Case Notes · Bahnbetrieb
Fünf offene Türen
Die Isolierung behob den Fehler nicht. Die Sicherung war trotzdem weg.
Ein Regionalzug in Nordwestengland kann im Bahnhof Styal die Bremsen nicht lösen. Auf Anweisung der Leitstelle isoliert der Triebfahrzeugführer zwei Sicherheitssysteme, darunter die Türverriegelung. Der Fehler bleibt, die Sicherung ist weg. Nach 25 Minuten am Bahnsteig fährt der Zug mit fünf offenen Türen ab, der Zugbegleiter steht noch auf dem Bahnsteig. Niemand wurde verletzt. Diese Case Note folgt dem Untersuchungsbericht, zeigt drei andere Verläufe und fragt, woran man die Schwachstellen bemerken kann.
Was geschah, Schritt für Schritt
Die Zeichnung ist eine vereinfachte eigene Draufsicht, keine Rekonstruktion des Zugs: ein dreiteiliger Triebzug am Bahnsteig, darüber Leitstelle, Fahrdienstleiter und die Bedienelemente im vorderen Führerstand. Zeiten und Abläufe stammen aus dem Bericht. Drei Szenarien zeigen, wie es an einzelnen Stellen anders hätte laufen können.
- Leitstelle des Betreibers (Instandhaltung und diensthabende Leitung)
- Fahrdienstleiter
- Isolierschalter EBS (Bremskreis) und TIS (Traktionssperre), senkrecht in Grundstellung
- Leuchte „Sicherheitssysteme isoliert“
- Anzeige der Türverriegelung am Führerpult
- Vorderer Führerstand
- Hinterer Führerstand
- Türen auf der Bahnsteigseite
- Triebfahrzeugführer
- Zugbegleiter
Was geschah
-
Ein Fehler ohne Befund
Am 24. April 2023 ließen sich an diesem Zug nach dem Türschließen die Bremsen nicht lösen, dann behob sich der Fehler von selbst. Das Depot fand ihn nicht, trug „kein Fehler gefunden“ ein und gab den Zug wieder frei. Am 3. Mai tritt er in Alderley Edge erneut auf und verschwindet nach knapp zwölf Minuten wieder.
-
Halt in Styal
Der Zug erreicht Styal um 15:01 Uhr mit 18 Minuten Verspätung. Der Zugbegleiter fertigt ihn von der Türsteuerung im mittleren Wagen ab und gibt das Fertigsignal. Der Triebfahrzeugführer bestätigt, aber die Bremsen lösen sich nicht.
-
Fehlersuche am Telefon
Der Zugbegleiter erreicht die Instandhaltungsleitstelle um 15:09 Uhr über sein Diensthandy und geht wegen des schlechten Empfangs auf den Bahnsteig. Der Triebfahrzeugführer meldet die Störung über Zugfunk dem Fahrdienstleiter und darf sie am Bahnsteig untersuchen. Die Leitstelle klärt nicht, in welchem Führerstand der Fehler auftritt. Bei der Fehlersuche werden die Türen wieder freigegeben.
-
Zwei Isolierschalter
Nach dem Ablaufdiagramm der Leitstelle betätigt der Triebfahrzeugführer den Isolierschalter EBS, ohne Wirkung. Den Schalter TIS nennt das Diagramm nicht; die Leitstelle holt dafür in einem kurzen Nebengespräch die mündliche Freigabe der diensthabenden Leitung ein. Mit dem TIS ist die Türverriegelung außer Kraft, die Leuchte „Sicherheitssysteme isoliert“ brennt, doch die Bremsen lösen sich weiter nicht. Für diesen Fall gibt es keine schriftliche Anweisung.
-
Die Türen gehen auf
Um 15:18 Uhr öffnet ein Fahrgast eine Tür im mittleren Wagen und steigt aus. Der Triebfahrzeugführer geht durch den Zug und prüft Schutzschalter, Türen und Fahrgastalarme. Weitere Türen werden geöffnet; um 15:24 Uhr stehen fünf von sechs Türen auf der Bahnsteigseite offen. Den Zugbegleiter trifft er zweimal auf dem Bahnsteig, von der Isolierung sagt er ihm nichts.
-
Abfahrt ohne Abfertigung
Um 15:25 Uhr beschließen beide einen letzten Versuch. Der Zugbegleiter bittet die ausgestiegenen Fahrgäste, wieder einzusteigen, und rechnet nicht damit, dass der Zug fährt, weil er nicht abgefertigt hat. Der Triebfahrzeugführer läuft in den vorderen Führerstand. Innerhalb von 30 Sekunden lösen sich die Bremsen. Er gibt zweimal das Summersignal, mit dem er sonst das Fertigsignal bestätigt, und fährt an.
-
Die letzte Sicherung
Nach etwa zehn Sekunden erreicht der Zug 5 km/h. Ein Geschwindigkeitsrelais schließt die offenen Türen; es wirkt auch bei isoliertem TIS. Der Zugbegleiter bleibt auf dem Bahnsteig zurück. Als der Fahrdienstleiter den Zug anhält, bestätigt der Triebfahrzeugführer, dass alle Türen geschlossen sind und der Zugbegleiter an Bord ist. Erst am Flughafen Manchester bemerkt er, dass der Zugbegleiter fehlt.
-
Die Kette hinter dem Vorfall
Am 25. Mai trat der Fehler beim Rangieren wieder auf, diesmal ohne Türbedienung. So ließ er sich auf den vorderen Führerstand eingrenzen: ein sporadisch erhöhter Widerstand an Relaiskontakten der Bremssteuerung. Laut Bericht hätten sich die Bremsen in Styal vom hinteren Führerstand aus lösen lassen.
Szenario A: Der Fehler wird eingegrenzt
Gedankenspiel auf Grundlage des Berichts: Die Fakten stammen aus dem Bericht, der andere Verlauf ist meine Folgerung.
-
Wo tritt der Fehler auf?
Die Leitstelle lässt sich bestätigen, in welchem Führerstand die Bremsen nicht lösen, und bittet um einen Versuch im hinteren Führerstand.
-
Die Bremsen lösen sich
Der Fehler betraf nur den vorderen Führerstand. Laut Bericht hätten sich die Bremsen vom hinteren aus lösen lassen. Der Fehler ist eingegrenzt, ohne dass eine Sicherheitsfunktion isoliert wird.
-
Die Türverriegelung bleibt wirksam
Wie es weitergeht, entscheiden Leitstelle und Fahrdienstleiter. Solange nichts isoliert ist, kann der Zug mit offenen Türen nicht anfahren, auch wenn Fahrgäste Türen öffnen und niemand mehr an die Türen denkt.
Szenario B: Isolierung nach Regelwerk
Die Schritte stammen aus dem britischen Regelwerk, wie der Bericht es zusammenfasst. Kein vollständiges Verfahren.
-
Melden und auf Anweisung warten
Nach dem Isolieren meldet der Triebfahrzeugführer dem Fahrdienstleiter und dem Zugbegleiter, dass EBS und TIS isoliert sind. Er fährt erst, wenn der Fahrdienstleiter es anweist.
-
Nach jeder Türfreigabe neu prüfen
Der Zugbegleiter prüft alle Türen auf beiden Seiten und begibt sich in den hinteren Führerstand. Das wiederholt sich jedes Mal, wenn die Türen freigegeben werden, also auch, nachdem Fahrgäste ausgestiegen sind.
-
Abfahrt mit geprüftem Zustand
Der Zug fährt nur mit geprüft geschlossenen Türen und mit dem Zugbegleiter an Bord. Am ersten geeigneten Bahnhof steigen die Fahrgäste aus; zurücksetzen können die Isolierung nur Depot oder technischer Inspektor.
Szenario C: Der Fehler bleibt nicht im Betrieb
Gedankenspiel auf Grundlage der ersten Empfehlung der Untersuchungsstelle.
-
Die Wiederholung bewerten
Der Bremsfehler vom 24. April wird als Sicherheitsrisiko im Betrieb bewertet, nicht nur als Verspätungsursache. Bei Northern beruhte diese Einordnung laut Bericht auf nicht dokumentiertem Ermessen; im Jahr vor dem Vorfall gingen 10 % der gemeldeten Fehler an Zügen dieser Baureihe ohne Befund wieder in Betrieb.
-
Mit Fachkraft an Bord
Der Zug bleibt im Depot oder fährt mit einem technischen Inspektor an Bord, wie Northern es nach dem 3. Mai tat. Tritt der Fehler auf, sucht ihn jemand mit Fachwissen am Fahrzeug, statt dass Triebfahrzeugführer und Leitstelle ihn unter Zeitdruck am Telefon lösen müssen.
-
Eingrenzen statt isolieren
Am 25. Mai kam ein technischer Inspektor zum Zug und grenzte den Fehler auf einen Führerstand ein; danach wurde er behoben. Eine Isolierung von Sicherheitsfunktionen im Fahrgastbetrieb war dafür nicht nötig.
- Vorheriger Schritt
- Nächster Schritt
- Abspielen
- Anhalten
- Hier bricht die Kette
- Schritt
- Hier hält die Kette
Lockout/Tagout heißt bei der Bahn anders
Lockout und Tagout (LOTO) sind bei Bahnherstellern und Bahnbetreibern keine gängigen Begriffe. Das Prinzip gibt es trotzdem, unter anderen Namen und an drei verschiedenen Stellen: am Fahrzeug im Betrieb, an der Infrastruktur und im Depot.
In der Maschinen- und Anlagensicherheit bedeutet Lockout/Tagout: Vor Instandhaltungsarbeiten wird die Energie getrennt, die Trennstelle mit einem persönlichen Schloss verschlossen und mit einem Anhänger gekennzeichnet, der die arbeitende Person und den Grund nennt. Der Vergleich richtet sich an Fachleute aus dem Maschinen- und Anlagenbau; Fachleute der Bahn finden das Prinzip in den Begriffen unten wieder. Für den Fall Styal gelten die Begriffe der Bahn.
-
Am Fahrzeug im Betrieb: isolieren und überbrücken
Englisch isolation, isolating switch, cut-out, bypass. Isolier- oder Überbrückungsschalter schalten bei einer Störung Ausrüstung oder Sicherheitsfunktionen ab, etwa die Türverriegelung, die Traktionssperre oder Teile des Bremskreises. Wie ein Zug mit gestörter oder isolierter Ausrüstung weiterfahren darf, regelt in Großbritannien das Regelwerk (Rule Book, Modul TW5) unter dem Stichwort Defective On-Train Equipment (DOTE).
-
Im Störungsbetrieb: die Rückfallebene
Englisch degraded mode, degraded dispatch, out-of-course situation. Gemeint ist Betrieb, in dem eine technische Sicherung fehlt und Verfahren, Meldung und sicherheitskritische Kommunikation (safety-critical communications) sie ersetzen müssen.
-
An der Infrastruktur: freischalten und erden
Bei Arbeiten an Fahrleitung oder Stromschiene gelten die fünf Sicherheitsregeln nach EN 50110-1: freischalten, gegen Wiedereinschalten sichern, Spannungsfreiheit feststellen, erden und kurzschließen, benachbarte unter Spannung stehende Teile abdecken oder abschranken. Dazu kommt die Sperrung des Gleises (englisch possession). Hier ist die Bahn dem Prinzip Lockout/Tagout am nächsten.
-
Im Depot und beim Hersteller: sichern gegen Bewegung
Wer an einem abgestellten Fahrzeug arbeitet, sichert es gegen Bewegung und gegen das Wiedereinschalten der Energie und kennzeichnet es, in Großbritannien etwa mit der Tafel „Not to be moved“. Hersteller beschreiben Sicherheitsfunktionen, Isoliermöglichkeiten und Rückfallebenen im Sicherheitsnachweis nach den Bahnnormen EN 50126 und EN 50129 sowie in Bedien- und Instandhaltungsunterlagen.
Der entscheidende Unterschied
Lockout/Tagout trennt Energie, damit ein Mensch an einer Maschine sicher arbeiten kann. Ein Isolierschalter im Betrieb wirkt in die Gegenrichtung: Er schaltet eine Schutzfunktion ab, damit der Zug wieder fahren kann. Der Mensch ist danach nicht besser geschützt, sondern schlechter.
Schloss und Anhänger gibt es dabei nicht. Ihre Aufgabe übernehmen Freigabe, Meldung, Prüfung und Rücknahme. Die Tabelle stellt die Schritte nebeneinander: links das Prinzip, in der Mitte die Regeln bei Northern laut Bericht, rechts, was in Styal geschah.
| Lockout/Tagout | Isolierung im Betrieb (Northern) | In Styal |
|---|---|---|
| Freigabe | Im Betrieb isoliert der Triebfahrzeugführer nur mit ausdrücklicher Freigabe der diensthabenden Leitung der Leitstelle. | Mündliche Freigabe in einem kurzen Nebengespräch, während die Instandhaltungsleitstelle mit dem Triebfahrzeugführer telefonierte. |
| Schloss | Isolierschalter werden mit dem Schlüssel des Triebfahrzeugführers betätigt; zurücksetzen können sie nur Depot oder technischer Inspektor. | Die Isolierung behob den Fehler nicht und blieb trotzdem wirksam. |
| Anhänger | Leuchte „Sicherheitssysteme isoliert“ im Führerstand, Formular B, Meldung an Fahrdienstleiter und Zugbegleiter. | Die Leuchte brannte. Ein Formular B wurde nicht ausgefüllt, Fahrdienstleiter und Zugbegleiter wurden nicht informiert. |
| Prüfung | Vor dem Isolieren des TIS prüft der Triebfahrzeugführer alle Türen. Danach prüft der Zugbegleiter alle Türen auf beiden Seiten, nach jeder Türfreigabe neu, und fährt im hinteren Führerstand mit. | Vor dem Isolieren wurden die Türen geprüft. Danach wurden fünf Türen geöffnet, und der Zug fuhr ohne neue Prüfung ab. |
| Rücknahme | Bis zur Rücksetzung fährt der Zug nur auf Anweisung des Fahrdienstleiters; die Fahrgäste steigen am ersten geeigneten Bahnhof aus. | Der Zug fuhr ohne Anweisung ab und endete am nächsten Halt, dem Flughafen Manchester. |
Was der Führerstand meldete und was tatsächlich war
Was der Führerstand meldete
Beide Isolierschalter waren umgelegt, die Leuchte „Sicherheitssysteme isoliert“ brannte. Die Anzeige der Türverriegelung am Führerpult blieb dunkel, wie bei Northern immer: Sie leuchtet nur, wenn die Türsteuerung im Führerstand eingeschaltet ist, und die wird im aktiven Führerstand nicht benutzt. Über die Türen sagte der Führerstand nichts.
Was tatsächlich war
Fünf von sechs Türen auf der Bahnsteigseite standen offen, zwei hatte der Triebfahrzeugführer bei der Fehlersuche geöffnet, drei Fahrgäste beim Aussteigen. Geschlossen war nur die Tür direkt hinter dem vorderen Führerstand, die er als letzte sah, bevor er einstieg. Der Zugbegleiter stand auf dem Bahnsteig.
Meine Einordnung: Die Leuchte meldet, dass etwas isoliert ist, nicht, was daraus folgt. Eine Anzeige, die im Regelbetrieb immer dunkel ist, kann im Sonderzustand nichts melden. Und das Summersignal, das sonst eine Rückmeldung bestätigt, wurde ohne Rückmeldung gegeben: Wo die Anzeige schweigt, füllt Gewohnheit die Lücke.
Die Lücke: Störungsbetrieb, den keine Automatik erkennt
Türverriegelung und Bremssteuerung schützen den Regelbetrieb. Was sie nicht kennen, muss ein Mensch bemerken. Sieben Schwachstellen aus dem Bericht, jeweils mit meiner Einordnung, woran man sie bemerken kann.
-
Ein Fehler, der sich selbst behebt
Ein sporadischer Fehler ist bei der Prüfung im Depot oft nicht da. „Kein Fehler gefunden“ bringt das Fahrzeug zurück in den Betrieb, und das Risiko trägt dann das Zugpersonal. Ob ein Fehler als Sicherheits- oder als Verspätungsfehler gilt, entschied bei Northern das nicht dokumentierte Ermessen im Depot.
Woran man es merkt: dieselbe Meldung am selben Fahrzeug, mehrmals in kurzer Zeit, und ein Anteil von Fehlern ohne Befund, den niemand auswertet.
-
Fehlersuche ohne Ort
Der Fehler betraf nur den vorderen Führerstand. Niemand prüfte, ob der Fehler an einen Führerstand gebunden war, und niemand versuchte es vom hinteren Führerstand aus. Laut Bericht entsprach das Gespräch zwischen Leitstelle und Triebfahrzeugführer nicht der guten Praxis sicherheitskritischer Kommunikation.
Woran man es merkt: Eine Anweisung zur Fehlersuche fragt nicht, wo und an welchem Bauteil der Fehler auftritt.
-
Ein Ablaufdiagramm ohne Ausgang
Das Diagramm „Bremsen lösen nicht“ galt für alle Baureihen, enthielt Schritte für Dieselmotoren, obwohl der Zug elektrisch fuhr, endete mit dem EBS und nannte weder den TIS noch die Regeln nach einer Isolierung.
Woran man es merkt: Man prüft jede Anweisung am realen Fahrzeug und fragt, was gilt, wenn der letzte Schritt nicht wirkt.
-
Eine Isolierung, die nichts bewirkt
Normalerweise ist der TIS der letzte Schritt, danach fährt der Zug. Hier lösten sich die Bremsen trotzdem nicht. Die Schutzfunktion war weg und blieb es, denn zurücksetzen konnten nur Depot oder technischer Inspektor.
Woran man es merkt: Die Leuchte „Sicherheitssysteme isoliert“ brennt, und der Fehler ist noch da. Ab diesem Moment schützt nur noch das Verfahren.
-
Türen, die während der Fehlersuche aufgehen
Bei der Fehlersuche wurden die Türen freigegeben. Fahrgäste stiegen aus, der Triebfahrzeugführer ging durch den Zug. Jede Türfreigabe macht eine vorherige Türprüfung wertlos.
Woran man es merkt: Das Regelwerk verlangt nach jeder Türfreigabe eine neue Prüfung aller Türen. Im Führerstand gab es keine genutzte Anzeige, die offene Türen gemeldet hätte.
-
Abfertigung ohne Störungsfall
Die britische Branchennorm RIS-3703-TOM verlangt, Abfertigungsarten im Störungsbetrieb zu bewerten und festzulegen. Northerns Abfertigungsplan enthielt dafür nichts, weder für Styal noch für einen anderen Bahnhof.
Woran man es merkt: Der Abfertigungsplan beschreibt nur den Fall, in dem alles funktioniert.
-
Gewohnheit ersetzt die Rückmeldung
Zweimal das Summersignal ohne Fertigsignal, eine Bestätigung an den Fahrdienstleiter ohne Zögern: Der Bericht beschreibt, wie Erwartung und Stress die Wahrnehmung verengen. Training in nicht technischen Fertigkeiten hatte der Triebfahrzeugführer nur in der Grundausbildung erhalten.
Woran man es merkt: Störungssituationen werden gelernt, aber nicht geübt.
Eine Automatik hat gegriffen: Das Geschwindigkeitsrelais schloss die Türen bei 5 km/h, auch mit isoliertem TIS. Wer eine Isolierung freigibt, muss wissen, welche Schutzfunktionen danach noch wirken und welche nicht. Das gehört in die Herstellerinformation, in die Anweisungen der Leitstelle und in die Schulung.
Die Kette: vom Depot bis zur Abfahrt
Meine Einordnung des Berichts entlang von sechs Gliedern. Die drei Schwerpunkte dieser Case Note liegen in den Gliedern 03 (Isolierung), 04 (Anzeige) und 05 (Störungsbetrieb).
-
Freigabe in den Betrieb
Ein Fahrzeug mit bekanntem, aber nicht gefundenem Fehler geht in den Fahrgastbetrieb. Die Entscheidung beruht auf Erfahrung, nicht auf dokumentierten Kriterien.
-
Fehlersuche aus der Ferne
Ablaufdiagramm und Gespräch müssen zum Fahrzeug passen, den Ort des Fehlers klären und einen Ausgang haben, wenn der letzte Schritt nicht wirkt.
-
Isolierung
Wer eine Schutzfunktion abschaltet, braucht eine Freigabe, eine Meldung an alle Betroffenen und eine Prüfung des Zustands, bevor der Zug fährt.
-
Anzeige im Führerstand
Die Anzeige muss den Sonderzustand und seine Folgen zeigen, nicht nur, dass etwas isoliert ist.
-
Störungsbetrieb
Für die Abfertigung mit gestörter Ausrüstung braucht es ein bewertetes, festgelegtes Verfahren, nicht nur die Regel für den Normalfall.
-
Training und Kommunikation
Störungssituationen müssen geübt werden, mit klarer Führung durch die Leitstelle und sicherheitskritischer Kommunikation.
Fragen für Hersteller und Betreiber
Dieselben Fragen gelten für jede Anlage, deren Schutzfunktionen sich bei einer Störung abschalten oder überbrücken lassen.
- Welche Schutzfunktionen schaltet ein Isolierschalter ab, und welche bleiben wirksam?
- Wer gibt eine Isolierung frei, wer muss davon erfahren, und wie wird das bestätigt?
- Was zeigt die Anzeige im Sonderzustand, in der gelebten Praxis und nicht nur nach Spezifikation?
- Was sagt die Anweisung, wenn ihr letzter Schritt nicht wirkt?
- Wie wird ein Fehler ohne Befund bewertet, bevor das Fahrzeug wieder in Betrieb geht?
- Ist die Abfertigung mit gestörter Ausrüstung festgelegt und geübt?
Meine Arbeit umfasst Dokumentation und Informationsgestaltung. Verfahren, Unterweisung und Aufsicht im Betrieb liegen beim Betreiber, Prüfung und Konformität bei den zuständigen Stellen.
Quelle
Bericht 07/2024 der britischen Rail Accident Investigation Branch (RAIB), „Unsafe movement of a train at Styal station, 3 May 2023“, veröffentlicht im Juli 2024, mit Pressemitteilung. Den Fall gebe ich mit eigenen Worten wieder. Die Zeichnung ist meine eigene, vereinfacht und nicht maßstäblich. Szenarien, Kette und Einordnungen sind meine Lesart, keine Befunde des Berichts.
Laut Bericht hat Northern nach dem Vorfall Instandhaltungsleitstelle und diensthabende Leitung in sicherheitskritischer Kommunikation geschult, entwickelt das Ablaufdiagramm zu einem elektronischen Entscheidungswerkzeug weiter und hat die Führungsrolle der diensthabenden Leitung bekräftigt. Die RAIB richtete drei Empfehlungen an Northern: zu Fahrzeugen mit bekannten Fehlern, zu Isolierungen im Fahrgastbetrieb und zum Training für Störungssituationen.