En større landsomfattende organisasjon har tydeligvis et representantskap, som har sittet sammen i et møte dette året og kommet frem til en offisiell uttalelse.

Foruten å være et eksempel på størst mulig bruk av a-endelser, omhandler uttalelsen også utbyggingen av ERTMS, og jeg bet meg mest tak i følgende avsnitt, og spesielt kulepunkt nr. tre:

«Norsk Lokomotivførerforbund mener følgende:

• Moderne ATC strekninger bør ikke bygges om til ERTMS hvis det fungerer bra i dag.
• ERTMS bør ikke bygges på en strekning dersom andre tiltak med lik kostnad hadde gitt bedre regularitet og punktlighet.
• ERTMS må sikres bedre enn dagens ATC-system mot sabotasje, strømbrudd, brann på togledersentralen og lignende hendelser.
• Innføring av ERTMS forutsetter at godstog kan kjøres med samme eller høyere hastighet som i dag, med samme eller høyere vekt som i dag og med lik eller høyere regularitet enn i dag.
• NLF undrer seg over at Bane NOR tilsynelatende har hatt slik hastverk med å innføre ERTMS i Norge da vi ser at erfaringer fra andre jernbaneland har satt dette signalsystemet på vent. Vi stiller også spørsmålstegn ved at annen viktig oppgradering av infrastruktur på jernbanen ser ut til å tape mot en ensidig satsing på ERTMS.»

Jeg kan ikke helt se hvordan dagens ATC-system skal være så enkelt utsatt for sabotasje, at det må gjøres langt større sikringstiltak for ERTMS. Hvis det skulle være så enkelt å sabotere ATC-systemet, vil det i så fall være lurt å omtale det i en offisiell uttalelse? Hva slags sabotasje mener i så fall NLF skal kunne gjennomføres mot ATC-systemet, og ikke minst fra hvem?

ATC er som kjent et overvåkningssystem som «overvåker togets hastighet og aktiverer togets bremser om hastigheten overstiges». I likhet med svært mange andre tekniske systemer, så overvåker ATC-systemet (nærmest som en selvfølge) også seg selv. Slik at hvis systemet registrerer at det ikke er i stand til å kunne overvåke hastigheten, eller kunne aktivere togets bremser om nødvendig, så går systemet over til en sikker tilstand og varsler dette.

Et tenkt sabotasjeforsøk må i grove trekk være for å oppnå det ene av disse mulighetene:

1. Systemet saboteres slik at det feiler, og dermed går til sikker tilstand. Dette er strengt tatt ikke farlig, men forstyrrende.

2. Systemet saboteres slik at det ikke er i stand til å overvåke hastighet eller aktivere togets bremser i en situasjon hvor det normalt skulle ha gjort det, samtidig med at en slik situasjon faktisk oppstår. Å kunne gjennomføre en slik form for sabotasje må vel heller kunne karakteriseres som svært kløktig utført, og med et høyt nivå av detaljkunnskap. Nærmest sammenlignbart med en gammeldags skapsprenger.

Uansett vil det være snakk om sabotasje mot tekniske installasjoner, og det mest hensiktsmessige er å hindre sabotasje gjennom et passende nivå av objektsikring opp mot aktuelt trusselnivå. Dette fremfor fokusering på selve oppbyggingen av systemet i den tekniske installasjonen. Har et sabotasjeforsøk først kommet inn på objektet, så er det gjerne for sent å hindre sabotasje uavhengig av hva slags system og installasjon som utgjør selve objektet. Man må legge til grunn at de som vil utføre en slik sabotasje har planlagt gjennomføringen. Jeg undres også litt på om det egentlig er ATC-systemet som det er tenkt på og menes i denne uttalelsen. Men det må vel kunne forventes at akkurat dette representantskapet både kjenner til, og har forståelse nok til å kunne skille mellom begreper som: Automatisk hastighetsovervåkning ATC, sikringsanlegg, fjernstyring og driftsform.

Hvem skal i så fall gjennomføre sabotasjeaksjoner hvor de velger ut nettopp ATC-systemet som mål? Er det sannsynlig at agenter eller grupper på oppdrag av utenlandske interesser, vil bruke tid og ressurser på å gjennomføre sabotasje mot akkurat ATC-systemet, som et ledd av en forstyrrelsesoperasjon? I så fall vil det måtte brukes mye tid og ressurser på innhenting av informasjon og planlegging, samt betydelig risiko for oppdagelse. Dette for å kunne oppnå svært lite, eller kanskje til og med faktisk ingenting. Hvis NLF sitt representantskap i sin uttalelse mener at sabotasje i denne sammenheng, er muligheter for manipulasjon av systemet gjennom operatørgrensesnittet for ATC ombordutrustningen, så er det jo faktisk størst mulighet for at sabotasjen gjennomføres av personer blant NLF sine egne medlemmer, eller blant de som NLF ønsker å organisere.

Jeg har ingen forutsetning til å kunne si noe om hvordan den delen av ATC-systemet som finnes i sporet, eventuelt ikke skal være tilstrekkelig sikret mot strømbrudd, samt hvilken grad det skulle være behov for å sikre dette ytterligere ved omlegging til ERTMS. Men for ombordutrustningen er ATC-systemet forsynt gjennom batteridrift. Det er vanskelig å se hvorfor ikke dette skulle være tilstrekkelig uavhengig av system.

Det er også like vanskelig å se for seg hvordan det skal være sammenheng mellom brannsikkerhet på togledersentralen, og om banestrekningene som styres derfra har ERTMS som driftsform, slik det nevnes i samme kulepunkt.

Uttalelser fra NLFs representantskapsmøte 2024.

Det vil vel være like lett å slå ut ERTMS som dagens system. BAre åknerte GSMR nettet og det er stopp. Slik er det i dag også. Men med ERTMS er det vel helt sikkert stopp. Signalbeskjed sendes ikke til lokomotivet. Ryker GSMR i dag er det også stopp, men det er vel mer regelstyrt enn en teknisk konsekvens.

Raskere godstog er i alle fall beskrevet som en mulighet i Sverige. ERTMS kan vel se hvor langt fram det er ledig plass og beregne bremsekurver etter dette. Dette gjelder vel spesielt for tunge tog med dårlig bremseprosent som dermed får lav største hastighet. I Sverige mener jeg at det fint går an for godstog å kjøre fortere enn 100. Det vet jeg ikke om er mulig i Norge.

Det står ikke noe der om hvor mye bedre ERTMS må sikres enn dagens ATC.

Problemet er at ved en uheldig oppbygging av ERTMS-systemet vil en feil i et bestemt serverrom slå ut hele systemet, mens ATC ikke har noen slik svakhet.

Ja, resten av systemet kan svikte, men jeg tror det heller er grunnen til at de formulerer seg som de gjør.

Jo mer eg tenker på det, jo mer undres eg over det hele. For det meste så er ATC et sikkerhetssystem, ikke et signalsystem. ERTMS er begge deler.
I tilfelle krise og krig så er det bare å slå av ATC og kjøre, dersom ATC av en eller annen grunn ikke virker pga sabotasje. Det er vel noen få strekninger ATC er koplet opp mot sikringsanlegget. Ellers er det vel slik at det gjenspeiler signalbildet i aktuell mast.

Nettopp derfor er denne utbyggingen av ERTMS både dårlig nytt for investeringer på jernbane og beredsskapssituasjonen. Når systemet blir bygget ut, stopper ALLE tog om systemet feiler. Man kan altså ikke etter 170 år med skinnegang i Norge (NHJ), kjøre tog på en topp moderne skinnegang! Det er heller ikke mulig å bemanne stasjoner for å kjøre tog, og heller ingen redudant løsning på dette. Noen må gjerne kalle dette for nødvendig tekninsk utvikling, men for meg er det en fullstendig feil bruk av investeringsmidler til jernbanen i Norge med så mange andre utfordringer. Mange nevner Bane NOR sine forsvarstaler for ERTMS, som NRK sin satsing på DAB. En tilsvarende feilslått utvikling....

Tankespinn....
Dersom mobilnettet blir slått ut i vitale deler av landet i morgen. Hvor mange tog kan kjøres? Kombiner det gjerne med å kappe en kabel eller to.

Vil det bli så mye verre med ERTMS?

Vi kjørte tog under CTC-systemet uten kommunikasjon mellom stasjonene frem til Åsta-ulykken skjedde(bortsett fra den gamle felttelefonen" som kunne kobles, om du var heldig, til punkter langs linjen). Et eget NSB-togradio-system ble også benyttet før GSM-R kom, men dette var ikke et krav i togfremføringen. I en beredsskapssituasjon med muligheter for sabotasje, vil nok togene kunne bli fremført på denne måten med fungerende ATC/CTC som ikke er så enkelt å sette ut av bruk som et fremtidig ERTMS hvor togene stoppes og ingen "reserveløsning" finnes. Det er bakgrunn for mine betraktninger av en vanvittig resursbruk i systemet.

Åsta-ulykken avslørte en uforståelig, men åpenbart bevisst reduksjon av sikkerheten ved jernbanedriften på enkelte strekninger.
For å si det veldig forenklet: Mens regelen tidligere var at ingen tog fikk kjøretillatelse før den neste strekningen var bekreftet klar, så fikk man nå kjøretillatelse dersom man kunne regne med at strekningen var klar.
Dermed var det bare et tidsspørsmål når ulykken måtte skje.
Jeg synes å huske at det ble skrevet mange lange forklaringer om hvorfor dette IKKE var en 'bestilt' ulykke
Dette er innledningen til et innlegg jeg skrev den gangen:
Når man "bestiller" jernbaneulykker Sven Pran, Sivilingeniør MNIF, Ski Jernbaneverkets egen uhellskommisjon skal ha konstatert i sin rapport etter ulykken på Rørosbanen "at ett enkelt menneskes handlinger er eneste barriere mot at tog kjører forbi signal stopp, og at et sammenstøt derved kan inntreffe. Kommisjonen er kjent med at denne ene barrieren tradisjonelt har vært oppfattet som tilstrekkelig ved jernbanedrift". Jeg har ingen grunn til å mistenke at kommisjonen her er feilsitert, men undres om den bevisst uttaler seg mot bedre vitende eller om den ganske enkelt avslører et utrolig mangelfullt kjennskap til mer enn 100 års driftserfaringer med jernbaner slik disse var nedfelt i tidligere tiders sikkerhetsreglement ved NSB.

Min feil i overskriften

Arne skriver: " et fremtidig ERTMS hvor togene stoppes og ingen "reserveløsning" finnes"".
Nå skal ikke jeg utnevne meg til ERTMS - ekspert. Men såvidt jeg vet, så er det innebygget redundans i systemet. Altså hvis en del av det sentrale datasystemet går ned, på grunn av feil, strømbrudd e.l., så overtar den andre. Som forhåpentligvis er plassert et annet sted, i tilfelle brann. Antagelig er det også muligheter til å bygge opp et distribuert system, og med flere togmeldingssentraler, slik at ikke hele landet rammes ved feil på det sentrale datasystemet. Reservestrømforsyning er det sikkert, også. Lokale strømbrudd vil ramme jernbanen, enten systemet heter det ene eller det andre.
Så hva er det som tilsier at jernbanens sikkerhetssystemer blir mere sårbare med ERTMS?

Problemet er at man har sjefer i systemet som er mer opptatt av å spare penger enn av å levere redundans.

Uansett er det ingen signalsystemer som har høyere oppetid en de banene som ikke har dette. På nordre del av Gjøvikbanen er det knapt skapt en forsinkelse pga. signalfeil.

Når en skal ha mer ytelse ut av jernbanen må en ha gode sentrale systemer til å styre trafikken. Slike systemer gjøres redundante, men det skal godt gjøres at det ikke finnes enkelte fellesfeil som også slår ut redundansen. Med dagens sikkerhetslovgivning (samfunnssikkerhet og ikke trafikksikkerhet) må en sørge for at de vitale systemene både har svært høy tilgjengelighet og er lite sårbare.

Mye av problemet med signalsystemer er at det for tiden er selgers marked. Det er lange leveringstider på komponenter, og det er komponenter en ikke får tak i til eksisterende anlegg. Engstelsen for å ha utdaterte anlegg uten reservedelstilgang er mye av bakgrunnen for overgangen til ERTMS.

Nå går implementeringen i mange land langt saktere enn forutsatt, og det er både bra og dårlig. Mer tid er nok bra både for dem som jobber med dette og for dem som skal bruke det, men dårlig fordi det innebærer at en over lang tid er avhengig av kostbare STM-løsninger.

En kan ha 300 ERTMS-sentraler strategisk plassert over hele landet, uten at det blir like robust som ATC. ATCen kan en slå av, og kjøre videre på visuelle signaler. Dette gjøres oftere enn en kanskje tror, bl.a. pga tekniske feil på togets ATC-systemer. Også ETCS-systemene innmontert i tog kan få teknisk feil. På ATC-strekning? Innhent nødvendige tillatelser, slå av og kjør videre. På ERTMS-strekning? Game over, vent på hjelpetog. Noe som ikke er så veldig moro om en befinner seg på et enslig tømmertog i Østerdalen natt til søndag, for eksempel, i Østerdalen finnes som kjent både ulv, elg, tiur og andre lumske vesener.

Dette har ikke så mye med robustheten i selve ERTMS-systemet overordnet sett å gjøre. Det kan jeg ikke nok om. Men det er ganske forkrøplende for godstrafikken, særlig på mindre trafikkerte strekninger, om en er helt avhengig av at alt på loket virker til enhver tid, og evt hjelp er mange timer unna. Hvis denne designmentaliteten går igjen i hele ERTMS-prosjekteringen - alt må virke, hele tida - så har vi et stort problem, for er det noe som skjer på jernbanen, er det at ting går i stykker og må repareres. Én ting er relativt nye Flirt-sett, og et relativt nytt signalsystem, men når disse greiene begynner å bikke 40 år, kommer de til å være like stabile da? Vil hele Oslo S få totalt sammenbrudd når vi en gang i framtiden kommer dit at signalkomponentene til ERTMS er like nedslitt som dagens signalreléer? Jeg vet ikke.

Problemet med ERTMS i denne sammenhengen er vel først og fremst knyttet til regelverk? Det hadde kanskje ikke vært noe i veien for å håndtert ERTMS på samme måte som ATC, men en har valgt høyere sikkerhet og dårligere tilgjengelighet. Dette går igjen ved overgang til nye systemer - ingen vil ta ansvar for pragmatiske løsninger som kan innebære litt høyere risiko. Samtidig er dette valget med på å presse frem høyere tilgjengelighet på teknikken. At ulik fokus på oppetid kan ha betydning ser vi f.eks. i det at et enmotors fly er nesten like sikkert som et med flere motorer.

Som Erik skriver:

At ulik fokus på oppetid kan ha betydning ser vi f.eks. i det at et enmotors fly er nesten like sikkert som et med flere motorer.

For en del år siden skulle det være flere motorer på fly i transatlantiske ruter. Vi fikk Boeing 727, Douglas DC-10 og Lockheed Tristar.
Nå er vel de fleste fly i disse ruter tomotors og 4-motors Airbus A-380 må vel sies å ha vært en flopp.

Jeg kan ikke forstå hvordan du tenker det skal foregå når det ikke lenger er visuelle signaler ute ved sporet som lokomotivfører kan bruke for å framføre toget.

Skiltene er visuelle signaler, men med utkoblet ETCS vil de bety "stopp". Det betyr at en passering av skilt innebærer tillatelse fra togleder på linje med passering av hovedsignal i "stopp".

Med utkoblet ATC eller ETCS vil lokfører uansett være eneste barriere mot utilsiktet passering av "stopp". På ATC-strekning har en signalene å hjelpe seg med, men i utgangspunktet tillates ikke fjernstyrt drift uten at signalsystemet kan stoppe toget. Reglene for ATC hadde nok ikke sett slik ut om de var blitt innført i dag.

Min tanke var ikke at toget skulle fortsette til endestasjon, men at et tog med utkoblet ETCS burde kunne få lov til å komme seg til stasjon for å ikke stå i veien.

OK, med andre ord vesentlig dårligere løsning enn det er i dag hvor det et mulig å fortsette til endestasjon eller vedlikeholdsbase uten fungerende ATC-utrustning ombord i toget.

Uansett dreier dette seg om valg mellom sikkerhet og tilgjengelighet. Nå kan det være at en ved å ha steile krav kan oppnå en høyere standard på utstyret - i motsatt fall er det et problem.

I teorien er det mulig å bygge inn redundans i loket, for eksempel ved at loket har to av det aller meste, og lokfører må bytte den defekte modulen i den ene enden. Man kunne også fått dette til uten at lokfører må bytte noe som helst, men det blir dyrere, og støter lettere på problemer med regelverk.

Erik skriver:
"Problemet med ERTMS i denne sammenhengen er vel først og fremst knyttet til regelverk?"
Det fører til en annen sak, også, nemlig at det er en tidkrevende prosess å utføre endringer i systemet. Jeg mener å huske en sak fra østre linje, hvor systemet på en stasjon var programmert kun for enkeltsett, og når det kom dobbeltsett, så gikk alt i stå. Og feilen var der - lenge - før den ble rettet.
Dette ble omtalt som en svakhet med systemet, mens det i virkeligheten skyldes at kravene til utførelse av endringer på et system med så høyt sikkerhetsnivå, er store. Å fikse feilen rent teknisk var antagelig ikke stort vanskeligere enn å sette opp en ny stikkontakt i kjellerstua, for den som kan det, men de formelle kravene til en slik prosess er omfattende og tidkrevende.

Det beste blir det godes fiende

Jeg vet ikke hvor mye det vi erfarer andre steder i samfunnet er relevant for denne diskusjonen, men vi har flere eksempler på at store ambisjoner om at helhetlige dataløsninger som skal favne mest mulig er veien å gå, og dette er en utvikling til noe påstått bedre som vi bare må følge.

Helseplattformen som deler Helse Midt har tatt i bruk nå, har vist seg å være en dundrende fiasko, men redusert effektivitet med 25 %, og ingen av brukerne tror på noen forbedring, ut fra lignende erfaringer i Danmark og Finnland. Der har det god prestisje i saken, så prosjektet fortsetter og fortsetter.

Et felles saks­behandlingssystem for universitets- og høgskolesektoren til nær en halv milliard kroner, Sopra Steria, har også vist seg uegnet til å ta i bruk. Men der har man innsett dette og satt stopp for prosjektet.

Det kan virke slik at jo større et datasystem blir, jo mer sårbart er det for ymse typer avvik i forhold til intensjonene da det ble igangsatt. Har vi blitt for overoptimistiske på hva teknologi kan gjøre for oss? Sosiale medier har åpenbare svakheter, dog ikke av teknisk art, men av hva de kan misbrukes til.

Det er mitt bestemte inntrykk at det største problemet med store og komplekse datasystemer som utvikles for det offentlige, ikke er systemene i seg selv, men at stat eller kommune som kunde involverer seg alt for mye underveis, og at kravene endres underveis i prosjektet. Det fører til betydelig økt arbeidsmengde, at konsekvensene av endringene ikke alltid er oversiktlige, at kostnadene øker, og at det blir uenighet om hvem-som-skal-betale-hva. Og tiden går....

Jeg har selv opplevd tilsvarende i store prosjekter, riktignok ikke mot stat eller kommune: Vi gir en pris, og inngår etterhvert en kontrakt, ut fra en spesifikasjon, som vi som regel har hatt rimelig god tid til å vurdere konsekvensene av. Men så - et stykke ut i prosjektet - kommer driftsavdelingen inn med et sett endrede krav, og de har ofte liten eller ingen forståelse for kostnader. Hvis ikke leverandørens prosjektleder er svært restriktiv med å påta seg slike endringer, så kommer prosjektet fort ut å kjøre, både teknisk, fremdriftsmessig og økonomisk. Med staten som kunde blir det ofte vanskelig å stå imot slike krav, men til syvende og sist rammer det både kunde og leverandør.

Så kan vi heller ikke se bort fra fagforeningenes krav i slike situasjoner. "Konsulenter" er pyton, de sitter med bena på bordet, kan ingenting, og fakturerer 3.000 kroner pr. time. "Egne ansatte" er tingen! Det dette i stedet fører til, er at spisskompetansen forsvinner, og med den sjansene for å oppnå gode resultater.

"Offentlige innkjøpsregler" har vi hørt om. Et mere ekstremt tilfelle hvor disse reglene rammet prosjektet, var det felles billettsystemet for NSB og Oslo Sporveier. Nå husker jeg ikke rekkefølgen her, men jeg mener det var slik at NSB kjøpte inn et system, som de fikk til å virke. Så skulle Oslo sporveier handle, de utlyste et anbud i henhold til gjeldende anskaffelsesregler, og et ANNET FIRMA enn det NSB hadde valgt, fikk kontrakten. I forkant av dette burde noen alarmklokker ha ringt - svært kraftig - men det gjorde de ikke. Resultatet var at de to systemene ALDRI fungerte sammen på en tilfredsstillende måte.

Om disse problemstillingene er relevante, i forhold til utvikling og produksjon av ERTMS - systemene vet jeg ikke, sannsynligvis er den ikke det. Forhåpentligvis er det private selskaper som har fått gode spesifikasjoner å jobbe etter. Men uansett er det systemer fra flere leverandører som skal fungere sammen, at det kan by på utfordringer, er det neppe noen tvil om.

Anskaffelsen av billettsystemet i Oslo og Akershus ble komplisert av at Konkurransetilsynet nektet NSB, Stor-Oslo Lokaltrafikk og Oslo Sporveier å ha felles anbudsforespørsel. Begrunnelsen til Konkurransetilsynet skal ha vært at den som ville få denne leveransen ville kunne komme i en tilnærmet monopolsituasjon.

Komplekse anskaffelser ender gjerne med mange endringer enten de er i privat eller offentlig sektor. Problemet med komplekse anskaffelser er at neppe ser alle konsekvenser når en bestiller, men at det går opp for en etter hvert. Derfor har en nå i noen grad gått over til smidige kontrakter hvor en forutsetter enkelte nye designfaser underveis.

Man ser en av komplikasjonene med ERTMS-prosessen som er kjørt på Østre Linje, 6. oktober 2023 ble det "endelig" åpnet for å kunne kjøre godstog der.

Jokeren her er nå at motgående trafikk ikke tillates når godstog fremføres på strekningen (Godstog tillates ikke å krysse med andre tog, uansett rekkefølgen togene kjører inn på en stasjon).

For noen uker siden var det lynnedslag på Snartemo, med dertil varmeutvikling i noen tekniske hus. Det medførte at en del av GSM-R-dekningen fallt ut i nærheten, og vipps så hadde du mistet kontakt med radioblokksentralen om det hadde vært ERTMS der.

Det tror jeg blir for enkelt å konkludere slik. Hva som skjer i et slikt tilfelle, kommer helt an på hvordan systemet er bygget opp, og hvor kritiske komponenter er plassert.

Det er helt riktig som Nøkleby skriver. ERTMS(Radioblokksenteret) er helt avhengig av GSM-R hele tiden. Så utfall bom stopp! Bjørn Steinar

Det burde vel ikke være noe i veien for å dublere kommunikasjonen? T-banens nye sikringsanlegg skal bruke kommersielt 5G fra to forskjellige nettselskaper for redundant kommunikasjon. Kravene til sikkerhetsnivå er de samme for T-banen som for det nasjonale jernbanenettet.

Jeg er ingen ekspert på dette, men som jeg husker det så ringer EVC opp en bestemt RBC over GSM-R via et GSM-telefonnummer også foregår kommunikasjonen mellom de to enhetene (tog og radioblokksentral) via denne modulerte radiokanalen. Ikke ulikt slik vi ringte opp BBS-er på 80-tallet...

Forhåpentligvis er det støtte i ETCS for ren TCP/IP-kommunikasjon over feks 5G slik CBTC-anlegget til Sporveien har, men jeg ikke klart å finne noe som underbygger at dette faktisk er en mulighet.

Noen med mer innsikt i det tekniske må gjerne rette / oppklare.