Tankespinn....
Dersom mobilnettet blir slått ut i vitale deler av landet i morgen. Hvor mange tog kan kjøres? Kombiner det gjerne med å kappe en kabel eller to.

Vil det bli så mye verre med ERTMS?

Vi kjørte tog under CTC-systemet uten kommunikasjon mellom stasjonene frem til Åsta-ulykken skjedde(bortsett fra den gamle felttelefonen" som kunne kobles, om du var heldig, til punkter langs linjen). Et eget NSB-togradio-system ble også benyttet før GSM-R kom, men dette var ikke et krav i togfremføringen. I en beredsskapssituasjon med muligheter for sabotasje, vil nok togene kunne bli fremført på denne måten med fungerende ATC/CTC som ikke er så enkelt å sette ut av bruk som et fremtidig ERTMS hvor togene stoppes og ingen "reserveløsning" finnes. Det er bakgrunn for mine betraktninger av en vanvittig resursbruk i systemet.

Åsta-ulykken avslørte en uforståelig, men åpenbart bevisst reduksjon av sikkerheten ved jernbanedriften på enkelte strekninger.
For å si det veldig forenklet: Mens regelen tidligere var at ingen tog fikk kjøretillatelse før den neste strekningen var bekreftet klar, så fikk man nå kjøretillatelse dersom man kunne regne med at strekningen var klar.
Dermed var det bare et tidsspørsmål når ulykken måtte skje.
Jeg synes å huske at det ble skrevet mange lange forklaringer om hvorfor dette IKKE var en 'bestilt' ulykke
Dette er innledningen til et innlegg jeg skrev den gangen:
Når man "bestiller" jernbaneulykker Sven Pran, Sivilingeniør MNIF, Ski Jernbaneverkets egen uhellskommisjon skal ha konstatert i sin rapport etter ulykken på Rørosbanen "at ett enkelt menneskes handlinger er eneste barriere mot at tog kjører forbi signal stopp, og at et sammenstøt derved kan inntreffe. Kommisjonen er kjent med at denne ene barrieren tradisjonelt har vært oppfattet som tilstrekkelig ved jernbanedrift". Jeg har ingen grunn til å mistenke at kommisjonen her er feilsitert, men undres om den bevisst uttaler seg mot bedre vitende eller om den ganske enkelt avslører et utrolig mangelfullt kjennskap til mer enn 100 års driftserfaringer med jernbaner slik disse var nedfelt i tidligere tiders sikkerhetsreglement ved NSB.

Min feil i overskriften

Arne skriver: " et fremtidig ERTMS hvor togene stoppes og ingen "reserveløsning" finnes"".
Nå skal ikke jeg utnevne meg til ERTMS - ekspert. Men såvidt jeg vet, så er det innebygget redundans i systemet. Altså hvis en del av det sentrale datasystemet går ned, på grunn av feil, strømbrudd e.l., så overtar den andre. Som forhåpentligvis er plassert et annet sted, i tilfelle brann. Antagelig er det også muligheter til å bygge opp et distribuert system, og med flere togmeldingssentraler, slik at ikke hele landet rammes ved feil på det sentrale datasystemet. Reservestrømforsyning er det sikkert, også. Lokale strømbrudd vil ramme jernbanen, enten systemet heter det ene eller det andre.
Så hva er det som tilsier at jernbanens sikkerhetssystemer blir mere sårbare med ERTMS?

Problemet er at man har sjefer i systemet som er mer opptatt av å spare penger enn av å levere redundans.

Uansett er det ingen signalsystemer som har høyere oppetid en de banene som ikke har dette. På nordre del av Gjøvikbanen er det knapt skapt en forsinkelse pga. signalfeil.

Når en skal ha mer ytelse ut av jernbanen må en ha gode sentrale systemer til å styre trafikken. Slike systemer gjøres redundante, men det skal godt gjøres at det ikke finnes enkelte fellesfeil som også slår ut redundansen. Med dagens sikkerhetslovgivning (samfunnssikkerhet og ikke trafikksikkerhet) må en sørge for at de vitale systemene både har svært høy tilgjengelighet og er lite sårbare.

Mye av problemet med signalsystemer er at det for tiden er selgers marked. Det er lange leveringstider på komponenter, og det er komponenter en ikke får tak i til eksisterende anlegg. Engstelsen for å ha utdaterte anlegg uten reservedelstilgang er mye av bakgrunnen for overgangen til ERTMS.

Nå går implementeringen i mange land langt saktere enn forutsatt, og det er både bra og dårlig. Mer tid er nok bra både for dem som jobber med dette og for dem som skal bruke det, men dårlig fordi det innebærer at en over lang tid er avhengig av kostbare STM-løsninger.

En kan ha 300 ERTMS-sentraler strategisk plassert over hele landet, uten at det blir like robust som ATC. ATCen kan en slå av, og kjøre videre på visuelle signaler. Dette gjøres oftere enn en kanskje tror, bl.a. pga tekniske feil på togets ATC-systemer. Også ETCS-systemene innmontert i tog kan få teknisk feil. På ATC-strekning? Innhent nødvendige tillatelser, slå av og kjør videre. På ERTMS-strekning? Game over, vent på hjelpetog. Noe som ikke er så veldig moro om en befinner seg på et enslig tømmertog i Østerdalen natt til søndag, for eksempel, i Østerdalen finnes som kjent både ulv, elg, tiur og andre lumske vesener.

Dette har ikke så mye med robustheten i selve ERTMS-systemet overordnet sett å gjøre. Det kan jeg ikke nok om. Men det er ganske forkrøplende for godstrafikken, særlig på mindre trafikkerte strekninger, om en er helt avhengig av at alt på loket virker til enhver tid, og evt hjelp er mange timer unna. Hvis denne designmentaliteten går igjen i hele ERTMS-prosjekteringen - alt må virke, hele tida - så har vi et stort problem, for er det noe som skjer på jernbanen, er det at ting går i stykker og må repareres. Én ting er relativt nye Flirt-sett, og et relativt nytt signalsystem, men når disse greiene begynner å bikke 40 år, kommer de til å være like stabile da? Vil hele Oslo S få totalt sammenbrudd når vi en gang i framtiden kommer dit at signalkomponentene til ERTMS er like nedslitt som dagens signalreléer? Jeg vet ikke.

Problemet med ERTMS i denne sammenhengen er vel først og fremst knyttet til regelverk? Det hadde kanskje ikke vært noe i veien for å håndtert ERTMS på samme måte som ATC, men en har valgt høyere sikkerhet og dårligere tilgjengelighet. Dette går igjen ved overgang til nye systemer - ingen vil ta ansvar for pragmatiske løsninger som kan innebære litt høyere risiko. Samtidig er dette valget med på å presse frem høyere tilgjengelighet på teknikken. At ulik fokus på oppetid kan ha betydning ser vi f.eks. i det at et enmotors fly er nesten like sikkert som et med flere motorer.

Som Erik skriver:

At ulik fokus på oppetid kan ha betydning ser vi f.eks. i det at et enmotors fly er nesten like sikkert som et med flere motorer.

For en del år siden skulle det være flere motorer på fly i transatlantiske ruter. Vi fikk Boeing 727, Douglas DC-10 og Lockheed Tristar.
Nå er vel de fleste fly i disse ruter tomotors og 4-motors Airbus A-380 må vel sies å ha vært en flopp.

Jeg kan ikke forstå hvordan du tenker det skal foregå når det ikke lenger er visuelle signaler ute ved sporet som lokomotivfører kan bruke for å framføre toget.

Skiltene er visuelle signaler, men med utkoblet ETCS vil de bety "stopp". Det betyr at en passering av skilt innebærer tillatelse fra togleder på linje med passering av hovedsignal i "stopp".

Med utkoblet ATC eller ETCS vil lokfører uansett være eneste barriere mot utilsiktet passering av "stopp". På ATC-strekning har en signalene å hjelpe seg med, men i utgangspunktet tillates ikke fjernstyrt drift uten at signalsystemet kan stoppe toget. Reglene for ATC hadde nok ikke sett slik ut om de var blitt innført i dag.

Min tanke var ikke at toget skulle fortsette til endestasjon, men at et tog med utkoblet ETCS burde kunne få lov til å komme seg til stasjon for å ikke stå i veien.

OK, med andre ord vesentlig dårligere løsning enn det er i dag hvor det et mulig å fortsette til endestasjon eller vedlikeholdsbase uten fungerende ATC-utrustning ombord i toget.

Uansett dreier dette seg om valg mellom sikkerhet og tilgjengelighet. Nå kan det være at en ved å ha steile krav kan oppnå en høyere standard på utstyret - i motsatt fall er det et problem.

I teorien er det mulig å bygge inn redundans i loket, for eksempel ved at loket har to av det aller meste, og lokfører må bytte den defekte modulen i den ene enden. Man kunne også fått dette til uten at lokfører må bytte noe som helst, men det blir dyrere, og støter lettere på problemer med regelverk.

Erik skriver:
"Problemet med ERTMS i denne sammenhengen er vel først og fremst knyttet til regelverk?"
Det fører til en annen sak, også, nemlig at det er en tidkrevende prosess å utføre endringer i systemet. Jeg mener å huske en sak fra østre linje, hvor systemet på en stasjon var programmert kun for enkeltsett, og når det kom dobbeltsett, så gikk alt i stå. Og feilen var der - lenge - før den ble rettet.
Dette ble omtalt som en svakhet med systemet, mens det i virkeligheten skyldes at kravene til utførelse av endringer på et system med så høyt sikkerhetsnivå, er store. Å fikse feilen rent teknisk var antagelig ikke stort vanskeligere enn å sette opp en ny stikkontakt i kjellerstua, for den som kan det, men de formelle kravene til en slik prosess er omfattende og tidkrevende.

Det beste blir det godes fiende

Jeg vet ikke hvor mye det vi erfarer andre steder i samfunnet er relevant for denne diskusjonen, men vi har flere eksempler på at store ambisjoner om at helhetlige dataløsninger som skal favne mest mulig er veien å gå, og dette er en utvikling til noe påstått bedre som vi bare må følge.

Helseplattformen som deler Helse Midt har tatt i bruk nå, har vist seg å være en dundrende fiasko, men redusert effektivitet med 25 %, og ingen av brukerne tror på noen forbedring, ut fra lignende erfaringer i Danmark og Finnland. Der har det god prestisje i saken, så prosjektet fortsetter og fortsetter.

Et felles saks­behandlingssystem for universitets- og høgskolesektoren til nær en halv milliard kroner, Sopra Steria, har også vist seg uegnet til å ta i bruk. Men der har man innsett dette og satt stopp for prosjektet.

Det kan virke slik at jo større et datasystem blir, jo mer sårbart er det for ymse typer avvik i forhold til intensjonene da det ble igangsatt. Har vi blitt for overoptimistiske på hva teknologi kan gjøre for oss? Sosiale medier har åpenbare svakheter, dog ikke av teknisk art, men av hva de kan misbrukes til.

Det er mitt bestemte inntrykk at det største problemet med store og komplekse datasystemer som utvikles for det offentlige, ikke er systemene i seg selv, men at stat eller kommune som kunde involverer seg alt for mye underveis, og at kravene endres underveis i prosjektet. Det fører til betydelig økt arbeidsmengde, at konsekvensene av endringene ikke alltid er oversiktlige, at kostnadene øker, og at det blir uenighet om hvem-som-skal-betale-hva. Og tiden går....

Jeg har selv opplevd tilsvarende i store prosjekter, riktignok ikke mot stat eller kommune: Vi gir en pris, og inngår etterhvert en kontrakt, ut fra en spesifikasjon, som vi som regel har hatt rimelig god tid til å vurdere konsekvensene av. Men så - et stykke ut i prosjektet - kommer driftsavdelingen inn med et sett endrede krav, og de har ofte liten eller ingen forståelse for kostnader. Hvis ikke leverandørens prosjektleder er svært restriktiv med å påta seg slike endringer, så kommer prosjektet fort ut å kjøre, både teknisk, fremdriftsmessig og økonomisk. Med staten som kunde blir det ofte vanskelig å stå imot slike krav, men til syvende og sist rammer det både kunde og leverandør.

Så kan vi heller ikke se bort fra fagforeningenes krav i slike situasjoner. "Konsulenter" er pyton, de sitter med bena på bordet, kan ingenting, og fakturerer 3.000 kroner pr. time. "Egne ansatte" er tingen! Det dette i stedet fører til, er at spisskompetansen forsvinner, og med den sjansene for å oppnå gode resultater.

"Offentlige innkjøpsregler" har vi hørt om. Et mere ekstremt tilfelle hvor disse reglene rammet prosjektet, var det felles billettsystemet for NSB og Oslo Sporveier. Nå husker jeg ikke rekkefølgen her, men jeg mener det var slik at NSB kjøpte inn et system, som de fikk til å virke. Så skulle Oslo sporveier handle, de utlyste et anbud i henhold til gjeldende anskaffelsesregler, og et ANNET FIRMA enn det NSB hadde valgt, fikk kontrakten. I forkant av dette burde noen alarmklokker ha ringt - svært kraftig - men det gjorde de ikke. Resultatet var at de to systemene ALDRI fungerte sammen på en tilfredsstillende måte.

Om disse problemstillingene er relevante, i forhold til utvikling og produksjon av ERTMS - systemene vet jeg ikke, sannsynligvis er den ikke det. Forhåpentligvis er det private selskaper som har fått gode spesifikasjoner å jobbe etter. Men uansett er det systemer fra flere leverandører som skal fungere sammen, at det kan by på utfordringer, er det neppe noen tvil om.

Anskaffelsen av billettsystemet i Oslo og Akershus ble komplisert av at Konkurransetilsynet nektet NSB, Stor-Oslo Lokaltrafikk og Oslo Sporveier å ha felles anbudsforespørsel. Begrunnelsen til Konkurransetilsynet skal ha vært at den som ville få denne leveransen ville kunne komme i en tilnærmet monopolsituasjon.

Komplekse anskaffelser ender gjerne med mange endringer enten de er i privat eller offentlig sektor. Problemet med komplekse anskaffelser er at neppe ser alle konsekvenser når en bestiller, men at det går opp for en etter hvert. Derfor har en nå i noen grad gått over til smidige kontrakter hvor en forutsetter enkelte nye designfaser underveis.

Jeg har i lengre tid fulgt med i hva storting og regjering skriver om det i seg selv svindyre nye signalsystemet. Gradvis har omtalen gått fra store framtidshåp for jernbanen til problemfokus og usikkerhet rundt hva gevinsten egentlig vil ligge i.

Og når man i tillegg leser pressemeldingen fra BaneNOR den 24. mai i år, så er også de ganske åpne om utfordringene (lenke under).

Da spørs det om kostnadsrammen på 35 milliarder kroner for dette prosjektet er politisk interessant. Nylig meldte BaneNOR inn et behov for ytterligere 11 milliarder til vedlikehold av jernbanen, og da må politikerne prioritere.

Ved behandlingen av Nasjonal transportplan nylig så vi hvordan det går med jernbaneprosjekter hvor kostnader og tidsperspektiv er ute av kontroll. All vider satsning på Østfoldbanen røyk ut. Inn kom bedre planlagte og forutsigbare prosjekter i Vestfold og Ringeriksbanen.

Lenke: Usikker framdrift for nytt signalsystem

Man ser en av komplikasjonene med ERTMS-prosessen som er kjørt på Østre Linje, 6. oktober 2023 ble det "endelig" åpnet for å kunne kjøre godstog der.

Jokeren her er nå at motgående trafikk ikke tillates når godstog fremføres på strekningen (Godstog tillates ikke å krysse med andre tog, uansett rekkefølgen togene kjører inn på en stasjon).

For noen uker siden var det lynnedslag på Snartemo, med dertil varmeutvikling i noen tekniske hus. Det medførte at en del av GSM-R-dekningen fallt ut i nærheten, og vipps så hadde du mistet kontakt med radioblokksentralen om det hadde vært ERTMS der.

Det tror jeg blir for enkelt å konkludere slik. Hva som skjer i et slikt tilfelle, kommer helt an på hvordan systemet er bygget opp, og hvor kritiske komponenter er plassert.

Det er helt riktig som Nøkleby skriver. ERTMS(Radioblokksenteret) er helt avhengig av GSM-R hele tiden. Så utfall bom stopp! Bjørn Steinar

Det burde vel ikke være noe i veien for å dublere kommunikasjonen? T-banens nye sikringsanlegg skal bruke kommersielt 5G fra to forskjellige nettselskaper for redundant kommunikasjon. Kravene til sikkerhetsnivå er de samme for T-banen som for det nasjonale jernbanenettet.

Jeg er ingen ekspert på dette, men som jeg husker det så ringer EVC opp en bestemt RBC over GSM-R via et GSM-telefonnummer også foregår kommunikasjonen mellom de to enhetene (tog og radioblokksentral) via denne modulerte radiokanalen. Ikke ulikt slik vi ringte opp BBS-er på 80-tallet...

Forhåpentligvis er det støtte i ETCS for ren TCP/IP-kommunikasjon over feks 5G slik CBTC-anlegget til Sporveien har, men jeg ikke klart å finne noe som underbygger at dette faktisk er en mulighet.

Noen med mer innsikt i det tekniske må gjerne rette / oppklare.