Deine Bahn - Bahn Fachverlag
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Deine Bahn Fachzeitschrift von DB Training, Learning & Consulting
und des Verbandes Deutscher Eisenbahnfachschulen
März 2018
46. Jahrgang
8,50 Euro
Safety, Security und der
Faktor Mensch
L ES E
PROBE
te
Alle Rech
n
vorbehalte
Spannungsverhältnis von IT- und Betriebssicherheit
Das Ersatzsignal im deutschen Bahnbetrieb
Verfahren für den Gleiswechselbetrieb
Team Safety der DB Netz AG
www.system-bahn.net D 7226
DB-Fachbuch
N Aufl
3.
EU age
Jetzt
bestellen!
Anita Hausmann/Dirk H. Enders
DB-Fachbuch
Grundlagen des Bahnbetriebs
3. überarbeitete und erweiterte Auflage, 08/2017
384 Seiten, Softcover, 17 x 24 cm, EUR 53,90
ISBN: 978-3-943214-16-1
Das Fachbuch „Grundlagen des Bahnbetriebs“ ist ein etabliertes Standardwerk in der Aus- und Weiterbildung und dient
erfahrenen Fach- und Führungskräften als umfassendes Nachschlagewerk. Es stellt die technischen Systemkomponen-
ten des Bahnbetriebs vor und erläutert die unterschiedlichen Aufgabenbereiche. Dabei gehen die Autoren insbesondere
auf die Vorbereitung und Durchführung von Zugfahrten sowie das Rangieren ein. Darüber hinaus vermitteln sie dem
Leser die unterschiedlichen Betriebsverfahren sowie das Vorgehen bei der Planung und Realisierung einzelner Betriebs-
abläufe. Abgerundet wird der Inhalt durch die Erläuterung technischer Systeme und rechtlicher Rahmenbedingungen.
Die 3., überarbeitete und erweiterte Auflage ist an die Neuherausgabe der Fahrdienstvorschrift (Richtlinie 408) ange-
passt und wird durch das neue Kapitel Notfallmanagement ergänzt. Zahlreiche neue Grafiken und Fotos aus der Praxis
erleichtern das Verständnis der komplexen Zusammenhänge.
Bestellungen unter www.bahn-fachverlag.de/shop
„
Editorial
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Liebe Leserinnen, liebe Leser,
mit der Digitalisierung ist das Thema IT-Security In der Bahnbranche
in der Bahnbranche in den Fokus der Aufmerk-
samkeit geraten. So stuft das IT-Sicherheitsgesetz rückt das Thema
die transeuropäischen Schienenverkehrsnetze IT-Security in
(TEN-V) und auch die großen Nahverkehrsbe-
triebe als „kritische Infrastrukturen“ mit wichtiger den Fokus der
Bedeutung für das staatliche Gemeinwesen ein.
Aufmerksamkeit
Damit sind die Betreiber dieser Infrastrukturen
qua Gesetz verpflichtet, ihre IT auf dem Stand der
Technik zu halten und entsprechend abzusichern.
In unserem Leitartikel befasst sich Prof. Lesen Sie außerdem: Das Team Safety der
Jörg Braband mit der Wechselwirkung von DB Netz unterstützt das betriebliche Sicherheits-
Safety, der betrieblichen Sicherheit, und und Risikomanagement, die ODEG spricht sich
IT-Security. Seine These: Die Digitalisierung für eine Weiterentwicklung der Triebfahrzeugfüh-
der Schiene kann nur dann gelingen, wenn in den rerscheinverordnung aus, und die Vertreter der
Unternehmen eine Kultur der Sicherheit etabliert Güterbahnen haben auf den Rail Safety Days
wird, die Safety und Security gleichermaßen über gemeinsame Sicherheitsstandards in der
berücksichtigt. Schienenlogistik beraten.
Diskussionsstoff bieten auch die Artikel zum Viele Anregungen und Erkenntnisse beim Lesen
Thema Betriebssicherheit in der vorliegenden wünscht
Ausgabe: Prof. Jörn Pachl von der TU Braun-
Ihr
schweig setzt sich in seinem Beitrag kritisch mit
der Rolle des Ersatzsignals auseinander. Und
Dr. Ulrich Maschek von der TU Dresden beschreibt
in seinem Beitrag die Verfahren für das Fahren
auf dem Gegengleis, die bei Bauarbeiten am
Schienennetz im laufenden Betrieb angewendet Martin Nowosad
werden. Chefredakteur
Deine Bahn 3/2018 3
Inhalt
L ES E
PROBE
e
Alle Recht
n
vorbehalte
6
Kritische Infra-
strukturen werden
durch digitale
Technologie
immer komplexer
– und potenziell
angreifbarer
Foto: DB AG/Claudia Münchow
Bahn aktuell 60 Dekarbonisierung des Verkehrs:
Wie die Mobilitätswende gelingen kann
6 Spannungsfeld Safety und Security:
gestern, heute, morgen Der Verkehr spielt eine Schlüsselrolle bei der Umsetzung
des Pariser Klimaabkommens. Für eine wirksame Redu
Die Digitalisierung des Bahnsystems kann nur gelingen,
zierung der Treibhausgase ist ein integrierter Politikansatz
wenn tragfähige Kompromisse für das Spannungsver
nötig.
hältnis von Safety und Security gefunden werden.
Von Oliver Lah
Von Dr. Jens Braband
Systemverbund Bahn Transport & Logistik
42 Gemeinsame Sicherheitsstandards
49 Einkauf – Erfolgsfaktor für Europas moderns
in der Schienenlogistik
te Radsatzinstandhaltungswerkstätten
Die Rail Safety Days bieten ein Forum für Chemie
Die DB Fahrzeuginstandhaltung und der Konzerneinkauf
unternehmen, Logistiker und Behörden, die sich für
zeigen anhand eines Projektes zur Radsatzaufarbeitung,
gemeinsame Sicherheitsstandards im Güterverkehr auf
wie Großprojekte erfolgreich gestemmt werden können.
der Schiene einsetzen.
Von Looy Omran und Alexander Hundenborn
Von Christian Steinbacher
54 Sicher drüber: Neustart der Kampagne
56 DB Cargo Skandinavien im Portrait
nach 15 Jahren
In Dänemark arbeiten zwei Gesellschaften der DB Cargo
Die Präventionskampagne „Sicher drüber“ informiert seit
zusammen, um den Kunden effiziente Transportlösungen
2002 über das richtige Verhalten an Bahnübergängen.
im Rahmen des europäischen Logistiknetzwerks zu
Fachinformation Bahn Fachverlag garantieren.
Von Marcel Jelitto
4 Deine Bahn 3/2018
Inhalt
L ES E
PROBE
e
Alle Recht
n
vorbehalte
28
Ein Team von
Spezialisten bei
Foto: DB Bahnbau Gruppe
der Bahnbau
Gruppe integriert
den Arbeitsschutz
in den laufenden
Betrieb
54
Unfälle an Bahn
Foto: DB AG/Michael Neuhaus
übergängen
können durch
Prävention
verhindert
werden
Infrastruktur 32 Team Safety: Sicherheit ist
nicht selbstverständlich
12 Das Ersatzsignal –
ein deutscher Sonderweg? Das neu gegründete Team Safety unterstützt den Betrieb
der DB Netz dabei, europäische Vorgaben umzusetzen
Der Einsatz des Ersatzsignals zur Erlaubnis der Vorbei
und Risiken im betrieblichen Regelwerk zu beherrschen.
fahrt am Halt zeigenden oder gestörten Hauptsignal
birgt das Risiko von Fehlhandlungen. Ein Vorschlag für Von Robert Kühnlenz
eine zeitgemäße Lösung der Störfallbehandlung nach
Schweizer Vorbild.
Von Prof. Dr.-Ing. Jörn Pachl Ausbildung, Prüfung & Beruf
38 Vergleich mit VDV-Schrift 753 und Weiter-
20 Bewertungsmodell zur Auswahl des Verfah- entwicklung der Rechtsverordnungen
rens für das Fahren auf dem Gegengleis Die bisherigen Erfahrungen mit der Führerschein- und
Zur Einrichtung einer zeitweisen Eingleisigkeit für das der Prüfungsverordnung für Triebfahrzeugführer zeigen
„Bauen unter rollendem Rad“ stehen mehrere Verfahren aus Sicht der ODEG, dass es Verbesserungspotenzial
zur Verfügung, deren Sicherheit mit einem Bewertungs gibt.
modell ermittelt werden kann. Von Jörg Kiehn
Von Dr.-Ing. Ulrich Maschek und Odine Küchenmeister
28 Arbeitsschutz bei der DB Bahnbau Gruppe
Damit der Arbeits- und Gesundheitsschutz im laufenden 4 In Kürze
Geschäft reibungslos umgesetzt werden kann,
setzt die DB Bahnbau Gruppe auf ein zertifiziertes 64 Vorschau, Impressum
Qualitätsmanagement. Unser Titelbild
Von Silvio Fenske
Triebwagen von DB Regio neben einem ICE der BR 411
am Nürnberger Hauptbahnhof
Foto: DB AG/Pablo Castagnola
Deine Bahn 3/2018 5
In Kürze
L ES E
PROBE
e
Alle Recht
n
vorbehalte
„Digitale Schiene“ und NeuPro: DB will Schienennetz digital aufrüsten
Die Deutsche Bahn will die Kapazität Klimaziele und die Verkehrsverlagerung sollen erneuerungsbedürftige Stellwerke
des Schienennetzes deutlich steigern von der Straße. Die Bahn verspricht sich älterer Generationen durch DSTW ersetzt
und hat dazu das Programm „Digitale vom Programm „Digitale Schiene“ bis zu werden. Der Netzbeirat der DB Netz AG
Schiene Deutschland“ aufgelegt. Kern 20 Prozent mehr Zugverkehr. befürwortet NeuPro als einen Beitrag
des Programms ist der flächendeckende zur weitergehenden Automatisierung
Rollout des europäischen Zugsicherungs Bei der DB Netz AG läuft die Umrüstung des Schienenverkehrs mit erheblichen
systems ETCS in Verbindung mit der der Stellwerkstechnologie unter dem Kosten- und Effizienzvorteilen. In einer
Einführung digitaler Stellwerke (DSTW). Projektnamen „NeuPro“ (Neue Produkti Ende Januar veröffentlichten Erklärung
Dazu hat die Bundesregierung eine Mach onsmethoden). Zwischen 2023 und 2030 begrüßte das Gremium auch den relativ
barkeitsstudie in Auftrag gegeben, die kurzen Einführungszeitraum, denn so
Zeitrahmen, Kosten und wirtschaftlichen könnten die unvermeidlichen Reibungs
ETCS-Kompo-
Nutzen des Programms ermitteln soll. verluste des Nebeneinanders von alter
nente auf der
Neubaustrecke
und neuer Technologie minimiert werden.
„Wir werden einen noch nie dagewe Erfurt–Ebensfeld Einen weiteren Vorteil von NeuPro sieht
senen Entwicklungsschub verwirkli der Netzbeirat darin, dass damit die
chen: mehr Züge, zudem pünktlicher Einführung von ETCS forciert wird, da
und noch umweltfreundlicher“, sagte die digitale Stellwerkstechnologie nur in
DB-Infrastrukturvorstand Ronald Pofalla Kombination mit einer strecken- und fahr
auf dem Symposium Wettbewerb und zeugseitigen ETCS-Ausrüstung sinnvoll
Regulierung Ende Januar in Berlin. Zwar sei. Für die bis zum Beginn der Stell
Foto: DB AG/Hannes Frank
seien mit der Realisierung des Vorhabens werksumrüstung notwendige Ausstattung
erhebliche Anschubkosten und gemein aller im deutschen Netz verkehrenden
same Anstrengungen von Politik, Bahn Schienenfahrzeuge mit den entspre
und Industrie verbunden, so Pofalla. chenden ETCS-Komponenten fordert der
Allerdings rechne sich die Modernisierung Beirat eine Finanzierungslösung, da die
des Netzes sowohl für den Wirtschafts Marktteilnehmer diese Kosten nicht aus
standort als auch mit Blick auf die eigener Kraft stemmen könnten. n
Verkehrsverbände: Unterstützung für Koalitionsvertrag,
Skepsis bei Gratis-ÖPNV
Die verkehrspolitischen Zielsetzungen enthaltene Beschlüsse wie die Umset Skeptisch äußerten sich VDV und
des Anfang Februar von Union und zung des Masterplans Schienengüterver Allianz pro Schiene gegenüber
SPD ausgehandelten Koalitionsver kehr, die Förderung der Elektromobilität dem Vorstoß der noch amtierenden
trages sind auf Zustimmung in der und die Beschleunigung von Bau- und Bundesregierung, einen kostenlosen
Bahn- und ÖPNV-Branche gestoßen. Planungsverfahren. ÖPNV, zunächst in ausgewählten
Von einem „starken Signal für die Modellstädten, einzuführen. Damit will
Verkehrswende“ sprach der Verband Positiv, wenn auch weniger euphorisch, Deutschland einer drohenden Klage
Deutscher Verkehrsunternehmen auf blickt das Verkehrsbündnis Allianz pro der EU aufgrund der Überschreitung
seiner Jahrespressekonferenz in Berlin. Schiene auf das Ergebnis der Koalitions von Grenzwerten für Luftschadstoffe
Eine Stärkung von Öffentlichem Perso verhandlungen. Der Koalitionsvertrag sei zuvorkommen. Zwar sei unbestritten,
nenverkehr und Schienengüterverkehr ein Schritt nach vorn und verkehrspolitisch dass der ÖPVN eine Schlüsselrolle bei
sei wie in roter Faden in dem Papier deutlich konkreter als seine Vorgänger, der Luftreinhaltung spiele, so VDV-
erkennbar, so VDV-Präsident Jürgen sagte Geschäftsführer Dirk Flege in Präsident Fenske. Für den mit einem
Fenske. Insgesamt fänden sich viele Berlin. Der in den vor der Bundestags Gratisangebot verbundenen sprung
langjährige Forderungen des VDV wahl veröffentlichten Kernforderungen haften Anstieg der Fahrgastzahlen
darin wieder. Bemerkenswert sei unter der Bahnbranche enthaltene Dreiklang habe der ÖPNV allerdings derzeit
anderem die geplante Verdreifachung aus der Senkung der Trassenpreise, der nicht die nötigen Kapazitäten. Auch die
der Mittel nach dem Gemeindeverkehrs Förderung von Innovationen und der Allianz pro Schiene spricht sich dafür
finanzierungsgesetz (GFVG) bis zum Einführung eines Deutschlandtaktes habe aus, zunächst das ÖPNV-Angebot in
Jahr 2021, sagte Fenske. Insbesondere bei den Koalitionären offenbar Gehör Deutschland massiv auszubauen, um
solche konkreten Finanzierungszu gefunden, so Flege. Wenn der zukünf eine wirkliche Umstiegsoption von der
sagen seien wichtig, damit die Branche tige Verkehrsminister die Beschlüsse Straße auf die Schiene zu schaffen.
in den kommenden Jahren Marktanteile tatsächlich umsetze, sei zwar noch keine Eine kurzfristig wirksame Maßnahme
hinzugewinnen könne. Positiv sieht Verkehrswende eingeläutet, aber die sei die Halbierung der Trassenpreise
der VDV aber auch weitere im Vertrag Schiene erhalte deutlichen Rückenwind. auch im Personenverkehr. n
6 Deine Bahn 3/2018
In Kürze
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Netzbeirat fordert Änderungen beim Vegetationsmanagement
Der Netzbeirat der DB Netz AG hat Bund Schienennetz. Bereits seit 2007 schneidet
und Bahn dazu aufgefordert, die Vegeta die Bahn präventiv sämtliche Vegetation
tionskontrolle entlang der Schienenwege im Abstand von 6 Metern zu beiden
zu verbessern, um die Verfügbarkeit der Seiten der Gleise auf bodennahes
Infrastruktur bei extremen Wetterlagen Niveau zurück.
zu erhöhen. Erforderlich seien nicht nur
punktuelle oder auf Teilnetze beschränkte Ein wirksames Vegetations
Maßnahmen, sondern ein durchgängiges management sei nicht allein
und nachhaltiges Vorgehen, erklärte der Sache des Infrastruktur
Netzbeirat in einer Stellungnahme vom betreibers, betont der
29. Januar. „Mittel- und langfristiges Netzbeirat in seiner
Ziel muss es sein, seitlich der Bahnstre Erklärung. So müsse
cken die Vegetation auf eine Höhe zu die Bundesregierung
begrenzen, die höchstens dem Abstand die Schienenwege Rückschnitt mit
zum Gleis entspricht“, heißt es darin. den Bundesfern Luftunterstützung
straßen gleich bei Hann. Münden:
Der sogenannte „V-Schnitt“ soll sicher stellen, um das Ein Helikopter
stellen, dass Äste oder ganze Bäume Entfernen von Vege entfernt einen
tation und anderen gefällten Baum
bei Unwettern nicht auf die Gleise fallen.
Dazu werden Baumkronen über die Hindernissen auch
baumfreie 6-Meter-Rückschnittzone auf angrenzenden
hinaus gestutzt, so dass ihre Höhe in Grundstücken zu
einer „Stabilisierungszone“ stufenmäßig ermöglichen, die sich
ansteigt. Näher am Gleis wachsende nicht im Bundesbesitz
Büsche und Sträucher sollen dahin befinden. Änderungen
terstehende höhere Bäume auffangen im Naturschutzgesetz
(siehe Abbildung unten). Bisher wird das sollen für eine problemlose
Verfahren nur an besonders gefährdeten Anwendung des V-Schnitts
Stellen angewendet. entlang der Bahnstrecken
sorgen und das Fällen von
Die Deutsche Bahn hatte im Januar ihren Bäumen erleichtern. Ein zuver
„Aktionsplan Vegetation“ vorgestellt. Er lässiger Bahnbetrieb müsse Priorität Foto
: DB A
beinhaltet unter anderem eine „Durch haben, so das Gremium. Der Netzbeirat G/Oliver Lang
forstung“ der Baumbestände entlang der berät die DB Netz AG in allen Fragen
Strecken, wobei besonders sturmanfällige des Erhalts und der Entwicklung des
Gewächse komplett entfernt werden. Schienennetzes. Ihm gehören Vertreter
Ausgeweitet werden die regelmäßigen von Verkehrsunternehmen und Aufga
Inspektionen durch Förster und Fahrweg benträgern an. Jahres und zuletzt der Orkan „Friederike“
pfleger, die durch digitale Katalogisierung im Januar zu zahlreichen Zugausfällen
ergänzt werden soll, sowie das 2016 Das Vegetationsmanagement der DB geführt hatten, weil entwurzelte oder
begonnene Hot-Spot-Programm zum war in die Kritik geraten, nachdem die abgeknickte Bäume auf Gleise und
V-Schnitt an neuralgischen Punkten im schweren Herbststürme des vergangenen Oberleitungen gestürzt waren. Experten
und Vertreter von Branchenverbänden
kritisierten daraufhin, die Bahn vernach
lässige den Beschnitt im Umfeld der
Gleise. Die Rückschnittzone müsse von 6
auf 10 Meter ausgeweitet werden, fordert
der Ehrenvorsitzende des Fahrgastver
bandes Pro Bahn, Karl-Peter Naumann.
Zudem seien viele Bäume in Gleisnähe
inzwischen zu hoch, um ohne besondere
Genehmigung gefällt werden zu dürfen,
sagte Naumann. Das sei eine Spätfolge
aus der Ära der Bahnprivatisierung, in
der die Vegetationskontrolle aus Kosten
Quelle: DB AG
gründen stark zurückgefahren worden sei.
Die DB verweist auf rechtliche Hürden
Das Prinzip des „V-Schnitts“ für und Vorgaben des Natur- und Umwelt
Vegetation im Umfeld der Gleise schutzes. n
Deine Bahn 3/2018 7
Bahn aktuell
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Sicherheit
Spannungsfeld Safety und
Security: gestern, heute,
morgen
Foto: DB AG/Claudia Münchow
DIANA-Sensoren zur
Weichendiagnose im
Stellwerk Gernsheim: Bei
kritischen Infrastrukturen
können sich die Sicher-
heit von IT-Systemen
und die Sicherheit des
Betriebes gegenseitig
beeinflussen
8 Deine Bahn 3/2018
Bahn aktuell
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Dr. Jens Braband, Siemens AG, Mobility Devision, Mobility Management und Honorarprofessor
der Technischen Universität Braunschweig, Institut für Eisenbahnwesen und Verkehrssicherung
Dieser Artikel beleuchtet die Wechselwirkungen zwischen Safety und Security sowohl aus
technischer als auch historischer Hinsicht anhand von Beispielen aus kritischen Infrastrukturen.
Um die Sachverhalte begreifbarer zu machen, wird an dieser Stelle auf das Stilmittel des Story-
telling zurückgegriffen. Für vertiefte technische Betrachtungen sei auf andere Artikel verwiesen,
die bereits in Deine Bahn erschienen sind (siehe Quellen am Ende des Artikels).
Es fängt schon bei der Sprache und den Definitionen an: Umgebu
Im Deutschen haben wir nur das eine Wort „Sicherheit“ ü t zt e ng
ch
für beides, das wir dann zum Beispiel mit Adjektiven es
oder zu langen Wortkombinationen mit Bindestrich
-g
ng
hu
i ty
ergänzen. Der Einfachheit halber verwendet dieser ro
ed
ur
Verwundbarkeit B
Artikel die englischen Begriffe. Die Differenzierung g
Sec
erfolgt über beobachtbare Eigenschaften, die den h un
dro
Unterschied intuitiv näher bringen:
Betriebs- Be
umgebung Notwendige
■■ Bei Safety wird in der Regel der Mensch (oder Funktionen,
die Umwelt) vor Fehlern oder Ausfällen eines zum Beispiel
Systems geschützt, bei Security das System vor Safety,
Einwirkungen des Menschen Verfügbarkeit
■■ Safety beschäftigt sich mit unbeabsichtigten Security-
Umgebung für
Ereignissen (beziehungsweise deren Ursachen
Safety-
oder Konsequenzen), Security mit beabsich Quelle:
Jens Braband Funktionen
tigten Ereignissen (mutwillig oder böswillig
herbeigeführt)
In diesem Sinn muss eine geeignete Security-Umge und Security sind in der Regel systematische Fehler
bung die Safety-Funktionen schützen, damit diese die Ursachen für die meisten Probleme, bei Safety
Mensch und Umwelt schützen können. Probleme führt dies dazu, dass die Schutzfunktion nicht erbracht
können entstehen, wenn der Security-Schutz nicht wird, bei Security dazu, dass der Schutz vor äußeren
ausreicht oder wenn die Security-Maßnahmen die Einwirkungen Schwächen enthält, die ein Angreifer
Safety-Funktionen beeinträchtigen. Sowohl bei Safety ausnutzen kann.
Deine Bahn 3/2018 9
Bahn aktuell
L ES E
PROBE
e
Alle Recht
n
vorbehalte
In diesem Artikel wird unter „System“ in der Regel ein die Crew wegen der verschlossenen Cockpit-Tür
technisches System verstanden (gegebenenfalls mit nicht beziehungsweise erst zu spät eingreifen konnte:
Bediener) und „Safety“ wird als Betriebssicherheit Die Security beeinträchtigte die Safety.
beziehungsweise funktionale Sicherheit verstanden.
Unter „Security“ wird bei einem technischen System Danach wurden die Cockpit-Türen umgerüstet und
hier vorwiegend die IT-Sicherheit verstanden (gege erhielten in der Regel ein elektronisches Schloss, bei
benenfalls inklusive physischer Effekte). dem eine Öffnung von außen mit einer PIN angefordert
werden kann. Dies kann aber vom Piloten für einen
definierten Zeitraum pro Anforderung, zum Beispiel
Ein Beispiel fünf Minuten, übersteuert werden. Scheinbar ein guter
Kompromiss zwischen Safety und Security – bis zu
Um das grundsätzliche Spannungsfeld zu beleuchten, Germanwings-Flug 9525, bei dem am 24. März 2015
betrachten wir die Cockpit-Tür in einem zivilen ein Pilot in Selbstmordabsicht die Maschine zum
Verkehrsflugzeug als System. Dabei handelte es Absturz gebracht haben soll.
sich historisch um ein physisches System, das aber
seit längerem durch elektronische Komponenten Problematisch war, dass sich ein einzelner Pilot im
erweitert wurde. Cockpit einschließen konnte. Daraufhin wurde bei
den meisten Fluggesellschaften die Regel eingeführt,
Vor den Terroranschlägen des 11. September 2001 dass immer mindestens zwei Personen im Cockpit sein
war die Cockpit-Tür in der Regel unverschlossen müssen, das heißt, ein weiteres Besatzungsmitglied
und es war bei Passagieren beliebt, bei längeren muss einen Piloten ersetzen, wenn er das Cockpit
Flügen mal ins Cockpit schauen zu dürfen. Hier verlässt. Ob dies auf Dauer zielführend ist, wird sich
war der Schwerpunkt Safety und Security, von zeigen. Zusammengefasst zeigt dieses Beispiel die
Ausnahmefällen abgesehen, eher untergeordnet. komplexen Wechselwirkungen zwischen Safety und
Dies änderte sich danach abrupt und die Cockpit- Security, bei denen es unter Umständen nicht möglich
Tür musste von innen verschlossen werden. Security ist, alle Anforderungen vollständig umzusetzen. Ziel
bekam also die Oberhand und Safety schien dadurch muss sein, unter Berücksichtigung von Safety und
gesichert, dass immer zwei Piloten im Cockpit Security eine optimierte Gesamtlösung zu finden, die
waren. Dann endete Helios-Airways-Flug 522 am das Gesamtrisiko minimiert.
14. August 2005 mit einem Totalverlust. Die Ursache
bestand unter anderem darin, dass in Folge eines
Druckabfalls beide Piloten bewusstlos wurden und Safety und Security gestern
Im Dezember 2017 wurde ein weiterer Teil der Schnell
fahrstrecke Nürnberg–Erfurt auf Basis der Spezifi
Cockpit-Tür eines
kationen nach dem European Train Control System
zivilen Verkehrs-
flugzeugs
(ETCS) in Betrieb genommen, für die die Grundlagen
in den Bereichen Safety und Security bereits Mitte der
1990er-Jahre abgestimmt wurden.[1] Deswegen lohnt
sich ein Blick in den Rückspiegel.
Wenn wir in die frühen 1990-er Jahre zurückkehren
könnten, was würde uns technologisch auffallen?
Die GSM-Netze D1 und D2 sind gerade in Betrieb
gegangen, die Handys haben deutlich erkennbare
Antennen. Windows 3.1 ist das aktuelle PC-Betriebs
Foto: Thilo Parg/Wikimedia Commons, Lizenz: CC BY-SA 4.0
system. Computerviren sind zwar seit 1986 bekannt,
betreffen aber vor allem DOS. Michelangelo ist das
erste Virus, das durch die Medien der breiten Öffent
lichkeit bekannt wird. 1992 wird der erste kommerzielle
Internet-Provider in Deutschland gegründet. 1993 wird
der erste Webbrowser namens Mosaic veröffentlicht.
In Deutschland gibt es etwa 15 Webserver und bei
der Deutschen Bundesbahn (!) wurden gerade die
ersten Serien-ESTW (elektronische Stellwerke) in
Betrieb genommen, viele davon entlang der 1991
fertiggestellten Neubaustrecke Hannover–Würzburg.
Das Bundesamt für Sicherheit in der Informati
onstechnik war 1991 gegründet worden und das
Eisenbahn-Bundesamt (EBA) ging 1994 aus dem
Bundesbahn-Zentralamt (BZA) hervor.
10 Deine Bahn 3/2018Bahn aktuell
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Schon damals war es notwendig, im Sicherheitsnachweis Diese Beobachtungen lassen sich verallgemeinern,
nach den Technischen Grundsätzen für die Zulassung denn überall, wo maßgebliche Änderungen vorge
von Sicherungsanlagen des EBA (Mü8004) den Betrieb nommen wurden, wurden zusätzliche Security-Betrach
unter externen Einflüssen zu betrachten. Dazu gehörte tungen durchgeführt, denn auch die Norm EN 50129
auch unberechtigter Zutritt beziehungsweise Zugriff. als Nachfolger der Mü8004 auf europäischer Ebene hat
Zugegebenermaßen lag der Fokus auf physischem das Prinzip des Sicherheitsnachweises übernommen.
Zugriff und der Nachweis erfolgte weitgehend regel
basiert, nicht risikobasiert. Nur wenn das System grund
legend verändert wurde, wurden Risikobetrachtungen Safety und Security heute
notwendig, um neue Regeln zu schaffen. Die wesentliche
Änderung der Linienzugbeeinflussung (LZB) zu ETCS In den letzten Jahren hat sich die Lage komplett
war die Einführung der Funkzugbeeinflussung, deren geändert. Ging es früher um einzelne Änderungen
Auswirkungen auf Safety und Security sehr ausführlich beziehungsweise Einführung einzelner neuer Tech
untersucht wurde. Hier sollen nur einige grundsätzliche nologien, wie zum Beispiel GSM, so werden in den
Aspekte dargestellt werden. letzten Jahren immer mehr neue Technologien, zum
Teil gleichzeitig, eingeführt, deren Security- und
Mit dem Mobilfunkstandard GSM-R wurde ein kommer Safety-Auswirkungen analysiert werden müssen. Dabei
zielles Funksystem eingeführt, auf das unberechtigter besteht insbesondere in jüngster Zeit das Problem,
Zugriff nicht ausgeschlossen werden kann. Also dass Systeme gehackt werden und dabei grundsätz
war von Anfang an klar, dass die Datenübertragung liche Security-Annahmen in Frage gestellt werden.
kryptographisch gesichert werden muss. Die Frage,
wo die Sicherung und Prüfung erfolgen sollte, wurde Im Bereich der Rechnertechnik geht der Trend immer
intensiv diskutiert. Aus Security-Sicht bot GSM-R mehr zu kommerziellen Betriebssystemen und zur
Verschlüsselungsmechanismen an. Aber aus Safety- Miniaturisierung beziehungsweise Virtualisierung, das
Sicht stellte sich die Frage, wie diese Funktionalität im heißt, es sollen – strikt voneinander getrennt – mehrere
Betrieb geprüft werden kann. Außerdem war fraglich, ob Prozesse auf einem Rechner ausgeführt werden, zum
eine Sicherung nur im Kommunikationsnetzwerk ausrei Beispiel Safety- und Nicht-Safety-Anwendungen.
chen würde. Schließlich setzte sich Safety mit einer Die Trennung wird von spezieller Software (SW),
eigenen Ende-zu-Ende-Sicherung vom Radio Block häufig Hypervisor genannt, sichergestellt, oft auch
Center (RBC) zum Fahrzeuggerät durch. Zum Glück, vom Betriebssystem selbst. Durch die im Juli 2017
kann man im Nachhinein sagen, denn schon ab 2000 entdeckten, aber erst dieses Jahr veröffentlichten
galten wesentliche Varianten des Verschlüsselungs Sicherheitslücken Meltdown beziehungsweise Spectre
algorithmus A5 des GSM als nicht mehr hinreichend wird aber genau dieser unautorisierte Zugriff auf fremde
sicher und spätestens seit dem Bekanntwerden des Speicherbereiche ermöglicht, und zwar praktisch auf
SS7-Hack 2014 ist die Security des gesamten GSM bis allen modernen Prozessoren. Dies mag zunächst wie
hin zum modernsten Mobilfunkstandard UMTS fraglich. ein reines Security-Problem aussehen, da Speicherbe
reiche nur ausgelesen, aber nicht manipuliert werden
Aber auch früher gab es schon Konflikte zwischen können. Allerdings könnten im kompromittierten
Security und Safety. Damals dauerte die Prüfung Speicher Passwörter stehen, die wiederum Zugriff auf
eines kryptographischen Codes relativ lange, je nach Safety-Prozesse erlauben. Da hier aber eine direkte
Rechner bis zu mehreren Sekunden. Dies erschien für SW-Ausführung auf den Zielsystemen stattfinden muss,
Nothaltanforderungen aus Safety-Sicht inakzeptabel, ist das Safety-Problem eher gering: Bei Rechnern, auf
so dass auf eine kryptographische Sicherung solcher denen Safety-Prozesse laufen, werden in der Regel
Nachrichten verzichtet wurde. Dies bedeutet aus auch die anderen Prozesse bei der Zulassung geprüft
Security-Sicht, dass jeder, der Zugriff auf das Kommu und ein Nachladen von Schad-SW dadurch erschwert.
nikationsnetz hat, Nothalte einspielen könnte, was aber
aus Safety-Sicht nur betriebseinschränkend wirkt. In der Kommunikationstechnik sind nach GSM weitere
Systeme, wie zum Beispiel WLAN (IEEE 802.11),
Aus heutiger Sicht sind die kryptographischen gebrochen worden. Der KRACK-Hack zeigte 2017,
Sicherheitsmechanismen zwar vernünftig entwickelt dass es möglich ist, WPA2-Schlüssel zu kompromit
worden, aber eben gegen die Anforderungen von tieren. Bemerkenswert ist hier, dass das Handshake-
vor 25 Jahren. Zum Beispiel wird der verwendete Protokoll zum Aushandeln der Schlüssel sogar als
3DES-Algorithmus heute für neue Systeme nicht mehr mathematisch korrekt bewiesen wurde. Der Beweis
empfohlen, genauso wie die effektive Schlüssellänge ist zwar richtig, aber die Hacker haben sich einfach
von 112 Bit. Das heißt, anders als bei der Safety üblich, nicht an die Annahmen des Beweises gehalten. Dieser
haben die Security-Anforderungen eine begrenzte Hack kann auch Safety-Auswirkungen haben, wenn
Lebensdauer und müssen regelmäßig überprüft und man sich alleine auf die Security des WLAN verlässt.
angepasst werden. Dies bedeutet, dass für ETCS aus
Security-Sicht in etwa 10 bis 20 Jahren ein Re-Design Auch für Satelliten-Navigationssysteme wie GPS sind
der Sicherungsverfahren notwendig wird, während dies Angriffe bekannt. Zum Beispiel können durch Spoofing
aus Safety-Sicht nicht notwendig wäre. (Täuschungsmethode in Computernetzwerken zur
Deine Bahn 3/2018 11Bahn aktuell
L ES E
PROBE
e
Alle Recht
n
vorbehalte
WLAN-Nach
rüstung in ICE
der Deutschen
Bahn: Der
Einbruch in
gesicherte
Foto: DB AG/Martin Moritz
Systeme der
Kommunikations
technik (Security-
Problem) kann
Konsequenzen
für die Safety
haben
Vortäuschung einer anderen Identität) formal gültige, in Fernwartungssystemen von Industrieanlagen, zum
aber falsche Positionsdaten erzeugt und im GPS- Beispiel Wasserwerken, aber auch Verkehrssystemen
Format übertragen werden. Dadurch ist es bereits wie Baustellen-Ampelanlagen, gefunden, mit denen die
gelungen, Schiffe oder Drohnen vom Kurs abzubringen. Anlagen hätten manipuliert werden können. Das BSI
Nur für militärische Anwendungen werden die Daten schätzt derzeit kritische Infrastrukturen als „lohnendes
verschlüsselt übertragen. Für GPS gibt es für zivile Ziel“[2] ein, insbesondere für politisch oder kriminell
Anwendungen wenige Lösungen, außer eventuell motivierte Angreifer.
speziell gerichtete Antennen. Dies bedeutet, dass es
erhebliche Safety-Probleme mit sich bringen kann, Der grundsätzliche Erkenntnisgewinn aus diesen und
wenn man sich alleine auf GPS stützt. Die kommer vielen anderen Fallbeispielen besteht darin, dass sich
ziellen Dienste von Galileo sollen allerdings eine im Gegensatz zur Safety bei der Security die Lage
Authentifizierung der Signale ermöglichen. ganz kurzfristig ändern kann, obwohl man sich in der
Regel an Standards und Best Practices gehalten hat.
Und zu guter Letzt muss natürlich noch WannaCry Dies liegt einerseits an der Komplexität und Vielzahl
erwähnt werden, eine Ransomware, die einen Fehler der Schnittstellen und Systeme, die niemals fehlerfrei
in einem Microsoft-Protokoll ausnutzte, der Geheim sind, und andererseits an dem Einfallsreichtum, man
diensten schon seit Jahren bekannt war. Zwar gab darf fast sagen der Genialität, der Angreifer, die zum
es für dieses Problem bereits seit März 2017 einen Beispiel bei KRACK oder Meltdown/Spectre bisher
Patch (Nachbesserung von Software), aber trotzdem nicht für möglich gehaltene Wege gefunden haben.
wurden im Mai 2017 noch über 230.000 Rechner Dies bedeutet aus Safety-Sicht, dass man sich zwar
weltweit infiziert, darunter auch Fahrgastinformations- auf die gute Arbeit der Security-Kollegen verlassen
und Leitsysteme bei der Deutschen Bahn (DB). Das darf und sollte, aber jederzeit damit rechnen muss,
Problem bestand darin, dass die Systeme entweder dass zumindest ein Security-Mechanismus (teilweise)
nicht rechtzeitig aktualisiert wurden oder dass für ältere umgangen werden kann. Man ist also gut beraten,
Betriebssysteme keine Patches mehr bereitgestellt dem Defense-in-depth-Prinzip zu folgen und sich nicht
wurden. Dies war zwar kein Safety-Problem, aber aus alleine auf die Wirksamkeit einer einzelnen Maßnahme
Security-Sicht bestand eine erhebliche Beeinträchti zu verlassen. Dies entspricht vom Ansatz her dem
gung der Verfügbarkeit. Safety-Prinzip, dass der erste Ausfall ungefährlich
sein muss. In beiden Fällen muss man allerdings
Schließlich kann man sich noch fragen, ob aus solchen die Verwundbarkeit (Security) beziehungsweise den
Security-Problemen heute überhaupt schon Safety- Ausfall (Safety) so früh wie möglich erkennen, um das
Probleme entstanden sind. Zumindest für Bahnsysteme Problem dann in einer gewissen Zeit entweder zu
sind bis heute keine Fälle veröffentlicht worden. Man patchen (Security) beziehungsweise zumindest den
kann den Fokus aber etwas erweitern auf industrielle sicheren Zustand einzunehmen (Safety).
Steuerungssysteme in kritischen Infrastrukturen, die
am ehesten mit Bahnsystemen vergleichbar sind.
Safety und Security morgen
Das Bundesamt für Sicherheit in der Informati
onstechnik (BSI) hat schon 2016 berichtet, dass Schon Mark Twain wusste, dass „Prognosen eine
nach einem Cyber-Angriff ein deutsches Stahlwerk schwierige Sache [sind], vor allem, wenn sie die Zukunft
abgeschaltet werden musste, bevor es zu Schäden betreffen“. Damit hat er sicherlich Recht, aber ein paar
kommen konnte. Schwachstellen wurden außerdem Trends sind unübersehbar.
12 Deine Bahn 3/2018Bahn aktuell
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Zunächst werden immer komplexere Systeme auch lange eine Rolle und wird auch im Sicherheitsnachweis
in der Eisenbahn genutzt werden, ob das nun betrachtet, zumindest die Rückwirkungsfreiheit. Bisher
Fibre Optical Sensing, Künstliche Intelligenz oder wurde Security vor allem bei größeren Änderungen
Cloud-Dienste sein mögen, und sie werden auch für an bestehenden Systemen ausführlich betrachtet,
Anwendungen genutzt werden, die für Safety relevant insbesondere bei neuen Kommunikationstechnologien.
sind. Dazu gehört auch die Kommunikation über Diese Betrachtungen müssen zukünftig erweitert
IP-Technologien, die wesentlicher Bestandteil des werden und sollten auf Grundlage internationaler
neuen sogenannten digitalen Stellwerks der DB sind. Standards wie IEC 62443 erfolgen.
Dies stellt enorme Anforderungen an das System Engi Die in Zukunft im Zuge der Digitalisierung auch bei
neering, das auch ein umfassendes Security Enginee der Eisenbahn eingesetzten Systeme werden immer
ring beziehungsweise Management nach anerkannten leistungsfähiger und komplexer. Dadurch entstehen
Standards wie zum Beispiel IEC 62443 umfassen muss. weitere Herausforderungen für das Spannungsfeld
Außerdem werden kritische Security-Komponenten Security und Safety, das bereits heute besteht, und für
oder Dienste von qualifizierten Prüfstellen zertifiziert das manchmal keine optimalen Lösungen gefunden
werden müssen, sei es von unabhängigen Organisa werden können, aber tragbare Kompromisse. In Zukunft
tionen innerhalb oder außerhalb von Betreibern oder ist neben den technischen Lösungen besonderes
Herstellern. Augenmerk auf das Monitoring, das Patching sowie
die Ausbildung beziehungsweise Erhaltung einer
Trotz aller Anstrengungen muss man mit plötzlich Sicherheitskultur zu legen. Ganz klar ist allerdings,
aufgedeckten Schwachstellen rechnen und Notfall- dass Digitalisierung ohne Safety und Security scheitern
Teams (CERT) einrichten, die schnell und kompetent wird. n
handeln. Hier kommt insbesondere dem Erkennen von
Schwachstellen oder Anomalien (dem Monitoring) eine
besondere Bedeutung zu, genauso wie den Prozessen
des raschen SW-Updates.
Abkürzungen
Eine ganz besondere Rolle werden dabei die Mitar BS Bundesamt für Sicherheit in der Informationstechnik
beiter spielen, denn bei vielen gezielten Angriffen, CERT Computer Emergency Response Team
den sogenannten Advanced Persistent Threats, ist es DES Data Encryption Standard
notwendig, zunächst einmal Zugriff zu einem System DOS Disk Operating System
zu erlangen (physisch und logisch) und dazu braucht ESTW Elektronisches Stellwerk
man Zugriffsrechte. Das kann zum Beispiel durch das
ETCS European Train Control System
Brechen schwacher Passwörter erfolgen, aber auch
GSM Global System for Mobile Communication
durch gezieltes Ausspähen und Installation von Malware
GPS Global Positioning System
(Phishing). Hier bedarf es eines besonderen Bewusst
seins der Mitarbeiter sowie einer geeigneten Unterneh IEC International Electrotechnical Commission
menskultur, ja einer speziellen Security-Kultur als Teil IEEE Institute of Electrical and Electronics Engineers
der Sicherheitskultur[3], damit die Mitarbeiter einerseits IT Informationstechnik
den Security-Regeln folgen, andererseits aber auch bei KRACK Key Reinstallation Attack
Abweichungen und Anomalien ein gesundes Misstrauen LZB Linien-Zugbeeinflussung
besitzen (im Sinne von Gefahrenbewusstsein). PIN Persönliche Identifikationsnummer
SS7 Signalling System 7
In diesem Sinn passt hier ein Zitat des französischen UMTS Universal Mobile Telecommunication System
Schriftstellers Victor Hugo: „Für Schwache ist [die WLAN Wireless Local Area Network
Zukunft] das Unerreichbare, für die Furchtsamen das WPA2 Wi-Fi Protected Access 2
Unbekannte, für die Mutigen die Chance.“ Auch für das
System Bahn sollten die Chancen der Digitalisierung
mutig genutzt werden, allerdings nicht ohne eine
sorgsame und umsichtige, vielleicht sogar furchtsame
Analyse des heute noch Unbekannten, das heißt mit Quellen
angemessenem Respekt vor den Risiken, mit dem wir [1]
Braband, J.: EURORADIO: Verläßliche Übertragung
in der Security in Zukunft konfrontiert werden. Gelingt sicherheitsrelevanter Zugbeeinflussungsdaten über offene
dies nicht, so wird die Vision der Digitalisierung von Netzwerke. In: H. H. Brüggemann und W. Gerhardt-Häckl
(Hrsg.): Verläßliche IT-Systeme VIS‘95, Vieweg, Braunschweig,
kritischen Infrastrukturen unerreichbar bleiben. 1995, 297–306.
[2] Bundesamt für Sicherheit in der Informationstechnik: Die Lage
der IT-Sicherheit in Deutschland 2017.
Zusammenfassung [3] Braband, J.: Sicherheitskultur – Schlüsselrolle für die Sicherheit
des Systems Bahn, Deine Bahn, 11/2011, 12–17.
In der Eisenbahnsignaltechnik spielt Security, insbe [4] Bock, H., Braband, J.: Safety Integrity und Security Level – zwei
sondere hinsichtlich des Einflusses auf Safety, schon Seiten derselben Münze?, Deine Bahn, 6/2014
Deine Bahn 3/2018 13Infrastruktur
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Störfallbehandlung
Das Ersatzsignal –
Foto: DB AG/Volker Emersleben
ein deutscher Sonderweg?
Prof. Dr.-Ing. Jörn Pachl, Institut für Eisenbahnwesen und Verkehrssicherung,
Technische Universität Braunschweig
Mit dem im deutschen Bahnbetrieb traditionell verwendeten Ersatzsignal, das den
Befehl zur Vorbeifahrt am Halt zeigenden oder gestörten Hauptsignal ersetzt, wird
dem Fahrdienstleiter ein Mittel in die Hand gegeben, im Störungsfall eine Zugfahrt
unter Umgehung sämtlicher technischer Sicherungsfunktionen zuzulassen. Da
die Kriterien der Fahrweg- und Zugfolgesicherung in Personalverantwortung
durch den Fahrdienstleiter festzustellen sind, können kleine Fehler bei der korrekten Beurteilung
der Betriebssituation fatale Folgen haben. Der Beitrag hinterfragt kritisch die Rolle des Ersatzsignals
und beschreibt nach dem Vorbild der Schweiz eine zeitgemäße Lösung für die Gestaltung sicherer
Rückfallebenen unter den Bedingungen einer zunehmend durch Zentralisierung, Automatisierung
und Digitalisierung geprägten Betriebssteuerung.
14 Deine Bahn 3/2018Infrastruktur
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Abbildung 1:
Beispiele für
Quelle: TU Braunschweig
Signalbilder
ausländischer
Bahnen zur
Zulassung einer
Zugfahrt mit
Auftrag zum
Fahren auf Sicht
Der Titel dieses Beitrages ist als rhetorische Frage Das Ersatzsignal im
formuliert, die gleich am Beginn beantwortet werden
soll. Ja, im internationalen Kontext gesehen ist ein internationalen Kontext
den deutschen Regeln entsprechendes Ersatzsignal,
das heißt, ein unter Umgehung sämtlicher technischer Zusatzsignale, mit denen der Fahrdienstleiter die
Sicherungsfunktionen anschaltbares Signal, das die Vorbeifahrt am Halt zeigenden oder gestörten
Vorbeifahrt am Halt zeigenden oder gestörten Haupt Hauptsignal zulassen kann, sind zunächst nichts
signal zulässt, ohne anschließend auf Sicht fahren Ungewöhnliches. Solche Signale gibt es bei fast allen
zu müssen, tatsächlich ein Sonderweg. Gleiches gilt Bahnen der Welt. Abbildung 1 zeigt ein paar Beispiele
für die Bedeutung des schriftlichen Befehls, den das für dabei im Ausland verwendete Signalbilder. Aller
Ersatzsignal ersetzt. Eine der wenigen bekannten dings ist allen diesen Signalen gemeinsam, dass im
Anwendungen im Ausland findet sich unter gleicher folgenden Gleisabschnitt auf Sicht zu fahren ist. Die
Bezeichnung in Österreich, was aufgrund der histo Signalbedeutung entspricht damit etwa dem deutschen
rischen Entwicklung auch nicht verwundert. Dieser Vorsichtsignal. Auch ist dieses Signal bei einigen
Beitrag untersucht die Frage, wieso sich im deutschen Bahnen, zum Beispiel in den Niederlanden oder bei
Bahnbetrieb diese vom internationalen Standard nordamerikanischen Bahnen, nur bei verschlossener
abweichende Lösung bis heute behauptet und ob es Fahrstraße bedienbar. Da damit die Fahrwegsiche
zeitgemäße Alternativen gibt. Der Inhalt basiert auf dem rung nicht umgangen werden kann und die fehlende
Auszug eines Vortrages, der vom Autor am 20. Oktober Freiprüfung des Fahrwegs durch das Fahren auf Sicht
2017 auf dem Eisenbahnbetriebsleiter-Symposium des kompensiert wird, ist dieses Signal bei diesen Bahnen
VDEF in Speyer gehalten wurde.[1] sogar ohne zählpflichtige Bedienung anschaltbar. Die
Deine Bahn 3/2018 15Infrastruktur
L ES E
PROBE
e
Alle Recht
n
vorbehalte
meisten Bahnen sehen für die Zulassung einer Zugfahrt wurde. Obwohl laut Regelwerk das Freisein des
mit besonderem Auftrag jedoch eine Protokollpflicht Abschnitts durch den Fahrdienstleiter festzustellen
vor, was bei der Bedienung dieser Signale dann ähnlich ist, beweisen mindestens drei Unfälle, dass es eine
wie in Deutschland durch Zählpflicht oder Lösen von Unsicherheit hinsichtlich der korrekten Durchführung
Siegeln realisiert wird.
dieser Feststellungen gibt.“[2]
Bemerkenswert ist das bei den Bahnen der OSShD
verwendete weiße Blinklicht. Zur OSShD (ältere deut Dass international für die Funktion des Ersatzsignals
sche Transkription der russischen Abkürzung ОСЖД) kein Bedarf gesehen wird, sieht man auch daran,
gehören die Bahnen der osteuropäischen Länder, dass im European Train Control System (ETCS) mit
der ehemaligen Sowjetunion, der Mongolei, Chinas, anzeigegeführtem Betrieb ein dem Ersatzsignal
Vietnams und Nordkoreas. Dieses Signalbild ist damit entsprechender Auftrag nicht existiert. Während
in einem sehr großen Teil der Welt verbreitet. Die ein solcher Auftrag bei der Linienzugbeeinflussung
Deutsche Reichsbahn der DDR hatte es als OSShD- (LZB) in Form des LZB-Ersatzauftrages vorhanden
Mitglied ebenfalls übernommen, allerdings in der ist, gibt es im ETCS im anzeigegeführten Betrieb
abweichenden Bedeutung als Ersatzsignal. Dazu ist nur die Betriebsart OS (on sight), die eine Analogie
jedoch anzumerken, dass bei der Deutschen Reichs zum Vorsichtsignal beziehungsweise dem LZB-
bahn auf Strecken mit selbsttätigem Streckenblock Vorsichtauftrag darstellt.
wegen der Anwendung des permissiven Fahrens
Ausfahrsignale und Blocksignale an Abzweigstellen
mit dem roten Mastschild ausgerüstet waren, an dem Historische Begründung
auch das Ersatzsignal das Fahren auf Sicht erforderte.
An diesen Signalen hatte das Ersatzsignal damit die des Ersatzsignals
Funktion des heutigen Vorsichtsignals. Nach der
Wiedervereinigung setzte sich das weiße Blinklicht Das Ersatzsignal geht auf einen Betriebsversuch in
auf Strecken mit Ks-Signalen dann auch im Bereich der zweiten Hälfte der 1920er Jahre auf Strecken der
der ehemaligen Deutschen Bundesbahn durch. Auch Berliner S-Bahn mit einem damals noch als Ad-Signal
das österreichische Ersatzsignal verwendet dieses bezeichneten Signal zurück.[3] Abbildung 2 zeigt
Signalbild. Andererseits haben einige ausländische eine frühe Anwendung auf der Vorortstrecke nach
Bahnen, die sich historisch stark am deutschen Vorbild Potsdam, auf der im Unterschied zur Stadtbahn zu
orientierten, zum Beispiel die Bahnen in Thailand und dieser Zeit noch keine Sv-Signale zum Einsatz kamen.
der Türkei, aus Deutschland das traditionelle Signalbild Die Bezeichnung Ad-Signal rührte daher, dass dieses
des Ersatzsignals mit drei weißen Lichtern in Form eines Signal den zur Vorbeifahrt an einem Halt zeigenden
„A“ übernommen, sie verwenden dieses Signalbild Signal erforderlichen schriftlichen Befehl A, Abschnitt
jedoch im Sinne eines Vorsichtsignals, das heißt, als d, ersetzte. Mit der Neuherausgabe der Fahrdienst
Auftrag zum Fahren auf Sicht. vorschriften im Jahre 1933 wurde die Struktur der
Befehlsvordrucke geändert. Die Funktion des Befehls
Dass das deutsche Ersatzsignal in weiten Teilen Ad ging auf den Befehl Ab über, der unter dieser
der Welt keine Entsprechung hat, ist für deutsche Bezeichnung noch die Jahrtausendwende überlebte
Betriebsfachleute oft erstaunlich, ähnlich verwundert und erst im Jahre 2003 durch den heutigen Befehl 2
zeigen sich jedoch ausländische Fachleute, wenn sie abgelöst wurde.
vom deutschen Ersatzsignal erfahren. Verwundert ist
man im Ausland vor allem über die Tatsache, dass Anlass der Einführung des Ad-Signals war, dass unter
die deutsche Sicherungstechnik einerseits über sehr den Bedingungen der durch die mit selbsttätigem
ausgefeilte und wohlbegründete Sicherungsfunktionen Strecken block ermöglichten dichten Zugfolgen auf
verfügt, dann aber dem Fahrdienstleiter mit dem S-Bahn-Strecken die zeitraubende Übermittlung
Ersatzsignal ein erstaunlich einfaches Mittel in die schriftlicher Befehle problematisch wurde. Dies betraf
Hand gegeben wird, mit einer zählpflichtigen Bedie allerdings nur die Einfahrsignale. An Ausfahrsignalen
nung sämtliche technischen Sicherungsfunktionen in wurden Befehle durch die Bahnsteigaufsichten über
Personalverantwortung zu umgehen. mittelt, wobei durch die verbreitete Anwendung der
M-Tafel auf die schriftliche Ausfertigung weitgehend
Das folgende Zitat stammt aus einem Beitrag, der in verzichtet werden konnte. An Einfahrsignalen waren
der britischen Zeitschrift IRSE News, dem Organ der Signalfernsprecher noch nicht überall vorhanden, es
Institution of Railway Signal Engineers (IRSE) erschien wurde auch kritisch gesehen, dass das Zugpersonal
und in dem sich der Autor mit mehreren Unfällen zur Entgegennahme eines Befehls den Zug verlassen
i auseinander setzt, bei denen eine der beteiligten musste. Das Ad-Signal sollte die Aufsicht davon entla
Zitat rechts: Zugfahrten durch Ersatzsignal zugelassen wurde: sten, sich zur Befehlsübermittlung zum Einfahrsignal
Übersetzung begeben zu müssen. Konsequenterweise wurden
des Autors „Es ist fraglich, ob es sicher ist, einen Zug auf Zs 1 daher die Ad-Signale anfangs im Auftrag des Fahr
aus dem abfahren und mit 100 km/h weiterfahren zu lassen, dienstleiters durch die Aufsicht bedient, die dabei das
Englischen
wenn das Zs 1 wegen einer Signalstörung gezeigt Bahnsteiggleis durch Hinsehen auf Freisein prüfte.
16 Deine Bahn 3/2018Infrastruktur
L ES E
PROBE
e
Alle Recht
n
vorbehalte
Im Jahre 1931 ließ die Hauptverwaltung der Deutschen
Reichsbahn-Gesellschaft (DRG) die versuchsweise
Anwendung des inzwischen als Ersatzsignal bezeich
neten Signals in größerem Umfang zu (Verfügung
DRG, Hv, 80 Sss 85 vom 19. August 1931).[4] Die
Anwendung blieb jedoch umstritten. Kritisch gesehen
wurde insbesondere die Anwendung an Ausfahr- und
Blocksignalen, das heißt, zur Zulassung von Zugfahrten
in einen Zugfolgeabschnitt. So heißt es in einem Aufsatz
von 1933[5]: „Das Ersatzsignal soll nur dort angewendet
werden, wo ein dringendes Bedürfnis dafür vorliegt.
Seine Verwendung für Ausfahrsignale kommt zunächst
nicht in Frage.“
Eine versuchsweise Anwendung an Blocksignalen
wurde im Jahre 1934 wieder untersagt und nur noch in
Ausnahmefällen gestattet (Verfügung DRG, Hv, 80 Sss
263 vom 3. Dezember 1934). Mit der Neuherausgabe
des Signalbuchs im Jahre 1935 wurde das Ersatzsignal
offiziell ins Regelwerk aufgenommen, 1936 folgte die
Herausgabe neuer Grundschaltungen. Die Verfügung
von 1934 blieb in Kraft, so dass sich die Anwendung
weitgehend auf Einfahrsignale beschränkte. Auch
konnte die Anschaltung noch unter Einbeziehung eines
Fahrstraßenhebelkontaktes vorgenommen werden, so
dass das Ersatzsignal nur bei gesichertem Fahrweg
anschaltbar war.
Das völlig frei ohne Abhängigkeiten zur Fahrwegsiche
rung anschaltbare Ersatzsignal wurde erst während
des Krieges durch eine Verfügung des Reichsver
kehrsministeriums, auf das 1937 nach Auflösung der
Foto: siehe Quelle [4]
DRG und Übernahme der Deutschen Reichsbahn in
die unmittelbare Reichsverwaltung die Funktion der
Hauptverwaltung übergegangen war, zur Regellösung
(Verfügung RVM 60. 606 Sss 554 vom 8. Juli 1943).
Darin heißt es: „Von der Eingliederung eines Fahrstra
ßenhebelkontaktes in den Stromlauf zur Anschaltung
Abbildung 2:
des Ersatzsignals ist grundsätzlich abzusehen.“ Ad-Signal als
Vorläufer des
Die Beschränkung der Anwendung des Ersatzsignals geltendes Regelwerk der Deutschen Bahn AG ist.[6] Die späteren Ersatz-
auf Einfahrsignale blieb allerdings weiter bestehen. Intention war die Beschleunigung der Betriebsführung, signals an einem
Dies änderte sich erst 1948 durch eine Verfügung um die wachsende Verkehrsnachfrage unter den Einfahrsignal des
der Hauptverwaltung der Eisenbahnen (HVE) im Bedingungen des Wiederaufbaus der Infrastruktur Bahnhofs York-
britischen und amerikanischen Besatzungsgebiet nach dem Kriege besser bewältigen zu können. straße in Berlin
(Verfügung HVE – 40.402 Sss 50 – vom 13. Oktober (um 1930)
1948). Darin heißt es: „Abgesehen von einigen Für die Deutsche Reichsbahn der DDR galten seit
Ausnahmefällen sind Ersatzsignale bisher nur an 1959 die „Grundsätze für die Ausgestaltung der
Einfahrsignalen verwendet worden. Da jedoch im Inte Sicherungsanlagen auf Hauptbahnen und den mit
resse einer Beschleunigung der Betriebsführung in mehr als 60 km/h befahrenen Nebenbahnen“, die für
gewissen Fällen das Bedürfnis für eine weitgehendere bestehende Anlagen im Bereich der ehemaligen Deut
Verwendung dieses Signals besteht, werden hiermit schen Reichsbahn ebenfalls noch immer geltendes
Ersatzsignale auch an allen übrigen Hauptsignalen Regelwerk der Deutschen Bahn AG sind.[7] Danach
mit Ausnahme an Deckungssignalen vor beweglichen blieb die Anwendung des Ersatzsignals auf Einfahr
Brücken zugelassen.“ signale und Ausfahrsignale an Gleisen beschränkt,
auf denen Durchfahrten zugelassen sind. Dahinter
Diese Verfügung wurde 1949 von der Deutschen stand offenbar auch die Intention einer Verbesserung
Bundesbahn übernommen und ist bis heute Bestandteil der Betriebsflüssigkeit, indem für durchfahrende Züge
der Sammlung Signaltechnischer Verfügungen (Richt Halte zur Befehlsübermittlung vermieden werden
linie 818 - SSV), die für bestehende Anlagen im Bereich sollten. In Gleisbildstellwerken waren Durchfahrten
der ehemaligen Deutschen Bundesbahn noch immer üblicherweise auf allen Hauptgleisen zugelassen, so
Deine Bahn 3/2018 17Infrastruktur
L ES E
PROBE
e
Alle Recht
n
vorbehalte
dass sich das Ersatzsignal in moderneren Anlagen an erfüllt sind. Können diese nicht erfüllt werden, hat die
allen Hauptsignalen durchsetzte. Fahrt mit Fahrt auf Sicht zu erfolgen.“
Die heute für Neuanlagen geltende Richtlinie 819 Das gilt für die erste Fahrt auch dann, wenn das
legt fest, dass Ersatzsignale nach den Vorgaben Hauptsignal auf Fahrt gestellt werden kann. In diesem
der betrieblichen Infrastrukturplanung vorzusehen Fall ist vor der Signalbedienung das Fahren auf Sicht
sind.[8] In der Praxis ist bei der Planung von elektro durch einen schriftlichen Befehl anzuordnen. Wenn
nischen Stellwerken (ESTW) keine einheitliche Linie kein Signal auf Fahrt gestellt werden kann, erfordert
zu erkennen. Während in einigen Regionen das das Hilfssignal ohnehin das Fahren auf Sicht.
Ersatzsignal in Neuanlagen nahezu ausstirbt und an
allen Signalen das Vorsichtsignal angewendet wird, Auch hierzu ein Zitat aus den FDV:
wird es in anderen Regionen noch in großer Zahl neu
eingebaut. „Wird das Hauptsignal mit einer Notbedienung auf
Fahrt gestellt, hat der Fahrdienstleiter der ersten
und sofern erforderlich weiteren Fahrten die Fahrt
Vergleich mit den Regeln der auf Sicht protokollpflichtig vor dem auf Fahrt stellen
Schweizer Bahnen des Hauptsignals mit dem Befehl Verminderung der
Geschwindigkeit vorzuschreiben.“
In betrieblichen Fragen wird als Vorbild oft auf die
Schweiz verwiesen, und das bietet sich auch bei Unter einer Notbedienung werden alle zählpflichtigen
diesem Thema an. In Abbildung 1 sind auch die beiden Hilfshandlungen verstanden. Darunter fallen sowohl
Varianten des Schweizer Hilfssignals aufgeführt, die Hilfsumgehungen als auch Grundstellungsbedie
ältere Version mit dem gelb leuchtenden schrägen nungen (zum Beispiel Achszählgrundstellung). Auch
Lichtstreifen und die neuere Version mit rotem Blink wenn dem Fahrdienstleiter anhand der Bedienanzeigen
licht. Beide sind in der Bedeutung gleichwertig und und gegebenenfalls zusätzlicher Meldungen oder
entsprechen dem deutschen Vorsichtsignal. örtlicher Feststellungen alle Informationen zum Frei
sein des zu befahrenden Gleisabschnitts vorliegen,
In Diskussionen mit deutschen Eisenbahnfachleuten dürfen diese Informationen für die erste Fahrt nicht
wird auf die Frage, weshalb der Schweizer Bahnbetrieb ausgewertet werden. Erst ab der zweiten Fahrt darf,
ohne ein Ersatzsignal auskommt, oft das Argument sofern alle Feststellungen getroffen werden können,
angeführt, dass in der Schweiz ein Ersatzsignal vom Fahren auf Sicht abgesehen werden.
entbehrlich sei, da in der Schweizer Stellwerkstechnik
die Störfallbehandlung viel stärker auf Hilfsum Diese Regel ist außerordentlich wichtig. Die Erfahrung
gehungen basiert. Hilfsumgehungen haben sich im vieler Unfälle in Deutschland in Zusammenhang mit
deutschen Bahnbetrieb erst in ESTW mit Fahrstra sicherungstechnischen Störungen zeigt, dass die
ßenprüfung und -überwachung (FPÜ) durchgesetzt, entscheidenden Fehler fast immer beim Übergang
allerdings nur in der Weise, dass die Fahrstraße vom Regelbetrieb in die Rückfallebene passieren. Beim
mittels Hilfsumgehung in den vollüberwachten Status Eintreten der Störung wird der Fahrdienstleiter mit einem
(FÜM Ruhelicht) gelangt, die Zugfahrt aber durch unerwarteten Ereignis konfrontiert und muss unter Zeit
besonderen Auftrag zugelassen werden muss. In druck und Stress eine sicherheitsrelevante Entschei
der Schweiz kommt in diesen Fällen das Hauptsignal dung treffen. Fehler beim Abklären der Betriebslage,
tatsächlich auf Fahrt. zum Beispiel Verwechseln von Zugnummern oder
fehlerhafte Identifizierung der Störung (mit geistigem
Hierzu ist aber auf einen entscheidenden Sachverhalt „Abgleiten“ in den falschen Störfallprozess) können
hinzuweisen, der aus deutscher Sicht oft übersehen unmittelbar zu Unfällen führen. Gerade das Abklären
wird. In der Schweiz muss nach Eintritt einer Störung der Betriebslage ist bei zentralisierter Betriebssteue
der erste Zug über den gestörten Abschnitt immer rung oft nicht einfach. Die Zugnummernmeldeanlage
beauftragt werden, auf Sicht zu fahren. darf zwar formal nicht ausgewertet werden, durch
Fehler der Zugnummernmeldung (zum Beispiel
Die Schweizerischen Fahrdienstvorschriften (FDV) Hängenbleiben, Verschwinden und Überschreiben von
legen dazu fest[9]: Zugnummern) kann der Fahrdienstleiter aber zu einem
falschen geistigen Abbild der Betriebslage gelangen.
i „Die erste Fahrt hat den gestörten Abschnitt mit Fahrt Dies kann beim Störungseintritt auch ohne bewusste
Die Schweize Auswertung der Zugnummernmeldeanlage zu einer
rischen auf Sicht zu befahren. Dabei ist die dem Regelbetrieb
Fehleinschätzung der Betriebslage führen.
Fahrdienst- entsprechende Fahrstrasse mit Fahrt auf Sicht zu
vorschriften befahren. Ab der zweiten Fahrt kann der gestörte
(FDV) legen
Wenn der erste Zug den gestörten Abschnitt befahren
Abschnitt mit der vorgeschriebenen Höchstgeschwin- hat und die Rückfallebene korrekt etabliert wurde, fallen
fest:
digkeit befahren werden, sofern die entsprechenden diese Fehlerquellen weg. Es sind zwar anschließend
Bedingungen für die Aufhebung der Fahrt auf Sicht die für die Rückfallebene festgelegten Handlungen in
18 Deine Bahn 3/2018Sie können auch lesen
