- die für die Sicherheit und die Vorschriften verantwortlichen Stellen der SBB sich im Klaren sind über das zunehmende Risiko-Potenzial.
- in der Praxis kein zweiter Lokführer gemäss FDV organisiert wurde und dies auch nicht spezifisch vorgeschrieben war.
- die Missstände dem Bundesamt für Verkehr BAV als Aufsichtsbehörde bekannt sein musste, nicht zuletzt wegen dem summarischen Bericht der schweizerischen Sicherheitsuntersuchungsstelle SUST und der Eingabe des VSLF.
Neue Regelungen nach dem Auffahrunfall von Zollikofen BE
Nach der Kollision in Zollikofen prüfte die Abteilung SBB Produktion Personenverkehr Qualität Sicherheit Umwelt PP-SQU die Betriebsvorschriften und stellte fest, dass: „dies nicht im Sinn der Vorschrift umgesetzt wird. Die Betriebsvorschriften werden präziser formuliert, was allenfalls noch zu Anpassungen führen kann, damit die Ziffer 300.9 10.3 nicht mehr falsch interpretiert und die erste Gelegenheit nicht mehr in Abhängigkeit von der Personalverfügbarkeit gesehen wird“.
Sofortiges Vorgehen: Die Einschränkung mit Vmax 80 km/h darf nur bis zum nächsten Depotstandort von PP-BP-ZFR angewendet werden, bei dem ein zweiter Lokführer zusteigen kann. Fehlendes Lokpersonal an einem Depotstandort ist kein Grund den Zug weiter nur mit einem Lokführer mit Vmax 80 km/h zu führen. ...“
Dies ist keine Präzisierung der bereits geltenden Vorschriften, sondern eine neue Vorschrift und komplette Philosophieänderung mit der klaren Vorgabe, dass es zukünftig verboten ist, ab einem Depotstandort mit defekter Zugbeeinflussung weiterzufahren. Die kumulierte 12 Stunden-Regelung ist somit obsolet.
Daraus ergeben sich folgende Fragen:
- Weshalb wird jeweils erst nach einem Unfall festgestellt, dass eine Vorschrift nicht im Sinn umgesetzt wird?
- Warum ist der Sinn nicht präzis oder wenigstens pauschal festgehalten in der jeweiligen Vorschrift?
- Besteht eine Diskrepanz zwischen der Definition, Ursache und Sinnhaftigkeit einer Vorschrift und derer „sinngemässen“ Anwendung in der Praxis?
- Weshalb ist den zuständigen Stellen nicht bekannt, dass die Vorschrift seit Jahren falsch angewendet und instruiert wird, obwohl sie darauf hingewiesen wurden?
- Welche Ursachen führen zur falschen Interpretation oder Anwendung einer eigentlich eindeutigen Vorschrift? Kann eine Vorschrift falsch umgesetzt werden?
Konflikte in den Vorschiften
Die Grundvorschrift des BAV in den FDV zu ausgeschalteten Zugbeeinflussungen ist unlogisch, unterschiedlich interpretierbar und wird in den jeweiligen Vorschriften der Bahnen unterschiedlich angewendet. So kann beispielsweise ein Zug mit defekter Sicherheitseinrichtung bei SBB Personenverkehr von Zürich HB nur noch bis Altstetten gefahren werden, da Altstetten ein Depotstandort ist. Bei SBB Cargo International kann von Basel bis Domodossola gefahren werden, da der Zug keinen Depotstandort durchfährt. Die ursprüngliche 12-Stunden-Regelung ist ohnehin nicht plausibel begründbar; würde die Sicherheit ernst genommen, wäre höchstens eine Fahrt in die Unterhaltsanlage vertretbar.
Dass jede EVU ihre Ausführungsbestimmungen intern selber regelt, führt zu unterschiedlichen Vorschriften und Vorgehensweisen auf demselben Schienennetz. Die aktuelle Präzisierung der Vorschriften durch PP-SQU zeigen dies anschaulich. Dass das Lokpersonal nicht einmal über diesen Paradigmawechsel verständigt wird, obwohl diese Information für das ausführende Personal in Vollverantwortung eine enorme Wichtigkeit hat, passt in das Bild.
Die koordinationslose Handhabung nährt den Verdacht, dass hinter dieser Inkonsequenz eine Absicht steckt, und nicht ein Versehen. Denn diese verschachtelte und beidseitig interpretierbare Vorschrift kann extern als Sicherheitsmassnahme verkauft werden, während der Fokus intern auf die betrieblichen Interessen gelegt wird, also auf eine Verhinderung von Zugausfällen mangels Personals und verfügbaren Fahrzeugen. Gibt der Lokführer dem Druck nach und es ereignet sich in der Folge ein Unfall, wird die Vorschrift in der Nachbearbeitung einfach wieder strikt interpretiert und die Verantwortung an den Lokführer abgeschoben.
Probleme in der Koordination
Es ist dem Zielzustand des sicheren Eisenbahnbetriebs abtrünnig, dass sehr viele unterschiedliche Player in den Ämtern, den Bahnen und den Sicherheits- und Qualitätsabteilungen dieselben Problemstellungen bewirtschaften, jedoch ohne klare Kompetenz- und Weisungsbefugnisse. Im Gegensatz zur Sicherheit steigen dadurch die Komplexität in den Richtlinien, die Konzeptlosigkeit und in nicht zuletzt die Kosten.
Dass wir in der Schweiz sogar bei so wichtigen Einrichtungen wie den Zugbeeinflussungsgeräten auf den Fahrzeugen unterschiedliche und den jeweiligen betrieblich erwünschten Zuständen entsprechende Ausführungen zulassen, ist nicht zielführend. Sie werden jedoch ermöglicht, wenn die Grundvorschriften der Aufsichtsbehörde nur grobe Rahmenbedingungen vorgeben.
Und trotz all diesen verantwortlichen Stellen und des dazugehörigen Bereiche ist es heutzutage immer noch möglich - oder sogar immer wahrscheinlicher -, dass eine mit den neuesten ETCS-Sicherheitsmodulen ausgerüstete Lokomotive mit Baujahr 2016 im komplexen und stark überwachten Eisenbahnkonten Bern ohne jegliche Zugbeeinflussung mit nur einem Lokführer fahren gelassen wird.
Das entspricht nicht unserer Auffassung von Sicherheit im Jahre 2022, wie wir dies bereits 2015 moniert haben.
VSLF Nr. 723, 15. August 2022 HG
Siehe: Info / Projekte / ETCS
