SOS für eine „massive Erhöhung der Sicherheit“ nach Bad Aibling

SOS für eine „massive Erhöhung der Sicherheit“ nach Bad Aibling

Obwohl technologisch möglich, wird die Restfehlerwahrscheinlichkeit bei der Bahn bislang nicht durch einfache Kontrollsystem-Kombinationen verringert

Von Annegret Handel-Kempf

Digitaler Alarm, der sogar auf Dampfloks funktioniert: Das ergänzende Kollisionswarnsystem RCAS hätte das Zugunglück von Bad Aibling verhindern können. Trotz erfolgreicher Tests auf der BOB, wurde bei der Regionalbahn auf die einfache, „zwischenmaschinliche“ Funk-Lösung verzichtet und weiter auf das aufwändige, einheitliche, europäische Zug-Sicherheits- und Beeinflussungssystem ECTS gewartet. ECTS-Start für kleine, eingleisige Strecken: Irgendwann nach 2030.

Direkte Kommunikation zwischen Maschinen ist das Stichwort der Stunde. Für sichere Beförderung in der Luft, im Wasser und auf der Schiene. ECTS-ergänzende Kontrolltechnologien, die gegebenenfalls selbst sicher bremsen, werden umso dringender benötigt, je mehr Personal und Zeit im Zugverkehr eingespart werden sollen. Vier-und-noch-mehr-Augenprinzip bei Fahrdienstleitern, Lokführern oder in Cockpits, um künftig Unfälle durch menschliche Fehler zu vermeiden? - Insider können über derartige Vorschläge in Zeiten von Billig-Boom und Internet-der-Dinge nur lachen.

Zusammenstoßvermeidung durch RCAS wie TCAS
(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Nicht so bei der Bahn: Die beiden Züge, die von Bad Aibling und Kolbermoor kommend auf der eingleisigen Strecke in Oberbayern frontal und ungebremst aufeinander fuhren, haben nicht automatisch per Funk ihre Positionsdaten ausgetauscht, nicht automatisch rechtzeitig gebremst und menschliches Versagen somit nicht korrigiert. Dabei gibt es ein entsprechendes Kollisionswarnsystem längst: RCAS (Railway Collision Avoidance System), das ähnlich wie TCAS (Traffic Alert and Collision Avoidance System, eine Umsetzung des Kollisionswarnsystems Airborne Collision Avoidance System ACAS) an Bord eines Luftfahrzeugs funktioniert. RCAS hätte die Leben von elf Menschen retten können. Der zwölf Menschen, die am Faschingsdienstag auf einer schwer einsehbaren Stelle der Bayerischen Oberlandbahn (BOB) ums Leben kamen.

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Deaktivierbare Bremsung durch PZB
Stand Februar 2016 war die Trasse zwischen Bad Aibling und Kolbermoor mit einer Punktförmigen Zugbeeinflussung (PZB 90) ausgestattet. Einem Zugbeeinflussungssystem, wie es die Deutsche Bahn als Kontrollinstanz für die Gleise auf den meisten Regionalstrecken in Deutschland verwendet. Dabei sind am Anfang und Ende des Streckenabschnitts Achszähler montiert. Diese erfassen, wenn ein Zug in den Abschnitt einfährt, und sperren die Strecke für alle anderen Züge. Die Signale zeigen dann rot. Erst, wenn der Zug am anderen Ende vollständig hinaus gefahren ist, wird die Strecke wieder frei. Der Fahrdienstleiter kann sich allerdings über die Automatismen der Technik hinwegsetzen, wie bei dem Zugunglück vom Februar, dem Stand der Ermittlungen zufolge, geschehen. Bei der Analyse von zweien der drei Fahrtenschreiber konnten zudem keine Hinweise auf Missachtung von Signalen durch die Zugführer festgestellt werden, berichtete ein Sprecher des Bundesverkehrsministeriums.

Das Ausschalten der Automatik ist keine überraschende Ausnahme:
(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Rettungssystem RCAS bei BOB erfolgreich erprobt
Beruhigt oder verunsichert vor diesem Hintergrund folgende Aussage? - Der Konzernbevollmächtigte der Deutschen Bahn für den Freistaat Bayern, Klaus-Dieter Josel, äußerte nach dem Unglück von Bad Aibling, die Hälfte aller Schienenstrecken in Bayern sei eingleisig und grundsätzlich genauso sicher wie die zweigleisigen Strecken.

Hier die DB als Streckenbetreiber, dort die BOB. Die Zuständigkeiten und die Interpretationen der Zuständigen sind komplex: Die Bayerische Oberlandbahn ist Teil des französischen Verkehrskonzerns Transdev. Unter der Marke Meridian betreibt BOB auch die Unglückszüge. Transdev bezeichnet sich als größter privater Nahverkehrsanbieter im lokalen Bahn- und Busbereich in Deutschland.

Die Transdev-Pressestelle auf Nachfrage der Autorin: „Grundsätzlich ist das Eisenbahn-Bundesamt (EBA) die in Deutschland zuständige Aufsichtsbehörde, die entsprechende Sicherungssysteme für den Einsatz im Eisenbahnverkehr zulässt und den Betreibern vorschreibt. Hierfür ist allerdings zunächst die Freigabe auf europäischer Ebene nötig, denn die EU-Mitgliedstaaten dürfen keine neuen technischen Sicherungssysteme für das Fahrzeug vorschreiben und somit zur Voraussetzung bzw. Bedingung für den Netzzugang machen. Das würde dem freien Netzzugang widersprechen, der gemäß europäischer Gesetzgebung sichergestellt werden muss.“

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Soll heißen: Sollte ein Zug aus einem anderem EU-Staat zufällig auf der oberbayerischen BOB-Strecke vorbeikommen, könnte er zusätzlich zu seinen sonstigen, durch EU-Recht und Bahn-Bundesamt abgesegneten Sicherungen zur Erhöhung der Sicherheit eine RCAS-Einheit ins Lokführer-Haus nehmen, oder auch nicht.

Das Kollisionsvermeidungssystem der IoW wird seit Anfang 2014 im täglichen Regelbetrieb von zwei Dampfloks der Harzer Schmalspurbahnen (HSB) genutzt und soll auf den gesamten Flottenbetrieb der HSB erweitert werden. RCAS funktioniert: Auf heißen, rußigen Loks, ohne Strom. Minimalvoraussetzungen für erhöhte Sicherheit. Das IoW-Team steht in Verhandlungen mit weiteren nationalen und internationalen Industriepartnern.

RCAS-Entwickler Thomas Strang auf Nachfrage durch die Autorin: „Die BOB hat das DLR, wo die Basis-Technologie des RCAS entwickelt wurde, in zahlreichen Test- und Erprobungsfahrten unterstützt - zu diesem und anderen Eisenbahn-nahen Themen. Die Tests des Prototypens von RCAS in den Zügen der BOB waren alle äußerst erfolgreich, wie auch die Versuche zu den übrigen Themen. Das daraus folgende Produkt, entwickelt und vertrieben von der IoW, kam bisher nicht zum Einsatz bei der BOB.“

RCAS ist als infrastrukturlose Zug-zu-Zug-Kommunikation bei der Bayerischen Oberlandbahn also gut bekannt. Deren Entwickler, Dr. Thomas Strang und Dr. Andreas Lehner, Wissenschaftler des DLR und Gründer von „Intelligence on Wheels" (IoW), waren dafür erst im Oktober vergangenen Jahres mit einem Innovationspreis ausgezeichnet worden. Basierend auf dem Forschungsprojekt RCAS hatten Strang und Lehner am Deutschen Zentrum für Luft- und Raumfahrt (DLR) für Kommunikation und Navigation in Oberpfaffenhofen das neuartige Kollisionsvermeidungssystem für Züge entwickelt, mit dem beispielsweise auch Reparaturfahrzeuge im Streckensystem ausgestattet werden könnten. Eine produktive Verwendung des Kollisionsergänzungssystems steht in Deutschland bislang allerdings in größerem Umfang aus.

Restfehlerwahrscheinlichkeit technologisch minimieren
Strang: „Für Flugzeuge (TCAS/ADS-B) und Schiffe (AIS) gibt es vergleichbare Safety Overlay Systeme. Für Autos wird es in naher Zukunft mit der Car2Car-Kommunikation ebenfalls eine Technologie geben, die eine ähnliche Funktionalität ohne Rückgriff auf terrestrische Infrastruktur ermöglicht. Lediglich im Bahnbereich setzte man bislang nahezu ausschließlich auf infrastruktur-abhängige Sicherheitssysteme. Diese haben als primäre Sicherungsebene auch oft ihre Berechtigung, schützen aber nicht vor allen möglichen Fehlerquellen. Das hier prämierte System adressiert daher die Restfehlerwahrscheinlichkeit in einem aus bahnbetrieblicher Sicht völlig neuartigen Safety Overlay Ansatz.“

Herzstücke des RCAS sind dessen Kommunikations- und Ortungskomponente, simple Funkeinheiten, die im Führerstand des Zugs eingebaut werden und unabhängig von jeglicher Bahninfrastruktur, Sicherheitssystemen, Anlagen und Kabeln entlang der Strecke funktionieren. Die Geräte in den Loks zeichnen während der Fahrt alle möglichen aktuellen Daten des Zuges auf, zum Beispiel die Fahrtrichtung, geplante Streckenführung, Position, Lademaßüberschreitungen, Geschwindigkeit und Bremsbedingungen. Über Funk stehen die RCAS-Einheiten mit anderen Einheiten in der Nähe ständig in Kontakt und gleichen diese Daten miteinander ab, bewerten sie, erstellen individuelle Schienenlagebilder und schlagen in Konfliktsituationen Lösungen vor. Nähern sich beispielsweise zwei Züge zu nah aneinander, werden die Zugführer durch heftigen Alarm zur sofortigen, rechtzeitigen Notbremsung aufgefordert. Gegebenenfalls greift das System selbst steuernd in das Bremsverhalten ein. Menschliche Blackouts und fatale Fehlaktionen lassen sich durch die Maschine maßgeblich korrigieren.

Ein nur auf einzelne Sicherheitslösungen ausgelegter Zugverkehr schließt weitere Kollisionen nicht aus, egal ob diese PZB oder irgendwann oder irgendwo ECTS heißen.

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!
 
Baustelle „Zukunft Bahn“
Mit riesigen Summen müsste die Bahn ihr Schienennetz stärken, reparieren, ausbauen, Herausgerissenes wieder aufbauen und mit neuer Sicherheit flankieren, besonders wenn immer schneller gefahren und abgefertigt werden soll. Mitte Dezember 2015 stellte DB-Konzernchef Rüdiger Grube ein „Konzernumbau“-Programm mit dem Titel „Zukunft Bahn“ vor, das angesichts der Herausforderungen vergleichsweise moderate 700 Millionen Euro an Investitionen in mehreren Zeitkorridoren beinhaltet, 400 Millionen Euro davon durch die Bahn. Die „neue Generation Signaltechnik“ ECTS, die gemeinsam mit neuen Stellwerken („NeuPro“ – deren Finanzierung soll ab 2017 mit einer neuen Bundesregierung verhandelt werden) durch größere Effizienz Milliarden einsparen soll, aber zunächst eigentlich Milliardeninvestitionen erfordert, steht dabei im letzten Zeitkorridor, „ab 2021ff“. Sicherheit rangiert im DB-Plan nicht im Zentrum der Zukunft mit ECTS, sondern mehr die lukrative Kundenbindung.

Dieses European Train Control System (ETCS; deutsch: Europäisches Zugsicherungs- und Zugbeeinflussungssystem) ist eine Komponente eines einheitlichen europäischen Eisenbahnverkehrsleitsystems namens ERMS. Ursprünglich war es nur für die Interoperabilität von Hochgeschwindigkeitszügen gedacht.

Langfristig soll es die über 20 verschiedenen Zugbeeinflussungssysteme in der EU ablösen beziehungsweise im Sinne eines Bestandschutzes bestimmter, teurer nationaler Sicherheitssysteme ergänzen. Anforderungen an die Schnittstellen, Funktionen und Leistungsfähigkeit, die nach sogenannten Leveln abgestuft werden, sind verbindlich für die Ausrüstung der Züge, damit sie auf den transeuropäischen Netzen ohne Einschränkungen oder lange Grenzaufenthalte verkehren können. Parallel ist die Streckenausrüstung unter nationaler Aufsicht so zu gestalten, dass ein sicherer Betrieb mit entsprechend ausgestatteten Zügen gewährleistet werden kann. Für den höchsten Level III des mittlerweile globalen Standards ETCS sind europaweite, sichere, funktionierende und tragfähige Konzepte schwer zu finden, was eine zügige Umsetzung erschwert. Viele Hersteller mühen sich mit ECTS ab. Ein Erfolgssprenkel: Die Siemens-Lösung für ETCS namens Trainguard® übernimmt wie RCAS nach Vorwarnungen an den Lokomotivführer eigenständig das Abbremsen bei Kollisionsgefahr und in Kurven, wenn der Mensch bei Gefahr versagt.

(Weichende) Signale stehen auf ECTS
Der Umbau ist gewaltig. Siehe DB. Seit Mitte August 2015 hatte ein Team von 40 Managern ressortübergreifend an den Plänen „Zukunft Bahn“ gearbeitet, nachdem der Vorstandschef im Juni angekündigt hatte, das Unternehmen umkrempeln zu wollen. Ein Ergebnis: „Der ETCS-Ausbau ist die Basis für autonomes Fahren auf der Schiene und bereitet den nächsten Technologieschub im Zugverkehr vor. Vor dem Hintergrund des langfristigen Umsetzungshorizonts und der Größenordnung der notwendigen Investitionen ist diese Maßnahme noch nicht Bestandteil der aktuellen Mittelfristplanung.“ Bis auf die Weichen könnte mit ECTS fast alles wegfallen: Keine Signale mehr, keine Gleisfreimeldetechnik, möglicherweise auch keine Balisen, Signal- und Kilometertafeln mehr.

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Erfahrungen im Projekt LOCOPROL zeigen allerdings, dass im Bahnhofsbereich auf Balisen vorerst nicht verzichtet werden kann. Das LOCOPROL (Low Cost satellite based train location system for signalling and train Protection for Low density traffic railway lines) war ein Projekt zur Untersuchung der Einbeziehung von Satellitennavigation im Eisenbahnverkehr von Europa mit dem Ziel des Einsatzes auf Strecken mit geringer Zugdichte. Es sollte das zukünftige europaweit einheitliche Management und die Steuerung des Eisenbahnverkehrs auf den Strecken der Transeuropäischen Netze, namens ERTMS, ergänzen. Das ERMS ist klassischerweise zusätzlich zum ETCS mit seinen zug- und streckenseitigen Elementen, die Züge aus belegten Streckenabschnitten heraushalten sollen, mit GSM-R ausgestattet. Dabei handelt es sich um ein Mobilfunksystem für die Sprach- und Datenkommunikation zwischen den Fahrzeugen, mobilen Endgeräten und ortsfesten Einrichtungen, insbesondere für unter ETCS definierten Datenfunk zwischen Leitstellen und Zügen. GSM-R unterscheidet sich von herkömmlichen Mobilfunknetzen durch einige eisenbahnspezifische Erweiterungen, die überwiegend die Sicherheit betreffen.

Die Vereinheitlichung der Sicherungssysteme in Europa über ECTS mit all ihren verschiedenen Ausformungen und mehr oder weniger praktizierbaren Leveln ist ein Jahrhundertwerk. Wo Sparzwänge an Zeit und Geld, sowie ein Absprachen- und divergierender Interessen-Marathon in ein einheitliches Gleis gebracht werden sollen, muss sich die alltägliche Sicherheit im Wartebereich auf Zerbrechlichkeit einstellen, obwohl einfache Ergänzungssicherungen als Kombi-Lösung technologisch machbar wären.

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Eine kleine Funkeinheit für jede Lok.
 
Eines ist sicher: Auf den Strecken der Bayerischen Oberlandbahn sind deutlich weniger Meridian-Züge zwischen München, Rosenheim, Salzburg und Kufstein unterwegs, als Fahrzeuge und andere Verkehrsteilnehmer im autonomen Straßenverkehr, den mancher gerne schon 2020 starten lassen würde: Natürlich ausgestattet mit intelligenter Kollisionsvermeidungs-Kommunikationstechnik.

Car-to-X-Systeme ohne Infrastruktur am Fahrbahnrand
Miteinander sprechen, zwischen verschiedenen Fahrzeugen, kann so einfach sein. Siehe die Ergebnisse einer Ende 2015 im Auftrag des Bundeswirtschaftsministeriums veröffentlichten Fraunhofer-Studie zum hochautomatisierten Fahren auf Autobahnen. Ihr zufolge böten sogenannte „Car-to-X-Systeme“ die Möglichkeit, "in verschiedenen Verkehrsszenarien die Qualität des automatisierten Fahrzeugverhaltens zu steigern".

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Kritisch sehen die Forscher eine Kommunikation der Fahrzeuge mit einer Infrastruktur am Fahrbahnrand. Ein Aufbau einer solchen Car2Infrastructure-Technik „kann auf Basis des heutigen Wissensstandes unter Kosten-Nutzen-Kalkülen nicht verlässlich empfohlen werden",

Ein selbst fahrendes Auto ist jedoch höchstens so gut wie der Mensch, der es programmiert hat. Die Forscher warnen daher: „Es muss die Frage beantwortet werden können, ob der Fall eintreten kann, dass ein automatisiertes Fahrzeug auch mit einer nicht getesteten Situation konfrontiert werden könnte, und ob es diese Situation dann mindestens so gut lösen kann wie ein menschlicher Fahrer". Daher stelle die Software „einerseits die bedeutendste Entwicklungsleistung und zugleich die größte Herausforderung für die Realisierung des hochautomatisierten Fahrens dar".

Absolute Sicherheit gibt es auch mit IT nicht

Immer komplexer werdende Embedded-Systeme in der Automobilindustrie, aber auch in Luft- und Raumfahrt, Medizintechnik und Industrie-Automatisierung, verlangen von Hard- und Software beispielsweise, dass eine Maschine ohne Verzögerung stoppen kann, wenn Probleme auftreten – obwohl vielerlei unterschiedliche Betriebssysteme und Prozessorarchitekturen im Einsatz sind.

Professor Marc Erich Latoschik vom Lehrstuhl für Mensch-Computer-Interaktion an der Universität Würzburg auf die Frage, ob – mit Blick auf den Absturz des Airbus 320 im März 2015 in den Alpen - sichergestellt werden kann, dass Pilot oder Computer sofort regulierend eingreifen, wenn der andere Steuerungspart Gefahren nicht umgeht bzw. verursacht:

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Forschung in der Flugsicherung
Zurück zur Einfachheit. Seit den 1950er-Jahren wird an TCAS geforscht, die Piloten deutliche Hinweise zur Kollisionsvermeidung geben, sich aber nicht aktiv in den Autopiloten einspeisen. Seit den 1980er-Jahren werden sie eingesetzt. Für den Luftverkehr sind in Europa seit 2005 für Flugzeuge ab 19 Sitzen oder 5700 kg Gewicht TCAS II Pflicht. Für kleine Flugzeuge und Spareinsätze in der allgemeinen Luftfahrt gibt es portable Einheiten, wie kleine Navis, die sich jedoch aufs Lauschen auf Transponder anderer Flugzeuge und Radarsysteme verlassen.

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Beim Zusammenstoß von Überlingen widersprachen sich 2002 die Anweisungen eines Fluglotsen und des TCAS‘ einer der zwei beteiligten Flugzeuge in ihren Anweisungen. Hätten sich die Maschinen alleine abgestimmt, wäre die Kollision vermieden worden.

Geforscht wird weiter an seitlichen Ausweichempfehlungen aufgrund des Sicherheitslagebildes, das neuentwickelte Transponder zeichnen. Außerdem an einer technisch möglichen, aber teuren Darstellung der Verkehrs- und Ausweichempfehlungen auf den Radarschirmen der Lotsen.

Im März 2015 versetzte vermutlich der Co-Pilot des Fluges U4952 den Airbus 320 in Sinkflug, der deshalb in den Alpen abstürzte - ohne dass von einer Bodenkontrolle Gegenmaßnahmen ergriffen werden konnten. Eine derartige Fernsteuerung, wie bei Roboter-Drohnen, ist u. a. wegen potenzieller Hackerangriffe umstritten. „Aicas“-Mitbegründer Dr. James J. Hunt: „Natürlich muss man die Flugsysteme so entwerfen, dass Manipulationen der Flugsteuerung durch Piloten ausgeschlossen sind und Fernsteuerung möglich ist. Java bietet die Schnittstellen, um sichere Kommunikation außerhalb der Flugzeuge zu programmieren. Ein Beispiel dafür ist GateLink in der Boeing 787: Das gewährleistet einen sicheren Datenaustausch zwischen Flugzeug und Flughafensystemen und ist mit JamaicaVM programmiert.
Aber Echzeit-Java bietet nicht nur sichere Kommunikation und Datenverwaltung mit einem starken Thread-Model. Die Sprache ist so definiert, dass man formale Methoden einsetzen kann, um Fehler zu vermeiden.“

Kombination von Sicherheitssystemen auch als Schutz gegen Hacker
Zurück zur Bahn. Eine Kombination des RCAS mit ECTS hält Strang „auf jeden Fall“ für sinnvoll. Der Erfinder zur Sinnhaftigkeit einer solchen Kombination auch mit Blick auf potenzielle Hacker-Attacken: „Das ist mal eine sehr selten, aber berechtigt gestellte Frage. Gerne kann ich bestätigen, dass wir hier auch ein ganz besonderes Augenmerk darauf gelegt haben, verschiedenen Angriffsmethoden präventiv entgegen zu wirken.“

Kernstück der Mensch-Maschine-Schnittstelle auf dem Triebfahrzeug ist das so genannte ETCS-DMI (Driver Machine Interface), ein Führerstandsdisplay im zentralen Blickfeld des Triebfahrzeugführers. Das DMI gliedert sich in sechs Felder: Die überwachte Entfernungsinformation bei laufender Bremskurve, Geschwindigkeitsinformationen, zusätzliche Informationen, Planung vorausschauender Ereignisse, Überwachung technischer Systeme und Triebfahrzeugführer-Eingaben. Auch hier wird viel kontrolliert.

(..) TEXT AN DIESER STELLE GEKÜRZT, LIEGT KOMPLETT VOR!

Ein Hoffnungsschimmer für Pendler, die sich täglich vor und nach der Arbeit müde der Bahn anvertrauen: Fibre Optic Sensing (FOS) erweitert mittels der Analyse von Lichtwellenleitung die Möglichkeiten der Prävention bei betrieblichen und infrastrukturellen Einschränkungen signifikant. Dem Projekt „Zukunft Bahn“ der DB zufolge, das mit Investitionen von 700 Millionen Euro „Mängel konsequent abgestellt“ sehen will, soll zumindest FOS bis 2019 Netz weit ausgerollt werden. „Über die nächsten Jahre (Zeithorizont II – bis 2020, Anm. d. Red.) soll die Anwendung von FOS dann auf alle detektierbaren Elemente ausgedehnt werden, u.a. Tunnelüberwachungen, Sicherung von Gleisbaustellen und Gleisfreimeldungen.“

KOMPLETTER TEXT UND BILDAUSWAHL SIND SOFORT LIEFERBAR !!

TEXT: Annegret Handel-Kempf
FOTOS: Bildagentur Zoonar